【正文】 為了保證系統(tǒng)軟件、數(shù)據(jù)庫的數(shù)據(jù)安全，需要對重要數(shù)據(jù)進行備份，通過備份管理軟件實現(xiàn)： 支持當前主流的操作系統(tǒng)、軟件和數(shù)據(jù)庫的備份 /恢復； 會支持多種備份方式：文件系統(tǒng)備份、數(shù)據(jù)庫系統(tǒng)備份或者裸設(shè)備備份等； 提供一體化的解決方案，實現(xiàn)與存儲管 理和容災(zāi)系統(tǒng)的集成； 支持多種備份策略，支持備份策略的靈活定制 與存儲設(shè)備配合在不影響系統(tǒng)運行的情況下，實現(xiàn)數(shù)據(jù)備份； 支持 LANFree 和 ServerFree 備份 具有成熟的容災(zāi)方案 我推薦選擇 IBM Tivoli Storage Manager 及其關(guān)于系統(tǒng)軟件、數(shù)據(jù)庫、 SAN 的模塊。 基于以上的考慮，我們推薦選擇 EMC CX500 磁盤陣列系統(tǒng)。 磁盤陣列 針對招標文件的要求，我們在磁盤陣列的選型時主要考慮以下幾點： 滿足數(shù)據(jù)容量要求，要求可用容量達到 4T 以上； 支持冗余控制器，保證系統(tǒng)安全； 提供多個端光纖借口，實現(xiàn)線路冗余； 硬 盤支持多種 RAID 級別，可以靈活設(shè)計和擴展； 為了保證設(shè)備安全性，提供冗余的電源和風扇等。 保證數(shù)據(jù)的安全性，支持硬件分區(qū)技術(shù)、通信重路由技術(shù)等。 硬件組成 整個存儲系統(tǒng)由以下幾個部分組成： 光纖互連設(shè)備： 針對系 統(tǒng)的應(yīng)用數(shù)據(jù)的特點，需要共享數(shù)據(jù)庫服務(wù)器、數(shù)據(jù)庫和存儲服務(wù)器實現(xiàn)與存儲設(shè)備的連接，在選形時主要考慮以下幾點： 連接的主機端口數(shù)、端口類型，交換機應(yīng)從支持多種連接端口類型和連接速率 。采用 IBM DS4800 磁盤陣列； 采用 1 臺磁帶庫作為存儲設(shè)備與備份服務(wù)器相連。 采用 16 口光纖交換機，搭建冗余的 SAN 網(wǎng)絡(luò)。 數(shù)據(jù)庫應(yīng)用服務(wù)器采用 IBM P560Q 小型機 表 P560Q 小型機配置表 部件主要配置 備注 4 Core POWER5+ CPU 8GB Memory 2 個千兆電口網(wǎng)卡 高速網(wǎng)絡(luò)接入 2 塊 4GB HBA 卡 FC SAN 的接入 2*146GB 10K Disk 硬盤 RAID 保證系統(tǒng)安全 AIX 5L 操作系統(tǒng) 測試、開發(fā)和培訓環(huán)境采用 IBM P52A 小型機 表 P52A 小型機配置表 部件主要配置 備注 2 Core POWER5+ CPU 4GB Memory 2 個千兆電口網(wǎng)卡 高速網(wǎng)絡(luò)接入 本科生畢業(yè)設(shè)計（論文） 28 2 塊 4GB HBA 卡 FC SAN 的接入 2*146GB 10K Disk 硬盤 RAID 保證系統(tǒng)安全 AIX 5L 操作系統(tǒng) IBM 存儲方案 整體結(jié)構(gòu) 針對前面應(yīng)用系統(tǒng)對 于存儲系統(tǒng) I/O 的需求分析，在對當前主流的幾種存儲技術(shù)比較之后，我們推薦選擇 SAN（存儲區(qū)域網(wǎng)）。根據(jù)系統(tǒng)應(yīng)用的規(guī)模，而且考慮到了業(yè)務(wù)的變化、增加，在選擇服務(wù)器時必須預(yù)留處理能力的擴展空間， 設(shè)計使用 2 臺 IBM 高性能、高可靠性、多處理器的 SMP 體系結(jié)構(gòu)的 unix 服務(wù)器 IBM P560Q 作為核心數(shù)據(jù)庫 /應(yīng)用服務(wù)器，該服務(wù)器 CPU 主頻下最大可擴展到 16 路，完全滿足系統(tǒng)未來擴展的需要。 PC 服務(wù)器上采用 Windows 操作系統(tǒng)。 針對其他管理功能，建議選用性價比較高的 PC 服務(wù)器。我們推薦選用小型機雙機作為生產(chǎn)環(huán)境數(shù)據(jù)庫、應(yīng)用服務(wù)器。小型機的特點是信息處理能力非常強大，適用于大數(shù)據(jù)量、多用戶并行的環(huán)境。遷移原來郵 件、 WWW 服務(wù)器到 DMZ 區(qū)，遷移原來的 OA、 CAPP、物流等應(yīng)用服務(wù)器到數(shù)據(jù)核心區(qū)。在最大程度上保證了用戶業(yè)務(wù)正常運行。 OSPF 的這點功能可以被用來在主備線路或多條鏈路上實現(xiàn)負載均衡功能或主備線路之間自動切換功能。如果不同的路徑有相同cost，那么 OSPF 可以在這些不同的路徑上實現(xiàn)負載均衡。各省的核心路由器作為區(qū)域邊界路由器 ABR，可以把進入一個區(qū)域的各單位的多條路由減少到一條路由。 在 IP 地址的規(guī)劃時已經(jīng)考慮到路由匯聚，以便可以匯聚成一條路由信息向其他區(qū)域傳送。 將區(qū)域數(shù)據(jù)中心的路由器劃入 OSPF 的 area0 內(nèi)，與之相連的下級節(jié)點的設(shè)備再分別劃分為不同的 OSPF area，可以各級節(jié)點為單位，不同的級別節(jié)點劃分不同的區(qū)域。 路由設(shè)計，在核心交換機上啟用三層路由功能，實現(xiàn)各 VLAN 間的通信，同時 本科生畢業(yè)設(shè)計（論文） 24 在核心路由器上啟用動態(tài)路由協(xié)議 OSPF，支持變長子網(wǎng)掩碼，在接入的工作站和服務(wù)器上配置缺省網(wǎng)關(guān)。而 OSPF 的開放性和對備份線路的特別支持特性，適合作為中大規(guī)模網(wǎng)絡(luò)。 根據(jù)以上的比較， EIGRP 和 OSPF 都比較適合大型網(wǎng)絡(luò)，并且兩者均有很多成功案例。 RIP 由于性能和擴展性差而逐漸推出了歷史的舞臺。 EIGRP 路由算法自動根據(jù)這五項參數(shù)值動態(tài)計算最優(yōu)路徑，隨時更新。支持層次化和平面網(wǎng)絡(luò)結(jié)構(gòu)，支持 VLSM 網(wǎng)絡(luò)地址分配，可在任意位邊界對直接相連的網(wǎng)絡(luò)進行路徑疊合，只有在網(wǎng)絡(luò)變化時 EIGRP 才發(fā)送路由表更新信息，而且只發(fā)給相關(guān)路由器，因此廣域網(wǎng)帶寬浪費很少， DUAL 算法使其具有最好的收斂性。支持多條路徑路由。每90 秒傳送路由信息將耗費部分的帶寬。在網(wǎng)絡(luò)設(shè)計中推薦每個 AS 區(qū)域中路由器少于 50 個。 cost=100,000,000/bandwidth in bps。通過 IP multicast 發(fā)送鏈路更新的信息，并且僅在路由發(fā)生變化是進行更新，由此優(yōu)化路由器的資源和帶寬。 2. OSPF OSPF 是 Link State，層次化拓撲的路由協(xié)議。 RIP適用于中、小型網(wǎng)絡(luò)。 RIP 在計算路徑時，只考慮 本科生畢業(yè)設(shè)計（論文） 23 hop count， 不考慮網(wǎng)絡(luò)鏈路的延遲和 cost。每 30 秒傳送路由信息將耗費大量的帶寬，在大型網(wǎng)絡(luò)及低速鏈路中更明顯。 現(xiàn)在，常用的動態(tài)路由協(xié)議有以下四種： 1. RIP RIP 是一種 Distance Vector 路由協(xié)議，有以下特點： 簡單，廣泛使用，技術(shù)成熟，信息源與目的地間限制在 15 個 hops（或路由器）之內(nèi)，超過 15hops 將認為不可及。 建議 IP 地址采用 網(wǎng)段 IP 地址，通過結(jié)構(gòu)化劃分方法對各級機構(gòu)進行統(tǒng)一分配。 本系統(tǒng)自行規(guī)劃 IP 地址 在內(nèi)部網(wǎng)絡(luò)中整體統(tǒng)一采用結(jié)構(gòu)化地址規(guī)劃和分配原則進行 IP 地址設(shè)計，可以大大提高網(wǎng)絡(luò)的可 管理性，同時通過 NAT 實現(xiàn)與外部網(wǎng)絡(luò)地址的映射，對外部網(wǎng)絡(luò)隱藏了被網(wǎng)的網(wǎng)絡(luò)結(jié)構(gòu)，提高了網(wǎng)絡(luò)的安全性。 IP 地址規(guī)劃 IP 地址是網(wǎng)絡(luò)互聯(lián)的基礎(chǔ)，合理的 IP 地址規(guī)劃將大大方便網(wǎng)絡(luò)的維護和管理。 通過用戶行為審計系統(tǒng)網(wǎng)絡(luò)管理員可以從海量的網(wǎng)絡(luò)日志中精確審計終端用 戶的上網(wǎng)行為。 NetStream V5 日志：包括日志的開始時間、結(jié)束時間、協(xié)議類型、源 IP 地址、目的 IP 地址、服務(wù)類型、入接口、出接口、報文數(shù)、字節(jié)數(shù)、流 數(shù)、總激活時間、操作字、日志類型等信息。利用 日志的記錄信息，可以實現(xiàn)對用戶網(wǎng)絡(luò)行為的監(jiān)控，審查用戶的 Email 信息、訪問信息、使用的應(yīng)用信息等，全面審查用戶的網(wǎng)絡(luò)使用行為。 日 志內(nèi)容為 IP 層數(shù)據(jù)報文信息，其中包含數(shù)據(jù)報文的流量信息和協(xié)議類型信息，而 日志內(nèi)容為應(yīng)用層協(xié)議數(shù)據(jù)報文信息，包含數(shù)據(jù)報文的摘 要信息。 日志：探針型采集器直接從交換機的鏡像端口采集用戶的上網(wǎng)信息，對用戶訪問外部網(wǎng)絡(luò)的流進行分類統(tǒng)計，并生成探針（ DIG）日志記錄。 針對不同的日志類型，管理員可以獲得不同的用戶行為審計信息： 日志：包括經(jīng)過 NAT 轉(zhuǎn)換前的源 IP 地址、源端口，經(jīng)過 NAT 轉(zhuǎn)換后的源 IP 地址、源端口，所訪問的目的 IP、目的端口、 協(xié)議號、開始時間、結(jié)束時間等關(guān)鍵信息。 同時用戶行為審計系統(tǒng)采用分布式的體系結(jié)構(gòu)，支持多點采集，可以同時采集多個設(shè)備的日志信息，為網(wǎng)絡(luò)管理員監(jiān)控網(wǎng)絡(luò)提供了靈活有效的支持。 記錄認證失敗日志、并可以全面跟蹤用戶上網(wǎng)流程，方便定位與解決用戶無法接入、異常斷線等問題。 管理員可以實時監(jiān)控在線用戶，強制 非法用戶下線。 可以限制用戶必須使用專用安全客戶端，并強制自動升級，確保認證客戶端的安全性。 可以限制用戶的接入時段和接入?yún)^(qū)域，用戶只能在允許的時間和地點上網(wǎng)。 可以實現(xiàn)對用戶 ACL、 VLAN 的控制，限制用戶對內(nèi)部敏感服務(wù)器和外部非法網(wǎng)站的訪問（ 認證支持）。 嚴格的用戶權(quán)限控制 基于用戶的權(quán)限控制策略，可以為不同用戶定制不同網(wǎng)絡(luò)訪問權(quán)限。 支持與 Windows 域管理器、第三方郵件系統(tǒng)（必須支持 LDAP 協(xié)議）的統(tǒng)一認證，避免用戶記憶多個用戶名和密碼。 支持 PAP、 CHAP、 EAPMD EAPTLS、 PEAP 等多種身份驗證方式，適應(yīng)不同安全要求的應(yīng)用場景。 提供了一種低價格、高可靠、高性能的 網(wǎng)絡(luò)安全和用戶管理 解決方案 ， 能夠滿足 各種規(guī)模 網(wǎng)絡(luò)的用戶 管理、身份認證 、權(quán)限控制 的要求。 可管理所有支持標準 SNMP 網(wǎng)管協(xié)議的網(wǎng)絡(luò)設(shè)備，為多廠商設(shè)備共存的網(wǎng)絡(luò)提供了統(tǒng)一的管理方式。 設(shè)備管理 提供設(shè)備管理功 能，通過面板圖片，直觀地反映了設(shè)備運行情況。 配置管理 60%的設(shè)備故障是因為網(wǎng)絡(luò)誤配置造成的。 網(wǎng)絡(luò)監(jiān)視 網(wǎng)管系統(tǒng)提供了豐富的性能管理功能，幫助用戶主動監(jiān)視網(wǎng)絡(luò)的狀況，及時發(fā)現(xiàn)網(wǎng)絡(luò)潛在的隱患。 支持告警過濾，用戶能夠按照告警級別、告警源、關(guān)鍵詞等過濾條件迅速聚焦到 “真正有價 值的告警”； 可以靈活定義告警級別，以符合客戶網(wǎng)絡(luò)的實際狀況； 提供常見問題的修復建議。 自動發(fā)現(xiàn)網(wǎng)絡(luò)拓撲結(jié)構(gòu)； 支持全網(wǎng)設(shè)備的統(tǒng)一拓撲視圖； 可以靈活裁減拓撲視圖，聚焦網(wǎng)絡(luò)的關(guān)鍵區(qū)域； 可以靈活選擇 設(shè)備、背景圖標，構(gòu)建逼近真實網(wǎng)絡(luò)的拓撲； 可以直接點擊拓撲視圖節(jié)點，快速查看設(shè)備面板； 拓撲節(jié)點顏色能夠直觀反映網(wǎng)絡(luò)、設(shè)備狀態(tài)； 可以靈活定制對設(shè)備狀態(tài)的輪詢間隔； 故障管理 網(wǎng)絡(luò)故障管理功能為用戶及時發(fā)現(xiàn)問題、深入分析問題、快速解決問題提供了全流程的支持。 網(wǎng)絡(luò)拓撲管理 網(wǎng)絡(luò)管理軟件可以通過拓撲發(fā)現(xiàn)功能，幫助客戶迅速發(fā)現(xiàn)網(wǎng)絡(luò)資源。 網(wǎng)絡(luò)管理、接入認證、日 志審計系統(tǒng)設(shè)計 針對太重這種大型的網(wǎng)絡(luò)系統(tǒng)，網(wǎng)絡(luò)的運維管理變得非常重要，需要采用必要的手段進行能夠網(wǎng)絡(luò)的集中監(jiān)控和管理，實現(xiàn)不同廠商產(chǎn)品的統(tǒng)一監(jiān)控和管理，需要采用一個網(wǎng)絡(luò)管理平臺；同時為了更好的控制網(wǎng)絡(luò)資源訪問權(quán)限，監(jiān)控網(wǎng)上行為，記錄外網(wǎng)訪問記錄、作為事后審計依據(jù)，需要增加以下幾個部分： 網(wǎng)絡(luò)管理軟件系統(tǒng) 接入審計系統(tǒng) 日志審計系統(tǒng) 網(wǎng)絡(luò)管理系統(tǒng)應(yīng)該包括以下功能： 網(wǎng)絡(luò)管理系統(tǒng)應(yīng)采用 分布式 、組件 化 、跨平臺 的 開放 體系結(jié)構(gòu) ，用戶通過選擇安 本科生畢業(yè)設(shè)計（論文） 18 裝不同的業(yè)務(wù)組件，可以實現(xiàn)設(shè)備管理、拓撲管理、 告警管理、性能管理、配置管理等多種管理功能。 入侵防御系統(tǒng)： 配置入侵防御系統(tǒng)，提供 4 個 100M 端口，具備 1G 吞吐量，滿足當前接入帶寬。 支持 RIP、 OSPF、 BGP、 ISIS 等多種路由協(xié)議 支持多種網(wǎng)絡(luò)接口 支持 IPV6 防火墻： 使用原有 Juniper 防火墻，劃分 DMZ 區(qū)域，通過原有華為 5000 千兆交換機，連接門戶服務(wù)器及 EMAIL 服務(wù)器等。 高性能：具備 的包轉(zhuǎn)發(fā)性能，滿足未來千兆線路的全線速轉(zhuǎn)發(fā)。 我們采用路由器 +防火墻 +入侵防御系統(tǒng) （ IPS） 的方式來構(gòu)建對外訪問區(qū)。 本科生畢業(yè)設(shè)計（論文） 17 互聯(lián)網(wǎng)接入設(shè)計 對外訪問區(qū)負責全網(wǎng)對 INTERNET 的訪問，同時承載太重門戶網(wǎng)站的對外發(fā)布和 EMAIL 系統(tǒng)。同時入侵防御性能達 ，完全滿足 1G 以上的設(shè)備要求，無任何瓶頸。 安全控制策略： 防火墻設(shè)置為默認拒絕工作方式，保證所有的數(shù)據(jù)包，如果沒 有明確的規(guī)則允許通過，全部拒絕以保證安全； 在兩臺防火墻上設(shè)定嚴格的訪問控制規(guī)則，配置只有規(guī)則允許用戶能夠訪問數(shù)據(jù)中心中的指定的資源，嚴格限制網(wǎng)絡(luò)用戶對數(shù)據(jù)中心服務(wù)器的資源，以避免網(wǎng)絡(luò)用戶可能會對數(shù)據(jù)中心的攻擊、非授權(quán)訪問以及病毒的傳播，保護數(shù)據(jù)中心的核心數(shù)據(jù)信息資產(chǎn)； 配置防火墻全面攻擊防范能力，包括 ARP欺騙攻擊的防范，提供 ARP主動反向查詢、 TCP報文標志位不合法攻擊防范、超大 ICMP報文攻擊防范、地址 /端口掃描的防范 、 ICMP重定向或不可達報文控制功能、 Tracert報文控制功能、帶路由記錄選項 IP報文控制功能等，全面防范各種網(wǎng)絡(luò)層的攻擊行為； 根據(jù)需要，配置 IP/MAC 綁定功能，對能夠識別 MAC 地址的主機進行鏈路層控制，實現(xiàn)只有 IP/MAC 匹配的用戶才能訪問數(shù)據(jù)中心的服務(wù)器。除了完善的隔離控制能力和安全防范能力，數(shù)據(jù)中心防火墻的部署我們同時考慮兩個關(guān)鍵特性： 高性能： 數(shù)據(jù)中心部署大量的服務(wù)器，是整個網(wǎng)絡(luò)的數(shù)據(jù)流量的匯集點，因此要 本科生畢業(yè)設(shè)計（論文） 16 求防火墻必 須具備非常高的性能，保證部署防火墻后不會影響這些大流量的數(shù)據(jù)傳輸，不能成為性能的瓶頸； 可靠性： 所