政务专网方案设计建议书.docx
《政务专网方案设计建议书.docx》由会员分享，可在线阅读，更多相关《政务专网方案设计建议书.docx（57页珍藏版）》请在冰点文库上搜索。
政务专网方案设计建议书
XX省党政信息网方案
技术建议书
第一章背景介绍
随着以信息技术为主要标志的科技进步日新月异，以数字化和网络化为主要特征的信息化浪潮正以汹涌之势席卷全球，对人类的未来产生着难以估量的深刻影响。
目前，XX省委、省政府和大部分省直部门均已建成各自部的局域网，但多数省直各部门没有建设纵向网，省市对口部门之间信息长期无法高效交流，信息资源共享性差；少数省直部门使用的拨号与窄带联网的方式进行了省市联网，但传输速率低，安全性差，无法满足数据业务与多媒体传输要求。
为此，XX省信息化领导工作小组决定建设XX省政务信息网纵向网工程，以解决全省政务部门省市联网与信息交换问题。
第二章总体需求分析
2.1网络现状
目前，在XX地区已初步建成省级核心网与政务专网，省委、省政府、省人大与将近100个省直部门，已通过光缆实现了横向网络互联、信息交流和共享，并且在电子政务专网上通过防火墙与因特网隔离。
在XX市区铺设了独立的光缆线路约100公里，形成了4个一级节点（省委大院、省网管中心、省审计厅、XX大学）和若干个二级节点；一级节点之间形成了光缆环路，一级节点和二级节点之间形成星型联接；一级节点或二级节点至省直各部门之间铺设了6芯光缆，其中2芯光纤用于接入核心网，2芯光纤用于接入电子政务专网，2芯光纤备用。
另外还有部分单位尚未铺设光缆，计划租用电信运营商的现有光芯。
2.2总体目标
省政务信息网电子政务应用平台建设的主要目标是：
建立一个开放的、基于标准的电子政务统一应用平台，实现信息交换和资源共享，面向公众提供服务，增强各部门工作的透明度。
分别支持数据、语音和视频业务，运行各部门的业务系统，实现各网间的信息交换和资源共享，同时建立完善的信息安全体系和相应的备份系统。
本期应用平台的建设本着先易后难，逐步推进、逐步完善的原则：
总体规划，统一标准
完成信息报送标准化制定；完成重要业务系统数据库指标体系的制定，为下一步实现异构系统的整合奠定基础。
建立健全信息安全保障体系。
在应用方案的总体设计上，全面规划信息安全保障系统，实现一次登录，即可访问全网授权。
解决政务信息网上信息传输的安全性问题，通过数据加密、权限管理、CA认证等手段防止信息在传输过程中被窃取、篡改、偷看、越权等问题，同时应防止冒名和抵赖。
建立终端安全监控系统，防止因开后门而导致全网的安全漏洞的产生。
2.3工程概述与主要建设容
XX省政务信息网纵向网分为两个物理网：
XX省政务信息网纵向网政务核心网：
简称核心网；
XX省政务信息网纵向网政务专网：
简称政务专网；
联接省委、省政府、省人大、省政协和省直各部门的网络平台即为省级统一网络平台（包括省级核心网网络平台和省级政务专网网络平台）。
联接市委、市政府、市人大、市政协和市直各部门的网络平台即为市级统一网络平台（包括市级核心网网络平台和市级政务专网网络平台）。
核心网与政务专网之间实行物理隔离，省级核心网络平台与市级核心网络平台连接，省级政务专网网络平台与市级政务专网网络平台相联接，形成XX省政务信息网纵向网（物理上为核心网纵向网和政务专网纵向网）。
设区市建设围：
市级网络平台与省级网络平台联网设备、视频会议设备、IP网关设备由省网管中心投资建设。
本次工程的主要建设容如下：
1、构建省、市专网网络平台，实现省专网网络平台与市专网网络平台之间的互联互通。
2、构建省、市政务专网网络平台，实现省政务专网网络平台与市政务专网网络平台之间的互联互通。
3、在专网上建设IP（VOIP）系统、电子系统。
4、在政务专网上建设电子系统、公文交换系统、CA系统、门户系统、IP系统、IPTV系统、视频点播系统。
5、建设（改建）政务信息网信息发布、信息交换和信息共享应用平台。
第三章政务专网方案设计
3.1设计思想
政务专网是非涉密网，本方案的总体设计思想是以核心网的应用需求（详细需求见下文）为指导，力求为XX省党政机关提供一个安全、先进、灵活，高带宽、高可靠性的多业务涉秘网络平台。
使得XX省政务网能够基于这个平台，实现不同部门机关之间安全高速的数据共享，尽可能的简化办公流程，提高办公效率；并为今后新的业务发展，迅速推出相应的新业务打好良好的基础。
为保证多种基于宽带的服务和新型IP技术服务，本方案将从多种业务服务的角度出发，建立多层次的服务业务平台。
政务专网的详细应用需求如下：
可以为某一系统提供专用的虚拟通信通道，组建系统纵向的互联网络，以与提供横向的公共访问通道，如：
－为省政府提供与各部门通信的办公虚拟通道
－为省直各部门提供与部门纵向通信的虚拟通道
－为IP服务提供公共的虚拟通信通道，并保证IP的QOS要求。
－WWW访问服务等
具体体现在：
1.各地市部分：
各个厅、局单位可以访问各地市各厅、局公共服务器，访问权限由各厅、局单位控制。
2.省中心部分：
a.各省厅单位提供服务器，为其下属单位提供信息服务，而限制其它厅级单位的访问。
某些厅、局单位需要与同系统的厅、局单位之间组成VPN，提供主机与主机之间的通信。
b.省厅单位有专有工作站用于与省机要局服务器的访问。
c.各厅、局单位能够访问国家对口单位的服务器。
d.其它需求与各地市部分一样。
1）利用MPLS技术，在公务网的网络平台上为各个机关部门提供虚拟专用网（VPN）服务。
机关部门可以在政务网所提供的网络平台上获得IP网络业务，并合并数据、语音和视频业务。
政务网不仅可以为机关部门提供端到端级别协议（SLA），并保障服务质量（QoS）。
VPN很自然的满足了用户对共享公用基础设施上实现Intranet和Extranet业务的需求。
机关部门可以在作为一个城域网的政务网上得到和在本地局域网中一样的安全性、可靠性、可用性和可管理性的网络服务，而不必每个部门都去建立一套自己的城域连接网络。
目前可以应用多种不同的技术实现VPN，但基于MPLS的IPVPN网络可以很容易地与基于IP的用户网络结合起来。
租用者可与供应商提供的服务无缝结合，不必改变Intranet应用，因为这些网络具有应用通晓性、性且QoS置于网络中。
用户能够使用他们专有的IP地址而无需NAT（网络地址翻译）。
2）利用宽带IP技术，实现网络对语音和多媒体业务的良好支持。
语音和多媒体业务是一种对业务的实时性，安全性和可靠性都有严格要求的特殊业务。
因此在网络的设计和建设上要求能够满足对语音和多媒体业务的支持，针对不同业务提供不同的服务质量。
3）利用有效的网络管理平台，保证网络运行可靠，并为接入单位提供MSP服务。
网络管理平台采用模块化设计的网络管理软件，将其统一在公共的管理框架中，便于管理系统各功能模块间进行管理信息的共享和数据交换。
并且做到管理服务器不但支持单机中央处理模式，也同时支持多服务器分布式处理模式，并能实现从中央处理模式向分布式处理模式地平滑过渡。
如此，可保证网络管理系统能适应网络规模的增长。
在以下章节中将详细介绍这些技术的特点。
3.2政务专网设计原则
政务网作为党政机构网络，有其特殊性，因此网络设计不能与其他城域网完全等同。
在网络设计过程中遵循以下原则
1.安全性
政务网在物理上是完全与外部公网相隔离的专用网络，政务网的信息对外界是绝对的。
因此，网络设计、各类线缆、设备辐射指标应达到相关的安全要求。
2.先进性
政务网作为XX省党政机关的专用网，在一定程度上反映出XX省信息产业的发展状况，在网络方面要求具备当今业界领先的技术水平，以保证当前与今后一段时间的各类应用顺利运行，包括：
网络交换能力、设备冗余能力、IP增值服务等。
3.可靠性
政务网具有其特殊性，某些应用要求高度的稳定性、可靠性，因此要求从各层次的网络设备到数据链路都进行充分的冗余，对于网络运作的系统应进行备份。
4.可用性
网络结构和带宽可以满足当前各种应用的需求；
5.开放标准与可扩展性
网络建设采用开放、成熟的技术标准，以便设备具有更好的兼容性，保证能够在建成后的网络基础上，在不影响当前应用的前提下进行顺利扩展或者平滑升级。
6.可管理性
能够为网络的维护和运营提供强大的基于GUI的管理平台，一方面简化操作、一方面可以实时的监控网络设备的，第三提高故障解决能力。
3.3政务专网建设目标与业务应用需求分析
3.3.1基本要求
XX省政务纵向网政务专网（以下简称为政务专网）必须遵循实用性、可管理性、高安全性、可扩展性、稳定性、先进性等有关原则。
城域网一级节点间采用千兆相连，并可提供2条以上千兆以上端口捆绑功能；一级节点与二级节点间采用千兆相连，用户采用百兆光纤接入，并且用户端交换机满足802.1Q协议，提供VLAN、TRUNKING功能，全网提供MPLSVPN功能，以便为省直部门提供与省委办公厅、省政府办公厅等的虚拟专网通道。
该网络的软、硬件必须具备升级功能，能进行该网络的横向主干带宽和纵向主干带宽的扩充（带宽至少能进行1倍以上的扩大）。
主干环网要有自愈功能。
关键设备要有热备份引擎、关键板卡冗余和链路冗余，1台冷备份冗余。
能有效传输数据、语音和图象，特别是能满足VOIP的传输带宽要求。
所有网络设备必须具有近端和远端管理功能，并由统一的网管系统进行管理。
全网提供MPLSVPN功能。
3.3.2应用系统
1．电子系统
政务专网的电子系统不仅支持SMTP、ESMTP、POP3、IMAP4、MIME等Internet标准协议，支持标准的LDAP目录服务、多域名、列表管理、过滤、抵制垃圾和防杀病毒、Web-Mail等功能，同时必须提供数字证书、数字加密、数字邮戳等功能以保证电子公文传输的实时性与准确性，有效地保护敏感文档，防止他人冒充、偷看、窃取和篡改，避免丢失、收件人抵赖。
该系统可开设不少于5000个信箱。
2．IP系统
省网管中心作为一级节点，各设区市作为二级节点，组成全网IP系统，最大IP用户数2000门。
每设区市配置可提供16门接口网关，提供PCM中继接口，系统具有话音业务承载能力，提供无失真和业务，对时延控制有很强的灵敏度。
3．政务专网应用平台
建设政务专网统一应用平台，实现党委、政府、人大、政协机关之间业务和信息交换分级互联，为党委、人大、政府、政协高层提供直接信息服务；建设政务动态信息资源库，主要包括政务办公系统的非涉密公文、快报、信息参考，部门信息化系统提供的例行报告、综合分析和动态监管信息，重大省情统计分析，社会各界的建议、举报信息、重大突发事件、社会热点、新闻热点等动态信息。
政务专网应用平台上建立全省非涉密公文电子交换系统，改变传统的手工传输工作方式，实现政务部门非涉密公文、信息、会议、督查等主要办公业务的数字化和网络化，公文和信息传输无纸化。
该系统基于WEB界面，具有跨平台性。
可定制标准化非涉密公文模板，提供身份识别功能、压缩传输功能、解压接受功能、收发文管理功能和催办回复功能。
各入网单位可视本单位实际情况，建立部公文运转和查询系统。
4.视频点播
提供领导基于宽带的视频点播服务；实现窄带（采用流媒体格式）视频服务应用，支持实时播放功能。
5.IPTV
建设IPTV系统。
6．省直部门本行业信息应用系统
省直有关部门将在该网上建立信息应用系统，省直部门通过政务专网与市级对口部门进行信息交换，形成省直各行业、各系统的虚拟行业纵向网。
这样的虚拟行业纵向网一般将有约60个（由省直个部门自行建设）。
7．省直各部门横向信息交换应用平台
3.4政务专网总体网络设计描述
根据以上政务专网网络设计思想与应用需求，鉴于政府各部门的特殊安全性要求，在总体建设上采用业务与网络分层构建、逐层保护的指导原则，在逻辑层次与业务上，专网的构建实施如下分配：
专网互联支撑网络
安全保障系统
网络业务应用
图3-1
互联支撑层是专网的基础，由网络中心统一规划、构建与管理，支撑层利用宽带IP技术，保证网络的互联互通性，提供具有一定QOS的带宽保证，并提供各部门、系统网络间的逻辑隔离（VPN），保证互访的安全控制；
安全保障系统是指通过认证、加密、权限控制等技术对专网的上的用户访问与数据实施安全保障的监控系统，他与互联支撑层相对独立，由网络中心与各部门单位共同规划，分布构建，如数据加密等措施建议在用户网络处（各部门）处实施；
业务应用层就是在安全互联的基础上实施政务网的各种应用，由网络中心与各系统单位统一规划，分别实施。
根据网络建设目标，专网互联支撑网络组成部分如下图所示：
图3-2
图中专网广域网和各地市宽带城域网，以与将来县级的城域网是政务信息网运行支撑，统一规划构建；而各厅局、单位子网则可在统一标准的基础上分布构建。
为使政务网网络构建与维护简单、层次清晰，对于专网统一构建运行部分，其层次结构分为专网广域网、城域网骨干层、用户接入层三部分，如下图所示。
图3-3
组网设计说明：
1、专网的网络结构可分为三层：
专网广域网、专网城域网骨干层（POP层）、用户接入层。
2、专网广域网将各地市连接为一个支撑整体，设计思路为考虑骨干节点2-3个能形成冗余组网以提高可靠性（一期建设为1个），汇接节点11个（地市），并要考虑将来政务网连接到县级网络的扩展性。
政务网的骨干网络应具有较大的承载能力和扩展空间，选用具有高带宽、高扩展性的传输技术。
如SDH、ATM。
并由光纤线路承载。
3、各地市（与将来的县）城域网为政务网提供宽带IP接入，当前利用以太网技术构建城域网具有最好的性价比。
一期建设为11个地市城域网。
4、使用MPLS技术建设广域主干网络，在各地市间使用MPLSVPN划分隔离不同的行业系统或部门；MPLSVPN延伸城域网骨干层，以获得更好的网络性能；城域网用户接入层使用VLAN划分不同行业系统或部门。
VPN技术为以后的数据安全隔离、网络服务质量保证、多类别服务提供了技术上的保证。
总之，政务专网的网络结构可分为三层：
广域骨干网、城域宽带骨干汇接层（POP层）、用户接入层。
设计思路为考虑广域骨干节点2-3个（一期建设为1个）、广域POP节点11个，城域汇接节点11个，用户接入层节点若干个。
以下详细设计说明将基于这些数据。
3.5专网广域网设计
3.5.1专网广域网拓扑结构设计
专网的广域网建设可有两种拓扑结构，星型结构与星环型结构，如图4-4、4-5所示：
图3-4星型结构
图3-5星环型结构
星型结构特点是结构简单，网络距离、时延固定，便于管理，但中心节点线路与设备端口需求压力大，存在单点故障问题，如要进行灾难备份需要再建设一个备份网；
星环型结构特点是结构有部分冗余，可进行负荷分担，网络可靠性高，并支持灾难备份，中心节点压力相对较小，但管理上相对复杂一些，租用线路多了一条，时延抖动相对较大，需要考虑与符合运营商实际物理网络状况才能获得较好的备份效果。
本着逐步建设的原则，同时保证中心节点的可靠性，在一期工程时使用星型结构，以省中心为全网的骨干节点，但这里进一步在省委和省信息中心分别设立节点作为整个网络的中心，中心的两个节点相互连接，同时对全网进行负荷分担，中心的两个节点都采用高可靠性和高性能的路由器设备。
这种结构仍属于星型结构可以更方便地向星环型多中心骨干节点的网络过渡，同时中心节点本身的可靠性也得以保证。
3.5.2专网广域网组网结构设计
根据目前广域网采用的主干技术与运营商的线路等资源情况，专网广域网的设计方案有3种：
1、采用ATM线路方式；
2、采用非信道化SDH155M（POS）点到点连接；
3、采用信道化SDH（即CPOS）对接；
下面对这几个方案进行分别介绍。
3.5.2.1专网广域网ATM线路方案分析
ATM线路组网方式如下图4-6所示：
图3-6
说明：
1、在物理上使用运营商的155MATM线路。
中心节点设备需要支持多个155MATM接口模块（最大10个），通过多条155M线路与运营商ATM网相连；下面地市分别采用1个155M接口与本地运营商ATM网相连；节点间互联实际带宽根据PVC来设置；在省中心与地市之间利用其它运营商的2ME1线路备份组网，提高网络的可靠性。
2、优点：
在运营商ATM网络中地市与中心节点间实际是通过PVC进行互通，在网络业务流量不大的情况下，可以申请获得小于155M的PVC，带宽可以平滑升级，按照PVC实际提供的流量与端口费用进行计费，会一定程度上降低运行费用，且中心节点设备不一点需要配置10个接口就可以满足通信要求。
由于ATM网络通过全网可达的PVC进行互通，因此可以方便地通过设置多条PVC连接到不同的节点，从而进行链路备份。
3、缺点：
用ATM网络承载IP的效率比较低，特别是在小包情况下，如IP的小包，在PPP链路上只需要16Kbps左右的带宽，而在ATM线路上由于信元税、包截断取整填充等过程，需要44Kbps的带宽；在高带宽需要时，费用会急剧增加超过POS线路。
ATM线路只有少部分运营商能提供，不利于通过运营商的竞争获得运营费用的降低，且覆盖围不够广。
另外，由于运营商的发展方向不在这个上面，其定价、维护力量等方面的措施并不一定会实际降低运营费用。
3.5.2.2专网广域网非信道化SDH线路方案分析
非信道化SDH线路组网方式如下图4-7所示：
图3-7
组网说明：
1、在物理上各节点使用运营商的155MSDH线路。
中心节点设备需要支持至少10个155MPOS接口，通过多条155MPOS线路与运营商SDH网相连，与地市节点间点到点对接；下面地市分别采用1个155M接口与本地运营商SDH网相连；节点间互联实际带宽是155M。
在省中心与地市之间利用其它运营商的2ME1线路备份组网，提高网络的可靠性。
2、优点：
SDH线路承载IP业务效率高，组网结构简单、维护方便，安全性高；覆盖围广泛、运营商广泛支持，服务好，技术非常成熟。
3、缺点：
点到点连接对中心设备端口要求多，会提高设备投资；只有155M的这一个计费带宽，在网络业务流量不是非常大的情况下，会造成一定的设备能力闲置，不能很好降低运行成本。
实施备份组网需要再拉线路。
3.5.2.3专网广域网信道化SDH线路对接方案分析
信道化SDH（CPOS）线路对接组网方式如下图4-8所示：
图3-8
组网说明：
1、在物理上各节点使用运营商的155MSDH线路。
中心节点设备需要支持155MCPOS接口，通过多条155MCPOS线路与运营商SDH网相连，每个接口与地市节点间点到点对接；下面地市分别采用1个155M接口与本地运营商SDH网相连；节点间实际通信带宽可以通过电信捆绑的2M通道数，在1×2M－63×2M间平滑变动。
在省中心与地市之间利用其它运营商的2ME1线路备份组网，提高网络的可靠性。
2、优点：
SDH线路承载IP业务效率高，组网结构简单、维护方便，安全性高；覆盖围广泛、运营商广泛支持，服务好，技术非常成熟，通过电信捆绑信道数，可以根据实际需要选择带宽，降低线路租用费用，一定程度降低运行费用，且带宽可以平滑升级到155M。
3、缺点：
点到点连接对中心设备端口要求多，而且一般设备CPOS接口比较贵，会增加设备投资；运营商开展这个业务需要附加设备，初装费用比较高；实施备份组网需要再拉线路。
3.5.2.4专网广域网IPOVERSDH线路组网方案分析
IPOVERSDH线路组网方式如下图4-9所示：
图3-9
组网说明：
1、在物理上广域网各节点使用运营商综合传输设备提供的IPOVERSDH线路，主要提供100M以太网接口。
中心节点路由设备需要支持100M以太网路由口，通过多条100M以太网线路与运营商SDH网相连，每个接口与地市节点间点到点对接；下面地市分别采用1个100M以太网路由口与本地运营商SDH网相连；节点间实际通信带宽可以通过运营商捆绑的2M通道数，在1×2M－48×2M间平滑变动。
在省中心与地市之间利用其它运营商的2ME1线路备份组网，提高网络的可靠性。
2、优点：
IPOVERSDH线路,承载效率高，接口为100BaseFX,投资节省，技术成熟，维护方便，组网结构简单，安全性高；通过运营商捆绑SDH的信道数，可以根据实际需要选择带宽（1×2M－48×2M），降低线路租用费用，一定程度降低运行费用，且有效带宽可以平滑升级到96M，保证将来对带宽的需要。
3、缺点：
点到点连接对中心设备端口要求多，会增加设备投资；运营商支持不是很多，不利于竞争谈判降低线路费用；点到点之间互联不能象PPPOVERPOS线路提供PAP/CHAP认证,最终能提供的最高带宽没有POS线路高；实施备份组网需要再拉线路。
在充分研究了目前业界对设计一个广域网（WAN）所采用的各种网络主干技术，并充分考虑到营运网络主干技术发展的主流和趋势后，建议：
1、如果从运营成本考虑，物理传输平台可以使用155MATM线路，其按照PVC计费有利于初期流量小时降低运行费用；但其承载效率比较低，对一些业务（如IP）带宽占用会急剧增加，每BIT承载成本与其它线路比也没有优势，以后扩容将会受到限制，如果以后流量增大，需要更多带宽时，ATM运行成本会比POS高；
从技术发展前景与传输效率考虑，物理传输平台也可以采用POS线路技术,其承载效率高，安全性好,带宽高,可实现线路备份,可扩展性强，是运营商发展方向，具有多家运营线路，有利于降低综合成本，所以建议采用POS技术；
另外，也可以采用100M以太接口连接的IPOVERSDH组网，设备费用、线路租用费用均会较低，但最终在同一光纤、接口资源上提供的带宽没有POS线路的高。
2、逻辑网络连接上采用最终可向环带链的组网拓扑发展。
在将来的目标网络中建议重要节点如XX与等地采用环形连接，其余节点采用树型连接的组网方式，这样既可以节省费用，冗余性也得以保障。
可在保证网络的传输性能的情况下，又节省费用。
在本期暂时只考虑省中心节点的冗余设计即上图的R1处实际有两个路由器，其他节点按负荷分担原则，连到中心的两个节点。
3、具体实施可以采用核心高端路由器R1上的POS口连接，这种技术可让IP数据包直接在光纤上传输，既大大提高在以IP应用为主的网络传输的效率和性能，又不额外添加光纤终端设备。
4、第一期工程的实施中，XX节点作为地市使用1000M的以太网接入专网，而其它的地市R2、R3等可以使用POS155M接入；
另外，如果考虑专网流量相对较小，E1线路捆绑可以降低运行费用，但会增加故障点。
5、在骨干节点可以采用现代光纤传输技术POS，可以基于标准的SDH设备实现硬件级的环路保护。
6、在省中心与地市节点之间采用其它运营商提供的专用线路（如2ME1）作为备份，可以进一步提高网络的可靠性，XX节点采用FE光纤接入骨干网核心路由器作为备份。
7、路由技术上采用EBGP、OSPF、RIP、静态路由协议并加入MPLS，构成MPLSVPN网络。
并划分若干自治区域，便于管理和减少路由发布的数量和规模。
同时每个区域的边界路由器作为MPLS网络的PE设备，并在上面划分VPN，做到VPN间的信息严格隔离。
8、省、地市的PE间互联采用租赁电信155MPOS电路资源的式进行互联。
县级PE与地市之间，由于POS骨干网不完全覆盖到县，因此可利用县与地市间的E1传输线路，将县PE通过1-4条E1线路直接接入到地市SDH光传输设备的E1接口上，实现互联，同时各条E1间可采用路由负载分担。
9、根据本项目一期建设的实际情况，主干节点只有1个节点，主干结点与汇聚节点之间的采用1000M光纤以太网。
考虑到网络以后的扩展性，骨干节点的选型应具有平滑的向光纤技术过渡的能力。
10、必须考
升级会员 