【正文】 其中包括網(wǎng)絡(luò)實(shí)施細(xì)節(jié)的規(guī)劃和相關(guān)事宜的落實(shí)，包括廣域網(wǎng)鏈路到位，各市州設(shè)備安裝條件（電源、配線架、跳線……）到位。 縣轄縣（市、區(qū)）名稱分配地址數(shù)量(4+n(區(qū)縣數(shù)量）+n/2)分配地址范圍（市、區(qū)）個(gè)附錄一 各市州IP地址分配表　　**財(cái)政各市州地址分配表　　市市州匯接中心主用路由器出現(xiàn)故障后，由于到網(wǎng)點(diǎn)無(wú)備份線路，所以只有通過(guò)手工將主用路由器的線路遷移到備用路由器上運(yùn)行。整個(gè)網(wǎng)絡(luò)改造完成后，應(yīng)實(shí)現(xiàn)省中心和市州匯接中心間的線路備份。對(duì)于割接完成后的網(wǎng)點(diǎn)，檢查是否能夠和省中心及市州中心相應(yīng)服務(wù)器進(jìn)行通信，驗(yàn)證每一種業(yè)務(wù)是否正常。在整個(gè)項(xiàng)目的實(shí)施過(guò)程中，如遇到不能確定的問(wèn)題，集成商項(xiàng)目負(fù)責(zé)人需要馬上聯(lián)系公司技術(shù)服務(wù)中心或者研究院解決。邁普公司負(fù)責(zé)市州中心與網(wǎng)點(diǎn)應(yīng)急方案實(shí)施。應(yīng)急反應(yīng)小組組成：我省項(xiàng)目實(shí)施成員，邁普公司項(xiàng)目實(shí)施成員，太極集團(tuán)項(xiàng)目實(shí)施成員。對(duì)于割接完成后的網(wǎng)點(diǎn)，檢查是否能夠和省中心及市州中心相應(yīng)服務(wù)器進(jìn)行通信，驗(yàn)證每一種業(yè)務(wù)是否正常。然后利用部分網(wǎng)點(diǎn)進(jìn)行相關(guān)業(yè)務(wù)測(cè)試。檢查新舊網(wǎng)絡(luò)設(shè)備的線纜標(biāo)簽是否準(zhǔn)確齊全，防止在割接過(guò)程中出現(xiàn)線纜插拔錯(cuò)誤的發(fā)生。對(duì)舊網(wǎng)絡(luò)的連接和配置一般不要做改動(dòng)。第五章　應(yīng)急預(yù)案檢查現(xiàn)有網(wǎng)絡(luò)各種業(yè)務(wù)之間的通信是否正常，以及到集團(tuán)公司服務(wù)器的訪問(wèn)是否正常。 在新網(wǎng)網(wǎng)絡(luò)設(shè)備調(diào)試成功以后，再將網(wǎng)點(diǎn)所有終端設(shè)備分別按業(yè)務(wù)分類接入新網(wǎng)。不同業(yè)務(wù)的終端設(shè)備接入相應(yīng)的VRF接口中。網(wǎng)點(diǎn)QUIDWAY 2700路由器交換口上再劃分4個(gè)VLAN接不同業(yè)務(wù)的PC機(jī)或終端，每個(gè)VLAN與一個(gè)VPN相對(duì)應(yīng)。改造完成后網(wǎng)點(diǎn)線路均為2M SDH。目前網(wǎng)點(diǎn)為單線路上連市州，線路類型有64K DDN、128K DDN及2M SDH。2）、前置服務(wù)器所在市州改造完成后，其它未改造或部分改造市州的舊網(wǎng)需訪問(wèn)該前置服務(wù)器時(shí)的方式：在省中心華為 7206市州匯接路由器、USG5550、未改造市州匯接中心華為 3640路由器和網(wǎng)點(diǎn)路由器上配置到目標(biāo)地址為新網(wǎng)前置服務(wù)器的路由。前置服務(wù)器改造方法如下：1）、在同一個(gè)改造市州內(nèi)新舊網(wǎng)并存時(shí)，前置服務(wù)器的改造及訪問(wèn)方法： 將其原來(lái)老網(wǎng)前置備份一份，增加原來(lái)老網(wǎng)同樣數(shù)量的前置，將增加的前置更改IP地址為新網(wǎng)IP地址后接入新網(wǎng)。在市州QUIDWAYAR4680路由器和省核心NE80E 路由器調(diào)試完畢后，PC和終端按照業(yè)務(wù)的分類接入新網(wǎng)交換機(jī)不同VLAN。 更改原IP地址為新網(wǎng)規(guī)劃IP地址。一、市州局域網(wǎng)沒有前置服務(wù)器的割接方法: 首先統(tǒng)計(jì)市州局域網(wǎng)內(nèi)核心交換機(jī)上所接的所有線纜，并按照不同業(yè)務(wù)做好標(biāo)示。核心交換機(jī)應(yīng)滿足24個(gè)10/100/1000M以太網(wǎng)端口，支持三層交換，支持基于端口的流量控制。配置4至6個(gè)10/100/1000M以太網(wǎng)端口，用來(lái)連接不同的VPN；配置1至2個(gè)CPOS端口，用來(lái)下聯(lián)網(wǎng)點(diǎn)。割接時(shí)市州需要增加兩臺(tái)接入路由器QUIDWAYAR4680和兩臺(tái)核心交換機(jī)S4128。而且只有同時(shí)攻破兩臺(tái)防火墻之后，才能進(jìn)入內(nèi)部網(wǎng)絡(luò)系統(tǒng)，通過(guò)兩層防火墻的過(guò)濾，極大的提高了第三方用戶與我省財(cái)政信息網(wǎng)之間的通信數(shù)據(jù)安全性。其中，金融類VPN內(nèi)主要包括財(cái)政儲(chǔ)蓄業(yè)務(wù)、代收付業(yè)務(wù)及現(xiàn)有第三方業(yè)務(wù)內(nèi)網(wǎng)，在財(cái)政儲(chǔ)蓄業(yè)務(wù)與代收付業(yè)務(wù)之間利用原有華為 T3000主備防火墻，劃分不同的安全域，通過(guò)在防火墻上設(shè)置ACL訪問(wèn)控制列表的方式允許特定主機(jī)、服務(wù)器之間的訪問(wèn)，而拒絕其他主機(jī)之間的通信；對(duì)于我省代收付的第三方用戶的訪問(wèn)，首先通過(guò)安氏防火墻進(jìn)入現(xiàn)有第三方內(nèi)網(wǎng)，然后再通過(guò)集團(tuán)公司Juniper防火墻，訪問(wèn)經(jīng)過(guò)地址轉(zhuǎn)換之后的綜合平臺(tái)服務(wù)主機(jī)。如果兩類VPN之間有互訪的需求，通過(guò)兩臺(tái)互備的華為 USG5550虛擬防火墻實(shí)現(xiàn)。設(shè)置結(jié)算類VPN，將辦理多種業(yè)務(wù)的終端劃入該VPN內(nèi)，通過(guò)省信息中心防火墻以路由方式訪問(wèn)金融類VPN或財(cái)務(wù)類VPN。省中心局域網(wǎng)現(xiàn)狀為不同的業(yè)務(wù)系統(tǒng)擁有各自獨(dú)立的廣播域，在不同的設(shè)備上完成三層終結(jié)，考慮到QUIDWAYLS VPN網(wǎng)絡(luò)改造完成后，省中心局域網(wǎng)內(nèi)的各業(yè)務(wù)系統(tǒng)必須歸屬于不同的VPN，因此我們首先要完成省中心局域網(wǎng)絡(luò)的改造。上連集團(tuán)公司的路由器也接入到這個(gè)交換網(wǎng)。我省財(cái)政信息網(wǎng)省中心通過(guò)兩臺(tái)互備的華為 7206路由器與13個(gè)市州信息中心連接。 在線路和網(wǎng)絡(luò)設(shè)備到位后，可著手進(jìn)行網(wǎng)絡(luò)改造實(shí)施，此次網(wǎng)絡(luò)改造實(shí)施應(yīng)實(shí)現(xiàn)在不影響現(xiàn)有系統(tǒng)正常工作的前提下，分步進(jìn)行實(shí)施。 線路改造的同時(shí)需要相關(guān)新增網(wǎng)絡(luò)設(shè)備的到位和支持，因此，在預(yù)申請(qǐng)相關(guān)線路鋪設(shè)到位階段，應(yīng)實(shí)現(xiàn)新增網(wǎng)絡(luò)設(shè)備到位。 線路提前到位是此次改造的關(guān)鍵，線路不到位，相關(guān)的設(shè)備測(cè)試和實(shí)施方案測(cè)試將無(wú)法進(jìn)行。本次網(wǎng)絡(luò)擴(kuò)容改造工程需要運(yùn)營(yíng)商的配合，需要我們做好與運(yùn)營(yíng)商方面的溝通，包括工作內(nèi)容、時(shí)間進(jìn)度安排，及線路時(shí)隙對(duì)應(yīng)關(guān)系。太極集團(tuán)負(fù)責(zé)省中心局域網(wǎng)改造及與邁普市州路由器互通調(diào)測(cè)。 市州主備路由器及主備交換機(jī)詳細(xì)配置表第四章　網(wǎng)絡(luò)切換方案我局相關(guān)工程人員負(fù)責(zé)省中心、試點(diǎn)市州及部分推廣市州的現(xiàn)場(chǎng)技術(shù)支持。 市州QUIDWAYAR4680主備路由器配置：市州兩臺(tái)路由器除以太接口、loopback0接口配置不一樣外，其它配置均一樣。 市州到網(wǎng)點(diǎn)線路出現(xiàn)故障時(shí)路由的走向：由于市州到網(wǎng)點(diǎn)是單線路且網(wǎng)點(diǎn)沒有備份線路，所以當(dāng)市州到網(wǎng)點(diǎn)線路出現(xiàn)問(wèn)題時(shí)，網(wǎng)點(diǎn)所有業(yè)務(wù)將不能辦理。 當(dāng)市州上聯(lián)省中心主線路出現(xiàn)問(wèn)題路由的走向： 網(wǎng)點(diǎn)數(shù)據(jù)通過(guò)市州QUIDWAYAR4680主路由器，再到QUIDWAYAR4680備路由器再通過(guò)移動(dòng)上聯(lián)線路到達(dá)省中心。具體為在QUIDWAY2700的上聯(lián)廣域口上啟用4個(gè)幀中繼子接口與市州中心匯聚路由器QUIDWAYAR4680的4個(gè)幀中繼子接口對(duì)應(yīng)，然后在QUIDWAY2700交換口上再劃分4個(gè)VLAN接不同業(yè)務(wù)的PC機(jī)或終端，每個(gè)VLAN與一個(gè)VPN相對(duì)應(yīng)，然后啟用的4個(gè)三層接口，每個(gè)三層接口對(duì)應(yīng)一個(gè)VLAN，然后在QUIDWAY2700路由器上啟用4個(gè)本地VRF，然后把4個(gè)子接口和4個(gè)三層接口分別關(guān)聯(lián)起來(lái)，用于隔離網(wǎng)點(diǎn)本地所有業(yè)務(wù)。 在QUIDWAYAR4680路由器匯接下聯(lián)網(wǎng)點(diǎn)的每個(gè)CPOS通道接口下啟用4個(gè)子接口，子接口封裝FR（幀中繼）協(xié)議，與網(wǎng)點(diǎn)之間使用背靠背幀中繼協(xié)議，設(shè)置QUIDWAYAR4680為幀中繼交換機(jī)，每個(gè)子接口封裝成不同的VRF接口，從而實(shí)現(xiàn)PE只到市州，網(wǎng)點(diǎn)采用Multi VRF接入。S3952P上的具體配置如下：１、 兩臺(tái)主備交換機(jī)之間采用10/100/1000M以太電口相連接，互聯(lián)接口作為trunk接口。將AR46801的F0/1口與AR46802的F0/1口互聯(lián)，用于AR46801 G0下所有vrf的備份。設(shè)置NE80－1優(yōu)先從AR46801學(xué)習(xí)路由，AR46801向NE801發(fā)布網(wǎng)段的時(shí)候帶localpreference屬性為300，AR46802向NE801發(fā)布網(wǎng)段的時(shí)候帶localpreference屬性為200，AR46801向NE802發(fā)布網(wǎng)段的時(shí)候帶localpreference屬性為150，AR46802向NE802發(fā)布網(wǎng)段的時(shí)候不設(shè)置localpreference屬性（默認(rèn)是100），這樣設(shè)置的目的是只要AR46801和NE801的鄰居在，那么始終優(yōu)先從AR46801學(xué)習(xí)路由，如果NE801壞了那么NE802也優(yōu)先從AR46801學(xué)習(xí)路由，當(dāng)AR46801壞了，那么就將AR46801關(guān)電，將AR46801上的線移接到AR46802上，此時(shí)NE801將會(huì)從AR46802上學(xué)習(xí)路由。市州中心網(wǎng)絡(luò)結(jié)構(gòu)如下圖： 各市州采用兩臺(tái)QUIDWAYAR4680路由器，上聯(lián)線路使用熱備份方式，下聯(lián)網(wǎng)點(diǎn)使用冷備份。測(cè)試方法由我局相關(guān)技術(shù)人員會(huì)同集成商工程師共同協(xié)商確定。首先，由太極集團(tuán)配合我局對(duì)省中心局域網(wǎng)核心進(jìn)行改造，包括新舊網(wǎng)互通、與集團(tuán)公司互通、結(jié)算類VPN互通、借用線路第三方業(yè)務(wù)VPN內(nèi)連通等，再由邁普公司、太極集團(tuán)配合我局完成省信息中心到市州匯接中心的互通調(diào)測(cè)。解決方案：考慮到集團(tuán)公司為**財(cái)政所分配的財(cái)務(wù)類專用地址資源豐富，建議將結(jié)算類VPN內(nèi)的終端設(shè)備采用財(cái)務(wù)類專用地址。當(dāng)我們將結(jié)算類的終端設(shè)備采用集團(tuán)公司所分配的財(cái)務(wù)專用IP段時(shí)，這些終端訪問(wèn)集團(tuán)公司金融業(yè)務(wù)時(shí)就會(huì)被集團(tuán)公司策略所拒絕掉，導(dǎo)致業(yè)務(wù)無(wú)法實(shí)現(xiàn)。改造過(guò)渡期間/改造完成后新舊網(wǎng)絡(luò)對(duì)集團(tuán)公司訪問(wèn)實(shí)現(xiàn)：改造過(guò)渡期間/改造完成后各個(gè)業(yè)務(wù)系統(tǒng)服務(wù)器平臺(tái)對(duì)集團(tuán)公司訪問(wèn)實(shí)現(xiàn)： NAT實(shí)現(xiàn)財(cái)務(wù)類IP訪問(wèn)集團(tuán)公司金融業(yè)務(wù)平臺(tái)問(wèn)題提出集團(tuán)公司分別為金融（綠卡）類業(yè)務(wù)與財(cái)務(wù)（綜合網(wǎng)）類業(yè)務(wù)分配了不同的IP地址段，并且限制了只允許所分配的地址段內(nèi)的IP訪問(wèn)集團(tuán)公司相關(guān)業(yè)務(wù)系統(tǒng)。結(jié)算VPN訪問(wèn)財(cái)務(wù)類系統(tǒng)的實(shí)現(xiàn)方式如上。在PE(NE80E 路由器)設(shè)備上的結(jié)算VPN的VRF路由表里，通過(guò)手工發(fā)布靜態(tài)VRF路由的方式，將去往金融類業(yè)務(wù)平臺(tái)地址段的靜態(tài)路由宣告進(jìn)VRF路由表，并重分布進(jìn)BGP相關(guān)地址簇，實(shí)現(xiàn)相關(guān)路由的發(fā)布。財(cái)務(wù)類業(yè)務(wù)和綜合類的兩網(wǎng)互通實(shí)現(xiàn)參照金融類業(yè)務(wù)。在QUIDWAYLS VPN新網(wǎng)核心設(shè)備NE80E 路由器與試點(diǎn)市州PE設(shè)備聯(lián)調(diào)完成后，即可進(jìn)行兩網(wǎng)互通的調(diào)試工作。此外，在我省財(cái)政信息網(wǎng)擴(kuò)容改造期間，還涉及到例如ATM設(shè)備更改IP地址、終端綁定等相關(guān)難題，我們將聯(lián)合各廠商在試點(diǎn)市州網(wǎng)絡(luò)改造期間進(jìn)行相關(guān)模擬環(huán)境測(cè)試，針對(duì)目前規(guī)劃中遇到的困難和問(wèn)題進(jìn)行測(cè)試，并進(jìn)行相關(guān)數(shù)據(jù)記錄，總結(jié)經(jīng)驗(yàn)，為我省財(cái)政信息網(wǎng)擴(kuò)容改造的全面開展打下堅(jiān)實(shí)的基礎(chǔ)。在各市州局進(jìn)行網(wǎng)絡(luò)改造過(guò)程中，市州所屬前置服務(wù)器、網(wǎng)絡(luò)終端等設(shè)備將根據(jù)用途分類劃入不同的VPN中，同時(shí)更改其IP地址，以實(shí)現(xiàn)新網(wǎng)的訪問(wèn)。 IP地址過(guò)渡第二階段第二次調(diào)整是在各市州局進(jìn)行QUIDWAYLS VPN割接測(cè)試階段。此次調(diào)整的目的是由于我省財(cái)政信息網(wǎng)目前剩余財(cái)務(wù)類地址段已不滿足網(wǎng)絡(luò)擴(kuò)容改造新舊兩網(wǎng)并存運(yùn)行的需要。在省中心局域網(wǎng)改造完成以后，我們將對(duì)各市州局IP地址段進(jìn)行兩次調(diào)整。目前，未分配金融類地址為123個(gè)C類地址，未分配財(cái)務(wù)類地址為384個(gè)C類地址。十三個(gè)市州局中除了甘南、平?jīng)觥c陽(yáng)和金昌分配了1/4個(gè)B類財(cái)務(wù)類地址外其余市州均使用1/2個(gè)B類財(cái)務(wù)類地址。 IP地址過(guò)渡實(shí)現(xiàn) IP地址使用現(xiàn)狀目前我省財(cái)政信息網(wǎng)生產(chǎn)用IP地址使用國(guó)家局分配的IP地址段，～～。手工指定loopback0接口IP為BGP的Routerid。 配置VRF在配置VRF過(guò)程中，VRF、RT、RD等相關(guān)參數(shù)必須嚴(yán)格按照本次改造方案規(guī)劃進(jìn)行配置，以免造成網(wǎng)絡(luò)管理上的混亂。 配置QUIDWAYLS本次項(xiàng)目涉及多廠家設(shè)備聯(lián)調(diào)，標(biāo)簽分發(fā)協(xié)議必須采用IETF起草的標(biāo)準(zhǔn)協(xié)議LDP，并手工指定LDP routerid為loopback0的接口IP。Tu3編號(hào)+（Tu2編號(hào)1）*3+（Tu12編號(hào)1）*21=時(shí)隙關(guān)系. S2/1/Tu3=3,tu2=5,tu12=2時(shí)隙關(guān)系=3+（51）*3+（21）*21=36建議兩臺(tái)NE80E 核心路由器上的SDH線路使用相同的時(shí)隙下聯(lián)同一個(gè)市州路由器。管理單元（AU，Administration Unit）和管理單元組（AUG，Administration Unit Group）：AU是提供高階通道層和復(fù)用段層之間適配的信息結(jié)構(gòu)。支路單元（TU，Tributary Unit）和支路單元組（TUG，Tributary Unit Group）：TU是提供低階通道層和高階通道層之間適配的信息結(jié)構(gòu)。虛容器（VC，Virtual Container）：用來(lái)支持SDH的通道層連接的信息結(jié)構(gòu)單元，是SDH通道的信息終端。 SDH線路時(shí)隙分配 NE80A CPOS時(shí)隙分配（假設(shè)CPOS模塊在NE80上的接口編號(hào)為S2/1/1）序號(hào)時(shí)隙子接口遠(yuǎn)端地址/30本端地址/30下聯(lián)單位名11S2/1/:0甘南、平?jīng)觥c陽(yáng)222S2/1/:0343S2/1/:044S2/1/:0525S2/1/:0646S2/1/:077S2/1/:0828S2/1/:0949S2/1/:01010S2/1/:01131S2/1/:01252S2/1/:01313S2/1/:01434S2/1/:01555S2/1/:01616S2/1/:017AR46S2/1/:01858S2/1/:01919S2/1/:02040S2/1/:02161S2/1/:0222S2/1/:02323S2/1/:02444S2/1/:0255S2/1/:02626S2/1/:02747S2/1/:0288S2/1/:02929S2/1/:03050S2/1/:03111S2/1/:03232S2/1/:03353S2/1/:03414S2/1/:0