三大設計提高效率
2019-11-04 22:39:20
供稿：網友
國家質量監督檢驗檢疫總局（簡稱國家質檢總局）整個網絡的架構可分成如下部分：局域網的設計（包括核心和樓層接入部分）、廣域網連接的設計（連接其它部門和機關）、網絡安全的設計。
局域網設計大容量
局域網絡設計充分體現了大容量、高性能、高可用性、服務質量保證、易擴充、便于治理的安全網絡的概念。北電網絡的局域網解決方案采用層次化、分布式結構，核心層和接入層明確。
核心層提供高速交換、會聚、路由和策略能力。接入層提供樓層、分支機構的數據接入，選用NORTEL Passport 8600作為核心層的交換機，提供高速數據交換，Baystack交換機系列作為接入層的設備。
接入層要求有靈活的擴展能力，配置Baystack 420可堆疊交換機便于將來擴充接入的能力。
網絡設計考慮到及時、準確的網絡故障報警，減少故障的解決時間，日常的維護治理及網絡使用情況的統計，建議配置NORTEL的網絡治理系統Optivity網管軟件，從而使得復雜網絡治理實現簡單、高效。
傳輸是網絡的基本功能，因此網絡層的目的是高效、可靠地轉發數據。北電網絡的Passport 8600路由交換機支持VRRP協議，為網絡提供冗余路由。因此在網絡設計中體現了網關的備份，提高設備的可用性。
廣域網設計易溝通
根據用戶的需求，國家質檢總局全國數據通信專用網以及國家質檢總局Internet接入網絡進行分別設計。
全國數據通信專用網。廣域網設計成一種兩級星型拓撲邏輯結構網絡。各直屬局以國家總局為中心呈星型互連，構成一級網絡；各下屬局以其所屬直屬局為中心呈星型互連，構成二級網絡。廣域網主干鏈路采用2M SDH或2M幀中繼PVC。另外，為保證骨干網的可靠性，隨著應用的發展及對廣域傳輸帶寬需求的不斷增加，在上述拓撲結構的基礎上可方便地實現廣域網的擴展。同時，為了保證網絡的可靠性，在網絡的一級中心設計使用多臺路由器（在北京國家總局網絡中心增加一臺路由器），從而形成兩臺路由器互為熱備的穩拓撲架構。
國家質檢總局Internet接入網絡。由于質量監督檢驗工作的業務突發性很強，這就需要良好而穩定的遠程訪問系統以滿足在外辦公人員對總局的信息資源的訪問。目前，位于北京的國家總局放置一臺路由器，配置模擬MODEM接口，以滿足出差人員的遠程訪問需求。
質量監督檢驗是一項復雜的工作，需要和國家其他相關部委保持經常性的聯系。所以，國家總局放置兩臺路由器，作為分路由器用于與其他個機關的互連以及Internet的接入。
安全設計三層防護
物理安全策略的目的是：保護計算機系統、網絡服務器、打印機等硬件實體和通信鏈路免受自然災難、人為破壞和搭線攻擊；驗證用戶的身份和使用權限、防止用戶越權操作；確保計算機系統有一個良好的電磁兼容工作環境；建立完備的安全治理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發生。物理安全是信息安全的保障，是系統不可缺少或忽視的。
物理安全防范措施主要體現在機房環境要求、設備物理防范和介質安全三個方面。保證計算機信息系統各種設備的物理安全是整個計算機信息系統安全的前提。系統采用VLAN劃分、防火墻、漏洞掃描、入侵檢測等幾方面安全技術解決網絡安全問題。根據國家質檢總局需求分析，總局有一定網絡區域劃分，方案主要從質檢總局網絡邊界安全考慮。
Internet接入是總局網絡邊界的主要接口，有必要設置防火墻進行邊界安全防護。由于防火墻是處理內網和Internet之間的信息交換，要求此防火墻從安全性和抗攻擊性能上達到相當的水平，并且還要能夠保證DMZ區的服務器對外提供服務的質量，以及其它需要訪問Internet的服務器或客戶端的服務質量。
防火墻的Untrust（OUTSIDE）口接入路由器，DMZ口接Web交換機，Trust（INSIDE）口接中心交換機。
通過建立開放區（DMZ）或反向NAT，可以讓外部網用戶訪問企業內部網服務器，由于DMZ與Local Net不在同一物理網絡內，可以保證內部網絡的安全。企業客戶、員工假如想通過Internet連接到內部網，只要通過系統認證，就可以通過防火墻訪問內部網絡。
涉密防火墻作為保護涉密網的網關級訪問控制和安全防護設備，更要求能夠提供高等級的安全級別，并能夠和全網的安全系統協同工作和集中治理。涉密網防火墻放在內部防火墻后面，從而實現三層防護。
