《网络方案(华三).doc》由会员分享，可在线阅读，更多相关《网络方案(华三).doc（21页珍藏版）》请在三一办公上搜索。
1、精选优质文档-倾情为你奉上1 计算机网络系统3.1概 述以山东905工程建设为契机，建设完善人防办公室的电子政务，可以提供更加良好的对外服务、并且提高内部办公自动化水平。利用先进成熟的计算机和通信技术，建设一个高质量、高效率、智能化的计算机网络系统，目的是为领导决策和办公流程提供信息服务，提高办公效率、减轻办公人员负担，节约办公经费，从而实现行政机关的办公自动化、资源信息化、决策科学化。山东905工程信息系统工程的计算机网络系统分为4个独立的子系统，四个网络物理隔离，分别是外网（Internet网）、内网（政务网）、专网（应急指挥网）和一套预留的网络（暂不配设备，只进行综合布线）。3.2设计目
2、标山东905工程自动化指挥系统主要实现战时防空袭、平时防灾害及应付突发事件，为省委、省政府、军区领导决策时提供信息和辅助决策的手段。该系统是整个905工程系统通信指挥系统的重要组成部分，是实现上情下达、上下沟通的通信环节上的要点。构建一套先进的计算机网络系统不光在平时为办公、信息处理、信息传递、协同工作服务，而且要使山东905工程信息系统和相关的政府机关、部队、公安、消防、电信、电力等部门联网，同时还要与所辖各市的人防部门联网。配合专用的人防软件，能将各种信息资料汇总，并能随时进行情报资料的检索。同时可将相应的计算机信息传送至大屏幕上，并能在数字电话会议系统中远程传输。系统设计目标：1)实现人
3、防各部门的信息交换和资源共享，满足每个桌面的计算机均能入网的要求；2)建立远程传输系统，实现在外人员与各部门及时有效的信息交换；3)以网络硬件和各服务器平台为基础，形成Intranet/Internet技术为核心的企业级网络环境，建立办公自动化系统、各种业务系统、对内信息服务系统和对外信息服务系统；4)实现人防各单位的网络互连；5)满足实现与相关政府、部队、公安、消防等系统网络互连的总体需求。3.3系统建设原则根据人防工作的实际应用和发展要求，在进行网络系统设计时，主要应遵循以下原则：统一规划、统一标准、统一设计、统一实施、集中管理、资源共享。具体的设计考虑如下：1)实用性原则：以现行需求为基
4、础，充分考虑发展的需要为依据来确定系统规模。本方案充分满足了系统应用功能和性能的需求，在保证系统安全可靠的情况下，选用性能高、价格优的产品。2)安全性和可靠性原则：计算机网络系统服务于办公和流程的需要，对安全级别要求很高，特别是专网（应急指挥网）。系统应能提供网络层的安全手段防止系统外部成员的非法侵入。网络设计能有效的避免单点失败，在设备的选择和关键设备的互联时，提供充分的冗余备份，一方面最大限度地减少故障的可能性，另一方面要保证网络能在最短时间内修复。3)成熟和先进性原则：网络结构设计、网络配置、网络管理方式等方面采用国际上先进同时又是成熟、实用的技术。设备厂商和投标商应有相关领域的丰富经验
5、。计算机及网络技术发展十分迅速，在设计中应顺应主流技术发展,本方案的设计宗旨是“立足今日，着眼未来”，在保证技术成熟的前提下，充分先进技术，满足现有需求，考虑潜在扩充。4)规范性原则：网络设计所采用的组网技术和设备应符合国际标准、国家标准和业界标准，为网络的扩展升级、与其他网络的互联提供良好的基础。所选网络设备品牌应为业界主流品牌，并且交换机、路由器、无线设备、安全设备、网络管理设备为统一厂家品牌设备，便于系统实施、维护和网络管理。5)开放性和标准化原则：建立一个可靠、高效、灵活的计算机网络系统平台，不仅着重考虑数据信息能够讯速、准确、安全、可靠地交换，还要考虑同层次网络互连，远程分部的互联，
6、以及与相关信息系统网际互联，以充分共享资源。这些需求体现在设计时，要求提供开放性好、标准化程度高的技术方案；设备的各种接口满足开放和标准化原则。6)可扩充和扩展化原则：所有网络设备不但满足当前需要，并在扩充模块后满足可预见将来需求，网络的拓扑可以灵活改变，实现如带宽和设备的扩展，应用的扩展和办公地点的扩展等。并保证建设完成后的网络在向新的技术升级时，能保护现有的投资。7)可管理性原则：随着网络规模的不断扩大，网络的管理越来越重要，管理的事务也越来越复杂。整个网络系统的设备应易于管理，易于维护，操作简单，易学，易用，便于进行网络配置，网络在设备、安全性、数据流量、性能等方面得到很好的监视和控制，
7、并可以进行远程管理和故障诊断。如：可以通过友好的图形化界面，对网络进行虚网划分，设置各子网的访问权限，实施网络的动态监测、配置，数据流量的分析等，简化网络的管理。3.4网络技术需求1)随着网络规模的扩大，如果采用全交换方式，而不具备路由能力时，那么整个局域网将不得不作为一个单一的庞大的广播域来运作，这样会造成任何一个与网络连接的端点发出一个广播报文时，它将穿透所有的交换器而影响整个网络效率，进而引起广播拥塞，导致网络响应时间缓慢到不能接受的地步。网络规模越大，产生这种广播风暴的机率会越高。这就需要采用虚拟网VLAN技术将一个大的广播域分割成互连的几个小的广播域，再通过路由技术以实现VLAN间的
8、互访。但传统的路由器吞吐量低、延迟大、端口数少，且价格昂贵，不适应于应用模式的需要。三层交换机则应运而生，结合了第二层交换的高吞吐量、低延迟和端口丰富的特性，和路由器的安全控制和管理能力。我们建议在省人防网络工程系统中可以考虑引入第三层交换技术。第三层交换技术是现在解决虚拟网通讯的最成熟的技术，它在路由交换机中运行静态、RIP、OSPF或PIM等路由协议，获得网络拓扑信息，通过监听IP信息流，迅速了解与之相连的网络设备端口，直接把第三层信息包（VLAN之间的信息流）发送到其目的端口，而不必将信息包发送给路由器，从而缩短了等待时间，提高了网络速度，降低了设备成本。2)随着人防办职能的逐渐转变，越
9、来越强调各个部门之间的协调、协作与沟通，诸如Intranet和分布式协同计算模式的应用已日趋广泛，这使得任何用户在任何时间都有可能访问任何服务器的资源。下一个瓶颈将在哪里出现是很难预料的。因此，有必要在网络设计时，考虑配置高速交换机，在主干中建立过量的带宽，以确保每一个应用都可以在它需要的时间内得到它需要的资源。3)随着信息产业的发展，计算机系统的能力迅速上升，各种新的图形应用和多媒体应用在网上运行，联网用户急剧增加，网络规模和复杂性不断增长。另外，Intranet/Internet应用模式的采用，使得网络流量更加难以预测。这一切都对网络通信性能提出了更高的要求。采用高速网络技术势在必行。本次
10、网络规划设计为专网千兆核心，千兆到桌面，内、外网千兆核心、百兆到桌面。山东省905工程计算机网络系统是全省人防网络的核心汇聚点。作为全省的数据平台，负责全省的数据转发，必需部署性能较高的核心交换设备。4)在局域网中，可以采用虚拟网技术，针对不同部门划分虚拟网。虚拟网（VLAN）是将一组彼此相关的用户和服务器逻辑地分成工作群组，这样的逻辑划分与物理位置无关，用户、工作站或服务器能够在网络网部任意移动，而始终维持通讯上原有的逻辑关系不变。其实，使用VLAN技术就是把一组用户分配在一个单一的广播域（VLAN）中， 在该广播域上的广播流量只有其成员才能够收到。采用VLAN技术，可以实现以下的功能： 减
11、少网络管理的工作量； 抑制广播风暴，实现网络流量的控制； 增加网络的安全性。5)随着网络的日益普及，网络中的攻击行为日益泛滥，迫切要求网络中的设备能够防御各种各样的网络攻击，同样，网络中的交换设备应提供完善的安全防护机制，从控制、管理、转发三平面全面保障网络的安全：在控制平面，要求内置协议报文攻击识别模块，防止TCN、ARP等协议报文攻击，OSPF/BGP/IS-IS路由协议采用MD5验证，防止非法路由更新报文导致的网络瘫痪；在管理平面，SNMPv3网管协议，SSH V2，基于802.1x、AAA/Radius的用户身份认证以及分级的用户权限管理保证了设备管理的安全性；在转发平面，支持IP、V
12、LAN 、MAC和端口等多种组合精细绑定；支持uRPF单播反向路径转发，防止非法流量访问网络，采用最长匹配逐包转发机制，有效抵御病毒的攻击。6)随着网络业务的不断增加，各种各样的业务应用对网络的可靠性不断提出更高的要求。其中核心高端交换设备应采用无单点故障设计，所有关键部件，如主控板、交换网、电源和风扇等采用冗余设计；无源背板避免了机箱出现单点故障；所有单板和电源模块支持热插拔功能；可以在恶劣的环境下长时间稳定运行，达到99.999的可靠性。支持不间断转发和优雅重启，提供毫秒级的切换时间；支持等价路由，可帮助用户建立多条等值路径，实现流量的负载均衡及冗余备份。通过上述技术，可以在承载多业务的情
13、况下不间断运行，实现业务的永续。3.5本期工程建设方案3.5.1 专网建设方案山东省人防专网主要采用双星型组网，地上中心机房和地下的指挥中心各放置一台核心交换机，平时两个核心负载分担业务并且互为备份，战时核心保持不变，不需要搬迁核心设备，满足战时快速部署的需要。双核心与接入层交换机通过1000M光纤连接，实现双上行的线路冗余，所有接入交换机均是千兆到桌面。图3-1专网网络拓扑结构图考虑到专网系统的高可靠性，两台核心交换设备均配置冗余引擎和冗余电源。在广域网出口处通过一台接入路由器连接到军网专网，同时部署千兆防火墙和入侵防御，以实现2-7层（ISO模型）的整网防护。在接入终端PC上部署内网终端准
14、入系统，以实现对网络接入终端的检查、隔离、修复、管理和监控。专网部署IP语音和电话会议系统，语音服务器实现双机冗余配置，同时在用户端部署IP语音电话。专网拓扑图如图3-1。在此结构中，核心设备支持虚拟化技术，可以将两台或多台设备虚拟化成一台核心设备，对于其他设备而言面对的只是一台虚拟设备。当其中任何一台出现突发故障，对虚拟设备而言不会有任何影响，同样对其他所有设备而言也不会有任何影响，所有业务和数据转发不会中断。而传统双核心组网，一旦其中一台核心发生故障，所有业务要迁移到另一台核心，中间会有几秒至十几秒的业务中断，此时的数据会丢失。相比而言，核心设备的虚拟化技术大大提高了网络的可靠性以及安全性
15、。3.5.2 内网建设方案鉴于内网系统的可靠性、安全性和交换性能相对于专网级别较低，所以采用单星型组网架构，千兆骨干，百兆到桌面。核心交换机和接入交换机均通过1000M光纤互联。核心交换设备配置单引擎、冗余电源。通过千兆防火墙与省电子政务网互联，对网络层实时保护。内网拓扑图如图3-2。图3-2内网网络拓扑结构图端口隔离也是内网访问控制的一个有效手段，端口隔离是指交换机可以由硬件实现相同VLAN中的两个端口互相隔离。隔离后这两个端口在本设备内不能实现二、三层互通。当相同VLAN中的主机之间没有互访要求时，可以设置各自连接的端口为隔离端口。这样可以更好的保证相同安全区域内主机之间的安全。即使非法用
16、户利用后门控制了其中一台主机，也无法利用该主机作为跳板攻击该安全区域内的其他主机。并且可以有效的隔离蠕虫病毒的传播，减小受感染主机可能造成的危害。3.5.3 外网建设方案鉴于外网系统的可靠性、安全性和交换性能相对于专网级别较低，所以采用单星型组网架构，千兆骨干，百兆到桌面。核心交换机和接入交换机均通过1000M光纤互联。核心交换设备配置单引擎、冗余电源。在核心交换机部署防火墙模块，以实现对整个外网的安全域划分，通过配置虚拟防护墙，同时对互联网出口以及内部的各部门实现独立防护。办公外网拓扑图如下：图3-3外网网络拓扑结构图为解决传统基于VLAN和ACL的内网访问控制解决方案的不足，本次提出了以防
17、火墙为核心的内网访问控制解决方案。其核心是可以插入交换机中的防火墙模块，通过防火墙模块对内网各个VLAN之间的访问进行精细化的控制。同时配合交换机的端口隔离特性，实现对同一VLAN内终端之间的访问限制。防火墙模块是将交换机的转发和业务的处理有机融合在一起，使得交换机在高性能数据转发的同时，能够根据组网的特点处理安全业务。防火墙模块可以对需要保护的区域进行策略定制，可以支持所有报文的安全检测，同时防火墙模块支持多安全区域的设置，支持Secure VLAN，对于需要防火墙隔离或保护的VLAN区域，用户可以将Secure VLAN绑缚到其中的一个防火墙插卡上，这样可以通过设置Secure VLAN来
18、对交换机内网之间（不同VLAN之间）的访问策略进行定制。3.5.4 接入交换机配置情况根据山东省905工程的具体信息点设置和要素分布情况，设置接入层交换机数量及放置位置如下。其中预留网系本期工程不配置设备。各区的接入层交换机采用堆叠的方式。表3-1山东省905工程接入交换机设置情况表序号IDF编号放置位置外网交换机数量内网交换机数量专网交换机数量预留网系地面指挥中心1IDF1光端机室（2-6）8047942IDF2二层设备间（2-11）4124123IDF3设备间（3-25）6235634IDF4专网设备间（1-2）10851015IDF5专网设备间（4-14）51336地下指挥所6IDF6通
19、信值班室482482462437IDF7作战值班室352402322303.6.5建设内容人防信息化应用软件是一个种类较多的系统，不但需要投入大量的人力、财力，还需要周密的统一规划，才能使软件功能得以发挥。本期工程，不包括应用软件系统的建设。3.7服务器子系统3.7.1服务器配置存储、管理人防指挥业务相关数据和日常办公数据，为用户数据录入、查询、维护提供手段，并保证数据的安全和完整性，具有统计、分析功能。建立各种军事地理信息、人防工程、重点目标、人防通信警报、空袭兵器毁伤数据、核化生等危害参数数据、气象、环境、道路、交通、救援、物资等数据库。建立人防处置空袭及核生化事故的各种文档及多媒体数据库
20、。表3-1 山东905工程共配置8台服务器，配置情况见下表：序号品牌型号应用类型备注1联想专网网管服务器专网2联想专网补丁服务器专网3联想专网病毒库服务器专网4联想内网网管服务器内网5联想外网网管服务器外网6联想自动化应用服务平台专网7联想邮件服务器外网8联想自动化应用服务平台内网3.7.2操作系统选择在服务器操作系统的配置上，现主要有三种：Unix服务器操作系统，主要支持大型的文件系统服务、数据服务等应用。由于一些出众的服务器厂商生产的高端服务器产品中，甚至只支持Unix操作系统，因此SUN Solaris、IBM-AIX都是定位于高端服务器操作系统市场的。以其较高的系统安全性和稳定性受到高
21、端用户的青睐，但由于是非开源代码，技术层面未能得到有效推广，所以在中低端市场的推广与普及还需时日。Linux具有兼容、安全、稳定等特性，如果对于磁盘I/O要求较高，那么Linux 是首选。红帽的RHEL专为Server打造，有良好的售后服务。虽然它是一个免费的、开放源代码的软件，但在Linux下运行的应用软件也相对较少，所以其暂不具有大众性，另外其维护成本的相对偏高，更多地是用在一些高端的小型网络环境。Windows操作系统继承了有史以来最具人性化界面，其操作易用性逐步提高，也是目前使用最为广泛的系统，且具有较多的软硬件支持。在改善了安全性，尤其是花力气弥补后台漏洞之后，可以给用户带来最高的使
22、用效能。山东905工程的计算机网络是三套物理隔离的网络，本身具有较高的安全性，从安全性和维护方便性上考虑，建议选用Windows操作系统。2 安全保密系统 4.1 4.3计算机网络系统的安全保密4.3.1计算机网络的安全需求计算机网络安全是指信息安全和控制安全两部分。国际标准化组织把信息安全定义为“信息的完整性、可用性、保密性和可靠性”；控制安全则指身份认证、不可否认性、授权和访问控制。互联网与生俱有的开放性、交互性和分散性特征使人类所憧憬的信息共享、开放、灵活和快速等需求得到满足。网络环境为信息共享、信息交流、信息服务创造了理想空间，网络技术的迅速发展和广泛应用，为人类社会的进步提供了巨大推
23、动力。然而，正是由于互联网的上述特性，产生了许多安全问题：1) 信息泄漏、信息污染、信息不易受控。例如，资源未授权侵用、未授权信息流出现、系统拒绝信息流和系统否认等，这些都是信息安全的技术难点。2) 在网络环境中，一些组织或个人出于某种特殊目的，进行信息泄密、信息破坏、信息侵权和意识形态的信息渗透，甚至通过网络进行政治颠覆等活动，使国家利益、社会公共利益和各类主体的合法权益受到威胁。3) 网络运用的趋势是全社会广泛参与，随之而来的是控制权分散的管理问题。由于人们利益、目标、价值的分歧，使信息资源的保护和管理出现脱节和真空，从而使信息安全问题变得广泛而复杂。4) 随着社会重要基础设施的高度信息化
24、，社会的“命脉”和核心控制系统有可能面临恶意攻击而导致损坏和瘫痪，包括国防通信设施、动力控制网、金融系统和政府网站等。从二十世纪九十年代以来发生的各次战争来看，战争的样式已经发生了很大变化，主要有以下特点：1) 网络信息系统和设施成为战争首先摧毁的目标，使对手失去指挥能力。2) 电子战和计算机网络战的在战争中的地位与作用日益突出，成为获取信息优势的基本手段。3) 由于城市重点目标成为战争重要攻击目标，而且这些目标是分散与孤立的，对各防空作战单位的指挥与控制只能依靠计算机网络进行。因此，确保城市防空指挥网络的安全和正常运转成为未来城市防空的基本要求之一。对人防指挥所计算机网络的安全要求主要有以下
25、几点：1) 运行环境安全。运行环境主要指计算机房要具有防潮、防电磁泄漏、防各种灾害等能力，支持网络可靠、稳定运行。2) 抗网络攻击。一个地方的人防能力是敌方十分关心的情报信息，人防指挥所计算机网络是敌方的重点攻击目标之一，人防指挥所计算机网络应该具有很强的抗网络攻击能力。3) 内部支持多级安全。网络具有控制用户按需对不同密级信息进行访问的访问控制机制和禁止非授权主机上网的能力。4.3.2计算机网络面临的威胁与风险分析人防指挥所计算机网络面临的威胁与网络本身存在的脆弱性，以及和哪些外部网络连接有密切关系。当条件具备后，网络威胁将会变成现实，网络中信息的安全将遭受风险。为了提供满足安全要求网络系统
26、，在设计之前对待实现的网络进行风险分析是十分必要的。根据用户对网络的要求，人防指挥所计算机网络可能受到的威胁有：1) 由于微软操作系统windows2000/2003脆弱性较大，漏洞较多，对网络的安全性有较大影响。网络黑客对微软系统熟悉，目前网络攻击工具大部分都是针对微软系统的。2) 由于网络需要与当地政府机关的网络连接，人防指挥所计算机网络有可能受到来自政府网络的非授权访问。3) 由于网络需要和Internet连接，可能面临众多外部黑客高手的攻击，甚至来自敌对地区黑客的攻击。4) 由于和外部网络连接或内部用户私自向内网机器安装软件和文档资料等原因，有可能造成计算机病毒在内网的流行。5) 由于
27、用户权限分配或管理不当，可能发生网络内部用户越权访问的问题。6) 由于人防指挥所计算机网络可能存在不安全性，而且又需要与军网连接，可能会危及军网的安全。以上许多威胁可以通过良好的安全设计和配置相应的安全产品加以防范。4.3.3计算机网络安全保密设计网络安全解决方案实际上是一个系统工程，而不仅仅是网络安全产品及特性的简单罗列。为了合理的解决网络安全问题，必须充分分析网络逻辑组成，网络中不同部分的功能不同，所关注的安全问题也不同，如内网关心的服务器的安全访问;外网关心的是互联网出口的安全防御以及病毒在网络内的传播，所以局域网安全关注的重点是网络自身安全及数据传送安全。在分析清楚安全威胁对象和安全威
28、胁手法的基础上，我们有针对性地提出IP安全网络模型，从技术上对网络进行全面的保护。IP安全技术主要可分为4类，包括：安全身份识别，安全传送、安全防御和安全监控。1）安全身份识别对网络使用者的身份进行识别，并据此对用户使用网络的权限进行相应的授权，是保证网络安全的第一步。根据身份识别行为发生的时机，通常的网络可以分为两个类型：受控接入网络在提供二层服务之前就要求对用户进行身份验证，这种网络较多地用在终端用户接入运营商商网络、企业远程拨号访问等场合。受控接入网络的安全性很高，PPP连接中的CHAP/PAP协议，以太网组网中的802.1x、PPPoE都是用于支持二层验证的具体协议。而松散型接入网络则
29、对每一个物理连接提供天然的二层服务访问能力，通常用于企业内部组网和低成本宽带接入运营，相比受控接入网络来说，缺少必要的安全验证协议，所以，常常需要通过地址/端口访问控制等管理方式来实现网络资源的保护。本期工程，在专网中配置了终端安全准入系统。用户的身份可以由多种方式来进行鉴权，传统的（用户名，口令）组合的方式是应用的最为广泛的一种，而SIM卡，指纹机等方式也在此之外为用户提供了更加安全的替代方式。根据用户的鉴权结果，给与相应的网络资源访问授权，我们称这种对应关系叫做访问策略，访问策略可以存储在本地，也可以存储在特定服务器上，Radius服务器是最基本的一种访问策略服务器（和网管服务器一体）。用
30、户使用网络的合法性、时间长度限制、时间范围、服务保证、网络服务端口范围等，都可以在网络访问策略中加以定义，并在具体的网络节点中加以实施。通过访问策略的定义，使用单一的用户鉴权过程完成二层、三层乃至七层业务的访问授权，是时下网络业务访问验证的发展趋势。2）安全传送保证合法用户在网络上传送信息的隐秘性和完整性，是安全传送技术需要解决的问题。根据不同的组网需求，信息的安全传送可以放在不同的网络层次来实现。PGP是在应用层进行信息加密的最常见协议，可以用来实现Email加密、签名，文件加密、签名等常见功能。在传输层，安全套接字层(SSL)实现了位于TCP之上端到端安全服务，它在源实体和目的实体之间建立
31、了一条安全通道，提供了基于证书的认证、信息完整性和信息隐秘性等保护机制。任何使用TCP的应用程序都可以选用SSL，例如，浏览器使用SSL可以增强HTTP协议传送的安全性；而使用SSL增强的Telnet则可以使原本明文传送的远程登陆协议无法被攻击者监听。本次工程在三个网络提供此功能。3）边界安全防御使用防火墙在内部可信任设施和外部非信任网络之间建立屏障，是实现边界安全防御的必要手段。和网络分层模型相对应，防火墙也可以在不同的网络层次上加以实现。山东905工程在三个网络分别配置了防火墙。专网和内网配置了独立防火墙，外网配置了防火墙模块。 位于网络层的防火墙通常实现了报文过滤的功能，它根据IP报文的
32、五元组(源地址、目的地址、源段口号、目的段口号和协议类型)以及TCP/UDP等报文头中的标志位建立过滤规则。过滤规则既可以在上行端口也可以在下行端口上加以实施，报文到达特定接口时，根据规则中定义的匹配规则，做出相应禁止通过或允许通过的动作。使用报文过滤防火墙可以识别并拒绝掉绝大多数针对IP、ICMP、路由协议等发起的攻击，并对防御针对TCP的DoS攻击有一定效果。电路中继防火墙工作在传输层，这种防火墙针对每一个TCP或者UDP的会话进行识别和过滤，在每一个会话建立的过程中，除过检查传统的过滤规则之外，还要求发起会话的客户端给防火墙发送一组用户名和口令，只有通过防火墙验证的用户名才被允许最终建立
33、会话，会话一旦建立后，该会话的其他报文流可以不加检验的直接穿透防火墙。由于电路中继防火墙要求对客户端的用户名和口令进行验证，它可以有效的避免网络传送过程中不验证源地址、或者源地址被冒充的不足，从而可以有效的防御IP/UDP/TCP欺骗，并且可以对任意TCP/UDP攻击的发起者快速定位。但是，为了能够携带用户名和口令，这种防火墙需要对客户端的传输层进行修改，所以，电路中继防火墙更多的被用在企业内部组网中，实现对内部网外出流量的监控。在应用层，也可以针对不同的协议原理，实现对其状态和内容的动态监控和过滤，还可以在此基础上对实现内部网络到外部网络的协议代理。使用应用层防火墙可以针对具体的应用类型完全
34、对内部网络进行保护并且对流经防火墙的应用层内容进行完全的监控。但是由于此类监控需要一直解包到七层，所以会对网络出口的性能造成较大影响。防火墙的过滤行为随着其对应监控层次的升高，对性能的影响也是越来越大，因此在提升过滤引擎功能完备性的同时，怎样提升过滤引擎的性能，是防火墙实现中需要解决的一个重要课题，从软件实现防火墙到ASIC芯片实现防火墙到网络处理器实现防火墙，是过滤引擎功能和性能不断升级的技术历程。4）深度安全防御对于军网来说，防火墙是处于网络边界的设备，也存在自己的一些弱点，如对某些攻击保护很软弱、且自身可能被攻破；同时，并不是所有的攻击都来自外部，防火墙对这些内部发起的攻击行为则无能为力
35、。所以在部署网络防御的同时，还有必要引入对网络应用的协议层的威胁防御。针对这些问题，我们在专网中配置了入侵防御系统。山东905工程计算机网络系统根据不同网络面对的风险和安全级别，配置了防火墙和入侵防御系统。通过部署防火墙和入侵防御系统，对安全域进行划分，同时对网络病毒、蠕虫、带宽滥用、拒绝服务器攻击、零时差攻击、间谍软件以及非法网站访问进行防御。4.4 数据灾备系统4.4.1数据灾备系统建设的必要性对于人类社会来说，各种各样的灾难一直伴随着人类的发展。自从人类走进现代文明，自然灾害，战争等各种形式的灾难一直未曾停止对人类正常生产生活的干扰。随着人类发明电子计算机并成功进入信息时代，人类的生产生
36、活对电子计算机以及相关电子设备的依赖性越来越大。宝贵的电子数据成为人们越来越重要的资源和财富，如何更有效的利用和保护这些资源，是当前全球信息产业发展的重点。人防系统承担着动员和组织人民群众防备敌人空中袭击、消除空袭后果的行动。但随着“两防一体化”思路的提出，人防向民防功能的转变，它也承担着平时应急救援的任务。人防系统功能的逐渐完善和加强对人防本身数据安全提出了新的要求。同时，在现代社会向信息化发展的过程中，信息的应急救援也应运而生，依托人防系统的资源优势建设数据灾备中心，是人防防灾、救灾的需要，也是信息化社会发展的需要。数据的灾难恢复可能也将会成为人防工作的一部分。这些要求都提出了人防数据灾备
37、系统建设的必要性。4.4.2 容灾备份的分类备份容灾系统就是针对系统灾难恢复的措施，为了保证关键业务和应用，在出现灾难情况时，能够有效对系统和应用进行恢复，从而保证业务的连续，以降低风险和损失而建立的系统。通过备份容灾系统的建设，可以达到针对目前系统潜在的中断风险，提供预防机制，提高系统连续运行能力，对无法抗拒的严重灾难，提供系统恢复机制，将灾难引发的业务损失降低到可接受的程度。根据备份容灾系统的灾难恢复能力，可将备份容灾系统分为两类：数据级容灾和业务级容灾。通过分析系统灾难对公司造成的影响范围及公司对灾难的承受能力，可选择不同级别的备份容灾系统。1）数据级容灾数据是生产业务系统的核心，数据的
38、有效保护将是备份容灾的关键，数据级容灾是以数据保护为目标，保证灾难发生后，业务数据的安全。一般采用数据备份的方式，通过网络将生产中心数据实时或非实时地复制到远端的备份容灾系统中心。在生产系统出现灾难情况后（如地震、水灾、火灾、瘟疫、人为灾难故障），通过备份容灾中心的备份数据对生产系统的数据进行恢复，实现系统的备份容灾。 (2）业务级容灾业务级容灾主要通过对系统的业务数据、应用环境、网络组织及相关其它子系统接口等整个业务系统的流程环节进行备份容灾，从而实现对整个业务流程的保护。业务级容灾将建立远端的备份容灾系统中心，生产中心数据实时或非实时地复制到备份容灾中心。正常情况下，系统的各种应用运行在生
39、产中心的系统上，数据同时存放在生产中心和备份容灾中心的存储系统中。当生产中心由于断电、火灾甚至地震等灾难无法工作时，则将业务处理、网络、数据线路切换至备份容灾中心，保证业务的持续运行。业务级容灾相对投资较高，要求提供业务连续性的应用平台（主机、存储、网络）、数据、传输线路、基础设施等所有环节的灾难备份。4.4.3 建设数据灾备中心的考虑数据灾备系统的建设不是简单存储服务器、存储磁盘和存储空间等的建设。其建设涉及多种外部条件。比较重要的有以下几点：1）政府部门的大力支持信息的飞速发展使人们对信息安全有了新的认识，但是建设一个运营性质的数据灾备中心，需要政府部门的大力支持。各地政府部门对数据灾备中
40、心都有一个统一的规划，山东905工程的数据灾备中心需要配合这个规划，从全局的角度考虑这个问题。2）市场需求需要明确数据灾备中心的建设是一个投资较大的工程，在建设前应有较明确的用户群体，有了用户群体，才能使投资有价值。这也和政府部门的统一规划密切相关的。3）基础网络完善数据灾备系统的建设需要一个完善的传输基础网络支持，这部分的实现是一个投资较大，时间较长的工程。数据灾备的建设需要和传输网络的实现统筹考虑4）基础设施优良灾备中心的建设需要优良的基础设施条件，最大限度的减少人为、自然、战争造成的灾害。综合以上条件，山东省905工程暂时不适合建设运营级的数据灾备中心。但人防数据本身的重要性需要建设人防
41、内部的数据灾备中心。在数据灾备中心的建设上应由省人防统一规划，首先建设省人防内部数据的灾备中心，其次是全省人防系统的灾备中心，首先建设数据级的容灾中心，再建设应用级的容灾中心。本期工程建设省人防内部的数据灾备系统。4.4.4 本期数据灾备中心的建设方案本期工程，专网部署一台IP存储系统，通过千兆存储交换机，与前段所有服务器相连，实现在线集中存储。系统容量3TB，通过千兆存储交换机连接所有专网服务器，对所有服务器数据提供备份服务。支持Oracle、DB2、SQLServer、Sybase等主流数据库。由于数据库应用对IPOS要求较高，因此配置高性能的SAS 300GB硬盘。配置10块，9块做RA
42、ID 5，1块做全局热备，可用容量2.4TB。系统图如下:图4-1 专网数据灾备中心系统图存储的核心就是数据管理，因此数据管理功能至关重要。本次方案中，在线存储系统通过配置TimeMark/TimeView可以实现多个快照时间标记点，当数据受到病毒感染、恶意攻击、应用软件升级、系统维护导致的误操作，造成数据丢失或不可用时，实现系统和数据的快速恢复。一旦出现误删除、误操作对文件、数据发生破坏，通过Timemark功能可以回滚到之前某一时刻,或通过TimeView功能恢复系统单个文件。以数据保护的时间间隔1小时为单位，可以恢复全部或单个数据库记录10.5天的数据变化。TimeMark全自动连续数据
43、快照功能，特别适合对用户关键业务的数据进行连续保护。可以按策略为数据卷自动创建基于增量的多时间点标记，当发生软件程序导致的数据损坏、病毒破坏、意外删除及其它人为误操作引起的数据丢失或错误时，可以迅速通过对合适的时间点标记进行“回滚”来快速恢复数据。4.4.5 设备要求支持最先进的SAS接口技术，可提供高数据存储性能和访问，同时配置和管理简单灵活，可扩展性强，稳定可靠。可容纳16个SAS或SATA 磁盘，并支持混插。用户可在初期仅配置满足当前业务需求的低容量存储资源，后续再分阶段按需扩展，轻松应对业务快速发展带来的数据激增挑战，这样既降低初期存储投资门槛，又能保证存储的可持续使用。多台存储设备还
44、能通过网线简单连入前端IP SAN交换机，动态构建海量存储网格，进行横向扩展。纵向扩展模式可实现性能未达瓶颈前的容量扩展，而横向扩展方式更可突破性能限制，实现容量、性能、带宽的三维无限扩展。可通过多个端口连接服务器或IP SAN网络交换机，多条数据链路支持链路聚合和动态故障切换，在保证数据读写带宽的同时保障数据通路的畅通。支持磁盘漫游，即存储系统内部磁盘可以任意的更换位置，而磁盘内部的阵列配置信息和数据完全不会改变或损坏，可避免由于磁盘被错误插拔而导致的数据丢失。关键部件都实现了冗余设计，配置冗余的、负载均衡的热插拔电源，支持电源自动故障切换和在线故障电源更换，还支持多种型号的外接UPS，避免
45、电源故障带来的系统异常。多个冗余风扇可对所有的磁盘和控制单元进行散热，可保证整个系统长时间的正常稳定运行。支持缓存掉电保护功能，可在供电故障时为E缓存数据提供长达72小时的保护时间，有效防止数据丢失。提供硬件过载保护机制，例如当温度异常升高会导致硬件损坏，则系统会自动关机保护磁盘数据。可视化的GUI管理界面可以使用户所见即所得的对磁盘、RAID组等进行配置操作和状态监控，操作方便，使用简单，降低管理员学习和操作难度。同时单个管理界面还可以对多台存储设备进行集中统一管理，进一步降低管理员对多台存储设备的管理维护工作量。支持邮件告警功能。管理员不仅可以通过GUI界面方便的查看存储设备的日志信息，还可以针对逻辑卷、RAID、设备等模块设置不同的告警级别，当有故障发生时系统马上发送告警邮件通知管理员，使得管理员可以及时做出响应，防止故障影响范围扩大。提供了环境监控功能，可以对网络接口利用率、CPU利用率进行监控，还可以对逻辑卷、RAID阵列的访问情况进行查看，以及对设备的电压、温度等信息进行监控，这样管理员可以全面的检查系统的运行状况，合理配置资源，使设备发挥最佳效能。专心-专注-专业
