某银行分行网络设计方案

XXX分行网络设计方案书目XXX分行网络设计方案 1前言 1第1章MPLSVPN简介 1第2章MPLS-VPN的客户解决方案 22.1网络设计框架图 22.2广域网骨干区 22.3本地生产办公服务器区 32.4大楼楼层汇聚区 42.5广域网接入区 52.6外联区域 5第3章ip地址规划 6第4章路由协议 6第5章MPLSVPN规划 7第6章网络备份及平安 76.1网络备份 76.2网络平安 7前言利用统一的计算机网络同时开展多种增值业务，是各大银行应用系统的最新发展趋势。将各种传统业务从专有系统环境移植到计算机网络上来，不仅可通过计算机网络带来更佳的敏捷性、兼容性，而且还可以大大扩展服务范围，提高服务质量，降低运营成本。然而同时，网络资源的集中也带来了一系列新的问题，如不同业务系统在同一个网络上承载，如何有效的实现逻辑上的隔离、实现不同类别业务的区分服务等等都是须要细致设计的环节。随着中国金融系统网络大集中的逐步实施，网络业务横向集中，网络架构纵向集中的趋势日趋深刻，而业务网络物理统一，逻辑上要求平安隔离的呼声也越来越高，如何在统一的网络平台上高效、平安而经济的实现新一代金融网络的需求，成为金融用户、网络方案供应商、网络设备供应商面临的共同问题。思科技术有限公司致力于供应面对用户的，可裁剪、可扩展、高效、实施简便的专业化金融网络解决方案，面对上述需求，思科公司推出了基于IOS系统网络产品平台MPLS和IPSEC技术的一体化VPN解决方案。第1章MPLSVPN简介随着社会的发展，企业日益扩张，客户分布日益广泛，合作伙伴日益增多，这种状况也使传统网络的功能缺陷越来越凸现：传统网络基于固定物理地点的专线连接方式已难以适应现代金融企业的需求。于是金融企业对于自身的网络建设提出了更高的需求，主要表现在网络的敏捷性、平安性、经济性、扩展性等方面。在这样的背景下，基于MPLS技术平台实现的虚拟私有网（简称为MPLS-VPN），以其独具特色的优势赢得了越来越多的金融企业的青睐。MPLS是多协议标签交换协议的简称，多协议是指它能够支持多种三层协议；标签是一种短的，易于处理的，不包含拓扑信息，只具有局部意义的信息内容；MPLS的报文转发是基于标签的，在MPLS网络中，IP包在进入第一个MPLS设备时，MPLS边缘路由器分析IP包的内容并且为这些IP包分协作适的标签。以后全部MPLS网络中节点都是依据这个标签作为转发依据。当IP包最终离开MPLS网络时，标签被边缘路由器分别。MPLS可以在IP网中的实现的一种面对连接的特性。通过MPLS可以在IP网中供应一些原来只有ATM/FrameRelay才能供应的业务，使得IP网络可以依据用户需求，供应形式多样、便利快捷的增值服务：VPN（包括二层和三层VPN）、流量工程和QoS、虚拟专线、电路交叉连接（CCC）等等，其中的MPLSVPN就是其中一项重要的应用。MPLSVPN可以分为BGP扩展实现的VPN和LDP扩展实现的VPN。依据PE（ProviderEdge）设备是否参加VPN路由又细分为二层VPN和三层VPN。本次工程中，采纳BGP扩展实现的三层MPLSVPN。采纳MPLSVPN技术可以把物理上单一的IP网络分解成逻辑上隔离的网络，并且每个VPN单独构成一个独立的地址空间，即VPN之间可以重用地址，在安排地址时不必考虑是否会与其他的VPN发生冲突，只须要考虑在本VPN之内不冲突即可，这样可以解决IP网络地址不足的问题，也便利与网络的扩展和变更。MPLSVPN网络中，由三种设备：CE、PE和P路由器，CE（CustomEdge）是用户干脆与服务供应商相连的边缘设备，一般也是路由器设备；PE（ProviderEdge）是骨干网中的边缘设备，它干脆与用户的CE相连；P路由器（ProviderRouter）是骨干网中不与CE干脆相连的设备，P路由器并也不知道有VPN的存在，仅仅负责骨干网内部的数据传输。但其必需能够支持MPLS协议，并使能该协议。PE位于服务供应商网络的边缘，全部的VPN的构建、连接和管理工作都是在PE上进行的。第2章MPLS-VPN的客户解决方案2.1网络设计框架图说明：全网采纳双线路热备星型拓扑进行物理连接。内部IGP启用OSPF协议，使其路由可达。内部PE-TO-PE端运用MPBGP，数据区域2台核心分别为P设备2.2广域网骨干区说明：广域网骨干区域简称上联总行区，上联区中的主备路由器为PE路由器，内部接口运行OSPF外部接口因连接总行的PE设备，所以采纳PE-PE的连接方式运行了MPBGP。2台主备路由器运用口字型连接方式连接到生产数据核心P设备上，此连接方式优势在于实现网络主备热备份，避开单点失效。2.3本地生产办公服务器区说明：本地服务器区域运用2台服务器汇聚交换机星型拓扑连接方式连接全部本地生产办公服务器群，2台服务器汇聚交换机上联2台透亮模块虚拟防火墙使其本地生产办公服务器逻辑隔离，2台透亮防火墙分别连接生产上联核心和办公核心。2台分别为生产PE设备和办公PE设备，其目的可以运用VPN逻辑隔离。2.4大楼楼层汇聚区说明：办公大楼汇聚核心区与楼层办公交换机，大楼营业厅交换机以星型拓扑连接，办公大楼汇聚核心区通过口字型方式连接生产核心，办公数据核心。所连接楼层核心交换机后重分发分别进入办公，生产VPN，管理区域路由重分发进MPLSVPN管理全部VPN。2.5广域网接入区说明：广域网区域是用于连接分行一下的其余支行以及网点，连接网点运用PE-CE连接方式连接。路由协议可以选择RIPBGPOSPF静态浮动路由2.6外联区域说明：外联区域2台边疆PE路由器内部接口运行MPLSVPN,连接到生产核心区域.在防火墙上做地址映射，隐藏内部地址，以及其他平安策略。第3章ip地址规划IP地址安排主要包括P/PE设备互联地址、各设备Loopback接口地址均为32位掩码。对于设备互联地址没有特别的要求，一般是整个地址空间在同一个“大”的网段中获得，并且要为今后网络的扩充留有余地。互联地址尽量采纳30位掩码的格式，假如互联采纳Ethernet接口，可以采纳29位掩码的网段，这样在今后应用HSRP或者VRRP的时候有足够的地址可以运用。全部Loopback地址从今loopback地址可以用于OSPFROUTE-ID运用，全部的互联地址规划例如：（）（—.）本地PE端连接总行PE端，遵循总行地址规划。外联单位地址规划遵循地址30位掩码例如：（）。生产业务生产地址规划地址掩码为24位例如：（）办公业务地址规划地址掩码为24位例如：（）视频会议业务地址规划地址掩码为24位例如：（）开发测试地址规划地址掩码为24位例如：（）监控业务地址规划24位例如：（）第4章路由协议对于骨干层MPLS域，须要某种IGP协议与MBGP结合应用，其中MBGP主要完成私网路由标签安排、各私网路由在“公网”传递等作用，他的地位是不行替代的，没有其他的协议可以替代；对于IGP协议，他的主要作用就是保证MBGP邻居之间的TCP可达性，建议采纳OSPF，因为OSPF的适应性好，功能完善，当核心层设备在20台以内的时候，我们建议只运行一个骨干域“0”，这样网络规划简洁、维护便利，并且有利于今后骨干层网络的扩展。对于PE与CE互联，可以采纳的路由协议有静态路由、RIP和BGP等多种路由协议。详细运用那种路由协议要依据状况而定，如当CE以下的网络结构比较困难，路由条目较多的时候，PE和CE之间须要运行BGP协议，当然应用这种方案对CE的要求也是比较高的。对于PE与CE之间的路由协议类型最普遍应用的就是静态路由，只要准循上面提到的IP地址安排原则，各地的路由都可以汇聚成一条或者数目较少的几条，这时应用静态路由是最简洁、最便利的，而且网络的维护特别便利。对于XXX分行内部运行OSPF网络实现主备可以运用OSPFcost值来设置综上，在本期工程中，我们建议的路由协议类型就是：骨干层MBGP＋OSPF、PE与CE互联采纳静态路由。这样对整个网络中的设备要求不是太高，并且可以很好的实现MPLS-VPN。留意：为避开路由环路，在PE上不通过OSPF发布缺省路由。第5章MPLSVPN规划通过配置VRF（路由转发实例）的target属性，可以实现不同业务的VPN。不同路由器通过target相关联而组成可以相互访问的集合，由于只有他们内部可以互访，所以我们称之为VPN，配置里并没有特地的VPN的定义。也就是说，VPN的成员关系是通过路由所携带的routetarget属性来获得的。不同CE通过PE配置的VRF里的Target实现互访与隔离，从而组成不同的VPN。详细的各业务的RD和route-target依据实际状况规划第6章网络备份及平安6.1网络备份网络备份可以同时通过两种方式实现：1、通过合理的网络方案设计，实现物理链路与物理设备的备份。本次工程中，全部的汇聚节点是主备和负荷分担的，在正常工作的状况下，共同分担整个网络的流量，当其中一个失效后，另外一台设备能够担当起全部的流量，保证业务的正常运行；各支行到分行节点的两条广域网链路也是主备双营运商，在主用链路中断的状况下，全部业务可以通过备用链路传输。2、应用动态路由协议，做到网络的自动备份。OSPF和BGP协议，均可以自动地发觉两个网络节点之间的迂回路由，并在主用路由不行用时而自动运用备份链路。并且可以通过在路由器上加入策略，限制数据的流向。6.2网络平安可以采纳如下的措施，保证网络的平安性：1、MPLSBGP