武汉热线二期扩容网络结构实施方案-(2).doc

9728ca362f211c02cb678dedabdde0e7.doc 武汉热线二期扩容网络结构实施方案1 网络规划和设计目的和总体要求： 整个工程中要求网络技术与国际同步，在拓扑结构上具有开放性和可扩展性，同时简明清晰；在稳定性方面，要求对关键网络设备和网络路由具有冗余，无结构上的单点故障点，骨干上要有较强的承载能力；在功能上应满足基本的互连互通及漫游。11广域网设计网络现状 “武汉热线”目前的骨干网是指由洪山、汉口和鲁巷三个节点组成的核心广域连接。目前这三个节点分别由两台CISCO7513和CISCO7507骨干路由器组成骨干连接，在三个路由设备上插ATM卡并利用OC-3互连，中继线速率为155Mbps（可参看网络拓扑图）。此次骨干网扩容将针对目前网络存在的问题，提供层次化的扩容设计方案，在解决目前网络瓶颈、提供高质量服务和可靠性服务的同时，既能保护现有投资，最大限度地利用现有设备；同时提高骨干传输速率并平滑过渡、升级到未来宽带网络。112 网络设计方案 研究了目前武汉热线网络所遇到的问题，充分考虑到武汉热线未来的 发展，我们认为武汉热线的骨干网络必须具备以下特点：1) 骨干网络的高可靠性 (High Availability)2) 骨干网络的高性能 (High Performance)3) 骨干网络的高可扩展性 (High Scalability) 4) 骨干网络的高品质的网络服务质量 (QOS)基于上述考虑，我们建议在保护现有投资的前提下，对武汉热线主干网络采用较大幅度的网络重构。最终网络拓扑如下图所示。 在上图所描述的网络结构中 ： 我们建议采用Cisco 最新一代第三层大型交换路由器Gigabit Switch Router (GSR) 代替原有的Cisco 7513来组成主干核心网络。建议汉口、武昌各放两台GSR12012, 同时汉口、武昌GSR用光纤直接连接。我们在这里建议采用GSR12012是基于分布式路由结构的、提供第三层千兆位交换能力的大型交换路由器。提供12 槽口，背板交换带宽为15Gbps - 60Gbps。可以通过增加背板交换矩阵，使得背板交换能力达到60Gbps。 根据设计，背板的交换能力将来可以扩充到240Gbps。 GSR12012 能支持多达44个155Mb STM-1 或者11个622Mb STM-4的接口同时支持ATM和Packet over SONET/SDH(POS)技术。鉴于武汉地区的地理和网络用户分布的特点，结合具体的网络硬件和人员条件，我们建议改变原有的三环核心结构，将武昌洪山和汉口作为两个核心节点，在两点间用GSR高速骨干相连，数据中心（网络中心）仍设在武昌洪山，POP（网络用户接入点）分布于汉口和洪山，GSR以下均通过Catalyst8500系列三层交换机以千兆方式接入;鲁巷作为一个ICP（信息制作中心）用Catalyst8510以千兆以太网接入洪山Catalyst8540主交换机。三、 为保证骨干网络的可靠性，我们建议所有节点都采用双连。两个核心节点各采用两台GSR避免单点故障。汉口的PoP节点分别连到汉口2 台GSR 上，武昌各点也分别连到武昌的2台GSR上，这样确保网络的冗余可靠性。CISCO 路由器支持HSRP协议，可以以每个节点的两台交换机互为备份， 当一台出现故障 时，其支持的应用很快转移到另一台交换机上；而该交换机恢复工作时，系统又能很快的恢复负载平衡。 四、 以POS技术代替ATM 技术作为主干网络连接。四台GSR之间通过光纤实现POS连接，连接带宽可以用622Mbps OC12链路。武汉 Online 原来所有的7513和7507均退到边缘用于专线接入; 各POP服务网络通过两台Catalyst8500系列的交换机以千兆于GSR 相连。这样,整个武汉Online 的骨干网就形成了以GSR为中心的基于POS的骨干网。POS 技术将IP报直接封装于SDH 帧中，是更加适合于ISP 提供高速IP 服务的一种新的宽带技术。对于IP业务来说 ，POS 相对于ATM技术有如下几个优点：(1) 实施简单快捷，总体拥有成本低，收回投资周期短；(2)节省信头开销，线路利用率高；(3) 网络结构简单，减少设备重复投资；(4)进一步提高带宽的潜力很大；(5)符合INTERNET 的业务特征，减轻网络设备的额外负担。同时，POS技术提供高的QOS和高可靠性。 五 、 在主干网络中，建议结合使用OSPF和BGP4 路由协议，使得网络路由迅速收敛，也保证一条网络链路断掉后，会迅速找到另外一条网络链路，使网络中断时间最少。稍后将详细论述主干网的路由协议规划。 骨 干 网 络 性 能 分 析 l 整个网络的QOS 上述建议的网络能很好地满足QOS的要求，因为从网络中心讲，GSR 的带宽将是足够的。可以从目前的622Mb ，上升到OC48 2.4Gb , OC192的9.6Gb这样大的BackBone 带宽 ，足以满足各种突发的传输要求 ，从而确保 QoS 。 从分中心端点看，7513和7507 能通过CiscoCommited Access Rate(CAR)软件 机 制 很好地确保网络的QoS,CAR可以完成 QoS的方式是带宽管理机制 ，即可以限制通过路由器某一端口的流量，当某些流量在设定之内，就可以被传输 ，否则被抛弃。这样，无论从网络中心到各分中心，都能提供良好的QOS 保障。l 高的网络性能 整个网络采用Packet Over SONET/SDH 技术，使网络性能从设计角度较大的提高。正如大家所知道，ATM 在传输大容量数据方面是有一定缺陷的，因为ATM采用的是定长cell的传输模式，而数据传输通常是变长的packets ，ATM在每次传输packet的时候，都先将Packets SAR 成cells 。且每一个cells 都要附加一个Header，这样 使的网络带宽实际利用率降低，从而也浪费了一些 宝贵的网络带宽资源 。而Packet over Sonet，则完全克服了ATM 传输数据传输弊端，不需将Packets SAR 成cells ，也无需将传统的IP Packets 进行封装，这样既有效地利用了网络带宽 ，又增加了网络传输的速度，一般统计，155MB ATM传输带宽，真正有效的数据传输只有20MB 120MB，而 155MB OC-3/STM-1的Packet over SONET/SDH ,真正有效的数据传输在120MB-148MB之间，因为Packet over SONET/SDH是直接将数据的packets 在光纤上传输。可见，Packet over SONET/SDH ，在传输数据方面要优于ATM。所以，采用上述以Packet over SONET/SDH的网络结构一定会比现存的网络结构性能快很多。l 网络的可扩展性 在中心采用GSR12012，对武汉online讲，网络扩展性将非常可观。因为GSR12012 ，提供12个槽口，最多可提供44个155Mb POS/ATM，或11个622Mb POSIP/ATM，完全可以满足主干网络将来的进一步扩展。将来，POS技术将支持在WDM光纤网上传输，将光纤的传输能力提高几十倍。 区域级网络结构 在每一个POP节点，都有两台交换机以千兆以太网与主干网GSR连接。逻辑上武昌与汉口两个核心节点也是区域网POP节点之一，所以一共有两个POP节点与主干网相连。为了避免太大的路由表以及路由广播信息地扩散，在路由协议的设计上要仔细考虑。 在除了核心节点外的每一个POP节点，都设计用两台局域网交换机Catalyst8510 作为本地交换机，以快速以太网提供足够的带宽。交换机与路由器和接入服务器分别进行交叉连接，保证性能且避免单点故障。两台交换机的性能还可以满足未来企业用户接入的需求。将中心机房已有的Catalyst5000移至防火墙后， 来 构 筑 武 汉 热 线 自 己 内 部 的， 安 全 性 要 求 较 高 的 局 域 网 络 ， 例 如 计 费 系 统 ， 网 管 系 统 等 等 。结构图参见下节中核心节点论述。 在这里，主要论述企业网络接入的解决方案。为了充分利用现有的ATM 模块 和现有的ATM 网络，可以利用ATM 网络较大的覆盖性，提供企业网络的接入。 ATM接入形式保证了用户可以充分利用将来武汉热线提供的多媒体业务，使用户真正享受到武汉热线丰富的网络资源。 利用上述现有的网络结构，我们可以扩大用户的网络接入形式，同时可以大量减少DDN 专线用户，使得 PoP 内的路由器的可扩展性大大增强，另一方面，用Frame Relay 替代DDN可以降低用户的接入费用，从而吸引更多的商业用户。路由协议规划 对武汉online 这样大ISP 网络来说，合理地规划网络自治域，选择恰当的路由协议，是一件艰苦但非常重要的工作。随着网络规模的逐步扩大，及早给出一个长远而合理的规划，可以避免积累的问题给网络的性能带来影响。 CISCO路由器支持非常丰富的路由协议，因而可以灵活的按照网络结构和实际需求对路由器协议进行设置，有效的对网络进行优化。 首先，对于域内的内部网关路由协议的选择来说，开放式最短路径路由协议OSPF的分层体系是一个合理的结构。OSPF是一个具有高度扩展性的路由协议，目前武汉热线已经采用了OSPF 协议，因而继续采用OSPF 协议有利于网络的平滑升级。但现行网络的OSPF 规划中，所有设备处于一个自治域内，不利于网络的扩展。我们建议将主干4 个GSR 路由器设为Area 0 ，而武昌部分和汉口部分的POP 路由器则分别设为Area1和Area 2 ，形成真正的分层结构 。随着将来POP节点的进一步发展，可以划出新的OSPF自治域。这种分层构架的OSPF体系结构为网络的扩展提供了较高的能力。 对外部网关路由协议的规划来说，接入CHINANET的两台路由器端口可以沿用现在的Default Gateway 方式，也可采用BGP4协议。核心节点局域网设计：121 局域网络现状： 现有“武汉热线”网络结构中，局域网交换机Catalyst5000成为网络核心设备。既与CISCO7513上连作为全网络流量出口，又连接局域网内各种服务器设备，同时又与169网关设备连接，另外提供专线用户的路由器也连接其上。在大用户量的情况下，其流量交换的负荷相当大，同时无法保证其可靠性，如果这台设备出现故障，全网即可瘫痪。本次扩容工程设计方案将考虑采用包交换能力（PPS）大的局域网交换机设备，以提高数据交换能力；同时采用双交换机结构，减轻单台设备的负荷，同时提供网络内部部分重要设备的路由备份；保证网络的高可靠性连接，一旦一台局域网交换机出现故障，各种业务服务器仍可通过运行正常的交换机进行数据交换。调整各子网内部设备组成，以减少VLAN之间的互通流量。具体实施方案中，考虑到网络将来向宽带方向的发展，确保网络数据的高速传输，同时又兼顾到现有设备的利旧因素,而性能与安全常常成为互相矛盾的一对要求 。本期工程将采用综合性的方案来解决安全性问题而保证网络的总体性能。武汉热线在武昌设数据中心点。在网络中心要解决以下问题 ：）高可靠性局域网）高可靠性服务)接入模块）中心网络结构和安全1） 高可靠性局域网： 鉴于目前局域网设备的非可靠性状况，本次扩容建议做可靠性设计方案，对洪山和汉口合作路两个网络数据中心及POP接入点作较为完善的规划，同时考虑现有设备的利用：由于Catalyst5000设备的总线带宽为1.2GB，包交换能力只有1MPPS，而其插槽数量较少（4个slot），不利于将来网络的进一步扩展。建议将此设备用做拨号用户的接入设备，可提供较为充裕的以太网端口，以减少占用骨干局域网交换机的端口，对鲁巷的Catalyst5000建议加上一块RSM交换模块，增加第三层交换功能,同时于Catalyst8510相结合,增加其接入以太网端口。采用较强的包交换能力（PPS）和具有第三层交换能力的局域网交换机： 在洪山、汉口两节点POP及洪山数据中心分别采用两台具有第三层交换功能的局域网交换机，建议用Cisco 公司的 Catalyst8510核心交换机，其可利用插槽数量为5个，提供POS和ATM的接入，将来还可提供GigaBit以太网连接能力，直接连入核心GSR。采用上述设备可做到： . 部分设备负载分担，可减轻局域网核心交换机的负荷； . 交换机的冗余性，同时支持硬件和网络冗余。电源和线路模块均可带电热插拔。另外CISCO IOS提供软件冗余性能结合Server和核心路由的备份冗余保证全网无单点故障。 . 可保证每个子网VLAN有高速上行链路，能够提供大型网络所需的带宽和扩展性。做到高可靠性、容错设计； . 提供第三层交换功能，减轻核心路由器的路由负担； . 提供多种连接方式，如FastEthernet、FastEtherChannel、千兆以太网、ATM、POS(Packet Over Sonet); 原Cisco7513退下作为POP节点的接入设备，提供丰富的专线接入手段。2）高可靠性服务：2.1 用户管理、计费服务器和WWW/DB服务器是全网重要的设备，需采用高可靠性设计方案如HA，以确保所提供服务的高可靠性； -建议用户管理、计费服务器采用原方案设计，即两台SUN E3000带磁盘阵列， 采用HA的方式，保证在一台设备出故障的情况下能自动切换到另一台； -WWW/DB仍采用上述HA方式；-原设备SUN E3000均为单CPU、167MHZ，建议本次工程增加CPU的数量和主频，建议主频升为336MHZ，CPU暂升为四个； 为保证用户快速访问WWW信息，减少出口中继流量，设置Cache Server； -数据中心（洪山节点）设置Cache Server，并采用主备方式，以满足大用户量下用户访问WWW站点，节省出口带宽；-配置性能相对较高的硬件设备以更好的实现Proxy或Cache Server功能要求；2.2 CacheEngine CacheEngine 在 局 部 的 网 络 上 或 POP 处 实 现 了 WEB 内 容 的 网 络 缓 存 共 享 ， 从 而 消 除 了 同 一 内 容 在 广 域 网 上 的 重 复 传 输 ， 有 效 利 用 带 宽 并 减 少 WEB 服 务 器 的 负 载 。 在 CISCO 提 供 该 产 品 之 前 ， ISP 早 就 注 意 到 了 网 络 缓 存 的 重 要 性 并 通 常 采 用 PROXY SERVER 来 用 作 页 面 的 缓 存 ， 这 种 方 法 为 INTERNET带 来 了 很 大 的 好 处 ， 但 也 给 用 户 带 来 了 一 些 不 便 ， 因 为 用 户 必 须 知 道 、 记 住 这 些 PROXY SERVER 的 名 字 和 有 关 的 端 口 号 ， 对 于 不 同 的 网 址 ，也 许 还 需 要 重 新 配 置 不 同 的 PROXY SERVER， 非 常 麻 烦 。 这 种 缓 存 方 式 在 可 靠 性 方 面 也 存 在 不 少 缺 陷 。 CacheEngine 则 作 为 专 门 的 网 络 缓 存 ， 具 有 许 多 的 技 术 优 势 。 CacheEngine 通 过 快 速 以 太 网 与 路 由 器 连 接 。 在 运 行 过 程 中 ， 当 用 户 访 问 某 一 页 面 时 ， 路 由 器 根 据 缓 存 控 制 协 议 ， 将 WEB 请 求 重 定 向 到 CacheEngine 上 ， 如 果 CacheEngine中 有 该 页 面 内 容 ， 则 直 接 将 该 页 面 送 给 用 户 ， 若 没 有 ， 路 由 器 再 将 请 求 传 给 相 应 的 WEB 服 务 器 ， 并 在 WEB 服 务 器 返 回 页 面 给 用 户 时 ， 同 时 将 该 页 面 传 给 CacheEngine 以 备 下 一 次 或 下 一 位 用 户 同 样 请 求 时 使 用 。 CacheEngine 支 持 三 种 数 据 刷 新 方 式 ： 强 行 刷 新 、 定 时 刷 新 、 和 相 对 时 间 刷 新 。 WEB 服 务 器 对 于 实 时 数 据 (如 股 票 信 息 )可 以 规 定 不 准 进 行 缓 存 而 强 行 刷 新 每 次 数 据 。 在 定 时 刷 新 模 式 下 ， 服 务 器 对 准 实 时 数 据 (如 气 象 消 息 )则 规 定 刷 新 时 间 ， CacheEngine将 根 据 该 时 间 要 求 刷 新 数 据 。 若 WEB 页 面 没 有 对 次 作 出 任 何 规 定 ， 则 进 入 相 对 时 间 刷 新 状 态，CacheEngine 将 根 据 文 件 最 后 修 改 时 间 的 长 短 决 定 何 时 对 数 据 进 行 刷 新 。 CacheEngine 利 用 一 个 专 门 为 缓 存 系 统 设 计 的 高 性 能 文 件 系 统 ， 避 免 产 生 文 件 碎 片 和 通 用 文 件 系 统 造 成 的 长 时 间 目 录 搜 索 。 CacheEngine安 全 、 实 时 的 内 嵌 操 作 系 统 还 免 除 了 通 用 文 件 系 统 相 对 较 高 的 上 下 处 理 负 担 。 CacheEngine 支 持 基 于 对 象 文 件 的 缓 存 ， 即 可 以 在 页 面 数 据 更 新 的 情 况 下 ， 缓 存 部 分 不 变 的 内 容 ， 如 一 些 固 定 的 图 标 。多 个 CacheEngine 可 以 组 成 缓 存 场 ， 每 个 新 增 的 CacheEngine 将 增 加 24GB的 存 储 量 。 一 个 缓 存 场 至 多 能 包 括 32 个 CacheEngine， 存 储 768GB的 信 息 并 同 时 支 持 28800个 会 话 。 结 合 上 述 原 理 ， 不 难 理 解 CacheEngine 具 有 如 下 特 点 ： 对 Web 浏 览器透明：CiscoIOS路由器将与CacheEngine配 合 完 成 全 部 工 作 ， 而 用 户 的 Web 浏 览 器 无 需 做 任 何 配 置 ， 可 以 关 闭 任 何 Proxy Server 功 能 。 尽 管 网 络 中 可 能 有 多 个 CacheEngine ， 它 们 也 可 能 负 责 不 同 的 内 容 ， 但 用 户 完 全 不 用 关 心 它 们 的 存 在 ， 更 不 用 去 记 住 PortNumber 之 类 的 参 数 。 可 伸 缩 和 高 性 能：可 以 根 据 需 要 增 加 缓 存 空 间 ， 线 性 提 高 性 能 。 专 门 的 缓 存 文 件 系 统 也 提 供 了 高 性 能 的 操 作 。 容 错 性：一 个 缓 存 场 的 所 有 CacheEngine 之 间 可 以 作 负 载 均 衡 与 相 互 备 份 。 即 使 所 有 CacheEngine 都 失 效 ， 路 由 器 也 能 自 动 识 别 并 取 消 缓 存 功 能 但 继 续 提 供 Web 访 问 服 务 ， 避 免 了 从 前 Proxy server 死 机 导 致 配 置 了 该 Proxy server 的 用 户 不 可 访 问 网 络 的 问 题 。 为 了 进 一 步 减 少 昂 贵 的 国 际 线 路 的 压 力 ， 以 及 考 虑 到 核 心 节 点 接 入 的 ICP较 多 ， 建 议 在 洪山节 点配 置 两 台 CacheEngine。 两 台 缓 存 还 可 以 互 为 备 份 。 两 台 缓 存 处 于 同 一 网 段 中 ， 与 路 由 器 的 一 个 端 口 相 连 ， 节 点 网 络 图 如 下 。 目 前 武 汉 热 线 到 ChinaNet的 出 口 已 出 现 严 重 阻 塞 ，忙 时 出 现 丢 包 。 除 了 增 加 带 宽 的 解 决 方 案 外 ， CacheEngine 也 将 很 好 的 帮 助 解 决 问 题 。 CacheEngine 的 扩 展 非 常 灵 活 。 当 发 现 其 容 量 不 够 时 ，增 加 CacheEngine十非 常 容 易 ， 不 会 影 响 网 络 的 正 常 运 行 状 态 。 2.3 大用户量Radius数据备份和负载分担 如何提高大用户量下用户上网的身份验证速度、确保用户接入的负载分担，同时能做到用户数据的可靠性备份，也是影响网络运营服务质量的关键因素。本期扩容工程建议采用下述设计方案：-全网设置两个Radius服务器E3000（设在洪山数据中心），采用互为主备工作方式。Radius1主要负责洪山节点的PSTN用户接入验证，Radius2主要负责汉口节点的接入验证，Radius1和Radius2间采用双机冗余，互为彼此的备份；-在洪山节点内部采用负载分担的工作方式，即分别设置Radius1和Radius2服务器，由AccessServer 分别指定Primary和secondary Radius，从而实现大用户量下用户身份验证的负载分担；-用户数据可做到全网同步，即一次用户数据可同时写入两个Radius；- Radius服务器选型建议采用SUN E3000，在硬件上提高用户验证处理能力；-对AccessServer同样可做到负载分担； 图：Radius数据同步、备份和分担 2个Radius服务器的用户数据应与User Database用户数据持同步。这样在用户的接入方面形成备份和负荷分担，如果Radius1出现重大故障，“武汉热线”的用户仍然可以通过Radius2进行接入验证2.4 Load Balance随着互联网络的发展，用户数量的增多，对网络中作为信息源的Web服务器、用户的E-mail服务器等的要求也大大提高，流量过大将导致服务器的失效。一种改进方法是提高服务器的性能，增加存储量，但这种方法仅仅适用较小的网址，不适用于大用户流量的、提供相对重要服务的的主机。对于这类网址我们希望多台服务器共同分担对此站点的请求，如何在几台服务器之间进行协调呢，最好的解决方案是在网络上为服务器加装Load Balancer。Load Balancer就是为它所连接的多台服务器提供流量分配的装置，同时它还可以对所连接的服务器状态进行监测。所有连接在Load Balancer的服务器共同具有一个唯一的IP地址叫作虚（virtual）IP地址，对于访问此网址的用户来说，他们所需要知道的只是这个虚（virtual）IP地址，在Load Balancer的内部有一个地址对应表，引导访问请求到后端的服务器。Load Balancer对流量进行分配的方法有很多种，包括roundrabin, least connections, weighted roundrabin, weighted least conns, 以及一些更为高级的算法，目的只有一个，就是将为进来的请求找一个合适的服务器Cisco 的LocalDirctor提 供 了 一 种 智 能 的 、 基 于 一 种 叫 作 会 话 分 布 算 法 的 机 制 ， 能 够 发 现 服 务 器 场 中 各 台 服 务 器 当 前 的 状 态 ，从 而 选 择 一 台 可 用 资 源 最 高 (最 空 闲 ) 的 服 务 器 接 受 当 前 的 查 询 。 LocalDirector 本 身 则 充 当 虚 拟 服 务 器 的 角 色 ， 接 受 所 有 相 关 的 查 询 。 LocalDirector同 时 支 持 700000 个 TCP会 话 ， 完 全 透 明 的 支 持 WEB、 FTP、 TELNET、 SMTP等 协 议 。 并 提 供 待 机 自 动 恢 复 功 能 。 LocalDirector支 持 服 务 器 的 动 态 加 入 。 在 这 种 基 于 最 优 化 策 略 的 服 务 器 选 择 方 法 中 ， 业 务 流 量 不 会 盲 目 的 轮 流 使 用 服 务 器 而 不 管 此 时 服 务 器 的 实 际 负 载 如 何 。负 载 较 重 的 服 务 器 业 务 处 理 能 力 相 对 较 差 ， 但 在 轮 流 服 务 方 式 下 ， 高 峰 时 业 务 流 将 会 仍 仍 然 源 源 不 断 的 送 来 ， 使 其 处 理 能 力 更 差 ， 形 成 恶 性 循 环 ； 而 负 担 较 轻 的 服 务 器 则 一 直 处 于 比 较 空 闲 的 状 态 ， 设 备 不 能 得 到 有 效 的 利 用 。 事 实 上 ， 在 这 种 机 制 中 ， ISP很 难 用 不 同 性 能 的 设 备 进 行 负 载 分 担 ， 在 进 行 网 络 扩 容 时 ， 旧 的 设 备 往 往 成 了 嚼 之 无 味 弃 之 可 惜 的 鸡 肋 。 显 然 ， LocalDirector则 避 免 了 这 种 情 况 ， 使 ISP 的 扩 容 工 作 轻 松 自 如 。 由于武汉热线的许多服务器现已趋于饱和，要提供更大规模的服务，又要保护现有投资 ，势必在增加新的服务器的同时需要保持原有服务器的功能。如果配以功能强大的LocalDirector，则可以进一步保护投资，有效利用所有的服务器。 由于现在的DNS服务分别有三台不同用途、不同档次的服务器负担，为了便于管理和用户使用，本期工程考虑在DNS配 备 两 台LocalDirector(冗 余 备 份 )，技术，实现DNS服务器的负载分担和一致性。3）接入模块 根据2000年用户发展需求，针对“武汉热线”100，000用户量，建议扩容工程采用节点分布接入、本地负载分担的方式，以满足大用户量下对系统的要求： -洪山、汉口分别提供用户接入（拨号用户和专线用户）； -用户数量分布按6：4比例，即洪山承担60，000用户，汉口接入40，000用户量； -接入服务器亦按上述比例分节点提供接入，考虑到接入服务器会占用较多的交换机端口，建议单独上连至Catalyst8510交换机或直连到核心GSR，以较高的可扩展性满足大用户量增长需求；根据用户发展的实际变化，局方只需连入接入服务器即可，同时便于扩展； -本地接入服务器亦可做到负载分担； -专线接入可用从核心退下的CISCO7513提供。 -为加强各种宽带业务的发展,可直接在GSR上插ATM卡进行ATM接入,满足ADSL等多种运用。4）数据中心网络结构和安全4.1 局域网的划分 根据网络大用户量设计方案，同时考虑现有设备及子网划分情况，建议局域网的网段重新划分，各个VLAN设备情况如下：VLAN1：用户接入子网，包括用户接入服务器、用于用户身份验证的2台Radius服务器（负载分担方式），其中由于接入服务器占用较多的交换机端口，同时随用户数量的增加便于扩展（模块化设计），建议利用现有的Catalyst5000接入并上连至局域网交换机；VLAN2：用户E-Mail子网，包括SMTP服务器、POP3服务器和满足60，000用户邮件需求的磁盘阵列（容量120GB）；VLAN3：信息子网包括采用HA设计的WWW服务器和全网主域名服务器DNS；VLAN4：包括用户管理、计费服务器，此子网放置在软件防火墙后；VLAN5: 全网网管服务器NMS，此子网放置在软件防火墙后；考虑到服务器的备份路由设置，可采用预留交换机端口的方式，即在两台LAN 交换机上分别划分5个VALN，如果一台局域网交换机出现故障，则可方便的切换到另一台交换机上，从而保证服务的可靠性；同时，VLAN4和VLAN5的防火墙也互为冗余备份，避免意外事故的发生。 4.2 网络安全 在网络主要服务器网段设置防火墙及相应安全技术，以确保用户管理/计费服务器、网管服务器和系统的安全；根据对安全技术的研究和实践经验，我们建议采用如下的基本防范措施： 4.2.1 在用户管理、计费、网管VLAN及重要服务VLAN配置防火墙设备 由于防火墙会对网络的效率造成影响，因此为了提高效率，减小由于增加防火墙结构对系统访问速度的影响，可以采用效率较高的硬件防火墙（CISCO公司的PIX Firewall、PIX10000等），把主要的服务器放在防火墙内部，把较次要的服务器放在防火墙外部以提供网络的运行效率。为了提高防火墙的可靠性，还可以对PIX采用冗余备份。 Cisco的PIX是一种防火墙设备。PIX有效地对Internet网上“黑客”隐蔽客户地址。它的核心是基于适应安全算法（ASA：adaptive security algorithm）保护模式。状态化的面向ASA连接的安全方法根据源和目的地址、TCP包序号、端口号和其它TCP标帜建立会话流。这些信息存储在一个表中，并且对所有进入的包跟表中相应项进行比较，只有在有效通道上的合适连接的访问是允许通过PIX防火墙的。这种设置让内部用户和未认证的外部用户透明地访问您的内部网络的同时防止对内部网络的非授权访问。 基于软件的防火墙设计 随着网络防火墙技术的不断发展，软件防火墙已成为目前网络安全战略的重要技术。基于软件的防火墙具有较强的可扩展性，数据传输效率有很大提高，同时软件防火墙具有详尽的记录和更多的安全控制，可以在限制用户防问权限的同时跟踪异常访问的源地址，这些优点在对WEB服务及邮件服务的防护上具有特别的意义，而且有于系统管理人员更好地维护。建议采用一些成熟的软件防火墙产品，如Checkpoint、SUN Firewall-1、TIS Gauntlet等。上述两种方案各有优劣，基于硬件的防火墙效率较高，操作配置简单，用户管理和维护方便，但可扩展性不强，不能随着应用变化而有效可靠地防范；基于软件的防火墙虽然对网管员要求较高，配置相对复杂，但具有较强的可扩展性，防火墙设计灵活，数据传输效率也较高，对硬件要求相对不高，建议本期工程采用软件防火墙结构，通过对现在通用的防火墙产品的比较和选型，我们建议用目前国际上最流行的软件防火墙产品CheckPoint Firewall。 CheckPoint Firewall防火墙所起的主要功能1 定义和强制安全策略，实施常见服务的代理和路由过滤。2 能有效的记录网络活动，产生监控报警，便于实施对入侵行为的追踪。3 能有效地屏蔽内部网的信息，增加网络的安全。防火墙配置说明根据武汉热线网络现状，我们建议在重要服务子网络配置防火墙，将记费子网络（主要是认证计费和网管子网络）通过防火墙与骨干Internet隔离。记费子网配置双防火墙，运行热切换软件实现当单机故障时热切换。防火墙主机硬件平台建议采用SUN 工作站，每台防火墙均配置四块网卡，分别用于连接Internet、连接热切换防火墙、连接认证计费网段、连接网管网段。将认证计费网段和网管网段隔离的目的是加强系统的安全，以避免不同级别的系统管理人员对无关网段主机的操作。我们建议配置的防火墙模块包括：v ESC模块。用于实现对全网中所有防火墙的集中管理，其中包括策略制定、集中监控、集中日志等。建议为市局中心子网配置一个ESC模块，安装在中心子网内的一台主机上。其他子网不再安装此模块。v FW模块。此模块是CheckPoint防火墙的核心模块，包含了安全控制、集中认证、内容安全接口等功能。建议为两台防火墙均配置此模块。v EM加密模块。主要实现在FW模块之间数据传递时的加密和解密功能。通过此模块，防火墙间可以安全地在Internet上传递网管、用户等数据。建议为两台防火墙均配置此模块。v Connect Control模块。主要实现多台主机（如认证服务器）之间的负载均衡。建议两台防火墙配置此模块。v SeOS安全模块。主要用于加强作为防火墙的SUN工作站的安全。SeOS安全模块是CheckPoint的伙伴公司产品，作为操作系统的补丁，可以弥补SUN Solaris中的安全漏洞。建议为两台防火墙主机均配置此模块。v RSC模块。主要用于通过GUI界面实现对网络中的路由器的访问控制列表（Access List）的统一设置。目前RSC模块支持的路由器包括Cisco和Bay等。通过友善的界面，系统管理员可以非常方便的进行统一设置并下载到网络中的多台路由器中去。建议在市局中心配置一套此模块，用于全网集中管理。v StoneBeat模块。这是CheckPoint伙伴公司的产品，用于提供两台防火墙之间的故障热切换。当其中一台（主）防火墙发生故障时，通过此模块可以自动切换到另外一台（从）防火墙，而IP地址、MAC地址等均能由其自动接管。4.2.2 基于主机的保护1）ISS产品ISS是目前业界领先的安全扫描和实时监测产品厂商。我们建议采用ISS部分产品模块实现对武汉热线主机的安全扫描以及实时攻击和非法操作监测。我们建议的ISS模块包括：v RealSecure模块。用于实时监测网络中的攻击和非法操作并按照预先设置进行响应。根据RealSecure的运行模式，需要对每个网段配置一套，而且局域网的HUB或交换机必须支持监控方式（Sniffer方式），RealSecure可以实时监测同网段上的TCP/IP包和各种服务请求，并按安全管理员定义的策略进行审计和告警，同时可与防火墙结合起来中断危险的网络连接。建议配置3套RealSecure用于保护3个局域子网（认证计费网段、网管网段，多媒体制作网段）。v SSS模块。用于扫描局域网络中的主机的安全漏洞，包括不安全的口令、不安全的文件属性等。建议配置一套50个节点的模块，可以对指定50个IP地址对应的主机进行扫描。v FS模块。用于扫描网络中的防火墙的设置漏洞，包括防火墙所在主机的漏洞、防火墙策略的漏洞等。建议配置一套3个节点的模块，可以对3个指定IP地址的防火墙进行扫描。v WS模块。用于扫描WEB服务器的设置漏洞，包括WEB服务器软件中的一些设置“backdoor”等。建议配置一套10个节点的模块，可以对10个指定IP地址的WEB服务器进行扫描。2） ACE软件系统安全软件ACE为业界优秀的网络安全产品，它为单个系统提供一种更为有效的保障系统安全的手段。它能够为系统用户提供一个动态的PASSWORD,所谓动态PASSWORD,即密码随每分钟变化，系统管理员可携带与ACE SERVER相同步的Security ID 卡来获得实时密码；对于要求安全级别较高的服务器，通过ACE软件和Security ID卡可极大的提高单机安全性。建议此次对几台主要设备（如Radius服务器、记费服务器、网管等）安装ACE软件。4.2.3 其他安全保障不难发现，在我们前面的方案建议中，处处可以看到对网络安全性方面的考虑。事实上，现代网络的安全性问题，绝不是靠一两种产品就可以得到充分的解决，