【正文】 交換機上可按照應用系統(tǒng)種類進行 VLAN 劃分，通過 VLAN 劃分，各個系統(tǒng)之間彼此在數(shù)據(jù)鏈路層上隔絕，互相訪問只能通過第三層的路由交換模塊來實現(xiàn)，稱為第三層交換。 中心交換機支持第三層交換，不同 VLAN 可通過第三層交換實現(xiàn)互相訪問。 ? 用 Access List 分隔局域網(wǎng) 在網(wǎng)絡層，通過在路由器和匯聚層交換機上設置地址過濾表 AccessList，可限定 允許訪問主機的 TCP/IP 地址和應用端口號（ TCP PORT），從而實現(xiàn)只有指定地址的指定應用才能與業(yè)務主機連接。 一般來說，針對主機只能開放業(yè)務應用系統(tǒng)的 PORT，而 Tel、 ftp、 rcp 這些應用 PORT 是被嚴格禁止的。 ? MAC 地址過濾消除 IP 浮動性 Cisco、 Exrrame 等主流廠家 的以太網(wǎng)交換機具有 MAC 地址過濾功能，通過在交換機上對每個端口進行設置，可以禁止或允許特定 MAC 地址的源站點或目的站點，從而實現(xiàn)各工作站之間的訪問控制。由于每個工作站的網(wǎng)卡有唯一的、固定不變的 MAC 地址，所以對 MAC 地址的訪問控制實際上就是對指定工作站的訪問控制，與對 IP 地址的過濾相比，具有更高的安全性。 ? 采用網(wǎng)絡防火墻 網(wǎng)絡防火墻是現(xiàn)在通用的網(wǎng)絡安全設備，使用防火墻可以根據(jù)需要建立各種網(wǎng)絡訪問策略來滿足網(wǎng)絡安全的需求。 ? 使用入侵檢測工具 使用入侵檢測工具，在網(wǎng)絡上實時檢測網(wǎng)絡入侵狀況。 網(wǎng)絡設備 目前網(wǎng)絡設備都是標準化的產(chǎn)品，可選擇范圍較大，包括 CISCO、華為、ALCATEL、 Exrrame 等，基本上都滿足學校要求， 本方案 考慮到與 我院 校園網(wǎng)交換設備兼容，建議 選擇性價比很高的 Exrrame 系列產(chǎn)品 。 通訊平臺方案 考慮到 我院 有 兩 校區(qū)的現(xiàn)實，本方案 要求廠商利用 通訊平臺 ， 實現(xiàn) 學?？缧^(qū) 多網(wǎng) 互連、集中數(shù)據(jù)管理、軟硬分離等特殊需求 。 信息總線模型 本解決方案中，各部分的連接均借助 一卡通 通信平臺產(chǎn)品實現(xiàn)有機地集成，整個系統(tǒng)以業(yè)務通訊平臺為總線，以核心數(shù)據(jù)庫為中心，每個具體應用只要按照通訊平臺標準接口，編制自己的業(yè)務規(guī)則、定制自己的報表，插入通訊平臺即可，不必關系后臺數(shù)據(jù)、處理過程，其模型如下圖所示： 復雜網(wǎng)絡互連模型 通訊平臺通過一個個同構的節(jié)點的擴展，為 C/S 結構的系統(tǒng)提供了一個透明的應用數(shù)據(jù)總線，通訊平臺通過數(shù)據(jù)總 線的概念，屏蔽了 C/S 系統(tǒng)在構架時所面臨的網(wǎng)絡的復雜性。下圖是一個典型的企業(yè)級的網(wǎng)絡系統(tǒng)： AB CDGF 在上圖中，叁個獨立的子網(wǎng)中，除了節(jié)點 A,B 和節(jié)點 A,C 可以互相訪問，網(wǎng)絡中的每個子網(wǎng)的節(jié)點，是不能訪問其他子網(wǎng)的節(jié)點的。在這樣一個網(wǎng)絡中，要部署一個分布的 C/S 結構的系統(tǒng)，會是很困難的?，F(xiàn)在，通過在節(jié)點 A,B,C 上部署通訊平臺的節(jié)點，這樣，在這三個獨立的子網(wǎng)上，通訊平臺就提供了一個透明的應用數(shù)據(jù)總線，通過這一數(shù)據(jù)總線，節(jié)點 D,F,G 就成為可以透明的進行數(shù)據(jù)的 交換了。 通訊平臺是通過一些同構的節(jié)點來延伸其應用數(shù)據(jù)總線的，在這樣一個結構中，通訊平臺使用一些策略來保證這個數(shù)據(jù)總線的高效率，安全和可靠。這些測率包括復用的連接，節(jié)點間的數(shù)據(jù)加密，節(jié)點成組，動態(tài)的鏈路選擇等。下面我們一個的來看這些策略。 復用連接 在 C/S 結構的系統(tǒng)中，是有限的，少量的 SERVER 為大量的 CLIENT 提供服務，這樣讓 SERVER 管理大量的與 CLIENT 的會話連接是低效，代價昂貴和困難的，通訊平臺通過提供連接復用的策略，來簡化 SERVER 的會話管理的復雜性。下圖是通訊平臺提供的復用連接的示意 圖： 在上圖中， SERVER 通過和通訊平臺建立一個連接，就可以維持和三個CLIENT 的各自的獨立的會話。在通訊平臺的構造過程中，通訊平臺的各個同構節(jié)點間的數(shù)據(jù)交換，也遵循著復用連接的策略。 Server Client1 Client2 Client3 數(shù)據(jù)加密 通訊平臺通過可選擇的方式，來為 C/S 結構的系統(tǒng)間的數(shù)據(jù)交換，提供加密方法，這些加密方法包括 BLOWFISH,RC4,DES3,RC2,IDEA,RC5,CAST,DES 等。而加密過程的建立，采用公鑰，私鑰密碼對的方式完成密碼交換的過程，在一定程度上，保證了數(shù)據(jù)傳輸?shù)陌踩? 節(jié)點 成組 通訊平臺通過節(jié)點成組和動態(tài)的路徑選擇來保證數(shù)據(jù)總線的無故障。節(jié)點成組在邏輯上，將壹組節(jié)點等同為一個獨立的對外節(jié)點，當節(jié)點組中的不分節(jié)點發(fā)生故障時，保證了做為數(shù)據(jù)總線的完整性。下圖時節(jié)點組的示意圖： 在上圖中，當上面的節(jié)點組中的紅色節(jié)點發(fā)生故障時，叁個節(jié)點組在數(shù)據(jù)總線中，依然時完整的。 通訊平臺集群 通訊平臺對每一個數(shù)據(jù)交換，都采用動態(tài)的路徑選擇策略，形成通訊平臺集群。這樣，當部分路徑發(fā)生故障的時候，保證數(shù)據(jù)交換的有效。下圖是一個路徑選擇的示意圖 ： BA D1 23 C 456 在上圖中，當所有鏈路都是完好的時候， A， D 節(jié)點間的數(shù)據(jù)交換會使用鏈路 6 來進行。當鏈路 6 發(fā)生故障時， A,D 節(jié)點間的數(shù)據(jù)交換會使用鏈路 1， 2 和鏈路 3， 4 來進行等。 通訊平臺通過上面說說的節(jié)點的冗余和鏈路的冗余來保證作為數(shù)據(jù)總線的可靠。 當然，通訊平臺作為一個標準的交易中間件、成熟的產(chǎn)品，還有很多強大的功能―――包括負載均衡等，并且在金融領域獲得了廣泛的使用，這里不一一介紹。 通訊服務器 由于 通訊平臺 的精內(nèi)核、占用資源很小，所以一般選擇中檔 PC 服務器標 配即可滿足需要，具體部署可按區(qū)域、數(shù)據(jù)并發(fā)程度進行劃分。比如 我院 選擇中檔的 IBM PC SERVER、安裝 LINUX 作為標準的通訊服務器， 如有必要， 在 海珠校區(qū)各部署 1 臺、在 番禺主 校區(qū) 部署 2 臺，即完成了校區(qū)的互連。 應用服務器方案 應用服務器集群架構 架構在通訊平臺集群上的應用服務器， 本身就 具備了應用服務器集群特點，配合定制開發(fā)的應用級熱備方案 ，可確保整個系統(tǒng)獲得足夠高的性能和可靠性。 應用服務器開發(fā)工具 針對通訊平臺定制的應用服務器，我們提供了功能豐富的組件，包括： ? 用戶管理組件 ? 權限控制組件 ? 余額查詢組件 ? 明細查詢組件 ? 人員基本信息查詢組建 圖形化的功能模塊生成工具，包括： ? 單表查詢組件 ? 多表查詢組件 ? 單表更新組件 通過本開發(fā)工具，大多數(shù)功能都不必編寫代碼即可完成。 應用服務器設備 考慮到系統(tǒng)可擴展性、高可靠性和高性能需要，應用服務器一般選擇中高檔PC SERVER 加 LINUX 或者中低檔 UNIX 小型機作為服務器，且集中部署在數(shù)據(jù)中心。本方案中， 我院 選擇 1 臺 中高檔 PC SERVER 作為應用服務器，部署 在數(shù)據(jù)中心，同時該服務器和數(shù)據(jù)庫服務器互為熱備份 。 數(shù)據(jù)庫服務器方案 數(shù)據(jù)庫服務器空間規(guī) 劃 數(shù)據(jù)的存儲容量將對 數(shù)據(jù)庫物理設計有很大影響，故有必要對目前系統(tǒng)的數(shù)據(jù)存儲容量進行分析。 如下 以 我院 為例分析： 6000 用戶 （未來估計人數(shù)） ， 每用戶 日用卡數(shù)量平均應該在 20 次左右（一日 3 餐 加上 1 次其它金融服務 、 16 次使用 各種身份認證服務 等） ， 一卡通系統(tǒng) 數(shù)據(jù) 的平均生命周期 為 5 年 ： 人數(shù) 日交易數(shù)(天） 保存天數(shù) 每筆流水字節(jié)數(shù) 流水空間（ M） 流水總空間(G) 6000 20 1800 200 432021 43． 2 人數(shù) 人均信息空間（ K） 每張照片占用空間（ K） 基 本 信息 空間 (M) 基本信息總空間（ G） 6000 1 280 16860 1． 6 系統(tǒng)空間（ G） 日志空間（ G） 索引空間（ G） 臨時空間（ G） 系統(tǒng)總空間（ G） 10 10 10 120 流水總空間 基本信息總空間 系統(tǒng)總空間 備份總空間 總空間（ G） 43． 2 1． 6 120 568 732． 8 注 1：流水字節(jié)＝ 3 個時間的（ 8＋ 6） 3＋ 3 個金額的 8 3＋終端 ID 的 16＋流水號的 4＋卡 ID 的 16＋交易卡號 4＋交易碼、狀態(tài)、摘要等＝ 155 字節(jié) 注 2：基本信息＝ 100 個字段平均 11 字節(jié)＝ 1K 字節(jié) 即本系統(tǒng)對于一個 6000 人規(guī)模的大學，需要有效空間 。 數(shù)據(jù)庫集群高可用性設計 由于一卡通系統(tǒng)屬于 OLTP 類型的關鍵應用系統(tǒng)，需要 選擇 大型數(shù)據(jù)庫（ ORACLE、 DB2）的企業(yè)版。這些數(shù)據(jù)庫都有 數(shù)據(jù)聯(lián)邦 等 強大功能，為此 方案除了通常采用的熱備軟件（ ROSE HA 等），還從應用層進行了專門設計的 備份模塊， 進一步增強了數(shù)據(jù)庫安全，在中小規(guī)模學校完全取代熱備份軟件， 可以 節(jié)余了巨額投資 ，其基本原理如下 ： 磁 盤 陣 列共 享 實 例 y k t i n s t 1y k t b l o b y k t h i sy k t b a s e備 服 務 器y k t h i sy k t b l o by k t b a s e備 用 小 數(shù) 據(jù) 庫 系 統(tǒng)實 例 y k t i n s t 2主 服 務 器y k t h i sy k t b l o b y k t b a s e備 用 小 數(shù) 據(jù) 庫 系 統(tǒng)實 例 y k t i n s t 2 說明： 1. 系統(tǒng)正常運行時，磁盤陣列 mount 在主服務器上，主服務器控制共享實例yktinst1（備服務器不能操作 yktinst1 實例）；此時主服務器 yktinst2 實例不可用，備服務器 yktinst2 實例中 yktbase 數(shù)據(jù)庫處于前滾暫掛狀態(tài)，每 30 分鐘前滾一次，保持與 數(shù)據(jù)同步。 2. 當主服務器損壞時，可以直接將磁盤整理 mount 到備服務器上，由備服務器控制 yktinst1 實例，處理業(yè)務邏輯。 3. 當磁盤陣列損壞時，可 以將備服務器上 數(shù)據(jù)庫前滾至日志末尾并結束前滾暫掛狀態(tài)。此時備服務器 數(shù)據(jù)庫接管業(yè)務。主服務器 開始處于前滾暫掛狀態(tài)，每 30 分鐘前滾一次，保持與備服務器 的數(shù)據(jù)同步。 4. 當磁盤陣列損壞時，備服務器 運行一段時間損壞時，可以將主服務器上 數(shù)據(jù)庫前滾至日志末尾并結束前滾暫掛狀態(tài)。此時主服務器 數(shù)據(jù)庫接管業(yè)務 。 數(shù)據(jù)庫服務器 數(shù)據(jù)安全可靠是系統(tǒng)的核心，因此數(shù)據(jù)庫服務器一般選擇中高檔 PC SERVER 加 LINUX 或者中檔 UNIX 小型機作為數(shù)據(jù)庫服務器，且集中部署在數(shù)據(jù)中心。本方案的案例中， 我院 可 選擇 1 臺 中高檔 PC SERVER 作為數(shù)據(jù)庫服務器，部署在數(shù)據(jù)中心，同時該服務器和應用服務器互為熱備份。 5 實施 方案 我們要求廠家應具備 通過 CMM3 資質(zhì)認證、國家集成資質(zhì)二級、 ISO9001等認證 條件 ， 并具有在一所萬人以上公立本科院校實施經(jīng)驗，已經(jīng)形成了以整套相對完備的實施方案。這樣 可有效的降低項目實施風險，因此這里重點針對 校園一卡通的特點， 擬按以下的建設思路實施 。 實施 方法 前述系統(tǒng)整體架構圖 、網(wǎng)絡結構圖 清洗 地 劃分出了組成系統(tǒng)的各部分之間的邊界， 以次為據(jù)進行項目實施：根據(jù)技術方案中的設備選型要求采購設備、系統(tǒng)集成，根據(jù)功能方案中的業(yè)務功能部署應用軟件、應用系統(tǒng)初始化 和數(shù)據(jù)準備等應用集成工作，其中應用集成是項目實施的關鍵。 為此方案把整個項目實施分解為 包括 運營準備、 卡片實施、終端實施、網(wǎng)絡實施 、通訊平臺和工作站實施、應用服務器實施、數(shù)據(jù)庫服務器實施 、運營準備等 8 大類、 約 60 個具體實施問題，具體實施時只要按照要求完成這 些 問題，即可完成項目上線。 ? 卡片實施。 卡結構規(guī)劃、卡面設計、卡片印刷、卡格式化、卡片發(fā)行、卡片發(fā)放 。 ? 終端實施。 終端 設備部署、 終端軟件和參數(shù)下載、終端調(diào)試， 終端實施范圍 包括各種消費終端、充值終端（現(xiàn)金充值終端和圈存機）、多媒體查詢終端、各種身份認證終端、移動終端、對接終端 等。 ? 網(wǎng)絡 實施 。 網(wǎng)絡規(guī)劃、網(wǎng)絡工程設計、網(wǎng)絡工程部署、網(wǎng)絡工程調(diào)試 ，實施范圍包括網(wǎng)絡地址規(guī)劃、網(wǎng)絡備份規(guī)劃、網(wǎng)絡交換機參數(shù)設置、網(wǎng)絡信息點設計、網(wǎng)絡線路實施、網(wǎng)絡工程測試等。 ? 工作站 實施。 工作站 規(guī)劃和 部署、客戶端軟件安裝 和 參數(shù)設置 、工作站調(diào)試 ，電話服 務設備部署、 電話服務錄音剪輯、 電話 服務軟件安裝 、 電話服務參數(shù)設置、電話服務調(diào)試。 ? 通 訊平臺 。 通訊平臺規(guī)劃和部署、通訊平臺軟件安裝和參數(shù)設置、通訊平臺調(diào)試 。 ? 應用服務器 實施。應 用服務器部署、應用軟件安裝部署和參數(shù)設置、應用軟件調(diào)試。 ? 數(shù)據(jù)庫服務器 實施。 數(shù)據(jù)庫服務器部署、數(shù)據(jù)庫規(guī)劃、數(shù)據(jù)庫創(chuàng)建、數(shù)據(jù)庫參數(shù)設置和初始化、數(shù)據(jù)導入。 ? 運營準備。 組織結構設計、配套制度制定和發(fā)布、結算中心場