智慧城市配套承载网技术实施方案v0.5.docx

《智慧城市配套承载网技术实施方案v0.5.docx》由会员分享，可在线阅读，更多相关《智慧城市配套承载网技术实施方案v0.5.docx（29页珍藏版）》请在第一文库网上搜索。

1、智慧城市配套承载网技术实施方案目录智慧城市配套承载网技术实施方案1一、建设内容和目标6二、实施依据6三、部署原则概述63.1 可靠性63.2 安全性63.3 可扩展性6四、模块化组网概述74.1 互联网接入区74.2 DMZ区74.3 核心交换区74.4 城市运营区74.5 传统数据库区74.6 专网接入区74.7 运维管理区74.8 运维终端区错误!未定义书签。4.9 嫩接入区84.10 数据前置区84.11 开发测试区错误!未定义书签。4.12 VSAN系统8五、技术实施方案85.1 互联网接入区85.1.1 拓扑示意图85.1.2组网说明85.1.4 未来扩展思路105.2 DMZ区1(

2、)521拓扑示意图105.2.2 组网说明115.2.3 关键技术实现说明125.2.4 未来扩展思路125.3 核心交换区125.3.2 拓扑示意图125.3.3 组网说明135.3.4 关键技术实现说明135.3.5 未来扩展思路145.4 城市运营区145.4.2 拓扑示意图145.4.3 组网说明145.4.4 关键技术实现说明155.4.5 未来扩展思路155.5 传统数据库区错误!未定义书签。5.5.2 拓扑示意图错误!未定义书签。5.5.3 组网说明错误!未定义书签。5.5.4 关键技术实现说明错误!未定义书签。1.1.1 拓扑示意图151.1.2 组网说明161.1.3 关键技

3、术实现说明161.1.4 未来扩展思路175.7 运维献里区175.7.1 拓扑示意图175.7.2 组网说明185.7.3 关键技术实现说明195.7.4 未来扩展思路195.8 运维终端区错误!未定义书签。5.8.1 拓扑示意图错误!未定义书签。5.8.2 组网说明错误!未定义书签。5.8.3 关键技术实现说明错误!未定义书签。5.8.4 未来扩展思路错误!未定义书签。5.9 嫩接入区195.9.1 拓扑示意图195.9.2 组网说明205.9.3 关键技术实现说明215.9.4 未来扩展思路215.10 数据前置区215.10.2组网说明225.10.1 关键技术实现说明225.10.2

4、 未来扩展思路235.11 开发测试区错误!未定义书签。5.11.1 拓扑示意图错误!未定义书签。5.11.2 组网说明错误!未定义书签。5.11.3 关键技术实现说明错误!未定义书签。5.11.4 未来扩展思路错误!未定义书签。5.12 VSAN系统235.12.1 拓扑示意图235.12.2 组网说明235.12.3 关键技术实现说明245.12.4 未来扩展思路24一、建设内容和目标部署互联网接入区、DMZ区、核心交换区、城市运营区、专网接入区、运维管理及开发测试系统、视频接入区、数据前置区、VSAN系统。承载网涉及我司数通产品包括VSC核心交换机、VSC汇聚交换机、VSC接入交换机、普

5、通盒式接入交换机、防火墙。本承载网主要用于承载大数据平台、虚拟化平台、共享交换平台，实现三大平台高速、高效、高可靠通信需求。二、实施依据石家庄智慧城市大数据中心机房网络配套实施项目招标文件，文件编号HBHJ1611-02-300o三、部署原则概述标准化规范是项目建设的基本保障，项目建设需严格遵循国家和河北省有关规范标准，结合具体情况，按照远景规划、业务逐步迁移的建设步骤，将严格遵循以下原则：3.1 可靠性要求承载网有高度的稳定性、可靠性，网络不稳定不但影响政务工作的顺利进行，还会影响政府在社会公众中的形象。因此，要考虑网络线路、设备的质量和冗余，保障网络平台的稳定性。3.2 安全性智慧城市大数

6、据中心承载着石家庄市各政府部门的应用，其联网范围大，联接节点多，确保安全很重要。承载配套安防设备主要完成安全方案落地。3.3 可扩展性智慧城市大数据中心网络建成后，要求在不影响各种应用的前提下，承载系统要求可以进行顺利扩展或平滑升级。智慧城市大数据中心承载着石家庄市各政府部门的应用，其联网范围大，联接节点多，为保障整个系统可管理运维，需要建立一套独立的带外管理系统，与业务承载系统完全分离，使业务系统和管理系统的彼此变化不会产生较大的相互影响。整张网络在物理架构上主要分为多个功能区，分别为互联网接入区、DMZ区、核心交换区、城市运营区、专网接入区、运维管理及开发测试系统、视频接入区和数据前置区。

7、特别针对VSAN需求提供高速交换机孤岛接入。4.1 互联网接入区承载大数据中心平台与公众互联网互联互通需要。4.2 DMZ区承载大数据中心平台提供互联网接入服务，比如电子政务、智慧医疗、智慧教育等应用。4.3 核心交换区承载大数据中心平台内部核心数据交换与网络审计功能。4.4 城市运营区承载数据中心计算资源和存储资源。4.5 专网接入区负责接入市政府各委办局业务系统，实现其与大数据中心的连接和信息互通。4.6运维管理及开发测试系统负责承载数据中心全局性网络和应用系统，比如带外网管平台、漏洞扫描、代码安全审计、开发测试等功能，实现对整个数据中心运维管理。承载各委办局视频资源的存储及共享调度服务。

8、4.8 数据前置区承载各委办局通过专网接入上传的数据资源。4.9 VSAN系统负责接入虚拟化应用服务器之间数据高速交换。4.10 电子政务区（待规划）*五技术实施方案5.1 互联网接入区5.1.1 拓扑示意图5.1.2 组网说明互联网接入区提供2台出口路由器负责接入ISP互联网专线，结合实际情况，同一ISP只会提供一条互联网专线至其中一台确定的出口路由器。由出口路由器实现NAT映射功能。2台5960交换机采用单机部署三层路由功能，分别外联出口路由器、内联链路负载，侧挂抗DDoS（清洗1链路负载均衡采用三层路由功能内联防火墙US3340,外联5960交换机。防火墙US3340和天融信病毒过滤启用

9、2层透传功能，DMZ区核心交换9904（8）采用VSC工作方式启用三层接口与链路负载均衡互通。5.1.3 信息元互通需求公众互联网通过互联网接入区访问DMZ区域门户网站获取指定信息。5.1.4 关键技术实现说明出口路由器默认有多家运营商的互联网专线，分别提供不同的互联网专线地址池，内网服务器地址保持唯一。出口路由器通过部署CGN软件支持静态（私网-相同私网）NAT44。出口路由器与5960交换机之间启用三层子接口并关联指定vrfo每条运营商专线接口和下联5960交换机子接口均关联一个确定的vrf实例。无论业务需求是互联网主动发起互通内网服务器的需求，还是内网服务器主动发起对外访问请求，域配置均

10、采用静态映射规则配置。详细配置案例参考随机手册VPN（私网-相同私网）NAT44配置实例。出口路由器配置默认VRF路由指向运营商专线接口,配置静态VRF路由指向内网5960互联vlan子接口。5960交换机启用多个VRF实例,分别对应不同运营商。与链路负载均衡、出口路由器、抗DDoS（清洗）互连接口，均采用vlan三层接口关联VRF的方式配置。配置默认VRF路由指向对应出口路由器三层子接口地址；配置静态VRF路由指向负载均衡对应三层子接口；配置BGPVRFpeer与抗DDoS建立邻居关系，接收清洗过的主机路由，并通过策略路由指定下一跳地址指向链路负载均衡的三层子接口。抗DDoS（清洗）通过BG

11、P协议向5960交换机注入指定的主机路由。链路负载均衡设备双机主备，同一时间只有一台设备转发报文。识别报文的源目的地址、协议端口号，查找设备自带的运营商地址数据库实现自动选路。防火墙启用二层透传双主运行模式。病毒过滤启用二层透传运行模式。DMZ区核心交换机9904(8)VSC系统配置一个三层VLAN接口与链路负载均衡设备互联，并配置默认路由指向链路负载均衡接口地址。5.1.5 未来扩展思路提前预留出口路由器与5960、5960与链路负载均衡设备、抗DDoS(清洗)之间互联子接口地址规划，用于新增运营商专线的开通需求。DMZ区应用服务器新增对外提供服务需求，在出口路由器追加静态映射配置即可。5.

12、2 DMZ区5.2.1 拓扑示意图启明星辰城市运营区启明星辰WAF互联网接入区核心交换9904(8)“核心会换9904(8)DMZ区核心交换区i3i11二品:qy，si-1应用负载应用负载WAFWAF抗DDOS(检测)网络数据网络数据远江盛邦远江盛邦防泄漏防泄漏核心交换9904(8)服务器服务器5.2.2 组网说明本区部署一套核心交换机9904(8)组成VSC系统作为核心，上联至防火墙与核心交换区的核心交换机保持互通；外联至互联网接入区的病毒过滤设备；下联服务器汇聚交换机5960;侧挂应用负载、WAF、抗DDoS(检测网络数据防泄漏设备。本区防火墙与本区核心交换机、核心交换区核心交换机之间均要

13、求保持全互联（双交叉）组网连线关系。5960交换机组成VSC系统，负责接入应用服务器。应用服务器要求保持双上联。5.2.3 信息元互通需求公众通过互联网接入区访问DMZ区门户网站获取目标信息元；目标信息元存储在城市运营区资源池内，要求DMZ区门户网站后台可以从城市运营区资源池获取目标信息元，并发送给公众。5.2.4 关键技术实现说明本区核心交换机、服务器汇聚交换机均启用动态路由OSPF,采用network方式发布直连网段。配置默认路由指向互联网接入区的链路负载接口。核心交换机与核心交换区的核心交换机之间运行动态路由OSPFo防火墙采用二层双主模式工作，防火墙与上下联核心交换运行链路聚合。WAF

14、启明星辰系统采用二层透传工作方式。5.2.5 未来扩展思路通过追加汇聚交换机VSC系统并上联至核心交换机的方式满足应用服务器持续增容的需求。5.3 核心交换区入侵检测视频安全接入城市运营区-VSC(8)9908专网妾入区电子政务区(待规划)WAF百明星辰一区域核心防火班改换核心交换9904(8)99081(8)/5950II5950H网络审计核心交袂核心/9904g霭防火墙区域核心交换数据前置区UA防火墙DMZ区5.3.1 组网说明本区部署一套9904(8)VSC系统作为业务系统的核心交换机，分别与其他多个系统模块区实现三层互联。5.3.2 信息元互通需求传统数据库区与城市运营区直连互通信息元；专网接入区通过访问数据前置区的门户站点，从而间接获取城市运营区的信息元；公众通过互联网接入区接入DMZ区的门户站点，从而间接获取城市运营区的信息元；视频安全接入区系统将专网视频推送至DMZ区作为互联网区域调用的源。电子政务区目前没有明确规划，基于全网拓扑易于扩展维护考虑，优先考虑将其直接接