【正文】 ＸＸＸ 證 券中心機房及網(wǎng)絡系統(tǒng)方案建議書 XXXXXX技術(shù)有限公司目 錄第一章 需求分析 4 4 5 6 7 7第二章 設計原則 8第三章 局域網(wǎng) 10 10 11 13 17 局域網(wǎng)設計特點 18 18 二級交換機選型 19第四章 廣域網(wǎng)方案 20 20 所用技術(shù)與應用 22 產(chǎn)品選型 22 23 23第五章 主機系統(tǒng) 24 24 24 24 24 28 29第六章 網(wǎng)絡安全系統(tǒng) 30第六章 網(wǎng)絡安全系統(tǒng) 31 31 34 43第七章、信息監(jiān)控系統(tǒng) 4 IT 環(huán)境簡介 47 系統(tǒng)的目標 47 具體技術(shù)要求 4技術(shù)選型 49 系 統(tǒng) 管 理 方 案 53 60第八章、磁帶機備份系統(tǒng) 6引言 6需求描述 6廠家選擇 6技術(shù)選型 6特點 67 68第九章、弱電防雷系統(tǒng) 70第十章、機柜機架及布線 71第十一章 網(wǎng)絡方案特點 73 73 73 73 73 73 73 73第十二章、項目組織與質(zhì)量保證 75 項目小組成員、負責人與資歷 75 進度控制與質(zhì)量保證與措施 75 售后服務承諾及附加服務內(nèi)容 76 網(wǎng)絡工程驗收與交付物 76附錄、公司介紹 79第一章 需求分析ＸＸ證券總部是ＸＸ證券有限責任公司投資銀行總部、資產(chǎn)管理總部、證券投資總部、研發(fā)中心等業(yè)務總部日常辦公所在地以及電腦中心。為配合業(yè)務的開展，要求建設一個快速、安全、可靠的網(wǎng)絡系統(tǒng)平臺。其中行政辦公信息點數(shù)量為300個。機房信息點總數(shù)為250個。從業(yè)務部門的角度來看要滿足以下幾個系統(tǒng)的運行需要：資產(chǎn)管理及證券投資業(yè)務系統(tǒng)（包括行情系統(tǒng)、交易系統(tǒng)）；證券信息研發(fā)系統(tǒng)（實驗機房等）；服務器性能與系統(tǒng)監(jiān)控；弱電防雷建設；與其他各營業(yè)部可靠聯(lián)接、備份。其中證券交易系統(tǒng)報盤數(shù)據(jù)經(jīng)由本地營業(yè)部或直接通過雙向衛(wèi)星發(fā)往交易所。本方案建議書主要包括以下幾方面的內(nèi)容：總部局域網(wǎng)設計建設總部廣域網(wǎng)設計建設總部主機系統(tǒng)數(shù)據(jù)備份系統(tǒng)信息監(jiān)控系統(tǒng)弱電防雷系統(tǒng)機柜機架及布線系統(tǒng)設計以滿足ＸＸ證券總部目前及未來業(yè)務發(fā)展和管理為設計目標，整個系統(tǒng)設計以總部局域網(wǎng)設計、數(shù)據(jù)備份系統(tǒng)、網(wǎng)絡安全設計和系統(tǒng)冗余設計為整個系統(tǒng)設計的重點。技術(shù)先進性，使用技術(shù)在今后的3至5年內(nèi)不落后。符合信息技術(shù)的發(fā)展方向。滿足中國證券業(yè)電子化、網(wǎng)絡化、智能化、集中式發(fā)展趨勢的要求。重點建設好網(wǎng)絡通信基礎設施平臺，為上層業(yè)務系統(tǒng)提供良好的底層支持。ＸＸ證券在全國有三十多家營業(yè)部，總部負有統(tǒng)一管理、資訊研發(fā)的責任?？偛款A計信息點數(shù)比較多。其總部網(wǎng)絡涉及多個子系統(tǒng)：例如財務系統(tǒng)、交易系統(tǒng)、行政OA辦公系統(tǒng)、Internet系統(tǒng)等。系統(tǒng)同時要滿足OA及業(yè)務系統(tǒng)數(shù)據(jù)流為主的應用，網(wǎng)絡的體系結(jié)構(gòu)要能支持以OA/業(yè)務數(shù)據(jù)流的應用，系統(tǒng)能夠?qū)崿F(xiàn)資源共享和信息流的無阻塞通暢流轉(zhuǎn)，包括文件傳輸，WEB訪問，郵件傳輸，行情查詢，以及內(nèi)部Intranet/Extranet應用等等。同時為將來的VoIP、VOD、視頻會議等應用需求做好可升級的準備。因此所采用設備必須支持TCP/IP以及SPX/IPX協(xié)議，支持各種路由協(xié)議，同時支持IP Multicast、QOS、RSVP等局域網(wǎng)和廣域網(wǎng)多媒體應用技術(shù)。提供足夠的帶寬，從而實現(xiàn)OA、業(yè)務數(shù)據(jù)流與多媒體應用的實現(xiàn) 。所以網(wǎng)絡設備選擇要能夠滿足企業(yè)級應用，同時主干交換機不但能夠滿足目前的應用，還要能夠?qū)獙硐到y(tǒng)擴充保持一定的擴容能力，以及適當?shù)撵`活性，以便于網(wǎng)絡擴容和增加新的功能。由于ＸＸ證券總部網(wǎng)絡系統(tǒng)已經(jīng)建設好，這一次是搬家并改建，網(wǎng)絡系統(tǒng)需要平滑遷移，建議如下：保持原總部系統(tǒng)運行的情況下，建設新總部，并將部分業(yè)務部門遷移到新總部。主要保留電腦部的主要設備在原有總部運行，如廣域網(wǎng)接入部分，主要功能服務器等保留在原有總部，但將ISDN撥號備份部分遷移到新總部。新總部除電腦部外其他功能齊全，在系統(tǒng)穩(wěn)定運行一段時間后，將電腦部的設備逐步遷移到新總部，直到所有設備都遷移到新總部，原有總部停止運行，并將廣域網(wǎng)接入設備一次遷移到新總部。在系統(tǒng)并行運行時新總部和原有總部間建立寬帶連接或高速專線連接，保證所有的業(yè)務系統(tǒng)正常運行，在廣域網(wǎng)接入設備遷移到新總部時可以預先將電信部門的光纖接好，最終遷移時只要將光纖分配器、路由器等設備遷移到新總部，實現(xiàn)對營業(yè)部透明遷移。網(wǎng)上交易部分，深圳、上海衛(wèi)星與委托接收系統(tǒng)、法人清算系統(tǒng)等逐步遷移到新總部其他如信息處理系統(tǒng)、辦公、財務的服務器一次性遷移到新總部機房。網(wǎng)絡拓撲結(jié)構(gòu)要滿足通信的要求：主要是能夠滿足業(yè)務和辦公系統(tǒng)的數(shù)據(jù)通信，采用適當?shù)木W(wǎng)絡通信技術(shù)使得網(wǎng)絡邏輯易于收斂，并使得快速完成業(yè)務數(shù)據(jù)流的通信。網(wǎng)絡拓撲結(jié)構(gòu)要滿足網(wǎng)絡管理的要求:主要是在整個網(wǎng)絡系統(tǒng)中易于管理到所有設備，結(jié)構(gòu)清晰，便于擴展。網(wǎng)絡拓撲結(jié)構(gòu)要滿足網(wǎng)絡穩(wěn)定性的要求:主要是在整個網(wǎng)絡系統(tǒng)中盡量避免單點故障，不會因為某個設備的損壞導致整個網(wǎng)絡癱瘓。ＸＸ證券總部網(wǎng)絡系統(tǒng)應采用千兆網(wǎng)絡主干,百兆交換到桌面。由于總部存在多個應用,所以保證各應用系統(tǒng)穩(wěn)定快速運行是完成網(wǎng)絡設計建設的重點。ＸＸ證券公司在全國十幾個省、自治區(qū)和直轄市分布有營業(yè)部，營業(yè)部所在城市分布比較分散，在部分城市有多個營業(yè)部。整個網(wǎng)絡結(jié)構(gòu)要滿足分散交易、網(wǎng)絡通信、網(wǎng)絡管理、系統(tǒng)冗余等要求。網(wǎng)絡系統(tǒng)對通信系統(tǒng)的要求主要是能夠滿足IP多業(yè)務網(wǎng)絡平臺系統(tǒng)的數(shù)據(jù)通信，采用適當?shù)木W(wǎng)絡通信技術(shù)使得網(wǎng)絡邏輯拓撲收斂快速，而且數(shù)據(jù)通信更快達到目的站點完成任務請求。網(wǎng)絡系統(tǒng)冗余主要是從提供服務到完成服務的整個端到端實現(xiàn)系統(tǒng)級冗余，在廣域網(wǎng)結(jié)構(gòu)的冗余主要是網(wǎng)絡設備和鏈路的冗余。網(wǎng)絡拓撲結(jié)構(gòu)要滿足網(wǎng)絡管理的要求在帶寬許可的情況下能夠管理到廣域網(wǎng)的所有設備，或采用分布式管理所有網(wǎng)絡設備。廣域網(wǎng)拓撲結(jié)構(gòu)可以采用單點輻射狀，雙節(jié)點冗余連接輻射狀，或者多主干節(jié)點冗余連接。第一種結(jié)構(gòu)存在單點故障，中心節(jié)點失敗導致整個系統(tǒng)的停止服務，在證券系統(tǒng)停止服務是非?？膳碌模ㄗh不可??；對于第二種結(jié)構(gòu)主干節(jié)點使用雙重節(jié)點，可以提供相互備份冗余服務，投資適中；第三種結(jié)構(gòu)完美，但是投資過大，建議在初期投資建設中不采用。所以建議采用雙主干節(jié)點建設ＸＸ證券IP多業(yè)務網(wǎng)絡平臺系統(tǒng)廣域網(wǎng)拓撲結(jié)構(gòu)，比如在北京和上海分別建立數(shù)據(jù)中心和數(shù)據(jù)備份中心，提供整個多服務平臺的中心和備份中心，提供集中服務。網(wǎng)絡系統(tǒng)鏈路冗余可以采用雙鏈路結(jié)構(gòu)，所有營業(yè)部都用專線與廣東總部連接，ISDN做為備份線路，另外用一條ISDN與備份中心連接。由于總部存在多個業(yè)務子系統(tǒng)，有些業(yè)務是相對保密并極為重要的，比如財務系統(tǒng)，不能因為辦公網(wǎng)的故障（誤操作、病毒、非法入侵等）而造成數(shù)據(jù)損失或篡改。因此，需要在兩個子系統(tǒng)之間進行有效的隔離，必須保證各子系統(tǒng)之間的通訊是靈活、高效而又受到控制的。網(wǎng)絡管理的目的在于提供一種對計算機網(wǎng)絡進行規(guī)劃、設計操作運行、管理、監(jiān)視、分析、控制、評估和擴展等手段。從而以合理的代價，組織和利用系統(tǒng)資源，提供正常、安全、可靠、有效、充分、用戶友好的服務。網(wǎng)絡管理系統(tǒng)應滿足以下要求：1) 首先網(wǎng)絡管理系統(tǒng)應具有同時支持網(wǎng)絡監(jiān)視和控制兩方面的能力。網(wǎng)絡監(jiān)視功能是為了掌握當前運行狀態(tài)；而網(wǎng)絡控制功能是采取措施影響網(wǎng)絡的運行。2) 盡可能大的管理范圍。不僅能管理點到點的網(wǎng)絡通信，還應管理端到端的網(wǎng)絡通信；不僅管理基本的網(wǎng)絡設備，還應該管理應用層的功能。3) 盡可能小的系統(tǒng)開銷。管理盡可能多的協(xié)議層和盡可能大的范圍是以增大系統(tǒng)開銷為代價的。應該根據(jù)實際情況對網(wǎng)絡管理的范圍和所需的系統(tǒng)開銷進行統(tǒng)一、合理的分配和選擇。4) 容納不同的網(wǎng)絡管理系統(tǒng)。盡可能容納不同的網(wǎng)絡管理功能，形成全網(wǎng)統(tǒng)一的管理和運行機制的集中式網(wǎng)絡管理系統(tǒng)是十分重要的。對于ＸＸ證券網(wǎng)絡系統(tǒng)的管理在后面的章節(jié)中我們將結(jié)合整個網(wǎng)絡系統(tǒng)作詳細討論。第二章 設計原則我們根據(jù)以下原則來設計ＸＸ證券總部網(wǎng)絡系統(tǒng):1. 實用性 在考慮整體網(wǎng)絡設計時，盡量從經(jīng)濟實用的角度進行考慮。2. 先進性 設計立足先進技術(shù)，采用最新科技，以適應業(yè)務數(shù)據(jù)流傳輸以及多媒體信息的傳輸。使整個系統(tǒng)在國內(nèi)三到五年內(nèi)保持領(lǐng)先的水平，并具有長足的發(fā)展能力，以適應未來網(wǎng)絡技術(shù)的發(fā)展。使用主流網(wǎng)絡產(chǎn)品保證用戶投資。3. 可靠性整個網(wǎng)絡方案選用高可靠性的網(wǎng)絡設備，并在設計上從物理層、鏈路層到網(wǎng)絡層均采用備份冗余式的設計，保證了網(wǎng)絡的可靠性。4. 網(wǎng)絡安全性通過使用適當?shù)陌踩夹g(shù)實現(xiàn)從應用到底層系統(tǒng)整體安全,5. 易于管理和維護該網(wǎng)絡系統(tǒng)應該易于管理,通過網(wǎng)絡管理工具,可以方便地監(jiān)控網(wǎng)絡運行情況,對出現(xiàn)的問題及時解決,網(wǎng)絡的設計應采用簡單易用的網(wǎng)絡技術(shù),降低運行維護的費用.6. 支持多媒體 如今的網(wǎng)絡應用越來越多的是語音,圖像等多媒體應用,延遲, QoS,IP Multicast等技術(shù)來保證多媒體服務.7. 符合國際標準 網(wǎng)絡設計應采用國際標準的技術(shù)和符合標準的設備,這樣才便于對投資的保護.8. 可擴展性 網(wǎng)絡設計不僅要滿足當前的需求,還要為將來的擴展留有余地,。9. 高性能為了適應業(yè)務迅速增長的需要,設計時應考慮網(wǎng)絡帶寬,性能不僅要適應現(xiàn)在的需要,還要滿足未來幾年的數(shù)據(jù)量的要求，同時要滿足系統(tǒng)功能的擴充.10. 可管理性系統(tǒng)可以控制臺方式方便實現(xiàn)對系統(tǒng)各資源的監(jiān)控?？蓪崿F(xiàn)資產(chǎn)管理及對各種相應服務器、性能的監(jiān)控。第三章 局域網(wǎng)中心選用兩臺CISCO Catalyst6509交換機實現(xiàn)骨干千兆交換，同時提供二級交換機和服務器以及其他關(guān)鍵設備的連接。二級交換機使用catalyst 2950系列交換機。對于總部網(wǎng)絡系統(tǒng)的管理一般涉及到網(wǎng)絡設備管理，網(wǎng)絡用戶、資源管理。網(wǎng)絡管理建議使用CISCO WORKS 2000；網(wǎng)絡局域網(wǎng)拓撲圖如下：對于設備配置選擇如下：選用兩臺Catalyst6509為中心交換機，提供高速千兆交換，6509配置雙電源，配置一塊48口10/100M二級交換機連接，再配置一塊16口GBIC千兆模塊作為服務器和二級千兆交換機連接使用；6509的引擎三層交換功能為VLAN間路由使用，同時使用HSRP技術(shù)，保證任一主交換機出現(xiàn)問題，所有服務器和在線工作站可繼續(xù)工作。所有的子網(wǎng)網(wǎng)關(guān)都設置在6509引擎三層模塊的內(nèi)置千兆端口。千兆端口配置TRUNK，同時使用CISCO子接口技術(shù)，給所有VLAN提供網(wǎng)關(guān)。使用ACL控制功能實現(xiàn)不同VLAN間的定向訪問，如其他子網(wǎng)不可以訪問財務子網(wǎng)，但財務子網(wǎng)可以訪問行情服務器。其他信息點使用Catalyst2950和原有的2924交換機連接，提供10/100M桌面交換，并以冗余方式和核心交換機連接。實現(xiàn)UPLINKFAST功能，當網(wǎng)絡拓撲結(jié)構(gòu)發(fā)生變化時實現(xiàn)快速切換，保證網(wǎng)絡的可用性。機房使用兩臺Catalyst 2948G提供對10/100M速度要求比較高轉(zhuǎn)換機。使用ACL控制功能實現(xiàn)不同VLAN間的定向訪問，如其他子網(wǎng)不可以訪問財務子網(wǎng)，但財務子網(wǎng)可以訪問行情服務器。所有網(wǎng)絡交換機連接工作站、服務器的端口使用CISCO專用主機通信優(yōu)化技術(shù)實現(xiàn)工作站和服務器快速連接到網(wǎng)絡。對網(wǎng)絡實現(xiàn)夸交換機劃分VLAN，VLAN間通信通過三層交換實現(xiàn)，同時通過ACL（2層MAC和3層訪問控制）實現(xiàn)VLAN間訪問控制。通過使用路由器的靜態(tài)ARP和MAC安全設置實現(xiàn)總部網(wǎng)絡工作站的MAC地址和IP地址的邦定，禁止違法站點訪問網(wǎng)絡。根據(jù)網(wǎng)絡系統(tǒng)建設的原則，從安全可靠、高性能的角度考慮我們推薦使用世界著名的網(wǎng)絡產(chǎn)品－CISCO產(chǎn)品系列。在證券行業(yè)的主交換機的選型中，根據(jù)我們在多家營業(yè)部及總部網(wǎng)絡系統(tǒng)的應用和實際交換機的負載能力上主要是選擇Catalyst 4000和Catalyst6500系列交換機，在較小的網(wǎng)絡系統(tǒng)中可以使用Catalyst2948GL3為核心交換機。下面是CISCO這兩種系列產(chǎn)品的主要技術(shù)比較：產(chǎn)品名稱Catalyst 4000 Catalyst 6500Specifications 類型模塊化模塊化Gigabit Ethernet 是是100Mbps Ethernet 是是10Mbps Ethernet 是是DRAM 64 MB 64 MB to 128 MB 規(guī)格 x x 12 in x x 12 in. 安全特征RADIUS 是是TACACS+ 是是Kerberos 是是Access List 是是Hi Availability/Resilliency RedundantSupervisor Engine否是Redundant Power Supply 是是Spanning Tree 是是Portfast 是是Uplink Fast是是HSRP是是QOS/Voice/Multicast/Multimedia IGMP 是是是是QPM 否是QOSMarking Classification 是是QOS Multiqueues 是是ISL/.1Q 是是CGMP 是是交換容量Throughput 18 Mpps 150 Mpps Backplane Capacity 60 Gbps 32256 Gbps