涉密网络建设规划设计Word格式.docx
- 文档编号:22735747
- 上传时间:2023-02-05
- 格式:DOCX
- 页数:116
- 大小:1,010.13KB
涉密网络建设规划设计Word格式.docx
《涉密网络建设规划设计Word格式.docx》由会员分享,可在线阅读,更多相关《涉密网络建设规划设计Word格式.docx(116页珍藏版)》请在冰豆网上搜索。
网络应用飞速发展的今天,信息安全问题对于任何单位来说,其重要性不言而喻。
由于涉密网的特殊性质,使得对网络安全性需求也就更为迫切。
涉密网的安全建设,应根据网络具体状况,以最大限度保障网络的核心价值,保证系统的安全稳定运行为目的,定位于有效保障服务器的安全,并保障内部网络的受控安全运行。
我公司根据中国航空工业标准件制造有限责任公司具体情况,经过反复论证、结合当前技术特性,特提出此网络建设实施方案。
根据涉密网的实际情况,本方案从以下几个方面的技术来满足涉密网的需求:
计算机网络设计
B计算机网络及服务器
C机房装修
D防雷接地
E系统软件及应用系统
网络安全设计
1)A、物理安全
2)B、运行安全
3)C、信息安全保密
4)D、安全保密管理
(5)发展目标
建成安全、高性能、高可靠性的涉密信息计算机局域网,和上级单位的涉密信息计算机局域网实现连接,传送涉密信息。
(6)设计和实施单位情况
贵州宏志科技开发有限责任公司是长期从事计算机网络集成的专业公司,获得国家保密局《涉密信息系统集成资质》、信息产业部《计算机信息系统集成三级资质》,具有该项目的设计和施工该项目的能力。
2.设计目标与原则
2.1设计目标
系统的安全保密建设是中国航空工业标准件制造有限责任公司涉密网建设的主要内容和关键措施之一,它的实施必须以信息化发展的现有条件为依据,并在充分整合现有网络资源、信息资源和应用资源的基础上加以进一步完善和提高。
根据国家关于涉密计算机网络系统安全保密建设的有关规定,涉密网安全保密方案设计和建设必须首先确保:
1.涉密网的网络与外网(Interner)网络系统严格的物理隔离。
2.涉密网处理秘密级以下信息。
3.本系统安全稳定运行。
4.采取安全保密技术和管理手段结合,两手都要硬的整体安全保密措施。
5.系统定期安全评估,及时完成涉密系统技术和设备的升级换代。
6.不断加强和完善信息安全保密管理。
涉密网安全保密方案的设计和建设将严格依据中华人民共和国保密指南文件、国家有关计算机办公系统安全保密的规定和标准,并参照国家保密局及国防科技工业办公室相关文件的计划纲要的指导精神进行。
2.2.设计原则
根据国家相关安全保密建设法律法规和相关标准,在保证实现系统安全设计目标的情况下,针对涉密网的特点提出了自己的设计原则。
1安全性
安全性是首要问题,该网络是专用涉密信息网络,决定了该网络的运行将承担更高要求的安全风险。
网络安全和网络易访问是一对矛盾,因此要掌握好网络安全控制度的问题,不能顾此失彼。
安全一方面要确保合法用户执行被授权任务、获取信息、防止外界的恶意攻击,另一方面还包括控制和避免错误结果和设备故障。
1先进性
在不脱离实际的前提下,选用先进、成熟的网络设备和组网技术,实现网络的高吞吐量,使系统在较长时期内保持一定的先进性;
计算机网络技术的发展非常迅速,在计算机应用领域占有越来越重要的地位。
必须认识到,建立计算机网络是一个动态的过程。
在这个过程中将不断有新技术产生,有新产品出现。
因此,网络一定要采用最先进的组网技术,选用当前主流计算机网络产品,才能在未来技术的发展中保持技术领先。
1标准化及开放性
采用的设备和技术要规范化、标准化,各种技术指标要符合国家标准。
现代计算机网络技术发展的趋势是遵循国际统一标准的开放系统,支持分布式计算和客户机/服务器应用模式。
网络应该是一个能够互联不同厂商的服务器/计算机,运行多种操作系统、网络协议,遵守国家标准的开放式系统。
这样,才能在将来的发展中保持网络配置和应用模式的灵活性,在行政条件及资金许可的情况下,为下一步区县级纪检、监察涉密网的连接提供网络接口。
1充足的、可扩展的带宽
随着应用软件复杂程度的增加,网络用户数量的增长以及多媒体技术的普及,对网络带宽的需求日益增加。
网络系统应该能够为每个用户提供充足的带宽,满足用户的实际应用需求,并且带宽应该是可调整、可扩展的。
1规模可扩展性及灵活性
在保证今后业务发展时,网络系统必须可灵活扩展,并且又能保证用户当前的投资;
随着应用业务不断扩大,技术也会不断的更新,计算机应用水平也会越来越高。
要适应这种变化,网络在配置上就必须具有可扩充性。
系统网络往往是一个范围很广、结点很多的大系统。
设计的灵活性可使网络管理人员能够方便的增加、减少或变动各种结点,或是方便各种逻辑网段和物理网段的划分。
1可靠性
保证网络系统具备很高的安全性和可靠性,确保单点故障不会使局部网络失去与整个网络的连接,多点故障不会造成整个网络被分成几个互不相连的部分。
在网络系统中网络的可靠性是衡量网络成功的一个重要指标。
计算机系统必须绝对可靠,网络设计必须对可靠性作重点考虑。
从结构的设计、设备的选型以及网络管理上都要对网络的可靠性作出保证。
安全性与可靠性同样重要,除了系统要提供多种安全控制的手段外,网络设计上也要提供保障其安全的手段。
1实用性
从目前的网络应用实际出发,根据具体情况确定网络结构和配置,以满足目前业务及将来发展的需要;
网络设计一定要充分保护和利用现有的资源,同时要根据实际情况,采用新技术和新设备,还要考虑组网过程要与平台建立及开发同步进行,建立一个实用的网络。
力求使网络既能满足目前需要,又能适应将来发展,同时达到较好的性/价比。
2.3.设计依据
安全保密网络的设计,必须以国家涉密计算机系统安全保密技术要求为设计根本,严格遵守国家相关法律法规及安全保密规范。
本方案设计过程中,严格遵循以下各类标准与文件:
1国家保密局中保办发[1998]6号《涉及国家秘密的通信、办公自动化和计算机系统审批暂行办法》;
2中华人民共和国保密指南《涉及国家秘密的计算机信息系统安全保密方案设计指南》(BMZ2-2001);
3中华人民共和国保密指南《涉及国家秘密的计算机信息系统保密技术要求》(BMZ1-2000);
4国家保密标准BMB3-1999《处理涉密信息的电磁屏蔽室的技术要求和测试方法》(BMB3-1999);
5国家保密标准《电磁干扰器技术要求和测试方法》(BMB4-2000);
6国家保密标准《涉密信息设备使用现场的电磁泄漏发射防护要求》(BMB5-2000);
7国家保密局《涉及国家秘密的计算机信息系统集成资质管理办法(试行)》(国保发[2001]7号文);
3.系统现状分析
网络的安全保密建设与具体的网络系统是紧密联系的,安全保密必须从系统整体把握,从网络系统的具体情况出发,根据网络结构及应用需求,有的放矢,把握系统安全隐患,采取相应措施来满足网络的安全保密建设要求。
为此,首先要明确中国航空工业标准件制造有限责任公司的网络系统现状。
3.1.网络状况分析
3.1.1.涉密网
将来建成的涉密网是中国航空工业标准件制造有限责任公司单独的一套网络,独立于Internet、网络物理隔离,是本安全方案设计防护的对象。
涉密网有50信息点接入网络、分布在其办公楼的三个楼层及厂区内的厂房之中。
涉密网通过租用电信的线路接入金航网。
3.1.2.办公内网
中国航空工业标准件制造有限责任公司在涉密网之外,另有一套网络用于内部办公,该网络与涉密网使用同一台核心交换机及网络安全产品,并采用VPN技术进行将办公内网与涉密网进行逻辑隔离。
3.1.3.外网
为了保证信息交互,中国航空工业标准件制造有限责任公司建立了另一套单独的外网系统。
外网通过电信网络与Internet联接,与中国航空工业标准件制造有限责任公司涉密网和办公内网物理隔离,外网不在本方案设计范围内。
3.2.网络应用分析
目前,中国航空工业标准件制造有限责任公司已经建立了一定程度的信息系统应用,将来的主要应用分为以下几类:
1内部Web系统
2业务数据库系统
3内部电子邮件系统
4办公自动化系统(OA)
5业务处理系统
3.3.系统现有设备
系统信息资产分析的最终目标是对信息资产进行适当的保护。
确定资产的责任帮助确保能够提供适当的保护。
应确定所有主要资产的所有者,并分配维护该资产的责任。
在此过程中,可以委托负责实施控制措施的责任。
资产的责任由资产的指定所有责负责。
物质资产主要指计算机设备(处理器、监视器、膝上型电脑、调制解调器)、通讯设备(路由器、PBX、传真机、应答机)、磁介质(磁带和磁盘)、其它技术设备(电源、空调器)、家具、机房等,列表如下:
序号
物品
数量
作用
责任人
1.
办公计算机
44台
职工工作使用
使用者
2.
打印机
43台
针式、喷墨、激光打印机
3.
扫描仪
8台
5.中国航空工业标准件制造有限责任公司与信息系统相关的各类资产中,最具价值的为信息资产,主要表现为各个应用系统的数据库内容。
一旦发生丢失或被黑客窃取,将带来巨大的损失。
6.服务器,作为物质资产的一种,是信息资产的载体,如果此载体发生损坏,而数据在没有备份的情况下,也会对信息资产造成破坏
7.网络设备,如交换机、路由器,一旦发生损坏,将对整个网络的正常运行造成损坏。
8.软件资产(系统软件),如果发生损坏,虽然重装不一定会带来直接经济损失,但对业务停顿造成的影响,会非常大,甚至在损坏时直接影响数据库,造成信息资产的损坏。
其次,如果软件资产本身存在隐患,将对寄托于软件平台的信息资产的存在安全和访问安全造成威胁。
9.机房,即场地,作为物质资产的一环,它承载了服务器、交换机、路由器等多类关键设备,如果发生水灾、火灾等灾难,将是席卷一切的灾难。
3.4.系统安全现状
中国航空工业标准件制造有限责任公司涉密网的安全建设是一个比较薄弱的环节,在网络内部目前没有任何安全措施进行防护,对于当前网络中的各种高技术手段的攻击,内部的不法分子及黑客很容易进行不法活动。
4.涉密网设计
4.1.综合布线设计
4.1.1.厂区主干子系统
本次厂区主干通讯线路子系统的建设涉及到7栋建筑物,分别是:
一号、二号、三号、四号、十七号、六号、六-A号,其中涉密网的中心机房设在一号楼的三层,从中心机房主配线柜引多模四芯光纤至各厂房分配线柜,光纤的四芯中其中两芯用于涉密网及办公内网接入,另外两芯用于接入外网(Internet)。
光纤采用国产室外多模四芯产品,用钢缆将其架设在厂区的电线杆之上。
4.1.2.建筑物内子系统
建筑物内的综合布线系统主要以一号办公楼的信息点数量比较多,因此,重点做该建筑物内的设计。
考虑到该布线系统是整个网络的核心,因此在设计上应该采用先进的产品和技术,以保证系统将来的扩展。
由于办公楼内的信息点比较集中、楼层数量少,因此采用集中式布线方案。
在产品的选型方面,根据用户对布线网络运行的要求,选用法国—阿尔卡特公司(耐克森)的超五类屏蔽布线产品。
1、信息插座
对于标准办公区信息插座是采用EIA/TIA568A标准的RJ45信息插座,即可接1台计算机;
均布于墙面,根据房间的结构或内装修方案,确定信息插座的位置采用墙面出口。
这里我们主要使用耐克森NEXANS(Alcatel)公司提供所有超五类信息出口插座,且所有模块均为超五类屏蔽模块。
其具有以下特点:
●无印刷电路板,无焊接点,性能稳定
●无需打线工具,安装简便,可反复安装10次
●超5类的性能,性价比高
考虑到信息出口的美观和一致性,以及未来信息点扩充问题,将所有信息出口都设计为双口86国标面板。
水平系统的终端,包括用于连接主干与水平系统的跳线架和用于本地的网络设备。
2、配线机柜
在主机房设有配线机柜(19英寸40U),以安装配线架和网络设备等,对各层信息点提供灵活、安全、整洁的管理场所。
3、施工方案
(1)水平线路
此水平布线设计从信息点引至配线间。
每个信息插座对应一根UTP超五类线,用于数据。
水平线走线:
吊顶走线向下引线到信息插座;
走廊或房间的吊顶上安装塑料线槽;
房间内,水平线缆从吊顶线管引出、线槽安装沿墙壁而下,到各信息插座,见上图。
(2)室内施工
对于本项目,信息出口安装方式如下:
大楼内有四壁的小房间办公室,信息插座只需要安装于墙上,采用墙面明装,信息出口可设在三线单相电源插座的旁边20cm处;
信息插座和电源插座的低边距地面30cm。
见下图
如果有大开间办公环境,而办公区是由隔板划分的,信息出口可以安装在办公隔板上,同样在信息插座旁20cm处可设一个三线单相电源插座。
水平布线设计和安装要求:
考虑到信息时代技术的飞速发展,建议一次布线到位,水平线全部采用超五类双绞线UTP,用于传输数据信号,其数据传输速率可在100米范围内达到100Mbps;
由于水平线全部采用相同的超五类双绞线,信息出口可以灵活地更换设备而不受传输介质的影响。
(3)抗干扰
综合布线系统所传输的信号绝大多数是弱电信号,因此存在强电对弱电干扰的问题。
计算机网络对强电信号的干扰特别敏感,所以这是施工中应注意的施工工艺。
EIA/TIA568A对综合布线系统与强电系统的隔离作了特别的规定,施工将按此规定进行。
强电类型
综合布线系统与强电系统的隔离距离
平行走线
垂直相交
低电压
AC<
42.4V
DC<
60V
无要求
低压
1000V
1500V
1.无绝缘条件下,2.至少50mm
3.绝缘或金属套管接地条件下,4.至少25mm
1.6mm绝缘条件下,2.在所有方向上至少大于25mm
高压
AC>
DC>
1.单芯强电线,2.至少450mm
3.多芯强电线,4.至少300mm
单芯强电线,至少450mm
多芯强电线,至少300mm
(4)施工工艺
A、弱电综合布线管路
方案一:
金属桥架
采用走吊顶的轻型装配式槽形电缆桥架的方案,这种方式适用于大型建筑物,为水平系统提供机械保护和支持。
装配式槽型电缆桥架是一种闭合式的金属托架,安装在吊顶内,从弱电竖井引向设有信息点的各展区,再由预埋在墙内不同的金属管,引至墙内或竖头的暗装铁盒内。
另外,对地面预埋的信息点,在从弱电竖井引向设有信息的各展区后通过垂直桥架引向地面线槽,并由地面线槽引向展项的地埋铁盒内。
结构化布线是幅射型的,线缆量较多,所以线槽容量的计算十分重要。
按照标准的线槽设计方法,应据水平缆径来确定线槽的容量:
线槽的横截面积×
40%≥水平线缆截面积和
线槽材料多为冷轧合金板表面可进行相应处理。
如镀锌,喷塑等。
线槽根据情况选用不同的规格。
为保证线缆的弯曲半径,线槽须配以相应规格的分支辅件。
为确保线路的安全,应使槽体有良好的接地端,金属软管、电缆桥架及各种配线箱均需要整体连接后良好接地。
接地的方式视建筑物结构,以采用网状或星状接地形式。
方案二:
PVC槽板
采用走吊顶的PVC槽板的方案,PVC槽板是一种闭合式的PVC托架,安装在吊顶内,从弱电竖井引向设有信息点的各展区,再由预埋在墙内不同的PVC管,引至墙内的明装盒内,该方案的特点是投资小、安装方便。
B、管线敷设方式、要求及抗干扰措施
电缆敷设应符合下列要求:
电缆的弯曲半径应大于电缆直径15倍;
电源线宜于信号线、控制线分开敷设;
尽量避免电缆的接续,做到一线到位。
敷设管道电缆应符合下列要求:
预先清涮管孔;
管内预设一根镀铁丝;
穿放电缆时宜涂抹黄油或滑石粉。
管口放设护圈:
管道连接用束节或接线盒,但要用电焊连接:
管道弯头不用直角弯,要用月弯;
穿时不应损伤线缆护套。
管线敷设应尽可能地远强电等干扰源。
4.2.网络设计
本项目中涉及到的硬件主要是服务器和网络产品,其中网络产品决定采用目前华为3Com的产品,华为的数据通讯产品目前全球市场占有率与思科已经非常接近,这说明其产品的性能已经非常优秀;
同时考虑到华为在本地有售后服务机构,可以提供快捷、高效的服务;
曙光服务器作为国内最优秀的服务器产品在企业行业得到广泛的应用,其高性能价格比是我们选择的重要原因。
核心网络:
采用华为S6503高端多业务交换机构建电信级高可靠、高性能、高安全且具备强大扩展能力的数据中心,在该交换机上安装交换路由引擎一块,实现路由转发,安装冗余电源一个,安装10/100/1000M光纤模块四块,满足四个厂区内厂房的楼层交换机的接入需要,安装48口10-100-1000M电口模块,满足一号办公楼的各部门的信息点的接入,该建筑物不在另配接入交换机。
采用华为RT2631路由器通过租用电信的通讯线路与上级的网络联接。
用户接入层:
采用华为3COM的S3116C作为各建筑物的楼层交换机,安装1000M光纤模块与核心交换机进行连接,实现千兆主干传输,100M到桌面。
通过华为SNMPc+QuidView网络管理系统实现整网的拓扑和设备管理,还可以采用CAMS软件实现对用户的安全管理。
方案特点:
1)网络结构清晰,带宽配置合理
整个网络结构清晰、层次分明,便于维护管理、扩展和使用,合乎企业局域网的流量工程模型,并且不会造成浪费。
2)安全可靠
通过交换机的全面安全联动构建全方位的安全体系架构。
3)管理方便
整个系统可以使用华为公司的网管系统SNMPc和QuidView进行统一管理,并且以后整个网络增大,还可以采用分级网管进行分级别的管理。
可以监控系统状态和告警,并可以远程配置数据,做到对整个网络设备的运行情况了如指掌。
4)方便扩展
由于华为公司网络设备的系列性及良好的扩充性,整个网络满足最近3-5年的应用,并且具有良好的扩展性,以后需要增加带宽,只需要增加相应的模块即可,保护投资,节省成本。
4.3.网络可靠性设计
中国航空工业标准件制造有限责任公司涉密网的安全运行,对信息网网络的可靠性提出了很高的要求。
可以说一旦网络/服务器等中断,将会使整个网络陷于瘫痪,引起严重的后果。
因此在中国航空工业标准件制造有限责任公司涉密网网络实施中必须对网络的可靠性进行详尽的考虑和设计。
网络系统的可靠性由两个大部分组成,即承载网络的可靠性和应用系统的可靠性。
应用系统的可靠性主要由服务器、存储设备、应用程序、数据库等的可靠性构成,在其它系统建议中说明;
承载网络的可靠性则包括网络拓扑组网结构的可靠性及组网设备可靠性。
(1)组网结构可靠性设计
网络组网结构的可靠性:
1)中国航空工业标准件制造有限责任公司涉密网网络的互联是星型拓扑结构,核心层实现了关键部件冗余,具备99.999%的电信级高可靠性。
2)在故障出现的时候,通过热补丁等机制,保证网络数据自动迂回切换到备用部件上,保证通信的正常进行。
(2)设备可靠性设计
线路的备份主要解决了网络互通路径的问题,而节点设备的可靠则解决网络的有效运转。
要保证网络系统的可靠性,必须要选用具备电信级可靠性的网络设备进行组网,才能使网络具有自动恢复能力、降低人工维护工作,达到准电信的可靠运行。
设备的高可靠性从硬件、软件、保护机制等几个方面体现:
1、采用分布式体系结构:
分布式体系结构是提高可靠性的基础,与集中式体系设备相比较,分布式体系设备除性能可以通过插入更多的接口处理板提高整体性能外,更为关键的是将管理、路由转发、接口处理等功能分配在不同的部件上,协同工作,分布式体系可以分散故障风险、隔离故障、提供冗余配置,提高系统的自动恢复能力;
如管理部件故障,只需要更换这部分板件,不影响其他功能。
2、关键部件冗余:
采用分布式体系下,对设备的关键部件,如主控管理单元、交换转发单元等,进行冗余构造配置,保证系统在工作中不会全部失效。
3、实时热备份机制:
在系统软件及硬件的支持下,关键部件在发生故障能自动启动备份系统,而且主备之间的切换要能够实时热倒换,即运行中即使发生设备故障切换也不会对网络业务造成影响。
4、热插拔特性:
设备任意单板需要支持热插拔特性,保证系统出现故障需要维护,或系统需要升级扩展时,不需要停机处理,保证网络的7×
24小时不间断运行。
5、冗余电源支持:
冗余电源负载分担及备份供电可保障系统具有可靠的能量源。
6、散热系统:
散热系统使设备长时间运行而不至因为系统升温过高出现故障,冗余风扇等散热装置可以增加设备的运行时间及减少故障发生。
4.4.网络安全措施
1、承载网网络安全概述
网络安全成为目前必须面对的一个实际问题。
网络上存在着各种类型的攻击方式,包括窃听报文、IP地址欺骗、源路由攻击、端口扫描、拒绝服务攻击应用层攻击等。
另外,网络本身的可靠性与线路安全也是值得关注的问题。
2、承载网网络安全措施
组网结构上,广域网链路设计都采用备份方式,使得任意一条链路、或者任意一点设备出现故障时,可以通过另外一条连接提供服务,而不会导致服务暂停。
充分保证了网络的可靠性。
整个网络运行动态路由OSPF协议,通过动态路由实现网络层次的自动备份。
在广域网路由器选用上充分
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络 建设 规划 设计