北京數(shù)字檔案館（電子文件中心）網(wǎng)絡(luò)系統(tǒng)建設(shè)概述

劉宗淵

網(wǎng)絡(luò)系統(tǒng)是北京數(shù)字檔案館（電子文件中心）的重要組成部分和基礎(chǔ)環(huán)節(jié)，安全穩(wěn)定的網(wǎng)絡(luò)系統(tǒng)為用戶訪問北京數(shù)字檔案館（電子文件中心）的資源提供良好的鏈接通道和安全穩(wěn)定運行的平臺支撐，為檔案數(shù)字資源的交互、傳輸提供服務(wù)保障。

一、建設(shè)目標(biāo)

北京數(shù)字檔案館（電子文件中心）網(wǎng)絡(luò)構(gòu)建三個服務(wù)平臺，分別提供相應(yīng)層級數(shù)字檔案信息資源利用共享服務(wù)。一是面向檔案館工作人員和來館利用檔案人員內(nèi)部局域網(wǎng)（專網(wǎng)）利用服務(wù)平臺；二是面向本級黨政機關(guān)各立檔單位的政務(wù)外網(wǎng)電子文件歸檔和檔案信息共享平臺；三是面向廣大社會公眾和進行館際交流的互聯(lián)網(wǎng)公共檔案信息服務(wù)平臺。

二、建設(shè)原則

北京數(shù)字檔案館（電子文件中心）網(wǎng)絡(luò)系統(tǒng)的建設(shè)遵循統(tǒng)一規(guī)劃、統(tǒng)一實施的指導(dǎo)思想，既滿足當(dāng)前需求，又充分考慮將來整個網(wǎng)絡(luò)系統(tǒng)的投資保護和新應(yīng)用的支持。設(shè)計及實施充分遵循采用標(biāo)準(zhǔn)、開放的網(wǎng)絡(luò)技術(shù)，網(wǎng)絡(luò)具有可擴充性、可管理性、高可靠性、前瞻性的原則。

三、功能設(shè)計

（一）VLAN規(guī)劃

北京數(shù)字檔案館（電子文件中心）網(wǎng)絡(luò)借助VLAN技術(shù)，結(jié)合局館處室職能及業(yè)務(wù)需求，進行子網(wǎng)劃分，隔絕廣播風(fēng)暴，保證網(wǎng)絡(luò)安全。其中互聯(lián)網(wǎng)部分劃分為13個VLAN，政務(wù)外網(wǎng)部分劃分為12個VLAN，內(nèi)部局域網(wǎng)（專網(wǎng)）劃為11個VLAN。

（二）IP地址規(guī)劃

IP地址的合理分配是保證網(wǎng)絡(luò)順利運行和網(wǎng)絡(luò)資源有效利用的關(guān)鍵。為了規(guī)范IP地址，減少路由表，網(wǎng)絡(luò)系統(tǒng)的編址方案利用無類別域間路由選擇（CIDR）和可變長子網(wǎng)掩碼技術(shù)，結(jié)合北京數(shù)字檔案館（電子文件中心）各業(yè)務(wù)系統(tǒng)使用情況及局館處室職能對網(wǎng)絡(luò)IP地址段進行規(guī)劃分配，提高網(wǎng)絡(luò)性能，方便管理。

其中互聯(lián)網(wǎng)劃為5個網(wǎng)段，分別為館址各處室辦公網(wǎng)段（192.151.32.1- 254），數(shù)據(jù)處理/利用處網(wǎng)段（192.151.33.1-254），館址領(lǐng)導(dǎo)辦公/服務(wù)器管理網(wǎng)段（192.151.34.1- 254），局址領(lǐng)導(dǎo)辦公/保留網(wǎng)段（192.144.216.1- 254），局址各處室辦公網(wǎng)段（192.144.217.1-254）；政務(wù)外網(wǎng)6個網(wǎng)段，分別為館址各處室辦公網(wǎng)段（10.151.32.1-254），數(shù)據(jù)處理/利用處網(wǎng)段（10.151.33.1-254），館址領(lǐng)導(dǎo)辦公/服務(wù)器管理網(wǎng)段（10.151.34.1-254），保留網(wǎng)段（10.151.35.1-254），局址領(lǐng)導(dǎo)辦公/保留網(wǎng)段（10.144.216.1-254），局址各處室辦公網(wǎng)段（10.144.217.1-254）；內(nèi)部局域網(wǎng)（專網(wǎng)）11個網(wǎng)段，分別為數(shù)字化加工處理網(wǎng)段（192.168.30.1-254）、檔案查詢處理網(wǎng)段（192.168.31.1-254）、調(diào)歸卷處理網(wǎng)段（192.168.32.1- 254）、整編處辦公網(wǎng)段（192.168.33.1-254）、網(wǎng)管處辦公網(wǎng)段（192.168.34.1-254）、服務(wù)器管理網(wǎng)段（192.168.35.1-254）、預(yù)留網(wǎng)段（192.168.36.1-254）、（192.168.11.1-254），安全處理網(wǎng)段（192.168.40.1- 254），備用管理網(wǎng)段（192.168.216.1-254）、服務(wù)器管理網(wǎng)段（192.168.1.1-254）。

（三）QoS設(shè)計

網(wǎng)絡(luò)系統(tǒng)設(shè)計統(tǒng)一采用IP Precedence優(yōu)先權(quán)技術(shù)，劃分優(yōu)先級，根據(jù)數(shù)據(jù)包的優(yōu)先權(quán)值，通過擁塞管理機制和隊列機制對各個優(yōu)先級分別提供不同級別的QoS服務(wù)。每種應(yīng)用根據(jù)其自身應(yīng)用特點，被分配至相應(yīng)的優(yōu)先級別。

實施QoS的根本目的是確保網(wǎng)絡(luò)信息能夠及時獲得所需要的網(wǎng)絡(luò)帶寬，并在此基礎(chǔ)上完成管理信息的傳送。針對網(wǎng)絡(luò)信息流量的內(nèi)容及特點，制定如下QoS策略：

1.關(guān)鍵業(yè)務(wù)數(shù)據(jù)如數(shù)據(jù)處理域、辦公域數(shù)據(jù)要給予最高優(yōu)先級保證，在任何情況下都要確保業(yè)務(wù)數(shù)據(jù)及時可靠地傳送；

2.保證應(yīng)用服務(wù)器的正常使用，如應(yīng)用服務(wù)域各項應(yīng)用，不但不允許數(shù)據(jù)丟失，同時對延時的要求也非常高，將其定義為次高優(yōu)先級；

3.一般性應(yīng)用屬于非業(yè)務(wù)的數(shù)據(jù)流量，其數(shù)據(jù)包最長，對延時并不敏感，但是不允許數(shù)據(jù)丟失，在保證前述業(yè)務(wù)流量的前提下，同時保證此類業(yè)務(wù)的正常通過，因此將其定義為普通優(yōu)先級；

4.所有未定義的流量則被置為最低優(yōu)先級；

5.另外，QoS設(shè)計將具有審批權(quán)限的人員的IP優(yōu)先級置高，保證具有審批權(quán)限人員的帶寬需求。

四、網(wǎng)絡(luò)設(shè)計

整個網(wǎng)絡(luò)系統(tǒng)分為互聯(lián)網(wǎng)、政務(wù)外網(wǎng)和內(nèi)部局域網(wǎng)（專網(wǎng)），其中內(nèi)部局域網(wǎng)（專網(wǎng)）與政務(wù)外網(wǎng)、互聯(lián)網(wǎng)物理隔離，政務(wù)外網(wǎng)與互聯(lián)網(wǎng)邏輯隔離，市館與區(qū)檔案館之間通過VPN技術(shù)連接實現(xiàn)互訪。政務(wù)外網(wǎng)核心層按照萬兆、檔案業(yè)務(wù)專網(wǎng)核心層按照千兆設(shè)計。

（一）政務(wù)外網(wǎng)與互聯(lián)網(wǎng)

政務(wù)外網(wǎng)采用兩層結(jié)構(gòu)設(shè)計，即核心層和接入層。核心層部署2臺萬兆以太網(wǎng)交換機采用雙機熱備方式實現(xiàn)設(shè)備冗余，并通過配置負載均衡協(xié)議和動態(tài)路由協(xié)議實現(xiàn)交換機之間的鏈路冗余及流量分擔(dān)。為保證網(wǎng)絡(luò)安全，在核心層部署漏洞掃描系統(tǒng)、入侵檢測系統(tǒng)、網(wǎng)絡(luò)審計系統(tǒng)，做到安全隱患及時發(fā)現(xiàn)，危險行為及時終止，非法操作詳細記錄。接入層部署以太網(wǎng)交換機分別連接北京數(shù)字檔案館（電子文件中心）不同業(yè)務(wù)域。按照業(yè)務(wù)域的不同功能要求配置不同策略。在DMZ域和政務(wù)外網(wǎng)公共服務(wù)域的網(wǎng)絡(luò)出口各部署應(yīng)用負載均衡器實現(xiàn)負載均衡；在數(shù)據(jù)庫處理域前部署數(shù)據(jù)庫審計系統(tǒng)，確保系統(tǒng)的數(shù)據(jù)安全，同時滿足等保3級要求。

使用具有路由功能的交換機接入互聯(lián)網(wǎng)，為了保證鏈路的可用性，儲備一臺具有路由功能的交換機作為冷備設(shè)備。部署防病毒網(wǎng)關(guān)，上網(wǎng)行為管理、流量控制器和網(wǎng)絡(luò)入侵防護系統(tǒng)NIPS，滿足網(wǎng)絡(luò)流量管理和安全保障的需求。（政務(wù)外網(wǎng)及互聯(lián)網(wǎng)拓撲圖如圖1所示）

（二）內(nèi)部局域網(wǎng)（專網(wǎng)）

內(nèi)部局域網(wǎng)（專網(wǎng)）也采用兩層架構(gòu)，即核心交換層、接入層。核心層部署2臺千兆以太網(wǎng)交換機采用雙機熱備方式實現(xiàn)設(shè)備冗余，并通過配置負載均衡協(xié)議和動態(tài)路由協(xié)議實現(xiàn)交換機之間的鏈路冗余及流量分擔(dān)，配置2個萬兆接口分別下聯(lián)至接入層的各域，提供核心層的高速交換轉(zhuǎn)發(fā)。內(nèi)部局域網(wǎng)（專網(wǎng)）與外界網(wǎng)絡(luò)物理隔離，在核心交換機的旁路部署漏洞掃描和網(wǎng)絡(luò)審計設(shè)備，及時發(fā)現(xiàn)整個網(wǎng)絡(luò)系統(tǒng)的問題，滿足網(wǎng)絡(luò)對安全的需求。接入層交換機分別部署在應(yīng)用服務(wù)域、數(shù)據(jù)處理域、安全服務(wù)域、系統(tǒng)測試域和利用大廳域。在應(yīng)用服務(wù)域的網(wǎng)絡(luò)出口部署應(yīng)用負載均衡器設(shè)備實現(xiàn)對應(yīng)用負載的冗余及流量分擔(dān)；在安全服務(wù)域、應(yīng)用服務(wù)域、數(shù)據(jù)處理域、系統(tǒng)測試域配置防火墻實現(xiàn)對內(nèi)部網(wǎng)絡(luò)的保護。（內(nèi)部局域網(wǎng)拓撲圖如圖2所示）

（三）市館與區(qū)館網(wǎng)絡(luò)連接

為實現(xiàn)市區(qū)兩級檔案館資源共享，跨館出證等業(yè)務(wù)，采用VPN技術(shù)實現(xiàn)市區(qū)檔案館網(wǎng)絡(luò)連通。在市館政務(wù)外網(wǎng)邊界路由器旁路部署一臺VPN防火墻，區(qū)檔案館通過撥號方式經(jīng)由市電子政務(wù)外網(wǎng)實現(xiàn)到市檔案館連接。

五、結(jié)語

隨著檔案信息化的不斷發(fā)展，檔案業(yè)務(wù)對網(wǎng)絡(luò)性能及安全提出了更高要求，北京數(shù)字檔案館（電子文件中心）的網(wǎng)絡(luò)建設(shè)還須從以下兩個方面繼續(xù)推進。

（一）內(nèi)部局域網(wǎng)（專網(wǎng)）接入北京市電子政務(wù)內(nèi)網(wǎng)

北京數(shù)字檔案館（電子文件中心）已經(jīng)在政務(wù)外網(wǎng)和因特網(wǎng)上部署，但是出于安全原因，大量內(nèi)部、敏感檔案數(shù)據(jù)依然保存在內(nèi)部局域網(wǎng)（專網(wǎng)），形成現(xiàn)實的網(wǎng)絡(luò)信息孤島狀況。在下一階段工作中，我們要盡快制定出接入北京市電子政務(wù)內(nèi)網(wǎng)的方案，消除網(wǎng)絡(luò)信息孤島，進一步擴大北京數(shù)字檔案館（電子文件中心）服務(wù)范圍和覆蓋面。

（二）加強北京數(shù)字檔案館（電子文件中心）網(wǎng)絡(luò)系統(tǒng)的管理，做到建管并重

制定北京數(shù)字檔案館（電子文件中心）網(wǎng)絡(luò)安全運維的各類規(guī)章制度，做到以技術(shù)保管理，以制度促管理，堅持建管并重，確保數(shù)字檔案館整體系統(tǒng)安全穩(wěn)定，讓數(shù)字檔案館系統(tǒng)更好的服務(wù)民生，服務(wù)部門工作，服務(wù)領(lǐng)導(dǎo)決策。