【正文】 3535S2/1/:03656S2/1/:0AR4617S2/1/:03838S2/1/:03959S2/1/:04020S2/1/:04141S2/1/:04262S2/1/:0433S2/1/:04424S2/1/:04545S2/1/:0466S2/1/:04727S2/1/:04848S2/1/:0499S2/1/:05030S2/1/:05151S2/1/:05212S2/1/:05333S2/1/:05454S2/1/:05515S2/1/:05636S2/1/:05757S2/1/:05818S2/1/:05939S2/1/:06060S2/1/:06121S2/1/:06242S2/1/:06363S2/1/:0NE80B CPOS時(shí)隙分配（假設(shè)CPOS模塊在NE80上的接口編號(hào)為S2/1/1）序號(hào)時(shí)隙子接口遠(yuǎn)端地址/30本端地址/30下聯(lián)單位名11S2/1/:0甘南、平?jīng)觥c陽(yáng)222S2/1/:0343S2/1/:044S2/1/:0525S2/1/:0646S2/1/:077S2/1/:0828S2/1/:0949S2/1/:01010S2/1/:01131S2/1/:01252S2/1/:01313S2/1/:01434S2/1/:01555S2/1/:01616S2/1/:017AR46S2/1/:01858S2/1/:01919S2/1/:02040S2/1/:02161S2/1/:0222S2/1/:02323S2/1/:02444S2/1/:0255S2/1/:02626S2/1/:02747S2/1/:0288S2/1/:02929S2/1/:03050S2/1/:03111S2/1/:03232S2/1/:03353S2/1/:03414S2/1/:03535S2/1/:03656S2/1/:0AR4617S2/1/:03838S2/1/:03959S2/1/:04020S2/1/:04141S2/1/:04262S2/1/:0433S2/1/:04424S2/1/:04545S2/1/:0466S2/1/:04727S2/1/:04848S2/1/:0499S2/1/:05030S2/1/:05151S2/1/:05212S2/1/:05333S2/1/:05454S2/1/:05515S2/1/:05636S2/1/:05757S2/1/:05818S2/1/:05939S2/1/:06060S2/1/:06121S2/1/:06242S2/1/:06363S2/1/:0復(fù)用單元：SDH的基本復(fù)用單元包括若干容器（Cn）、虛容器（VCn）、支路單元（TUn）、支路單元組（TUGn）、管理單元（AUn）和管理單元組（AUGn），其中n為單元等級(jí)序號(hào)。所有新設(shè)備進(jìn)行加電單機(jī)測(cè)試。 QUIDWAYLS VPN搭建（配置案例詳見附件三、四） 新購(gòu)設(shè)備物理拓?fù)浯罱C(jī)房?jī)?nèi)電源、防雷接地等基礎(chǔ)配套實(shí)施完成。在原省中心匯接華為 7206路由器及新網(wǎng)核心設(shè)備NE80E 路由器上以子接口的方式實(shí)現(xiàn)與四種業(yè)務(wù)系統(tǒng)互聯(lián)及集團(tuán)公司線路的上聯(lián)。結(jié)算業(yè)務(wù)平臺(tái)訪問金融業(yè)務(wù)平臺(tái)和財(cái)務(wù)業(yè)務(wù)平臺(tái)通過華為 USG55505540防火墻上建立不同的虛擬防火墻（結(jié)算類至金融類、結(jié)算類至財(cái)務(wù)類）實(shí)現(xiàn)保護(hù)。將新網(wǎng)核心交換機(jī)上與統(tǒng)一接入交換機(jī)連接的端口劃入該VLAN，實(shí)現(xiàn)新舊網(wǎng)絡(luò)同時(shí)訪問上聯(lián)集團(tuán)公司路由器。統(tǒng)一接入交換機(jī)與舊網(wǎng)華為 7206匯接路由器互聯(lián)，新網(wǎng)核心交換機(jī)與兩臺(tái)新網(wǎng)核心設(shè)備NE80E 路由器互聯(lián)，實(shí)現(xiàn)新舊網(wǎng)絡(luò)同時(shí)訪問財(cái)政金融系統(tǒng)。統(tǒng)一接入交換機(jī)與舊網(wǎng)華為 7206匯接路由器互聯(lián)，新網(wǎng)核心交換機(jī)與兩臺(tái)新網(wǎng)核心設(shè)備NE80E 路由器互聯(lián)，實(shí)現(xiàn)新舊網(wǎng)絡(luò)同時(shí)訪問綜合類系統(tǒng)。統(tǒng)一接入交換機(jī)與舊網(wǎng)華為 7206匯接路由器互聯(lián)，新網(wǎng)核心交換機(jī)與兩臺(tái)新網(wǎng)核心設(shè)備NE80E 路由器互聯(lián)，實(shí)現(xiàn)新舊網(wǎng)絡(luò)同時(shí)訪問結(jié)算類系統(tǒng)。第三方訪問策略移至安氏防火墻或新增Netscreen防火墻。結(jié)算類系統(tǒng)平臺(tái)由綜合業(yè)務(wù)平臺(tái)和第三方業(yè)務(wù)平臺(tái)整合形成。 改造步驟綜合網(wǎng)(財(cái)務(wù)類)平臺(tái)分別連接至統(tǒng)一接入交換機(jī)和新網(wǎng)核心交換機(jī)。二、防火墻Failover規(guī)劃兩臺(tái)USG5550通過Failover實(shí)現(xiàn)網(wǎng)絡(luò)的高可用性，可選模型為A/A和A/S。Context_結(jié)算財(cái)務(wù) ：用于保護(hù)結(jié)算服務(wù)器平臺(tái)訪問財(cái)務(wù)業(yè)務(wù)服務(wù)器，綁定兩個(gè)子接口，分別為：Interface_結(jié)算：連接結(jié)算服務(wù)器平臺(tái)。Context_結(jié)算金融 ：用于保護(hù)結(jié)算服務(wù)器平臺(tái)訪問金融業(yè)務(wù)服務(wù)器，綁定兩個(gè)子接口，分別為：Interface_結(jié)算：連接結(jié)算服務(wù)器平臺(tái)。Interfac_vrf_集團(tuán)公司：用于下聯(lián)QUIDWAYLS VPN網(wǎng)絡(luò)的集團(tuán)公司vrf。Interfac_金融：連接金融服務(wù)器業(yè)務(wù)平臺(tái)。Context_結(jié)算：結(jié)算VPN到各個(gè)業(yè)務(wù)系統(tǒng)服務(wù)器平臺(tái)之間數(shù)據(jù)交換中心，綁定六個(gè)子接口，分別為：Interfac_結(jié)算:連接結(jié)算服務(wù)器業(yè)務(wù)平臺(tái)。 USG5550防火墻規(guī)劃一、虛擬防火墻規(guī)劃根據(jù)業(yè)務(wù)系統(tǒng)的分類，我們建議此次規(guī)劃四個(gè)Context（虛擬通透式防火墻），分別為Admin、結(jié)算、結(jié)算金融、結(jié)算財(cái)務(wù)。 需求分析現(xiàn)有省中心局域網(wǎng)拓?fù)淙缦聢D所示：財(cái)政金融業(yè)務(wù)、綜合網(wǎng)、綜合業(yè)務(wù)平臺(tái)、第三方業(yè)務(wù)平臺(tái)通過兩臺(tái)主備的華為 T3000防火墻接入全省財(cái)政信息網(wǎng)，為全省網(wǎng)點(diǎn)提供業(yè)務(wù)訪問。四、試點(diǎn)市州網(wǎng)點(diǎn)業(yè)務(wù)切割。二、QUIDWAYLS VPN 網(wǎng)絡(luò)搭建。五、割接時(shí)間應(yīng)選擇在業(yè)務(wù)量最小的時(shí)候。三、割接方案可逆，以便最短時(shí)間恢復(fù)。第三章　網(wǎng)絡(luò)改造基本架構(gòu)一、對(duì)現(xiàn)有網(wǎng)絡(luò)影響最小，平穩(wěn)過渡。省信息中心及各市州匯接中心改造所需的網(wǎng)絡(luò)設(shè)備配置應(yīng)考慮冗余，杜絕單點(diǎn)故障的發(fā)生；省到市州的骨干網(wǎng)線路按照集團(tuán)公司相關(guān)指導(dǎo)意見要求將采用不同運(yùn)營(yíng)商的線路，且省信息中心及各市州匯接中心的運(yùn)營(yíng)商光纖線路應(yīng)盡量采用雙路由雙局向模式引入。此外，我省財(cái)政雖采用2條互為備份的2M線路作為骨干網(wǎng)數(shù)字電路，但僅為同一運(yùn)營(yíng)商提供，不符合集團(tuán)公司雙運(yùn)營(yíng)商要求；而且我省所有財(cái)政業(yè)務(wù)系統(tǒng)均共用物理線路，沒有使用VPN等隔離技術(shù)，僅使用訪問控制列表等基本安全要求，不符合集團(tuán)公司對(duì)網(wǎng)絡(luò)安全的推薦要求。2004年第一次全省財(cái)政信息網(wǎng)骨干網(wǎng)擴(kuò)容改造工程后，以上設(shè)備可擴(kuò)展模塊全部使用，設(shè)備及配件已停產(chǎn)，而且所有設(shè)備保修期已過。綜上所述，隨著全國(guó)財(cái)政信息化進(jìn)程的快速推進(jìn)，目前我省財(cái)政信息網(wǎng)不論從網(wǎng)絡(luò)架構(gòu)、網(wǎng)絡(luò)帶寬，還是從安全防范管理及增值業(yè)務(wù)的應(yīng)用等方面已無(wú)法滿足集團(tuán)公司提出的相關(guān)要求及今后業(yè)務(wù)發(fā)展需要，因此建議對(duì)我省財(cái)政信息網(wǎng)網(wǎng)絡(luò)進(jìn)行擴(kuò)容改造，同時(shí)考慮進(jìn)行網(wǎng)絡(luò)安全系統(tǒng)及增值業(yè)務(wù)的建設(shè)。財(cái)政在向電信運(yùn)營(yíng)商繳納數(shù)據(jù)業(yè)務(wù)網(wǎng)使用費(fèi)同時(shí)，還需繳納語(yǔ)音網(wǎng)使用費(fèi)。（三）、省內(nèi)網(wǎng)尚未開發(fā)網(wǎng)絡(luò)增值業(yè)務(wù)。目前我省財(cái)政省中心和市州中心網(wǎng)絡(luò)采用ACL等策略區(qū)分金融類、財(cái)務(wù)類、速遞類等業(yè)務(wù)，集團(tuán)公司最新規(guī)范明確要求必須采用VPN等技術(shù)區(qū)分不同財(cái)政業(yè)務(wù)數(shù)據(jù)。我省財(cái)政信息網(wǎng)各級(jí)網(wǎng)絡(luò)匯接帶寬與集團(tuán)公司要求不符。目前我省省內(nèi)網(wǎng)的規(guī)模是：13個(gè)市州局分別通過主備各一條2Mbps電路接入省信息中心，省會(huì)蘭州局以局域網(wǎng)方式接入省信息中心。由于管理類系統(tǒng)與生產(chǎn)類系統(tǒng)在系統(tǒng)架構(gòu)、數(shù)據(jù)訪問、應(yīng)用方式等方面存在較大差異，因此這兩類系統(tǒng)在同一生產(chǎn)網(wǎng)上運(yùn)行表現(xiàn)出一些弊端，具體體現(xiàn)在以下三個(gè)方面：（一）、帶寬不足。單位名稱姓名電話電子財(cái)件第二章　網(wǎng)絡(luò)基本構(gòu)架我省財(cái)政信息網(wǎng)經(jīng)過2004和2006年兩次擴(kuò)容改造后，省、市縣及網(wǎng)點(diǎn)各級(jí)匯接的覆蓋范圍、網(wǎng)絡(luò)帶寬和傳輸能力得到了極大的提升，現(xiàn)已形成覆蓋全省所有市州、支撐絕大部分財(cái)政業(yè)務(wù)的信息網(wǎng)絡(luò)，并為提升我省財(cái)政服務(wù)水平、促進(jìn)業(yè)務(wù)發(fā)展提供了有力保障。根據(jù)**省財(cái)政信息網(wǎng)的業(yè)務(wù)需求，總體設(shè)計(jì)思路將整網(wǎng)采用QUIDWAYLS VPN技術(shù)進(jìn)行業(yè)務(wù)隔離，劃分為金融類VPN、財(cái)務(wù)類VPN、結(jié)算類VPN、綜合類VPN（含視頻會(huì)議、IP語(yǔ)音和OA、人力、財(cái)務(wù)、量收等）及借用線路第三方VPN。本文檔的適用范圍是**省財(cái)政信息網(wǎng)網(wǎng)絡(luò)擴(kuò)容改造一期工程的實(shí)施。省財(cái)政信息網(wǎng)網(wǎng)絡(luò)擴(kuò)容及改造項(xiàng)目具體實(shí)施方案省財(cái)政信息網(wǎng)網(wǎng)絡(luò)擴(kuò)容及改造項(xiàng)目實(shí)施方案 目 錄第一章　概述 4 4 4 4 4第二章　網(wǎng)絡(luò)基本構(gòu)架 6 6 7第三章　網(wǎng)絡(luò)改造基本架構(gòu) 8 8 8 8 需求分析 8 USG5550防火墻規(guī)劃 8 改造步驟 9 QUIDWAYLS VPN搭建（配置案例詳見附件三、四） 10 新購(gòu)設(shè)備物理拓?fù)浯罱?11 SDH線路時(shí)隙分配 11 配置IGP 15 配置QUIDWAYLS 15 配置VRF 15 配置QUIDWAYBGP 16 IP地址過渡實(shí)現(xiàn) 16 IP地址使用現(xiàn)狀 16 IP地址過渡第一階段 16 IP地址過渡第二階段 17 IP地址過渡實(shí)現(xiàn)的難點(diǎn) 17 過渡期間新舊網(wǎng)絡(luò)互通實(shí)現(xiàn) 17 18 19 NAT實(shí)現(xiàn)財(cái)務(wù)類IP訪問集團(tuán)公司金融業(yè)務(wù)平臺(tái) 21 22 22 22 23 24 25 26第四章　網(wǎng)絡(luò)切換方案 28 28 28 28 28 29 30 30 30 30 31 31 31第五章　應(yīng)急預(yù)案 33 33 33 33 3市州中心局域網(wǎng)改造完成后的驗(yàn)證和不成功回退 33 33 33 34 34 34 34附錄一 各市州IP地址分配表 35附錄二 工程實(shí)施進(jìn)度表 36附錄三 QUIDWAYLS VPN在華為設(shè)備上的實(shí)現(xiàn) 41 骨干網(wǎng)絡(luò)的配置步驟 41 R2PE1設(shè)備完整配置 43 R3P設(shè)備完整配置 48 R4PE2設(shè)備完整配置 52 R1CERED1設(shè)備備完整配置 56 R5CERED2設(shè)備備完整配置 59 R6CEGreen1設(shè)備備完整配置 62 R5CEGreen2設(shè)備備完整配置 65附錄四 QUIDWAYLS VPN在邁普設(shè)備上的實(shí)現(xiàn) 68 關(guān)鍵配置如下(AR4680): 68 設(shè)備在QUIDWAYLS網(wǎng)絡(luò)中完整配置案例如下: 71第一章　概述本文檔是**省財(cái)政信息網(wǎng)網(wǎng)絡(luò)擴(kuò)容改造工程項(xiàng)目實(shí)施方案文檔，旨在構(gòu)建一個(gè)更加標(biāo)準(zhǔn)、穩(wěn)固、可靠、安全的企業(yè)網(wǎng)接入網(wǎng)絡(luò)架構(gòu)，以支持**財(cái)政目前和今后的業(yè)務(wù)需求。本實(shí)施方案在實(shí)施過程中也將逐步調(diào)整和完善，以進(jìn)一步適應(yīng)財(cái)政業(yè)務(wù)發(fā)展的