【正文】 海遠(yuǎn)灼經(jīng)貿(mào)有限公司VoIP事業(yè)部2004年6月5日 本文檔包含下列內(nèi)容前言………………………………………………………….3網(wǎng)絡(luò)的設(shè)計(jì)思路及目標(biāo)…………………………………....4綜合服務(wù)應(yīng)用業(yè)務(wù)定位……………………………………5第一期工程方案設(shè)計(jì)………………………………………6網(wǎng)絡(luò)的運(yùn)營(yíng)管理及計(jì)費(fèi)功能設(shè)計(jì)………………………..10主要設(shè)備介紹……………………………………………..20在科技飛速發(fā)展的今天，Internet給我們的工作、生活帶來(lái)了革命性的變化，我們時(shí)時(shí)刻刻都在享受網(wǎng)絡(luò)科技帶來(lái)的便利，其中VoIP電話、票務(wù)預(yù)定、數(shù)碼沖印連鎖等就是現(xiàn)代網(wǎng)絡(luò)的典型應(yīng)用。也就是說(shuō)，從內(nèi)部環(huán)境來(lái)看，沒(méi)有數(shù)據(jù)運(yùn)維的經(jīng)驗(yàn)和市場(chǎng)運(yùn)營(yíng)策略積累。該方案的起步投資小，系統(tǒng)的實(shí)際容量為注冊(cè)用戶5000戶，2000個(gè)并發(fā)用戶，最大峰值帶寬為7595Mbps，采用穿透三層的WEB認(rèn)證方式。建議邵陽(yáng)市寬帶城域網(wǎng)使用方正防火墻。而由于我們國(guó)家的特殊需求，需要對(duì)網(wǎng)絡(luò)上的信息安全進(jìn)行分析，并加以過(guò)濾和控制。因此FireGate防火墻不會(huì)對(duì)性能造成任何影響。這樣就能滿足不同的需求方式。FireGate入侵檢測(cè)系統(tǒng)能夠檢測(cè)針對(duì)Finger服務(wù)攻擊的如Finger Bomb、Finger search、FINGERProbeNull等掃描和攻擊。同時(shí)會(huì)啟動(dòng)自動(dòng)防范系統(tǒng)進(jìn)行防范。FireGate中審計(jì)功能有著非常完善的權(quán)限管理，有專門(mén)的審計(jì)員來(lái)對(duì)審計(jì)內(nèi)容進(jìn)行管理，在審計(jì)中又分成了若干級(jí)別的權(quán)限。根據(jù)美國(guó)財(cái)經(jīng)雜志統(tǒng)計(jì)資料表明，30%的入侵發(fā)生在有防火墻的情況下，這些入侵的主要原因并非是防火墻無(wú)用，而是由于一般的防火墻的管理及配置相當(dāng)復(fù)雜，要想成功的維護(hù)防火墻，要求防火墻管理員對(duì)網(wǎng)絡(luò)安全攻擊的手段及其與系統(tǒng)配置的關(guān)系有相當(dāng)深刻的了解，而且防火墻的安全策略無(wú)法進(jìn)行集中管理，這些都造成了安全策略的失效。 此外，Cisco IOSTM軟件包含許多可提供安全性、可靠性以及WAN優(yōu)化的功能，在任何應(yīng)用環(huán)境中，都可以使用Cisco IOSA功能來(lái)控制不斷上升的WAN費(fèi)用。對(duì)于遠(yuǎn)程用戶環(huán)境，Cisco 3600將該項(xiàng)已被證明是有效的核心安全技術(shù)擴(kuò)展到混合介質(zhì)撥入站點(diǎn)。 Cisco 3600系列是一個(gè)具有優(yōu)越性能和靈活性的全面解決方案，您可以依賴它，迎接未來(lái)的挑戰(zhàn)。運(yùn)營(yíng)商能夠通過(guò)Cable Modem將可測(cè)量的QoS發(fā)送到多個(gè)服務(wù)商的網(wǎng)絡(luò)中心。系統(tǒng)支持簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（SNMP）v1和v3。用戶管理和服務(wù)供應(yīng)系統(tǒng)通過(guò)目錄進(jìn)行交流，以便儲(chǔ)存服務(wù)簡(jiǎn)介和QoS規(guī)定以及用戶和供應(yīng)商信息，并與傳統(tǒng)系統(tǒng)互用。 接和路由*上行每頻道比特率0. 320~ 兆比特/秒*第2層橋接*上行輸入頻率范圍5~42 MHz*第3層路由處理*下行DOCSIS傳輸 *RIP v1和v2*射頻RF輸出的集成上變頻器**SmartFlow 線速度傳送和數(shù)據(jù)流分類*下行調(diào)制64QAM 和256QAM *線速度QoS*下行輸出頻率范圍88~857MHz (頻道中心)*輸出頻率步幅大小32. 0KHz*每頻道下行比特率27兆比特/秒（64QAM）系統(tǒng)通過(guò)XML同樣支持用戶交換．QoS和服務(wù)數(shù)據(jù)。 網(wǎng)絡(luò)管理及控制。這種解決方案可以進(jìn)行低成本有效地服務(wù)領(lǐng)域的擴(kuò)大，并且它可以傳送數(shù)據(jù)形態(tài)使SLA跨越HFC網(wǎng)絡(luò)進(jìn)行端對(duì)端傳送。為了滿足用戶不斷增長(zhǎng)的需求，需要擴(kuò)展Cisco 3600解決方案，而MMP支持是實(shí)現(xiàn)這種擴(kuò)展的一個(gè)關(guān)鍵因素。沒(méi)有任何其它的供應(yīng)商能夠向遠(yuǎn)程用戶提供這么多的Intermir訪問(wèn)以及擴(kuò)展選擇。附件五 Cisco 3600路由器Cisco 3600是世界第一個(gè)真正的多功能應(yīng)用支持平臺(tái)，在單獨(dú)一個(gè)服務(wù)器上廣泛支持分支機(jī)構(gòu)/企業(yè)撥號(hào)訪問(wèn)應(yīng)用，LAN到LAN或者路由選擇應(yīng)用以及多服務(wù)應(yīng)用。而一次性口令也一樣，用戶和機(jī)器之間必須共知一條通行短語(yǔ)，而這通行短語(yǔ)對(duì)外界是完全保密的。另外通過(guò)對(duì)內(nèi)部網(wǎng)的WWW服務(wù)器的某些URL屏蔽，可以消除服務(wù)器本身的安全漏洞，從而對(duì)WWW服務(wù)器進(jìn)行保護(hù)。17. 檢測(cè)利用Traceroute對(duì)網(wǎng)絡(luò)的探測(cè)18. 檢測(cè)ActiveX，JaveApplet的傳輸FireGate入侵檢測(cè)系統(tǒng)能通過(guò)匹配網(wǎng)絡(luò)包內(nèi)容，可以檢測(cè)特定的ActiveX、JaveApplet等程序在網(wǎng)絡(luò)上的傳輸。而這些攻擊都是進(jìn)行DDoS攻擊的主要工具。 FireGate入侵檢測(cè)系統(tǒng)能夠在黑客掃描網(wǎng)站的時(shí)候就能檢測(cè)到并報(bào)警，這樣就能提前將黑客拒之于門(mén)外。三個(gè)網(wǎng)絡(luò)中的主機(jī)通過(guò)該路由進(jìn)行通信。使用網(wǎng)橋模式時(shí)在IP層透明，使用路由模式時(shí)可以作為三個(gè)區(qū)之間的路由器，同時(shí)提供內(nèi)網(wǎng)到外網(wǎng)、DMZ到外網(wǎng)的網(wǎng)絡(luò)地址轉(zhuǎn)換。（Smartbilling）。網(wǎng)絡(luò)的接入層應(yīng)該具有高度的靈活性、易用性，提供多種服務(wù)接入能力。幾乎每個(gè)提供商，都面臨著寬帶網(wǎng)如何建設(shè)、如何升級(jí)、如何運(yùn)營(yíng)、如何擴(kuò)展、如何盈利的問(wèn)題。一期工程的拓補(bǔ)結(jié)構(gòu)規(guī)劃如下所示：如上圖所示：此方案公司總部選用一臺(tái)HP服務(wù)器做中心呼叫控制器（CMC），構(gòu)成網(wǎng)絡(luò)的核心。 10 Operator License18PC工作站聯(lián)想/天肌P4 19VoIP語(yǔ)音網(wǎng)關(guān)深圳世紀(jì)網(wǎng)通CNG300110數(shù)據(jù)庫(kù)Oralce 8i5User license15．網(wǎng)絡(luò)的運(yùn)營(yíng)管理及計(jì)費(fèi)功能設(shè)計(jì)寬帶數(shù)據(jù)接入服務(wù)對(duì)廣電網(wǎng)絡(luò)而言是一門(mén)新型業(yè)務(wù)，很多廣電網(wǎng)絡(luò)公司往往在骨干網(wǎng)上投入巨資興建網(wǎng)絡(luò)。靈活的地址翻譯，及主被號(hào)碼替換。FireGate防火墻所包含的模塊示意圖如下：一體化的硬件設(shè)計(jì)FireGate采用了一體化的硬件設(shè)計(jì)，采用了自己的操作系統(tǒng)，無(wú)需其他操作系統(tǒng)的支持，這樣能夠發(fā)揮硬件的最大性能，同時(shí)也提高了系統(tǒng)的安全性。提供各種工具，通過(guò)對(duì)訪問(wèn)記錄及信息的分析、安全審計(jì)，發(fā)現(xiàn)可疑的連接，及時(shí)彌補(bǔ)網(wǎng)絡(luò)系統(tǒng)的漏洞或進(jìn)行責(zé)任追究。一般的防火墻是通過(guò)限制每秒鐘通過(guò)的Syn包數(shù)量來(lái)組織Syn Flood攻擊，這種方法可以在一定意義上阻止Syn Flood攻擊，但是也有可能將正常的Syn包忽略掉，因此不是一種非常好的方法。從而使被托管的服務(wù)器處于安全的保護(hù)之中。9. 檢測(cè)基于SMTP的攻擊FireGate入侵檢測(cè)系統(tǒng)能夠?qū)︶槍?duì)多種SMTP server，包括Sendmail、Exchange Server、Qmail等所發(fā)起的SMTPexpnroot、SMTP Relaying Denied等試探和攻擊進(jìn)行檢測(cè)。和一般的代理緩存軟件不同，F(xiàn)ireGate用一個(gè)單獨(dú)的、非模塊化的、I/O驅(qū)動(dòng)的進(jìn)程來(lái)處理所有的客戶端請(qǐng)求。網(wǎng)絡(luò)，特別是Internet網(wǎng)絡(luò)的安全應(yīng)用已經(jīng)離不開(kāi) PKI技術(shù)的支持。FireGate的配置都是在Windows下面的圖形界面中進(jìn)行的，因此配置起來(lái)比較方便，對(duì)于用戶而言，無(wú)需了解過(guò)多的安全知識(shí)，就可以配置好FireGate，而且讓之工作起來(lái)。Cisco 3600在一個(gè)模塊化的機(jī)箱中有不同的模塊選擇可以最大限度地保護(hù)用戶投資，其性能可以處理上述不同的需要，而且還有能力滿足將來(lái)的發(fā)展需求。針對(duì)Cisco 3600提供的內(nèi)部調(diào)制解調(diào)器，一套先進(jìn)的可選調(diào)制解調(diào)器管理功能可供使用，它提供廣泛的帶寬優(yōu)化功能，可以幫助分支機(jī)構(gòu)和企業(yè)客戶降低運(yùn)行地理位置分散的廣域網(wǎng)絡(luò)的重復(fù)費(fèi)用。這種增加用戶進(jìn)行的簡(jiǎn)單易用的分配CMTS可以幫助運(yùn)營(yíng)商們發(fā)展在定義、配置及管理方面極具優(yōu)勢(shì)的寬帶服務(wù)它執(zhí)行Networks Smartflow的單數(shù)據(jù)包處理，低成本有效的廷伸豐富的QoS支持，傳送給多用戶商。 增強(qiáng)的安全性。BSR1000用戶管理及供應(yīng)系統(tǒng)是一個(gè)強(qiáng)大的服務(wù)建立及供應(yīng)的系統(tǒng)，它瞄準(zhǔn)的是那些想為對(duì)成千上萬(wàn)的用戶提供的快速定義及配置的，高度用戶化的IP服務(wù)的運(yùn)營(yíng)商。BSR用戶管理和服務(wù)提供系統(tǒng)是可升級(jí)的開(kāi)放式接入軟件解決方案，可使寬帶有線網(wǎng)絡(luò)的競(jìng)爭(zhēng)性的接入更加簡(jiǎn)單并易于管理。當(dāng)作為一個(gè)安全的、自設(shè)置的第2層CMTS使用時(shí)，BSR1000能夠隔離Cable Modem的媒體接入控制（MAC）領(lǐng)域，并防止任何Cable Modem的使用者想繞過(guò)系統(tǒng)設(shè)置的網(wǎng)關(guān)進(jìn)入系統(tǒng)的企圖。它可以由非技術(shù)人員進(jìn)行安裝用于擴(kuò)大服務(wù)范圍，它可發(fā)當(dāng)作第2層橋接器使用或作為有增強(qiáng)的安全性特色功能的CMTS路由器使用。管理人員可查看調(diào)制解調(diào)器的調(diào)制配置、調(diào)制解調(diào)器協(xié)議、調(diào)制解調(diào)器EIA/TI－B2信號(hào)狀態(tài)。Cisco 3600配有冗余LAN接口，包括提供數(shù)據(jù)回拖到聚合點(diǎn)，同時(shí)，它的冗余LAN接口，包括提供快速以太網(wǎng)以及令牌網(wǎng)的功能，可以靈活地置于各種不同的LAN環(huán)境中。對(duì)于常規(guī)的應(yīng)用，用戶可以直接調(diào)用預(yù)置的包過(guò)濾規(guī)則集來(lái)完成，大大簡(jiǎn)化了用戶對(duì)防火墻的設(shè)