东海大桥健康系统网络方案

1、.东海大桥健康监测系统工程 初步设计文件7.2 网络方案的设计7.2.1 网络构成 网络总体设计根据东海大桥健康监测系统的总体设计，应建立工作站到节点交换机及交换机直接的数据传输网络系统.传输接入系统共有起点机房、终点机房以及桥上的5个接入节点组成；起点机房配置服务器群组，每个节点负责附近工作站的接入工作，各节点间采用单模光缆进行串行连接，同时，起始节点与终点节点亦通过单摸光缆直接相连使整个网络构成环路，以确保系统的稳定性和可靠性。整个网络通过边界防火墙连接专线接入Internet供相关远程单位及人员获取大桥监测信息和数据。 网络拓扑结构及说明网络初步设计逻辑拓扑结

2、构如下：图-1 东海大桥健康监测系统网络拓扑图此网络是指由工作站到服务器之间的上层传输网络。由图可以看出，整个系统由2台核心交换式路由器和5台光纤接入交换机以环路的形式构成，环路带宽为1Gbps，全网基于tcp/ip协议集，运行动态路由协议，确保传输网络的稳定、可靠；系统中的任一数据采集工作站通过附近的光纤接入交换机接入整个数据采集传输网中，工作站与网络上其他任一服务器或工作站都存在2条通路可以到达，在网络上的任一处光纤断开的情况下，系统中的各工作站依然可以正常工作；监测数据需通过internet提供外部人员的访问，所以，在网络系统边界通过防火墙和接入路由器实现安全的广域网接入。

3、并配备入侵检测设备监控核心交换机并与防火墙联动，确保系统的安全可靠。考虑到系统的扩展及其他独立系统同时应用此网络，在大桥终端机房，将放置一台核心交换机，提供网络扩展接口。同时，考虑到以后服务器扩展及服务器异地备份、存储等功能，同样需要在终点处提供网络接口。整个监测网络还将配置灵活的网管系统和完备的防病毒体系，从多方面确保网络的稳定、可靠、安全、高效的运行，为上层监测应用平台提供优质的数据通信环境。 网络节点详细说明根据传感器工作站布置的位置及数量，确定了各个网络节点的位置及接入要求。Ø 起点中心机房起点中心机房位于大桥起始处的控制中心。核心交换机将放置在此机房内，整个系

4、统所用的所有服务器将通过千兆以太网端口直接连接核心交换机，以接入整个网络。并提供一个GPS基站接入网络的接口。考虑到连接Internet，将配备广域网接入路由器，并配备防火墙及入侵检测设备以保证系统的安全性可可靠性。其中防火墙将划分DMZ区，连接提供外部访问的Web服务器；入侵检测仪一个端口探测核心交换机的数据，并与防火墙联动。以下位起点中心机房网络设备连接图：图-1 起点中心机房网络设备连接图Ø 节点1节点1位于大桥K6+455的位置(120m连续梁)。此节点的交换机需提供4个接入端口，4个端口分别连接2台工作站及2台测沉降用NDA设备。Ø 节点2节点2位于

5、大桥K12+355的位置(140m连续粱)。此节点的交换机需提供2个接入端口，连接2台工作站。Ø 节点3节点3位于K19+050的位置(主航道斜拉桥)此节点的交换机需提供6个接入端口，连接3台工作站。3个GPS天线接收仪器。Ø 节点4节点4位于K25+078的位置(160连续粱)此节点的交换机需提供4个接入端口，连接4台工作站。Ø 节点5节点5位于K29+787的位置(颗珠山斜拉桥)此节点的交换机需提供8个接入端口，连接3台工作站。5个GPS天线接收仪器。Ø 终点机房终点机房位于大桥陆地，暂时只提供2个长距离光纤接口，连接系统环网及一个GPS基站接口。此

6、处交换机可根据以后业务需求增加（如服务器功能扩展，异地存储、备份等）以及给其他独立系统提供网络接口，需增加的其他模块待有需求时增加。设备配置及连接表设备名称位置数量连接设备数量核心交换机大桥控制中心1服务器10GPS基站1广域网路由器1防火墙1节点1交换机K6+455m1工作站2NDA2节点2交换机K12+355m1工作站2节点3交换机K19+050m1工作站3GPS天线3节点4交换机K25+078m1工作站4节点5交换机K29+787m1工作站3GPS天线5终点核心交换机大桥终点1GPS基站17.2.2设备要求技术参数及配置整个监测系统对传输平台的总体性能要求比较高，同时所有监测工作站全部采

7、用光纤进行接入，这些对网络接入设备都提出了很高的要求，要求提供广泛的光接口接入能力，支持动态路由，支持SNMP，QOS，以及冗余电源等等。各个网络节点处设备详细技术参数要求如下：核心交换机设备级别为用于企业骨干网的具有多层交换功能的核心交换机模块化可选配置交换机背板交换容量120GB有路由功能，路由吞吐量24Mpps支持千兆以太网端口及光纤端口支持协议和标准：TCP/IPIP 路由IPX 路由IEEE 802.1QBGP，RIP，OSPF路由协议SNMP简单网管协议QoS: 应用级, RSVP冗余电源和CPU支持语音和视频的多点组播接入(节点)交换机设备级别为高性能光纤交换机全双工36Gbps

8、的交换容量每秒1600万数据包以上吞吐量支持百兆以太网端口及光纤模块支持协议和标准：TCP/IPIEEE 802.1QSNMP简单网管协议广域网接入路由器基于标准的IP/PX 路由器背板带宽8Gbps路由容量2Mpps系统内存256M支持100Base-FX,1000Base-SX/LX/LH防火墙3端口百兆高性能防火墙支持多种包过虑技术支持网络映射、虚拟主机等多种NAT模式符合802.3d标准设备说明：防火墙将划分DMZ区，提供外部访问的Web服务器将接在DMZ区，其他网络设备及服务器接在SSN区，形成安全服务网络。入侵检测设备检测探头：1个支持与防火墙联动检测攻击类型：可检测常见攻击类型2

9、0种以上可提供详细的入侵分析报告可灵活定制规入侵则库设备说明：在核心交换机上连接入侵检测系统，用来检测整个网络出Internet的信息，该系统物理上位于中心机房中的中，逻辑上单独连接于核心交换机监控端口或共享网段上，对网络中的流量进行实时监测，对可能的攻击行为进行报警和采取一定措施。并与防火墙联动，及时切断入侵行为。通过对应用需求以及网络设备的综合比较，我们选择采用世界大厂Enterasys的网络设备。根据监测节点分布及工作站接入情况，配置如下：Ø 起点机房：Xpedition Router 8600 （1台）序号产品号说 明数量1SSR-16Xpedition Router 860

10、0 - includes 16 slot chassis, 1 fabric card, modular fan.(主机)12SSR-PS-16Xpedition Router 8600 AC power supply.(电源)23SSR-CM4-256XP 8000/8600 Control Module with 256MB memory.(控制引擎模块)14SSR-HTX32-16Fast Ethernet Module - 16 Port 10/100 TX Module via Cat 5 RJ-45 with 16 MB Memory (16端口10/100以太网模块)15SSR-

11、GTX32-04Gigabit Ethernet Module - 4 ports, 1000BaseTX (Gigabit Copper), 16Mb memory. (4端口1000兆以太网模块)36SSR-GLH39-02Gigabit Ethernet Module - 2 Port 1000 Base-LX (70KM) Jumbo Frame Module (2端口长距离光纤模块)17XP-SYS-FW-32X-Pedition System Firmware on a 32-MB ATA PCMCIA card (One unit is required with every X

12、P-8000/8600 and ER16 system) (系统软件)1起点机房广域网接入设备：序号产品号说明数量1XP-2400-256X-Pedition 2000 Router w/256 MB of memory12HY-FW2000+华依100M防火墙13HNIDS鹰眼网络入侵检测仪HNIDS1Ø 终点机房交换机：Xpedition Router 8600 （1台）序号产品号说明数量1SSR-16Xpedition Router 8600 - includes 16 slot chassis, 1 fabric card, modular fan. (主机)12SSR-PS

13、-16Xpedition Router 8600 AC power supply. (电源)23SSR-CM4-256XP 8000/8600 Control Module with 256MB memory.(控制引擎模块)14SSR-HTX32-16Fast Ethernet Module - 16 Port 10/100 TX Module via Cat 5 RJ-45 with 16 MB Memory(16端口10/100以太网模块)15SSR-GLH39-02Gigabit Ethernet Module - 2 Port 1000 Base-LX (70KM) Jumbo Fr

14、ame Module(2端口长距离光纤模块)16XP-SYS-FW-32X-Pedition System Firmware on a 32-MB ATA PCMCIA card (One unit is required with every XP-8000/8600 and ER16 system) 系统软件1Ø 节点1：Matrix E1 (1台)序号产品号说明数量11G587-09Matrix E1 Gigabit Distribution Switch with 6 1000Base-X ports via mini-GBIC and 3 expansion slots(E

15、1带6个GBIC和3个扩展槽)121H-16TX16 Port 10/100 uplink(16端口以太网模块)13MGBIC-081000Base-LX/LH (70Km Long Haul) Mini GBIC. SMF via LC connector(长距离光纤模块)2Ø 节点2：Matrix E1 (1台)序号产品号说明数量11G587-09Matrix E1 Gigabit Distribution Switch with 6 1000Base-X ports via mini-GBIC and 3 expansion slots(E1带6个GBIC和3个扩展槽)121H

16、-16TX16 Port 10/100 uplink(16端口以太网模块)13MGBIC-081000Base-LX/LH (70Km Long Haul) Mini GBIC. SMF via LC connector(长距离光纤模块)2Ø 节点2：Matrix E1 (1台)序号产品号说明数量11G587-09Matrix E1 Gigabit Distribution Switch with 6 1000Base-X ports via mini-GBIC and 3 expansion slots(E1带6个GBIC和3个扩展槽)121H-16TX16 Port 10/100

17、 uplink(16端口以太网模块)13MGBIC-081000Base-LX/LH (70Km Long Haul) Mini GBIC. SMF via LC connector(长距离光纤模块)2Ø 节点3：Matrix E1 (1台)序号产品号说明数量11G587-09Matrix E1 Gigabit Distribution Switch with 6 1000Base-X ports via mini-GBIC and 3 expansion slots(E1带6个GBIC和3个扩展槽)121H-16TX16 Port 10/100 uplink(16端口以太网模块)1

18、3MGBIC-081000Base-LX/LH (70Km Long Haul) Mini GBIC. SMF via LC connector(长距离光纤模块)2Ø 节点4：Matrix E1 (1台)序号产品号说明数量11G587-09Matrix E1 Gigabit Distribution Switch with 6 1000Base-X ports via mini-GBIC and 3 expansion slots(E1带6个GBIC和3个扩展槽)121H-16TX16 Port 10/100 uplink(16端口以太网模块)13MGBIC-081000Base-L

19、X/LH (70Km Long Haul) Mini GBIC. SMF via LC connector(长距离光纤模块)2Ø 节点5：Matrix E1 (1台)序号产品号说明数量11G587-09Matrix E1 Gigabit Distribution Switch with 6 1000Base-X ports via mini-GBIC and 3 expansion slots(E1带6个GBIC和3个扩展槽)121H-16TX16 Port 10/100 uplink(16端口以太网模块)13MGBIC-081000Base-LX/LH (70Km Long Hau

20、l) Mini GBIC. SMF via LC connector(长距离光纤模块)27.2.3设备性能指标、接入设备要求 设备性能指标介绍Ø Xpedition Router 8600· 用于企业骨干网的多层交换式路由器 用于支持单点发送和组播业务的线速IP/IPX 路由 128Gbps(全双工)的Cross-Bar交换结构：  48Mpps的路由吞吐量 最多60个千兆以太网端口；最多120个10/100 端口 本身支持10Gig、光纤网络和新技术 · 支持从桌面到WAN的全部应用程序 线速第四层应用数据流

21、交换 全部功能开启的情况下仍然保持线速性能 支持HSSI、FDDI、ATM和串行WAN接口 支持语音和视频的多点组播 · 对应用优先级的划分进行精确控制，改善电子商务操作 线速的应用级QoS保证端到端的可靠性 应用负载均衡和内容校验 支持加权公平队列(WFQ)和速率限制(CAR) · 先进的容错功能保证24×7小时的网络可靠性 冗余电源和CPU 通过冗余链接进行负载分担, 提高系统性能 · 先进的安全性 安全港(Secure Harbour)体系结构防止来自网络内部和外部的蓄意攻击和非法进入 线速第2、3、4层安全过滤 提供Netflow监测和测量网络使

22、用状况并提供记费支持 · 基于标准的直观管理，提供快速、简便的故障排除 完全支持RMON和RMON2 技术指标性能 线速IP/IPX单点传输和多点组播路由； 128Gbps无阻塞交换矩阵； 48Mpps路由和第四层交换吞吐量容量240个以太网/快速以太网端口（10/100 Base-TX或100 Base-FX） 60个千兆以太网接口； 4M个第四层应用流； 800k第二层MAC地址； 250k第三层路由； 20k安全/准入过滤器； 每个1000B-T端口8Mb缓存； 每个1000B-SX/LX/LH端口最大16MB缓存； 每个10/100端口1Mb缓存； 4096个VLAN；电源系

23、统200-250V交流，最大3.5A； 冗余CPU和电源； 热插拔接口模块；物理数据 尺寸48.9 cm (19.25")×43.82cm (17.25")×31.12cm (12.25") 重量28 kg (61.75lbs)协议和标准IP 路由: RIPv1/v2, OSPF, BGP-4IPX 路由: RIP, SAP组播支持: IGMP, DVMRP, PIM-DM, PIMM-SM:QoS: 应用级, RSVPIEEE 802.1pIEEE 802.1QIEEE 802.1d Spanning TreeIEEE 802.3IEEE 8

24、02.3IEEE 802.3uIEEE 802.3xIEEE 802.3zRFC 1213 -MIB-2RFC 1493 -Bridge MIBRFC 1573 -Interfaces MIBRFC 1643 -Ethernet like interface MIBRFC 1163 -A Border Gateway Protocol (BGP)RFC 1267 -BGP-3RFC 1657 -BGP-4 MIBRFC 1058 -RIP v1RFC 1723 -RIP v2 Carrying Additional InformationRFC 1724 -RIP v2 MIBRFC 1757

25、 RMONRFC 1583 -OSPF Version 2RFC 1253 -OSPF v2 MIBRFC 2096 -IP Forwarding MIBRFC 1812 -Router requirementsRFC 1519 CIDRRFC 1157 SNMPRFC 2021 -RMON2RFC 2068 HTTPRFC 1717 -The PPP Multilink ProtocolRFC 1661 -PPP (Point to Point Protocol)RFC 1634 IPXWANRFC 1662 -PPP in HDLC FramingRFC 1490 -Multiprotoc

26、ol Interconnect over Frame RelayØ Matrix E1· 功能强大的高性能光纤接入交换机 - 支持12个千兆以太网端口和1条模块化10千兆上行链路 - 全双工44Gbps的交换容量 - 每秒3200万数据包以上的吞吐量 - 可在一根光缆上传输最多20Gps的数据，经济高效地防止光纤耗费 · 高可用性 - 链路取集（IEEE 802.3ad）及快速收敛生成树（IEEE802.1w） · 标准的交换支持 - 支持IEEE 802.1D、IEEE802.1Q VLAN及IGMP版本1和版本2 · 业界领先的管理功能支持

27、快速部署和故障排除 - 通过NetSight单元管理器和NetSight策略管理器实现广泛的远程管理功能 - 支持RFC 2674 VLAN MIB - 支持Telnet和WebView · 集成的Secure Harbour体系结构 - 通过RADIUS和802.1X用户鉴权提供管理授权和鉴权功能技术规程系统容量交换机带宽：44Gpbs MAC地址容量：32K VLAN容量：4096 闪存：8MB DRAM：64MB，可扩展到256MB电源系统AC输入电源（自感）：85VAC到264VAC 散热：163BTU/小时 ACVA额定值：50.4ACVA系统LED提示灯电源状态：CUP状

28、态；端口状态（链接和活动）系统MTBF预计>41,658小时标准支持IEEE 802.3、IEEE802.1D、IEEE802.1Q、IEEE802.3ad、IEEE802.1W、IEEE802.1X支持的媒体类型1千兆以太网端口：固定式端口、1000Base-SX、MT-RJ接头、模块化端口、SFP mini GBIC 10 千兆以太网端口：SC接头管理方式SNMP、WebView、Telnet 串行RS-232COM端口物理规程尺寸6.6cm（2.62"）高×43.8m（17.25"）宽×38.73cm（15.25"）厚机架单位高度1

29、.5RU重量8.75kg（19.23 1b）Ø XP-2400-256· 应用预知的桌面式企业交换式路由器 -基于标准的第2,3,4 层线速交换,基于标准的IP/PX 路由 -16Gbps 无阻塞交换背板6 Mpps 路由流量 -180,000 个第二层MAC 地址;220,000 个第三层路由器;180,000 个第四层 应用流;4,096 VLAN.-有256MB 系统内存,提供企业级稳定性-对100Base-FX,1000Base-SX/LX/LH,WAN 和ATM 有灵活的扩展性 · 桌面的全面应用支持-线速第四层的应用流交换-所有其它特性使用时依旧保持线

30、速性能 · 精确控制来对应用作优先级排列 -线速，应用层的 QoS 实现端到端的可靠性-应用程序的负载均衡和内容校验 -依每一个口分配带宽，精度达1kbps 速度-支持严格优先或加权公平队列（WFQ）和速率限制（CAR）· 先进的安全功能，令你安枕无忧-第2,3,4 层高达20,000 条的线速安全访问控制列表-第2,3,4 层访问控制列表的使用不会影响设备性能 · 出众的容错特性，确保24x7 网络可用性-冗余电源、接口与线卡 -支持生成树（Spanning Tree）,基于VLAN的生成树 （Per-VLAN Spanning Tree），快速生成树再聚合，负

31、载共享，链路聚集,基于策略的 与多路径路由-在冗余环境下支持VRRP，能与其它系统兼容· 基于标准的，直观的管理使疑难排除更加迅速简单-通过NetSight TM Atlas提供全面的SMNP管理 -在流量统计中全面支持 RMON 与 RMON2 粒度 技术指标电源系统120VAC,6A Max冗余 CPU 和电源SNMP 和 Command Line Interface (CLI)管理MTBF 200,000 小时In-Band 管理 使用 NetSight Atlas 实现 Remote SNMP物理指标尺寸7.1 cm (2.8")高 x 43.2 cm (17&qu

32、ot;)宽 x 47 cm (18.5")长重量9.07 kg (20 lb)Ø HY-FW2000+(1)高性能包过滤防火墙安全技术要求符合包过滤防火墙安全标准（GB/T 18018-1999）华依百兆防火墙定义了多种包过滤方式：    #按照IP源地址和目的地址过滤    #按照服务类型过滤    #按照协议(IP ICMP TCP UDP SMTP等)过滤    #按照MAC地址过滤    #按照日期和时间过滤 

33、;   #按照域名(URL)过滤2)多种NAT模式 提供（主机映射、虚拟主机、网络映射）等多种NAT方式，使防火墙在复杂的网络环境可以进行灵活的设置而不降低对安全的需求。(3)带宽控制功能 为网络管理者提供了监测和管理网络信息流量的手段，可以按照客户的需求对流量进行控制，以防止线路资源的不正常消耗，从而使网络在不同的应用中合理分配带宽，保证重要服务的正常运行。(4)负载平衡和双机热备份功能 基于ECM技术的负载平衡技术避免单点故障，系统恢复耗时仅为50ms(5)智能型防火墙 实时响应IDC命令，阻断可疑、恶意的攻击(6)透明网桥模式 符合802.3d标准，支持STP协议(S

34、panning Tree Protocol)同时可以在它所连的三个网段之间进行IP过滤，简化了系统安装和配置(7)用户认证 用户认证功能，支持第三方认证服务器(如Secure ID等)(8)一体化的硬件设计 采用标准的1U设计，系统与硬件紧密结合，发挥硬件最高效能(9)提供模块 采用IPSec协议，使用 RSA认证，3DES加密算法(10)华依百兆防火墙技术参数 接口: 3个10/100M以太网接口 / 1个热备份口 / 1个配置口 支持的认证类型: SecureID，用户密码认证 重量: 3.8Kg 尺寸: 46mm445mm275mm 输入电压: 50Hz7Hz 85v-264v Ac 功

35、耗: <30W 环境要求:工作温度：-20ºC70ºC / 储存温度:-20ºC85ºC / 工作海拔:010000英尺注：防火墙将划分DMZ区，接入提供外部访问的Web服务器。Ø 鹰眼网络入侵检测仪（HNIDS）鹰眼网络入侵检测仪（HNIDS）是上海三零卫士信息安全有限公司自行研制开发的网络入侵检测设备，并已获得国家多个权威机构的认证证书。鹰眼网络入侵检测仪（HNIDS）提供强大的入侵检测功能，实时和多样化的入侵报警，详尽的入侵检测记录，周期性的审计分析报告，多级别的响应处理措施，用户可以通过WEB控制台对其进行远程访问和控制，浏览和查

36、询所有的报告内容。使用鹰眼入侵检测仪能够有效，及时地发现来自网络的各种攻击行为，因此它是网络管理员确保自身网络和系统安全的好助手。² 强大的入侵检测功能鹰眼网络入侵检测仪（HNIDS）提供强大的入侵检测功能，目前可以检测的攻击类型有22大类，共计952种入侵行为；² 功能强大的搜索引擎面对庞大的入侵日志文件，用户如何才能找到自己关心的内容？鹰眼网络入侵检测仪向用户提供了强大的搜索引擎，多种查询搜索方式，用户只需填入相应的查询条件，就能获得所要查找的入侵记录，这样，用户可以非常方便，快速的按照自己的需要查找所关心的入侵记录。² 实时、全面、丰富的入侵检测分析报告根据

37、入侵检测记录的结果，我们将通过周期性的审计分析，以在线方式为用户提供全面，详细，丰富的入侵检测分析报告，反映用户在一个周期内受到的攻击类型，严重程度，发生频率，攻击来源，详细数据等诸多信息。我们更为用户提供了丰富的分析图表，帮助用户随时对自己的网络安全状况作出正确的评估。² 历史记录的统计分析、查询和下载鹰眼在为用户提供实时报告的同时，提供对历史记录的综合统计报告和高级搜索功能，能够以天为单位，产生当天的入侵综合统计报告，并对提供了历史日志文件记录的高级搜索功能，同时还定期将数据打包，供用户下载。² 多样化报警和响应方式² 可灵活定制的入侵规则库用户可以通过鹰眼网

38、络入侵检测仪（HNIDS）的远程WEB控制台定制鹰眼的入侵规则库。目前为用户提供了多种不同深度地规则配置方式以及响应策略的配置，包括：入侵类别定制，具体规则定制、响应策略定制和恢复缺省设置。² 不断更新的入侵规则库黑客技术在发展，攻击模式不断更新，我们的技术人员也在不断跟踪世界最新的网络攻防技术，并根据攻击技术的最新发展推出最新的入侵检测规则库的升级包。² WEB控制台远程管理方式为了方便用户更好的管理和利用鹰眼网络入侵检测仪，我们推出了采用B/S模式管理的鹰眼WEB远程控制台。这样，用户可以在任意的OS平台中使用浏览器登录鹰眼，浏览入侵日志，配置入侵规则、监控自身网络状况

39、，远程管理和维护鹰眼设备等。 对接入设备的要求网络中除了接入服务器、监测工作站以外还有如GPS基站等各种设备，对于各种需接入本网络的设备均需提供光口（sm/mm）或者电口的FASTETHERNET网络接口，设备支持tcp/ip协议集。7.2.4 网络设备清单中心机房核心交换机Xpedition Router 8600（1台）序号产品号说明数量1SSR-16Xpedition Router 8600 - includes 16 slot chassis, 1 fabric card, modular fan.主机12SSR-PS-16Xpedition Router 8600 AC power supply.电源23SSR-CM4-256XP 8000/8600 Control Module with 256MB memory.(控制引擎模块)14SSR-HTX32-16Fast Ethernet Module - 16 Port 10/100 TX Module via Cat 5 RJ-45 with 16 MB Memory1