【正文】 n 數(shù)據(jù)分析技術(shù)單純的數(shù)據(jù)是孤立的、靜態(tài)的，如果不通過(guò)精心設(shè)計(jì)的分析手段對(duì)數(shù)據(jù)進(jìn)行關(guān)聯(lián)、統(tǒng)計(jì)與挖掘，我們辛苦采集和整理的數(shù)據(jù)也只不過(guò)是一條條枯燥、乏味的數(shù)字列表，不能給網(wǎng)絡(luò)的管理則帶來(lái)任何決策上的指導(dǎo)。n 數(shù)據(jù)清理技術(shù)即使我們通過(guò)各種技術(shù)手段采集到了來(lái)自網(wǎng)絡(luò)中的各種網(wǎng)絡(luò)訪問(wèn)信息，卻不得不面對(duì)這樣一個(gè)無(wú)法回避的實(shí)事：信息量太龐大了，足以使任何一個(gè)網(wǎng)絡(luò)管理者淹沒在數(shù)據(jù)的海洋里。流經(jīng)網(wǎng)絡(luò)設(shè)備的報(bào)文數(shù)據(jù)記錄了每一個(gè)網(wǎng)絡(luò)連接的詳細(xì)信息，是用戶上網(wǎng)行為的直接反映；路由器中的這個(gè)看似簡(jiǎn)單的數(shù)據(jù)記錄與分析過(guò)程在實(shí)際應(yīng)用中卻面臨著多方面的挑戰(zhàn)，其主要原因是用戶行為的審計(jì)必須解決以下三個(gè)相互關(guān)聯(lián)的技術(shù)難點(diǎn)：n 數(shù)據(jù)采集技術(shù)網(wǎng)絡(luò)中的信息流是紛繁復(fù)雜且稍縱即逝的，用戶上網(wǎng)行為數(shù)據(jù)就蘊(yùn)含在包括各種應(yīng)用協(xié)議報(bào)文（如V5日志、DIG用戶行為審計(jì)組件提供用戶行為審計(jì)解決方案iMC同時(shí)還可以對(duì)接收器和處理器的當(dāng)前狀態(tài)進(jìn)行檢測(cè)，包括日志數(shù)據(jù)采集方式下，管理員可以通過(guò)設(shè)備信息管理定義系統(tǒng)中開啟流量分析的設(shè)備和接口，并將多個(gè)接口設(shè)定為一個(gè)接口組。應(yīng)用定義的流量信息，幫助管理員獲取更為實(shí)用的網(wǎng)絡(luò)流量統(tǒng)計(jì)結(jié)果。和例如將80IP、端口等進(jìn)行分類統(tǒng)計(jì)，以便跟蹤解決網(wǎng)絡(luò)流量異常問(wèn)題。IPIP七層應(yīng)用識(shí)別只對(duì)系統(tǒng)已經(jīng)將大部分常見的端口不固定的應(yīng)用設(shè)定為系統(tǒng)預(yù)定義的應(yīng)用，如：BT、DC、eDonkey、Gnutella、可針對(duì)百兆鏈路提供對(duì)常見七層應(yīng)用流量分析BT端口不固定的應(yīng)用，如的詳細(xì)通信信息，提供按源、目的分類的流量分組的未知應(yīng)用流量信息，并可查看到某一個(gè)端口、源應(yīng)用進(jìn)行了深入的分析，提供按照端口號(hào)、源32電子政務(wù)網(wǎng)建設(shè)技術(shù)建議書來(lái)源\目的\會(huì)話流量分析來(lái)源\目的\會(huì)話流量分析報(bào)表反映被考察對(duì)象（如一個(gè)接口）的流入（或流出）方向上，在指定時(shí)間范圍內(nèi)總流量最大的網(wǎng)絡(luò)節(jié)點(diǎn)（源、目的）、以及網(wǎng)絡(luò)節(jié)點(diǎn)間會(huì)話的排名。應(yīng)用流量分析應(yīng)用流量分析報(bào)表反映被考察對(duì)象（如一個(gè)接口）的流入（或流出）方向上，帶寬被各種網(wǎng)絡(luò)應(yīng)用占用的比例隨時(shí)間變化的趨勢(shì)，包含報(bào)表統(tǒng)計(jì)時(shí)間內(nèi)的該應(yīng)用的總流量、平均流速和占所有應(yīng)用總流量的百分比等。名的主機(jī)流量統(tǒng)計(jì)情況，以及每個(gè)主機(jī)使用的前對(duì)于設(shè)備接口，還可提供帶寬資源利用率的統(tǒng)計(jì)。IP）流量報(bào)表、會(huì)話流量報(bào)表等幾大類報(bào)表。網(wǎng)絡(luò)流量分析系統(tǒng)可以統(tǒng)計(jì)設(shè)備接口、接口組、IPH3C使用分布式數(shù)據(jù)集中和分析的方法，具備高效的分析樣本以及細(xì)化的統(tǒng)計(jì)粒度。NTA此類采集方式，需要設(shè)置設(shè)備鏡像端口，保證鏡像端口和采集網(wǎng)卡的類型匹配、帶寬匹配。DIGDIG2）DIG日志采集器（可選）、iMCIP公司基于“流”的概念，定義的一種用于路由器/交換機(jī)輸出網(wǎng)絡(luò)流量的統(tǒng)計(jì)數(shù)據(jù)方法，路由器/交換機(jī)對(duì)通過(guò)其的who、what、when、where、how。B從上例中可以很容易地理解，流是單向的，同時(shí)流也是基于協(xié)議的。BFTP請(qǐng)求，ClientAClient應(yīng)答流HTTP請(qǐng)求，ClientClient請(qǐng)求流29電子政務(wù)網(wǎng)建設(shè)技術(shù)建議書從FTP應(yīng)答流從Client請(qǐng)求流從WWW例如，下圖中就包括四條流：從IP技術(shù)NetStream網(wǎng)絡(luò)的可視性：網(wǎng)絡(luò)利用率如何？什么樣的程序在網(wǎng)絡(luò)中運(yùn)行？主要用戶有哪些？網(wǎng)絡(luò)中是否產(chǎn)生異常流量？有沒有長(zhǎng)期的趨勢(shì)數(shù)據(jù)用作網(wǎng)絡(luò)帶寬規(guī)劃？2)地址（路由器）或管理地址（交換機(jī)）。設(shè)置被管理設(shè)備發(fā)送Trap可將對(duì)應(yīng)省調(diào)的團(tuán)體設(shè)置為讀寫（readwrite）訪問(wèn)模式，而將對(duì)應(yīng)各地調(diào)的團(tuán)體設(shè)置為只讀（readonly）模式，不同地區(qū)的團(tuán)體名設(shè)置成不同。設(shè)置團(tuán)體名SNMP路由器/交換機(jī)相關(guān)參數(shù)設(shè)置SNMPVLAN網(wǎng)管安全措施網(wǎng)管的安全管理，操作員的帳號(hào)與運(yùn)維建議網(wǎng)絡(luò)管理平臺(tái)解決方案信息化的深入對(duì)各行各業(yè)都產(chǎn)生了及其深遠(yuǎn)的影響，政府行業(yè)也不例外。分析網(wǎng)絡(luò)性能3.心流隊(duì)列轉(zhuǎn)發(fā)字節(jié)記數(shù)、流隊(duì)列包轉(zhuǎn)發(fā)記數(shù)、流隊(duì)列尾丟棄字節(jié)記數(shù)、流隊(duì)列顏色丟棄字節(jié)記數(shù)、規(guī)則匹配記數(shù)、監(jiān)管綠色包個(gè)數(shù)、監(jiān)管黃色包個(gè)數(shù)、監(jiān)管紅色包個(gè)數(shù)等。應(yīng)用到對(duì)應(yīng)的接口上，或進(jìn)行全局應(yīng)用。ACL規(guī)則的配置主要涉及到鏈路組配置。配置，ACL的配置、復(fù)雜流分類的配置和流控算法的配置三部分描述配置方法。QoS然后還要根據(jù)分類的服務(wù)級(jí)別，采用DSCP、對(duì)流的接入速率進(jìn)行控制、將流重定向到本地或指定下一跳或域中，根據(jù)報(bào)文的服務(wù)等級(jí)標(biāo)識(shí)QoSAF1~AF46值的調(diào)度上述算法在完成隊(duì)列調(diào)度的同時(shí)，也通過(guò)帶寬分配和保證實(shí)現(xiàn)了流量整形。應(yīng)用時(shí)用戶不必關(guān)心內(nèi)部抽象的調(diào)度算法，只需要描述業(yè)務(wù)的流量特征，比如保證多少兆的帶寬、峰值最多多少兆的帶寬、要占剩余帶寬的比例權(quán)重等H3C的使用率超過(guò)一定門限后對(duì)部分級(jí)別較低的報(bào)文進(jìn)行早期丟棄，以避免在擁塞時(shí)直接進(jìn)行末尾丟棄引起著名的其常用的方法是采用個(gè)業(yè)務(wù)等級(jí)，對(duì)每一種業(yè)務(wù)等級(jí)均有特定的定義。是以DS路由器和交換機(jī)支持SLA，又需要對(duì)DSCPIngress業(yè)務(wù)。等；對(duì)Video、語(yǔ)音、會(huì)議電視等實(shí)時(shí)業(yè)務(wù)；AFBehavior)明確了這六類業(yè)務(wù)的服務(wù)實(shí)現(xiàn)要求，即設(shè)備處理各類業(yè)務(wù)的具體實(shí)現(xiàn)要求。:EF準(zhǔn)了前標(biāo)打?qū)σ约傲鞣诸?DHCPSLASLACAR，運(yùn)營(yíng)商可以限制從網(wǎng)絡(luò)邊沿進(jìn)入的各類業(yè)務(wù)的最大流量，控制網(wǎng)絡(luò)整體資源的使用，從而保證網(wǎng)絡(luò)整體的 流量監(jiān)管流量監(jiān)管也就是通常所說(shuō)的MSR報(bào)文類型。字地和包的參三首先輸入端口號(hào)可以作為重要的分類依據(jù)，它可以單獨(dú)使用，也可以結(jié)合報(bào)文的其他信息對(duì)流分類。 流分類MSREF、AF1AFBE路由器是針對(duì)運(yùn)營(yíng)商或者企業(yè)網(wǎng)網(wǎng)絡(luò)骨干及邊緣應(yīng)用的開放多業(yè)務(wù)路由器，設(shè)計(jì)并實(shí)現(xiàn)了承載包括實(shí)時(shí)業(yè)務(wù)在內(nèi)的綜合業(yè)務(wù)的路由器的流分類、隊(duì)列管理和隊(duì)列調(diào)度，任務(wù)簡(jiǎn)單卻要求在高速接口(如方向的流量整形使發(fā)出到下游域的業(yè)務(wù)流量的帶寬和突發(fā)流量屬性符合同下游域的運(yùn)營(yíng)者所簽訂的COS域，便需要進(jìn)行SLADiffServ的流分類、DSCP在邊沿的IngressMF方向，路由器通常需要進(jìn)行基于QOSQoSCoSIPQOS模型H3CDiffServ的一種結(jié)合。DiffServPOP的機(jī)制，只不過(guò)這時(shí)源還是用戶，而目的不是遠(yuǎn)程用戶，而是CAR、隊(duì)列機(jī)制，這樣能夠基于如果在整個(gè)VLAN、在現(xiàn)有網(wǎng)絡(luò)中，建議在QOS。保證，可擴(kuò)展性好，便于在大規(guī)模網(wǎng)絡(luò)中使用。那樣定義了一組標(biāo)準(zhǔn)的業(yè)務(wù)。類似，不過(guò)比的分類服務(wù)(COS)，并且這類設(shè)備已經(jīng)應(yīng)用在一些現(xiàn)有的運(yùn)營(yíng)網(wǎng)絡(luò)。PHB(Perhop已經(jīng)定義了EF(Expedite模型的基本原理是將網(wǎng)絡(luò)中的流量分成多個(gè)類，每個(gè)類接受不同的處理，尤其是網(wǎng)絡(luò)出現(xiàn)擁塞時(shí)不同的類會(huì)享受不同的優(yōu)先處理，從而得到不同的丟棄率、時(shí)延以及時(shí)延抖動(dòng)。MFIntServ型IntServQoS，IETF 可管理:靈活的帶寬控制策略；252。設(shè)計(jì)符合下面的原則:252。電子政務(wù)網(wǎng)絡(luò)CBWFQCARVPNVLAN+ACLCOS 流量監(jiān)管和流量整形如果隨著電子政務(wù)網(wǎng)絡(luò)的擴(kuò)展出現(xiàn)擁塞，可采用的提供了下述功能：216。服務(wù)質(zhì)量技術(shù)的出現(xiàn)便致力于解決這個(gè)問(wèn)題。QoS。和FTP網(wǎng)絡(luò)的服務(wù)質(zhì)量也提出了新的要求，例如網(wǎng)絡(luò)發(fā)展日新月異，隨著網(wǎng)絡(luò)中，所有的報(bào)文都被無(wú)區(qū)別的等同對(duì)待，每個(gè)路由器對(duì)所有的報(bào)文均采用先入先出保障如果硬件安全板卡的性能不能滿足流量的要求的時(shí)候，可以通過(guò)增加多個(gè)板卡起到動(dòng)態(tài)擴(kuò)容，負(fù)載分擔(dān)的作用。這樣就有效的防止了非法用戶的DHCP不在報(bào)文的源MAC內(nèi)端口收到的內(nèi)所有端口的交換機(jī)利用該綁定信息，可以判斷用戶發(fā)出的信息，形成功能，交換機(jī)會(huì)記錄用戶的DHCP表項(xiàng)，后續(xù)，受攻擊用戶發(fā)往網(wǎng)關(guān)的流量都會(huì)發(fā)往攻擊者。在這種嗅探方式中，黑客所在主機(jī)是不需要設(shè)置網(wǎng)卡的混雜模式的，因?yàn)橥ㄐ烹p方的數(shù)據(jù)包在物理上都是發(fā)送給黑客所在的中轉(zhuǎn)主機(jī)的。ARP緩存表中，這樣，就造成了“ARPThe攻擊等問(wèn)題不僅令網(wǎng)絡(luò)中心的管理人員頭痛不已，也對(duì)網(wǎng)絡(luò)的接入安全提出了新的挑戰(zhàn)。由于現(xiàn)在用戶具有很強(qiáng)的專業(yè)背景，致使網(wǎng)絡(luò)黑客攻擊頻繁發(fā)生，地址盜用和用戶名仿冒等問(wèn)題屢見不鮮。的控制。功能的交換機(jī)上聯(lián)的情況。DHCP服務(wù)器，那么可以直接none：當(dāng)明確知道私設(shè)interfacein方向的服務(wù)器或者DHCPinterfacetypeDHCPnointerfacetypeinterface新的命令因?yàn)樗娜忠饬x，也為了突出該安全功能，建議有如下單條命令的配置：service當(dāng)然往端口一個(gè)個(gè)去添加訪16電子政務(wù)網(wǎng)建設(shè)技術(shù)建議書問(wèn)控制組比較麻煩，可以結(jié)合68的而sourceDHCPPrivateServer的地址池耗光。地址，大量申請(qǐng)沖突；二是用戶ServerDHCPServer（4）防止對(duì)地址盜用的功能，用戶在更改地址的盜用是最為經(jīng)常的一種非法手段，用戶在認(rèn)證通過(guò)以后將自己的系列交換機(jī)將會(huì)下發(fā)指令將該用戶直接踢下線。PCH3C的使用，對(duì)于（2）接入層防地址的欺騙，對(duì)于更改ID地址的綁定可以直接實(shí)現(xiàn)用戶對(duì)于邊緣用戶的管理，提高整個(gè)網(wǎng)絡(luò)的安全性、可維護(hù)性。認(rèn)證，整機(jī)最多支持地址的綁定關(guān)系，H3CH3C14電子政務(wù)網(wǎng)建設(shè)技術(shù)建議書由于外網(wǎng)接入層設(shè)備能夠支持較好的建議在外網(wǎng)上部署一套無(wú)線系統(tǒng)，無(wú)線平臺(tái)將依托電子政務(wù)外網(wǎng)平臺(tái)，采用集中控制、分布式部署的模式來(lái)建設(shè)。上配置一個(gè)網(wǎng)絡(luò)用戶行為審計(jì)組件上附送了一個(gè)中心業(yè)務(wù)組件iCC。為避免多個(gè)業(yè)務(wù)系統(tǒng)采用不同網(wǎng)管軟件給管理員帶來(lái)的麻煩和困擾，建議對(duì)整網(wǎng)網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)、用戶進(jìn)行綜合管理，方便管理員進(jìn)行統(tǒng)一管理。此種組網(wǎng)方式避免了出口的單點(diǎn)故障，一旦防火墻模塊出現(xiàn)問(wèn)題，也不會(huì)出現(xiàn)斷網(wǎng)情況，路由器本身有較強(qiáng)的7)6)4)網(wǎng)絡(luò)核心處采用一臺(tái)高性價(jià)比交換機(jī)作為網(wǎng)絡(luò)的核心，配置雙電源。NTA。為幫助管理員對(duì)整個(gè)網(wǎng)絡(luò)流量進(jìn)行有效監(jiān)控，如可以統(tǒng)計(jì)設(shè)備接口、接口組、IP為幫助管理員方便的對(duì)設(shè)備配置文件和軟件文件進(jìn)行集中管理，包括配置文件的備份、恢復(fù)以及批量更新、設(shè)備軟件的備份和升級(jí)等功能，在并可生成各種形式的報(bào)告，方便向上級(jí)領(lǐng)導(dǎo)匯報(bào)。為有效防范非法計(jì)算機(jī)接入到上下級(jí)電子政務(wù)網(wǎng)內(nèi)部網(wǎng)絡(luò)中，和防范合法計(jì)算機(jī)在安全狀態(tài)不滿足要求的情況接入到網(wǎng)絡(luò)中，并根據(jù)不同用戶享有不同網(wǎng)絡(luò)使用權(quán)限。NAT服務(wù)器均以千兆鏈路直接連接核心交換機(jī)，提高服務(wù)器的訪問(wèn)速度。模塊過(guò)濾，對(duì)數(shù)據(jù)中心的服務(wù)器進(jìn)行應(yīng)用層保護(hù)，可以有效的防止設(shè)備替換成一塊能在核心交換機(jī)上擴(kuò)展的IPS層的網(wǎng)絡(luò)攻擊，特別是一些惡性病毒，如木馬、蠕蟲病毒等，建議在網(wǎng)絡(luò)中部署而且防火墻模塊可以對(duì)不同的部門進(jìn)行訪問(wèn)權(quán)限的劃分，控制各種用戶訪問(wèn)權(quán)限。終端在感染了攻擊性病毒后，會(huì)不停的對(duì)網(wǎng)絡(luò)中的其他口的接入交換機(jī)，接入各層的信息點(diǎn)。整個(gè)網(wǎng)絡(luò)千兆骨干、百兆到桌面，數(shù)據(jù)傳輸在鏈路上沒有擁塞。2)223整個(gè)電子政務(wù)系統(tǒng)的內(nèi)外網(wǎng)設(shè)計(jì)采用層次結(jié)構(gòu)，除了可以滿足本身業(yè)務(wù)上和實(shí)現(xiàn)辦公自動(dòng)化等的一些基本應(yīng)用外，未來(lái)也可以實(shí)現(xiàn)遠(yuǎn)程監(jiān)控、視頻會(huì)議等一些增值的應(yīng)用。接入、核心轉(zhuǎn)發(fā)由不同的設(shè)備來(lái)完成，設(shè)備的配置大大簡(jiǎn)化，便于維護(hù)，也便于網(wǎng)絡(luò)故障定位。接入、N2M216。網(wǎng)絡(luò)及業(yè)務(wù)擴(kuò)展性好，降低建設(shè)成本:采用分層結(jié)構(gòu)之后，在電子政務(wù)系統(tǒng)內(nèi)網(wǎng)業(yè)務(wù)擴(kuò)展(帶寬擴(kuò)展、節(jié)點(diǎn)擴(kuò)展)時(shí)，可以通過(guò)內(nèi)網(wǎng)核心層擴(kuò)展端口來(lái)實(shí)現(xiàn)。外網(wǎng)主要負(fù)載一些對(duì)外業(yè)務(wù)，如訪問(wèn)網(wǎng)絡(luò)整體結(jié)構(gòu)電子政務(wù)系統(tǒng)整個(gè)網(wǎng)絡(luò)系統(tǒng)劃分成內(nèi)網(wǎng)和外網(wǎng)，兩個(gè)物理隔離的網(wǎng)絡(luò)。IP216。的方式隔離，不同子網(wǎng)間的互通性由路由策略決定。IPVPN216。216。TCP/IP)、國(guó)際標(biāo)準(zhǔn)的大型的動(dòng)態(tài)路由協(xié)議(如BGP,OSPF)等開放協(xié)議，有利于以保證與其它網(wǎng)絡(luò)之間的平滑連接互通，以及將來(lái)網(wǎng)絡(luò)的擴(kuò)展。高可靠性網(wǎng)絡(luò)系統(tǒng)的穩(wěn)定可靠是應(yīng)用系統(tǒng)正常運(yùn)行的關(guān)鍵保證，在網(wǎng)絡(luò)設(shè)計(jì)中選用高可靠性網(wǎng)絡(luò)產(chǎn)品，合理設(shè)計(jì)網(wǎng)絡(luò)架構(gòu)，制訂可靠的網(wǎng)絡(luò)備份策略，保證網(wǎng)絡(luò)具有故障自愈的能力，最大限度地支持系統(tǒng)的正常運(yùn)行。年以內(nèi)硬件設(shè)備無(wú)需升級(jí)，就可滿足一般業(yè)務(wù)的需要，且運(yùn)行穩(wěn)定可靠。7電子政務(wù)網(wǎng)建設(shè)技術(shù)建議書216。216。標(biāo)準(zhǔn)化通訊協(xié)議和接口符合國(guó)際標(biāo)準(zhǔn)。216。AAA216