【導(dǎo)讀】數(shù)據(jù)中心建設(shè)項(xiàng)目。江蘇鴻信系統(tǒng)集成有限公司

　　

【正文】 制解決方案，對(duì)您的網(wǎng)絡(luò)和安全基礎(chǔ)設(shè)施投資構(gòu)成補(bǔ)充。思科安全 MARS 是一個(gè)性能出眾的可 擴(kuò) 展 威 脅 防 御 設(shè) 備 系 列 ， 通 過(guò) 結(jié) 合 網(wǎng) 絡(luò) 智 能 、ContextCorrelationTM、 SureVectorTM 分析和 AutoMitigateTM 功能，來(lái)使公司能作好準(zhǔn)備，識(shí)別、管理和消除網(wǎng)絡(luò)攻擊并保持法規(guī)符合性，從而增強(qiáng)已部署的網(wǎng)絡(luò)設(shè)備和安全措施。 ? 思科安全 MARS 的主要特性和優(yōu)勢(shì) ? 網(wǎng)絡(luò)智能事件匯總和性能處理 思科安全 MARS了解路由器、交換機(jī)和防火墻的拓?fù)浜驮O(shè)備配置，以及網(wǎng)絡(luò)流量配置，實(shí)現(xiàn)了網(wǎng)絡(luò) 智能。通過(guò)該系統(tǒng)的集成網(wǎng)絡(luò)發(fā)現(xiàn)功能，可構(gòu)建一個(gè)包括設(shè)備配置和當(dāng)前安全策略的拓?fù)鋱D，使思科安全MARS 能對(duì)您網(wǎng)絡(luò)中的分組流建模。因?yàn)榇嗽O(shè)備不在內(nèi)部運(yùn)行，極少使用現(xiàn)有軟件代理，所以對(duì)網(wǎng)絡(luò)或系統(tǒng)性能的影響極小。 這一設(shè)備集中匯總了來(lái)自各種常用網(wǎng)絡(luò)設(shè)備（如路由器和交換機(jī)）、安全設(shè)備和應(yīng)用（如防火墻、入侵檢測(cè)、漏洞掃描器和防病毒軟件）、主機(jī)（如 Windows、 Solaris 和 Linux 系統(tǒng)日志）、應(yīng)用（如數(shù)據(jù)庫(kù)、 Web 服務(wù)器和驗(yàn)證服務(wù)器）以及網(wǎng)絡(luò)流量（如 Cisco NetFlow）的日志和事件。 ContextCorrelationTM 在接收到事件和數(shù)據(jù)時(shí)，可針對(duì)網(wǎng)絡(luò)拓?fù)?、所發(fā)現(xiàn)的設(shè)備配置、相同的源和目的地應(yīng)用（跨 NAT 邊界）和類似的攻擊類型，來(lái)對(duì)信息進(jìn)行標(biāo)準(zhǔn)化。相似的事件會(huì)進(jìn)行實(shí)時(shí)分組，隨后對(duì)其運(yùn)用由系統(tǒng)和用戶定義的關(guān)聯(lián)規(guī)則，來(lái)識(shí)別事故。系統(tǒng)配備了全面的預(yù)定義規(guī)則， Protego 會(huì)經(jīng)常更新這些規(guī)則，它們能識(shí)別大多數(shù)混合攻擊、零日攻擊和蠕蟲。一個(gè)圖形化規(guī)則定義框架簡(jiǎn)化了用戶為任何應(yīng)用創(chuàng)建定制規(guī)則的過(guò)程。 ContextCorrelation 大大減少了原始事件數(shù)據(jù)、實(shí)現(xiàn)了響應(yīng)優(yōu)先級(jí)劃分并可最大限度地發(fā)揮所部署的措施的作用。 高性能匯總和整合。思科安全 MARS 解決方案可獲取數(shù)千個(gè)原始事件，高效地對(duì)事件分類，實(shí)現(xiàn)前所未有的數(shù)據(jù)減少，并壓縮這些信息以進(jìn)行歸檔。管理大量安全事件需要一個(gè)安全、穩(wěn)定的集中記錄平臺(tái)。思科安全 MARS 設(shè)備可安全地優(yōu)化，接收極其大量的事件流量—— 每秒超過(guò) 10000 個(gè)事件或每秒超過(guò) 30 萬(wàn)個(gè) NetFlow 事件。通過(guò)即將榮獲專利的 Protego 內(nèi)部處理邏輯和采用內(nèi)嵌 Oracle?，這一切成為可能。所有數(shù)據(jù)庫(kù)功能和調(diào)整都對(duì)用戶透明。板載存儲(chǔ)并可將歷史數(shù)據(jù)檔案持續(xù)壓縮到 NFS備用存儲(chǔ)設(shè)備的功能，使思科安全 MARS成為一 個(gè)強(qiáng)大的安全日志 /事件匯總解決方案。 ? 事件查看和有效防御 思科安全 MARS 有助于加速和簡(jiǎn)化威脅識(shí)別、調(diào)查、校正和防御的過(guò)程。安全人員通常面臨著所提交的事件需要耗時(shí)的分析才能解決問(wèn)題和進(jìn)行修復(fù)的情況。思科安全 MARS 具有一個(gè)功能強(qiáng)大的交互式安全管理控制臺(tái)。操作員 GUI 提供了一個(gè)由實(shí)時(shí)熱點(diǎn)、事故、攻擊路徑和具體調(diào)查組成的拓?fù)鋱D，可使用戶完全了解事件 —— 立即確認(rèn)有效威脅。 SureVectorTM 分析事件進(jìn)程等過(guò)程，通過(guò)評(píng)估直至終端 MAC 地址的整個(gè)攻擊路徑，來(lái)確定威脅是否有效或是否已進(jìn)行了防御。這一自動(dòng)過(guò)程是由分 析防火墻和入侵防御應(yīng)用等設(shè)備記錄、分析第三方漏洞評(píng)估數(shù)據(jù)，以及籍由思科安全 MARS 終端掃描來(lái)消除誤報(bào)而完成的。用戶可快速、精確地調(diào)整系統(tǒng)，來(lái)進(jìn)一步減少誤報(bào)。 所有安全計(jì)劃的最終目標(biāo)是保持系統(tǒng)在線并正常運(yùn)作 —— 即防御安全違背、抑制事件并進(jìn)行修復(fù)。憑借思科安全 MARS，操作員可迅速了解攻擊中涉及的所有組件，這可具體到受破壞的系統(tǒng) MAC 地址。AutoMitigateTM 功能可識(shí)別攻擊路徑上的阻塞點(diǎn)設(shè)備，并自動(dòng)提供用戶可用以防御威脅的適當(dāng)設(shè)備命令。通過(guò)充分利用基礎(chǔ)設(shè)施，可快速、準(zhǔn)確地防御和抑制攻擊。 ? 實(shí)時(shí)調(diào)查和法規(guī) 符合性報(bào)告 思科安全 MARS 具有一個(gè)易于使用的分析框架，簡(jiǎn)化了傳統(tǒng)的安全工作流程，在日常運(yùn)作和特殊審查時(shí)實(shí)現(xiàn)了自動(dòng)的案例分配、調(diào)查、提交、通知和說(shuō)明。它可圖形化地重現(xiàn)攻擊并檢索所存儲(chǔ)的事件數(shù)據(jù)，來(lái)分析以前的事件。此系統(tǒng)完全支持臨時(shí)查詢，可進(jìn)行實(shí)時(shí)和持續(xù)數(shù)據(jù)采集。 思科安全 MARS 提供大量的預(yù)定義報(bào)告，來(lái)滿足運(yùn)營(yíng)需要，有助于達(dá)到法規(guī)符合性要求，包括 Sarbox、 GLBA、 HTPPA、 FISMA 和Basel II。一個(gè)直觀的報(bào)告生成器可以修改 80 多種標(biāo)準(zhǔn)報(bào)告或生成新報(bào)告，以一種無(wú)限制的方式，用數(shù)據(jù)、趨勢(shì)和圖表格 式構(gòu)建安全措施和修復(fù)計(jì)劃、事件和網(wǎng)絡(luò)活動(dòng)、安全狀態(tài)和審查，以及部門報(bào)告。此系統(tǒng)也能提供批報(bào)告和電子郵件報(bào)告。 ? 迅速部署和可擴(kuò)展管理 思科安全 MARS 置于一個(gè) TCP/IP 網(wǎng)絡(luò)上，可發(fā)送和接收系統(tǒng)日志、 SNMP 捕獲，并通過(guò)標(biāo)準(zhǔn)安全協(xié)議或廠商特定協(xié)議，與已部署的網(wǎng)絡(luò)和安全設(shè)備建立安全連接。只需將其插入網(wǎng)絡(luò)即可。安裝和部署思科安全 MARS 時(shí)無(wú)需其他硬件、操作系統(tǒng)補(bǔ)丁、許可或冗長(zhǎng)的專業(yè)服務(wù)部署過(guò)程。您只需配置您的日志源，指向 MARS 設(shè)備，并通過(guò)基于 Web 的 GUI 定義任意網(wǎng)絡(luò)和數(shù)據(jù)源。 該設(shè)備由一個(gè)安全、基于 Web 的界 面集中管理，它支持基于角色的管理?？蛇x思科安全 MARS GC 設(shè)備集中了廣泛的安全操作，可提供整個(gè)企業(yè)的單一視圖，分發(fā)訪問(wèn)權(quán)限、配置、更新、定制規(guī)則和報(bào)告模板，并將復(fù)雜的調(diào)查與本地處理的加速查詢和報(bào)告相結(jié)合。 因?yàn)楸镜厮伎瓢踩?MARS 設(shè)備可在整個(gè)企業(yè)中執(zhí)行查詢和規(guī)則，因此能高效地獲得整合結(jié)果，快速、集中地在思科安全 MARS GC 中進(jìn)行分析。這一可擴(kuò)展架構(gòu)提供了一個(gè)附加的分布處理和存儲(chǔ)層。因此可實(shí)現(xiàn)更為經(jīng)濟(jì)有效的部署和更高可管理性，滿足地理位置分散的大型機(jī)構(gòu)的需求。 、 設(shè)備概述 （此處為相應(yīng)的設(shè)備描述，根 據(jù)不同項(xiàng)目，使用的不同設(shè)備描述） 、 CISCO 7010 核心交換機(jī) CSICO 7010 是一款針對(duì)大規(guī)模數(shù)據(jù)中心應(yīng)用而設(shè)計(jì)的核心交換機(jī)，它的吞吐量可以達(dá)到 15Tbps。它目前可以支持 10Gbps 的以太網(wǎng)，將來(lái)根據(jù)需要可以升級(jí)到支持 40Gbps/100Gbps 以太網(wǎng)。它采用CSICO NXOS 操作系統(tǒng)，創(chuàng)新之處在于可以支持端到端的大規(guī)模數(shù)據(jù)中心連接。它最大可以同時(shí)支持 256 個(gè) 10Gbps 以太網(wǎng)端口或 384個(gè) 10/100/1000Mbps 以太網(wǎng)端口。 、 CSICO NXOS操作系 統(tǒng) 集合了 CSICO 的大量創(chuàng)新的健壯、自愈、豐富的特征設(shè)置。 內(nèi)核的模塊化、虛擬性和彈性設(shè)置支持其強(qiáng)大靈活性和可升級(jí)性。 支持 IPv4 和 IPv6 服務(wù)、路由和多播。 全面的安全設(shè)置、高可用性和管理性特征。 、 優(yōu)勢(shì) 支持基礎(chǔ)設(shè)施的可升級(jí)性： （ 1）系統(tǒng)支持的最大吞吐量可達(dá) 15Tbps，為未來(lái)提供了極大的升級(jí)空間。 （ 2）支持多核和多線程的操作系統(tǒng)可以將不同的任務(wù)分配給不同的 CPU 核并行運(yùn)算，達(dá)到優(yōu)化 CPU 資源利用率。 （ 3） CSICO 的安全策略標(biāo)準(zhǔn)：鏈路層加密、安全組接入控制鏈表、基于角色的接入 控制。 （ 4）靈活的網(wǎng)絡(luò)流量控制策略。 傳輸?shù)撵`活性 虛擬的控制界面和數(shù)據(jù)界面，可以最優(yōu)化其性能。 虛擬化設(shè)備管理可以最大化軟件和硬件資源利用率，同時(shí)提供強(qiáng)大的安全機(jī)制和軟件錯(cuò)誤隔離。 可以支持未來(lái)的 40Gbps 和 100Gbps 以太網(wǎng)標(biāo)準(zhǔn)。 、 CSICO 7010 模塊組成：一個(gè) 7010 包含 10個(gè)插槽，其中兩個(gè)分配給監(jiān)督控制模塊，另外 8個(gè)分配給以太網(wǎng) I/O模塊。 監(jiān)督控制模塊：基于雙核處理器實(shí)現(xiàn)控制和管理功能；一臺(tái) 7010最多包含 2 個(gè)該模塊。 48 端口 10/100/1000Mbps 以太網(wǎng) I/O 模塊：一臺(tái) 7010 最多包含 8個(gè)該模塊，即最多同時(shí)支持 384 個(gè) 10/100/1000Mbps 以太網(wǎng)端口，同時(shí)每個(gè)端口都支持 CSICO 的安全策略標(biāo)準(zhǔn)。 32 端口 10Gbps 以太網(wǎng) I/O 模塊：一臺(tái) 7010 最多包含 8 個(gè)該模塊，即最多同時(shí)支持 256 個(gè) 10Gbps 以太網(wǎng)端口，同時(shí)每個(gè)端口都支持CSICO 的安全策略標(biāo)準(zhǔn)。 用于插槽間連接的光纖模塊：提供 I/O 模塊之間、監(jiān)督控制模塊之間以及 I/O 模塊和監(jiān)督控制模塊之間的并行光纖通道。最多同時(shí)允許五個(gè)同步光纖模塊為每個(gè)插槽提供高達(dá) 230Gbps 吞吐量。 、 安 全性 允許進(jìn)入控制：對(duì)網(wǎng)絡(luò)設(shè)備和終端使用拓?fù)洫?dú)立的支持 的鑒定與授權(quán)機(jī)制。 保密性與完整性設(shè)置：當(dāng)網(wǎng)絡(luò)中加入網(wǎng)絡(luò)設(shè)備，如防火墻和負(fù)載均衡等時(shí)，通過(guò)使用鏈路層 的加密技術(shù)提供數(shù)據(jù)保密和可靠性。 訪問(wèn)控制：通過(guò)使用 ASIC 來(lái)提供基于身份驗(yàn)證的訪問(wèn)策略。 、 CSICO 7609 邊緣路由器 CSICO 7609 是一個(gè)高性能的網(wǎng)絡(luò)邊緣路由器，它可以為商用和住宅服務(wù)市場(chǎng)提供高效的三重應(yīng)用（語(yǔ)音、視頻、數(shù)據(jù)），它可以支持企業(yè)配置高性能的廣域網(wǎng)和城域網(wǎng)。 、 CSICO 7609可以支持各種線速卡 SPA（共享端口適配器）和 SIP（ SPA 接口處理器） T1/E T3 和 OC3/STM1 數(shù)字信道。 OC3/STM OC12/STM OC48/STM16 光纖同步信道（ SONET/SDH）。 OC3/STM OC12/STM OC48/STM16 ATM 信道。 快速以太網(wǎng)、 1Gbps 以太網(wǎng)和 10Gbps 以太網(wǎng)。 增強(qiáng)的 FlexWAN 模塊 支持 CSICO 7200 和 7500 WAN 的從 DS0 到 OC3 的數(shù)字信道和ATM 接口的端口適配器和快速以太 網(wǎng)適配器。 高密度的以太網(wǎng)服務(wù)模塊： 10/100Mbps、 1Gbps 以太網(wǎng)和 10Gbps以太網(wǎng)。 安全服務(wù)模塊： IPsec，防火墻，入侵檢測(cè)等。 CSICO 7609 擁有 9 個(gè)插槽，每個(gè)插槽最多可以支持 48 個(gè)10/100Mbps 以太網(wǎng)端口。當(dāng)然每個(gè)插槽也可以支持上述的各種線速卡。 、 應(yīng)用 支持高端的用戶前端設(shè)備。 各種租用線路。 IP/MPLS。 以太網(wǎng)接入。 企業(yè)廣域網(wǎng)。 移動(dòng)接入網(wǎng)。 、 系統(tǒng)特征 支持高達(dá) 720 Gbps 的吞吐量。 支持高達(dá) 400 Mpps 分布式轉(zhuǎn)發(fā)速率。 、 CSICO 494810GE 邊緣交換機(jī) CSICO 4948 是一款專門針對(duì)企業(yè)客戶設(shè)計(jì)的具有杰出性能和可靠性的三層交換機(jī)。它可以同時(shí)支持 48個(gè) 10/100/1000M 以太網(wǎng)端口和 2 個(gè) 10G 以太網(wǎng)端口。 支持線速的 10/100/1000Mbps 和 10Gbps 以太網(wǎng)端口；支持高達(dá)136Gbps 的吞吐量和 102Mpps 轉(zhuǎn)發(fā)速率。 電源采用 1+1 冗余備份，為不間斷運(yùn)行提供保護(hù)。 健壯的安全設(shè)置：采用抵御各種 IP 欺騙攻擊的策略，設(shè)置訪問(wèn)控制鏈表，支持 SSH 協(xié)議版本 1 和 2，支持 SNMP 協(xié)議版本 3。 第三部分、 XXX 公司 數(shù)據(jù)中心割接 方案 （割接方案，根據(jù)項(xiàng)目?jī)?nèi)容確定有無(wú)割接） 當(dāng)新數(shù)據(jù)中心 建設(shè)完畢，由江蘇省鴻信系統(tǒng)集成有限公司進(jìn)行新老數(shù)據(jù)中心的割接工作。割接過(guò)程中，鴻信公司將提供足夠帶寬的 臨時(shí) 鏈路用以連接新老數(shù)據(jù)中心，進(jìn)行無(wú)縫式割接。割接完畢后，老數(shù)據(jù)中心將做為備用數(shù)據(jù)中心，實(shí)現(xiàn)異地災(zāi)備等功能。 、實(shí)施方案目標(biāo) （此處為割接的最終目標(biāo)） 本方案實(shí)施后，將達(dá)到以下目標(biāo)： ? XXX 公司 各大區(qū)直接連入 新 IDC 中心。 新 IDC 將成為整個(gè) XXX 公司 網(wǎng)絡(luò)新核心； ? 原 中心保留與各大區(qū)的鏈路，做為災(zāi)備中心。 、實(shí)施 前的準(zhǔn)備工作 、 實(shí)施方案中涉及設(shè)備配置做必要的備份 ； show ver show run show logging show redun all show diag detail show diag show gsr show ip interface brief show interface description show int | in show cdp neighbors show process cpu show process mem show ip protocol show clns int show clns nei show isis database show ip bgp sum show ip bgp nei show ip route summary show tech copy run 割接實(shí)施中新增光路，尾纖布放及板卡資源調(diào)配： 新布放的尾纖 板卡資源調(diào)配 、具體實(shí)施方案 、大區(qū)與雨花 IDC7609 接入路由器之間的協(xié)議調(diào)整 當(dāng)前 XXX 公司 網(wǎng)絡(luò)中運(yùn)行為 OSPF 協(xié)議，隨著 XXX 公司 業(yè)務(wù)量的加大，路由條目急劇增加，大量 IGP 路由條目對(duì) 路由器已經(jīng)形成一定的負(fù)擔(dān)，現(xiàn)建議在雨花 IDC 內(nèi)部，以及各大區(qū)內(nèi)部，依舊運(yùn)行其原有 OSPF 協(xié)議，將各大區(qū)與 IDC 互聯(lián)部分，調(diào)整為 BGP 協(xié)議（ AS號(hào)等待進(jìn)一步詳細(xì)確認(rèn)），并在各接入路由器上，做相應(yīng)的策略路由，以實(shí)現(xiàn)更有效的路由控制與轉(zhuǎn)發(fā)效率提升等功能。 具體實(shí)施步驟建議先部署應(yīng)用城