【正文】 如果一個網絡的數據流遇到未經授權的活動，例如SATAN 攻擊、PING 攻擊或秘密的研究項目代碼字，RealScure ageng 會給RealSecure console 管理控制臺轉發(fā)告警，并從網絡刪除入侵者。連接外部網時，在三峽建行內部網與路由器之間安裝 PIX 防火墻，利用防火墻的數據包過濾、地址隱藏以及 VPN 功能保證外部的非法訪問無法進入建行內部網。一方面，實現(xiàn)對撥號用戶帳號的統(tǒng)一管理；另一方面，在身份驗證過程中采用加密的手段，避免用戶口令泄露的可能性。內部廣域網安全設計在應用程序普遍采用 IC 卡的基礎上，在廣域網連接設備之間的網絡通信對數據包進行加密。 廣域網安全設計由于廣域網采用公網傳輸資料，因而在廣域網上進行傳輸時信息也可能會被不法分子截取。安全漏洞掃描在三峽建行整個網絡系統(tǒng)中（包括三峽分行、各支行、局域網、廣域網）配置 ISS Inter Scanner（網絡安全掃描器） 、在分行中心企業(yè)網和營業(yè)網中重要的主機中安裝 ISS SYSTEM scanner、在分行中心企業(yè)網和營業(yè)網中的數據庫服務器中安裝 ISS DATABASE scanner，可在通訊和服務層、系統(tǒng)層、應用37 / 58數據層掃描出網絡/系統(tǒng)/數據應用存在的安全漏洞，并提交漏洞報告和修補漏洞的建議，使網絡安全風險降到最小。VLAN 的劃分方式的目的是保證系統(tǒng)的安全性?；诰W絡廣播原理的入 MAC 的 VLAN 不能防止 MAC 欺騙攻擊。由以上運行機制帶來的網絡安全的好處是顯而易見的：信息只到達應該到達的地點。劃分 VLAN虛擬網（VLAN）技術主要基于近年發(fā)展的局域網交換技術（ATM 和以太網交換） 。最后，對安全威脅的網絡自動更正包括主動中斷連接和網絡設備的重新配置。 三峽建行網絡級安全設計可適應性網絡安全由四個集成的方案組成。 具體安全策略 三峽建行安全策略應該包括：用戶管理、職責劃分、安全管理、安全評估、安全監(jiān)控、緊急響應、異常處理、授權操作、恢復策略以及跟蹤審計等 總體安全體系的規(guī)定網絡系統(tǒng)的安全從體系結構上來看應該是一個多層次、多方面的結構。從某種意義上講，安全問題就是要解決緊急響應和異常處理問題。Detection（檢測） 在 P2DR 模型，檢測是非常重要的一個環(huán)節(jié)，檢測是動態(tài)響應的依據，它也是強制落實安全策略的有力工具，通過不斷地檢測和監(jiān)控網絡和系統(tǒng)，來發(fā)現(xiàn)新的威脅和弱點，通過循環(huán)反饋來及時作出有效的響應。P2DR 安全模型的特點就是動態(tài)性和基于時間的特性，可以說對信息安全的“相對性”給予了更好地描述：雖然沒有 100%的安全，但是模型為進一步解決信息安全技術問題提供了有益的方法和方向。針對傳統(tǒng)安全模型的缺陷和不足，有關公司提出了一個極具創(chuàng)意的，能夠自我不斷完善、不斷發(fā)展、自我適應能力極強的嶄新的網絡安全模型P2DR 安全模型，我行這次網絡系統(tǒng)安全的實施就準備基于這個模型。擬保留原有網管工作站。網絡管理員能夠借助網管軟件，對網絡上的任何資源和進程調用。? 網絡安全管理: 用戶身份確認,訪問控制,對用戶權限以及用戶帳戶進行維護和管理,系統(tǒng)的行為。? 故障管理：為確保網絡系統(tǒng)的高穩(wěn)定性，在網絡出現(xiàn)問題時，必須及時察覺問題的所在。以 CiscoWorks2022 為網絡管理平臺；以美國 BMC 軟件公司的 PATROL 組件為基礎，集成網管系統(tǒng)、系統(tǒng)的監(jiān)控程序和自行開發(fā)的監(jiān)控程序，建設集中監(jiān)控管理系統(tǒng)，實現(xiàn)計算機網絡系統(tǒng)的集中監(jiān)控和管理，實現(xiàn)監(jiān)視各種主機／服務器、數據庫、網絡和網上關鍵性系統(tǒng)的運行狀態(tài)、工作任務完成情況，自動啟動工作任務，進行作業(yè)調度，減少中心機房值班人員的工作壓力，逐步實現(xiàn)主機房無人值守。● 接入速率控制(CAR) CommittedAccessRate(● IP 優(yōu)先級控制● 隊列機制(WeightedFairQueuing)● 先期擁塞控制(WRED)● 標記交換(MPLS)● 語音數據優(yōu)先 在三峽建行在此次網絡改造中將廣泛采用上述技術保證網絡通暢，特別是營業(yè)數據的正常傳輸。 QOS 保證使不同的業(yè)務集成在了同一個網絡平臺上，如何保證不同業(yè)務數據的優(yōu)先級別和傳輸質量就成了一個很重要的問題。 管理類業(yè)務系統(tǒng) 包括 OA、信貸、總帳傳輸、人力資源、電子郵件等管理系統(tǒng)。經對我行現(xiàn)有應用系統(tǒng)的網絡需求分析，按其重要程度分為以下兩類：營業(yè)類、管理類。由于我們?yōu)榱顺浞掷迷芯W絡設備（其中很大一部分是非 Cisco 的）28 / 58無法選擇 EIGRP，且在最新內部路由的設計中，OSPF 的性能在流量整形方面遠超于 Eigrp。 網絡 IP 路由設計路由協(xié)議對網絡的穩(wěn)定高效運行、網絡在拓樸變化時的快速收斂、網絡帶寬的充分有效利用、網絡在故障時的快速恢復、網絡的靈活擴展都有很重要的影響。27 / 58支行局域網設備備份提供一臺 Catalyst 2924 交換機，作為遠程支行局域網交換機的設備備份。 設備備份三峽建行局域網中心設備備份三峽建行中心局域網中心增加一臺高性能的交換機 Cisco Catalyst 6509，同時在 Cisco Catalyst 5505 增加千兆模塊和 RSM 路由模塊，通過兩條千兆鏈路連接起來，利用 Gigabit EtherFast 技術既相互備份，又負載均衡。 節(jié)點確定原則：該節(jié)點就近有多條營業(yè)網的廣域網的接入。 節(jié)點確定原則：該節(jié)點就近有既營業(yè)網又有管理網的廣域網的接入。這兩種備份方式都只備份營業(yè)網 廣域網改造 廣域網分布層改造 分布層網絡主要是指三峽建行到縣級支行和城區(qū)較遠支行的網絡連接。 PFC2 (In Chassis Only) 16 MEMC6KFLC24M Catalyst 6000 Supervisor PCMCIA Flash Mem Card, 24MB Option 17 MEMMSFC128MB Catalyst 6000 MSFC Mem, 128MB DRAM Option 18 WSX6408GBIC Catalyst 6000 8port Gigabit Ether Module (Req. GBICs) 19 WSG5484 1000BASESX Short Wavelength GBIC (Multimode only) 810 WSX6248RJ45 Catalyst 6000 48port 10/100 RJ45 Moudel 111 Cisco IOS Catalyst 6000 Family MSFC Enterprise 112 FRIRC6 Catalyst 6000 Family InterDomain Routing Feature License 1Catalyst 5505（增加模塊）13 WSX5403 C5000 Gigabit Ether Switching Module w/o GBICs (3 port) 114 WSG5484 1000BASESX Short Wavelength GBIC (Multimode only) 315 WSX5302 Catalyst 5000 Route Switch Module 1 城域網改造 城域網主要提供城區(qū)各個主要局域網的接入，包括江閣大樓、云路機房、信用卡部和星辦局域網的接入，還包括增加戊和己兩支行局域網的接入 將三峽建行網絡中心原有的 Catalyst 5000 交換機下移到江閣大樓，作為江閣大樓局域網中心交換機，在 Catalyst 5000 新增兩個千兆模塊端口，通過1000BASESX 模塊分別和 Catalyst 650Catalyst 5505 相連，兩條鏈路互為備份。將原有 Catalyst 5000 交換機從網絡中心下移到江閣大樓，同時增加兩個千兆模塊，分別以 1000Mbps 速率同 Catalyst 6509 和 Catalyst 5505 相連。Catalyst 6509 可以提供高性能、多層交換的數據通信，滿足內部網絡（INTRANET） 、苛求網絡服務和網絡語音應用。 接入層：為最終用戶提供對網絡的接入，三峽建行到各營業(yè)網點構成的網絡即屬于網絡接入層。● 分階段實施原則對整個網絡改造進行統(tǒng)一規(guī)劃，分階段逐步實施。根據未來業(yè)務的增長和變化，網絡可以平滑地擴充和升級，減少對網絡架構和現(xiàn)有設備的調整。18 / 58第 3 章 網絡改造的基本原則 ● 高可靠性選用可靠性較高的網絡產品，合理設計網絡架構，制訂可靠的網絡備份策略，保證網絡具有故障自愈的能力，從而最大限度地支持各業(yè)務系統(tǒng)的正常運行。４、能夠為查明入侵的來源提供有效的依據。網管系統(tǒng)能夠作到管理監(jiān)控到全網所有網絡設備，直觀的顯示各種設備運行狀態(tài)，并對各種異常情況實現(xiàn)自動報警?？紤]對伍支行、東辦等城區(qū)支行以及各縣支行等綜合性的網點的企業(yè)網、城綜網線路合并，接入帶寬提高到 64K，通過路由器連接到三峽建行；對于業(yè)務量大或線路集中的網點也考慮使用路由器，并提高接入速率到 64K；其他網點提速后仍使用目前的串口協(xié)議連入三峽建行中心網絡，將SLIP 改為 PPP； 前臺網點的廣域網采用的 PSTN 撥號備份實現(xiàn)后臺無人干預。隨著業(yè)務的拓展，特別是語音、視頻的應用，三峽建行目前的局域網10M/100M 也面臨帶寬不足的壓力，考慮在三峽建行大樓與科技部之間的骨干上千兆以太網，三峽建行大樓用低端交換機替換 HUB。三峽建行網絡改造的總體目標是以此次總行骨干網改造為契機，在不影響全行正常業(yè)務開展的前提下，將目前分離的城綜網、清算 A 卡網和企業(yè)網整合成為統(tǒng)一的以 IP 技術為主體的穩(wěn)定、可靠、高效的綜合網絡平臺，實現(xiàn)建行核心業(yè)務和外連業(yè)務的有機分離，為最終完成全建行數據集中做網絡準備?！?外連網與建行核心業(yè)務網絡耦合度大，外連網業(yè)務的變化往往帶來核心業(yè)務的變動?！瘛」芾砭W（企業(yè)網）廣域網中使用的 Motorola 路由器故障率高，端口損壞嚴重，維修困難?！瘛∫恍┛h行還在使用 ，效率比較低，費用比較高。●　隨著以后語音、視屏在網絡的應用，三峽建行目前 100M 骨干局域網將面臨擁塞。 網絡管理的現(xiàn)狀三峽建行目前正在使用 Cisco CWSI 專用網管系統(tǒng)，用于管理三峽建行局域網上的網絡設備。如：與外界相連應用系統(tǒng)沒有按照總行要求的安全連接模式連接，前置機可能存在未屏蔽非必要的通訊端口，可能存在多余的路由表等等。如：MOTOROLA 路由器的 FLASH Memory 工作時極不穩(wěn)定，經常丟失系統(tǒng)軟件，影響了清算 A 卡系統(tǒng)以及企業(yè)網的正常運行。外連網的 IP 地址分配由于沒有可遵循的標準，分配時有很大的隨意性。此外管理網與市人行存在臨時的連接，用于定期本地貸款單位資料查詢。8 / 58 網絡應用現(xiàn)狀根據三峽建行對網絡業(yè)務的劃分，可以將三峽建行網絡業(yè)務劃分為：核心業(yè)務和外連業(yè)務。我行通信線路的主要備份方式為電話撥號。其它局域網甲路機房、乙辦以及丙辦也是這種模式。 三峽建行局域網現(xiàn)狀在 Catalyst 5505 和 2924 上根據不同的應用劃分了 13 個不同的 VLAN，由于目前我行主交換機沒有配置第三層交換功能，VLAN 之間的通信只能通過網關來實現(xiàn)。以計算機網絡為支撐平臺，我行的各類業(yè)務應用系統(tǒng)不斷推陳出新，開拓了多項新的業(yè)務，為我行的業(yè)務快速發(fā)展發(fā)揮了巨大的作用。下面，對三峽建行網絡結構具體說明： 網絡連接現(xiàn)狀 三峽建行城域網現(xiàn)狀三峽建行中心機房位于科技部二樓。在中心機房中，另有一臺 Catalyst 5000 交換機作為備用機。各縣支行以及城區(qū)其他支行（辦事處）基本都完成了三部一室的本地局域網布線工作。網絡設備以 CISCO、MOTOROLA 為主。核心業(yè)務是三峽建行業(yè)務開展的基礎業(yè)務，包括以城市綜合網為基礎的營業(yè)網和以企業(yè)內部網為基礎的管理網兩部分；外連業(yè)務是三峽建行依托核心業(yè)務系統(tǒng)，針對轄區(qū)內的企業(yè)和客戶開發(fā)的業(yè)務網絡系統(tǒng)。管理網（企業(yè)網）拓撲連接如下圖營 業(yè) 網 管 理 網核 心業(yè) 務外 連 業(yè) 務銀 證 連 網 代 收 電 話費 代 收 交 警罰 款 社 保同 城 清 算 企 業(yè) 外 連等圖 六9 / 58 營業(yè)網應用現(xiàn)狀三峽建行目前的營業(yè)網應用主要是城市綜合網，全行共有前臺網點１５０余個，ATM ３２臺，金融查詢機２０臺，Pos ２００余臺，城市綜合網以太網采用１９９４年總行下發(fā)的營業(yè)網段 98..，而城市綜合網廣域網前臺網點地址沒有標準可循；清算 A 卡網的前置機和各縣清算組前臺（清算組前臺已經與前臺會計柜改為直連后的會計柜機器）采用總行清算系統(tǒng)分配的２０網段的 IP 地址。網絡拓撲連接如下圖：11 / 58 網絡安全現(xiàn)狀三峽建行在網絡建設過程中已經采取了一些必要的安全措施，如“利用VLAN 技術將業(yè)務網與企業(yè)網邏輯隔離、與各證券網點聯(lián)網時利用前置機來保證數據傳輸的安全、撥號訪問采用了 RADIUS 認證、在與 Inter 接入的支付網關中使用防火墻和 ISS 安全監(jiān)控軟件等。一些系統(tǒng)缺乏備份鏈路和備份設備，一旦出現(xiàn)故障，勢必影響業(yè)務的正常開展。此外對重要的應用服務器沒有進行安全監(jiān)控和漏洞掃描。由于其專用性，該軟件無法正確管理非 Cisco 網絡設備，而且無法監(jiān)控到廣域網的運行狀態(tài)?！瘛∪龒{建行辦公