【正文】 ex full/half speed 100/10 port access vlan 340CISCO 交換機：set vlan 340 1/2銀行分行核心網(wǎng)絡系統(tǒng)結構優(yōu)化調整項目實施方案set port speed x/x 100/10set port duplex x/x full/halfset spantree portfast x/x enable(6) 將 Extra 防火墻上的 active 的 interface 調整到和中間業(yè)務平臺所在的同一交換機上set interface redx primary Ex/x. 驗證與回退驗證（1）對所有進行過調整的服務器從骨干交換機進行 ping 操作，確保連接正常。. 實施前準備（1） 確認需要調整的應用服務器的 ip 地址，默認網(wǎng)關，由服務器負責人員進行網(wǎng)卡配置修改?；赝?本步驟不安排回退，出現(xiàn)端口、板卡及機器故障等異常故障時按應急進行處理，連接到另外一臺交換機上相應的位置。華為交換機：interface Ether x/x/x stp edgedport enable duplex full/half speed 100/10 port access vlan 340CISCO 交換機：set vlan 340 1/2set port speed x/x 100/10銀行分行核心網(wǎng)絡系統(tǒng)結構優(yōu)化調整項目實施方案set port duplex x/x full/halfset spantree portfast x/x enable. 驗證與回退驗證（1）對所有進行過調整的服務器從骨干交換機進行 ping 操作，確保連接正常。 Snasw 2 路由器連接交換機 1 的端口 delay 調整為 11，使 snasw2 的 sna 數(shù)據(jù)流優(yōu)先發(fā)送到骨干交換機 B? 大規(guī)模分行骨干交換機 A 連接 snasw2 路由器的 vlan 的 delay 調整為2，使上聯(lián) wan 的 sna 數(shù)據(jù)流優(yōu)先發(fā)送到骨干交換機 A；骨干交換機 B連接 snasw1 路由器的 vlan 的 delay 調整為 2，使上聯(lián) wan 的 sna 數(shù)據(jù)流優(yōu)先發(fā)送到骨干交換機 B；. 剩余風險分析 根據(jù)最新的《信息系統(tǒng)管理制度》 ，任何一臺內(nèi)網(wǎng)交換機的故障仍然會導致全轄 3級事件。? 對于內(nèi)網(wǎng)交換機 A，從 ospf 來看，到二級分行的路由從骨干 A 會優(yōu)先學到，對于內(nèi)網(wǎng)交換機 B，從骨干 B 學到，數(shù)據(jù)包到達骨干 B 后，優(yōu)先選擇明細路由發(fā)送到下聯(lián) wan。? 把兩臺內(nèi)網(wǎng)交換機之間互聯(lián) vlan 的 ospf cost 值加大為 12，以盡量避免銀行分行核心網(wǎng)絡系統(tǒng)結構優(yōu)化調整項目實施方案正常情況下數(shù)據(jù)流量通過 trunk 發(fā)送。正常情況下，二級分行和網(wǎng)點訪問一級分行內(nèi)網(wǎng)第一類 vlan 服務器的數(shù)據(jù)包都會到達骨干交換機 A，最終到達內(nèi)網(wǎng)交換機 A 上的第一類 vlan 服務器；二級分行和網(wǎng)點訪問一級分行內(nèi)網(wǎng)第二類 vlan 服務器的數(shù)據(jù)包都會到達骨干交換機 B，最終到達內(nèi)網(wǎng)交換機 B 上的第二類 vlan 服務器；二級分行和網(wǎng)點訪問一級分行內(nèi)網(wǎng)第三類 vlan 服務器的數(shù)據(jù)包都會到達骨干交換機 A，或者最終到達內(nèi)網(wǎng)交換機 A 上的第三類 vlan 服務器，或者到達內(nèi)網(wǎng)交換機 A 后，經(jīng)過 trunk 到達內(nèi)網(wǎng)交換機 B 上的第三類 vlan服務器。正常情況下，總行、數(shù)據(jù)中心和其他分行訪問一級分行內(nèi)網(wǎng)第一類 vlan 數(shù)據(jù)包都會到達骨干交換機 A 上，最終到達內(nèi)網(wǎng)交換機 A 上的第一類 vlan 服務器；總行、數(shù)據(jù)中心和其他分行訪問一級分行內(nèi)網(wǎng)第二類 vlan 服務器的數(shù)據(jù)包都會到達骨干交換機 B，最終到達內(nèi)網(wǎng)交換機 B 上的第二類 vlan 服務器；總行、數(shù)據(jù)中心和其他分行訪問訪問一級分行內(nèi)網(wǎng)第三類 vlan 服務器的數(shù)據(jù)包都會到達骨干交換機 A，或者最終到達內(nèi)網(wǎng)交換機 A 上的第三類 vlan 服務器，或者到達內(nèi)網(wǎng)交換機A 后，經(jīng)過 trunk 到達內(nèi)網(wǎng)交換機 B 上的第三類 vlan 服務器。正常情況下，一級分行除第二類 vlan 外( 第一、三類 vlan 及二級分行)訪問總行、數(shù)據(jù)中心及其他分行的數(shù)據(jù)包都會到達骨干交換機 A，最終訪問數(shù)據(jù)中心（上海）和上海分行的數(shù)據(jù)包都會發(fā)送給75WA02A1，訪問總行、數(shù)據(jù)中心（北京）和其他分行的數(shù)據(jù)包都會發(fā)送給75WA01A1；第二類 vlan 內(nèi)的服務器訪問總行、數(shù)據(jù)中心及其他分行的數(shù)據(jù)包都會到達骨干交換機 B，最終訪問數(shù)據(jù)中心（上海）和上海分行的數(shù)據(jù)包都會發(fā)送給75WA02A1，訪問總行、數(shù)據(jù)中心（北京）和其他分行的數(shù)據(jù)包都會發(fā)送給75WA01A1。（1） 將思科交換機上 ospf 65XXX 中的 autocost referencebandwidth 調整為10000M，以保證整個 ospf 域的 cost 計算的一致性和準確性，這樣無論是思科交換機還是華為交換機，所有三層 vlan 的 ospf 默認 cost 都為10。（5） 兩臺內(nèi)網(wǎng)交換機之間通過 vlan 389 建立 ospf neighbor。（3） 兩臺內(nèi)網(wǎng)交換機之間保留 trunk 連接。內(nèi)網(wǎng)交換機 A 連接骨干交換機 A 的端口屬于 vlan 銀行分行核心網(wǎng)絡系統(tǒng)結構優(yōu)化調整項目實施方案380，該 vlan 只建立在內(nèi)網(wǎng)交換機 A 上；內(nèi)網(wǎng)交換機 B 連接骨干交換機B 的端口屬于 vlan 383，該 vlan 只建立在內(nèi)網(wǎng)交換機 B 上。骨干交換機和內(nèi)網(wǎng)交換機之間采用口字型連接方式時的結構如下：銀行分行核心網(wǎng)絡系統(tǒng)結構優(yōu)化調整項目實施方案c245RT0AA1 45RT0BA165RT0AC1 65RT0BC175WA01A1 75WA02A175WA03A1 75WA04A1第 一 類 Vlan 第 三 類 Vlan 第 二 類 Vlanc1a b注 入 匯 總 cost 20 公 告 第 二 類 vlan明 細注 入 匯 總 cost 25匯 總 注 入 eigrp delay 1 第 二 類 vlan明 細 注 入 eigrp匯 總 注 入 eigrp delay20eigrp注 入 ospf83,84默 認 cost=20 eigrp注 入 ospf83,84匯 總 cost=25ip ospf cost 12注 ： 將 所 有 思 科 交 換 機 計 算 ospfcost的 參 考 帶 寬 改 為 100M經(jīng)過對內(nèi)網(wǎng)交換機的優(yōu)化調整，內(nèi)網(wǎng)交換機上的 vlan 被分成了三類：（1） 第一類 vlan：該 vlan 中的所有服務器都必須物理連接到內(nèi)網(wǎng)交換機 A 上，該 vlan 的 vrrp 或 hsrp 主活在內(nèi)網(wǎng)交換機 A 上（2） 第二類 vlan：該 vlan 中的所有服務器都必須物理連接到內(nèi)網(wǎng)交換機 B 上，該 vlan 的 vrrp 或 hsrp 主活在內(nèi)網(wǎng)交換機 B 上（3） 第三類 vlan：該 vlan 中的服務器可以物理均衡連接到兩臺內(nèi)網(wǎng)交換機上，該 vlan 的 vrrp 或 hsrp 主活在內(nèi)網(wǎng)交換機 A 上如圖所示：服務器 a 屬于第一類 vlan，物理連接到內(nèi)網(wǎng)交換機 A 上；服務器b 屬于第二類 vlan，物理連接到內(nèi)網(wǎng)交換機 B 上；服務器 c1 屬于第三類 vlan，物理連接到內(nèi)網(wǎng)交換機 A 上；服務器 c2 屬于第三類 vlan，物理連接到內(nèi)網(wǎng)交換機 B 上。? 大規(guī)模分行 snasw 路由器和骨干交換機的路徑調整大規(guī)模分行 snasw 路由器的骨干交換機之間采用的動態(tài)等價路由，數(shù)據(jù)流出入不一致，任何一臺骨干交換機的不穩(wěn)定都有可能影響 sna 數(shù)據(jù)，造成全轄故障，需要調整為不等價路由保證 2 臺 snasw 路由器來回路徑一致并各住走一臺骨干交換機。? 但在一級分行轄內(nèi)網(wǎng)絡結構優(yōu)化調整項目的具體實施過程中，發(fā)現(xiàn)大多數(shù)分行并未嚴格按照方案執(zhí)行，大多數(shù)分行將45RT0AA1 和45RT0BA1連接上連路由器 1 或上連路由器 2 的端口部署在了同一塊板卡上（目前大部分分行 445RT0AA1 和45RT0BA1 分別連接上連（snasw）路由器 1的 F0/0/0 和 F0/0/1 端口）。對上連路由銀行分行核心網(wǎng)絡系統(tǒng)結構優(yōu)化調整項目實施方案器１而言，其連接45RT0AA1 和45RT0BA1 的兩個端口 F0/0/0 和F0/1/0 位于不同的板卡上，這種設計保證了上連路由器對下的兩條鏈路不會因為一塊板卡的故障而導致兩條對下鏈路的中斷，有效的利用了方案中對鏈路冗余的設計。snasw 根據(jù)〈〈一級分行轄內(nèi)網(wǎng)絡結構可用性調整項目標準實施方案 的網(wǎng)間網(wǎng)地址規(guī)劃，分行的65RT0AC1 連接上聯(lián)路由器 1 的 LLC2 端口 F0/0/1（中小規(guī)模行），分行的65RT0AC1 連接 SNASW 路由器 1 的 LLC2 端口 F0/0/0（大規(guī)模行）；分行的65RT0BC1 連接上聯(lián)路由器 2 的 LLC2 端口 F0/0/1（中小規(guī)模行），分行的65RT0BC1 連接 SNASW 路由器 2 的 LLC2 端口 F0/0/0（大規(guī)模行）。? 通用網(wǎng)關 ip 端口和 llc2 端口必須連接在同一臺交換機上。. 分行 SNA 網(wǎng)絡部署? 通用網(wǎng)關 SNA LLC2 的部署? 內(nèi)網(wǎng)交換機 A 必須連接 snasw1，內(nèi)網(wǎng)交換機 B 必須連接 snasw2? 2 臺交換機上的 LLC2 端口通過 trunk 劃分到同一 VLAN。這樣分組的好處一是可以提高生產(chǎn)用戶的可用性，二是可以在交換機故障時便于利用生產(chǎn)用戶機器排查故障。? 國際結算應用服務器只能指向一臺通用網(wǎng)關，存在單點。 國際結算業(yè)務：? 國際結算服務器（包括應用服務器和數(shù)據(jù)庫服務器）做 HA 的分行分別接入兩臺交換機。? 電話銀行獨立分行的相關服務器包括：CTI 服務器、 IVR、省際語音網(wǎng)關、二級分行語音網(wǎng)關、電話銀行 A 類網(wǎng)關。? 如果分行的中間業(yè)務還有其它單點服務器，比如數(shù)據(jù)庫服務器，則不需要進行 VLAN 拆分，中間業(yè)務平臺和數(shù)據(jù)庫服務器接入同一臺交換機，只訪問本臺交換機接入的網(wǎng)關。兩組服務器分別接入在各自 VLAN 的 HSRP/VRRP active 的交換機上。由于 A 類網(wǎng)關較少，建議分行的應用人員修改 MAPS 中間業(yè)務平臺的訪問地址，指向 B 類網(wǎng)關，便于負載均衡。? 假設綜合前置部署于交換機 A，則綜合前置訪問的 A 類網(wǎng)關 IP 地址修改為劃分后的 VLAN300 的 IP 地址段 ；如果綜合前置部署于交換機B 上，則 A 類網(wǎng)關地址修改為 。? 綜合前置的備份服務器接入另外一臺交換機上，HSRP/VRRP 活在主用服務器接入的交換機上，不需要進行 VLAN 拆分。? 有的分行 B 類網(wǎng)關做了負載均衡，對外提供一個虛地址，需要對其一分為二，每組接入不同交換機，對外提供兩個網(wǎng)段的虛地址。二級分行的 CITE 前置仍然可以根據(jù)權重選擇B 類網(wǎng)關，不需要修改配置。? 目前分行 CITE 前置對 B 類網(wǎng)關的訪問采用的是根據(jù)權重，從可選網(wǎng)關中隨機選擇一臺進行連接，即每次建立連接時都是以一定的概率連接到某一臺 B 類網(wǎng)關。? CITE 前置只能訪問一臺 CTS 前置，對 CITE 前置需要進行和 CTS 類似的配置。對于 CITE 前置訪問 B 類網(wǎng)關，由于有的分行B 類網(wǎng)關數(shù)目較少，如果每組網(wǎng)關只有 1 臺，易產(chǎn)生單點。? 投產(chǎn)新終端平臺的分行，由于網(wǎng)點圖形終端需要訪問 CITE 前置和 CTS 前置、CITE 前置需要訪問 CTS 前置、CTS 前置和 CITE 前置都需要訪問 B 類網(wǎng)關，因此對 CTS 前置也需要均勻分組。服務器的 IP 地址分別調整到相應網(wǎng)段，設置 HSRP/VRRP 網(wǎng)關。具體分組時分行需要應用人員配合在考慮服務器負載的情況下分組，盡可能做到服務器的壓力負載均衡。? 生產(chǎn)用戶接入：操作員機器各一級分行對以上業(yè)務必須進行相關服務器部署調整，分行認為重要但沒有包括在內(nèi)的業(yè)務也可以進行調整。? (C128).0/24，HSRP/VRRP 網(wǎng)關的實地址為 （交換機A）和 （交換機 B）,虛地址為 ，設置交換機 B 的VRRP/HSRP 為高優(yōu)先級。對于其它服務器的 VLAN， IP 地址和服務器布局仍然保持現(xiàn)狀，使用 24 位的掩碼。. 服務器調整詳細設計對于有備份的重要服務器 VLAN，兩臺交換機啟動三層 VLAN，配置HSRP/VRRP，采用虛地址做服務器的 default gateway，并將 HSRP/VRRP 存活在服務器布局的一側。?重要服務器相互備份 VLAN 必須部署在交換機 A 和交換機 B 上，跨交換機銀行分行核心網(wǎng)絡系統(tǒng)結構優(yōu)化調整項目實施方案VLAN 部署在交換機 C 和 D 上，也可以部署在交換機 A 和 B 上?在這種布局方式下，serverfarm 交換機由 2 臺擴展為 4 臺時路由不需要調整。45RT01A1 45RT02A175WA01A1 75WA02A1BF12WA01A1 NF12WA01A1NF12WA02A1BF12A02A1BF65SW0A1 NF65SW01A1NF65SW02A1BF65SW0BA175WA03A175WA04A165RT0AC165RT0BC1分 行 轄 內(nèi) 網(wǎng) 絡 結 構 圖 （ 內(nèi) 網(wǎng) 交 換 機 擴 展 為 4臺 ）02F