【文章內(nèi)容簡介】 著 銀行業(yè)務(wù)規(guī)模、分支機構(gòu)和員工數(shù)量的不斷增長 ，跨區(qū)域溝通協(xié)作日益頻繁，中央商務(wù)區(qū)這樣金融機構(gòu)聚集地的網(wǎng)絡(luò)規(guī) 劃與構(gòu)架儼然成為了一項重要的工作項目，一次對網(wǎng)絡(luò)構(gòu)架良好的梳理與評估，對需求的縝密分析，制定切實可行的總體規(guī)劃 等一系列的工作 涵蓋了銀行網(wǎng)絡(luò)建設(shè)的各個層面，上至網(wǎng)絡(luò)整體規(guī)劃，下至數(shù)據(jù)中心、廣域網(wǎng)、數(shù)據(jù)安全等架構(gòu)建設(shè) ，統(tǒng)一部署服務(wù)器、存儲、數(shù)據(jù)庫和應(yīng)用系統(tǒng)，確保客戶數(shù)據(jù)萬無一失的前提下，為金融中心向客戶提供高效連貫的優(yōu)質(zhì)服務(wù)。 論文研究主要內(nèi)容 由于中央商務(wù)區(qū)是城市金融命脈，在保證所有金融機構(gòu)能夠互聯(lián)互通的基礎(chǔ)上，首要任務(wù)就是其網(wǎng)絡(luò)的完全性，不間斷性，快速性以及處理信息的能力 ，需要用到很多路由交換方面的 技術(shù) 。 本課題主要結(jié)合 中央商務(wù)區(qū) 這一特殊區(qū)域進行針對的設(shè)計 。 中央商務(wù)區(qū) 建設(shè)目標包括：以提高全行的網(wǎng)絡(luò) 安全對最大并發(fā)事件的處理 為根本， 以管理者對網(wǎng)絡(luò)的管理為中心 ， 并且以限制網(wǎng)絡(luò)帶寬的手段以提高對不同用戶和不用應(yīng)用進行限制以保證工作效率 。 安全問題 保證安全問題是中央商務(wù)區(qū)網(wǎng)絡(luò)構(gòu)架的首要任務(wù)， 由于全行網(wǎng)絡(luò)應(yīng)用的復(fù)雜性，一旦網(wǎng)絡(luò)出現(xiàn)問題，將會有一系列的工作，需要較多的技術(shù)支持人員去解決，與此同時由于缺乏對服務(wù)流程的管理，管理人員也難以了解工作的進度。 安全軟件在運行、存儲中是不能保障安全的，軟件運行時 的很多重要信息都會在某個時間清晰地出現(xiàn)于計算機的存儲中，因而不法分子竊取并利用這些信息是有機可乘的，所以需要采用硬件設(shè)備才能保障安全。 信息處理能力 銀行網(wǎng)絡(luò)處理信息的能力和速率 在這個領(lǐng)域中是最受用戶關(guān)注的，面對龐大的用戶群體，用戶關(guān)心的就是能否在任何時間段都可以進行暢通無阻的交易，同時，在各個金融企業(yè)之間，因為網(wǎng)絡(luò)問題不能通 暢 的進行各個金融企業(yè)之間數(shù)據(jù)的相互傳輸造成的損失是巨大的，其損失對用戶和企業(yè)乃至政府的而言將會是無法估量的。 冗余備份 眾所周知，由于自然災(zāi)害和人為因素 ，極有可能造成數(shù)據(jù)的丟失，而對于金融機構(gòu)而言，丟失數(shù)據(jù)是絕對不能被允許的，而有些會導(dǎo)致數(shù)據(jù)丟失的原因又是無法預(yù)知的，在這種情況面前，我們能做的第一大要點就是要定時甚至在每一筆交易之后都將數(shù)據(jù)進大連 東軟信息學(xué)院畢業(yè)設(shè)計（論文） 2 行備份，這樣才能保證將在不可預(yù)知的情況下丟失數(shù)據(jù)有效率的還原，保證用戶的財產(chǎn)不受影響。 國內(nèi)外現(xiàn)狀 面對日益嚴峻的網(wǎng)絡(luò)安全形勢，我國銀行業(yè)將圍繞自主可控、持續(xù)發(fā)展、科技創(chuàng)新三大戰(zhàn)略加強信息科技建設(shè)。 網(wǎng)絡(luò)銀行已經(jīng)占據(jù)了人們的生活， 為了方便人們的生活，網(wǎng)絡(luò)問題對銀行等金融機構(gòu)有著巨大的考驗， 現(xiàn)在的銀行需要 更大的存儲空間，更完善的安全機制，以及對突發(fā)問題 快速處理 的能力 。 在銀行骨干網(wǎng)絡(luò)中，路由器和交換機都是 CISCO 的產(chǎn)品。路由器包括 751 759366 366 5300 等，交換機包括 650 650 400 400 294 3548 等系列。在每臺路由器上都配置了統(tǒng)一的網(wǎng)管地址，在總行目前有一個簡易網(wǎng)管系統(tǒng)可管理到骨干路由器。 同時， 隨著接入 Inter 的計算機數(shù)量的不斷猛增， IP 地址資源也就愈加顯得 供不應(yīng)求 。事實上， 我國的 IP 地址數(shù)量遠遠小于國外，國內(nèi)的 IP 地址非常有限 ，一般用戶幾乎申 請不到整段的 C 類 IP 地址。在其他 ISP 運營商 那里，即使是擁有幾百臺計算機的大型局域網(wǎng)用戶，當(dāng)他們申請 IP 地址時，所分配的地址也不過只有幾個或十幾個 IP 地址。顯然，這樣少的 IP 地址根本無法滿足網(wǎng)絡(luò)用戶的需求 ，可見 IP 地址也是一項需要解決的問題。 大連 東軟信息學(xué)院畢業(yè)設(shè)計（論文） 3 第 2 章 關(guān)鍵技術(shù)介紹 路由協(xié)議的介紹 本課題考慮到企業(yè)內(nèi)部的網(wǎng)絡(luò)互連將用到 OSPF， EIGRP,RIP 三個 IGP 協(xié)議，以及外部大個金融企業(yè)和運營商之間的鏈接還要用到 BGP 協(xié)議。 OSPF 協(xié)議 OSPF(Open Shortest Path First)開放式最短路徑優(yōu)先協(xié)議， 是 IGP(Interior Gateway Protocol)內(nèi)部網(wǎng)關(guān)協(xié)議，用在單一的自制系統(tǒng)內(nèi)決策路由，它是一個基于鏈路狀態(tài)的路由協(xié)議，通過路由器之間相互通告網(wǎng)絡(luò)接口狀態(tài)簡歷鏈路狀態(tài)數(shù)據(jù)庫，生成最短路徑樹，從而構(gòu)造出最有效率的路由。 EIGRP 協(xié)議 EIGRP(Enhanced Interior Gateway Routing Protocol) 增強內(nèi)部網(wǎng)關(guān)路由線路協(xié)議 ，是內(nèi)部 網(wǎng)關(guān) 路由 協(xié)議。 是 Cisco 公司私有的協(xié)議 EIGRP 結(jié)合了鏈路狀態(tài)和 距離矢量 型 路由選擇協(xié)議 ，采用彌散修正算法（ DUAL）來實現(xiàn) 快速收斂 ，可以不發(fā)送定期的路由更新信息以減少 其對帶寬的過多占用 ，他的優(yōu)點包括快速收斂和減少帶寬占用，支持多種網(wǎng)絡(luò)層協(xié)議，無縫的鏈接數(shù)據(jù)鏈路層協(xié)議和拓撲結(jié)構(gòu)。 RIP 協(xié)議 RIP(Routing Information Protocol)路由信息協(xié)議，是 內(nèi)部網(wǎng)關(guān)協(xié)議。它可以通過不斷的交換信息讓路由器動態(tài)的適應(yīng)網(wǎng) 絡(luò)鏈接的變化，這些信息包括每個路由器可以到達哪些網(wǎng)絡(luò)，這些網(wǎng)絡(luò)有多遠 等，從而挑選出最佳路由 BGP 協(xié)議 BGP(border gateway protocol)邊界網(wǎng)關(guān)協(xié)議，是基于 TCP 之上 的一種自制系統(tǒng)和路由協(xié)議， BGP 是唯一一 種 用來處理 Inter 這樣的大 規(guī)模 網(wǎng)絡(luò)的 網(wǎng)絡(luò) 協(xié)議，也是唯一能將 不相關(guān) 路由域 間的多路連接 夠妥善處理好 的協(xié)議。 BGP 的 構(gòu)建 ，可以說是在 EGP 的經(jīng)驗之上。 BGP 系統(tǒng)的主要功能是和其他的 BGP 系統(tǒng)交換網(wǎng)絡(luò)可達信息。網(wǎng)絡(luò)可達信息包括列出的 自治系統(tǒng) (AS)的信息。這些信息有效地構(gòu)造了 AS 互聯(lián)的 拓撲 圖并 最大程度的清楚了路由環(huán)路 。 NAT與 DHCP 隨著接入 Inter 的計算機數(shù)量的不斷猛增， IP 地址資源 的需求量已然出現(xiàn)了前所未有的危機 。事實上，除了中國教育和科研計算機網(wǎng)（ CERNET）外，一般用戶幾乎申請 不到整段的 C 類 IP 地址。在 ISP 運營商 那 邊 ，即使 一個用戶擁有成百上千個節(jié)點的大連 東軟信息學(xué)院畢業(yè)設(shè)計（論文） 4 局域網(wǎng) ， 在 申請 IP 地址時，所分配的地址也不過只有幾個或十幾個 IP 地址。顯然， 現(xiàn)有的這種情況使 IP 地址根本無法滿足網(wǎng)絡(luò)用戶的需求， 在這種形勢的影響下， NAT 技術(shù)油然而生。 IP 地址必須遵循地址規(guī)劃和分配的原則，一個 IP 地址要只對應(yīng)一臺數(shù)據(jù)通訊設(shè)備同一個網(wǎng)絡(luò)區(qū)域分配連續(xù)的網(wǎng)絡(luò)地址等，為了方便分配與管理， DHCP 將會發(fā)揮它的巨大作用。 NAT 介紹 NAT( Network Address Translation )有三種實現(xiàn)方式 ，即 端口多路復(fù)用 、動態(tài)轉(zhuǎn)換Dynamic Nat 和 靜態(tài)轉(zhuǎn)換 Static Nat，如表 所示。 表 NAT 三種實現(xiàn)方式 靜態(tài) 轉(zhuǎn)換 是指將內(nèi)部網(wǎng)絡(luò)的私有 IP地址 和 為公有 IP地址 的一個轉(zhuǎn)化的過程 ，IP 地址對是 不可改變的，一個外網(wǎng)地址只能針對一個內(nèi)網(wǎng)地址 。借助于靜態(tài) 轉(zhuǎn)換，可以實現(xiàn)外部網(wǎng)絡(luò)對內(nèi)部網(wǎng)絡(luò)中某些特定設(shè)備（如服務(wù)器）的訪問。 動態(tài)轉(zhuǎn)換 是指 在做網(wǎng)址的公有和私有地址轉(zhuǎn)化的時候 ， 公有的 IP 將從設(shè)定的范圍內(nèi)隨機挑選， 所有被授權(quán)訪問上 Inter 的私有 IP 地址可隨機轉(zhuǎn)換為任何指定的合法 IP 地址。也就是說，只要指定哪些內(nèi)部地址可以進行轉(zhuǎn)換，以及用哪些合法地址作為外部地址時，就可以進行動態(tài)轉(zhuǎn)換。動態(tài)轉(zhuǎn)換可以使用多個合法外部地址集。當(dāng) ISP 提供的合法 IP 地址略少于網(wǎng)絡(luò)內(nèi)部的計算機數(shù)量時?？梢圆捎脛討B(tài)轉(zhuǎn)換的方式。 端口多路復(fù)用 指改變外出數(shù)據(jù)包的 源端口 并進行端口轉(zhuǎn)換，即端口 地址轉(zhuǎn)換 （ PAT，Port Address Translation).采用端口多路復(fù)用方式。內(nèi)部網(wǎng)絡(luò)的所有 主機均可共享一個合法外部 IP 地址實現(xiàn)對 Inter 的訪問，從而可以最大限度地節(jié)約 IP 地址資源。同時，又可隱藏網(wǎng)絡(luò)內(nèi)部的所有 主機 ，有效避免來自 inter 的攻擊。因此，目前網(wǎng)絡(luò)中應(yīng)用最多的就是端口多路復(fù)用方式。 DHCP 介紹 動態(tài) 主機 設(shè)置協(xié)議（ Dynamic Host Configuration Protocol）是一個 局域網(wǎng) 的 網(wǎng)絡(luò)協(xié)議 ， 以 UDP 協(xié)議 作為基礎(chǔ)進行工作 ，主要 的 用途 有兩個 ： 第一， 給內(nèi)部網(wǎng)絡(luò)或 網(wǎng)絡(luò)服務(wù) 供應(yīng)商自動分配 IP 地址 ；第二， 給用戶或者內(nèi)部 網(wǎng)絡(luò)管理員 作為對所有 計算機 作中央管理的手段。 大連 東軟信息學(xué)院畢業(yè)設(shè)計（論文） 5 VLAN 和 VTP 交換技術(shù) 的發(fā)展，也加快了新的交換技術(shù)（ VLAN）的應(yīng)用速度。 將企業(yè)中的網(wǎng)段劃分為一段或者很多段虛擬的網(wǎng)段 ， 使網(wǎng)絡(luò)的安全和管理都得到了一個質(zhì)的飛躍 ，控制不必要的 數(shù)據(jù)廣播 。在共享 網(wǎng)絡(luò) 中， 每 一個物理的 網(wǎng)段 都是 一個 廣播域 。而在交換 網(wǎng)絡(luò)中， 廣播域 可以是任意選定的 MAC 地址 的 虛擬網(wǎng) 段 組成的 。這樣， 網(wǎng)絡(luò) 中工作組的劃分 將， 完全根據(jù)管理功能來劃分 ， 共享網(wǎng)絡(luò)中的地理位置限制 徹底的突破 。這種基于 工作流 的分組模式，大大提高了 網(wǎng)絡(luò)規(guī)劃 和重組的管理功能。 VLAN 介紹 VLAN（ Virtual Local Area Network）的中文名為 虛擬局域網(wǎng) 。 VLAN 是一種將局域網(wǎng)設(shè)備從邏輯上劃分成一個個 網(wǎng)段 ，從而實現(xiàn)虛擬工作組的新興 數(shù)據(jù)交換技術(shù) 。這一新興技術(shù)主要應(yīng)用于 交換機 和 路由器 中，但主流應(yīng)用還是在交換機之中。 VTP 介紹 VTP（ VLAN Trunking Protocol）：是 VLAN 中繼協(xié)議，也被稱為 虛擬局域網(wǎng) 干道協(xié)議。 這個協(xié)議時 CISCO 私有的 。 有的時候，由于企業(yè)等網(wǎng)絡(luò)的規(guī)模過大， VLAN 的劃分配置的工作量是非常大的 ， 這個時候就 可以使用 VTP 協(xié)議，把一臺交換機配置成 VTP Server端 , 其余交換機配置成 Client端， 這樣他們可以自動學(xué)習(xí)到 server端 上的 VLAN 信息。 冗余熱備份 隨著 Inter 的日益普及，人們對網(wǎng)絡(luò)的依賴性也越來越強。這同時對網(wǎng)絡(luò)的穩(wěn)定性提出了更高的要求，人們自然想到了基 于設(shè)備的備份結(jié)構(gòu)，就像在服務(wù)器中為提高數(shù)據(jù)的安全性而采用 雙硬盤 結(jié)構(gòu)一樣。 路由器 是整個網(wǎng)絡(luò)的核心 ，如果 路由器 發(fā)生 了 的故障， 導(dǎo)致 的將是 本地網(wǎng)絡(luò)的癱瘓，如果是 故障路由器恰好是骨干區(qū)域的路由器 ， 所造成的損失 和影響的范圍 也是難以估計的。因此，對路由器采用 熱備份 是提高網(wǎng)絡(luò)可靠性的必然選擇。在一個 路由器 完全不能工作的情況下，它的全部功能便被系統(tǒng)中的另一個備份路由器完全接管， 直至出現(xiàn)問題的路由器恢復(fù)正常 。 HSRP 介紹 ： 熱備份 路由器 協(xié)議 HSRP（ Hot Standby Router Protocol）的設(shè)計目標是支持特定情況下 IP 流量失敗轉(zhuǎn)移不會引起混亂、并允許 主機 使用單路由器，以及即使在實際第一跳路由器使用失敗的情形下仍能維護路由器間的連通性。換句話說，當(dāng)源主機不能動態(tài)知道第一跳 路由器 的 IP 地址時， HSRP 協(xié)議能夠保護第一跳路由器不出故障。 大連 東軟信息學(xué)院畢業(yè)設(shè)計（論文） 6 MPLS 和 VPN VPN 屬于遠程訪問技術(shù)，簡單地說就是利用公網(wǎng)鏈路架設(shè)私有網(wǎng)絡(luò) ， 外地員工在當(dāng)?shù)剡B上 互聯(lián)網(wǎng) 后，通過互聯(lián)網(wǎng)找到 VPN 服務(wù)器，然后利用 VPN 服務(wù)器作為跳板進入企業(yè)內(nèi)網(wǎng)。為了保證數(shù)據(jù)安全， VPN 服務(wù)器和客戶機之間的通訊數(shù)據(jù)都進行了加密處理。有了數(shù)據(jù)加密，就可以認為數(shù)據(jù)是在一條專用的數(shù) 據(jù)鏈路上進行安全傳輸，就如同專門架設(shè)了一個專用網(wǎng)絡(luò)一樣 。為異地辦公提供了最穩(wěn)定的保證。 MPLS 介紹 多協(xié)議標簽交換（ MPLS）是一種用于快速 數(shù)據(jù)包交換 和 路由 的體系，它為 網(wǎng)絡(luò)數(shù)據(jù) 流量提供了目標、路由、轉(zhuǎn)發(fā)和交換等能力。更特殊的是，它具有管理各種不同形式通信流的機制。 MPLS 獨立于第二和第三層協(xié)議，諸如 ATM 和 IP。它提供了一種方式，將 IP 地址映射 為簡單的具有固定長度的標簽，用于不同的包轉(zhuǎn)發(fā)和 包交換技術(shù) 。 VPN 介紹 虛擬專用網(wǎng)絡(luò)（ Virtual Private Network)指的是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)的技術(shù)。其之所以稱為虛擬網(wǎng)，主要是因為整個 VPN 網(wǎng)絡(luò)的任意兩個節(jié)點之間的連接并沒有傳統(tǒng)專網(wǎng)所需的端到端的物理鏈路，而是架構(gòu)在公用網(wǎng)絡(luò)服務(wù)商所提供的網(wǎng)絡(luò)平臺，如Inter、 ATM(異步傳輸模式 )、 Frame Relay（幀中繼）等之上的邏輯網(wǎng)絡(luò)， 用戶數(shù)據(jù)在邏輯鏈路中傳輸。它涵蓋了跨共享網(wǎng)絡(luò)或公共網(wǎng)絡(luò)的封裝、加密和身份驗證鏈接的專用網(wǎng)絡(luò)的擴展。 ACL 訪問控制列表 （ Access Control List） 是 路由器 和 交換機 接口的指令列表，用來 控制端口 進出的數(shù)據(jù)包。 ACL 適用于所有的 被路由協(xié)議 ，如 IP、 IPX、 AppleTalk 等。這張表中包含了匹配關(guān)系、條件和查詢語句，表只是一個框架結(jié)構(gòu)，其目 的是為了對某種訪問進行控制。