【正文】 這些別有用心的訪問對電子口岸系統(tǒng)形成了潛在的威脅，同時(shí)電子口岸系統(tǒng)可能存在的漏洞、安全弱點(diǎn)等也有可能被別有用心的人所利用，當(dāng)這些潛在的威脅和系統(tǒng)存在的弱點(diǎn)相互作用，對電子口岸系統(tǒng)就形成了相應(yīng)的安全風(fēng)險(xiǎn)。這樣，避免 DMZ2 中的主機(jī)被入侵、攻擊，也很難將其作為跳板進(jìn)入其他安全區(qū)域，使其對其他內(nèi)部區(qū)域的安全造成的影響最小。 如投資允許，也可以不再部署 IDS，直接 部署 IPS 系統(tǒng)進(jìn)行安全防護(hù)。服務(wù)器和交換機(jī)間采用 GE 電口連接，避免在此處出現(xiàn)網(wǎng)絡(luò)瓶頸，而且該交換機(jī)到二臺核心防火墻都有鏈路相連。 總之，從網(wǎng)絡(luò)運(yùn)維的角度出發(fā)，不建議采用 的接口方式；從性價(jià)比方面考慮，建議采用 的接口方式；如果投資允許， 建議采用 CPOS 方式，相應(yīng)的，核心路由器上的接口模塊也作對應(yīng)的選擇。連接的路徑為：（傳輸網(wǎng) ,光纖） （核心路由器高速 CPOS 接口模塊，更多資料請?jiān)L問達(dá)人冰川主頁 —— 歡迎加入社區(qū)管理資料團(tuán) —— 從 155M 線路上將相應(yīng)的 2M 數(shù)據(jù)解復(fù)用）。 傳統(tǒng)的 接口方式，在 2M 線路從傳輸網(wǎng)局端拉光纖到核心路由器所在處，經(jīng)過光端機(jī)，分出若干個(gè) 2M 線路（ 接口），然后經(jīng)過協(xié)議轉(zhuǎn)換 器，上到核心路由器的高速串口模塊，連接的路徑為：（傳輸網(wǎng) ,光纖，將相應(yīng)的 2M數(shù)據(jù)從傳輸網(wǎng)上解復(fù)用） （光端機(jī) , ） （協(xié)議轉(zhuǎn)換器 , 轉(zhuǎn) ）（核心路由器高速串口模塊， ）。 由于該節(jié)點(diǎn)還要連接檢驗(yàn)檢疫、邊防等口岸單位，而這些單位對于電子口岸系統(tǒng)本身而言屬處于安全區(qū)域之外，所以需要增強(qiáng)安全方面的防護(hù)，如增設(shè)防火墻，對于這些外接單位，在防火墻上配置成只允許相應(yīng)的業(yè)務(wù)系統(tǒng)數(shù)據(jù)進(jìn)出，其他則拒絕。 分支節(jié)點(diǎn) 接入路由器： 主要由一臺中端性能的路由器組成，通過二條 2M電路上連至二臺核心路由器，將各個(gè)口岸單位的局域網(wǎng)接入到電子口岸廣域網(wǎng)中，形成一個(gè)統(tǒng)一、整體的網(wǎng)絡(luò)。因此，我們在建立核心路由節(jié)點(diǎn)的時(shí)候，盡量保證核心節(jié)點(diǎn)的冗余性、穩(wěn)定、高可靠性、可靈活擴(kuò)展，確保相關(guān)業(yè) 務(wù)數(shù)據(jù)在該節(jié)點(diǎn)處被正確、高效的路由、轉(zhuǎn)發(fā)，同樣要避免在該處形成瓶頸。 ? 設(shè)備應(yīng)有可靠性的冗余措施，建議采用雙主控，兩個(gè)路由交換單元互為備份；多電源且電源模塊相互備份，所有單板支持在線熱插拔功能；軟件上支持高可靠性備份技術(shù)， 包括鏈路備份、接口備份、路由備份等，能夠提供足夠的擴(kuò)展插槽，便于擴(kuò)容。對于廣西電子口岸網(wǎng)絡(luò)平臺這樣的星樹型結(jié)構(gòu)網(wǎng)絡(luò)，路由系統(tǒng)的處理性能、可靠、穩(wěn)定性等因素決定了內(nèi)部更多資料請?jiān)L問達(dá)人冰川主頁 —— 歡迎加入社區(qū)管理資料團(tuán) —— 廣域網(wǎng)絡(luò)的運(yùn)行狀況。所以， DMZ1內(nèi)部廣域網(wǎng)區(qū)域是本次網(wǎng)絡(luò)平臺構(gòu)建的 重點(diǎn)，主要是為廣西各口岸包括檢驗(yàn)防疫、邊防等 18 個(gè)相關(guān)部門單位和 25 個(gè)口岸現(xiàn)場提供廣域網(wǎng)接入。當(dāng)然直接部署 IPS（入侵防護(hù)系統(tǒng)）可以直接 將網(wǎng)絡(luò)攻擊行為隔離，無需和防火墻進(jìn)行聯(lián)動。 更多資料請?jiān)L問達(dá)人冰川主頁 —— 歡迎加入社區(qū)管理資料團(tuán) —— 為了更好的實(shí)現(xiàn)數(shù)據(jù)備份，我們建議增加一臺備份服務(wù)器，配合盤陣系統(tǒng)、磁帶庫系統(tǒng)，對 DMZ2 區(qū)域中的應(yīng)用服務(wù)器系統(tǒng)的數(shù)據(jù)（或應(yīng)用系統(tǒng)本身）、前置服務(wù)器系統(tǒng)等數(shù)據(jù)進(jìn)行備份。 對于核心交換機(jī)的配置， 建議每單臺核心交換機(jī)的配置，在投資允許的情況下，配備雙處理引擎。 針對以上考慮，采用 2 臺 數(shù)據(jù)庫服務(wù)器，配置成雙機(jī)熱備的 HA 工作方式，對于和數(shù)據(jù)庫服務(wù)器交互的系統(tǒng)而言，它們看到的只有一臺數(shù)據(jù)庫服務(wù)器，其IP 地址是虛擬的，而雙機(jī)系統(tǒng)中有一臺主用數(shù)據(jù)庫服務(wù)器在工作，當(dāng)其因某種情況出現(xiàn)故障宕機(jī)， HA 系統(tǒng)會檢測到異常，并自動讓備用機(jī)器接管相關(guān)的業(yè)務(wù)，避免業(yè)務(wù)中斷。 安全內(nèi)網(wǎng)區(qū)域部分設(shè)計(jì) 由上面的數(shù)據(jù)流路由分析可以看到，到安全內(nèi)網(wǎng)區(qū)域的數(shù)據(jù)流主要是 DMZ2區(qū)域中的應(yīng)用系統(tǒng)服務(wù)器、廣西電子口岸專網(wǎng)區(qū)域內(nèi)相應(yīng)服務(wù)器和該區(qū)域內(nèi)數(shù)據(jù)庫服務(wù)器的交互數(shù)據(jù)流，以及數(shù)據(jù)庫服務(wù)器和國家電子口岸數(shù)據(jù)中心數(shù)據(jù)同步的數(shù)據(jù)流。 對于電子口岸應(yīng)用服務(wù)器和廣西電子口岸專網(wǎng)中的應(yīng)用服務(wù)器、國家電子口岸數(shù)據(jù)中心交互的數(shù)據(jù)流，以及同步數(shù)據(jù)庫的數(shù)據(jù)流，將會以應(yīng)用服務(wù)器為中 心，數(shù)據(jù)流在 DMZ2 區(qū)域、安全內(nèi)網(wǎng)區(qū)域、廣西電子口岸專網(wǎng)區(qū)域、國家電更多資料請?jiān)L問達(dá)人冰川主頁 —— 歡迎加入社區(qū)管理資料團(tuán) —— 子口岸數(shù)據(jù)中心區(qū)域間流動，具體的數(shù)據(jù)流向需要根據(jù)實(shí)際情況分析。 對于 公眾、企業(yè)用戶通過因特網(wǎng)訪問門戶網(wǎng)站的數(shù)據(jù)流，主要由用戶經(jīng)因特網(wǎng) 對廣西電子口岸門戶網(wǎng)站 發(fā)起訪問， 由于電子口岸門戶網(wǎng)站服務(wù)器位于DMZ2 區(qū)域（或廣西電子口岸專網(wǎng)區(qū)域），門戶網(wǎng)站系統(tǒng) 針對客戶的訪問申請情況，和相關(guān)的應(yīng)用服務(wù)器（如需要查詢數(shù)據(jù)庫系統(tǒng)，則由應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器系統(tǒng)進(jìn)行交互 ）進(jìn)行交互，并將相關(guān)的結(jié)果返還給客戶。 為保證網(wǎng)絡(luò)平臺的高可靠性，核心交換機(jī)、中心路由器、數(shù)據(jù)庫服務(wù)器及應(yīng)用服務(wù)器采用雙機(jī)冗余熱備份。 廣西電子口岸專網(wǎng)區(qū)域 以托管在南寧電信部門的機(jī)房作為中心部分，部署與 廣西電子口岸網(wǎng)絡(luò)平臺 通關(guān)數(shù)據(jù)交換有關(guān)的 QUICKPASS、電子帳冊、 MQ 通訊等服務(wù)器，通過 2MVPN專線將廣西 15 個(gè)較大的報(bào)關(guān)現(xiàn)場聯(lián)網(wǎng)。 ? DMZ2區(qū)域 DMZ2區(qū)域 主要部署應(yīng)用服務(wù)器、前置服務(wù)器，接受并處理相關(guān)應(yīng)用系統(tǒng)數(shù)據(jù)，同時(shí)根據(jù)需要與本地的核心數(shù)據(jù)庫（通過核心防火墻系統(tǒng)）、廣西電子口岸專網(wǎng)應(yīng)用服務(wù)器系統(tǒng)和國家電子口岸數(shù)據(jù)中心的相關(guān)系統(tǒng)（通過安全交換系統(tǒng)）進(jìn)行交互。 檢驗(yàn)檢疫、邊防、交通等相關(guān)單位以及各口岸現(xiàn)場通過 2M 數(shù)字更多資料請?jiān)L問達(dá)人冰川主頁 —— 歡迎加入社區(qū)管理資料團(tuán) —— 電路與 核心路由器 相連 。同時(shí)在數(shù)據(jù)庫服務(wù)器后部署磁盤陣列和磁帶庫系統(tǒng)，加上備份服務(wù)器，為相應(yīng)的數(shù)據(jù)備份提供服務(wù)。 從安全域的角度出發(fā)， 以 核心防火墻系統(tǒng)和安全交 換系統(tǒng)為 安全邊界進(jìn)行劃分，廣西電子口岸平臺 的劃分 則 是 以 核心防火墻系統(tǒng) 為中心， 劃分為 公網(wǎng)區(qū)域、安全內(nèi)網(wǎng)區(qū)域、 DMZ1 內(nèi)部廣域網(wǎng)區(qū)域、 DMZ2 應(yīng)用服務(wù)器區(qū)域 （安全交換系統(tǒng)再將 DMZ2 區(qū)域、國家電子口岸數(shù)據(jù)中心、廣西電子口岸專網(wǎng)劃歸不同的安全區(qū)域） 。 從我們大量的工程規(guī)劃設(shè)計(jì)、實(shí)施經(jīng)驗(yàn)來看，采用 SDH 線路具有很大的優(yōu)勢，應(yīng)用成熟、性價(jià)比高、傳輸高效、穩(wěn)定、安全，是廣域組網(wǎng)發(fā)展的趨勢，所以本次 廣西電子口岸基礎(chǔ)廣域網(wǎng)絡(luò)平臺組網(wǎng)，建議 選擇 SDH 傳輸網(wǎng)絡(luò)的數(shù)字電路作為組網(wǎng)的主、備用線路。這種線路適于作為網(wǎng)絡(luò)的撥號備份線路使用。適用于流量較大、可靠性要求高，而對線路成本不敏感的場合，全部是同步線路。根據(jù)目前我國通訊網(wǎng)絡(luò)的現(xiàn)狀，租用廣域網(wǎng)線路的通訊費(fèi)用是相當(dāng)昂貴的，選擇性能價(jià)格比高的運(yùn)營商線路是降低交通運(yùn)行費(fèi)用、保證交通網(wǎng)絡(luò)可靠高效運(yùn)行的關(guān)鍵。 綜上所述，隨著市場的驅(qū)動和技術(shù)的不斷發(fā)展完善， IP 協(xié)議已經(jīng)逐漸成為主流。 TCP/IP 協(xié)議是一個(gè)比較完善的協(xié)議集，它的擴(kuò)展性較好，適合于構(gòu)造大型的計(jì)算機(jī)網(wǎng)絡(luò)。 IP 協(xié)議與其它網(wǎng)絡(luò)協(xié)議相比，有以下優(yōu)勢： TCP/IP 協(xié)議是開放的網(wǎng)絡(luò)協(xié)議，絕大多數(shù)生產(chǎn)廠商都支持該標(biāo)準(zhǔn)。以提高網(wǎng)絡(luò)的運(yùn)行性能、可靠性，簡化網(wǎng)絡(luò)的維護(hù)工作， 從而為數(shù)據(jù)業(yè)務(wù)開展、管理提供最有力的保障。在結(jié)構(gòu)上真正實(shí)現(xiàn)開放，基于開放式標(biāo)準(zhǔn)，包括各種局域網(wǎng)、廣域網(wǎng) 、計(jì)算機(jī)等，堅(jiān)持統(tǒng)一規(guī)范的原則，從而為未來的發(fā)展奠定基礎(chǔ)。 ? 安全可靠性 為保證各項(xiàng)業(yè)務(wù)應(yīng)用，網(wǎng)絡(luò)必須具有高可靠性，盡量避免系統(tǒng)的單點(diǎn)故障，建議對網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備等各個(gè)方面進(jìn)行高可靠性的設(shè)計(jì)和建設(shè)，能滿足分支節(jié)點(diǎn)所在的環(huán)境、氣候條件，抗干擾能力強(qiáng)，網(wǎng)絡(luò)的設(shè)計(jì)、選型、安裝、調(diào)試等環(huán)節(jié)進(jìn)行統(tǒng)一規(guī)劃和分析，確保系統(tǒng)運(yùn)行可靠。第一階段廣西電子口岸平臺建設(shè)工作，將由中國電子口岸數(shù)據(jù)中心和廣西壯族自更多資料請?jiān)L問達(dá)人冰川主頁 —— 歡迎加入社區(qū)管理資料團(tuán) —— 治區(qū)人民政府指定的廣西電子口岸的業(yè)主單位實(shí)施， 2020 年 7 月底前完成廣西電子口岸實(shí)體平臺基本框架搭建，與此同時(shí)在第三屆中國－東盟博覽會前完成憑祥電子口岸應(yīng)用項(xiàng)目試點(diǎn)工作，第二階段進(jìn)一步完善廣西電子口岸平臺，用三到五年左右的時(shí)間，把廣西電子口岸建設(shè)成為具有一個(gè)“門戶”入網(wǎng)、一種認(rèn)證登錄和“一站式”辦事等功能、集口岸通關(guān)執(zhí)法管理及相關(guān)物流商務(wù)服務(wù)為一體的大通關(guān)統(tǒng)一信 息平臺，使口岸執(zhí)法管理更加嚴(yán)密、高效，使企業(yè)進(jìn)出口通關(guān)更加有序、便捷，進(jìn)一步提高廣西地區(qū)的對外開放水平和國際競爭力。電子口岸是適應(yīng)打擊走私、騙匯、騙稅斗爭需要，由金關(guān)工程的應(yīng)用系統(tǒng)演變?yōu)榭诎峨娮訄?zhí)法系統(tǒng)，逐步整合金關(guān)、金稅、金質(zhì)等工程項(xiàng)目的部分資源發(fā)展起來的。 （四）“突出特色，憑祥率先”原則 廣西電子口岸應(yīng)充分體現(xiàn)廣西作為中國 東盟博覽會永久舉辦地和連接中國 東盟橋頭堡以及大西南出海大通道的優(yōu)勢和地位。為保證廣西電子口岸系統(tǒng)的安全性、穩(wěn)定性、開放性和可擴(kuò)展性，實(shí)現(xiàn)與其它地區(qū)電子口岸的互聯(lián)互通，廣西電子口岸應(yīng)與中國電子口岸的采用統(tǒng)一的數(shù)據(jù)交換標(biāo)準(zhǔn)和技術(shù)規(guī)范。 系統(tǒng)建設(shè)原則 （一）“共建、共管、共享”原則 要建立共同管理、協(xié)商決策的領(lǐng)導(dǎo)體制和開發(fā)運(yùn)行機(jī)構(gòu)。所以要真正做到有的放矢、行之有效。 （ 2）全方位實(shí)現(xiàn)安全性 —— 安全性設(shè)計(jì)必須從全方位、多層次加以考慮，來確實(shí)保證安全。 網(wǎng)絡(luò)平臺安全總體要求 網(wǎng)絡(luò)安全系統(tǒng)主要為貿(mào)易客戶服務(wù)，為客戶提供物流信息服務(wù)，為廣西大通關(guān)、中國－東盟自由貿(mào)易提供各種優(yōu)質(zhì)的信息服務(wù)。 服務(wù)器系統(tǒng)總 體要求 ? 應(yīng)用開發(fā)模式要求 更多資料請?jiān)L問達(dá)人冰川主頁 —— 歡迎加入社區(qū)管理資料團(tuán) —— 能滿足 Client/Server、 Brower/Server 多層架構(gòu)的應(yīng)用軟件體系運(yùn)行開發(fā)需求。 ? 高效率 網(wǎng)絡(luò)要求具備三層交換能力，支持全雙工連接，提供端到端的線速交換，并具備隔離網(wǎng)段和地址過濾功能，減少網(wǎng)絡(luò)沖突，提高網(wǎng)絡(luò)的工作 效率，并具備高效簡潔的故障處理能力。 1) 廣西電子口岸 網(wǎng)絡(luò) 基礎(chǔ)平臺設(shè)計(jì) 2) 廣西電子口岸平臺網(wǎng)絡(luò)安全體系規(guī)劃 3) 廣西電子口岸門戶網(wǎng)站 4) 廣西電子口岸一期憑祥友誼關(guān)試點(diǎn)應(yīng)用項(xiàng)目規(guī)劃 5) 廣西信息采編和數(shù)據(jù)庫建設(shè)規(guī)劃 網(wǎng)絡(luò)系統(tǒng)總體要求 網(wǎng)絡(luò)系統(tǒng)采用當(dāng)年成熟、先進(jìn)、開放、完整、可擴(kuò)展性的網(wǎng)絡(luò)通訊技術(shù)。廣西電子口岸平臺建設(shè)，將促進(jìn)金融電子化、貿(mào)易電子化、報(bào)關(guān)報(bào)檢電子化、報(bào)稅電子化的發(fā)展，從而提高行政效率，降低貿(mào)易成本，提升企業(yè)競爭力，促進(jìn)廣西大通關(guān)制度的建設(shè)，更好地服務(wù)中國 東盟博覽會，加快中國 — 東盟自由貿(mào)易區(qū)信息流、資金流、物流的互動，強(qiáng)化中國 — 東盟自由貿(mào)易區(qū)的功能和地位，使中國 — 東盟自由貿(mào)易區(qū)成為全球最具影響的自由貿(mào)易區(qū)。特別是該 系統(tǒng)能夠?qū)崿F(xiàn)企業(yè)網(wǎng)上報(bào)關(guān)報(bào)檢、網(wǎng)上辦事，在很大程度上方便了企業(yè)，降低了成本，受到了各地和企業(yè)的普遍歡迎。公司具有一 大 批優(yōu)秀的 實(shí)施 工程師，熟悉產(chǎn)品的性能、具有豐富的 大型 項(xiàng)目實(shí)施經(jīng)驗(yàn)， 相信 在用戶方的支持下， 通過我 們的 共同努力，一定能 夠 使 廣西電子口岸平臺項(xiàng)目 的建設(shè) 獲得成功。在此次廣西電子口岸平臺項(xiàng)目的建設(shè)中，我們有著同樣的熱情和信心，并爭取盡早完成該項(xiàng)目的建設(shè)任務(wù)，為廣西電子口岸平臺項(xiàng)目建設(shè)順利開展相關(guān)業(yè)務(wù)盡一份微薄之力。本 方案 包含： 整體網(wǎng)絡(luò)規(guī)劃設(shè)計(jì) 、 網(wǎng)絡(luò)安全及管理 等 內(nèi)容 ，并考慮了 網(wǎng)絡(luò) 系統(tǒng)的 高 可靠性、 穩(wěn)定性、 擴(kuò)展 性 與優(yōu)化等內(nèi)容。 更多資料請?jiān)L問達(dá)人冰川主頁 —— 歡迎加入社區(qū)管理資料團(tuán) —— 目目 錄錄 第 1 章 項(xiàng)目概述 .............................................................................................................. 2 項(xiàng)目背景 ............................................................................................................ 2 系統(tǒng)需求分析 ..................................................................................................... 3 網(wǎng)絡(luò)系統(tǒng)總體要求 .......................................................................................... 3 服務(wù)器系統(tǒng)總體要求 ...................................................................................... 4 網(wǎng)絡(luò)平臺安全總體要求 ................................................................................... 5 系統(tǒng)建設(shè)原則 ..................................................................................................... 6 系統(tǒng)建設(shè)目標(biāo) .................................................