【文章內(nèi)容簡介】 任務，其目的是確保整個網(wǎng)絡系統(tǒng)具有高度的可擴展性、安全性、可靠性、高效率、無阻塞。 湖南移動互聯(lián)網(wǎng)網(wǎng)絡可采用二層結構：骨干層和接入層。根據(jù)工程建設條件，整個工程可分布實施，在各層次網(wǎng)絡功能不變的情況下，其結構可逐步調(diào)整，以滿足業(yè)務發(fā)展的需要。 由于本網(wǎng)絡覆蓋的范圍包括全省所有地市縣，采用平級結構將造成網(wǎng)絡結構的復雜化、網(wǎng)絡荷載不平衡等諸多不利因素，而采用骨干層和接入層相接合，各自分擔不同的業(yè)務量，則可完全避免上述不利因素。 骨干層是整個網(wǎng)絡的核心，負責整個網(wǎng)絡網(wǎng)絡數(shù)據(jù)流量、流向的調(diào)度，網(wǎng)絡管理，使整個網(wǎng)絡資源得到有效充分的利用。 骨干層一般包括星型結構、鏈接結構、環(huán)形結構和網(wǎng)狀結構等四種類型，根據(jù)建設條件、數(shù)據(jù)量等諸多因素考慮采用何種結構。 星型結構是指所有節(jié)點均匯接到一個骨干節(jié)點上，其好處是網(wǎng)絡結構簡單，管理方便。但采用星型結構有一個致命弱點，就是網(wǎng)絡安全性極差，匯接節(jié)點的任何故障對全網(wǎng)都是致命的。一般在傳輸條件不允許，業(yè)務量很小，工程建設初期采用該結構。 鏈接結構：一般由 2～3 個骨干節(jié)點組成，采用直鏈方式，其安全性比星型結構稍好，主要是在傳輸條件不具備的情況下才采用的結構。 環(huán)形結構：所有的骨干節(jié)點采用環(huán)狀結構相連，每個節(jié)點由兩個方向的出口，可保證一個方向出現(xiàn)故障后，另一個方向確保通信。 網(wǎng)狀結構：所有的節(jié)點采用網(wǎng)狀網(wǎng)結構，每一個節(jié)點至少有兩個以上的出口，其安全可靠等級最高。由于目前湖南移動公司沒有獨立的傳輸系統(tǒng)和光纜網(wǎng)絡，根據(jù)業(yè)務預測的時間“點”要求，本工程分二期完成，本工程為一期工程，采用星形結構組網(wǎng)，2022 年左右為二期工程，根據(jù)業(yè)務的需要，在不同的建設期采用不同的網(wǎng)絡結構。本工程必須保證在滿足近期業(yè)務的同時，必須考慮二期工程實施后，本工程投入的資源得以有效利用。 網(wǎng)絡結構分析根據(jù)上述網(wǎng)絡組織的基本思路，湖南移動互聯(lián)網(wǎng)可采用的網(wǎng)絡結構可以為星型結構、鏈接結構、環(huán)形結構和網(wǎng)狀結構，考慮到目前湖南移動公司沒有獨立的傳輸系統(tǒng)和光纜網(wǎng)絡，而且在工程建設的初期，因此建議首期工程采用星形結構。網(wǎng)絡采用兩層結構：即核心層和接入層。 核心層結構分析從全省業(yè)務、管理體制和網(wǎng)絡出口等多方面因素考慮，省會長沙作為全網(wǎng)核心層骨干節(jié)點比較合適。 長沙骨干節(jié)點由自治域管理中心、匯接節(jié)點、長沙本地節(jié)點以及中繼電路組成，負責整個網(wǎng)絡的管理，接入層長沙、岳陽、常德、張家界、懷化、吉首、益陽，衡陽、株洲、湘潭、邵陽、郴州、婁底、永州等 14 個接入節(jié)點的網(wǎng)絡匯接和省網(wǎng)對國家網(wǎng)的網(wǎng)絡出口。 具體結構詳見附圖一：網(wǎng)絡總體結構圖。 接入層結構分析 接入層由接入節(jié)點和接入通路組成，負責本地區(qū)移動互聯(lián)網(wǎng)用戶的接入。接入節(jié)點原則上為移動互聯(lián)網(wǎng)的城市級 ISP，由主路由器和各類功能的接入服務器組成。接入通路包括固定專線用戶、無線專線用戶、無線數(shù)據(jù)用戶、無線撥號用戶、固定 PSTN/ISDN 撥號用戶以及光纖接入用戶等。 節(jié)點結構分析 長沙節(jié)點結構長沙節(jié)點由移動互聯(lián)網(wǎng)國家干線網(wǎng)長沙節(jié)點、省網(wǎng)核心層長沙骨干（匯接）節(jié)點、長沙本地網(wǎng)接入節(jié)點三部分組成，邏輯上分屬國家骨干網(wǎng)、省網(wǎng)骨干網(wǎng)和長沙本地接入網(wǎng)等三個層次。 省網(wǎng)長沙骨干（匯接）節(jié)點長沙骨干節(jié)點負責對長沙、岳陽、常德、益陽、張家界、懷化、吉首、衡陽、株洲、湘潭、郴州、永州、邵陽、婁底等 14 個地市本地接入節(jié)點的網(wǎng)絡匯接。長沙骨干節(jié)點配置兩臺骨干（匯接）路由器，作為整個湖南移動互聯(lián)網(wǎng)的網(wǎng)絡匯接中心。骨干路由器分別連接移動互聯(lián)網(wǎng)國家網(wǎng)長沙路由器相連，作為省網(wǎng)的對外出口；與省中心路由器相連，作為省網(wǎng)的網(wǎng)管及計費通路；與湖南移動門戶Web 站點相連；與長沙接入節(jié)點主路由器相連。本網(wǎng)不提供對國內(nèi)其它網(wǎng)絡的直接互聯(lián)，所有的國內(nèi)、國際連接均通過移動互聯(lián)網(wǎng)國家骨干網(wǎng)完成。具體結構詳見附圖三：長沙節(jié)點網(wǎng)絡結構 接入層長沙節(jié)點長沙接入節(jié)點完成長沙地區(qū)專線用戶、GSM/PSTN 撥號用戶和無線局域網(wǎng)專線用戶的接入，負責長沙地區(qū)固定專線用戶、無線專線用戶、無線數(shù)據(jù)用戶、無線撥號用戶、固定 PSTN/ISDN 撥號用戶、光纖接入用戶及 IP 電話網(wǎng)關組成。具體結構詳見附圖三：長沙節(jié)點網(wǎng)絡結構 省中心 結構省中心節(jié)點以中心路由器作為網(wǎng)間互聯(lián)設備，對外連接長沙骨干節(jié)點路由器，對內(nèi)采用雙網(wǎng)連接以太網(wǎng)交換機；以太網(wǎng)交換機作為省中心節(jié)點內(nèi)部交換設備，將 DNS、網(wǎng)管、認證、計費等服務器設備以交換方式連接起來。具體結構詳見附圖二：省中心網(wǎng)絡結構圖。 功能省中心作為湖南移動互聯(lián)網(wǎng)網(wǎng)絡的網(wǎng)管中心和計費中心?！?網(wǎng)管服務器 通過網(wǎng)管服務器對全網(wǎng)各節(jié)點通信設備、服務器設備、各端口 I/O 數(shù)據(jù)、數(shù)據(jù)庫、處理進程等各類任務實施監(jiān)控和故障報警，對部分網(wǎng)絡設備、服務器設備、通信端口實施遠程調(diào)度和設置。● 域名服務器負責登記、解析域內(nèi)用戶域名?！?計費服務器負責對網(wǎng)內(nèi)撥號、有線專線、無線專線、IP 電話用戶的計費?！?認證服務器負責對網(wǎng)內(nèi)撥號、IP 電話用戶的認證。 接入節(jié)點結構地市接入節(jié)點完成本地區(qū)專線用戶、GSM/PSTN 撥號用戶和無線局域網(wǎng)專線用戶的接入，負責本地區(qū) GSM/PSTN IP 電話的接入，由接入主路由器、專線接入路由器、無線局域網(wǎng)路由器、撥號服務器及 IP 電話網(wǎng)關組成。具體結構詳見附圖四：接入節(jié)點網(wǎng)絡結構 湖南移動門戶 Web 站點結構本網(wǎng)站內(nèi)部局域網(wǎng)采用快速以太網(wǎng)技術組網(wǎng)，以 100Mbps 作為局域網(wǎng)基本速率，各功能服務器均以雙工 100Mbps 入網(wǎng)。網(wǎng)絡采用雙網(wǎng)結構，重要的服務器采用單機雙網(wǎng)或雙機雙網(wǎng)構造，確保系統(tǒng)的可靠性。整個站點網(wǎng)絡以 1000Mbps 的連接速率進入湖南移動互聯(lián)網(wǎng)骨干網(wǎng)。具體結構詳見附圖五：湖南移動門戶 Web 站點網(wǎng)絡結構第五章 湖南移動互聯(lián)網(wǎng)業(yè)務接入方式 撥號接入撥號接入包括 GSM 撥號接入和固定 PSTN 撥號接入，均通過撥號接入服務器完成接入功能。由于本工程在每個地市局設置了接入節(jié)點，為節(jié)省長途交換電路，按就近配置的原則，原則上在每個接入節(jié)點設置接入服務器。GSM 的接入直接由本地 MSC 進入接入服務器（不同的本地 MSC 之間可開172 特服直達電路）。PSTN 的接入可采用兩種方案：一、通過移動關口局 GMSC 接入；二、從PSTN 匯接局接入。 專線接入專線接入包括固定專線電路接入和無線專線電路接入。由于本工程在每個地市局設置了接入節(jié)點，原則上在每個接入節(jié)點設置接入服務器。固定專線電路接入包括湖南通信能提供的各類接入方式：物理專線接入（電纜、光纜）、數(shù)據(jù)電路接入（.、DDN）、傳輸電路接入（SDH、PDH、固定時序電路）等，由于目前移動尚不能提供數(shù)據(jù)通信網(wǎng)、傳輸網(wǎng)和城域網(wǎng)，因此大部分電路需要租用其它通信公司。無線專線電路主要指無線局域網(wǎng)電路，采用 協(xié)議。 WAP 接入業(yè)務在設置了 WAP 網(wǎng)關的地市，WAP 網(wǎng)關直接接入 CMNetHN 本地接入節(jié)點的局域網(wǎng)內(nèi)，其 WAP 的門戶站點和業(yè)務站點服務器均設置在省移動門戶 Web 站點內(nèi)。WAP 業(yè)務詳細技術內(nèi)容參見“中國移動 WAP 組網(wǎng)方案”第六章 網(wǎng)絡管理方案 網(wǎng)絡管理模式分析 中國移動互聯(lián)網(wǎng)的網(wǎng)絡管理應符合 IETF 提出的網(wǎng)絡管理體系。根據(jù)中國移動互聯(lián)網(wǎng)的網(wǎng)絡結構形式和技術體制要求，網(wǎng)絡管理采用兩級管理的方式，設置一級網(wǎng)管中心和二級網(wǎng)管中心。 一級網(wǎng)管中心全國設置一個。為保證網(wǎng)絡管理安全可靠，隨著網(wǎng)絡發(fā)展應在異地設置一個一級網(wǎng)管備用中心。 一級網(wǎng)管中心負責骨干網(wǎng)的管理，完成骨干網(wǎng)的各項管理功能。此外，一級網(wǎng)管中心還負責各二級網(wǎng)管中心的管理，并可通過二級網(wǎng)管中心對省網(wǎng)實施各項管理功能。 二級網(wǎng)管中心按省設置，每個省內(nèi)網(wǎng)分別設置一個二級網(wǎng)管中心，負責完成省內(nèi)網(wǎng)的管理功能。省網(wǎng)管中心主要功能是完成對所轄本省網(wǎng)絡的配置管理、故障管理、性能管理、安全管理以及對本網(wǎng)管中心管理網(wǎng)設備的管理。 網(wǎng)絡管理接口分析 省網(wǎng)管中心與省內(nèi)網(wǎng)路由器之間采用 SNMP 等協(xié)議的接口。 一級網(wǎng)管中心與省網(wǎng)管中心之間采用 SNMP、CMIP 或其他協(xié)議的接口。 隨著網(wǎng)絡的發(fā)展，今后可要求一級網(wǎng)管中心與二級網(wǎng)管中心之間向其他網(wǎng)管系統(tǒng)提供管理接口。 網(wǎng)管中心的連接 可通過局域網(wǎng)直接連入本 IP 網(wǎng)網(wǎng)絡節(jié)點，進行帶內(nèi)管理。隨著網(wǎng)絡規(guī)模的發(fā)展，在適當?shù)臈l件下應考慮在省網(wǎng)管中心和 IP 省內(nèi)網(wǎng)之間采用帶外連接。 網(wǎng)絡管理功能分析 網(wǎng)絡設備管理主要負責對路由器、以太網(wǎng)交換機、接入服務器等網(wǎng)絡資源的管理，管理功能主要包括配置管理、故障管理、性能管理、安全管理。 配置管理是指通過網(wǎng)管接口接入所能實現(xiàn)的網(wǎng)絡資源和配置管理功能。故障管理負責監(jiān)視網(wǎng)絡設備的故障告警，進行故障論斷及定位分析。故障管理的主要功能包括： 性能管理是向網(wǎng)絡運營者提供網(wǎng)絡設備的性能特性，以供網(wǎng)絡趨勢分析、網(wǎng)絡擴建、網(wǎng)絡控制時參考。 安全管理負責監(jiān)視網(wǎng)絡危險情況，對危險進行隔離，并把危險控制在最小的范圍內(nèi)；負責口令管理，對無權操作售貨員進行控制；對網(wǎng)絡鏈路傳送的信息加密、解密。 服務器資源管理功能 網(wǎng)上的服務器用于完成網(wǎng)絡特定的服務功能。服務器資源主要有： 域名服務器 EMAIL 服務器 計費服務器 信息源服務器 其它 對網(wǎng)上各種服務器公共資源的管理深度要求應視服務器本身執(zhí)行的功能而定。 對各種服務器的公共管理功能主要包括配置管理、故障管理、安全管理等方面。 傳輸相關的管理功能網(wǎng)管系統(tǒng)應提供對路由器中與 SDH 傳送接口相關的管理功能。對于 SDH 傳送網(wǎng)絡的管理，應由專門的傳輸網(wǎng)網(wǎng)管系統(tǒng)負責。 網(wǎng)絡安全管理 安全種類 意外事故包括網(wǎng)絡管理、操作人員的誤操作，意外的線路或設備故障等 人為的故意破壞指人為故意非法竊取他人主機內(nèi)的情報、信息，惡意破壞網(wǎng)絡和他人的數(shù)據(jù)資源等。 可靠性對策 網(wǎng)絡結構的設計應具有高度的抗破壞性，不會因個別設備或通信線路的損毀而導致網(wǎng)絡的癱瘓。 核心層設備和部件應作冗余設計 重要的通信線路應作多路備份 域名服務器應作備份 重要的資源服務器應作備份 信息安全保護 基于應用層網(wǎng)關的防火墻保護 應用層安全按照安全策略檢查雙向通信，具有用戶透明、集成管理、強力加密和高吞吐量等功能?！?支持流行的多媒體實時服務，如 Real Audio/Video、Microsoft Netshow、VDOlive 等；● 支持主要的防火墻防病毒軟件配置防火墻檢查進入網(wǎng)絡的文件、消息和 WEB 內(nèi)容；防止 Java 和ActiveX 小程序攻擊網(wǎng)絡；支持 URL 過濾，遠程報告和實時報警等● 支持 SQL*Net Proxy可以安全地在網(wǎng)絡環(huán)境下連接數(shù)據(jù)庫，如 Oracle。● 支持如終端服務（Tel、Rlogin），文件轉送(FTP)，電子郵件(SMTP、POP3)、WWW(HTTP、SHTTP、SSL、Gopher)、遠程運行(RSH)、簡單網(wǎng)管協(xié)議(SNMP)服務的防火墻處理?！?可運行于多種平臺上，如 SUN、HP、IRIX 上的 UNIX、NT，支持以太網(wǎng)。● 具備 2022 年問題的兼容性。 全局虛擬專用網(wǎng)（GVPN）保護基于標準的 VPN，具備可集成 IPSec、ISAKMP/Oakley、可輸出的 Triple DES 和公共密鑰功能?！?安全性：具備密鑰恢復技術（RecoverKey），可輸出高強度的加密，包括一般商業(yè)需求的 56 位 DES 和糜疳數(shù)據(jù)高級加密需求的三倍以上的DES?！?基于標準的加密：對 IPSec 標準的實現(xiàn)可提供防火墻、硬件、不同 VPN廠商之間的互操作性。IPSec 作為安全協(xié)議標準，認證 VPN 節(jié)點、加密數(shù)據(jù)和提供 TCP/IP 連接的完整性?！?自動密鑰產(chǎn)生和交換：包括動態(tài)會話密鑰產(chǎn)生和交換。由 ISAKMP 協(xié)商的信任模型選擇密鑰、加密和認證算法以及其它滿足雙方安全策略需求的參數(shù)?！?提供認證中心（CA）：提供簡單、易用的用戶公鑰證書自動認證。● 支持的服務：終端服務（TELNET、Rlogin）、文件轉送(FTP)、電子郵件(SMTP、POP3)、WWW(HTTP、SHTTP、SSL、Gopher)、X 窗口系統(tǒng)(X11)、遠程運行(Rsh)、域名服務(DNS)、簡單網(wǎng)管協(xié)議(SNMP)、各類SQL、RealAudio/Video、Netshow、VDOlive● 可伸縮性：可與應用層網(wǎng)關防火墻一起使用，采用 公共密鑰證書建立基于公共密鑰的信任模型。 實時網(wǎng)絡入侵檢測網(wǎng)絡安全系統(tǒng)的檢測功能功能：● 實時檢測各種訪問企圖，并收集關鍵數(shù)據(jù)；