硬件技术方案知识交流

在网络建设上，遵照国家信息网络建设的规范体系要求，建立安全保障、运行维护和客户服务等体系；完善数据交换处理中心，满足林业厅对于信息化不断发展的需求。

在网络规划上，按照国家要求和规范对我厅的IP地址、域名、路由等进行规划；根据其安全策略和安全等级，制定网络的互联互通规划；制定出网络安全、数据备份、服务管理等的具体策略和方法，整体网络及安全设计拓扑图如下：

1、防火墙

此方案中，在互联网接入区部署一台华赛USG2250防火墙实现与外网系统互联，在网络的边界形成第一层防护。USG2250提供安全措施来防止外来入侵和攻击等，并同时具有如下功能：

提供Internet接入，提供E1、FE、GE、ADSL、3G、SA、G..SHDSL等多种接入方式;

提供路由、交换、安全以及无线等功能；

提供宽带管理功能，为用户上网提供宽带保证；

提供出口网络攻击防范功能；

提供企业网络安全域管理功能；

支持企业内部DMZ管理功能；

提供ACL对IP、端口的限制功能；

提供内部网络的NAT/PAT地址转换功能；

提供FTP、H.323、SIP、RTSP、MSN 、QQ等应用业务的过滤、地址转换功能。

2、交换机

交换机承担整个系统业务数据的传输任务，根据网络规模，所有接入层交换机均采用千兆三层交换机，要求每个接入的信息点能达到百兆的交换速率。

方案采用华为S5324，作相应的服务质量设计，以链路轻载方式为主、以区分服务、快速路由收敛和快速重路由等技术为辅实现QoS保证。高带宽设计满足绝大部分情况下业务流量突发的要求；快速路由收敛和快速重路由等技术保证政务外网的可用性和稳定性；区分服务提供不同等级的服务；满足高等级业务的突发，确保高等级的业务不受低等级业务的影响；从而将不同业务放在同一网络上承载，降低相互之间的影响。

为解决以太网交换机在LAN中无法限制广播的问题，在S5324交换机上采用VLAN 技术。

VLAN的组成不受物理位置的限制，一个VLAN可以在一个交换机内，也可以跨越交换机，甚至可以跨越路由器。同一个VLAN内的各台计算机无须被放置在同一物理空间里，即这些计算机不一定属于同一物理网段。

3、网络防病毒

整个网络，根据用户网络环境划分需要病毒防御的重点区域，布署一套网络防病毒软件。

一般而言：政府网络Internet区域安全等级最低，是病毒产生及传播的地方；客户端工作区安全等级较高，主要由外来用户、移动终端、桌面用户构成，是病毒感染的主要目标，也是病毒进入政府网网络的主要载体；核心服务器区安全等级要求最高，运行着关键应用系统，保存了大量的数据，是安全防护体系最终保护的目标。

本方案选用江民网络版KV3000.具体防护工作的描述;针对核心服务器区，严防来自Internet及移动用户的病毒入侵，保护其中的关键服务器，这是防病毒工作的重点；针对客户端工作区，需要部署客户端防病毒产品严防病毒的入侵；针对Internet区域，需部署网关级防病毒产品，严防来自该区域的病毒及病毒攻击；针对邮件系统，需要布署邮件病毒防护系统；另外还需要布署必要的的辅助手段，以检测网络的异常状况，提前预知病毒事件的发生。

4、终端

用户终端方面，本次布置十五台终端，专用于本综合系统的应用。终端选用联想的双网隔离计算机终端ThinkCentre M8000T,能有效实现内外网的切换与隔离。

根据本次系统应用的部署需求，我们选用两台四路华为RH5485服务器做双机，为该系统的核心应用软件运行。由于处理器性能和存储容量上有较高的要求，本次服务器单台配置2颗Inter Xeon E7520 处理器，8GB内存，同时由于运行多个系统，因此对硬盘的容量需配置较大容量，配置4*300G 10K RPM SAS 硬盘。

根据我厅目前存储业务的特点，以及后期易维护和易管理考虑，方案选用服务器同品牌华为磁盘阵列Oceanstor S2600。因业务初期数据量不会特别大，因暂配置6块300G SAS 硬盘，实现双机热备的共享存储，日后可根据存储数据的递增，增加存储单元。

在目前集中式存储阵列中，主要有SAN 、NAS和DAS三类存储方式。针对我厅存储业务的特点，应当采用SAN架构。目前SAN存储架构的市场上，主要存在着两种主流的技术FC SAN和ISCSI IPSAN。

ISCSI协议整合了存储和IP网络，使得通过IP网络完成存储数据块的传输成为现实。它建立在两个已被广泛应用的技术之上—为存储而建立的SCSI命令和为网络化而建立的IP 协议。

因此，综合上述的技术分析，根据我厅存储系统建设的特点以及要求，需要采用FC

SAN和IP SAN融合的解决方案，在对性能和数据安全有高标准要求的核心业务系统，采用FC SAN,对其他非关键业务的系统采用ISCSI IP SAN架构。

S2600可实现FC SAN和IP SAN的无缝融合，在不更换控制器的情况下支持FC和ISCSI两种主机端口，可满足各种复杂组网环境的要求；而具有FC+ISCSI同时接入能力的组合型端口，能够整合FC和IP网络，简化组网，节省设备投资。

在这个解决方案中，服务器构建以双机形式实现，存储阵列提供IP SAN和FC SAN 融合接口，服务器通过FC网络连接存储阵列，而前段业务主机也可以通过IP SAN方式直接连接存储阵列。从而实现了数据的集中存储。而由于存储阵列提供了IP和FC融合能力超群，未来网络的扩展非常灵活，得到了有效保障。

（一）建设原则

本工程中所采用的系统以及系统的构成应符合以下原则：

1、先进性。行政执法信息平台将是各部门行政执法过程中不可或缺的平台，首先应遵循先进性原则，保证采用先进的技术、软件架构和设计思想，使系统在未来的2～3年内保持一定的先进性。

2、开放性。行政执法信息平台涉及的部门多、业务广泛，系统应具备较强的开放性。在各有关单位的配合下建设技术接口，确保与现有相关系统（如：行政审批信息系统、各有关单位现有执法系统等）的兼容和衔接，并且满足不同时期系统平台的移植、迁移需求。

3、易用性。行政执法信息平台应用涉及面广、用户层次多，潜在用户包括社会公众、行政领导、执法人员、法制、效能监督人员等，系统应充分考虑人性化设计，操作功能简单易用、贴近工作实际，以便于在各层次用户推广使用。

4、安全性。系统设计应对物理层、系统层、应用层的安全性进行充分考虑，严格采用内外网物理隔离措施，合理部署防火墙、入侵检测、防病毒等安全产品，运用安全身份认证、权限控制等安全控制手段，构建多层次的安全保障体系，确保系统运行安全可靠。

（二）技术路线

应用系统设计的基本技术路线是：选用成熟稳定的应用软件产品构建系统，采用三层B/S架构、J2EE体系或独立于操作系统，支持XML数据，支持跨平台、跨数据库应用；功能实现上基于关系型数据库、企业级中间件、全文检索数据库等；可定制开发，具备二次开发接口，其他功能可以在相应层次上进行开发和扩展；通过定制开发和二次开发实现系统所需的功能。

（三）遵循业务规范

系统实施所涉及的技术标准和规范、产品标准和规范、工程标准和规范、验收标准和规范等必须符合国际、国家有关条例及规范，包括：