【正文】 ? 支持故障管理與事件相關(guān)性分析：包括：trap 包的采集與處理；故障的多種提示方式（圖形、聲音、BP 機(jī)、EMAIL 提示等） ；事件相關(guān)性的分析；過(guò)濾器的定義；告警級(jí)別數(shù)據(jù)通訊網(wǎng)接口適配（SNMP、TELNET）ATM 業(yè)務(wù)管理交換機(jī)端口指配接入服務(wù)器業(yè)務(wù)管理路由管理設(shè)備狀態(tài)監(jiān)視網(wǎng)絡(luò)拓?fù)涔芾硇阅芄芾砼渲霉芾砉收瞎芾戆踩芾碣Y源管理 排障專家系統(tǒng)策略管理遠(yuǎn)程操作維護(hù)日常管理系統(tǒng)管理標(biāo)準(zhǔn)接口與 API業(yè)務(wù)管理層網(wǎng)絡(luò)管理層網(wǎng)元管理層系統(tǒng)的功能結(jié)構(gòu)網(wǎng)元層.. . . ..學(xué)習(xí)好幫手升級(jí)；故障的統(tǒng)計(jì)與分析等。安全管理（Security management） 安全管理子系統(tǒng)的任務(wù)是根據(jù)本地策略控制對(duì)網(wǎng)絡(luò)資源的訪問(wèn)，以防止網(wǎng)絡(luò)系統(tǒng)被有意或無(wú)意地破壞、敏感信息被沒(méi)有授權(quán)的用戶訪問(wèn)。這樣做的好處是很明顯的：減少網(wǎng)管信息對(duì)骨干網(wǎng)絡(luò)帶寬的占用；提高對(duì)故障的反應(yīng)和處理能力；提高效率等； 網(wǎng)管系統(tǒng)采用中興通訊的 ZXNM01 統(tǒng)一網(wǎng)絡(luò)管理系統(tǒng)。這樣就防止了兩個(gè)非常重要的問(wèn)題產(chǎn)生：首先，用戶不能隨意設(shè)置主機(jī) IP 地址，否則用戶的服務(wù)將被拒絕。? 所有因 ACL 被丟棄的包同樣被計(jì)數(shù)。SYN攻擊TCP SYN 攻擊是一種以大量虛假 IP 地址發(fā)起 SYN 握手信號(hào)消耗掉被攻擊設(shè)備的資源的攻擊模式。主機(jī) A 和這些網(wǎng)關(guān)收到的虛假路由信息是來(lái)自網(wǎng)絡(luò)上的一臺(tái)不工作或沒(méi)有使用的主機(jī)，如主機(jī) B。.. . . ..學(xué)習(xí)好幫手 網(wǎng) 絡(luò) 應(yīng) 用 安 全談到網(wǎng)絡(luò)應(yīng)用安全，人們首先想到的是網(wǎng)絡(luò)黑客。本城域網(wǎng)方案的目標(biāo)是提供一個(gè)安全可靠的網(wǎng)絡(luò)業(yè)務(wù)承載平臺(tái)，所以此處著重探討網(wǎng)絡(luò)設(shè)備物理層安全、網(wǎng)絡(luò)結(jié)構(gòu)安全和應(yīng)用安全等方面的內(nèi)容。 地 址 分 配地址劃分是優(yōu)化路由處理的重要組成部分。地址規(guī)劃的基本思想：通常合理的地址規(guī)劃是使連續(xù)的地址盡量集中在一個(gè)區(qū)域內(nèi)。如果沒(méi)有 VLSM，可有兩種選擇：使用 把地址劃分為各有 128 臺(tái)主機(jī)的兩個(gè)子網(wǎng)，或者用掩碼 把網(wǎng)絡(luò)劃分成有 64臺(tái)主機(jī)的 4 個(gè)子網(wǎng)。這意味著，如果一個(gè) ISP 有 1000 個(gè)客戶，每個(gè)客戶都分配了一個(gè)基本的網(wǎng)絡(luò)地址，ISP 將不得不把這 1000 個(gè)網(wǎng)絡(luò)地址通告給其他的 ISP。2．連續(xù)性：為同一個(gè)網(wǎng)絡(luò)區(qū)域分配連續(xù)的網(wǎng)絡(luò)地址，便于采用 SUMMARIZATION 及CIDR(CLASSLESS INTERDOMA IN ROUTING)技術(shù)縮減路由表的表項(xiàng)，提高路由器的處理效率。桌面視頻會(huì)議系統(tǒng)在省網(wǎng)絡(luò)中心設(shè)置視頻會(huì)議的 MCU，實(shí)現(xiàn)全省政府系統(tǒng)信息網(wǎng)內(nèi)縱向及系統(tǒng)橫向的多點(diǎn)對(duì)多點(diǎn)的桌面視頻會(huì)議系統(tǒng)。 綜合信息：包括電話號(hào)碼、火車時(shí)刻、航班時(shí)刻、黨員信息、團(tuán)員信息、人員檔案例和紀(jì)檢規(guī)章制度等。全面支持二、三層 MPLS VPN：二層 MPLS VPN 支持 Martini 協(xié)議（VPWS）和 VPLS、三層 MPLS VPN 采用 RFC2547bis，具有良好的兼容性，可以與其他主流廠家的設(shè)備實(shí)現(xiàn) MPLS VPN 業(yè)務(wù)的全面互通。 網(wǎng)絡(luò)設(shè)備清單如下：.. . . ..學(xué)習(xí)好幫手序號(hào) 型號(hào) 設(shè)備名稱 品牌 數(shù)量核心層設(shè)備1 T40G 交流母板插箱組件包含 1 個(gè) 2 插槽機(jī)箱、1 個(gè)交流電源、背板、風(fēng)扇）臺(tái) 12 T40G 控制板 控制模塊 塊 13 交流電源模塊 T40G 通用交流電源 塊 14 RSXG12GESFP4RJ458 端口千兆 SFP 光接口＋4 端口千兆光電可選接口塊 15 SFPGEM500 多模 500 米 SFP 千兆模塊 塊 86 T40CXC 系統(tǒng)軟件 系統(tǒng)軟件模塊 套 1匯聚層設(shè)備3． 1產(chǎn) 品 介 紹ZXR10 T40G 萬(wàn)兆 MPLS 路由交換機(jī)概述ZXR10 T40G 萬(wàn)兆 MPLS 路由交換機(jī)是中興通訊推出的新一代的大容量、高性能路由交換機(jī)產(chǎn)品，其背板帶寬高達(dá) 360Gbps、交換容量可達(dá) 192Gbps，包轉(zhuǎn)發(fā)速率可達(dá)143Mpps，ZXR10 T40G 具備 L2/L3/L4 線速交換能力，主要定位于運(yùn)營(yíng)商 IP 城域網(wǎng)、校園網(wǎng)、電子政務(wù)網(wǎng)和大型企事業(yè)網(wǎng)等網(wǎng)絡(luò)的匯聚層。 .. . . ..學(xué)習(xí)好幫手3網(wǎng)絡(luò)方案設(shè)計(jì)需 求 分 析網(wǎng)絡(luò)現(xiàn)狀本網(wǎng)絡(luò)建設(shè)項(xiàng)目是惠州林業(yè)局智能化系統(tǒng)項(xiàng)目中的一部分。開(kāi)放性還意味著更多的選擇和最佳的性能價(jià)格比，有利于在眾多滿足同一開(kāi)放性標(biāo)準(zhǔn)的硬件、軟件系統(tǒng)中選擇最符合要求的產(chǎn)品。匯聚層包括匯聚路由器．匯聚交換機(jī)．終端服務(wù)器及網(wǎng)管工作站等， Ｃ．接入層接入層處于網(wǎng)絡(luò)的最外緣，是數(shù)據(jù)輸入／輸出處理和顯示以及打印的地方，接入層包括接入路由器．接入交換機(jī)及工作站等。從另一角度看，當(dāng)某種網(wǎng)絡(luò)服務(wù)的響應(yīng)時(shí)間變的變幻莫測(cè)時(shí)，網(wǎng)絡(luò)系統(tǒng)也不可靠了。.. . . ..學(xué)習(xí)好幫手（5）可護(hù)充性隨著網(wǎng)絡(luò)應(yīng)用的日益普及和進(jìn)步，對(duì)網(wǎng)絡(luò)系統(tǒng)的可伸縮性要求成為網(wǎng)絡(luò)設(shè)計(jì)的一個(gè)重要考慮。能夠與外界進(jìn)行廣域網(wǎng)的連接，提供、享用各種信息服務(wù)。.. . . ..學(xué)習(xí)好幫手先進(jìn)的系統(tǒng)架構(gòu)：采用了分布式、模塊化設(shè)計(jì)理念，并采用了基于多處理器并行處理機(jī)制和 Crossbar 空分交換結(jié)構(gòu)的體系結(jié)構(gòu)，保證了系統(tǒng)優(yōu)異的轉(zhuǎn)發(fā)性能、強(qiáng)大的業(yè)務(wù)能力和高度的可擴(kuò)展性。主要功能如下圖所示： .. . . ..學(xué)習(xí)好幫手 辦公業(yè)務(wù)網(wǎng)（局域網(wǎng)）應(yīng)用局域網(wǎng)應(yīng)用是指在各級(jí)政府部門內(nèi)部運(yùn)行的各種應(yīng)用軟件系統(tǒng)，它在應(yīng)用上覆蓋機(jī)關(guān)所有職能部門，在局域網(wǎng)內(nèi)部建設(shè)公文管理、督辦管理、檔案管理等辦公自動(dòng)化系統(tǒng)，同時(shí)完成視頻、音頻等多媒體信息的傳送，從而實(shí)現(xiàn)傳統(tǒng)辦公方式的電子化、信息化。在該業(yè)務(wù)中督查人可以方便地進(jìn)行統(tǒng)計(jì)和查詢，簡(jiǎn)單得只需用鼠標(biāo)單擊一下按鈕即可完成；而在督辦件發(fā)出以后相關(guān)人員在規(guī)定時(shí)間內(nèi)未執(zhí)行系統(tǒng)將每天發(fā)出一封催辦郵件催促執(zhí)行。信息資源的查詢主要通過(guò)政府辦公網(wǎng)絡(luò)平臺(tái)，實(shí)現(xiàn)全省各級(jí)政府機(jī)關(guān)跨部門、跨地域的信息資源的共享，將大大提高信息檢索的效率和信息的利用率，使政府領(lǐng)導(dǎo)隨時(shí)可方便快捷的查詢并掌握任何部門的任何信息。 地 址 規(guī) 劃IP 地址劃分的闡述說(shuō)明 IP 地址的劃分規(guī)則和方案IP 地址為 32 位，包括兩個(gè)部分：網(wǎng)絡(luò)地址和端機(jī)地址，如下圖所示：IP 地址包括五種不同的級(jí)別，由左端高位的比特來(lái)表示不同的級(jí)別，如下表所示：.. . . ..學(xué)習(xí)好幫手其中 A、B、C 級(jí)別是國(guó)際互聯(lián)網(wǎng)上公共分配的地址，每一種級(jí)別網(wǎng)絡(luò)地址與主機(jī)地址占用的位數(shù)見(jiàn)下圖所示： 一個(gè) IP 地址可以很容易地從其第一個(gè)十進(jìn)制數(shù)字上識(shí)別出來(lái)，是屬于那一個(gè)級(jí)別，各級(jí)別分別有一定的數(shù)值范圍，如下表所示： 在每一個(gè) IP 地址級(jí)別中又可以分出多個(gè) IP 子網(wǎng)地址，子網(wǎng)地址給屬 于同一個(gè) IP 地址的網(wǎng)絡(luò)帶來(lái)了靈活性和有效性。原來(lái)需要 8 個(gè) Class C 地址，現(xiàn)在用子網(wǎng)劃分，一個(gè) Class C 地址就夠了。每個(gè)站點(diǎn)傳送一個(gè)聚合的子網(wǎng)地址到其他的站點(diǎn)。具體設(shè)計(jì)實(shí)施規(guī)則：第一層：以網(wǎng)絡(luò)匯接區(qū)域來(lái)劃分根據(jù)網(wǎng)絡(luò)匯接分布的地理區(qū)域來(lái)劃分大塊連續(xù)的 IP 地址空間；有利于路由協(xié)議的計(jì)算和地.. . . ..學(xué)習(xí)好幫手址匯聚。? 地址分配應(yīng)本著簡(jiǎn)化路由選擇，充分利用地址空間，兼顧今后網(wǎng)絡(luò)發(fā)展，便于業(yè)務(wù)管理等原則進(jìn)行。所有模塊可熱插拔，使故障限制在與模塊直接相連的用戶。探測(cè)程序是一種分析網(wǎng)絡(luò)流量的網(wǎng)絡(luò)應(yīng)用程序。但是需要發(fā)起這么大量的 ICMP 請(qǐng)求是不可能從一臺(tái)具有正確 IP 地址的主機(jī)上做到的，因?yàn)檫@樣也會(huì)對(duì)自身產(chǎn)生很大的影響，發(fā)起者不得不接受同樣多的回應(yīng)。一般來(lái)說(shuō)，HACKER 主要利用 EMAIL 或者 JAVE Script 等去控制其他主機(jī)，而且通常都以 UNIX 主機(jī)/ 服務(wù)器為主，因?yàn)樗鼈兪?24*7 工作模式，方便被 HACKER 在方便的時(shí)候操縱和發(fā)起攻擊。如果 ACL 同時(shí)作用于電路和接口，通過(guò)的包將按順序通過(guò)兩個(gè)過(guò)濾器。這里我們簡(jiǎn)單討論 DOS 攻擊的防止過(guò)程。管理實(shí)體一般情況下會(huì)輪詢（自動(dòng)或用戶定義）各個(gè)端設(shè)備中一些變量的值以確定它們是否在允許的范圍之內(nèi)。系統(tǒng)所管理的設(shè)備包括處于骨干層、匯接層、接入層的各種 IP 設(shè)備：ATM 交換機(jī)、路由器、接入服務(wù)器、以太網(wǎng)交換機(jī)、ADSL 設(shè)備等?？梢曰?MIB 定義，采用圖形導(dǎo)航的方式在授權(quán)的條件下向網(wǎng)元設(shè)備瀏覽 MIB參數(shù)值或更改配置。 應(yīng)用功能? 支持網(wǎng)絡(luò)拓?fù)涞墓芾恚喊ňW(wǎng)絡(luò)的多層層次結(jié)構(gòu)、不同子網(wǎng)類型的多種地理視圖與連接視圖。性能管理還應(yīng)該提供一些別的與性能有關(guān)的功能，如可以仿真網(wǎng)絡(luò)規(guī)模的增大是如何影響網(wǎng)絡(luò)性能的等。對(duì)于這兩種接入層的攻擊，在實(shí)現(xiàn)撥號(hào)和用戶大多數(shù)是 Windows 系統(tǒng)為主的情況下，用 DDOS 手段去攻擊路由器或者其他設(shè)備的可能不太大。? 拒絕任何不正確的源地址。ZXR10 系列可以在不同的 context 里面創(chuàng)建相應(yīng)的 ACL 列表。于是我們可以看到在 SMURF 攻擊中有 3大部分：發(fā)起攻擊者，中間系統(tǒng)，和受害者。一旦這種連接被檢測(cè)到，包探測(cè)程序就可以利用 IP 的其它弱點(diǎn)竊取其它連接信息。在接入層以太網(wǎng)接入方式中，通過(guò) STP（生成樹(shù)協(xié)議）可實(shí)現(xiàn)冗余鏈路。? 在各個(gè)層次都預(yù)留地址以適應(yīng)不同層次的擴(kuò)容。局域網(wǎng)地址按照主機(jī)接入數(shù)量和設(shè)備數(shù)量來(lái)分配子網(wǎng)空間。在 CIDR 中，一個(gè) IP 網(wǎng)絡(luò)由一個(gè)前綴表示，這個(gè)前綴是一個(gè) IP地址中的最左邊的相鄰有效位的表示。這樣就限制了子網(wǎng)上的主機(jī)數(shù)。 ClassB 有 65,534 個(gè)主機(jī)對(duì)多數(shù)團(tuán)體太多。中興通訊的面向應(yīng)用的網(wǎng)絡(luò)技術(shù)可以基于應(yīng)用系統(tǒng)對(duì)網(wǎng)絡(luò)的使用進(jìn)行全方位的調(diào)整，在最大限度利用網(wǎng)絡(luò)資源的前提下，對(duì)不同的應(yīng)用進(jìn)行帶寬保證，滿足不同網(wǎng)絡(luò)應(yīng)用系統(tǒng)的要求，構(gòu)造集成數(shù)據(jù)、話音、視頻等多種信息的一體化網(wǎng)絡(luò)。 法律法規(guī)數(shù)據(jù)庫(kù)對(duì)國(guó)家、地方的法律法規(guī)進(jìn)行管理，可以實(shí)現(xiàn)法律法規(guī)的全文檢索。在該業(yè)務(wù)中對(duì)于收文登記和收文等可隨時(shí)進(jìn)行查旗幟鮮明、打印，而且打印出的審批單經(jīng)研制設(shè)計(jì)和實(shí)際審批單一模一樣。強(qiáng)大的安全功能：支持 ACL 安全過(guò)濾機(jī)制，可提供基于用戶、地址、應(yīng)用以及端口級(jí)的安全控制功能，并支持 IPSec、 MPLS VPN 特性。普通網(wǎng)絡(luò)用戶 PC 采用 10/100BaseT 方式接入。在網(wǎng)絡(luò)設(shè)備選擇上，模塊化的系統(tǒng)在可伸縮性上亦有著固定式系統(tǒng)無(wú)法比擬的優(yōu)越性。IP 技術(shù)是目前 IT 行業(yè)中事實(shí)上的開(kāi)放工業(yè)標(biāo)準(zhǔn)，因此，建設(shè)政務(wù)網(wǎng)應(yīng)首選 IP 技術(shù)。.. . . ..學(xué)習(xí)好幫手 網(wǎng)絡(luò)系統(tǒng) 深圳市中興通訊股份有限公司 .. . . ..學(xué)習(xí)好幫手 目 錄 第一部分 ......................................................................31惠州林業(yè)局計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)工程簡(jiǎn)述 ............................................42網(wǎng)絡(luò)設(shè)計(jì)原則 ................................................................53網(wǎng)絡(luò)方案設(shè)計(jì) ........................................................