昌平电子政务网络改造设计方案.doc

昌平政府电子政务网络改造设计方案 福建星网锐捷网络有限公司2011年11月3日目 录第1章 项目概述31.1 项目背景31.2 设计原则3第2章 昌平政府电子政务网络状描述42.1 现有网络拓扑42.2 具体需求5第3章 网络改造详细设计方案63.1 总体设计思路63.2 详细设计方案73.2.1 网络系统设计73.2.2 reup技术83.2.3 运维管理系统设计101)产品的体系架构112)产品的技术特点12第4章 项目实施步骤141)一期实施142)二期实施14第5章 设备清单15第1章 项目概述1.1 项目背景电子政务是信息社会政府管理发展的一种新趋势，已成为世界各国政府关注的焦点。胡锦涛同志在十七大报告中明确指出：“健全政府职责体系，完善公共服务体系，推行电子政务，强化社会管理和公共服务。”温家宝同志也明确指出：“推进政务公开，完善新闻发布制度，加强电子政务建设。”昌平电子政务内网作为昌平区电子政务网络的重要基础设施，是提高机关工作效率和公共服务水平、推进行政管理体制改革的重要保障。加快建设政务内网，对于贯彻落实科学发展观，构建社会主义和谐社会，增强各级政务部门的执政能力，提高执政水平、构建服务型政府都具有十分重要的意义。 目前昌平电子政务内网的建设主要围绕以下职能：l 为各级政务部门提供应用和不能在外网上运行的业务提供网络承载服务。l 支持各业务之间的互联互通，支持跨地区，跨部门的业务应用，信息共享和业务协同，满足各级政务部门的需求。l 确定政务内网统一安全策略，建设信息安全基础设施，构建统一的网络防护体系和统一的信任体系，保障政务内网安全可靠地运行。锐捷公司作为国内著名的网络设备及解决方案供应商，秉承“敏锐把握应用趋势，快捷满足客户需求”的核心经营理念，依靠对政务工作与政府安全保护的全面了解，提供先进的网络承载与管理解决方案构建昌平区电子政务内网。1.2 设计原则本次网络项目改造遵循如下原则：l 可靠性：采用完全可靠的连接方式，在出现单台交换设备故障时，保障网络通信服基本不受影响。l 兼容性：新增的网络设备是必须是成熟的、同现网的cisco设备互相兼容，遵循国际标准。l 可管理性：工程实施后，应尽可能方便政务网的运行维护管理，减轻运维人员的工作负担，部署统一的系统管理软件，实现对网络、服务器、业务的统一管理。l 灵活性及可扩展性：根据未来业务的增长和变化，网络可以平滑地扩充和升级，最大程度的减少对网络架构和现有设备的调整。l 可实施性：工程实施应该尽可能简单易行，尽量减少对已有设备的影响。第2章 昌平政府电子政务网络状描述2.1 现有网络拓扑昌平区政府现有的电子政务网络如上图的示：整个网络分为两个部份l 一是位于昌平政府的电子政务网：核心由一台cisco 6500交换机构成，在各分支机构部署接入交换机通过联通线路（fe）接入核心。l 二是托管在昌平歌华机房的党建的网络：核心由一台cisco 6500交换机构成，在各分支机构部署接入交换机通过歌华线路接入核心。l 二部份网络通过光纤互相连接，实现位于昌平政府的电子政务网与托管在昌平歌华机房的党建的网络的互联互通。2.2 具体需求根据昌平区政府关于政务网的需求，主要对位于昌平政府的电子政务网络进行改造。主要实现两个目标：l 通过改造实现网络的冗余，消除单点故障，主要实现网络核心及各分支机构接入线路的冗余。l 简化系统的管理，实现对网络基础平台、业务系统、应用资源系统的统一监控与管理。第3章 网络改造详细设计方案3.1 总体设计思路根据客户需求改造后的拓扑如上图所示，改造的网络是位于昌平政府的电子政务网络。结构的改造，由原来的两层网络结构改造成三层的网络结构。l 核心层：由两台锐捷rg-s8606替代原有的一台核心交换机cisco 6500，两台rg-s8606为主备关系。原有的cisco6500核心交换机做为网络出口的接入交换机。l 汇聚层：在每个分支机构部署一台锐捷57交换机做为汇聚交换机，通过两条线路分别接入两台核心交换机。并通过锐捷独有的reup技术实现线路的冗余。l 接入层：采用原有cisco29交换机做为接入交换机，以实现对旧设备的充分利用。l 运维管理：部署锐捷rg-riil实现对it环境中各类基础设施的监控，包含有网络、系统、安全设备、数据库、中间件、业务系统、存储设备和机房环境等系统的监控管理，实现it基础设施的集中式监控管理等功能，做到“有故障、早发现、早解决”的建设思路。3.2 详细设计方案3.2.1 网络系统设计为提高网络的性能，减少网络瓶颈，同时便于网络的实施及管理，电子政务内网分三层：核心层、汇聚层、接入层。核心层设备的所有关键模块均实现1+1冗余，易于扩容和维护。所有模块具备热插拔的功能。 核心层：完成网络各汇聚节点之间的互联以及实现高效高速的数据处理、传输、交换转发及路由分发。 汇聚层：负责将各种接入业务集中起来，除了进行局部数据的交换、转发以外，通过高速接口将数据输送到核心层去，在更大的范围内进行数据的路由以及处理。接入层：提供各种标准接口将数据接入到网络中，完成基本的业务系统之间的隔离和安全性控制、认证管理等功能。1) 核心层 核心层节点位于电子政务信息中心，主要完成网络覆盖范围内所有业务的高速交换和路由转发，对网络的可靠性、业务的支持能力和报文的转发性能有很高的要求。因此骨干核心交换机要求具有高性能的交换处理能力，灵活的可扩充性，特别强调设备的高可靠性、高可用性要求。在中心核心层节点采用大容量、高性能的路由交换机，以提供强大的qos保证机制，完备的业务控制、用户管理能力，以及电信级的可靠性和高密度、大容量交换能力，从而完全满足政府当前业务的处理。我们推荐采用采用两台基于十万兆网络平台的rg-s8606网络核心路由交换机，通过千兆或万兆双链路互联，实现政务系统内部的高速网络交互核心平台。 考虑到数据的可靠性，我们采用了双链路接入两个核心设备的设计形式。从上图可以看，我们在核心层设计考虑了主、备核心设备之间的带宽瓶颈问题，我们在主、备核心交换机之间采用了链路聚合方式，提高双核心设备之间访问的线路带宽，克服了核心层的网络带宽瓶颈问题。2) 汇聚层汇聚层节点由部署在各分支机构的锐捷57交换机组成，它通过两条线路接入核心层，一条是原有的联通线路（fe）做为主线路，另一条新增的歌华线路（ge）做为备份线路。并通过锐捷独有的reup技术实现线路的冗余。3) 接入层 电子政务内网的接入层对应于区政府内部各部门办公局域网的接入，采用原有cisco29交换机做为接入交换机。3.2.2 reup技术在本次网络改造过程中，采用锐捷独有的reup技术实现线路的冗余，它具有以下优点。reup（rapid ethernet uplink protection）提供一个快速上链保护的功能，是一种为双上行链路提供可靠高效的备份和切换机制的解决方案，能够提供更快速的收敛性能，常用于双上行组网方式。相对于传统的通过stp/rstp实现双上行链路备份的解决方案，reup可以实现收敛时间50ms，ip电话、视频会议业务不受网络切换影响1) 工作原理reup成对配置上链端口，其中一个端口为主端口(active)，另一个端口为从端口(backup)，在两个端口都link up的情况下，默认配置从端口处于standby状态，处于standby状态的端口是不能转发数据流的，当处于转发状态(up)的主端口发生故障时，处于standby的从端口会立即切换成up状态并提供数据传输。默认情况下从端口处于standby状态，不转发数据，一个例外就是在用户配置了vlan负载均衡的情况下，主端口和备份端口会根据用户配置的vlan信息各自负责部分vlan的数据转发。此外通过配置，reup还会向上游设备发送地址更新通告，使得上游设备可以即时更新mac地址信息，快速恢复上链交换机的下行传输，防止报文丢失，达到报文快速收敛的功能。2) 锐捷reup技术特点l vlan的负载均衡vlan负载均衡允许reup对的两个端口同时转发不同vlan的数据报文，以便充分利用链路带宽。如上图所示，在交换机a的两个端口1，2上配置reup对；启用reup的vlan负载均衡功能，配置vlan 1-100的数据由端口1传输，vlan 101-200的数据由端口2传输。当其中的一个端口发生故障时，由另外一个端口负责所有vlan的传输；当发生故障的端口恢复过来后，把它负责的vlan的传输从另外一个端口上切换过来。l mac地址更新reup正常工作状态图 reup发送mac地址更新报文后的状态图如上图所示，reup的mac地址更新提供一个链路发生故障切换时使上链交换机从新的端口上学习到mac地址，从而快速恢复上链交换机的下行传输，达到报文快速收敛的功能。l 快速收敛stp协议与reup类似，可以提供链路的冗余备份，其收敛时间最快为30秒左右，rstp协议完全向下兼容802.1d stp协议，除了和传统的stp协议一样具有避免回路、提供冗余链路的功能外，最大特点就是收敛速度更快，但其收敛时间最快也为2秒左右，收敛时间均处于秒级。而reup最主要的特点和优势就是“快”，在提供可靠高效的备份和切换机制的解决方案的同时，能够提供更快速的收敛性能，其收敛时间在50ms以下，处于毫秒级。3.2.3 运维管理系统设计当前的信息化已经从基础网络建设，应用系统建设，逐步进入了一个应用和网络融合发展，网络和应用系统复杂度和规模不断成熟和扩大的时期，ip技术也逐步成为关联和承载各种数据，工作流，应用交互，多媒体信息等业务的关键基础架构，一方面，所有的服务于组织核心业务的这些信息系统，都需要基于ip技术来实现互联互通，另一方面，ip技术也为对这些复杂信息系统进行访问和管理提供了一个一致性好，覆盖面广，实时性好的管理通道。让基于ip基础网络，实现各种网络，计算，存储，和应用的综合管理成为可能。本建设方案采用锐捷riil平台+bmc模块，通过数据接口和定制模块来扩充系统能力，以客户化定制来进一步贴近用户业务和服务监控环境，形成一体化、实用化的解决方案。1) 产品的体系架构在本项目中，锐捷推荐采用riil平台+bmc模块，具备如下功能：1、业务监控l 对业务系统进行分析、采集和监控l 业务系统评估、建模，创建业务系统中各子系统的关联关系l 业务卡片视图，将业务系统关联、整合并以卡片形式予以直观呈现l 业务健康度、繁忙度、风险度评估模型，对业务系统进行全面、深入的监控2、网络资源监控l 360度网络自动发现，拓扑自动计算，线路自动计算l 全网及网络设备性能监控，自动发现网络瓶颈，统计网络负荷l 网络故障自动发现，关联性告警信息，提供运维知识库，告警快速传达机制l 网络流量监控，自动监控全网流量分布情况，支持设置阶段性流量告警阀值3、应用资源监控l 对windows、linux、hpux、ibm aix、sun solaris等主流操作系统进行工作状态、性能状态和告警等综合信息监控l 对oracle、sql server 、mysql、db2等主流数据库进行工作状态、性能状态和告警信息等综合信息监控，掌握数据库从用户连接、表空间、缓冲池、内存池、连接池等诸多运行状态信息l 对websphere、weblogic、tomcat、jboss、tuxedo、apache、resin等中间件进行工作状态、性能状态和告警信息等综合信息监控l 对基础网络应用进行状态监控，例如对dns、ftp、dhcp等服务的工作状态和性能状态进行监控2) 产品的技术特点1、面向业务的管理平台与市场上常见的网管软件不同之处，在于riil平台站位更高，着眼点在业务系统的关联关系、整合和呈现，通过业内先进的业务评估模型，从保障关键业务的运行角度出发，来透视和管理各种基于ip网络的it资源，就能够起到提纲挈领，化繁为简的效果，有效提升it业务服务质量。2、严谨的安全防范策略riil平台充分考虑到政府行业对数据安全和访问权限的严格限制和管理措施，从产品设计之处就制定了严谨的数据安全和访问权限的策略，从功能角度来说分为如下三部分：l 数据采集和访问：采用动态密文形式的snmp v3协议和ssh安全访问协议进行数据采集工作，确保数据在采集、传输过程中的安全。l riil平台管理：远程终端登录到riil平台，采用基于ssl的安全超文本传输协议（https）进行访问和管理操作，确保riil平台在管理过程中的数据安全。l riil平台数据存储：riil平台采用des双密钥数据加密技术，确保敏感数据在存储过程中的数据安全。3、全方位集中式监控平台riil平台能够实现对it环境中各类基础设施的监控，包含有网络、系统、安全设备、数据库、中间件、业务系统、存储设备和机房环境等系统的监控管理，实现it基础设施的集中式监控管理等功能，做到“有故障、早发现、早解决”的建设思路。riil平台对监控对象提供基于“性能基线”的阀值告警机制，通过根据一段时间的运行参数采集，系统自动掌握信息系统在“忙时”和“闲时”的负荷情况，自动生成性能负荷基线，在超过（或低于）基线一定比例（如60%）为告警阀值，实现性能与故障监控的智能化，显著降低告警的误报比例，在为管理员提供了工具的同时，也提供了相应的运维经验。4、统一告警控制平台riil平台基于开放式的事件关联整合技术、事件自动建模技术的统一告警控制平台，采用先进的基于规则库的事件识别与归并处理引擎，可以每秒钟处理上千条事件，高性能的收集和处理能力是保证告警控制平台高效的工作效率的决定性影响因素。提供开放式的数据集成接口，可以接收来自不同厂商、不同设备、不同软件系统发出来的管理信息，从而保证所有it资源信息的集成整合，从而真正实现统一也是唯一的告警控制平台。通过先进的告警规则库，可以根据用户的实际环境和设备，自由定义告警的类型、级别，归并和压缩规则，屏蔽规则和关联分析规则等相关功能，去伪存真，拒绝大量垃圾告警，快速定位故障本源。5、高交互性和可视化效果的界面riil平台在设计上采用先进的交互性、可视化展现模型，基于业界先进的flex展现技术，显示了动态的、变化的、可编辑的数据和图形，提高了技术人员在web平台上的交互式操作能力。riil平台在展现内容上，提供模块化、可定义的浏览视窗，支持用户定义展现窗口、展现规格和图形显示模式，用户可自由切换k线图、柱状图、饼状图等各种展现效果，具备良好的交互性操作和美观的可视化展现效果，非常适合匹配高清大屏进行集中展现。第4章 项目实施步骤根据客户需求本项目分二期实施：1) 一期实施一期实施拓扑如下图所示：一期实施内容：l 核心层：完成两台主、备核心层交换机部份实施，每台核心交换机仅配置，单引擎、单电源、与相应的光纤模块、板卡。l 汇聚层：完成两个分配节点的设备配置，剩下的两个节点二期实施。一期设备详见“第5章 设备清单”2) 二期实施二期实施内容：l 核心层：为两台核心交换机分别增配一个引擎及一个电源，及相应的光纤模块l 汇聚层：完成剩下的两个节点二期实施。l 完成riil运维管理系统的部署。二期设备详见“第5章 设备清单”第5章 设备清单一期项目设备配置清单产品型号产品说明数量核心交换机-s8606（一期）s8606-chassis6扩展槽主机箱（含风扇阵列柜，不含电源和管理引擎模块及业务板卡）；整机提供1.6tbps的背板带宽和800gbps的交换容量，支持595mpps转发能力2m8606-cm ii二代管理引擎模块，支持冗余，提供1个usb接口，1个10/100m mgmt带外网管接口及1个console接口2rg-pa1200e交流电源模块（可以冗余，1200w，配16a电源线和电源插头，长度3m）2m8600-24sfp24个100/1000m自适应千兆光口线卡2fe-esfp-lh15-sm1310增强型100m单模接口模块（15公里），lc接口，波长1310nm4ge-sfp-lx-sm13101000base-lx spf千兆单模模块，10km，lc接口，波长1310nm10汇聚交换机-rg-s5750-24sfp/12gt（一期）rg-s5750-24sfp/12gt1.提供24个千兆sfp光口，sfp光口支持千兆光模块和百兆光模块，同时12个千兆电口（与12个光口复用）2.提供2个扩展槽，提供2个10ge接口扩展2fe-esfp-lh15-sm1310增强型100m单模接口模块（15公里），lc接口，波长1310nm2ge-sfp-lx-sm13101000base-lx spf千兆单模模块，10km，lc接口，波长1310nm2二期项目设备配置清单产品型号产品说明数量核心交换机-s8606模块（二期）m8606-cm ii二代管理引擎模块，支持冗余，提供1