1、Q/SY中國石油天辟翻弱企業標準Q/SY 13332015代替 Q/SY 13332010廣域網建設與運行維護規范Specifications for wide area network (WAN) construction,operation & maintenance2015-08-04 發布2015-11-01 實施中國石油天然氣集團公司發布Q/SY 13332015 IQ/SY 13332015 #目 次 TOC o 1-5 h z itfW 11i翻i2規范性引用文件1術語和定義1組織機構及職責 21組織機構2總部運行維護隊伍職責 2區域網絡中心運行維護隊伍職責2接人單位運行維護隊伍

2、職責 2建設技術規范31廣域網建設3資源分配35.3設備管理35.4設備配置46運維管理51事件定級56. 2事件響應56.3廣域網接入管理6應用系統接人管理 6廣域網日常運維管理 66. 6廣域網帶寬管理 66.7網絡資源申請76. 8廣域網故障處理 7附錄A（規范性附錄）廣域網運維工作流程 8附錄B（資料性附錄）廣域網建設與運維工作表單11Q/SY 13332015Q/SY 13332015本標準按照GB/T 1. 1-2009標準化工作導則 第1部分：標準的結構和編寫給出的規則 起草。本標準代替Q/SY 13332010廣域網建設與運行維護規范，與Q/SY 13332010相比，主要 技

3、術變化如下：-修改了 “術語和定義” 一章的描述，增加了定義“中國石油內網、中國石油外網、中國石油 專網”，刪除了 “中國石油核心網絡、廣域網接人、網絡時間協議、應用系統、事件、用戶” （見第3章，2010年版的第3章）；-刪除了 “進行廣域網安全規劃，制定網絡安全管理流程”（見201（）年版的4.2.3）;-刪除了 “按統一制定的網絡安全管理策略，執行總部廣域網網絡安全管理流程”（見2010年 版的 4. 2.4）；-刪除了 “制定廣域網同城就近接入工作規定、廣域網同城就近接人工作流程，實現鏈路資源 共享”（見2010年版的4. 2. 7）；-刪除了 “按統一制定的網絡安全管理策略，執行區域

4、網絡中心網絡安全管理流程”（見2（）10 年版的4.3. 5）；-修改了 “5.2.1”，“6.7.1”，“6.7.2”，增加了 “公網域名、內網域名、域名申請”等相應信 息（見 2010 年版的 5. 2. 1, 6. 7. 1 , 6. 7. 2）；-修改了 “6.1.2”，“6.1.3”，刪除了 “經公安部確認的”的詞語（見2010年版的6. 1.2,6. 1.3）；-刪除了 “總部運行維護隊伍應按4. 2.7中制定的同城就近接入工作規定，執行接人工作” （見2010年版的6. 3. 5）；-修改并細化了 “6.4.1”，“6.4.2”，“6.5.3”，“6.6.2”，增加了 “數據中心

5、、網絡與數據專 家中心及”等內容（見201（）年版的6. 4. 1 , 6. 4. 2, 6. 5. 3, 6. 6. 2）；-刪除了 “填寫網絡設備日常巡檢表（參見表B. 5）、IDS人侵檢測設備巡檢表（參見表B. 6）、 代理服務器日常巡檢表（參見表B.7）、防火墻設備巡檢記錄表（參見表B.8）或負載均衡 設備巡檢記錄表（參見表B. 9）”（見2（）10年版的6. 5. 3）;修改了 “圖A. 1至圖A. 6”廣域網運維工作流程（見2（）10年版的附錄A）;-刪除了 13張表：表B. 4至表B. 11、表B. 13至表B. 17,修改了 4張表：表B. 1、表B.2、 表B.3、表B. 1

6、2 （見201（）年版的附錄B）。本標準由中國石油天然氣集團公司信息管理部提出。本標準由中國石油天然氣集團公司標準化委員會信息技術專業標準化技術委員會歸口。本標準起草單位：集團公司信息管理部、勘探開發研究院、新疆油田分公司、東方地球物理勘探 有限責任公司。本標準主要起草人：靖小偉、馮梅、楊志賢、石國偉、葉銘、劉磊、陳靚、郭曉東、魏萍、侯梅 芳、牛濤、胡靜。Q/SY 13332015 Q/SY 13332015 廣域網建設與運行維護規范1范圍本標準給出了廣域網建設和運維的組織機構及職責，確定了廣域網建設管理、運維管理的基本 原則。本標準適用于中國石油天然氣集團公司（以下簡稱“中國石油”）總部及所

7、屬各企事業單位。2規范性引用文件下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。SY/T 5231-2010石油工業計算機信息系統安全管理規范Q/SY 10212009計算機網絡互聯技術規范Q/SY 1335-2015局域網建設與運行維護規范3術語和定義Q/SY 10212009確立的以及下列術語和定義適用于本文件。1中國石油內網 CNPC local area network通過自建鏈路或租用國內數據鏈路組網，提供對內服務，與外網邏輯隔離，通過外網訪問互聯 網，簡稱“內網”。2中國石

8、油外網 CNPC internet通過互聯網提供對外服務和應用，與互聯網強邏輯隔離，簡稱“外網”。3.3中國石油專網 CNPC private network承載與實時生產或決策相關信息系統，屬于相對封閉、有隔離的專用網絡，簡稱“專網”。4中國石油廣域網 CNPC wide area network （CNPC WAN）中國石油核心網絡、區域網絡中心、所屬企事業單位及部分所屬企事業單位分支機構網絡邊界互 聯而成的專用計算機網絡。Q/SY 10212009,定義 2. 45區域網絡中心 regional network center上聯中國石油核心網絡，匯接本地域所屬企事業單位及部分所屬企事業單

9、位分支機構網絡的區域 性網絡匯聚中心。Q/SY 1021 -2009,定義 2. 63.6運行維護隊伍 operational maintenance troops由中國石油所屬各企事業單位經中國石油總部信息管理部門授權的信息部門人員組成。3.7中國石油廣域網設備 CNPC wide area networkequipments在中國石油廣域網中使用的所有網絡設備和安全設備。4組織機構及職責4. 1 組織機構4.1.1中國石油廣域網建設、運維及安全規劃的管理部門是中國石油總部信息管理部門。 4.1.2在中國石油總部信息管理部門的指導下，組織建立總部運行維護隊伍、區域網絡中心運行維 護隊伍、接人

10、單位運行維護隊伍廣域網三級運行維護服務體系。4.1.3各級運行維護隊伍的網絡管理員名單應上報總部信息管理部門審核，經培訓合格后，由總部 信息管理部門統一授權上崗。人員發生變化時，應及時上報總部信息管理部門。4.2總部運行維護隊伍職責2.1調配、開通和關閉中國石油廣域網設備和鏈路。4.2.2配置、監控核心層網絡，保證核心層與區域匯聚層之間的網絡暢通。4.2.3滿足重點應用對廣域網絡的需求，提供服務質量保證。4.2.4受理幫助熱線、區域網絡中心、接人單位的故障報告和服務請求。4.2.5制定廣域網突發事件處理流程：編制預案、演練、處理突發事件、總結事件，并按預案及時 處理突發事件，處理結果上報總部信

11、息管理部門。2.6指導、監督、培訓、考核各區域網絡中心運行維護隊伍和接人單位運行維護隊伍的運行維護 工作。2.7監督、協調通信鏈路服務商和產品供應商的售后服務。4.2.8匯總、分析全網運行情況，向總部信息管理部門提交網絡運行維護周報和年度運行維護總結 報告。區域網絡中心運行維護隊伍職責3.1在總部運行維護隊伍的技術指導和管理下，監控、管理本區域內的網絡設備和通信鏈路，保 證與總部的互聯互通，共享資源。3.2受理接人單位的服務請求。4.3.3制定區域網絡中心突發事件應急預案，配合總部實施廣域網突發事件處理流程。4.3.4為本區域網絡接入單位提供技術支持。4.3.5定期巡檢、維護本區域內的網絡設備

12、、機房場地設備，監測運行環境。4.3.6按要求定期參加總部培訓，組織區域內培訓、交流工作。4. 3.7配合總部項目建設。4.3.8匯總、分析本區域內信息技術基礎設施運行情況，每周向總部運行維護隊伍提交運行維護 周報。4.4接入單位運行維護隊伍職責4. 1在總部運行維護隊伍、區域網絡中心運行維護隊伍的技術指導和管理下，按Q/SY 1335- 2015第7章的要求建設網絡。4.2監控、維護本單位的網絡設備和通信鏈路，保證與廣域網互聯互通，共享資源。4.4.3制定接人單位突發事件應急預案，配合總部實施廣域網突發事件處理流程，及時處理和上報。4. 4協助總部統建項目在本單位的部署。4.5按統一制定的網

13、絡安全管理策略，執行接人單位網絡安全管理流程。4.4.6定期巡檢網絡設備，監控與維護機房場地設備、環境。4.4.7總部統建項目的網絡設備，管理權限由總部運行維護隊伍統一管理，各單位配合區域網絡中 心運行維護隊伍工作。5建設技術規范 5.1廣域網建設按Q/SY 1021 -2009中第3章的規定，使用計算機網絡互聯技術進行廣域網建設。資源分配1 鏈路1.1鏈路資源分配應考慮申請單位的人員規模以及業務模式，選擇可以適用所屬單位的最小鏈 路資源予以分配。2.1.2廣域網所用的鏈路資源分為：內部鏈路資源和外部鏈路資源。內部鏈路資源指的是中國石 油自建的傳輸鏈路，外部鏈路資源指的是租用運營鏈路。鏈路原則

14、是優選內部鏈路資源。2. 2 地址2. 2. 1中國石油廣域網IP地址應使用10. 0. 0. 0/8, 11.(). 0. ()/8范圍內的地址資源。根據不同的 應用場景，使用不同地址段的資源，主要分為服務器地址段、管理地址段及業務地址段。2. 2. 2應用服務應根據應用服務的不同，分配不同的地址段。地址段分配應按可匯總、易于擴容 管理的原則進行。2. 2. 3設備應使用特定地址段作為管理地址段。管理地址包括loopback地址、設備互聯地址。2. 2. 4所屬各企事業單位(中國石油所屬各企事業單位)應使用總部信息管理部門下發的10. 0. 0. 0/8, 11.(). 0. 0/8中的特定

15、地址段作為業務地址段。5.2.3服務5. 2.3. 1 基礎服務包括DNS和NTP。2.3.2所屬各企事業單位應使用中國石油統一建設的DNS系統。2. 3. 3中國石油I3NS系統應只對所屬各企事業單位提供查詢服務。2. 3. 4中國石油NTP系統根據用戶分布情況，設置相應的區域。每個區域的NTP服務器應配置 訪問控制，只允許其所在區域用戶訪問。設備管理5. 3. 1 制定標準應編制設備選型標準。5.3.2測試3. 2. 1設備選購前，應按實際使用需求，編寫測試計劃，協調人員進行測試。3. 2. 2設備測試后，應給出測試報告，宜包括可用性、可靠性、安全性等多個方面。5.3.3 選型3. 3.

16、1網絡設備應根據其所在的網絡層次，按測試報告、用戶規模、端口需求、帶寬情況等，確 定設備型號。3. 3. 2安全設備選型應滿足國家安全規定以及企業規定。5.3.4安裝及驗收3. 4. 1設備安裝應嚴格按該設備配套的安裝手冊進行安裝。3. 4. 2安裝時應確保弱電線纜與強電線纜分開，光纖與網線分開。5. 3. 4. 3設備調試安裝結束后，應進行驗收。5. 3. 4. 4驗收合格后，設備才可在廣域網中使用。5.3.5 維護5.3.5. 1設備質保期限應為五年。3. 5. 2應按照總部信息管理部門規定的設備維護流程實施設備的維護、保養工作。5.4設備配置 5.4. 1設備分類4.1.1中國石油廣域網

17、設備分為核心設備、匯聚設備、接入設備。4. 1. 2核心設備和匯聚設備應保證雙設備冗余和雙鏈路冗余。1.3接人設備根據所接入所屬各企事業單位的規模、鏈路資源情況，宜做到雙設備冗余和雙鏈 路冗余。1.4廣域網所需要的設備冗余應做到：所有核心設備及匯聚設備應分布在不同機房內，同機房 的設備應使用不同電路供電。1.5鏈路優先級由高到低分別為：自建鏈路、租用鏈路。1.6雙鏈路建設應滿足：自建鏈路宜采用不同路由走向；租用鏈路應采用不同運營商。 5.4.2設備命名中國石油廣域網設備應制定統一的設備命名規范及接口命名規范。5.4.3 路由規劃5. 4. 3. 1廣域網采用TCP/IP協議棧作為網絡互聯協議。

18、4. 3. 2設備的邏輯規劃應使用層次化設計結合通用路由協議進行規劃。5. 4. 4服務保障4. 4. 1應依據業務的重要程度對不同類別的業務進行服務保障。5. 4. 4. 2應根據業務實際情況調整業務優先級。5.4.5訪問控制4. 5. 1中國石油廣域網設備的核心層設備、匯聚層設備，不宜配置訪問控制策略。5. 4. 5. 2接入層設備上下連端口上，應配置訪問控制策略，關閉常見高風險端口。5. 4. 5. 3 中國石油廣域網設備應通過SNMP （Simple Network Management Protocol）協議監控設 備的協議狀態。5. 4. 5. 4中國石油廣域網設備應通過流量分析工

19、具及其兼容協議監控設備的流量分布細節。5. 4.5.5按SY/T 52312009中第9章的規定制定訪問控制策略。5.4.6遠程登錄5. 4. 6. 1應采用基于統一認證平臺的遠程認證方式。5. 4. 6. 2統一認證服務器應賦予不同用戶不同權限，并記錄訪問日志。4. 6. 3當認證服務器出現故障時，用戶應能通過本地認證對設備進行管理。6 運維管理6.1事件定級1. 1定級依據根據廣域網工作業務類型的重要程度、網絡中斷與否、影響業務使用的范圍大小、經濟損失的嚴 重程度，將廣域網事件劃分為四級。6. 1.2級事件（特別重大）由于網絡原因，導致總部一個或多個數據中心的業務全部中斷；或者導致一個或多

20、個等級保護三 級及以上的業務中斷。6.1.3 二級事件（重大）由于網絡原因，導致一個或多個區域網絡中心訪問總部業務全部中斷；或者導致一個或多個等級 保護二級的業務中斷。6. 1.4 三級事件（較大）由于網絡原因，導致區域網絡中心內一個或多個接人單位訪問總部業務全部中斷。6. 1.5 四級事件（一般）由于網絡原因，導致所屬各企事業單位下屬單位網絡中斷，并導致下屬單位業務全部中斷。6. 2 事件響應1是廣域網建設與運維中出現的故障類事件響應。2.2 一級事件發生時，總部信息管理部門授權的總部核心網絡管理員應按廣域網故障處理工作流 程（見圖A. 6）進行響應。6.2.3二級事件發生時，總部信息管理部

21、門授權的區域網絡中心網絡管理員應按廣域網故障處理工 作流程（見圖A.6）進行響應。6.2.4三級事件發生時，總部信息管理部門授權的所屬各企事業單位網絡管理員應按廣域網故障處理工作流程（見圖A. 6）進行響應。6.2.5四級事件發生時，總部信息管理部門授權的所屬各企事業單位網絡管理員應按廣域網故障處 理工作流程（見圖A.6）進行響應。6.3廣域網接入管理6.3.1申請單位提出廣域網接人、撤銷或變更申請，填寫單位接人申請表（參見表B. 1）或傳輸鏈 路變更表（參見表B. 2）。6.3.2申請單位若是所屬各企事業單位，直接上報總部信息管理部門審批。6.3.3申請單位若是分支機構，應報給其單位總部審批

22、，其單位總部同意接入后，由單位總部填寫 申請表上報總部信息管理部門審批。6.3.4總部信息管理部門按申請單位人員規模及業務特性，選定申請單位的設備及分配資源情況。3.5分支結構接人時，應自備設備、鏈路，IP地址從單位總部劃分。3.6設備安裝完成后，總部運行維護隊伍要對申請單位的業務及流量進行監控。3.7測試一個月后，若申請單位業務運行正常，設備轉為正式運行；若申請單位業務運行不正常， 總部運行維護隊伍應及時調整，調整后進行一個月測試。6.3.8總部運行維護隊伍應在測試階段判斷申請單位的用戶行為，對于非業務行為應及時處理。6.3.9資料歸檔。3. 10廣域網接入管理工作流程見圖A. 1。應用系統

23、接入管理6.4.1重點應用系統提出對網絡系統的資源申請，填寫應用系統網絡接人需求申請表（參見表 B.3）,上報數據中心、網絡與數據專家中心及總部信息管理部門。6.4.2數據中心、網絡與數據專家中心及總部信息管理部門審批后，總部運行維護隊伍與應用系統 進行實施條件確認。4.3應用系統確認后，總部運行維護隊伍開始實施。6.4.4默認情況下，應用服務器上線前，總部運行維護隊伍將關閉所有的網絡端口，按應用系統提 出的要求，經過風險評估后，進行開放。4.5應用系統接入后，應經過一個月的試運行。4.6重點應用系統應對應用系統的運行狀態、問題及時向總部信息管理部門反饋。4.7總部運行維護隊伍應嚴格監視該系統

24、的帶寬占用率、流量行為，以及涉及到設備的帶寬利 用率。6.4.8總部運行維護隊伍將應用系統接人的重點資料歸檔。4.9應用系統接人管理工作流程見圖A. 2。廣域網日常運維管理5. 1總部運行維護隊伍使用遠程桌面登錄到巡檢設備。6.5.2收集設備信息。6.5.3如果發現故障，應根據廣域網故障處理工作流程（見圖A.6）進行相應排障，并將故障報告 上報總部信息管理部門。6.5.4總部運行維護隊伍編制巡檢報告，將巡檢報告歸檔。6.5.5廣域網日常運維管理工作流程見圖A. 3。6.6廣域網帶寬管理6.6.1申請單位根據業務需要，申請接人廣域網或從廣域網撤銷鏈路，填寫傳輸鏈路變更表（參見表 B. 2）。6.

25、2申請單位提出廣域網鏈路變更申請，上報網絡與數據專家中心及總部信息管理部門。6.3網絡與數據專家中心及總部信息管理部門接收申請，反饋審批結果。6.4總部運行維護隊伍按申請單位網絡業務的實際情況，對接人帶寬進行調整，實施增減容工作; 申請單位負責配合實施。6.5實施增減容工作完成后，總部運行維護隊伍進行鏈路變更效果分析。6.6.6資料歸檔。6.6.7廣域網帶寬管理工作流程見圖A. 4。6.7網絡資源申請 6.7.1廣域網網絡資源包括：a）IP地址和應用系統IP地址。b）公網域名、內網域名、域名申請。c）DNS服務器。d）服務器應用端口和SSL - VPN端口。6.7.2申請單位提出廣域網資源申請

26、，填寫域名申請表（參見表B.4）,上報總部信息管理部門。6.7.3總部信息管理部門接收申請，反饋審批結果。6.7.4總部運行維護隊伍進行實施工作。7.5實施結束后，總部運行維護隊伍將重點資料歸檔。7.6網絡資源申請T作流程見圖A. 5。6.8廣域網故障處理6.8.1所屬各企事業單位、分支機構發現廣域網故障，應上報。8.2 一、二級故障直接上報總部信息管理部門，同時報送廣域網總部運維隊伍；總部信息管理部 門接收申告，反饋審批結果。6.8.3三級故障直接報送總部運行維護隊伍，由總部運行維護隊伍按故障應急流程進行故障排查、 處理。8.4四級故障直接報送幫助熱線，由幫助熱線直接處理。8.5故障處理后，

27、總部運行維護隊伍將故障處理資料歸檔。8.6廣域網故障處理工作流程見圖A. 6。Q/SY 13332015圖A.2應用系統接入管理工作流程 Q/SY 13332015圖A.2應用系統接入管理工作流程 附錄 A（規范性附錄）廣域網運維工作流程圖A. 1至圖A. 6中給出了廣域網運維工作流程。廣域網接入管理工作流程前期準備運營商實施廣域網實施總部信息管理 部門廣域網運維項目組+ 區域網絡中心項目組其他項目組所屬企事業單位 信息部門圖A. 1廣域網接入管理工作流程應用系統接入管理工作流程前期準備實測運總部信息 管理部門接收申請|不同意網絡與數據專家中心接收申請同意數據中心|前期調研|1接收報告不同意測

28、試|pH資料歸檔|H運行，維護廣域網運維項目組不同意廣域網實施前準備網絡實施通知是通知其他項目 組實施監控應用系統應用系統實施前準備Q/SY 13332015圖A.4廣域網帶寬管理工作流程 Q/SY 13332015圖A.4廣域網帶寬管理工作流程 廣域M日常運維管理工作流程日常巡檢總部信息 管理部門總部運行維護隊伍總部核心網絡和數據中心巡檢（開始）區域網絡 中心項目組+ 所屬各企事業 單位區域網絡中心項目組日常巡檢廣域網帶寬管理工作流程網絡與數據專家中心接收申請總部信息 管理部門同意區域網絡中心項目組 廣域網運維項目組主動分析或接收申請表申請單位接收重大故障申告IF.否-編制故障報吿-I編寫巡

29、檢報告I結束）廣域網運維項目組故障處理J工作流程圖A. 3 廣域網日常運維管理工作流程前期準備運營商實廣域網實施效果分析不同意-*接收申請同意無資源反饋審批結果鏈路報竣通知 廣域網運維組通知用戶1不同意-實施增減容鏈路變更效果分析通知其他項目組監控提交申請單|配合實施Q/SY 13332015 Q/SY 13332015 Q/SY 13332015圖A. 6廣域網故障處理工作流程 網絡資源申清工作流程項目組+廣域網運維實施工作流程運行維護結束）通知其他項目組監控審批部門通知回收T_ 1接收串_清1資源接收資源表單提出網絡資源申請1接收通知1單位（開始）總部信自心 管理部門接收重大 故障申告I任

30、務指派h接收故障報告廣域網運維項目組+ 區域網絡中心項目組三級故障超期升級故障排査 流程編制故障報告通知故障排查配合其他項目組三級故障其他項目組其他項目組受理故障處理故障幫助熱線接收通知事件申告單位幫助熱線接收故障申告提出故障申告通知圖A. 5網絡資源申請工作流程廣域網故障處理工作流程串報故障定位排確認.歸附錄B（資料性附錄）廣域網建設與運維工作表單B. 1表B. 1及表B. 2給出了廣域網接人管理工作表單。表B. 1單位接入申請表編號：GYW - _UDW_JR- / -表單號功能填表日期序號申請信息申請單位名稱申請單位地址聯系人姓名聯系人電話（辦公電話）聯系人郵箱（移動電話）人員規模性質

31、1 ()0以內 100 500人 口 500人以上中國石油員工非中國石油員工自建互聯網出口無有 M帶寬擬關閉時間年 月擬鏈路帶寬 4MD8M DlOM D34M D155M 其他鏈路費用是否接受是否IP地址申請完成未完成域名地址申請完成未完成代理地址申請完成未完成擬接人日期年月機房環境情況滿足不滿足上聯設備端口滿足不滿足申請原因擬接人企事業單位 /區域網絡中心接人企事業單位 /區域網絡中心同意不同意簽字/蓋章：年月日所屬企事業單位 信息部門審核同意不同意簽字/蓋章：年月日審批情況廣域網建設項目組審批同意申請簽字：年月日不同意申請網絡安全域項目組審批同意申請簽字：年月日不同意申請網絡與數據專家中

32、心審批同意申請簽字：年月日不同意申請總部信息管理 部門審批同意申請簽字：年月日不同意申請表B. 2傳輸鏈路變更表編號，-AQ18-/-單位簡稱部門簡稱表單號填表日期序號申請信息申請單位名稱申請單位地址郵編聯系人姓名聯系人電話（辦公電話）聯系人郵箱（移動電話）鏈路起止點鏈路變更性質增加帶寬 減少帶寬 取消鏈路 地址變更 更換運營商鏈路費用性質集團公司統一租費 地區公司分攤租費 地區公司自行承擔 其他當前鏈路帶寬(Mbps)變更后鏈路帶寬(Mbps)當前鏈路費用變更后鏈路費用需要完成日期鏈路變更原因所屬企事業單位 信息部門審核同意申請負責人簽字（蓋章）：年月日不同意申請是否符合標準：是口否口板卡資源情況，有無（需更換設備）審批情況廣域網運維項目組審批同意申請簽字：年月日不同意申請鏈路組審批同意申請簽字：年月日不同意申請網絡與數據專家中心審