南客服网络安全及IT综合运维管理平台可研报告V11.docx

1、南客服网络安全及IT综合运维管理平台可研报告V11南客服网络安全及IT综合运维管理平台可研报告V11信息化项目可行性研究报告项目名称:国家电网客户服务中心南方分中心网络安全及IT综合运维治理平台优化项目 申报单位（盖章）：项目负责人： 校 核 年 月 日1 总论1.1 要紧依据国家电网客户服务中心南方分中心（简称客服南中心）自投运以来，承担了国家电网公司14个省级用户的服务工作，随着信息化水平的不断提高，对客服南中心现有的信息安全和IT运维治理提出了更高要求。国家电网公司信息系统安全治理方法中要求，为提高公司信息系统整体安全防护水平，实现信息系统安全的可控、能控、在控，需坚持“分区、分级、分域

2、”总体防护策略，执行信息系统安全等级爱护制度并连续不断优化改良。国家电网公司2020年信息通信工作会议提出，要加快构建信息通信一体化治理、建设和运维体系。因此，为保证客服南中心信息系统连续、稳固、可靠运行，有必要对现有安全防护体系进行优化和提升，并建设一套统一的IT综合运维治理平台。1.2 要紧原则依照客服南中心IT基础设施建设和IT综合运维治理需求，结合信息化技术进展的趋势，整体设计遵循以下原则：有用性：要紧技术和产品必须具有成熟、稳固、有用的特点，既要便于用户使用，又要便于系统治理。稳固性：系统需具备高度的稳固性，支持应急爱护机制，内置或者外置掉电爱护装置等，保证网络可不能因为设备故障而中

3、断。高可靠性：充分考虑容错和备份能力，最大限度地支持系统的可靠运行。安全性：要对系统自身具有良好的安全性，能够抵御针对自身的安全威逼，同时提供备份和复原机制，对治理权限实行分组治理分组授权。先进性：系统设计要采纳成熟可靠的体系和软件硬件产品，应支持对主流技术、协议和标准的升级，以及有完备的技术支持团队。扩展性：系统应支持灵活组网和网络改扩建的需要，能够快速部署和随网络结构进行调整，并无需改动平台主体结构和功能。经济性：在充分利用现有资源的情形下，最大限度地降低网络治理系统的总体投资，有打算、有步骤地实施。2 项目必要性2.1 网络安全方面目前客服南中心的网络安全设备要紧部署在信息内、外网出口处

4、，信息内网出口部署有防火墙及入侵检测系统，信息外网出口部署有防火墙及上网行为系统。现网运行的防火墙及入侵检测系统为原有设备利旧，且均已过保。其中信息内、外网出口的防火墙设备仅支持包过滤检测技术，不支持状态检测及流量识别，无法更好的满足应用层攻击防护；信息内网的入侵检测系统仅能对网络攻击行为进行监测，无法提供L2-L7层的主动安全防备。此外数据中心业务未部署防火墙进行横向域边界防护，仅通过ACL进行防护。因此，在当前信息安全形势日趋严肃的情形下，迫切需要对现有信息内、外网的网络安全设备进行优化提升，以确保客服南中心信息化业务的安全开展。2.2 IT运维治理方面国网客服中心客服南中心现有监控平台关

5、于网络设备、服务器、储备设备、机房动环及数据库、中间件与应用服务等的监控范畴有限，无法做到集中化统一运维治理，发生故障时需要在不同平台间切换排查，难以做到故障的快速准确定位，增加了运维人员在运维时的工作难度，难以满足当下的运维治理要求。现有运维平台无法从业务角度对重要的业务系统进行监控，不支持服务器虚拟化治理、储备治理、智能巡检、机房三维可视、网络设备配置自动备份、IP地址治理等功能。针对以上存在的不足，有必要对目前的运维治理进行整合优化，部署一套IT综合运维治理平台以满足客户需求。3 项目需求分析3.1 网络安全需求分析3.1.1 网络安全现状1)网络架构现状国网客服中心客服南中心于2020

6、年建成投运，园区共建设有信息内网/语音网、视频网、信息外网三张独立网络，其中信息内网/语音网、信息外网现状如下：(1)信息内网/语音网图3-1 信息内网/语音网（组网拓扑）核心层：由2台S12500系列交换机组成，目前未实现虚拟化整合，内网和语音业务共享核心层设备。汇聚层：数据中心和坐席区分别部署2台S10508交换机，并部署内网及语音网业务网关。接入层：数据中心中各功能区分别采纳2台S7500E交换机，提供数据中心业务接入；坐席区每个楼层东、西配线间部署S5500交换机，提供坐席终端接入。内网及语音局域网设备均通过横向虚拟化（或堆叠）技术，实现了本地无环路二层网络。呼叫业务的A、B平台分别部

7、署在中山路机房和客服南中心机房。语音业务流量统一从客服南中心出口出去，中山路机房设有应急专线。(2)信息外网图3-2 信息外网（组网拓扑）核心层：由2台S10508交换机组成，实现横向虚拟化堆叠。汇聚层：各楼宇设置汇聚交换机汇聚楼内接入设备。接入层：提供信息外网业务终端接入。外网出口串接上网行为治理及防火墙设备。客服南中心2台外网CE分别与北园区外网CE互联，实现主、备出口线路冗余。2)安全防护设备部署情形（1）信息内网/语音网信息内网出口部署启明星辰USG-FW-12021S（利旧）防火墙2台，作为整个信息内网的纵向边界安全防护设备。信息内网/语音网互联区中2台核心交换设备（S12510X及

8、S12518）分别旁挂1台启明星辰NIDS 9060S（利旧）入侵检测设备，对经互联区转发的的所有数据报文进行监视，检测网络攻击行为。（2）信息外网信息外网出口部署启明星辰USG-FW-4600S（利旧）防火墙2台，作为整个信息外网的纵向边界安全防护设备。信息外网出口部署迪普UAG 3000上网行为治理，用于网络应用流量分析及操纵、上网行为记录及访问操纵。3.1.2 存在问题分析1)信息内网存在问题：信息内网出口防火墙为原有设备利旧，已运行超过5年，存在设备老化现象，经常显现双机配置无法同步的问题，需及时更换，以排除隐患。数据中心业务系统横向域边界未部署专用防火墙设备进行安全防护，仅在业务交换

9、机上通过部署访问操纵列表的方式实现，存在ACL条目数量受限、安全防护性能有限、治理爱护复杂等问题，无法保证核心业务系统的安全性；信息内网部署入侵检测系统仅能对网络攻击行为进行监测，无法提供L2-L7层的主动安全防备。2)信息外网存在问题：信息外网出口防火墙为原有设备利旧，已运行超过5年，且仅支持包过滤检测，不具备状态检测功能，在灵活性和安全性方面存在不足。信息外网出口未部署入侵防备系统，无法提供L2-L7层的主动安全防备。3.1.3 优化提升建议鉴于客服南中心现有网络安全设备部署存在的问题，依据国家电网公司信息化“SG186”工程安全防护总体方案，对客服南中心网络安全防护体系进行整体优化提升。

10、1)安全防护整体架构图3-3安全域及安全边界示意图安全防护整体架构：信息内网、信息外网边界部署防火墙、入侵防备设备进行安全防护；三级系统独立成域，二级系统统一成域。信息内网纵向边界：替换现有信息内网纵向边界防火墙，新增信息内网纵向边界入侵防备。信息外网互联网边界：替换信息外网互联网边界防火墙，新增信息外网互联网边界入侵防备。信息内网横向域边界：增加信息内网数据中心中各业务系统横向域边界防火墙，对数据中心业务进行整体防护。2)信息内网/语音网优化方案图3-4信息内网/语音网优化示意图信息内网出口通过一体化框式设备集成高性能防火墙插卡、入侵防备插卡的方式，替换现有防火墙及入侵检测，提供L2-L7层

11、的全面安全防护；硬件板卡通过虚拟化堆叠方式部署，简化网络架构，实现高可靠性；一体化框式设备预留适当的槽位数量，提供以后业务扩展能力。数据中心内部部署高性能防火墙设备，提供各业务系统横向域边界安全防护能力；设备通过虚拟化堆叠技术部署，简化网络架构，实现高可靠性；采纳虚拟防火墙技术，为各二、三级业务系统提供独立的安全域防护，组网逻辑架构清晰，易于爱护。3)信息外网优化方案图3-5信息外网优化示意图信息外网出口通过一体化框式设备集成高性能防火墙插卡、入侵防备插卡的方式，替换现有启明星辰防火墙，提供L2-L7层的全面安全防护；硬件板卡通过虚拟化堆叠方式部署，简化网络架构，实现高可靠性；一体化框式设备预

12、留适当的槽位数量，提供以后业务扩展能力。3.2 IT综合运维治理需求分析3.2.1 IT运维治理现状国网客服中心客服南中心于2020年建成投运，要紧负责江苏、黑龙江等14个省级用户的客服工作，是集呼叫运行、运营监控、科技研发及后勤辅助等为一体的综合性供电服务平台。客服南中心的IT基础设施及相应的信息业务系统的运维治理目前是采纳多套运维治理平台，具表达状如下：1)网络治理国网客服南方分中心信息内网/语音网、视频网及信息外网中网络设备要紧包括交换机、路由器、防火墙、IDS、负载均衡、上网行为治理等，其中信息内网/语音网有210台网络设备，视频网有42台网络设备，信息外网有48台网络设备。网络治理现

13、状如下：信息内网/语音网中部署了一套H3C智能巡检总管（试用版），周期性对网络设备运行状态进行巡检，输出分析报告及改进建议；现有信息内网/语音网网络设备通过北塔网管软件进行网络运行状态监控；网络配线通过一套电子配线治理系统实现机房配线可视化治理；信息内网/语音网中部署了一套科来网络回溯分析系统，对各种网络性能和应用性能的关键参数进行实时分析，捕捉并储存网络流量数据，具备对其进行数据挖掘和回溯分析的能力。2)应用与服务器治理：国网客服南方分中心目前共有服务器210台，其中呼叫A平台52台，呼叫B平台55台，测试平台44台，云桌面系统28台，外网系统12台，其它及备用19台。为能及时获得各服务器的

14、运行状态，通过 Host Monitor 对服务器进行实时监控；服务器目前要紧通过北塔网管软件基于SNMP协议猎取服务器状态信息；关于服务器的资产治理要紧通过IMS系统进行人工爱护和更新；呼叫平台服务器的关键业务进程通过“IT资源监控”和SCI操纵台结合起来进行运维监控；对服务器具体的配置治理要紧通过KVM进行远程爱护；服务器磁盘、RAID和电源等硬件状态目前要紧通过巡检人员到机房查看设备状态进行确认；通过LogBase日志治理系统进行运维审计方面的工作；3)储备治理：国网客服南方分中心目前共有3套储备网络，分别应用在呼叫A平台、呼叫B平台和云桌面系统，治理现状如下：呼叫A平台的IBM DS8

15、800和云桌面系统的IBM DS8870通过各自的HMC操纵台进行巡检和治理；3套储备网络中的6台SAN交换机（IBM B80、B81和B82各2台）依靠设备状态指示灯判定储备网络链路情形；呼叫B平台的曙光DS800要紧依靠设备状态指示灯判定设备运行情形，通过治理口在WEB界面进行设备运行状态检查和配置治理。4)机房环境治理国网客服南方分中心在南中心设有1个主机房，其中UPS室和电池室各2个，接入机房11个，机房使用深圳共济的机房治理系统进行监控治理。主机房通过共济机房治理系统实现门禁监控、视频监控、温湿度监控、入侵检测、漏水检测、资产治理及配电柜开关检测；接入机房只对视频系统进行监控；电池室

16、要紧实现门禁系统监控、视频监控、电池监控；UPS室要紧实现门禁、视频、电量统计、漏水检测及温湿度监控共济机房治理系统是单独运行和治理，和其它治理系统未进行对接。 3.2.2 存在问题分析依照运维治理现状分析，国网客服南方分中心目前IT基础设备较多，网络、服务器、储备、机房环境等均通过不同的运维治理平台各自进行治理，无法实现统一集中的治理调度，当显现问题时难以定位问题根源，没有统一的信息化治理平台，阻碍运维治理效率。1)监控治理方面问题缺乏统一监管平台: 国网客服南方分中心目前针对网络设备、服务器、系统应用、中间件、机房环境配有北塔网管、H3C智能巡检总管、IMS、IT资源监控、机房治理监控系统

17、等多套治理平台，各平台相互独立，无法做到统一集中治理，增加运维工作难度。不支持业务视角运维治理: 现有运维平台无法从业务角度对重要的业务系统所涉及到的IT基础设施进行整体监控，无法及时发觉业务运行潜在问题及性能瓶颈，在业务系统发生故障时，无法进行故障的快速准确定位。虚拟化平台监控能力不足：现有监控平台不支持虚拟化监控治理，对云桌面、测试平台等虚拟化环境无法进行实时有效的监控治理。无法自动备份网络配置信息: 目前网管系统无法实现对网络设备配置信息进行自动备份和配置比对，仅通过人工方式不定期对设备配置进行备份，无法保证设备配置备份的及时性和准确性。网管软件存在告警延迟: 现有北塔网管平台存在的告警

18、延迟问题，阻碍日常运维监控治理，迫切需要对IT基础设施的重要性能指标加强告警监控治理，使其能够在第一时刻将告警信息通过弹窗、邮件、短信、微信等多种方式通知给运维人员。无法实现机房三维可视化治理: 现有的治理平台无法实现机房虚拟场景和设备真实数据相结合,设备运行状态及告警信息不能直观出现，无法快速定位设备位置。2)运维治理方面问题未集成智能巡检工具：现有运维平台缺少对IT基础设施及机房环境进行日常巡检的功能，大量重复繁重的人工日常巡检任务增加人力成本和发生错误的可能性，无法满足运维治理的巡检需求。巡检工作是否富有成效和值班员巡检的准确性难以保证；缺少资源及配置治理的功能模块：运维治理人员要紧依靠

19、传统的技术手段（如EXCEL表格等）对网络设备资料进行治理，如交换机端口信息表、IP地址治理表、设备配置备份等，必须通过手动爱护，无法保证信息更新的及时性和准确性。现有监控治理报表生成模块不足：现有运维平台缺少表报模块，无法关于设备和线路等的关键指标生成日、周、月的表报，当发生问题要回查数据时,由于没有报表的支持，需要通过查看海量数据的方式去发觉故障点，费时费劲。缺少储备网络的监控模块: 储备网络中的DS8800、DS8870、DS800和SAN交换机等设备的监控治理只能依靠运维人员到机房通过设备厂商的治理系统进行巡检和爱护，治理效率低，设备告警信息不能及时发觉。3.2.3 优化提升建议分析针

20、对目前客服南方分中心运维治理方面存在的不足，结合我公司在国网体系内各单位多年的运维体会，提出相关优化建议：1)部署统一集中的运维治理平台：建设统一门户式的综合运维治理平台实现对网络、服务器、储备、数据库、中间件、应用服务与机房环境等的统一治理，幸免烟囱式多治理系统的建设与爱护，提升整体运维效率；综合运维治理平台采纳技术手段屏蔽信息系统各组成部分的技术差异，采纳友好的图形化治理界面直观展现信息系统的各部分的实时运转状态，通过引入直观的可视界面、易行的可控手段，给予信息运维治理部门全局的治理视角，做到对信息系统各部分运行状况的全面掌控和及时了解，降低了治理难度，达到了治理的实时性和有效性。 2)建

21、立基于业务视角的运维治理模式：对核心的应用系统，从业务的角度将系统架构、底层基础部件与业务进行关联，形成业务监控展现系统；实现基于业务视角的精细化运维治理，及时发觉业务运行潜在问题及性能瓶颈，对业务故障进行快速准确定位；系统从业务的角度进行 IT 系统的治理与爱护，将复杂的、海量的技术信息以业务的方式出现给用户，把业务系统的可用性、性能和状态，与底层IT系统构架和部件关联起来，提供一个以业务为核心的IT综合运维治理平台，支撑业务的运营，同时能够提供基于用户体验的业务监控。在业务系统显现问题时，IT 运维人员可从系统提供的业务服务架构下找到故障的全然缘故，并可从物理位置拓扑定位到故障设备所在位置

22、，快速解决故障。3)机房三维可视化：将3D仿真技术应用在机房监控，实现机房虚拟场景和设备真实数据相结合,设备运行状态及告警信息的直观出现，快速定位设备位置，提升运维治理效率。机房监控信息可视化系统是一个综合利用运算机网络技术、自动操纵技术、新型传感技术等构成的运算机网络。第一步：系统将集成原有的机房动力和环境设备等设备（如：配电、UPS、空调、温湿度、漏水、烟雾、视频、门禁等系统）。第二步：将机房内所有的IT信息和通信设备立体与平面有机结合，建设能够立体、直观、全方位的展现机房运行情形的综合展现图：机房立体视图机柜立体视图4)治理功能完善：增加智能巡检、IP地址治理、配置治理、虚拟化治理等功能

23、模块来提升工作效率，减轻运维人员压力；5)提升告警能力：通过强大的告警模块，及时响应设备性能指标与系统日志所产生的故障告警信息，通过声光、短息、邮件或微信等多种手段准确及时的告知运维人员。IT综合运维治理平台可提供全方位的服务治理思路，通过该平台，能够采纳标准数据采集方式取得各种治理参数，实现对数据交换平台、主机、数据库、中间件以及应用治理的实时监控，治理人员在业务层能查看所有关键信息，并通过各层监控来融合治理功能。4 项目方案4.1 项目目标和范畴本项目打算将在内、外网外联区出口，内网数据中心边界各新采购2台防火墙，共需6台高性能防火墙。在内网核心交换区、外网外联区出口各新采购2台入侵防备系

24、统IPS，共需4台IPS。本次国家电网客服中心南方分中心运维治理平台优化提升项目，打算在国网客服南中心部署一套统一集中的运维治理平台。通过该平台实现对交换机、路由器、防火墙、IPS、负载均衡、服务器、终端、光纤交换机、储备、机房动环等集中治理监控，从业务视图、物理拓扑图与机房视图三个角度多方位、多层次地展现建设成效，业务逻辑与网络结构；建设完成的统一集中的运维治理平台能够实现网络资源、业务系统、机房动环、虚拟化平台的统一集中治理，并具备智能巡检、各类告警、配置智能备份、各类业务报表、IP地址治理等功能。4.2 项目建设方案4.2.1 网络安全优化方案（一）技术方案：1)超融合安全体系架构本次方

25、案设计中，信息内网、信息外网出口区域的安全架构设计为难点，互联网边界通常面临众多安全需求，如防火墙、入侵防备检测、负载均衡、综合审计、流量操纵与分析等，采纳传统的独立盒式设备串接部署会有明显的短板，如：单点故障、性能瓶颈、运维治理困难、无法平滑扩容等。鉴于此，本次采纳高度融合一体化安全网关（框式形状）如下图示：图4-1融合式设备简化结构示意图通过融合安全网关部署，可幸免单点故障、性能瓶颈，可实现功能、性能的平滑扩容，同时整机提供一个IP地址一个治理界面，极大简化了运维工作量。以后出口区域的盒式退役，可通过在机框内增加业务插卡的形式实现互联网出口的全融合。2)L2L7层虚拟化技术方案中采纳的虚拟

26、化技术包括N:1虚拟化、1:M虚拟化和N:M虚拟化。（1）N:1虚拟化如下图1示，传统的网络虚拟化技术要紧局限在L2/3层备，多台交换机级联实现统一的操纵平面和分布式转发；而L4-L7层还差不多以双机HA为主。此外，防火墙、IPS等串行或旁挂在L2/L3网络中，需要复杂的数据流引导和回注，且各设备独立完成数据拆包和协议解析，大量重复工作耗损网络性能、加大网络延时。图4-2 传统L2-L7层部署方案采纳L2-L7层N:1虚拟化技术后，交换、路由、安全等同类型设备全部虚拟化为一个逻辑设备，创新性的实现了跨机框业务模块虚拟化。通过虚拟化组实现数据流统一规划，一次解析多次复用，在吞吐量、新建连接数、并

27、发连接数等各项性能指标上，为单台设备的数倍，完全去除网络中的性能瓶颈。图4-3 N:1虚拟化部署方案（2）1:M虚拟化1:M虚拟化可实现在单个物理的或逻辑的系统上提供多个实体。以防火墙为例，1:M虚拟化将一台设备在逻辑上划分成多台虚拟防火墙，每台虚拟防火墙都能够被看成是一台完全独立的防火墙设备，可拥有独立的治理员、安全策略和物理资源等。每个虚拟防火墙之间相互独立，且能够实现防火墙的全部特性。1:M虚拟化实现将大规模的硬件资源转换为灵活匹配业务的虚拟服务资源。图4-4 1:M虚拟化示意图（3）N:M虚拟化N:M虚拟化将N物理设备虚拟化为一个虚拟化组，系统性能为所有N个物理设备性能的总和，随后依照

28、需要虚拟化组再次虚拟化为M个逻辑设备，实现物理资源的灵活重组。经N:M虚拟化形成资源池后，系统可依照需要动态提供不同粒度、不同类型的网络、安全、应用交付等服务。4.2.2 IT综合运维治理平台方案4.2.2.1网络资源治理建成的IT综合运维治理平台，做到对交换机、路由器、防火墙、IPS、负载均衡、服务器、终端、光纤交换机、储备、机房动环等的中式治理，并以物理拓扑图进行集中展现，实现统一的IT综合运维治理。系统能够迅速搜索整个网络内的所有节点、支持多厂商的设备组成的“混合”网络，智能分析网络拓扑结构，自动勾画出整个网络的真实物理拓扑图，真实反映用户实际网络的部署情形，并实时动态反映路由器、三层交

29、换机、交换机、服务器、PC机、链路等的运行情形，让用户即时直观的了解网络的运行情形。同时直观地反映设备的分布情形、负载状况和设备属性，以及线路的实时流量；通过颜色显示负载和流量的压力，主动告诉用户关注点应在哪里，动态告诉用户可能的故障隐患。4.2.2.2业务系统监控业务监控包括了网络、主机、应用、服务等组件，综合运维治理平台能够将复杂的IT 资源转化为简单的业务视图，使我们从业务的角度监控相应的IT资源环境，当业务系统发生故障时，问题就会反应在该业务提供的服务上面，实现快速定位故障，爱护业务系统的正常使用，保证生产环境的高效、安全、稳固。业务总览一览各个业务服务状态；与网络视图、机房视图、告警

30、等模块关联，可一键查看相关信息。业务监控业务状态的实时监控业务监控图形化快速定位阻碍业务状态的组件及时查看受到阻碍的业务单位业务分析快速查看业务产生的告警；通过多个指标衡量业务的健康状态；可查询相关的具体告警事件，进行根源分析。4.2.2.3机房动环治理将现有机房动环监控平台与其进行对接整合，实现动环设备与网络设备、服务器、储备等的综合监控，做到一站式监控，当动环设备、网络设备、服务器、储备发生故障时能够快速定位到对应机房位置，减轻运维人员的运维任务，保证机房环境与设备的安全。机房监控信息可视化系统是一个综合利用运算机网络技术、自动操纵技术、新型传感技术等构成的运算机网络。第一步：系统将集成原

31、有的机房动力和环境设备等设备（如：配电、UPS、空调、温湿度、漏水、烟雾、视频、门禁等系统）。第二步：将机房内所有的IT信息和通信设备立体与平面有机结合，建设能够立体、直观、全方位的展现机房运行情形的综合展现图：机房拓扑直观反映设备运行和使用状态，机柜的颜色变化，直截了当反映了是否有设备等发生事件，再深入可查找到哪个机柜哪台设备有问题。实时展现机房成效，机柜内设备发生告警及状态变动时可在机柜上表达。4.2.2.4智能巡检随着企业信息化应用的日益深入，为了确保信息化应用正常开展所进行的例行性巡检工作已变得专门必要，大多数企业的巡检还停留于人工方式，且巡检工作所涉及点多面广、治理对象种类丰富、指标繁多、相应的工作量也是专门可观的，单纯依靠人力已难以胜任，有限的人力资源和繁重庞大和工作量之间的矛盾日益突出，加之巡检工作的许多内容技术含量低、且重复和繁琐，对治理人员来说没有营养，专门难引起爱好并调动其工作积极性，对有限的人力资源也是一个庞大的白费，加之人工巡检存在漏、错、巡检不到位等弊端，导致潜在隐患未必能够及时被发觉从而错过了排除故障的最佳时机，在工作中处于被动的事后抢救、修复的不利局面。切实采取有效措施和手段，扭转巡检治理工作中的不利局面、变被动为主动，改