【文章內(nèi)容簡介】 不能訪問或者只能訪問內(nèi)部網(wǎng)絡(luò)的必需的資源，避免 DMZ 區(qū)服務(wù)器被作為跳板攻擊內(nèi)部網(wǎng)用戶和相關(guān)資源； ? 其他可選策略： ? 可以啟動防火墻身份認(rèn)證功能，通過內(nèi)置數(shù)據(jù) 庫或者標(biāo)準(zhǔn) Radius屬性認(rèn)證，實現(xiàn)對用戶身份認(rèn)證后進行資源訪問的授權(quán)； 8 ? 根據(jù)需要，在兩臺防火墻上設(shè)置流量控制規(guī)則，實現(xiàn)對網(wǎng)絡(luò)流量的有效管理，有效的避免網(wǎng)絡(luò)帶寬的浪費和濫用，保護網(wǎng)絡(luò)帶寬； ? 根據(jù)應(yīng)用和管理的需要，設(shè)置有效工作時間段規(guī)則，實現(xiàn)基于時間的訪問控制，可以組合時間特性，實現(xiàn)更加靈活的訪問控制能力； ? 在防火墻上進行設(shè)置告警策略，利用靈活多樣的告警響應(yīng)手段（ Email、日志、 SNMP 陷阱等），實現(xiàn)攻擊行為的告警，有效監(jiān)控網(wǎng)絡(luò)應(yīng)用； 啟動防火墻日志功能，利用防火墻的日志記錄能力，詳細(xì)完整的記錄日志和統(tǒng) 計報表等資料，實現(xiàn)對網(wǎng)絡(luò)訪問行為的有效的記錄和統(tǒng)計分析； . 網(wǎng)絡(luò) 交換 平臺 設(shè)計 在 XXXX 大酒店 網(wǎng)絡(luò) 中心內(nèi)放置 1 臺高端以太網(wǎng)交換機 S7506E， 每個核心交換機上配置 1塊 24口千兆光口模塊， 1 塊 16 口 千兆光口 ＋ 8口千兆電口模塊；千兆電口 用于連接網(wǎng)絡(luò)中心服務(wù)器 匯聚交換機和出口路由器 ， 千兆光口 用于連接 各 接入層交換機 。 接入層 交換機 S3100 負(fù)責(zé)接入各種信息點。 在核心交換機上配置防火墻模塊一塊和 IPS 模塊一塊，加強內(nèi)網(wǎng)安全。 . 部署安全插卡優(yōu)勢說明 . 高可靠性：降低單點故障 1. 在設(shè)備內(nèi)部，基于交換機的無阻塞技術(shù)，各種插卡通過背 板總線進行數(shù)據(jù)交換。任何一塊插卡出現(xiàn)故障，基于 H3C專利技術(shù)，可以通過 Bypass 方式使得流量自動繞過故障插卡，保證業(yè)務(wù)流正常處理和轉(zhuǎn)發(fā)，不會出現(xiàn)單點故障。 2. 插卡式設(shè)備，所有的關(guān)鍵部件都可以冗余部署。單獨的盒式設(shè)備，一般最多提供雙電源的可靠性設(shè)計。而插卡式設(shè)備，包括電源、引擎、接口板、業(yè)務(wù)板等都可以冗余部署，大大提高了可靠性。當(dāng)所有的關(guān)鍵部件都進行冗余部署的時候，實際上就是兩臺設(shè)備在同時工作，并可以進行負(fù)載分擔(dān)。 3. 所有的插卡都支持熱插拔，大大降低出現(xiàn)故障時更換設(shè)備的時間。 9 . 高性能和高擴展性：減少業(yè)務(wù)瓶頸 1. 高 性能：所有的 H3C SecBlade 業(yè)務(wù)模塊都采用了業(yè)界最領(lǐng)先的多核多線程 CPU+ASIC+FPGA 的高性能、分布式硬件架構(gòu)。這種分布式的硬件架構(gòu)保證了所有的業(yè)務(wù)能在第一時間并行處理。對于現(xiàn)在大量的應(yīng)用層安全攻擊，由于需要進行深入的報文分析，只有這種多核多線程的硬件架構(gòu)才能真正做到實時處理，不會產(chǎn)生大的數(shù)據(jù)延遲。 2. 高轉(zhuǎn)發(fā)：所有的 SecBlade 業(yè)務(wù)模塊與交換機及其他插卡之間都是通過交換機 Crossbar 總線進行數(shù)據(jù)傳輸，數(shù)據(jù)帶寬高達 10Gbps 以上。相對于盒式設(shè)備之間通常采用的網(wǎng)線連接方式，數(shù)據(jù)帶寬更高、延 時更低，而且可靠性更高，不會出現(xiàn)由于網(wǎng)線故障或連接故障導(dǎo)致的業(yè)務(wù)中斷。 3. 盒式設(shè)備性能一般是固定的，但是插卡式設(shè)備的處理能力可以通過板卡的擴展進行數(shù)倍的提升。即使是單塊的業(yè)務(wù)板，得益于其先進的多核架構(gòu)，其性能優(yōu)勢也很明顯（ FW 性能可以達到單模塊萬兆處理能力）。 4. 接口多：普通盒式設(shè)備一般最多提供幾個接口，而插卡式設(shè)備的接口 板 可提供無限制的接口，并且可根據(jù)要求進行擴展，所有接口 的 VLAN 都可以共享各種業(yè)務(wù)板卡。同時，通過虛擬化技術(shù)，可以將同一塊物理業(yè)務(wù)板卡在邏輯上劃分為相互獨立的多個板卡，每個邏輯板卡擁有完全獨立 的資源和策略。 5. 接口種類豐富：普通盒式設(shè)備，只能提供普通的以太網(wǎng)電口和光口。而基于交換機和路由器的插卡，還可以提供各種 POS 接口、 ATM 接口、 E1/T1 口等接口類型。 6. 組網(wǎng)簡單：采用插卡式設(shè)備，只需在交換機中插入所需模塊，相對盒式設(shè)備來說不會占用空間。且所有插卡都集成在一臺交換機中，數(shù)據(jù)交換通過背板總線實現(xiàn)，組網(wǎng)更加簡單，不像盒式設(shè)備，各個設(shè)備之間都要通過復(fù)雜的網(wǎng)線進行連接。 . 管理簡單 1. 每個插卡可以通過 WEB 界面進行獨立管理，也可以由交換機與其他業(yè)務(wù)板一樣進行統(tǒng)一管理。不同插卡的狀態(tài)可以基于主控板統(tǒng)一顯示 ， 通過主控板實現(xiàn)對 插卡 的統(tǒng)一管理 。 2. 各個插卡的安全告警和日志信息能統(tǒng)一上報給 H3C 的安全管理平臺10 SecCenter。通過 SecCenter 的統(tǒng)一安全信息收集和篩選，提取相關(guān)的關(guān)聯(lián)信息，然后進行統(tǒng)一配置和管理，真正做到安全聯(lián)動。 . 成本投入低 1. 得利于良好的擴展性，在對接口、功能、性能等進行升級的時候，在升級標(biāo)準(zhǔn)相同的條件下，再次投入的成本大幅降低，原有的投資也能得到保障。 11 第二章 . 酒店安防 監(jiān)控 系統(tǒng) . 監(jiān)控需求 本方案基于如下 進行設(shè)計： 網(wǎng)絡(luò)規(guī)模： 1 個 監(jiān)控總控中心 ， 總共 270個攝像點 。 IP 承載網(wǎng)存儲 數(shù)據(jù)量： 所有 監(jiān)控點傳輸按照 D1 分辨率進行編碼，存儲碼率根據(jù)各個位置的重要性的不同，重點部位 按照 D1 分辨率 進行實時編碼（ 2M bit/s實時碼率 ） ， 一般場所 按照 CIF 分辨率進行存儲編碼（ 512Kbit/s 的存儲碼率） 。 各攝像頭根據(jù)各自的位置特點通過以太網(wǎng)電口 接入 方式與 專網(wǎng) 相連 ； 通過建設(shè) 這個網(wǎng)絡(luò)環(huán)境，實現(xiàn)前端現(xiàn)場點監(jiān)控圖像的全數(shù)字化（高清晰度、全實時），傳輸網(wǎng)絡(luò)化（ TCP/IP） ， 圖像數(shù)據(jù)存儲可做到集中式存儲。 在 XXXX 大酒店 監(jiān)控 的內(nèi)網(wǎng)和外 網(wǎng)內(nèi)各類用戶（用戶權(quán) 限許可）可以對前端監(jiān)控可實時圖像監(jiān)控；對存儲圖像可實現(xiàn) 企 業(yè) 內(nèi)網(wǎng)內(nèi)，計算機網(wǎng)絡(luò)調(diào)閱播放和下載所有網(wǎng)點監(jiān)控攝像機圖像。 建成后的全數(shù)字 視頻 監(jiān)控系統(tǒng)以實時監(jiān)控錄像為主，系統(tǒng)不僅在結(jié)構(gòu)上具有擴展能力，而且在業(yè)務(wù)上也有綜合應(yīng)用能力，包括圖像傳輸、遠(yuǎn)程監(jiān)控、數(shù)字圖像數(shù)據(jù)遠(yuǎn)程集中存儲，遠(yuǎn)程實時點播回放（儲存數(shù)據(jù)圖像） 功能 。 具體監(jiān)控點分布統(tǒng)計情況如下表： 樓層 球機 槍機 半球 電梯專用 專照車牌 樓層小計 匯聚點位 地下停車場 10 8 6 2 26 80 1F+室外 6個球機 8 6 18 2 34 2F 18 2 20 3F 17 17 36 4F 11 11 5F 8 8 6F 4 4 20 7F 8 8 8F 8 8 9F 8 8 24 10F 8 8 11F 8 8 12F 8 8 24 12 13F 8 8 14F 8 8 15F 8 8 24 16F 8 8 17F 8 8 18F 8 8 24 19F 8 8 20F 8 8 21F 2 5 7 22 22F 2 5 7 23F 8 8 24F 7 7 16 25F 7 7 樓頂 2 2 總計 10 20 228 10 2 270 球機 槍機 半球 電梯專用 專照車牌 . 監(jiān)控規(guī)劃建議 . 系統(tǒng)設(shè)計指導(dǎo)意見 XXXX 大酒店 樓宇 監(jiān)控 系統(tǒng)的建設(shè)應(yīng)以 “實用、可靠、先進、經(jīng)濟、開放、安全” 為指導(dǎo)思想。 （一）實用：監(jiān)控覆蓋面和圖像質(zhì)量須滿足 XXXX 大酒店 實際 需求；數(shù)字圖像實時監(jiān)視和圖像回放查詢界面友好，系統(tǒng)安裝、使用、維護簡便，滿足 各級 部門的需求。 （二）可靠：系統(tǒng)采用的主要安防設(shè)備須經(jīng)過具有公安部批準(zhǔn)的相應(yīng)資格產(chǎn)品檢測中心的測試，質(zhì)量達標(biāo)，性能穩(wěn)定，能持續(xù)有效運行。 （三）先進：采用成熟、主流的技術(shù)構(gòu)建系統(tǒng)平臺，充分兼顧需求和技術(shù)的發(fā)展，充分考慮與其他系統(tǒng)的連接，建設(shè)可擴展的、開放的平臺。主要設(shè)備可采用搭積木的模塊式方便擴容，保護原有投資 。 （四）經(jīng)濟：在確保實用性、可靠性、先進性的前提下，注重系統(tǒng)建設(shè)成本和投入的階段性，以技術(shù)建設(shè)與應(yīng)用機制的協(xié)調(diào)發(fā)展，確保系統(tǒng)效益。 （五）開放：系統(tǒng)應(yīng)遵循開放系統(tǒng)的原則。系統(tǒng)應(yīng)符合國家標(biāo)準(zhǔn)和行業(yè)規(guī)劃，能提供軟件、硬件、通信、網(wǎng)絡(luò)、操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)等諸方面的接口和工具，使系統(tǒng)具備良好的靈活性、兼容性、擴展性和可移植性。 13 （六）安全：由于本系統(tǒng)涉及到對于公共場所的日常實時監(jiān)控、數(shù)據(jù)傳輸量大、使用人員多，故安全性和保密性十分突出和重要。在考慮系統(tǒng)安全性和保密性時，除應(yīng)考慮各種外界干擾外，還需在各個環(huán)節(jié)提 供安全、保密措施。 . 系統(tǒng) 實施 建設(shè)原則 本項目遵循系統(tǒng)集成“統(tǒng)一標(biāo)準(zhǔn) 、 整體布署 ”的基本原則。 首先確認(rèn)系統(tǒng)整體架構(gòu)，專網(wǎng)架構(gòu)為全 IP 架構(gòu)，同時選擇一個標(biāo)準(zhǔn)化、擴展性好的網(wǎng)絡(luò)視頻與安防管理平臺軟件，滿足項目的根本需要。實現(xiàn)對圖象、報警的集中監(jiān)控、存儲等管理功能，監(jiān)控的范圍包括： 公寓樓和寫字樓 監(jiān)控、 商場監(jiān)、以及大樓樓外監(jiān)控 。 . 規(guī)劃依據(jù)、規(guī)范和標(biāo)準(zhǔn)系統(tǒng)設(shè)計依據(jù) 系統(tǒng)規(guī)劃設(shè)計必須按照國際、國家和本地區(qū)的有關(guān)標(biāo)準(zhǔn)和規(guī)范進行。本設(shè)計將依據(jù)和參照以下的設(shè)計規(guī)范和要求進行： ? 《安全防范工程技術(shù)規(guī)范》 （ GB 503482020）； ? 《安全防范工程程序與要求》 （ GA/T7594）； ? 《安全防范系統(tǒng)驗收規(guī)則》 （ GA3082020）； ? 《安全防范系統(tǒng)通用圖形符號》 （ GA/T742020）； ? 《民用閉路電視監(jiān)控系統(tǒng)工程技術(shù)規(guī)范》 （ GB5019894）； ? 《工業(yè)電視系統(tǒng)工程設(shè)計規(guī)范》 （ GBJ11587）； ? 《音頻、視頻及類似電子設(shè)備安全要求》 （ GB88982020）； ? 《測量、控制和試