XX网络改造总体设计方案书.DOC

三峡建行网络改造总体设计方案书（讨论稿）二零零一年四月目录第第1章章三峡建行网络现状三峡建行网络现状.41.1网络连接现状.41.1.1三峡建行城域网现状.41.1.2三峡建行局域网现状.51.1.3三峡建行广域网现状.61.1.4与Internet连接状况.71.2网络应用现状.81.2.1管理网应用现状.81.2.2营业网应用现状.91.2.3外连网应用现状.101.3网络安全现状.111.4网络管理的现状.121.5三峡建行网络存在主要问题.121.5.1三峡建行城域网存在的问题.121.5.2营业网存在的问题：.131.5.3管理网（企业网）存在的问题.131.5.4外连网存在的问题.14第第2章章网络改造的需求规定网络改造的需求规定.152.1总体目标.152.2网络改造需求.152.2.1三峡建行局域网.152.2.2三峡建行城域网.152.2.3广域网接入.162.2.4网络管理的需求.162.2.5网络安全管理需求.162.2.6语音、视频应用的需求.17第第3章章网络改造的基本原则网络改造的基本原则.18第第4章章网络总体设计网络总体设计.194.1三峡建行网络系统改造目标总体架构.194.1.1组网模式.194.1.2网络总体拓扑结构设计.204.2局域网改造.204.2.1局域网改造方案.204.3城域网改造.224.4广域网改造.234.4.1广域网分布层改造.234.4.2广域网接入层改造.244.5外网的连接.254.6可靠性设计.264.6.1设备备份.264.6.2链路备份.274.7网络IP路由设计.274.8面向应用的网络服务.284.8.1业务分类和数据特点的分析：.284.8.2QOS保证.28第第5章章三峡建行网络管理设计三峡建行网络管理设计.305.1网管系统功能及其职责.305.2网络管理平台和网管工作站.31第第6章章网络系统安全设计网络系统安全设计.326.1安全模型（P2DR模型）.326.2三峡建行网络系统总体安全体系.336.2.1安全策略设计.336.2.2总体安全体系的规定.336.3三峡建行网络级安全设计.356.3.1局域网安全设计.356.3.2广域网安全设计.37第第7章章IP电话网络设计电话网络设计.407.1IP电话网络建设的必要性.407.2IP电话所使用的几种技术.407.3CISCO的VOIP解决方案.417.3.1三峡建行与总行的VoIP通信.427.4IP语音的管理.43第第8章章三峡建行视频会议设计三峡建行视频会议设计.458.1视频会议系统结构.458.2会议电视终端设备.468.2.1三峡建行会场.468.3实现功能.478.4主要特点.47H附件附件1三峡建行三峡建行IP地址分配规划地址分配规划.48总行规定IP地址编码结构.48三峡建行IP地址规划表.48附件附件2三峡建行三峡建行IP联络中心方案联络中心方案.50三峡建行CALLCENTER解决方案.50三峡建行IPCC体系架构.50IPCC功能和优点.51IPCC系统构成.54IPCC应用软件开发.57第第1章章三峡建行网络现状三峡建行网络现状三峡建行作为总行确定的六十个重点城市行之一，经过几年的建设，已建成了覆盖各县市（除W县）城市综合业务网络系统，在此基础上依托总行建成了以清算A卡网络系统、企业内部网为代表的全国性三峡建行内部互连网络。以计算机网络为支撑平台，我行的各类业务应用系统不断推陈出新，开拓了多项新的业务，为我行的业务快速发展发挥了巨大的作用。下面，对三峡建行网络结构具体说明：1.1网络连接现状网络连接现状1.1.1三峡建行城域网现状三峡建行城域网现状三峡建行中心机房位于科技部二楼。通过自架光纤与三峡建行办公楼、甲路10楼（老机房）、乙办以及丙办连接构成目前的三峡建行城域网，如图所示：如图，三峡建行局域网的中心交换机为一台CiscoCatalyst5505，配有1个2口100MFX光纤接口模块，通过多模光纤与318和甲路机房的1924C连接。Catalyst5505还配有两个24口100M以太网接口模块、其中连接两台2924交换机，并通过2924上的100MFX与乙办以及丁办相连。1.1.2三峡建行局域网现状三峡建行局域网现状在Catalyst5505和2924上根据不同的应用划分了13个不同的VLAN，由于目前我行主交换机没有配置第三层交换功能，VLAN之间的通信只能通过网关来实现。在中心机房中，另有一台Catalyst5000交换机作为备用机。目前，三峡建行网络中心机房共配有13台路由器分别接入局域网中各个VLAN。路由器应用见表一：设备端口线路速率说明Cisco7206APort1X.2564K至各县支行清算Cisco7206BPort1-8DDN9.6K银企互联、戊地电信代收费Cisco3640APort1-96DDN9.6K城综网前台网点Cisco3640BPort1-64DDN9.6K城综网前台网点Cisco2501APort1X.259.6K人行同城清算Cisco2501BPort1DDN64K移动通信代收Cisco2501CPort1DDN64K社保Cisco2501DPort1DDN64K银企互联Cisco2501EPort1DDN2M支付网关与Internet接入Cisco2501FPort1X.259.6K人行贷款资料查询Port19X.2564K总行清算MotorolaMP6520Port20PSTN192K总行清算备份MotorolaMP6520Port19X.2564K部分县支行清算MotorolaMP6560Port19DDNFR64K总行企业网三峡建行318机房是三峡建行办公大楼结构化布线所有信息点的集合地，318机房的1924从中心机房的Catalyst5505得到VLAN信息，通过对其端口划分不同的VLAN，三峡建行大楼中各个不同的网络系统实现了与中心机房的通信。其它局域网甲路机房、乙办以及丙办也是这种模式。各县支行以及城区其他支行（办事处）基本都完成了三部一室的本地局域网布线工作。1.1.3三峡建行广域网现状三峡建行广域网现状三峡建行的广域网线路普遍采用的低速通信链路，其中城市综合网是主要租用中国电信的DDN，前台网点通过串口通信协议，直接连到三峡建行网络中心的设备，部分县行营业部由于原来与清算共用线路还是采用的X.25，利用路由器连接到三峡建行网络中心，以上租用的线路带宽都只有9600bps；清算A卡网络由于县支行已经改为直连，可以说向下已经没有单独的线路，三峡建行清算A卡（含外币卡）系统与总行和上海连接采用的是64kX.25（复用）；三峡建行企业内部网已经与全辖所有二级机构开通连接，城区除乙办和丙路办、营业部等少数是通过三峡建行自架的光纤上的以太网外，其余均租用电信的DDN，县支行大都采用的是X.25，带宽只有9600bps，以路由器方式接入。三峡建行企业网与总行连接采用的是中元公司提供的中元帧中继，带宽64K。我行通信线路的主要备份方式为电话拨号。网络设备以CISCO、MOTOROLA为主。此外以城市综合网为基础，我行独立开发了多种新业务，实现了与证券、电信、人行等外单位的网络互连，连接线路一般为DDN，通信速率9600-64K都是采用路由器连接的方式。1.1.4与与Internet连接状况连接状况三峡建行目前已经开通了Internet连接，用于网上银行业务，带宽为2M，、连接拓扑图如图:如图所示三峡建行支付网关与Internet连接采用了目前比较完备的网络安全体系和技术，防火墙采用的是IBMFirewall3.12，并安装了ISS网络安全管理软件进行安全漏洞扫描、入侵检测审计等，上述连接已经获得总行的验收认可。1.2网络应用现状网络应用现状根据三峡建行对网络业务的划分，可以将三峡建行网络业务划分为：核心业务和外连业务。核心业务是三峡建行业务开展的基础业务，包括以城市综合网为基础的营业网和以企业内部网为基础的管理网两部分；外连业务是三峡建行依托核心业务系统，针对辖区内的企业和客户开发的业务网络系统。各系统应用关系如下图所示：1.2.1管理网应用现状管理网应用现状三峡建行目前正在管理网（企业网）使用的主要是基于LOTUSNOTES平台上开发的应用，现在在三峡建行辖区范围内管理网上运行应用系统主要包括：电子邮件系统、信息网站、人力资源、信贷信息管理、移民资金管理、办公自动化系统、国际结算系统等。除少数应用系统外，大多数应用系统都向下推广到县支行一级，辖区内管理网（企业网）用计算机大约300余台，IP地址分配采用年总行统一规划的企业网地址。此外管理网与市人行存在临时的连接，用于定期本地贷款单位资料查询。管理网（企业网）拓扑连接如下图营业网管理网核心业务外连业务银证连网代收电话费代收交警罚款社保同城清算企业外连等图六1.2.2营业网应用现状营业网应用现状三峡建行目前的营业网应用主要是城市综合网，全行共有前台网点余个，ATM台，金融查询机台，Pos余台，城市综合网以太网采用年总行下发的营业网段98.42.63.0，而城市综合网广域网前台网点地址没有标准可循；清算A卡网的前置机和各县清算组前台（清算组前台已经与前台会计柜改为直连后的会计柜机器）采用总行清算系统分配的网段的IP地址。另外随着新业务的开展，前台网点还往往下联一些特定业务的前置设备（例如金融查询机和个贷前置机），这些设备地址也没有统一的规定。营业网拓扑连接如下图:1.2.3外连网应用现状外连网应用现状三峡建行充分利用三峡建行网络优势，积极开拓业务领域，先后与电信、证券、人行、社保局等多家实现了网络互连互通，通常我们是采用路由器+前置机的方式，使外连网与城综网隔离，即每个外连系统都独自采用一台路由器和一台前置机，路由器配置静态路由和相应的访问控制，前置机屏蔽所有无关的服务。外连网的IP地址分配由于没有可遵循的标准，分配时有很大的随意性。网络拓扑连接如下图：1.3网络安全现状网络安全现状三峡建行在网络建设过程中已经采取了一些必要的安全措施，如“利用VLAN技术将业务网与企业网逻辑隔离、与各证券网点联网时利用前置机来保证数据传输的安全、拨号访问采用了RADIUS认证、在与Internet接入的支付网关中使用防火墙和ISS安全监控软件等。但从总体整体上分析，三峡建行现有网络中仍然存在着一些安全隐患。主要包括以下几个方面：可靠性安全隐患由于某些网络设备的关键部件存在质量问题或缺陷，导致网络在运行过程中存在可靠性安全隐患。如：MOTOROLA路由器的FLASHMemory工作时极不稳定，经常丢失系统软件，影响了清算A卡系统以及企业网的正常运行。一些系统缺乏备份链路和备份设备，一旦出现故障，势必影响业务的正常开展。应用系统安全隐患各种应用缺乏统一的规划，未能充分考虑网络上的安全要求，导致三峡建行中心机房的业务运行网段上与外连的应用网段之间缺乏必要的安全屏蔽。有些与外界相连的应用系统缺乏有效的网络安全保障。如：与外界相连应用系统没有按照总行要求的安全连接模式连接，前置机可能存在未屏蔽非必要的通讯端口，可能存在多余的路由表等等。此外对重要的应用服务器没有进行安全监控和漏洞扫描。病毒入侵安全隐患一些应用系统，特别是基于WINDOWS平台的应用系统，没有安装一些防计算机病毒的软件，给计算机的安全造成了一定的隐患。黑客攻击隐患缺乏对黑客攻击进行防止、检测和响应的一整套防黑措施和相应的安全体系，没有明确的安全指导思想和安全模型，不能够对安全事件进行全过程监控和作出相应的响应行动，无法对整个安全系统进行准确有效的安全评估。1.4网络管理的现状网络管理的现状三峡建行目前正在使用CiscoCWSI2.1专用网管系统，用于管理三峡建行局域网上的网络设备。由于其专用性，该软件无法正确管理非Cisco网络设备，而且无法监控到广域网的运行状态。三峡建行在业务管理中成功引进了BMC管理系统，在对BMC的移植过程中，三峡建行科技人员开发设计了对前台网点实时监控程序，目前这项工作正在实验推广过程中。1.5三峡建行网络存在主要问题三峡建行网络存在主要问题1.5.1三峡建行城域网存在的问题三峡建行城域网存在的问题根据总行网络改造要求，三峡建行主交换机需要两台，并要求支持第三层交换，而三峡建行现有的主交换机Catalyst5505没有第三层交换模块，另一台主交换机的备份Catalyst5000，无论从交换能力还有模块配置均无法满足网络改造的要求。随着以后语音、视屏在网络的应用，三峡建行目前100M骨干局域网将面临拥塞。三峡建行办公大楼结构化布线不规范，线路急需整理，网络设备的运行环境也需要加以改善现有的城市综合网网络地址、企业网地址以及清算A卡网地址都不统一，需要按照总行网络改造的要求加以规范现有城域网之间的光纤缺乏必要的链路备份，一旦光纤出现故障，没有其他应急方案可供选择。1.5.2营业网存在的问题：营业网存在的问题：目前前台网点使用的IP地址不符合总行规范，必须加以调整。城市综合网（含清算A卡网）与总行采用的是64KX25线路，已经无法承载新的业务一些网点由于业务量大，通信带宽不足，出现通信堵塞，有些网点反映通信故障率比较高目前网点采用的串口通信协议Slip，在新主机上支持不好，给主机安全运行带来隐患。一些县行还在使用X.25，效率比较低，费用比较高。一些网点还外挂诸如查询机、个贷前置机等，网络连接结构凌乱，通信质量无法得到保证。1.5.3管理网（企业网）存在的问题管理网（企业网）存在的问题管理网（企业网）所有非以太网连接的用户接入带宽严重不足。由于现有的组网模式是企业网与城综网彼此隔离，往往综合性的网点需要几条线路，造成浪费。管理网（企业网）广域网中使用的Motorola路由器故障率高，端口损坏严重，维修困难。管理网（企业网）与总行连接的Motorola路由器，故障率比较高管理网（企业网）整个IP地址分配基本是符合此次总行建议的规范，但也有部分企业网需要保留的地址被分配了。管理网（企业网）目前还没有必要链路的备份措施。1.5.4外连网存在的问题外连网存在的问题外连网缺乏统一的平台，其广域网地址不符合总行新的Ip地址分配规范，也需要做调整。外连网与建行核心业务网络耦合度大，外连网业务的变化往往带来核心业务的变动。外连网的网络连接模式，不符合总行网络安全要求，而且还造成设备的利用率不高，监控管理困难。第第2章章网络改造的网络改造的需求规定需求规定2.1总体目标总体目标总行骨干网改造是A总行为了适应新形势下银行激烈竞争，提高A银行核心竞争力的一项具有战略意义的举措。三峡建行网络改造作为整个建行网络改造工作的一个组成部分，成功的网络改造将使三峡建行能够在较长时间里在当地同业的竞争中继续保持科技优势，从而推动各项业务的快速发展。三峡建行网络改造的总体目标是以此次总行骨干网改造为契机，在不影响以此次总行骨干网改造为契机，在不影响全行正常业务开展的前提下，将目前分离的城综网、清算全行正常业务开展的前提下，将目前分离的城综网、清算A卡网和企业网整合卡网和企业网整合成为统一的以成为统一的以IP技术为主体的稳定、可靠、高效的综合网络平台，实现建行核技术为主体的稳定、可靠、高效的综合网络平台，实现建行核心业务和外连业务的有机分离，为最终完成全建行数据集中做网络准备心业务和外连业务的有机分离，为最终完成全建行数据集中做网络准备。2.2网络改造需求网络改造需求2.2.1三峡建行局域网三峡建行局域网1、根据总行骨干网改造方案，三峡建行局域网需要有两台主交换机，而且都必须能够支持第三层路由交换，而三峡建行目前只有一台主交换机Catalyst5505且没有配置第三层交换模块。这次网络改造中需要增加三峡建行网络中心需要增加一台高档交换机，并增加配置Catalyst5505相应的第三层交换模块。2、通过网络改造实现全行核心业务的网段按照总行最近下发的关于调查IP地址使用情况及征集对IP地址修订建议的意见的通知的要求整合，外连业务网络将采用新的接入方式，引进统一的中间业务平台和网络连接平台。3、随着业务的拓展，特别是语音、视频的应用，三峡建行目前的局域网10M100M也面临带宽不足的压力，考虑在三峡建行大楼与科技部之间的骨干上千兆以太网，三峡建行大楼用低端交换机替换HUB。2.2.2三峡建行城域网三峡建行城域网、进一步扩展城域网的连接范围，将丙办的光纤延伸到己支行机关，架设到戊支行机关的光纤，使庚、戊这两个城区主要支行接入三峡建行城域网，减少通信费用。、为三峡建行城域网提供必要的链路备份措施。2.2.3广域网接入广域网接入1、与总行的一级骨干网连接按照总行骨干网改造要求实现。2、考虑对伍支行、东办等城区支行以及各县支行等综合性的网点的企业网、城综网线路合并，接入带宽提高到64K，通过路由器连接到三峡建行；3、对于业务量大或线路集中的网点也考虑使用路由器，并提高接入速率到64K；4、其他网点提速后仍使用目前的串口协议连入三峡建行中心网络，将SLIP改为PPP；5、前台网点的广域网采用的PSTN拨号备份实现后台无人干预。6、外连网络的广域网连接整合到一套网络设备上，并安装防火墙与营业网隔离。2.2.4网络管理的需求网络管理的需求1、具有网络管理基本功能，提供设备管理、配置管理、图形面板、流量监控、故障判断、拓扑发现等。2、在不影响关键业务运行的前提下，收集分析网络流量中的应用信息，网络管理员可以定义、监控并评估网络连接性、安全性和性能策略，并进行网络的规划和设计。3、网管系统能够作到管理监控到全网所有网络设备，直观的显示各种设备运行状态，并对各种异常情况实现自动报警。2.2.5网络安全管理需求网络安全管理需求、网络设计中利用防火墙、VLAN等技术，确保计算机网络系统计算机网络系统安全漏洞最小化，使网络入侵的风险得到控制。、能够使安全管理员了解计算机网络系统的整体安全状况。、可监控到来自网络内部和外部的“黑客”入侵。、能够为查明入侵的来源提供有效的依据。5、能够对整个网络系统从网络层、系统层、数据库和应用层进行安全脆弱性进行评估，提供安全修复指引。2.2.6语音、视频应用的需求语音、视频应用的需求、在三峡建行一级安装有能与与总行通话的IP电话20门，并能够参加总行举行的视频会议。、在条件允许的情况下，在三峡建行城域网内能够实现IP电话和视频服务。第第3章章网络改造的网络改造的基本原则基本原则高可靠性高可靠性选用可靠性较高的网络产品，合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，从而最大限度地支持各业务系统的正常运行。实用性实用性网络改造方案设计实施应充分考虑实际需求和费用，追求高的性效比安全性安全性制订统一的网络安全策略，整体考虑网络平台的安全性集中管理集中管理对网络实行集中监测、，并统一分配带宽资源。选用先进的网络管理平台，具有对设备、端口等的管理、流量统计分析，及可提供故障自动报警。可扩展性。可扩展性。根据未来业务的增长和变化，网络可以平滑地扩充和升级，减少对网络架构和现有设备的调整。灵活性灵活性支持大型的动态路由协议，支持策略路由功能，保证与其它网络(如公共数据网、金融网络、行内其它网络)之间的平滑连接。技术先进性技术先进性以先进、成熟的网络通讯技术进行方案设计及实施，相关的技术均要符合国际标准。保护现有投资保护现有投资保证网络整体性能的前提下，充分利用现有的网络设备或做必要的升级。分阶段实施原则分阶段实施原则对整个网络改造进行统一规划，分阶段逐步实施。分分行行城城域域网网分分行行城城域域网网县县支支行行县县支支行行外外接接网网外外接接网网BB城城区区各各支支行行城城区区各各支支行行CC网网点点网网点点B：分分布布层层C：接接入入层层第第4章章网络总体设计网络总体设计4.1三峡建行网络系统改造目标总体架构三峡建行网络系统改造目标总体架构4.1.1组网模式组网模式大型网络的网络结构是层次化的，正确理解我行网络层次的划分和每个层次的主要作用，有助于我们合理选择网络拓扑和网络技术。鉴于三峡建行的特殊性，我们将网络结构设计为如下层次：城域网：城域网实现建行同城网络的连接，包括中心机房到丁机房、甲路机房的连接。分布层：实现网络统一策略的互联层，访问层向核心层的汇接点，三峡建行到各县支行构成的二级网络即属于网络分布层。接入层：为最终用户提供对网络的接入，三峡建行到各营业网点构成的网络即属于网络接入层。同时，接入层网络包括三峡建行与外连网的连接。按照以上方式进行组网，层次比较清晰，便于方案实施，。组网模型如下图：4.1.2网络总体拓扑结构网络总体拓扑结构设计设计网络改造后的网络拓扑结构示意图如下所示：4.2局域网改造局域网改造4.2.1局域网改造方案局域网改造方案设备选择设备选择在三峡建行网络中心，增加一台高性能的交换机CiscoCatalyst6509，同时在CiscoCatalyst5505增加千兆模块和RSM路由模块，通过两条千兆链路连接起来，利用GigabitEtherFast技术既相互备份，又负载均衡。Catalyst6509可以提供高性能、多层交换的数据通信，满足内部网络（INTRANET）、苛求网络服务和网络语音应用。每台Catalyst6509配置两块带有PFC子卡和MSFC子卡的超级引擎，互为备份，其中PFC子卡主要用于扩充Qos能力，可以实现基于应用（TCPUDP应用端口号）的服务质量控制，而MSFC子卡主要是取代原来的路由模块MSM实现线速三层交换，并且进行了很大的扩充，数据包吞吐率从原来的6Mpps扩充到15Mpps。同时，Catalyst6509配置一个48口10M100M模块分别提供与网管工作站、路由器等的连接。为了保证中心交换机的可靠性，Catalyst6509配置双电源冗余系统。将原有Catalyst5000交换机从网络中心下移到江阁大楼，同时增加两个千兆模块，分别以1000Mbps速率同Catalyst6509和Catalyst5505相连。VLAN划分划分将局域网按服务器业务类型划分为不同VLAN，主要有：业务网、管理网等，也可以按照部门划分VLAN，VLAN之间的通信可以通过诸如主交换机中设置的策略路由等加以控制。三峡建行网络中心局域网网络拓扑图三峡建行网络中心局域网网络拓扑图三峡建行网络中心网络拓扑图如下：网络中心交换机设备配置表网络中心交换机设备配置表设备配置表如下：序号产品号产品名称数量Catalyst65091WS-C6509Catalyst6509Chassis12WS-CAC-1300WCatalyst60001300WACPowerSupply13WS-CAC-1300W2CatalystSecond60001300WACPowerSupply14WS-X6K-S2-MSFC2Catalyst6500SupervisorEngine-22GEplusMSFC-2&PFC-215WS-X6K-S2-MSFC22Cat6500Red.Sup22GEMSFC2&PFC2(InChassisOnly)16MEM-C6K-FLC24MCatalyst6000SupervisorPCMCIAFlashMemCard24MBOption17MEM-MSFC-128MBCatalyst6000MSFCMem128MBDRAMOption18WS-X6408-GBICCatalyst60008-portGigabitEthernetModule(Req.GBICs)19WS-G54841000BASE-SXShortWavelengthGBIC(Multimodeonly)810WS-X6248-RJ-45Catalyst600048-port10100RJ-45Moudel111SC6MSFCA-12.0.3XECiscoIOSCatalyst6000FamilyMSFC-Enterprise112FR-IRC6Catalyst6000FamilyInterDomainRoutingFeatureLicense1Catalyst5505（增加模块）（增加模块）13WS-X5403C5000GigabitEthernetSwitchingModulewoGBICs(3port)114WS-G54841000BASE-SXShortWaveleng