【正文】 ..........................................65 模塊化的安全構(gòu)架設(shè)計 .......................................................................................................................................67 核心交換區(qū) ..................................................................................................................................................69 生產(chǎn)區(qū) ..........................................................................................................................................................69 OA 接入控制區(qū) .............................................................................................................................................70 運維管理區(qū) ..................................................................................................................................................73 MIS 服務(wù)區(qū) ....................................................................................................................................................74 生產(chǎn)外聯(lián)區(qū) ..................................................................................................................................................75 統(tǒng)一的安全聯(lián)動設(shè)計 ...........................................................................................................................................76 其他安全防護考慮 ...............................................................................................................................................78 網(wǎng)絡(luò)病毒控制 .......................................................................................................................................................79第 12 章 網(wǎng)絡(luò)管理 ............................................................................................................................................................81第 13 章 數(shù)據(jù)中心切換 ....................................................................................................................................................89 4 5第 1 章 前言上海數(shù)據(jù)中心工程是XX銀行數(shù)據(jù)大集中項目的重要組成部分，將作為全國生產(chǎn)中心投入運行。生產(chǎn)數(shù)據(jù)中心的建成將為提高XX銀行的經(jīng)營管理決策水平和風險控制能力打下堅實的基礎(chǔ)，并支持提升中國XX銀行整體的服務(wù)水平和信息化服務(wù)質(zhì)量。為用戶提供最完善的服務(wù)是華為 3Com 技術(shù)有限公司的一貫宗旨，有關(guān)本方案的一切問題，歡迎用戶在隨時垂詢。整體結(jié)構(gòu)上，根據(jù)上海數(shù)據(jù)中心承載多種業(yè)務(wù)功能的特點，依據(jù)統(tǒng)一性，開放性，易擴展和可管理的特性要求，通過模塊化層次化的構(gòu)筑方法，以高可靠、高速率的交換結(jié)構(gòu)為中心，連接生產(chǎn)區(qū)，外聯(lián)區(qū)，接入?yún)^(qū)和 MIS 區(qū)等功能分區(qū)，并針對各個功能不同的業(yè)務(wù)應(yīng)用需求和安全要求進行了針對性設(shè)計。 7第 3 章 網(wǎng)絡(luò)設(shè)計原則高可用性網(wǎng)絡(luò)架構(gòu)和設(shè)備均支持業(yè)務(wù)系統(tǒng)對服務(wù)級別高可靠性的要求，在網(wǎng)絡(luò)分層部署的架構(gòu)和設(shè)備體系選擇以及相關(guān)配置上均充分按照高可用的系統(tǒng)設(shè)計。先進性網(wǎng)絡(luò)設(shè)備支持先進的高性能體系架構(gòu)，支持高帶寬的數(shù)據(jù)傳輸。全網(wǎng)采用統(tǒng)一的架構(gòu)、策略部署，QoS 分類和設(shè)備形態(tài)，保證全網(wǎng)的可維護性。 8第 4 章 總體架構(gòu)設(shè)計 結(jié)構(gòu)設(shè)計 結(jié)構(gòu)設(shè)計策略按照數(shù)據(jù)中心的結(jié)構(gòu)，本方案采用以下策略設(shè)計高可靠的設(shè)計思想融合在結(jié)構(gòu)設(shè)計、路由設(shè)計、應(yīng)用服務(wù)設(shè)計的各個層面；針對業(yè)務(wù)網(wǎng)絡(luò)應(yīng)用需求實施全模塊化分區(qū)設(shè)計；依照工作重點和結(jié)構(gòu)分工的整網(wǎng)三層體系結(jié)構(gòu)； 分區(qū)模塊設(shè)計網(wǎng)絡(luò)按照業(yè)務(wù)應(yīng)用需求，劃分以下主要功能區(qū)：? 生產(chǎn)區(qū)? MIS 區(qū)? 生產(chǎn)外聯(lián)區(qū)? 廣域接入?yún)^(qū)? 運行管理區(qū)? OA 接入控制區(qū)各個區(qū)以擴展模塊的形式分別連接到數(shù)據(jù)中心高可靠的核心交換網(wǎng)絡(luò)。在核心層設(shè)計以高可靠，高速交換為主要原則；匯聚層各個功能分區(qū)的交換核心是組成整個生產(chǎn)中心局域網(wǎng)的匯聚層。支持基于主機端口的訪問控制，并針對接入的數(shù)據(jù)流進行標記工作，便于傳輸過程中逐級實現(xiàn)針對流量的 QoS 控制策略。網(wǎng)絡(luò)的交換核心、廣域接入?yún)^(qū)等沒有主機接入的功能區(qū)域放置于網(wǎng)絡(luò)機房。生產(chǎn)區(qū)涉及到的應(yīng)用系統(tǒng)較多包括核心業(yè)務(wù)以及各種總行級的業(yè)務(wù)系統(tǒng)?？紤]到核心業(yè)務(wù)系統(tǒng)屬于銀行全部業(yè)務(wù)核心，屬于數(shù)據(jù)中心的重中之重，同時 S/390 的操作方式與其他開放平臺不一致，因此物理上將生產(chǎn)區(qū)設(shè)置為核心業(yè)務(wù)生產(chǎn)區(qū)和開放平臺生產(chǎn)區(qū) 2 個分區(qū)接入到核心層。生產(chǎn)外聯(lián)區(qū)包括網(wǎng)上銀行的 Inter 外聯(lián)以及和合作伙伴的 Extra 外聯(lián)兩種方式，在網(wǎng)絡(luò)結(jié)構(gòu)上和安全部署上有很大不同，因此在實際部署中分別設(shè)置 2 個接入?yún)^(qū)域連接到核心交換區(qū)。災備接入?yún)^(qū)設(shè)置一個單獨的物理分區(qū)，部署與北京災備中心的連接和災備策略的部署。運行管理區(qū)設(shè)置一個單獨的物理分區(qū)，提供數(shù)據(jù)中心和全網(wǎng)的管理和監(jiān)控。為了保證通過核心網(wǎng)絡(luò)的流量和路徑可控，并提高故障切換的效率，對各個功能分區(qū)實現(xiàn)三層接入的方式。 12 生產(chǎn)區(qū)生 產(chǎn) 區(qū) 網(wǎng) 絡(luò) 結(jié) 構(gòu)核 心 交 換 區(qū)核 心 交 換 層匯 聚 層接 入 層 核 心 業(yè) 務(wù) 生 產(chǎn) 環(huán) 境 開 放 系 統(tǒng) 生 產(chǎn) 環(huán) 境生產(chǎn)區(qū)將接入數(shù)據(jù)中心核心生產(chǎn)系統(tǒng)和部分生產(chǎn)系統(tǒng)前置 ；生產(chǎn)區(qū)核心業(yè)務(wù)平臺：由 2 臺匯聚層交換機和 2 臺接入層交換機構(gòu)成，接入層交接機連接 S/390 主機系統(tǒng)平臺。連接方式：四臺接入層交換設(shè)備通過四條千兆線路上聯(lián)到匯聚層，兩臺匯聚層設(shè)備之間通過兩條冗余的千兆線路實現(xiàn)互連，同時，各自通過兩條千兆冗余線路分別上行到兩臺核心交換層交換機。運行管理區(qū)：由 2 臺匯聚層交換機和 2 臺接入層交換機構(gòu)成，接入層交接機連接各類業(yè)務(wù)、網(wǎng)絡(luò)、配置管理系統(tǒng)；連接方式：兩臺接入層交換設(shè)備通過雙千兆線路上聯(lián)到匯聚層，兩臺匯聚層設(shè)備之間通過兩條冗余的千兆線路實現(xiàn)互連，同時，各自通過兩條千兆冗余線路分別上行到兩臺核心交換層交換機。MIS 系統(tǒng)平臺：由 2 臺匯聚層交換機和 4 臺接入層交換機（兩層結(jié)構(gòu)、分為外聯(lián)接入交換機與內(nèi)聯(lián)接入交換機）構(gòu)成，接入層交接機連接各 MIS 系統(tǒng)平臺；連接方式：兩臺接入層交換設(shè)備通過雙萬兆線路上聯(lián)到匯聚層，兩臺匯聚層設(shè)備之間通過兩條冗余的千兆線路實現(xiàn)互連，同時，各自通過兩條千兆冗余線路分別上行到兩臺核心交換層交換機。廣域接入平臺：由 2 臺匯聚層交換機構(gòu)成，直接接入路由設(shè)備。在匯聚交換機側(cè)支持部署防火墻和入侵檢測設(shè)備，采用訪問控制和安全聯(lián)動相結(jié)合的方式對接入流量進行安全防護。OA 接入控制區(qū)：由 2 臺匯聚層交換機構(gòu)成。連接方式：匯聚層設(shè)備之間通過兩條冗余的千兆線路實現(xiàn)互連，同時，各自通過兩條千兆冗余線路分別上行到兩臺核心交換層交換機。在合作伙伴接入?yún)^(qū)域提供和各個金融服務(wù)機構(gòu)，金融監(jiān)管機構(gòu)和金融市場的接入，會部署大量的外聯(lián)前置系統(tǒng)，采用防火墻實現(xiàn)隔離，在 DMZ 區(qū)部署外聯(lián)前置服務(wù)器。在外聯(lián)網(wǎng)接入和 DMZ 與匯聚層連接處部署高可用防火墻，并部署 IDS 設(shè)備實現(xiàn)安全聯(lián)動。網(wǎng)銀互聯(lián)網(wǎng)接入部分主要面向互聯(lián)網(wǎng)的客戶提供服務(wù)以及部分數(shù)據(jù)交換，網(wǎng)上銀行作為主要特色應(yīng)用會部署在此區(qū)域?？紤]到 Inter 接入需要更高的安全因此將服務(wù)器分別部署在 DMZ 區(qū)和擴展 DMZ 區(qū)，并采用三層防火墻進行隔離，同時部署相應(yīng)的 IDS設(shè)備。并配置 6 臺防火墻實現(xiàn)各個區(qū)之間的安全隔離。針對數(shù)據(jù)中心大量服務(wù)器采用千兆接入，要求高效傳輸?shù)奶攸c，在骨干層和匯聚層間，以及部分匯聚和接入層間采用萬兆連接，減少千兆捆綁帶來的復雜配置，同時支持業(yè)務(wù)未來3－5 年的快速增長。針對上述分析數(shù)據(jù)中心在設(shè)備級的要求如下：? 電信級可靠性網(wǎng)絡(luò)設(shè)備 %，支持熱切換，熱補丁? 采用萬兆技術(shù)，支持高密度萬兆連接? 支持安全聯(lián)動 18? 有效抵御網(wǎng)絡(luò)資源消耗型病毒攻擊（例如 DOS/REDCODE 等）? 全分布式線速處理? 支持多業(yè)務(wù)的深度感知? 支持 MPLS VPN 和 IP V6 功能擴展? 支持外置冗余電源? 大容量冗余交換背板結(jié)構(gòu)? 單機具有高擴展能力針對上述分析本項目的設(shè)備選型推薦列表如下：數(shù)據(jù)中心核心交換機 Quidway S8512數(shù)據(jù)中心匯聚層交換機 Quidway S8512運維管理區(qū)接入交換機 Quidway S8512其他功能區(qū)的接入交換機 Quidway S8512中端路由器 Quidway AR2880網(wǎng)元管理系統(tǒng) Quidview DMG，CAMS(AAA)，SUN/NT 服務(wù)器設(shè)備數(shù)量配置如下：名稱 設(shè)備配置情況核心交換區(qū) 核心層：4 臺 S8512主機生產(chǎn)區(qū) 匯聚：2 臺 S8512，接入：2 臺 S8512開放生產(chǎn)區(qū) 匯聚：2 臺 S8512，接入：4 臺 S8512MIS 服務(wù)區(qū) 匯聚：2 臺 S8512，接入：2 臺 S8512運維管理區(qū) 匯聚：2 臺 S8512，接入：10 臺 S8512外聯(lián)區(qū)(僅合作伙伴接入?yún)^(qū)) 匯聚：2 臺 S8512，接入：2 臺 S8512廣域網(wǎng)接入?yún)^(qū) 匯聚：2 臺 S8512，接入：4 臺 S8512OA 接入控制區(qū) 匯聚：2 臺 S8512網(wǎng)元管理 Quidview DMG，CAMS(AAA)，SUN/NT 服務(wù)器基金國債業(yè)務(wù)接入路由器 兩臺 AR4680 19 S8500 簡介Quidway174。 S8500 系列萬兆核心交換機是由華為 3Com 公司自主開發(fā)的新一代高性能萬兆核心路由交換機產(chǎn)品，可廣泛應(yīng)用于電子政務(wù)網(wǎng)核心層、校園網(wǎng)及教育城域網(wǎng)核心層、園區(qū)網(wǎng)和企業(yè)網(wǎng)核心層以及運營商 IP 城域網(wǎng)核心層、匯聚層。 S8500 系列基于新一代核心交換機的設(shè)計理念，具備大容量高性能、可擴展能力強和業(yè)務(wù)與性能兼具的特點。 S8500 系列支持新一代高性能萬兆接口，能夠為城域網(wǎng)、園區(qū)網(wǎng)、數(shù)據(jù)中心提供超高速鏈路，構(gòu)建端到端以太網(wǎng)絡(luò)，打造低成本、高性能、具有豐富業(yè)務(wù)支持能力的高性能網(wǎng)絡(luò)。 S8500 提供大容量、高密度、模塊化的二、三層線速轉(zhuǎn)發(fā)性能，內(nèi)置強勁的全分布式業(yè)務(wù)處理引擎，以全線速處理二層、三層、MPLS VPN、組播等各種業(yè)務(wù)流量，提供完善的 QoS 保障、安全管理機制和電信級的高可靠設(shè)計，滿足大型 IP 網(wǎng)絡(luò)對多業(yè)務(wù)、高可靠、大容量、模塊化的需求。 S8500 系列產(chǎn)品采用全分布式體系結(jié)構(gòu)設(shè)計，采用功能強大的 ASIC 芯片進行高速路由查找，并通過 Crossbar 技術(shù)進