海外網(wǎng)絡(luò)建設(shè)助推國際化優(yōu)先發(fā)展戰(zhàn)略落地

韓占濤 王正

中國路橋作為一家在全球范圍內(nèi)從事大型基礎(chǔ)設(shè)施建設(shè)和投資業(yè)務(wù)的國際化企業(yè)，主要業(yè)務(wù)遍布全球，分別在亞洲、非洲、歐洲、美洲60多個國家和地區(qū)設(shè)立了駐外機構(gòu)。這些駐外機構(gòu)多位于第三世界國家，網(wǎng)絡(luò)建設(shè)與網(wǎng)絡(luò)安全防護等方面有所不足。

為貫徹執(zhí)行“國際化優(yōu)先發(fā)展”戰(zhàn)略，公司亟須打造資源共享、業(yè)務(wù)協(xié)同、支撐決策的全球網(wǎng)絡(luò)基礎(chǔ)架構(gòu)，加強網(wǎng)絡(luò)安全方面建設(shè)，提升全球范圍內(nèi)的信息支撐能力，推進信息化建設(shè)標準化進程。在公司“十三五”信息化規(guī)劃總體框架下，需對公司海外網(wǎng)絡(luò)建設(shè)進行深入規(guī)劃與相關(guān)改造，以滿足公司業(yè)務(wù)發(fā)展對信息化支撐能力的要求。

一、建設(shè)目標

根據(jù)海外網(wǎng)絡(luò)建設(shè)現(xiàn)狀，結(jié)合中國交建香港匯聚中心和歐洲匯聚中心，在充分利用中國交建資源的前提下，完成以下內(nèi)容：對海外網(wǎng)絡(luò)進行全局規(guī)劃，提高各駐外機構(gòu)與公司總部之間的網(wǎng)絡(luò)連接效率；按照駐外機構(gòu)的不同規(guī)模等級，制定網(wǎng)絡(luò)建設(shè)規(guī)范，提升各駐外機構(gòu)信息化業(yè)務(wù)的連續(xù)性、穩(wěn)定性與安全性。

二、現(xiàn)狀分析

1.公司還沒有統(tǒng)一的海外網(wǎng)絡(luò)架構(gòu)規(guī)劃，海外網(wǎng)絡(luò)建設(shè)均由各駐外機構(gòu)自行搭建，搭建過程中沒有標準規(guī)范，造成各駐外機構(gòu)的網(wǎng)絡(luò)現(xiàn)狀參差不齊，具體體現(xiàn)在網(wǎng)絡(luò)拓撲結(jié)構(gòu)、設(shè)備型號、IP設(shè)置等方面隨意性較大，管理支持成本很高，因此公司信息化管理部無法為各駐外機構(gòu)提供及時有效的技術(shù)支持。

2.公司駐外機構(gòu)主要通過加速網(wǎng)關(guān)WOC設(shè)備或SSL VPN客戶端的方式與總部建立局域網(wǎng)連接，其中共有27個駐外機構(gòu)使用WOC設(shè)備與總部配對連接，部分駐外機構(gòu)因辦公地點分散購置了多個WOC設(shè)備，但所有的駐外機構(gòu)均未配置冗余WOC設(shè)備，在海外硬件設(shè)備售后服務(wù)無法及時保障的大背景下，存在較大的隱患。

3.公司總部IP地址未完全按照中國交建統(tǒng)一要求進行配置，駐外機構(gòu)的IP地址完全沒有規(guī)劃，亟需進行規(guī)劃改造，否則會在公司總部與駐外機構(gòu)互聯(lián)甚至中國交建廣域網(wǎng)接入的過程中出現(xiàn)IP沖突、業(yè)務(wù)中斷等問題。

三、總體規(guī)劃

公司全球網(wǎng)絡(luò)總體架構(gòu)依托中國交建全球廣域網(wǎng)的建設(shè)，根據(jù)公司總部和各駐外機構(gòu)對財務(wù)類、生產(chǎn)經(jīng)營類、人力資源類、設(shè)備資產(chǎn)類等數(shù)據(jù)的集中管理、共享交換和備份安全等需求，以大數(shù)據(jù)、下一代網(wǎng)絡(luò)、虛擬化等核心理論技術(shù)體系，從基礎(chǔ)設(shè)施、網(wǎng)絡(luò)與安全等方面搭建信息資源集中存儲、統(tǒng)一管理、統(tǒng)一服務(wù)的全球一體化網(wǎng)絡(luò)平臺，為公司總部各應(yīng)用系統(tǒng)提供良好的運行環(huán)境和高效的服務(wù)，同時也可向駐外機構(gòu)提供云服務(wù)/數(shù)據(jù)/存儲/計算資源的能力。建設(shè)思路如下：

1.依托中國交建廣域網(wǎng)，駐外機構(gòu)通過海外匯聚中心跳轉(zhuǎn)，訪問公司總部業(yè)務(wù)。通過專線跳過長城防火墻以及解決互聯(lián)網(wǎng)帶寬競爭激烈的問題，有效提升鏈接效率，減小延時和丟包率。

2.按照駐外機構(gòu)不同規(guī)模等級，制定網(wǎng)絡(luò)建設(shè)規(guī)范，按照“統(tǒng)一規(guī)范、統(tǒng)一采購、統(tǒng)一配置、統(tǒng)一支持”的原則進行駐外機構(gòu)的本地網(wǎng)絡(luò)建設(shè)，滿足駐外機構(gòu)辦公上網(wǎng)需求，便于公司信息化管理部為各駐外機構(gòu)提供統(tǒng)一的技術(shù)支持。

四、建設(shè)方案

（一）海外網(wǎng)絡(luò)建設(shè)

隨著中國交建香港匯聚中心和歐洲匯聚中心的建設(shè)，公司可依托中國交建的平臺搭建更適合自身業(yè)務(wù)的海外網(wǎng)絡(luò)廣域網(wǎng)，有效提高公司總部與駐外機構(gòu)的連接效率，增強公司在業(yè)務(wù)上對各駐外機構(gòu)的管控與支撐力度。規(guī)劃建設(shè)步驟如下所示：

1.利用中國交建廣域網(wǎng)，擴大公司與中國交建間的專線帶寬，在保證視頻會議和財務(wù)數(shù)據(jù)備份的帶寬基礎(chǔ)上，通過相關(guān)網(wǎng)絡(luò)策略劃分部分帶寬專用于海外網(wǎng)絡(luò)建設(shè)中數(shù)據(jù)傳輸。

2.搭建公司香港節(jié)點的基本網(wǎng)絡(luò)架構(gòu)，接入到中國交建的網(wǎng)絡(luò)中，通過安全設(shè)備隔離廣域網(wǎng)接入?yún)^(qū)，將公司總部WOC設(shè)備推向前端，并做冗余處理，拓撲架構(gòu)詳見下圖；各駐外機構(gòu)連接到香港的WOC設(shè)備，通過路由策略選路專線經(jīng)中國交建北京總部，最終訪問公司總部的業(yè)務(wù)，有效解決中國大陸地區(qū)出口帶寬受限的問題，減少延時和丟包率；個人用戶連接集團海外匯聚中心的SSL VPN設(shè)備，接入公司內(nèi)網(wǎng)。

3.中國交建歐洲匯聚中心建成后，可按同樣配置建設(shè)公司歐洲匯聚節(jié)點。根據(jù)各駐外機構(gòu)所處區(qū)域及運營商，分別連接到香港匯聚節(jié)點和歐洲匯聚節(jié)點，為達到最好的連接效果，香港匯聚節(jié)點連接中東、東南亞、澳洲和美洲地區(qū)，歐洲匯聚節(jié)點連接非洲和歐洲地區(qū)。

4.在香港匯聚節(jié)點和歐洲匯聚節(jié)點安裝服務(wù)器，通過云服務(wù)的方式，將重點項目的海外核心數(shù)據(jù)存儲在匯聚節(jié)點中，各駐外機構(gòu)只搭建可供正常快速上網(wǎng)的網(wǎng)絡(luò)架構(gòu)，有效避免因海外人員技術(shù)能力薄弱帶來的黑客入侵、政治動蕩導(dǎo)致的核心數(shù)據(jù)硬盤被搶掠等情況的發(fā)生，為海外網(wǎng)絡(luò)信息安全保駕護航。

（二）駐外機構(gòu)網(wǎng)絡(luò)建設(shè)規(guī)范

1.規(guī)范適用范圍

規(guī)范是公司所屬駐外機構(gòu)網(wǎng)絡(luò)建設(shè)的規(guī)范性指導(dǎo)文件，適用于各子公司、分公司、辦事處、代表處及項目部的網(wǎng)絡(luò)建設(shè)工作。

根據(jù)公司各駐外機構(gòu)的人員規(guī)模，對駐外機構(gòu)提出三個不同等級建設(shè)建議，等級劃分規(guī)則如下：

三級要求：駐外機構(gòu)需要接入網(wǎng)絡(luò)的人員大于等于100人；

二級要求：駐外機構(gòu)需要接入網(wǎng)絡(luò)的人員大于等于10人小于100人；

一級要求：駐外機構(gòu)需要接入網(wǎng)絡(luò)的人員小于10人。

2.組網(wǎng)結(jié)構(gòu)

采用與公司總部相匹配的WOC設(shè)備，實現(xiàn)本地互聯(lián)網(wǎng)的接入及總部局域網(wǎng)的互連，進一步加速業(yè)務(wù)訪問、文件的傳輸速度。其中三級等級要求的駐外機構(gòu)建議配置WOC設(shè)備冗余，使網(wǎng)絡(luò)連接更加可靠。

對于三級等級要求的駐外機構(gòu)推薦采購多臺局域網(wǎng)設(shè)備，實現(xiàn)設(shè)備的冗余配置，以滿足網(wǎng)絡(luò)高可靠性的要求；對于二級等級要求的駐外機構(gòu)，需按照一定層次搭建局域網(wǎng)，無強制冗余要求。

三級等級要求的駐外機構(gòu)，局域網(wǎng)用戶通過接入交換機接入，接入端口數(shù)量須考慮一定預(yù)留，可按照實際接入的定員用戶（PC）數(shù)量的1.2～1.5倍進行配置。

局域網(wǎng)設(shè)備在具備條件的情況下應(yīng)安裝在機房內(nèi)，機房環(huán)境要求環(huán)境整潔、恒溫恒濕，建議安裝靜電地板、溫控設(shè)備、UPS供電設(shè)備。

3.網(wǎng)絡(luò)帶寬

三級等級要求的駐外機構(gòu)，辦公局域網(wǎng)需實現(xiàn)千兆桌面的網(wǎng)絡(luò)接入能力，接口為100 Base-T /1000Base-T自適應(yīng)接口。

二級等級要求的駐外機構(gòu)，辦公局域網(wǎng)應(yīng)實現(xiàn)百兆桌面的網(wǎng)絡(luò)接入能力，接口為100 Base-T接口。

一級等級要求的駐外機構(gòu)，無具體要求，滿足實際使用需求即可。

根據(jù)本地辦公人數(shù)，建議網(wǎng)絡(luò)帶寬：

10人以下： 不小于5M，10人至30人： 5M～20M，30人以上： 20M以上.

4.網(wǎng)絡(luò)安全

局域網(wǎng)采用VLAN技術(shù)實現(xiàn)局域網(wǎng)用戶的邏輯隔離，須根據(jù)職能部門或業(yè)務(wù)類型進行VLAN的設(shè)計。

區(qū)域公司本部局域網(wǎng)宜采用動態(tài)地址分配方式，局域網(wǎng)設(shè)備可為DHCP服務(wù)器。在動態(tài)地址分配方式下，局域網(wǎng)須實現(xiàn)VLAN功能，隔離外部接入設(shè)備；對于內(nèi)部設(shè)備配置IP地址與MAC地址的動態(tài)綁定，不在綁定表的IP地址不能接入網(wǎng)絡(luò)，防止IP中間人攻擊或IP欺騙行為。

駐外機構(gòu)局域網(wǎng)可采用動態(tài)地址或靜態(tài)地址分配方式，在動態(tài)地址分配方式下，局域網(wǎng)設(shè)備可為DHCP服務(wù)器。

（三）IP地址規(guī)劃策略

中國交建發(fā)布的《IP地址規(guī)劃標準》將10.3.0.0/255.255.0.0地址空間分配給公司統(tǒng)一管理，并由公司分配給總部各職能部門及各駐外機構(gòu)使用。公司IP地址規(guī)劃采用如下策略：

1.公司總部網(wǎng)絡(luò)機房IP地址劃分參照中國交建《IP地址規(guī)劃標準》進行。

2.各駐外機構(gòu)均分配兩個C類地址段，網(wǎng)絡(luò)設(shè)備、服務(wù)器備必須按照要求統(tǒng)一規(guī)劃在第一個C類地址段中，客戶端接入規(guī)劃在第二個C類地址段中。

3.子網(wǎng)劃分方案后續(xù)將制定詳細的《IP地址規(guī)劃表》，方案中主要采用掩碼為255.255.255.0，255.255.255.128，255.255.255.192和255.255.255.224的子網(wǎng)。

4.其中較穩(wěn)定的駐外機構(gòu)，可分配長期使用的IP網(wǎng)段，對于新成立的非常建制機構(gòu)，可采用動態(tài)管理的模式分配IP網(wǎng)段，待該機構(gòu)注銷后回收備用。