【導(dǎo)讀】出了堅(jiān)實(shí)的第一步。在這段時(shí)間內(nèi)，廣發(fā)證券公司和XX集團(tuán)本著精誠(chéng)合作、共。一步的突出了廣發(fā)證券在廣東省內(nèi)證券公司中領(lǐng)頭羊的地位。這種不斷壯大的趨。晰的綜合業(yè)務(wù)網(wǎng)已經(jīng)迫在眉睫。因此，XX集團(tuán)在雙方良好的合作基礎(chǔ)上將不遺余力的發(fā)揮自身的。特點(diǎn)，與廣發(fā)證券攜手合作，為廣發(fā)證券再創(chuàng)輝煌做出貢獻(xiàn)。根據(jù)廣發(fā)證券公司各營(yíng)業(yè)部和職能機(jī)構(gòu)的分布狀況以及業(yè)務(wù)和管理。高中心的監(jiān)控和管理能力。構(gòu)的規(guī)劃進(jìn)行合理安排。券將形成中央集中控制、大區(qū)分地域管理的模式，從而提高效率，增強(qiáng)競(jìng)爭(zhēng)力。效力，并完美的融合起來(lái)。廣發(fā)證券公司希望通過(guò)網(wǎng)絡(luò)結(jié)構(gòu)的進(jìn)一步調(diào)整，形成

　　

【正文】 o 產(chǎn)品的依據(jù) Cisco 系統(tǒng)公司是世界最大的專業(yè) 網(wǎng)絡(luò)設(shè)備與解決方案提供商，也是中國(guó)市場(chǎng)最大的網(wǎng)絡(luò)廠商。在國(guó)內(nèi)證券行業(yè)的網(wǎng)絡(luò)應(yīng)用上， Cisco 產(chǎn)品同樣遙遙領(lǐng)先。 廣發(fā)網(wǎng)是一個(gè)以廣域網(wǎng)為主的大型網(wǎng)絡(luò)，核心設(shè)備是用于廣域網(wǎng)連接的路由器 /訪問(wèn)服務(wù)器產(chǎn)品，而這一領(lǐng)域正是 Cisco 設(shè)備最為領(lǐng)先之處。世界上第一臺(tái)多協(xié)議專用路由器產(chǎn)品就是 Cisco 在 1986 年生產(chǎn)的。至今 Cisco 已擁有從Inter 核心路由器直到個(gè)人桌面接入設(shè)備共二十余個(gè)系列的路由器產(chǎn)品。 同時(shí)， Cisco 還在建立了“多功能路由器”的概念，在中小型路由器上就可以集成任意的局域網(wǎng)和廣域網(wǎng)類型、 QoS 保障、撥號(hào)訪問(wèn)服務(wù)（內(nèi)置 Modem）、ISDN接入、 VLAN路由、防火墻及加密安全、 IP電話、以及最新的 ADSL、 Cable Modem連接等等，這是其他廠家都無(wú)法做到的。 Cisco 在所有路由器產(chǎn)品上采用統(tǒng)一的 IOS 操作系統(tǒng)，這為用戶的擴(kuò)展和升級(jí)帶來(lái)了極大的方便。例如在廣發(fā)證券中原來(lái)有大量的 Cisco 2500 系列小型路由器，技術(shù)人員只要有這些產(chǎn)品的配置經(jīng)驗(yàn)，就可以很快熟悉配置安裝本方案中的各種路由器產(chǎn)品。 而且， Cisco 的多種不同檔次的路由器產(chǎn)品都可以做到模塊互換，如大型的 7500 系列和 7200 系列之 間，以及中小型的 3600 系列、 2600 系列和 1600 系列之間，這在網(wǎng)絡(luò)安裝和升級(jí)方面有顯著的優(yōu)越性。 除了上述幾點(diǎn)外，在路由器產(chǎn)品領(lǐng)域， Cisco 與其他廠家的產(chǎn)品相比還有著一個(gè)重要的優(yōu)點(diǎn)，就是產(chǎn)品線齊全，這就可以在方案設(shè)計(jì)中選擇最適合的產(chǎn)品。 在局域網(wǎng)交換機(jī)產(chǎn)品上， Cisco 公司同樣占據(jù)最大的網(wǎng)絡(luò)市場(chǎng)。 Cisco 交換機(jī)系列主要的優(yōu)點(diǎn)同樣是產(chǎn)品齊全，設(shè)計(jì)方案時(shí)可以選擇最合適的設(shè)備。 綜上所述，本方案選用 Cisco 產(chǎn)品，既達(dá)到了高性能、高密度、多功能，同時(shí)也具有很好的經(jīng)濟(jì)性。 下面分別介紹二期工程中使用的各 種網(wǎng)絡(luò)設(shè)備及其配置。 網(wǎng)絡(luò)中心局域網(wǎng)交換機(jī)（ Cisco Catalyst 6506） Catalyst6506 具有高達(dá) 256Gbps 的交換帶寬，以及 150Mpps 的第三、四層網(wǎng)絡(luò)交換能力。而且具有極高的可靠性，在作為整個(gè)廣發(fā)網(wǎng)核心的網(wǎng)絡(luò)中心，配置 6506 是合適的。 網(wǎng)絡(luò)中心采用兩臺(tái)高性能的 Catalyst6506 骨干交換機(jī)，之間以兩條千兆以太網(wǎng)高速鏈路互相連接。兩臺(tái)骨干交換機(jī)間可以互為熱備份。 備份中心及大區(qū)中心局域網(wǎng)交換機(jī)（ Cisco Catalyst 4003） Catalyst4000 系列交換機(jī)具有非常高的無(wú)阻交換能力和性能價(jià)格比。 在一個(gè) 3 插槽機(jī)箱中 可 提供 高達(dá) 36 個(gè)千兆以太網(wǎng)接口或 96 個(gè)快速以太網(wǎng)接口 。 提供24Gbps 的交換帶寬以及 18Mpps 的第三層交換能力。 新增大區(qū)中心都各采用兩臺(tái) 4003 交換機(jī)，兩臺(tái)交換機(jī)間可以互為熱備份。 備份中心配置一臺(tái) Catalyst 4003 交換機(jī)。 方案中 4003 的配置如下： WSC4003S1 Cat4000 Chassis(3slot), Supervisor,1 AC PS, Fan Tray 1 WSX4008/2 Catalyst 4000 Dual AC Power Supply Option 1 WSX4232GBRJ Catalyst 4000 E/FE/GE Module,2 GE(GBIC),32 10/100 (RJ45) 1 WSG5484 1000BASESX Short Wavelength GBIC (Multimode only) 2 為機(jī)箱、交換引擎和雙電源。 為 2 個(gè)千兆以太網(wǎng)接口（用于互連）和 32 個(gè) 10/100M 以太網(wǎng)接口。 為千兆以太網(wǎng)光纖端口。 中型路由器 /訪問(wèn)服務(wù)器（ Cisco 3600 系列） CISCO3600 系列多功能訪問(wèn)路由器可分為 3660、 3640 和 3620 三種型號(hào)。 3600 在一臺(tái)路由器上集成了多種局域網(wǎng) /廣域網(wǎng)、內(nèi)置 Modem 的撥號(hào)訪問(wèn)服務(wù)、廣域網(wǎng) QoS 保障、以及 IP 電話功能等。 方案中在網(wǎng)絡(luò)中心和備份中心配置 6 個(gè)插槽、 2 個(gè)快速以太網(wǎng)接口的 Cisco 3662 作為撥號(hào)備份使用。在每個(gè)大區(qū)中心各配置 4 個(gè)插槽的 Cisco 3640。 一期方案中，網(wǎng)絡(luò)中心配置 5 臺(tái) Cisco 3662，其中兩臺(tái)作為主路由器與各二級(jí)和相應(yīng)三級(jí)節(jié)點(diǎn)相連。另外兩臺(tái)作為兩臺(tái)主路由器的熱備份。二期中該配置不變，另外新增一臺(tái) Cisco 3640 和原有的一臺(tái) Cisco 3662 一起用于 Inter接入和撥號(hào)接入。原有備份中心仍保持一期配置的一臺(tái) Cisco 3662。 方案中 3600 系列的配置距離如下： CISCO3662AC Dual 10/100 E Cisco 3660 6slot Modular RouterAC with IP SW 1 NM16AM 16 Port Analog Modem Network Module 2 NM4BU 4Port ISDNBRI with NT1 Network Module 1 NM4A/S 4Port Async/Sync Serial Network Module 1 CABV35MT Cable, DTE, Male, 10 Feet 2 CAB232MT RS232 Cable, DTE, Male, 10 Feet 2 MEM360016FC 16Mb Flash card for the Cisco 3600 1 MEM366032U64D 32to64MB DRAM Factory Upgrade for the Cisco 3660 1 為機(jī)箱。 為 16 口內(nèi)置 Modem 的撥號(hào)訪問(wèn)服務(wù)模塊，支持用戶撥入和撥號(hào)異步路由功能。 為 4 口同 /異步廣域網(wǎng)模塊，可連接幀中繼，也可連接異步線路。 為接口電纜和內(nèi)存擴(kuò)展。 營(yíng)業(yè)部交換機(jī)（ Cisco Catalyst 2924） Catalyst 2924 提供 24 個(gè) 10/100 兆自適應(yīng)端口，能達(dá)到無(wú)阻交換能力，具有 VLAN 功能，有很好的性能價(jià)格比。 方案中在新增營(yíng)業(yè)部各配置 2 臺(tái) Catalyst 2924，互為備份。 營(yíng)業(yè)部路由器（ Cisco 2611） Cisco 2600 系列和 3600 系列模塊兼容，同樣在一臺(tái)路由器上集成了多種局域網(wǎng) /廣域網(wǎng)、內(nèi)置 Modem 的撥號(hào)訪問(wèn)服務(wù)、廣域網(wǎng) QoS 保障、以及 IP 電話功能等。 方案中在新增營(yíng)業(yè)部各配置 Cisco 2611， 2611 具有 2 個(gè)以太網(wǎng)接口和 2 個(gè)廣域網(wǎng)接口卡插槽（配置接口卡連接 DDN 線路），以及一個(gè)廣域網(wǎng)模塊插槽（日后可用于 IP 電話、撥號(hào)訪問(wèn)等擴(kuò)充功能）。 出于安全性的考慮，每個(gè)營(yíng)業(yè)廳應(yīng)各配置 2 臺(tái)路由器，由于廣發(fā)目前存有部分 Cisco 2500 系列路由器，為了充分保護(hù)用戶的原有投資在二期工程中將把這部分路由器配置到 新增三級(jí)節(jié)點(diǎn)作為 2611 的備份。對(duì)于剩余三級(jí)節(jié)點(diǎn)，則配置二臺(tái) Cisco 2611 互為熱備份。（具體說(shuō)明見(jiàn) 投資保護(hù)） 防火墻產(chǎn)品概述 IBM公司作為 Inter的發(fā)起人和積極參與者，在 Inter上進(jìn)行了深入的研究，開(kāi)發(fā)了一系列的 Inter產(chǎn)品，運(yùn)行在 IBM RS/6000上的防火墻軟件 Inter Connection Secured Network Gateway（ SNG）就是 IBM防火墻產(chǎn)品。全世界最大的企業(yè)網(wǎng) IBM Global Network（ IGN）使用SNG巳有 10年歷史，到目前尚未被侵入，可見(jiàn)其具有極高的安全性和可靠性。 在 1995年， IBM公司的防火墻產(chǎn)品更擊敗 100多家競(jìng)爭(zhēng)對(duì)手，榮膺COMNET在防火墻產(chǎn)品評(píng)測(cè)中的最高獎(jiǎng)：產(chǎn)品技術(shù)先進(jìn)獎(jiǎng)。 1997年， IBM將 SNG進(jìn)一步升級(jí)，并改名為 。 新版本的防火墻產(chǎn)品除繼續(xù)擁有 SNG原有的特點(diǎn)外，還具有以下三大特點(diǎn)： （一）極易使用 基于 Java的圖形用戶界面（ GUI）為管理員提供了易用的、安全的管理工具。因?yàn)?Java的應(yīng)用程序是安裝在管理員的工作站上，而不是安裝在網(wǎng)絡(luò)上 ，這對(duì)于安全性提供了非?？煽康谋Ｕ?。 在 。通過(guò)這個(gè)導(dǎo)航樹(shù)，管理員可以非常方便進(jìn)行所需的各種操作。而且 下文敏感的幫助功能，使管理員可以快速準(zhǔn)確地得到其所需的幫助。 （二）更強(qiáng)大的安全保障 56位數(shù)據(jù)加密標(biāo)準(zhǔn)（ DES, Data Encryption Standard）是目前業(yè)界最強(qiáng)壯的加密技術(shù)之一。由美國(guó)聯(lián)邦政府認(rèn)可， IBM Firewall已成為提 供這種 56位加密技術(shù)，增強(qiáng)網(wǎng)絡(luò)及數(shù)據(jù)安全性方面的領(lǐng)導(dǎo)者。 另外， IBM Firewall還提供了一個(gè)功能強(qiáng)大的工具， Network Security Auditor（網(wǎng)絡(luò)安全監(jiān)視器），它可以掃描您的網(wǎng)絡(luò)、服務(wù)器以及防火墻，探察潛在的安全隱患。 （三）更強(qiáng)大的互聯(lián)性 Virtual private works（ VPNs，虛擬私有網(wǎng)絡(luò)）為您提供了一條跨越 Inter進(jìn)行通訊的安全通道。通過(guò)這一通道，管理員也可以賦予遠(yuǎn)程用戶同樣的訪問(wèn)內(nèi)部網(wǎng)絡(luò)的能力。 Clienttofirewall（客戶至防火墻）技術(shù)使遠(yuǎn)程用戶獲得了與內(nèi)部網(wǎng)之間私有的、安全的通訊鏈路，甚至當(dāng)該鏈路是跨越 Inter連接的。這樣，某個(gè)遠(yuǎn)程用戶，例如公司經(jīng)理出差到外地，他只需修改當(dāng)?shù)?ISP提供的 IP地址，即可借助 Inter繼續(xù)訪問(wèn)遠(yuǎn)程的公司內(nèi)部網(wǎng)，而無(wú)需為安全性擔(dān)心。 IBM Firewall技術(shù)特性 IBM Firewall的關(guān)鍵技術(shù)包括： ?Filters ?Proxy Server ?Socks Server ?Domain Name System ?Network Address Translation（ NAT） ?Safe Mail ?Strong Authentication ?Hardening ?Log ?High Availability Support 以下我們對(duì) IBM Firewall的技術(shù)逐一進(jìn)行介紹 ?Filters（過(guò)濾器） 對(duì)通過(guò) Firewall（防火墻）的 IP Packet的地址、 TCP/UDP的 Port ID（端口標(biāo)識(shí)符）及 ICMP（ Inter Control Message Protocol）進(jìn)行檢查，即規(guī)定哪些網(wǎng)絡(luò)節(jié)點(diǎn)何時(shí)可通過(guò) Firewall訪問(wèn)外部網(wǎng)絡(luò)，哪些網(wǎng)絡(luò)節(jié)點(diǎn)可訪問(wèn)內(nèi)部網(wǎng)絡(luò)；或者是哪些用戶只能使用 ，而不能使用 Tel和 FTP；或者哪些用戶只能使用 Tel，而不能使用 FTP等等。 ?Proxy Server（代理服務(wù)器） 在網(wǎng)絡(luò)應(yīng)用層提供授權(quán)檢查及代理服務(wù)，內(nèi)部（或外部）網(wǎng)絡(luò)用戶需首先登錄到防火 墻上，通過(guò)驗(yàn)證后，才可使用 Network Browser、 Tel或 FTP等有效命令訪問(wèn)外部（或內(nèi)部）網(wǎng)絡(luò)，例如，內(nèi)部網(wǎng)的用戶使用 Tel訪問(wèn)外部網(wǎng)絡(luò)時(shí)，首先登錄到作為防火墻的 RS/6000上， Firewall檢查其是否被授權(quán)訪問(wèn)外部網(wǎng)，在通過(guò)檢查后，即可再使用 Tel訪問(wèn)外部網(wǎng)絡(luò)的主機(jī)，內(nèi)部網(wǎng)絡(luò)用戶訪問(wèn)公共網(wǎng)所使用的 IP地址都是 Firewall的 IP地址。 以 Tel服務(wù)為例，如下圖所示： ?Socks Server Socks是一個(gè)網(wǎng)絡(luò)應(yīng)用層的國(guó)際標(biāo)準(zhǔn)，當(dāng)內(nèi)部網(wǎng)絡(luò) Client需要與外部網(wǎng)交換信息時(shí)，在 Firewall上的 Socks Server檢查 Client有 User ID、 IP源地址和 IP目標(biāo)與地址經(jīng)過(guò)確認(rèn)后，才建立連接，對(duì)用戶來(lái)說(shuō)內(nèi)部網(wǎng)外部網(wǎng)的信息交換都是透明的，感覺(jué)不到 Firewall的存在，那是因?yàn)榫W(wǎng)絡(luò)用戶不需要登錄到 Firewall，但是 Client端的應(yīng)用軟件必須支持“ Socks ified API”，內(nèi)部網(wǎng)絡(luò)用戶訪問(wèn)使用的 IP地址也都是 Firewall的 IP地址。 ?Domain Name System（域名系統(tǒng) DNS） 在防火墻上提供域名系統(tǒng)，對(duì)于保護(hù)安全網(wǎng)絡(luò)上原有的域名服務(wù)器免受外部非安全網(wǎng)絡(luò)的非法入侵具有很大幫助。從外部網(wǎng)絡(luò)看防火墻，防火墻上的域名系統(tǒng)只知道其自身、外部、公開(kāi)的主機(jī)地址信息，而不會(huì)將任何內(nèi)部網(wǎng)絡(luò)的 IP信息發(fā)布到外部網(wǎng)絡(luò)；而從內(nèi)部網(wǎng)絡(luò)看，則可依照防火墻上的授權(quán)定義訪問(wèn) Inter。 ?NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換 ,Network Address Translate) 眾所周知，當(dāng)一個(gè)內(nèi)部網(wǎng)連接到 Inter上，內(nèi)部網(wǎng)的用戶若需要訪問(wèn) Inter，則其必須使用一個(gè)合法的 Inter IP地址，但由于合法的Inter IP地址有限，而且內(nèi)部網(wǎng)絡(luò)往往有自己的一套 IP地址規(guī)劃（非正式的 Inter地址），為此 FireWall提供了一個(gè) NAT的功能，在 Firewall上有一個(gè) IP Address Pool（正式的 Inter地址）。當(dāng)內(nèi)部網(wǎng)的某一個(gè)