网络信息系统设计方案teanv

网络信息系统设计方案2012年 6 月目录第 1 章概述. (3)1.1 项目背景 (3)1.2 需求分析 (3)1.2.1 现状介绍 (3)1.2.2 存在的主要问题 (3)1.2.3 建设目标 (4)第 2 章系统建设方案 (5)2.1 设计原则 (5)2.2 方案设计 (6)2.2.1 政务外网网络 (6)2.2.2 政务内网网络 (7)2.2.3 综合布线设计 (8)第 3 章产品概述 (12)3.1 防火墙 (12)3.2 IPS 入侵检测系统 (13)3.3 网络防病毒系统 (14)3.4 审计系统 (15)3.5 网络设备清单 (15)第 1 章概述1.1 项目背景随着我国信息化建设的深入，特别是电子政务的发展，以及第三方信息服务商的成熟和服务不断完善，计算机技术的应用发展而产生根本性的变化，各级政府领导和机关工作人员信息化意识大大增强；办公业务领域的计算机应用不断普及，公文、信息处理的效率进一步提高；一支既懂办公自动化技术又熟悉机关业务的专业队伍已经形成。

这些新成果充分说明，办公自动化工作已经具备了向更高层次进一步加快发展的必要条件。

所有这些，都为推进政府信息化建设奠定了良好而扎实的基础。

1.2 需求分析1.2.1 现状介绍各办公室集中于一个楼层，目前网络是租用联通 ADSL连接互联网，没有严格区分统一的内网和外网网络系统。

根据国家信息化建设的需求，正计划申请接入省电子政务内网与政务外网网络。

1.2.2 存在的主要问题1. 根据国家信息化建设及等保建设要求，没有建立统一的政务内网，政务外网，政务专网系统。

2. 现有的外网系统没有与互联网逻辑隔离。

3. 网络出口堵塞，非工作流量占用带宽现象严重，上网行为无法得到有效控制。

4. 办公网络系统病毒泛滥，缺乏专门有效的病毒防范机制。

1.2.3 建设目标结合的实际状况（临时租用的写字间作为办公室），工作业务需求及相关政策规定，的网络应建立两套独立网络系统：政务外网系统，政务内网系统。

两套网络系统物理隔离，政务外网系统接入互联网。

政务内网接入省电子政务内网，各部门统一连接到一起，实现信息资源交流与共享。

各项工作通过政务内网与国家，省市县各部门信息传递，改变现在需专人送达文件的现状。

通过此次网络系统建设，将为各部门的办公业务需求提供良好的信息服务平台。

第 2 章系统建设方案2.1 设计原则本期 xxxx 网络系统平台建设遵循并体现如下设计原则：体系化设计原则剖析网络的层次关系，遵循先进的信息安全理念，提出科学的信息安全体系框架和信息安全体系，并根据信息安全体系分析存在的各种安全风险，从而最大限度地处理好存在的安全风险，解决可能存在的安全问题。

可控性原则采取的最有效的技术手段达到安全可控的目的，技术解决方案涉及的工程实施应具有可控性、有效性。

系统性、均衡性、综合性设计原则从全系统出发，综合考虑各层面安全问题，各种安全风险，采取恰当的安全措施，并根据风险的大小，采取不同方式的风险处置方法，提供具有最优的性能价格比的安全解决方案。

可行性、可靠性原则必须保证在采用此方案后，政务系统网络通畅，可靠，提供最优安全保障。

标准性原则方案的设计、实施以及产品的选择以相关国际、国家的安全管理、安全控制、安全规程为参考依据。

持久性、可扩展性原则网络建设工作并不是经过一次系统工程建设后，就能高枕无忧，而是随着安全事件的不断变化而不断完善。

根据网络建设的需求，不断更新，扩展，逐步的将系统平台建设的更加完善。

2.2方案设计根据国家的信息化建设需求，信息安全建设相关规定，结合的网络需求，此次XXXX网络系统平台建设方案包括三部分政务外网网络政务内网网络综合布线设计2.2.1政务外网网络Jflf'K 剛户贰2.2.1.1政务外网拓扑图政务外网的网络架构采取扁平式架构，避免过多接点导致的网络故障。

采用一台核心层交换机与两台接入层交换机，构成该网络系统的基础通讯平台。

边界网络采用防火墙，入侵检测，防病毒网关等安全设备，为政务外网系统保驾护航，为的应用提供足够的安全性，可靠性。

政务外网专线光纤入户，接入弱电机房，与机房内的防火墙设备直接连接,核心交换机通过跳线与机房内接入层交换机连接。

政务外网的设备安装在机房外网机柜内。

如上图所示，通过防火墙与互联网连接，防火墙负责网络边界安全与访问控制。

下联一台核心交换机与接入交换机，接入交换机将各科室网络信息点统一管理访问政务外网。

并且在网络中部署入侵检测系统与网络版防病毒服务器，用户终端电脑安装网络版防病毒软件。

222政务内网网络政务内网建设是本次项目的重要组成部分，建设标准须符合国家的信息安全建设需求，政务内网通过专线与省电子政务内网连接，为日常各项工作的安全性提供了的平台保障支撑。

2.2.2.1政务内网拓扑图如上图所示，通过防火墙与省电子政务内网连接，入侵检测、安全审计等安全设备接入网络中负责安全防护。

一台核心交换机与二台接入层交换机负责承载用户网络访问服务。

防病毒服务器作为防病毒与安全审计系统的控制中心平台。

办公自动化系统服务器在网络中作为承载办公自动化系统的平台。

用户终端电脑安装网络版防病毒软件。

业务访问方面，在防火墙上设置访问策略，与省电子政务内网有信息交互的用户可以访问省电子政务内网，而其它用户则不允许访问省电子政务内网。

入侵检测系统能够帮助网络系统快速发现攻击的发生，它扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的健壮性。

使用审计系统对用户的网络行为监控、网络传输内容审计（如是否在工作时间上网冲浪、聊天，是否访问不健康网站，是否通过网络泄漏了单位的机密信息，是否通过网络传播了反动言论等），掌握网络使用情况，提高工作效率，网络传输信息的实时采集、海量存储、统计分析，网络行为后期取证，对网络潜在威胁者予以威慑。

2.2.3 综合布线设计综合布线系统是一项实践性很强的工程。

它是现代社会信息化的必然产物，是多功能、智能型大楼的必然要求。

综合布线系统对基于各种系统资源的大楼总体功能的发挥并保持各部门长期、高效率的运转发挥着重要的作用。

完善的布线系统工程必须完成六个方面的工作 : 方案论证、系统设计、工程施工、统验系收、文档说明和应用培训。

2.2.3.1 设计标准本方案设计依据的标准有 :1. ISO/IEC 11801 标准 ;2. EIA/TIA 568A 标准3 EIA/TIA 569 标准4. EIA/TIA-606 标准5. EIA/TIA-607 标准6. CECS 72:97 << 建筑与建筑群综合布线系统设计规范 >>7. CECS 72:97 << 建筑与建筑群综合布线系统施工及验收规范 >>8. YD/T 2008-93 << 城市住宅和办公楼电话通信设施设计标准 >>9. YDJ26-89 中华人民共和国邮电部标准 << 通信局（站）接地设计暂行技术规定 >>（综合楼部分）2.2.3.2 布线系统的参考因素1 •产品体系是否满足ISO11801 标准的要求；2 •布线系统产品系列是否完善；3 •产品生产是否符合ISO9000系列质量保证体系认证；是否通过UL, CAS 检验；4 •根据用户特定的情况，是否满足设计和应用的需求；5 •是否有切实可行的长期质量保证体系。

2.2.3.3 施工要求1 水平子系统水平子系统的走线管道由两部分构成：一部分是每层楼内放置水平传输介质的总线槽，另一部分是将传输介质引向各房间信息接口的分线管或线槽。

从总线槽到分线槽或线管需要有过渡连接。

线槽中放置的双绞线应不超过线槽总容量的 70% 。

在线槽中放置的双绞线密度过大会影响底层双绞线的传输性能。

水平线槽一般有多处转弯，在转弯处应留有足够大的空间以保证双绞线有充分的弯曲半径。

根据 EIA/TIA569 标准，五类 4 对非屏蔽双绞线的弯曲半径应不小于线径的 8 倍。

最新的标准认为，弯曲半径大于线径的 4 倍已可以满足传输要求了。

但有一点是重要的，即保持足够大的弯曲半径可以保证系统的传输性能。

在水平线槽的转弯处，应有垫衬以减小拉线时的摩擦力。

水平子系统线槽采用镀锌铁槽。

2 垂直子系统垂直子系统的线槽引向管理子系统布线柜的部分可能需要沿水平方向安装，由垂直向水平过渡应留有足够大的空间以保证电缆有充分的弯曲半径。

3 管理区子系统管理区子系统是工程施工中考虑最复杂的部分。

这部分施工应充分考虑环境影响和端接工艺的影响。

电磁辐射是考虑管理区子系统安装环境的主要因素。

电磁辐射的影响主要来自两个方面，一是环境对系统传输的影响，一是系统在信息传输过程中对环境设备的影响。

在建筑物内，环境对系统传输的影响主要来自强电磁辐射源，如电台，建筑物内的电梯，马达， UPS 电源，等。

如果环境中这些干扰源的影响较大，因考虑采取屏蔽措施，或选择距离较远的位置。

布线系统的端接工艺是直接影响系统性能的重要因素。

在 AMP 的系统性能参考手册中强调这部分工作应该由专业工程师安装。

连接配件的安装工艺主要影响布线系统的近端串扰和衰减，而这两个参数是判断系统性能的重要依据。

在 AMP 的安装指南中要求双绞线的绞合拆开小于 0.5 英寸。

在管理区子系统还要考虑环境的通风，照明，酸碱度，湿度等条件，这些因素将对端接配件造成腐蚀和老化，日久之后会影响系统的性能。

管理区子系统内的安全性也要加以考虑，端接配件最好安装在布线机柜或墙柜内。

4 工作区子系统工作区子系统在施工时要考虑的因素较多，因为不同的房间环境要求不同的信息墙座与其配合。

在施工设计时，应尽可能考虑用户对室内布局的需要，同时又要考虑从信息墙座连接应用设备（如计算机，电话等）方便和安全。

墙上安装型信息墙座一般考虑嵌入式安装。

在国内采用的是标准的86 型墙盒，该墙盒为正方形，规格 80 X 80mm ，螺丝孔间距 60 mm 。

信息墙盒与电源墙座的间距应大于 20cm 。

信息墙座接头的端接安装必须由专业工程师完成。

与管理区子系统的端接一样，它的安装工艺对系统的性能有直接的影响。

第 3 章产品概述3.1 防火墙如今，随着网络拓扑日益复杂，用户对网关过滤设备在应对复杂网络拓扑的适应性方面提出了更高的要求。

传统的三端口（内网/外网/DMZ防火墙模型早已不适应复杂多变的网络拓扑，而且网络安全也不再是外部网络和内部网络之间的事情。

根据IDC 相关的调查报告显示，只有 30%勺攻击发生在外部网络和内部网络之间，其他的 70%攻击行为发生在内部网络，因此网络安全要同时考虑外部网络和内部网络的安全的，两者并重处理，结合防护是很有必要的。

随着网络规模的不断扩张，用户对处于大规模网络拓扑环境下的网关过滤设备也提出了更高的管理要求，对于一个具有成千上万用户、同时处理多种业务的大型网络而言，一个灵活、可扩展的管理框架也凸显其重要性，它不但可以降低管理开销，更能降低因为大规模网络拓扑所带来的安全管理风险。