【文章內(nèi)容簡介】 中心與網(wǎng)點的可靠連接。而且當(dāng)DDN線路恢復(fù)正常之后，通信會自動切換回去，同時釋放撥號線路。撥號備份示意圖如下：其原理如下圖所示：在業(yè)務(wù)繁忙時，撥號線路還可提供對主干信道的負(fù)載分流：當(dāng)主干信道負(fù)載超過一指定門限值時，路由器將自動啟動撥號功能，激活備份端口，建立網(wǎng)點與中心主機的第二條連接，進行負(fù)載分流；而當(dāng)主干信道的負(fù)載恢復(fù)正常，低于另一門限值時，備份線路又將自動釋放，將連接中斷。 原理如下圖：這樣，任一臺路由器或任一條通信線路出現(xiàn)故障，具有冗余連接和備份功能的這部分網(wǎng)絡(luò)均可通過路由協(xié)議的快速聚合在短時間內(nèi)完成切換，保證網(wǎng)絡(luò)中心與網(wǎng)點的可靠通信。l 網(wǎng)絡(luò)管理 網(wǎng)管是成功網(wǎng)絡(luò)重要的一環(huán)，一個真正好的網(wǎng)絡(luò)系統(tǒng)應(yīng)該具有很好的可管理性。必須具有一個功能強大、界面友好和易于操作的網(wǎng)管系統(tǒng)。 網(wǎng)管應(yīng)在友好的圖形化界面下，通過很簡易的操作，對網(wǎng)絡(luò)設(shè)備和資源進行全面的監(jiān)控、配置、維護及故障診斷。應(yīng)具有自動安裝管理、配置文件管理、軟件管理、安全管理、環(huán)境監(jiān)測等功能，可提供關(guān)于網(wǎng)絡(luò)互聯(lián)產(chǎn)品的狀態(tài)、數(shù)據(jù)和綜合配置信息的動態(tài)報告，可圖形化顯示物理設(shè)備的運行狀態(tài)，并提供監(jiān)測功能及基本故障診斷功能。第四章 、具體網(wǎng)絡(luò)架構(gòu)第一節(jié) 需求與目標(biāo)電力局作為一家較大規(guī)模的企業(yè)，近年來業(yè)務(wù)不斷拓展，迫切需要建設(shè)自己的計算機業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)與之適應(yīng)。作為整個系統(tǒng)的基礎(chǔ)，網(wǎng)絡(luò)建設(shè)至關(guān)重要。業(yè)務(wù)數(shù)據(jù)的安全是極其重要的。因而數(shù)據(jù)訪問的安全控制需要慎重考慮。網(wǎng)絡(luò)系統(tǒng)應(yīng)具有較低的時延和高度的可靠性，應(yīng)避免由于通信線路中斷以及設(shè)備故障等原因而造成的業(yè)務(wù)系統(tǒng)癱瘓。本網(wǎng)絡(luò)方案在滿足現(xiàn)有網(wǎng)絡(luò)需求的同時，考慮到當(dāng)前網(wǎng)絡(luò)技術(shù)的發(fā)展，以及今后幾年的業(yè)務(wù)需求，能為以后業(yè)務(wù)的發(fā)展提供完備支持。既注重網(wǎng)絡(luò)整體性能的提高，也強調(diào)投資保護。本章從電力局實際情況出發(fā)，充分考慮了安全性、可靠性、可擴展性及可管理性，提出了總體的網(wǎng)絡(luò)解決方案。方案描述分為網(wǎng)絡(luò)中心設(shè)計、廣域網(wǎng)設(shè)計、末端網(wǎng)點設(shè)計，隨后對安全性、可管理性做了詳盡的闡述。 第二節(jié) 市局網(wǎng)絡(luò)中心建設(shè)由于市局網(wǎng)絡(luò)中心的局域網(wǎng)要支持150個站點，且是廣域網(wǎng)流量的匯聚點，因而建議采用高性能的局域網(wǎng)交換機Catalyst5500構(gòu)建網(wǎng)絡(luò)中心交換式網(wǎng)絡(luò)平臺。提供與中心設(shè)備，如業(yè)務(wù)主機、OA/MIS服務(wù)器、路由器等的連接，同時也提供與OA/MIS等管理系統(tǒng)所使用的下一級交換平臺的連接。由于Catalyst5500具有大量可配置的插槽、雙電源冗余，支持10BaseT，100BaseTX，10BaseFL，100BaseFX，F(xiàn)DDI，ATM等模塊，交換背板具有50G bps 的帶寬，在滿配置的情況下，交換端口的性能可達1000 萬pps，因而可充分解決中心局網(wǎng)擁擠的問題。而作為廣域網(wǎng)和局域網(wǎng)互連的核心，中心路由器是網(wǎng)絡(luò)通信的匯聚點和通信中樞，在網(wǎng)絡(luò)中起著舉足輕重的作用，因此，在本方案中選用業(yè)界高性能的Cisco7206路由器，可應(yīng)用于交換虛網(wǎng)路由、網(wǎng)絡(luò)多媒體應(yīng)用、IBM網(wǎng)絡(luò)和主機互連等。中心路由器通過100M以太網(wǎng)連接Catalyst 5500交換機，作為系統(tǒng)的核心路由平臺，同時對中心局域網(wǎng)提供VLAN路由。Cisco7206路由器可以撥號方式連接分中心，也可以DDN專線方式連接分中心。網(wǎng)絡(luò)中心的撥號備份由AS2511實現(xiàn)，可提供16個異步撥號訪問端口，具有很高的端口密度和性價比，在提供撥號備份的同時還可為部分遠程網(wǎng)點提供PPP或SLIP的異步訪問接入。第二節(jié) 分中心網(wǎng)點建設(shè)各個網(wǎng)絡(luò)分中心在整個系統(tǒng)中的作用是一個網(wǎng)絡(luò)匯聚點，將所轄各營業(yè)網(wǎng)點與中心的通信會集到一條主干信道，提供各營業(yè)網(wǎng)點與中心以及分局內(nèi)各營業(yè)網(wǎng)點之間的通信服務(wù)，是網(wǎng)絡(luò)中的主干結(jié)點。分中心的計算機站點約有100個，因而也適合交換平臺的設(shè)計。建議采用Catalyst 3000交換機作為局網(wǎng)中心。Catalyst 3000是一個可堆迭的高性能局域網(wǎng)交換機，最多可由8個Catalyst 3000進行堆迭，統(tǒng)一由一個Matrix來管理，堆迭支持冗余Matrix連接，因而具有很高的可靠性，其高速端口能支持快速以太網(wǎng)和ATM模塊，能直接和ATM/100BASET 交換機互連并能滿足將來升級的需要。各網(wǎng)絡(luò)分中心配置一臺AS2522訪問服務(wù)器，向上通過一個高速同步口經(jīng)PSNT/DDN信道與中心的核心路由器Cisco7206連接，同時通過異步口實現(xiàn)與中心AS2511的撥號備份連接，保障與中心的可靠通信。每臺AS2522有8個同異步口，經(jīng)DDN或電話線提供對所轄各營業(yè)網(wǎng)點的通信連接。第三節(jié) 末端網(wǎng)點建設(shè)末端網(wǎng)點通過CISCO 2507路由器經(jīng)PSNT/DDN信道以較高速率與分中心CISCO 2522路由器相連，并通過撥號備份功能實現(xiàn)與中心AS2511的撥號連接，保證可靠通信。Cisco2507具有很高的性能價格比。是Hub + Router 的集成產(chǎn)品，具有16端口的Hub，可以很方便地組建一個局域網(wǎng)，減少了組網(wǎng)時對HUB的需求，既簡化了網(wǎng)絡(luò)連接，又減少了故障點；而且其集成的Hub具有SNMP 功能，通過CiscoWorks 網(wǎng)管平臺，中心網(wǎng)絡(luò)管理員除可對路由器進行遠程監(jiān)控配置外，更可管理到所集成Hub的各個端口，獲得網(wǎng)點局域網(wǎng)的實際操作情況和統(tǒng)計數(shù)據(jù)。以上是針對市供電局業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)所提出的一個具體網(wǎng)絡(luò)架構(gòu)，該架構(gòu)基于市供電局的需求，同時考慮了今后的業(yè)務(wù)發(fā)展，以及國內(nèi)電信發(fā)展?fàn)顩r，并結(jié)合當(dāng)前網(wǎng)絡(luò)的最新技術(shù)，所以整個網(wǎng)絡(luò)系統(tǒng)具有很好的性能、可擴展性和靈活性，可完全滿足今后較長一段時期內(nèi)業(yè)務(wù)發(fā)展的需要，除了可對業(yè)務(wù)系統(tǒng)作出完好支持之外，還可對今后OA、MIS系統(tǒng)的建設(shè)，Internet接入，以及客戶自助服務(wù)、移動辦公等提供很好的支持。網(wǎng)絡(luò)總體方案圖見下頁。第四節(jié)、網(wǎng)絡(luò)安全性對供電系統(tǒng)來說，安全性的保證是重要問題。網(wǎng)絡(luò)系統(tǒng)作為整個業(yè)務(wù)系統(tǒng)對外的第一道安全屏障，如何有效地防止外來的非法入侵，保障系統(tǒng)安全，具有重大意義。具體實現(xiàn)如下：一、局域網(wǎng)安全性網(wǎng)絡(luò)中心采用了虛網(wǎng)技術(shù)。虛網(wǎng)技術(shù)如前所述，是一種安全的防護。由于供電局后期還要建設(shè)自己的OA/MIS系統(tǒng)以及其它的信息系統(tǒng)等，所以VLAN功能對于網(wǎng)絡(luò)建設(shè)意義重大。在業(yè)務(wù)、OA、MIS以及Intranet等系統(tǒng)都連到中心局域網(wǎng)后，可通過把不同的系統(tǒng)劃分在不同VLAN的方式，將各系統(tǒng)完全隔離，實現(xiàn)對跨部門訪問的控制，既保證了安全性，也提高了可管理性。不同的VLAN之間如需要互相通信，必須通過100M的快速以太網(wǎng)端口與路由器相連，由路由器提供虛網(wǎng)的路由和訪問控制。VLAN的劃分及控制結(jié)構(gòu)如下圖：二、廣域網(wǎng)安全性系統(tǒng)支持不同的應(yīng)用和多種協(xié)議共用同一通信信道和網(wǎng)絡(luò)設(shè)備，數(shù)據(jù)在網(wǎng)絡(luò)上的流入和流出均由路由器進行控制，不同應(yīng)用的數(shù)據(jù)定向到不同的設(shè)備，不會造成任何沖突，實現(xiàn)了在一個物理網(wǎng)絡(luò)上運行多個邏輯網(wǎng)絡(luò)。對放到各網(wǎng)點的遠程路由器可由中心的系統(tǒng)管理員進行遠程管理，實現(xiàn)集中控制，保證安全性。對于本系統(tǒng)來說，廣域網(wǎng)的通信信道既有租用的DDN專線，在撥號備份以及遠程撥號訪問中又使用了公用交換電話網(wǎng)（PSTN）。由于目前DDN各網(wǎng)絡(luò)端口之間有固定的連接定義，用它構(gòu)造的用戶網(wǎng)絡(luò)具有一定的封閉性，而PSTN則完全是一個大家都可以使用的公共網(wǎng)，所以在廣域網(wǎng)的安全控制方面，對遠程撥號訪問的安全控制顯得更為重要。要保證網(wǎng)絡(luò)訪問的安全，對所有遠程連接都應(yīng)設(shè)置AAA(Authentication Authorization Account，即認(rèn)證、授權(quán)、記帳)級安全控制，防止非法用戶的訪問。具體的實現(xiàn)細(xì)節(jié)如下：在中心局域網(wǎng)配置一臺安裝CiscoSecure軟件的服務(wù)器，CiscoSecure軟件使用TACACS+（Enhanced Terminal Access Controller Access Control System）協(xié)議提供對網(wǎng)絡(luò)的安全控制，并對連接到網(wǎng)絡(luò)的用戶的操作進行記錄。對于遠程撥號訪問，還應(yīng)配置PPP協(xié)議提供的CHAP（Challenge Handshake Authorization Protocol）認(rèn)證協(xié)議，該協(xié)議是一個基于標(biāo)準(zhǔn)的認(rèn)證服務(wù)，而且在傳輸過程中使用加密保護，與在傳輸用戶ID和口令時不使用加密的PAP協(xié)議相比，具有更大的安全性，可提供用戶ID和口令在傳輸線上的安全保護。TACACS+提供的AAA級安全控制首先根據(jù)用戶名和口令識別本網(wǎng)絡(luò)是否允許該用戶訪問，從而決定是否建立連接；其次對經(jīng)過認(rèn)證連接到網(wǎng)絡(luò)的用戶授予相應(yīng)的服務(wù)級別，提供訪問的限制；最后保留用戶在本網(wǎng)絡(luò)中的所有操作記錄（日志）。這些記錄的內(nèi)