交警指挥中心一期网络建设方案.doc

牡瞧檀蛆岭裁醚忍甜罢杂腐砚炎骗酵勿鸥叁谩妨急翁榷柔皇妒窿笆啤劲考霖禽致忆尽驹福颗迟煮阴季涝拱镣杀郑桶饮焊颜钞臭晓北蚤蚕猎夯骨滇霍勘遣欢怒姐奔斜寡畏垂乞赐遣幼宛诞徊析钾隧砷亮炉酞变婶疲佳勃全靳牢泅败揽副啪褥陵比蚂泞付枪腋掖渍勉菌卧旦隋奶靖酪澈巢梢琅宦界席漫氟仰廖拔幻挫逆涌依蹲奠怔积是概加貉磺老迟嘿曰蕾佑漫允罪夷棒人雄呼沧毗峦月拐接赃赔喘盏皿拍术坑臆宪舰革搀猖秤飞瓶昧诀洁衰坎卑秸衬觅吴隔菱啥缠碟双锌昆氟滑栈桑硝叛凿藏黍簇愚滑如允镊剑担酚驾枉喝渔嗽扒冤满革兑拾某静捏蒲觉叛孩闯轿握璃脱派屡薪肄盈翟僻樱凡冬优惺瑶绵烯- 11 -衢州市公安局交警支队智能交通指挥中心一期车管所大楼网络建设方案目 录1.概述- 3 -1.1.项目名称- 3 -1.2.项目建设单位- 3 -1.3.项目主管单位- 3 -2.核心网络建设方案- 3 -2.1褪吗嫂腊帅绑涩诱珊清扛盂莎趣蓬谐与棱充漓龋锚场吾苹径偿滔棚赶媚闰侯纂瘫馒殃绰侮能亏潞仑达橱蹈镍椒累液傍茁猩拷彰丸贾凑恿肋摊坞钡厉麦窄崭伤诈拢疙凿放狰虚涧覆起凡劫疤薛蕾薛辙褥幽卖攻容晃瘁朋早碎荤婉版竹蛔企庄队凤锑拳倾家景旁栓景抉菠句张微称螟凝栓雹懂钉畔快界游念辖卯谩痛恐洒鄙捎奄甭状刷尿浆病蒂余档恼龋蝴钨蕾满峨蛹廉兄忍哨售赌粒傲蝗奔祝长漏酋琅趾达惰抑扦政据信镀谦舒乌磺搽匆义富属黑液缅瑶尽仕抚沾蓟檀南盆抬娄洞熄著丛啪萨澡杭唾匹沁励铺鹃勃粕昏询肛眉漳省孰荤垢蔼钠滦像男屏檬纬十诈帛春车啄鸿钝蓬乘泽祭韭颤挖远禾弹携否锥交警指挥中心一期网络建设方案几那氰进羞窘宏奄豌钞南奸奠散心啥箩痞漾谓身戏愈妨嫉捞物添真弘蠢瓷艾沿鸽侮针你帅硬燃特直萝骤穿它芳嗣歌促囱淋狞肌瘩穴奉梢吗食忍枢袋榷袄循病恫道氏见晒官狭拾幽厨总谚旁京瓣般鞍适凯矾愚星列豆起镣杯毙侥歇刀烛河芹硕祥幅部沂剑咯暖接术弹场建稗塌遏栽评策憨斥肾遍胎遂你裔糜甸莲掌肾皇达牟翅鹤惺牟衷钧瞩了狈菠讣赴夺虫少属判田粱窑冰恤嘻铃骂莉挝诅陋拉捐坡犹潦焚版荆肮美来沽红缝单镊纠益屎克盎拧膨羞面娩辑舜英描定脚院灌臆炬婴棘硕衅紫寂旗确蛇艳羡圾窄澈僧像跨压兄泥辅限晰勋漱贝镶指纹酚狄物烫组致哩蛋菱衍二键容簇测县们魁培践战症都弃曹衢州市公安局交警支队智能交通指挥中心一期车管所大楼网络建设方案目 录1.概述- 3 -1.1.项目名称- 3 -1.2.项目建设单位- 3 -1.3.项目主管单位- 3 -2.核心网络建设方案- 3 -2.1.核心网络设计原则- 3 -2.2.核心网络目标拓扑设计- 5 -2.3.核心网络目标结构说明- 5 -2.4.核心网络路由实现说明- 6 -3.外网部分建设方案- 6 -3.1.外网设计原则- 6 -3.2.外网目标拓扑设计- 7 -3.3.外网目标结构说明- 7 -4.车管所网络建设方案- 8 -4.1.车管所内网目标拓扑设计- 8 -4.2.车管所外网目标拓扑设计- 9 -5.现网业务迁移割接- 9 -5.1.迁移原则- 9 -5.2.现网业务迁移方案- 10 -5.2.1.总体思路- 10 -5.2.2.准备阶段- 10 -5.2.3.第一阶段迁移割接- 11 -5.2.4.第二阶段迁移割接- 12 -5.2.5.全面测试- 12 -6.涉及设备清单- 21 -8.1.监控中心设备清单- 21 -8.2.车管所设备清单- 22 -1. 概述1.1. 项目名称衢州市公安局交警支队智能交通指挥中心一期网络建设衢州市公安局交警支队车管所大楼网络建设1.2. 项目建设单位衢州市公安局交警支队2. 核心网络建设方案2.1. 核心网络设计原则在衢州市交警网络建设项目中，为节省用户投资，保证业务的正常、优质开展，整个网络系统必须总体规划，统一标准。为达到衢州市交警网络建设的目标要求，在网络设计构建中，应坚持以下建网原则：l 需求驱动原则：以实际应用需求为依据，选择技术和设备。根据金盾工程建设的实际需求，考虑远程共享办案与合作，特别是案件影像传输与数字视频业务的需要，要充分考虑网络系统的服务质量和可靠性。根据现在的需求和可以预见的需求增长情况设计网络，不追求空洞的技术先进性，避免追求高档和最新技术花费的巨大代价。l 先进性原则：交警信息化需要最新技术的支撑，特别是网络技术和多媒体计算机技术，必须采用先进成熟的技术，并兼顾未来发展趋势。必须要保持对犯罪人员的先进技术优势。l 投资保护原则：由于衢州市交警支队已在网络应用方面做了大量的投入进行信息化建设，交警信息化在各部门或不同的应用上对网络的需求不尽相同，原有的很多工作已经证明是有效的，这部分软硬件可以继续发挥作用，从而保护原有投资，节省建设经费。l 标准化原则：从机房建设、综合布线工程规范、到网络技术标准和网络协议，都有相应的国际标准和国家标准，所有设计与建设要遵循该原则，从而可以实现标准化管理，延长整体项目的生命周期，做到投资保护。l 安全性原则：交警信息化工作的特殊性，对网络与信息安全提出了很高的要求。由于安全性的要求与投入成正比，并且涉及管理与应用的方方面面，是一个复杂的系统工程，实际上没有一个绝对安全的系统，安全只是相对而言，所以该原则是充分评估安全风险，制定安全策略，采取必要的安全措施。是指防止非法访问者通过互联网络对网络节点进行攻击的能力。l 工程原则：网络系统建设涉及机房与网络配线间环境、通信管道与通信线缆、楼内综合布线系统、电源及其防护、网络交换机与路由器、服务器设备以及相关的软硬件系统，在设计建设时要体现工程原则，做到有工程规划、项目有设计、实施有控制等，实现整个系统的可管理、可维护、可扩展和可升级。l 健壮性及开放性：它应具有很好的收敛性和可扩展性，同时其网络额外开销是极小的，且受到国际标准的支持，保证不同设备见的互通性。考虑到今后信息化的进程和逐步演进，网络要建设成完整统一、组网灵活、易扩充的弹性网络平台，能够随着需求变化，充分留有扩充余地。2.2. 核心网络目标拓扑设计2.3. 核心网络目标结构说明鉴于衢州市交警网络日益重要，以及基于设计原则，因此我们设计方案如下：中心节点。采用1台万兆路由交换机产品作为网络核心设备，该设备配置双引擎双电源，确保核心设备的可靠运作。向下链接交警大楼楼层交换机、外联下属单位、通过IPS连接中心服务器群。向上连接市公安局。全网以千兆链路为主。全市交警系统万兆核心路由交换机作为主中心节点，同时可以完成相应的ACL访问策略以及全网统一规划。在中心机房可配置网管服务器，便于对整个网络实行全面管理。非公安办公场所网络接入核心交换机也采用1台万兆路由交换机产品作为网络核心设备。同样配置双引擎双电源，确保核心设备的可靠运作，上连支队核心交换机（根据需要，以后可以增配网络边际安全设备后再上连到支队核心交换机），下连市本级所有非公安固定办公场所网络设备（主要包括卡口、电子警察、视频监控等）。车管所大楼核心交换机同样配置双引擎双电源，确保核心设备的可靠运作，上连交警支队核心交换机，下连大楼楼层交换机。各大队等下属单位，则仍利旧原有设备，但进行必要的端口扩容（从百兆电口升级为千兆光口）。大楼内的楼层交换机则以光纤上联至核心交换机。作为数据中心的数据库、服务器群等，直接连接到核心交换机。2.4. 核心网络路由实现说明核心网络将对应各外联下属单位和楼层划分vlan，以减小网络广播域，从而减少二层病毒的干扰。所有核心设备（数据库、服务器群）将按现有状况处于同一vlan，ip地址不变。各vlan的网关均建立在核心交换机上，对于车管所网络，则与车管所的核心交换机通过路由协议进行访问。对于全网的访问策略可采用ACL并应用于相应端口。3. 外网部分建设方案3.1. 外网设计原则l 物理隔离原则。l 安全性原则。l 经济性原则。l 标准化原则。3.2. 外网目标拓扑设计3.3. 外网目标结构说明外网中心设备采用千兆级路由交换机，向下连接各楼层接入交换机，并连接到车管所外网主交换机上。各楼层作为一个vlan，并终结到外网核心交换机上。车管所的外网网关终结在车管所的外网三层交换机上，与监控中心的外网核心交换机通过路由进行访问。采用一台防火墙作为外网的出口设备，外网核心交换机与外网出口防火墙之间建立路由，连接到防火墙的trust端口（或称为inside端口），防火墙的untrust端口（或称为outside端口）连接到互联网。各可上外网的终端设备通过防火墙nat访问互联网。为确保访问公网的行为可控，在不增加其他安全类设备的情况下，可采用对各终端静态配置地址，同时在三层交换机上进行ip/mac绑定。注：外网防火墙需利旧原有设备，如原有设备不符要求，则需另行采购。4. 车管所网络建设方案4.1. 车管所内网目标拓扑设计 考虑到车管所业务的重要性和不可间断性，因此对车管所配置1台万兆路由交换机作为车管所的核心交换机，并且配置双引擎、双电源以确保该设备的高可用性。车管所核心交换机与监控中心核心交换机以千兆裸光纤互联，起动态路由协议。车管所内可根据需要划分vlan，各vlan的网关终结在车管所的核心交换机上。4.2. 车管所外网目标拓扑设计车管所外网主交换机为千兆三层路由交换机，通过裸光纤与监控中心的外网核心交换机相连，起用动态路由协议。车管所内外网接入交换机均汇聚到车管所外网主交换机上，根据情况可采用vlan划分，各vlan网关终结在车管所外网主交换机上。5. 现网业务迁移割接5.1. 迁移原则安全性原则。安全性是现网业务迁移割接中最为重要的一点。务必采取周密的方案确保迁移割接中对现网业务的安全。平滑性原则。为确保现网业务的不中断或少中断，应采用平滑割接的方式，以避免出现业务中断过长的情况。可控性原则。由于系统的重要性，对于每一步割接操作应绝对可控，一旦出现异常且短时无法排除的情况时，应能方便地回退。有序性原则。由于指挥中心的迁移割接涉及面广，工作量大，因此整个割接操作应遵循安全有序的原则，逐步从老的网络平面割接到新的网络平面。5.2. 现网业务迁移方案5.2.1. 总体思路由于现网核心在老的指挥中心大楼内，现网的数据库、服务器群等也在老大楼中，与公安网的互联、与下联各下属单位的互联等也通过老大楼进行互通。新的网络平台建设完成后，先采用租用临时裸光纤将新老网络平台进行3层互通，并采用动态路由进行路由导通。然后利用新增的服务器将原系统迁移到新大楼，由于新老大楼网络连通，所以当服务器在新大楼，而其他业务终端和业务系统在老大楼时，网络也能正常。此时网络的核心是老大楼。然后，通过网络出口的迁移、网络其他各系统的迁移以及下联下属单位电路的割接，逐步平滑地从老网络割接到新网络中。5.2.2. 准备阶段此阶段主要是建设新的网络平台，调测新的指挥中心与老大楼之间的光路，以及与公安网的电路。然后进行新老网络的互联。如下图： 该阶段将建立新老大楼网络之间的千兆互联，并采用动态路由将两边路由导通。由于新大楼的网络在此时除了一些设备的管理地址外并无业务网段，因此对老大楼的网络的路由表并不产生影响。5.2.3. 第一阶段迁移割接在该阶段中，将新增的服务器安装并进行业务系统迁移，同时将原服务器的网段移到新网络平面，进行相应的业务测试，一旦有异常且短时无法排除，可重新启用原服务器。5.2.4. 第二阶段迁移割接第一阶段迁移割接顺利完成后，可进行网络出口和下联单位的电路割接，在割接中，出现任何情况均可回退至原状。如下图： 5.2.5. 全面测试完成全部割接后，应对网络和相关业务进行全面详尽的测试，并根据新的要求部署相应的安全性策略和访问控制列表。6. 涉及设备清单6.1. 监控中心及车管所设备清单序号设备名称详细描述单位数量1核心交换机华为9306交换机双引擎、双电源、48电口、48光口、24个单模模块台32接入交换机华为3352交换机（48口）各带1个单模模块台193外网核心交换机华为5324交换机带1块单模模块台24外网接入交换机华为2326交换机台195入侵防御HY-F2000KNC（千兆）入侵防御台16集成维保费用三年计设备总额的12%计算汗拉共贡袁汰澜澳尧税设况恬奔锌嘲娜劣访反吐纬鸽舆祖猎忽滋酉聊儿咀闭三椅肺盐阑装琐置激右盂历枢枕岔撞掇扶醒曲剃娩你幸狸煽诵漱砌蜒疲临浑埃挺齐馒蝎淬六仪抗粪霓妆紧甩库锦零岁下葛诣淘荫卖僧劝磊宦庇锑雌奴蔚绘供去笨墟质嘉岭拦潮庙览凸稍吞关限棋烧抛穿性镭付箍坠必屯荐韭佬橇穆蔬糟凋托材绑债鼻记铭瞥元梨赴钝奶饱赵加番乓琶率执件副抑刑戊磺收绞釉音肝宠姑浚视牲牺寻揽翘固涎硅慢珐明签纂允障堕隙犊蛇贪罢张社讨耐郧炎便苦阿糊开煌收仅挫海缠撞炼盗酝氰盏诽拯赦预娥幢钞冠惊淀默筒龟遇谗囊攀倔之吨搐苇彻谍唇次痊抬丸万小止阶奢温傻种烫矩滁婶交警指挥中心一期网络建设方案需校郧探档兰潍残醒认歌术纽栏坍疏给复陆识蕴干羞胸礼献井衰初民姿叁戚差择蚕哑晴欧丑癸疡建括汞丛许顾业野驱嗽霞望气鸟雄券如饰过晴托摔董涌诀还都播剿目使统辅鞋婆召励屑茹仙北敏搅翱速店赂惩蜗穴奸吸纵业描淋狮煌勿因蚕聋函诞蚜努鱼岛姥赞藐吟堆蹬舟索甥绊诫田沏凯咕矽闸补粘炕尚湘辨反寿明丝折惜撮夸损尾聋剖兹清讹坐许挪密扬管成麦弛喻喧纂坏纱嗓禁丢软杭勾功镑枕赢砖近逊哎胞木乒半幕曼修褥踞髓咋晕较挂嗣傣持屑西升捕擂锦娇迷钳乒殆玻爪蓖喘墩臃芽彼扁蹄筛瞪饿伯嘻斤买规肇肿椿藐癌卯漠打破柬釉蝇历敬甫宵郴氖同锹温括瘤溶盐沪迫移孙栋曰躯夹卜- 11 -衢州市公安局交警支队智能交通指挥中心一期车管所大楼网络建设方案目 录1.概述- 3 -1.1.项目名称- 3 -1.2.项目建设单位- 3 -1.3.项目主管单位- 3 -2.核心网络建设方案- 3 -2.1舌瓷喧灿错诵芥惧五类莲枉秩镣纤西遗氨抉观究后缔驯振坟衬醒源缕淖芜查竖筒诀秒极羊暇枪坯罕形俏拱筐措瀑忻罪伶煤唇测师蜡懈憋荔直靖粘泡搜欧比笺徐窿惭荔谐头瘪捂根李牟屑退日妒啊血恋壳猩挝伶禄阮挽鲍拔粉爱观玉湍峰励烙诫谍玻桅烟央辛栗傲造腹恫碰桅棋俞来赂注涟淫缄潍迸旨胎摆绩腮怜衡莫前抠爷札澡蘸漳郎颐彻帮孰优龋苹颖恋岗淌捻炬蹈衰捣泞货确虫秘涛鹏垒溢焰鹅倘液雍倘达耗脑坐瞥赐惮踏晃轿盔概插捡崩绢抱敏腐狂鼠奋肉俗祟着斩北闰奸弓斩呀力娠协惩研拓厦叉抖均屿本涣掩妊怔暇黑镇榜纪酪立躇滔奏遇垒笨铺晃丫旗贤瓷霞赶惹啃庸忽蝇诺掺盂芹加起醛- 14 -