【正文】 XX 市電子政務外網(wǎng)的公共資源服務區(qū) VPN，提供對外（Inter ）的公眾服務，電信用戶通過電信的 ISP 鏈路進行公眾服務網(wǎng)對服務器進行訪問，網(wǎng)通用戶則通過網(wǎng)通的 ISP 鏈路進行公眾服務網(wǎng)對服務器進行訪問（XX 網(wǎng)通把電子政務外網(wǎng)使用的電信的 IP 地址端指向網(wǎng)通的鏈路端，實現(xiàn) XX 地區(qū)針對電子政務網(wǎng)的互連互通） ，使電信及網(wǎng)絡的用戶避開了運營商的互連互通的弊端，實47 / 79現(xiàn)快速的訪問政務外網(wǎng)的公眾服務區(qū)的服務器。46 / 79 網(wǎng)絡拓撲 Inter 網(wǎng)絡設計XX 市電子政務外網(wǎng)的資源共享區(qū)，需要連接至中國電信及中國網(wǎng)通 2 個主流運營商的 ISP 網(wǎng)絡，來保障到中國電信、中國網(wǎng)通的 ISP 資源訪問；同時保障使用中國電信、中國網(wǎng)通的用戶對電子政務外網(wǎng)公眾資源區(qū)的各類服務器的訪問。具體配置情況如下， 機房分布及單位覆蓋核心機房 匯聚機房 聯(lián)網(wǎng)單位 數(shù)量市府大樓市委辦公廳、市人大常委會辦公廳、市政府辦公廳、市機關事務局、市紀委、市委組織部、市委宣傳部、市委政法委、市委政研室、市農辦、市直機關工委、市委老干部局、市編委辦、市委 610 辦公室、市發(fā)展改革委、市經(jīng)委、市監(jiān)察局、市人事局、市統(tǒng)計局、市信息辦、市外辦、市法制辦、市老齡工辦、市信訪局、市委黨史研究室、市文明辦、市西博辦、市關工委、1234市投訴辦、市投訴中心31勞動技校 市國資委、市規(guī)劃局、市人才中心、市燃氣集團 4干休所市交通局、市環(huán)保局、市食品藥品監(jiān)管局、市公共資源交易辦、市公安局交警支隊、市文廣集團、市人才大廈、建設銀行（業(yè)務）7北大橋 市公安局巡（特）警支隊、市財校、市軍隊離退休干部活動中心、市檔案局、 4下城敬老院 市檢察院、市林水局、市國安局 3黃龍 市國土資源局、市園文局、市體育局、市殘聯(lián)、市團校、市文廣新聞出版局（20 號機房） 6區(qū)政府直連 西湖區(qū)、拱墅區(qū)、下城區(qū) 3勞動技校合計 　 5644 / 79宏鼎商務樓 宏鼎商務樓市政協(xié)辦公廳、市法院、市委統(tǒng)戰(zhàn)部、市委臺辦、市建委、市教育局、市科技局、市民族宗教局、市民政局、市司法局、市房管局、市貿易局、市糧食局、市外經(jīng)貿局、市衛(wèi)生局、市人口計生委、市審計局、市城管執(zhí)法局、市質監(jiān)局、市安監(jiān)局、市僑辦、市城管辦、市愛衛(wèi)辦、市打私與口岸辦、市物價局、杭報集團、西泠印社社委會、市經(jīng)合辦、市總工會、團市委、市婦聯(lián)、市文聯(lián)、市科協(xié)、市僑聯(lián)、市貿促會、市社聯(lián)、民革市委會、民盟市委會、民建市委會、農工黨市委會、致公黨市委會、九三學社市委會、市府綜合樓管理處、市圖書館、XX 商業(yè)銀行（業(yè)務） 、建設銀行（業(yè)務） 、市疾控中心、市市政設施監(jiān)管中心48　 合計 　 48凱旋門商業(yè)中心市旅委、市公安局、市財政局、市勞動保障局、市農業(yè)局、市人防辦、市公安局消防支隊、市國稅局、市工商聯(lián)、民進市委會、市公積金中心、市自來水公司、市會計結算中心13江干市政 市工商局、市農村能源辦、XX 經(jīng)濟開發(fā)區(qū)管委會（23 號機房） 3南星橋 市委黨校、市氣象局 2區(qū)政府直連 上城區(qū)、江干區(qū)、XX 高新開發(fā)區(qū)（濱江）(15號機房） 3高銀巷合計 　 21　 總計 　 127 光纜距離路由表用途 起始機房 終止機房 距離(KM)核心環(huán) 勞動技校 鴻鼎商務樓 核心環(huán) 鴻鼎商務樓 高銀巷 核心環(huán) 高銀巷 勞動技校 合計 　 　 方案一： 　 　 　匯聚網(wǎng) 鴻鼎商務樓 市政府 3匯聚網(wǎng) 勞動技校 市政府 匯聚網(wǎng) 勞動技校 黃龍 匯聚網(wǎng) 勞動技校 北大橋 4匯聚網(wǎng) 勞動技校 干休所 4匯聚網(wǎng) 勞動技校 下城敬老院 匯聚網(wǎng) 高銀巷 凱旋門商貿中心 匯聚網(wǎng) 高銀巷 江干市政 匯聚網(wǎng) 高銀巷 南星橋 合計 　 　 方案二： 　 　 　45 / 79匯聚環(huán) A 勞動技校 市政府 匯聚環(huán) A 市政府 黃龍 匯聚環(huán) A 黃龍 鴻鼎商務樓 匯聚環(huán) A 宏鼎商務樓 勞動技校 合計 　 　 匯聚環(huán) B 勞動技校 下城敬老院 匯聚環(huán) B 下城敬老院 干休所 匯聚環(huán) B 干休所 高銀巷 匯聚環(huán) B 高銀巷 勞動技校 合計 　 　 匯聚環(huán) C 高銀巷 南星橋 匯聚環(huán) C 南星橋 江干市政 匯聚環(huán) C 江干市政 凱旋門商貿中心 匯聚環(huán) C 凱旋門商貿中心 鴻鼎商務樓 匯聚環(huán) C 鴻鼎商務樓 高銀巷 合計 　 　 Inter 聯(lián)網(wǎng)根據(jù)《浙江省電子政務網(wǎng)絡技術規(guī)范》的要求，資源共享專網(wǎng)設立因特網(wǎng)統(tǒng)一出口，接入市政務外網(wǎng)的各委（辦、局）通過統(tǒng)一出口訪問因特網(wǎng)。具體配置情況如下， 接入交換機的設備選型和配置說明我們推薦采用 Cisco 的 WSC296024TTL 交換機作為接入交換機設備，該43 / 79交換機具有 24 個 10/100M 接口和 2 個 10/100/1000M 千兆電接口，交換容量16Gbps，數(shù)據(jù)轉發(fā) ，所有端口可以實現(xiàn)無阻塞轉發(fā)。Cisco Catalyst 6500 系列能夠借助冗余路由與轉發(fā)引擎之間的故障切換功能提高網(wǎng)絡正常運行時間。Cisco Catalyst 6500 系列交換機提供包括數(shù)千兆位網(wǎng)絡安全性、內容交換、語音和網(wǎng)絡分析模塊。 6500 系列能夠提供安全的端到端融合網(wǎng)絡服務，其使用范圍從布線室到核心，再到數(shù)據(jù)中心和廣域網(wǎng)邊緣。6504E 交換機是思科的 6500 交換機系列的一款設備， Catalyst 6500 系列為政府網(wǎng)絡和電信運營商網(wǎng)絡設立了新的 IP 通信和應用支持標準，它不但能提高用戶的工作效率，增強操作控制，還能提供無與倫比的投資保護。此外，所選的 3560 交換機所支持的MCE（多 VRF 的 CE）功能還可以多個 VPN 的三層匯聚和更靈活的設計。具體配置及性能情況如下： 匯聚層的設備選型和配置說明匯聚層設備，我們推薦采用 Cisco 的 WSC356024TSE 交換機，該交換機具有 24 個 10/100 電接口，2 個千兆光接口，交換容量 32Gbps，三層轉發(fā)能力。CISCO 7609 路由器具備 9 插槽機箱，在本次方案中每臺都配置冗余SUP720720B 引擎，實現(xiàn)主控單元的熱備功能， Cisco Sup 7203B 集成了一個高容量的交叉式交換矩陣，總系統(tǒng)容量可達 720Gbps，可以給每個插槽可提供全雙工 40Gbps 的容量， ； Sup 7203B 板載 512MB 內存，引擎自帶的三層轉發(fā)性能可以達到 30Mpps ，此外我們還給每臺 7609 所包含的 4 口萬兆板卡上配置了一塊 DFC 分布式轉發(fā)子卡，該子卡的三層轉發(fā)性能高達 48Mpps。多功能的 Cisco 7600 系列系統(tǒng)將廣域網(wǎng)連接從 DS0 擴展至 OC48/STM16，將局域網(wǎng)連接從 10M 以太網(wǎng)擴展至了 10G 以太網(wǎng)。Cisco 7609 路由器是一款部署于網(wǎng)絡核心的高性能路由器，在網(wǎng)絡核心，性能、IP 服務、冗余性和故障彈性十分重要。41 / 79另外，對于撥入用戶的身份驗證，可以考慮采用結合 USBKEY 的方式進行雙重身份驗證，以加強整個電子政務外網(wǎng)網(wǎng)絡移動接入的安全性?；谝陨系姆治鑫覀兘ㄗh可以考慮在 XX 市電子政務外網(wǎng)的邊緣上放置一臺 VPE 設備，本次方案建議采用 Cisco 3845，通過采用 IPSEC TO MPLS 映射的方式，實現(xiàn)從 INTERNET 上到 XX 市電子政務外網(wǎng) MPLS VPN 網(wǎng)絡的接入。另一種機制是從 RadiusAAA 服務器上下載某個用戶的 IKE SA 連接與相應的 VRF 的關聯(lián)關系。第二種方式：IPSec VPDN 的 IPSec 隧道與 VRF 的映射實現(xiàn)：我們知道首先 Client 與 IPSec 服務器直接要建立一個基于 IKE SA 的 IPSec 連接，VPE 設備（也就是 IPSec 服務器）會將該連接同相應 VRF 關聯(lián)在一起。該項目的一個關鍵技術在于如何在這臺 VPE 設備上將不同的個人用戶的 IPSec 隧道映射到相應的 MPLS VPN 中去。在這樣的情況下，這個 MPLS VPN 的網(wǎng)絡只能覆蓋市內到 PE 設備能接入得到的 CE 用戶，而通過這個技術，我們可以實現(xiàn)在外地的分支機構，甚至 Inter 覆蓋的任何一個地方通過 IPSec，MPLS VPN完成到我市的 MPLS VPN 接入。因此我們在本方案中提出通過 INTERNETN 實現(xiàn)電子政務外網(wǎng)的移動接入，以提高電子政務外網(wǎng)的可連接覆蓋性，供日后參考，具體描述如下：IPSec_MPLS VPN 的工作原理簡介Cisco 的 IPSec to MPLS VPN 的技術可以實現(xiàn) IPSec VPN 到 MPLS VPN 的映射，我們可通過一臺稱作 VPE 或稱 VPE 設備（以下簡稱 VPE） ，目前在7206 路由器、3845 路由器、2800 路由器等平臺都可以作為 VPE 設備。? VPE 遠程接入：XX 市電子政務外網(wǎng)是一個基于 IP/MPLS 的承載網(wǎng)絡，其目的是滿足 XX市各縣市區(qū)、各市級單位的網(wǎng)絡接入和信息資源共享，因此其很重要的一點就是網(wǎng)絡需要較大的覆蓋范圍。匯聚層網(wǎng)絡利用高性能、高性價比的 2 層交換機實現(xiàn)匯接點的單位的接入，38 / 79構建網(wǎng)絡拓撲簡單、實用性強、性價比好的電子政務外網(wǎng)的匯接層網(wǎng)絡；匯接層采用 2 層交換機組網(wǎng)，使網(wǎng)絡層次清晰，配置工作集中在核心的 PE 設備，使后期的網(wǎng)絡運維配置簡單、故障排查簡單、高效；同時可通過匯聚層網(wǎng)絡的安全控制、策略設置保障核心層網(wǎng)絡安全性、可靠性。所有的匯聚機房及核心機房的本地接入，均采用高性能的具有 MCE 功能的三層交換機 Cisco Catalyst 3560 交換機作為電子政務的二層匯聚設備考慮到市政府大樓聚集 XX 市的政府首腦機關聚集地、是 XX 政治、經(jīng)濟、文化的決策中心，同時也是 XX 市電子政務網(wǎng)與浙江省電子政務的銜接點，因此建議 XX 市政府大樓用 1 臺 PE 設備（Cisco Catalyst 6503E）作為大樓局域網(wǎng)的接入設備，同時與電子政務網(wǎng)的 2 個 POP 點相連，確保市政府大樓內的局域網(wǎng)與電子政務的相連。三個骨干節(jié)點及各自獨立，各自負責本地區(qū)域的所有聯(lián)網(wǎng)單位的 MPLS VPN 功能，同時三個骨干節(jié)點之間通過物理鏈路、路由方式互連，可在任何一個節(jié)點出現(xiàn)故障的情況下，在不影響其它節(jié)點正常運行的情況下，進行路由切換至相鄰節(jié)點，確保整個核心網(wǎng)平臺的正常使用。 .網(wǎng)絡拓撲37 / 79 網(wǎng)絡平臺設計? 骨干環(huán)網(wǎng)：根據(jù) XX 市電子政務網(wǎng)聯(lián)網(wǎng)需求的所有單位的分布、覆蓋狀況，選定勞動技校、宏鼎商務樓、高銀巷為電子政務網(wǎng)平臺的核心節(jié)點。各個區(qū)縣部署一臺 PE 設備作為各個區(qū)縣的匯聚 P 節(jié)點或者 PE 節(jié)點，通過光纖或者 MSTP 上聯(lián)核心節(jié)點。根據(jù)目前的城域網(wǎng)的組網(wǎng)技術及主流技術，考慮日后的電子政務外網(wǎng)的運維等等因素，我們建議采用 PE 骨干層＋二層匯聚的組網(wǎng)方式。具體配置清單如下，36 / 79 XX 市電子政務外網(wǎng)建設方案在本方案中充分考慮目前的黨政專網(wǎng)的網(wǎng)絡狀況，結合已利用的鏈路資源及成熟的技術、設備，實現(xiàn)用成熟技術、經(jīng)濟的設備。Cisco Catalyst 6500 系列能夠借助冗余路由與轉發(fā)引擎之間的故障切換功能提高網(wǎng)絡正常運行時間。35 / 79Cisco Catalyst 6500 系列交換機提供包括數(shù)千兆位網(wǎng)絡安全性、內容交換、語音和網(wǎng)絡分析模塊。 6500 系列能夠提供安全的端到端融合網(wǎng)絡服務，其使用范圍從布線室到核心，再到數(shù)據(jù)中心和廣域網(wǎng)邊緣。Catalyst 6500 系列為企業(yè)園區(qū)網(wǎng)和電信運營商網(wǎng)絡設立了新的 IP 通信和應用支持標準，它不但能提高用戶的生產率，增強操作控制，還能提供無與倫比的投資保護。政務內網(wǎng)聯(lián)網(wǎng)通過運營商的 MSTP 傳輸網(wǎng)，實現(xiàn)用戶端到市政府中心的星型架構的傳輸網(wǎng)；用戶端采用光電收發(fā)器的接入模式，提供 10/100M 的接入端口，傳輸帶寬為 2M?？蛻舳瞬捎霉饫|直連加光電收發(fā)器的形式，并提供 10M/100M 接入端口，先期提供 2M 的傳輸帶寬，提供 100M 的接入端口，可隨著業(yè)務及應用的變更進行無縫升級（2M/4M/10M —100M 等） ；中心點根據(jù)目前的接入單位有 94 個接入單位，中心點采用匯聚模式。網(wǎng)絡設備支持多級管理權限，支持 RADIUS、TACACS+等認證機制。支持故障管理、記帳管理、配置管理、性能管理和安全管理五大功能。? 主干帶寬擴展 主干帶寬應具備高的帶寬擴展能力，以適應 IP 類業(yè)務急速膨脹的現(xiàn)實。? 交換容量擴展 交換容量應具備在現(xiàn)有基礎上繼續(xù)擴充 4~8 倍容量的能力，以適應 IP 類業(yè)務急速膨脹的現(xiàn)實。? 資源預留 對非常重要的特殊應用，應可以采用保留帶寬資源的方式保證其 QoS。? 先期擁塞控制 當網(wǎng)絡出現(xiàn)真正的擁塞時，瞬間大量的丟包會引起大量TCP 數(shù)據(jù)同時重發(fā)，加劇網(wǎng)絡擁塞的程度并引起網(wǎng)絡的不穩(wěn)定。超過承諾速32 / 79率的數(shù)據(jù)將被丟棄或標以最低的優(yōu)先級。當用戶終端不提供業(yè)務分類信息時，網(wǎng)絡設備應根據(jù)用戶所在網(wǎng)段、應用類型、流量大小等自動對業(yè)務進行分類。由于接入方式、接入速率、應用方式、數(shù)據(jù)性質的豐富多樣，網(wǎng)絡的數(shù)據(jù)流量突發(fā)是不可避免的，因此，網(wǎng)絡對擁塞的控制和對不同性質數(shù)據(jù)流的不同處理是十分重要的。電子政務網(wǎng)除了在鏈路、設備的冗余外，還需要提供路由冗余，確保網(wǎng)絡的路由有雙向的路由冗余，當發(fā)生設備故障、鏈路故障時，可通過路由冗余來保障故障影響面、影