【正文】 紹商業(yè)銀行網(wǎng)改造項目方案的總體設(shè)計，從現(xiàn)網(wǎng)存在問題開始著手，制定網(wǎng)絡(luò)改造方案。從商業(yè)銀行網(wǎng)絡(luò)工程的總體架構(gòu)開始分析，在網(wǎng)絡(luò)協(xié)議選型、路由策略設(shè)計、安全策略設(shè)計、網(wǎng)絡(luò)管理設(shè)計等各方面進行了詳細的分析，在此分析的基礎(chǔ)上提出解決基全網(wǎng)的 QoS 解決技術(shù)方案，詳細分析了全網(wǎng)路由和策略的規(guī)范化設(shè)計和部署，密切結(jié)合網(wǎng)絡(luò)建設(shè)目標，進行全網(wǎng)規(guī)劃。 本文研究內(nèi)容和論文結(jié)構(gòu)安排本節(jié)簡單介紹論文的研究內(nèi)容，主要描述該項目的研究內(nèi)容。數(shù)據(jù)中心連接全省分行，自助服務(wù)設(shè)備，和第三方協(xié)作機構(gòu)，還有兩個銀監(jiān)局，這些都是主要的業(yè)務(wù)往來。2022 年12 月 22 日，在銀川正式開業(yè)。隨著時代的進步，科技網(wǎng)絡(luò)的快速發(fā)展，電子商務(wù)的成熟，銀行的網(wǎng)絡(luò)一直在新建、擴展，同時這一切都要保持著飛速發(fā)展。 研究背景互聯(lián)網(wǎng)時代，各行業(yè)紛紛實現(xiàn)互聯(lián)網(wǎng)化。接著測試設(shè)計的網(wǎng)絡(luò)構(gòu)架。本課題是研究寧夏某銀行的網(wǎng)絡(luò)規(guī)劃方案。 第 5 階段 修訂排版畢業(yè)設(shè)計說明書；；資料整理歸檔。 五、畢業(yè)設(shè)計應(yīng)收集資料及參考文獻：[1]陳向陽. 網(wǎng)絡(luò)工程規(guī)劃與設(shè)計. 北京:清華大學(xué)出版社. 2022 年. [2]黎連業(yè). 網(wǎng)絡(luò)綜合布線系統(tǒng)與施工技術(shù)(第 4 版). 北京:機械工業(yè)出版社. 2022 年. [3]鄧文達,雷軍環(huán). 網(wǎng)絡(luò)工程設(shè)計的需求分析[J]. 長沙通信職業(yè)技術(shù)學(xué)院學(xué)報,2022,04. [4]張萃. 綿陽師范學(xué)院校園網(wǎng)絡(luò)工程設(shè)計與實施[D].四川大學(xué),2022. [5]龔健. 網(wǎng)絡(luò)工程生命周期研究與校園網(wǎng)設(shè)計與實施[D].西南交通大學(xué),2022. [6]雷斌. 校園網(wǎng)網(wǎng)絡(luò)系統(tǒng)工程設(shè)計[D].湖南大學(xué),2022. [7]周若谷. 綿陽師范學(xué)院校園網(wǎng)絡(luò)工程設(shè)計與實施[D].電子科技大學(xué),2022. [8]姚軍. 商業(yè)銀行網(wǎng)絡(luò)改造[D].貴州大學(xué),2022. [9]黃鐵寧. 校園網(wǎng)絡(luò)方案設(shè)計及工程實踐[D].北京郵電大學(xué),2022. 六、畢業(yè)設(shè)計的進度安排： 第 1 階段 文獻資料查閱, 前完成開題報告撰寫。題 目 寧夏某銀行后援中心網(wǎng)絡(luò)的改建設(shè)計 陜西理工學(xué)院畢業(yè)設(shè)計陜西理工學(xué)院本科畢業(yè)設(shè)計任務(wù)書院(系) 數(shù)學(xué)與計算機科學(xué)學(xué)院 專業(yè)班級 網(wǎng)絡(luò)工程(網(wǎng)絡(luò) 1101) 學(xué)生姓名 趙郅煒 一、畢業(yè)設(shè)計題目 寧夏某銀行后援中心網(wǎng)絡(luò)的改建設(shè)計 二、畢業(yè)設(shè)計工作自 2022 年 12 月 9 日 起至 2022 年 6 月 20 日止三、畢業(yè)設(shè)計進行地點: 陜西理工學(xué)院、寧夏銀川 四、畢業(yè)設(shè)計應(yīng)完成內(nèi)容及相關(guān)要求： 寧夏某銀行后援中心網(wǎng)絡(luò)需要進行網(wǎng)絡(luò)改建，以適應(yīng)新的業(yè)務(wù)和安全需求。 第 2 階段 前完成需求分析，確立設(shè)計方案。 指導(dǎo)教師簽名 專業(yè)負責人簽名 學(xué)院領(lǐng)導(dǎo)簽名 批 準 日 期 陜西理工學(xué)院畢業(yè)設(shè)計寧夏某銀行后援中心網(wǎng)絡(luò)的改建設(shè)計作者：趙郅煒(陜西理工學(xué)院數(shù)學(xué)與計算機科學(xué)學(xué)院，網(wǎng)絡(luò)工程專業(yè) 1101 班，陜西 漢中 723001)指導(dǎo)教師：賈偉[摘要] 信息科技催生了互聯(lián)網(wǎng)金融的快速發(fā)展，交易量、客戶群體都呈爆發(fā)增長態(tài)勢，對銀行傳統(tǒng)的網(wǎng)絡(luò)系統(tǒng)造成巨大的影響。此方案按照瀑布模型（分析、規(guī)劃、構(gòu)建、測試和部署）來規(guī)劃整個網(wǎng)絡(luò)構(gòu)架的。最后制定舊網(wǎng)絡(luò)遷移到新網(wǎng)絡(luò)的遷移方法。在銀行業(yè)，網(wǎng)絡(luò)成為銀行交易、業(yè)務(wù)辦理的重要工具。移動互聯(lián)網(wǎng)、社交媒體、大數(shù)據(jù)等新技術(shù)的快速發(fā)展，對人們原有的金融消費方式產(chǎn)生了深遠的影響，融智能網(wǎng)的解決方案主要是面向金融機構(gòu)的基礎(chǔ) ICT 建設(shè)，設(shè)計從數(shù)據(jù)中心、廣域骨干到分支網(wǎng)點的全場景網(wǎng)絡(luò)解決方案，包括數(shù)據(jù)中心基礎(chǔ)設(shè)施、兩地三中心、網(wǎng)絡(luò)融合與安全等解決方案，為銀行建設(shè)一個靈活、可靠和高效的基礎(chǔ)架構(gòu)，支撐銀行未來業(yè)務(wù)的快速發(fā)展和創(chuàng)新服務(wù)。她是全國首家由省級信用聯(lián)社整體改制而成的銀行，是寧夏地區(qū)規(guī)模最大的商業(yè)性地方金融機構(gòu)。接入網(wǎng)分行分行第三方服務(wù)協(xié)作機構(gòu)自助設(shè)備數(shù)據(jù)中心支行監(jiān)管機構(gòu)支行支行支行圖 寧夏某銀行網(wǎng)絡(luò)位置圖近年來，由于網(wǎng)絡(luò)的更新?lián)Q代，銀行業(yè)務(wù)量的增大，再加上原有網(wǎng)絡(luò)的老化，原有的網(wǎng)絡(luò)已不能支持現(xiàn)有業(yè)務(wù)的正常運營。然后介紹了章節(jié)內(nèi)容，即每一章節(jié)的題目和主要內(nèi)容。同時緊密結(jié)合實際網(wǎng)絡(luò)情況，在提高局域網(wǎng)等整體業(yè)務(wù)支撐能力的原則下,對商業(yè)銀行網(wǎng)絡(luò)工程建設(shè)項目給出相應(yīng)解決方案。第 4 章介紹網(wǎng)絡(luò)的基礎(chǔ)規(guī)范，設(shè)備選型命名、IP 地址規(guī)劃、路由策略、QoS、網(wǎng)管等內(nèi)容設(shè)計。最后闡述了通過調(diào)查分析得出現(xiàn)狀中存在的問題。最后總體介紹了網(wǎng)絡(luò)中存在的種種問題。當前應(yīng)用系統(tǒng)多而復(fù)雜，不利于對網(wǎng)絡(luò)需求進行分析。重要的內(nèi)部業(yè)務(wù)流程性系統(tǒng)，例如 ODS、綜合業(yè)務(wù)后臺管理系統(tǒng)、CIF、IC 卡系統(tǒng)、遠程集中授權(quán)系統(tǒng)等。– 網(wǎng)段，主要部署的業(yè)務(wù)系統(tǒng)包括：綜合業(yè)務(wù)系統(tǒng)應(yīng)用服務(wù)器等。 網(wǎng)絡(luò)現(xiàn)狀根據(jù)網(wǎng)絡(luò)現(xiàn)狀調(diào)研的結(jié)果，銀行當前網(wǎng)絡(luò)基本是以相應(yīng)的網(wǎng)絡(luò)功能進行網(wǎng)絡(luò)分區(qū)規(guī)劃。核心區(qū)網(wǎng)絡(luò)架構(gòu)層次清晰。1 臺 RSR5040 路由器為銀川市區(qū)的 48 個網(wǎng)點提供網(wǎng)絡(luò)接入，另有 1臺冷備的 RSR5040 做為備份，銀川網(wǎng)點的接入帶寬為 2Mbps。通過 2 臺 RGR7708 分別連接外部運營商（電信/聯(lián)通） 。開發(fā)測試區(qū)用于為開發(fā)測試類測試服務(wù)器（約 10 臺）提供網(wǎng)絡(luò)接入。Inter 連接區(qū)域網(wǎng)絡(luò)結(jié)構(gòu)相對復(fù)雜，網(wǎng)絡(luò)層次稍顯繁瑣。 網(wǎng)絡(luò)安全現(xiàn)狀I(lǐng)BM 認為，網(wǎng)絡(luò)安全不應(yīng)該是產(chǎn)品、技術(shù)的堆砌，需要體系化的方法論來指導(dǎo)網(wǎng)絡(luò)安全體系的建設(shè)，并通過不斷的評估和規(guī)劃，提高企業(yè)整體的安全水平，本項目將從網(wǎng)絡(luò)安全架構(gòu)、網(wǎng)絡(luò)安全技術(shù)和網(wǎng)絡(luò)設(shè)備配置安全幾個角度對銀行的網(wǎng)絡(luò)安全現(xiàn)狀進行評估。部分安全技術(shù)的部署策略存在不盡合理的問題，例如在核心設(shè)備（C6509）上部署了 378 條訪問控制列表（ACL） ，其中很多策略是基于單體的主機地址，造成管理上的困難，也造成了網(wǎng)絡(luò)通訊性能的下降。分別從核心業(yè)務(wù)區(qū)、辦公業(yè)務(wù)區(qū)、中間業(yè)務(wù)區(qū)、網(wǎng)絡(luò)外聯(lián)區(qū)這四個區(qū)域說明網(wǎng)絡(luò)中存在的種種問題。銀川市網(wǎng)點和各個市縣聯(lián)社網(wǎng)點的匯聚路由器分別通過不同設(shè)備接入到網(wǎng)絡(luò)，在管理上增加了管理難度，技術(shù)上也會導(dǎo)致路由相對復(fù)雜。當前的核心區(qū)網(wǎng)絡(luò)設(shè)備互聯(lián)架構(gòu)往往是全網(wǎng)狀(full mesh)互聯(lián)，此類架構(gòu)路由冗余度高，并且存在路由相對復(fù)雜的問題，對于路由的穩(wěn)定性和收斂性都存在潛在的影響（圖 a） 。由于在服務(wù)側(cè)采用基于 SDH 平臺同時實現(xiàn) TDM、ATM、以太網(wǎng)等業(yè)務(wù)的接入、處理和傳送，從而實現(xiàn)了資源統(tǒng)計復(fù)用的能力，因而成本更低，帶寬更大，也是目前金融行業(yè)在網(wǎng)點覆蓋方面所主要考慮的廣域網(wǎng)接入技術(shù)。行外系統(tǒng)開發(fā)人員（約 100+人） ，行外開發(fā)人員需要遠程訪問開發(fā)測試區(qū)服務(wù)器進行開發(fā)測試工作。 中間業(yè)務(wù)區(qū)主要存在的問題中間業(yè)務(wù)區(qū)主要存在的問題是中間業(yè)務(wù)區(qū) PIX 防火墻設(shè)備端口不足（每設(shè)備只有 4 個端口） ，在處理眾多復(fù)雜的中間業(yè)務(wù)需求時，由于資源限制，導(dǎo)致網(wǎng)絡(luò)靈活性欠佳。由于DMZ 區(qū)架構(gòu)，造成內(nèi)網(wǎng)訪問 DMZ 區(qū)數(shù)據(jù)流路徑不盡合理。 網(wǎng)絡(luò)構(gòu)架總覽基于銀行網(wǎng)絡(luò)現(xiàn)狀，從控制風險的角度考慮，對于原網(wǎng)絡(luò)規(guī)劃做出適當簡化調(diào)整，以利于后續(xù)的項目的平穩(wěn)過渡，后續(xù)銀行將逐步向未來目標架構(gòu)演進。將 SOA 和數(shù)據(jù)中心作為核心的設(shè)計理念，構(gòu)建高性能、高擴展性的三層交換核心區(qū)，并通過數(shù)據(jù)中心核心交換區(qū)將不同網(wǎng)絡(luò)功能區(qū)連接為一個整體。暫不考慮負載均衡、SSLOffload、Web 防火墻等安全服務(wù)，留待后續(xù)項目逐步建設(shè)。同城災(zāi)備中心只保留基本的生產(chǎn)和辦公服務(wù)以及存儲設(shè)備的數(shù)據(jù)同步服務(wù)。圖 同城災(zāi)備數(shù)據(jù)中心網(wǎng)絡(luò)功能區(qū)規(guī)劃整體網(wǎng)絡(luò)構(gòu)架已完成設(shè)計，然后詳細的分解網(wǎng)絡(luò)構(gòu)架，將每一個區(qū)域的網(wǎng)絡(luò)逐步完善。如圖 所示就是核心網(wǎng)絡(luò)拓撲架構(gòu)。同城匯聚接入路由器用于為同城的離行式自助設(shè)備（ATM、POS、自助服務(wù)終端等）的廣域網(wǎng)接入。廣域網(wǎng)遠端節(jié)點雙鏈路分別連接主備數(shù)據(jù)中心，日?？梢圆渴鸩呗月酚蓪崿F(xiàn)生產(chǎn)、辦公的數(shù)據(jù)流分流，以提高帶寬利用率。防火墻串接在網(wǎng)絡(luò)核心與區(qū)域匯聚設(shè)備之間，為服務(wù)器提供安全防護，防火墻需要建立失效應(yīng)急機制，例如在網(wǎng)絡(luò)核心設(shè)備與區(qū)域匯聚設(shè)備之間設(shè)置浮動靜態(tài)路由，互指到互連接口（日常情況下 shutdown） ，優(yōu)先級高于指向防火墻的靜態(tài)路由，在防火墻緊急故障時激活互連接口，從而旁路防火墻，提供服務(wù)緊急恢復(fù)功能。災(zāi)備中心業(yè)務(wù)服務(wù)區(qū)不考慮冗余設(shè)計，如圖 為同城災(zāi)備中心業(yè)務(wù)服務(wù)區(qū)拓撲圖。安全保護層，作為業(yè)務(wù)服務(wù)出口，以Layer3 方式連接到核心區(qū)。陜西理工學(xué)院畢業(yè)設(shè)計 第 13 頁 共 38 頁圖 辦公服務(wù)區(qū)網(wǎng)絡(luò)拓撲圖 外聯(lián)服務(wù)區(qū)外聯(lián)服務(wù)區(qū)提供銀行與外部監(jiān)管機構(gòu)、協(xié)作機構(gòu)的網(wǎng)絡(luò)接入和應(yīng)用接入，以及外聯(lián)類業(yè)務(wù)前置服務(wù)器的接入。針對數(shù)據(jù)中心從外到內(nèi)的訪問，外聯(lián)單位提供的 IP 地址與數(shù)據(jù)中心內(nèi)部地址沖突，在外聯(lián)路由器上轉(zhuǎn)成銀行規(guī)劃的外聯(lián)地址，外聯(lián)單位需要直接訪問數(shù)據(jù)中心內(nèi)部業(yè)務(wù)區(qū)服務(wù)器，需要在外聯(lián)區(qū)防火墻，將外聯(lián)單位的源地址轉(zhuǎn)換成規(guī)劃好的內(nèi)部地址。對業(yè)務(wù)互聯(lián)區(qū)從兩個方面描述：功能部署：對基于互聯(lián)網(wǎng)提供業(yè)務(wù)服務(wù)的服務(wù)器提供網(wǎng)絡(luò)接入。目前，銀行的網(wǎng)銀因為沒有自己的網(wǎng)銀系統(tǒng)，而是借用農(nóng)信銀的網(wǎng)銀平臺實現(xiàn)，因此銀行現(xiàn)在的網(wǎng)銀實際上是“農(nóng)信銀網(wǎng)銀業(yè)務(wù)前置” ，因此目前的網(wǎng)銀部署在外聯(lián)服務(wù)區(qū)，而并非業(yè)務(wù)互聯(lián)網(wǎng)。提供 ECC 終端接入。為服務(wù)器、網(wǎng)絡(luò)設(shè)備的帶外管理端口提供網(wǎng)絡(luò)接入。陜西理工學(xué)院畢業(yè)設(shè)計 第 15 頁 共 38 頁圖 運維管理區(qū)網(wǎng)絡(luò)拓撲圖 網(wǎng)絡(luò)最終整體拓撲數(shù)據(jù)中心網(wǎng)絡(luò)最終網(wǎng)絡(luò)拓撲如圖 所示。圖 數(shù)據(jù)中心最終網(wǎng)絡(luò)拓撲圖陜西理工學(xué)院畢業(yè)設(shè)計 第 16 頁 共 38 頁同城災(zāi)備數(shù)據(jù)中心網(wǎng)絡(luò)最終網(wǎng)絡(luò)拓撲如圖 所示。圖 災(zāi)備中心最終拓撲圖最終，銀行選定的數(shù)據(jù)中心與同城災(zāi)備數(shù)據(jù)中心網(wǎng)絡(luò)互連拓撲如圖 。冗余鏈路增強網(wǎng)絡(luò)可靠性。網(wǎng)絡(luò)設(shè)備命名規(guī)則為：AAABBBCCCnn。剩下的 nn 表示設(shè)備的序號，因為冗余設(shè)計，通常會有 01 和 02。從網(wǎng)絡(luò)發(fā)展的角度考慮未來，建議銀行網(wǎng)絡(luò)的路由協(xié)議全面向 BGP 過渡，以利用 BGP 靈活的路徑控制，實現(xiàn)網(wǎng)絡(luò)路由的靈活部署，且 BGP 在支持大規(guī)模網(wǎng)絡(luò)方面具備明顯優(yōu)勢。主備數(shù)據(jù)中心通過 OSPF 實現(xiàn)路由連通，整陜西理工學(xué)院畢業(yè)設(shè)計 第 20 頁 共 38 頁個核心網(wǎng)絡(luò)規(guī)劃在同一 OSPF 域（area 0） ，另外總行、同城機構(gòu)也部署在 area 0。各市縣聯(lián)社匯聚劃分為不同的 OSPF 域，以控制 area 0 的規(guī)模。二是安全策略；安全策略主要是訪問控制，銀行網(wǎng)絡(luò)是保密系統(tǒng)，要允許和禁止外人接入訪問。2） 路由重發(fā)布由于本網(wǎng)使用了 OSPF 和靜態(tài)路由 2 中路由協(xié)議，則為了保證路由的正常通信需要引入路由重發(fā)布機制。實際網(wǎng)絡(luò)中有時會出現(xiàn)光纖交叉連接、一條光纖未連接、一條光纖或雙絞線中的一條線路斷路的情況，此時鏈路兩端的端口之一可以收到對端發(fā)送的鏈路層報文，但對端不能收到本端發(fā)送的報文，這種鏈路即為單向鏈路。當發(fā)現(xiàn)單向鏈路后，向用戶發(fā)送告警信息，并根據(jù)用戶配置，自動關(guān)閉或通知用戶手工關(guān)閉相關(guān)端口，以防止網(wǎng)絡(luò)問題的發(fā)生。在 Huawei 設(shè)備之間的互聯(lián)端口使能 DLDP，DLDP 的建議配置：全局使能 DLDP、端口使能DLDP。安全區(qū)：安全區(qū)的安全級別較高，提供銀行內(nèi)部各種網(wǎng)絡(luò)用戶的接入服務(wù)和基礎(chǔ)網(wǎng)絡(luò)服務(wù)；安全區(qū)屬于被信任區(qū)域，原則上從非安全區(qū)到安全區(qū)不應(yīng)該有直接的訪問數(shù)據(jù)流，數(shù)據(jù)流應(yīng)通過半安全區(qū)的服務(wù)器進行轉(zhuǎn)發(fā)。從安全級別低的安全域訪問安全級別高的安全域必須受到控制，默認允許從安全級別高的安全域訪問安全級別低的安全域。生產(chǎn)批量數(shù)據(jù)流，對應(yīng) CBWFQ 中的一個 Queue，為其保證一定的廣域網(wǎng)帶寬，超出部分在網(wǎng)絡(luò)擁塞時可能會丟包。每個 Queue的保證帶寬，需要在進行廣域網(wǎng)改造時，根據(jù)廣域網(wǎng)絡(luò)鏈路的帶寬，并對實際流量的監(jiān)控和分析后，再進行定義，并且可能需要進行動態(tài)的調(diào)整。采用 Tail Dropping 或 WRED 機制，實現(xiàn)網(wǎng)陜西理工學(xué)院畢業(yè)設(shè)計 第 24 頁 共 38 頁絡(luò)擁塞時數(shù)據(jù)包丟棄可以采用專用流量控制設(shè)備，來實現(xiàn)廣域網(wǎng)上流量的控制。表 QoS 部署表QOS 部署節(jié)點 分類 優(yōu)先級 隊列調(diào)度機制 丟棄機制 帶寬Produce2_Cert 2 WFQ 尾丟棄 256kbpsProduce1 3 WFQ 尾丟棄 512kbpsVoice 4 WFQ 尾丟棄 256kbpsVideo 5 PQ 尾丟棄 2048kbps廣域網(wǎng)接入交換機出向子接口classdefault 0 WFQ 尾丟棄 剩下所有