【文章內(nèi)容簡介】 分流；而當(dāng)主干信道的負(fù)載恢復(fù)正常，低于另一門限值時(shí)，備份線路又將自動(dòng)釋放，將連接中斷。 原理如下圖：這樣，任一臺路由器或任一條通信線路出現(xiàn)故障，具有冗余連接和備份功能的這部分網(wǎng)絡(luò)均可通過路由協(xié)議的快速聚合在短時(shí)間內(nèi)完成切換，保證網(wǎng)絡(luò)中心與網(wǎng)點(diǎn)的可靠通信。l 網(wǎng)絡(luò)管理 網(wǎng)管是成功網(wǎng)絡(luò)重要的一環(huán)，一個(gè)真正好的網(wǎng)絡(luò)系統(tǒng)應(yīng)該具有很好的可管理性。必須具有一個(gè)功能強(qiáng)大、界面友好和易于操作的網(wǎng)管系統(tǒng)。 網(wǎng)管應(yīng)在友好的圖形化界面下，通過很簡易的操作，對網(wǎng)絡(luò)設(shè)備和資源進(jìn)行全面的監(jiān)控、配置、維護(hù)及故障診斷。應(yīng)具有自動(dòng)安裝管理、配置文件管理、軟件管理、安全管理、環(huán)境監(jiān)測等功能，可提供關(guān)于網(wǎng)絡(luò)互聯(lián)產(chǎn)品的狀態(tài)、數(shù)據(jù)和綜合配置信息的動(dòng)態(tài)報(bào)告，可圖形化顯示物理設(shè)備的運(yùn)行狀態(tài)，并提供監(jiān)測功能及基本故障診斷功能。第四章 、具體網(wǎng)絡(luò)架構(gòu)第一節(jié) 需求與目標(biāo)電力局作為一家較大規(guī)模的企業(yè)，近年來業(yè)務(wù)不斷拓展，迫切需要建設(shè)自己的計(jì)算機(jī)業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)與之適應(yīng)。作為整個(gè)系統(tǒng)的基礎(chǔ)，網(wǎng)絡(luò)建設(shè)至關(guān)重要。業(yè)務(wù)數(shù)據(jù)的安全是極其重要的。因而數(shù)據(jù)訪問的安全控制需要慎重考慮。網(wǎng)絡(luò)系統(tǒng)應(yīng)具有較低的時(shí)延和高度的可靠性，應(yīng)避免由于通信線路中斷以及設(shè)備故障等原因而造成的業(yè)務(wù)系統(tǒng)癱瘓。本網(wǎng)絡(luò)方案在滿足現(xiàn)有網(wǎng)絡(luò)需求的同時(shí)，考慮到當(dāng)前網(wǎng)絡(luò)技術(shù)的發(fā)展，以及今后幾年的業(yè)務(wù)需求，能為以后業(yè)務(wù)的發(fā)展提供完備支持。既注重網(wǎng)絡(luò)整體性能的提高，也強(qiáng)調(diào)投資保護(hù)。本章從電力局實(shí)際情況出發(fā)，充分考慮了安全性、可靠性、可擴(kuò)展性及可管理性，提出了總體的網(wǎng)絡(luò)解決方案。方案描述分為網(wǎng)絡(luò)中心設(shè)計(jì)、廣域網(wǎng)設(shè)計(jì)、末端網(wǎng)點(diǎn)設(shè)計(jì)，隨后對安全性、可管理性做了詳盡的闡述。第二節(jié) 市局網(wǎng)絡(luò)中心建設(shè)由于市局網(wǎng)絡(luò)中心的局域網(wǎng)要支持150個(gè)站點(diǎn)，且是廣域網(wǎng)流量的匯聚點(diǎn)，因而建議采用高性能的局域網(wǎng)交換機(jī)Catalyst5500構(gòu)建網(wǎng)絡(luò)中心交換式網(wǎng)絡(luò)平臺。提供與中心設(shè)備，如業(yè)務(wù)主機(jī)、OA/MIS服務(wù)器、路由器等的連接，同時(shí)也提供與OA/MIS等管理系統(tǒng)所使用的下一級交換平臺的連接。由于Catalyst5500具有大量可配置的插槽、雙電源冗余，支持10BaseT，100BaseTX，10BaseFL，100BaseFX，F(xiàn)DDI，ATM等模塊，交換背板具有50G bps 的帶寬，在滿配置的情況下，交換端口的性能可達(dá)1000 萬pps，因而可充分解決中心局網(wǎng)擁擠的問題。而作為廣域網(wǎng)和局域網(wǎng)互連的核心，中心路由器是網(wǎng)絡(luò)通信的匯聚點(diǎn)和通信中樞，在網(wǎng)絡(luò)中起著舉足輕重的作用，因此，在本方案中選用業(yè)界高性能的Cisco7206路由器，可應(yīng)用于交換虛網(wǎng)路由、網(wǎng)絡(luò)多媒體應(yīng)用、IBM網(wǎng)絡(luò)和主機(jī)互連等。中心路由器通過100M以太網(wǎng)連接Catalyst 5500交換機(jī)，作為系統(tǒng)的核心路由平臺，同時(shí)對中心局域網(wǎng)提供VLAN路由。Cisco7206路由器可以撥號方式連接分中心，也可以DDN專線方式連接分中心。網(wǎng)絡(luò)中心的撥號備份由AS2511實(shí)現(xiàn)，可提供16個(gè)異步撥號訪問端口，具有很高的端口密度和性價(jià)比，在提供撥號備份的同時(shí)還可為部分遠(yuǎn)程網(wǎng)點(diǎn)提供PPP或SLIP的異步訪問接入。第二節(jié) 分中心網(wǎng)點(diǎn)建設(shè)各個(gè)網(wǎng)絡(luò)分中心在整個(gè)系統(tǒng)中的作用是一個(gè)網(wǎng)絡(luò)匯聚點(diǎn)，將所轄各營業(yè)網(wǎng)點(diǎn)與中心的通信會(huì)集到一條主干信道，提供各營業(yè)網(wǎng)點(diǎn)與中心以及分局內(nèi)各營業(yè)網(wǎng)點(diǎn)之間的通信服務(wù)，是網(wǎng)絡(luò)中的主干結(jié)點(diǎn)。分中心的計(jì)算機(jī)站點(diǎn)約有100個(gè)，因而也適合交換平臺的設(shè)計(jì)。建議采用Catalyst 3000交換機(jī)作為局網(wǎng)中心。Catalyst 3000是一個(gè)可堆迭的高性能局域網(wǎng)交換機(jī)，最多可由8個(gè)Catalyst 3000進(jìn)行堆迭，統(tǒng)一由一個(gè)Matrix來管理，堆迭支持冗余Matrix連接，因而具有很高的可靠性，其高速端口能支持快速以太網(wǎng)和ATM模塊，能直接和ATM/100BASET 交換機(jī)互連并能滿足將來升級的需要。各網(wǎng)絡(luò)分中心配置一臺AS2522訪問服務(wù)器，向上通過一個(gè)高速同步口經(jīng)PSNT/DDN信道與中心的核心路由器Cisco7206連接，同時(shí)通過異步口實(shí)現(xiàn)與中心AS2511的撥號備份連接，保障與中心的可靠通信。每臺AS2522有8個(gè)同異步口，經(jīng)DDN或電話線提供對所轄各營業(yè)網(wǎng)點(diǎn)的通信連接。第三節(jié) 末端網(wǎng)點(diǎn)建設(shè)末端網(wǎng)點(diǎn)通過CISCO 2507路由器經(jīng)PSNT/DDN信道以較高速率與分中心CISCO 2522路由器相連，并通過撥號備份功能實(shí)現(xiàn)與中心AS2511的撥號連接，保證可靠通信。Cisco2507具有很高的性能價(jià)格比。是Hub + Router 的集成產(chǎn)品，具有16端口的Hub，可以很方便地組建一個(gè)局域網(wǎng)，減少了組網(wǎng)時(shí)對HUB的需求，既簡化了網(wǎng)絡(luò)連接，又減少了故障點(diǎn)；而且其集成的Hub具有SNMP 功能，通過CiscoWorks 網(wǎng)管平臺，中心網(wǎng)絡(luò)管理員除可對路由器進(jìn)行遠(yuǎn)程監(jiān)控配置外，更可管理到所集成Hub的各個(gè)端口，獲得網(wǎng)點(diǎn)局域網(wǎng)的實(shí)際操作情況和統(tǒng)計(jì)數(shù)據(jù)。以上是針對市供電局業(yè)務(wù)網(wǎng)絡(luò)系統(tǒng)所提出的一個(gè)具體網(wǎng)絡(luò)架構(gòu)，該架構(gòu)基于市供電局的需求，同時(shí)考慮了今后的業(yè)務(wù)發(fā)展，以及國內(nèi)電信發(fā)展?fàn)顩r，并結(jié)合當(dāng)前網(wǎng)絡(luò)的最新技術(shù)，所以整個(gè)網(wǎng)絡(luò)系統(tǒng)具有很好的性能、可擴(kuò)展性和靈活性，可完全滿足今后較長一段時(shí)期內(nèi)業(yè)務(wù)發(fā)展的需要，除了可對業(yè)務(wù)系統(tǒng)作出完好支持之外，還可對今后OA、MIS系統(tǒng)的建設(shè)，Internet接入，以及客戶自助服務(wù)、移動(dòng)辦公等提供很好的支持。網(wǎng)絡(luò)總體方案圖見下頁。第四節(jié)、網(wǎng)絡(luò)安全性對供電系統(tǒng)來說，安全性的保證是重要問題。網(wǎng)絡(luò)系統(tǒng)作為整個(gè)業(yè)務(wù)系統(tǒng)對外的第一道安全屏障，如何有效地防止外來的非法入侵，保障系統(tǒng)安全，具有重大意義。具體實(shí)現(xiàn)如下：一、局域網(wǎng)安全性網(wǎng)絡(luò)中心采用了虛網(wǎng)技術(shù)。虛網(wǎng)技術(shù)如前所述，是一種安全的防護(hù)。由于供電局后期還要建設(shè)自己的OA/MIS系統(tǒng)以及其它的信息系統(tǒng)等，所以VLAN功能對于網(wǎng)絡(luò)建設(shè)意義重大。在業(yè)務(wù)、OA、MIS以及Intranet等系統(tǒng)都連到中心局域網(wǎng)后，可通過把不同的系統(tǒng)劃分在不同VLAN的方式，將各系統(tǒng)完全隔離，實(shí)現(xiàn)對跨部門訪問的控制，既保證了安全性，也提高了可管理性。不同的VLAN之間如需要互相通信，必須通過100M的快速以太網(wǎng)端口與路由器相連，由路由器提供虛網(wǎng)的路由和訪問控制。VLAN的劃分及控制結(jié)構(gòu)如下圖：業(yè)務(wù)主機(jī)VLAN1網(wǎng)管平臺100MVLAN2VLAN路由二、廣域網(wǎng)安全性系統(tǒng)支持不同的應(yīng)用和多種協(xié)議共用同一通信信道和網(wǎng)絡(luò)設(shè)備，數(shù)據(jù)在網(wǎng)絡(luò)上的流入和流出均由路由器進(jìn)行控制，不同應(yīng)用的數(shù)據(jù)定向到不同的設(shè)備，不會(huì)造成任何沖突，實(shí)現(xiàn)了在一個(gè)物理網(wǎng)絡(luò)上運(yùn)行多個(gè)邏輯網(wǎng)絡(luò)。對放到各網(wǎng)點(diǎn)的遠(yuǎn)程路由器可由中心的系統(tǒng)管理員進(jìn)行遠(yuǎn)程管理，實(shí)現(xiàn)集中控制，保證安全性。對于本系統(tǒng)來說，廣域網(wǎng)的通信信道既有租用的DDN專線，在撥號備份以及遠(yuǎn)程撥號訪問中又使用了公用交換電話網(wǎng)（PSTN）。由于目前DDN各網(wǎng)絡(luò)端口之間有固定的連接定義，用它構(gòu)造的用戶網(wǎng)絡(luò)具有一定的封閉性，而PSTN則完全是一個(gè)大家都可以使用的公共網(wǎng)，所以在廣域網(wǎng)的安全控制方面，對遠(yuǎn)程撥號訪問的安全控制顯得更為重要。要保證網(wǎng)絡(luò)訪問的安全，對所有遠(yuǎn)程連接都應(yīng)設(shè)置AAA(Authentication Authorization Account，即認(rèn)證、授權(quán)、記帳)級安全控制，防止非法用戶的訪問。具體的實(shí)現(xiàn)細(xì)節(jié)如下：在中心局域網(wǎng)配置一臺安裝CiscoSecure軟件的服務(wù)器，CiscoSecure軟件使用TACACS+（Enhanced Terminal Access Controller Access Control System）協(xié)議提供對網(wǎng)絡(luò)的安全控制，并對連接到網(wǎng)絡(luò)的用戶的操作進(jìn)行記錄。對于遠(yuǎn)程撥號訪問，還應(yīng)配置PPP協(xié)議提供的CHAP（Challenge Handshake Authorization Protocol）認(rèn)證協(xié)議，該協(xié)議是一個(gè)基于標(biāo)準(zhǔn)的認(rèn)證服務(wù)，而且在傳輸過程中使用加密保護(hù)，與在傳輸用戶ID和口令時(shí)不使用加密的PAP協(xié)議相比，具有更大的安全性，可提供用戶ID和口令在傳輸線上的安全保護(hù)。TACACS+提供的AAA級安全控制首先根據(jù)用戶名和口令識別本網(wǎng)絡(luò)是否允許該用戶訪問，從而決定是否