【正文】 V1通過10M寬帶與Internet連接，作為全省VPN大網(wǎng)關(guān)，接受全省各地的VPN訪問。 分支機(jī)構(gòu)（公司）產(chǎn)品選型1）分支機(jī)構(gòu)VPN接入設(shè)備選型根據(jù)前述分支機(jī)構(gòu)的VPN接入方式有兩種方式：l 采用ADSL連入互聯(lián)網(wǎng)構(gòu)建VPN接入l 采用撥號方式連入互聯(lián)網(wǎng)構(gòu)建VPN接入在進(jìn)行分支機(jī)構(gòu)VPN接入設(shè)備選型選型時，要重點(diǎn)考慮以下因素：l 應(yīng)選擇和中心VPN設(shè)備兼容的VPN接入設(shè)備l 應(yīng)該考慮設(shè)備的穩(wěn)定性l VPN構(gòu)建網(wǎng)絡(luò)的優(yōu)勢是靈活、經(jīng)濟(jì)，因此在設(shè)備選型時應(yīng)考慮設(shè)備的性價比。l 由于VPN組網(wǎng)需要借助互聯(lián)網(wǎng)，因此設(shè)備的選型應(yīng)該考慮網(wǎng)絡(luò)的安全性。第二類為有內(nèi)部局域網(wǎng)的各分公司。詳見下表：接入單位類別典型單位建議接入方式總部省**公司（福州）建議采用專線方式進(jìn)行接入，考慮到業(yè)務(wù)的關(guān)鍵性，同時要求考慮備份鏈路和互聯(lián)網(wǎng)接入要求，結(jié)合以上我們對廣域網(wǎng)接入技術(shù)的分析我們建議采用VPN方式接入（10M寬帶和2M ADSL接入互聯(lián)網(wǎng)）。 網(wǎng)絡(luò)系統(tǒng)建設(shè)目標(biāo)**總公司網(wǎng)絡(luò)系統(tǒng)是將來系統(tǒng)應(yīng)用軟件正常運(yùn)轉(zhuǎn)的基礎(chǔ)，建設(shè)一個能夠適應(yīng)C/S、B/S、應(yīng)用數(shù)據(jù)傳送、數(shù)據(jù)信息共享、Internet等多種要求，具有較高的可靠性、較強(qiáng)的網(wǎng)絡(luò)管理能力、具備良好的擴(kuò)充性、使用周期長的信息網(wǎng)絡(luò)系統(tǒng)。安全和輔助系統(tǒng)采用了多種技術(shù)手段對系統(tǒng)平臺的網(wǎng)絡(luò)安全和數(shù)據(jù)安全、電源系統(tǒng)安全進(jìn)行了保障。目前已開發(fā)的應(yīng)用系統(tǒng)和將來將要建立的應(yīng)用系統(tǒng)都將以該平臺作為基礎(chǔ)，下圖較好的反映了系統(tǒng)平臺和應(yīng)用系統(tǒng)之間的關(guān)系。搞好網(wǎng)絡(luò)的規(guī)劃（含IP地址劃分），以利于將來網(wǎng)絡(luò)的管理。即：該系統(tǒng)的建立一定要具備良好的可擴(kuò)展性，當(dāng)信息量上升、網(wǎng)絡(luò)規(guī)模擴(kuò)大時，可方便地將服務(wù)器及其他網(wǎng)絡(luò)設(shè)備進(jìn)行升級服務(wù)，滿足日益增長的業(yè)務(wù)需求，最大限度保護(hù)投資。安全及輔助系統(tǒng)l 建立“多層次、全方位”的系統(tǒng)安全和輔助系統(tǒng)，包含防火墻系統(tǒng)、網(wǎng)絡(luò)防病毒系統(tǒng)、數(shù)據(jù)備份系統(tǒng)、電源（UPS）系統(tǒng)。網(wǎng)絡(luò)設(shè)備省公司目前通過CISCO交換機(jī)實(shí)現(xiàn)內(nèi)部計算機(jī)網(wǎng)絡(luò)互連，一臺CISCO2610實(shí)現(xiàn)泉州等分公司遠(yuǎn)程撥號訪問。 **企業(yè)對本項(xiàng)目的理解從**公司系統(tǒng)平臺的總體規(guī)劃中，我們認(rèn)為，**公司本次系統(tǒng)平臺建設(shè)的目的，不單是為開發(fā)中的K3業(yè)務(wù)辦公系統(tǒng)提供運(yùn)行環(huán)境支持，更是為后期的電子商務(wù)等應(yīng)用系統(tǒng)奠定基礎(chǔ)。需求分析得出的數(shù)據(jù)是整個系統(tǒng)平臺構(gòu)建的基礎(chǔ)，整個系統(tǒng)平臺將以應(yīng)用系統(tǒng)需求為引導(dǎo)。本技術(shù)方案的第五章以應(yīng)用系統(tǒng)需求分析得出的數(shù)據(jù)為基礎(chǔ)，以“系統(tǒng)平臺建設(shè)的總體設(shè)計原則”和招標(biāo)文件要求的“系統(tǒng)系統(tǒng)要求”為指導(dǎo)，設(shè)計了一個具備技術(shù)先進(jìn)性、運(yùn)行穩(wěn)定性、平臺可擴(kuò)展性的主機(jī)系統(tǒng)。 項(xiàng)目現(xiàn)狀和需求分析對于本項(xiàng)目的設(shè)計應(yīng)以應(yīng)用系統(tǒng)的需求為基礎(chǔ)，需求分析有利于項(xiàng)目設(shè)計圍繞應(yīng)用系統(tǒng)展開。第一章 綜述 項(xiàng)目名稱項(xiàng)目名稱：***單位網(wǎng)絡(luò)項(xiàng)目，以下簡稱“網(wǎng)絡(luò)項(xiàng)目”。大型網(wǎng)絡(luò)應(yīng)用技術(shù)方案前 言本技術(shù)方案書以****的業(yè)務(wù)系統(tǒng)需求為導(dǎo)向，結(jié)合**企業(yè)深入的調(diào)研、多年的系統(tǒng)集成經(jīng)驗(yàn)以及**企業(yè)軟件開發(fā)人員對K3/ERP業(yè)務(wù)系統(tǒng)的理解編制而成。 招投標(biāo)雙方項(xiàng)目業(yè)主：***單位，以下簡稱**公司。同時，系統(tǒng)現(xiàn)狀的分析有利于了解**公司現(xiàn)有的信息化資源，有利于系統(tǒng)平臺建設(shè)充分利用現(xiàn)有資源。 安全與輔助系統(tǒng)設(shè)計在本方案的第六章，**企業(yè)將為**公司規(guī)劃、設(shè)計一個科學(xué)的安全與輔助系統(tǒng)，為**公司的應(yīng)用系統(tǒng)保駕護(hù)航，為整個應(yīng)用系統(tǒng)的切實(shí)實(shí)用化奠定基礎(chǔ)。 項(xiàng)目背景***單位是國有獨(dú)資企業(yè)，是**唯一依法從事**生產(chǎn)經(jīng)營管理的專業(yè)性公司，一直致力于推動我省**持續(xù)、穩(wěn)定、健康發(fā)展。系統(tǒng)平臺搭建成功，可以配合**公司各項(xiàng)業(yè)務(wù)系統(tǒng)，實(shí)現(xiàn)**公司對業(yè)務(wù)數(shù)據(jù)的集中化管理，以及完成整個業(yè)務(wù)系統(tǒng)的信息化建設(shè)，借此提高公司的管理水平和工作效率，獲得良好的經(jīng)濟(jì)效益和社會效益。專線無 應(yīng)用系統(tǒng)現(xiàn)狀**公司目前正在使用的應(yīng)用系統(tǒng)主要包括：三維辦公自動化系統(tǒng)、財務(wù)系統(tǒng)，正在開發(fā)的應(yīng)用系統(tǒng)主要包括金碟K3/ERP業(yè)務(wù)系統(tǒng)：辦公自動化，總帳、采購管理、固定資產(chǎn)、集團(tuán)控制等模塊。 總體設(shè)計原則為了實(shí)現(xiàn)系統(tǒng)建設(shè)目標(biāo)，結(jié)合上述的明確定位，以及招標(biāo)文件的要求，我們?yōu)樵擁?xiàng)目確定如下總體設(shè)計原則：原則描述先進(jìn)性應(yīng)盡可能采用國際先進(jìn)的Internet/Intranet技術(shù)、網(wǎng)絡(luò)技術(shù)、主機(jī)集成技術(shù)、系統(tǒng)安全保障技術(shù)，將項(xiàng)目建設(shè)成具有國內(nèi)同行業(yè)領(lǐng)先水平的信息化系統(tǒng)平臺?？晒芾硇跃W(wǎng)絡(luò)的使用及管理以簡便、易于操作、方便實(shí)用為準(zhǔn)則，降低系統(tǒng)管理、維護(hù)成本，提高系統(tǒng)的可管理性。網(wǎng)絡(luò)接入要求根據(jù)**業(yè)務(wù)的特點(diǎn)，采用VPN等網(wǎng)絡(luò)接入技術(shù)，并充分考慮接入鏈路的安全性、可靠性、經(jīng)濟(jì)性。從上圖中我們可以看到，**公司各業(yè)務(wù)部門使用各業(yè)務(wù)應(yīng)用系統(tǒng)軟件，通過網(wǎng)絡(luò)平臺訪問主機(jī)系統(tǒng)以及建立在主機(jī)系統(tǒng)上的數(shù)據(jù)庫平臺，而系統(tǒng)的安全與輔助平臺應(yīng)貫穿于整個業(yè)務(wù)邏輯流程。真正實(shí)現(xiàn)了事前、事中、事后全方位的安全和輔助系統(tǒng)。其建設(shè)目標(biāo)：l 建立網(wǎng)絡(luò)中心，對整個網(wǎng)絡(luò)進(jìn)行統(tǒng)一的管理；l 根據(jù)**總公司不同業(yè)務(wù)的特點(diǎn)，采用多種接入技術(shù)（寬帶、VPN、ISDN），充分考慮接入鏈路的安全、可靠性，通過對**公司網(wǎng)絡(luò)系統(tǒng)的整體規(guī)劃，實(shí)現(xiàn)**公司業(yè)務(wù)系統(tǒng)的數(shù)據(jù)傳輸、數(shù)據(jù)共享等；l 綜合采用目前國際流行的局域網(wǎng)技術(shù)（VLAN、SPANNINGTREE、IPMAC地址綁定、GE、）建設(shè)一個高速、安全、可靠、可擴(kuò)展、跨越總公司各個部門的局域網(wǎng)絡(luò)，并設(shè)置網(wǎng)絡(luò)中心，為將來**公司的局域網(wǎng)應(yīng)用打下良好的基礎(chǔ)；l 實(shí)現(xiàn)與Internet安全互聯(lián)，并充分考慮與業(yè)務(wù)數(shù)據(jù)傳輸?shù)陌踩綦x，為將來**總公司的互聯(lián)網(wǎng)業(yè)務(wù)的發(fā)展奠定基礎(chǔ)；l 系統(tǒng)應(yīng)具備相當(dāng)?shù)南冗M(jìn)性，能夠適應(yīng)未來幾年內(nèi)業(yè)務(wù)發(fā)展的需要；l 在保證當(dāng)前應(yīng)用的前提下，同時保證系統(tǒng)的可擴(kuò)展能力，避免不必要的投資。10M作為全省業(yè)務(wù)傳輸、2M作為省公司內(nèi)部上網(wǎng)使用以及10M線路備份。l 省公司考慮到省公司作為全省的數(shù)據(jù)業(yè)務(wù)中心，省公司同時提供10M寬帶和2M ADSL到Internet的連接，通過VPN技術(shù)與各節(jié)點(diǎn)訪問，兩條線路分別與后面的各自大網(wǎng)關(guān)連接，可以保證所有單位的雙鏈路訪問。l 由于防火墻產(chǎn)品的VPN應(yīng)用目前比較成熟，可以考慮將VPN接入在防火墻產(chǎn)品上實(shí)現(xiàn)，這樣既保證了網(wǎng)絡(luò)的安全又滿足了VPN接入的需求l 設(shè)備應(yīng)該具有較高的性價比，由于確定了中心端的VPN接入設(shè)備后，接入端的產(chǎn)品選型將參照中心端進(jìn)行。l VPN方式接入必須連入互聯(lián)網(wǎng)，因此網(wǎng)絡(luò)的安全性要重點(diǎn)考慮以下我們分別介紹針對不同VPN接入方式的產(chǎn)品選型。外部端口與電信寬帶連接內(nèi)部端口分別與中心兩臺華為SR6503交換機(jī)連接，防火墻與內(nèi)部網(wǎng)絡(luò)實(shí)現(xiàn)主備鏈路互為備份。以下我們簡要介紹其設(shè)計方案：接入單位通過Neteye SG500FE2V（靈巧網(wǎng)關(guān)）上連接的ADSL Modem撥號接入Internet后, Neteye SG500FE2V和中心端的NetEye FW4032FE4V1網(wǎng)絡(luò)防火墻之間將建立一條128位加密的虛擬數(shù)據(jù)通道，從而實(shí)現(xiàn)和總部的網(wǎng)絡(luò)連接。為了保證單機(jī)的安全性，這時不能進(jìn)行互聯(lián)網(wǎng)的訪問，只允許進(jìn)行VPN連接。以下我們在骨干交換機(jī)堆疊與冗余電源設(shè)計、局域網(wǎng)網(wǎng)絡(luò)連接、內(nèi)部虛擬局域網(wǎng)建設(shè)、局域網(wǎng)的網(wǎng)絡(luò)安全幾個方面進(jìn)行論述。同時我們可以在骨干交換機(jī)上將IP地址和MAC地址進(jìn)行綁定，這樣我們就可以限定某個端口上必須連接特定的計算機(jī)和配置特定的IP地址信息才能接入局域網(wǎng)。對于Internet的接入，網(wǎng)絡(luò)的安全性極為重要，因?yàn)?，Internet的環(huán)境相對局域網(wǎng)和內(nèi)部廣域網(wǎng)更為復(fù)雜。但0和255有特殊含義，255代表廣播地址：IP地址中0用于指定網(wǎng)絡(luò)地址號(若0在地址末端)或結(jié)點(diǎn)地址(若0在地址開始)。A類網(wǎng)絡(luò)第一個字節(jié)的第一個二進(jìn)制位為0；B類網(wǎng)絡(luò)第一個字節(jié)的前兩個二進(jìn)制位為10；C類網(wǎng)絡(luò)第一個字節(jié)的前三位二進(jìn)制位為110。具體說來，建立子網(wǎng)掩碼需要以下兩步： 確定運(yùn)行IP的網(wǎng)段數(shù) 確定子網(wǎng)掩碼首先，確定運(yùn)行IP的網(wǎng)段數(shù)。**公司各單位按照組織結(jié)構(gòu)可以分為三類：機(jī)關(guān)職能部門、直屬單位、合資合作參股單位。 **公司系統(tǒng)平臺IP地址規(guī)劃下表是我們對**公司IP地址進(jìn)行的初步規(guī)劃，采用A類保留地址段（）當(dāng)然，該規(guī)劃只是一個初步規(guī)劃，將來可以在預(yù)留的地址中進(jìn)行規(guī)劃。核心采用高速IP路由交換技術(shù)，完成IP數(shù)據(jù)包的快速處理和轉(zhuǎn)發(fā)。l 鏈路選擇的經(jīng)濟(jì)實(shí)用性設(shè)備的投資是一次性的，而廣域網(wǎng)鏈路是長期租用。l 網(wǎng)絡(luò)承載協(xié)議全網(wǎng)均采用目前互聯(lián)網(wǎng)上通用TCP/IP協(xié)議。l 當(dāng)省公司主VPN大網(wǎng)關(guān)出現(xiàn)故障時，遠(yuǎn)程用戶將自動啟用備用VPN通道，實(shí)現(xiàn)與備VPN大網(wǎng)關(guān)的連接。l 網(wǎng)絡(luò)設(shè)備自身的訪問控制網(wǎng)絡(luò)設(shè)備的配置和管理均需要進(jìn)行訪問控制，東軟VPN防火墻的采用管理控制臺進(jìn)行防火墻管理，密碼和用戶名在網(wǎng)絡(luò)上傳輸均進(jìn)行證書加密。根據(jù)VLAN的隔離作用，可以根據(jù)不同部門、不同應(yīng)用等多種情況劃分VLAN，以實(shí)現(xiàn)不同VLAN之間的安全性。對于局域網(wǎng)的擴(kuò)展可以通過增加骨干交換機(jī)堆疊和增加接入層交換機(jī)兩種方式。對數(shù)據(jù)備份服務(wù)器、防病毒服務(wù)器建設(shè)略作論述。根據(jù)標(biāo)書要求，我們配置了兩臺HP DL740數(shù)據(jù)庫服務(wù)器，一臺作為MS SQL數(shù)據(jù)庫服務(wù)器、另外一臺作為DOMINO數(shù)據(jù)庫服務(wù)器；配置了兩臺HP DL560應(yīng)用服務(wù)器，一臺運(yùn)行WEB服務(wù)、另外一臺運(yùn)行Apusic（金蝶應(yīng)用服務(wù)器）。l MSA1000采用基于Internet的陣列配置實(shí)用程序（ACUXE）和基于瀏覽器的接口,使用戶能夠從中央位置監(jiān)視和配置存儲；虛擬復(fù)制器軟件（SANworks Virtual Replicator）能夠幫助管理存儲的動態(tài)擴(kuò)展，它通過創(chuàng)建一系列邏輯塊和分配分區(qū)，使服務(wù)器認(rèn)為他擁有自己的硬盤。SAN以數(shù)據(jù)存儲為中心，采用可伸縮的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，通過具有較高傳輸速率的光通道連接方式，提供SAN內(nèi)部任意節(jié)點(diǎn)之間的多路可選擇的數(shù)據(jù)交換，并且將數(shù)據(jù)存儲管理集中在相對獨(dú)立的存儲區(qū)域網(wǎng)內(nèi)。SQL/DOMINO數(shù)據(jù)庫服務(wù)器引入了Win2000集群技術(shù)。配合一個充分改進(jìn)的安裝向?qū)С绦?，群集服?wù)安裝程序僅需10次以下的鼠標(biāo)點(diǎn)擊即可完成對第一個群集節(jié)點(diǎn)的設(shè)定，而第二個節(jié)點(diǎn)的設(shè)定則僅需不到4次點(diǎn)擊。l 利用冗余和可交換部件，如電源供應(yīng)和風(fēng)扇，保證高可靠性 數(shù)據(jù)庫主機(jī)系統(tǒng)網(wǎng)絡(luò)連接的可靠性《局域網(wǎng)網(wǎng)絡(luò)連接方案》中， S6503骨干交換機(jī)的連接。 數(shù)據(jù)庫主機(jī)的可擴(kuò)展能力擴(kuò)展性項(xiàng)目HP DL740HP DL560CPU擴(kuò)展能力本期配置4個xeon MP CPU可擴(kuò)展至8個本期配置2個xeon MP CPU可擴(kuò)展至4個內(nèi)存擴(kuò)展能力本期配置4G ECC內(nèi)存可擴(kuò)展至32G本期配置4G ECC內(nèi)存可擴(kuò)展至16G SAN存儲系統(tǒng)的可擴(kuò)展能力數(shù)據(jù)爆炸性增長造成了嚴(yán)重的IT資源短缺問題。此外，該軟件還支持即時快速復(fù)制，復(fù)制內(nèi)容可保存在磁盤或備份設(shè)備中，從而簡化了備份/恢復(fù)操作。**公司倡導(dǎo)的系統(tǒng)安全不僅僅是安全產(chǎn)品的簡單堆砌，而是“多層次、全方位”的安全體系，我們在安全體系的構(gòu)建過程中不僅會進(jìn)行安全產(chǎn)品的合理配置，還會對**公司系統(tǒng)平臺中存在的安全風(fēng)險進(jìn)行詳細(xì)分析，對用戶提出整體的安全建議。l 采用訪問控制手段設(shè)定允許進(jìn)行路由/交換設(shè)備配置、管理的IP。 數(shù)據(jù)庫系統(tǒng)安全分析**公司的數(shù)據(jù)庫系統(tǒng)采用SQL數(shù)據(jù)庫，因此，數(shù)據(jù)庫系統(tǒng)的安全也是系統(tǒng)安全的重要一環(huán)。下面以路由器、交換機(jī)可能存在的主要安全風(fēng)險：l 路由器、交換機(jī)缺省情況下只使用簡單的口令驗(yàn)證用戶身份，并且遠(yuǎn)程TELNET登錄時以明文傳輸口令。本章我們將結(jié)合**總公司計算機(jī)系統(tǒng)的安全風(fēng)險分析，以及**總公司的安全的實(shí)際需求，提出多層次的網(wǎng)絡(luò)安全體系結(jié)構(gòu)，確保系統(tǒng)的高安全性、高保密性。采用MSA1000可以拓展至3TB的存儲能力。 集群系統(tǒng)可靠性對于重要的業(yè)務(wù)支撐，如數(shù)據(jù)庫系統(tǒng)，我們在系統(tǒng)設(shè)計時提供集群方式來保證系統(tǒng)的可靠性，通過服務(wù)分布、雙機(jī)熱備的實(shí)施，在主服務(wù)器出現(xiàn)意外故障時，備用服務(wù)器能夠全面接管應(yīng)用，為系統(tǒng)提供連續(xù)的應(yīng)用保障。其主要體現(xiàn)如下：l 在本方案書中我們根據(jù)業(yè)務(wù)系統(tǒng)的不同特點(diǎn)，詳盡的分析了應(yīng)用系統(tǒng)對主機(jī)系統(tǒng)資源的需求，根據(jù)分析出的數(shù)據(jù)合理的配置了主機(jī)系統(tǒng)，保證所設(shè)計的系統(tǒng)能夠貼合于實(shí)際的應(yīng)用情況，提供高性能、高可靠、良好的開放性、高可擴(kuò)展、高可管理的主機(jī)系統(tǒng)平臺。由于群集服務(wù)使用共享磁盤設(shè)置，因此，在故障應(yīng)急期間將不會有數(shù)據(jù)丟失。我們在主機(jī)系統(tǒng)中部署了SAN存儲系統(tǒng)，充分利用了SAN的特點(diǎn)，將數(shù)據(jù)存儲移到了后端，采用了一個專門的系統(tǒng)來完成，對數(shù)據(jù)進(jìn)行了有效RAID保護(hù)，提升數(shù)據(jù)存儲的可管理性、可維護(hù)性、安全性、可靠性。配置清單：數(shù)據(jù)庫服務(wù)器（HP DL740）兩臺配置描述處理器每臺配置四個Intel Xeon MP 內(nèi)存每臺配置4GB DDR ECC內(nèi)存，帶有先進(jìn)的ECC功能內(nèi)置硬盤驅(qū)動器配置2塊36G硬盤光盤驅(qū)動器24x IDE光驅(qū)（通用介質(zhì)托架）網(wǎng)絡(luò)控制器HP NC7781 PCIX千兆位網(wǎng)卡（內(nèi)嵌）10/100/1000 WOL（局域網(wǎng)喚醒）*2，10/100M Network網(wǎng)卡一塊存儲控制器（RAID卡）Smart Array 5i Plus 控制器(集成在系統(tǒng)板上)數(shù)據(jù)庫服務(wù)器（HP DL560）兩臺配置描述處理器每臺配置兩個Intel Xeon 內(nèi)存每臺配置4GB DDR ECC內(nèi)存，帶有先進(jìn)的ECC功能內(nèi)置硬盤驅(qū)動器配置2塊36G硬盤光盤驅(qū)動器24x IDE光驅(qū)（通用介質(zhì)托架）網(wǎng)絡(luò)控制器HP NC7781 PCIX千兆位網(wǎng)卡（內(nèi)嵌）10/100/1000 WOL（局域網(wǎng)喚醒）*2，10/100M Network網(wǎng)卡一塊存儲控制器（RAID卡）Smart Array 5i Plus 控制