湖南省高速公路信息化网络规范化建设方案V20.docx

1、湖南省高速公路信息化网络规范化建设方案V20湖南省高速公路信息化网络规范化建设方案一、项目背景随着信息技术的发展和行业信息化进程的加快，信息化在高速公路发展中发挥越来越重要的作用。湖南省高速公路网络经过多年的发展已覆盖全省五十多条高速，三百多个高速收费站。网络建设由于相关资源配套不到位、缺少统一规划，随着规模持续扩大，网络呈现出结构复杂多样，管理难度大，网络运营效率低、可靠性低等特点。为了使信息技术更好的服务高速公路建设，结合路段收费站点按行政归属进行调整的契机，需对全省收费和视频网络进行统一优化调整。二、设计原则针对该项目的重要性和特殊性，我们在设计该项目解决方案时特别遵循了以下设计原则：（

2、1） 先进性原则从较高的起点对网络建设进行规划，充分采用先进成熟的网络技术，满足网络平台各种业务实时数据、非实时数据传输需要，形成统一先进的通信系统。（2） 安全性原则由于应用的特殊性，因此网络设计过程中从网络技术、骨干路由、电路保护、传输设备到项目人员组织、施工和运维环节等技术和人力资源多方面考虑项目的安全保证。（3） 可靠性原则网络设计过程中从网络技术、骨干路由、电路保护、传输设备等多方面考虑此项目的可靠性，保证数据传输的安全可靠。同时提供7*24的服务保障，从技术和服务两方面保证该项目的可用性达到要求。主干通信网络具备电信级7x24小时不间断运行的特性，其骨干网络设备关键部件和中继线路为

3、全冗余配置，不会因单点故障影响平台运行。（4） 经济性原则通过技术经济比较，性能价格比较，选择优化的网络结构和网络技术，尽可能利用和保护现有设备和投资，做到从实际出发，制定经济、合理的方案，以最小的网络建设和网络维护成本建设一个高可用、高安全的专用网。在满足各类通信需要并具备必要的网络性能的前提下，最大限度地降低用户端设备投资和网络通信费用。（5） 可扩充性原则考虑到未来全省高速公路各类业务的发展需要，网络承载的信息流量不断增加。通信网的设计中须考虑未来带宽扩容、电路提速的需要，从网络和设备的配置上都要保留一定的扩充余地，便于融入随着新技术发展带来的新功能。三、设计目标分区域，分阶段，按步骤实

4、施。通过对整体网络架构系统性的优化调整，使网络运行质量更高，同时保证网络可扩展性、高可用性、冗余性、高安全性、灵活性等特点，满足湖南省高速信息化8至10年业务发展需要，满足各级监管机构要求，满足三级等保要求。四、设计依据(1)公路水路交通运输信息化“十二五”发展规划；(2) 湖南省政府关于利用信息技术改造和提升传统产业的指导意见，湘政发20082号，2008年1月；(3) 关于建立全省交通系统通信专网的通知，湖南省交通运输厅湘交办2008401号；(4) 关于进一步加强交通通信专网与高速公路信息化建设的通知，湖南省高速公路管理局湘高局办2009430号；(5) 数字湖南规划(20112015年

5、)（征求意见稿），湖南省经济和信息化委员会，2011年7月；(6) 湖南省交通运输信息化“十二五”发展规划，湖南省交通运输厅，2011年6月；(7) 湖南省高速公路信息化建设项目一期工程可行性研究报告，湖南省高速公路管理局，2014年11月；(8) 湖南省政府关于加强道路交通安全工作的实施意见，湘政发201331号；(9) 关于实施湖南省高速公路信息化建设项目一期工程的请示，湖南省高速公路管理局、湖南省公安厅交通管理局湘高局办2014399号文；(10) 全国主干公路交通安全防控体系建设三年规划，公安部交管局公交管2014142号；(11) 湖南省高速公路交通安全防控体系信息化建设三年规划，湖

6、南省公安厅交通管理局，2014年6月；(12) 湖南省高速公路网规划(2008年)；(13) 湖南省交通运输厅关于明确湖南省高速公路运营管理实施方案的通知，湘交基建2012618号。(14)信息系统安全等级保护基本要求(15)信息系统安全保护等级定级指南(16)计算机信息系统安全等级保护划分准则五、收费网络结构说明5.1 收费网络整体架构说明湖南省高速公路网络由省中心、分管中心、收费站三级构成。分管中心通过专网和VPN通道两种方式与省中心互联；收费站通过专网上联分管中心，通过VPN通道上联省中心。全网使用静态路由实现网络连通。总体网络拓扑如下：5.2 收费网络省级数据中心网络说明 收费网络省级

7、数据中心如下所示：5.3 收费网络省级数据中心存在问题和隐患主要存在问题如下： 整体网络布局层次不够分明； 安全防护措施单一； 部分设备陈旧； 关键设备和链路存在单点故障。主要存在的影响及隐患如下： 无法根据业务发展进行平滑扩展； 存在严重安全隐患，不符合行业及国家指导标准； 存在多处单点故障； 存在业务全断风险。5.4 收费网络收费站点网络说明高速公路收费站网络主要为收费系统、各应用终端服务。目前网络主要是通过交换机级联实现网络连通，并且随着业务系统的陆续部署交换机级联现象越来越多。收费站网络有多种上联方式，部分收费站有两个出口与上级网络互联，一是通过路由器走传输与分管中心互联，二是通过VP

8、N设备走互联网与省中心VPN设备互联；部分收费站只有一个出口与上级网络互联，通过专网与分管中心互联，或是通过VPN与省中心互联。以下是几个收费站的网络拓扑图： 板仓收费站网络拓扑图大荆收费站网络拓扑图5.5 收费网络收费站点存在问题和隐患主要存在问题如下： 接入网络零乱，连接错踪复杂； 无法实现专网和VPN两条通道自动切换； 无任何安全防护手段； 部分设备陈旧； 无专业的维护人员，网络设备无法进行统一远程管理； 设备标签标识不规范，布线不整洁美观； 维护资料缺乏。主要存在的影响及隐患如下： 网络可靠性低，存在业务中断风险； 存在严重安全风险； 故障率高； 增加了故障排查时间； 增加了故障排查的

9、难度。六、视频网络结构说明待补充七、整体架构设计说明整体网络结构按照核心、汇聚和接入三级构成。核心层设置在省级中心，由两台高端路由器构成，下连14个市州管理处的汇聚路由器，同时连接省级视频和收费平台内部数据中心。汇聚层设置在各地州市管理处，由两台中高端汇聚路由器和四台汇聚交换机组成，两台汇聚路由器以“口”字型方式上连至两台省级核心路由器。接入层设置在各收费站点监控室和车道，分别配置两台中低端交换机，站点监控室两台交换机各通过双上行连接至汇聚交换机。收费通道两台交换机各通过双上行连接至站点监控室两台交换机。在省级平台部署综合安全网关设备，用于实现对用户访问的控制，增强数据的安全性。各平台新增综合

10、安全网关采用主备方式部署，当主机在处理业务的同时，会将业务产生的会话信息同步到备机，从而确保双机切换后，新发起的业务访问能继续得到响应处理，当前正在进行的业务访问也不会因此而中断。从设备层面均采用电信级的可靠性设计，分布式体系结构，不存在单点故障；采用无源背板，支持真正热插拔、热备份，同时设备的交换、路由处理系统等所有关键部件采用冗余热备份设计，能充分满足收费业务对设备高可靠性的要求。从组网方式上采用设备虚拟化、动态路由协议以及双归属链路等方式，保证网络具有故障自愈的能力，避免了单点故障的同时，最大限度地支持业务系统的正常运行。分层的模块化设计使得网络的扩展更加方便。升级的费用和复杂度限制在整

11、个网络的小范围内，当局部网络环境发生变化时不影响其它无关的层次。便于发现和隔离故障，有助于故障点的识别。八、整体路由设计说明考虑到网络中同时存在收费及视频监控两种业务，为简化网络结构以及增强数据的安全性，建议整体网络平台采取基于MPLS/BGP的三层VPN网络构架实现各级平台的互通与业务的逻辑隔离。MPLSVPN的网络采用标签交换，一个标签对应一个用户数据流，非常易于用户间数据的隔离，利用区分服务体系可以轻易地解决困扰传统IP网络的QoS/CoS问题，MPLS自身提供流量工程的能力，可以最大限度地优化配置网络资源，自动快速修复网络故障，提供高可用性和高可靠性。路由协议多实例，就是指在一个独立的

12、VRF中，运行一个与这个VRF相配套的路由协议。因此，在同一台路由器上不同VRF之间路由协议相互隔离，配置、功能上都是相互独立的。一般情况下，路由协议的多实例使用在PE设备上，即MPLS VPN这个场合下。在MPLS VPN需要在PE上的使用这种路由协议多实例来实现VPN之间相互隔离，并将这些路由协议多实例与MP-iBGP之间相互的重分发全网核心设备和汇聚设备运行MPLS-BGP路由协议，省中心核心路由器和各地州市汇聚路由器处于同一个AS，两者之间运行MP-IBGP。在MPLS VPN组网方面，省中心核心路由器作为P和PE设备，负责数据包的快速转发的同时，不同应用平台分别对应不同VRF，如收费

13、平台VRF、视频监控平台VRF、第三方接入平台 VRF等。省级中心数据中心汇聚交换机、各地州市汇聚交换机、接入层交换机作为CE设备，负责VPN的接入。地市汇聚路由器上分别部署收费、视频监控、交警管理平台三个VRF，通过RT规则实现路由互通和业务隔离。与交警管理平台之间采用静态路由实现业务互通。全网路由规划如下图所示：九、收费网络接入设计说明对收费接入网络建立统一的标准化拓扑结构，制定设备准入管理标准，按标准化要求，对当前网络结构进行调整和优化。为后续业务的发展提供良好的网络支撑服务。每个管理处增加两台汇聚交换机、两台站点监控室接入交换机、两台收费通道接入交换机。部分交换机可根据实际情况利旧。建

14、议新增交换机支持堆叠功能。堆叠技术可以将复杂的网络拓扑结构简化为层次分明、互联关系简单的网络结构，网络各层之间通过链路聚合，自然消除环路，不需要再部署MSTP、VRRP等协议。 汇聚交换机上联省级核心路由器，下联站点监控室接入交换机，同时下联路段、NET等服务器。站点监控室接入交换机上联管理处汇聚交换机，下联收费通道接入交换机。同时完成ETC、MTC、WATCH、路径计算、路径识别等服务器接入，OPE、TOD、TCO等工作站也接入至交换机。收费通道接入交换机上联站点监控室接入交换机，下联扫码终端、MTC终端、ETC终端。十、视频网络接入设计说明待补充十一、整体网络QoS设计说明为确保业务能实时

15、正常访问，需采取QoS对业务流量进行带宽合理分配。采用CAR技术，对收费数据流量和视频监控流量进行初步限流。其中视频监控流量分配最大带宽的80%，收费数据及其他数据流量分配最大带宽的20%。为了解决监控视频流小于带宽80%时其富余的预留带宽能够被更多的数据利用，再对视频和数据业务进行预留带宽的令牌操作（CAR），让视频流没有用完的令牌分给数据流，这样预留带宽内的数据流量就可以超出20%，使得链路带宽得到充分利用。采用CBWFQ对报文按流进行分类，首先按照用户自定义的分类规则来进行分类，合乎用户自定义的同一个匹配规则的网络数据包将被当作同一个网络数据流放入对应的同一个CBWFQ队列，不合乎用户自定义的匹配规则的将按照WFQ分类规则处理（相同源IP地址、目的IP地址、源MAC地址目的MAC地址、源端口号、目的端口号、协议类型、TOS的报文属于同一个流，每一个流被分配到一个保留的WFQ队列中）。在发送的时候，CBWFQ按照设定的带宽分配规则分配带宽。通地上述两种QOS机制都能实现针对不同的业务进行带宽保障。十二、VPN备份链路设计说明VPN作为专线的备份链路，专两条专线同时断开时，业务将智能切换到VPN通道。省中心