第二章 網(wǎng)絡(luò)平臺的設(shè)計
網(wǎng)絡(luò)系統(tǒng)是廊淦島乃至于整個金山現(xiàn)代農(nóng)業(yè)園區(qū)水利信息化控制系統(tǒng)的基礎(chǔ)平臺，它擔(dān)負系統(tǒng)中所有的監(jiān)測數(shù)據(jù)、控制指令、監(jiān)控圖像和語音的綜合傳輸。同時為各級領(lǐng)導(dǎo)和有關(guān)部門提供及時、準確、優(yōu)質(zhì)的信息服務(wù)。建設(shè)高效、安全、可靠的網(wǎng)絡(luò)傳輸平臺是整個工程成功實施的基礎(chǔ)。 在制定網(wǎng)絡(luò)整體規(guī)劃時，我們遵循“切合實際、分階段實施、安全有效”的基本原則。對網(wǎng)絡(luò)結(jié)構(gòu)的選擇也將具有先進性和安全性，且擴充升級方便，可保護前期投資；同時具有良好的可擴展性和靈活性，以適應(yīng)網(wǎng)絡(luò)應(yīng)用的迅猛發(fā)展趨勢，既滿足當(dāng)前需求，又照顧未來網(wǎng)絡(luò)建設(shè)發(fā)展的需求。我們將充分利用各種網(wǎng)絡(luò)資源，確保網(wǎng)絡(luò)內(nèi)部的互連互通。在總體設(shè)計時，我們將充分考慮工程的可靠性、可用性、可維護性以及網(wǎng)絡(luò)的安全性，建立一個完善的安全管理體系。
目前本次網(wǎng)絡(luò)工程建設(shè)的范圍主要包括廊淦島的9座水閘泵站的光纖局域網(wǎng)及管理中心與上級部門的Internet網(wǎng)。
網(wǎng)絡(luò)系統(tǒng)建設(shè)的基本思想如下：
2 基本構(gòu)架采用國際上目前流行Intranet網(wǎng)絡(luò)技術(shù)，以TCP/IP為基本傳輸協(xié)議；
2 采用高速的網(wǎng)絡(luò)互連技術(shù)，以滿足網(wǎng)絡(luò)系統(tǒng)中大量的數(shù)據(jù)傳輸和多媒體應(yīng)用，如實時監(jiān)控等要求；
2 采用先進的虛擬網(wǎng)絡(luò)技術(shù)，將網(wǎng)絡(luò)按功能模塊化分成不同的子網(wǎng)，從而增強網(wǎng)絡(luò)的安全性；
2 主干光纖網(wǎng)絡(luò)采用環(huán)形結(jié)構(gòu)，保證網(wǎng)絡(luò)的冗余性；
1. 網(wǎng)絡(luò)設(shè)計原則
根據(jù)目前計算機通訊技術(shù)的發(fā)展和用戶需求的不斷擴大，網(wǎng)絡(luò)的設(shè)計應(yīng)遵循下面的原則：
2 可靠性：在網(wǎng)絡(luò)系統(tǒng)的設(shè)計中，很重要的一點就是網(wǎng)絡(luò)的可靠性，即堅固性。為保證各項業(yè)務(wù)的應(yīng)用，網(wǎng)絡(luò)必須具有高可靠性。要對網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備等各方面進行高可靠性的設(shè)計和建設(shè)。在采用硬件備份、冗余等可靠性技術(shù)的基礎(chǔ)上，采用相關(guān)的軟件技術(shù)提供較強的管理機制、控制手段和事故監(jiān)控等技術(shù)措施提高整個計算機網(wǎng)絡(luò)系統(tǒng)的可靠性。
2 實用性：在滿足水務(wù)系統(tǒng)的業(yè)務(wù)需求的基礎(chǔ)上，盡可能降低工程造價和運營成本，追求最優(yōu)的性能、價格比。另外，本系統(tǒng)中局域網(wǎng)絡(luò)的節(jié)點樹較大，通信介質(zhì)各不同，采用的網(wǎng)絡(luò)技術(shù)也較先進，網(wǎng)絡(luò)的管理任務(wù)十分重要，我們提供的設(shè)備支持SNMP、RMON、WEB等網(wǎng)絡(luò)管理標(biāo)準，通過網(wǎng)絡(luò)管理軟件，可以用圖形化的管理界面和簡潔的操作方式，提供強大的網(wǎng)絡(luò)管理功能。使網(wǎng)絡(luò)日常的維護和操作變得直觀，簡便和高效。
2 先進性：本系統(tǒng)采用成熟的硬件、軟件平臺，在滿足當(dāng)前應(yīng)用需要的基礎(chǔ)上。從發(fā)展眼光看，計算機管理系統(tǒng)的發(fā)展方向就是要實現(xiàn)共享決策、管理、運行等各個環(huán)節(jié)的信息，完成不同制造廠商的設(shè)備和計算機軟、硬件資源的數(shù)據(jù)交換。為此我們選擇了一個由開放式、標(biāo)準化的網(wǎng)絡(luò)系統(tǒng)，開放式標(biāo)準化的數(shù)據(jù)庫組成的平臺來滿足當(dāng)前可實現(xiàn)的技術(shù)，又能適應(yīng)今后新技術(shù)的引進、開發(fā)和推廣。
2 互連性：計算機系統(tǒng)技術(shù)的發(fā)展可謂是日新月異，怎樣用好現(xiàn)有的技術(shù)同時又能夠和將來的技術(shù)進行無縫的連接，這也是我們保護投資、合理利用資源所必須考慮的問題。我們選用的產(chǎn)品，不僅技術(shù)先進，同時在同類市場上也占據(jù)著主力位置，遵循開放性和互連性。廠家們也積極參與各標(biāo)準的制定，同時有優(yōu)秀的融合未來技術(shù)的軟硬件升級方案。
2 可擴展性：本期工程是金山現(xiàn)代農(nóng)業(yè)園區(qū)水利信息化系統(tǒng)的一期工程，它不僅要給廊淦島提供網(wǎng)絡(luò)通信，還要做到隨著園區(qū)的建設(shè)和進度，保證其后續(xù)工程（園區(qū)的其它圩區(qū)及水利設(shè)施等）的兼容性和無縫連接。因此，我們的網(wǎng)絡(luò)設(shè)計不僅滿足現(xiàn)有的網(wǎng)絡(luò)應(yīng)用，而且考慮到園區(qū)各項建設(shè)的發(fā)展和新技術(shù)的涌現(xiàn)，我們?yōu)橛脩籼峁┑木W(wǎng)絡(luò)設(shè)計是一個靈活方便的升級和擴充的結(jié)構(gòu)。
2. 網(wǎng)絡(luò)拓撲結(jié)構(gòu)
通信網(wǎng)絡(luò)是整個廊淦島泵閘計算機控制系統(tǒng)的基礎(chǔ)建設(shè)部份。依照“高起點、高質(zhì)量、實用性和擴充性”系統(tǒng)設(shè)計原則，建成一個高度可靠、安全、穩(wěn)定的數(shù)字通道。網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖如下：
圖7 網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖
各監(jiān)控站和監(jiān)控中心組成環(huán)形網(wǎng)絡(luò)，在網(wǎng)絡(luò)結(jié)構(gòu)上保證了通信鏈路的冗余。
由于本期工程內(nèi)水閘泵站全都位于廊淦島的兩條主干河道上（六里溏和大泖河），覆蓋區(qū)域廣，地理位置較好，而且包含各種監(jiān)控數(shù)據(jù)和視頻流，信息流量較大。基于以上幾點原則，在比較多種通信方式后作出監(jiān)控中心與各監(jiān)控子站之間采用光纖環(huán)路，組成1000M主干通訊網(wǎng)絡(luò)，光纖敷設(shè)路由圖如下：
圖8 光纜敷設(shè)路由圖
光纖網(wǎng)的建設(shè)原則為：
2 網(wǎng)絡(luò)通信方式符合行業(yè)標(biāo)準化體系，以利于系統(tǒng)建設(shè)和系統(tǒng)擴充，保證系統(tǒng)數(shù)據(jù)傳輸?shù)膶崟r性和控制的可靠性。
2 通信規(guī)約擬采用國際通用的開放性規(guī)約，以利于今后系統(tǒng)的擴展升級以及與各個相關(guān)的水利系統(tǒng)的整合。
2 系統(tǒng)間的信息傳遞，均以TCP/IP協(xié)議為基礎(chǔ)，圖像信息傳輸均以IP包的方式來傳送。
2 采用4芯鎧裝單模光纜埋地（部分架空）敷設(shè)，保證備用通訊光纖芯的預(yù)留，便于以后的通訊擴展。
2 在每個通訊節(jié)點進行光纜配線、跳接，構(gòu)成靈活的光纖冗余通訊方式。
3. 各站點網(wǎng)絡(luò)配置
廊淦島各現(xiàn)場站監(jiān)控系統(tǒng)按照功能劃分為兩部分：實時數(shù)據(jù)采集和控制系統(tǒng)、視音頻監(jiān)控系統(tǒng)。它們相對獨立，面向不同的監(jiān)控對象，完成不同的測控功能，如下圖所示，最后各自將所采集的信息轉(zhuǎn)換成統(tǒng)一的網(wǎng)絡(luò)數(shù)據(jù)格式通過光纖環(huán)網(wǎng)發(fā)送至中心站（中心層）：
圖9 各站點網(wǎng)絡(luò)連接配置圖
各站點交換機配置
WISE7000可管理交換機提供了多種模塊式的接口選項，包含 10Mb 、100Mb 和 1000Mb 的光纖與RJ45接口，并提供了全面的管理軟件。它把工業(yè)交換機的環(huán)境適應(yīng)性提升到了一個新的高度，工作溫度為零下40-75度（UL 標(biāo)準測試）及 零下50-95 度（IEC 60068 標(biāo)準測試）。全面的電源選項及標(biāo)準的安裝方式使WISE7000 真正成為“無所不能”的工業(yè)以太網(wǎng)交換機。
它的高性能特性還表現(xiàn)在所有 端口的非阻斷和 802.1p QoS 協(xié)議的優(yōu)化， WISE7000是即插即用的主干交換機，它的管理軟件提供 SNMP, VLANs, IGMP 和端口加密等功能。在高可靠性網(wǎng)絡(luò)上采用環(huán)網(wǎng)布局、 Spanning Tree Protocol, link-Loss-Learn 和 S-Ring 管理協(xié)議。
n 1000 Mb 端口 : 2 口，用于與主干光纖環(huán)網(wǎng)的聯(lián)接。
n 100 Mb （ 單模與多模 ）:4口，用于本站通訊接入。
n 處理方式： IEEE 802.3x 數(shù)據(jù)存儲與轉(zhuǎn)發(fā)， 速率 6.0 Mpps
n 交換帶寬: 4.8G
n 系統(tǒng)存儲轉(zhuǎn)發(fā)速率: 148810 bps
n 最大過濾速度： 148810 bps
n MAC地址表: 8K
n 流量控制： IEEE 802.3x流量控制
n 系統(tǒng)冗余倒換時間： 小于300ms
n 拓撲結(jié)構(gòu)： 雙（相切）光纖自愈環(huán)網(wǎng)
n 維護方式： 支持專用串口維護以及WEB方式
n 安全防護： 密碼保護
n 數(shù)據(jù)包緩存 ： 240KB 10/100Mb，120K 1000Mb
n 延時： 6 μ s + 最大打包時間 （TX - TX, TX - FX, FX - FX, TX-G, G-G）
n 工作溫度 : -40-75°C （ UL 60950） , -50-95°C （IEC 60068 ）
n 存儲： -50°- 100°C
n 濕度： 5% - 95% （ 無凝露 ）
n 海拔： -60 m - 4,000m
4. 控制中心網(wǎng)絡(luò)配置
中心站（監(jiān)控中心）部分是整個系統(tǒng)的核心，所有采集到的數(shù)據(jù)和圖像都統(tǒng)一到中心站內(nèi)，而且大部分的控制指令都由此發(fā)出，所以中心站的地位是尤其重要的。
控制中心網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示：
圖10 控制中心網(wǎng)絡(luò)連接配置圖
中心交換機的配置
WISE7000是一款可網(wǎng)管標(biāo)準機架式千兆以太網(wǎng)交換機，將10/100/1000Mbps以太網(wǎng)交換技術(shù)融合在同一備中。
n 2個100Mbit/S全雙工的光口，符合IEEE802.3U標(biāo)準，支持解環(huán)自愈功能。
n 2個1000Mbit/S全雙工的光口，符合IEEE802.3W標(biāo)準，支持解環(huán)自愈功能。
n 發(fā)送光功率： ≥-15 dBm（單模）
n 接收靈敏度： ＜-35 dBm（單模）
n 光接口連接器： SC/FC/ST
n 光波長： 1310nm
n 6個10/100base-T（X），帶屏蔽RJ-45，符合IEEE802.3標(biāo)準。
n 交換帶寬: 4.8G
n 系統(tǒng)存儲轉(zhuǎn)發(fā)速率: 148810 bps
n 最大過濾速度： 148810 bps
n MAC地址表: 8K
n 流量控制： IEEE 802.3x流量控制
n 系統(tǒng)冗余倒換時間： 小于300ms
n 拓撲結(jié)構(gòu)： 雙（相切）光纖自愈環(huán)網(wǎng)
n 維護方式： 支持專用串口維護以及WEB方式
n 安全防護： 密碼保護
n 以太網(wǎng)傳輸距離：100米
n 光纖傳輸距離： 多模 傳輸距離2KM
單模 傳輸距離20KM
n 供電電源：±48VDC
n 系統(tǒng)功耗：小于20W
n 運行溫度：-35℃～～75℃
n 運行濕度：10%～～～95%（無凝露）
n 安裝方式：機架式
n IP30防護等級，金屬外殼，無風(fēng)扇設(shè)計
n WISE7000智能型工業(yè)以太網(wǎng)交換機具有基于Web網(wǎng)絡(luò)管理系統(tǒng)。可通過Web瀏覽器、Telnet/Serial控制口進行配置。
5. 網(wǎng)絡(luò)安全
網(wǎng)絡(luò)安全從其本質(zhì)上來講就是網(wǎng)絡(luò)上的信息安全，是指網(wǎng)絡(luò)系統(tǒng)的軟、硬件及其系統(tǒng)中的數(shù)據(jù)受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡(luò)服務(wù)不中斷。從廣義來說，凡是涉及到網(wǎng)絡(luò)上信息的保密性、完整性、可用性、真實性和可控性的相關(guān)技術(shù)和理論都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。
2 安全策略
網(wǎng)絡(luò)安全涉及的內(nèi)容既有技術(shù)方面的問題，也有管理方面的問題，兩方面相互補充，缺一不可。技術(shù)方面主要側(cè)重于防范外部非法用戶的攻擊，管理方面則側(cè)重于內(nèi)部人為因素的管理。如何更有效地保護重要的信息數(shù)據(jù)、提高計算機網(wǎng)絡(luò)系統(tǒng)的安全性已經(jīng)成為所有計算機網(wǎng)絡(luò)應(yīng)用必須考慮和必須解決的一個重要問題。
網(wǎng)絡(luò)中的主機可能會受到非法入侵者的攻擊，網(wǎng)絡(luò)中的敏感數(shù)據(jù)有可能泄露或被修改，從內(nèi)部網(wǎng)向共網(wǎng)傳送的信息可能被他人竊聽或篡改等等，造成網(wǎng)絡(luò)安全威脅的原因可能是多方面的，有來自外部，也有可能來自網(wǎng)絡(luò)內(nèi)部。攻擊者主要是利用了TCP/IP協(xié)議的安全漏洞和操作系統(tǒng)的安全漏洞。歸納起來，系統(tǒng)的安全威脅常表現(xiàn)為以下特征：
竊聽：攻擊者通過監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)獲得敏感信息。
偽造：攻擊者將偽造的信息發(fā)送給接收者。
篡改：攻擊者對合法用戶之間的通訊信息進行修改、刪除、插入，再發(fā)送給接收者。
拒絕服務(wù)攻擊：攻擊者通過某種方法使系統(tǒng)響應(yīng)減慢甚至癱瘓，阻止合法用戶獲得服務(wù)。
非授權(quán)訪問：沒有預(yù)先經(jīng)過同意，就使用網(wǎng)絡(luò)或計算機資源被看作非授權(quán)訪問。它主要有以下幾種形式：假冒、身份攻擊、非法用戶進入網(wǎng)絡(luò)系統(tǒng)進行違法操作、合法用戶以未授權(quán)方式進行操作等。
傳播病毒：通過網(wǎng)絡(luò)傳播計算機病毒，其破壞性非常高，而且用戶很難防范。
為了實現(xiàn)網(wǎng)絡(luò)安全，采用的安全機制主要包括：
加密機制。加密是確保數(shù)據(jù)保密性，訪問控制機制。訪問控制按照事先確定的規(guī)則決定主體對客體的訪問是否合法。
數(shù)據(jù)完整性機制。數(shù)據(jù)完整性是保證數(shù)據(jù)不被修改。
信息流填充機制。信息流填充使攻擊者不知道哪些是有用信息，哪些是無用信息，從而挫敗信息流分析攻擊。 路由控制機制。路由控制機制可根據(jù)信息發(fā)送者的申請選擇安全路徑，以確保數(shù)據(jù)安全。
2 安全保護方式
用防火墻保護和其他網(wǎng)絡(luò)互聯(lián)的安全
由于在業(yè)務(wù)往來上需要和其他業(yè)務(wù)單位有較多的數(shù)據(jù)交換，如上級部門、各層領(lǐng)導(dǎo)等等。在這些網(wǎng)絡(luò)的互聯(lián)中，可以考慮使用防火墻來進行和外部網(wǎng)絡(luò)隔離，保證進入網(wǎng)絡(luò)內(nèi)部的訪問都是經(jīng)過授權(quán)并受限只能訪問其該訪問的的訪問。
在防火墻上除了可以做地址翻譯，以保護內(nèi)部地址外，還可以只對需要流經(jīng)防火墻的流量進行放行，即將平時所有的業(yè)務(wù)的端口號進行放行，其他端口號的流量不允許通過。
對網(wǎng)絡(luò)設(shè)備訪問進行集中認證
在網(wǎng)絡(luò)中所有的網(wǎng)絡(luò)設(shè)備訪問時，包括console（帶外主控臺訪問），Enable（特權(quán)用戶訪問）和VTY（Telnet接口訪問），ACS可以提供一個中央的數(shù)據(jù)庫進行用戶和密碼管理。
計算機病毒防護
來自系統(tǒng)外部（Internet或外網(wǎng)）的病毒入侵,這是目前病毒進入最多的途徑。因此在與外部連接的網(wǎng)關(guān)處進行病毒攔截是效率最高，耗費資源最少的措施。可以使進入內(nèi)部系統(tǒng)的病毒數(shù)量大為減少。
而對于內(nèi)部的病毒也有可能發(fā)生大面積傳遍的情況,所以要對整個網(wǎng)絡(luò)系統(tǒng)，象數(shù)據(jù)庫、視頻服務(wù)器和終端用戶也需要設(shè)置防病毒保護。
在此建議使用全方位、多層次的、整體的網(wǎng)絡(luò)防病毒解決方案。
在網(wǎng)絡(luò)結(jié)構(gòu)方面：從第一層工作站、第二層服務(wù)器到第三層防火墻都有相應(yīng)的防毒軟件提供完整的、全面的防病毒保護。
在防病毒技術(shù)方面：采用各種先進的反病毒技術(shù)，尤其在對付未知病毒和多態(tài)病毒方面，采用了各種先進的技術(shù)對其進行查殺，如：啟發(fā)式偵測技術(shù)（Bloodhund TM）,神經(jīng)網(wǎng)絡(luò)技術(shù)，打擊技術(shù)（Striker32）和防宏病毒技術(shù)（MVP）等，因此NAV產(chǎn)品不僅能查、殺各種未知病毒，還能修復(fù)被病毒感染的文件。
在病毒定義碼和掃描引擎升級方面：采用模塊化（NAVEX）的升級方式，也就是說，用戶每次升級都包括最新的病毒定義碼和掃描引擎.而且各種 NAV產(chǎn)品采用的是同一套病毒定義碼和掃描引擎，方便用戶病毒定義碼和掃描引擎的升級，同時計算機在升級完最新的病毒定義碼和掃描引擎后無需重新啟動計算機，在技術(shù)支持和服務(wù)方面：對新出現(xiàn)的病毒具有最快的響應(yīng)速度。
2路由器
由于上級相關(guān)部門要對水務(wù)信息進行查詢，所以整個系統(tǒng)要提供向外的接口，以便與水務(wù)局信息大廈信息互通、資源共享。在控制中心提供與外界的接口，以便與監(jiān)控中心之外單位連接，可使用路由器借助于專用光纖或者電信線路與上級部門的信息化系統(tǒng)相連，并在出口安置防火墻，以保護整個計算機控制系統(tǒng)的安全性。
2防火墻
為了整個網(wǎng)絡(luò)系統(tǒng)的安全性考慮，在工程中使用了友訊網(wǎng)絡(luò)的防火墻，該防火墻主要有以下特點：
◆ 高可靠性：
NPFW系列防火墻平均故障間隔時間（MTBF）在60,000小時以上，能夠滿足大中型企業(yè)對設(shè)備可靠性的要求。
通過簡易的配置，消除網(wǎng)絡(luò)的單點故障，極大的提高用戶網(wǎng)絡(luò)的可用性。
◆ 高性能：
NPFW系列防火墻支持百萬以上的并發(fā)連接數(shù)，在百兆和千兆環(huán)境下能夠獲得全線速的性能。利用網(wǎng)絡(luò)處理器技術(shù)對海量數(shù)據(jù)處理應(yīng)付自如。
◆ 可擴展性
NPFW防火墻可根據(jù)不同網(wǎng)絡(luò)環(huán)境的需求，采用百兆銅纜、百兆光纖、千兆銅纜和千兆光纖等不同接口形式，接口數(shù)目可根據(jù)需要進行擴展。
◆ 高度的安全性
NPFW防火墻對拒絕服務(wù)攻擊進行了獨特的設(shè)計，能夠有效防范SYN FLOOD、PING OF DEATH、TEARDROP、TCPFLOOD、UDPFLOOD、LAND、SMURF等攻擊類型。
6. WISE7000組成的網(wǎng)絡(luò)系統(tǒng)特點
6.1．多鏈路自動冗余備份
能夠形成千兆的高速雙纖冗愈環(huán)網(wǎng)，保證網(wǎng)絡(luò)的實時可靠，在冗余環(huán)網(wǎng)中，它能自動冗余備份，能自動協(xié)商到達最近節(jié)點的路徑，如果一處線路損壞，網(wǎng)絡(luò)拓撲會自動重新配置具有自愈合恢復(fù)通訊能力。
6.2．較長的傳輸距離
環(huán)型結(jié)構(gòu)采用光纖介質(zhì)類型，在傳輸中有低損耗的特性，使得傳輸線路的無中繼傳輸距離變長，相鄰站之間最大長度單模光纖可達40-60KM。
6.3．具有較大的帶寬
環(huán)網(wǎng)傳輸帶寬為1000Mbps，同時采用新的多數(shù)據(jù)處理技術(shù)，使得網(wǎng)絡(luò)在重負荷情況下，仍能保持很強的實時性。
6.4．可靠性高
環(huán)型結(jié)構(gòu)在網(wǎng)絡(luò)出現(xiàn)故障時仍能自行重構(gòu)，保證系統(tǒng)安全可靠，同時傳輸光纖具有對電磁和射頻干擾抑制能力，在傳輸過程中不受電磁和射頻噪聲的影響，也不影響其設(shè)備。由于光纖傳輸?shù)氖枪庑盘枺瑑啥说碾娫聪鄬Ω綦x，所以有效地解決了光纖兩端電源和地線對設(shè)備可能造成的嚴重威脅。
6.5．?dāng)U展性強
采用環(huán)網(wǎng)通訊，系統(tǒng)中各站點的路由比較多，而且系統(tǒng)的網(wǎng)絡(luò)帶寬很大，所以將來其它的一些網(wǎng)絡(luò)都可以很方便的接入到我們的網(wǎng)絡(luò)中。
