淺析省級氣象信息大樓網(wǎng)絡(luò)系統(tǒng)設(shè)計與實現(xiàn)

熊雄 李顯風(fēng) 李志鵬 鄧衛(wèi)華 江西省氣象信息中心 南昌 330046

0、引言

近年來，信息網(wǎng)絡(luò)已經(jīng)遍布和滲透在全省氣象現(xiàn)代化體系的各個領(lǐng)域、各個層面和各個環(huán)節(jié)，氣象信息網(wǎng)絡(luò)系統(tǒng)是現(xiàn)代氣象業(yè)務(wù)體系的重要基礎(chǔ)支撐，是現(xiàn)代氣象業(yè)務(wù)的中樞和紐帶。作為全面實現(xiàn)全省氣象現(xiàn)代化的標(biāo)志之一，氣象信息網(wǎng)絡(luò)的基礎(chǔ)支撐作用的重要性更為凸顯，當(dāng)前江西省氣象部門正在緊鑼密鼓地開展省防災(zāi)減災(zāi)科技中心新大樓各相關(guān)業(yè)務(wù)系統(tǒng)的設(shè)計和建設(shè)，筆者通過對新大樓網(wǎng)絡(luò)系統(tǒng)方案設(shè)計中采取的一些總體思路進行總結(jié)，探討在系統(tǒng)設(shè)計中的相關(guān)設(shè)計理念和方法。

1、設(shè)計原則

1.1 架構(gòu)通用性、預(yù)見性和可擴充性

省級氣象信息大樓網(wǎng)絡(luò)系統(tǒng)設(shè)計的一個最重要的基本原則就是規(guī)劃時系統(tǒng)架構(gòu)需滿足現(xiàn)代氣象業(yè)務(wù)可持續(xù)發(fā)展需求，設(shè)計必須具備一定的架構(gòu)通用性和前瞻性，對于可預(yù)見的發(fā)展趨勢，網(wǎng)絡(luò)架構(gòu)必須從當(dāng)前設(shè)計中給予充分考慮，并提供無須進行大的改變而能適應(yīng)未來5-10年網(wǎng)絡(luò)升級的通用架構(gòu)，最大限度保護投資，獲得總投資成本優(yōu)勢。

目前，網(wǎng)絡(luò)向多平臺、多協(xié)議、異構(gòu)型網(wǎng)絡(luò)共存方向發(fā)展，其目標(biāo)是將不同操作系統(tǒng)的終端、不同網(wǎng)絡(luò)類型連成一個可協(xié)同工作的網(wǎng)絡(luò)系統(tǒng)整體，所以大樓網(wǎng)絡(luò)系統(tǒng)設(shè)計所選網(wǎng)絡(luò)設(shè)備的通信協(xié)議要符合國際標(biāo)準(zhǔn)，而并不是一味追求高配置、高速率，在保證網(wǎng)絡(luò)先進性的同時，選擇具有良好擴展性和升級能力的網(wǎng)絡(luò)設(shè)備，為今后系統(tǒng)的繼續(xù)升級、擴展打下良好的基礎(chǔ)。所以需考慮以下幾點：

1.1.1、選用具有良好開放性的網(wǎng)絡(luò)協(xié)議和平臺，易于今后的擴充和升級。

1.1.2、系統(tǒng)采用結(jié)構(gòu)化布線，并在匯聚/接入層分別利用三層/二層交換機組網(wǎng)，可方便地通過端口級聯(lián)、插板擴充以及設(shè)備堆疊等方式滿足網(wǎng)絡(luò)系統(tǒng)內(nèi)部信息點的增加，并今后還可根據(jù)氣象業(yè)務(wù)發(fā)展需要，通過更換高配置的交換機來繼續(xù)提高網(wǎng)絡(luò)的傳輸速率。

1.1.3、針對新大樓網(wǎng)絡(luò)系統(tǒng)信息流的特點，網(wǎng)絡(luò)拓?fù)湓O(shè)計可采用樹型結(jié)構(gòu)，交換機的速率和其他性能總體上由高到低，方便今后高一級的設(shè)備被更高性能設(shè)備取代后，此設(shè)備可降級使用，方便利用已有設(shè)備資源。

1.1.4、通過網(wǎng)絡(luò)管理、漏洞掃描、補丁分發(fā)等各種系統(tǒng)管理軟件，可實現(xiàn)從內(nèi)網(wǎng)中某一點對全網(wǎng)的網(wǎng)絡(luò)軟件、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及信息服務(wù)軟件的更新和升級。

1.2、安全性、可靠性和穩(wěn)定性

整個網(wǎng)絡(luò)系統(tǒng)必須具有高安全性和一定程度的冗余。由于目前大多數(shù)省級氣象信息網(wǎng)絡(luò)仍是以邏輯隔離為主，物理隔離為輔，新大樓網(wǎng)絡(luò)系統(tǒng)與互聯(lián)網(wǎng)之間仍會進行數(shù)據(jù)交換，所以，建立高可靠、雙核心、雙路由的省級核心網(wǎng)絡(luò)安全及信息安全防范體系就顯得尤為關(guān)鍵。

1.3、可維護性和可管理性

省級氣象信息新大樓網(wǎng)絡(luò)系統(tǒng)是一個龐大而復(fù)雜的系統(tǒng)，其建成后的網(wǎng)絡(luò)維護和管理十分關(guān)鍵，直接關(guān)系到整個網(wǎng)絡(luò)能否穩(wěn)定而可靠的運行。在網(wǎng)絡(luò)架構(gòu)設(shè)計時除需采用統(tǒng)一、成熟、可靠的建網(wǎng)模式，在繪制結(jié)構(gòu)清晰的網(wǎng)絡(luò)拓?fù)鋱D之外，還需建立和規(guī)范全網(wǎng)的運行管理系統(tǒng)，實現(xiàn)網(wǎng)絡(luò)資源的統(tǒng)一監(jiān)控、管理和調(diào)度，為網(wǎng)絡(luò)高效運行管理提供分析和決策依據(jù)。

1.4、設(shè)備兼容利舊性

在新大樓網(wǎng)絡(luò)系統(tǒng)設(shè)計中，需要考慮到對現(xiàn)有業(yè)務(wù)系統(tǒng)的兼容性，兼顧新舊系統(tǒng)的升級過渡，并充分利用原有系統(tǒng)的成功經(jīng)驗，確保業(yè)務(wù)的穩(wěn)定運行；對老大樓網(wǎng)絡(luò)系統(tǒng)中購置年代較新、設(shè)備性能較好的核心設(shè)備可采取在新大樓中降級使用的合理利舊策略，以最大可能節(jié)省項目投資。

2、網(wǎng)絡(luò)架構(gòu)布局設(shè)計

通過對省局各業(yè)務(wù)應(yīng)用單位和機關(guān)處室的廣泛調(diào)研，逐一分析各單位網(wǎng)絡(luò)應(yīng)用需求，本著務(wù)實、節(jié)約、高效原則，筆者對新大樓網(wǎng)絡(luò)系統(tǒng)的整體規(guī)劃采取的總體設(shè)計策略是：高可靠的設(shè)計思想融合在結(jié)構(gòu)設(shè)計、路由設(shè)計、應(yīng)用服務(wù)設(shè)計的各個層面；針對業(yè)務(wù)網(wǎng)絡(luò)應(yīng)用需求實施全模塊劃分若干功能區(qū)設(shè)計；依照各區(qū)域特點對整網(wǎng)劃分成三層或二層體系結(jié)構(gòu)。

2.1、網(wǎng)絡(luò)分區(qū)設(shè)計

省級氣象信息大樓網(wǎng)絡(luò)系統(tǒng)應(yīng)合理劃分網(wǎng)絡(luò)區(qū)域，明確各分區(qū)邊界防護，有利于故障排查和系統(tǒng)維護。一般來說，根據(jù)不同的省級氣象業(yè)務(wù)應(yīng)用需求劃分為以下主要功能區(qū)：基礎(chǔ)業(yè)務(wù)區(qū)、數(shù)據(jù)中心區(qū)、辦公接入?yún)^(qū)、網(wǎng)絡(luò)運維區(qū)、外聯(lián)接入?yún)^(qū)、廣域網(wǎng)接入?yún)^(qū)（又稱寬帶網(wǎng)接入?yún)^(qū)）、互聯(lián)網(wǎng)接入?yún)^(qū)和視頻會議中心，這其中有些功能區(qū)又可根據(jù)實際情況和經(jīng)費條件進行合理的邏輯合并。如圖1所示。

圖1 省級氣象信息大樓網(wǎng)絡(luò)系統(tǒng)分區(qū)設(shè)計結(jié)構(gòu)圖

2.2、網(wǎng)絡(luò)分層設(shè)計

系統(tǒng)設(shè)計中需對省級新大樓網(wǎng)絡(luò)系統(tǒng)平臺層次結(jié)構(gòu)劃分出清晰的核心層、匯聚層、接入層三層結(jié)構(gòu)（在特殊區(qū)域，匯聚和接入層可扁平化設(shè)計），才能保證網(wǎng)絡(luò)的穩(wěn)定性、健壯性和可擴展性，以適應(yīng)氣象業(yè)務(wù)的不斷發(fā)展。如圖2所示。

圖2 省級新大樓信息網(wǎng)絡(luò)系統(tǒng)分層設(shè)計結(jié)構(gòu)圖

2.2.1 核心層

核心層構(gòu)成了整個省級數(shù)據(jù)高速交換的核心，為各個功能分區(qū)提供高可靠、高穩(wěn)定和支持快速愈合的第三層接入服務(wù)。省級氣象的業(yè)務(wù)應(yīng)用特點決定了網(wǎng)絡(luò)核心層設(shè)計在具備大業(yè)務(wù)流量承載能力的同時，還需具有高可靠性和必要的冗余度。為保證網(wǎng)絡(luò)的可靠性，核心層應(yīng)采用兩臺具備萬兆業(yè)務(wù)流量承載能力的支持多架構(gòu)和核心部件冗余的高端框式三層交換機。

2.2.2 匯聚層

匯聚層既是省級局域網(wǎng)各功能分區(qū)的交換核心，又提供各分區(qū)內(nèi)部接入層的匯聚，作為各分區(qū)對外連接點，集中實現(xiàn)接入控制和安全控制。每個網(wǎng)絡(luò)功能區(qū)域相對應(yīng)一個匯聚層區(qū)域，根據(jù)每個匯聚層區(qū)域業(yè)務(wù)重要程度，可以采用一臺或兩臺匯聚層交換機。省級局域網(wǎng)根據(jù)每個網(wǎng)絡(luò)功能區(qū)域劃分出相對獨立的匯聚層區(qū)域，根據(jù)所承載業(yè)務(wù)的重要程度和規(guī)模大小，匯聚層內(nèi)部區(qū)域可獨立設(shè)計自己的結(jié)構(gòu)，將匯聚、接入層分開，也可采用扁平化結(jié)構(gòu)設(shè)計將此兩個區(qū)域合并。

2.2.3 接入層

接入層位于各網(wǎng)絡(luò)分區(qū)主機和服務(wù)器的接入點，具有高密度的接入能力，支持基于主機端口的訪問控制，并針對接入的數(shù)據(jù)流進行標(biāo)記工作，便于傳輸過程中逐級實現(xiàn)針對流量的QoS控制策略。省級氣象信息大樓網(wǎng)絡(luò)系統(tǒng)的接入類型分為無線接入、有線接入和基于互聯(lián)網(wǎng)的VPN撥號接入。有線接入可實現(xiàn)局域網(wǎng)內(nèi)的IP與MAC綁定，有效防止局域網(wǎng)內(nèi)的ARP攻擊；無線接入則可通過無線控制器的用戶認(rèn)證、傳輸加密、安全策略控制等多種方式提高局域網(wǎng)內(nèi)無線用戶接入的安全性（新大樓應(yīng)要求只能采用無線瘦AP進行統(tǒng)一管理）；VPN撥號接入可通過SSL VPN接入設(shè)備劃分用戶區(qū)域，根據(jù)用戶名和密碼的不同分級別提供訪問不同內(nèi)網(wǎng)資源的權(quán)限。

此外，在最常見的48口和24口接入交換機的選擇時，筆者認(rèn)為如在數(shù)據(jù)量相對較小的辦公接入?yún)^(qū)，可選用密度更高的48口全千兆接入交換機，以節(jié)約IDF設(shè)備間網(wǎng)絡(luò)機柜的空間和接入設(shè)備的購置經(jīng)費；但作為可能存在較大量數(shù)據(jù)交換的業(yè)務(wù)接入?yún)^(qū)，接入設(shè)備則建議采用24口全千兆接入交換機，以有效減少接入交換機的上行口瓶頸和減少單設(shè)備突發(fā)故障時的業(yè)務(wù)影響面。

2.3、網(wǎng)絡(luò)物理設(shè)備部署

省級新大樓網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備應(yīng)該總體上按照網(wǎng)絡(luò)設(shè)備和應(yīng)用主機之間就近接入的原則。由于性價比最高的雙絞線只有100M以內(nèi)有效傳輸距離的限制，如需盡可能多采用此線纜進行網(wǎng)絡(luò)接入連接，則離大樓主機房較遠的終端信息點，最佳連接方式是通過最近的樓層IDF間接入到網(wǎng)絡(luò)當(dāng)中。為了提高IDF間接入設(shè)備的利用率，可以考慮2-3個樓層配置一個IDF間，在重要的區(qū)域還可采用雙匯聚、雙鏈路上行的部署方式。骨干核心交換機必須放置在安裝了精密空調(diào)的主機房，并盡量放置在不同的機柜中，保證核心交換設(shè)備電源通過不同路的市電線路接入，為保證后期維護管理的便捷，兩個機柜不應(yīng)距離太遠，最佳方法是并排部署，也方便后期核心交換設(shè)備通過多模光纖線實現(xiàn)虛擬化部署。

3、網(wǎng)絡(luò)布線系統(tǒng)設(shè)計

新大樓網(wǎng)絡(luò)布線系統(tǒng)是氣象智能化樓宇建設(shè)數(shù)字化信息系統(tǒng)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施，連接線纜作為傳輸信息的介質(zhì)，材料的合理選擇既決定了大樓內(nèi)部氣象信息傳輸?shù)男?，又一定程度上影響了新大樓網(wǎng)絡(luò)系統(tǒng)建設(shè)的資金投入。

在綜合系統(tǒng)布線中，雙絞線的單位部署成本最低、但傳輸距離近（≦100M）；多模光纖部署成本和傳輸距離（≦500M）中等；單模光纖部署成本高、傳輸距離遠（≦10KM）。網(wǎng)絡(luò)布線由于是隱蔽部署，后期改造非常困難，因此其前期規(guī)劃非常重要。按照國際布線標(biāo)準(zhǔn)ISO11801規(guī)定，布線系統(tǒng)的期望壽命至少為10年，作為一種長期的基本投資，綜合布線應(yīng)充分考慮網(wǎng)絡(luò)的潛在需求和布線系統(tǒng)的發(fā)展。在網(wǎng)絡(luò)布線系統(tǒng)中，考慮到水平布線距離相對較近，走向復(fù)雜，且光纖方式成本高，氣象部門也無使用屏蔽線纜（屏蔽雙絞線費用遠高于同速率的非屏蔽雙絞線）的明確要求，因此同一樓層內(nèi)部的水平布線可采用性價比較高的六類非屏蔽雙絞線；在新大樓樓層間由于傳輸距離稍遠，因此干線（垂直）布線采用價格適中的多模光纖線連接；而在園區(qū)網(wǎng)的樓宇間由于相隔距離較遠，則需采用傳輸性能最佳的單模光纖線進行連接。結(jié)合當(dāng)前省級氣象信息新大樓“萬兆核心、萬兆匯聚、接入千兆”的網(wǎng)絡(luò)帶寬普遍要求，垂直子系統(tǒng)和樓宇子系統(tǒng)應(yīng)采用萬兆連接。

此外，由于氣象業(yè)務(wù)應(yīng)用的特點，核心交換機和數(shù)據(jù)中心交換機之間還可采用多鏈路捆綁的方式，提高鏈路可靠性的同時，還增加了鏈路的帶寬。

4、網(wǎng)絡(luò)安全設(shè)計

省級新大樓網(wǎng)絡(luò)安全系統(tǒng)的設(shè)計應(yīng)當(dāng)從“網(wǎng)絡(luò)基礎(chǔ)設(shè)施保護”和“區(qū)域邊界保護”兩方面考慮，前者主要是交換機和路由器，無線AP點和無線控制器等物理設(shè)備的部署和安全策略的設(shè)定，后者則是防火墻、入侵防御、流量控制、VPN等安全控制設(shè)備的架設(shè)和配套使用。

省級新大樓網(wǎng)絡(luò)系統(tǒng)的安全設(shè)計分為兩個層次：設(shè)備級安全和網(wǎng)絡(luò)級安全。

設(shè)備級安全是指省級局域網(wǎng)中的網(wǎng)絡(luò)專用設(shè)備及相關(guān)輔助設(shè)備必須采用經(jīng)過公安部、工信部等權(quán)威部門認(rèn)證的設(shè)備。網(wǎng)絡(luò)級安全則通過網(wǎng)絡(luò)基礎(chǔ)設(shè)施在提供連通性服務(wù)的基礎(chǔ)上所增值的安全服務(wù)，在網(wǎng)絡(luò)平臺上直接實現(xiàn)這些安全功能比采用獨立的物理主機實現(xiàn)具有更為強的靈活性、更好的性能和更方便的管理，設(shè)計應(yīng)包括：進行網(wǎng)絡(luò)設(shè)備和用戶接入認(rèn)證、授權(quán)和審計，以防止非法的接入；進行傳輸加密，以防止信息的泄漏和窺測；進行安全劃分和隔離，以防止非授權(quán)的訪問等。

由于安全設(shè)備是串行在重要的網(wǎng)絡(luò)設(shè)備之間，目前眾多的安全設(shè)備不具備故障繞開技術(shù)（Bypass功能），如果網(wǎng)絡(luò)數(shù)據(jù)通信設(shè)備采用了雙設(shè)備的方式，安全也應(yīng)當(dāng)考慮設(shè)備冗余部署，避免網(wǎng)絡(luò)中出現(xiàn)單點故障；此外，在考慮設(shè)備可靠性的同時，還應(yīng)當(dāng)充分考慮安全設(shè)備的接口和性能問題，避免出現(xiàn)數(shù)據(jù)傳輸?shù)钠款i，因此串行部署的安全設(shè)備還要考慮接口帶寬和吞吐量性能等因素。例如：對數(shù)據(jù)中心區(qū)邊界區(qū)則必須高性能雙臺萬兆防火墻冗余部署，并且采用虛擬化冗余的網(wǎng)絡(luò)設(shè)備必須采用同一品牌。當(dāng)然，并不建議所有不同類別的安全產(chǎn)品全部采用同一品牌，因為底層技術(shù)都一樣(通常同一廠商的安全產(chǎn)品操作系統(tǒng)是一樣的，開發(fā)平臺是一樣的)，如果黑客攻破了某一類產(chǎn)品，那么同一品牌的其他類產(chǎn)品也很容易失去防護。另外所有安全設(shè)備需要提供日志輸出功能，便于安全管理設(shè)備集中采集日志，進行統(tǒng)一存儲、分析，以及安全事件報警。

5、網(wǎng)絡(luò)管理設(shè)計

考慮到省級氣象部門大樓網(wǎng)絡(luò)系統(tǒng)建設(shè)經(jīng)費一次性投入有限，省級新大樓信息網(wǎng)絡(luò)系統(tǒng)的建設(shè)可以在加強網(wǎng)絡(luò)平臺綜合管理水平的基礎(chǔ)上，采取分階段、有步驟地逐漸搭建一個覆蓋省級氣象信息大樓網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)安全監(jiān)控管理平臺，實現(xiàn)全網(wǎng)統(tǒng)一、集中監(jiān)控管理。網(wǎng)絡(luò)安全管理軟件應(yīng)能實現(xiàn)配置管理、性能管理、故障管理、安全管理和日志管理等五大功能。網(wǎng)絡(luò)管理人員可以直觀的從管理平臺看到所有被監(jiān)控系統(tǒng)的當(dāng)前運行狀態(tài)和服務(wù)狀態(tài)。

加強對網(wǎng)絡(luò)數(shù)據(jù)流的監(jiān)視，利用網(wǎng)絡(luò)設(shè)備自身的七元組數(shù)據(jù)流統(tǒng)計，進行集中的統(tǒng)計、收集和多角度的深入分析。同時，在依靠具備以上功能的商用網(wǎng)管軟件的同時，還需加強基于開源軟件的自主開發(fā)，能夠結(jié)合網(wǎng)絡(luò)層次結(jié)構(gòu)對網(wǎng)絡(luò)設(shè)備進行層次化的監(jiān)視布局，對業(yè)務(wù)系統(tǒng)依賴的底層網(wǎng)絡(luò)資源情況能夠形象和直觀地展現(xiàn)。

6、結(jié)語

筆者通過對在江西省級氣象信息新大樓網(wǎng)絡(luò)系統(tǒng)設(shè)計過程中遇到的一些問題進行總結(jié)，提出以上設(shè)計思想進行探討。目前，新大樓網(wǎng)絡(luò)系統(tǒng)的設(shè)計已經(jīng)完成，系統(tǒng)實現(xiàn)也即將展開。在今后新大樓網(wǎng)絡(luò)系統(tǒng)建成后，無論是對使用者還是網(wǎng)絡(luò)管理員而言，其管理理念也需要隨之改變、更新和完善。俗話說“三分建設(shè)、七分管理”，隨著新大樓網(wǎng)絡(luò)系統(tǒng)業(yè)務(wù)應(yīng)用的逐漸展開，相信不久，針對如何管理和安全使用新大樓網(wǎng)絡(luò)系統(tǒng)將成為下一個值得我們深入探討的問題。

［1］陳曉宇,王曉明,孫鵬.淺談廣東省氣象局網(wǎng)絡(luò)安全防護體系的部署[J].廣東氣象, 2004,(3):37-39.

［2］湯寧,汪華,易丁.貴州省氣象局大院網(wǎng)絡(luò)結(jié)構(gòu)淺析[J].貴州氣象,2005,(B12):62-64.

［3］周琰.骨干網(wǎng)絡(luò)安全防護技術(shù)探討[J].氣象科技,2006,(B09):65-68.

［4］楊曉鵬.遼寧教育電視臺網(wǎng)絡(luò)安全建設(shè)[J].廣播與電視技術(shù),2008,(4):69-72.

［5］熊雄,熊凌云,劉小剛等.江西省氣象局信息網(wǎng)絡(luò)安全探討[J].科技廣場,2010,(7):68-70.

［6］宋文文，龔文濤.基于核心冗余的核心層網(wǎng)絡(luò)架構(gòu)設(shè)計[J].信息技術(shù),2013,(1):166-169.

［7］徐勇，張軼群.電子政府網(wǎng)絡(luò)架構(gòu)設(shè)計綜合解決方案[J].數(shù)字通信,2013,40(2):76-80.