XXX农联社网络设计方案

《XXX农联社网络设计方案》由会员分享，可在线阅读，更多相关《XXX农联社网络设计方案（44页珍藏版）》请在装配图网上搜索。

1、XXX省农村信用社联合社信息化建设网络解决方案 目 录前 言2第一章 XXX农联社网络系统设计概述31.1项目背景31.2网络系统设计原则31.3广域网组网图6第二章 XXX农联社网络系统方案设计72.1 广域网规划设计72.1.1 广域网一级网架构设计82.1.2 广域网二、三级网架构设计112.1.3 南昌市节点的接入设计132.2 局域网规划设计142.2.1 省中心局域网设计142.2.2 地市中心局域网设计162.2.3 县联社局域网设计162.2.4 网点局域网设计172.3 哑终端接入应用18第三章 IP地址规划223.1 规划基本原则223.2 总体设计思想223.3 分配方法

2、233.3.1 省中心及各区域IP地址段规划233.3.2 省中心IP地址规划233.3.3 区域中心IP地址规划243.3.4 县联社IP地址规划25第四章 路由规划264.1 路由协议选择264.2 路由协议规划设计27第五章 网络安全305.1 专网化构建提高XXX农联社网络安全性305.2 XXX农联社金融网络内部安全布署325.3 新体系构架为业务提供良好融合335.4大集中趋势下整合型金融网点建设34第六章 网络管理366.1 网管功能366.1.1 网管平台的功能366.1.2 网元管理功能376.2 网管安全措施38第七章 华为3Com解决方案的特点40前 言随着我国金融业逐步

3、建立起以国有、商业银行为主体，多种金融机构并存的市场体系，国内各大金融行业之间的竞争日益激烈。而加入WTO后我国金融市场的逐步开放，又使得各金融行业面临前所未有的国外金融机构的竞争与挑战。 在内外夹攻之下，降低经营成本、提高运作效率，不断提升核心竞争能力，不断创新和变革成为我国各金融机构寻求突破和发展的主旋律。每年我国金融行业IT投资都以百亿元计。在此大投入下，目前我国金融信息化技术装备在国民经济各产业部门中处于领先水平。央行和国有独资商业银行都拥有覆盖全国所有分支机构的计算机网络和大型数据处理中心，其他银行拥有区域性计算机网络和机房。中国农信正处于IT信息化高速发展的前期，今年国家针对农信的

4、一系列改革措施，预示着全国农信即将踏上新的征途，也即将迎来IT建设的一次热潮。由于农信的特有组织机构模式和经营范围，中国农信IT信息化的建设宗旨是提倡各地从实际出发，进行多样化的制度创新。作为专注于数据通信领域的华为3Com公司，时刻关注中国农信发展及需求，聚集多年来对金融行业的深入了解及建网经验，在对目前XXX农联社的现状及发展趋势、关注焦点的深入分析后，提出新金融行业背景下XXX农联社信息化建设的战略构想。第一章 XXX农联社网络系统设计概述1.1 项目背景XXX省农村信用社联合社（以下简称“XXX农联社”）在我省金融机构中，网点最多，全省包括省联社、南昌营业管理部、新余和景德镇2个市合作

5、银行、九江等8个办事处共12个管理机构。下辖95个法人机构（合作银行和县联社）、1867个营业网点信用社（信用社、储蓄所）、1155个信用分社（暂不联网）。通过对业务发展情况分析表明，2003年全年业务量达到14000万笔，日均业务量约40万笔，日峰值业务量约60万笔。XXX农联社综合业务网络系统建设以高起点、分步实施为建设宗旨。为保证数据准确性和数据管理可操作性，有效控制运营成本，该系统将采用数据大集中的模式。用两年左右的时间基本建成覆盖全省农村信用社营业机构，数据集中存放，集中处理，面向客户，面向业务交易，面向管理的先进高效、安全稳定、易扩充、易维护的智能化综合业务网络系统。整个系统架构是

6、以省联社为中心，市、县联社为纽带，信用社营业网点为前沿的全集中网络运作模式。把省联社建设成为全省的交易处理中心、数据加工中心、资金清算中心。所以综合业务系统对其承载网络平台建设提出了更高的要求，整个XXX省农联社综合业务网络系统建设指导思想为：“坚持安全性、先进性、适用性、经济性原则，统一规划，分步实施，逐步实现业务处理综合化、内部控制自动化、综合管理信息化、业务决策智能化。”1.2 网络系统设计原则满足XXX农联社的业务需求是华为3Com公司追求的最终目标，为了实现这个目标，华为3Com公司将在网络方案设计中坚持以下原则：l 高可靠性XXX农联社作为XXX省重点金融机构，其网络平台必须提供1

7、年365天每天24小时的不间断服务，除了有计划的设备维护工作外，应该尽量消除设备的突然当（Down）机，或者服务的临时中断。因此，XXX农联社对系统的可靠性是有非常高的要求的，它与客户的商业利益直接相关。网络系统的稳定可靠是应用系统正常运行的关键保证。金融系统高可靠性提出的指标为99.999%，即系统一年的平均故障时间不超过3分钟。系统这种高可靠性，仅仅靠提高设备元件的可靠性是无法满足要求的（最高可达到99%），只有在整个网络系统设计中选用高可靠性产品，合理设计网络架构，制定可靠的网络备份策略，保证网络具有故障自愈的能力，才能最大限度地保证整个系统达到高可靠性要求。此解决方案充分利用了华为3C

8、om公司全系列高可靠性网络产品，结合备份中心技术、APS备份倒换技术、IP/MPLS快速重路由等各种冗余备份机制，配合优良网络架构支撑，可靠的网络备份策略，为XXX农联社网络提供强大的故障自愈能力，最大限度地支持各个系统的正常运行。l 安全性伴随金融信息化的不断深入，传统封闭的金融业务网络将逐渐实现与公开网络的相互融合或连接，一个更加开放的金融行业互联框架将形成，行业内部之间的信息交换将更加频繁，金融业必将面对信息安全的不断挑战。XXX农联社作为XXX省国民经济发展的重要核心与枢纽之一，涉及到全省社会生活的方方面面，一旦有相关安全案件发生，就会直接导致XXX农联社的信誉受损，引发信用危机，造成

9、社会不稳定。因此，网络安全对XXX农联社至关重要，而如何构建高安全的XXX农联社金融网络理所当然成为首要解决的重要问题！华为3Com公司专注于网络安全技术、网络安全体系构建、网络安全评估及管理等领域，作为端到端高安全网络的倡导者、实践者和领先者，聚集对金融行业的深入了解，结合多年来建网经验，针对目前金融网络安全的需要，提供了一套完整的金融网络安全解决之道。融网络安全于网络建设的每一款网络设备、每一个设计细节，配合华为3Com三维度高安全的金融网络体系架构，以时间、空间、网络层次为三维实现端到端的安全防护体系，帮助XXX农联社架构一个安全、开放、多功能的、稳定的网络业务应用平台；建立一个安全的、

10、系统的、可靠的网络交换平台；建立一个安全的、系统的、可靠的操作系统平台；建立一个安全的、系统的、稳定的应用系统平台；建立一个全面的、合理的网络安全管理制度。l 标准开放性XXX农联社网络系统是一个覆盖全省范围的大型综合性网络平台，其上会有许多不同厂商开发的计算机设备和应用系统同时运行。为了使这些系统能够稳定、可靠、高效的正常运作，所有的系统必须遵循共同的规则（标准）。因此，整个网络系统应在国家政策的许可下完全采用符合国际（或国家）通用的开放的标准网络协议和技术，这有利于保证XXX农联社网络系统及运行其上的应用系统的正常工作，以及与其它网络的互联互通。l 灵活性及可扩展性XXX农联社作为一个本地

11、金融单位，与省内其他金融单位相比，有着深入乡镇，网点众多的优势。随着金融改革的不断深化，其发展重点必然从以“量的扩张”为主转变到以“质的提高”为主，追求利润和市场的最大化，向数据集中化、业务电子化、管理信息化和服务创新等方向发展。所有这一切的变化和发展，必需对各类银行业务系统进行改造和重建，而作为承载平台的网络系统也必须能够随着这些变化而自由缩放，即XXX农联社未来的网络系统必须具备良好的灵活性及可扩展性，能够满足不断变化的应用需求。l 可管理性由于XXX农联社网络系统覆盖全省3000多个网点，能否对其进行高效的管理和维护将直接影响业务系统的运作。XXX农联社网络系统的管理和维护涉及到方方面面

12、，有制度规范上的，也有技术手段上的。这项工作不是简单的排错过程，而是一个机制。从制度规范上来说，XXX农联社信息网络中心必须有一套完整的网络规划方案、资料保密制度、网络参数档案、部门间协调方案、维护人员岗位职责说明和技术培训计划等。从技术手段上来说，华为3Com公司提供的所有网络产品都具备良好的可管理性。同时，华为3Com公司在设计网络系统时，就使其具备了能够预先主动监视和管理网络，从而保证操作的稳定性和资源的可用性。l 经济性网络系统给XXX农联社带来的好处是不言而喻的，但是，其建设成本必须符合XXX农联社的应用现状，并考虑未来三年的扩展。力争使整个网络系统的建设成本在满足XXX农联社业务需

13、求的前提下，达到最有效。1.3 广域网组网图图1 XXX农联社全省广域网拓扑图第二章 XXX农联社网络系统方案设计2.1 广域网规划设计XXX农联社综合业务网络的节点主要分为四个层次，省中心节点市中心（办事处）节点县联社节点网点。业务流向主要为省地市县网点或省地市网点这样的纵向流为主，辅以地市的各县业务互访等。在整个广域网结构设计中，我们采用了分层设计模型，网络被分层组织在一起，每一层都各自完成具体的功能和操作。这样设计有如下优点：l 可缩放性因为实现了功能的本地化，容易识别潜在的问题，因此网络可以在不牺牲对网络的控制和管理的条件下大规模增长。l 易于实现分级设计清晰地将每项功能分配给相应的层

14、，因此使网络实现更容易，并且可以在网络部署的每个阶段有效地分配工程资源。l 易于排除故障因为每层的功能都是经过良好定义的，因此隔离网络问题通常并不困难。l 可预测性分级设计可以使网络性能的分析更为简单易行，从而可以比较容易地规划网络的增长。l 协议支持因为网络基础设施以逻辑方式组织在一起，因此将现有的和将来的应用或者协议结合在一起是非常简单的。l 易于管理使用分级设计的直接结果就是可以实现有效的网络管理。XXX农联社广域网架构的具体层次结构功能如下：1. 省中心核心节点（层）：主要实现与各市中心的联结，并进行高速、优化的数据传输。省中心网络系统的设计重点是冗余能力和可靠性。2. 市中心汇聚节点

15、（层）：主要联结各接入节点（包括县联社和市内营业网点），进行路由汇聚，实施网络策略。市中心网络系统的设计重点是多业务处理能力和可靠性。3. 县联社和营业网点接入节点（层）：主要功能是将末端应用系统与汇聚层进行联结，设计重点是多业务接入能力。图2 XXX农联社广域网层级结构图2.1.1 广域网一级网架构设计广域网一级网作为XXX农联社业务综合网的骨干网，完成各地市与省中心以及各地市间的互联，所以需构建高速无阻塞的数据通道，同时还要考虑到网络的可靠性，采用多种冗余备份技术。XXX农联社广域网一级网（省干）覆盖省信息网络中心和除南昌外的10个地市（8个办事处和2个合作银行），共11个节点。省信息网络

16、中心作为省干上的核心节点，承担着互联10个地市（主干）节点的任务。地市中心作为一个区域核心，其联结本区域内的所有县联社和营业网点，所有的末端设备与省数据中心的信息交换均要通过市中心主干设备。因此，一级网的架构及其上网络设备的处理能力和业务特性，直接影响整个网络系统上所承载的应用系统的稳定，高效运行。华为3Com公司根据XXX农联社的应用业务需求和网点分布特点，考虑一级网的可靠性和冗余能力，提出了如下一级网架构和设备选型，见图3。图3 XXX农联社一级广域网拓扑图省中心选用2台华为3Com高端路由器NetEngine 16E作为广域网核心节点路由设备，每个地市中心都选用2台华为3Com高端多业务

17、路由器NetEngine 208作为广域网汇聚节点的主干路由设备。为了实现各地市中心与省中心的高速互联，所有NE路由器上均配置了一块ATM接口模块，每个地市中心的每台NE 208路由器均使用该接口通过运营商提供的4MB带宽链路接入运营商ATM网络；省中心核心路由器NE 16E使用运营商提供的155M ATM链路通过划分PVC通道的方式联结每个地市。（见图3）在每台NE 16E高端路由器上还配置了12个信道化E1端口，用于与南昌市的接入节点进行连接。（具体论述见2.1.3）华为3Com公司的NE 16E高端路由器，具有先进的分布式转发体系结构和高达4.8Mpps的整机转发能力，同时拥有强大的专线

18、接入及VPN业务能力，提供丰富的业务功能，具备完善QOS和安全特性。NE208高端多业务路由器是华为3Com公司推出的高性能的第五代多业务路由器，与以往采用CPU软件转发的同类型路由器产品不同，它采用了业界高性能网络处理器（NP）技术实现高速接口包文的集中转发，有机地结合了软件的灵活性和硬件的高性能，提供线速转发性能，性能高达4.5Mpps。NE208采用高速接口转发与控制平面分离的技术，高速接口的转发引擎使用了高性能网络处理器，提高了设备的转发性能、控制能力、可靠性和安全性。为了满足XXX农联社骨干网对高可靠性的要求，华为3Com公司在下述两方面做了努力：1）对网络架构的冗余备份要求。一级网

19、架构设计上，华为3Com公司提供的网络互联架构，有效的实现了网络设备和传输链路的冗余备份。同时，华为3Com公司在具有自主知识产权的通用数据通信平台（VRP，华为3Com网络产品操作平台）中提供了热备份功能，当某台设备出现故障时，可以很快的热切换到另一台设备（备份设备），使整个系统能持续运行。2）对产品本身的高可靠性要求。华为3Com公司提供的NE系列产品，不但具备有效的设备间热备份功能，还对NE系列产品的系统板、业务板、电源以及存储设备进行热备份。网络设备出现故障到软件热切换实现的所需等待时间是高可靠性的衡量指标，这个过程必须快，保证系统继续运行，才能达到高可靠性的要求。华为3Com公司的V

20、RP平台提供如下可靠性特性：l 系统板的冷备份（Cold Standby）l 快速软件升级l 系统板的热备份（Hot Standby）l 系统板的热倒换（Hot Swap）l 不影响业务，业务无阻塞从故障发生，到故障恢复（路由器开始正常跑业务），还是要花一定的时间的，主要有以下部分组成：l 异常处理的时间l 加载以及启动备用板的时间(如NE 16E的Standby RSU)l 备用板(如NE 16E的Standby RSU)恢复配置的时间l 业务板(如NE 16E的VIU)的启动时间l 业务板(如NE 16E的VIU)恢复配置的时间l 路由学习、聚合的时间上述时间内网络设备是无法正常工作的，即

21、对于路由器来说，它无法转发报文。VRP的高可靠性是围绕着优化上述时间进行的。在实践中，用的比较普遍的高可靠性技术是利用冗余的多处理器资源，即多个处理器处理相同的任务，一个处于活动状态，另一个处于待命状态，一旦活动状态的处理器发生故障，另一个马上接替工作，从而增加系统的可靠性。同样的解决方案可以应用到电源、风扇等部件上。华为3Com公司的NE 16E，NE208产品提供如上部件的冗于备份。目前NE 16E的热备份切换时间已基本为零。图4显示了NE 16E的硬件体系结构。系统有两块RSU（图中的Host Processor A and B），互为备用。 图4 NE16E的硬件体系结构华为3Com公

22、司提出的高可靠性设计和高可靠性产品能够给XXX农联社带来实实在在的商业价值。对于XXX农联社来说，网络的稳定可用可以节省很多维护费用，可以在网络上部署很多关键应用，大大提高工作效率，节省生产成本，增强企业竞争力。2.1.2 广域网二、三级网架构设计广域网二级网是指市中心（办事处和市合作银行）与县联社（或合作银行）、市内营业网点之间的互联广域网。三级网是指县联社（或合作银行）与乡镇营业网点之间的互联广域网。二、三级网主要完成市中心、县联社（合作银行）和营业网点的互联。各地市可根据机构分布情况和业务发展需求以及当地线路资源条件，在二、三级网组网模式中平衡营业网点的接入方式。根据XXX农联社网点分布

23、特点和XXX各运营商线路资源情况，华为3Com公司提出如图5所示二、三级网解决方案。图5 XXX农联社二、三级广域网拓扑图各地市中心的2台主干路由器NE208均配置一定数量的信道化E1端口（具体端口数量根据每个地市中心的接入节点数量而定），通过SDH和DDN传输网与各接入节点进行联结；再通过1台Quidway R2631E拨号备份服务器实现市内营业网点的拨号备份。每个县联社（合作银行）选用1台Quidway AR4640智能业务中心路由器作为主接入设备，其模块配置及功能如下：l 1块2端口同步接口模块：两个端口分别通过2M SDH专线和128KB DDN专线上联市中心；l 1块2端口信道化E1

24、接口模块：此接口通过信道拆分联结各乡镇营业网点；l 1块8端口异步接口模块：通过一拖八异步电缆与哑终端进行联结，实现终端接入服务；l 1块6端口拨号模块：实现乡镇营业网点的拨号备份。市内营业网点由于业务处理量较大，专线资源丰富，因此使用1台Quidway AR2809模块化接入路由器通过64KB DDN专线直接与市中心连接。同时使用PSTN线路作为拨号备份。有条件的乡镇营业网点也可配置一台AR280路由器通过64KB DDN专线上联其所属的县联社（或合作银行），并通过拨号线路进行链路备份。下列营业网点，可酌情考虑通过租用PSTN线路进行联结，连接图如下：l 偏远网点没有专线，或专线接入成本过高

25、；l 业务量极少的网点业务处理量不足以支持专线费用；l 临时网点不具固定办公场所，或即将撤并的网点。图6 部分营业网点的拨号接入拓扑图建议：各地市营业网点的接入数量和接入方式应根据其自身经营情况具体分析。2.1.3 南昌市节点的接入设计南昌市的所有接入节点包括南昌营业管理部、5个县联社、1个合作银行和236个营业网点日均业务处理量很大，且与省信息网络中心同处一地，故将其全部作为省中心接入节点。由于南昌营业管理部与洪都联社同址办公，所以它们可以通过一套网络系统实现与省中心的联结。图7 南昌市节点接入拓扑图2.2 局域网规划设计2.2.1 省中心局域网设计省信息网络中心作为全省的数据中心，其局域网

26、设计时应注意以下几方面：l 高可靠性：各交换机、路由器均采用双链路连接到核心交换机，实现链路冗余；核心交换机之间可采用千兆干道（GE Trunk）技术；l 路由策略：由于XXX农联社业务系统分为实时和非实时，需要路由策略来控制；可以通过局域网的高可靠性和优化设计来简化路由策略；l 技术的先进性：局域网设备价格便宜，技术发展快，在建设中可适当超前。l 业务隔离：不同业务控制主要通过核心交换机，这样不会影响系统的骨干网络的稳定性和安全性。基于以上原则，结合网络建设思路、网络现状、业务承载、网络安全需求等，我们采用以下建设思路： 图8 省中心局域网拓扑图省中心局域网作为XXX农联社核心业务网络，担负

27、着本地用户和业务主机之间、远程互连设备和服务器之间高速通讯枢纽的重任，全省范围的业务数据和OA应用的数据都需通过其进行交换，必须提供高安全的网络构架和高可靠的容错支持。因此，在省中心配置两台万兆核心交换机Quidway S8505，它们之间通过千兆链路进行联结。各主要业务系统均应通过千兆链路分别联结两台核心交换机，在形成链路冗余备份的同时提高并行处理能力。两台核心路由器NetEngine 16E也应通过千兆链路分别联结两台核心交换机。为了提高省中心局域网的运行效率，减少各业务系统之间不必要的干扰和广播数据包，各业务系统通过设置虚拟局域网（VLAN）进行隔离。根据业务流程，在核心交换机上设置相应

28、的访问控制列表（ACL）进行有效管理。同时，建议在两台核心交换机Quidway S8505S上配置国际标准的容错协议VRRP（Virtual Router Redundency Protocol，虚拟路由器冗余协议）。VRRP为具有组播或广播能力的局域网（如以太网）设计，它保证当局域网内主机的下一跳三层设备出现故障时可以及时的由另一台三层设备来代替，从而保持通讯的连续性和可靠性。这是全网数据可靠传输的有力保障。2.2.2 地市中心局域网设计由于全省农信数据全部集中在省中心，区域中心局域网上只有前置网关、中间件服务器和文件服务器，除此之外，其数据传输特性及要求与省中心是一致的，因此区域中心骨干交

29、换机选用两台Quidway S6506多层交换机实现高效、可靠、安全的包交换。图9 地市中心局域网拓扑图2.2.3 县联社局域网设计县联社由于信息点比较少，所以使用一台二层快速智能交换机Quidway S3026C-SI实现局域网内所有末端设备的接入。当信息点较多时，可以将多台Quidway S3026C-SI堆叠实现端口扩展。不同业务部门之间可通过在二层交换机上划分VLAN进行隔离，VLAN之间互访可通过接入路由器AR4640实现。图10 县联社局域网拓扑图2.2.4 网点局域网设计营业网点主要末端设备只有哑终端，其可通过RS232电缆直接与接入路由器上的同异步接口联结即可。图11 营业网点

30、拓扑图2.3 哑终端接入应用XXX农联社在信息化建设方面起步较晚，面对新的金融环境，新的金融业务需求，以及来自国内外商业银行的竞争，只有提供更具吸引力的金融产品，提高运作效率，科学减少风险，提高客户满意度，降低生产成本，同时更需要充分发挥本地优势和规模覆盖优势。所有新形势下的运作需求对金融数据网提出了更高的要求，金融数据集中、业务需整合、网络要合一等等，而作为直接与客户交互的营业网点，虽然处在金融数据网络的边缘，其业务支持、可靠保障等方面的要求却并不见低，再加上其数量众多，地域分布更可谓是天南地北，对于全省农信营业网点的管理和发展也将是信息化工作的重要内容之一。对此，华为3Com公司提出了“整

31、合型网点解决方案”。华为3Com整合型网点解决方案同时提供了三个层面的整合特性支持：设备整合、数据整合和业务整合，在全面整合的同时，更提供一体化的安全、可靠性支持和完善的可管理特性，并且全面预留下一代面向业务的骨干网络特性支持。图12 华为3Com整合型网点解决方案示意图以前，一个营业网点需要多种网络通信设备，例如：路由器、终端服务器、加密机等等，而原有的系统在终端的使用上也需要分工，储蓄、对公等等业务操作需要在不同的窗口上进行，现在，华为3Com Quidway系列产品提供全面的设备整合方案，实现一个标准网点只需要一台网络（大型网点根据具体情况可以增加一台8/16/24口智能型以太网交换机）

32、设备的解决方案，全面解决终端接入、ATM接入、POS以及数据加密等各方面需求。终端接入主要是指营业网点的哑终端通过终端接入服务器连接到省中心的Unix服务器上，终端接入服务器完成从哑终端串行数据流到IP网络数据包的转换。XXX农联社的业务运行于省中心的Unix服务器上，它通过终端接入服务器把业务画面推送到营业网点的终端上，完成业务交互处理。银行原有的哑终端接入实现方式主要以多串口卡加多路复用器为主，也有部分银行采用哑终端加Telnet的方式。对于前者，大量的终端导致机房布线非常复杂，并且多路复用器的功能单一，无法实现网点联网办公和内部IP语音电话等功能；而后者，由于无法实现终端号固定的功能，银

33、行业务很难向可维护可管理的方向发展。这两种实现方式，已经不能满足银行系统网络进行现代化改造的需求，并正在被逐渐淘汰。华为3Com Quidway系列路由器提供的终端接入服务就是在这种大背景下，专门为银行系统量身定做的一系列特性。主要应用在工作于Unix服务器终端模式下的系统，如银行业务系统等。它通过IP网络完成营业网点的终端到中心机房Unix服务器的接入功能，通过虚拟终端实现了从多路复用器接入方式到IP网络接入方式的平滑过渡，而且这种转变对用户是透明的，用户以前的业务完全不需要改变。同时，配合当前各大金融行业数据大集中的进展，华为3Com公司根据不断地市场调研，在Quidway终端服务系统方面

34、更是大量融入各银行用户的各种功能、特性和易用性等需求，力求最大限度贴近业务、贴近用户。华为3Com终端接入服务不仅实现了固定终端号的基本功能，还提供包括多业务动态切换、屏幕实时存储、终端复位、AAA验证等多种增强功能，同时在Unix服务器侧还提供了专业的终端管理软件，在丰富功能的同时，简化管理。同时，终端接入服务和路由器的融合，还使网点办公和IP电话轻松实现，为XXX农联社提供了组建多功能高效网络的最佳解决方案。华为3Com Quidway终端服务系统由Quidway 路由器VRP网络操作系统TTYD终端伺服管理程序三部分组成。华为3Com Quidway终端服务系统提供专业的终端接入特性：表

35、3 Quidway 路由器终端接入特性序号功能特性简单说明1终端号固定通过配置Quidway路由器和TTYD，使终端与UNIX主机上的ttyp设备进行绑定，这是终端接入服务的最基本特性。华为提供的终端服务终端不需要占用IP地址等公共资源。2一对一接入方式选择这种方式，每个终端将使用一条TCP链接与Unix主机进行数据通信，是终端接入服务的一种典型工作方式。3多对一接入方式基于华为特有的数据流漏桶技术实现，把访问同一应用的所有（或者一定数量）的终端数据流统计复用到一条TCP链路上，该方式可以减少对Unix主机资源的占用，对于大型网点和前置机群适用。4虚终端多业务切换把每个终端从逻辑上划分为4个虚

36、终端（VTY），每个虚终端通过配置后可以与一个具体的应用相对应。可以在路由器上配置应用业务菜单，在终端上通过按热键可以弹出业务切换菜单，并通过适当选择实现在不同的虚终端间动态切换，也就是在不同的应用业务之间实现动态切换。适用于综合业务系统过渡期以及混合中间业务远程使用（集中）状态下的网点使用。5完美存屏用户在多业务界面之间进行切换时，系统可以保存用户原有的屏幕界面，当用户切回时，可以使用户回到原来的操作界面。适用于综合业务系统过渡期以及今后不同业务系统、不同地域业务之间的远程网络应用切换应用环境（例如中间业务类别）。6AAA验证为了加强安全性，可以设置终端用户先在终端接入服务器上进行本地AAA

37、验证，验证通过后再与Unix主机建立TCP链接。本地的增强型安全管理措施。7源IP地址绑定借用路由器loopback口或dialer口的IP地址做为TCP链接的源地址，主要用于拨号备份和地址隐藏等。配合实现备份以及IPSEC、GRE等多种业务隧道技术需求。8自动建链当TTY状态为OK时，经过过一段时间后（该时间可配置），路由器自动与Unix主机建立TCP链接。9自动断链当TTY状态为DOWN时，经过一段时间后（该时间可配置），路由器自动与Unix主机断开TCP链接。10终端重绘当终端因为异常情况丢失了终端画面，如终端关闭后再开、终端出现乱码或终端死机等，可以按终端重绘键（该键可配置）恢复原来的

38、终端画面。11终端复位在终端上按终端复位键（该键可配置）后，路由器断开并重新建立与Unix主机的TCP链接。12连通性测试在终端上按终端测试键（该键可配置），测试终端与路由器连接的正确性以及终端与Unix主机TCP链接的正确性。13异步口终端接入终端通过异步串口接入路由器，这是最基本也是最常见的终端接入方式。14Modem拨号终端接入终端通过modem拨号接入路由器，是主要用于偏远地区的终端接入方式。15X.25 PAD终端接入终端通过X.25 PAD接入到Quidway路由器。16TCP参数设置通过适当调整TCP参数，可以在各种链路状况下实现最佳的通信质量和最优的通信速度。17终端分时访问通

39、过在ttyd.conf配置文件中进行配置，限制某终端在某时间段可以访问Unix主机，在其他时间段禁止访问Unix主机。基于时间段的访问控制设置。18完整流控提供无流控、软件流控、硬件流控、主动流控、被动流控及其各种组合的功能。19调试信息和统计信息在路由器侧和Unix主机侧都分别提供了丰富的调试信息和统计信息，结合终端管理程序，实现“可运营、可管理、可维护”。20终端管理程序在Unix主机上提供专业的终端管理程序，对终端进程、TCP链接、Unix资源、路由器侧终端状态、统计信息等进行统一管理。21支持多种Unix版本支持多种商用Unix版本：SCO OpenServer 、IBM AIX、HP

40、 UX，Sun OS/Solaris、SCO UnixWare、SIEMENS Unix、NCR Unix等。第三章 IP地址规划IP地址分配是网络规划中最棘手的问题之一，原因如下：1）地址分配通常被认为是一种管理方法，而忽略了其对网络稳定性的影响；2）分配地址后，它们是很难更改的，因为这会影响到许多主机或路由设备的重新配置。事实上，糟糕的地址分配几乎可以导致所有大规模网络的崩溃，因为每次网络拓扑结构改变所需的工作量，以及将此种改变传输给网络的路径数量直接制约了路由的稳定性（和路由器的稳定性）。上述的两个制约因素又受聚和的影响，而聚和又依赖于地址的分配。针对XXX农联社广域网这样一个覆盖全省范

41、围的金融网络，我们在确定如何分配地址时，必须注意下述两个要点：l 控制路由表的大小；l 控制拓扑结构变化后，相应信息所必须传输的距离。3.1 规划基本原则XXX农联社的IP地址规划是一个系统性的工程。为了保证地址规划的科学性和可行性，规划应遵循以下基本原则：l 简单性：地址分配应清晰明了易于实施，降低网络扩展的复杂性，简化路由表的条目。l 连续性：连续地址在层次结构网络中易于进行路径叠合，大大缩减路由表，提高路由算法的效率。l 可扩展性：地址分配在每一层次上都要留有余量，在网络规模扩展时能保证地址叠合所需的连续性l 灵活性：地址分配应具有灵活性，以满足多种路由策略的优化，充分利用地址空间3.2

42、 总体设计思想为了节省网络地址空间，同时考虑网络地址的统一管理和将来扩展的需要，XXX农联社综合业务网络地址规划的总体设计思路是：l 尽量采用RFC 1918规定的私有IP地址空间，即10.0.0.0/8、172.16.0.0/16、192.168.0.0/24，我们建议采用10.0.0.0/8网段IP地址。l 省中心、地市中心在上述地址空间中分配连续的IP地址区域块。l 各县联社、网点的IP地址从相连接的区域中心的IP地址中划分。l 为了将各类业务分开，将地址空间按业务类别分为几个部分。l 各局域网的网关地址为该网地址空间的第一个可用地址。l 广域网IP地址如果没有特殊要求，都使用30位子网

43、掩码。l 与外部合作单位的网络互联通过NAT转化实现。3.3 分配方法3.3.1 省中心及各区域IP地址段规划表4 省中心和地市中心IP地址段分配表地区县联社数量IP地址段备注省中心710.0.0.010.31.0.0.0/16南昌营业管理部6个县联社九江1110.32.0.010.47.0.0.0/16景德镇310.48.0.010.55.0.0.0/16抚州1210.56.0.010.71.0.0.0/16鹰潭310.72.0.010.79.0.0.0/16上饶1210.80.0.010.95.0.0.0/16新余210.96.0.010.103.0.0/16宜春1010.104.0.01

44、0.119.0.0.0/16萍乡510.120.0.010.127.0.0.0/16吉安1310.128.0.010.143.0.0.0/16赣州1810.144.0.010.175.0.0.0/16预留10.176.0.010.254.0.0/163.3.2 省中心IP地址规划表5 省中心业务系统和南昌市节点IP地址段分配表单位/应用IP地址段用途省中心广域网链路10.0.0.0/16用于上联省中心的广域网链路两端业务系统10.1.0.016用于主机和PC服务器（不包括PC机）OA系统10.2.0.0/16测试系统10.3.0.0/16开发系统10.4.0.0/16PC机10.5.0.0/1

45、6用于中心工作人员PC机接入网点10.6.0.0/16用于直接上联省中心的网点预留10.7.0.010.24.0.0.0/16南昌营业管理部10.25.0.0/16用于各单位内部局域网使用安义县农村合作银行10.26.0.0/16南昌市洪都农村信用合作联社10.27.0.0/16南昌县农村信用合作联社10.28.0.0/16进贤县农村信用合作联社10.29.0.0/16新建县农村信用合作联社10.30.0.0/16湾里区农村信用合作联社10.31.0.0/163.3.3 区域中心IP地址规划每个区域中心（办事处或合作银行）按照相同的原则进行IP地址分配，现以景德镇（10.48.0.010.55

46、.0.0.0/16）为例，列表如下：表6 地市中心IP地址段分配表（举例）单位/应用IP地址段用途景德镇（区域中心）广域网链路10.48.0.0/16用于上联区域中心的广域网链路两端应用系统10.49.0.0/16用于主机和PC服务器（不包括PC机）PC机10.50.0.0/16用于中心工作人员PC机接入网点10.51.0.0/16用于直接上联区域中心的网点预留10.52.0.0.0/16支行110.53.0.0/16用于各单位内部局域网使用支行210.54.0.0/16支行310.55.0.0/163.3.4 县联社IP地址规划每个县联社（或合作银行）按照相同的原则进行IP地址分配，现以景德

47、镇下辖的支行1（10.53.0.0/16）为例，列表如下：表7 县联社IP地址段分配表（举例）单位/应用IP地址段用途支行1广域网链路10.53.0.0/24用于与网点相连的广域网链路两端应用系统10.53.1.0/24用于主机和PC服务器（不包括PC机）PC机10.53.2.0/24用于工作人员PC机接入网点10.53.3.0/2410.53.10.0/24用于直接上联的网点（假设其下辖8个网点）预留10.53.11.0.010.53.254.0/24地址的分配及聚和对网络的稳定性而言是决定性的，地址分配时应小心规划以提供聚和点。并通过聚和隐藏信息，以便提高网络的稳定性和安全性。第四章 路由

48、规划4.1 路由协议选择在大型网络中，选择适当的路由协议是非常重要的。目前常用的路由协议有多种，如RIP、OSPF、IS-IS、BGP等等。不同的路由协议有各自的特点，分别适用于不同的条件之下。选择适当的路由协议需要考虑以下因素：1）路由协议的开放性开放性的路由协议保证了不同厂商都能对本路由协议进行支持，对将来网络发展提供了扩充能力和选择空间。2）网络的拓扑结构网络拓扑结构直接影响协议的选择。例如RIP这样比较简单的路由协议不支持分层次的路由信息计算，对复杂网络的适应能力较弱。对于XXX农联社网络，路由协议还必须支持网络拓扑的变化，在拓扑发生变化时，无论是对网络中的路由本身，还是网络设备的管理

49、都要使影响最小。3）网络节点数量不同的协议对于网络规模的支持能力有所不同，需要按需求适当选择，有时还需要采用一些特殊技术解决适应网络规模方面的扩展性问题。对于XXX农联社这样的大型网络，特点是结构较为复杂，路由信息较多，但节点一旦固定变动相对较小，所以对路由协议的性能提出较高的要求。如能支持的节点、路由选径是否最佳、路由算法必须具有鲁棒性、快速收敛性、灵活性等。4）与其他网络的互联要求通过划分成相对独立管理的网络区域，可以减少网络间的相关性，有利于网络的扩展，路由协议要能支持减少网络间的相关性。必要时还要考虑路由信息安全因素和对路由交换的限制管理。5）管理和安全上的要求通常要求在可以满足功能需

50、求的情况下尽可能简化管理。但有时为了实现比较完善的管理功能或为了满足安全的需要，例如对路由的传播和选用提出一些人为的要求，就需要路由协议对策略的支持。根据XXX农联社网络的优化设计策略，在选择及规划路由协议时需要按照这些因素进行考虑和设计。4.2 路由协议规划设计对一个大型网络来说，选择一个合适的路由协议是非常重要的。不恰当的选择有时对网络是致命的，路由协议对网络的稳定高效运行、网络在拓扑变化时的快速收敛、网络带宽的充分有效利用、网络在故障时的快速恢复、网络的灵活扩展都有很重要的影响；还有对于网络承载的业务的控制方面的复杂性和灵活性具有很重要的影响。路由协议的功能主要是：路径选择和信息包的传输

51、。路径的选择取决于metrics, metrics可包括可靠性、延迟、带宽、负载、MTU、通讯费用和业务数据流向控制等。不同的路由算法考虑部分或全部的因素，收敛时间和切换时间是不同的。下面，我们对网络进行简单的分析，根据网络特点选择合适的路由协议和合理的XXX农联社信息网络系统路由设计。XXX农联社网络系统具有非常多的特色，与路由协议和路由规划结合比较紧密主要有如下几点：1、XXX农联社网络系统结构比较复杂，业务复杂。业务分为非实时和实时等，其中包含灾备、管理信息等数据；2、XXX农联社网络系统规模庞大，网络节点众多； 3、网络拓扑结构将根据网络系统业务的调整、网络资费的变化等因素而变化。综合

52、上述，系统网络规模较大，结构较复杂，业务流程控制严格等。针对这些网络特点，需要的路由协议是：适合中大型网络，收敛时间快，路由策略丰富；并且是标准化容易扩展。从路由协议的类型来说分为：内部网关路由协议和外部网关路由协议。其中内部网关路由协议又可以分为：距离矢量路由协议（RIP）；链路状态路由协议（OSPF和IS-IS等）。外部网关路由协议主要指的是BGP路由协议。上面所讲的都是单播路由协议，与此对应的还有多播路由协议。距离矢量路由协议主要特点是适合于小型网络，路由收敛较慢，可能会形成路由环路，链路带宽消耗较大等。链路状态路由协议的主要特点是适合于大型网络，采用分层结构，隔离不同网络故障点，路由收

53、敛快，不会形成路由环，链路带宽消耗较小；另外，配置稍微复杂。外部网关路由协议的路由策略特别丰富，易于控制业务和路由流程。另外，还有静态路由协议。静态路由协议仅适用于网络相对简单，网络流量可以预测的环境及拨号备份线路。基于上面的需求分析及选择考虑原则，建议XXX农联社网络使用如下路由方案：1) 在全网中采用OSPF来实现路由的发现和交换。充分利用OSPF的域（Area）的概念，以减少网络间信息交互开销；2) 将各地市中心（区域中心）的所有的主路由器包含在一个OSPF的域中；3) 省中心核心路由器，作为Area 0的中心节点路由器。地市中心节点是Area 0的边界路由器，同时也属于各地市所有路由器

54、所在的Area。4) 在整个XXX农联社的网络中，营业网点使用了拨号备份线路。一般来说，拨号备份功能的实现可以采用以下两种方式：Backup Interface或浮动路由方式。Backup Interface方式，在主接口下将拨号备份接口配置成Backup接口，正常情况下，拨号备份接口处于Standby状态；当主干线路出现故障或负载达到一定门限值时，路由器自动启动拨号备份线路；当主干线路恢复正常或负载降到一定门限值时，路由器将自动挂断备份线路恢复正常。这种备份方式适用于同一路由器不同线路之间的备份。浮动路由方式，在这种方式下主干线路运行动态路由，拨号备份线路配置成浮动路由的方式，指定一条静态路

55、由或者动态路由协议得到的路由并将其Metric值设置成大于内部使用的动态路路由的管理距离（Administrate Distance），通常设置为250即可。这样在正常情况下路由器优先使用动态路由，当主干出现故障时路由器将自动启用静态路由，启动拨号备份线路。浮动路由方式与Backup Interface方式相比，有一定的优越性。Backup Interface是通过检测广域网端口状态来决定是否启用备份线路，而有些情况（如帧中继和X.25）当广域网线路不通时，广域网端口仍保持UP状态，这种情况下就必须采用浮动路由的方式实现拨号备份。另外，浮动路由方式适合于不同路由器之间的不同线路之间的备份。5)

56、 各营业网点使用静态路由协议。第五章 网络安全根据XXX农联社金融业务信息化现状及发展要求，结合华为3Com金融行业方案战略，华为3Com提出了新一代高安全金融业务网络系统的几个基本构建思路：l 专网化构建提高网络安全性；l 金融网络内部安全布署；l 新体系构架为业务提供良好融合；l 大集中趋势下整合型金融网点建设。5.1 专网化构建提高XXX农联社网络安全性XXX农联社系统网络存在着多种组网需求，笼统的说需要分别考虑：生产（营业）网、办公（OA）网、综合信息网、网管网、（业务）测试网等等，再细分，各网络、区域内部还存在众多不同的网络访问、服务需求，如何在网络安全、建网成本、保证海量业务网络需

57、求之间达到平衡？当然，满足业务需求是我们追求的最终目标，那么在当今金融数据大集中、网络平台化的基础上，下面我们要做的就是在更快更好的达成业务网络需求同时保证网络安全。华为3Com提出业务专网的构建原则，即：为同类别的业务定制专网服务，道理很简单，专一的，才是最符合具体需求的、最安全的。基于IP平台，我们很容易就联想到了VPN技术，而对于一个大规模的树型网络来说，MPLS VPN技术当仁不让的成为首选。在网状网、大规模网络以及需要在同一个IP网络上承载多个相互独立的网络系统时，MPLS VPN表现出强大的扩展性和前所未见的高性能。MPLS VPN可以提供完全独立、定制形态的各种网络安全策略，同时

58、兼具了网络配置简单、动态的发现相邻节点、可以直接利用现有路由协议而无需任何改动、更具理想的可扩展性等特点。此外，MPLS VPN在速度和QoS策略支持上还表现出强大的优势。图13 基于MPLS VPN技术实现高安全网络平台支撑各个业务需求网络获得了独立的逻辑网络，每一个网络用户都可以象使用一套独立的物理网络那样使用相同的一套网络，而用户之间却没有交互影响！我们可以在系统中快速的增加一个新网络，而不需要考虑在多个网络层次上修改原有系统之间的策略。MPLS VPN技术到目前已经相当成熟，我们关心的是如何在XXX农联社网络系统中部署MPLS VPN技术并将其作为金融网络新一代系统的安全支撑技术。华为

59、3Com公司HOPE技术成为解决这个问题的理想方案。（注：HOPE全称是：Hiberarchy Of PE，即分层PE技术。HOPE是华为3Com公司专有技术，2002年初正式向ITUT提交并且获得国际电联专家委员会大力推荐的RFC国际技术标准。）HOPE通过引入UPE和SPE等角色和新构建流程的方式解决了边缘网络设备对MPLS VPN和路由协议支持的性能等系列问题，将MPLS VPN的良好支持范围覆盖到了全线高端路由器、交换机甚至华为3Com公司系列中低端路由器上，这成为我们选择MPLS VPN技术体系作为金融新一代网络系统业务专网支撑技术的重要依据。结合HOPE 的MPLS VPN技术为新

60、一代网络系统提供了一个硬件平台下构建多个纵向业务网络的有效途径。（注:在分层PE的结构中直接连结用户的设备称为下层PEUnderlayer PE或User-end PE，即用户侧PE，简写为UPE，连结UPE并位于网络内部的设备称为上层PESuperstratum PE或Sevice Provider-end PE，即服务网络侧PE，简写为SPE。）不同业务类别、应用区域从网络层就开始的完全“独立布设”使得网络安全的布署更加简明和坚固。5.2 XXX农联社金融网络内部安全布署我们知道，各种防火墙技术、ACL、VLAN等等技术属于一种被动式安全手段，它们只对路过的报文进行控制和感知，这样的结构要

61、求在每一个可能有路径聚合的节点进行访问控制和过滤。华为3Com在新一代高安全的金融网络系统的方案建议中提出了一个全新的网络角色内容接入服务器，这是一个可以实现具体到每一个网络用户进行网络权限和路径控制的硬件服务器（Quidway MA5200系列），这个设备将主要布署在复杂的大型局域网环境中，局域网用户的访问权限、操作内容以及服务连接的建立都将通过该服务器进行分布式控制，也就是说，现在对于一个不被获准的访问我们要做的是在其刚刚发出的时候就被控制住，这个访问要求根本就没有必要到达骨干路由器。图14 增加内容接入服务器加强局域网的访问安全策略结合原有的安全控制系统，内容导向型网络控制可以提供一个更

62、高精确性的安全控制策略。5.3 新体系构架为业务提供良好融合结合基于纵向的端到端VPN覆盖与基于安全控制策略内部安全防御体系为实施集中式的安全架构奠定了技术基础。我们知道，在数据大集中的业务背景下，集中式的安全构架是最为坚固和经济的。基于端到端的MPLS VPN我们可以轻易的布设一个覆盖全省的业务区域，这个区域的透明程度视我们的预期而定，它甚至可以覆盖到网点，而只有网点和数据中心可以感知，对于其他部分用户来说，它完全透明同时不可访问，这样，网络的系统安全控制的需求就完全收归到了数据中心。在数据中心安全策略系统的配合下，整个XXX农联社网络的安全系统实现联动，为整个XXX农联社业务系统提供一套完整的安全防御堡垒。我们以中间业务系统的构建方式为例，在新一代高安全的网络系统中，中间业务系统和内部生产系统中，我们可以这样以分行为单位分布式的布设安全区域，在网络的每一级，业务系统和内部生产系统相互隔离，每一级的每个区域有两层Quidway Eudemon防火墙构筑非军事区域（DMZ区），防火墙、网络设备与内部网络的安全系统构建联动的安全防御体系，其实际的逻辑结构如框图所示，除了分行的主机数据访问节点外，其他用户不可见，而我们在网络布局上则获得了解放！