河南省水利系统广域网管理维护方案探究

□赵新强 □李 亚 □李 婧（河南省水利信息中心）

1 概述

河南省水利系统广域网依托河南省山洪灾害防治县级监测预警平台项目实现了省、市、县三级网络连接，目前，网络已覆盖了省水利厅、18个市水利局、6座省管大型水库、24个厅属单位、134个县（区）水利局、10个市管大中型水库和5座节制闸，网络用户达3000余人。各级联网单位主要通过租用河南省联通公司10MMPLS-VPN电路实现连接。濮阳市、开封市、周口市、商丘市、漯河市等5个市的34个县（区）水利局通过租用河南省电信公司10MMPLS-VPN电路连接到市水利局。

河南省水利系统广域网络作为各级水利主管部门数据、语音和视频业务传输的主要载体，实现了全省水雨情、工情和旱情信息的传输共享，并20min内将全部报讯站的信息收集、传输到中央，为防汛抗旱指挥调度提供科学手段；实现了办公文件、各种应用系统数据的传输；实现了语音IP电话和视频监控等业务的实时传输。网络的重要性愈发明显，愈需要规范的网络管理和维护。

2 网络拓扑

河南省水利系统广域网架构如图1所示，以租用联通公司电路为例，县水利局用户从本地交换机连接到防火墙，接入光电转换器，通过县联通公司10MMPLS-VPN电路汇总到市联通公司，然后通过100MMPLS-VPN电路接入各市水利局光电转换器，再接入市水利局防火墙2，通过局域网交换机接入市水利局防火墙1，再接入光电转换器，最后通过市联通公司10MMPLS-VPN电路汇总到省联通公司，通过1000MMPLS-VPN光纤电路接入河南省水利厅防火墙，从而实现全省各水利部门的互联互通。

图1 河南省水利系统广域网拓扑图

从数据流向来说，由于租用河南省联通公司MPLS-VPN电路，每个联网单位和联通公司之间都有成对出现的路由，并且双方均需要配置路由，实现互指，缺一不可。各单位可以在拓扑图上标明各网络设备的IP地址，含路由出口地址，这样对数据流向便一目了然。

3 网络管理维护

3.1 管理模式

河南省水利系统广域网络采用分级管理的模式，以“责任管理分散，职能管理集中”为原则，责任和职能划分如下：

联网单位对各自网络区域进行管理和维护，并负责各自区域网络安全。

河南省水利信息中心负责全省水利系统网络的职能管理工作，如IP规划、路由网络规划、网络信息安全管理体系的建设等，负责对市级网络节点骨干网的管理和监视，负责对全省联网单位进行技术指导。

各市水利局网络管理部门为广域网络二级分中心，在全网统一规划的基础上对下联单位进行进一步细化管理，负责对县级网络节点骨干网的管理和监视，负责对全市联网单位进行技术指导。

3.2 管理制度

完善、严密的管理制度是网络管理规范化、高效化的基础，以确保人人各司其职，各尽其责。目前，国家安全部门对各单位的安全建设明确要求有规范健全的管理制度。河南省水利信息中心主要的规章制度有网络中心管理制度、机房管理制度、值班制度、资产管理制度、信息安全保密制度、应急预案制度等。各联网单位根据自己实际情况制定切实可行的管理制度，加强用户管理和安全管理，定期检查网络和设备的状态，维护机房环境、保证网络健康正常的运行。

3.3 安全管理

网络安全管理从物理与环境安全考虑，做好防火、防水、防雷措施，加强机房出入控制；从网络安全考虑，加强防火墙安全配置，关闭常见病毒攻击端口，启用设备防DDOS攻击功能，对服务器要划分专区重点防护，只开放服务器对外端口，如果有对外web服务，还可以配置web防火墙；从系统安全考虑，加强服务器安全配置，尽可能关闭服务器无关端口，定期对服务器杀毒，做漏洞扫描，清除隐患；从用户安全考虑，对用户进行准入控制，身份登记，要求用户必须安装杀毒软件，加强用户上网行为管理与日志审计。

3.4 运维管理

网络运维管理主要指实行7×24 h网络值班制度，监控网络运行情况。利用网络管理软件，定制网络拓扑图，并在拓扑图上的每台设备图标上均设置管理地址，通过ping、https、telnet等工具进行网络探测，定期检查网络通断。如有网络异常可通过声音、邮件等方式报警，从而实现基本的监视、定位、检测、追踪等功能。同时还可以通过网络管理软件自定义更多的端口来侦测服务器运行状况，例如网站服务器侦测80或者8080端口，邮件服务器侦测smtp服务25端口或者pop3服务110端口；ftp服务器避侦测21端口等，避免了网络正常但服务故障的情况，更直接的监视服务器运行。图2即市水利局监控到各县水利局骨干网的拓扑图。网络管理软件很多，比较常见的有FriendlyPinger、北塔、广通、网强等。

3.5 故障应急处理

防汛无小事，担负着关键数据传输的网络也显得尤为重要，需要制定一套完整的故障应急处理预案，避免有故障时手忙脚乱。平时就需要做好准备工作，如制作本单位网络拓扑图，注明设备IP地址，理清网络数据流向，在关键设备和网线上要贴好标签，标明端口，做到条理、规范。

图2 网络监控图

在网络出现故障时要沉着冷静，用ping、tracert等命令按数据流向逐级排查，缩小范围快速定位，再细心排查，就能查到故障点。通常步骤处理如下：

第一，首先ping自己单位网关和防火墙出口路由地址，不通则是局域网问题，执行第二步；通则执行第四步。

第二，确定防火墙、交换机、协议转换器等设备有无故障，通过目测接口状态指示灯确定硬件设备有无告警。如果协议转换器比平时多亮了红灯，可联系联通公司让检查线路；如果防火墙、交换机设备有问题，联系设备厂商解决。

第三，设备无异常，将防火墙、交换机、协议转换器等设备断电2min后再开机，再查看连接。重启后正常则说明设备死机；重启后仍不通，可以断开所有内部网络连接设备，用单机（笔记本电脑）接入防火墙局域网口，看能否ping通网关，通说明局域网内有严重病毒或交换机有故障；不通说明防火墙有故障。

第四，ping防火墙出口对应联通路由地址，不通说明联通线路或者光电转换器有故障，联系当地联通公司进行检查；通则可能是联通路由问题、上联单位网络问题等原因，联系上联单位协助解决。

4 结语

河南省水利系统广域网从2001年开始，经过建设、升级、发展，逐步建立了覆盖全省的三级骨干网络。多年来，通过不断学习、总结，已形成了一套规范有效的网络管理维护体系，希望可以在各联网单位推广应用，更安全有效的保障网络运行，为河南省水利事业做出更大的贡献。

洪伟.基于MPLSVPN技术的行业专网(J).计算机与现代化，2003(9).