1 项目需求概述

1.1 项目背景

随着信息技术的不断进步和互联网接入的广泛普及，旅客对酒店、宾馆等服务行业场所的上网环境日渐依赖，各家宾馆、酒店也将网络信息建设作为关注重点，不断加大投入、扩大网络接入规模、来为旅客提供便捷、完备的上网环境，吸引更多旅客入住。目前国内稍有规模的酒店都实现了房间宽带上网，商务客人在入住后通过自己携带的笔记本电脑即时可以享受互联网带来的移动远程办公、网络娱乐等等种种便利服务。

但是互联网是把双刃剑，宽带上网同时为酒店带来大量额外的管理工作，旅客流动性特点也为酒店的网络系统造成了多种的网络安全隐患，这些都给酒店管理层带来了繁重的网络维护及资金投入等负担，在一定程度反而上制约了酒店的持续发展。

酒店宽带即时接入服务，在方便旅客的互联网商务需求同时，衍生出很多需要酒店管理者高度重视的问题。例如，有些旅客可能会使用酒店宽带无节制地通过P2P软件下载一些影视娱乐资料；有些旅客长时间挂在网上，通过网络流媒体应用软件观看在线视频、网络电视、网络电影，诸如此类的上网行为，极大的占用了酒店的网络带宽资源，时常造成了酒店上网速度的骤减，影响了其他住客的上网活动，不利于酒店、宾馆等为住客提供良好的住宿体验，间接地影响了酒店、宾馆的声誉和生意。此外，具有不良企图的犯罪分子，通过酒店开放的网络环境，大肆从事网络犯罪活动，也给酒店带来了严重的安全隐患。 

1.2 酒店需求分析

北京安州科技有限公司（以下简称为“安州科技”）根据多年对酒店行业的网络需求调查，目前，国内各酒店网络，在以下几方面存在迫切的需求：

百卓网络根据多年对酒店行业的网络需求调查，总结归纳出，酒店行业在以下几方面存在迫切的需求：

1.2.1 高性能、高可靠性和高稳定性的需求

随着酒店网络建设的发展，为保证的酒店办公、以及旅客正常的网络访问需要，各酒店都会对互联网出口带宽进行扩容。对于上网行为管理设备，不论是以路由模式，还是以透明模式部署，都必须具备高性能的数据处理能力，并且具备电信级的可靠性和稳定性，以确保酒店网络的正常运行。

1.2.2 对过滤不良网站，确保绿色上网的需求

互联网将世界连为一体，每天足不出户，人们就可以通过网络获取天下新闻。随着信息化快速发展，互联网也潜移默化的改变了人们的生活方式。然而，互联网提供给人们各种便利的同时，也充斥着各种色情、暴力、恶意挂马、钓鱼等网站。如何屏蔽此类网站，让宾客在绿色健康的网络环境中冲浪，也是当前酒店网络安全建设的明确需求。

1.2.3 对规范上网行为的需求

酒店的网络环境不仅给入住宾客提供上网服务，同时，还为酒店员工提供了上网环境，如何规范员工的上网行为，禁止其在工作时间访问与工作无关的网络应用，如网络游戏、网络聊天、在线炒股，在线购物、以及各种在线娱乐，严重影响了工作效率。与其采取口头警告、罚款等措施，不如从根源上禁止此类互联网应用。如何规范员工的上网行为，让互联网扬其利，避其害，也是酒店网络建设中的明确需求。

1.2.4 对上网用户身份认证的需求

准确的用户身份识别是内容审计和应用控制的基础，而用户身分认证则是规范网络接入行为、实现酒店网络安全接入重要手段。传统的802.1x认证和Portal认证方式，需要安装客户端，部署相对复杂，不适合酒店部署。因此，构建一个安全，可靠，部署灵活的认证系统，也是当前酒店网安全建设中的明确需求。

1.2.5 对IP即插即用的需求

通常出差在外的商务人士PC中会配置静态IP地址，在接入酒店网络时，要更改配置，给用户体验十分不方便。如何能让客户不须修改IP、子网掩码、网关、DNS等任何参数，即插上网线即可使用酒店网络，给客户带来良好的使用体验，也是酒店行业迫切的需求。

2 方案设计

2.1 建设目标

根据对XXXX酒店需求分析，需要部署一套上网行为管理设备。通过本次建设，应达到对用户的上网行为进行管控，合理利用带宽资源，全面上网行为审计，有效的规避法律风险，保障酒店网络使用质量。同时，为酒店网络建设进行产品选型，包括技术支持、人员培训、维护、升级服务等相关服务。

2.2 方案设计原则

l 系统高性能、高可靠性

完全按照运营级标准对系统的性能和稳定性来要求和建设。

l 系统高安全性

对于查阅用户上网行为审计日志信息，具备高安全性要求，必须具有权限保护措施。

l 系统高可扩展性

作为酒店行业的上网管理系统，随着网络规模持续建设和发展，系统必须具有良好的可扩展性。

2.3 XXXX酒店需求分析

XXXX酒店经过多年对酒店网络不断的建设和积累，已经能够满足正常的办公和为住户提供网络服务，但随着酒店规模的不断扩大，酒店对出口网关设备的性能要求越来越高，并且对网络的安全性要求也越来越高，考虑到酒店规模，需要一款“ALL IN  ONE ”的产品替换掉以往的网关产品，还能提供更多安全功能。

 

XXXX酒店校网络拓扑图

 

2.4 部署方式

根据XXXX酒店网络拓扑图，建议将安州科技AZ6000上网行为管理设备采用网关模式部署在网络出口，部署位置如下图所示：

 

安州科技上网行为管理设备部署拓扑图

部署优点：

l 以网关方式部署，真正实现安全功能“ALLL IN ONE”

l 在已有AAA设备的情况下，也可识别员工和住户身份认证信息

l BA平台可对上网数据进行深度发掘，实现用户画像，体现数据价值

2.5 审计日志存储设计

本审计系统设计遵循中华人民共和国公安部第82号令关于《互联网安全保护技术措施规定》的要求：审计设备能够详尽记录用户的上网内容及行为日志，并且以满足大流量环境下保存60天审计日志的要求。

存储空间的占用与出口带宽、网络应用模型、审计策略配置等密切相关，因此不同的使用环境，对存储空间使用情况也是有差异的。根据安州科技以往的部署经验，提供如下参考值：

 

为了保障设备的健康、高效运行，安州科技建议，大量审计数据和日志数据采用外置数据中心进行审计日志的存储。

外置数据中心服务器推荐配置：

 

如果当前环境中不存在日志存储服务器或者日志审计类的平台，AZ Manager具有设备的批量管理、策略下发、日志存储等多重功能，是您的不二选择。

AZ Manager硬件环境要求：

设备名称	设备型号	设备数量	推荐配置
上网行为管理设备	----------	1台或多台	---------
服务器/虚拟机	Centos7.6 操作系统	1台或多台	具体的服务器配置参考服务器配置要求

操作系统推荐CentOS 7.6 64Bit，SWAP分区推荐为内存的2倍以上。

AZ Manager安装服务器配置要求：

设备数量	CPU	内存	硬盘
50-100台	2*2核CPU	8G内存	2TB
100-500台	2*2核CPU	16G内存	2*2TB
500-1000台	2*2核CPU	32G内存	4*2TB
1000台+	8核CPU	64G内存	5*2TB

BA行为分析感知平台安装环境硬件要求：

设备名称	设备型号	设备数量	推荐配置
上网行为设备	-----------	1台或多台	R5.1及以上版本
服务器/虚拟机	Centos7.6 操作系统	1台或多台	CPU：4核，内存：32G，硬盘：100G及以上配置。

2.6 设备选型

根据XXXX酒店功能需求和性能要求，并考虑今后的可扩展性，安州科技推荐采用AZ6830，如下所示：

 

2.7 方案特点

2.7.1 流量管理

AZ6000上网行为管理设备可以做到对网络流量进行精细的管理，通过对带宽管理和多线路策略功能实现对带宽质量的保证以及网络的有效管理，并能对P2P软件进行智能识别，并对其进行限速或封堵，除此之外，AZ6000采用智能流控、智能阻断、智能路由等技术，可基于时长、额度设置上网时长、流量额度阈值，当达到一定额度，禁止其上网或者对其限速，让其放弃继续访问网络的念头，从而在一定程度上防止员工沉迷于网络。

l 网络流量管理

AZ6000的带宽管理功能模块可提供最大带宽、保证带宽、其中可对、连接带宽等多种带宽管理手段，并提供基于用户、应用、时间、网络接口等多种组合条件的带宽管理策略，满足网络管理者对用户及应用带宽管理策略的灵活性要求。此外，通过历史流量分析功能模块，借助图形化的数据和报表，用户可以直观的查看到各种应用占用带宽资源的情况。通过对网络历史流量的深入分析，管理者可以制定出最适合自身的互联网流量管理策略。

 

实时流量趋势图

 

各类应用类流量实时排名

l P2P软件的控制

P2P技术使人们可以高速获取海量的网络资源，而P2P软件对带宽的占有也使网络管理深恶痛绝。互联网上P2P软件的补丁及变种，每日都会不停更新，这让大多数的P2P控制工具望尘莫及，他们只能针对已识别的P2P流量进行控制。AZ6000变了这一切。通过对P2P流量的智能检测和自动升级服务，管理员可以轻松面对互联网络上所有P2P软件，可对每一种P2P应用进行上行流量和下行流量的控制，也可进行彻底的封堵。

l 流控通道动态调配

高优先级通道可借用其他低优先级通道带宽，如低优先级通道拥堵，则将借用带宽返还，无需人工干预，实现流量动态调配。同时建立“线路”策略，“通道策略”可调用“线路策略”，并且多个“通道策略”可配置在同一“线路策略下”，通道策略之间可以动态借用带宽，让带宽充分利用。

针对XXXX酒店的特点，在设备上架运行后，先不配置带宽管理策略，而是通过实时流量分析和历史流量分析功能，对全网的网络流量模型做调查分析。然后，制定流控策略，并进行相关策略配置后，以达到网络带宽的合理化使用。安州科技推荐：对于全局对P2P应用限制一个带宽，再针对每IP配置一个最大带宽，对酒店业务系统等重要应用，还可配置QOS，保证重要应用的优先转发。

 

流控通道动态调配

2.7.2 内容过滤

AZ6000不仅能够精确识别丰富的网络应用，并可在此基础上根据关键字进行内容过滤。借助AZ6000设备中的管理策略，网络管理员可以根据对象、时间、应用等多种条件的组合为校园网络灵活部署内容过滤。目前支持以下过滤方式：

l 网站内容过滤：支持网页主题过滤、网页内容过滤、网页URL过滤、BBS/论坛/博客等网页发帖内容过滤、搜索引擎关键字过滤、网站图片过滤。

l 收发邮件过滤：支持SMTP、POP3、IMAP邮件类型，可对邮件主题、邮件内容、附件名、邮箱域名进行过滤。

l 文件传输过滤：支持上传和下载的文件过滤，可对文件名、文件类型、文件大小进行过滤。

针对酒店网络管理，内容过滤功能为网络管理者提供了有力的利器，使得网络管理者可以主动的对上网用户的不良行为进行控制。例如：通过发帖内容过滤功能，将包含过滤关键字的帖子主动拦截，以避免不良言论外发后对酒店产生的法律风险。

2.7.3 URL访问控制

AZ6000预置了2000万URL，并且可以自动更新的URL分类库，其中包含了海量的成人、暴力、反动、色情、邪教以及恶意类的网站。通过设置URL访问控制策略，可以将不良网站和包含潜在威胁的网站拦截在外，阻断内网用户对这些网站的访问。对于很多URL过滤设备无法控制的SSL加密页面，安州科技也能够进行网页过滤。此外，设备还允许用户根据自身实际需求，自定义URL分类，并对其进行控制。

针对酒店网络管理，管理员可以过滤对各种不良类型网站的访问，以保证为入住酒店的宾馆提供一个安全、健康、绿色的上网环境。

2.7.4 应用控制

AZ6000设备预置5000+应用规则，可精确识别10大类5000余种网络应用，完全满足网络管理者对网络应用控制的需求。同时，安州科技凭借专业的研发团队，长期研究和跟踪互联网应用的发展，为客户提供持续的网络应用更新服务，支持应用库的自动在线升级。此外，安州科技设备还支持用户自定义新应用的配置。在控制策略方面，AZ6000设备提供基于对象、应用、时间等多种条件的灵活组合对网络应用进行精细化控制。

 

支持的应用管理的类型以及数量

针对酒店网络管理，管理员可以在工作间内，禁止酒店员工使用在线游戏，在线炒股、在线视频，QQ、微信等即时通讯应用，提高员工的工作效率。

2.7.5 用户管理和认证

准确的用户身份识别是内容审计和应用控制的基础，而用户身分认证则是规范网络接入行为、实现企业网络安全接入、保障内网信息安全的重要手段。AZ6000设备为网络管理者提供灵活的用户录入和识别方法，不仅仅提供WEB（Portal）认证功能，还能与酒店现有“AAA”设备的情况下，与“AAA”设备联动，将各种审计策略贴上用户标签， 即使不在AZ6000设备上做认证也可以做到实名审计。

AZ6000以用户需求为导向，实现了丰富的身份认证手段，主要有：

Ø 本地认证：Web 认证、用户名/密码认证、IP/MAC/IP-MAC 绑定；

Ø 单点登录：AD域、第三方系统等；

Ø 第三方认证：RADIUS、LDAP、IMC、AAS、SAM等

Ø APP认证：不需要借助数据中心软件，无需APP修改，避免协调沟通成本；

Ø 微信认证：连接商家WIFI，强制关注公众号进行认证；

Ø 混合认证：用户根据需求切换认证方式；

 

2.7.6 设备管理方式

AZ6000在WEB登录时，强制使用HTTPS协议登录设备，AZ6000具有丰富的安全属性，可以有效防止暴力破解，除此之外，安州科技还研发了可以批量管理AZ6000设备的专用软件“AZ Manager”。AZ Manager是安州科技公司针对AZ6000系列产品批量化管理定做的一款专业管理平台，AZ Manager可实现状态监测，统一管理，提高管理效率，并有效削减管理成本。对于查阅用户上网行为审计内容级日志信息，需要使用管理员才可查询，保障了用户信息的安全性。

 

AZ6000丰富的安全属性

 

 

AZ Manager可批量管理AZ6000设备支

2.7.7 设备审计能力

2.7.7.1 浏览网站审计

AZ6000可记录浏览网站用户IP地址，网站主题、URL地址及其子链接，浏览网站时间。如下图所示：

 

网站访问审计

2.7.7.2 网页发贴内容审计

可记录发贴用户的源地址、目的地址、发贴网站、发贴时间和具体发贴内容，网页发帖支持对特定时间、特定关键字的查询功能。通过管理员账户登录后，可以查看到网页发贴的具体内容，如下图所示：

 

论坛发贴审计

 

2.7.7.3 发送和接收邮件的内容及附件审计

支持SMTP、POP3和20多种网页邮件的审计功能。可记录发送和接收邮件的源IP地址、发送帐号、接收帐号、邮件主题、附件下载、发送和接收时间。管理员通过登录，可以查看到收发邮件的具体内容。如下图所示：

 

收发邮件审计

 

2.7.7.4 网络搜索审计

AZ6000可记录用户通过百度、Google、Bing、雅狐、中搜、搜狗、有道、YouTuBe等搜索引擎网站搜索的关键字内容。搜索引擎网站已经成为上网用户获取相关信息最直接的手段，根据调查，90%以上的上网用户，在上网时，都会使用以上搜索引擎网站。此类网站在给我们生活提供便利的同时，也会被某些存在不良嗜好的网民成为射猎的工具，因此上网行为管理产品应具备对搜索引擎网站进行搜索过滤和搜索关键字审计功能。

安州科技具有搜索引擎网站过滤和审计功能，通过此功能，有效杜绝了员工通过酒店网络搜索各类不良信息，切断了获取不良网站信息的源头。 如下图所示：

 

搜索引擎关键字审计

 

2.7.7.5 其他应用审计

AZ6000除了对上述互联网关键应用做到详细的上网审计外，还可对以下网络应用做内容审计：文件传输、网络游戏、Web视频、VoIP应用、数据库访问、股票软件、远程控制、代理服务、P2P下载、网络协议、安全访问类型等。

 

AZ6000审计功能

AZ6000具备专业的内容及行为审计能力。通过将内容过滤与行为审计功能有机结合，帮助校园网络管理者做到对网络安全事件的事前预防、事中审计、事后追查，从而最大限度增强校园网络的安全性，有效降低网络接入的各种风险。

 

2.7.8 WEB推送

WEB推送功能是安州科技有限公司为网络管理者精心打造的增值业务功能。采用先进的网络技术将网络管理者定制的WEB页面主动推向客户端。借助WEB推送功能网络管理者可为用户提供主动性的服务体验，降低服务成本、提升服务质量和服务时效。AZ6000可根据用户、用户组、时间、推送频率、推送方式等多种条件的组合灵活制定推送策略。

针对XXXX酒店网络的特点，信息中心网管可定制向酒店住户和酒店工作人员推送通告、重要活动通知等内容。此外，各酒店管理者也可以定制各自酒店的推送策略，向本酒店的员工和住户推送酒店新闻、重要通告、重要活动通知等内容。

2.7.9 IP即插即用

安州科技AZ6000上网行为管理产品可提供“IP即插即用”功能，该功能是安州科技主要为酒店等服务行业定制开发的功能，在酒店或其它网络环境中，自带笔记本的任何人使用原有的固定IP就可上网，无须修改IP、子网掩码、网关、DNS等任何参数，真正的“即插即用”。

 

2.8 系统可靠性

2.8.1 双机热备

在实际网络中，总避免不了各种非技术因素造成的网络故障和服务中断。因此，提高系统容错能力、提高故障恢复速度、降低故障对业务的影响，是提高系统可靠性的有效途径。

AZ6000支持两台设备在网关、透明、旁路模式下以主-备或主-主模式运行，可防止网络中由于单个网关产品的设备故障或链路故障导致网络中断，保证网络服务的连续性和安全强度。

 

2.8.2 系统bypass功能

考虑到应用层增值系统串入网络后，不应该在任何一次异常时影响原有网络的可用性，开启设备的智能Bypass体系。有效的物理回退技术，保障互联网业务连续性：

l 当设备断电后可进入物理导通状态。

l 当设备异常但仍有电源供应时也可进入物理导通状态。

2.9 系统可扩展性

2.9.1 丰富的扩展性

AZ6000系列产品采用多核MIPS结构，系统运行稳定，设备自带千兆电口、千兆光口、万兆光口数量众多，性能优异，提供丰富的接入人数和带宽区间，除此之外，支持丰富的HA模式以及众多的接入方式搭配使用，让设备更具有扩展性。随着酒店规模不断扩张，考虑到设备性能问题，可采用主-主模式的HA方式接入，让设备运行更流畅，给员工和住户最佳的上网体验。

2.9.2 功能的扩展性

AZ6000系列产品可结合BA产品，即行为感知分析平台，是安州科技在传统上网行为领域以创新形式打造的一款新型可视化产品。平台基于网络内上网行为管理设备产生的海量数据，对上网用户进行建模分析，以不同上网行为建立对应的行为应用，深挖数据，分析用户上网行为，提前预知风险，可视化的呈现，更大程度的提升运维、管理机制。

通过用户画像，追溯住户上网轨迹，建立上网模型，整个过程中通过分析给不同住户打上不同的标签进行区分，完成对住户进行用户画像，让酒店的促销广告做到有的放矢，更加具有针对性，让服务更加精准。