1、湖北省电子政务培训材料之二湖北省电子政务一期工程网络平台建设湖北省电子政务工作领导小组办公室二七年一月- 34 -目 录第一部分 网络平台情况介绍- 1 -1.1 电子政务外网架构- 2 -1.1.1外网总体框架- 3 -1.1.2外网各级网络组成- 4 -1.1.3 外网总体拓扑图- 6 -1.2 电子政务外网和国家的互联- 8 -1.3电子政务外网平台路由规划- 8 -1.4 电子政务外网MPLS/VPN规划- 9 -1.5 纵向网络迁移思路- 11 -1.6数据中心的建设- 11 -1.7 电政务外网平台安全总体框架- 13 -第二部分 接入规范介绍- 14 -2.1 IP地址规划- 1
2、4 -2.2 域名规划- 15 -2.3 单位内部网络分类及接入方法- 15 -2.4 单位内部网络接入特殊要求申报程序- 18 -2.5 单位内部网络接入要求- 19 -2.5.1 接入要求达到的效果- 21 -2.5.2 接入现状- 21 -2.5.2 下一步要求- 21 -2.6 下发接入设备管理权限- 22 -第三部分 运行维护管理- 22 -3.1 下发设备介绍- 22 -3.1.1 接入路由器面板介绍- 23 -3.1.2 接入防火墙面板介绍- 24 -3.1.3 前置服务器面板介绍- 25 -3.1.4 地市接入路由器面板介绍- 26 -3.2 运维人员管理- 27 -3.3 运
3、行维护人员岗位职责- 27 -第四部分 对各接入单位的要求- 28 -4.1桌面接入的要求- 28 -4.2接入单位应用集成禁止使用端口映射- 29 -4.3 运行环境要求- 30 -4.3.1 机房环境要求- 30 -4.3.2 设备维护要求- 31 -4.4 运行维护要求- 32 -附件一 前置服务器软件安装清单- 33 -附件二 接入单位设备运行记录- 34 -湖北省电子政务一期工程网络平台建设湖北全达信息科技有限公司 熊伟第一部分 网络平台情况介绍湖北省电子政务外网建设指导思想根据中办发200217号文件和200618号文件精神及国家电子政务网建设的总体框架，我省在建的电子政务网定位为
4、电子政务外网，主要运行政务部门面向社会的专业性服务业务和不需在内网上运行的业务，满足各级政务部门社会管理，公共服务的需要。省电子政务网是国家电子政务外网的组成部分，与互联网之间逻辑隔离。省电子政务网络的建设遵照电子政务国家标准总体框架和已发布的有关政策、法规和标准规范。横向连接充分利用政府现有通信资源和租用公共通信资源，与国家和市州的连接租用公共通信资源，构筑省电子政务外网专网，组成统一政务通信信道。该网与各部门办公局域网逻辑隔离，与互联网逻辑隔离，是非涉密网。电子政务外网平台一期建设范围湖北省电子政务外网上联国家电子政务外网，横向连接省委、省政府、省人大、省政协、省高院、省高检及省直各部门共
5、102个单位。下连湖北省17个市州。1.1 电子政务外网架构湖北省电子政务外网平台为树型结构，主要由三个层次构成，分别为二级网络、三级网络与四级网络（一级网络为国家级网络）1.1.1外网总体框架湖北省电子政务外网平台根据以上基本原则，形成了覆盖省、市州、区县三级的网络平台，实现了本部门各级网络之间、本级各部门之间通信的基础网络平台，该网络平台的架构如下图所示：图 湖北省电子政务外网架构（* 注：区县级核心局域网应尽量不独立设置。）湖北省电子政务外网网络平台采用分层结构，分为省级、地市级及县区级。省级平台由省级核心局域网，连接省委、人大、政府、政协、法院、检察院等及其组成与直属单位构成。市州级平
6、台由市州级核心局域网，连接市委、市人大、市政府、市政协、市法院、市检察院等及其组成与直属单位构成。区县级平台由区县级核心局域网，连接区委、区人大、区政府、区政协、区法院、区检察院等及其组成与直属单位构成。省级核心局域网与市州级核心局域网连接、市州级核心局域网与区县级核心网局域连接，省级核心局域网与区县级核心局域网不直接连接。各级网络平台应建设的主要内容包括：网络基础平台、网络安全体系、网络管理体系、认证体系、用户接入体系、网络核心运行体系等。1.1.2外网各级网络组成湖北省电子政务外网各级网络都是由核心局域网、广域骨干网、城域网和政务部门用户接入网四个有效部分构成，其中：核心局域网向本级网络用
7、户提供主要的网络服务；广域骨干网用于实现和下级外网网络的长途互连；政务部门用户接入网用于实现本级各部门接入外网平台；城域网用于实现本级网络网管中心、广域骨干、政务部门之间的连接。例如一个典型的某级网络组成情况如下图所示：图-各级外网组成在湖北省各级外网网络建设时，不必严格区分“核心局域网”、“广域骨干网”、“城域网”、“政务部门用户接入”四个组成部分，但各组成部分的基本接入和连接功能必须在其本级外网网络实现。在四级网络的建设中，可以不设立独立的核心局域网，应尽量借助于三级核心局域网的资源提供服务。1.1.3 外网总体拓扑图 湖北省电子政务外网共规划四大区域 外网广域网区:覆盖17个地市、102
8、个省直单位 网络与数据管理中心:管理中心、数据交换中心、应用支撑平台 DMZ区:省电子政务外网门户区域 Internet区:Internet数据交互区域1.2 电子政务外网和国家的互联和国家电子政务网互联是通过外网汇聚交换机和国家电子政务一级骨干网的NE40进行设备级的互联,采用VPN-OptionA ：VRF-TO-VRF 进行跨域互通。VPN:虚拟专网,在物理平台上承载的逻辑通道,有较好的安全隔离性1.3电子政务外网平台路由规划 采用OSPF作为IGP路由 采用VRF-To-VRF与国家电子政务一级网连接 采用MP-BGP来实现MPLS-VPN功能 在核心设备上部署BGP路由反射器 网络边
9、缘采用静态路由发布的方式收敛网络承载方式纵向VPN：纵向VPN用于承载纵向垂直业务1.4 电子政务外网MPLS/VPN规划到国家电子政务一级骨干网实现跨域连接采用VRF-TO-VRF贯通到国家的纵向VPN到地市、厅局委办可提供跨域、L2/L3 VPN嵌套的灵活接入通过RT属性来连通同种业务的VPN通过RD属性区分在同一接入设备上的不同VPN的相同私网路由条目纵向VPN之间相互隔离，只能在垂直业务系统中互通。具备承载纵向网络的能力。1.5 纵向网络迁移思路电子政务外网网络平台采用MPLS-VPN架构,目前电子政务外网平台已覆盖到各厅局和市州.下一步电子政务网建设将逐步拓展到区、县,纵向VPN已经
10、具备纵向网络的承载能力。依据电子政务外网建设路线和国家相关指导精神,整合利用现有的线路资源，分批次、分级别将各厅局纵向网逐步迁移至电子政务外网平台,将是电子政务外网平台的发展趋势。1.6数据中心的建设数据中心是政务外网平台数据交换的核心，目前省电子政务外网平台核心数据库部署如下：核心数据库服务器采用IBM小型机AIX5.3的操作系统及HACMP5.4双机系统保障了数据库服务器平台的冗余及稳定性数据库采用oracle 10g数据库系统, 数据库服务器都通过两条线路分别与核心交换机互连，在任何一台核心数据库宕机失效后，核心数据库服务器仍可以对外提供服务应用服务器共30台,采用windows 200
11、3 R2操作系统的集群服务系统，保障了电子政务平台主要应用软件平台的稳定性及容灾性. 容灾备份的展望目前省电子政务数据中心采用集中式数据管理模式后期建设过程中容灾备份系统将根据电子政务应用发展趋势，分阶段、分级别逐步建立起数据级容灾、应用级容灾和业务级容灾。容灾备份系统采用NAS、IP存储等技术，利用现有的省电子政务外网平台资源进行中心数据的异地容灾、备份使数据存储更安全可靠。1.7 电政务外网平台安全总体框架整个安全体系划分为物理与线路传输安全体系、网络安全防御体系、主机与系统安全体系、数据与应用安全体系、统一安全管理体系五个层次。物理与线路传输安全体系物理与线路传输安全体系主要包括系统的物
12、理安全以及通信线路的安全，其中物理安全主要是指防止物理通路的损坏、对物理通路的攻击（干扰）、物理环境安全、网络设备及主机的物理安全等；线路传输安全需要保证通过网络链路传送的数据不被窃听。网络安全防御体系网络安全防御体系主要解决网络互联时在网络通信层的安全问题，具体采用的安全技术和措施包括：网络设备安全、网络访问控制、网络隔离、防火墙、入侵检测、抗拒绝服务攻击、攻击安全审计等。主机与系统安全体系主机与系统安全体系的主要解决主机操作系统的访问控制以及主机存在的漏洞等。具体的安全技术和措施包括：病毒防范、漏洞检测等。数据与应用安全体系省政务网数据与应用安全体系主要考虑应用系统能与系统层和网络层的安全
13、服务无缝连接，对建立在操作系统之上的应用软件服务，如数据库服务、电子邮件服务、Web服务以及各种业务系统等。需要采取的安全技术与措施包括：身份认证、访问控制、防垃圾邮件、数据保密性和完整性（安全通信）、内容审计、数据备份等。详细安全体系的部署，见培训资料六湖北省电子政务网信息安全建设。第二部分 接入规范介绍2.1 IP地址规划湖北省电子政务IP地址是采用国家外网管理中心为湖北省政务外网预分配了16位地址量，地址段为59.208.0.0/16。 设备管理地址： 设备管理地址即设备LOOPBACK地址，按照32位掩码的原则，使用59.208.254.0/24、 59.208.255.0/24共2个
14、C。 设备互联地址：设备互联地址按照30位掩码的原则，使用59.208.250.0/24、 59.208.251.0/24、 59.208.252.0/24、 59.208.253.0/24共4个C。 接入单位使用地址： 接入单位使用地址使用59.208.69.0/24-59.208.224.0/24共156个C的地址段。2.2 域名规划湖北省电子政务外网是国家电子政务的三级域网络，省电子政务域名分二级：根域：作为湖北省的根域，17个地市州 和省级厅局委单位作为其子域。二级子域：17个地市州的市级局委单位作为其二级子域。项目域名说明湖北省域名湖北省三级域名武汉武汉电子政务网四级域名黄石黄石电子
15、政务网四级域名襄樊襄樊电子政务网四级域名荆州荆州电子政务网四级域名宜昌宜昌电子政务网四级域名十堰十堰电子政务网四级域名孝感孝感电子政务网四级域名荆门荆门电子政务网四级域名鄂州鄂州电子政务网四级域名黄冈黄冈电子政务网四级域名咸宁咸宁电子政务网四级域名随州随州电子政务网四级域名神农架神农架电子政务网四级域名恩施恩施电子政务网四级域名潜江潜江电子政务网四级域名天门天门电子政务网四级域名仙桃仙桃电子政务网四级域名2.3 单位内部网络分类及接入方法内部网络的分类目前单位内部网络主要分以下几类： 有独立办公网。 有独立办公网，但国家有文件明确要求与电子政务外网不直接连接 。 有独立办公网，但经保密部门批准
16、为涉密网络。 没有办公网 。 内部办公网与Internet相连。 接入的方法 A类：路由方式接入 接入单位客户端使用电子政务外网IP地址。DMZ区服务器采用电子政务外网统一分配IP地址。应用服务器采用电子政务外网IP地址。在接入路由器上配置静态路由贯通接入单位内网。 B类：地址转换方式接入 接入单位客户端使用私网IP地址，在防火墙处做地址转换，DMZ区服务器采用电子政务外网统一分配IP地址。要求将应用服务器放在DMZ区域（例：使用双网卡）使用电子政务外网IP，不允许在接入防火墙上通过端口映射方式进行接入。 为什么不允许：1.与国家外网建设规范推荐技术路线相违背2.在设计上分配的IP地址已经满足
17、目前应用的需求3.应用系统较多,每个应用将涉及到多个端口的映射,在使用和维护上会造成很多不便.4.应用集成采用端口映射,增加中间环节降低应用可靠性. C类：增加接入隔离设备 在B类基础上加装隔离网闸，接入单位客户端使用私网IP地址，在防火墙处做地址转换，DMZ区服务器采用电子政务外网统一分配IP地址。 2.4 单位内部网络接入特殊要求申报程序部分单位内部办公网络不能和电子政务外网直接对接的，按照特殊情况进行处理；接入单位需向电子政务办提交正式书面报告，并附以国家证明文件或者省保密局涉密网证明文件2.5 单位内部网络接入要求根据“涉密不上网，上网不涉密”的总体接入原则，要求省直各部门将其内部办公
18、网与电子政务外网平台对接，达到每个公务员的桌面电脑通过身份认证后可以登录电子政务外网平台；针对以上各网络的类型的接入要求如下： 有独立办公网应通过前置设备与省电子政务外网连接，具体接入方法参照A、B类。 有独立办公网但国家有文件明确要求与电子政务外网不直接连接，应通过隔离设备与省电子政务外网连接。 有独立办公网，但经保密部门批准为涉密网络暂时不与省电子政务外网连接。但要求通过接入设备与单位主要领导和信息化主管部门的电脑直接连接。 没有办公网可通过接入设备与单位主要领导和信息化主管部门的电脑直接连接。 内部办公网与Internet相连要求在Internet出口处做逻辑隔离（逻辑隔离是指采用如：防
19、火墙等安全设备隔离）才能与电子政务外网平台对接。 已经实施接入的单位中,未按照接入规范实施接入的在后续的工作中,要求参照接入规范做相应的调整。2.5.1 接入要求达到的效果要达到的效果: 各部门业务应用系统的数据在部门内部服务器、前置服务器、政务门户之间实现同步自动更新。 每个公务员的桌面电脑通过身份认证后可以登录电子政务外网平台。未完善接入存在的主要问题: 设备还未接收 网络未开通 桌面未开通 连接的网络非应用系统数据所涉及的网络2.5.2 接入现状网络已经连通的单位78家(其中市州17家)已接入桌面的单位有22家(市州1家:武汉市)尚未接入桌面的单位有56家网络未开通的单位38家已经下发接
20、入设备的单位17家接入设备未接收的单位21家(不具备实施条件、未明确工作部门)2.5.2 下一步要求没有连接到桌面的单位(56家)要按照接入规范中规定的接入方法做到桌面接入；设备已下发网络未连通的单位(17家)由相关运营商迅速开通(2月1日前)接入设备没有下发的单位(21家)要抓紧与省推进电子政务工作专班平台组联系，提出本单位接入需求,确定接入方法，做好接入的准备工作 2.6 下发接入设备管理权限主机系统权限：试运行期间内主机系统的密码根据对象不同设置不同权限。 开发人员超级用户权限 其他人员一般用户权限网络设备权限：试运行期间，网络设备的登陆和管理密码只对施工单位工程人员开放。应用系统调试完
21、毕后,应向电子政务办提交在下发前置服务器上,所安装的软件产品安装清单备案，安装清单见附件一：前置服务器软件安装清单。第三部分 运行维护管理3.1 下发设备介绍本次省电子政务外网下发设备：省直单位：中兴（ZTE）接入路由器1台网御神州百兆防火墙1台联想网御前置服务器1台 网络机柜1个地市州(含省委、省政府)：思科接入路由器1台网御神州千兆防火墙1台联想网御前置服务器1台 网络机柜1个3.1.1 接入路由器面板介绍 接入路由器面板介绍 端口指示灯功能说明每端口ACT 端口数据收发指示，有收、发数据，闪烁，无收、发数据，熄灭。每端口LINK 物理层建链指示，物理层建链成功长亮；物理层建链失败熄灭。电
22、源指示灯功能说明3.3V灯（绿色）指示电源板3.3V输出工作情况，正常时灯长亮，过欠压时灯熄灭2.5V灯（绿色）指示电源板2.5V输出工作情况，正常时灯长亮，过欠压时灯熄灭5V灯（绿色）指示电源板5V输出工作情况，正常时灯长亮，过欠压时灯熄灭3.1.2 接入防火墙面板介绍 FE1 连接到电子政务外网路由器FE2 连接到前置服务器FE3 连接到厅局内网3.1.3 前置服务器面板介绍 前面板示意图（RACK） A. Tower 机箱门锁B. Tower 机箱侧盖锁C. 光驱D. 前置USB 口E. 4 盘位硬盘模组F. 6 盘位硬盘模组 电源灯（power）亮为服务正常器开机工作状态。硬盘灯闪烁为
23、有数据读取状态。网络活动灯闪烁为有网络数据传输。 3.1.4 地市接入路由器面板介绍 a. 启动时，所有端口指示灯变绿.b. 每个端口自检完毕，对应的指示灯熄灭.c. 如果端口自检失败, 对应指示灯呈黄色.d. 如果有任何自检失败情况，系统指示灯呈现黄色.e. 如果没有自检失败, 自检过程完成.f. 随着自检过程的完成, 指示灯闪亮后熄灭.3.2 运维人员管理 明确组织机构中工作人员的职责范围。 明确组织机构中工作人员的岗位责任。 建立人员变动的申报制度 建立日常维护的工作流。 - 建立日常维护申报工作流。 - 建立配置维护及帐户管理工作流。 - 建立故障处理工作流。 - 建立设备硬件维护的工
24、作流。 - 建立应急处理工作流。 - 建立设备维护操作规范。3.3 运行维护人员岗位职责1、 负责设备供电基础维护；2、 定期检查设备指示灯状态；3、 定期检查设备间互联线情况；4、 定期检查设备运转情况；5、 配合电子政务中心升级服务器杀毒软件；6、 配合电子政务中心更新操作系统补丁；7、 设备出现故障时，负责及时向电子政务中心报告；8、 负责配合湖北省电子政务办做好其它相关维护性工作。 第四部分 对各接入单位的要求为保证省电子政务接入工作顺利进行，下一步要求所有部门加快推进网络接入工作。对于没有连接到桌面的单位要按照附件规定的接入方法做到桌面接入；对于网络没有连通的单位和接入设备没有下发的
25、单位要抓紧与省电子政务办联系，提出本单位接入需求,确定接入方法，做好接入的准备工作。4.1桌面接入的要求为满足湖北省电子政务的发展以及应用系统建设的需要，根据“涉密不上网，上网不涉密”的总体接入原则，要求省直各部门将其内部办公网与电子政务外网平台对接，达到每个公务员的桌面电脑通过身份认证后可以登录电子政务外网平台。1、 部门有内部办公网的单位，应通过前置设备与省电子政务外网连接。具体接入方法参照接入规范A、B类。2、 对于部门有内部办公网，但国家有文件明确要求与电子政务外网不直接连接的单位。应通过隔离设备与省电子政务外网连接，具体接入方法参照接入规范C类。3、 对于部门有内部办公网，但经保密部
26、门批准为涉密网络的单位，暂时不与省电子政务外网连接。但要求通过接入设备与单位主要领导和信息化主管部门的电脑直接连接。4、 对于部门没有内部办公网的单位。可通过接入设备与单位主要领导和信息化主管部门的电脑直接连接。5、对于内部办公网与Internet相连的接入单位，要求在Internet出口处做逻辑隔离（逻辑隔离是指采用如：防火墙等安全设备隔离）才能与电子政务外网平台对接。4.2接入单位应用集成禁止使用端口映射接入单位按照接入规范B类接入方法进行接入的，要求将应用服务器放在DMZ区域（例：使用双网卡）使用电子政务外网IP，不允许在接入防火墙上通过端口映射方式进行接入。4.3 运行环境要求4.3.
27、1 机房环境要求机房环境要求序号环境要求必备推荐1选址机房应远离易燃、易爆、易受电磁干扰（大型雷达站、发射电台、变电站）场所，距离要求大于100米以上。2配套设备机房建议安装机房专用空调，空调制冷量满足机房温度要求。窗户应采用双层铝合金门窗密封，机房应安装消防设施。照明设施良好。3防静电地板或走线架按实际需要，已经安装好。4防直击雷机房应有避雷针、避雷带等防直击雷装置，其防雷接地（避雷针等装置的接地）应与机房的保护接地共用一组接地体。5接地电阻机房采用联合接地（设备的工作地、保护地和防雷地合用同一个接地体），机房内各种通信设备、通信电源应尽量合用同一个保护接地排，接地电阻应小于1欧。6接地引入
28、线机房保护地排有足够接地端子，机房接地排到机房地网连线应可靠连接，其长度不应超过30米，宜采用404以上镀锌扁钢或者95mm2以上线缆，其应进行绝缘防腐处理，出土部分有机械损伤保护，中间不能有断点接续。7交流电源准备交流电压应在187V242V之间，功率满足设备供电要求。在机房内安装好交流配电开关，接到设备的交流接线盒铺放到位。8交流接地机房电源线的中性线在机房内严禁与各种通信设备的保护地连接。9交流防雷机房交流电源系统应安装标称放电电流不小于20kA防雷单元，防雷单元应可靠接地。10直流接地机房直流配电柜中工作地应与机房保护地直接相连，其线缆应不小于95mm2。11工作环境温度04022左右
29、12环境相对湿度5%90%（不凝露）4.3.2 设备维护要求序号项目要求必备推荐1接入路由器应7x24小时开机,注意防尘土通风防潮,出现声音或指示灯告警应及时联系电子政务办或集成商定期检查设备运行情况2接入防火墙应7x24小时开机,注意防尘土通风防潮,出现声音或指示灯告警应及时联系电子政务办或集成商定期检查设备运行情况3前置服务器应7x24小时开机,注意防尘土通风防潮,出现声音或指示灯告警应及时联系电子政务办或集成商.应保持杀毒软件最新版本病毒库、操作系统应保持最新版本补丁.注意主机密码安全性.定期清理系统临时文件.自动更新1次病毒库、操作系统补丁2-3周清理系统临时文件4.4 运行维护要求
30、本次提供设备只供电子政务外网平台使用，用户单位除将单位内部网络接入外，不得有其它网络接入； 用户单位不得随意登录本次提供的设备察看配置参数信息，更不得修改设备配置的参数； 用户单位不得在本次提供的服务器中安装其它未授权的软件。附件一 前置服务器软件安装清单湖北省电子政务网前置服务器软件安装清单用户单位用户地址通信地址邮政编码联系人姓名电话传真序号安装软件名称软件版本序列号用途备注1234567891011121314151617181920注：此表填写完毕后提交电子中午办刘培享，电话：027-61273313。附件二 接入单位设备运行记录湖北省电子政务网接入单位设备运行记录用户单位用户地址通信地址邮政编码联系人姓名电话传真序号设备名称运行状态记录人记录日期1路由器2防火墙3前置服务器路由器序号记录内容运行状态记录人记录日期1设备供电情况2设备指示灯状态3设备间互联线情况防火墙序号记录内容运行状态记录人记录日期1设备供电情况2设备指示灯状态3设备间互联线情况前置服务器序号记录内容运行状态记录人记录日期1设备供电情况2设备指示灯状态3设备间互联线情况注：1、此表填写完毕后提交电子中午办刘培享，电话：027-61273313。2、此表每周填报一次给电子政务办。3、运维故障情况下立即报送。
