【正文】 s/(PEr)SiCE11層次化 VPLS 技術在基本的 VPLS 模型的基礎上增加了一個MTU（MultiTenant Unit ）層，所謂 MTU 是指運營商放置在寫字樓、商業(yè)區(qū)等企業(yè)用戶聚集地的小型邊緣設備，MTU 負責接入企業(yè)客戶，并將需要使用 VPLS 業(yè)務的用戶通過虛擬電路匯聚到 PE 上，這種MTU 和 PE 之間的虛擬電路被稱為 Spoke VC，而 PE 之間的虛擬電衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 42 頁 共 42 頁路被稱為 Hub VC。而且在學習 MAC 地址階段和轉發(fā)組播或廣播包時，流量必須被復制 N1 份，發(fā)向其余的 PE。E 1 * N大 客 戶 1E 1 * N C P 3M P L SM S T P大 客 戶 2 L2 VPN 網(wǎng)絡的 QoS 保證對于接入 VPLS 的業(yè)務，對于 的數(shù)據(jù)包采用 到MPLS EXP 的映射。P O SM P L SE t h e r n e tA T ME 1A T ME t h e r n e t大 客 戶I PD S L A MA T MD S L A MA T M 交換機大客戶大客戶1）PVC 接入用 戶 1用 戶 2用 戶 3核 心 網(wǎng)P V CV L A N用 戶 1用 戶 2用 戶 3M P L SS u b p v cV F I 與 S u p e r p v c綁 定現(xiàn)在城域網(wǎng)中有一些用戶（如政務網(wǎng)用戶）通過 PVC 的方式接入到邊緣路由器上，在邊緣路由器上作為二層 VPN 用戶進行互通，并在匯聚路由器上共用一個網(wǎng)段和網(wǎng)關作為三層 VPN 用戶與其他三層 VPN 用戶進行通信。從目前應用情況和技術的發(fā)展看，分 L3 VPN 和 L2 VPN。MPLS 技術經(jīng)過多年的發(fā)展，已經(jīng)成為最為重要的網(wǎng)絡技術之一?！? 終端管理系統(tǒng)可以解決的問題：? 查看終端用戶賬號及權限，檢測終端安裝的軟件。由鐵通公司出資建設省衛(wèi)生廳辦公專用電話虛擬網(wǎng)（在條件允許的情況下采用地區(qū)電纜解決，也可利用鐵通軟交換技術 NGN解決） ，長途呼叫實現(xiàn) 元/每分鐘，免月租費，為降低省衛(wèi)生廳辦公通信費用支出成本，并享受鐵通大客戶待遇。路由分級——使用四類不同等級的路由，按優(yōu)先順序來說分別是：區(qū)域內路由、區(qū)域間路由、第一類外部路由、第二類外部路由。 ISIS（中間系統(tǒng)中間系統(tǒng)路由協(xié)議）ISIS 也是基于鏈路狀態(tài)計算的最短路徑路由協(xié)議、采用同一種最短路徑算法 (Dijkstra )。 地市層面鐵通江西分公司在全省范圍內有充足的光路、傳輸資源，并可通過鐵通各地市公司的大客戶業(yè)務匯聚點設備，將各遠程接入點的衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 22 頁 共 42 頁數(shù)據(jù)信息進行一級匯聚。節(jié)約公司在衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 16 頁 共 42 頁日常辦公中的紙張、消耗品、通訊等費用，達到開源節(jié)支，增產(chǎn)增效的目的。SSL 協(xié)議指定了一種在應用程序協(xié)議（如Http、Tele、NMTP 和 FTP 等）和 TCP/IP 協(xié)議之間提供數(shù)據(jù)安全性分層的機制，它為 TCP/IP 連接提供數(shù)據(jù)加密、服務器認證、消息完整性以及可選的客戶機認證、具體實施方案 升級需要 SSL 接入節(jié)點的 IPsec VPN 設備，使其具有 SSL VPN 接入功能； 客戶端使用 IBC Key 進行身份認證和 SSL 連接； 在終端上開啟 IE 瀏覽器直接連接使用、SSL VPN 方案特點A、 SSL 用戶登錄采用 IBC 密碼體系（商密 9：具體信息參看衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 14 頁 共 42 頁IBC 體系說明）進行數(shù)字簽名和身份認證；B、 采用 IPsec SSL 二合一功能設備，無需更新設備；C、適合 PDA 和智能手機操作系統(tǒng)，終端更靈活；SSL 接入證書機制，防止釣魚程序，進一步保證接入安全性；IBC 認證流程： IP VPN 業(yè)務應用協(xié)同辦公(OA)系統(tǒng)應用作為衛(wèi)生系統(tǒng)信息化的重要組成部分，協(xié)同辦公(OA)系統(tǒng)一直都是必須的一項業(yè)務。(4).公專網(wǎng)兼顧通過用戶終端可自由設置用戶訪問權限，根據(jù)客戶具體需求既可以僅能訪問單位內部專網(wǎng)，也可以同時開通 INTERNET 公眾信息網(wǎng)的訪問。IPSec 協(xié)議可以設置成在兩種模式下運行：一種是隧道模式，一種是傳輸模式。對于使用者來說數(shù)據(jù)的加密都衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 7 頁 共 42 頁是透明的，用戶感覺不到有什么不同。但是傳統(tǒng) VPN 業(yè)務使單位及下屬單位、商業(yè)合作伙伴的接入太過于依賴同一個網(wǎng)絡運營商，不同廠家的網(wǎng)絡設備間兼容性不強，且需要固定 IP 地址，配置較為復雜，仍然需要專業(yè)網(wǎng)絡維護人員，對于外地出差的單位職員會造成不便。第二章 中國鐵通集團有限公司及江西分公司簡介中國鐵通作為國內一個新的全國性公眾電信運營商，目前總資產(chǎn) 523 億元。衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 3 頁 共 42 頁 如何提高單位的核心競爭力？加強管理？網(wǎng)絡建設？推進單位信息化？開發(fā)協(xié)同辦公(OA)系統(tǒng)？完善供應鏈系統(tǒng)？ ……所有這些應用，都離不開一個基本條件，就是內部 Intra 的建設和管理。于是單位對于自身的網(wǎng)絡建設提出了更高的需求，主要表現(xiàn)在網(wǎng)絡的靈活性、安全性、經(jīng)濟性、擴展性等方面。并有 IAB 和 IEFT標準化組織定義了一系列標準文檔（RFC24xx 系列文檔） 。它兼?zhèn)淞斯娋W(wǎng)的便捷和專用網(wǎng)的安全，是介于公眾網(wǎng)與專用網(wǎng)之間的一種網(wǎng)。? 支持動態(tài) IP 地址和網(wǎng)狀的網(wǎng)絡連接，發(fā)展用戶不受城域網(wǎng)建網(wǎng)模式的限制。線路備份和分流：在MPLS 覆蓋的節(jié)點如果有一條上網(wǎng)線路提供客戶上網(wǎng)，那么可以通過IPSec VPN多功能網(wǎng)關代理客戶上網(wǎng)的同時，與相應的節(jié)點組建VPN隧道，可以實現(xiàn)對 MPLS VPN鏈路的備份，同時，針對不同的應用可以考慮采用IPSEC VPN進行數(shù)據(jù)的分流，保證MPLS上傳輸?shù)膶Ｓ脭?shù)據(jù)的傳輸效率。實現(xiàn)管理規(guī)范化，流程制度化。、 鐵通數(shù)據(jù)承載網(wǎng)絡路由與 VPN 部署示意衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 21 頁 共 42 頁網(wǎng)絡設計總體上按照“層次化組網(wǎng)、專網(wǎng)級保護、區(qū)分化管理”的設計思路。 路由與 VPN 設計業(yè)務匯聚點對下可采用標準的路由協(xié)議，如 OSPF 或 ISIS，匯聚各分支機構上傳信息。無自環(huán)——OSPF 根據(jù)收集到的鏈路狀態(tài)用最短路徑樹算法計算路由，從算法上本身保證了不會生成自環(huán)路由。只有同一區(qū)域里的路由器要有相同的數(shù)據(jù)庫。 由于省衛(wèi)生廳與分布全省的下屬 11 個地市、99 個縣衛(wèi)生局形成全省衛(wèi)生系統(tǒng)較為分散，傳統(tǒng)的專線接入業(yè)務或傳統(tǒng) VPN 業(yè)務無法適應上述綜合信息網(wǎng)絡的技術需求，中國鐵通江西分公司信息化快車 IP VPN 業(yè)務簡單可靠、安全便捷，適用于該網(wǎng)絡的搭建。? 強化對內部用戶的訪問控制，對不同安全級別的主機分別配制不同的網(wǎng)絡權限。第五章 相關技術介紹 5）支持多播功能，對節(jié)省骨干網(wǎng)絡的帶寬和視頻廣播業(yè)務的開展提供支持； 6）支持話音業(yè)務的開展； 7）MPLS 已經(jīng)被擴展，用于光網(wǎng)絡的控制。VPLS 使客戶保持了對路由的完全控制，簡化了運營商的工作，使衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 35 頁 共 42 頁運營商能夠從降低 L2 VPN 服務管理的復雜性中獲益。與傳統(tǒng)的 QinQ 不同的是，這種 QinQ 接入方式中內、外兩層VLAN 組合表示一個用戶。對于接口或 VC 的配置，僅僅在支持此接口的PE 上。 TLDP 反射器通過在 VPLS 網(wǎng)絡中設置 TLDP 反射器，同樣可以解決全網(wǎng)狀VC 的問題，同時可以提供 VPLS 的跨域方式。異構的兩種模型：? ExtendedAC L2VPN Interworking Model － 對于此模型，PW 類型和 AC 是一樣的（AC2oPW） ，IWF 只存在于 PE1 上，PE2 上不需要 IWF，僅僅是對 AC2 來的幀的處理。M P L S用 戶V L A N 終 結用 戶網(wǎng)吧用戶的 VLAN 接入采用 Super VLAN 技術接入，可以實現(xiàn)每用戶對應一個 Sub VLAN，通過 EPON 匯聚各個網(wǎng)吧業(yè)務后，通過上行的兩個 GE 端口匯聚到路由器。當隨著網(wǎng)絡流量增加時，通過獨立設置 ASBR 來實現(xiàn)。在 IP 網(wǎng)絡十分普及的情況下，通過在網(wǎng)絡設備直接支持 VPN 實現(xiàn)。? 快速定位問題所在，為管理員提供應用系統(tǒng)的故障點。 方案介紹省衛(wèi)生廳及下屬監(jiān)管單位互聯(lián)網(wǎng)業(yè)務的接入單位內聯(lián)網(wǎng)的構建要求各節(jié)點必須接入 INTERNET。MPLS 草案認為在 OSPF 環(huán)境下運行 MPLS 更為合適，但在采用 MPLS TE（流量工程）時，采用擴展 SPF 算法，由于 ISIS 保留類型比 OSPF 的多，它可以比 OSPF 定義更多類型的擴展參數(shù)。所有區(qū)域邊界路由器和位于它們之間的路由器構成骨干區(qū)域（Backbone Area） ，該區(qū)域以 標識。ISIS 采用較小的協(xié)議數(shù)據(jù)包承載路由信息，這使得路由信息繁衍速度更快。 省分層面用戶的地市分支機構通過中國鐵通網(wǎng)絡接入進省核心路由器，省核心路由器同樣開啟 VPN，作為 P 設備。語音業(yè)務解決方案1）方案一：江西省衛(wèi)生系統(tǒng)辦公電話由鐵通投資敷設地區(qū)電纜組建虛擬網(wǎng)，虛擬網(wǎng)電話號碼全部采用公網(wǎng) 7 位編號（也可采用短衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 18 頁 共 42 頁號碼） ，虛擬網(wǎng)內用戶之間通話免費，鐵通公司根據(jù)貴方要求設置各辦公室電話撥打權限。? 實現(xiàn)江西省衛(wèi)生系統(tǒng)的管理向無紙化辦公的轉變。當用戶采用了IPSEC VPN后，無需更改用戶或服務器系統(tǒng)中的軟件設置。支持基于分組的控制平臺、呼叫控制與承載相分離，以及各種上層應用。不影響用戶的正常使用使用 VPN 后，由于 VPN 對用戶是透明的，所以用戶感覺不到加密隧道的存在。中國鐵通的信息化快車 IP VPN 業(yè)務支持動態(tài) IP，不限制用戶的接入方式和 ISP，可以利用任何一家 ISP 覆蓋的地區(qū)，價格低廉，安裝簡單，維護簡便。中國鐵通江西分公司，作為中國鐵通的授權經(jīng)營機構，網(wǎng)絡覆衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 4 頁 共 42 頁蓋全省主要經(jīng)濟區(qū)域，開展鐵通公眾電信業(yè)務及鐵路專用通信業(yè)務，面向社會提供本地電話業(yè)務；長途電話業(yè)務；電話、傳真業(yè)務；互聯(lián)網(wǎng)接入服務業(yè)務；互聯(lián)網(wǎng)信息服務業(yè)務；無線尋呼業(yè)務；數(shù)據(jù)通信業(yè)務；網(wǎng)絡資源出租業(yè)務；綜合信息服務業(yè)務。衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 1 頁 共 42 頁衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案衛(wèi)生系統(tǒng)全省綜合信息網(wǎng)解決方案第 2 頁 共 42 頁目 錄第一章 前言 ????????????????????????????????????????????????????????????