【文章內(nèi)容簡介】 Network）之間建立防火墻（Firewall）。（如下圖所示）Intranet/Internet的防火墻是一個軟件與硬件的結合，可以對兩個網(wǎng)絡之間的信息交換進行控制，在一臺機器上至少插兩張網(wǎng)卡，一個連接內(nèi)部網(wǎng)絡（Secured Network），另一個連接Internet（Non_Secured Network），并運行防火墻軟件。將企業(yè)內(nèi)部應用的Web Server，Domain Name Server，E_mail Server放在防火墻內(nèi)，外部網(wǎng)絡中只有經(jīng)過授權的用戶才能通過防火墻，進入到內(nèi)部網(wǎng)獲取信息，相對地，內(nèi)部網(wǎng)絡上的用戶若想訪問Internet，則必須通過防火墻的檢查，以確認是否合法。 廣發(fā)證券公司防火墻策略及設計方案概述廣發(fā)證券公司綜合業(yè)務網(wǎng)絡覆蓋了全國多個省市，各節(jié)點通過廣域網(wǎng)方式互聯(lián)，并通過幾處設置防火墻連接Internet。對于這些防火墻來說，如果不能統(tǒng)一進行管理，將造成混亂，也很可能會由于設置不當出現(xiàn)安全隱患。Check Point防火墻提供了集中化管理的功能，即無論多個防火墻的分布如何，都可以通過某個中心位置的控制進行各分行防火墻的管理，這樣既可以達到全局的統(tǒng)一，又可以節(jié)省人力資源的開銷。在本次需要連入Intranet網(wǎng)絡的各個節(jié)點均配置一臺小型機作為防火墻服務器。防火墻的設計要依據(jù)建行的實際需要進行全局和局部的分析，在統(tǒng)一規(guī)劃的前提下對具體的問題用相應的方式進行細化安排。在此，我們提供了一個整體方案供建行參考。下一節(jié)將詳細介紹這個方案建議。 防火墻實施策略廣發(fā)證券公司網(wǎng)絡中心的防火墻服務器不僅要完成對網(wǎng)絡中心局域網(wǎng)的保護，還要管理整個Intranet各網(wǎng)絡節(jié)點的其它防火墻，因此它成為安全措施的核心設備，同時所有網(wǎng)絡中心的計算機與外界的通訊均要通過防火墻的驗證，如果該設備當機，將導致內(nèi)外通訊癱瘓，需要用兩臺具有較高的處理能力的主機相互備份來完成。其它Internet接入點分別設置一臺工作站作為防火墻服務器，由于防火墻服務器在安裝的時候會將其上的其它應用停止，因此防火墻服務器應為一臺專用服務器，除DNS服務之外，其它服務（如WWW，MAIL……）不應設計在此服務器上。防火墻通過將安全網(wǎng)和非安全網(wǎng)的各種訪問環(huán)節(jié)（包括主機、IP地址、網(wǎng)卡、防火墻主機、子網(wǎng)等等）設置成不同的單元，通過在各單元之間設置訪問規(guī)則來實現(xiàn)安全控制?！?對重要服務器的安全保護是安全體系中的重要一環(huán)，因此在配置防火墻時，建議利用防火墻的IP地址屏蔽功能將這些服務器的IP地址屏蔽掉，使得非安全網(wǎng)絡的任何用戶不知道服務器的存在，也就無法對它們進行攻擊。IP地址屏蔽功能是防火墻最高級別的安全防護措施。★ 對進出防火墻的IP包進行過濾是防火墻的一項重要防護功能，防火墻通過對IP包源地址和目的地址的檢測分析，拒絕非法數(shù)據(jù)包的傳輸。★ 將某些主機設置為單向傳輸方式。這樣可以利用一些專用主機進行接受數(shù)據(jù)的操作，而它們不可以向非安全網(wǎng)絡傳輸信息，這樣就可以使外部用戶訪問安全網(wǎng)絡的路徑受到限制，通過對這些路徑的重點監(jiān)視，提高網(wǎng)絡通信效率?！?在防火墻上進行Proxy Server的設置，這樣所有在安全網(wǎng)絡和非安全網(wǎng)絡之間的訪問均需要通過Proxy Server，即雙方不進行直接的通信，Proxy Server提供一個很大的Disk Cache，這樣的設置也使得網(wǎng)絡內(nèi)外的通信流量大大降低，從而節(jié)省了費用?！?設置防火墻的安全郵件功能可以保證郵件傳輸?shù)陌踩?，所有郵件均發(fā)送至防火墻，然后由防火墻轉(zhuǎn)發(fā)。★ 防火墻安全監(jiān)視器可以隨時監(jiān)視網(wǎng)絡的安全體系，當發(fā)現(xiàn)存在安全隱患的時候報警?！?由于廣發(fā)證券各營業(yè)部有很多終端設備，內(nèi)部IP地址是由廣發(fā)證券統(tǒng)一分配，如果為這些終端設備均分配Internet IP并不現(xiàn)實。我們通過設置IBM Firewall的NAT（Network Address Translation）功能來進行網(wǎng)絡地址的映射，當一個數(shù)據(jù)包從安全網(wǎng)絡傳向非安全網(wǎng)絡時進行網(wǎng)絡地址轉(zhuǎn)換，這樣做方便了IP地址分配帶來的不便，節(jié)省了IP資源?！?同時，對于廣發(fā)證券的上網(wǎng)管理也需要有力的措施，杜絕綜合業(yè)務網(wǎng)內(nèi)計算機撥號上網(wǎng)的情況發(fā)生是有效保障廣發(fā)網(wǎng)絡安全的措施。 IP電話系統(tǒng)　　基于因特網(wǎng)的實時語音通信，是目前Internet技術應用的一個重大發(fā)展方向，通過IP網(wǎng)絡，傳送商業(yè)質(zhì)量的話音/傳真，已經(jīng)開始沖擊到傳統(tǒng)的電話業(yè)務，特別是國際長途業(yè)務?！　　癡oice Over IP”，就是指應用于IP網(wǎng)絡上實現(xiàn)話音及傳真信號傳輸?shù)囊婚T全新的集成業(yè)務數(shù)據(jù)網(wǎng)絡技術。其特點在于其軟硬件均經(jīng)過精心設計和開發(fā)，可以 通過任何IP網(wǎng)絡提供無縫的話音/傳真集成。目前，世界數(shù)據(jù)網(wǎng)絡通信領域的領先廠商均開發(fā)了這方面的產(chǎn)品?！　τ谄髽I(yè)用戶來說，通過IP網(wǎng)關傳送長途電話/傳真，同樣具有重要的意義:　　1． 節(jié)省長途電話費用　　用IP網(wǎng)絡完成所有話音/傳真的傳送，能極大地降低了公司內(nèi)部跨地域、跨國界的電話/傳真成本?！　?． 減少設備投資　　公司可以在原來只能傳送數(shù)據(jù)的網(wǎng)絡上獲得增值的話音服務，而無需再另外租用或者購買單獨用于話音的設備和線路。由于所有內(nèi)部通信（話音、數(shù)據(jù)、傳真）都通過同一網(wǎng)絡傳送，企業(yè)可以大大降低購買和維護設備的費用。 IP電話的工作原理　　通常，我們可以通過合理地管理IP網(wǎng)絡，達到實時通信的目的。例如，可以采用具有優(yōu)先級別的包和帶寬分配機制，在現(xiàn)有的IP網(wǎng)絡上建立一個附加的語音/傳真網(wǎng)絡，從而使任何擁有IP地址的人都可以通過網(wǎng)絡發(fā)送和接收語音/傳真。　　PC到PC之間的通話，只要有合適的客戶端軟件就可以實現(xiàn)。　　但是要實現(xiàn)公眾電話網(wǎng)（PSTN）與 Intranet之間的互通，從而完成基于IP電話網(wǎng)關的PhonetoPhone的語音通信和基于IP電話網(wǎng)關的PhonetoPC的語音通信，則有很多額外的工作要做。ITUT已就如何實現(xiàn)數(shù)據(jù)通信網(wǎng)上的多媒體業(yè)務（包括語音和視頻），使得IP電話的規(guī)范逐步完善，各廠商的設備可以互通。語音壓縮技術的不斷進步也為IP電話的發(fā)展鋪平了道路?！　∥覀円员敬沃袊腎P電話試驗網(wǎng)為例，說明IP電話的工作原理?！　‘斢脩鬉想通過Internet撥打用戶B時，首先撥打IP電話的接入服務號碼（179xx）到本地的接入服務器（IP電話網(wǎng)關）。待連通后，再撥叫被叫用戶B的電話號碼。A端的接入服務器根據(jù)該號碼查到B端接入服務器的IP地址，通過 Internet與B端的接入服務器建立連接，然后告訴B端接入服務器B用戶的電話號碼，B端接入服務器則根據(jù)這號碼呼叫B用戶。如果B摘機，則電話接通。通話過程中，并封裝成IP包，然后通過實時傳輸協(xié)議RTP傳給B端的接入服務器。B端的接入服務器則將此包解開，并還原成音頻流傳給用戶B。反之亦然。IP傳真的原理同IP電話。 IP電話的技術標準　　 ，其目的在于給IP電話提供一個國際標準，其基本組成如下:　　:Terminal,Gateway,MCU(Multipoint Control Unit)和Gatekeeper?！　erminal:，可以是軟件（如netmeeting）也可以是硬件（如專用的Internet Phone）,它提供了實時的雙向傳輸用以傳送聲音?！　ateway:完成PSTN/PBA/ISDN網(wǎng)絡之間的協(xié)議轉(zhuǎn)換，主要包括傳輸格式的轉(zhuǎn)換（），通信過程的轉(zhuǎn)換（）,另外還完成音頻格式的轉(zhuǎn)換和呼叫建立。因此，如果要建立異種網(wǎng)絡間的通話（如PSTN到Internet）,網(wǎng)關是必需的，否則網(wǎng)關可以省略?！　atekeeper:負責用戶注冊和管理，如地址映射，呼叫認證和管理，呼叫記錄和區(qū)域管理?！　CU:其功能是實現(xiàn)多點通信，使得Internet能夠支持諸如網(wǎng)絡會議這樣的一些多點應用?！　?設計目的：為什么要為廣發(fā)網(wǎng)絡工程設計IP電話系統(tǒng)技術的進步和發(fā)展促進了IP電話的增長，使其技術成本不斷降低，并且更加具有實用價值。同時，IP電話的關鍵部件DSP的成本已經(jīng)顯著下降?！　≌缥覀兯?，模擬電話呼叫無論采用何種轉(zhuǎn)換方式，都要占用64Kbps的帶寬，這樣，高速數(shù)據(jù)線路的用戶也許要把相當數(shù)量的帶寬用于傳送語音，當多媒體應用越來越廣泛的時候，帶寬資源就會顯得相當緊張。　　DSP則可以把模擬信號轉(zhuǎn)換成8Kbps或帶寬更窄的數(shù)據(jù)流。所以，如果把語音轉(zhuǎn)換成一種數(shù)據(jù)流后，用戶就可以在同一條線路上傳輸比采用模擬技術時更多的呼叫，從而使數(shù)據(jù)通信的經(jīng)營效益更好。　　實際上在多年以前，語音數(shù)字化在技術上就可以實現(xiàn)了，那時的主要問題是用戶負擔不起這筆費用。而最近幾年內(nèi)，DSP技術在功能和性能上迅速取得了進展，因此，用戶不但負擔得起，而且還能夠很快獲得投資收益?！　∥磥砭W(wǎng)絡發(fā)展的方向無疑是邁向三網(wǎng)合一， 在一條線路上綜合傳輸話音、數(shù)據(jù)和視頻，當然這是一個漫長的過程。同時， IP電話運營的更深涵義并不僅僅在于從中獲取利益，而是通過IP電話的使用使企業(yè)發(fā)展成一個成熟的現(xiàn)代化企業(yè)，并能夠為用戶提供象CALL CENTER這樣的現(xiàn)代化服務。廣發(fā)證券綜合業(yè)務網(wǎng)的建設，是一個多業(yè)務、多應用的網(wǎng)絡工程。利用基礎網(wǎng)絡的建設，實現(xiàn)IP電話系統(tǒng)就是其中一個重要方面。 IP電話資費分析為充分利用項目建設的廣域網(wǎng)資源，可以通過網(wǎng)絡進行電話通信，范圍覆蓋總公司到每一個營業(yè)部，可以極大地減少長途電話支出（作為一個跨省的大公司，此項為一重要支出）。中國電信所提供的長途電話資費有兩種：1. 省內(nèi)長途：2. 省外長途：如果利用現(xiàn)有的網(wǎng)絡資源安裝IP電話，那么就可節(jié)約下所有的長途費用了。而安裝IP電話到底需要多少的初期投入呢？一個VOIP的模塊加上兩個電話接口插件需要￥22,800元，總共能同時接通四路IP電話，那么每個接口（既每路IP電話的安裝）實際上只投入了￥5,520元，再根據(jù)在以往的業(yè)務中所交納的長途費，就可以知道多少時間可以收回IP電話的安裝投入了。 IP電話帶寬占用分析大家知道，IP電話的接通是要占用帶寬的。那么IP電話會不會影響正常業(yè)務的運作呢？讓我們來一級級的分析：如下圖所示，在我們所設計的方案中，每個3級節(jié)點如果用一個VOIP模塊的話，最多能同時通四路IP電話，也就是說，最多同時占用32K的帶寬。而三級節(jié)點的DDN帶寬為64K，那么最少還有32K可用。我們知道行情信息的信息量很大，但是因為它用的是衛(wèi)星廣播，所以可以不考慮在內(nèi)。而交易信息的信息量一般也就占用10—20K。綜上所述，在三級節(jié)點安裝IP電話最多用到32K帶寬，無論它接的是二級節(jié)點還是網(wǎng)絡中心都是不會影響正常業(yè)務的。在二級節(jié)點中，我們建議用兩個模塊，最多可同時接通8路IP電話。如圖所示，二級節(jié)點到網(wǎng)絡中心用的是128K的專線連接，那么這條線路最多要承載多少路IP電話呢？理論上講應該是這個二級節(jié)點本身的最大通路數(shù)加上它所連接的所有三級節(jié)點的IP電話路數(shù)總和，按照現(xiàn)有連接狀況看，要占用8 X （8+4 X 4）=192K帶寬！但是，實際情況不是這樣的，因為很少有可能它所連接的所有的IP電話都同時通過這個二級節(jié)點到中心的專線。而且，我們可以用CISCO的QOS（質(zhì)量控制）來保障關鍵業(yè)務的正常運作，具體方法是：限制IP電話所占用的最大帶寬；設置各種業(yè)務的優(yōu)先級別。通過這些手段完全可以控制二級節(jié)點到三級節(jié)點的關鍵業(yè)務不受IP電話的影響。所以，在二級節(jié)點安裝IP電話也是不會影響正常業(yè)務的。網(wǎng)絡中心也是IP電話的一個集散中心，它的IP電話業(yè)務量也是非常巨大的，所以，我們建議在網(wǎng)絡中心安裝16路IP電話。而網(wǎng)絡中心與其它節(jié)點的專線帶寬承載能力前面已經(jīng)討論過，這里就不再復述。 IP電話的實現(xiàn)IP電話在現(xiàn)在已經(jīng)是一個很普及的應用了，如Internet上常見的Media Ring、IP2Phone等等，都屬于IP電話。MS ，不但能實現(xiàn)電話功能，同時還能實現(xiàn)更多信息服務，如白板等。而且與視頻會議系統(tǒng)有互操作性。，所以采用視頻會議系統(tǒng)也同時能夠?qū)崿F(xiàn)IP電話，但這可能在使用上比較麻煩一些。如果采用普通電話，則需要專門的設備，如Cisco 的Voice/IP模塊、IP Phone Access Gateway等，可以直接連接在電話機或PBX交換機上。采用普通電話有操作方便、人人可用、管理方便等有點，所以這也是一個可選的方式。 設計目的廣發(fā)證券綜合業(yè)務網(wǎng)的建設，