某人寿保险公司网络系统建设方案

XX 人寿保险公司企业网络项目建议书 1 目 录 第一章 前言 .3 第二章 需求分析 .3 第三章 方案设计原则 .4 3.1网络可靠性通过下述的设计思路来实现 . 4 3.2先进性可以通过下述的设计思路来实现 . 5 3.3网络安全性通过下述设计思路来实现 . 5 3.4网络可伸缩性通过下述的设计思路来实现 . 5 3.5网络集中管理通过下述设计思路来实现 . 6 3.6网络高度融合性通过下述的设计思路来实现 . 6 第四章 网络架构设计 .6 4.1北京网络中心的建设 . 6 4.1.1 广域网设计 .7 4.1.2 局域网设计 .8 4.2省级网络中心的建设 . 8 4.2.1 广域网的设计 .8 4.2.2 局域网的设计 .8 4.3 企业网络拓扑结构图 . 9 第五章 网络资源的规划 . 10 5.1 设备的命名规则与用途 . 10 5.1.1 节点代码 . 10 5.1.2 设备命名规则 . 10 5.1.3 设备用途描述 .11 5.2 VLAN编号及用途说明 . 11 5.3 IP地址规划 . 11 5.4 QOS 实施 . 13 5.4.1 可选择的工具 . 13 5.4.2 实现 . 14 5.5 网络安全 . 18 5.5.1 Internet 接入安全解决方案 . 18 5.5.2 LAN 安全解决方案 . 19 5.5.3 远程接入解决方案 . 19 5.5.4 终端用户安全解决方案 . 19 5.5.5 WAN 安全解决方案 . 19 5.6 路由策略 . 19 第六章 VOIP 系统 . 20 6.1 概述 . 20 6.2北京网络中心的 VOIP建设 . 21 6.3省级中心的 VOIP建设 . 22 6.4 VOIP 网络拓扑结构图 . 23 第七章 视频会议系统 . 23 7.1 概述 . 23 7.2XX人寿公司的视频会议系统架构 . 25 7.3 视频会议网络拓扑结构图 . 26 XX 人寿保险公司企业网络项目建议书 2 第八章 基于 IP 的呼叫中心 . 26 8.1 概述 . 26 8.2XX人寿公司的 IPCC架构 . 29 8.3应用事例 . 30 8.4 IPCC 中心拓扑结构图 . 31 第九章 数据存储与灾 难备份系统 . 31 9.1概述 . 31 9.2XX人寿的 SAN网络架构 . 32 9.3XX人寿保险公司异地备份架构 . 33 9.4 数据存储与异地备份系统拓扑结构图 . 34 附录： 相关设备介绍 . 34 10.1 CISCO7200 路由器 . 34 10.2 CISCO3800 路由器 . 38 10.3 CISCO2800 路由器 . 43 XX 人寿保险公司企业网络项目建议书 3 第一章 前言 随着保险业的快速发展和越来越激烈的竞争，建立一个先进的通信平台对所有的保险公司来说都是非常重要的。 对于当前的中国保险企业而言， IT 已不单是一个应用工 具而是一个战略性的武器。 IT 与保险业相结合，不仅可以防范风险、降底营运成本，而且还会大大提高保险企业的管理决策能力，增强盈利能力，从而提升保险企业的核心竞争力。 保险 IT 应用的投资重点正在朝着数据管理集中化、管理决策信息等方向发展。保险业信息化的需求发生了很大的变化，保险业 IT 服务已从单纯的设备供应、安装维护，转向深层次的保险企业信息技术应用顾问服务和业务信息化全面解决方案的支持；从代理产品和技术转向自主产权的核心业务软件产品的提供。也就是说，保险公司的信息化需求已逐渐由“ 硬 ” 向 “ 软 ” 过渡，且软件与服务的需求 比重在逐年递增。现阶段，保险行业已建立了各类业务系统， 例如： 核心业务处理系统、会计核算和财务管理系统、精算系统、代理人管理系统、 CALLCENTER 系统、辅助销售系统以及办公自动化系统等 ， 部门之间、分支机构之间 产生 大量业务数据 ；各种应用系统的实施，例如： ERP 和 CRM 等；大量的多媒体的数据，例如： 客户服务中心（ IPCC）、 IP 语音和视频会议。所有的这些数据都要集成到统一的 基础网络 中，基础网络平台的担负着保险企业的生产平台、 办公自动化平台、 管理平台和服务平台的重任 。 第二章 需求分析 XX 人寿保险公司是最新成 立的一家保险企业，作为一家全新的保险企业，信息化的建设与各类业务系统的建立有着同样重要的意义。 XX 人寿保险公司基础通信网络建设将覆盖全国范围内，对全国范围的业务数据进行大集中，基础通信网络将承载 全国范围业务数据、 VOIP 和视频会议等多媒体数据、基于 IP 技术的呼叫中心数据（ IPCC）、办公自动化数据、 ERP 和 CRM等管理数据 以及用于异地备份的存储数据 。 在全国范围内建设一个集中、高效、XX 人寿保险公司企业网络项目建议书 4 一致的数据平台，为各级机构提供业务分析、业务推进及业务监管等多种信息服务奠定坚实的数据基础 。 XX 人寿保险公司的信息化建设分多 期进行，第一期的网络基础设施建设的范围涉及 公司总部和省级分公司。 第三章 方案设计原则 XX 人寿保险公司基础网络设施的 建设目标是将 这个网络平台 建成为集 业务、管理、办公及服务 为一体先进、可靠、安全及具有高承载能力的统一的数据通信平台，实现“数字 XX 人寿 、 统一 XX 人寿 、未来 XX 人寿 ”的远景目标。 基于以上的建立目标， XX 人寿基础网络平台 的设计原则为： 1) 可靠性 原则 2) 先进性 原则 3) 安全性原则 4) 可伸缩性原则 5) 可管理性原则 6) 融合性原则 3.1 网络可靠性通过下述的设计思路来 实现 公司总部采用两台路由器 来实现热备份 ； 省级中心 通过双链路连接到 公司总部 ； 省级中心通过双 ISP 与公司总部互联； 采用两台具有冗余热备份的防火墙； 实现数据异地灾难备份； 合理采用静态路由，提高可靠性。 XX 人寿保险公司企业网络项目建议书 5 3.2 先进性可以通过下述的设计思路来实现 网络设备的先进性 ，采用集数据、语音、安全于一个平台的网络设备 ； 公司网络 可以启用 MPLS 功能，使 MPLS VPN 为公司内部以及公司与合作伙伴之间业务数据提供服务 ； 公司网络 可以提供 IPV6 服务，可以平滑 与 下一代互联网 接轨 ； 公司网络 提供强大的 QoS 保证机制。 3.3 网络安全性通过下述设计思 路来 实现 建立公司内部的网络安全策略 在 公司总部 的网络出口处设置了强大的防火墙； 在 公司总部的核心 交换机配置一块防火墙模块； 对所有重要事件进行 log； 限制对设备的 SNMP 和 TELNET； 采用 SSH 和 SNMPv3 对网络设备进行管理； 采用 NTP 协议对全网的设备进行同步； 对不安全的端口上将路由协议进行 Passive，防止不必要的路由泄露； 对网络设备的 User 和 Privilege 状态进行存取控制； 所有的网络设备都支持 802.1x 协议； 通过路由协议对网络中所有的设备进行验证。 3.4 网络可伸缩性通过下 述的设计思路来 实现 公司 网络采用明显的“核心 分布”层次结构； 简单而有效的 IP 地址分配策略； 采用可靠和可扩展的 IGP 路由协议； XX 人寿保险公司企业网络项目建议书 6 公司网络未来多核心的设计思路； 网络设备的可扩充性。 3.5 网络集中管理通过下述设计思路来 实现 采用先进的、可跨平台的网络管理软件； 为中央网络管理系统配有专门的管理网段； 从中央网管网段可以到达所有设备； 3.6 网络高度融合性通过下述的设计思路来实现 业务平台、办公平台、服务平台和管理平台的高度融合； 数据、语音、视频的高度融合； 传统呼叫中心技术与基于 IP 的客户服务中心的技 术融合； 网络设备的功能高度融合，把数据、语音和安全融合到统一单一的平台。 第四章 网络架构设计 本着“网络高效、可靠、科学运营并最大程度上保护网络投资，适应未来业务发展”的原则，我们按照四级网络结构 建设，其中北京为网络系统核心，二级为省会中心，三层分布在各个地 市 级城市 ，四级则分布在县级 城市 。 本期 的基础网络平台建设包括北京网络中心的建设（一级中心）、省级网络中心（二级中心）的建设以及一二级网络的互联。 4.1 北京 网络中心的建设 北京网络中心是 XX 人寿信息化平台的核心节点，这个核心节点负责处理来自全国的范围内 的所有数据，数据的来源包括各种业务数据、办公数据、多媒体数据、管理数据、 ERP、 CRM 等应用数据、 客户服务数据 及未来用于异地备份的XX 人寿保险公司企业网络项目建议书 7 存储网络数据 。 基于以上数据大集中的需求， 对北京网络中心的 网络设备、网络结构、网络环境提出了极高的要求。 我们从以下几个方面考虑北京网络中心的建立： 第一、北京网络中心的核心网络设备要具有 很强的数据处理性能 很高的物理可靠性 提供业界领先的网络技术 提供高带宽的线路接入 第二、网络结构的可靠性 北京网络中心采用两台核心设备提供网络的热备份 主干线路和备份线路分别接入不同的 ISP 数据的存储系统和异地备份系统部署 第三、网络环境 的安全性 在 Internet 入口部署功能强大的防火墙 在网络中心局域网的核心交换机上部署防火墙模块 在网络中心部署网络准入控制体系 对于北京的网络中心，我们的建设目标是高性能、高可靠性和纯净的网络环境。 4.1.1 广域网设计 基于以上的建设目标，我们强烈建议 XX 人寿广域网骨干 采用 155M 的 SDH，摈弃 N*2M 的接入方式。这样的设计是基于以下考虑： 数据大集中需要有足够带宽的支持； N*2M 的接入方式虽然在初期的资金投入比 155M SDH 接入要少，但随着随着公司 业务的不断发展， N*2M 的接入方式会是整个公司策略实施的瓶颈。当公司业务发展到一定的程度，公司还是要采用 155M SDH 接入，这样，多口 2M 的业务XX 人寿保险公司企业网络项目建议书 8 板会被淘汰，而且重新利用率非常的低； N*2M 的接入方式增加了网络拓扑结构和网络管理的复杂性； N*2M 的接入方式 占用了更多的网络 物理 资源 。 备份线路采用 2个 PRI 线路接入。 4.1.2 局域网设计 北京网络中心的局域网采用双核心网络交换机 进行热备份 ， 保证局域网络的可靠性，同时在核心交换机上配置防火墙模块，保证局域网内部的安全性。在资金充裕的情况下，可以实施网络准入 控制体系。 对核心业务的数据部署存储区域网络（ SAN），同时采用虚拟 SAN（ VSAN）技术对网络资源提供投资保护。对核心业务数据进行异地备份 ，根据距离的远近可采用 DWDM（ 100 公里以内） 或SDH（数千公里） 技术实现。 4.2 省级网络中心的建设 省级网络中心是整个 XX人寿基础网络的二级中心， 从行政上来考虑，每个省的网络中心处理的业务量占全国业务量的 1/32。 所以，二级网络中心的 建设有两个方面的意义。首先， 二级网络中心是省内所有数据的汇接处，是一个省内信息系统的核心。其次，二级网络中心起着承上启下的作用。 4.2.1 广域网的设计 省级网络中心与北京网络中心的广域网连接采用 2M SDH 的接入。 备份线路采用 ISDN BRI 接入，备份接入全部采用回拨技术，保证接入的安全性，同时，对拨号连接进行 CHAP 验证。 4.2.2 局域网的设计 二级 网络中心的局域网采用双核心网络交换机进行热备份，保证局域网络的可靠性 。网络内部通过 VLAN 对部门 以及进行逻辑隔离，也可以对各种业务进行隔离，后者的 VLAN 技术是基于子网的 VLAN 技术。 通过 802.1x 对用户接入进行XX 人寿保险公司企业网络项目建议书 9 认证。 为了配合 XX 人寿网络的多业务融合性目标，我们建议二级网络中心的路 由器是一台全业务路由器，这个路由器要把数据、多媒体以及安全等功能集成到一个平台上。 我们建议目前二级网络中心的路由器采用低端的路由器，随着业务量的增加我们可以升级二级网络中心的路由器，同时把替换下来的低端路由器重新利用到地市级或县级网络。 4.3 企业网络拓扑结构图 XX 人寿保险公司企业网络项目建议书 10 第五章 网络资源的规划 5.1 设备的命名规则与用途 5.1.1 节点代码 Site Site Code 北京 BJ 上海 SH 广州 GZ Site 代码是地点名的拼音缩写而成。上图是以北京、上海和广州为例的示意表。 5.1.2 设备命名规则 W-BJ-7206-A W-BJ-7206-B 以上示意图表示了设备名称结构。上图表示了 以 Cisco 7206 为例 ， XX人寿北京网络中心用于广域网通信的路由器名称。 WAN Site Code Equipment Type Active(主 ) WAN Site Code Equipment Type Backup（备） XX 人寿保险公司企业网络项目建议书 11 5.1.3 设备用途描述 Site Device Device Name Usage 北京 7206 W- BJ-7206-A Level-1 core router 北京 6509 L-BJ-6509-B Level-1 backup core switch 5.2 VLAN编号及用途说明 作为一个规则， VLAN 编号以 Site 基准，即 VLAN 号在一个 Site 内是唯一的，并且，统一的 VLAN 编号法有助于消除歧意和有助于排错。 一般地，采用下面的 VLAN 编号规则： VLAN1 用于管理网段； VLAN2-VLAN10 用于设备互连网段； VLAN11-VLAN50 用于 各种业务子系统； VLAN51-VLAN100 用于 Server hosting。 Site Equipment VLAN Usage 北京 L-BJ-6509-A VLAN1 Management subnet VLAN2 Uplink to 7206 VLAN11 核心业务处理系统 VLAN20 会计核算和财务管理系统 VLAN25 代理人管理系统 VLAN30 精算系统 VLAN40 办公自动化系统 VLAN50 辅助销售系统 VLAN51 财务服务器 以上表格以北京为例，表达了划分 VLAN 的思想。此表格不代表最终设计结果。 5.3 IP地址规划 为了有效使用 IP 地址，必须对 IP 地址进行子网化，通过对每个 area 用VLSM(可变长子网掩 码 )进行地址分配可以最大限度的利用 IP 地址。 XX 人寿采用私有地址段 10.0.0.0/8 作为全网互连的 IP 地址网段。 每个省XX 人寿保险公司企业网络项目建议书 12 分配两个 Class B 的地址段，其中奇数段用于 WAN 互连，偶数段用于 LAN 的互连。地 市 级 中心 按需 分配 256 个 Class C 的地址段。 下表是以行政省为单位的 IP 地址分配，其中北京 WAN 的 IP 地址用于连接总部到各省及北京本地区 WAN 的连接。 LAN 的 IP 地址只用于北京本地区使用。 Site WAN/LAN IP Address First byte Second byte Third byte Fourth byte Mask 北京 WAN 10 1 0 0 16 LAN 10 2 0 0 16 上海 WAN 10 3 0 0 16 LAN 10 4 0 0 16 山西 WAN 10 9 0 0 16 LAN 10 10 0 0 16 Site WAN IP Address First byte Second byte Third byte Fourth byte Mask 山西至 临汾 WAN 10 9 0 4 30 临汾至 乡宁 WAN 10 9 1 4 30 Site LAN IP Address First byte Second byte Third byte Fourth byte Mask 临汾 LAN 10 10 1014 0 24 乡宁 LAN 10 10 10 32 28 此表格是体现 IP 地址分配的思想，不代表最终设计结果。 XX 人寿保险公司企业网络项目建议书 13 5.4 QoS 实施 5.4.1 可选择的工具 在 XX保险公司网内对 traffic 进行 prioritization 和 rate control 有多种方法。 CoS 只能提供差分服务：在网络边缘对每个 packet 进行分类，骨干网对分类过的 packet 提供有区别的服务。 QoS 则能够提供更好和更可预测的网络服务，包括： 支持独占的带宽 减少丢包率 避免或解决网络拥塞 设置 traffic 在全网 的优先级 要在 XX 保险公司网上建立端到端的 CoS 服务结构，主要可以采用的技术手段有： IP precedence classification Committed Access Rate Weighted Random Early Detection 1、 IP Precedence for Traffic Classification IP precedence Classification 在网络边缘进行，利用 IPv4 包头的Type-of-Service 3 个比特对每一个 IP 包依据其地址进行优先级分类。最多可以将 traffic 分为 6 个等级。在核心利用不同的 Queuing 技术对不同等级的traffic 进行不同的处理，使得不同的服务级别得到体现。 2、 用 CAR限制接入的带宽 Committed Access Rate 提供一种手段来提供承诺的带宽和限制带宽使用，在此同时，提供处理超出承诺带宽以外流量的策略。 CAR 可以 配置在 二级 网 以 下XX 人寿保险公司企业网络项目建议书 14 的 路由器 ，可以基于接入的端口、 IP地址以及传输层的端口号进行分类。 CAR 采用令牌桶的算法进行流量整形。对于超出的流量， CAR 利用 extended burst 定义阈值，超过阈值的流量降低优先级或丢掉。 CAR 的策略选项包括： Firm CAR 超出的流量被丢弃 CAR + Premium 超出的流量被标为更低的优先级 CAR + Best Effort 超出的流量有一个突发的阈值，再超出该阈值的流量被丢弃 Per Application CAR 不同的 CAR 策略作用于不同的应用。比如，重 要的应用采用 CAR + Premium 策略，多媒体应用采用 CAR + Best Effort 策略。 3、 用 WRED进行拥塞管理 采用 WRED 进行拥塞管理。 WRED 在网络的瓶颈处监视并缓解网络的拥塞。 XX保险公司的网络 瓶颈可能出现的地方主要是 各级网络中心 WAN 连接的地方。 WRED监视网络的负载，当拥塞开始刚出现时，它就开始有选择的丢弃一些包以降低流量。其结果是，数据源觉察到丢包，就开始降低发包的速率，从而避免了拥塞。 WRED 丢包的策略为：低优先级的流先丢，以保证高优先级的流可以顺畅通过。 在可能发 生拥塞的端口运行 WRED 和 DRR 是避免拥塞的较好的选择。 5.4.2 实现 在具体实现中，为了达到最好的效率，需要对任务进行分工。因为 CoS 是一个需要消耗很多处理器资源的应用，所以这一任务分配在 各级中心 路由器上运行，以减少对单独路由器的压力。 实现基于 CoS 的差分服务结构需要 4 个步骤： XX 人寿保险公司企业网络项目建议书 15 入口的带宽限制在 二级以下的 路由器和 各级 LAN 核心交换机 上实现，同时完成入口 traffic 的 Classification。针对不同的用户策略进行分类。 对需要提供带宽保证的流量，如 多媒体 Traffic，在 各级路由器 和 LAN 核 心交换机 上按 IP地址进行 Classification，将这类流量的 IP Precendence 值置为高，其它流量置为低。 各级 WAN 设备也需要 做 带宽管理的工作 ，采用 CAR，对各种业务以及应用 按照一定的 比例 对其进行带宽限制。 二级以上的 路由器完成 CoS 的管理工作，进行有差别的服务质量保证。 出口设备， 作 WRED 设置，预告丢弃可能造成拥塞的非重要 IP 包 。入口、出口设备对带宽的限制保护了网络免于拥塞，使得网络具有很高的可扩展性。 CAR 采用了一个令牌桶的算法进行流量整形，原理示意图如下： 当数 据流出时， token 从桶中相应流出。 Token 以恒定速率补充到桶中，这个速率就是承诺的带宽。桶中可以有的最多 token 数目就是一般突发数据长度。当数据到达时，如果桶中的 token 数目不够数据的长度，这时， Extended 突发容量就起作用了。 (burst capability 可以通过设置 extended burst value 大于 normal burst value 来达到 )。 Extended 突发可以让突发的数据借用一些 token，这样可以以一种类似 RED的方式丢弃 packet，而不是直接丢弃掉。 XX 人寿保险公司企业网络项目建议书 16 在端口上 配置的策略作用于 traffic，可能的动作包括： Transmit：发送出去这些包。 Set precendence andTransimt：设置 IP 包头中 ToS 域的值，以对 traffic进行分类。这种分类分为 2 种， color 和 recolor，后者指对 traffic 进行重新分类。 Drop：丢弃数据包。 Continue：继续测试 CAR 的下一条语句。 Set precendence and continue：设置 IP 包头的 ToS 的值，然后继续测试下一条语句。 下面是设置 normal burst(NB)和 extended burst(EB)值的公式： NB = rate * time / 8 EB = 2 * NB 这里 rate 是 Committed bandwidth， time 一般设为 0.5 秒。 2、 配置 WRED 在城域网可能发生瓶颈的地方配置 WRED，从 整个 XX 人寿网络 来看，可能发生瓶颈的地方是 WAN 的汇聚接口 。 RED(随机早期丢弃 )是利用 TCP 窗口机制而采用的拥塞避免技术，通过在拥塞发生前随机丢弃一些包， RED 通知数据源，可能要发生拥塞，请降低速率。 WRED依据 IP precendence 来丢弃数据包 ，以保证优先级高的 traffic 得到服务保证。WRED 一般配置在核心路由器上，而不是接入路由器。 在本网络中 WRED 配置在二级以上的 WAN 路由器上。 WRED 的处理流程如下： 计算平均的队列长度 如果平均队列长度小于域值下限，将到来的包放入队列中 如果平均队列长度在域值的下限和上限之间，是否丢弃该包取决于这个包XX 人寿保险公司企业网络项目建议书 17 的优先级 如果平均队列长度大于域值的上限，则丢弃该包。 下面是在 北京网络中心核心路由器上的 POS 链路上的 WRED 的 Sample Configuration： interface pos 2/0 ip address 10.1.1.1 255.255.255.252 random-detect 虽然可以修改队列度的域值，但 Cisco 不推荐这么做，因为，缺省的 WRED配置是已被证明是高效的了。 举例说明： 北京网络中心的核心业务系统服务器的 IP 地址为 10.2.1.10 ，上海用于处理核心业务系统的 VLAN 为 10.4.1.32/28,现在用 QoS 来保证北京与上海之间的核心业务系统的优先级为最高，带宽为 500K。 北京中心路由器配置： class-map match-all SH-TO-BJ match access-group 100 class-map match-all BJ-TO-SH match access-group 101 ! policy-map TO_BJ class SH-TO-BJ bandwidth 500 set ip precedence 5 class class-default fair-queue policy-map TO_SH XX 人寿保险公司企业网络项目建议书 18 class BJ-TO-SH bandwidth 500 set ip precedence 5 class class-default fair-queue ! interface GEthernet1/0/1 description BJ LAN ip address 10.2.10.1 255.255.255.252 service-policy output TO_BJ ! interface POS1/0/0.1 description BJ to SH ip address 10.1.1.1 255.255.255.252 service-policy output TO_SH ! access-list 100 permit ip 10.4.1.32 255.255.255.240 host 10.2.1.10 precedence critical access-list 101 permit ip host 10.2.1.10 10.4.1.32 255.255.255.240 precedence critical 上海分公司也做相应的配置 5.5 网络安全 在具体实施公司网络的安全保护前，必须详细编写 XX 人寿公司的网络安全策略。 公司的安全策略是实施和管理公司网络安全的准则。 5.5.1 Internet 接入安全解决方案 XX 人寿公司在 公司网络的 Internet 接入点配置两台防火墙和两台 IDS，防火墙与 IDS 各自之间可以 fail-over。 XX 人寿保险公司企业网络项目建议书 19 5.5.2 LAN 安全解决方案 在局域网中的核心交换机上配置防火墙和 IDS 模块，控制 VLAN 间的网络安全。 5.5.3 远程接入解决方案 在公司总部部署 VPN 集中器，并且在客户端安装 VPN client 软件，使远程用户与公司之间传输的数据得到安全的保护。 针对远程用户部署访问控制服务，对每个远程接入的用户进行安全的认证。 5.5.4 终端用户安全 解决方案 公司统一部署防病毒软件，如果资金允许可以在公司内部部署准入控制系统。 局域网中的终端用户 必须经过 802.1x 认证才可以访问网络。 5.5.5 WAN 安全解决方案 在路由器之间进行 MD5 认证；