政务园区网是独立的政务大楼、大型的政务园区内的网络，各级政务机构办公网络需求最终都是由政务园区网络来进行承载，此外各级政务机构的小中型数据中心也是在政务园区网内来进行部署的。由于政府行业的特点，政务园区网相对于普通企业园区网存在如下的特点：

• 园区内存在多个部委或者委办局，各部门或者委办局之间的业务需要彼此隔离，纵向连接到各自部委下的上级单位和下级单位，例如园区内省文化厅某机关的网络纵向需要连接到上级文化部和下级市级的文化局；
• 高度的网络安全需求，政务网络承载着涉及国计民生的重大政务应用与重要政务信息，因此网络的高度安全对政务网络来说十分重要；
• 接入终端密度大，汇聚层要求可靠性高；
• 实行差异化的QoS服务，保证关键业务的承载质量。

政务园区网络解决方案

政务园区网络解决方案通过如下方案实现业务层的需求：

• VLAN、MPLS VPN技术，实现部委间业务纵向隔离；
• CSS、iStack无环以太网组网技术，实现政务园区网络的易扩展、高可靠；
• 分级分业务的QoS保障，保障关键政务应用及关键业务部门的应用体验；
• 全系列网络安全设备，实现终端、内部边界、出口全方位立体安全；
• 政务园区WLAN部署方案，实现政务无线办公及外部访客接入。

图1 政务园区网络解决方案

VLAN、MPLS VPN技术，实现部委间业务纵向隔离

通过以下措施实现政务园区网内各部委或者委办局业务间的隔离：

• 各委办局各自局域网划分VLAN；
• 各委办局局域网上联到园区网汇聚交换设备，汇聚交换设备作为各委办局三层网关，实现VLAN与MPLS VPN路由映射；
• 园区出口处城域网PE设备完成园区数据流量的MPLS标签标记。

图2 VLAN+MPLS VPN实现纵向业务隔离

CSS、iStack技术实现无环以太网组网

无环以太网组网具体组网如下：

设备堆叠/集群：2台或多台接入层交换机之间通过iStack技术进行堆叠，2台汇聚层交换机之间通过CSS技术组建交换集群，2台核心交换机之间通过CSS技术组建交换集群。堆叠、集群之后，当一台故障时，另一台自动接管所有业务。

链路聚集：通过Trunk技术，实现链路的聚集，一条或多条链路故障后,流量自动切换到其他正常的链路。

图3 CSS+iStack无环以太网组网

通过应用无环以太网技术，满足政务园区网络接入层终端密度大，汇聚层核心层高可靠的需求。无环以太网技术组网简单，不需要配置多数可靠性的协议，可以减化配置和维护工作量，减少出错机率。

分级分业务的QoS保障

园区网实现端到端的QoS保障，园区网所有节点应用QoS策略。QoS策略在多个应用队列之间进行调度。接入节点通过Remark 802.1p/DSCP进行流量区分，其他节点根据流分类调度。一般情况采用绝对优先方式（SP）调度，特殊情况采用WFQ及HQoS进行调度。

图4 政务园区网络QoS保障方案

终端、内部边界、出口立体安全

50. 远程安全：远程接入控制IPSec/SSL VPN；
50. 边界防御：防火墙、IDS/IPS；
50. 网络监管：ACL流量控制、DHCP服务器欺诈攻击防范、ARP欺骗攻击防范；
50. IP地址欺骗攻击防范、ARP限速功能、DHCP限速功能、MAC地址表容量攻击防护能力；
50. 接入安全：终端安全接入控制（NAC）、用户隔离、端口隔离。

图5 政务园区网络立体安全方案

政务园区网WLAN部署方案

在园区网的核心层部署AC设备，采用主备方式，由AC统一管理AP和无线用户。AC设备推荐核心交换机（如S97/77等）上直接配置插卡式AC，方便管理，也可采用旁挂独立AC设备（如AC6605）。

Huawei系列AP支持自适应信道调整、自适应功率调整，方便进行无线网络的部署。

访客区安全方案：访客区划分专门SSID，并与专用VLAN映射，实现访客区与内部网络的安全隔离。

图6 政务园区WLAN部署方案

方案特点

• 部署方便：华为AP支持功率自适应调整、频段自适应调整，轻松部署无线网络
• 运维简单：核心层集中部署AC，eSight网管平台支持有线无线一体化管理
• 高可靠性：主备AC方案实现无线网络的高可靠
• 高安全性：访客区和内部网络安全隔离

客户价值

华为政府园区解决方案帮助政府客户实现：

1. 多部门业务虚拟隔离，多业务差异化承载

纵向虚拟化，采用MPLS VPN技术实现多业务隔离，横向虚拟化，采用集群、堆叠技术提高网络交换容量，实现多业务承载，并采用H-QoS技术实现多业务调度，确保客户业务体验。

2. 政务无线与有线一体化网络

园区除了以有线的以太方式部署之外，在不便部署有线接口地方，通过部署 AP 灵活接入用户，并使两类用户具有相同的业务体验，实现园区网中有线无线完全的融合安全可靠，汇聚设备融合AC。

3. 高度网络安全

华为NAC带给客户泛在安全、全面的终端准入控制，无论有线、无线、分支、远程都可以实现认证和授权。

4. 分支机构业务灵活部署

智能多业务网关AR G3支持接入、路由、交换、安全、语音等多业务融合，具备完善的接口类型，支持灵活组网，提升网络可扩展性。

5.园区网络简单易维

全系列网络设备支持统一网管，设备支持业务零配置自动部署，简化运维复杂度，大幅降低OPEX。