【文章內(nèi)容簡介】 護體系，全方位、多層次地實現(xiàn)信息系統(tǒng)的安全保障，具體建設內(nèi)容包括多級的安全訪問控制、主機系統(tǒng)冗余備份、安全管理機制和組織體系等。 建立 統(tǒng)一的安全體系是建設信息化辦公的一個重要方面，要實現(xiàn)全系統(tǒng)的應用安全、系統(tǒng)安全、網(wǎng)絡安全和物理安全統(tǒng)一管理的應用安全平臺，制定相應的安全管理制度，提供有效的安全保障。 按照高可靠性和高標準的故障恢復能力，建立完善的備份與恢復系統(tǒng)。做好現(xiàn)場備份、同城備份，建立一個高度可靠和高度可用的系統(tǒng)。 智 能門禁系統(tǒng)是指基于現(xiàn)代電子與信息技術，在建筑物內(nèi)外的出入口安裝自動識別系統(tǒng)和圖像監(jiān)控系統(tǒng)，通過對人（或物）的進出實施放行、拒絕、記錄等操作的智能化管理系統(tǒng)。 門禁管理系統(tǒng)其目的是為了有效的控制人員的出入，并且記錄所有出入 的詳細情況，來實現(xiàn)出入口的方便、安全管理，包含發(fā)卡、出入授權、實時監(jiān)控、出入查詢及打印報表等；控制機可以聯(lián)網(wǎng)和脫機工作；單門控制機、 TCP/IP 門禁機、萬能超強門禁機、網(wǎng)絡多門機可以選擇使用；根據(jù)使用場合標準型、增強型、國際型可選擇使用；門禁的出入記錄可以做為考勤依據(jù)；門禁機同時也可兼做巡更，巡更人員刷卡時會記錄刷卡信息但不會開門。 1. 系統(tǒng)功能及特點 1) 基本功能 可控制各種不同的電控鎖。 對不同的人可以設置不同的通行權限。 一天可設置六個時間段，可嚴格控制人員在每個時段的進出與否。 可以設定允許 通行的時段在節(jié)假日及周末是否有效。 強行開門，超時未關門等自動報警。 11 多種信息記錄：每次開門時間，開門卡、編號，報警原因、位置。 開門延時可調(diào)。 可脫機或聯(lián)網(wǎng)使用。 多級看門狗電路設計杜絕死機。 采用美國原裝內(nèi)置電池芯片，數(shù)據(jù)、時鐘永不丟失。 2) 聯(lián)動功能 安防聯(lián)動：開門動作（包括非法闖入，門鎖被破壞）時，啟動聯(lián)動監(jiān)視系統(tǒng)，發(fā)出實時報警信息。 燈光等聯(lián)動：當刷卡有效時，自動打開相應區(qū)域燈光等 消防聯(lián)動：當出現(xiàn)火警時，自動打開相應區(qū)域通道 此功能實現(xiàn)有兩種方式： 消防聯(lián)動的信號可以按區(qū)域分別直接接入該區(qū)的門禁控制主機，出現(xiàn)火警，相關門全部自動打開。 消防聯(lián)動信號輸入門禁電腦軟件，軟件控制所有的門全部打開，此種方式要求軟件一直運行。 3) 集中管理 管理中心統(tǒng)一對人員出入權限設置、更改、取消、恢復。 管理中心可遠程控制開門。 管理中心可以實時監(jiān)控每個門的狀況及人員出入情況。 可以集中查詢、打印等。 4) 脫機運行 門禁主機本身已具備存儲、計算的功能，相當于一臺小型電腦，管理中心通過軟件把此門的權限信息下載到門禁主機，門禁主機能保存這些信息，即可不依賴于管 理中心的 PC 能自動識別、判 斷、讀寫、記錄進出人員的資料， PC 機可隨時發(fā)送指令給門禁機，更改人員權限或讀取出入記錄等。 12 門禁管理系統(tǒng)其特點如下： 防雷擊設計（ 10KV500A 反應速度 110 納秒） 適應市電電壓波動 (開關電源設計，輸入范圍 AC180V—250V) 附加功能強大（報警、巡更等） 軟件設計完善，千錘百煉，滿足各種需求 支持 TCP/IP 協(xié)議、 Inter 管理 單日 6 時段、周日、周六、周六下午、 30 個自定義節(jié)假日、通道自由組合進出管制；萬能超強門禁機則門禁時段、管制 人數(shù)均為無限。 具有關門到位檢測，開鎖后自動檢查關門狀況，超過開門延時發(fā)出警告信號 具備遭遇如火災、盜竊等非常事件應對處理功能 特殊情況緊急按鈕開門、電腦遠程開門功能 定時開門（每天可設置兩個時段將門 /鎖打開，在此其間無需刷卡進出） 聯(lián)網(wǎng)在線兼?zhèn)溲哺δ?，巡更卡刷卡后只留記錄但不開門 /鎖 人員進出記錄可作考勤使用 具備人員刷卡出入記錄、報警事件、系統(tǒng)管理人員登錄等情況的查詢、報表統(tǒng)計、輸出等 ID（ EM） /IC（ Mifare HID Motorola TI） /指紋識別模 式可選 中心軟件布防、撤防；現(xiàn)場刷卡、密碼或指紋布防、撤防 刷卡開門、密碼開門、指紋開門、卡加密碼、卡加指紋開門等多種開門方式可通過軟件隨時設置和更改 5) 門禁管理系統(tǒng)獨特之處： 智能卡識別和指紋識別能在一個系統(tǒng)中混合使用，同一套軟件統(tǒng)一管理，用戶可根據(jù)不同出入口的安全級別選用不同的識別方式。 杜絕死機 (多級看門狗電路設計 ) 數(shù)據(jù)、時鐘永不丟失（采用美國原裝內(nèi)置電池芯片） 分體機硬件設計高度集成，結構更簡單，故障更少（后備電源主機一體設計等） 13 分體機鐵箱外殼，堅固耐用，抗破壞性強 定時設置開關門（每天可設置兩個時段將門 /鎖打開，在此其間無需刷卡進出） 實用型、標準型、增強型、國際型、萬能超強型可在一個系統(tǒng)中綜合使用發(fā)揮最高的性價比。 六、 統(tǒng)實施規(guī)劃及設備功能簡介 局域網(wǎng)系統(tǒng)部署 中電投吐魯番項目部中心機房位于辦公樓五層。 綜合布線包括辦公樓二、三兩層，包括信息及語音。信息模塊布設所有辦公室，實現(xiàn)每個辦公點位的網(wǎng)絡信息及語音。線路由五樓總機房通過金屬橋架到每個樓層，進入辦公室以后，為了保持辦公環(huán)境的整潔，所有辦公室內(nèi)部線路都必須走暗線。每個辦公點一個信息和語音點，單間辦公 室、會議室采用不少于四個信息和語音點。 局域網(wǎng)建設拓撲圖如下： 14 1. 高 性能 可靠的服務器 服務器是一種高性能的計算機，它是能夠提供各種共享服務（網(wǎng)絡、 Web 應用、數(shù)據(jù)庫、文件、打印等）以及其他方面的高性能應用 ,它的高性能主要體現(xiàn)在高速度的運算能力、長時間的可靠運行、強大的外部數(shù)據(jù)吞吐能力等方面 , 是網(wǎng)絡的中樞和信息化的核心。由于服務器是針對具體的網(wǎng)絡應用特別制定的，在處理能力、穩(wěn)定性、可靠性、安全性、可擴展性、可管理性等方面存在很大的區(qū)別。而最大的差異 就是在多用戶多任務環(huán)境下的可靠性上。一臺服務器所面對的是 整個網(wǎng)絡的用戶，需要 7X24 小時不間斷工作，所以它必須具有極高的穩(wěn)定性 。 按服務器按用途劃分為通用型服務器和專用型服務器兩類。 通用 型服務器是沒有為某種特殊服務專門設計的 ，也就是我們所謂的應用服務器。應用 服務器 一般用來運行應用軟件系統(tǒng)，如目前“金財工程”所需要用到的“用友財務軟件系統(tǒng)”，以及中間件軟件系統(tǒng)。通用性服務器 可以提供各種服務功能的服務器，當前大多數(shù)服務器是通用型服務器。這類服務器因為不是專為某一功能而 15 設計，所以在設計時就要兼顧多方面的應用需要，服務器的結構就相對較為復雜，對應用軟件的兼容性也就擴展的 比較好， 而且要求性能 也 較高 。 專用型 （或稱 “ 功能型 ” ）服務器是專門為某一種或某幾種功能專門設計的服務器。在某些方面與通用型服務器不同。如光盤鏡像服務器主要是用來存放光盤鏡像文件的，在服務器性能上也就需要具有相應的功能與之相適應。光盤鏡像服務器需要配備大容量、高速的硬盤以及光盤鏡像軟件 ， 這就要求服務器在硬盤穩(wěn)定性、存取速度、 I/O（輸入 /輸出）帶寬方面具有明顯優(yōu)勢 ，在兵團農(nóng)二師服務器建設中，數(shù)據(jù)庫服務器我們建議采用專用型的服務器。數(shù)據(jù)庫系統(tǒng)本身運行環(huán)境比較復雜，并且它是應用軟件的運行平臺和重要數(shù)據(jù)的集中站，采 用專用型服務器能夠更好的達到數(shù)據(jù)采集、傳輸安全的目的。 2. 高性能的網(wǎng)間加速 VPN 我們建議中電投項目部企業(yè)的互連，采用 VPN 建立政務專網(wǎng)，各單位、用戶通過互聯(lián)網(wǎng)出口，連接到中電投項目部總部的 VPN，利用 VPN 建立的加密隧道，訪問總部信息 中心的業(yè)務數(shù)據(jù)系統(tǒng)，考慮到辦公系統(tǒng)業(yè)務數(shù)據(jù)的敏感性，對數(shù)據(jù)安全性要求較高，為了滿足這個要求，所以在建設虛擬專用網(wǎng)絡的時候采用 IPSec 協(xié)議作為 VPN連接的標準協(xié)議。 1) VPN 的優(yōu)越性 VPN 的出現(xiàn)，解決了用戶所面臨的一大難題，即如何在有限的網(wǎng)絡投入和管理工具條件下，提供 較高的網(wǎng)絡性能。借助于公共網(wǎng)絡服務平臺， VPN 可以為用戶提供廉價而廣泛的通信；同時，通過各種安全技術的引入，可以保證通信的安全性。正如設計的初衷， VPN 兼?zhèn)淞斯娋W(wǎng)和專用網(wǎng)的許多優(yōu)點，將公眾網(wǎng)低廉的價格、豐富的功能與專用網(wǎng)的高性能、高安全性結合在一起，成為構建用戶專用網(wǎng)絡的一種行之有效的解決方案。安全性 VPN 非常高，保護數(shù)據(jù)傳輸?shù)耐暾?、保密性、不可抵賴性；安全控制在用戶手里投資成本及后續(xù)的運營維護成本。極為顯著的成本效益也正是 VPN 引起廣泛關注的關鍵所在。 16 2) 良好的擴展性 VPN 使用戶擺脫了固定的專用物 理線路，可以通過公用網(wǎng)絡方便地重構廣域?qū)Ｓ镁W(wǎng)絡，加強與各地區(qū)、單位之間的聯(lián)系。與專線式架構相比， VPN 具有更大的彈性，可以很容易地實現(xiàn)網(wǎng)絡的擴充和網(wǎng)絡架構的變更。 2) VPN 的工作模式 如圖所示： 網(wǎng)關 —— 網(wǎng)關模式 兩個 VPN 網(wǎng)關之間通過密鑰進行連接，從而在公共網(wǎng)絡上開辟了一條虛擬的專線。兩個網(wǎng)關之間采用一樣的加密算法進行確認，達到互相信任，互相傳遞的數(shù)據(jù)通過了加密措施來保證安全性。因此，即使網(wǎng)絡上的不法分子通過非法手段截取了信息，也將無法看到信息的詳細內(nèi)容。 客戶端 —— 網(wǎng)關模式 在外地的移動用戶可以 通過撥號訪問單位的內(nèi)部網(wǎng)絡，在客戶端上必須安裝由單位網(wǎng)絡管理員簽發(fā)用戶名與密碼，這樣，客戶端與內(nèi)部網(wǎng)之間的通信將用密鑰算法加密。 3) VPN 的特點 虛擬性。與傳統(tǒng)的專用網(wǎng)不同， VPN 并不是物理上專用的通信網(wǎng)絡，它通過共享的而非獨占的網(wǎng)絡結構來傳輸數(shù)據(jù)。 VPN 的通信端點之間的連接并沒有傳統(tǒng)專用網(wǎng)所需的點到點的物理鏈路，而是架構在公用網(wǎng)絡服務商所提供的網(wǎng)絡平臺之上的邏輯網(wǎng)絡，用戶數(shù)據(jù)在邏輯鏈路中傳輸。通過在共享的基礎通信設施上采用隧道技術和特殊的配置技術措施， VPN 為用戶提供仿真的點到點的連接。 17 專用性。 VPN 作 為一種“化公為私”的組網(wǎng)技術，其核心思想是將用戶網(wǎng)絡從公共網(wǎng)絡中隔離出來，正是這種隔離特性提供了通信的保密性和私有性。因此，雖然從物理上來說 VPN 完全獨占的網(wǎng)絡，但是通過對公共通信網(wǎng)絡的邏輯分割，用戶可以認為是在自己所并不是專有的排他性通信環(huán)境中進行通信。很明顯， VPN 的“專用”是一個邏輯上的概念，它為用戶虛擬出了一個獨占的通信環(huán)境來保證其專用性。正是由于以上特點，使得 VPN 可以將用戶網(wǎng)安全地延伸到 Inter 等公共網(wǎng)絡上，將遠程移動用戶、用戶總部與分支機構、用戶的業(yè)務合作伙安全地連接起來，從而構成一個 擴展的用戶廣域網(wǎng)絡。 3. 數(shù)據(jù)轉(zhuǎn)發(fā) 功能 強大的路由器 采用了業(yè)界高性能網(wǎng)絡處理器技術實現(xiàn)高速接口報文的集中轉(zhuǎn)發(fā)，有機地結合了軟件的靈活性和硬件的高性能，提供線速轉(zhuǎn)發(fā)性能，轉(zhuǎn)發(fā)性能 ；采用高速接口轉(zhuǎn)發(fā)與控制平面分離的技術，高速接口的轉(zhuǎn)發(fā)引擎使用了高性能網(wǎng)絡處理器，提高了設備的轉(zhuǎn)發(fā)性能、控制能力、可靠性和安全性。 1) 高品質(zhì) QOS 能力 完善的 QoS 機制、出色的 QOS 性能，確保重載下不同業(yè)務的服務質(zhì)量，可以提供基于 DiffServ 的完善 QoS 機制。支持復雜流分類，支持精確的流量監(jiān)管和流量整形；提供隊列調(diào)度和擁塞 避免功能，支持 CBWFQ、 LLS/NLS、 PBS 等先進調(diào)度技術，采用 WRED 和先進的 SARED 算法， RED 支持 8 個等級的丟棄優(yōu)先級。精確保證不同業(yè)務的帶寬、時延和抖動指標，滿足用戶多種業(yè)務等級的“區(qū)分服務”要求。 2) 高可靠性 采用高可靠的模塊化設計方式，所有板卡、風扇、電源模塊支持熱插拔；提供互為冗余備份的雙電源（ 1＋ 1 備份）模塊，無源背板的設計方式；提供軟件熱補丁技術，實現(xiàn)設備完全平滑升級；支持動態(tài)路由協(xié)議、 MPLS 流量工程，提供 IP/MPLS快速重路由、虛擬路由冗余協(xié)議（ VRRP）等保護機制，有效保證了全網(wǎng)運行的高 18 速可靠。整機實現(xiàn) 7x24 小時的不間斷運行。 3) 業(yè)務能力 軟件系統(tǒng)基于華為公司擁有自主知識產(chǎn)權的 VRP 軟件平臺，支持多種方式 VPN（ L2TP、 GRE、 MPLS VPN 等），具備豐富的 NAT 功能，提供以太網(wǎng) /VLAN、 PPP/MP、PPPoE、 Frame Relay、 HDLC、 ATM、 和 LAPB 等豐富的互聯(lián)功能。 4) 路由處理能力 支持 RIP、 OSPF、 BGP、 ISIS 等單播路由協(xié)議和 IGMP、 PIM、 MBGP、 MSDP等多播路由協(xié)議，支持路由策略以及策略路由。 4. 核心交換機 企業(yè)級交換機屬于一類高端交換機，一般采用模塊化的結構，可作為企業(yè)網(wǎng)絡骨干構建高速局域網(wǎng)，所以它通常用于企業(yè)網(wǎng)絡的最頂層。 企業(yè)級交換機可以提供用戶化定制、優(yōu)先級隊列服務和網(wǎng)絡安全控制，并能很快適應數(shù)據(jù)增長和改變的需要，從而滿足用戶的需求。 對于有更多需求的網(wǎng)絡，企業(yè)級交換機不僅能傳送海量數(shù)據(jù)和控制信息，更具有硬件冗余和軟件可伸縮性特點，保證網(wǎng)絡的可靠運行。這種交換機從它所處的位置可以清楚地看出它自身的要求非同一般，起碼在帶寬、傳輸速率以背板容量上要比一般交換機要高出許多，所以企業(yè)級交換機一般都是千兆以上以太網(wǎng)交換機。企業(yè)級交換機所采用的端口一般都為光纖接口，這主要是為了保證交換機高的傳輸速率。那么什么樣的交換機可以稱之為企業(yè)級交換機呢？其實