衢州市公安局交警支隊智能交通指揮中心一期車管所大樓網絡建設方案目錄1. 概述 -3-1.1. 項目名稱 -3-1.2. 項目建設單位 -3-1.3. 項目主管單位 -3-2. 核心網絡建設方案 -3-2.1. 核心網絡設計原則 -3-2.2. 核心網絡目標拓撲設計 -5-2.3. 核心網絡目標結構說明 -5-2.4. 核心網絡路由實現說明 -6-3. 外網部分建設方案 -6-3.1. 外網設計原則 -6-3.2. 外網目標拓撲設計 -7-3.3. 外網目標結構說明 -7-4. 車管所網絡建設方案 -8-4.1. 車管所內網目標拓撲設計 -8-4.2. 車管所外網目標拓撲設計 -9-5. 現網業務遷移割接 -9-5.1. 遷移原則 -9-5.2. 現網業務遷移方案 -10-5.2.1. 總體思路 -10-5.2.2. 準備階段 -10-5.2.3. 第一階段遷移割接 -11-5.2.4. 第二階段遷移割接 -12-5.2.5. 全面測試 -12-6. 涉及設備清單 -21-8.1. 監控中心設備清單 -21-8.2. 車管所設備清單 -22-概述項目名稱衢州市公安局交警支隊智能交通指揮中心一期網絡建設衢州市公安局交警支隊車管所大樓網絡建設項目建設單位衢州市公安局交警支隊核心網絡建設方案核心網絡設計原則在衢州市交警網絡建設項目中，為節省用戶投資，保證業務的正常、優質開展，整個網絡系統必須總體規劃，統一標準。為達到衢州市交警網絡建設的目標要求，在網絡設計構建中，應堅持以下建網原則：需求驅動原則：以實際應用需求為依據，選擇技術和設備。根據金盾工程建設的實際需求，考慮遠程共享辦案與合作，特別是案件影像傳輸與數字視頻業務的需要，要充分考慮網絡系統的服務質量和可靠性。根據現在的需求和可以預見的需求增長情況設計網絡，不追求空洞的技術先進性，避免追求高檔和最新技術花費的巨大代價。先進性原則：交警信息化需要最新技術的支撐，特別是網絡技術和多媒體計算機技術，必須采用先進成熟的技術，并兼顧未來發展趨勢。必須要保持對犯罪人員的先進技術優勢。投資保護原則：由于衢州市交警支隊已在網絡應用方面做了大量的投入進行信息化建設，交警信息化在各部門或不同的應用上對網絡的需求不盡相同，原有的很多工作已經證明是有效的，這部分軟硬件可以繼續發揮作用，從而保護原有投資，節省建設經費。標準化原則：從機房建設、綜合布線工程規范、到網絡技術標準和網絡協議，都有相應的國際標準和國家標準，所有設計與建設要遵循該原則，從而可以實現標準化管理，延長整體項目的生命周期，做到投資保護。安全性原則：交警信息化工作的特殊性，對網絡與信息安全提出了很高的要求。由于安全性的要求與投入成正比，并且涉及管理與應用的方方面面，是一個復雜的系統工程，實際上沒有一個絕對安全的系統，安全只是相對而言，所以該原則是充分評估安全風險，制定安全策略，采取必要的安全措施。是指防止非法訪問者通過互聯網絡對網絡節點進行攻擊的能力。工程原則：網絡系統建設涉及機房與網絡配線間環境、通信管道與通信線纜、樓內綜合布線系統、電源及其防護、網絡交換機與路由器、服務器設備以及相關的軟硬件系統，在設計建設時要體現工程原則，做到有工程規劃、項目有設計、實施有控制等，實現整個系統的可管理、可維護、可擴展和可升級。健壯性及開放性：它應具有很好的收斂性和可擴展性，同時其網絡額外開銷是極小的，且受到國際標準的支持，保證不同設備見的互通性?？紤]到今后信息化的進程和逐步演進，網絡要建設成完整統一、組網靈活、易擴充的彈性網絡平臺，能夠隨著需求變化，充分留有擴充余地。核心網絡目標拓撲設計核心網絡目標結構說明鑒于衢州市交警網絡日益重要，以及基于設計原則，因此我們設計方案如下：中心節點。采用1臺萬兆路由交換機產品作為網絡核心設備，該設備配置雙引擎雙電源，確保核心設備的可靠運作。向下鏈接交警大樓樓層交換機、外聯下屬單位、通過IPS連接中心服務器群。向上連接市公安局。全網以千兆鏈路為主。全市交警系統萬兆核心路由交換機作為主中心節點，同時可以完成相應的ACL訪問策略以及全網統一規劃。在中心機房可配置網管服務器，便于對整個網絡實行全面管理。非公安辦公場所網絡接入核心交換機也采用1臺萬兆路由交換機產品作為網絡核心設備。同樣配置雙引擎雙電源，確保核心設備的可靠運作，上連支隊核心交換機（根據需要，以后可以增配網絡邊際安全設備后再上連到支隊核心交換機），下連市本級所有非公安固定辦公場所網絡設備（主要包括卡口、電子警察、視頻監控等）。車管所大樓核心交換機同樣配置雙引擎雙電源，確保核心設備的可靠運作，上連交警支隊核心交換機，下連大樓樓層交換機。各大隊等下屬單位，則仍利舊原有設備，但進行必要的端口擴容（從百兆電口升級為千兆光口）。大樓內的樓層交換機則以光纖上聯至核心交換機。作為數據中心的數據庫、服務器群等，直接連接到核心交換機。核心網絡路由實現說明核心網絡將對應各外聯下屬單位和樓層劃分vlan，以減小網絡廣播域，從而減少二層病毒的干擾。所有核心設備（數據庫、服務器群）將按現有狀況處于同一vlan，ip地址不變。各vlan的網關均建立在核心交換機上，對于車管所網絡，則與車管所的核心交換機通過路由協議進行訪問。對于全網的訪問策略可采用ACL并應用于相應端口。外網部分建設方案外網設計原則物理隔離原則。安全性原則。經濟性原則。標準化原則。外網目標拓撲設計外網目標結構說明外網中心設備采用千兆級路由交換機，向下連接各樓層接入交換機，并連接到車管所外網主交換機上。各樓層作為一個vlan，并終結到外網核心交換機上。車管所的外網網關終結在車管所的外網三層交換機上，與監控中心的外網核心交換機通過路由進行訪問。采用一臺防火墻作為外網的出口設備，外網核心交換機與外網出口防火墻之間建立路由，連接到防火墻的trust端口（或稱為inside端口），防火墻的untrust端口（或稱為outside端口）連接到互聯網。各可上外網的終端設備通過防火墻nat訪問互聯網。為確保訪問公網的行為可控，在不增加其他安全類設備的情況下，可采用對各終端靜態配置地址，同時在三層交換機上進行ip/mac綁定。注：外網防火墻需利舊原有設備，如原有設備不符要求，則需另行采購。車管所網絡建設方案車管所內網目標拓撲設計考慮到車管所業務的重要性和不可間斷性，因此對車管所配置1臺萬兆路由交換機作為車管所的核心交換機，并且配置雙引擎、雙電源以確保該設備的高可用性。車管所核心交換機與監控中心核心交換機以千兆裸光纖互聯，起動態路由協議。車管所內可根據需要劃分vlan，各vlan的網關終結在車管所的核心交換機上。車管所外網目標拓撲設計車管所外網主交換機為千兆三層路由交換機，通過裸光纖與監控中心的外網核心交換機相連，起用動態路由協議。車管所內外網接入交換機均匯聚到車管所外網主交換機上，根據情況可采用vlan劃分，各vlan網關終結在車管所外網主交換機上。現網業務遷移割接遷移原則安全性原則。安全性是現網業務遷移割接中最為重要的一點。務必采取周密的方案確保遷移割接中對現網業務的安全。平滑性原則。為確?，F網業務的不中斷或少中斷，應采用平滑割接的方式，以避免出現業務中斷過長的情況?？煽匦栽瓌t。由于系統的重要性，對于每一步割接操作應絕對可控，一旦出現異常且短時無法排除的情況時，應能方便地回退。有序性原則。由于指揮中心的遷移割接涉及面廣，工作量大，因此整個割接操作應遵循安全有序的原則，逐步從老的網絡平面割接到新的網絡平面?，F網業務遷移方案總體思路由于現網核心在老的指揮中心大樓內，現網的數據庫、服務器群等也在老大樓中，與公安網的互聯、與下聯各下屬單位的互聯等也通過老大樓進行互通。新的網絡平臺建設完成后，先采用租用臨時裸光纖將新老網絡平臺進行3層互通，并采用動態路由進行路由導通。然后利用新增的服務器將原系統遷移到新大樓，由于新老大樓網絡連通，所以當服務器在新大樓，而其他業務終端和業務系統在老大樓時，網絡也能正常。此時網絡的核心是老大樓。然后，通過網絡出口的遷移、網絡其他各系統的遷移以及下聯下屬單位電路的割接，逐步平滑地從老網絡割接到新網絡中。準備階段此階段主要是建設新的網絡平臺，調測新的指揮中心與老大樓之間的光路，以及與公安網的電路。然后進行新老網絡的互聯。如下圖：該階段將建立新老大樓網絡之間的千兆互聯，并采用動態路由將兩邊路由導通。由于新大樓的網絡在此時除了一些設備的管理地址外并無業務網段，因此對老大樓的網絡的路由表并不產生影響。第一階段遷移割接在該階段中，將新增的服務器安裝并進行業務系統遷移，同時將原服務器的網段移到新網絡平面，進行相應的業務測試，一旦有異常且短時無法排除，可重新啟用原服務器。第二階段遷移割接第一階段遷移割接順利完成后，可進行網絡出口和下聯單位的電路割接，在割接中，出現任何情況均可回退至原狀。如下圖：全面測試完成全部割接后，應對網絡和相關