【文章內(nèi)容簡介】 絡設計中的重要一環(huán)， XXX 辦公業(yè)務網(wǎng)絡必須對ＩＰ地址進行統(tǒng)一規(guī)劃并得到實施。 IP 地址規(guī)劃的好壞，影響到網(wǎng)絡路由協(xié)議算法的效率，影響到網(wǎng)絡的性能，影響到網(wǎng)絡的擴展，影響到網(wǎng)絡的管理，也必將直接影 響到網(wǎng)絡應用的進一步發(fā)展。 盡量減少網(wǎng)絡的 IP 路由表的路由數(shù)目，減少網(wǎng)絡路由的收斂時間，提高網(wǎng)絡性能，增加網(wǎng)絡的可靠性。 IP 地址分配既要考慮到擴充，又要能做到連續(xù)；盡量給每個 部門 分配連續(xù)的 IP 地址空間，并為將來的網(wǎng)絡擴展預留一定的地址空間；在每個 部門 中，相同的業(yè)務和功能盡量分配連續(xù)的 IP 地址空間，有利于路由聚合以及安全控制； IP 地址的分配必須采用 VLSM 技術(shù)，保證 IP 地址的利用率；采用 CIDR 技術(shù)，可減小路由器路由表的大小，加快路由器路由的收斂速度，也可以減小網(wǎng)絡中廣播的路由信息的大小。 Ip 地址的分配建 議延續(xù)使用上一級政府的規(guī)劃分配下來的地址，如有必要則繼續(xù)劃分子網(wǎng)。 IP 地址編碼的規(guī)則 XXX 政府辦公業(yè)務網(wǎng)絡結(jié)構(gòu)為樹型結(jié)構(gòu)，根據(jù)此網(wǎng)絡結(jié)構(gòu)編碼 IP 地址，盡量減少網(wǎng)絡匯集點向上層節(jié)點傳遞的 IP 路由數(shù)量?；镜囊?guī)則如下： IP 地址采用可變長度子網(wǎng)掩碼（ VLSM）技術(shù)。根據(jù)子網(wǎng)主機數(shù)量，采用不同長度的子網(wǎng)掩碼。 第 16 頁 網(wǎng)絡匯集節(jié)點的局域網(wǎng)網(wǎng)段地址、下聯(lián)廣域網(wǎng)網(wǎng)段地址、下層節(jié)點的網(wǎng)段地址在一個子網(wǎng)掩碼內(nèi)。 網(wǎng)絡匯集節(jié)點的上聯(lián)廣域網(wǎng)地址為上層節(jié)點網(wǎng)絡地址段中的一個子網(wǎng)段地址。 廣域網(wǎng)地址的掩碼位數(shù)為 30 位。 Loopback 地址的掩碼位數(shù)為 32 位。 路由策略 外網(wǎng)骨干網(wǎng)絡設備承擔著全縣政務相關(guān)的各種業(yè)務數(shù)據(jù)的傳輸和處理工作，因此 ,選擇何種路由協(xié)議，使網(wǎng)絡的性能最優(yōu)化就顯得尤為重要。對這樣的網(wǎng)絡，如何選擇路由協(xié)議對于網(wǎng)絡性能的發(fā)揮是非常重要的。 縣級的政務網(wǎng)絡一般位于政務網(wǎng)絡的邊緣接入層，由此采用的路由協(xié)議需要與上一級政務網(wǎng)絡的協(xié)議相一致，否則會造成邊緣路由動蕩影響到主干的路由。 在路由協(xié)議的選擇上，盡量不要采用擴展性差的（ RIP）和廠家的私有路由協(xié)議（ IGRP和 EIGRP），盡量采用 OSPF 或 ISIS。對于大型企業(yè)內(nèi)部網(wǎng)絡 來說，現(xiàn)在一般都采用 3 種路由協(xié)議： OSPF、 ISIS 或者 EIGRP。 EIGRP 是 Cisco 私有的路由協(xié)議，不建議使用。 結(jié)合 XXX 辦公業(yè)務規(guī)劃的實際情況，我們建議：在該辦公業(yè)務采用靜態(tài)路由器協(xié)議， OSPF+靜態(tài)的路由協(xié)議組合也是當今網(wǎng)絡規(guī)劃中被廣泛使用的設計方法。 系系 統(tǒng)統(tǒng) 管管 理理 平平 臺臺 本節(jié)主要是針對主機及網(wǎng)絡管 理的方案。鑒于本網(wǎng)絡規(guī)模及重要性，網(wǎng)絡管理將是一個必須面對的問題 。根據(jù)本項目的實際情況，建議在本期或下一期工程中： 1. 建議建立統(tǒng)一的系統(tǒng)管理平臺 2. 重點考慮網(wǎng)絡管理 建立統(tǒng)一的系統(tǒng)管理平臺，不僅可以為日常的 系統(tǒng)和網(wǎng)絡管理提供機制、工具或手段，還可以以此為基礎(chǔ)，建立集中式或遠程系統(tǒng)支持維護中心。建設網(wǎng)絡管理和系統(tǒng)管理系統(tǒng)，可以解決各種網(wǎng)絡設備和服務器、系統(tǒng)軟件和應用軟件等資源的管理問題，包括網(wǎng)絡、設備、數(shù)據(jù)庫、操作系統(tǒng)和應用軟件等。進一步，存貯管理也應列入考慮范圍，并盡可能與未來的異地備份系統(tǒng)的建設相結(jié)合。其它方面的網(wǎng)絡管理問題（如應用軟件的版本發(fā)布和系統(tǒng)管理等）可以將來逐步考慮。 由于系統(tǒng)管理和網(wǎng)絡管理涉及較多的內(nèi)容，如網(wǎng)絡設備管理、服務器資源管理等，統(tǒng)一第 17 頁 網(wǎng)絡管理平臺也是系統(tǒng)和網(wǎng)絡管理的必然需要。 建議在熟悉 了 網(wǎng)絡設備及主機系統(tǒng)的管理系統(tǒng)后，再添置專門的網(wǎng)絡、系統(tǒng)管理平臺，提高工作效率。 網(wǎng)絡管理 網(wǎng)絡管理的任務包括網(wǎng)絡監(jiān)控、故障報警、設備配置、網(wǎng)絡分析等方面。即通過圖形方式顯示網(wǎng)絡的拓撲結(jié)構(gòu)、網(wǎng)絡節(jié)點的工作性能；設置相應參數(shù)的閥值，使得設備的性能參數(shù)超過閥值或者發(fā)生故障等情況下向網(wǎng)絡管理員報警；作為整個網(wǎng)絡系統(tǒng)的管理中心，通過局域網(wǎng)及廣域網(wǎng)對網(wǎng)絡上的設備進行在線修改配置；將網(wǎng)絡設備的運行情況、網(wǎng)絡故障等多種信息存儲文件或數(shù)據(jù)庫中，網(wǎng)絡管理員直接存取這些資料從而掌握整個網(wǎng)絡的情況，及時調(diào)整網(wǎng)絡的資源分配并作為網(wǎng) 絡擴展的依據(jù)。 在網(wǎng)絡管理平臺的選擇上，根據(jù)選擇的網(wǎng)絡設備，考慮采用先進、成熟和主流的產(chǎn)品，采用標準的 SNMP 協(xié)議對網(wǎng)絡上符合該協(xié)議的設備進行實時的監(jiān)控，對網(wǎng)絡中發(fā)生的故障進行報警，從而減少系統(tǒng)管理的管理難度和管理工作量，自動發(fā)現(xiàn)管轄區(qū)域內(nèi)或指定的搜索地址范圍內(nèi)的網(wǎng)上資源，并自動以不同的圖標表示不同的設備；自動過濾各種事件，并在監(jiān)控屏幕上出現(xiàn)警告信息，還可以根據(jù)預先定義的操作自動進行相應的處理；將網(wǎng)絡管理數(shù)據(jù)實時或者以批處理的方式傳入關(guān)系型數(shù)據(jù)庫系統(tǒng)中，從而為大量網(wǎng)絡管理數(shù)據(jù)的處理，分析，報表制作提供方便。 此外，強大的報表功能、與 Web 的集成、靈活的二次開發(fā)接口等，均是網(wǎng)管軟件具有特色的功能。 系統(tǒng)管理 系統(tǒng)管理包括對關(guān)鍵資源的可用性和可靠性的管理，如數(shù)據(jù)庫、操作系統(tǒng)、應用軟件等。系統(tǒng)管理面臨的任務之一是高效、穩(wěn)定和集中的控制以及主動管理（在故障發(fā)生前就加以處理）。 系統(tǒng)管理軟件需要實現(xiàn)分布式環(huán)境下的集中和可靠的系統(tǒng)管理，還要在整個網(wǎng)絡環(huán)境中自動執(zhí)行預定義的故障預防和修正操作。使用系統(tǒng)管理軟件，工作人員可以主動管理多種分布式資源而只需極少的人工干預。 系統(tǒng)監(jiān)視工具包括：所有 Windows NT 性能監(jiān)視器、應用 程序狀態(tài)、數(shù)據(jù)庫狀態(tài)（ Informix、 Microsoft SQLServer、 Oracle、 Sybase）、磁盤監(jiān)視器、文件監(jiān)視器、網(wǎng)絡監(jiān)視第 18 頁 器、打印機監(jiān)視器、安全性監(jiān)視器（指定用戶的登記情況、根目錄登記情況、文件許可）、系統(tǒng)資源監(jiān)視器等，還可集成自行開發(fā)的工具（內(nèi)部開發(fā)的監(jiān)視工具或第三方監(jiān)視工具）。 安全系統(tǒng)設計 安全系統(tǒng)概述 計算機網(wǎng)絡系統(tǒng)的安全保護，是指保障計算機及其相關(guān)的配套設備、設施 (含網(wǎng)絡 )的安全，運行環(huán)境的安全，保障信息的安全，保障計算機功能的正常發(fā)揮，以維護計算機信息系統(tǒng)的安全運行。 總體來 看，計算機網(wǎng)絡的安全應包含以下三方面的內(nèi)容： 保密性 完整性 可用性 從計算機信息系統(tǒng)實現(xiàn)的角度，可以將計算機信息系統(tǒng)的安全分為三類，即實體安全(Physical Security) 、運行安全 (Operation Security) 和信息安全 (Information Security)。 系統(tǒng)安全的目標和原則 應該看到，信息安全系統(tǒng)技術(shù)比較復雜，安全策略所面臨的威脅也會隨著時間的推移和技術(shù)的發(fā)展在變化。另外，由于網(wǎng)絡安全的投資較大，安全產(chǎn)品的價格也很昂貴，因此必須有一個準確的風險定位，才能準確合理地制定出好 的安全策略，設計出好的安全解決方案，使投資合理化、實用化。 網(wǎng)絡的攻擊與防護是一對矛盾，嚴格地說，沒有也不可能有絕對的網(wǎng)絡安全，我們所說的安全只是在現(xiàn)時安全技術(shù)發(fā)展水平和努力提高單位領(lǐng)導和工作人員信息安全意識的前提下，能達到的最大安全保護程度。 在此方案實施后，完成對全局各單位、各項目的網(wǎng)絡安全的評估、與安全方案的規(guī)劃，并對信息中心及部分業(yè)務處的安全方案加以實施。并在此基礎(chǔ)上協(xié)助客戶制定出相應的網(wǎng)絡安全體系標準，并對以后進行的網(wǎng)絡安全建設進行規(guī)范，使網(wǎng)絡安全系統(tǒng)切實做到： 確保傳輸信息的保密性和完整性； 第 19 頁 建 立完善的授權(quán)訪問控制機制； 有較強的主機監(jiān)測和預警能力； 具有網(wǎng)頁非法修改報警的能力； 整個系統(tǒng)具有良好的防病毒功能； 具有嚴密的跟蹤審計功能和分析處理能力； 保證網(wǎng)上安全設備的高效和穩(wěn)定。 由于辦公業(yè)務網(wǎng)是一個多用途的網(wǎng)絡系統(tǒng)，除了包括辦公自動化、文件共享等一系列常規(guī)應用外，還包括涉及政府部門機密的業(yè)務系統(tǒng)，因此網(wǎng)絡的安全在辦公業(yè)務的建設中尤為重要。網(wǎng)絡安全保障系統(tǒng)的目標就是對政務網(wǎng)進行安全保障，使網(wǎng)絡能抵御各種安全威脅，包括物理硬件本身的安全威脅、信息出入口的安全問題、操作系統(tǒng)的安全脆弱性、傳輸協(xié)議存在 著的安全問題等。 系統(tǒng)必須具備整體的安全性與可靠性，本方案從多個角度考慮系統(tǒng)的安全性建設。根據(jù)應用方面的要求，以系統(tǒng)和應用方面的安全考慮為重點論述，重點分為數(shù)據(jù)庫和 WEB 應用的訪問控制，網(wǎng)絡防病毒、主機監(jiān)測和安全預警系統(tǒng)以及建立 PKI 體系的 CA 認證系統(tǒng)等幾個部分。 在網(wǎng)絡安全系統(tǒng)設計時，要求遵循以下原則： 先進性與實用性相結(jié)合的原則 結(jié)合網(wǎng)絡使用需求，在滿足安全保密性的基礎(chǔ)上，考慮系統(tǒng)的性價比，確定最優(yōu)方案； 易操作原則 所制定的安全與可靠性措施易于操作與掌握； 擴展性原則 安全與可靠性措施必須能隨著網(wǎng)絡性 能及業(yè)務需求的變化而變化，具有良好的可擴展性； 標準性原則 符合國際上有關(guān)的通信協(xié)議和接口標準 成熟性原則 選用成熟的安全設備及軟件產(chǎn)品。安全系統(tǒng)采用設備符合國家安全保密的有關(guān)規(guī)定，并獲得國家有關(guān)部門的認證； 國產(chǎn)化原則 考慮到政府保密的要求，主要選用國產(chǎn)安全設備及軟件產(chǎn)品來建設網(wǎng)絡； 第 20 頁 規(guī)范性原則 要符合國家主管部門頒布的相關(guān)政策法規(guī)，符合公安部的相關(guān)要求。 安全體系結(jié)構(gòu)模型 在仔細研究了多種信息網(wǎng)絡安全體系結(jié)構(gòu)后，我們提出了適合網(wǎng)絡系統(tǒng)安全系統(tǒng)的三維立體框架結(jié)構(gòu)的安全體系結(jié)構(gòu)模型，如下圖所示。 信息網(wǎng) 絡安全體系結(jié)構(gòu) 該模型分別從安全服務、協(xié)議層次和系統(tǒng)單元三個層面對信息網(wǎng)絡的安全體系的建設進行了全面的分析。從下圖中可以看到，所有三個層面都包含了安全管理的內(nèi)容，這正體現(xiàn)了技術(shù)手段為輔、嚴格高效的管理為主的現(xiàn)代管理思想 。 安全服務層次從各種單元安全解決方案所必需的一些基本安全服務的角度出發(fā)，來考察信息系統(tǒng)安全體系的建設。這些基本安全服務包括身份鑒別、訪問控制、數(shù)據(jù)完整性、數(shù)據(jù)保密性、抗抵賴、審計跟蹤和可用性服務。 國際標準化組織所定義的安全體系結(jié)構(gòu)中包括身份鑒別、訪問控制、數(shù)據(jù)完整性、數(shù)據(jù)保密性、抗抵賴等五 種重要的安全服務，這些安全服務反映了信息系統(tǒng)的安全需求。這五種服務并不是相互獨立的，而且不同的應用環(huán)境有不同的程度的要求，在下圖中給出了主要安全服務之間的邏輯關(guān)系。 第 21 頁 各種安全服務之間的邏輯關(guān)系 這五種安全服務貫穿于主體（人、應用程序、系統(tǒng)程序、設備等）訪問客體（各種軟 /硬件資源）的整個過程。分析表明，在信息系統(tǒng)中，最為重要也最為普遍的安全服務是實體的身份標識和身份鑒別、以及各種資源的訪問控制。 在 TCP/IP 協(xié)議的不同層次，實體都有主體和客體（或資源）之分：在網(wǎng)絡層，對主體和資源的識別以主機或協(xié)議端口為 粒度，身份鑒別服務主要指主機地址的鑒別，網(wǎng)絡層的訪問控制主要指防火墻等過濾機制；在應用系統(tǒng)中，主體的身份鑒別以用戶為粒度，客體是業(yè)務信息資源，身份鑒別是指用戶身份的鑒別和應用服務的鑒別，訪問控制的粒度可以具體到某種操作，如對數(shù)據(jù)項的追加、修改和刪除。在開放式應用環(huán)境中，主體與客體的雙向身份鑒別非常重要。 從上述安全服務模型可以得出如下結(jié)論：對資源的訪問控制是安全保密的核心，而對實體的（用戶、主機、服務）身份鑒別是訪問控制的前提。 系系 統(tǒng)統(tǒng) 安安 全全 的的 總總 體體 框框 架架 結(jié)結(jié) 構(gòu)構(gòu) 根據(jù)我們對 XXX 政務網(wǎng)絡和應用系統(tǒng)安全需求的理解，我們 建立了如下的系統(tǒng)安全的總體框架，用于網(wǎng)絡系統(tǒng)項目的具體設計實施考慮： 第 22 頁 安 全策 略和管 理經(jīng) 貿(mào)專 網(wǎng)電 信 公 網(wǎng)友 商 網(wǎng) 經(jīng) 貿(mào) 網(wǎng) I n t e r n e t授 權(quán) 管 理 基 礎(chǔ) 設 施公 共 安 全 服 務 平 臺M I S / O A系 統(tǒng)對 外 信 息發(fā) 布 系 統(tǒng)應 用系 統(tǒng)傳輸加密VPN防病毒防火墻完整性...身份認證入侵檢測備份容災。 。 。漏洞掃描網(wǎng)管A A 中 心公 鑰 基 礎(chǔ) 設 施K M 中 心 C A 中 心 系統(tǒng)安全總體設計實施結(jié)構(gòu)圖 在具體的方案技術(shù)設計中，我們采用上圖作為我們設計實施的指導原則，具體解釋如下： 從縱向考慮，信息安全分為網(wǎng)絡基礎(chǔ)設施、智能化信任和授權(quán)服務層和安全應用層；網(wǎng)絡基礎(chǔ)設施和智能化信任和授權(quán)服務層構(gòu)成了安全應用層的基礎(chǔ) 從產(chǎn)品和技術(shù)來看，信息安全不僅涉及具體的信息網(wǎng)絡設備，還主要涉及了信息安全策略和管理；體現(xiàn)了技術(shù)為輔、管理為主的現(xiàn)代管理思想 在具體實施中，須 遵循總體設計、分布實施和不斷完善的信息安全概念 網(wǎng)網(wǎng) 絡絡 系系 統(tǒng)統(tǒng) 安安 全全 需需 求求 分分 析析 一般講，網(wǎng)絡安全的需求如下表： 網(wǎng)絡安全需求和主要技術(shù)一覽表 OSI 七層協(xié)議 TCP/IP 協(xié)議 安全需求及主要技術(shù) 應用層 進程層 應用程序的保密要求，主要技術(shù)有 SHTTP、 PGP、 SMIM、開發(fā)專用協(xié)議等 表示層 會話層 傳輸層 傳輸層 傳輸?shù)臄?shù)據(jù)的保密，主要技術(shù)有 SSL 協(xié)議和基于公鑰的 認證和對稱鑰加密技術(shù)等 網(wǎng)絡層 網(wǎng)絡層 訪問控制的需求，主要技術(shù)有包過濾、 IPSEC 協(xié)議、 VPN 等 . 數(shù)據(jù)鏈路層 數(shù)據(jù)鏈路 鏈路的保密要求，主要技術(shù)為數(shù)據(jù)鏈路的加密技術(shù) 第 23 頁 物理層 層