【正文】 要設(shè)備的所有關(guān)鍵模塊均實(shí)現(xiàn)1+1冗余，易于擴(kuò)容和維護(hù)。為保證網(wǎng)絡(luò)的兼容及標(biāo)準(zhǔn)性，支持基于端口的VLAN劃分。為了實(shí)現(xiàn)對全網(wǎng)數(shù)據(jù)設(shè)備的管理，在中心機(jī)房配置一臺(tái)華為的Quidview網(wǎng)管系統(tǒng)，對所有交換機(jī)及路由器進(jìn)行統(tǒng)一管理。它提供了豐富的網(wǎng)絡(luò)安全特性。兩個(gè)區(qū)中心節(jié)點(diǎn)2臺(tái)大容量的三層交換機(jī)利用GE高速端口通過IP TRUNK互連，并提供到各種服務(wù)器的多個(gè)高速接口。7） 安全性:網(wǎng)絡(luò)系統(tǒng)的數(shù)據(jù)和文件多數(shù)要求具有高度的安全性，因此，網(wǎng)絡(luò)系統(tǒng)本身要有較高的安全性，對使用的信息進(jìn)行嚴(yán)格的權(quán)限管理，在技術(shù)上提供先進(jìn)的、可靠的、全面的安全方案和應(yīng)急措施，確保系統(tǒng)萬無一失。整個(gè)網(wǎng)絡(luò)應(yīng)有足夠的冗余，設(shè)備在發(fā)生故障時(shí)能以熱插拔的方式在最短時(shí)間內(nèi)加以修復(fù)。其產(chǎn)品經(jīng)受了網(wǎng)上大量應(yīng)用的考驗(yàn)。華為公司能夠提供全系列的路由器和以太網(wǎng)交換機(jī)，以及網(wǎng)絡(luò)安全、網(wǎng)絡(luò)管理的產(chǎn)品，在網(wǎng)上應(yīng)用很多（詳見附件《華為數(shù)通產(chǎn)品用戶名單及應(yīng)用實(shí)例》）?；贛PLS Layer3的VPN能夠支持在每個(gè) VPN 群體的無連接路由選擇，業(yè)務(wù)規(guī)劃將更容易和靈活，在同一基礎(chǔ)設(shè)施上支持成千上萬個(gè)VPN，同時(shí)保留IP環(huán)境中的全部QoS益處。 ACL與L3 MPLS VPN比較使用ACL（訪問控制列表）的方式來實(shí)現(xiàn)本次招標(biāo)電子政務(wù)需求以及對安全訪問控制策略的要求，存在以下問題：用訪問控制列表不是一種VPN的實(shí)現(xiàn)方法。即使購買路由設(shè)備E?？梢哉J(rèn)為，內(nèi)層標(biāo)簽代表了通過骨干網(wǎng)相連的兩個(gè)CE之間的一個(gè)隧道。PECE之間要交換路由信息一般是通過靜態(tài)路由，也可以通過RIP、OSPF、BGP、ISIS等。VPN用戶站點(diǎn)（site）：是VPN中的一個(gè)孤立的IP網(wǎng)絡(luò)，一般來說，不通過骨干網(wǎng)不具有連通性，公司總部、分支機(jī)構(gòu)都是site的具體例子。但是，作為代價(jià)，L2VPN的靈活性要差一些，無法實(shí)現(xiàn)Extranet。從用戶的角度來看，這個(gè)MPLS網(wǎng)絡(luò)就是一個(gè)二層的交換網(wǎng)絡(luò)，通過這個(gè)網(wǎng)絡(luò)，可以在不同站點(diǎn)之間建立二層的連接。而MPLS可以把任何流關(guān)聯(lián)到一個(gè)FEC，然后把一個(gè)FEC映射到一個(gè)LSP，這個(gè)LSP可以是為了這種FEC而特殊構(gòu)造的，這使得服務(wù)提供商可以非常精確地控制網(wǎng)絡(luò)中的每個(gè)流。可以承載MPLS的二層協(xié)議可以是PPP、以太網(wǎng)、ATM和幀中繼等。 技術(shù)選型依據(jù)結(jié)合標(biāo)書中對建設(shè)電子政務(wù)網(wǎng)業(yè)務(wù)與安全需求分析，從理論上說，使用L2 MPLS VPN、L3 MPLS VPN以及使用訪問控制列表和NAT地址轉(zhuǎn)換的方式都可以實(shí)現(xiàn)?？煽啃栽瓌t：系統(tǒng)設(shè)計(jì)能有效的避免單點(diǎn)失敗，在設(shè)備的選擇和關(guān)鍵設(shè)備的互聯(lián)時(shí)，應(yīng)提供充分的冗余備份，一方面最大限度地減少故障的可能性，另一方面要保證網(wǎng)絡(luò)能在最短時(shí)間內(nèi)修復(fù)。同時(shí)由于世界上網(wǎng)絡(luò)產(chǎn)品供應(yīng)商之間的激烈競爭，收購和兼并頻繁發(fā)生。l 5）利用寬帶IP技術(shù)，實(shí)現(xiàn)網(wǎng)絡(luò)對語音和多媒體業(yè)務(wù)的良好支持。目前可以應(yīng)用多種不同的技術(shù)實(shí)現(xiàn)VPN，但基于MPLS的IP VPN網(wǎng)絡(luò)可以很容易地與基于IP的用戶網(wǎng)絡(luò)結(jié)合起來，而不必改變Intranet應(yīng)用，因?yàn)檫@些網(wǎng)絡(luò)具有應(yīng)用通曉性、保密性且QoS內(nèi)置于網(wǎng)絡(luò)中。其中，區(qū)黨政機(jī)關(guān)各單位橫向上既是區(qū)委區(qū)政府的組成部門，縱向上其業(yè)務(wù)又受市對口單位的行業(yè)指導(dǎo)，并對鎮(zhèn)級(jí)對口單位進(jìn)行業(yè)務(wù)指導(dǎo)。各單位是橫向區(qū)級(jí)信息網(wǎng)絡(luò)和縱向行業(yè)信息網(wǎng)絡(luò)的交叉點(diǎn)。各部門中部分建有局域網(wǎng)和業(yè)務(wù)系統(tǒng)。內(nèi)網(wǎng)是龍崗區(qū)黨政機(jī)關(guān)政務(wù)應(yīng)用系統(tǒng)運(yùn)行的網(wǎng)絡(luò)平臺(tái)和辦公業(yè)務(wù)系統(tǒng)。外網(wǎng)與因特網(wǎng)互聯(lián)，為社會(huì)公眾提供電子化、網(wǎng)絡(luò)化服務(wù)。龍崗政務(wù)信息網(wǎng)建設(shè)既要確保原有的計(jì)算機(jī)網(wǎng)絡(luò)和應(yīng)用的正常使用，又要保證用戶在今后一段時(shí)期內(nèi)辦公、業(yè)務(wù)等應(yīng)用的拓展。對于每個(gè)獨(dú)立的單位節(jié)點(diǎn)來說，既有橫向部門間的信息交互，又有縱向行業(yè)部門的信息交互。對于每個(gè)獨(dú)立的單位節(jié)點(diǎn)來說，既有橫向部門間的信息交互，又有縱向行業(yè)部門的信息交互。用戶能夠使用他們專有的IP地址而無需NAT(網(wǎng)絡(luò)地址翻譯)。語音和多媒體業(yè)務(wù)是一種對業(yè)務(wù)的實(shí)時(shí)性，安全性和可靠性都有嚴(yán)格要求的特殊業(yè)務(wù)。如果選用較小的供應(yīng)商的產(chǎn)品，一旦發(fā)生收購或兼并，常常導(dǎo)致整個(gè)產(chǎn)品系列的停產(chǎn)，使售后服務(wù)和產(chǎn)品升級(jí)都面臨很大困難。成熟和先進(jìn)性原則：系統(tǒng)結(jié)構(gòu)設(shè)計(jì)、系統(tǒng)配置、系統(tǒng)管理方式等方面采用國際上先進(jìn)同時(shí)又是成熟、實(shí)用的技術(shù)。但事實(shí)上，在實(shí)際環(huán)境中，只有L3 MPLS VPN可以很好的滿足深圳市市民中心電子政務(wù)網(wǎng)的各方面需求，其它兩種方式的實(shí)現(xiàn)是沒有可操作性的，下面在技術(shù)選型依據(jù)中將給予分析。對于PPP或以太網(wǎng)二層封裝，MPLS包頭結(jié)構(gòu)如上圖所示，但是對于ATM或幀中繼，MPLS則直接采用分別采用VPI/VCI或DLCI做為轉(zhuǎn)發(fā)的標(biāo)簽。這種空前的控制能力使網(wǎng)絡(luò)能夠提供更加有效和可預(yù)測的服務(wù)根據(jù)擴(kuò)展方式的不同MPLS VPN可以分為BGP擴(kuò)展實(shí)現(xiàn)的MPLS VPN，和LDP擴(kuò)展實(shí)現(xiàn)的VPN。以ATM為例，每一個(gè)用戶邊緣設(shè)備（CE）配置一個(gè)ATM虛電路，通過MPLS網(wǎng)絡(luò)與遠(yuǎn)端的另一個(gè)CE設(shè)備相連，與通過ATM網(wǎng)絡(luò)實(shí)現(xiàn)互聯(lián)是完全一樣的。當(dāng)前MPLS L2VPN還沒有形成正式的標(biāo)準(zhǔn)。CE路由器通常是VPN Site中的一個(gè)路由器或交換設(shè)備，Site通過一個(gè)單獨(dú)的物理端口或邏輯端口（通常是VLAN端口）連接到PE設(shè)備上。PECE之間采用靜態(tài)路由的好處是可以減少CE設(shè)備可能會(huì)因?yàn)楣芾聿簧频仍蛟斐蓪歉删W(wǎng)BGP路由產(chǎn)生震蕩，影響骨干網(wǎng)的穩(wěn)定性。L3 MPLS VPN通過和Internet路由之間配置一些靜態(tài)路由的方式，可以實(shí)現(xiàn)VPN的Internet上網(wǎng)服務(wù)，還可以為跨不同地域的、屬于同一個(gè)AS但是沒有自己的骨干網(wǎng)的運(yùn)營商提供VPN互連，即提供“運(yùn)營商的運(yùn)營商”模式的VPN網(wǎng)絡(luò)互連。如果要實(shí)現(xiàn)不同單位之間的互相訪問一些彼此開放的服務(wù)器資源，每個(gè)單位都需要同時(shí)加入多個(gè)第二層MPLS VPN，由于多個(gè)第二層的MPLS VPN的路由沒法在路由器上隔離，必須在路由器上做訪問控制列表來防止其他單位之間非允許的信息流通過自己進(jìn)行轉(zhuǎn)發(fā)，同時(shí)由于自己內(nèi)部網(wǎng)絡(luò)，橫向系統(tǒng)服務(wù)器，縱向系統(tǒng)服務(wù)器都連在同一個(gè)路由器上，如果不加控制，有可能造成有些只開放給縱向系統(tǒng)用戶使用的服務(wù)器也能被橫向系統(tǒng)服務(wù)器的用戶所訪問，因此配置和維護(hù)的工作量難以想象。采用ACL方法來實(shí)現(xiàn)，需要在在骨干的核心網(wǎng)絡(luò)中保存所有單位內(nèi)部IP網(wǎng)絡(luò)/服務(wù)器IP網(wǎng)絡(luò)的路由表，而采用MPLS VPN方式實(shí)現(xiàn)只需要在核心網(wǎng)絡(luò)的路由表中包含網(wǎng)絡(luò)平臺(tái)上的路由。最終用戶只需要接入其最近的PE便可與全網(wǎng)任何同一VPN的用戶作對等通信，用戶路由設(shè)計(jì)簡單。政務(wù)網(wǎng)需要的MPLSVPN，華為公司產(chǎn)品已有許多成功應(yīng)用實(shí)例，如廈門廣電承載網(wǎng)、福建電信DCN網(wǎng)、中國企業(yè)互聯(lián)網(wǎng)（CENET）等，即將開通的有江西政務(wù)網(wǎng)縱向網(wǎng)、廣西電信承載網(wǎng)、上海電信城域網(wǎng)、俄羅斯數(shù)字奧倫堡、俄羅斯喀山電信（MPLS）等。具體設(shè)備選型見配置清單?？煽啃赃€應(yīng)充分考慮網(wǎng)絡(luò)系統(tǒng)的性價(jià)比，使整個(gè)網(wǎng)絡(luò)具有一定的容錯(cuò)能力，減少單點(diǎn)故障。同時(shí)符合國家關(guān)于網(wǎng)絡(luò)安全標(biāo)準(zhǔn)和管理?xiàng)l例。龍崗區(qū)內(nèi)24個(gè)POP接入節(jié)點(diǎn)的交換機(jī)通過GE接口分別接入到兩臺(tái)中心交換機(jī)。區(qū)政府大院機(jī)房節(jié)點(diǎn)的交換機(jī)可以利舊，將原有的CISCO6509升級(jí)。同時(shí)還要考慮龍崗區(qū)政務(wù)網(wǎng)到深圳市政務(wù)網(wǎng)的互連，由S8016提供到市政務(wù)專網(wǎng)的出口，在網(wǎng)絡(luò)出口處設(shè)置防火墻，以實(shí)現(xiàn)對數(shù)據(jù)包安全檢查及加解密任務(wù)。在PE設(shè)備上對VLAN進(jìn)行終結(jié)。所有模塊具備熱插拔的功能。另外，華為產(chǎn)品在金融網(wǎng)絡(luò)上和CISCO產(chǎn)品的兼容案例是最具有說服力的， 眾所周知，金融行業(yè)對通信要求應(yīng)該是最高的，出現(xiàn)任何故障都有可能導(dǎo)致重大損失，目前國內(nèi)4大銀行以及各種民營銀行、農(nóng)信聯(lián)都大量采用了華為產(chǎn)品，而且基本上大多數(shù)都是和CISCO的兼容運(yùn)行案例，上圖展示的是華為產(chǎn)品在江西農(nóng)行和CISCO互通的典型例子。如：具有三層及以上線速交換能力；支持靈活的跨網(wǎng)絡(luò)交換機(jī)（主干、部門）的基于IP、端口、MAC地址的VLAN劃分功能。5）易管理性：網(wǎng)絡(luò)設(shè)備應(yīng)易于管理，易于維護(hù)，操作簡單，易學(xué)，易用，便于進(jìn)行網(wǎng)絡(luò)配置，發(fā)現(xiàn)故障。建成后的網(wǎng)絡(luò)，采用IP網(wǎng)絡(luò)為主用線路，撥號(hào)網(wǎng)絡(luò)為備用線路。核心層網(wǎng)絡(luò)拓?fù)鋱D如圖：外網(wǎng)核心層網(wǎng)絡(luò)拓?fù)鋱D 外網(wǎng)分布層（匯聚層）組網(wǎng)方案匯聚層2臺(tái)大容量、高性能的路由交換機(jī)S8016通過GE高速端口完成各區(qū)級(jí)單位的匯聚, S8016提供完善的Diffserv流交換、QOS保證機(jī)制，完備的業(yè)務(wù)控制、用戶管理能力，以及電信級(jí)的可靠性和高密度、大容量交換能力，完全滿足龍崗區(qū)目前業(yè)務(wù)的處理，并可滿足今后幾年的業(yè)務(wù)需求。在接入層，有幾個(gè)局級(jí)單位（如國土局、環(huán)保局等）通過建設(shè)局接入，在建設(shè)局采用Quidway7 S5516千兆路由交換機(jī)。 R3600系列路由器是華為技術(shù)有限公司自主開發(fā)的面向企業(yè)級(jí)網(wǎng)絡(luò)的產(chǎn)品。 VRP提供了中英文雙語配置界面，配置簡單。 R2600系列、Quidway174。網(wǎng)絡(luò)設(shè)備的性能參數(shù)均達(dá)到或超過“龍崗區(qū)政務(wù)信息網(wǎng)網(wǎng)絡(luò)系統(tǒng)設(shè)備清單及規(guī)格”的要求。用戶開展業(yè)務(wù)時(shí)可以實(shí)現(xiàn)一卡多用，即一個(gè)賬號(hào)或卡號(hào)可以應(yīng)用多種業(yè)務(wù)，既可以通過Lanswitch或接入服務(wù)器上網(wǎng)，又可以打IP電話，由CAMS統(tǒng)一認(rèn)證和計(jì)費(fèi)，實(shí)現(xiàn)寬窄帶的一體化的管理。增加新業(yè)務(wù)時(shí)，平臺(tái)無需改動(dòng)，只需修改配置文件，動(dòng)態(tài)加載相應(yīng)的業(yè)務(wù)組件。其主要功能有：綜合訪問控制CAMS 通過配置可以作為Lanswitch、8010接入服務(wù)器、808070路由器等多種網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)訪問控制服務(wù)器，實(shí)現(xiàn)基于PPP、DHCP+WEB等多種方式，對VOIP、VOD、VPN、ONLY等多種業(yè)務(wù)的用戶身份驗(yàn)證、網(wǎng)絡(luò)使用授權(quán)、計(jì)費(fèi)和統(tǒng)計(jì)功能。第五章 路由策略及IP地址規(guī)劃 路由策略根據(jù)網(wǎng)絡(luò)現(xiàn)有結(jié)構(gòu)，設(shè)計(jì)比較適合的路由協(xié)議。所有區(qū)中心交換機(jī)、路由器都劃分到OSPF的Area0內(nèi)，與之相連的下級(jí)節(jié)點(diǎn)的設(shè)備再分別劃為不同的OSPF Area。對于各單位原有縱向業(yè)務(wù)系統(tǒng)的對外IP地址分配須予以保留，并充分考慮到某些可能的地址規(guī)劃中的地址重疊問題。普通用戶的IP地址由DHCP服務(wù)器動(dòng)態(tài)分配；服務(wù)器地址、設(shè)備管理地址、接口互聯(lián)地址等需要固定IP地址，在經(jīng)過NAT時(shí)采用NAT與PAT方法?？紤]外網(wǎng)的業(yè)務(wù)模型，建議外網(wǎng)各單位內(nèi)部局域網(wǎng)和服務(wù)器IP地址的管理和分配采用動(dòng)態(tài)及靜態(tài)結(jié)合的方式。對普通用戶，由于采用動(dòng)態(tài)地址分配方法，可以有效避免地址重疊問題。下面分別從兩個(gè)方面分別說明。下面以機(jī)要系統(tǒng)內(nèi)部縱向訪問說明。下面分別從兩個(gè)方面分別說明。在VLAN統(tǒng)一的出口處，外網(wǎng)廣域網(wǎng)的PE設(shè)備，將各主機(jī)所在的VLAN引入到相應(yīng)的VPN中，通過廣域網(wǎng)實(shí)現(xiàn)VPN內(nèi)的互通。在政務(wù)網(wǎng)中，其具體的實(shí)施模式如下：在局域網(wǎng)中，在交換機(jī)中配置VLAN，用來隔離不同業(yè)務(wù)，在其上聯(lián)路由器上配置MPLS VPN，該路由器可以為不同VLAN（即虛接口），創(chuàng)建不同的MPLS VPN。 以VLAN隔離各VPN，并由交換機(jī)將各VLAN透傳到PE，其中各VLAN ID必須唯一。在區(qū)匯聚路由器上進(jìn)行IPSEC終結(jié)，通過MPLS VPN上承載IPSEC報(bào)文，既提供了加密功能，又沒有降低性能（因?yàn)镸PLS是按照標(biāo)簽進(jìn)行轉(zhuǎn)發(fā)，與所承載的報(bào)文無關(guān)）。對于采用加密算法的系統(tǒng)，還要求加密解密設(shè)備有足夠的吞吐量，使VPN用戶并不能感到存在VPN設(shè)備。網(wǎng)絡(luò)地址轉(zhuǎn)換：為了節(jié)省公網(wǎng)IP地址，防火墻支持NAT功能，完成私有地址和公網(wǎng)地址的轉(zhuǎn)換，同時(shí)通過NAT功能，達(dá)到使私網(wǎng)和公網(wǎng)隔離而保護(hù)私網(wǎng)資源的目的。從使用簡單的使用隧道或封裝對數(shù)據(jù)流進(jìn)行隔離，到使用復(fù)雜的加密算法都是為了保證VPN內(nèi)數(shù)據(jù)的可信度。對于使用如L2TP等二層隧道構(gòu)成的VPN可以通過PAP或CHAP等方法對用戶進(jìn)行認(rèn)證，用戶的安全配置數(shù)據(jù)存貯在AAA服務(wù)器上，單位邊緣設(shè)備與AAA服務(wù)器采用RADIUS協(xié)議。 VPN安全策略龍崗政務(wù)網(wǎng)，采用的是MPLSVPN組網(wǎng)方式，其本身已經(jīng)能夠提供一定的安全機(jī)制，MPLSVPN可以將不同用戶的數(shù)據(jù)流分開，可以利用標(biāo)記來判斷分組所屬的VPN，從而可以防止數(shù)據(jù)的誤發(fā)。 在PE路由交換機(jī)上以一個(gè)VLAN子接口對應(yīng)一個(gè)MPLS VPN的site，并與透傳上來的VLAN對應(yīng)。通過VLAN技術(shù)與MPLS VPN技術(shù)的配合，政務(wù)網(wǎng)可以實(shí)現(xiàn)端到端的業(yè)務(wù)隔離。在外網(wǎng)中，VPN穿透防火墻時(shí)，需要防火墻能支持VPN（MPLS），或至少支持VLAN透傳，這樣才能保障VPN的完全實(shí)施。城域網(wǎng)內(nèi)，對在本地有訪問要求的系統(tǒng)及應(yīng)用，如共享WWW訪問服務(wù)器，在本單位可與其他機(jī)器位于不同的VLAN,實(shí)現(xiàn)了本地安全隔離，保證本地其它機(jī)器的安全。在VLAN統(tǒng)一的出口處，內(nèi)網(wǎng)廣域網(wǎng)的PE設(shè)備，將機(jī)要局VLAN21的路由及數(shù)據(jù)引入到相應(yīng)的VPN3內(nèi)。以機(jī)要主機(jī)本地訪問來說明本地橫向VPN的組網(wǎng)。針對標(biāo)書中給出設(shè)備的實(shí)際布局，即同一單位可能位不同的物理位置，系統(tǒng)內(nèi)服務(wù)器、公共服務(wù)器等都位于主服務(wù)器機(jī)房，MPLS VPN將跨全市整個(gè)政務(wù)網(wǎng)平臺(tái)等，我們也必須考慮。具體的地址規(guī)劃方法與內(nèi)網(wǎng)規(guī)劃方法一致，這里不再多述。建議：原有服務(wù)器盡量采用原有IP地址。3 IP地址的分配必須采用VLSM技術(shù)，保證IP地址的利用率；采用CIDR技術(shù)，可減小路由器路由表的大小，加快路由器路由的收斂速度，也可以減小網(wǎng)絡(luò)中廣播的路由信息的大小。 路由匯聚：在IP地址的規(guī)劃時(shí)已經(jīng)考慮到路由匯聚，以便可以匯聚成一條路由信息向其他區(qū)域傳送。 路由協(xié)議的選擇當(dāng)前主要的動(dòng)態(tài)路由協(xié)議有RIP、IGRP、EIGRP以及OSPF。系統(tǒng)和策略管理CAMS可以靈活的定制網(wǎng)絡(luò)接入、計(jì)費(fèi)、優(yōu)惠等用戶策略，在用戶級(jí)別設(shè)置不同的訪問權(quán)限和計(jì)費(fèi)方式，并通過簡單配置生成樣式豐富的計(jì)費(fèi)、統(tǒng)計(jì)報(bào)表。平臺(tái)和業(yè)務(wù)組件均可以擴(kuò)充，擴(kuò)充對原有系統(tǒng)沒有影響。同時(shí)，計(jì)費(fèi)模型本身是開放的，對于非常特殊的計(jì)費(fèi)要求，可以通過定制或二次開發(fā)的方式輕易實(shí)現(xiàn)。CAMS在網(wǎng)絡(luò)中的地位如下：作為網(wǎng)絡(luò)中的業(yè)務(wù)管理核心，CAMS支持與路由器、以太網(wǎng)交換機(jī)、VoIP網(wǎng)關(guān)和接入服務(wù)器等網(wǎng)絡(luò)產(chǎn)品共同組網(wǎng)，完成終端用戶的認(rèn)證、授權(quán)、計(jì)費(fèi)和權(quán)限管理，實(shí)現(xiàn)網(wǎng)絡(luò)的可管理、可運(yùn)營，保證網(wǎng)絡(luò)和用戶信息的安全。 NE 80路由器一起為電信、政府、I