《电子政务网络架构-(最新版)》由会员分享，可在线阅读，更多相关《电子政务网络架构-(最新版)（69页珍藏版）》请在金锄头文库上搜索。
1、1,电子政务网络架构,华为3Com技术有限公司政府技术部,2,目录,1、电子政务建设概述 2、网络架构详细分析 3、政务网络案例分析,3,电子政务,公司（法人）,政府部门,公众（自然人）,政府员工,电子政务建设的目标定位,G2G,G2C,G2E,G2B,4,目录,1、电子政务建设概述 2、网络架构详细分析 广域网架构分析 城域网架构分析 局域网架构分析 3、政务网络案例分析,5,广域网建设的关注点,6,省直,省直,省直,2.5G RPR,GE,GE,地市州,EI,N2M,N2M,CPOS,FE,FE,GE,GE,FE,地市州,地市州,XX县,XX县,地市城域网汇聚,(PE),(PE),(PE)
2、,(P),(P),(P),(P),(P),(P),(P),(P),(PE),(PE),(CE),(CE),(CE),(CE),(CE),(CE),(PE),(PE),(PE),(CE),(CE),(CE),(CE),城域网,广域网,关注点1MPLS VPN,7,关注点1MPLS VPN,省工商,省税务,10.0.1.0/24,10.0.1.0/24,CE,MCE/PE,PE,PE,政务网,地市工商,10.0.2.0/24,内部服务器,地市税务,10.0.2.0/24,CE,PE,内部服务器,PE,纵向VPN子接口,MCE/PE,8,PE,PE,PE,HUB,SPOKE,SPOKE,SPOKE,
3、PE,省厅,A市局,B市局,C市局,关注点1MPLS VPN,9,某部门省厅连接在PE1上,各地市局分别连接到PE2、PE3上。由于BGP/MPLS VPN是由PE与CE接口的VRF上配置的相应RT来决定路由关系的，因此在省厅连接的PE1相应VRF上配置RT值使该VRF可接收来自A市局、B市局、C市局的路由，并将自己的路由发送到A市局、B市局、C市局。在各市局PE上配置RT，使市局只能与省局交换路由而不能与其他市局直接交换路由。 优点：省局集中控制VPN内的通信，可通过路由过滤的方式禁止市局间的直接通信，保障VPN内的可控性和安全性。如在A局病毒爆发时，可在省厅处通过路由将该市局隔离，避免病毒
4、蔓延。 缺点：一是省局成为单点故障，一旦省局连接的PE1发生故障，各市局间将不能正常通信。二是市局间数据交换集中在省厅所在PE上，增加了PE的压力。 由于目前各部门纷纷采用数据大集中的数据交换模式，市局间的数据交换比较少，因此比较适合采用该模式。,关注点1MPLS VPN,10,PE,PE,PE,HUB,SPOKE,SPOKE,SPOKE,PE,省厅,A市局,B市局,C市局,关注点1MPLS VPN,11,某部门省厅连接在PE1上,各地市局分别连接到PE2、PE3上。由于BGP/MPLS VPN是由PE与CE接口的VRF上配置的相应RT来决定路由关系的，因此在省厅和各市局连接的PE相应VRF上
5、配置RT值使该VRF可接收来自其余市局的路由，即省厅和各市局完全处于对等状态，相互之间完全可以交互路由信息。 优点：无单点故障，无性能瓶颈。 缺点：无法做到集中控制，安全性不高。,关注点1MPLS VPN,12,关注点2MPLS VPN跨域,要求ASBR设备为每个跨域的VPN分配子接口，因此可以可以实现跨域的流量监管，实现对每个VPN的计费，但是对ASBR压力非常大，并且PE设备需要维护跨域VPN的路由，可管理性和可扩展性较差；,13,关注点2MPLS VPN跨域,对ASBR压力最小，但由于需要建立PE间跨域的LSP，因此可管理性也比较差。,14,关注点2MPLS VPN跨域,对ASBR压力也
6、比较大，但可以通过ASBR扩容来解决，没有PE设备跨域VPN路由维护问题，因此适用范围较广；,15,关注点3端到端QOS,16,网络流量监控,网络应用分布,网络瓶颈分析,服务质量监控,网络故障分析,流量异常告警,关注点4网络流量统计分析,17,目录,1、电子政务建设概述 2、网络架构详细分析 广域网架构分析 城域网架构分析 局域网架构分析 3、政务网络案例分析,18,城域网建设的关注点,19,A,B,C,D,拥塞,关键业务带宽保证（公平算法RPR-fa）,带宽共享，为提高带宽利用率，建立公平机制 公平算法是全局的、基于整个环网级别的 通过监测流量、反压机制实现 带宽管理可保证高优先级数据和控制
7、无阻塞 可通过设置节点的权重，实现加权公平,关注点1RPR环网,20,华为3COM的IP环网综合两种倒换方式的优点，采取两者相结合的方式，先Wrapping后Steering，达到最优的保护性能。,A,B,C,D,E,F,A,B,C,D,E,F,A,B,C,D,E,F,正常情况下数据传送,故障顺利立即启用Wrap方式的保护,拓扑结构稳定后切换到Steering方式,Wrap绕回方式，在故障边节点处自动环回。 特点：速度快，基本无数据丢失，缺点是浪费带宽。,Steering抄近方式，更改拓扑，重新计算路由。 特点：速度慢，带宽利用高，但可能有数据丢失。,关注点1RPR环网,21,省政府,市政府,
8、区县政府,省工商局,市工商局,区县工商局,省劳动厅,市劳动局,区县劳动局,纵向网络结构,横向网络结构,横向网络：信息共享，跨部门协作,纵向网络：业务运作，行业管理与监管,关注点2MPLS VPN,22,工商,10.0.1.0/24,MCE,政务网,前置机160.0.4.1/24,税务,10.0.1.0/24,CE,前置机160.0.1.1/24,内部服务器10.0.1.1,PE,PE,PE,内部服务器10.0.1.1,注释: 资源共享区前置机为一个共享VPN,其它职能部门前置机分别为独立的VPN 为保证安全性，前置机与内部服务通过网闸进行数据交换 各业务部门数据通过前置机上传到资源共享中心的数
9、据库中 优势：采集的信息数据在政务外网上以VPN的方式传递，保障了数据的安全性,前置VPN子接口,资源共享中心,数据库,前置机160.0.2.1/24,共享资源网站入口160.0.3.1/24,前置VPN子接口,公共前置VPN子接口,PE,关注点2MPLS VPN,FW,数据库,数据库,数据库,集中式互访,23,注释: 职能部门前置机分别为独立的VPN 优势：采集的信息数据在政务外网上以VPN的方式传递，保障了数据的安全性，通过RT的灵活控制，实现不同职能部门前置机的受控互访 集中式和分布式不是对立的，而是互补的关系,工商,10.0.1.0/24,政务网,前置机160.0.2.1/24,税务,
10、10.0.1.0/24,CE,前置机160.0.1.1/24,工商信用服务器10.0.1.1,PE,内部服务器10.0.1.1,前置VPN子接口,前置VPN子接口,PE,PE,前置机160.0.3.1/24,财政,10.0.1.0/24,CE,内部服务器10.0.1.1,前置VPN子接口,MCE,关注点2MPLS VPN,分布式互访,24,政务外网,工商,10.0.1.0/24,CE,门户网站 160.0.3.1,税务,10.0.1.0/24,CE,门户网站 160.0.1.1,内部服务器10.0.1.1,PE,PE,Internet vpn子接口,PE,Internet,Internet,注
11、释: 所有对公众提供访问的WEB服务器放到一个Internet VPN，政务外网出口防火墙作为CE设备 此方式适合门户网站采用ISP分配的地址 优势：实现简单，一个大的VPN DNS规划简单 劣势：政府部门访问政务外网门 户网站产生迂回路由，增加 防火墙负担,公众服务中心,数据库,对外发布门户网站,DNS,Internet vpn子接口,Internet vpn子接口,数据库,数据库,MCE,Internet vpn子接口,PE,防火墙可能执行一对一NAT操作,关注点2MPLS VPN,公众访问1,25,政务外网,工商,10.0.1.0/24,CE,门户网站 160.0.3.1,税务,10.0
12、.1.0/24,CE,门户网站 160.0.1.1,内部服务器10.0.1.1,PE,PE,公网子接口,防火墙可能执行一对一NAT操作,PE,Internet,Internet,注释: 传统实现方式 优势：政府部门访问政务外网不 产生迂回路由 劣势：如果采用ISP分配的地址， DNS规划复杂,公众服务中心,数据库,对外发布门户网站,DNS,公网子接口,公网子接口,数据库,数据库,MCE,PE,关注点2MPLS VPN,公众访问2,26,政务外网,工商,10.0.1.0/24,CE,门户网站 160.0.3.1,税务,10.0.1.0/24,CE,门户网站 160.0.1.1,内部服务器10.0
13、.1.1,PE,公网子接口,防火墙可能执行二次NAT操作,PE,Internet,Internet,注释: 对于防火墙接入，可采用公网子接口 对于MCE/PE接入，可采用VRF全局静态路由的方式，此方式的最大问题是部署的问题，也可以设置一条全局缺省路由指向连接Internet的PE设备，通过这台PE设备中转流量 如果采用ISP分配地址，DNS设计复杂,公众服务中心,数据库,对外发布门户网站,DNS,公网子接口,公网子接口,数据库,数据库,MCE,PE,PE,纵向VPN子接口,PE设备必须执行NAT转换,防火墙可执行NAT转换这时不用PE执行NAT操作,关注点2MPLS VPN,内部访问Inte
14、rnet,27,政务外网,税务,10.0.1.0/24,CE,数据中心,门户网站托管,公众服务区,PE,PE,公网子接口,PE,注释: 门户网站分配两个IP地址，一个为纵向网私有地址，用于加入纵向VPN，进行维护。一个为政务外网IP地址，用于提供公共服务，门户网站主机两网卡间不能起路由协议,门户网站托管,门户网站托管,门户网站托管,PE,PE,纵向VPN子接口,防火墙可能执行NAT-PT操作,Internet,私网IP 10.0.2.1/28,政务外网IP 160.0.1.1/28,维护数据流,Internet访问流量,关注点2MPLS VPN,托管网站维护,28,政务外网,注释: 路由多实例
15、设备（MCE）通过多个子接口上联到PE设备，其中公网子接口用于其余用户访问门户网站，纵向VPN子接口用于纵向系统访问，前置VPN子接口用于访问前置机。路由多实例完成安全隔离的功能。 纵向用户访问公网通过纵向VPN子接口，此时需要PE设备VRF表设置多条静态路由指向发布公众服务的PE设备，缺省路由指向Internet网关PE。 纵向用户访问政府资源共享业务通过纵向VPN子接口访问。 前置服务器和门户网站各分配两个IP地址，公有IP用于政务外网互访，私有IP为纵向网中地址，用于设备维护，前置服务器和门户网站两网卡间不能启用路由协议 PE完成NAT多实例操作,前置服务器 160。0。1。1 10。0。1。1,门户网站 160。0。2。1 10。0。1。2,10.0.1.0/24,用户侧,公网子接口,前置VPN子接口,纵向VPN子接口,MCE,PE,关注点2MPLS VPN,接入方式MCE,29,政务外网,注释: 此种方式适用于用户侧与政务外网相连链路不支持子接口链路。 采用HOPE解决方案，政务外网PE设备为SPE，用户侧设备
