【文章內(nèi)容簡介】 Z 區(qū)的網(wǎng)絡結構有待商榷– 中間業(yè)務區(qū)的安全防護層次有待強化圖 網(wǎng)絡安全問題標示圖從網(wǎng)絡安全技術角度來看，銀行網(wǎng)絡部署了相應的防火墻、IDS/IPS、防病毒等，具備一定的安全技術水平，但是在技術部署方面，存在一定的優(yōu)化空間，部分網(wǎng)絡安全技術部署存在一定技術性缺陷，例如 DMZ 區(qū)的 IDP 設備，存在單故障節(jié)點的問題。部分安全技術的部署策略存在不盡合理的問題，例如在核心設備（C6509）上部署了 378 條訪問控制列表（ACL） ，其中很多策略是基于單體的主機地址，造成管理上的困難，也造成了網(wǎng)絡通訊性能的下降。部分安全邊界的設定有待商榷，例如在抽樣的接入層交換機上部署了 ACL 用于控制用戶網(wǎng)段之間的訪問控制，另此類接入設備的部署點選擇不盡合理。DMZ 區(qū)的安全技術部署可以考慮進行適當?shù)恼?，以簡化管理?存在問題本節(jié)主要從前面在網(wǎng)絡中所劃分的區(qū)域來闡述網(wǎng)絡中存在的問題。分別從核心業(yè)務區(qū)、辦公業(yè)務區(qū)、中間業(yè)務區(qū)、網(wǎng)絡外聯(lián)區(qū)這四個區(qū)域說明網(wǎng)絡中存在的種種問題。 網(wǎng)絡核心區(qū)主要存在的問題在如此嚴格的網(wǎng)絡現(xiàn)狀調(diào)查中，我們可以看出網(wǎng)絡核心區(qū)的設備資源配置欠佳，服務器區(qū)分網(wǎng)段過多，核心區(qū)設備互聯(lián)架構略顯復雜。EX3200 設備是固定配置的高性能獨立交換機，具備 L3 交換功能，產(chǎn)品主要定位是適用于分支辦事處、遠程辦事處和園區(qū)網(wǎng)絡中的接入層部署，在擴展性和可靠性方面并不是最佳的核心交換設備的選擇。而做為關鍵業(yè)務系統(tǒng)接入的交換機 Cisco 6509，在性能方面又存在資源過剩的問題， 陜西理工學院畢業(yè)設計 第 7 頁 共 38 頁Cisco 6509 產(chǎn)品的定位是承擔企業(yè)網(wǎng)絡核心的任務；另外，從接口成本角度來看， Cisco6509 的每端口平均成本是明顯高于普通接入交換機。銀川市網(wǎng)點和各個市縣聯(lián)社網(wǎng)點的匯聚路由器分別通過不同設備接入到網(wǎng)絡，在管理上增加了管理難度，技術上也會導致路由相對復雜?？傂袪I業(yè)部通過總行辦公網(wǎng)接入網(wǎng)絡，導致網(wǎng)絡架構不統(tǒng)一，造成管理上和安全上潛在問題。核心業(yè)務區(qū)服務器劃分網(wǎng)段過多，增加了網(wǎng)絡管理復雜度，同時，也給網(wǎng)絡安全策略部署帶來一定的困難。核心區(qū)設備互聯(lián)架構略顯復雜，技術實現(xiàn)存在可優(yōu)化空間。當前的核心區(qū)網(wǎng)絡設備互聯(lián)架構往往是全網(wǎng)狀(full mesh)互聯(lián)，此類架構路由冗余度高，并且存在路由相對復雜的問題，對于路由的穩(wěn)定性和收斂性都存在潛在的影響（圖 a） 。從大型數(shù)據(jù)中心建設經(jīng)驗來看（特別是金融行業(yè)實踐經(jīng)驗）來看，簡化的“口子型”結構是比較成熟地、可靠地、平衡投資與冗余度的模式（圖 b） 。 （a） (b)圖 網(wǎng)絡冗余示意圖銀行廣域網(wǎng)目前還在大量使用運營商專線（LeasedLine）業(yè)務，專線業(yè)務由于是獨占電路，因而存在帶寬小、成本高的問題。目前，在數(shù)據(jù)服務市場，新興的 MSTP（MultiService Transfer Platform）技術。由于在服務側采用基于 SDH 平臺同時實現(xiàn) TDM、ATM、以太網(wǎng)等業(yè)務的接入、處理和傳送，從而實現(xiàn)了資源統(tǒng)計復用的能力，因而成本更低，帶寬更大，也是目前金融行業(yè)在網(wǎng)點覆蓋方面所主要考慮的廣域網(wǎng)接入技術。銀行可以考慮在適當?shù)臅r間進行通信鏈路的升級，一方面降低整體運行成本，另外也為今后的業(yè)務拓展提供更充裕的鏈路資源。 辦公業(yè)務區(qū)主要存在的問題辦公業(yè)務區(qū)的只要存在的問題體現(xiàn)在 OA 及管理系統(tǒng)區(qū)服務器缺少網(wǎng)路安全防護，直接面向客戶端，存在安全隱患。辦公區(qū)接入用戶分為 2 組：行內(nèi)辦公人員（約 100+人） 。行外系統(tǒng)開發(fā)人員（約 100+人） ，行外開發(fā)人員需要遠程訪問開發(fā)測試區(qū)服務器進行開發(fā)測試工作。這 2 類用戶需要進行適度的隔離，且對于外部開發(fā)人員對于網(wǎng)絡的訪問，需要進行高強度的控制?？傂修k公區(qū)接入?yún)^(qū)內(nèi)既有總行辦公人員接入，又有總行營業(yè)部接入，造成網(wǎng)絡結構的模糊，不利于管理，也存在一定安全隱患。另外，辦公業(yè)務區(qū)網(wǎng)絡的匯聚設備存在一些設備或技術問題，導致辦公業(yè)務區(qū)的網(wǎng)絡接入不具備冗余接入能力，網(wǎng)絡穩(wěn)定性存在潛在隱患。 中間業(yè)務區(qū)主要存在的問題中間業(yè)務區(qū)主要存在的問題是中間業(yè)務區(qū) PIX 防火墻設備端口不足（每設備只有 4 個端口） ，在處理眾多復雜的中間業(yè)務需求時，由于資源限制，導致網(wǎng)絡靈活性欠佳。中間業(yè)務區(qū)的冗余結構，也存在類似與核心區(qū)網(wǎng)絡的全網(wǎng)狀(full mesh)結構與“ 口字型”結構的對比問題。與農(nóng)信銀的網(wǎng)絡連接除了在中間業(yè)務區(qū)連接外，在聯(lián)社匯聚路由器上還有 1 條連接農(nóng)信銀的鏈路，此鏈路日常做為與農(nóng)信銀之間的數(shù)據(jù)存儲通信鏈路，在緊急情況下，考慮做為與農(nóng)信銀之間的冗余備份鏈路，此備份鏈路的效能值得商榷，另由于農(nóng)信銀備份鏈路連接到聯(lián)社匯聚路由器，造成網(wǎng)絡結構的模糊，帶來潛在的管理和安全方面的問題。 Inter 外聯(lián)區(qū)主要存在的問題陜西理工學院畢業(yè)設計 第 8 頁 共 38 頁Inter 網(wǎng)絡外聯(lián)主要存在的問題是 Inter 接入?yún)^(qū)網(wǎng)絡架構相對復雜，不易管理。由于DMZ 區(qū)架構，造成內(nèi)網(wǎng)訪問 DMZ 區(qū)數(shù)據(jù)流路徑不盡合理。DMZ 區(qū)的 IDS 設備在部署架構上不盡合理，導致存在單點故障的缺陷。DMZ 區(qū)的設備資源可以考慮進行適當調(diào)整，以簡化結構，以利于管理。陜西理工學院畢業(yè)設計 第 9 頁 共 38 頁3 新網(wǎng)絡系統(tǒng)結構設計分析新的網(wǎng)絡構架是將現(xiàn)狀調(diào)研和需求分析作為輸入，結合實踐和規(guī)范做出符合網(wǎng)絡規(guī)范和業(yè)務需求做出來的網(wǎng)絡構架。 網(wǎng)絡構架總覽基于銀行網(wǎng)絡現(xiàn)狀，從控制風險的角度考慮，對于原網(wǎng)絡規(guī)劃做出適當簡化調(diào)整，以利于后續(xù)的項目的平穩(wěn)過渡，后續(xù)銀行將逐步向未來目標架構演進?；趪鴥?nèi)外金融行業(yè) IT 發(fā)展實踐經(jīng)驗，未來的銀行網(wǎng)絡將是面向服務的架構，強調(diào)快速的業(yè)務響應和業(yè)務的高可用設計，實現(xiàn)資源共享，著力于端到端的業(yè)務支持能力，以提升 IT 的服務能力。因此對銀行的網(wǎng)絡作如下設計。主數(shù)據(jù)中心網(wǎng)絡功能區(qū)規(guī)劃，如圖 所示，主要是根據(jù)模塊化的設計方法, 將網(wǎng)絡功能模塊化搭建。將 SOA 和數(shù)據(jù)中心作為核心的設計理念，構建高性能、高擴展性的三層交換核心區(qū)，并通過數(shù)據(jù)中心核心交換區(qū)將不同網(wǎng)絡功能區(qū)連接為一個整體。按照功能需求、邏輯分層，并考慮安全域劃分細化各功能區(qū)的功能服務。原規(guī)劃中的業(yè)務服務區(qū)和渠道服務區(qū)將共用安全服務設備，但分別使用獨立的匯聚設備。簡化互聯(lián)網(wǎng)接入設計，不設置面向內(nèi)部用戶的辦公互聯(lián)網(wǎng)訪問服務，將業(yè)務互聯(lián)網(wǎng)服務區(qū)與辦公互聯(lián)網(wǎng)服務區(qū)合并。暫不考慮負載均衡、SSLOffload、Web 防火墻等安全服務，留待后續(xù)項目逐步建設。在局域網(wǎng) LAN 接入?yún)^(qū)內(nèi)增加公共服務子區(qū)，將防病毒等一般性公共服務類服務器從辦公服務區(qū)剝離出來，公共服務區(qū)通過 LAN 接入?yún)^(qū)的匯聚交換機接入，必要時可考慮通過 ACL 進行適當?shù)脑L問控制。圖 主數(shù)據(jù)中心網(wǎng)絡功能區(qū)規(guī)劃圖依據(jù)雙中心互備模式的策略, 同城災備中心將建設和主中心功能和邏輯基本一致的數(shù)據(jù)中心網(wǎng)絡，但在功能區(qū)配置以及網(wǎng)絡接入規(guī)模、性能方面，可以考慮做出適當裁剪，以平衡投資成本與效益。陜西理工學院畢業(yè)設計 第 10 頁 共 38 頁同城災備中心架構設計內(nèi)容如圖 。同城災備中心只保留基本的生產(chǎn)和辦公服務以及存儲設備的數(shù)據(jù)同步服務?？紤]到同城災備中心場地系租用運營商環(huán)境，因此不設置運維管理區(qū)和帶外管理，所有設備的監(jiān)控管理由數(shù)據(jù)中心的網(wǎng)管平臺集中實施。同城災備中心不設置面向內(nèi)部用戶移動辦公的 VPN 接入服務，因此，在同城災備中心取消業(yè)務互聯(lián)網(wǎng)區(qū)。同城災備中心基本定位于“無人值守”狀態(tài)，因此不設置用戶接入服務。圖 同城災備數(shù)據(jù)中心網(wǎng)絡功能區(qū)規(guī)劃整體網(wǎng)絡構架已完成設計，然后詳細的分解網(wǎng)絡構架，將每一個區(qū)域的網(wǎng)絡逐步完善。 網(wǎng)絡功能區(qū)拓撲結構網(wǎng)絡功能區(qū)拓撲結構是按照功能區(qū)域分開介紹的。分別從核心、業(yè)務、辦公、外聯(lián)、業(yè)務互聯(lián)、運維等區(qū)域介紹了各自的網(wǎng)絡結構。 核心交換及廣域網(wǎng)接入核心網(wǎng)絡是整個網(wǎng)絡中的龍骨，所以核心網(wǎng)絡的設計必須有足夠的性能，及擴展能力。如圖 所示就是核心網(wǎng)絡拓撲架構。主數(shù)據(jù)中心核心交換機為雙機冗余部署，同城災備中心核心交換機為單節(jié)點設計，核心交換機之間全網(wǎng)狀互連。主備數(shù)據(jù)中心之間雙鏈路連接，1 條線路為DWDM（Dense Wavelength Division Multiplexing，密集型光波復用） ，另 1 條 MSTP 線路做為備份。廣域網(wǎng)接入?yún)^(qū)部署匯聚交換機，整合廣域網(wǎng)區(qū)路由及鏈路，以便于管理和維護，同時廣域網(wǎng)區(qū)匯聚交換機也做為未來以 MSTP（Mutiservice TransmitPlatform）線路接入到數(shù)據(jù)中心的廣域網(wǎng)匯聚設備，例如連接總行、同城機構、網(wǎng)點（MSTP 線路接入） 。同城匯聚接入路由器用于為同城的離行式自助設備（ATM、POS、自助服務終端等）的廣域網(wǎng)接入。主數(shù)據(jù)中心、災備數(shù)據(jù)中心的廣域網(wǎng)接入?yún)^(qū)架構相同（災備中心不設同城匯聚接入路由器，待未來有需求時再行考慮建設） ?？捎眯栽O計：考慮廣域網(wǎng)區(qū)匯聚交換機與核心交換機之間的鏈路、設備的冗余，保證網(wǎng)絡架構的高可用（災備中心不考慮冗余） 。數(shù)據(jù)中心廣域網(wǎng)區(qū)接入路由器雙鏈路連接到匯聚交換機。廣域網(wǎng)遠端節(jié)點雙鏈路分別連接主備數(shù)據(jù)中心，日常可以部署策略路由實現(xiàn)生產(chǎn)、辦公的數(shù)據(jù)流分流，以提高帶寬利用率。陜西理工學院畢業(yè)設計 第 11 頁 共 38 頁圖 網(wǎng)絡中心網(wǎng)絡最終拓撲 業(yè)務服務區(qū)業(yè)務服務區(qū)網(wǎng)絡, 是支持銀行業(yè)務服務資源的重要網(wǎng)絡功能區(qū)，分別支持核心柜面業(yè)務類、業(yè)務處理類和辦公管理類等的主要應用服務器的接入。網(wǎng)絡拓撲圖如圖 ：區(qū)域內(nèi)分層設計：安全保護層、區(qū)域匯聚層和區(qū)域接入層。安全保護層：在業(yè)務服務器接入與網(wǎng)絡核心交換之間定義安全邊界，部署防火墻，保護功能區(qū)內(nèi)部的服務資源，設置訪問控制。防火墻串接在網(wǎng)絡核心與區(qū)域匯聚設備之間，為服務器提供安全防護，防火墻需要建立失效應急機制，例如在網(wǎng)絡核心設備與區(qū)域匯聚設備之間設置浮動靜態(tài)路由，互指到互連接口（日常情況下 shutdown） ，優(yōu)先級高于指向防火墻的靜態(tài)路由，在防火墻緊急故障時激活互連接口，從而旁路防火墻，提供服務緊急恢復功能。安全保護層，作為業(yè)務服務出口，以 Layer3 方式連接到核心區(qū)。區(qū)域接入層：區(qū)域內(nèi)匯聚層和接入層合并為匯聚接入層，設備為服務器接入提供網(wǎng)關和網(wǎng)絡物理接入服務，作為 Layer3 Layer2 之間邊界，實現(xiàn)功能區(qū)內(nèi) Vlan 間路由和相應的區(qū)域內(nèi)訪問控制點。冗余架構，滿足高可用性要求。災備中心業(yè)務服務區(qū)不考慮冗余設計，如圖 為同城災備中心業(yè)務服務區(qū)拓撲圖。陜西理工學院畢業(yè)設計 第 12 頁 共 38 頁圖 業(yè)務服務區(qū)網(wǎng)絡拓撲圖圖 災備中心業(yè)務服務區(qū)拓撲圖 辦公服務區(qū)辦公互聯(lián)網(wǎng)區(qū)承擔著實現(xiàn)內(nèi)部用戶訪問 Inter、對外提供公眾服務、內(nèi)部移動辦公用戶接入以及遠程維護接入等功能。辦公服務區(qū)網(wǎng)絡區(qū)域內(nèi)分層設計，如圖 ：安全保護層、區(qū)域匯聚層和區(qū)域接入層安全保護層：在業(yè)務服務器接入與網(wǎng)絡核心交換之間定義安全邊界，部署防火墻，保護功能區(qū)內(nèi)部的服務資源，設置訪問控制。防火墻串接在網(wǎng)絡核心與區(qū)域匯聚設備之間，為服務器提供安全防護，防火墻需要建立失效應急機制，例如在網(wǎng)絡核心設備與區(qū)域匯聚設備之間設置浮動靜態(tài)路由，互指到互連接口（日常情況下 shutdown） ，優(yōu)先級高于指向防火墻的靜態(tài)路由，在防火墻緊急故障時激活互連接口，從而旁路防火墻，提供服務緊急恢復功能。安全保護層，作為業(yè)務服務出口，以Layer3 方式連接到核心區(qū)。區(qū)域接入層：區(qū)域內(nèi)匯聚層和接入層合并為匯聚接入層，設備為服務器接入提供網(wǎng)關和網(wǎng)絡物理接入服務，作為 Layer3 Layer2 之間邊界，實現(xiàn)功能區(qū)內(nèi) Vlan 間路由和相應的區(qū)域內(nèi)訪問控制點。冗余架構，滿足高可用性要求。災備中心辦公服務區(qū)不考慮冗余設計。陜西理工學院畢業(yè)設計 第 13 頁 共 38 頁圖 辦公服務區(qū)網(wǎng)絡拓撲圖 外聯(lián)服務區(qū)外聯(lián)服務區(qū)提供銀行與外部監(jiān)管機構、協(xié)作機構的網(wǎng)絡接入和應用接入，以及外聯(lián)類業(yè)務前置服務器的接入。數(shù)據(jù)中心外聯(lián)服務區(qū)拓撲如圖 ，使用防火墻構造半安全區(qū)(DMZ)，分隔非安全區(qū)和安全區(qū)，在半安全區(qū)(DMZ)，部署需要和外部單位交互的前置服務器等。防火墻控制合作伙伴只能訪問半安全區(qū)(DMZ)內(nèi)的前置服務器，再經(jīng)由前置服務區(qū)發(fā)起對內(nèi)部服務器的訪問，而外部機構不能直接訪問內(nèi)部服務器。地址轉(zhuǎn)換策略：針對數(shù)據(jù)中心從內(nèi)到外的訪問，外聯(lián)單位指定分配的IP 地址，在防火墻上轉(zhuǎn)成對方提供的 IP。針對數(shù)據(jù)中心從外到內(nèi)的訪問，外聯(lián)單位提供的 IP 地址與數(shù)據(jù)中心內(nèi)部地址沖突，在外聯(lián)路由器上轉(zhuǎn)成銀行規(guī)劃的外聯(lián)地址，外聯(lián)單位需要直接訪問數(shù)據(jù)中心內(nèi)部業(yè)務區(qū)服務器，需要在外聯(lián)區(qū)防火墻，將外聯(lián)單位的源地址轉(zhuǎn)換成規(guī)劃好的內(nèi)部地址。災備中心外聯(lián)服務區(qū)不考慮冗余設計。圖 數(shù)據(jù)中心外聯(lián)服務區(qū)拓撲圖陜西理工學院畢業(yè)設計 第 14 頁 共 38 頁 業(yè)務互聯(lián)網(wǎng)區(qū)業(yè)務互聯(lián)網(wǎng)區(qū)提供網(wǎng)銀、企業(yè) WEB 網(wǎng)站等通過互聯(lián)網(wǎng)提供業(yè)務服務的服務器接入和互聯(lián)網(wǎng)接入，架構規(guī)劃參照人民銀行相關要求，并參考業(yè)界實踐，主要關注高可用性、安全性的需求。如圖 所示數(shù)據(jù)中心業(yè)務互聯(lián)區(qū)拓撲圖。對業(yè)務互聯(lián)區(qū)從兩個方面描述：功能部署：對基于互聯(lián)網(wǎng)提供業(yè)務服務的服務器提供網(wǎng)絡接入。在業(yè)務互聯(lián)網(wǎng)區(qū)可考慮部署入侵檢測等服務。根據(jù)安全分區(qū)的需要，作為非安全區(qū)的業(yè)務互聯(lián)網(wǎng)區(qū)在訪問內(nèi)部核心安全區(qū)和安全區(qū)時，需要通過防火墻（內(nèi)層）進行保護性隔離；在業(yè)務互聯(lián)區(qū)接入到互聯(lián)網(wǎng)之前，提供防火墻（外層）保護，這種雙層防火墻架構可以提供更好的安全性能，同時也利于安全策略的部署，內(nèi)外層防火墻建議采用不同品牌產(chǎn)品（異構） ，以提高入侵成本，進一步增強安全性。服務