智慧政务市政府电子政务网络.docx
- 文档编号:18362217
- 上传时间:2023-08-16
- 格式:DOCX
- 页数:62
- 大小:685.95KB
智慧政务市政府电子政务网络.docx
《智慧政务市政府电子政务网络.docx》由会员分享,可在线阅读,更多相关《智慧政务市政府电子政务网络.docx(62页珍藏版)》请在冰点文库上搜索。
智慧政务市政府电子政务网络
XXXX市行政中心电子政务
网络系统解决方案
华为3Com技术有限公司
2005年1月
第一章用户需求分析
1.1项目概述
XXXX市电子政务网络作为XXXX市机关的工作中心,需要建立一个技术先进、扩展性强、能覆盖所有功能区域的计算机网络系统。
本次工程旨在建成连接XXXX市行政中心各种PC机及服务器系统的高速宽带政务网络系统,提供数据的统一网络平台,全面满足政府办公需要;统一标准建立政府公文电子信息资源库,实现公文等信息的充分共享和广泛使用;建立公共信息平台,在网上提供方便、快捷、透明的“一站式”电子政务服务。
参照国家电子政务的有关规定以及XXXX市电子政务网络的实际情况,XXXX市电子政务网络的网络系统将分为政务内网和政务外网,内网是业务应用系统运行的网络平台和办公业务系统,外网与因特网互联,为社会公众提供电子化、网络化服务。
XXXX市电子政务网络的的内、外网分别与XXXX市电子政务内网和公众互联网互联,采用一张物理网络,内外网逻辑隔离。
1.2需求分析
XXXX市电子政务网络是为XXXX市政府、人大和政协的办公自动化,上、下级机关,国内外信息互联等建立的信息传输通道。
网络宜采用先进的千兆以太网组网方式,并具有进一步扩展到万兆的能力。
具备与外部广域网的多种连接方式,可与外部实现方便、快捷的连接,实现Internet接入等互联方式,为办公自动化、国内外信息互联、信息服务等,提供资源共享、信息共享。
本次方案主要是满足XXXX市电子政务网络用户的内网、外网业务的需求。
整个行政中心分为主楼和东西两栋辅楼,主楼为一栋地上15层,地下1层的办公大楼,辅楼为6层的办公楼。
网络信息中心位于行政中心主楼3层西南侧,主楼2-15层每层设计2个分设备间,分别位于每层的西北角和东北角,两侧人大和政协办公楼各设一个分设备间作为二级分中心,其余的周边单体建筑若需建设综合布线系统时,均各设一个分设备间作为二级分中心,管理本楼的信息点。
根据楼层的信息点分布情况配置配线间数量,每个配线间根据端口需求配置一定数量的交换机。
本着“可扩展万兆,部署千兆骨干、百兆到桌面”的建网思路,工程将建设一个高可靠、高性能、可扩展的信息网。
第二章组网方案
根据政务网络设计思想及其应用需求,鉴于各部门的信息安全等特殊要求性,在总体的设计上采用网络与业务分层建设,逐层保护的指导原则,利用宽带IP技术,保证网络的互联互通,提供具有一定的QOS保障,建成的网络以IP为主流技术。
2.1政务网网络结构
本次组网主要设计是行政中心大楼各部门信息网的建设,不包含局域网出口及出口安全等,局域网内将实现千兆到骨干,百兆到桌面。
由于整个楼群包含主楼和东西辅楼共三栋楼宇,且主楼和东西辅楼基本按职能划分为政府,人大和政协。
因此,建议在主楼配置核心路由交换机,采用华为3Com公司核心路由交换机QuidwayS8505一台,在辅楼的楼宇分中心配置华为3Com公司汇聚路由交换机QuidwayS5516各一台,所有楼宇的接入交换机采用华为3Com公司S3000系列智能接入交换机,S3000系列下联的用户按照各自所属的部门和内外网信息点划分到不同的VLAN(虚拟局域网络),通过汇聚路由交换机和核心交换机共同控制VLAN间的访问,实现内外网的逻辑隔离。
具体的组网如下:
图网络拓扑图
全网核心为三台高性能路由交换机,主楼由于信息点数较多,配置S8505核心路由交换机作为全网的核心,在辅楼配置S5516作为辅楼的分中心,实现人大和政协的相对独立规划。
核心和分中心交换机间通过双千兆互连,即可增加核心交换机间带宽,又可提高端口链路的可靠性,保证在一条端口链路失效的情况下核心间仍可转发数据。
接入层采用华为3Com公司的智能型二层交换机S3000系列,根据接入点的具体信息点数堆叠,每个S3026C提供24个10/100M自适应的以太网口,2个可扩展插槽,支持100M/1000M单模、多模光口,S3050C提供48个10/100M自适应的以太网口,2个可扩展插槽,支持100M/1000M单模、多模光口,根据具体情况选配模块,具有较大的组网灵活性。
所有各层配线间的S3026C通过千兆以太网光口上联至各自的核心路由交换机的千兆以太网光口上,实现业务的汇聚和集中处理。
同时在内网核心节点可考虑另配置政务OA/DHCP服务器一台,以完成内部办公网络的IP地址的分配和电子政务系统的承载。
另根据实际应用需求可以增配文件服务器等配套服务器。
2.2内外网的逻辑隔离
在XXXX市行政中心电子政务网路中,采用的是一张电子政务网络,通过逻辑隔离的方式实现内外网的隔离和访问控制。
目前,在以太局域网逻辑隔离的方式指的是VLAN+ACL的方式,下面就这种方式加以说明。
VLAN(VirtualLocalAreaNetwork,虚拟局域网)是将一组位于不同物理网段上的用户在逻辑上划分成一个局域网内,在功能和操作上与传统LAN基本相同,可以提供一定范围内终端系统的互联。
VLAN可将广播帧限制在一个VLAN中,即VLAN之间二层隔离,必须通过IP层(三层)才能互通。
所以通过VLAN可以提供一定的业务隔离能力,而这种隔离的设置在于ACL(AccessControlList,访问控制列表)。
前面提到,在网络中划分VLAN后需要三层设备才能实现VLAN间相互通讯,且这种通讯能力是网络中配置三层设备后默认具有的能力。
为了实现不同网段间的隔离,需要使用访问控制列表控制那些网段可以相互访问,那些不可以。
访问控制列表可以包括:
基本访问表和扩展访问表。
基本访问表控制基于网络地址的信息流,且只允许过滤源地址。
扩展访问表通过网络地址和上层应用数据。
在XXXX电子政务网络中,可以对局域网交换机的端口细分,确定那些端口接入的PC是内网的用户,那些端口的用户是外网的用户,从而将不同的端口划分入不同的网段,这种划分的方式还可以延伸加入接入PC属于哪个部门。
确定不同的网段后,在三层设备上通过ACL实现基于源地址的控制,从而保证不同网段间接入的PC是否可以互通和访问,进而做到逻辑隔离。
采用VLAN+ACL方式实现简单,对设备的要求也较低,并且具有成熟的国际标准。
2.3政务网安全
随着以太网应用的日益普及,以太网的安全为日益迫切的需求。
以太网交换机作为政府部门网络内部的网络之间通信的关键设备,有必要在政务网内部提供充分的安全保护功能。
●用户身份验证
传统的以太网是一个开放的网络,所有的用户只要接入到交换机上的物理端口就可以访问网络的资源,没有一个逻辑上的身份校验的过程,这种不经身份验证的网络存在一定的风险。
用户接入控制的目的是保证接入政务网的用户是合法的或通过某个以太网交换机端口接入内网局域网的用户是预先配置的。
华为3Com可提供完善的接入认证解决方案,可提供的用户验证包括PPPoE验证、WEB验证、802.1X端口验证等等。
针对XXXX市行政中心的电子政务,我们推荐采用802.1X的用户身份验证方式。
802.1X用户身份验证方式下,需要在每台电脑上安装一个客户端软件,用于输入用户名和密码。
当用户需要使用网络时,必须先输入用户名和密码,只有经过系统校验合法的用户才能接入网络。
用户输入一次用户名和密码信息,校验合格后则可任意访问网络。
在XXXX行政中心电子政务网络中,可以根据实际情况,考虑到主要领导的多为独立办公,外人不便于接入网络,因此可以考虑对主要领导的接入信息点不做认证要求,即领导的办公室不用输入用户名和密码等信息即可访问网络,领导办公的接入安全可采用绑定MAC地址的方式实现。
而普通公务员的信息点则开通802.1X功能,要求输入合法的信息后才可访问网络。
作为802.1X接入认证,需要配置一台认证服务器,用于完成用户的信息管理和用户自助管理。
●访问控制
在局域网内的访问控制的原则是只允许授权的用户访问某个主机,通过网络设备来提供这种保障。
访问控制包括对交换机的访问控制、基于IP地址的访问控制、基于MAC地址的访问控制、基于端口的访问的控制、基于VLAN的访问控制。
XXXX市电子政务网的数据库、服务器等资源是受限访问的。
一般一个部门内的用户的权限是相同的,可以将这些用户划分在一个VLAN内,只要设置基于VLAN的报文过滤策略就可以实现对这个VLAN内所有的用户的报文过滤。
这样可以看出基于VLAN的报文过滤是最简单实用的某个用户群的访问控制策略。
可以设定QuidwayS系列以太网交换机端口禁止或允许转发来自或去往某个VLAN的报文。
QuidwayS系列以太网交换机支持标准及扩展的ACL。
可以通过标准的ACL只设定一个简单的地址范围,也可以使用扩展的ACL设定具体到协议、源地址范围、目的地址范围、源端口范围以及优先级与服务类型等。
这样可以实现复杂的访问控制策略。
如果有些主机和内部应用服务器在晚上是要关闭的,不接受访问,我们可以在核心交换机上设置在特定的时间段起作用的访问控制列表ACL,比如可以设置每周一的8:
00至21:
00此ACL起作用,还可以具体到某年某月某日至某年某月某日此ACL作用。
对于一些和以太网交换机相连接的特殊设备,只允许接受和发送到某个以太网交换机端口的报文,以保证该设备的安全。
QuidwayS系列以太网交换机支持基于端口进行过滤,可以设定禁止或允许转发来自或去往某个端口的报文。
QuidwayS系列以太网交换机支持基于MAC地址进行帧过滤。
如某些政府单位召开各部门的领导群组开会,可以设定和领导群组相连的交换机端口允许转发来自或去往领导的计算机MAC地址的帧,禁止和普通员工相连的交换机端口转发来自或去往领导计算机MAC地址的帧。
Quidway系列以太网交换机、路由器实现了完善的包过滤,不仅可以过滤有安全隐患的以太网帧,还可以过滤IP包。
在内网内可以实现对某些应用进行过滤,比如禁止HTTP/FTP报文等。
我们可以配置网络设备端口的输入帧的前80字节范围内的64字节任意域设置过滤规则。
对于政务网中一些关键的地方,可以对符合条件的报文或帧做日志,记录报文或帧的相关信息。
QuidwayS系列以太网交换机支持日志功能并提供了机制保证在有大量相同的触发日志的情况下不会消耗过多的资源。
●端口绑定
为了加强对接入用户的控制和限制,防止用户地址被假冒,Quidway系列以太网交换机支持4种地址安全技术:
MAC地址固定、限制MAC地址的个数、端口和MAC地址绑定、IP地址+MAC地址+VLANID绑定。
QuidwayS系列以太网交换机支持设置以太网交换机端口的MAC地址学习状态。
对于安全要求较高又有移动办公需求的固定计算机设备的办公区和的办公区。
可以关闭该区以太网交换端口的MAC地址学习状态,这样该端口上只能通过认识的MAC地址,来自其它陌生的MAC地址的报文被丢弃。
支持端口和MAC地址的绑定方式。
通过在端口上配置静态MAC地址,并禁止该端口进行地址学习,从而限定在该端口上允许通过的MAC地址,来自其它MAC地址的报文被丢弃。
这可以应用于接入政务网的系统主机的MAC地址是固定的,且接入政务网的端口较固定的情况,如内网的机要系统。
支持IP地址、MAC地址和VLANID的相关绑定。
可以有效的防止IP地址仿冒和MAC地址仿冒,还可以有效控制相同VLAN下的用户数目。
在一些MAC地址、IP地址、VLANID固定的部门,可以在部门以太网交换机端口上配置IP地址+MAC地址+VLANID的认证。
政务网只允许会议电视系统相连接的以太网交换机端口支持广播报文转发,一般的以太网交换机端口上关闭广播报文转发开关,禁止目的地址为广播地址的报文从该端口转发,以防止Smurf攻击。
●入侵检测与防范
政务网的局域网有可能受到入侵流量攻击,对于一些连接关键部门的端口,特别是连接广域网设备的端口(上联政务内网横线网的端口)和财务部门、领导部门的端口,可以将以太网交换机连接协议分析仪,通过报文镜象、报文统计来监控端口流量和统计某个应用流的流量。
Quidway系列以太网交换机支持端口镜象和流镜象,通过基于ACL的报文包数和字节数统计,从而了解网络的运行状况,发现网络设备是否受到入侵攻击。
华为3Com公司提供图形化的TafficView流量监控软件(已包含在专业版Quidview网管系统中),可以监控多个设备,用户可以自行添加、删除所要检测的设备,非常方便。
内网拥有Web服务器的情况下,可以在安装TrafficView时选择将监测设备的生成的数据(含有流量图形的页面和数据记录)放置在web服务器的目录下,网络管理员可以通过政务内网上任意一台计算机来查看设备流量图形和数据报表。
当发现存在大流量的报文攻击时,最常用的方法是限制到达被攻击目的地址的报文流量,超过流量范围的报文被QuidwayS系列以太网交换机丢弃。
可以对匹配规则的报文实施平均流量限制和突发流量限制,还可以分时段流量限制。
●网络设备的安全管理
Quidway系列设备提供对多种系统信息的记录功能。
如在配置ACL时加入LOG关键字,这样可以在交换机处理相应的报文时记录报文的关键信息;还可以对关键事件进行记录;对DEBUG信息进行记录,用于分析网络运行出现的问题。
Quidway系列设备支持对各监控信息设置重要性程度;配置各监控信息的输出设备,包括配置终端、Console口、内部缓冲区、日志主机等。
通过分析这些信息,可以对网络进行运行维护和管理。
因为越来越高的网络安全性要求,为了设定各种功能下的安全策略,使得交换机的安全配置越来越复杂,虽然华为网络管理软件的图形化配置方式可以减轻命令行方式的缺点,但远远不够。
Quidway系列以太网交换机实现策略分析和管理,以简化用户的使用,保证网络的安全性。
●接入终端设备的安全
由于局域网内部的有些计算机既要访问内网,又要访问外网,这就出现了当计算机从内网切换到外网时,如何防止政务内网中信息泄露的问题,我们提供了如下几套方案供参考:
方案一:
按照访问Internet的迫切性和政府职能的级别进行规划,给重要领导和机要人员配置两台计算机,一台用于访问政务内网,一台用于访问政务外网。
方案二:
对重要领导和机要人员依旧采用配置两台计算机的方式,对于其它的计算机则采用在计算机中配置双硬盘,一块硬盘用于连接政务内网,另一块硬盘则用于连接政务外网。
采用双硬盘可以保证,每次政务内外网进行切换时,计算机都需要进行重启,这样就使得驻留在内存中的一些资料可以得到彻底清除,从而保证政务内网的信息不被泄露。
方案三:
对重要领导和机要人员依旧采用配置两台计算机的方式,对于其它的计算机则采用在计算机中配置双网卡,一块网卡用于连接政务内网,另一块网卡则用于连接政务外网,两网的切换只需要在操作系统中进行相应的禁止操作即可。
这样可以保证切换速度。
以上三种方案具体选用那一种可根据实际情况选用,也可以采用双机、双硬盘和双网卡混用的方式来组网。
第三章网络平台安全设计
网络平台的安全需要从多方面保证,包括设备管理安全,访问安全,路由安全,设备安全等,针对XXXX市行政中心网络系统,我们建议从以下几个方面实施及考虑安全策略。
3.1网络互联互通分析及安全控制
3.1.1二层互通分析及控制
在XXXX市行政中心内外网中,如果两个内部客户机之间二层能够互通(处于同一网段),那么两者之间的三层互通是直接的,不需要经过核心路由交换机的三层交换功能。
因此,核心路由交换机的三层访问控制策略不能生效,在没有任何安全措施的情况下,各种攻击方法都可以使用。
因此,从保护内部各客户机的角度出发,建议对不同部门和类型的客户机在二层完全隔离。
一般隔离采用的方法是:
VLAN(虚拟局域网络)。
3.1.2三层互通分析及控制
采用VLAN在二层隔离了两个内部客户,他们只在三层互通,这时核心路由交换机的三层访问控制策略就可以生效了。
因此,目前有两个安全措施:
VLAN、三层访问控制策略。
它们配合可实现:
内部服务器隔离(例如:
三层访问控制策略);
设备安全技术(例如:
验证、授权)和防火墙技术;
二层完全隔离(例如:
VLAN);
二层完全隔离(例如:
VLAN)+三层隔离(例如:
三层防火墙);
设备安全技术;
带宽管理。
3.2设备自身的安全防护技术
3.2.1口令管理
为防止对系统中网络设备XX的访问,系统必须具有完善的密码管理功能。
虽然几乎所有数据通信设备都具有RADIUS或TACACS认证服务器进行口令管理的能力,但在设备本地进行密码分配和管理仍是设备本身应具有的安全特性。
这里只描述本地密码管理,主要是口令的密文显示。
在本地存储访问权限验证信息的情况下,若系统的配置文件以文本方式进行保存,则在配置文件中,所有的口令都必须以密文方式显示和保存。
3.2.2控制对设备的访问
控制台访问:
控制台是设备提供的最基本的配置方式。
控制台拥有对设备最高配置权限,对控制台访问方式的权限管理应拥有最严格的方式。
1.用户登录验证
对从设备CONSOLE口进行访问配置的用户必需具有身份认证的能力,可以通过本地用户验证或RADIUS验证实现。
2.控制台超时注销
控制台访问用户超过一段时间对设备没有交互操作,设备将自动注销本次控制台配置任务。
超时时间必须可配置,缺省为10分钟。
3.使能/禁止用户通过控制台对设备进行访问
通过禁止控制台数据收发,禁止用户直接通过异步线路进行配置。
这样,即使非法用户占领了控制台,通过重启设备清除了控制台访问口令,也无法通过控制台对设备进行非法配置。
4.控制台终端锁定
配置用户离开配置现场,设备应提供暂时锁定终端的能力,并设置解锁口令。
TELNET访问
1.缺省要求身份验证
对于非控制台的其它一切配置手段,必须要求设备配置身份验证,如果设备未配,将拒绝登录。
2.用户登录验证
3.终端超时退出
当telnet连接未交互超过一定时间时,将断开本次telnet连接。
超时时间必须可配置,缺省为10分钟
5.使能/禁止用户通过telnet方式对设备进行访问
6.telnet访问的限入限出
限制哪些用户可以通过telnet客户端对设备进行访问;
限制设备通过telnet客户端程序对那些目标主机进行访问。
7.telnet终端锁定
SNMP访问
SNMP是一种使用非常广泛的协议,主要用于设备的监控和配置的更改。
SNMP协议自身有安全性保障,同时SNMPAgent还应该具备对网管站的访问进行限制的能力。
需特别指出:
SNMP的网管站通常有大量的关于验证信息的数据库,例如团体名。
这些信息可以提供访问许多路由器或者其他网络设备的途径。
这使得网管站成为许多攻击的目标,因此,必须要保证网管站的安全。
1.SNMPv1的安全性
SNMPV1使用的验证方式是基于团体名字符串的验证机制,SNMPv1的验证非常弱:
1)它使用明文作为验证字。
2)大部分的SNMP操作重复使用该字符串作为周期性轮流检测的一部分。
如果必须使用SNMPV1,应当注意如下事项,以避免安全隐患:
1)最好不要使用常用的"public"和"private"作为团体名;
2)对每个设备使用不同的团体名,或者至少是对网络上的每个区域使用不同的团体名。
3)不要使只读的团体名和读写的团体名一致。
如果可能,应该实现使用只读的团体名进行周期性的轮流检测。
读写的团体名应该仅仅用于当前的写操作。
2.SNMPv2的安全性
SNMP的后序版本SNMPv2进行了改进,它支持基于MD5的验证方案,并且允许对访问的管理数据进行存取上的限制。
SNMPv2基本上是一个过渡版本,有多个版本,尽管也考虑了协议自身的安全性,但是技术上并不成熟,安全性仍比较弱。
尤其要注意的是,目前常用的SNMPv2c,没有增加安全特性,其安全能力与SNMPv1相同。
3.SNMPv3的安全性
SNMPv3对协议的安全性给出了全面的解决方案。
SNMPv3继承了SNMPv2u的很多优点,并且从系统的角度进行了优化。
它提供了一个SNMPNMS和AGENT的完整的系统框架。
从安全角度来讲,SNMPv3使用了基于用户的安全模式(USM)和基于视图的访问控制模式(VACM)。
USM使用MD5或者SHA对报文进行验证,使用DES对报文进行加密。
这样保证了数据的完整性和正确性。
VACM则对当前用户的访问权限进行检查,看当前用户是否可以对管理数据进行操作。
关于USM和VACM的详细介绍可以参见RFC2574和RFC2575。
华为3Com的设备均支持SNMPv1/v2/v3。
第四章网络规划建议
4.1IP地址规划
IP地址的合理规划是网络设计中的重要一环,计算机网络必须对IP地址进行统一规划并得到实施。
IP地址规划的好坏,影响到网络路由协议算法的效率,影响到网络的性能,影响到网络的扩展,影响到网络的管理,也必将直接影响到网络应用的进一步发展。
IP地址空间分配,要与网络拓扑层次结构相适应,既要有效地利用地址空间,又要体现出网络的可扩展性和灵活性,同时能满足路由协议的要求,以便于网络中的路由聚类,减少路由器中路由表的长度,减少对路由器CPU、内存的消耗,提高路由算法的效率,加快路由变化的收敛速度,同时还要考虑到网络地址的可管理性。
具体分配时要遵循以下原则:
唯一性:
一个IP网络中不能有两个主机采用相同的IP地址;
简单性:
地址分配应简单易于管理,降低网络扩展的复杂性,简化路由表项
连续性:
连续地址在层次结构网络中易于进行路径叠合,大大缩减路由表,提高路由算法的效率
可扩展性:
地址分配在每一层次上都要留有余量,在网络规模扩展时能保证地址的连续性
灵活性:
地址分配应具有灵活性,以满足多种路由策略的优化,充分利用地址空间。
主流的IP地址规划方案分为纯公网地址、纯私网地址和混合网络地址三种。
当网络以私网地址分配或采用混合网络地址接入时,网络应提供地址变换功能,过滤掉私网地址。
根据本次项目的实际情况,IP地址的具体规划需参照信息主管部门的规范,若规范尚未制定,可灵活选择IP地址。
建议选用A类私网(10.0.0.0—10.255.255.254)地址,为未来提供足够的IP地址空间。
具体的IP地址规划内容可在技术联系会上确定,但应遵循上述的原则。
4.2VLAN设计
VLAN可以实现将连接在同一个物理网络上面的主机分组,使它们看起来就象连接在不同的网络上一样。
可以通过VLAN为网络分段,各个网段可以共用同一套网络设备,节约了网络硬件的开销,同时在迁移中所需的工作量也大幅度降低了,从而降低了连网成本。
在大型局域网络组建中,VLAN技术是不可缺少的关键技术,科学的VLAN设计可以为局域网络带来一系列的优点:
在同一个物理网络实现第二层工作组划分,实现不同工作组之间第二层的完全隔离,同时,组员可以处在物理网络中的任何位置,不受同一台设备限制;
隔离广播,提高效率,避免不相关的广播帧在全网扩散,浪费有效带宽资源;
在局域网系统中,建议基于IEEE802.1Q标准实现VLAN,在分行VLAN设计中,使用VLAN技术达到两个目的,第一,不同业务部门之间的隔离和通信控制;第二,广播范围抑制。
VLAN的划分可以依据内外网用户和不同的业务部门以及用户所处网络的物理结构进行,后者主要是从网络性能角度出发,而前者还同时兼顾了网络安全性可控性的需要。
从广播控制角度出发,为了保障网络的高可用和高性能,按照惯例原则,我们在进行具体VLAN规划时,同一个广播域内(一个VLAN)的通信主机一般不超过50台,最好控制在30台以内,对于主机数量超过50的业务部门,我们通过二层隔离,三层交换的方式来解决。
作为特殊VLAN的典型
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 智慧 政务 市政府 电子政务 网络