认证主体：宁夏凯米世纪网络科技有限公司
IP属地：宁夏
统一社会信用代码/组织机构代码
91640100MA774ECW4K
1、xx农业信息化网站建设方案目录1系统集成方案系统集成方案.31.1系统建设原则.31.2系统整体设计思路概述.41.3系统示意拓扑图.51.4详细设计.81.4.1服务器系统.81.4.2服务器负载均衡.111.4.3存储系统.111.5安全设计.131.5.1系统高可用.131.5.2互联网安全接入和入侵防御系统.131.5.3网页防篡改系统.141.5.4病毒防范系统.151.5.5用户/服务器身份认证.151.6本规划特点.161系统集成方案系统集成方案1.11.1系统建设原则系统建设原则1、先进性设计思想先进、起点高，结构先进，
2、最大限度的采用市场覆盖率高、符合技术标准的标准化和技术成熟的软硬件产品。2、实用性要充分保护好、利用好现有的资源，发挥现有设备的功效，功能完善、兼容性强。3、开放性采用开放技术、开放结构、开放系统组件和开放接口，符合国际通用标准协议，便于系统维护、扩展升级与外界互联沟通。4、可靠性具有容错功能，管理维护方便，能满足系统所在的地理环境、气候条件。抗干扰能力强，确保系统的高可靠运行。5、可扩展性规划与设计既能满足现行的应用，在配置上，又要有所预留，以满足因技术发展需要而实现低成本扩展和升级的需要。6、安全性最大满足的提供多层次的安全控制手段，建立完善的安全体系。7、
3、经济性投资合理，优良好的性价比，且综合考虑设备价格的变化、扩展升级等因素。8、易维护性系统应具有良好的管理功能。1.21.2系统整体设计思路概述系统整体设计思路概述考虑本系统预计的同时在线用户数量较大（约300000用户），为保证系统的稳定和可靠运行，并且有效保护投资，建议整个系统硬件构架上采用分期实施方式，同时在系统的整体结构设计上具有良好的可扩展性。一期建议先按照2000-3000用户同时并发考虑设计，后期随着用户数的增加，只需要添加相应的服务器和网络设备等，而不需要改变系统的整体架构。1.31.3系统示意拓扑系统示意拓扑图图入入侵侵检检测测ii
4、ddss核核心心交交换换机机wweebb服服务务器器群群数数据据库库服服务务器器群群网网页页防防篡篡改改发发布布服服务务器器认认证证服服务务器器ssaann交交换换机机主主存存储储备备份份存存储储备备份份管管理理服服务务器器防防火火墙墙负负载载均均衡衡交交换换机机ccaa,,rraa,,rrss服服务务器器联通电信银行方案设计说明：方案设计说明：本设计从结构和功能角度主要划分为：服务器部分、存储部分、互联网安全部分、应用服务器负载均衡部分、网页防篡改部份等。1、服务器系统：考虑本系统可能的同时在线用户数量较大（约3
5、00000用户）为保障业务的稳定运行，并为今后业务扩展预留充分的扩展空间，本方案采用两级结构：前端部署2台负载均衡交换机，采用多台pc服务器并行作为系统应用服务器，运行应用系统来提供web服务；后端采用2台高性能服务器以集群方式工作，作为后台数据库服务器，这2台服务器实现双机和负载分担。服务器选型为国际著名品牌，具有优异处理能力、可靠的稳定性和便捷的可管理维护性。此种设计架构的优点在于可以充分保障系统的稳定可靠，而且随着用户量的增加，可以通过直接增加应用服务器和数据库服务器的方式保证系统的运行，而不需要改变现有的架构，能够做到对现有投资的有效利用和保护
6、。2、存储系统：考虑本系统包含业务重要，且需要运行数据库等软件，故存储系统使用fcsan架构。通过采用多端口的san交换机，可以实现多台数据库服务器共享一台高性能的磁盘阵列，保证业务的可靠性和系统的可扩展性。fcsan架构为当前技术最成熟、最稳定的存储架构，尤其适合包含重要业务应用的数据库环境。为实现系统最大可用性，保证服务器和存储间的最佳组合，建议存储和服务器主机同一品牌。3、互联网和银行安全接入建议采用安全网关（防火墙）接入宽带互联网，安全网关utm(统一威胁管理)可以进行从网络层到应用层的全面检查，在安全网关上还可以部署防病毒模块，从而有效防范抵御来
7、自网外的病毒、黑客等攻击。一体化安全网关采用高性能的硬件架构和一体化的软件设计，通过选配不同的应用模块（如用户需要），可以实现集防火墙、vpn、入侵防御（ips）、防病毒、外联控制、抗拒绝服务攻击（anti-dos）、内容过滤、反垃圾邮件、netflow等多种安全技术于一身，同时全面支持qos、高可用性（ha）、日志审计等功能，为网络边界提供了全面实时的安全防护。4、入侵防御系统入侵防御系统（ips）可以围绕深层防御、精确阻断这个核心，通过对网络中深层攻击行为进行准确的分析判断，在判定为攻击行为后立即予以阻断，主动而有效的保护网络的安全。入侵防御系统（ips
8、）倾向于提供主动性的防护，其设计旨在预先对入侵活动和攻击性网络流量进行拦截，避免其造成任何损失，而不是简单地在恶意流量传送时或传送后才发出警报。ips是通过直接嵌入到网络流量中而实现这一功能的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包，以及所有来自同一数据流的后续数据包，都能够在ips设备中被清除掉。简单地理解，ips等于防火墙加上入侵检测系统，但并不是说ips可以代替防火墙或入侵检测系统。防火墙是粒度比较粗的访问控制产品，它在基于tcp/ip协议的过
10、大型数据库及应用程序；能满足当大量用户及多种业务在服务器上运行时，系统性能不明显下降；应能够提供很高的安全性、可靠性与可管理性。1.4.1.11.4.1.1选型概述选型概述考虑本系统可能的同时在线用户数量较大（约300000用户）为保障业务的稳定运行，并为今后业务扩展预留充分的空间，本方案采用两级结构：前端部署2台负载均衡交换机，采用多台pc服务器并行作为系统应用服务器，运行应用系统来提供服务；后端采用2台高性能服务器作为后台数据库服务器，这2台服务器通过双机软件实现双机和负载分担。服务器选型为国际著名品牌，具有优异处理能力、可靠的稳定性和便捷的可管理维护
11、性。对于处理能力的需求，往往通过内部的tpmc（tpc-c，事务处理性能标准的单位）指标来衡量服务器系统的总体处理能力。tpmc是以不同系列服务器在实际业务环境中经过大量检测得到的技术指标，是一种国际标准。该值考虑到了用户的实际环境，具有很高的参考价值。1.4.1.21.4.1.2cpu能力的计算能力的计算以下计算公式是业界系统集成总结的经验方法，基本反映了业务特点对主机处理能力的需求：tpmtask80%s（1+f）/（tc）其中：task：为每日业务统计峰值交易量，每台写为主的终端每天大约会对数据库做5次操作，按照500000台计算；而每台以读为主的终
13、的每笔交易的复杂度，此值可设定为30。c：为主机cpu处理余量。实际应用经验表明，一台主机服务器的cpu利用率高于80%，则表明cpu的利用率过高会产生系统瓶颈，而利用率低于60%时，是处于利用率最佳状态。因此，在推算主机性能指标时，必须考虑cpu的冗余，设定c=60%。f：为系统未来三年的业务量发展冗余预留，设定为50%。综上所述，为保障数据库程序处理性能要求，我们可推算得出主机所需的处理能力。考虑每日的业务量的80大约在工作日的1个小时高峰业务时段内发生，业务复杂度参数设定为30。则套用上面的公式：每分钟的交易数：tpm=75000008
14、0%30*1.5/(600.6)75000000注：注：本期工程中建议采用2台高性能pc服务器作为数据库服务器，通过集群方式提供分担和冗余服务。后期随着用户量的增加，可以通过在群集内增加服务器的方式实现方便的扩展。1.4.1.31.4.1.3推荐服务器配置推荐服务器配置数据库服务器数据库服务器（2台）：作用：运行系统所需的各种系统数据和业务数据，完成本地业务数据的访问、存取。操作系统：redhat5linux高级平台服务器版数据库：oracle10g硬件设备配置：4颗英特尔至强主频2.4ghz以上六核处理器,32g以上内存，2*146g10k
15、sas2.5双端口热插拔硬盘，支持raid-0、1、5，4个10/100/1000mb自适应以太网口，11冗余电源，超薄satadvd光驱。应用服务器：应用服务器：（2台以上）作用：采用2台以上pc服务器并行作为系统应用服务器，为用户提供在线服务。操作系统：redhat5linux标准服务器版硬件设备配置：2颗英特尔至强四核处理器2.40ghz以上,8g内存，2*146g10ksas2.5双端口热插拔硬盘，4个10/100/1000mb自适应以太网卡，11冗余电源，超薄satadvd光驱。注：单台注：单台web
16、web应用服务器大约可以承载应用服务器大约可以承载50005000左右并发用户，可左右并发用户，可以通过增加应用服务器数量实现承载能力的扩充。以通过增加应用服务器数量实现承载能力的扩充。1.4.21.4.2服务器负载均衡服务器负载均衡推荐采用2台负载均衡交换机，部署在web服务器前端，通过负载均衡交换机合理分配用户的访问流量到各台服务器，保障系统的稳定可靠运行。1.4.31.4.3存储存储系统系统1.4.3.11.4.3.1选型概述选型概述性能存储性能是系统设计的重要原则之一，存储的性能应能够满足应用系统峰值的需求，并有进一步扩展的空间，包括容量和性能的
17、扩展。选择性能最佳的磁盘系统，可以有效地提高计算机系统的i/o性能，从而提高计算机的整体性能。扩展性磁盘系统的容量扩展性：磁盘系统本身设计会有一定的局限，其容量最大可扩展能力是否满足单位今后数据发展的需要，是选择磁盘系统时必须考虑的一个方面。磁盘系统的扩容兼容性：由于磁盘系统的发展日新月异，用户在存储扩容时还要考虑新磁盘系统与旧设备之间的兼容性，即产品系列有连续性。磁盘驱动器的兼容性：只有能够支持不同容量、不同转速的磁盘驱动器，才能最大限度地保护用户的投资。可靠性数据是非常重要的资产，数据的可靠性很大程度上依靠存储设备。1.4.3.21.4.3.2存储选型存储选型
18、本期工程系统按300000用户，考虑数据保存10年设计，并保证一定的扩展能力。每天图片数量大概在40m，文字信息大概在20m，日志大概20m，按照保存10年的数据考虑，则资料数据为：（40+20+20）365*10292g。主数据库考虑30g空间，则数据库数据量为29230322g。数据库容量数据库数据量（1索引系数0.3）（1冗余系数0.2）+数据库系统空间20gb292g1.31.220455g。对于系统的数据采用raid5的冗余方式，其数据量为455/0.8570gb的物理存储空间。1.4.3.31.4.3.3推荐存储配置推荐存储
19、配置磁盘阵列：光纤磁盘阵列1台，8端口san交换机2台。2个控制器,每个控制器有1gb以上缓存、2个4gbfibrechannel端口；6块以上146gsas硬盘。1.51.5安全设计安全设计1.5.11.5.1系统高可用系统高可用针对电子商务系统的特点，本系统主要设备均设置双机互备，最大程度上消除单点故障，从而满足业务系统高可用的需求。1.5.21.5.2互联网安全接入互联网安全接入和入侵防御系统和入侵防御系统预计本网站高峰在线用户有300000人，按照高峰有10%（30000）用户并发，每个用户平均最少需要消耗约100k
20、bit带宽计算，考虑一定的冗余，建议大约需要3000m互联网出口带宽。注：先期如果用户量不大，可以根据实际情况适当考虑出口带注：先期如果用户量不大，可以根据实际情况适当考虑出口带宽。宽。互联网接入设备互联网接入设备按照业界的经验值每个用户的连接数在10-20个左右，按照300000用户同时在线计算，防火墙的并发连接数需要在1000000以上。注：先期如果用户量不大，可以根据实际选择单台并发连接数1000000以上的防火墙，后期（业务量达到一定程度）再采用多台防火墙并发分担流量。推荐采用千兆安全网关接入宽带互联网，设备可提供4个以上10/100/100
21、0base-t接口，支持sfp千兆接口，并发连接数1000000以上，每秒新建连接数30000以上，吞吐量2g以上。入侵防御设备入侵防御设备推荐互联网防御方面部署入侵防御系统，入侵防御类网络安全产品，围绕深层防御、精确阻断这个核心，通过对网络中深层攻击行为进行准确的分析判断，在判定为攻击行为后立即予以阻断，主动而有效的保护网络的安全。入侵防御系统及时、全面的检测和呈现网页木马和web漏洞，并提供补救措施。对sql注入、跨脚本攻击等针对web业务的攻击行为有很好的判断和防御能力，做到无误报，无漏报。1.5.31.5.3网页防篡改系统网页防篡改系统
22、面对越来越多的web应用层攻击，传统的安全措施和服务已经无法有效的进行防御。即便有防病毒保护、防火墙和ids/ips，企业仍然不得不允许一部分的通讯经过防火墙，毕竟web应用的目的是为用户提供服务，保护措施可以关闭不必要暴露的端口，但是通常情况下web应用必须的80和443端口，是一定要开放的。可以顺利通过的这部分通讯，可能是善意的，也可能是恶意的，很难辨别。而恶意的用户则可以利用这两个端口执行各种恶意的操作，或者偷窃、或者操控、或者破坏web应用中的重要信息。因此，部署专业、可靠的web应用安全产品以保护web应用免遭篡改、注入、跨站等应用
23、层攻击，是保障网站系统业务安全正常运营、阻止不法分子侵害广大用户的利益的重要措施。推荐在现有网络架构的基础上部署网页防篡改系统，一旦发现网页被非法修改，即进行自动恢复，保证非法网页内容不被公众浏览。支持网页的自动发布、篡改检测、应用保护、警告和自动恢复，保证传输、鉴别、完整性检查、地址访问、表单提交、审计等各个环节的安全，完全实时地杜绝篡改后的网页被访问的可能性，也杜绝任何使用web方式对后台数据库的篡改。1.5.41.5.4病毒防范系统病毒防范系统网络病毒是目前广大互联网用户最头疼的问题。在网络出口部署防火墙，只能做到对来自局域网外部攻击的防范，对于由于局域网内部员工的不规范使用或copy文件而产生的病毒，无法做到控制。对于公司内部网，必须增加一套网络版杀毒软件，用以控制局域网内的主机病毒。1.5.51.5.5用户用户/服务器身份认证服务器身份认证1、建立pki/ca认证体系从总体构架来看，pki/ca主要由最终用户、认证中心和注册机构来组成。本系统配置了c