铁路网络安全系统割接改造方案探讨摘要：简述了网络安全系统结构，重点阐述网络安全升级迁移割接实施步骤及过程，分析了过程中风险因素，通过实施取得的成功经验为后续工程提供参考。
关键词：网络安全系统；割接。
中图分类号：tn711 文献标识码：a 文章编号：
南宁铁路局新建行车调度指挥中心工程，是南宁铁路局新建立起来对网络结构、网络规模以及网络性能的优化与升级的综合工程，工程要求从既有中心迁移至新中心实现无缝切割，即在迁移同时须保证指挥中心对控制的200多个车站近3000公里线路指挥安全，并要求割接过程中数据实时更新，在割接同时实现系统升级。
铁路行车行车指挥系统是保证行车安全和运输效率的重要设备，网络安全系统的特殊性和重要性，在工程的实施过程中，应该充分考虑搬迁过程中对在用网络造成的实际影响，充分考虑到网络安全系统搬迁过程中可能出现的各种情况，须对系统结构及系统功能认真分析、周密制定方案，将网络安全系统迁移工作对用户的影响降至最小。
南宁局在用的行车指挥系统网络安全设备包括：中心防火墙系统、中心网络反病毒系统、网络漏洞评估系统、身份认证系统。
1 工作内容概述
网络安全系统搬迁工程的主要任务是将原有中心至车站防火墙系统从原先的路由模式的防火墙网络结构切换到新中心透明模式
的防火墙网络结构；把局间和td结合部的防火墙搬迁到新中心，系统结构不变。
同时在新中心添加新的网络安全子系统。
2实施阶段
本次搬迁割接分五个阶段实施：
2.1 新机房设备准备阶段：主要完成各服务器软件安装，防火墙策略调试；
2.2新机房设备联调阶段：主要配合完成整个安全系统的联调联试；
2.3新机房和老机房联调联试阶段：主要完成机房网络联通，部分设备试用；
2.4车站网络通道切割阶段：主要完成车站网络防火墙系统从老机房同步割接到新机房；
2.5 对部、局间防火墙系统切割阶段：主要完成td结合部、局间防火墙设备从老机房搬迁到新机房；
3中心至车站防火墙割接
3.1系统分析及割接准备
充分利用新增加的安全设备建立一个新的网络安全结构。
新中心网络结构与旧的网络结构并不是相对独立的关系，相反，新中心网络与旧网络之间存在一定的关系，通过充分的准备与良好的控制将旧的网络安全设备逐步地向新的网络中过渡，从而达到平滑过渡的目的。
将老机房4台中心至车站防火墙节点分时分阶段地进行，保证车站与中心网络的联接不会中断，应用业务所得到的网络服务
不受影响。
但是，由于存在一个新旧网络并存的阶段，因此需要考虑较多的因素，避免出现网络服务中断的现象。
割接准备工作的目的是应用新增的网络安全设备，按要求建立一个新的网络安全模型，该网络安全模型通过和旧的网络安全结构连接，并且通过路由设置，使的新、旧网络安全模型两个部分可以互相通信，这样，当我们在将老机房网络的安全设备从旧网络转接至新网络时，可以做到平滑过渡。
割接前应完成的工作：所有新设备的上架；所有网线的布放；相应设备与联接的标识与标注，以便于在网络能够正确、迅速地恢复。
3. 2具体的工作步骤
3.2.1根据南宁局网络的实际情况，采用新的临时ip地址段作为搬迁工程的网络地址，这样在新旧网络并存时不会存在ip地址冲突的问题。
3.2.2要点断开老机房a网中的防火墙的线路，同时联接新机房a网的中心防火墙。
3.2.3测试双网之间的联通性。
若测试某一方面不成功，迅速查找原因，如在短时间内不能发现原因，则按恢复方案将网络恢复为原来状态。
3.2.4分别测试新机房中通过新增网络安全设备与车站之间的联通性，保证新网络安全设备接到旧网络中时不会造成网络服务中断。
3.2.5观察防火墙工作情况，并测试车站网络通过新链路的通讯能力。
至此，一个新旧网络并存的网络安全结构模型已经完成。
在该模型中，所有的服务器仍然联接于旧网络结构中，但新的网络安全设备也可以正常地与其它所有网络设备联通。
3.2.6 要点断开老机房b网中的防火墙的线路，同时联接新机房b网的中心防火墙。
3.2.7 测试双网之间的联通性。
若测试某一方面不成功，迅速查找原因，如在短时间内不能发现原因，则按恢复方案将网络恢复为原来状态。
3.2.8分别测试新机房中通过新增网络安全设备与车站之间的联通性，保证新网络安全设备接到旧网络中时不会造成网络服务中断。
3.2.9观察防火墙工作情况，并测试车站网络通过新链路的通讯能力。
至此，一个新的网络安全结构已经建成，新机房网络与老机房网络之间光纤联接，保证过渡期间的局域网络链路的畅通。
3.3 具体割接过程
将老机房4台中心至车站防火墙节点分时进行，而不会影响网络服务。
采用老机房4台中心至车站防火墙采取互为备份的方法，即在a网防火墙割接时，所有的网络安全服务由b网提供，反之亦然。
这样可以在短时间内中断某一个节点的网络安全联接而不会造成的影响。
具体过程如下：
3.3.1首先选取某一个网络节点，如a网进行割接工作。
3.3.2网络安全数据与安全服务的切换
在进行实际割接工作之前，需要将老机房所有的网络安全数据、用户数据以及网络安全配置备份，以便在割接中断时，可以很快地将网络恢复至原有状态。
同时，还需要将老机房所提供的网络安全服务备份至新机房。
3.3.3 在a网防火墙完成割接并正常使用后用同样的方法割接b 网防火墙。
3 .3.
4 测试、观察网络，如果发现问题要及时恢复网络原状。
4td结合部、局间防火墙系统割接方案
4.1系统分析及割接准备
充分利用旧的安全设备建立一个相同的网络安全结构。
该网络结构与旧的网络结构是相对独立的关系，将老机房原有局域网一次割接到新的网络安全结构中。
此时，相应局域网设备的相关配置不需要更改，经过微调与完善，最后成为本次工程最后的网络状况。
割接准备工作的目的是应用利旧的网络安全设备，建立一个独立于原有网络的安全网络模型，该网络安全模型和原有模型结构一致。
割接前应完成的工作：所有设备到位，包括通信前置机、接口服务器等；所有网线布放；相应设备与联接的标识与标注，以便于在网络能够正确、迅速地恢复。
4.2具体的工作步骤如下
4.2.1按照原有拓扑结构搭建好安全网络模型；
4.2.2按照原防火墙的配置把新的防火墙配置好；
4.2.3测试联通性及其配置；发现问题立即排查。
至此，一个新的安全网络安全结构已经建成，该网络与原网络之间没有联接，是一个相对独立的网络。
4.3具体割接步骤
在具体割接工作实施过程中，采用由旧设备到新设备的方法，即先割接老机房防火墙，然后再接入新机房防火墙的方法。
具体过程如下：
4.3.1出口链路的联接。
要点断开老机房原出口路由器与对部、邻局防火墙间的互联链路，将其改接至新机房路由器上，配置两路由器的端口参数与路由协议。
观察路由器与铁道部防火墙之间的联接状况，观察防火墙的工作状态和应用业务的状态。
4.3.2原有网络设备的联接改变。
出口链路的联接结束时，用户可以通过防火墙系统和对部、邻局网络通信。
网络联通性测试与与用户访问测试同步进行，若测试某一方面不成功，迅速查找原因，如在短时间内不能发现原因，则按恢复方案将网络恢复为原来状态。
5 网络恢复过程
在网络割接过程中，如果由于某些原因造成割接工作不能继续时，需要迅速地将网络联接恢复为原有状态，保证用户所需要的业务不受影响。
为了能使网络恢复工作能够迅速、顺利地进行，在进行网络割接工作之前需要做好网络设备联接与相对位置标识。
网络割接过程
有很大一部分是通过网络设备的联接位置来完成的，做好标识能够有助于网络设备联接位置的改变。
6 结束语
通过事前系统周密制定方案并组织深入技术交底，事中严格执行安全技术措施、严格按制定方案实施，事后测试、检查、分析、评价，圆满地完成了南宁铁路局网络安全系统割接升级任务，用户业务几乎未受影响，对保证行车安全、运输秩序发挥了突出作用。
割接改造后，南宁铁路局网络安全系统功能在全路处于领先水平。
