电子政务硬件平台方案模板

电子政务硬件平台方案模板内容摘要：

络设计中的重要一环， XXX 办公业务网络必须对ＩＰ地址进行统一规划并得到实施。 IP 地址规划的好坏，影响到网络路由协议算法的效率，影响到网络的性能，影响到网络的扩展，影响到网络的管理，也必将直接影 响到网络应用的进一步发展。 尽量减少网络的 IP 路由表的路由数目，减少网络路由的收敛时间，提高网络性能，增加网络的可靠性。 IP 地址分配既要考虑到扩充，又要能做到连续；尽量给每个 部门 分配连续的 IP 地址空间，并为将来的网络扩展预留一定的地址空间；在每个 部门 中，相同的业务和功能尽量分配连续的 IP 地址空间，有利于路由聚合以及安全控制； IP 地址的分配必须采用 VLSM 技术，保证 IP 地址的利用率；采用 CIDR 技术，可减小路由器路由表的大小，加快路由器路由的收敛速度，也可以减小网络中广播的路由信息的大小。 Ip 地址的分配建 议延续使用上一级政府的规划分配下来的地址，如有必要则继续划分子网。 IP 地址编码的规则 XXX 政府办公业务网络结构为树型结构，根据此网络结构编码 IP 地址，尽量减少网络汇集点向上层节点传递的 IP 路由数量。 基本的规则如下： IP 地址采用可变长度子网掩码（ VLSM）技术。 根据子网主机数量，采用不同长度的子网掩码。 第 16 页 网络汇集节点的局域网网段地址、下联广域网网段地址、下层节点的网段地址在一个子网掩码内。 网络汇集节点的上联广域网地址为上层节点网络地址段中的一个子网段地址。 广域网地址的掩码位数为 30 位。 Loopback 地址的掩码位数为 32 位。 路由策略 外网骨干网络设备承担着全县政务相关的各种业务数据的传输和处理工作，因此 ,选择何种路由协议，使网络的性能最优化就显得尤为重要。 对这样的网络，如何选择路由协议对于网络性能的发挥是非常重要的。 县级的政务网络一般位于政务网络的边缘接入层，由此采用的路由协议需要与上一级政务网络的协议相一致，否则会造成边缘路由动荡影响到主干的路由。 在路由协议的选择上，尽量不要采用扩展性差的（ RIP）和厂家的私有路由协议（ IGRP和 EIGRP），尽量采用 OSPF 或 ISIS。 对于大型企业内部网络 来说，现在一般都采用 3 种路由协议： OSPF、 ISIS 或者 EIGRP。 EIGRP 是 Cisco 私有的路由协议，不建议使用。 结合 XXX 办公业务规划的实际情况，我们建议：在该办公业务采用静态路由器协议， OSPF+静态的路由协议组合也是当今网络规划中被广泛使用的设计方法。 系系 统统 管管 理理 平平 台台 本节主要是针对主机及网络管 理的方案。 鉴于本网络规模及重要性，网络管理将是一个必须面对的问题。 根据本项目的实际情况，建议在本期或下一期工程中： 1. 建议建立统一的系统管理平台 2. 重点考虑网络管理 建立统一的系统管理平台，不仅可以为日常的 系统和网络管理提供机制、工具或手段，还可以以此为基础，建立集中式或远程系统支持维护中心。 建设网络管理和系统管理系统，可以解决各种网络设备和服务器、系统软件和应用软件等资源的管理问题，包括网络、设备、数据库、操作系统和应用软件等。 进一步，存贮管理也应列入考虑范围，并尽可能与未来的异地备份系统的建设相结合。 其它方面的网络管理问题（如应用软件的版本发布和系统管理等）可以将来逐步考虑。 由于系统管理和网络管理涉及较多的内容，如网络设备管理、服务器资源管理等，统一第 17 页 网络管理平台也是系统和网络管理的必然需要。 建议在熟悉 了 网络设备及主机系统的管理系统后，再添置专门的网络、系统管理平台，提高工作效率。 网络管理 网络管理的任务包括网络监控、故障报警、设备配置、网络分析等方面。 即通过图形方式显示网络的拓扑结构、网络节点的工作性能；设置相应参数的阀值，使得设备的性能参数超过阀值或者发生故障等情况下向网络管理员报警；作为整个网络系统的管理中心，通过局域网及广域网对网络上的设备进行在线修改配置；将网络设备的运行情况、网络故障等多种信息存储文件或数据库中，网络管理员直接存取这些资料从而掌握整个网络的情况，及时调整网络的资源分配并作为网 络扩展的依据。 在网络管理平台的选择上，根据选择的网络设备，考虑采用先进、成熟和主流的产品，采用标准的 SNMP 协议对网络上符合该协议的设备进行实时的监控，对网络中发生的故障进行报警，从而减少系统管理的管理难度和管理工作量，自动发现管辖区域内或指定的搜索地址范围内的网上资源，并自动以不同的图标表示不同的设备；自动过滤各种事件，并在监控屏幕上出现警告信息，还可以根据预先定义的操作自动进行相应的处理；将网络管理数据实时或者以批处理的方式传入关系型数据库系统中，从而为大量网络管理数据的处理，分析，报表制作提供方便。 此外，强大的报表功能、与 Web 的集成、灵活的二次开发接口等，均是网管软件具有特色的功能。 系统管理 系统管理包括对关键资源的可用性和可靠性的管理，如数据库、操作系统、应用软件等。 系统管理面临的任务之一是高效、稳定和集中的控制以及主动管理（在故障发生前就加以处理）。 系统管理软件需要实现分布式环境下的集中和可靠的系统管理，还要在整个网络环境中自动执行预定义的故障预防和修正操作。 使用系统管理软件，工作人员可以主动管理多种分布式资源而只需极少的人工干预。 系统监视工具包括：所有 Windows NT 性能监视器、应用 程序状态、数据库状态（ Informix、 Microsoft SQLServer、 Oracle、 Sybase）、磁盘监视器、文件监视器、网络监视第 18 页 器、打印机监视器、安全性监视器（指定用户的登记情况、根目录登记情况、文件许可）、系统资源监视器等，还可集成自行开发的工具（内部开发的监视工具或第三方监视工具）。 安全系统设计 安全系统概述 计算机网络系统的安全保护，是指保障计算机及其相关的配套设备、设施 (含网络 )的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。 总体来 看，计算机网络的安全应包含以下三方面的内容： 保密性 完整性 可用性 从计算机信息系统实现的角度，可以将计算机信息系统的安全分为三类，即实体安全(Physical Security) 、运行安全 (Operation Security) 和信息安全 (Information Security)。 系统安全的目标和原则 应该看到，信息安全系统技术比较复杂，安全策略所面临的威胁也会随着时间的推移和技术的发展在变化。 另外，由于网络安全的投资较大，安全产品的价格也很昂贵，因此必须有一个准确的风险定位，才能准确合理地制定出好 的安全策略，设计出好的安全解决方案，使投资合理化、实用化。 网络的攻击与防护是一对矛盾，严格地说，没有也不可能有绝对的网络安全，我们所说的安全只是在现时安全技术发展水平和努力提高单位领导和工作人员信息安全意识的前提下，能达到的最大安全保护程度。 在此方案实施后，完成对全局各单位、各项目的网络安全的评估、与安全方案的规划，并对信息中心及部分业务处的安全方案加以实施。 并在此基础上协助客户制定出相应的网络安全体系标准，并对以后进行的网络安全建设进行规范，使网络安全系统切实做到： 确保传输信息的保密性和完整性； 第 19 页 建 立完善的授权访问控制机制； 有较强的主机监测和预警能力； 具有网页非法修改报警的能力； 整个系统具有良好的防病毒功能； 具有严密的跟踪审计功能和分析处理能力； 保证网上安全设备的高效和稳定。 由于办公业务网是一个多用途的网络系统，除了包括办公自动化、文件共享等一系列常规应用外，还包括涉及政府部门机密的业务系统，因此网络的安全在办公业务的建设中尤为重要。 网络安全保障系统的目标就是对政务网进行安全保障，使网络能抵御各种安全威胁，包括物理硬件本身的安全威胁、信息出入口的安全问题、操作系统的安全脆弱性、传输协议存在 着的安全问题等。 系统必须具备整体的安全性与可靠性，本方案从多个角度考虑系统的安全性建设。 根据应用方面的要求，以系统和应用方面的安全考虑为重点论述，重点分为数据库和 WEB 应用的访问控制，网络防病毒、主机监测和安全预警系统以及建立 PKI 体系的 CA 认证系统等几个部分。 在网络安全系统设计时，要求遵循以下原则： 先进性与实用性相结合的原则 结合网络使用需求，在满足安全保密性的基础上，考虑系统的性价比，确定最优方案； 易操作原则 所制定的安全与可靠性措施易于操作与掌握； 扩展性原则 安全与可靠性措施必须能随着网络性 能及业务需求的变化而变化，具有良好的可扩展性； 标准性原则 符合国际上有关的通信协议和接口标准 成熟性原则 选用成熟的安全设备及软件产品。 安全系统采用设备符合国家安全保密的有关规定，并获得国家有关部门的认证； 国产化原则 考虑到政府保密的要求，主要选用国产安全设备及软件产品来建设网络； 第 20 页 规范性原则 要符合国家主管部门颁布的相关政策法规，符合公安部的相关要求。 安全体系结构模型 在仔细研究了多种信息网络安全体系结构后，我们提出了适合网络系统安全系统的三维立体框架结构的安全体系结构模型，如下图所示。 信息网 络安全体系结构 该模型分别从安全服务、协议层次和系统单元三个层面对信息网络的安全体系的建设进行了全面的分析。 从下图中可以看到，所有三个层面都包含了安全管理的内容，这正体现了技术手段为辅、严格高效的管理为主的现代管理思想。 安全服务层次从各种单元安全解决方案所必需的一些基本安全服务的角度出发，来考察信息系统安全体系的建设。 这些基本安全服务包括身份鉴别、访问控制、数据完整性、数据保密性、抗抵赖、审计跟踪和可用性服务。 国际标准化组织所定义的安全体系结构中包括身份鉴别、访问控制、数据完整性、数据保密性、抗抵赖等五 种重要的安全服务，这些安全服务反映了信息系统的安全需求。 这五种服务并不是相互独立的，而且不同的应用环境有不同的程度的要求，在下图中给出了主要安全服务之间的逻辑关系。 第 21 页 各种安全服务之间的逻辑关系 这五种安全服务贯穿于主体（人、应用程序、系统程序、设备等）访问客体（各种软 /硬件资源）的整个过程。 分析表明，在信息系统中，最为重要也最为普遍的安全服务是实体的身份标识和身份鉴别、以及各种资源的访问控制。 在 TCP/IP 协议的不同层次，实体都有主体和客体（或资源）之分：在网络层，对主体和资源的识别以主机或协议端口为 粒度，身份鉴别服务主要指主机地址的鉴别，网络层的访问控制主要指防火墙等过滤机制；在应用系统中，主体的身份鉴别以用户为粒度，客体是业务信息资源，身份鉴别是指用户身份的鉴别和应用服务的鉴别，访问控制的粒度可以具体到某种操作，如对数据项的追加、修改和删除。 在开放式应用环境中，主体与客体的双向身份鉴别非常重要。 从上述安全服务模型可以得出如下结论：对资源的访问控制是安全保密的核心，而对实体的（用户、主机、服务）身份鉴别是访问控制的前提。 系系 统统 安安 全全 的的 总总 体体 框框 架架 结结 构构 根据我们对 XXX 政务网络和应用系统安全需求的理解，我们 建立了如下的系统安全的总体框架，用于网络系统项目的具体设计实施考虑： 第 22 页 安 全策 略和管 理经 贸专 网电 信 公 网友 商 网 经 贸 网 I n t e r n e t授 权 管 理 基 础 设 施公 共 安 全 服 务 平 台M I S / O A系 统对 外 信 息发 布 系 统应 用系 统传输加密VPN防病毒防火墙完整性...身份认证入侵检测备份容灾。 漏洞扫描网管A A 中 心公 钥 基 础 设 施K M 中 心 C A 中 心 系统安全总体设计实施结构图 在具体的方案技术设计中，我们采用上图作为我们设计实施的指导原则，具体解释如下： 从纵向考虑，信息安全分为网络基础设施、智能化信任和授权服务层和安全应用层；网络基础设施和智能化信任和授权服务层构成了安全应用层的基础 从产品和技术来看，信息安全不仅涉及具体的信息网络设备，还主要涉及了信息安全策略和管理；体现了技术为辅、管理为主的现代管理思想 在具体实施中，须 遵循总体设计、分布实施和不断完善的信息安全概念 网网 络络 系系 统统 安安 全全 需需 求求 分分 析析 一般讲，网络安全的需求如下表： 网络安全需求和主要技术一览表 OSI 七层协议 TCP/IP 协议 安全需求及主要技术 应用层 进程层 应用程序的保密要求，主要技术有 SHTTP、 PGP、 SMIM、开发专用协议等 表示层 会话层 传输层 传输层 传输的数据的保密，主要技术有 SSL 协议和基于公钥的 认证和对称钥加密技术等 网络层 网络层 访问控制的需求，主要技术有包过滤、 IPSEC 协议、 VPN 等 . 数据链路层 数据链路 链路的保密要求，主要技术为数据链路的加密技术 第 23 页 物理层 层。