【正文】 綜合布線遵循原則： （ 1） 與 380 以下的電力電纜平行時，按敷設(shè)方式不同應(yīng)保持 7 至 60 公分間距。若雙方都有在接地線槽中，且平行長度 ≤10 米時，最小間距可以是非曲直公分，這是指信息插座至終端設(shè) 備之間的暗配管網(wǎng)，此時電力線負(fù)荷很小，產(chǎn)生的干擾影響也不會太大。 （ 2） 與配電箱、電梯、變電室等應(yīng)盡量遠(yuǎn)離，最小保持 100 至 200 公分或以上的間距。 （ 3） 一熒光燈、氟燈、電子啟動器或交感設(shè)備這間應(yīng)保持 15 至 30 公分或以上的間距。 （ 4） 對于小功率的無線電發(fā)射設(shè)備最小應(yīng)保持 150 公分或以上的間距。若空間電磁場耦合強(qiáng)度較大時，按空間場強(qiáng)標(biāo)準(zhǔn)規(guī)定辦理。 綜合布線系統(tǒng)的防護(hù)措施 選擇綜合布線系統(tǒng)的防護(hù)措施比較復(fù)雜，不能簡單的套用防護(hù)標(biāo)準(zhǔn)。按實際現(xiàn)場情況，結(jié)合網(wǎng)絡(luò)的現(xiàn)有水平和發(fā)展趨勢，預(yù)測 今后 15 年左右可能達(dá)到的網(wǎng)絡(luò)應(yīng)用水平，以及使用單位經(jīng)濟(jì)承受能力和應(yīng)用需求等多種因素，進(jìn)行綜合分析，客觀地做出判斷。一般講一些短時間突發(fā)性干擾，計算機(jī)網(wǎng)絡(luò)糾錯重發(fā)后能夠恢復(fù)正常，問題不大，最多稍為延誤一些時間而已。 消防與安全 1） 主機(jī)房、 監(jiān)控室 設(shè)二氧化碳或鹵代烷滅火系統(tǒng)，并應(yīng)按現(xiàn)行有關(guān)規(guī)范的要求執(zhí)行。 2） 電子計算機(jī)機(jī)房設(shè)火災(zāi)自動報警系統(tǒng) （煙感和噴淋裝置） ，并符合現(xiàn)行國家標(biāo)準(zhǔn)《火災(zāi)自動報警系統(tǒng)設(shè)計規(guī)范》的規(guī)定。 3） 報警系統(tǒng)和自動滅火系統(tǒng)與空調(diào)、通風(fēng)系統(tǒng)聯(lián)鎖。空調(diào)系統(tǒng)所采用的電加熱器，設(shè)置無風(fēng) 斷電保護(hù)。 河南省鐵生溝煤礦安全監(jiān)控系統(tǒng) 技術(shù)設(shè)計方案 第 21 頁 共 65 頁 附 表 名詞解釋 本規(guī)范用名詞 解 釋 電子計算機(jī)機(jī)房 主機(jī)房、基本工作間、第一類輔助房間、第二類輔助房間及 第三類輔助房間的總稱 主機(jī)房 計算機(jī)主機(jī)、操作控制臺和主要外部設(shè)備（磁盤機(jī)、磁帶機(jī)、軟盤輸入機(jī)、激光打印機(jī)、寬行打印機(jī)、繪圖機(jī)、通信控制器、監(jiān)視器等）的安裝場地 基本工作間 用于完成信息處理過程和必要的技術(shù)作業(yè)的處所。其中包括：終端室、數(shù)據(jù)錄入室、通信機(jī)室、已記錄磁介質(zhì)庫、已記錄紙介質(zhì)庫等 第一類輔助房間 直接為計算機(jī)硬件維修、軟件研究服務(wù)的處所。其中 包括：硬件維修室、軟件分析修改室、儀器儀表室、備件室、隨機(jī)資料室、未記錄磁介質(zhì)庫、未記錄紙介質(zhì)庫、硬件人員辦公室、軟件人員辦公室、上機(jī)準(zhǔn)備室和外來用戶工作室等 第二類輔助房間 為保證電子計算機(jī)機(jī)房達(dá)到各項工藝環(huán)境要求所必需的各公用專業(yè)技術(shù)用房。其中包括：變壓器室、高低壓配電室、不間斷電源室、蓄電池室、發(fā)電機(jī)室、空調(diào)器室、滅火器材室和安全保衛(wèi)控制室等 第三類輔助房間 用于生活、衛(wèi)生等目的的輔助部分。包括：更衣室、休息室、 緩沖間和盥洗室等 靜態(tài)條件 電子計算機(jī)機(jī)房空調(diào)系統(tǒng)處于正常運(yùn)行狀態(tài)，電子計算機(jī)系 統(tǒng)已 安裝，室內(nèi)沒有生產(chǎn)人員的情況 計算機(jī)系統(tǒng)停機(jī)條件下 主機(jī)房內(nèi)空調(diào)系統(tǒng)和不間斷供電電源系統(tǒng)均在正常運(yùn)行，而計算機(jī)系統(tǒng)不工作的狀態(tài) 河南省鐵生溝煤礦安全監(jiān)控系統(tǒng) 技術(shù)設(shè)計方案 第 22 頁 共 65 頁 5 網(wǎng)絡(luò)設(shè)計方案 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) 總部網(wǎng)絡(luò)系統(tǒng)包含了 3 個子系統(tǒng)： 辦公樓 、 黨委樓 、 下屬公司等 ，各子系統(tǒng) 可以立舊 已經(jīng)建成完善的計算機(jī)局域網(wǎng)絡(luò)平臺。原有集團(tuán)公司總部作為樓層核心節(jié)點(diǎn)也通過局域網(wǎng)中的千兆主干與新機(jī)房相連。 圖 1 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)示意圖 1． 局域網(wǎng)設(shè)計： 樓層信息點(diǎn)使用現(xiàn)有的網(wǎng)絡(luò)線路和計算機(jī)設(shè)備，應(yīng)用系統(tǒng)除 CECOA 系統(tǒng)外， 河南省鐵生溝煤礦安全監(jiān)控系統(tǒng) 技術(shù)設(shè)計方案 第 23 頁 共 65 頁 均可正常使用。 廣域網(wǎng) 設(shè)計 按照圖 1所示的網(wǎng)絡(luò)結(jié)構(gòu)，集團(tuán)公司總部新機(jī)房與 下屬企業(yè)聯(lián)系方式： 考慮到總部中心機(jī)房將來同下屬企業(yè)的連接，并根據(jù)要求將會有三種連接方式。 對于業(yè)務(wù)系統(tǒng)中的核心企業(yè)，通過專線同總部保持實時在線連接。 對于業(yè)務(wù)系統(tǒng)中的重點(diǎn)企業(yè)，通過遠(yuǎn)程 VPN網(wǎng)絡(luò)連接方式同總部相連。 對于遠(yuǎn)程移動用戶，通過 Remote VPN 方式同總部相連。 根據(jù)利舊原則，可繼續(xù)使用原有路由器作為通訊路由器。完成中心機(jī)房和將來下屬企業(yè)的連接。 根據(jù)利舊原則，利用原有的路由器完成新機(jī)房的 Inter 接入，實現(xiàn)三個網(wǎng)絡(luò)子系統(tǒng)統(tǒng)一接入因特網(wǎng)。 對于因特網(wǎng)的備份線路可考慮用財務(wù)公司原有的 ADSL 線路。 設(shè)備的安全性 對網(wǎng)絡(luò)設(shè)備的訪問與配置，主要有以下兩種方式：控制口 console 的控制和遠(yuǎn)程登錄 tel 的控制。 控制口 console 的控制 控制口（ console）是完成網(wǎng)絡(luò)設(shè)備最初配置的，它一般用來直接接一個終端，另外， AUX口作為輔助。通常，采用密碼校驗來控制用戶訪問 console 口，缺省設(shè)置是不需要密碼就可以訪問。我們可以通過以下方法來控制 console 口的安全： 用戶模式密碼（只能用一些查看設(shè)備狀態(tài)的命令） 。 特權(quán)模式密碼（能使用所有 命令查看設(shè)備狀態(tài)和配置設(shè)備） 會話超時（ console 口沒有使用一段時間后自動斷開） 。 密碼加密（將密碼以加密的格式保存） 。 河南省鐵生溝煤礦安全監(jiān)控系統(tǒng) 技術(shù)設(shè)計方案 第 24 頁 共 65 頁 同時，可以和訪問列表結(jié)合，以保證只有合法的地址才能訪問設(shè)備，對于公眾 IP 網(wǎng)的具體網(wǎng)絡(luò)環(huán)境，我們建議采用以下一些命令來加強(qiáng)安全性 ,其中exectimeout 命令用來設(shè)置會話超時， accessclass 用來設(shè)置合法的 IP 地址訪問列表， login authentication 用來和 TACACS 或 RADIUS 結(jié)合實現(xiàn)集中認(rèn)證： line con 0 exectimeout 5 0 accessclass 3 in login authentication String line aux 0 exectimeout 5 0 accessclass 3 in login authentication String accesslist 3 permit /* ACL limit vty access accesslist 3 deny any 遠(yuǎn)程登錄 tel 的控制 通過 tel 到網(wǎng)絡(luò)設(shè)備上 ，我們可以進(jìn)入用戶模式和特權(quán)模式，完成查看和配置設(shè)備的全部功能，一般的網(wǎng)絡(luò)設(shè)備同時可以有幾個虛擬終端口用來遠(yuǎn)程登陸 。我們用上面提到的控制 console 口的方法來控制 tel 的安全，還可以用訪問列表來限制遠(yuǎn)程登 錄 的主機(jī)，還可以通過設(shè)置 TCP 端口來控制遠(yuǎn)程登 錄 的權(quán)限。以上的方法都只有密碼驗證，沒有用戶名驗證，我們還可以用終端訪問控制器訪問控制系統(tǒng)（ TACACS）來進(jìn)行分用戶管理 tel 的訪問權(quán)限，與 console口控制類似，我們可以采用下面一些命令來加強(qiáng) tel 的管理其中 exectimeout命令 用來設(shè)置會話超時， accessclass 用來設(shè)置合法的 IP 地址， login authentication 用來和 TACACS 或 RADIUS 結(jié)合實現(xiàn)集中認(rèn)證： line vty 0 4 accessclass 3 in 河南省鐵生溝煤礦安全監(jiān)控系統(tǒng) 技術(shù)設(shè)計方案 第 25 頁 共 65 頁 exectimeout 5 0 login authentication String transport preferred none ! accesslist 3 permit /* ACL limit vty access accesslist 3 deny any 用戶的分級管理 在網(wǎng)絡(luò)管理中，一般有許多不同角色的管理者，例如網(wǎng)管操作員，一般網(wǎng)絡(luò)管理員，高級網(wǎng)絡(luò)管理員，同時根據(jù)網(wǎng)絡(luò)的區(qū)域劃分，也可分為區(qū)域級網(wǎng)絡(luò)管理人員和中心級網(wǎng)絡(luò)管理人員，這些網(wǎng)絡(luò)管理人員根據(jù)其職責(zé)的不同和所管理的網(wǎng)絡(luò)范圍，功能的不同，應(yīng)該具有不同的權(quán)限。因此，對網(wǎng)絡(luò)上的用戶進(jìn)行分級管理，是十分必要的。 例如： 缺省情況下， Cisco IOS 軟件有兩種模式，用戶模式和特權(quán)模式， 每種模式又可以設(shè)置 16 種不同層次的優(yōu)先級別，用戶可以對這 16 種不同層次的優(yōu) 先級別進(jìn)行設(shè)置，從而使不同的用戶具有不同的權(quán)限，可以執(zhí)行自己權(quán)限范圍內(nèi)的命令，以完成不同的網(wǎng)絡(luò)管理目的。同時，用戶也可以對某個特殊命令進(jìn)行編輯和組合，使它可以加入不同的優(yōu)先級別，從而達(dá)到不同的管理目的。 因特網(wǎng)的安全控制： 通過在路由器上設(shè)置訪問控制列表，控制主機(jī)的 IP 地址。只有合法的 IP地址可以完成諸如： HTTP、 FTP 等方面的訪問；非法的 IP 不能上網(wǎng)。 IP 地址分配 因為 河南省鐵生溝煤礦 公司的網(wǎng)絡(luò)系統(tǒng)是一個企業(yè)內(nèi)部網(wǎng)絡(luò)，這個網(wǎng)絡(luò)系統(tǒng)可采用 IANA 建議； 因為 IP 地址空間的限制， IANA為私用網(wǎng)絡(luò)保留 了以下三塊地址空間，這些地址永遠(yuǎn)不會在 Inter 合法地址中出現(xiàn)，允許企業(yè)自由采用 (參見下表 )。 Class from IP address to IP address 河南省鐵生溝煤礦安全監(jiān)控系統(tǒng) 技術(shù)設(shè)計方案 第 26 頁 共 65 頁 A B C 企業(yè)在建設(shè) Intra 時應(yīng)采用 IANA 為私用網(wǎng)預(yù)留的 IP 地址空間，如果內(nèi)部網(wǎng)絡(luò)的非法 IP 地址與外部主機(jī)的 IP 地址相同，則在這兩臺主機(jī)間就無法進(jìn)行通訊，因為地址翻譯是在網(wǎng)關(guān)的外部接口中進(jìn)行的，故發(fā)送主機(jī)本身會直接把數(shù)據(jù)包返回給源主機(jī)，數(shù)據(jù)包根本到達(dá)不了防火墻網(wǎng)關(guān)。 子網(wǎng)劃分 河南省鐵生溝煤礦安全監(jiān)控系統(tǒng) 技術(shù)設(shè)計方案 第 27 頁 共 65 頁 VLAN技術(shù)： 虛擬局域網(wǎng)（ VLAN—— Virtual Local Area Network）邏輯上把網(wǎng)絡(luò)資源和網(wǎng)絡(luò)用戶按照一定的原則進(jìn)行劃分，把一個物理上實際的網(wǎng)絡(luò)劃分成多個小的邏輯的網(wǎng)絡(luò)。這些小的邏輯的網(wǎng)絡(luò)形成各自的廣播域，也就 是虛擬局域網(wǎng) VLAN。圖中幾個部門都使用一個中心交換機(jī)，但是各個部門屬于不同的 VLAN，形成各自的廣播域，廣播報文不能跨越這些廣播域傳送。 虛擬局域網(wǎng)將一組位于不同物理網(wǎng)段上的用戶在邏輯上劃分成一個局域網(wǎng)內(nèi)，在功能和操作上與傳統(tǒng) LAN 基本相同，可以提供一定范圍內(nèi)終端系統(tǒng)的互聯(lián)。 VLAN 與傳統(tǒng)的 LAN 相比，具有以下優(yōu)勢： 減少移動和改變的代價 即所說的動態(tài)管理網(wǎng)絡(luò)，也就是當(dāng)一個用戶從一個位置移動到另一個位置是，他的網(wǎng)絡(luò)屬性不需要重新配置，而是動態(tài)的完成，這種動態(tài)管理網(wǎng)絡(luò)給網(wǎng)絡(luò)管理者和使用者都帶來了極大的好處 ，一個用戶，無論他到哪里，他都能不做任何修改地接入網(wǎng)絡(luò)，這種前景是非常美好的。 當(dāng)然，并不是所有的 VLAN 定義方法都能做到這一點(diǎn)。 虛擬工作組 使用 VLAN 的最終目標(biāo)就是建立虛擬工作組模型，例如，在企業(yè)網(wǎng)中，同一個部門的就好象在同一個 LAN上一樣，很容易的互相訪問，交流信息，同時，所有的廣播包也都限制在該虛擬 LAN 上，而不影響其他 VLAN 的人。一個人如果從一個辦公地點(diǎn)換到另外一個地點(diǎn)，而他仍然在該部門，那么，該用戶的配置無須改變；同時，如果一個人雖然辦公地點(diǎn)沒有變，但他更換了部門，那么，只需網(wǎng)絡(luò)管理員更改一 下該用戶的配置即可。這個功能的目標(biāo)就是建立一個動態(tài)的組織環(huán)境，當(dāng)然，這只是一個理想的目標(biāo)，要實現(xiàn)它，還需要一些其他方面的支持； 用戶不受到物理設(shè)備的限制， VLAN 用戶可以處于網(wǎng)絡(luò)中的任何地方； VLAN 對用戶的應(yīng)用不產(chǎn)生影響； VLAN 的應(yīng)用解決了許多大型二層交換網(wǎng)絡(luò)產(chǎn)生的問題： 限制廣播包，提高帶寬的利用率： 有效地解決了廣播風(fēng)暴帶來的性能下降問題。一個 VLAN 形成一個小 河南省鐵生溝煤礦安全監(jiān)控系統(tǒng) 技術(shù)設(shè)計方案 第 28 頁 共 65 頁 的廣播域，同一個 VLAN成員都在由所屬 VLAN 確 定的廣播域內(nèi)，那么，當(dāng)一個數(shù)據(jù)包沒有路由時，交換機(jī)只會將此數(shù)據(jù)包發(fā)送到所有屬于該 VLAN 的其他端口，而不是所有的交換機(jī)的端口，這樣，就將數(shù)據(jù)包限制到了一個 VLAN 內(nèi)。在一定程度上可以節(jié)省帶寬。 增強(qiáng)通訊的安全性： 一個 VLAN 的數(shù)據(jù)包不會發(fā)送到另一個 VLAN，這樣，其他 VLAN 的用戶的網(wǎng)絡(luò)上是收不到任何該 VLAN 的數(shù)據(jù)包，這樣就確保了該 VLAN 的信息不會被其他VLAN 的人竊聽，從而實現(xiàn)了信息的保密。 增強(qiáng)網(wǎng)絡(luò)的健壯性： 當(dāng)網(wǎng)絡(luò)規(guī)模增大時，部分網(wǎng)絡(luò)出現(xiàn)問題往往會影響整個網(wǎng)絡(luò)，引入 VLAN 之后，可以將一些網(wǎng)絡(luò)故 障限制在一個 VLAN之內(nèi)。 由于 VLAN 是邏輯上對網(wǎng)絡(luò)進(jìn)行劃分，組網(wǎng)方案靈活，配置管理簡單，降低了管理維護(hù)的成本。 VLAN 劃分 ： 中心局域網(wǎng)絡(luò)建議可以劃分為以