【正文】 地接連入網(wǎng)并滿足系統(tǒng)規(guī)模擴充的要求。對復(fù)雜和龐大的網(wǎng)絡(luò)，要求有強有力的網(wǎng)絡(luò)管理手段，以便合理的管理網(wǎng)絡(luò)資源，監(jiān)視網(wǎng)絡(luò)狀態(tài)及控制網(wǎng)絡(luò)的運行，因此，網(wǎng)絡(luò)所選的網(wǎng)絡(luò)設(shè)備應(yīng)支持多種協(xié)議，管理員能方便進行網(wǎng)絡(luò)管理、維護甚至修復(fù)。一個高可用性的系統(tǒng)才能使用戶的投資真正得到回報。因此需要采取一定的預(yù)防措施，如對關(guān)鍵應(yīng)用的主干設(shè)備考慮有適當(dāng)?shù)娜哂??？煽啃砸彩呛饬恳粋€計算機應(yīng)用系統(tǒng)的重要標準之一。網(wǎng)絡(luò)硬件體系結(jié)構(gòu)在實際應(yīng)用中能經(jīng)過較長時間的考驗，在運行速度和性能上都應(yīng)是穩(wěn)定可靠的、擁有完善的、實用的解決方案，并通到較多的第三方開發(fā)商和用戶在全球的廣泛支持和使用。網(wǎng)絡(luò)的安全是事關(guān)重要的，在某些情況下，寧可犧牲系統(tǒng)的部分功能也必須保證系統(tǒng)的安全。l 先進性和安全性系統(tǒng)所有的組成要素均應(yīng)充分地考慮其先進性。l 標準性和開往性只有支持標準性和開放性的系統(tǒng)，才能支持與其它開放型系統(tǒng)一起協(xié)同工作，在網(wǎng)絡(luò)中采用的硬件設(shè)備及軟件產(chǎn)品應(yīng)該支持國際工作標準或事實上的標準，以便能和不同廠家的開放性產(chǎn)品在同一網(wǎng)絡(luò)中同時共存。從技術(shù)措施角度來講，在網(wǎng)絡(luò)的設(shè)計和實現(xiàn)中，本方案嚴格遵守了以下原則：l 實用性和集成性系統(tǒng)的軟硬件設(shè)計、還是集成，均以適用為第一宗旨，在系統(tǒng)充分適應(yīng)企業(yè)信息化的需求的基礎(chǔ)上進而再來考慮其他的性能。比如，網(wǎng)絡(luò)調(diào)試期間最消耗人力與物力的線纜故障定位工作，網(wǎng)絡(luò)運行期間對不同用戶靈活的服務(wù)策略部署、訪問權(quán)限控制、以及網(wǎng)絡(luò)日志審計和病毒控制能力等方面的管理工作，由于受網(wǎng)絡(luò)設(shè)備功能本身的限制，都還屬于費時、費力，有時甚至是不可能的任務(wù)，所以現(xiàn)代的大型企業(yè)網(wǎng)絡(luò)迫切需要網(wǎng)絡(luò)設(shè)備具備支撐“以應(yīng)用為中心”的智能網(wǎng)絡(luò)運營維護的能力，并能夠有一套智能化的管理軟件，將網(wǎng)絡(luò)管理人員從繁重的工作中解脫出來。在企業(yè)網(wǎng)絡(luò)已經(jīng)成為公司生產(chǎn)運營的重要組成部分的今天，現(xiàn)代企業(yè)網(wǎng)絡(luò)必須要有一整套從用戶接入控制，病毒報文識別到主動抑制的一系列安全控制手段，才能有效的保證企業(yè)網(wǎng)絡(luò)的穩(wěn)定運行。3）現(xiàn)代大型企業(yè)網(wǎng)絡(luò)需要提供完善的端到端QOS保障，以滿足企業(yè)網(wǎng)多業(yè)務(wù)承載的需求；大型企業(yè)網(wǎng)絡(luò)承載業(yè)務(wù)的不斷增多，單純的提高帶寬并不能夠有效的保障數(shù)據(jù)交換的暢通無阻，正如八車道的長安街也經(jīng)常堵車一樣，所以今天的大型企業(yè)網(wǎng)絡(luò)建設(shè)必須要考慮到網(wǎng)絡(luò)應(yīng)能夠智能的識別應(yīng)用事件的緊急和重要程度，如視頻、音頻、數(shù)據(jù)流(MIS、ERP、OA、備份數(shù)據(jù))，同時能夠調(diào)度網(wǎng)絡(luò)中的資源，保證重要和緊急業(yè)務(wù)的帶寬、時延、優(yōu)先級和無阻塞的傳送，實現(xiàn)對業(yè)務(wù)的合理調(diào)度才是一個大型企業(yè)網(wǎng)絡(luò)提供“高品質(zhì)”服務(wù)的保障。 2）現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具有更全面的可靠性設(shè)計，以實現(xiàn)網(wǎng)絡(luò)通訊的實時暢通，保障企業(yè)生產(chǎn)運營的正常進行；隨著企業(yè)各種業(yè)務(wù)應(yīng)用逐漸轉(zhuǎn)移到計算機網(wǎng)絡(luò)上來，網(wǎng)絡(luò)通訊的無中斷運行已經(jīng)成為保證企業(yè)正常的生產(chǎn)運營的關(guān)鍵。從2005年全球交換機市場分析可以看到，增長最迅速的就是10G級別機箱式交換機，由此可見，萬兆的大規(guī)模應(yīng)用已經(jīng)真正開始。企業(yè)擁有與專用網(wǎng)絡(luò)的相同政策，包括安全、服務(wù)質(zhì)量 (QoS)、可管理性和可靠性第3章 一期基礎(chǔ)網(wǎng)絡(luò)建設(shè) 需求分析為適應(yīng)企業(yè)信息化的發(fā)展，滿足日益增長的通訊需求和網(wǎng)絡(luò)的穩(wěn)定運行，今天的大型企業(yè)網(wǎng)絡(luò)建設(shè)比傳統(tǒng)企業(yè)網(wǎng)絡(luò)建設(shè)提出更高的要求，主要表現(xiàn)在如下幾個方面：1）現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具有更高的帶寬，支持10GE或?qū)砥交^渡到10GE，更強大的性能，以滿足用戶日益增長的通訊需求；　　隨著計算機技術(shù)的高速發(fā)展，基于網(wǎng)絡(luò)的各種應(yīng)用日益增多，今天的企業(yè)網(wǎng)絡(luò)已經(jīng)發(fā)展成為一個多業(yè)務(wù)承載平臺，它不僅要繼續(xù)承載企業(yè)的辦公自動化和WEB瀏覽等簡單的數(shù)據(jù)業(yè)務(wù)，還要承載涉及企業(yè)生產(chǎn)運營的各種業(yè)務(wù)應(yīng)用系統(tǒng)數(shù)據(jù)，以及帶寬和時延都要求很高的IP電話、視頻會議等多媒體業(yè)務(wù)，因此數(shù)據(jù)流量將大大增加，尤其是對核心網(wǎng)絡(luò)的數(shù)據(jù)交換能力提出前所未有的要求。利用Internet的線路保證網(wǎng)絡(luò)的互聯(lián)性，而利用隧道、加密等VPN特性可以保證信息在整個Intranet VPN上安全傳輸。 三期VPN規(guī)劃的主要建設(shè)內(nèi)容由于波鴻集團分公司多、業(yè)務(wù)開展越來越廣泛時，網(wǎng)絡(luò)結(jié)構(gòu)趨于復(fù)雜，費用昂貴。同時光有防護設(shè)備和運維人員安全意識的加強還不夠，需要通過第三方專業(yè)安全服務(wù)廠商提供專業(yè)的安全服務(wù)，如安全預(yù)警通告、緊急事件響應(yīng)服務(wù)、高級安全運維服務(wù)等。為了保障業(yè)務(wù)系統(tǒng)的連續(xù)性，出口處需要部署抗拒絕服務(wù)系統(tǒng)，進行DDOS流量的防御。同時該業(yè)務(wù)系統(tǒng)區(qū)應(yīng)有安全審計系統(tǒng)、流量分析系統(tǒng)、安全運維審計系統(tǒng)進行防護。劃分安全域后則需要根據(jù)每個域功能的不同進行安全防護設(shè)計。隨著業(yè)務(wù)發(fā)展也為了后期的擴容考慮，當(dāng)服務(wù)器發(fā)展到中型服務(wù)器群，就要開始進行安全域劃分建設(shè)。WEB服務(wù)器群前段則需要有WEB應(yīng)用防火墻來進行專業(yè)的WEB應(yīng)用防護，通過事前預(yù)警、事中防護、事后補償?shù)姆雷o體系來進行WEB應(yīng)用層的安全防護建設(shè)。 二期安全規(guī)劃的主要建設(shè)內(nèi)容：完善小型服務(wù)器群安全防護體系，根據(jù)初期的業(yè)務(wù)系統(tǒng)規(guī)模進行單鏈路安全防護體系建設(shè)，初期主要針對于承載業(yè)務(wù)系統(tǒng)的服務(wù)器的安全做建設(shè)。從核心設(shè)備到接入設(shè)備都采用H3C的交換設(shè)備，使用萬兆連接，核心交換機配置萬兆電口模塊，通過雙絞線同各個接入交換機相連，達到一個合理的帶寬結(jié)構(gòu)，避免產(chǎn)生任何瓶頸。 一期網(wǎng)絡(luò)規(guī)劃的主要建設(shè)內(nèi)容： 波虹集團為了實現(xiàn)信息化建設(shè)，集團企業(yè)網(wǎng)將建設(shè)一個以集團辦公自動化、電子商務(wù)、業(yè)務(wù)綜合管理、多媒體視頻會議、遠程通訊、信息發(fā)布及查詢?yōu)楹诵?，以現(xiàn)代網(wǎng)絡(luò)技術(shù)為依托，技術(shù)先進、擴展性強，將集團的各種辦公室、多媒體會議室、PC終端設(shè)備、應(yīng)用系統(tǒng)通過網(wǎng)絡(luò)連接起來，實現(xiàn)內(nèi)、外溝通的現(xiàn)代化計算機網(wǎng)絡(luò)系統(tǒng)。第2章 需求分析隨著波鴻集團業(yè)務(wù)的發(fā)展以及今后集團在信息化的高度重視下，近年來企業(yè)信息化建設(shè)的深入，企業(yè)的運作越來越融入計算機網(wǎng)絡(luò)，企業(yè)的溝通、應(yīng)用、財務(wù)、決策、會議等等數(shù)據(jù)流都在企業(yè)網(wǎng)絡(luò)上傳輸，構(gòu)建一個“安全可靠、性能卓越、管理方便”的“高品質(zhì)”大型企業(yè)網(wǎng)絡(luò)已經(jīng)成為企業(yè)信息化建設(shè)成功的關(guān)鍵基石。公司嚴格遵守和履行各項規(guī)定，不斷提高企業(yè)的信用等級，樹立良好的市場信譽和誠實守信的企業(yè)形象。目前公司旗下?lián)碛校罕本┮F投資控股有限公司、北京園洋金鼎商貿(mào)有限責(zé)任公司、北京佰利創(chuàng)典商貿(mào)有限公司、北京凈雅佳商貿(mào)有限公司、上海劍門五金工具有限公司、上海祥通商貿(mào)有限公司、沈陽路達通實業(yè)發(fā)展有限公司、四川波鴻科技有限公司、四川綿陽好圣汽車零部件制造有限公司、綿陽宇興機械制造有限公司、四川綿陽波鴻機電有限公司、成都名鴻汽車銷售服務(wù)有限公司、成都萬鴻汽車零部件制造有限公司、綿陽通美能源科技有限公司、四川超美健生物科技有限公司、綿陽波鴻汽車銷售服務(wù)有限公司、綿陽波鴻出租汽車有限公司、綿陽申綿汽車銷售服務(wù)有限公司、樂山天牛汽車銷售服務(wù)有限公司、眉山天牛汽車銷售服務(wù)有限公司、廣元波鴻汽車銷售服務(wù)有限公司、四川波鴻生態(tài)園林景觀工程有限公司、綿陽親水灣旅游開發(fā)有限公司、四川信鴻房地產(chǎn)開發(fā)有限公司等30余家全資或控股經(jīng)營性子公司。波鴻集團網(wǎng)絡(luò)改造及網(wǎng)絡(luò)安全整體技術(shù)解決方案四川長虹集團四川虹信軟件有限公司二零一二年四月目 錄第1章 概述 5第2章 需求分析 6第3章 一期基礎(chǔ)網(wǎng)絡(luò)建設(shè) 8 需求分析 8 方案設(shè)計原則 9 網(wǎng)絡(luò)方案設(shè)計 11 網(wǎng)絡(luò)拓撲結(jié)構(gòu)介紹 11 網(wǎng)絡(luò)拓撲圖 12 網(wǎng)絡(luò)設(shè)計 13 骨干核心層網(wǎng)絡(luò)設(shè)計 13 核心層網(wǎng)絡(luò)設(shè)計 13 匯聚層網(wǎng)絡(luò)設(shè)計 14 接入層網(wǎng)絡(luò)設(shè)計 14 廣域網(wǎng)互聯(lián)設(shè)計 15 冗余/負載均衡設(shè)計 15 網(wǎng)絡(luò)設(shè)備冗余/負載均衡設(shè)計 15 服務(wù)器冗余設(shè)計 16 IP地址規(guī)劃原則 16 方案特點 19 現(xiàn)有基礎(chǔ)網(wǎng)絡(luò)存在的問題 19 現(xiàn)有基礎(chǔ)網(wǎng)絡(luò)解決思路 20 內(nèi)部網(wǎng)絡(luò)優(yōu)化 21第4章 二期網(wǎng)絡(luò)安全規(guī)劃建設(shè)方案 23 網(wǎng)絡(luò)安全建設(shè)的必要性 23 網(wǎng)絡(luò)安全建設(shè)的價值 23 網(wǎng)絡(luò)拓撲圖 26 網(wǎng)絡(luò)安全建設(shè)內(nèi)容 26 部署負載均衡 26 網(wǎng)絡(luò)入侵防御系統(tǒng) 27 為什么需要網(wǎng)絡(luò)入侵防御系統(tǒng) 27 網(wǎng)絡(luò)入侵防御系統(tǒng) 28 WEB應(yīng)用防火墻 29 為什么需要WEB應(yīng)用防火墻 29 WEB應(yīng)用防火墻 30 遠程安全評估系統(tǒng)（漏洞掃描器） 31 為什么需要遠程安全評估系統(tǒng) 31 遠程安全評估系統(tǒng) 32 安全審計系統(tǒng) 32 為什么需要安全審計系統(tǒng) 32 安全審計系統(tǒng) 33 上網(wǎng)管理系統(tǒng) 35 安全管理系統(tǒng) 36 如何評價內(nèi)容安全管理系統(tǒng) 37 安全服務(wù) 38 安全預(yù)警通告 38 緊急事件響應(yīng) 39 高級維護服務(wù) 39 信息安全培訓(xùn) 40第5章 三期VPN規(guī)劃建設(shè)方案 43 VPN (虛擬專用網(wǎng)) 43 安全網(wǎng)關(guān)介紹 43 網(wǎng)絡(luò)拓撲圖 46第6章 四川虹信軟件有限公司簡介 47 虹信公司簡介 47 虹信軟件業(yè)務(wù)范圍 51 虹信軟件核心競爭力 53 虹信軟件部分成功案例簡介 54 虹信公司合作伙伴 71 虹信獲取資質(zhì)匯總 72 虹信公司服務(wù)體系 7377 / 78第1章 概述四川波鴻集團創(chuàng)建于1999年，經(jīng)過13年的飛速發(fā)展，員工2800余人，年銷售收入近40億元的集制造業(yè)、汽車品牌經(jīng)營、房地產(chǎn)、新能源于一體的綜合性集團企業(yè)。近年來，隨著集團的不斷壯大，波鴻集團從發(fā)源地、主要生產(chǎn)基地──四川綿陽逐步走向全國，面向世界，分別建立了北京戰(zhàn)略總部、上海營銷總部、成都運營總部，并積極跨出國門與多家國外企業(yè)達成了戰(zhàn)略合作意向。公司秉承“誠信經(jīng)營、客戶至上、質(zhì)量第一、服務(wù)為先”的經(jīng)營理念，以“創(chuàng)新務(wù)實、追求卓越”為宗旨，向管理要效益，靠科技求發(fā)展，以公平聚人杰，視員工為財富，深化改革，服務(wù)社會。以跨越為主要任務(wù)，以發(fā)展為奮斗目標，波鴻公司正以堅定的步伐向領(lǐng)域高端不斷拓展。252。該網(wǎng)絡(luò)系統(tǒng)是支持辦公自動化、供應(yīng)鏈管理、ERP以及各應(yīng)用系統(tǒng)運行的基礎(chǔ)設(shè)施，為了確保這些關(guān)鍵應(yīng)用系統(tǒng)的正常運行、安全和發(fā)展，系統(tǒng)必須具備如下的特性： 采用先進的網(wǎng)絡(luò)通信技術(shù)完成集團企業(yè)網(wǎng)的建設(shè)，實現(xiàn)各分公司的信息化； 在整個企業(yè)集團內(nèi)實現(xiàn)所有部門的辦公自動化，提高工作效率和管理服務(wù)水平； 在整個企業(yè)集團內(nèi)實現(xiàn)資源共享、產(chǎn)品信息共享、實時新聞發(fā)布； 在整個企業(yè)集團內(nèi)實現(xiàn)財務(wù)電算化； 在整個企業(yè)集團內(nèi)實現(xiàn)集中式的供應(yīng)鏈管理系統(tǒng)和客戶服務(wù)關(guān)系管理系統(tǒng)；在一期的建設(shè)中，我們將實現(xiàn)全網(wǎng)在中心本部設(shè)置統(tǒng)一的Internet出口，提供一臺路由器，同時提供一臺企業(yè)級的防火墻，隔離波鴻集團中心網(wǎng)絡(luò)和Internet，提供DMZ區(qū)完成對外信息的發(fā)布。252。此時需要關(guān)注的就是WEB服務(wù)器操作系統(tǒng)本身的漏洞管理，大多數(shù)的安全事件99%都是因為操作系統(tǒng)本身的漏洞導(dǎo)致的，因此漏洞管理的建設(shè)至關(guān)重要。如為了考慮承載業(yè)務(wù)系統(tǒng)的主機操作系統(tǒng)的安全，可進行IPS部署，以防范互聯(lián)網(wǎng)過來的安全攻擊事件。當(dāng)承載業(yè)務(wù)系統(tǒng)的服務(wù)器數(shù)量不斷擴容到一定的數(shù)量級，業(yè)務(wù)系統(tǒng)需要進行安全域安分，這樣能更好地根據(jù)業(yè)務(wù)系統(tǒng)的嚴重級別進行分類管理。每個域的安全邊界防護，需要有防火墻來進行邊界隔離，嚴格控制各區(qū)域的訪問。完成全建設(shè)后，此時面臨的就是如何更好地對外提供業(yè)務(wù)支撐了。此時業(yè)務(wù)系統(tǒng)已經(jīng)比較龐大，需要對運維人員進行安全培訓(xùn)，加強安全意識。252。利用VPN特性可以在Internet上組建世界范圍內(nèi)的Intranet VPN。Intranet VPN 通過一個使用專用連接的共享基礎(chǔ)設(shè)施，連接企業(yè)總部、遠程辦事處和分支機構(gòu)。另外，隨著千兆端口的成本持續(xù)下降，千兆到桌面的應(yīng)用會在不久的將來成為企業(yè)網(wǎng)的主流。所以今天的企業(yè)網(wǎng)絡(luò)已經(jīng)不能再用百兆到桌面千兆骨干來作為建網(wǎng)的標準，它的核心層及骨干層必須具有萬兆級帶寬和處理性能，才能構(gòu)筑一個暢通無阻的“高品質(zhì)”大型企業(yè)網(wǎng)，從而適應(yīng)網(wǎng)絡(luò)規(guī)模擴大，業(yè)務(wù)量日益增長的需要?，F(xiàn)代大型企業(yè)網(wǎng)絡(luò)在可靠性設(shè)計方面主要應(yīng)從三方面考慮：首先是設(shè)備級可靠性設(shè)計，這里不僅要考察網(wǎng)絡(luò)設(shè)備是否實現(xiàn)了關(guān)鍵部件的冗余備份，還要從網(wǎng)絡(luò)設(shè)備整體設(shè)計架構(gòu)、處理引擎種類等多方面去考察；其次是業(yè)務(wù)的可靠性設(shè)計，這里要注意網(wǎng)絡(luò)設(shè)備在故障倒換過程中是否對業(yè)務(wù)的正常運行有影響；再次是鏈路的可靠性設(shè)計，以太網(wǎng)的鏈路安全來自于它的多路徑選擇，所以在企業(yè)網(wǎng)絡(luò)建設(shè)時要考慮網(wǎng)絡(luò)設(shè)備是否能夠提供有效的鏈路自愈手段和快速重路由協(xié)議的支持。4）現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)提供更完善的網(wǎng)絡(luò)安全解決方案，以阻擊病毒和黑客的攻擊，減少企業(yè)的經(jīng)濟損失； 　　傳統(tǒng)企業(yè)網(wǎng)絡(luò)的安全措施主要是通過部署防火墻、IDS、殺毒軟件以及配合交換機或路由器的ACL來實現(xiàn)對于病毒和黑客攻擊的防御，但實踐證明這些被動的防御措施并不能有效的解決企業(yè)網(wǎng)絡(luò)的安全問題。5）現(xiàn)代大型企業(yè)網(wǎng)絡(luò)應(yīng)具備更智能的網(wǎng)絡(luò)管理解決方案，以適應(yīng)網(wǎng)絡(luò)規(guī)模日益擴大，維護工作更加復(fù)雜的需要；當(dāng)前的網(wǎng)絡(luò)已經(jīng)發(fā)展成為“以應(yīng)用為中心”的信息基礎(chǔ)平臺，網(wǎng)絡(luò)管理能力的要求已經(jīng)上升到了業(yè)務(wù)層次，傳統(tǒng)的網(wǎng)絡(luò)設(shè)備的智能已經(jīng)不能有效支持網(wǎng)絡(luò)管理需求的發(fā)展。 方案設(shè)計原則本方案的設(shè)計將在追求性能優(yōu)越、經(jīng)濟實用的前提下，本著嚴謹、慎重的態(tài)度，從系統(tǒng)結(jié)構(gòu)、技術(shù)措施、設(shè)備選擇、系統(tǒng)應(yīng)用、技術(shù)服務(wù)和實施過程等方面綜合進行系統(tǒng)的總體設(shè)計，力圖使該系統(tǒng)真正成為符合該中學(xué)的網(wǎng)絡(luò)系統(tǒng)。該系統(tǒng)所包含的內(nèi)容很多，必須能將各種先進的軟硬件設(shè)備有效地集成在一起，使系統(tǒng)的各個組成部分能充分發(fā)揮作用，協(xié)調(diào)一致的進行高效工作。通信中應(yīng)采用標準的通信協(xié)議以使不同的操作系統(tǒng)與不同的網(wǎng)絡(luò)系統(tǒng)及不同的網(wǎng)絡(luò)之間順利進行通訊。不能一味地追求實用而忽略先進，只有將當(dāng)今最先進的技術(shù)和我們的實際應(yīng)用要求緊密結(jié)合，才能獲得最大的系統(tǒng)性能和效益。l 成熟性和高可靠性作為信息系統(tǒng)基礎(chǔ)的網(wǎng)絡(luò)結(jié)構(gòu)和網(wǎng)絡(luò)設(shè)備的配置及帶寬應(yīng)能充分地滿足網(wǎng)絡(luò)通信的需要。同時，應(yīng)從長遠的技術(shù)發(fā)展來選擇具有很好前景的、較為先進的技術(shù)和產(chǎn)品，以適應(yīng)系統(tǒng)未來的發(fā)展需要。在確保系統(tǒng)網(wǎng)絡(luò)環(huán)境中單獨設(shè)備穩(wěn)定、可靠運行的前提下，還需要考慮網(wǎng)絡(luò)整體的容錯能力、安全性及穩(wěn)定性，使系統(tǒng)出現(xiàn)問題和故障時能迅速地修復(fù)。應(yīng)急處理信息系統(tǒng)能