基础运行环境建设方案

PAGE33基础运行环境建设方案项目现状基础运行环境现状XXXX信息化系统将根据XXXX电子政务网络平台建设的统一规划和本期工程实际需求建设。XXXX电子政务网络平台包括XXXX网络中心、京内非本院区内各所局域网、京外各所局域网，如上图所示，院内各所通过现有光纤连入院网络中心，京内非本院区内各所和京外各所通过在互联网建立VPN加密通道的方式接入院网络中心，在XXXX信息化项目的三个应用系统中，所有的数据均通过XXXX局域网和互联网来传输。本期工程重点建设院网络中心核心交换区及互联网接入区域。院网络中心服务器及网络设备现状如下图所示：系统用户范围XXXX信息化系统用户大致分以下三类：1、外网用户。外网用户对系统的访问主要集中在教育资源管理与远程教育服务子系统和农业科技文献资源共享子系统两个方面。由于外网用户具有不确定性，根据用户对教育资源信息和农业科技资源信息的实际需求，预计项目建成后，外网用户对两个子系统的日均访问量将分别达到4500人次和9000人次。外网用户访问次数约为每年500万；2、注册用户。注册用户是指注册使用XXXX信息化系统的用户，根据对院人事局的调研，预计本项目建成后，注册用户总计约为11000人，其中：京内注册用户约为6500人，京外注册用户约为4500人；3、京内外院所非注册用户。是指基于IP约束可以访问XXXX信息化系统的用户，根据对院人事局的调研，大约10000人。现有可利用设备情况XXXX院内网目前设备头用运行情况如下：项目需求分析服务器系统需求（1）数据库服务器本工程所配置核心数据区数据库服务器主要用于科研项目与科研条件管理子系统、农业科研仪器设备信息共享与服务子系统、电子政务子系统、人力资源管理子系统、综合财务管理与监督子系统、基本建设项目管理子系统运行所需完成的各类数据处理工作。为合理选择数据库服务器的技术指标，以下采用业界较为通用的方法对数据库服务器的计算能力进行初步估算。（1）计算公式根据性能需求分析并基于TPC-C的经验公式对数据库服务器CPU性能要求进行初步估算。其计算公式为：tpmC=TASK×Ct×S×F/[T×(1－C)]注：TASK为每日业务统计峰值交易量；Ct为交易日集中期内交易量比例；T为每日峰值交易时间；S为实际业务交易操作相对于TPC-C测试基准环境交易的复杂程度比例；C为主机CPU处理余量；F为系统未来5年的业务量发展冗余预留。（2）参数赋值原则及主要估算方法TASK值以主要业务操作的日均业务处理量为基数进行计算，根据以下公式计算：TASK=日均业务处理量×平均每次访问对应数据库事务数×业务高峰期交易量与平均交易量的比值其中，数据库服务器的日均业务处理量的估算方法如下：数据库服务器主要需响应的业务操作包括科研项目与科研条件管理、农业科研仪器设备共享、日常办公管理、人力资源管理、综合财务管理与监督、基本建设项目管理等六个方面，每个方面的业务量估算如下：科研项目与科研条件管理所产生的操作主要有：XXXX各直属研究所工作人员每次申报科研项目引起的项目信息录入操作、院机关工作人员每天查询科研项目信息和科研条件信息的查询操作。参考2009年全院科研项目数量为1000项，假设平均每个院所每天对每个项目的管理引起5次对数据库的操作，即日操作量为210000次；农业科研仪器设备共享所产生的操作主要有：XXXX各直属研究所工作人员每次提交科研仪器设备租借、调用申请所引起的租用需求信息录入操作，租用仪器设备所引起的操作确认信息的录入操作，仪器设备租借状态查询操作，以及仪器设备归还所引起的租借注销操作。假设平均每个研究所每天对农业科研仪器共享引起10次对数据库的操作，即日操作量为410次；日常办公管理所产生的操作主要有：XXXX机关及各直属研究所每次公文收发和日常管理所引起的操作。假设平均每个研究所每天的日常办公引起10次对数据库的操作，即日操作量为47210次；人力资源管理所产生的操作主要有：XXXX机关及各直属研究所工作人员每天对人力资源信息的录入、编辑和查询操作。截止到2006年底，XXXX科技人员数量为4721人，假设平均每个研究所每天对每个XXXX员工信息进行编辑和查询引起2次对数据库的操作，即日操作量为9442次；综合财务管理与监督所产生的操作主要有：XXXX机关及各直属研究所用款计划申报所引起的财务信息录入。参考2009年全院科研项目数量为1000项，假设平均每个科研项目每天的财务信息申报引起10次对数据库的操作，即日操作量为10000次。基本建设项目管理所产生的操作主要有：XXXX机关及各直属研究所基建项目申报、审批及过程跟踪所引起的基建项目信息录入和查询操作。参考2009年全院基建项目数量为1000项，假设平均每个基建项目每天的财务信息申报引起10次对数据库的操作，即日操作量为10000次。根据相关经验，其中平均每次访问对应数据库事务数约为20，业务高峰期交易量与平均交易量的比值按照各类业务操作的特点，按3～10倍取值，即较多日常作业的取值较低，突发业务量较高的取值较高；Ct值和T值分别依据不同系统用户每天主要工作时段的长度，以及主要工作时段内完成操作量占每日总操作量的百分比来确定。主要工作时间长度为T（分钟），百分比即为Ct。根据相关经验与科研管理业务特点，取T为360，Ct为经验值70%；S值根据不同业务的复杂程度进行确定，一般取10～20之间，其中一般查询、数据修改操作取值较低，涉及到复合条件查询、统计分析的操作取值较高；F值通过年增长率计算获得，年增长量按10%估算；C值根据相关工程的经验，并考虑将来其他业务系统的加载，取75%。（3）计算结果根据以上计算方法、取值原则对本项目所建各类系统的处理能力要求进行计算，得出核心数据区数据库服务器的TPMC值约为80万。（2）应用服务器主要用于响应B/S架构下科研项目与科研条件管理子系统、电子政务子系统、人力资源管理子系统、综合财务管理与监督子系统、教育资源管理与远程教育服务子系统、基本建设项目管理子系统、网站集成管理子系统、农业科研仪器设备信息共享与服务子系统、科研网络协作系统等系统客户端的业务逻辑处理请求，并维护应用系统与数据库之间的通信。根据相关工程经验，9类应用系统的应用服务器的SPECjbb2005值应不低于4,000bops。（2）Web服务器主要用于提供网页信息浏览服务，即专门处理HTTP请求，响应用户的应用访问，并向用户浏览器发送HTML提供信息浏览。由于本项目所建设的科研项目与科研条件管理子系统、农业科研仪器设备信息共享与服务子系统、电子政务子系统、人力资源管理子系统、综合财务管理与监督子系统、基本建设项目管理子系统等均承载了大量XXXX院所用户的并发访问，因此为减轻应用服务器的负荷，提高系统响应能力，需为以上系统配置单独的Web服务器。根据上述数据库服务器性能要求中对主要业务处理量的分析可知，Web服务器每天工作时段内平均需响应用户访问350,000次。根据相关工程经验，Web服务器的SPECweb2005值应不低于30,000。存储备份系统需求系统存储容量主要根据网络日志、应用数据库、系统及应用日志和数据备份四部分进行估算。1、网络日志网络日志主要是保留用户对于系统内的服务器的网络访问日志，按照20Mbps的流量计算，每秒按字节计算产生20Mb/8=2.5MB，每天的日志容量为2.5MB*3600*24=216GB，按照保留一周计算则每周产生216GB*7=1.5TB。2、应用数据库各应用数据库容量是XXXX信息化基础数据库及各业务应用系统的数据量的总和，经初步估算，全部工程的信息总量在系统建设初期约为1TB，考虑到系统5年的发展，系统存储总量应考虑在5年内扩展到2TB。3、系统及应用日志根据对现有应用系统的考察，目前XXXX网每天WEB访问日志量为40MB，考虑保留一年的总量为40MB*365=15GB，而院所信息化项目拥有大量子系统，按照10倍于现有XXXX的WEB访问日志，则系统及应用日志容量应为15GB*10=150GB。4、总计所需存储空间=1500GB+2000GB+150GB=3650GB。按照RAID0+1冗余配置，实际需求容量=RAID利用率系统*所需存储空间/60%=2*3650GB/60%=12.17TB根据数据量估算，本项目实施后，XXXX5年内将累计数据量约为12.17TB，考虑10%的不可预见因素，数据存储容量至少要求为13.39TB。同时，由于数据区存储系统需要支撑信息资源的管理和对外发布功能，一方面要求存储系统具备快速响应能力与较高的传输带宽，另一方面建立信息资源库会引起存储空间的大量占用（需要在原始数据基础上新增大量冗余数据以辅助数据挖掘），考虑未来几年信息资源库的容量占用，存储空间至少应达到15TB。考虑到系统的安全性，应建立可靠的数据备份系统。网络系统需求网络信息流可分为宽带信息流和窄带信息流两种类型。宽带信息流主要为音视频信息；窄带信息流一般是HTTP、HTTPS、SMTP、POP、IMAP、FTP等。从本项目的建设阶段来看，初期窄带应用的比率更高一些，但宽带业务也会逐渐增加。目前网络上80%的信息是窄带信息，20%的应用是宽带应用。在80%窄带应用中，主要应用以查询为主（HTTP），约占85%；其次是收发邮件(POP、SMTP、IMAP、MIME)，约占10%；其它应用（如FTP等）占5%。不同的协议对带宽的依赖不同，基本情况如下：窄带应用：HTTP窄带访问链接需求带宽约30Kbps，FTP连接下载需求带宽约为50Kbps，EMAIL的上传和下载需求带宽为40Kbps，收听音频广播的应用需求带宽约为14Kbps。以下按平均每一连接40Kbps进行估算。宽带应用：视频点播服务需求带宽约为1.5Mbps；视频会议服务需求带宽约为384Kbps。（1）窄带应用带宽分析同一时刻访问进行窄带操作的为同时上网人数的10%，则按高峰期并发访问量为2000个连接，因此窄带应用的带宽需求为：2000x40Kbps=80Mbps（2）宽带应用带宽分析宽带应用主要是视频点播服务，一个流的带宽需求为1.5Mbps。由于一个视频点播持续的时间比较长，所以可以认为视频流的需求是同时的。如果同时有82个视频服务需求，则宽带应用带宽需求为：1.5Mbpsx82=123Mbps（3）出口带宽分析总流量=窄带服务流量+宽带服务流量。总带宽为：80Mbps+123Mbps=203Mbps一般情况下，链路的实际使用率以不超过链路的80%为宜，则：带宽需求为：203Mbps/0.8≈254Mbps。建设原则1．经济性，充分利用现有为投用设备，并适当利旧正常运行设备，最大化资源利用率，最大程度考虑投建成本。2．先进性和实用性。基础平台所采用的技术具有先进性和实用性。即采用的存储设备平台、服务器主机平台、系统软件平台及相关应用系统平台所采用的技术应符合当前技术发展的方向。与此同时，为了保证系统的稳定性，在采用先进的技术的同时考虑到成熟技术的性能，以保证在系统建设过程中采用的能跟踪先进的技术的同时兼顾项目的可实施性。3．安全性。基础平台运行系统的安全性包括硬件平台的安全、系统安全、业务应用系统的安全和网络通讯的安全。数据中心建设首先遵循安全可靠的原则，最大可能减少因信息基础设施故障而造成的业务无法正常进行的现象的发生；同时，建设中注重信息安全体系的建设，提高数据的整体安全性，进一步保证数据安全。4．可靠性。基础平台硬件平台稳定、可靠，能够满足“数据集中”系统业务的要求。数据中心的可靠性同时也包括系统所具有的具体功能、系统所能支持的大数据容量和在复杂的运行环境里稳定、可靠地运行，在出现异常的情况下系统具有相应的规避措施等。5．可扩展性。随着XXXX院所信息化的发展，信息数据不断地增多和业务应用系统的覆盖面的不断扩大，基础平台将承担更大的数据管理和数据支撑任务，为此，平台必须提供足够的扩展能力以满足将来业务增长的需要。其主要表现在在业务和数据系统需要扩展空间时，只增加相应的硬件，不用改动整体的架构，同时，新增的硬件可平滑地接入正在运行的系统。6．易管理性。由于XXXX电子政务网络平台所服务的对象的广泛性，以及应用系统的复杂性，因此，为保证XXXX电子政务网络平台的顺利实施，在数据中心建设时充分考虑这些特点。基础平台用户界面友好，各项功能使用简单、方便、快捷。系统配置和管理体现图形化、直观化，尽量避免复杂的系统配置文件。可管理性充分体现在系统软、硬件平台的管理工具应提供丰富的、图形化的管理工具，以便于管理及系统问题的判断上。项目建设目标建立全院统一的科研资源目录体系，并构建相应的数据库，实现科研资源一体化管理，实现各项资源在全院范围的唯一性和跨机构可访问性，为应用系统建设提供数据基础支撑；建设应用支撑平台，为应用系统的建设和运行、科研资源的一体化管理以及内外部用户对院级门户的访问提供基础软件环境支撑；调整和改造现有的网络，完成系统运行所需的服务器、存储设备以及备份设备、相关设备的操作系统等基础软件，构筑系统安全体系，采购并部署相关的安全基础设施，为应用系统的部署和运行提供基础运行环境；对计算机房条件进行配套建设，以满足软硬件系统正常运行之需要。总体建设方案XXXX信息化系统基础平台建设根据XXXX电子政务网络平台建设的统一规划和本期工程实际需求。主要应用服务建设、核心网络建设和外部网络接入建设三个部分。1、应用服务建设通过服务器存储设备提供业务应用服务，包括系统需要的WEB服务器、应用服务器、数据库服务器、数据存储系统、数据备份系统。2、核心网络系统建设，通过双核心交换机实现核心的高性能和高可靠性。包括核心交换机、路由器、网络安全防护等。3、XXXX网络部署接入路由器、防火墙、交换机等，实现到两台核心交换机的冗余连接。基础平台包括6大部分：应用服务区、核心网络区、接入区、终端应用区。1、应用服务区：运行着是本次XXXX农业信息研究所信息化建设的核心内容，WEB服务器、应用服务器分别部署XXXX信息化各种应用、支撑组件、WEB服务，数据服务器为应用提供数据处理服务，存储系统是容纳业务数据的载体，备份系统提供数据安全保障。2、核心网络区，核心层是XXXX院内网络、员外、其它接入网络与之间互连的关键，采用双交换机冗余部署，与电信广域网连接采用VPN连接，考虑到网络的安全性要求，将按照等级保护要求建设安全网络管理体系。3、接入区接入区是包括院内局域网直接接入，院外单位通过电信广域网VPN接入，财务部的接入连接到XXXX路由器通过财务专线连接，国家文献中心路由接入。本项目建设内容主要在应用服务区、核心网络区、接入区。以下对建设内容详细叙述。应用服务区建设包含服务器、磁盘阵列和备份设备的建设，形成立体的，成规模的信息资源存储、备份、处理和交互的系统。其物理上是部署在XXXX院内网的机房。目前XXXX服务器存储设备清单：应用服务器区设计为提高主机及存储系统整体性能及安全可靠性，方便管理与维护，主机及存储系统应按照不同类别应用系统的特点和性能要求划分为用于部署业务WEB应用系统、应用系统、的生产区以及用于部署数据库系统、存储系统及备份系统的数据区。主机及存储系统应包含WEB服务器、应用服务器、数据库服务器、、数据存储备份系统四部分。服务器：包括WEB服务器3台、应用服务器12台、数据库服务器2台都连接到核心交换设备。其中WEB服务器分别部署XXXX科研资源管理系统、XXXX科研信息资源共享与服务系统和XXXX科研网络协作系统，提供WEB服务。磁盘阵列：用来存放应用系统数据产生的数据，主机和存储系统位于农业科技数据分中心主机房和分机房，主机房以SAN网络存储为核心，链路实现双冗余，SAN存储网络的光纤通道交换设备实现双冗余。服务器系统1．Web服务器本项目所建设的科研项目与科研条件管理子系统、农业科研仪器设备信息共享与服务子系统、电子政务子系统、人力资源管理子系统、综合财务管理与监督子系统、基本建设项目管理子系统等均承载了大量XXXX院所用户的并发访问，因此为减轻应用服务器的负荷，提高系统响应能力，需为以上系统配置单独的Web服务器。本项目将配置工作组级PC服务器3台，主要用于提供网页信息浏览服务，即专门处理HTTP请求，响应用户的应用访问，并向用户浏览器发送HTML提供信息浏览。2．应用服务器应用服务器主要用于响应B/S架构下科研项目与科研条件管理子系统、电子政务子系统、人力资源管理子系统、综合财务管理与监督子系统、教育资源管理与远程教育服务子系统、基本建设项目管理子系统、网站集成管理子系统、农业科研仪器设备信息共享与服务子系统、科研网络协作系统等系统客户端的业务逻辑处理请求，并维护应用系统与数据库之间的通信。本项目需要12台部门级PC服务器部署三大系统的应用层和必要的应用支撑组件。XXXX已购置12台应用服务器，其中6台分别部署人力资源管理子系统、教育资源管理与远程教育服务子系统、基本建设项目管理子系统、农业科研仪器设备信息共享与服务子系统、网站集成管理子系统、科研网络协作系统；考虑到电子政务子系统的重要性，以2台以双机集群形式部署电子政务子系统、4台部署应用支撑平台相关组件（其中2台为双机集群，部署数据交换和数据分析相关组件）。3．数据库服务器集群核心数据库/应用服务器布署在整个网络系统的核心区域，逻辑上位于整个应用系统的数据核心层，可靠问题是十分重要的，所以在系统设计上，中心主机采用两台小型机、共享SAN磁盘阵列的架构方式，运行数据库应用。根据系统应用的规模，而且考虑到了业务的变化、增加，在选择服务器时必须预留处理能力的扩展空间，设计使用2台IBM高性能、高可靠性、多处理器的SMP体系结构的unix服务器IBMP550作为核心数据库/应用服务器，完全满足系统未来扩展的需要。配置千兆网卡和光纤通道卡实现与网络和存储区域网的高速连接。数据软件采用Oracle11G。将2台小型机组建双机热备的数据库服务器集群，用于部署科研项目与科研条件管理子系统、农业科研仪器设备信息共享与服务子系统、电子政务子系统、人力资源管理子系统、基本建设项目管理子系统等业务系统的应用支撑数据库，并相应部署数据库管理系统软件。双机集群有多种方式选择双机热备，即active/standby方式，服务器数据包括数据库数据同时往两台或多台服务器写，保证数据的即时同步，当active服务器出现故障的时候，通过软件诊测或手工方式将standby机器激活，保证应用在短时间内完全恢复正常使用。典型应用在证券资金服务器或行情服务器。cluster其中一种形式。双机互备，两个相对独立的应用在两台机器同时运行，但彼此均设为备机，当某一台服务器出现故障时，另一台服务器可以在短时间内将故障服务器的应用接管过来，从而保证了应用的持续性，但对服务器的性能要求比较高。配置相对要好。双机双工，即目前的cluster的一种形式，两台或多台服务器均为活动，同时运行相同的应用，保证整体的性能，也实现了负载均衡和互为备份。需要利用磁盘柜存储技术（最好采用san）。WEB服务器或FTP服务器等用此种方式比较多。因此，考虑到以上因素以及本工程建设实际，结合XXXX后续信息化建设对数据库服务器性能的扩展需要，本项目推荐采用小型机组建双机热备的数据库服务器系统。存储备份系统1、存储系统XXXX农业信息研究所网络中心已建的FCSAN存储系统均已充分承载了相关业务应用，2T的存储空间占用率已接近100%，通过对现有设备升级、扩容均无法满足本项目对FCSAN存储系统高性能、高可靠、大容量的存储需求。因此，本项目已购置了容量15TB的高性能光纤磁盘阵列1套，光纤交换机2台，连同新购置的2台小型机，组建为核心数据区存储系统。2、备份系统备份服务器建议采用现有的可以利旧的服务器，该服务器安装备份软件，通过光纤卡接入到SAN交换机，虚拟磁带库通过光口连接到光纤交换机，组建SAN架构的备份系统图如下：硬件物理部署服务器及存储设备分别部署在服务器机柜1、服务器机柜2、服务器机柜3中，下图是初步部署位置设计图纸（可根据现场情况和用户需求调整），如下图所示：服务器存储应用软件部署核心网络区建设网络基础设施是院所信息化建设的基础，为最大化保护已有投资和节约项目预算，应考虑充分利用和升级现有设备。以下是目前网络设备清单：以下是目前网络配置清单：核心网络设计本项目所建系统运行所需广域网、局域网，核心网络设备需要冗余性。考虑到业务系统接入用户较多应在网络端配置负载均衡设备，网络结构图如下：该项的网络由XXXX院内网、XXXX院外网、电信广域网连接、国家科技图书科技文献城域网和农业部财务专线五部分的组成。XXXX院外网包括京内研究所网络、京外研究所网络。核心网络包括核心交换、其它院所接入路由和防火墙、网络安全管理、负载均衡等设备。网络设备配置1、核心交换机由于本项目在部局数据中心局域网构建了核心数据区，为避免核心数据区与生产区大量的数据交换同时集中加载在目前的中心交换机上而引起整体系统性能的下降，因此本项目将配置千兆核心交换机2台，以双机热备的方式组合，主要负责核心数据区数据库服务器与应用服务器的数据交换。2、主路由器与华为NE40由于本项目为院机关和41个院直属研究所搭建了交互渠道，为避免单点故障隐患，本项目将配置千兆路由器2台，形成双机热备，为XXXX院所局域网互联提供路由服务。3、负载均衡器为优化服务器集群的配置方式，提高硬件资源利用效率，最终提高系统可靠性，本项目将配置1台负载均衡器，并以旁路接入的方式接入核心数据区的交换机，实现服务器集群的负载均衡。同时，也可为核心交换机、路由器提供负载均衡服务。负载均衡器要求具备8个以上千兆电口，具备支持服务器负载均衡、链路负载均衡、全局负载均衡等功能。4、防火墙防火墙两类，一类是部署在电信广域网接口边界，配置两台台级防火墙，以双机热备的方式，为网络中心局域网提供网络安全防护。一类部署在与国家科技文献网络接入的边界，配置一台。防火墙主要负责保护核心数据区的服务器群，可针对访问需要，仅打开必要的通讯端口和地址，从而有效控制绝大多数违规访问；可有效的防御Dos/DDos攻击、ARP欺骗攻击、TCP报文标志位不合法攻击、超大ICMP攻击等各类网络层攻击手段；可实现静态/动态黑名单管理、MAC绑定、安全区域控制等功能。、5、VPN安全网关配置1台VPN安全网关，利用服务提供商所提供的公共网络来实现XXXX本部与院外直属机构之间的远程广域连接。系统应能够多个节点的IPSec远程广域连接，支持多用户的并发SSLVPN访问。5、网络安全管理按照等级保护的要求，部署实施网络安全设备，从而保证整个信息系统安全，最终形成安全开放统一、分级分域防护的安全体系。本次配置的网络安全设备除了上面提到的VPN网关和防火墙还包括：网络安全审计系统、入侵检测系统、漏洞扫描系统、统一安全管理系统、防病毒系统、网络管理服务器。具体设计在安全体系建设方案章节详述。硬件物理部署网络设备分别部署在网络机柜1、网络机柜2内，两个机柜供电需要冗余设计，设备部署图如下：接入区建设接入设计在一个XXXX网络里，有多个网络接入，部署分散，且直接负责终端的接入。如下图所示：XXXX院内网与XXXX院外网的各项业务，全部通过因特网方式实现。为保证其数据安全，使用VPN专线方式传输。XXXX院内网与与农业部网络之间通过财务专线直接接入，XXXX农业信息研究所通过XXXX的接入路由连接到农业部网络，不经过广域网。XXXX院内网与国家科技图书科技文献城域网络之间通过接入路由器连接到NSTL网络。接入设备配置以下是目前网络配置清单：系统软件建设在硬件平台上部署相关系统软件来支持应用系统。包括操作系统软件、数据库软件、集群软件和存储备份软件。系统软件将采用已经购置的软件。系统软件分配设计1．操作系统为应用系统运行平台的稳定性，数据库后台运行平台采用UNIX操作系统。应用系统部署了大量的PC服务器系统，将采用4套Win2008企业版组成两对双机系统运行电子政务系统和应用支撑平台,12套Win2008标准版操作系统安装在其它服务器。2．集群软件数据库是整个系统的核心，重要的服务器系统都将采用集群来实现核心系统的高可用性。对于IBMP550小型机服务器双机集群系统采用同一品牌的集群软件HACMP来实现集群功能，对于PC服务器双机集群系统采用Windowsserver系列企业版的集群功能来实现。HACMP群集可以按几种方式配置以满足不同类型的题供选择。并行访问模式适合于所有处理器多必须在相同工作负载下运行并共享相同数据的环境。在交互备份模式中，处理器共享工作负载并互相备份。闲置备用设备允许用一个节点备份群集器中的其他节点。Oracle数据库的安装使用往往才是小型机集群HACMP的具体工程应用。在Oracle中使用HACMP可以有两种形式供选择：形式一：容灾方式，即形成主备系统，这是传统hacmp的功能；形式二：并行系统，即形成OracleRAC系统，采用并行运算模式，RAC需要OracleRAC费用。3．数据库软件对于数据库系统而言，数据库选择目前国内外通用的ORACLE大型关系型数据库系统。4．存储备份软件存储系统采用SAN存储区域网络技术构建，通过两台光纤通道交换机作为SAN的核心交换机。磁盘阵列、磁带库、数据库服务器以及备份服务器通过SAN交换机构成本地存储区域网。备份服务器安装虚拟磁带库备份管理软件，同时安装磁盘阵列管理软件，兼做磁盘阵列控制台。备份服务器通过专有的SAN网络或者以太网络将磁盘阵列中的数据通备份到虚拟磁带库上。存储软件将选用各存储厂商专业的存储管理软件。备份软件使用SYMCNETBACKUPENTERPRISESERVER7.0，部署在备份服务器上，实现对数据的自动备份控制。系统软件部署软硬件部署对照表如下：序号部署设备系统软件1应用服务器1Windows2008标准版2应用服务器2Windows2008企业版应用服务器3Windows2008企业版3应用服务器4Windows2008标准版4应用服务器5Windows2008标准版5WEB服务器1Windows2008标准版6应用服务器6Windows2008标准版7应用服务器7Windows2008标准版8应用服务器8Windows2008标准版9WEB服务器2Windows2008标准版10应用服务器9Windows2008标准版11应用服务器3Windows2008标准版12应用服务器10Windows2008企业版应用服务器11Windows2008企业版13应用服务器12Windows2008标准版14数据库服务器1AIX、HACMP、Oracle11G15数据库服务器2AIX、HACMP、Oracle11G16备份服务器Windows2008标准版HACMP使用介绍HACMP的工作原理是利用LAN来监控主机及网络、网卡的状态。在一个HACMP环境中有TCP/IP网络和非TCP/IP网络。TCP/IP网络即应用客户端访问的公共网，该网可以是大多数AIX所支持的网络，如Ethernet，T.R.，FDDI，ATM，SOCC，SLIP，等等。非TCP/IP网络用来为HACMP对HA环境（Cluster）中的各节点进行监控而提供的一个替代TCP/IP的通讯路径，它可以是用RS232串口线将各节点连接起来，也可以是将各节点的SCSI卡或SSA卡设置成TargetMode方式。1、作为双机系统的两台服务器（主机A和B）同时运行HACMP软件；2、服务器除正常运行自己的应用外，同时又作为对方的备份主机；3、两台主机系统（A和B）在整个运行过程中，通过“心跳线”相互监测对方的运行情况（包括系统的软硬件运行、网络通讯和应用运行情况等）；4、一旦发现对方主机的运行不正常（出故障）时，故障机上的应用就会停止运行，本机（故障机的备份机）就会立即在自己的机器上启动故障机上的应用，把故障机的应用及其资源（包括用到的IP地址和磁盘空间等）接管过来，使故障机上的应用在本机继续运行；5、应用和资源的接管过程由Ha软件自动完成，无需人工干预；6、当两台主机正常工作时，也可以根据需要将其中一台机上的应用人为切换到另一台机(备份机)上运行一、HACMP基础HACMP技术在AIX5L上的特点：–高可用性集群多重处理（技术）（HighAvailabilityClusterMultiprocessing）–基于集群的技术–提供两种数据访问的环境：串行访问(高可用性)：确保一个应用程序可以通过在不同的资源组中连续的使用共享数据并行访问(群集多处理):并发的存取共享数据IBM的HACMP产品对于建立一个高可用性解决方案是个成熟和健壮的技术。高可用性解决方案是基于HACMP提供一个自动的故障探测，诊断，恢复和重整。伴随着合适的应用软件，HACMP也能工作在并发存取和并行的程序环境，从而提供了极好的水平可测量性。二、HA的基本概念

在HA中有几个基本概念我们应先搞清楚：集群（Cluster）：主要由节点，网络，网络适配器组成。这些对象涉及到网络拓扑内的所有要素。资源组（ResourceGroup）：典型的资源组由应用程序，网络地址和共享的vg组成。集群管理器（Clstrmgr）：集群管理器用来管理集群中所有的资源，它来定义哪个节点的应用是激活的，或者故障时资源组的切换等等操作。集群管理器运行在集群环境里的所有节点上。NETBACKUP使用介绍一、概述SymantecNetBackup平台可以自动执行高级技术，标准化各种应用程序、平台和虚拟环境上的操作，帮助信息化企业简化数据保护流程。这意味着，企业可以在异构操作系统和存储硬件（包括磁带和磁盘）环境中实现全面保护、有效存储、随处恢复和集中管理。它集重复数据删除、复制和正在申请专利的虚拟机防护功能于一体，可以帮助客户提高存储效率、基础架构利用率和恢复速度。单一的控制台实现了多站点监控、分析和报告功能，可以帮助客户标准化操作和风险管理。SymantecNetBackup易于扩展，可以保护最大型的UNIX、Windows®和Linux®环境，目前已得到全球各地的企业广泛采用。NetBackup平台可以实现全面保护、有效存储、随处恢复和集中管理。NetBackup平台由以下四款赛门铁克产品组成：NetBackup、NetBackupRealTime、OpsCenterAnalytics和EnterpriseVault™。二、产品要点•异构环境的数据保护—可以在异构操作系统、应用程序、管理程序以及磁盘和磁带架构上实现数据保护功能•集中式管理—可以从一个位置管理所有数据保护技术与多个NetBackup服务器和域，提高工作效率•源和目标位置的重复数据删除—可以在远程办公室或数据中心按需轻松部署和管理重复数据删除技术•与存储硬件设备的深入集成—NetBackupOpenStorageAPI可以集中管理重复数据删除和复制技术•虚拟机保护既全面又简单—可以对VMware和Microsoft®Hyper-V环境应用获奖的备份和恢复技术•快速全面地恢复应用程序和管理程序的数据—可以快速全面恢复MicrosoftExchange、SharePoint®、ActiveDirectory®以及VMware、Hyper-V等管理程序的文件、电子邮件和其他项目环境的性能及有效性。这些客户端能够为关键业务数据库和应用程序提供高性能的在线备份与恢复、支持通过存储网络执行备份和恢复操作，并且可以提供高级别的数据安全性和全面的系统级恢复。企业可以通过图形用户界面(GUI)集中管理备份和恢复操作的各个方面，从而能够在整个企业中建立统一的数据防护策略，无需考虑部署的客户端类型和数量。三、全面保护1、客户端保护NetBackup提供了一套简单而又全面的创新客户端和代理，可以优化备份和恢复环境的性能及有效性。这些客户端能够为关键业务数据库和应用程序提供高性能的在线备份与恢复、支持通过存储网络执行备份和恢复操作，并且可以提供高级别的数据安全性和全面的系统级恢复。企业可以通过图形用户界面(GUI)集中管理备份和恢复操作的各个方面，从而能够在整个企业中建立统一的数据防护策略，无需考虑部署的客户端类型和数量。2、应用程序防护要防止关键业务应用程序保护过度或不足，企业必须制定分层保护战略。NetBackup平台提供了各种旨在帮助企业制定经济可靠型分层保护战略的技术。要点包括：•应用程序和数据库代理1—为了保护关键业务应用程序和数据库，NetBackup提供了应用程序代理，这些代理可以实现热备份和在线备份，提供向导型配置，并支持应用程序特定的工具，如Oracle®RecoveryManager(RMAN)。•快照的集成—为了增强保护功能，NetBackup还集成了各种磁盘阵列和软件快照方法，如脱机备份和即时恢复。主要优势是，您可以使用相同的NetBackup策略、目录和日程界面将快照作为磁带或其他任何类型的分流备份来管理。复点目标(RPO)和恢复时间目标(RTO)了。3、数据安全NetBackup提供了灵活的数据保护技术，如访问和授权控制与磁盘和磁带加密方法。要点包括：•源/客户端加密，实现了最高级别的安全性，让您甚至可以保护传输中和介质上的数据。•MediaServerEncryptionOption，可以提高磁带备份的灵活性，还可以利用NetBackup介质服务器。这样，客户端的性能就不会受到影响了。•集中式的集成密钥管理服务，可以管理加密磁带驱动器的密钥。4、虚拟机保护既全面又简单虚拟化技术在给数据中心带来机遇的同时也带来了挑战，如降低了备份和恢复速度、增加了存储使用量以及需要了解和管理更多的技术。NetBackup7基于NetBackup6.5获奖的VMware支持技术，它可以提供既简单又全面的数据保护功能。另外，它还简化了虚拟机保护功能，如集中了MicrosoftHyper-V和VMware上的备份，通过管理程序集成技术（如vStorageAPI）、重复数据删除技术和增量备份技术，缩短了备份时间并实现了高效的单个文件恢复。四、高效存储1、随处删除重复数据NetBackup还提供了随处删除重复数据的功能。重复数据无论是在远程站点上还是在数据中心，该功能都可以帮您将其删除。它是您保护虚拟环境的理想选择。2、NetBackup客户端重复数据删除功能删除冗余数据（尤其是对源位置影响较大的数据）可以最大程度发挥重复数据删除功能的优势。NetBackup7产品具有内置的客户端重复数据删除功能，可以实现快速、安全、有效的备份和恢复。客户端重复数据删除功能可以删除源位置的冗余数据，与传统备份技术相比，它所占用的CPU、I/O和内存会更低，从而可以为生产服务释放更多的客户端资源。客户端重复数据删除功能还可以实现增幅高达10倍的备份速度。要点包括：•NetBackup内置重复数据删除功能—客户端重复数据删除功能已内置在NetBackup中，因此，您无需购置单独的硬件设备。应用程序支持—客户端重复数据删除功能不但是您处理标准文件数据的理想功能，而且它还对您处理NetBackup支持的应用程序和数据库很有帮助。•与NetBackupPureDisk兼容—NetBackup客户端可以存储已删除重复数据的数据和NetBackup介质服务器重复数据删除池或NetBackupPureDisk存储池。•虚拟机保护—使用虚拟访客计算机中的NetBackup客户端可以删除源位置的重复数据，让网络只能传输不重复的数据和变更信息，从而降低备份对整体虚拟基础架构的影响。3、NetBackup介质服务器重复数据删除功能NetBackup介质服务器提供目标重复数据删除功能的目的就是为了利用现有的磁盘。设置如同单击对话框一样简单。NetBackup介质服务器可以在不用添加缓冲磁盘的情况下随时处理数据流，实现在数据处理过程中删除重复数据，从而优化存储利用率。通过NetBackup存储生命周期策略，您还可以实现在数据处理后删除重复数据。要点包括：•备份速度更快—NetBackup目标重复数据删除功能可以在数据存储到磁盘的过程中删除内联冗余数据。因此，移动并最终存储到最终目标位置的数据会少很多。•降低存储成本—NetBackup让企业可以利用常用磁盘和服务器来提高成本效益和灵活性。•降低存储消耗—与传统磁带备份解决方案相比，该解决方案让企业可以将存储总量减少高达20倍。•恢复速度更快—通过重复数据删除功能，企业可以在本地或远程位置保存更多类型的数据，而不必再通过磁带执行单一的恢复了。通过OpenStorage3与重复数据删除硬件设备集成其实，许多重复数据删除硬件设备就是采用磁盘技术但模拟磁带的虚拟磁带库。NetBackupOpenStorageAPI让NetBackup可以识别磁盘的真伪。磁带模拟的整体概念已不再使用，这样，存储硬件设备用户不但可以通过OpenStorage提高利用率，而且能够充分利用重复数据删除、优化复制、虚拟合成以及直接备份到磁带等高级功能集。4、通过归档功能提高备份和恢复速度减少主存储中的数据是相当重要的，这也符合赛门铁克的战略，即删除对源位置影响最大的重复数据。可以降低源上主要数据增长的解决方案是EnterpriseVault，这是一个归档和电子查询领域公认的领先解决方案。数据保护和归档技术的组合可以提高传统备份和恢复的速度。NetBackup和EnterpriseVault实现的组合功能还可以根据策略自动将EnterpriseVault管理的归档磁盘数据迁移到NetBackup管理的磁带或其他介质中。为了保护EnterpriseVault环境，NetBackup还提供了可以在EnterpriseVault环境中自动查找各种服务器和组件的代理。随处恢复NetBackup提供了各种技术，可以确保数据快速、即时、随处恢复，并使数据丢失最少。裸机恢复(BMR)裸机恢复功能是通过集成方式免费提供的，可以执行系统恢复必需的所有文件和服务，包括能够执行无盘网络启动、临时操作系统安装和磁盘配置。此功能可以使任何平台上的全面系统恢复时间大约仅为15分钟。4、有效的灾难恢复NetBackup平台提供了各种灾难恢复功能，这些功能可以在数据中心因环境因素或其他因素导致永久性损坏后将数据迁移到异地灾难恢复位置。•管理异地磁带介质4—NetBackupVaultOption可以在自动将磁带介质迁移到异地灾难恢复位置的同时跟踪该流程。•复制已删除重复数据的数据—NetBackup提供了各种复制和管理功能，这些功能不但可以通过电子方式在WAN上安全地复制数据，而且还可以在NetBackup图形用户界面上集中管理这些数据。由于它只会复制不重复的数据，因此可以优化带宽和后端存储。另外，它还可以将这些数据迁移到灾难恢复位置的磁带设备上进行长期存储。•实时的数据块级复制—NetBackupRealTime75让NetBackup可以实现实时的数据块级异步或同步复制。如果用于保护NetBackup目录，它是免费的。5、全面恢复技术NetBackup正在申请专利的全面恢复技术可以快速恢复MicrosoftExchange、ActiveDirectory、SharePoint、VMware、Hyper-V等环境中的文件、电子邮件和其他单个对象。这意味着，映像只需备份一次、存储一次，就可以实现两种恢复方式，即用于灾难恢复的完整映像恢复方式和单个文件恢复方式。6、集中管理SymantecOpsCenter提供了一个可以集中监控和报告异构数据保护环境运行状况的控制台。要点包括：•定制的警报功能和实时的监控功能—可以通过易用的分类和过滤功能管理意外事件，让您可以更好地排除故障、设置工作优先级以及控制备份环境。•跨域监控和管理功能—可以将多个NetBackup域和多个产品版本连接起来，简化管理和控制。•点击式环境运行状况报告功能—可以快速了解NetBackup、SymantecBackupExec、NetBackupPureDisk和EnterpriseVault环境中的磁带驱动器利用率、成功率和未受保护的环境。通过OpsCenterAnalytics6实现高级业务环境报告功能您可以通过许可证密钥轻松将OpsCenter升级到OpsCenterAnalytics，实现高级的集成式业务环境报告功能，这样，您就可以根据地理位置或异构环境中的应用程序为目标用户（如业务部门）定制相关内容。要点包括：•报告第三方应用程序—可以在集中报告赛门铁克和第三方备份应用程序（如EMCNetWorker和IBMTivoliStorageManager）的同时对报告进行标准化。•长期保留数据以供趋势研究和分析之用—让您可以不断地跟踪数据增长率（包括为了简化投资回报率的跟踪流程删除重复数据前后的数据增长率），更好地预测备份和电子邮件归档存储的使用量。•服务级别遵从、成本分析和计费—可以实现阈值报告功能，确保您遵从服务级别，还可以通过配置定价模型整合并分配备份和归档服务成本，帮助您满足业务需求。针对各种规模的环境和复杂性级别提供灵活的部署解决方案NetBackup提供三种版本，以便为从中小型企业到大型企业的各种企业提供支持（参见下表）。五、NetBackup的其他功能和优势1、性能•合成备份—能够通过单个备份映像快速恢复客户端，减少恢复对应用程序主机的影响和网络带宽•高级磁盘缓冲—由于不存在磁带设备延迟，并且非复用备份映像可用于进行更快速的恢复，因此磁盘缓冲功能有利于进行更快速的备份和恢复•检查点/重新开始—允许失败的备份作业或恢复作业从上一个检查点恢复•多路复用备份—将多个数据流从一个或多个客户端/服务器写入一个磁带驱动器，以获得最佳性能•内联复制—可以创建多个并行备份映像，每个映像都具有独特的保留属性，与主备份同时运行或在完成主备份后运行2、介质管理•自动机械/磁带驱动器配置—可以自动生成驱动器名称并自动配置交换的磁带驱动器，缩短磁带驱动器的配置时间•介质共享—允许多个NetBackup介质服务器主动共享指定的磁带介质，以便写入•广泛的磁带设备支持—支持所有领先的磁盘设备提供商，包括Dell、Exabyte、HP®、IBM®、OverlandData、Qualstar、Quantum、Sony、SpectraLogic和Sun、StorageTek3、用于数据库、应用程序、磁盘、磁带和灾难恢复的代理和选件NetBackup代理NetBackup代理可以优化重要数据库和应用程序的性能，包括IBMDB2、Informix、Lotus®Notes/Lotus、Domino®Server、MicrosoftActiveDirectory、Microsoft、ExchangeServer、MicrosoftSharePoint®PortalServer/MicrosoftOfficeSharePointServer、MicrosoftSQLServer、Oracle、SAP、Sybase和SymantecEnterpriseVault。NetBackup选件NetBackup选件可以实现虚拟磁带库支持、重复数据删除、异地磁带介质管理等功能，从而改善数据保护环境。安全体系建设方案安全体系现状目前，XXXX网络中心所采取的安全保障手段及效果如下：（1）物理环境安全方面技术措施主要包括如下几个方面：重要区域配置电子门禁系统；在条件允许的情况下，配备光、电等机房防盗报警系统；设置监控报警系统，如摄像头等；设置火灾自动消防系统；对重要设备采取区域隔离防火措施，并与其他设备在物理上隔离开；安装对水敏感的检测仪表或元件，对机房进行防水检测和报警；主要设备采用必要的接地防静电措施，如防静电手环或防静电工作服等；设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内；在条件允许的情况下设置冗余或并行的电力电缆线路为系统提供持续供电，建立备用供电系统。XXXX网络中心机房的安全门禁系统、消防灭火系统、空调通风系统、供配电系统、防雷接地系统等已经比较完备，机房基础设施及安全保障措施较为完善。（2）网络安全方面1）安全区域边界等级保护要求现有情况分析差距增强或解决方法区域边界访问控制结构安全与网段划分有有划分VLAN，并设定访问控制措施区域边界协议过滤网络访问控制防火墙有网络设备设置访问控制策略区域边界完整性保护拨号访问控制无有防非法外联、协议过滤、网络设备设置访问控制策略区域边界完整性保护边界完整性检查防火墙有防非法外联区域边界完整性保护网络入侵防范无有带宽管理、协议过滤管理、安全网关2）安全通信网络等级保护要求现有情况分析差距增强或解决方法通信网络网络入侵防范无有网络入侵防护WEB应用防护内网安全建设安全配置核查网络传输保密性保护网络设备防护SSH和Https等方式有，较小动态身份认证3）安全管理中心等级保护要求现有情况分析差距增强或解决方法系统管理存在基本手段有安全服务安全管理存在基本手段有安全服务审计管理存在基本手段有安全配置核查网页防篡改（3）主机系统安全方面除充分利用操作系统、数据管理系统等系统软件的身份鉴别手段外，配置了网络防病毒软件，能对病毒、恶意代码进行有效防治。计算环境的差距分析及解决方法总结如下：等级保护要求现有情况分析差距增强或解决方法用户身份鉴别口令认证小动态身份认证自主访问控制有有系统加固标记和强制访问控制有有访问控制、系统加固用户数据完整性保护存在基本手段有数字签名、安全服务用户数据保密性保护存在基本手段有VPN、文件级存储加密客体安全重用有有漏洞管理程序可信执行保护有有恶意代码检测（4）数据及应用安全方面备份软件已采购，可以对数据、应用系统进行及时有效的备份。安全体系需求分析随着XXXX信息化发展的逐步深入，对信息系统的依赖越来越强，大型信息系统的安全保障体系建设是一个极为复杂的工作，为大型组织设计一套完整和有效的安全体系一直是个世界性的难题。一些行业性机构或大型企业的信息系统应用众多、结构复杂、覆盖地域广阔、涉及的行政部门和人员众多；系统面临着各种性质的安全威胁，间谍、黑客、病毒蠕虫、木后门、非法的合作伙伴、本地维护的第三方、内部员工等；安全保障要求的内容极为广泛，从物理安全、网络安全、系统安全、应用安全一直到安全管理、安全组织建设等等，凡是涉及到影响正常运行的和业务连续性的都可以认为是信息安全问题；不同业务系统、不同发展阶段、不同地域和行政隶属层次的安全要求属性和强度存在较大差异性。经过我国信息安全领域有关部门和专家学者的多年研究，在借鉴国外先进经验和结合我国国情的基础上，提出了分等级保护的策略来解决信息网络安全问题，即针对信息系统建设和使用单位，根据其单位的重要程度、信息系统承载业务的重要程度、信息内容的重要程度、系统遭到攻击破坏后造成的危害程度等安全需求以及安全成本等因素，依据国家规定的等级划分标准，设定其保护等级，自主进行信息系统安全建设和安全管理，提高安全保护的科学性、整体性、实用性。按照国家《信息安全等级保护管理办法》的相关要求，XXXX网络中心数据中心的安全保护等级总体上应达到第三级（监督保护级）。参考信息系统安全三级保护的基本要求，XXXX数据中心在安全方面还主要存在以下不足：网络安全方面尚不能对网络数据流进行安全审计，对各类网络违规或异常行为、网络资源滥用行为、涉密信息及敏感言论的传播缺乏相应的监管手段；本项目新构建的核心数据区缺乏网络安全防护手段。（2）主机系统安全方面目前网络中心虽然配置了网络防病毒软件，但由于软件使用授权已到期，防病毒引擎得不到及时的更新，无法对病毒、恶意代码进行有效防治；应用系统缺乏在线备份系统，无法实现受损系统的及时恢复；同时，缺乏必要的主机审计手段，对主机的使用进行监控和管理。（3）数据及应用安全方面数据的安全依赖于本地的磁带库离线备份系统。考虑到本项目建成后将集中存储全院的科研资源数据、科研项目数据、人力、财务、基建项目、科研知识、农业文献等重要数据，而目前由于缺乏能够实时、在线备份数据的备份系统，数据安全存在较大隐患。（4）安全管理方面由前述安全系统评估可以看出，部局目前虽然配备了一些安全设备，但各设备较为孤立，缺乏联动和统一管理，不能形成合力来提高系统整体安全防护能力。建设原则（1）综合防范，适度安全在三级信息系统网络建设时，必须充分考虑来自网络的各种威胁，采取适当的安全措施，进行综合防范。同时，以应用为主导，充分分析应用系统的功能，在有效保证应用的前提下，安全保密建设经济适用、适度安全、易于使用、易于实施。（2）分域防控、分类防护贯彻等级保护思想，针对不同的安全域采用不同的安全防护策略，通过制定安全策略，实施分区边界防护和区间访问控制，保证信息的安全隔离和安全交换。（3）谁主管谁负责基于等级保护的XXXX网络的建设过程中，部门网络的内部安全问题应根据本单位的安全需求和实际情况，依据国家相关政策自行开展信息安全建设。（4）安全保密一体化在安全保密建设中，无论是技术的采用、还是设备的选配，必须坚持安全保密一体化的原则，这样建设的系统才最为有效、最为经济。安全系统建设目标为落实和贯彻公安部、国家保密局、国家密码管理局等有关部门信息安全等级保护工作要求，全面完善信息安全防护体系，确保等级保护工作在各单位的顺利实施，提高公司整体信息安全防护水平，开展等级保护建设工作。本方案主要遵循GB/T22239-2008《信息安全技术信息安全等级保护基本要求》、《信息安全等级保护管理办法》（公通字[2007]43号）、《信息安全技术信息安全风险评估规范》（GB/T20984-2007）、ISO/IEC27001信息安全管理体系标准和ISO/IEC13335信息安全管理标准等。通过本方案的建设实施，进一步提高信息系统等级保护符合性要求，将整个信息系统的安全状况达到信息系统安全三级保护的水平，并尽可能地消除或降低信息系统的安全风险。安全体系总体设计以当前安全现状为基础，通过安全设备的部署、安全技术的应用和安全管理制度的制定和完善，全面网络信息系统的安全性，具体的安全系统建设应从网络安全、主机系统安全、数据及应用安全、安全管理四个方面分别进行，通过系统安全建设，使整个网络能面对目前和未来一段时期内的安全威胁，实现对全网安全状况的统一监控和管理，更好地保障整个网络的正常运行，全面提升信息安全系统的安全等级。根据已知需求，针对XXXX网络中心现有安全系统的不足，并根据本项目相关业务应用的需求，本项目将采取以下网络安全系统建设策略，结构图如下：在网络安全方面，进行网络安全审计系统和入侵检测系统的建设；进行漏洞扫描系统的建设；针对本项目新构建的核心数据区，在核心数据区与中心交换机之间建设防火墙。在主机系统安全方面，进行主机审计系统的建设。数据及应用安全方面，在核心数据区建设虚拟化的备份系统。在安全管理方面，建设统一的安全管理系统。物理安全，包括安全设施的选择和建设、设施安全管理、人员管理控制。网络安全系统设计根据安全现状，我方将针对信息系统存在的漏洞、弱点提出相关的整改意见，并最终形成安全解决方案。通信边界域通过对进入和流出安全保护环境的信息流进行安全检查，确保不会有违反系统安全策略的信息流经过边界。安全管理区安全管理区是系统的安全控制中枢，主要实施标记管理、授权管理及策略管理等。安全管理子系统通过制定相应的系统安全策略，并要求节点子系统、区域边界子系统和通信网络子系统强制执行，从而实现对整个信息系统的集中管理。本次建设一下内容：（1）网络安全审计系统本项目配置1套网络安全审计系统（含1台审计引擎及配套管理软件），将审计引擎以旁路的方式接入核心交换机，并配置安全审计服务器1台，部署相应的审计管理软件，构成XXXX网络中心网络安全审计系统。网络安全审计系统可实现对用户的网络行为、网络传输内容进行监控；实现对网络行为进行统计分析和事后取证；对网络潜在威胁者予以威慑。（2）入侵检测系统本项目配置1套入侵检测系统，将入侵检测引擎以旁路的方式接入核心交换机构成XXXX网络中心入侵检测系统。入侵检测系统对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施。（3）漏洞扫描系统本项目配置1套漏洞扫描系统，将漏洞扫描引擎以旁路的方式接入核心交换机构成XXXX网络中心漏洞扫描系统。漏洞扫描系统支持分布扫描、集中管理、综合分析、多级控制功能。能够跨地域对多个网络同时进行漏洞扫描，并能够集中管理、配置各扫描引擎，将扫描结果集中分析，同时提供详细的系统脆弱性修补方案。。（4）统一安全管理系统本项目配置1套统一安全管理系统，辅助网络管理人员实现对XXXX网络中心所有网络设备、安全设备的统一管理。统一安全管理系统为软硬件一体化的机架式设备，通过日志分析与审计、自动安全预警、预先制定安全响应策略实现设备间联动等手段，能对各种主流品牌的网络设备、安全设备进行统一管理，解决了网络与安全设备相互孤立、网络安全状况掌握不直观、安全事件相应慢、网络故障定位困难等问题，实现了XXXX网络中心安全管理手段的整合和管理能力的全面提升。（5）防病毒系统本项目配置1套病毒系统，根据系统特性，采取相应的系统安全措施预防病毒侵入计算机。在计算机上安装防病毒软件，以便在病毒侵入系统时发出警报，并记录携带病毒的文件，及时清除其中的病毒；对网络而言，能够向网络管理员发送关于病毒入侵的信息，记录病毒入侵的工作站，必要时还能够注销工作站，隔离病毒源。（6）防病毒系统网络管理服务器，利用接入核心交换的一台机器，对网络内的设备登录管理。通信边界区内部用户接入分为两种接入，一是院内局域网直接通过接入交换机接入，二是院外用户使用VPN方式接入电信广月昂，通过冗余路由器、防火墙进行访问控制。（1）防火墙本项目配置1台千兆级防火墙，与原防火墙以双机热备的方式，为网络中心局域网提供网络安全防护。防火墙主要负责保护核心数据区的服务器群，可针对访问需要，仅打开必要的通讯端口和地址，从而有效控制绝大多数违规访问；可有效的防御Dos/DDos攻击、ARP欺骗攻击、TCP报文标志位不合法攻击、超大ICMP攻击等各类网络层攻击手段；可实现静态/动态黑名单管理、MAC绑定、安全区域控制等功能。（2）VPN安全网关配置1台VPN安全网关，利用服务提供商所提供的公共网络来实现XXXX本部与院外直属机构之间的远程广域连接。系统应能够支持不少于2个节点的IPSec远程广域连接，支持不少于4200用户的并发SSLVPN访问。外部用户接入（1）国家科技图书文献网络接入，通过防火墙和接入路由器接入。（2）农业部接入，农业部接入是通过XXXX财务专线接入网络安全设备配置清单序号设备名称单位数量规格备注1安全系统1.1网络安全审计系统台1含审计引擎及管理软件购置1.2入侵检测系统台1软硬件一体化购置1.3漏洞扫描系统台1软硬件一体化购置1.4防火墙台1千兆级购置1.5VPN网关套1千兆级,吞吐率1G，支持不少于两个点IPSecVPN互联，SSLVPN并发访问数不小于4200购置1.6统一安全管理系统台1工作组级，2CPU，8GB内存购置1.7主机审计系统套118个点购置2备份系统2.1虚拟磁带库台16×750G7200转SATA硬盘购置2.2备份服务器台1CPU：IntelXeonDP四核，主频>=2.0GHz；CPU数量>=2个，可扩充>=2;内存>=8GB，最大>=128GB;热插拔SAS硬盘>=2个146GB,>=10000转可利旧或购置3系统软件3.1备份软件套1支持SAN、LAN环境下，数据库、操作系统和文件系统的备份和恢复；

支持远程数据备份和远程灾难恢复购置3.2防病毒软件套1支持自动防护和、自动升级功能和自动分发功能，100用户购置网络安全软硬件部署设计1．网络安全设备安全设备中的机房防火墙1、防火墙3、网络安全审计系统、VPN网关、漏洞扫描系统、入侵检测系统、统一安全管理系统设备部署在网络机柜3，备份服务器、虚拟磁带库部署在服务器机柜3中，防火墙2安装在网络机柜1中与防火墙2组成因特网接入防火墙的冗余结构。部署设计如下图所示：2．主机审计系统部署如下部署点：WEB服务器3台、应用服务器12台、备份服务器1台、数据库服务器2台共18个。3．防病毒软件部署点：WEB服务器3台、应用服务器12台、备份服务器1台、数据库服务器2台、其它服务器、操作终端。主机安全设计目前网络中心虽然配置了网络防病毒软件，对病毒、恶意代码进行有效防治；应用系统配置在线备份系统，实现受损系统的及时恢复；同时，配置的网络审计手段，对主机的使用进行监控和管理。（1）防病毒与病毒查杀技术在一个整体病毒防护方案中，防病毒是重要的支点。对木马的防范，除了通常的桌面防病毒产品外，还有一些专门的木马查杀产品，查杀产品拥有查杀流行木马、清理恶评及系统插件、管理应用软件、系统实时保护，修复系统漏洞等数个强劲功能，同时还提供系统全面诊断，弹出插件免疫，清理使用痕迹以及系统还原等特定辅助功能，并且提供对系统的全面诊断报告，方便用户及时定位问题所在，为用户提供全方位的系统保护。（2）网络审计技术建设一个完整的安全系统所必需有的功能。用户操作行为审计与监控。采用旁路式Agent的方式对数据库的访问进行有效的监控，及时发现非法用户对数据库资源的访问与侵入，并给予报警。用户操作行为审计监控系统主要用于监视并记录对数据库服务器以及应用服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，一般操作行为如数据库的登录、注销动作，特定的操作如对数据表的插入、执行特定的存贮过程等，都可以被记录和分析，分析的内容可以精确到SQL操作语句一级。它还可以根据设置的规则，智能的判断出违规操作数据库的行为，并对违规行为进行记录、报警和实时阻断。根据信息安全系统的要求，需要对内网中的主机等核心业务数据库进行审计监控监测。（3）在线备份技术将用户数据自动通过互联网备份到远程数据中心，相对于本机备份和其他储存介质备份方式，在线备份具自动、安全、便捷的特点，安全性是在线备份的最突出特点。将数据备份在专业的数据中心就象将贵重物品存放在银行保险箱中一样，用户不必担心由于硬件丢失、损坏或误操作等情况造成的数据丢失，物理安全设计物理安全涉及到与保护信息系统和敏感信息的实体有关的威胁缺陷和防范措施。这些资源包括人员、数据、设备、支持系统、介质和所需的供给品。物理安全的控制措施主要包括安全设施的选择和建设、设施安全管理、人员管理控制。按照国家相关标准，机房的安全等级分为A、B、C三类，具体如下。A类：对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。该类机房防止需要最高安全性和可靠性的系统和设备。B类：对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。他的安全性介于A类和C类之间。C类：对计算机机房的安全有基本的要求，有基本的要求，有基本的计算机机房安全措施。该类机房存放只需最低限度的安全性和可靠性的一般性系统。根据以上标准，本级建设及配套工程设计含下列内容：（1）电气工程电气工程包括：机房配电系统、UPS电源系统和照明系统。（2）空调及新风系统选用机房专用恒温恒湿空调，以保证机房的温湿度满足设备安全可靠高效运行的要求，机房所配的新风能够满足工作人员和风量补充的要求。（3）综合布线系统在机房内建立一个方便、通畅的信息传输系统，保证信息系统的运行，保证机房与外界的联通。数据及应用安全设计身份认证与授权管理系统设计1、访问控制和授权管理通过用户身份认证系统对用户的身份进行确认之后，即可对用户的访问请求根据系统运行环境和访问控制策略进行授权，以确定用户对他人资源、网络资源和信息资源的访问权限。实施有效的访问授权的基础是系统访问授权规则的制定，这需要结合安全管理体系对全网内部工作流程和安全职责划分进行调研。（1）信息内容控制管理员与一般用户的权限各类业务的子系统管理员，即二级管理员，负责对本子系统不同信息分类进行具体授权，包括默认权限与分类权限，达到确保与纸质文件完全相同的权限控制。一般用户只享有系统指定自己所默认拥有的涉密信息访问权限，或对自己产生的信息确定授权范围，或拥有他人授权自己查询的信息访问权限。（2）系统维护部门掌握所有操作系统、数据库和应用程序系统维护部门就是系统的技术支撑部门，负责系统的安装、维护，负责软、硬件设备（服务器、网络、客户端和各类应用程序）的正常运转和数据的安全备份、检查。在具体的实施过程中，需要以下两个方面来进行授权和控制。（1）授权管理中心在信息系统中设立专门的授权管理中心，以访问授权服务的方式向有关的应用系统提供访问请求的授权。在这种模式下，应用系统将用户发出的访问请求通过可信信道转到授权管理中心，由授权管理中心根据统一的访问授权策略进行授权，然后将授权结果返回给应用系统。这种方式能较好地实现内部安全策略的一致性，但需要对应用系统的访问授权接口进行改造，同时对授权服务的交互过程也需要采用多种方式的安全保护以确保授权过程的可靠性。同时，对访问授权过程中发现的安全漏洞或隐患也能通过比较一致的方法进行分析，比较容易发现安全策略中存在的问题。（2）访问控制系统在完成内部用户身份认证的基础上，访问控制系统还通过授权管理中心对全网范围内的访问授权实施统一的管理。授权管理中心负责根据管理员统一设置的全网安全管理策略为内网的各关键设备或应用系统制定相应的访问授权规则，然后直接将访问授权规则注入目标系统或向目标系统提供访问授权服务。为实现上述功能，授权管理中心的功能将包括：（1）全局安全策略的设置：提供图形化的界面帮助管理员设置和维护整个网络与信息安全系统的安全管理策略。（2）内网逻辑视图管理：向管理员提供对整个内部网络系统逻辑视图的管理功能，描述每个被管对象的属性（含授权规则的映射关系）。（3）授权规则的转化：将全局的访问授权规则依次转化为每个被管系统的访问授权规则。（4）授权规则的注入：向被管系统注入转化后的访问授权规则，此功能适用于自行完成访问授权操作的目标系统。（5）访问授权服务：向自身不提供访问授权功能的目标系统提供访问授权服务。数据库安全的机制1、对数据库系统所管理的数据和资源提供安全保护，一般包括以下几点：物理完整性，即数据能够免于物理方面破坏的问题，如掉电、火灾等；逻辑完整性，能够保持数据库的结构，如对一个字段的修改不至于影响其它字段；元素完整性，包括在每个元素中的数据是准确的；数据的加密；用户鉴别，确保每个用户被正确识别，避免非法用户入侵；可获得性，指用户一般可访问数据库和所有授权访问的数据；可审计性，能够追踪到谁访问过数据库。2、实现对数据库的安全保护措施：事前防范：数据库权限管理；事发检测、预警：数据库安全监测；事后恢复：数据库备份。数据备份与恢复体系设计在以信息为基础的商业时代，对大多数企业来说，保持计算机关键数据和应用系统始终处于正常运行状态，这是最起码的要求了。但是，无论我们如何小心翼翼，一场灾难的降临还是可能使企业数据毁于一旦。供电故障、地震、火灾、洪水、冰雹、雷电、飓风等，都可能导致企业信息系统的瘫痪。所以，在信息网络安全系统中必须制定适当的灾难备份及恢复措施，来保障企业各种重要数据的安全。1、数据存在严重的安全隐患目前在信息系统内部导致数据失效有很多原因，主要包括： 自然灾害，如：地震、火灾、雷电、洪水、飓风等； 犯罪，如：盗窃、故意破坏、病毒等； 硬件故障，如：硬盘划伤等； 软件故障，如：系统软件出错等； 人为因素，如：误操作、误删除等；但随着企业计算机规模的扩大，数据量几何级的增长以及分布式网络环境的兴起，企业将越来越多的业务分布在不同的机器、不同的操作平台上，这种单机的人工冷备份方式越来越不适应当今分布式网络环境，存在以下种种弊端：(1)数据管理工作难以形成制度化，数据丢失现象难以避免；(2)数据分散在不同的机器、不同的应用上，管理分散，安全性得不到保障；(3)难以实现数据库数据的高效在线备份；(4)运行着的系统使得维护人员寸步难