某事业单位国内组网建设

一、项目背景与建设目标

根据主管部门统一部署，2018 年下半年该单位承接了黑龙江地区法定检验业务。为满足业务工作需要，在黑龙江地区新设立哈尔滨分社，内设牡丹江、齐齐哈尔、佳木斯、黑河 4 个办事处。新设检验机构此前仍在当地办公楼内办公、使用他人计算机网络，下一步需要为其建立一套独立的计算机网络，并将新网络接入到现有网络中。本次网络建设预期达到以下目标：

二、总体设计思路

本次网络建设的总体原则是：在该单位现有网络架构的基础上，实现黑龙江检验机构与现有网络的连接，参照既有网络架构、结合黑龙江机构的实际情况做适当调整。设计围绕两条主线展开。

• 平滑融合，兼容既有体系。不推翻现有架构，新增节点全面兼容在用系统：身份认证设备必须完全兼容现有 Portal 认证系统并可由其后台管理配置，无线网络必须兼容在用无线系统、新配 AP 能在原有无线控制器上注册，路由沿用现网 OSPF 动态路由协议保持全网路由策略一致。
• 主备双链路，高可用优先。广域网中绝大部分数据以明文传输，存在敏感信息被窃取篡改、身份被冒充、遭受恶意攻击等风险；同时租用专线会因非运营商服务保障原因（如室外施工挖断光缆）导致链路上不可预期的中断。因此每个办公点均具备两个出口：数字专线为主链路，Internet 数字专线经 VPN 作为辅助链路，主链路故障时立即切换，保障业务不中断。

三、总体架构

为保证整体网络的高可用性、可扩展性、高安全性、可管理性和先进性，整个网络按地理位置划分成 6 个块区：分社块区、哈尔滨块区、黑河块区、佳木斯块区、齐齐哈尔块区和牡丹江块区。使用运营商组网型数字专线业务（MSTP 广域网专线）以星型拓扑将各场点互联，使用上网型数据专线实现互联网接入；为保障主要生产业务与邮件系统的高可用，利用 IPsec over GRE 技术基于 Internet 形成 Hub-Spoke 组网模型，使各场点利用 VPN 链路到分社形成备份链路。各块区内部结构一致，办公区内防火墙、上网行为管理、接入路由器、交换机与无线 AP 逐级部署，终端、IP 电话、视频会议设备与无线终端均经接入层上行。

四、广域网与专网设计

4.1 专线互联与设备部署

分社新增一台路由器，黑龙江的 5 个办公地点各配备一台路由器，通过数据专线（组网型数字专线）与分社连接，实现与专网的融合。由于新建设 5 个场点，考虑到现有核心路由器在容量与性能上不足以支撑新的业务建设，本次新采购一台路由器作为分社的黑龙江业务总接入路由器。为满足 VPN 备用线路的需要，分社新增路由器与分社原有路由器相连，各场点数据专线与互联网光纤分别接入本地路由器，形成主备双出口。

4.2 路由规划（OSPF 分区）

现有网络中使用 OSPF 动态路由协议，核心与接入路由设备处于全动态路由网络中。为使全网使用相同的路由策略，新场点建设同样采用 OSPF 协议；为让交换机更好地支持 OSPF，黑龙江各办事处场点采用企业级三层交换机。设计核心思想为骨干运行 OSPF 动态路由协议，核心骨干使用 Area 0 并与分社互联，分社使用 Area 11；经总部网络负责人论证与规划后，为区别分社与黑龙江地区检验机构，规划使用 Area 32 作为黑龙江地区的区域号。

4.3 VPN 备份链路

黑龙江各办事处在本机地各有两个出口：一个是数字专线到分社，另一路为接入 Internet 的数字专线。为充分利用现有链路资源，使用路由器的 VPN 功能作为辅助链路与分社互联，将其作为主线路的备份。线路中部署 VPN 应用，对传输的数据进行保护处理，降低信息泄漏的风险；借助华为网络产品的 IPsec over GRE 技术基于 Internet 形成 Hub-Spoke 组网模型，使各场点利用 VPN 链路到分社形成备份链路，保障主要生产业务系统与邮件系统的高可用性。

4.4 数据子系统

将黑龙江 5 个办公地点的计算机网络通过数据专线，与分社的计算机网络接通，再通过分社的网络与总部的计算机网络接通。涉及的主要网络设备为路由器与交换机，主要应用为业务管理系统、OA 及邮件等。

五、局域网与机房建设

局域网部分不作大规模改动，以最小代价完成新机构的网络落地：

• 四个办事处。牡丹江、齐齐哈尔、佳木斯、黑河 4 个地点的办公楼内局域网络不需调整、可继续使用，新增网络设备安装在原机房中；
• 哈尔滨分社。人员办公在四楼，原网线都连到八楼机房，新机房设在十一楼，需从八楼机房将网线延长到十一楼，网络设备安装在十一楼新机房；
• 交换设备选型。考虑到黑龙江检验机构的规模不大，兼顾功能与成本需要，本次只配备三层交换机，不再配备二层交换机；三层交换机需支持 OSPF 协议，以满足新场点与现网的路由策略一致。

六、安全系统建设

为对员工行为进行有效管理、加强网络安全的防护，在网络中增加行为管理设备与网络防火墙设备，防火墙与互联网光纤直接相连并配置安全策略，防御来自互联网的威胁、拦截可能的攻击。

6.1 网络防火墙

• 在虚拟系统内进行病毒防护、漏洞利用防护、间谍软件防护、URL 过滤、文件过滤、内容过滤、邮件过滤、行为管控等安全功能，并支持对本虚拟系统内产生的日志进行独立审计；
• 基于源/目的安全域、源用户、源/目的地址与地区、服务、应用、隧道、时间、VLAN 等多种方式进行访问控制，可基于地理区域配置安全策略并支持地理区域对象导入；统计网络中确认失陷及有风险的主机数量与风险等级，支持查看失陷时间、威胁类别、情报来源、失陷主机 IP、用户名、资产等信息并一键跳转处置；
• 根据 IP 地址、用户、服务、应用、时间等信息划分虚拟 QoS 通道进行带宽管理，支持 QoS 配置向导与多层级调度类嵌套、优先级设置实现差分服务；可自定义重点关注 URL 分类与应用，结合分析中心做递进式深度分析，挖掘异常用户与异常网络行为；
• 将威胁事件关联日志集中显示，自动汇集经防病毒、防漏洞、防间谍软件、URL 过滤、文件过滤等模块检查的日志；支持在自定义时间范围内对全部日志做模糊检索或精确检索，快速定位特定目标当前行为是否存在异常；
• 与云端联动，实现病毒云查杀、URL 云识别、应用云识别、云沙箱、情报云检测等功能。

6.2 上网行为管理

• 对 P2P、网络视频、游戏、炒股期货、即时通讯、移动应用有独立分类进行识别控制，协议库数量不低于 2000、移动协议库不低于 400；URL 库不小于 3000 万条数据、不少于 150 种网页分类；
• 不同网页被阻塞后跳转不同阻塞页面并支持完全自定义；支持网盘文件外发审计与过滤，可按文件大小、文件名、扩展名、传输方向、内容关键字进行审计过滤；
• 对网站发帖正文关键字进行管理，依据 URL 库及 URL 关键字进行网址访问管理，依据网页内容关键字进行审计与过滤，依据关键字管理搜索引擎访问，每条策略均可同时实现控制、记录、告警；
• 对每个人的并发 / 新建连接数量进行控制，建立多个 Web 推送页面供不同推送策略引用；针对 QQ 账号制定策略，对聊天、登录及登出行为进行记录与控制，支持 Skype 外发文件内容审计与百度 HI 账号、内容、行为审计；
• 限制 P2P、视频等大流量应用的最大带宽上限，减少带宽浪费；设定 OA、邮件、视频会议的基本带宽保障，保障关键应用必要的带宽资源；按用户平均分配虚拟通道内的带宽资源，公平访问避免资源浪费；
• 提供网页访问、论坛发帖、Webmail、邮件收发、应用访问、应用流量历史日志及应用流量等各种统计报表，满足行为审计需要。

七、身份认证系统建设

内部工作人员登录业务系统前需先验证身份，验证通过后才可使用专网操作检验业务系统的权限。传统身份认证机制容易导致账户密码被窃取、口令被修改、传输过程中的重要信息被窃取等问题，本次引入动态口令认证，利用动态口令与静态口令双因素相结合的特点，弥补静态口令易泄密、易被分析截取的缺点。

• Portal 认证设备部署。配备 Portal 身份认证设备，按串行方式部署在链路中，劫持生产业务数据流量并弹出认证页面，输入正确的用户名密码后方能正常使用生产网络；所选设备完全兼容在用身份认证系统，可由其后台进行管理和配置，因此能直接纳入现有认证体系中统一管理；
• 认证容量扩容。总部已部署一套完整的 Portal 认证系统，本次建设利用原有认证系统，在其基础上增加认证用户数量，用以解决黑龙江检验机构新用户的接入；
• 认证协议与授权。认证服务系统支持 Radius，对合法用户身份提供验证、对网络资源使用提供授权，并根据用户要求进行审计与记账；对拨号用户和远程用户进行 AAA 集中的用户名 / 口令认证，支持 PAP 和 CHAP 口令验证协议；使用 PPPoE Client/Server、Portal、802.1x 认证功能，认证源支持 Local 认证、RBAC、Radius、Tacacs 等技术特性；
• 管理员可控内容。何人可以通过有线或无线连接登录网络、每一用户在网络中拥有何种权限、记录何种说明信息以进行安全审查或记账。

八、无线网络与协作系统建设

8.1 无线网络（Remote AP 本地转发）

本次无线采用本地转发模式，由 AC 对客户端进行认证，客户端的数据流量直接由 AP 转发；该模式在保持 AC / 瘦 AP 架构在安全、管理等方面优势的前提下，缓解了 AC 的数据转发压力，适用于远程办公、小分支机构或家庭办公场景。通过 Internet 网络，由分社统一部署和管理连接远程办公室或小分支机构的 Remote AP，这些地方不需要单独部署 AC：

• 当 Remote AP 和 AC 处于连接状态时，由 AC 管理 Remote AP；
• 当 Remote AP 与 AC 之间的隧道断开时，AP 自动开启本地转发模式（与 AC 上是否配置本地转发无关），继续为已接入的客户端提供无线接入服务，保证客户端能够继续访问本地资源；
• 从网络安全因素考虑，网络修复期间 Remote AP 不允许新客户端接入；
• 当 AP 与 AC 重新建立隧道后，AP 自动切换回集中转发模式，并强制 Remote AP 上所有客户端下线，所有客户端需重新接入。

设备兼容方面，因原无线网络采用同一厂商体系，本次采用设备须与现网无线系统兼容；本次无线 AP 为瘦 AP，其控制功能由分社的无线控制器完成，新配置的 AP 必须能在原有无线控制器上注册。

8.2 视频会议系统与网络 IP 电话

视频会议系统和网络 IP 电话在该单位此前已部署完毕并在线正常运营，本次项目只做扩容，不涉及网络结构设计以及应用搭建，需要对上述设备进行调试以实现视频会议与网络电话功能。为达到正常使用目的，重点考虑两点：一是考虑设备兼容问题，确认配置视频终端和网络 IP 电话的固件版本在现有生产系统中是否兼容支持；二是确认现有系统是否支持该型号设备。以上问题在项目设计之初即已在网络负责人的协调下完成确认，最终设备顺利部署上线，并纳入原视频会议系统和网络电话系统中。

九、应用效果

• 新老机构网络融合：以分社为区域汇聚点，将哈尔滨及 4 个办事处经数据专线接入现有网络，新机构网络与原有网络融为一体，检验业务系统、OA 邮件等应用一次打通；
• 广域网高可用：每个办公点具备数字专线与互联网光纤两个出口，专线故障时经 IPsec over GRE 的 VPN 链路立即切换，规避了施工挖断光缆等不可预期中断对业务的影响；
• 路由策略统一：全网沿用 OSPF 动态路由，骨干 Area 0、分社 Area 11、黑龙江地区 Area 32 分区规划，既与现网策略一致，又清晰区分了不同机构的路由域，便于后续扩展；
• 认证体系平滑扩容：复用总部既有 Portal 认证系统增加用户容量，新设备可直接由原后台管理配置，无需重建认证体系；动态口令与静态口令双因素相结合，替代纯静态口令，降低口令泄漏与截取风险；
• 行为可管、出口可控：上网行为管理对 P2P、视频、游戏等应用分类控制并对网盘外发、论坛发帖、邮件收发做审计，同时为 OA、邮件、视频会议预留保障带宽，关键业务不被娱乐流量挤占；防火墙在出口拦截互联网攻击并联动云端做威胁检测，日志可独立审计；
• 分支接入简单可靠：无线采用 Remote AP 本地转发，分支无需单独部署 AC，隧道中断期间已接入客户端仍可访问本地资源，恢复后自动回归集中转发；
• 投资经济：局域网沿用既有布线，本次仅配三层交换机不配二层设备；网络设备按机构规模选型，无冗余投入。