2.1网络规划设计
电子政务统一灾备中心要接收来自多个委办局的数据，这些数据可能来自公务网、外网、专网和互联网。同时不同的委办局还有不同的业务连续性要求，大致分为物理磁带保存、数据级灾备和应用级灾备。要满足这样的要求，灾备中心必须进行分区域分层设计。具体如下图所示：
灾备中心分为公务网灾备区、外网灾备区、专网灾备区和互联网灾备区四部分。出于数据安全性考虑，灾备中心的公务网灾备区、外网灾备区、专网灾备区和互联网灾备区的网络物理隔离，不能连通。
在四大灾备区之外，单独划分一块磁带保存区，分别保存来自公务网、外网和互联网业务的备份磁带。
根据不同的业务连续性要求，每一个灾备区划分为应用级灾备区和数据级灾备区两个部分。
附图：灾备中心分为公务网灾备区、外网灾备区、专网灾备区和互联网灾备区四
部分。在每一个灾备区内部，局域网分为“应用级灾备区局域网”和“数据级灾
备区局域网”两部分，上图是以公务网灾备区局域网组网为例。
同时由于电子政务接入网络上承载了涉密和非涉密数据，两种数据通过逻辑进行隔离。考虑到电子政务网络的健壮性和安全行，我们建议灾备中心网络采用不同的运营商裸光纤分别接入到电子政务网核心设备上，实现运营商链路、设备的冗余，其中运营商的光纤是在不同的管道中。灾备中心数据备份和恢复的服务质量需要严格保障，建议在电子政务网设备之间跑MPLS-VPN业务，把不同的用户群分成不同的VPN隧道，不同VPN隧道分配不同的带宽，保障不同的用户群对网路带宽的需求和服务保障。
在灾备中心内部园区网建设中还需要考虑可靠性、业务与网络平台的融合等等，H3C智能网络设计充分考虑通过H3C OAA 向L4-L7的渗透，同时通过OAA缓解应用层压力。
附图：OAA功能
2.2
安全规划设计
电子政务灾难备份中心不仅保存电子政务系统的数据，还保存其他纵向部门应用系统的数据。这些数据具有多种级别的安全要求。不仅传输过程中不能泄密，而且不同纵向部门之间的数据也要求相互隔离。因此，灾难备份中心的安全规划至关重要。总的来说，灾难备份中心的安全系统建设，需要从网络、传输、数据三方面考虑。
2.2.1
网络安全
灾难备份中心不仅要连接到省政府的电子政务网络，同时还需要提供各个省级委办局专网的接口。为保证安全性，网络之间要进行物理隔离或者逻辑隔离。具体的隔离要求为：
电子政务内网接口与市级委办局的专网接口相互隔离
电子政务内网应用与各市级委办局的专网应用，有完全不同的安全等级要求，在带宽占用上也大不一样。因此，电子政务内网接口和专网接口之间要物理隔离。
电子政务内网不同应用之间的逻辑隔离
电子政务内网上有多个应用，部分专网应用也有可能通过电子政务内网传输数据。因此，电子政务内网之间应采用逻辑隔离的方式，在同一物理链路上，划分多个互不干扰的逻辑链路。可选的技术包括MSTP、VPN等。
不同省级委办局的专网接口之间相互隔离
不同省级委办局的专网应用之间的关系比较复杂。对于大部分的专网应用，要求网络互相隔离。但是也有一些专网应用，需要和其它专网应用共享数据。比如检察院的部分数据就需要被公安的共享。
因此不同省级委办局的专网之间采用物理隔离和逻辑隔离两种手段。对于相互毫无关系的专网应用，采用物理隔离的方式；对于互相关联的数据，采用逻辑隔离和访问控制结合的方式，保障网络安全。
防火墙部署
在灾难备份中心的网络上，防火墙主要部署在三个位置：
防火墙部署在灾难备份中心的电子政务内网接口处，放置在灾难备份中心的路由器之后，对电子政务内网接口的所有网络流量进行控制，对灾难备份中心提供保护。
防火墙部署在灾难备份中心的专网接口处，放置在灾难备份中心的路由器之后，实现对特定专网的网络流量的控制，对灾难备份中心提供保护。
在灾难备份中心内部的网管网络上，将防火墙部署在管理终端的关键路径上，对所有的管理流量进行控制，保证管理网络的安全。
IDS/IPS部署
IDS/IPS一般部署在不同安全级别的网络边界，用于监测和抵御网络威胁。因为电子政务内网上的应用较多，传送到灾难备份中心的数据也比较复杂，因此建议在电子政务内网的接口处，防火墙内外都部署IDS/IPS设备。对于专网应用，数据相对简单，在防火墙内部部署IDS/IPS设备即可。
阅读(912) | 评论(0) | 转发(0) |
