需求與挑戰

政務園區(qū)網是獨立的政務大(dà)樓、大(dà)型的政務園區(qū)內(nèi)的網絡，各級政務機構辦公網絡需求最終都是由政務園區(qū)網絡來(lái)進行(xíng)承載，此外各級政務機構的小(xiǎo)中型數(shù)據中心也是在政務園區(qū)網內(nèi)來(lái)進行(xíng)部署的。由于政府行(xíng)業的特點，政務園區(qū)網相對于普通(tōng)企業園區(qū)網存在如下的特點：

• 園區(qū)內(nèi)存在多(duō)個(gè)部委或者委辦局，各部門(mén)或者委辦局之間(jiān)的業務需要彼此隔離，縱向連接到各自部委下的上(shàng)級單位和(hé)下級單位，例如園區(qū)內(nèi)省文化廳某機關的網絡縱向需要連接到上(shàng)級文化部和(hé)下級市級的文化局；
• 高(gāo)度的網絡安全需求，政務網絡承載着涉及國計(jì)民生(shēng)的重大(dà)政務應用與重要政務信息，因此網絡的高(gāo)度安全對政務網絡來(lái)說十分重要；
• 接入終端密度大(dà)，彙聚層要求可(kě)靠性高(gāo)；
• 實行(xíng)差異化的QoS服務，保證關鍵業務的承載質量。

政務園區(qū)網絡解決方案

政務園區(qū)網絡解決方案通(tōng)過如下方案實現業務層的需求：

• VLAN、MPLS VPN技(jì)術(shù)，實現部委間(jiān)業務縱向隔離；
• CSS、iStack無環以太網組網技(jì)術(shù)，實現政務園區(qū)網絡的易擴展、高(gāo)可(kě)靠；
• 分級分業務的QoS保障，保障關鍵政務應用及關鍵業務部門(mén)的應用體(tǐ)驗；
• 全系列網絡安全設備，實現終端、內(nèi)部邊界、出口全方位立體(tǐ)安全；
• 政務園區(qū)WLAN部署方案，實現政務無線辦公及外部訪客接入。

圖1 華為政務園區(qū)網絡解決方案

VLAN、MPLS VPN技(jì)術(shù)，實現部委間(jiān)業務縱向隔離

通(tōng)過以下措施實現政務園區(qū)網內(nèi)各部委或者委辦局業務間(jiān)的隔離：

• 各委辦局各自局域網劃分VLAN；
• 各委辦局局域網上(shàng)聯到園區(qū)網彙聚交換設備，彙聚交換設備作(zuò)為各委辦局三層網關，實現VLAN與MPLS VPN路由映射；
• 園區(qū)出口處城域網PE設備完成園區(qū)數(shù)據流量的MPLS标簽标記。

圖2 VLAN+MPLS VPN實現縱向業務隔離

CSS、iStack技(jì)術(shù)實現無環以太網組網

無環以太網組網具體(tǐ)組網如下：

設備堆疊/集群：2台或多(duō)台接入層交換機之間(jiān)通(tōng)過iStack技(jì)術(shù)進行(xíng)堆疊，2台彙聚層交換機之間(jiān)通(tōng)過CSS技(jì)術(shù)組建交換集群，2台核心交換機之間(jiān)通(tōng)過CSS技(jì)術(shù)組建交換集群。堆疊、集群之後，當一台故障時(shí)，另一台自動接管所有(yǒu)業務。

鏈路聚集：通(tōng)過Trunk技(jì)術(shù)，實現鏈路的聚集，一條或多(duō)條鏈路故障後,流量自動切換到其他正常的鏈路。

圖3 CSS+iStack無環以太網組網

通(tōng)過應用無環以太網技(jì)術(shù)，滿足政務園區(qū)網絡接入層終端密度大(dà)，彙聚層核心層高(gāo)可(kě)靠的需求。無環以太網技(jì)術(shù)組網簡單，不需要配置多(duō)數(shù)可(kě)靠性的協議，可(kě)以減化配置和(hé)維護工作(zuò)量，減少(shǎo)出錯機率。

分級分業務的QoS保障

園區(qū)網實現端到端的QoS保障，園區(qū)網所有(yǒu)節點應用QoS策略。QoS策略在多(duō)個(gè)應用隊列之間(jiān)進行(xíng)調度。接入節點通(tōng)過Remark 802.1p/DSCP進行(xíng)流量區(qū)分，其他節點根據流分類調度。一般情況采用絕對優先方式（SP）調度，特殊情況采用WFQ及HQoS進行(xíng)調度。

圖4 政務園區(qū)網絡QoS保障方案

終端、內(nèi)部邊界、出口立體(tǐ)安全

遠程安全：遠程接入控制(zhì)IPSec/SSL VPN；

邊界防禦：防火(huǒ)牆、IDS/IPS；

網絡監管：ACL流量控制(zhì)、DHCP服務器(qì)欺詐攻擊防範、ARP欺騙攻擊防範；

IP地址欺騙攻擊防範、ARP限速功能、DHCP限速功能、MAC地址表容量攻擊防護能力；

接入安全：終端安全接入控制(zhì)（NAC）、用戶隔離、端口隔離。

圖5 政務園區(qū)網絡立體(tǐ)安全方案

政務園區(qū)網WLAN部署方案

在園區(qū)網的核心層部署AC設備，采用主備方式，由AC統一管理(lǐ)AP和(hé)無線用戶。AC設備推薦核心交換機（如S97/77等）上(shàng)直接配置插卡式AC，方便管理(lǐ)，也可(kě)采用旁挂獨立AC設備（如AC6605）。

Huawei系列AP支持自适應信道(dào)調整、自适應功率調整，方便進行(xíng)無線網絡的部署。

訪客區(qū)安全方案：訪客區(qū)劃分專門(mén)SSID，并與專用VLAN映射，實現訪客區(qū)與內(nèi)部網絡的安全隔離。

圖6 政務園區(qū)WLAN部署方案

方案特點

• 部署方便：華為AP支持功率自适應調整、頻段自适應調整，輕松部署無線網絡
• 運維簡單：核心層集中部署AC，eSight網管平台支持有(yǒu)線無線一體(tǐ)化管理(lǐ)
• 高(gāo)可(kě)靠性：主備AC方案實現無線網絡的高(gāo)可(kě)靠
• 高(gāo)安全性：訪客區(qū)和(hé)內(nèi)部網絡安全隔離

客戶價值

華為政府園區(qū)解決方案幫助政府客戶實現：

1. 多(duō)部門(mén)業務虛拟隔離，多(duō)業務差異化承載

縱向虛拟化，采用MPLS VPN技(jì)術(shù)實現多(duō)業務隔離，橫向虛拟化，采用集群、堆疊技(jì)術(shù)提高(gāo)網絡交換容量，實現多(duō)業務承載，并采用H-QoS技(jì)術(shù)實現多(duō)業務調度，确保客戶業務體(tǐ)驗。

2. 政務無線與有(yǒu)線一體(tǐ)化網絡

園區(qū)除了以有(yǒu)線的以太方式部署之外，在不便部署有(yǒu)線接口地方，通(tōng)過部署 AP 靈活接入用戶，并使兩類用戶具有(yǒu)相同的業務體(tǐ)驗，實現園區(qū)網中有(yǒu)線無線完全的融合安全可(kě)靠，彙聚設備融合AC。

3. 高(gāo)度網絡安全

華為NAC帶給客戶泛在安全、全面的終端準入控制(zhì)，無論有(yǒu)線、無線、分支、遠程都可(kě)以實現認證和(hé)授權。

4. 分支機構業務靈活部署

智能多(duō)業務網關AR G3支持接入、路由、交換、安全、語音(yīn)等多(duō)業務融合，具備完善的接口類型，支持靈活組網，提升網絡可(kě)擴展性。

5.園區(qū)網絡簡單易維

全系列網絡設備支持統一網管，設備支持業務零配置自動部署，簡化運維複雜度，大(dà)幅降低(dī)OPEX。