广发证券综合业务网(doc48)

1、. ：.；广发证券综合业务网二期网络系统设计与实施方案目 录 TOC o 1-3 h z HYPERLINK l _Toc489950863 目 录 PAGEREF _Toc489950863 h 2 HYPERLINK l _Toc489950864 第一章 概 述 PAGEREF _Toc489950864 h 3 HYPERLINK l _Toc489950865 第二章 需求分析 PAGEREF _Toc489950865 h 4 HYPERLINK l _Toc489950866 2.1 网络系统需求分析 PAGEREF _Toc489950866 h 4 HYPERLINK l _

2、Toc489950867 2.2 网络建立规模 PAGEREF _Toc489950867 h 6 HYPERLINK l _Toc489950868 2.3 网络系统性能 PAGEREF _Toc489950868 h 6 HYPERLINK l _Toc489950869 第三章 网络总体设计 PAGEREF _Toc489950869 h 8 HYPERLINK l _Toc489950870 3.1 网络设计范围 PAGEREF _Toc489950870 h 8 HYPERLINK l _Toc489950871 3.2 网络设计原那么 PAGEREF _Toc489950871 h

3、 8 HYPERLINK l _Toc489950872 3.3 网络规划 PAGEREF _Toc489950872 h 11 HYPERLINK l _Toc489950873 第四章 网络系统实施方案 PAGEREF _Toc489950873 h 15 HYPERLINK l _Toc489950874 4.1 设计概要 PAGEREF _Toc489950874 h 15 HYPERLINK l _Toc489950875 4.2 网络构造 PAGEREF _Toc489950875 h 16 HYPERLINK l _Toc489950876 4.3 防火墙系统设计方案 PAGER

4、EF _Toc489950876 h 18 HYPERLINK l _Toc489950877 4.4 IP系统 PAGEREF _Toc489950877 h 23 HYPERLINK l _Toc489950878 4.5多媒体影视系统 PAGEREF _Toc489950878 h 29 HYPERLINK l _Toc489950879 4.6 产品选型和配置引见 PAGEREF _Toc489950879 h 35 HYPERLINK l _Toc489950880 4.7 投资维护 PAGEREF _Toc489950880 h 46第一章 概 述广发证券公司综合业务网的建立在阅历

5、了近一年时间的预备阶段后，曾经迈出了坚实的第一步。在这段时间内，广发证券公司和博瑞琪集团本着精诚协作、共同开展的原那么，在多次的交流和沟通中逐渐达成了共识，确定了网络构造和进一步的开展方向。在一期网络进展实施的同时，广发证券公司又并购了近30家营业部，更进一步的突出了广发证券在广东省内证券公司中领头羊的位置。这种不断壮大的趋势也促使广发证券公司加速本身的网络建立，以顺应瞬息万变的市场需求，将目前的网络晋级为一个更加强大、高速、覆盖面广、支持多样化效力、体系构造明晰的综合业务网曾经迫在眉睫。 广发证券有限责任公司的决策层一向注重高新技术在根底设备建立及管理方面的运用。因此，博瑞琪集团在双方良好的

6、协作根底上将不遗余力的发扬本身的特点，与广发证券携手协作，为广发证券再创辉煌做出奉献。第二章 需求分析2.1 网络系统需求分析2.1.1 网络构造的一致实现广发证券公司完善的买卖监控和内部管理体系需求构造明晰、整齐化一的网络构造。根据广发证券公司各营业部和职能机构的分布情况以及业务和管理流程，经过地面网络的建立，在层次构造上实现集中化的通讯链路构造，从而提高中心的监控和管理才干。广发证券公司一期的综合网建立在根本原那么确定的根底上，构成了相对一致的网络构造，但由于处于尝试阶段，依然有部分网络节点并没有按照三级网络构造的规划进展合理安排例如：一些三级的营业部直接衔接网络中心。目前广发证券具有敏锐

7、洞察力的指点层清楚的认识到了分布式管理方式的优势，广发证券将构成中央集中控制、大区分地域管理的方式，从而提高效率，加强竞争力。这种体制以一期网络设计中所提出的三级网络构造为根底，那么可以发扬出更大的效能，并完美的交融起来。广发证券公司希望经过网络构造的进一步伐整，构成明晰一致的买卖体系，突出区域管理职能和中心监管职能，逐渐实现买卖的集中监控，认证，并为平滑过渡到集中买卖的方式打下坚实的根底。2.1.2 多媒体效力的需求券商之间的竞争不仅表如今买卖环境的改善上，丰富多彩的增值效力也是加强竞争力的有力措施。务体系。经过改良后的网络实现IP和呼叫中心效力可以有效的提高广发证券公司的效力质量。在网络技

8、术飞速开展的今日，许多有实力的企业都建立了内部的IP系统和客户效力中心系统，利用很少的运营本钱为宽广的用户提供了有吸引力的服随着用户的素质和层次不断提高，他们对效力的需求曾经不仅仅满足与简单的接纳行情信息，他们需求更为直接的视音频效力。而在如今网络带宽不断扩展、紧缩技术不断更新的条件下，这一切都成为能够。同时，企业内部网络也向更加快捷方便的交流方式转变。网络系统中所提供的多媒体视频广播、视频会议系统和视频存储系统可以为广发证券公司提供实时股评、电视会议、海量资料存储等增值效力。2.1.3 系统管理需求在广发证券公司内部需求经过健全的MIS系统、基于Web技术实现的Intranet系统、构造层次

9、明晰的办公自动化系统以及基于视频广播体系的多媒体信息发布等方式来强化内部的信息管理系统，从而构成完善的管理体系，为广发证券不断开展和壮大提供条件。而这样的一个管理范围涉及面广的运用系统需求一致的管理平台作为有力支撑。在一期网络的设计中，由于仅仅涉及到网络的搭建，因此在管理上我们配置了CISCO公司的网络管理软件CWSI对网络设备进展全面的管理，而二期那么是与运用相结合的管理方式，我们引荐采用更加强大的支持运用的管理软件。2.1.4 Internet接入需求为了支持广发证券公司范围更广，影响更大的网上股票买卖，同时让内部员工可以在办公地点以外的任何地方平安的运用广发网络中的各项效力，并将零散的、

10、有很多平安隐患的管理方式逐渐构成一致的Internet接入方式，我们在广发证券综合业务网的一期工程根底上，添加Internet的接入功能，并在此根底上实现广发证券公司的挪动办公。2.1.5 平安的远程大户室接入需求为了让广发证券公司各营业部的大户可以得到更优质的效力，可以足不出户就可以经过电脑查询行情和实现买卖，经过呼叫中心效力的大户可以享遭到比Internet买卖更为方便快捷的买卖方式，从而加强广发证券在业界的竞争力。2.1.6 通讯线路的调整2.2 网络建立规模根据前面提出的需求，博瑞琪集团提供的方案中涉及的范围有：广发证券网络中心扩容：扩容后的网络中心具有更加强大的中心处置才干，更稳定可

11、靠的体系构造，更完善的系统管理功能，为中心职能的发扬提供了有力的保证，带给广发证券更快的买卖速度，更稳定的业务系统，同时可以在此根底上添加MIS、OA运用、挪动接入、平安的大户室接入等效力。新增的二级分中心建立新添加七个大区中心：二级分中心是在地面网的网络构造中表达出来的，向上直接衔接网络中心，向下衔接各三级节点，起到减轻中心压力、加强网络可靠性以及节省投资的效果。三级营业部建立曾经委托的营业部：利用更完善的管理制度和整齐化一的网络构造实现的三级营业部构成了全网的连通。衔接上述机构的完善的地面网络系统扩容实时多媒体广播系统及与之配合的信息制造存储系统：经过多媒体广播系统可以实现实时股评、人员培

12、训、音讯发布等效力。经过信息制造存储系统可以将高质量的视像信息无失真的搜集和存储下来。IP和呼叫中心：经过CISCO Voice Over IP的技术实现的企业IP效力和增值的呼叫中心效力。挪动办公效力：经过更多端口的拨号访问实现挪动办公。远程大户接入效力：经过呼叫中心接入方式实现大户的平安买卖。本网络建立是广发证券运用系统的根底，因此设计规模上要充分满足需求。2.3 网络系统性能2.3.1 网络系统可靠性网络系统需求7 x 24小时不延续任务各种硬件设备的平均无缺点时间不低于8000小时设备支持热插拔功能地面网络系统与卫星网络系统严密联络完成备份功能重要节点的网络设备具有完善的冗余配置2.3

13、.2 网络系统平安性网络设备应具备完好的操作权限管理机制网络设备应具备完好的平安管理机制网络管理系统应能为系统管理员提供多种发现系统缺点和非法用户登录的手段网络管理系统能支持磁带、光盘等外部存储方式保管历史数据网络设备应具备VLAN的划分功能第三章 网络总体设计3.1 网络设计范围广发证券综合业务网的总体设计思想是：在充分维护现有人员、技术、构造、设备投资的根底上，采用国际主流的网络技术、构造和设备，提供从网络联通、网络管理、中心业务运转直至用户接入、用户管理和信息效力、内部信息系统以及电子化办公等一系列功能，保证系统的可靠性、稳定性、适用性和可扩展性。扩容后的广发网将成为国内证券业首例具有一

14、致管理、规范运营、有效运作的企业网，直接与国际先进程度接轨。扩容后的广发网为实现业务和管理的综合运用提供了保证。实现业务系统和管理信息系统的互动，也能实现真正的监控系统和决策支持系统，同时为未来开展在线买卖提供了条件。广发网二期工程网络部分从技术上分为：地面网建立多媒体运用从业务数据上分成以下几个部分：中心业务买卖、行情等；管理信息系统；办公自动化系统与企业内联网Intranet；多媒体数据视频广播，IP等。3.2 网络设计原那么实时性 实时性是指在运用网络开展业务时，不会由于网络的时延而无法顺应股市的瞬息万变，更不至于由于时延呵斥买卖的失败，也不会运用户感到比用其它手段操作有明显的时延。广发

15、网采用全新的网络和业务方式，运用高性能的网络设备交换机和路由器和效力器包括计算机硬件和软件，由于设备和网络导致的时延极小，而且新建地面网的时延远小于原有的卫星网。不但不会影响一笔委托买卖的成交，而且对于用户来说效力将比未改造前更为快捷。经过方案中选用的设备支持的QoS保证的性能，可以为网络上传输的不同运用的数据信息划分优先级别，从而在多种运用并存的网络环境中保证买卖业务的实时传输。一致性网络传输的一致性是指数据被准确地、完好地由用户端经网络传送到目的地，并有效地回传确认信息。广发网将经过网络的数据传输层控制来保证一致性。更重要的数据一致性将由运用系统来实现。可靠性可靠性是指网络在开展业务期间抗

16、御缺点的才干。广发网将采用一系列备份和冗余措施来尽量提高系统的可靠性。例如：网络中心与备份中心；传输链路备份；网络设备冗余备份；端口冗余备份；关键效力器异地热备份；数据异地冗余备份等等。采用了多种可靠性措施后，各种业务数据尤其是买卖数据可以抵御各种网络缺点，保证数据传输到目的地。平安性平安性是指经过有效手段防止网络数据被窃取，资源被非法登录和黑客攻击等的设计。数据平安方面，广发网将采用数据加密和链路加密的方式来保证。网络平安方面，广发网将在与外界接口处设置防火墙或单机衔接的运用网关方式，阻挠广发网外部的非法侵入。在网络实施中，各环节尽能够多地采取平安严密措施，如利用分组的闭合用户群功能，用户权

17、限设置和口令、加密等方法。另外，经过适当划分VLAN进展部分隔离，限制部分交换，也可以起到在网络内部将中心买卖业务与其他业务分隔开来的作用。适用性适用性是指网络针对各项业务的可用性及业界先进性。这与其它性能目的不同，适用性需求综合地进展评价。在广发网的设计中，留意使网络具有很好的适用性，不仅充分维护现有投资，而且要有良好的可扩展性、开放性、互联性，该当是完全面向二十一世纪的。作为优化网络性能的手段之一，应尽能够将整个网络资源合理分配和运用。所设计的广发网不仅可以满足公司业务的需求，从长久开展的观念思索，还可以与各种网络包括超高速以太网、ATM网、HFC混合网、光纤网、帧中继和SDH骨干网等顺利

18、互联，便于市场开发、业务拓展、同业交流及国际接轨。网络提供了多种操作方式的选择,甚至是经过其它网络(如广电宽带多媒体HFC混合网、Internet)接入的能够,不论整个网络系统如何构筑，对于股民用户来讲是透明的，几乎没有差别，进而可以实现真正意义的网上买卖。易管理性与易扩展性在广发网整体设计中做到了易于维护、平滑晋级、方便扩容，并且经过优秀的网管软件实现了对网络的监控管理和性能的有效调整。这些都是确保系统稳定性的真实措施。网络所采用的技术、设备软件和硬件均为业界实际已证明是成熟可靠的。方案中一切部分都为未来的扩展和晋级预留了足够的空间，网络的扩展和晋级不会对网络运转呵斥影响。3.3 网络规划3

19、.3.1 业务传输分析下面相对各种运用的传输来分析一下它们网络中应该如何规划。买卖业务：这是广发证券综合业务网的中心业务。买卖业务的特点是每笔作业的数据量较小，总的买卖数据流量不定伴随牛市会出现突发性流量，导致带宽变得紧张；而在熊市数据流量又会很小，显得资源闲置，但是对网络性能要求较高，无论网络忙闲，都必需绝对保证买卖数据被优先传送！更高效、可靠地、易监控地传输买卖业务是本方案建立地面专网的缘由，正是为了更高效、更集中地处置业务数据，所以它理所当然采用地面网作为主传输网络，而采用卫星网为备份。数据监控与分析、决策支持系统等由于与业务亲密相关，可以采用业务数据传输的处置方式。行情发布业务：行情发

20、布是证券行业提供的重要业务之一，这项业务的主要特点是数据传输量和传输频率相对稳定，同时也没有交互信息的传输，因此很适宜于以卫星信道上提供的单向广播方式来实现。由于现有的买卖所直接将行情数据广播到各营业部的方式已相当成熟可靠，所以在广发网络建成之后也没有必要去改动它。基于可靠性的思索，采用广发网络扩容后的卫星网作为行情发布的备份。管理信息系统MIS：管理信息系统也是本网络的一个重要组成部分，可以说只需在管理信息系统真正实施运转之后，建立公用网络的优势才表达出来。目前大量已运用的MIS系统的都是基于数据网即地面网的，本方案也将采用地面网来传输MIS的数据。本方案中采用的广域网产品可以经过不同传输优

21、先级的设定来实现网络传输的QoS效力质量保证，网络实施时将业务传输设为最高优先级，以保证一切业务处置数据都能在第一时间传送到目的地。而MIS以及后面的几项运用相应设为不同的较低优先级，以在不影响正常业务通讯的情况下实现网络中多种数据的传送。办公自动化系统OA：建立公用网络之后，可以很方便地实现办公自动化、网络化，极大地提高任务效率。OA系统由于大量数据传输是在局域网上发生，广域网上普通只是一些报表之类的上、下传任务，频度不高但能够数据量较大。OA系统同样会划分较低的优先级，使它可以在地面网上运用而不用分配太高带宽。Intranet/Extranet/Internet：随着Intranet日渐流

22、行，广发网络日后必然会采用Intranet的架构，同时Intranet与OA和MIS也严密相关。Intranet/Internet构造本身就是一种以网络为中心的计算构造，在网络中需求传送大量数据，也就是需求占用大量带宽。由于广发网络中业务数据传输是首要的，假设在地面网上实现Intranet，为了保证业务数据的优先级，Intranet数据的带宽必然遭到影响。而目前可行的地面网带宽本身就不易满足广发证券这样的大型公司Intranet的需求。所以，本方案建议在日后建立Intranet时，恳求另外的线路，或经过在Internet上的VPN技术来建立本人的虚拟公用网。多媒体广播系统：这是本网络中对带宽要

23、求最高的部分，由于前述卫星网在数据广播方面的优势，所以本方案采用卫星网来建立多媒体广播系统。7、多媒体视频会议系统：视频会议同样要求很高的传输带宽，而且由于视频会议是交互式的网络运用，又不同于广播方式。思索到运用SCPC技术在卫星网上建立视频会议系统代价太高，而采用最适宜视频会议的ISDN技术在国内又尚未普及和完善，本方案暂不作视频会议系统的配置。待日后国内ISDN网真正普及后，再采用其建立多媒体视频会议系统。3.3.2 三级网络构造如前所述，本方案采用DDN线路建立地面网，而DDN的主要问题在于线路费用较高，为了使网络的线路费用降到最低，本方案地面网沿用一期方案中的三级网络构造，。即：中心节

24、点：网络中心；分中心：同一行政区划中有多个营业部时设立分中心。网络分中心直接衔接中心节点，同时每个分中心下联假设干个三级节点。分中心可以在各业务总部，也可以在地域业务部，根据网络线路衔接情况决议；三级节点：三级节点上联到分中心，再经过分中心衔接到网络中心。三级节点包括各营业部，以及总公司下属的各总部在同一大楼的不须广域网衔接。这次的网络扩容工程中，将过去直接衔接中心的营业部均改为经过二级节点上联中心的方式，更进一步的使得三级构造变的明晰采用三级构造后，可以更好地实现分层次管理和责任制。本网络建立的重要目的之一就是做到集中监控，甚至日后集中买卖和清算，以降低风险。而采用三级构造后，各业务总部的位

25、置才干真正在买卖流程中表达出来。假设完全由总部进展买卖监控，首先是任务量很大，能够出现疏漏，其次是责任并不是很明晰，对于风险的控制还不是最正确的方式。由各业务总部来进展买卖监控，首先利于分层次的管理，真正完善业务总部的作用。其次可以采用分层担任制，这样针对性更强，责任更明确，更利于风险控制。这种方式目前在国外的证券行业已普遍采用。采用三级构造时，分中心与网络中心的衔接需求分配较高的带宽，以满足其一切下联三级节点通讯的要求。3.3.3 IP系统和客户效力中心本网络将建成企业级完善的IP体系，从而有效的节省企业内部的长途资费，其详细分析报告详见第四章中的有关章节引见，为了可以使广发证券享遭到这项效

26、力，这次的方案在有效利用原有资源的根底上添加了相应的模块，到达一次投资，永久见效的目的。在广发网络根底上添加客户效力中心设备，从而实现客户效力中心的支持也是二期工程中为提高广发网络功能的重要举措，经过客户效力中心的设立，可以为广发证券提供缺点快速处置、股民问题解答、远程大户室支持等增值效力。+第四章 网络系统实施方案4.1 设计概要4.1.1 网络节点规划广发网由中心一级节点、大区中心二级节点、营业部三级节点三级组成。广发网一级设有两个中心节点，分别为网络中心和灾难备份中心。网络中心设在广发证券电脑中心；灾难备份中心设在广发证券选定的广州以外的新址。参照总体方案的规划，二期方案除一期原有的5个

27、二级大区中心：北京、上海、深圳、海口、沈阳外，新增了7个二级节点，根据现有机构和广域网线路的情况，分别定为：汕头，珠海，中山，肇庆，江门，东莞及广州。一期方案中广州的各营业部和管理机构(三级节点)与广州中心节点直连，在二期方案中改为在广州另设一个二级节点与中心节点直连，其它各营业部和管理机构与该二级节点直连。这样二期方案中与各地包括广州大区中心相连的三级节点共42个节点，再加上除广州外的直接与网络中心相连的三级节点17个，一共是59个三级节点，其中新增三级节点为19个。这些三级节点将按地域接入各大区中心或与网络中心直连。4.1.2 网络衔接线路和多级备份战略广发网二期工程将在一期工程中实现的地

28、面DDN网主干根底上，将网络中心衔接新增一切二级节点，二级节点衔接下属新增三级节点。参照一期方式一切新增业务节点二、三级都经过VSAT卫星网直接衔接网络中心，作为应急备份方式。当灾难事件发生时，一切新增业务节点都可以经过PSTN网直接衔接灾难备份中心，作为灾难备份方式。4.2 网络构造广发二期方案中仍采用一期方案中的树型网络构造，广发网由中心、分中心、营业部三级组成，中心由网络中心和备份中心组成，分中心即大区中心与网络中心直连，营业厅经过地理位置分别与相应的大区中心直连。一期方案中广州的三级节点都与网络中心直连，二期方案中改为在广州另设一个大区中心与网络中心直连，而广州的三级节点直接与该大区中

29、心相连，不再与网络中心直连。在一期方案中除广州之外的与网络中心直连的三级节点，如杭州昆明等，在二期中仍保管与网络中心直连连。4.2.1 中心 网络中心网络中心用于运转全部买卖业务。它是广发网的帧中继接入中心、卫星网中心、买卖信息数据中心、网络系统管理中心、管理信息系统中心、办公自动化系统中心和多媒体管理中心。网络中心担任对整个GFNET网的管理和调度，一致掌握全网的地址分配和网络用户授权，对于网络运转情况和非正常景象进展监控和处置。网络中心除直接衔接各二级分中心外，还有以下衔接：与上交所和深交所经过帧中继线路互连，与卫星网一同实现集中买卖的天地备份；与备份中心间经过高速帧中继互连，实现数据实时

30、备份；基于广发证券现有开展需求，以及稳定性和平安性的思索，二期工程网络中心配置2台交换机、5台3660系列路由器和1台拨号访问效力器。同时配置整个网络的网管任务站。其中两台3662作为主路由器，与各大区中心和对应营业厅经过帧中继主干网相连，另外两台3662作为这两台主路由器的热备份。同时再配置一台Cisco 3640完成拨号接入的功能，配置一台Cisco 3662完成16路IP效力和Internet接入功能详细分析见4.7产品选型和配置。 灾难备份中心备份中心配置有网络中心各中心业务效力器的备份，只用于在网络中心出现灾难时担任接纳全部买卖业务并保证数据一致性。备份中心经过高速帧中继线路衔接网络

31、中心。各级买卖业务节点可以直接经过拨号到备份中心，实现买卖备份。一期工程中备份中心设备采用1台主交换机加1台路由器 / 拨号访问效力器。4.2.2 新增大区中心从地域性业务管理的角度，大区中心担任将所辖地域内的各三级营业部的买卖数据聚集后传输到网络中心。与原有大区中心一样，新增大区中心与网络中心经过帧中继主干衔接，卫星网作为应急备份，与备份中心经过PSTN拨号作为灾难备份。大区中心与下属三级节点经过DDN网衔接。每个大区中心配置2台4003交换机和2台3640路由器互为热备份。广发二期共有12个大区中心，其中一期原有大区中心5个，已购买10台Cisco 3640路由器和10台4003交换机。新

32、增大区中心7个，另需14台交换机和14台路由器。由于广发已有2台Cisco 3640和6台Cisco 2522路由器，为了维护已有投资，在二期方案中预备把这些路由器留给新增大区中心所用。这样在二期中除去已存在路由器，另外只需配置6台3640路由器和14台4003交换机。每个大区中心配置2台3640路由器，其中一台做为主路由器的3640配VOIP功能模块，而另一台做为备份的3640不配VOIP模块，它不对VOIP功能进展备份。同样，在分配了2522路由器的大区中心里，作为备份的2522也不配VOIP模块，只需新配置的3640主路由器才配置VOIP。4.2.3 新增三级节点新增节点由于买卖方式没有

33、变化，所以新网络对股民用户而言是完全透明的，相对以往的操作也不会产生任何不同的觉得。 相对于广发网络原有三级节点，新增节点在二期施工后，将具备同样的任务方式，一样的备份方式，网络性能将有极大的改善，同时提供很高的可靠性。三级节点经过DDN或者与相应二级节点相连，或直接与网络中心相连。营业部的配置需求2台Cisco 2924交换机和2台Cisco 2611路由器。二期方案共有59个三级节点，其中一期方案的2个三级节点已购买设备，广发原有三级节点共38个，各原有节点已存在一台Cisco 2501路由器，为维护已有投资，各原有节点的现存2501路由器作为主路由器的热备份不能备份VOIP功能，因此原有

34、节点各需另配1台2611共38台路由器作为各节点的主路由器。二期新增二级节点19个，每个节点需配置2台Cisco 2924交换机和2台Cisco 2611路由器，共38台交换机和38台路由器。因此，二期方案中共需配置76台Cisco 2611路由器。由于广发原有三级节点的现存设备能处理交换机的热备份问题，所以在二期中不用思索在原有三级节点配置新的交换机。这样，二期中共需配置38台Cisco 2924交换机。每个三级节点配置两台2611路由器，其中作为主路由器的2611配置VOIP模块，作为备份的2611不配置VOIP模块。同样，原有三级节点只需新配置的2611主路由器配置VOIP模块，原有的作

35、备份的2501不配置VOIP模块。4.3 防火墙系统设计方案4.3.1 防火墙运用的重要性由于Internet网络的飞速开展，全球数以亿计的计算机曾经衔接在同一个网络上，这样既为各上网机构提供了前所未有的宣传媒介，也同时为一些不法分子提供了获取的条件，他们经过破译密码、特洛伊木马、非法FTP等手段窃取资料，导致很多企业蒙受了宏大的经济损失。虽然目前的各种运用软件，包括数据库系统，Lotus Notes等均提供数据平安维护功能，但仍缺乏以阻止黑客Hacker的攻击，而运用防火墙技术可以有效的防止这些，经过IP地址屏蔽，IP包过滤，Proxy效力器，数据加密等多种方式提高网络的免疫才干。在最近一、

36、二年，随着Internet的开展，另一个名词Intranet也应运而生，Intranet就是利用Internet的技术和设备，为某一行业或企业提供综合性效力的计算机网络，它既具备企业内部网的平安性，又具备Internet的开放性和灵敏性，Intranet在支持企业网络运用的同时，还可提供界面更为友好的WWW信息发布方式，并且可以提供与Internet的平滑联接，这是传统的信息管理系统无法比较的，这促使Intranet也不断地开展，象联邦快运公司FEDEX，Levi Strauss以及VISA都巳运用Intranet技术。由于Internet是一个普及全球的网络系统，因此，越来越多的个人及企业的

37、Intranet全都联接到Internet，但是，一旦上Internet，相对的也提供了一条他人进入到内部企业网络的通道，因此，越来越多的商业机构都面临着一个共同的网络平安问题。一是要维护本人内部的网络免受外部的非法入侵，二是防止内部信息的非法泄密。为到达这一平安目的，就要在内部网络(Secured Network)和外部网络Non_Secured Network之间建立防火墙Firewall。如以下图所示Intranet/Internet的防火墙是一个软件与硬件的结合，可以对两个网络之间的信息交换进展控制，在一台机器上至少插两张网卡，一个衔接内部网络Secured Network，另一个衔接

38、InternetNon_Secured Network，并运转防火墙软件。将企业内部运用的Web Server，Domain Name Server，E_mail Server放在防火墙内，外部网络中只需经过授权的用户才干经过防火墙，进入到内部网获取信息，相对地，内部网络上的用户假想象访问Internet，那么必需经过防火墙的检查，以确认能否合法。4.3.2 广发证券公司防火墙战略及设计方案概述广发证券公司综合业务网络覆盖了全国多个省市，各节点经过广域网方式互联，并经过几处设置防火墙衔接Internet。对于这些防火墙来说，假设不能一致进展管理，将呵斥混乱，也很能够会由于设置不当出现平安隐患。

39、Check Point防火墙提供了集中化管理的功能，即无论多个防火墙的分布如何，都可以经过某个中心位置的控制进展各分行防火墙的管理，这样既可以到达全局的一致，又可以节省人力资源的开销。在本次需求连入Intranet网络的各个节点均配置一台小型机作为防火墙效力器。防火墙的设计要根据建行的实践需求进展全局和部分的分析，在一致规划的前提下对详细的问题用相应的方式进展细化安排。在此，我们提供了一个整体方案供建行参考。下一节将详细引见这个方案建议。4.3.3 防火墙实施战略广发证券公司网络中心的防火墙效力器不仅要完成对网络中心局域网的维护，还要管理整个Intranet各网络节点的其它防火墙，因此它成为平

40、安措施的中心设备，同时一切网络中心的计算机与外界的通讯均要经过防火墙的验证，假设该设备当机，将导致内外通讯瘫痪，需求用两台具有较高的处置才干的主机相互备份来完成。其它Internet接入点分别设置一台任务站作为防火墙效力器，由于防火墙效力器在安装的时候会将其上的其它运用停顿，因此防火墙效力器应为一台公用效力器，除DNS效力之外，其它效力如WWW，MAIL不应设计在此效力器上。防火墙经过将平安网和非平安网的各种访问环节包括主机、IP地址、网卡、防火墙主机、子网等等设置成不同的单元，经过在各单元之间设置访问规那么来实现平安控制。对重要效力器的平安维护是平安体系中的重要一环，因此在配置防火墙时，建议

41、利用防火墙的IP地址屏蔽功能将这些效力器的IP地址屏蔽掉，使得非平安网络的任何用户不知道效力器的存在，也就无法对它们进展攻击。IP地址屏蔽功能是防火墙最高级别的平安防护措施。对进出防火墙的IP包进展过滤是防火墙的一项重要防护功能，防火墙经过对IP包源地址和目的地址的检测分析，回绝非法数据包的传输。将某些主机设置为单向传输方式。这样可以利用一些公用主机进展接受数据的操作，而它们不可以向非平安网络传输信息，这样就可以使外部用户访问平安网络的途径遭到限制，经过对这些途径的重点监视，提高网络通讯效率。在防火墙上进展Proxy Server的设置，这样一切在平安网络和非平安网络之间的访问均需求经过Pro

42、xy Server，即双方不进展直接的通讯，Proxy Server提供一个很大的Disk Cache，这样的设置也使得网络内外的通讯流量大大降低，从而节省了费用。设置防火墙的平安邮件功能可以保证邮件传输的平安性，一切邮件均发送至防火墙，然后由防火墙转发。防火墙平安监视器可以随时监视网络的平安体系，当发现存在平安隐患的时候报警。由于广发证券各营业部有很多终端设备，内部IP地址是由广发证券一致分配，假设为这些终端设备均分配Internet IP并不现实。我们经过设置IBM Firewall的NATNetwork Address Translation功能来进展网络地址的映射，当一个数据包从平安网

43、络传向非平安网络时进展网络地址转换，这样做方便了IP地址分配带来的不便，节省了IP资源。同时，对于广发证券的上网管理也需求有力的措施，杜绝综合业务网内计算机拨号上网的情况发生是有效保证广发网络平安的措施。4.4 IP系统基于因特网的实时语音通讯，是目前Internet技术运用的一个艰苦开展方向，经过IP网络，传送商业质量的话音/，曾经开场冲击到传统的业务，特别是国际长途业务。“Voice Over IP，就是指运用于IP网络上实现话音及信号传输的一门全新的集成业务数据网络技术。其特点在于其软硬件均经过精心设计和开发，可以 经过任何IP网络提供无缝的话音/集成。目前，世界数据网络通讯领域的领先厂

44、商均开发了这方面的产品。对于企业用户来说，经过IP网关传送长途/，同样具有重要的意义:1 节省长途费用用IP网络完成一切话音/的传送，能极大地降低了公司内部跨地域、跨国界的/本钱。2 减少设备投资公司可以在原来只能传送数据的网络上获得增值的话音效力，而无需再另外租用或者购买单独用于话音的设备和线路。由于一切内部通讯话音、数据、都经过同一网络传送，企业可以大大降低购买和维护设备的费用。4.4.1 IP的任务原理通常，我们可以经过合理地管理IP网络，到达实时通讯的目的。例如，可以采器具有优先级别的包和带宽分配机制，在现有的IP网络上建立一个附加的语音/网络，从而使任何拥有IP地址的人都可以经过网络

45、发送和接纳语音/。PC到PC之间的通话，只需有适宜的客户端软件就可以实现。但是要实现公众网PSTN与 Intranet之间的互通，从而完成基于IP网关的Phone-to-Phone的语音通讯和基于IP网关的Phone-to-PC的语音通讯，那么有很多额外的任务要做。ITU-T已就如何实现数据通讯网上的多媒体业务包括语音和视频及网际互通制定了H.323等一系列规范，使得IP的规范逐渐完善，各厂商的设备可以互通。语音紧缩技术的不断提高也为IP的开展铺平了道路。我们以本次中国的IP实验网为例，阐明IP的任务原理。当用户A想经过Internet拨打用户B时，首先拨打IP的接入效力号码179xx到本地的

46、接入效力器IP网关;待连通后，再拨叫被叫用户B的号码。A端的接入效力器根据该号码查到B端接入效力器的IP地址，经过 Internet与B端的接入效力器建立衔接，然后通知B端接入效力器B用户的号码，B端接入效力器那么根据这号码呼叫B用户;假设B摘机，那么接通。通话过程中，A端的接入效力器把用户A的话音紧缩成G.729或G.723.1流，并封装成IP包，然后经过实时传输协议RTP传给B端的接入效力器;B端的接入效力器那么将此包解开，并复原成音频流传给用户B。反之亦然。IP的原理同IP。4.4.2 IP的技术规范 ITU-T于1996年经过了H.323vl规范，其目的在于给IP提供一个国际规范，其根

47、本组成如下:H.323规范定义了4个IP组件:Terminal,Gat-eway,MCU(Multipoint Control Unit)和Gatekeeper。Terminal:是一个符合H.323规范的客户终端，可以是软件如netmeeting也可以是硬件如公用的Internet Phone,它提供了实时的双向传输用以传送声音。Gateway:完成PSTN/PBA/ISDN网络之间的协议转换，主要包括传输格式的转换如H.225.0到H.221，通讯过程的转换如H.245到H.242,另外还完成音频格式的转换和呼叫建立。因此，假设要建立异种网络间的通话如PSTN到Internet,网关是必需

48、的，否那么网关可以省略。Gatekeeper:担任用户注册和管理，如地址映射，呼叫认证和管理，呼叫记录和区域管理。MCU:其功能是实现多点通讯，使得Internet可以支持诸如网络会议这样的一些多点运用。4.4.3 设计目的：为什么要为广发网络工程设计IP系统技术的提高和开展促进了IP的增长，使其技术本钱不断降低，并且更加具有适用价值。同时，IP的关键部件DSP的本钱曾经显著下降。正如我们所知，模拟呼叫无论采用何种转换方式，都要占用64Kbps的带宽，这样，高速数据线路的用户也许要把相当数量的带宽用于传送语音，当多媒体运用越来越广泛的时候，带宽资源就会显得相当紧张。DSP那么可以把模拟信号转换

49、成8Kbps或带宽更窄的数据流。所以，假设把语音转换成一种数据流后，用户就可以在同一条线路上传输比采用模拟技术时更多的呼叫，从而使数据通讯的运营效益更好。实践上在多年以前，语音数字化在技术上就可以实现了，那时的主要问题是用户负担不起这笔费用。而最近几年内，DSP技术在功能和性能上迅速获得了进展，因此，用户不但负担得起，而且还可以很快获得投资收益。未来网络开展的方向无疑是迈向三网合一， 在一条线路上综合传输话音、数据和视频，当然这是一个漫长的过程。同时， IP运营的更深涵义并不仅仅在于从中获取利益，而是经过IP的运用使企业开展成一个成熟的现代化企业，并可以为用户提供象CALL CENTER这样的

50、现代化效力。广发证券综合业务网的建立，是一个多业务、多运用的网络工程。利用根底网络的建立，实现IP系统就是其中一个重要方面。4.4.4 IP资费分析为充分利用工程建立的广域网资源，可以经过网络进展通讯，范围覆盖总公司到每一个营业部，可以极大地减少长途支出作为一个跨省的大公司，此项为一重要支出。中国电信所提供的长途资费有两种：省内长途：0.6元/分钟省外长途：0.7元/分钟假设利用现有的网络资源安装IP，那么就可节约下一切的长途费用了。而安装IP究竟需求多少的初期投入呢？一个VOIP的模块加上两个接口插件需求￥22,800元，总共能同时接通四路IP，那么每个接口既每路IP的安装实践上只投入了￥5

51、,520元，再根据在以往的业务中所交纳的长途费，就可以知道多少时间可以收回IP的安装投入了。4.4.5 IP带宽占用分析大家知道，IP的接通是要占用带宽的。那么IP会不会影响正常业务的运作呢？让我们来一级级的分析：如以下图所示，在我们所设计的方案中，每个3级节点假设用一个VOIP模块的话，最多能同时通四路IP，也就是说，最多同时占用32K的带宽。而三级节点的DDN带宽为64K，那么最少还有32K可用。我们知道行情信息的信息量很大，但是由于它用的是卫星广播，所以可以不思索在内。而买卖信息的信息量普通也就占用1020K。综上所述，在三级节点安装IP最多用到32K带宽，无论它接的是二级节点还是网络中

52、心都是不会影响正常业务的。在二级节点中，我们建议用两个模块，最多可同时接通8路IP。如下图，二级节点到网络中心用的是128K的专线衔接，那么这条线路最多要承载多少路IP呢？实际上讲应该是这个二级节点本身的最大通路数加上它所衔接的一切三级节点的IP路数总和，按照现有衔接情况看，要占用8 X 8+4 X 4=192K带宽！但是，实践情况不是这样的，由于很少有能够它所衔接的一切的IP都同时经过这个二级节点到中心的专线。而且，我们可以用CISCO的QOS质量控制来保证关键业务的正常运作，详细方法是：限制IP所占用的最大带宽；设置各种业务的优先级别。经过这些手段完全可以控制二级节点到三级节点的关键业务不

53、受IP的影响。所以，在二级节点安装IP也是不会影响正常业务的。网络中心也是IP的一个集散中心，它的IP业务量也是非常宏大的，所以，我们建议在网络中心安装16路IP。而网络中心与其它节点的专线带宽承载才干前面曾经讨论过，这里就不再复述。4.4.6 IP的实现IP在如今曾经是一个很普及的运用了，如Internet上常见的Media Ring、IP2Phone等等，都属于IP。MS Netmeeting它同样支持G.729/G.711，不但能实现功能，同时还能实现更多信息效力，如白板等。而且与视频会议系统有互操作性。IP采用前面提到的G.729/G.711规范，其中G.729只需求8Kbps带宽就可

54、以传送一路语音信号。G.729/G.711规范也是H.323规范中的子项，所以采用视频会议系统也同时可以实现IP，但这能够在运用上比较费事一些。假设采用普通，那么需求专门的设备，如Cisco 的Voice/IP模块、IP Phone Access Gateway等，可以直接衔接在机或PBX交换机上。采用普通有操作方便、人人可用、管理方便等有点，所以这也是一个可选的方式。4.5多媒体影视系统4.5.1 设计目的广发证券综合业务网的建立，是一个多业务、多运用的网络工程。利用根底网络的建立，实现多媒体影视系统就是其中一个重要方面。多媒体影视系统包括：视频广播系统在公司总部进展行情的实时解盘，经过多媒

55、体视频广播系统向一切营业部直播，更好地为股民效力。同时视频广播系统还可用作内部图象广播运用。电视会议系统主要用于公司内部管理、业务人员等实现远程实时电视会议，同时还可以做全国同步参与的“股市沙龙等用途。4.5.2 技术根底 视频紧缩编码规范21世纪将是数据、图像和声音和多媒体时代。在这个时代中最重要的媒体之一就是图像，由于图像的数据量宏大，因此图像紧缩将是人们自在获取、传输、处置以及运用图像必不可少的条件。但要使一种图像紧缩的流程得到广泛的运用，就必不可少地要进展规范化的任务。在图像通讯中，参与通讯的各方的设备都必需可以了解发送方的“话语，即可以把码流复原成图像。但图像紧缩的方法有多种，假设发

56、送方和接纳方采用不同的编解码方法，可以想象会出现什么后果；即使是双方采用了一样的编解码方法，但假设所用的参数有某些不同，也会导致不能正确解码和恢复原图像。在当今这个开放的时代，人们希望图像在经过紧缩、存储或传输之后，不论用户用什么解紧缩流程，只需该流程与紧缩流程遵照得是同一规范，就可以解紧缩并恢复原图像。这就使得天各一方的通讯双方不用一定要用同一厂家消费的编解码产品，就能进展图像通讯。这一点对用户非常重要，用户可以根据本人的要求去挑选不同的产品而不用担忧它们之间的互通性，从而摆脱对某一厂家的过分依赖。如在会议电视中，这种互通性保证了运用不同的设备也能正常开会，不再出景象早期美、日、欧那种会议电

57、视不能互通的情况。基于上述缘由，国际上的一些组织如国际规范化组织(ISO)、国际电讯联盟(ITU)、国际电子电机工程师委员会(IEEE)等不断在努力于规范化的任务，并已获得丰盛的成果，如JPEG、MPEG、H.261、H.263等一系列规范化的建议，给厂家和用户提供了宏大的方便。H.261是1990年7月由CCITT第15研讨组经过的建议草案。它是世界各国几十年阅历的总结，是使会议电视/可视图像紧缩编码技术走向规范化和适用化的一个里程碑。H.261适用的速率范围是px64kbps(p=130)，即64kbps到1.92Mbps。如今，基于H.261编码的会议电视在世界上已构成较大范围的运用。H

58、.263是1995年6月ITU-T经过的规范，根据H.261改良而来的，针对低比特率视频编码，采用了一些较成熟而有效的方法，改善了图像的质量。在H.263中参考了MPEG-2引入了PB帧方式、以上这些可选项进一步改善了运动补偿的效果，保证了低码率下的图像质量。虽说H.263是针对低码率视频编码，但这些改良方法在更高码率的情况下也优于H.261，所以ITU-T取消了其原来的“64kbps的规定。在ISDN的普及短期内无法实现的情况下，H.263是实现话带传输活动图像愉快的一种很好的方法。综上所述，采用H.263规范，能满足低带宽情况下的高质量视频图象，同时由于H.263早已规范化，所以目前市场上

59、的主流视频产品几乎都支持它。这首先为产品选择带来极大的余地，其次即使是不同厂家产品间也可以互操作。 网络视频会议规范同样基于不同产品间互操作性的要求，ITU-T也为视频会议订立了规范。由于视频会议的开展与ISDN的开展同步，所以视频会议规范中ISDN占了很大成分。ITU-T H.320规范是关于在速率从56Kbps到2Mbps的ISDN和交换的56Kbps电路上进展电视会议的规范。自从1990年最早经过以后，H.320成为广泛接受的关于ISDN会议电视的规范。H.320是一个系统规范，它包含了许多关于系统 各部分的其它ITU-T规范，以下规范是H.320的主要组成部分：H.221提供把音频、视

60、频、数据和控制信息复用进单个比特流的规范。H.230/H.242提供用于方式命令和指示以 及功能交换的规范。H.261提供用于视频编码的规范.按方案H.263是一个新的可选的方式 G.721提供用于音频编码64kbps窄带规范。 G.72248-64kbps宽带和G.72816kbps窄带是可选的替代方式。G.723和G.729已列出制定方案。 H.320要求一切终端都支持通用的根本方式H.261视频和G.711音频，以保证互操作性。 除了视频和音频信道外，在需求时可以传送数据，例如T.120会议。ITU-T规范 H.231和H.243是关于多点操作的规范，在这种情况下三个或 更多会 场参与群