武漢市政務網(wǎng)技術建議書(終稿)(編輯修改稿)
2025-02-02 11:47 本頁面
【文章內(nèi)容簡介】 影響； 配置 METRIC，通過路由實現(xiàn)鏈路主備。 華為公司推薦采用 MPLS BGP VPN實現(xiàn)政務網(wǎng)橫向、縱向系統(tǒng)之間的安全隔離，所以在路由方案中考慮了對 MPLS VPN業(yè)務的支持。 提供 MPLS BGP VPN業(yè)務對路由的要求： 二級節(jié)點的路由器都作為 MPLS VPN的 PE節(jié)點，需要 建立 IBGP全連接，運行 MBGP協(xié)議實現(xiàn) VPN路由的傳遞。 在 PE節(jié)點數(shù)量較多時，為克服 IBGP全連接帶來的擴展性問題，可采用路由反射器 (RR)方案，一般采用 P節(jié)點作為 RR。 PE和 CE之間的路由設計 1）如果 CE設備支持 BGP， PE和 CE采用 EBGP相連。 PE通過 BGP向 CE發(fā)布 VPN路由和默認路由；同時在 CE設備進行配置，保證 PE發(fā)布到 CE的路由優(yōu)先級高于 CE設備從原網(wǎng)路學到的路由（舊網(wǎng)作為備份的情況），這樣省和地市的業(yè)務流量就通過 MDCN。 2）如果 CE設備不支持 BGP， PE和 CE采用靜態(tài)路由。 3） PE的 BGP需要引入 VLAN子接口對應的直連路由。 IP地址規(guī)劃方案 IP地址分配的基本原則為： ? 由于政務網(wǎng)不連接 Inter，所有的接口、設備自身地址均分配私有 IP地址。 ? IP地址分配既要考慮到擴充，又要能做到連續(xù)；盡量給每個地市分 武 漢 政 務 網(wǎng) 絡 平 臺 技 術 建 議 書 20220203 內(nèi) 部 資 料 ， 請 勿 擴 散 第 7頁 , 共 13頁 配連續(xù)的 IP地址空間，并為將來的網(wǎng)絡擴展預留一定的地址空間；在每個地市網(wǎng)中，相同的業(yè)務和功能盡量分配連續(xù)的 IP地址空間，有利于路由聚合以及安全控制； ? IP地址的分配必須采用 VLSM技術，保證 IP地址的利用率；采用 CIDR技術，可減小路由器路由表的大小，加快路由器路由的收斂速 度，也可以減小網(wǎng)絡中廣播的路由信息的大小。 結合武漢政務網(wǎng)的實際情況，我們建議： 1）考慮到與 Inter的隔離，所有的路由器、交換機的互連及 Loopback地址采用私有 IP地址，分配一個 B類網(wǎng)段專用。 2）對于已經(jīng)運行的政務網(wǎng)子系統(tǒng)，建議保留其已經(jīng)分配的 IP地址，通常為私有地址。 3）對于新加入的政務網(wǎng)子系統(tǒng)，從一個 A類地址段分業(yè)務系統(tǒng)統(tǒng)一規(guī)劃地址段。 4）雖然通過 VPN技術可以做到不同業(yè)務系統(tǒng)的 IP地址重疊，但是從管理方便的角度來說，最好做到各政務網(wǎng)子系統(tǒng)不沖突。 設備選型及費用 參見配置報價清單 。 網(wǎng)絡安全方案 安全控制包括兩方面：武漢政務網(wǎng)設備的安全性；不同業(yè)務之間的互訪屏蔽。為了避免對于網(wǎng)絡設備的非法訪問和操作，采用下列的安全設計： ? 對網(wǎng)絡設備的 User和 Privilege狀態(tài)進行存取控制，限制對網(wǎng)絡設備的 SNMP和 TELNET； ? 配置動態(tài)防火墻 ASPF，提供針對應用層的報文過濾功能，即基于狀態(tài)的報文過濾。 ASPF不僅能夠根據(jù)連接的狀態(tài)對報文進行過濾還能夠對應用層的一部分攻擊加以檢測和防范，包括對于 SMTP命令的檢 武 漢 政 務 網(wǎng) 絡 平 臺 技 術 建 議 書 20220203 內(nèi) 部 資 料 ， 請 勿 擴 散 第 8頁 , 共 13頁 測、 SYN flooding的檢測等等。 ? 對不安全的端口上將路由協(xié)議進行 Passive，防止不必要的路由泄露； ? 互連設備的相互認證，路由信息交換的認證； ? 對所有重要事件進行 log； ? 采用 NTP協(xié)議對全網(wǎng)的設備進行同步； ? 通過劃分 VLAN的方式，將網(wǎng)管、計費網(wǎng)絡與辦公室網(wǎng)絡二層分離；通過配置 VPN、配合 NAT、包過濾或防火墻等功能，限制各網(wǎng)絡三層之間的相互訪問； ? 對于關鍵應用信息，還可以采用隧道或加密機制進行保護。 ? 華為路由器提供對標準的三層隧道加密協(xié)議 IPSec和密鑰交換協(xié)議IKE的支持，支持 硬 件和軟件加密算法 ，為用戶提供了在 Inter上構建安全 VPN的解決方案。 MPLS BGP VPN結合 IPSEC技術可以實現(xiàn)端到端的安全保護機制。 整合政務現(xiàn)網(wǎng)的方案 政務專網(wǎng)的詳細應用需求如下： 可以為某一系統(tǒng)提供專用的虛擬通信通道，組建系統(tǒng)縱向的互聯(lián)網(wǎng)絡，以及提供橫向的公共訪問通道，如： －為省政府提供與各部門通信的辦公虛擬通道 －為省直各部門提供與部門內(nèi)縱向通信的虛擬通道 －為 IP電話服務提供公共的虛擬通信通道，并保證 IP電話的 QOS要求。 － WWW訪問服務等 具體體現(xiàn)在： ： 各個廳、局單位可以訪問各地市各廳、局公共服務器，訪問權限由各廳、局單位控制。
公司管理相關推薦
鄂ICP備17016276號-1