《住房支持保障性住房建设贷款运行监管系统实施方案.doc》由会员分享，可在线阅读，更多相关《住房支持保障性住房建设贷款运行监管系统实施方案.doc（32页珍藏版）》请在三一办公上搜索。
1、住房支持保障性住房建设贷款运行监管系统需求分析报告(网络硬件部分)日期版本修改内容修改人备注20100416201004161. 省、市配置中增加软件、防病毒等2. 部中心配置中增加集成费3. 调整线路费：联通、电信一律长途三折、本地五折宋秀明陈小鹏米文忠线路报价2010041520100415设备按标准配置郝力宋秀明2010041120100411增加容灾中心（两个方案）、高配方案、标准方案赵伟2010031020100310起草宋秀明太极王一协助1. 总体设计1.1 基本要求运行监管系统是以资金账户监管为核心，实现对所有试点城市住房项目贷款全程、实时、同时监管，确保试点工作顺利实施。系统网
2、络硬件需要满足以下几个要求：1、系统运行安全可靠，保证724小时稳定运行。运行监管系统涉及的资金达数百亿，必须保障系统中的各项数据的安全，保障系统与专户银行之间资金信息的实时可靠交互。参考银行系统的要求，RPO （Recovery Point Object）应为分钟级，即当灾难发生时，系统能容忍的最大数据丢失时间应在1小时内；RTO（Recovery Time Object）应小于24小时，即当灾难发生时，系统恢复的时间小于24小时。2、网络采用双路专网。住房和城乡建设部、省监管部门、试点城市中心之间的网络应保持畅通，当其中的一条线路发生问题时，系统可以切换到另外一条线路。3、系统符合安全等级
3、保护要求。根据目前初步定级情况，系统需要达到公安部信息系统安全等级保护基本要求三级的安全防护要求，与省、中心互联网络符合相应等级的安全防护要求。1.2 体系架构系统体系构架采用基于JAVA EE的B/S架构，系统由数据库服务器、应用服务器、WEB服务器以及通讯前置服务器组成。部内部用户通过部政务外网访问系统，省级监管部门用户和试点城市中心用户通过双链路的数据专网访问系统，专户银行通过专网与系统联接。系统的框架结构如下图所示。试点城市中心直接通过专网访问运行监管系统，通过系统办理关键业务、操作资金账户，各项交易操作全程留痕。省级监管部门直接通过专网访问运行监管系统，监督本辖区试点城市住房中心贷款
4、资金使用、流向，并及时对资金异常变动情况进行分析处理。系统通过接口与省厅、中心相关系统进行数据交换，实现省级、市级的数据留痕。部级监管部门用户直接通过部政务外网访问运行监管系统，对试点城市住房项目贷款资金进行全程、实时监控，及时处理预警信息，对异常交易进行实时干预。受委托银行总行通过专网接入运行监管系统，接收和处理系统传输的交易指令，并反馈相应的账户变动信息。1.3 核心系统设计我部正在进行机关网络改造工程，目前建设的部政务外网完全符合公安部信息系统安全等级保护基本要求三级的安全防护要求。因此，核心系统的设计原则是充分利用部信息中心现有网络设备，在此基础上根据运行监管系统的需求增加必要的设备。
5、下图为住房城乡建设部核心系统逻辑结构图：为了保证系统安全稳定运行，系统数据专网采用双链路设计，分别租用联通和电信网络，网络带宽2M，网络链路层采用数据专网与互联网逻辑隔离，网络层通过防火墙技术实现安全。所有的服务器均应配置至少2台，确保整个系统维持724小时正常运转。1.4 容灾系统设计1.4.1 容灾系统分类容灾系统是指为了保证关键业务和应用，在出现灾难情况时（如地震、水灾、火灾、瘟疫、人为灾难故障），能够有效对系统和应用进行恢复，以降低风险和损失而建立的系统。容灾包括数据容灾和应用容灾两类：1数据容灾数据级容灾主要针对系统数据和交易数据的保护，即建立一个异地的数据系统，该系统是本地关键应用
6、数据的一个实时或非实时复制。在本地数据及整个应用系统出现灾难时，系统至少在异地保存有一份可用的关键业务的数据。2应用容灾应用级容灾是在数据级容灾的基础上，再把执行应用处理能力复制一份，对最重要的数据进行保护，即在异地建立一套完整的与本地生产系统相当的备份应用系统（可以是互为备份）。建立这样一个系统是相对比较复杂的，不仅需要一份可用的数据复制，还要有包括网络、主机、应用、甚至IP等资源，以及各资源之间的良好协调。从技术上看，衡量容灾系统有两个主要指标：RPO （Recovery Point Object）和RTO（Recovery Time Object），其中RPO代表了当灾难发生时允许丢失的
7、数据量；而RTO则代表了系统恢复的时间。一般而言，数据级别的容灾RPO大于24小时，而应用级别的容灾RTO小于24小时。11.11.21.31.3.11.1.1.1.2.1.3.1.4.1.4.1.1.4.2. 容灾系统等级划分根据国际标准SHARE 78的定义，容灾备份方案分为七个等级，分别是0级无异地备份、1级实现异地备份、2级热备份站点备份、3级在线数据恢复、4级定时数据备份、5级实时数据备份、6级零数据丢失。根据初步了解的情况，银行级容灾备份等级一般为4级或5级，参考银行系统等级，确定运行监管系统的容灾备份等级为4级，备份站点确定为上海市管理中心。对于4级容灾方案，备份站点不仅仅是一个
8、分离的备份系统， 还处于活动状态（运行）。而备份数据则可以双向传输，数据的丢失与恢复时间达到小时甚至分钟级。参考银行系统的要求，RPO （Recovery Point Object）应为分钟级，即当灾难发生时，系统能容忍的最大数据丢失时间应在1小时内；RTO（Recovery Time Object）应小于24小时，即当灾难发生时，系统恢复的时间小于24小时。2. 网络安全设计网络安全建设需要对网络进行风险分析和威胁分析，识别资产价值和风险级别，为进行等级保护提供依据。其次，根据实际需要对抗的威胁和风险级别部署相应强度的安全保密设施，突出重点。安全策略需要与国家相关法律、相关主管部门（如中央和
9、国务院、中央机要局、国家保密局、公安部、国信办等）和住房和城乡建设部的有关规定相一致；与当前国内国际主要流行的安全标准和IT技术标准相兼容；特别是与主要的电子政务安全标准相一致。2.2.1. 等级保护运行监管系统按照国家信息安全等级保护管理办法定级后，根据信息系统安全等级保护基本要求进行安全防护。目前，部机关外网网络安全等级保护级别为三级，只可以运行三级及以下的系统。系统未定级前，暂按三级标准进行系统安全设计和安全防护。等级保护安全策略包括以下几点：1)运行监管系统网络为非涉密网，但承载具有敏感?信息的住房项目货款信息，安全系统的设计、管理和运行遵从国家相关管理部门的规定和相关法律法规、政策和
10、标准。2)运行监管系统网络与国际互联网和其他公共信息网络实行逻辑隔离。3)使用商用密码产品实现数据加密、数字签名和身份认证。4)采用足够的安全运行对策和机制，包括符合非涉密敏感网络要求的安全运行管理、应急响应和恢复、安全评估等措施，保障网络和系统可靠、安全、可监控地连续运行。5)制定符合非涉密敏感网络管理要求的安全管理制度、规范和措施，通过管理制度和安全技术手段的结合，来综合保障监管系统的安全。6)安全产品具有较可靠性设计，其中密码产品需要通过有关测评机构鉴定，非密安全产品需要等级认证）。7)安全方案及配置通过由国信办相关专家参与的评审，最终通过由相关的管理机构的认证。8)物理安全策略应满足信
11、息系统安全等级保护基本要求的第三级关于物理安全要求的物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁控制等方面的安全策略。2.2. 数据备份（1）数据日常备份按照信息系统安全等级保护基本要求中三级的安全防护要求定制系统的数据备份策略。根据三级安全防护要求，“完全数据备份至少每天一次”，即RPO应小于24小时。因此，备份系统从每天凌晨一点开始，对数据库进行一次自动全备份。次日中午午休时间，备份系统对数据库进行一次增量备份，将从前一日凌晨到当天中午这段时间的变化数据备份下来。采用以上数据备份策略后，一旦必须进行数据恢复，只需将前一日的全备份和
12、当日的增量备份进行恢复即可。（2）异地数据容灾异地数据容灾中心，采用定期远程拷贝方式，结合制定的备份策略，实现在系统运行过程中某一时刻将生产数据备份到磁盘阵列上。当本地数据及整个应用系统出现灾难时，能够利用该定期拷贝将业务状态恢复到损坏发生前的某一个时刻（即执行定期拷贝时）的业务正常状态。在业务恢复过程中，辅以其他手段（如手工录入等），补充自定期拷贝生成时刻起至业务中断时这一段时间业务运行产生的生产数据。（3）系统冗余配置通信链路、数据库服务器、应用服务器、Web服务器、前置通讯服务器均进行了冗余配置。2.3. 省厅、中心网络要求根据系统建设要求，省厅和中心需接入部网络。监管系统为等保三级，因
13、此，省厅和中心接入专网的网络也应达到等保三级，以确保监管系统的安全运行。3. 网络配置方案233.1 网络连接方式3.1.1 设计要求：（1）与省级监管部门和中心的网络通讯使用SDH双线路，保证试点阶段系统响应速度和双路安全的需求。（2）采用全国集中部署模式，省、试点城市中心、直辖市、监管部门分别通过专网远程连接到监管系统。1233.13.1.13.1.2 数据专网逻辑层次住房城乡建设部信息中心统一制定网络IP地址、命名规则和路由规则。此次运行监管系统数据专网线路，统一选择同步数字线路（SDH），带宽为2M。为保证系统能够724小时运行，采用双链路，分别租用电信、联通的线路。网络划分为部、省、
14、市、银行等不同接入区域：（1）省建设厅直接与住房城乡建设部连接，由省厅租用数据专线；（2）中心直接与住房城乡建设部连接，由各中心负责租用数据专线；（3）直辖市和新疆建设兵团住房管理中心直接与住房城乡建设部连接，直辖市和新疆建设兵团住房管理中心租用数据专线。（4）受托银行总行与住房城乡建设部连接，受托银行总行租用数据专线。（5）监管系统的容灾中心，在异地与住房城乡建设部连接，住房城乡建设部租用远程专线。3.2 网络配置清单3.2.1 省建设厅到部线路住房城乡建设部到省建设厅线路，由住房城乡建设部统一租用数据专网，费用列表如下：序号线路说明线路数标准资费(元/月/条)电路报价(万元/年/条)合计(
15、万元)备注1.省建设厅到部线路，联通SDH 2M带宽22100003.679.2三折优惠2.省建设厅到部线路，电信SDH 2M带宽22100003.679.2三折优惠合计158.41233.13.23.2.13.2.2 中心到部线路部到中心线路由各中心负责费用，目前计费按租用数据专网的资费标准进行计算，费用列表如下：序号线路说明线路数标准资费(元/月/条)电路报价(万元/年/条)合计(万元)备注1.北京中心到部本地线路，联通SDH 2M带宽120001.21.2五折优惠2.直辖市到部长途线路，联通SDH 2M带宽3100003.610.8三折优惠3.城市中心到部长途线路，联通SDH 2M带宽2
16、8100003.6100.8三折优惠4.北京中心到部本地线路，电信SDH线路2M带宽120000.60.6五折优惠5.直辖市到部长途线路，电信SDH 2M带宽3100003.610.8三折优惠6.城市中心到部长途线路，电信SDH 2M带宽28100003.6100.8三折优惠合计2253.2.3 容灾中心到部线路容灾中心到部的线路，由住房城乡建设部统一租用数据专网。费用列表如下：序号线路说明线路数标准资费(元/月/条)电路报价(万元/年/条)合计(万元)备注1.容灾中心到住房和城乡建设部专用线路，电信SDH 2M带宽1100003.63.6三折优惠2.容灾中心到住房和城乡建设部专用线路，联通S
17、DH 2M带宽1100003.63.6三折优惠合计7.24. 软硬件配置方案44.1 方案介绍配置方案基本能够满足系统724小时运行的要求。配置方案中，运行监管系统的数据库服务器是通过两台服务器共用一个磁盘柜实现负载均衡，满足系统高可靠性的需要。应用服务器和Web服务器分别由两台服务器各自部署相应中间层和网站，通过网络负载平衡管理器实现负载均衡，满足系统高可靠性的需要。4.2 硬件设备清单4.2.1 部中心配置方案序号设备名称设备描述数量单价（万元）合计（万元）1.数据库服务器X3850M2Xeon 4核7420 CPU 4颗/16G内存/2*146G SAS硬盘/6个千兆网口 冗余电源/机架
18、式/原厂三年服务210.5212.应用服务器（IBM X3650，PC服务器）Xeon E5520（2.26GHZ）1颗/4G内存/2*146G SAS硬盘/6个千兆网口 冗余电源/机架式/原厂三年服务22.553.WEB服务器与应用服务器（IBM X3650，PC服务器）同上22.554.通信前置服务器（IBM X3650 M2，PC服务器）同上42.5105.磁盘阵列H3C IX3040扩容1个扩展盘柜；16块15000转300GB的SAS盘。122226.路由器H3C SR6604 RT-SR6604+2RPE-X1+2AC650W-H3,LIS-SR6600-STANDARD-H3,R
19、T-HIM-1CPOS/STM1-H3, SFP-FE-LH40-SM1310222.344.67.虚拟带库扩展8个1TB SATA盘；1668TJ-FW4044防火墙采用2U机架设备，4个10/100/1000M BASE-TX接口，4个SFP接口，1个10/100 BASE-TX管理接口。27.214.49启明星辰NDP1000入侵检测防护系统硬件引擎为2U可上架设备， RJ-45口和千兆插口，千兆流量。2234610Banggoo般BG-ADC-1000-2G负载均衡器第四到第七层性能，智能流量管理算法，提高广域带宽利用率80，加速应用处理能力3倍以上。同一平台支持链路、服务器以及全局服
20、务器负载均衡及应用性能加速。2255011瑞星RSW9320千兆级防毒墙标准2U设备，吞吐量6Gbps，集成了Intel最新的双至强四核平台，8G内存，256M CF卡，所有关键部件均采用了冗余、热插拔的设计12626合计25012344.14.24.2.14.2.2 容灾方案序号设备名称设备描述数量单价（万元）合计（万元）1. 1数据库服务器（IBM X3850，PC服务器）Xeon 4核7420 CPU 4颗/16G内存/2*146G SAS硬盘/6个千兆网口 冗余电源/机架式/原厂三年服务210202.应用服务器（IBM X3650，PC服务器）Xeon E5520（2.26GHZ）1颗
21、/4G内存/2*146G SAS硬盘/6个千兆网口 冗余电源/机架式/原厂三年服务22.553.WEB服务器与应用服务器（IBM X3650，PC服务器）同上22.554.通信前置服务器（IBM X3650，PC服务器）同上42.5105.磁盘阵列H3C IX3040NI1Z1SC2140+NI1Z1DE3116+NI1Z1N610B+LIS-IX3040-BASE+SV-PS-INST-NI-IX3000+SV-MA-INSTALL&BS8-3Y-NI，并包括8块500G的SATA硬盘 (NI1M4HD1500)，共4TB。135356.磁盘阵列H3C IX3040H3C存储设备镜像功能Li
22、cense2487.路由器H3C SR6604 RT-SR6604+2RPE-X1+2AC650W-H3,LIS-SR6600-STANDARD-H3,RT-HIM-1CPOS/STM1-H3, SFP-FE-LH40-SM1310122.322.38.TJ-FW4044防火墙采用2U机架设备，4个10/100/1000M BASE-TX接口，4个SFP接口，1个10/100 BASE-TX管理接口。17.27.29.启明星辰NDP1000入侵检测防护系统硬件引擎为2U可上架设备， RJ-45口和千兆插口，千兆流量。1232310.瑞星RSW9320千兆级防毒墙标准2U设备，吞吐量6Gbps，
23、集成了Intel最新的双至强四核平台，8G内存，256M CF卡，所有关键部件均采用了冗余、热插拔的设计1262611.PC计算机-联想ThinkCentre M6000tIntel 酷睿2 双核E8400（3.0G 6M缓存）G412G DDR2 800320G SATA （7200转）独立显卡256M（数字接口）千兆网卡DVDRW声卡 Win XP -PRO中文版、带操作系统一键快速恢复功能19W”LCD防水键盘光电鼠标78小时金牌服务三年保修三年上100.575.7合计167.24.3 平台软件清单服务器操作系统选用Red Hat Enterprise Linux AS5.1，数据库选用
24、Oarcle 10g，中间件选用WebLogic，系统开发工具可采用Eclipse、Netbeans、JDeveloper等。4.3.1 部中心配置方案序号设备名称设备描述数量单价（万元）合计（万元）1.PC服务器操作系统Red Hat Enterprise Linux AS5.1101.5152.中间件WebLogic企业版1CPU无限用户数120203.Oracle数据库Oracle数据库10g企业版 50用户数125 254.Oracle RAC组件RAC双机负载组件 50用户数130305.备份软件扩展2个oracle 数据库选件；2个linux 客户端选件。11010合计1004.3
25、.2 容灾方案序号设备名称设备描述数量单价（万元）合计（万元）1.PC服务器操作系统Red Hat Enterprise Linux AS5.1101.5152.中间件WebLogic企业版1CPU无限用户数120203.Oracle数据库Oracle数据库10g企业版 50用户数125 254.Oracle RAC组件RAC双机负载组件 50用户数13025合计855. 经费预算55.1 部经费预算序号项目名称项目描述合计（万元）1.硬件费用包括2台数据库服务器，2台应用服务器，2台Web服务器，4台通信前置服务器，1个磁盘阵列，1台路由器，1台防火墙，1台入侵检测防护系统等。2242.软件
26、费用包括10套Red Hat Enterprise Linux，4套WebLogic企业版，1套Oracle数据库10g企业版，1套Oracle RAC组件等。1003.集成费用按软硬件总价的8%28合计3785.2 省厅经费预算每个省厅至少需要配置的软硬件和通讯线路：序号设备名称设备描述数量单价（万元）合计（万元）1.数据库服务器（IBM X3650，PC服务器）Xeon E5520（2.26GHZ）2颗/2G内存/4*300G SAS硬盘/2个千兆网口 冗余电源/机架式/原厂三年服务13.53.52.应用和Web服务器（IBM X3650，PC服务器）Xeon E5520（2.26GHZ）
27、1颗/2G内存/2*146G SAS硬盘/2个千兆网口 冗余电源/机架式/原厂三年服务1223.路由器H3C MSR20-204个E1接口，2个百兆以太网接口11.51.54.交换机H3C S2126-EI24个百兆以太网接口10.40.45.RSW-1300防病毒网关独立硬件产品，标准1U设备，吞吐量1Gbps， Intel 双核平台，1G内存，512M CF卡。1556.TJ-FW500ARP机架式百兆防火墙，兼具防火墙和流量控制、VPN、流量管理等功能于一体。能通过Web浏览器或CLI（命令行）来修改和配置。15.85.87.启明星辰NDP2001U可上架设备，RJ-45接口，百兆流量。
28、18.78.78.操作系统软件Redhat linux服务器软件标准版20.651.39.Oracle数据库Oracle10g标准版（10用户）12.82.810.中间件WebLogic server 标准版 ESL15.25.211.省厅到部的长途线路1联通SDH 2M带宽（单价是年租费用）13.63.612.省厅到部的长途线路2电信SDH 2M带宽（单价是年租费用）13.63.613.集成费软硬件设备总价的8%计取13.63.6合计47说明：以上设备是建议配置，如果省厅已有可替代设备，可以直接利用。5.3 中心经费预算每个中心需要配置硬件和通讯线路：序号设备名称设备描述数量单价（万元）合计
29、（万元）1.数据库服务器（IBM X3650，PC服务器）Xeon E5520（2.26GHZ）2颗/2G内存/4*300G SAS硬盘/2个千兆网口 冗余电源/机架式/原厂三年服务13.53.52.应用和Web服务器（IBM X3650，PC服务器）Xeon E5520（2.26GHZ）1颗/2G内存/2*146G SAS硬盘/2个千兆网口 冗余电源/机架式/原厂三年服务1223.路由器H3C MSR20-204个E1接口，2个百兆以太网接口11.51.54.交换机H3C S2126-EI24个百兆以太网接口10.40.45.RSW-1300防病毒网关独立硬件产品，标准1U设备，吞吐量1Gb
30、ps， Intel 双核平台，1G内存，512M CF卡。1556.TJ-FW500ARP机架式百兆防火墙，兼具防火墙和流量控制、VPN、流量管理等功能于一体。能通过Web浏览器或CLI（命令行）来修改和配置。15.85.87.启明星辰NDP2001U可上架设备，RJ-45接口，百兆流量。18.78.78.操作系统软件Redhat linux服务器软件标准版20.651.39.Oracle数据库Oracle10g标准版（10用户）12.82.810.中间件WebLogic server 标准版 ESL15.25.211.中心到部的长途线路1联通SDH 2M带宽（单价是年租费用）13.63.61
31、2.中心到部的长途线路2电信SDH 2M带宽（单价是年租费用）13.63.613.集成费软硬件设备总价的8%计取13.63.6合计47说明：以上硬件设备是建议配置，如果中心已有可替代设备，可以直接利用。6. 设计需求随着保障性住房贷款数据集中监管处理的实施，可以预计，监管系统的业务运作、管理将越来越依赖于计算机网络系统的可靠运行。监管系统业务数据的连续性以及业务数据的完整性、正确性、有效性，会直接关系到各部领导的生产、经营与决策活动。一旦因自然灾害、设备故障或人为因素等原因引起计算机网络系统停顿导致信息数据丢失和业务处理中断，将会造成巨大的经济损失和声誉损害，受到致命的打击。一旦实施监管数据集
32、中化，将必须严格遵照公安部信息系统安全等级保护基本要求三级的安全保护要求，建立安全，可靠，高效及可管理的监控系统，以保证数据集中处理系统的运行安全。7. 设计目标677.1 安全性 建设部信息中心和各下级机构网络相连，要防止远程网络节点对主干局域网的非法访问，保证系统的安全性不受侵犯，保护数据不被非法窃取、篡改或泄露，并能防止计算机病毒通过内部网络侵入。12345677.17.2 可靠性 高度的可靠性，网络在连接失败时能有迂回路由，并有效地消除单点失效的隐患。网络具有足够的通信带宽，对数据通讯高峰有预先的估算，并对通讯带宽留有一定余量，络有备份路由方案。核心系统将采用容错技术或设备级的备份保证
33、网络系统的正常工作，各个节点之间的连接分配充足的带宽，线路有备份，可以满足大数量传输的特殊需要。 7.3 高效性 为主机系统、应用系统、数据库系统提供良好的网络平台，保证应用系统的反应速度不会因为网络性能的原因而降低。网络应该保证数据包能够高效、快速、准确地发送到目标主机，同时在广域网上尽可能少地占用网络资源。通过选用高性能的交换设备和在整个广域网采用OSPF内部网关协议便可实现链路负载这一要求。 7.4 可管理性需求 应易于管理和维护，并且便于制定网络规范和选用网管软件。另外，还应考虑到关键设备的兼容性，最好选用同一家厂商的交换机和路由器产品。先进性与实用性结合,设计时效年限至少为五年,充分
34、利用设备的扩充能力可保证十年的设计时效。8. 方案设计88.1 核心系统设计网络的可靠性和稳定性是极为重要的，一旦网络系统崩溃，损失会很大。从而，精确、不间断的数据传输与存储变得十分重要，系统应追求极高的可靠性，具有一定的容错能力。局域网主干网络设备（如：交换机，防火墙，路由器及系统主服务器）应配置不间断电源（UPS），所有服务器节点分别连接在不同的局域网主备设备上。采用两台四路服务器，一台光纤存储和两台光纤交换机组成。这是一种双链路冗余的光纤存储解决方案，每台服务器均配置1块双通道的FC HBA卡（每个卡含2个FC口），通过光纤线缆分别连到两台冗余的光纤交换机上，2台光纤交换机再分别连到磁盘
35、阵列的两个冗余控制器上。服务器间采用连接“FC心跳线(光纤心跳线)”方法保证主服务器系统与备用服务器系统的联系。一旦“FC心跳线(光纤心跳线)”信号表明主机系统发生故障，或者是备用系统无法收到主机系统的“FC心跳线(光纤心跳线)”信号，则系统的高可用性管理软件（双机软件）认为主机系统发生故障，立即令主机停止工作，并将系统资源转移到备用系统上，备用系统将替代主机发挥作用，以保证网络服务运行不间断。8.2 网络连接方式路由器是广域网络主干设备，采用电信和联通的同步数字线路（SDH）和容灾中心，直辖市中心，省级监管部门，地市级中心相连。灾备中心独立于通讯主干网，也采用电信和联通同步数字线路（SDH）
36、做备份线路。当主干SDH线路（电信SDH）中断后，建设部信息中心主干路由器会自动进行切换至备份路由器（联通SDH）。同样，当分支机构和容灾中心的线路（电信SDH）出现中断情况时，路由器也会自动切换（联通SDH），连接建设部信息中心。整个广域网采用OSPF内部网关协议。OSPF的特点是支持多厂商设备，并使用驻留在每个路由器中相同的拓扑数据库，对拓扑形式的改变能提供快速的聚合；通过划分区域(AREA)来进行路由划分，减少不必要的路由汇总，区域边界路由器(ABR)在区域之间交换信息。通过OSPF路由协议中的COST值实现链路不等价负载均衡，使数据优先使用电信或者联通SDH线路传输。8.3 服务器设计
37、1231.2.3.1.2.3.123456788.18.28.38.3.1 WEB服务器操作系统：Red Hat Enterprise Linux AS 5.1数量：2台开发软件：系统配置：Xeom E5520/4G 内存/2*146G硬盘磁盘阵列：Raid 0负载热备方式： LVS做集群 Keeplived热备系统分区情况：目录（内容）Swap（虚拟内存）/tmp（临时文件）/var（缓存）/usr(用户目录)/home (开发环境)硬盘使用8G10G10G50G200G1233.11.2.3.3.1.8.3.2 应用服务器操作系统：Red Hat Enterprise Linux AS 5
38、.1数量：2台开发软件：系统配置：Xeom E5520/4G 内存/2*146G硬盘磁盘阵列：Raid 0负载热备方式： LVS做集群 Keeplived热备存储环境：将磁盘阵列/sd2目录挂载到本地磁盘下系统分区情况：目录（内容）Swap（虚拟内存）/tmp（临时文件）/var（缓存）/usr(用户目录)/home (开发环境)硬盘使用8G10G10G50G200G1233.13.28.3.3 数据库服务器操作系统：Red Hat Enterprise Linux AS 5.1数量：2台开发软件：系统配置：Xeom 7420/16G 内存/2*146G硬盘磁盘阵列：Raid 0负载方式： R
39、AC存储环境：将磁盘阵列/sd1目录挂载到本地磁盘下系统分区情况目录（内容）Swap（虚拟内存）/opt（oracle程序）/var（数据分区）/(系统目录)硬盘使用32G50G200G20G123456788.18.28.38.3.18.3.28.3.38.3.4 通讯前置服务器操作系统：Red Hat Enterprise Linux AS 5.1数量：4台开发软件：系统配置：Xeom 5520/4G 内存/2*146G硬盘磁盘阵列：Raid 0负载热备方式： LVS做集群 Keeplived热备目录（内容）Swap（虚拟内存）/tmp（临时文件）/var（缓存）/usr(用户目录)/ho
40、me (开发环境)硬盘使用8G10G10G50G200G4.5.6.7.8.8.1.8.2.8.3.8.3.1.8.3.2.8.3.3.8.3.4.8.3.5 磁盘阵列操作系统：Red Hat Enterprise Linux AS 5.1数量：1台开发软件：系统配置：1个扩展盘柜/16*300G硬盘磁盘阵列：Raid 5目录（内容）Swap（虚拟内存）/sd1（数据库备份文件）/sd2（电子文档）/sd3 (其他存储应用)硬盘使用32G2T200G2T8.4 安全设计1234123456788.18.28.38.48.4.1 系统安全 在监管系统中，采用了六级安全机制：路由器级、硬件防火墙级
41、、网管级、终端级、数据库级、应用级，涵盖了从物理层到应用层的所有范围。路由器级 第一道安全机制采用路由器实现RFC地址过滤，完成禁止非法地址的访问控制功能。限制路由器端口速率，禁止一些不必要的系统服务，同时过滤一些关键字防止入侵。防火墙级 采用硬件防火墙产品，主要优点在于，通过端口安全级别，更好的支持多数据区域访问限制。通过屏蔽内部网络结构，封档部分端口或IP地址的网络IP包，由此来保证系统的安全。网管级 利用交换机的网管功能，划分VLAN。可以将不同业务的终端分配到不同的网段上，在优化网络流量的同时，也限制了彼此网段的访问。终端级 服务器采用冗余磁盘阵列RAID技术，如RAID5/1/7/0
42、+1及军用级别RAID6。使用基于主机的网络入侵检测系统及统一的网络版杀毒软件。数据库级（ORACLE） ORACLE支持维护管理数据库服务器、各种数据库设备，对象( 包括表 )，用户及拥有的权限等，建立具有不同访问权限的多种类型的用户组，并能对用户进行分组授权。应用级 利用网络设备提供的访问控制过滤（AccessList Control/ Extend AccessList Control）组件，可以对网络资源进行有效安全的管理。其中AccessList(权限列表)针对数据包的目的网络地址，通过IP地址的过滤完成访问控制，包括网段和主机地址；Extend AccessList（扩展权限列表）针对数据包的源地址和目的地址的组合，对网络访问进行访问控制，包括网段和主机地址。通过在网络设备上设置权限列表，不同IP网段的用户可以访问对方特定的网段或主机，但是拒绝这些用户对整个系统网段和主机的访问。更重要的是利用AccessList Control，不仅可以对不同的端口进行不同的访问控制，同时还可以对不同的应用使用不同的TCP端口进行分类控制。为了建立一套完
