【正文】 tch system FWSM firewall security work principle, the firewall mode and transparent routing pattern analysis, to the financial work to deploy secure and reliable data transmission channel. In the design of this program fully reflect the financial work of the enterprise work with the general design or in planning a great difference between the financial works pay more attention to real time, availability, security. Keywords: Routing exchange。 OSPF, EIGRP。 文章分析了以券商為代表的網(wǎng)絡(luò)架構(gòu)和網(wǎng)絡(luò)的規(guī)劃和建設(shè)，對網(wǎng)絡(luò)的整體規(guī)劃 和網(wǎng)絡(luò)拓撲進行了分析和介紹。方案中對雙路由協(xié)議的雙向雙出口重分布的路由分發(fā)技術(shù)做了技術(shù)評估和給出了合理的解決方案。 在此方案的設(shè)計中充分的體現(xiàn)出金融網(wǎng)與普通的企業(yè)網(wǎng)無論在設(shè)計上還是在規(guī)劃上著很大的區(qū)別，金融網(wǎng)更加注重實時性、可用性、安全性。主 C6506 交換機上配置了雙電源和雙引擎， 備 C6506 交換機配置了雙電源和單引擎，核心交換機的高可靠性保證了整體網(wǎng)絡(luò)的可用性。兩臺 C6506 交換機與 C7606 路由器之間通過 1000M 多模光纖互聯(lián)，利用路由協(xié)議的特性，可以實現(xiàn)負載均衡及冗余備份。 FWSM 直接插入在 6506 的機箱中，其 5G 的背板帶寬使得防火墻加入到網(wǎng)絡(luò)后，不會對網(wǎng)絡(luò)的性能造成任何影響，在提高了安全性的同時，保證了網(wǎng)絡(luò)的性能。其 VFW第二章 網(wǎng)絡(luò)改造技術(shù)方案 3 的特性可以在 A 證券購買了相應(yīng)的許可證之后，在網(wǎng)絡(luò)中部署多個虛擬的防火墻，在一個插槽上實現(xiàn)了多個防火墻的功能，具有極大的可擴展性。 C7606 中采用了 2 個 Cisco Supervisor 720 上的千兆以太網(wǎng)端口和多層交換特性卡 3（ MSFC3）路由處理器，因此無需將一個線卡插槽用于上行鏈路端口。在雙路由處理器配置中，能使用 4 個千兆以太網(wǎng)端口；該路由器配置了 7600SIP200、 SPA1XCHSTM1/OCSFPOC3SR 的組合，用于提供 155M 的 STM1 線路接入。 北京災(zāi)備中心配備兩臺 CISCO Catalyst 4006 核心交換機，之間使用 GEC 技術(shù)對互聯(lián)線路進行捆綁，增加了帶寬之同時提高了可用性。 Catalyst 4006 通過 1 條 34M的 SDH 和一條裸光纖與深圳總部中心機房互聯(lián)，可以實現(xiàn)負載均衡和冗余備份。營業(yè)部在正常的情 況下通過主線路直接與深圳總部中心機房進行核心的集中交易數(shù)據(jù)交換，通過備份線路幀中繼接入北京進行數(shù)據(jù)的交換。 Cisco 3662 提供營業(yè)部的 2M 的幀中繼備份線路接入。 路由 設(shè)計 圖 23 總體網(wǎng)絡(luò)規(guī)劃設(shè)計圖 A 證券網(wǎng)絡(luò)將由 B 證券、 C 證券、 D 證券的網(wǎng)絡(luò)三家券商合并。目前 B 證券全網(wǎng)運行的路由協(xié)議是CISCO 的私有路由協(xié)議 EIGRP、 C 證券運行的路由協(xié)議是 OSPF，考慮到此次網(wǎng)絡(luò)改造項目不針對各營業(yè)部進行改造，只針對網(wǎng)絡(luò)的合并 ，因此盡可能的不在整體的網(wǎng)絡(luò)架構(gòu)上進行大的改動，保留各自網(wǎng)絡(luò)的路由協(xié)議。由于網(wǎng)絡(luò)大集中完成后將撤銷原 C 證券營業(yè)部連接到原 C 證券中心機房的所有線路，因此對 OSPF 網(wǎng)絡(luò)進行區(qū)域（ AREA）劃分。 EIGRP 路由設(shè)計： EIGRP 自治系統(tǒng)號 定義： 圖 24 EIGRP 路由 協(xié)議 設(shè)計 圖 ? 深圳總部中心機房與北京災(zāi)備機房的網(wǎng)絡(luò)設(shè)備之間互聯(lián)采用 EIGRP 自治系統(tǒng)（ AS）號 64512 ? 華南地區(qū)、西南地區(qū)、華北地區(qū)、華東地區(qū)采用自治系統(tǒng)號（ AS） 64512 華南理工大學(xué)網(wǎng)絡(luò)教育學(xué)院華業(yè)論文 (設(shè)計說明書 ) 6 由于目前 B 證券中心機房（北京災(zāi)備機房），包括各個營業(yè)部都使用 EIGRP的 AS 號為 64512，為了統(tǒng)一管理及最小改動的原則，所以在深圳總部中心機房規(guī)劃其 EIGRP 的 AS 號也為 64512；深圳總部中心機房和北京災(zāi)備機房和原 B 證券各個營業(yè)部都屬于一個該 AS 內(nèi)。 OSPF 路由 area 定義： ? 我們將延用回目前 C 證券的各個營業(yè)部現(xiàn)在的 OSPF C 證券當(dāng)前營業(yè)部區(qū)域劃分如下： 序號 營業(yè)部名稱 OSPF 區(qū)域 2 沈陽岐山路營 2 沈陽岐山路營遼中服務(wù)部 2 3 沈陽黑龍江街營業(yè)部 3 4 沈陽北順城營業(yè)部 10 沈陽北順 虎石臺服務(wù)部 10 5 沈陽總站路營業(yè)部 11 6 鐵嶺營業(yè)部 4 鐵 嶺 鐵法服務(wù)部 4 鐵嶺 開原服務(wù)部 4 7 葫蘆島營業(yè)部 5 葫蘆島 綏中服務(wù)部 5 葫蘆島 島里服務(wù)部 5 8 朝陽營業(yè)部 6 朝陽 凌原服務(wù)部 6 朝陽 建平服務(wù)部 6 朝陽 北票服務(wù)部 6 朝陽 無線網(wǎng)大樓 6 9 阜新營業(yè)部 7 阜新 阜新縣服務(wù)部 7 阜新 彰武服務(wù)部 7 第二章 網(wǎng)絡(luò)改造技術(shù)方案 7 10 遼陽營業(yè)部 8 遼陽 遼化服務(wù)部 8 11 大連營業(yè)部 9 12 天津 12 13 本溪北地 13 本溪北地 本溪縣服務(wù)部 13 本溪北地 桓仁縣服務(wù)部 13 14 本溪永豐 14 15 盤錦興隆 15 盤錦興隆 油田遠程 15 盤錦興隆 興隆 345 樓 15 16 盤錦遼河 16 17 丹東營業(yè)部 17 丹東 廣場服務(wù)部 17 17.(1) 丹東 廣場備份 17 丹東 鳳城服務(wù)部 17 丹東 寬甸服務(wù)部 17 18 上海北京西路 19 19 上海浦東路 20 20 營口營業(yè)部 18 營口 鲅魚圈服務(wù) 部 18 營口 大石橋服務(wù)部 18 營口 蓋州服務(wù)部 18 21 慧工街營業(yè)部 21 OSPF 路由設(shè)計： 華南理工大學(xué)網(wǎng)絡(luò)教育學(xué)院華業(yè)論文 (設(shè)計說明書 ) 8 圖 25 深圳總部中心機房 C7606 路由器與北京災(zāi)備機房的 C3662 路由設(shè)備劃為主干區(qū)域Area0； C 證券每個營業(yè)部按照規(guī)劃表劃分各自的 Area； 深圳總部中心機房 7606 路由器和北京災(zāi)備中心 3662 路由器是 “區(qū)域劃分 area”原則的邊界路由器。 營業(yè)部具體 Area 根據(jù) C 證券現(xiàn)有的 OSPF 區(qū)域進行規(guī)劃。因為中心機房的核心接入 路由器 C7606 和災(zāi)備機房的核心接入路由器 C3662 將承載著各個營業(yè)部的廣域網(wǎng)接入，也分別在他們之間同時運行著兩種不同的路由協(xié)議。 華南理工大學(xué)網(wǎng)絡(luò)教育學(xué)院華業(yè)論文 (設(shè)計說明書 ) 10 圖 27 在當(dāng)前的網(wǎng)絡(luò)環(huán)境下，路由單純的再發(fā)布會給網(wǎng)絡(luò)路由信息帶來不穩(wěn)定的因素，因為要在 C7606 和 C3662 上進行雙向的再發(fā)布，會形成 “雙向雙出口 ”的的 再發(fā)布問題。 在 EIGRP 再分布到 OSPF 時，為 EIGRP 過來的路由打上標記（ TAG），這些打上了 EIGRP 的標記的路由在 OSPF 重分布至 EIGRP 時將不再被 EIGRP 接收；同樣的，在 OSPF 再分布到 EIGRP 時，為 OSPF 過來的路由打上標記（ TAG）作為對 OSPF 路由信息的標記，這些打上了 OSPF 的標記的路由在 EIGRP 重分布至OSPF 時將不再被 OSPF 接收，如此一來就可以有效的防止 “雙向雙出口 ”再發(fā)布所帶來的問題。各營業(yè)部下掛的服務(wù)部線路結(jié)構(gòu)將不改變。 B 證券各營業(yè)部同時有 3 條線路并存， C 證券各營業(yè)部則同時有 4 條線路并存；為確保原來的各自的網(wǎng)絡(luò)不受到影響，我們需要調(diào)整個別的網(wǎng)絡(luò)的路由走向，使得新舊線路不會因路由協(xié)議的運算規(guī)則導(dǎo)致路由走向的混亂；在深圳中心機房端的業(yè)務(wù)完成后，我們將分批進行對各營業(yè)部的切換； B 證券營業(yè)部的只需將原連接到北京機房的主線路段開， C 證券營業(yè)部的需將到東北中心機房的主備兩條線路段 開；如果一旦發(fā)現(xiàn)問題無法在短時間內(nèi)發(fā)現(xiàn)并解決，我們將進行回退，將新的線路段開，延用舊線路，等問題原因查并解決后再進行切換工作。 在線路申請的原則上，我們考慮到其冗余性和可靠性，建議主線路與備線路采用不同的電信運營商的線路。 B 證券營業(yè)部新申請一條到深圳總部中心機房的 2M SDH 線路，保留原有到北京災(zāi)備中心的 2M 幀中繼線路作為備份線路； C 證券各營業(yè)部新申請一條 2M SDH、 2M 幀中繼作為營業(yè)部的主備接入線路。在深圳中心出現(xiàn)自然災(zāi)害的時候，在深圳總部中心機房出現(xiàn)自然災(zāi)害導(dǎo)致網(wǎng)絡(luò)出現(xiàn)部分故障或全部網(wǎng)絡(luò)功能喪失的狀況下，保證各營業(yè)網(wǎng)點能夠通過備份路由器連接到北京災(zāi)備中心運行所有業(yè)務(wù)。通過核心服務(wù)器的配合，可以與主機實現(xiàn)雙聯(lián)接，提高主機的可用性。 北京災(zāi)備機房不運行核心集中交易的業(yè)務(wù)，只運行網(wǎng)上行情、呼叫中心、風(fēng)控、辦公、 CRM 等外圍數(shù)據(jù)。在深圳總部中心機房出現(xiàn)自然災(zāi)害導(dǎo)致網(wǎng) 絡(luò)出現(xiàn)部分故障或全部網(wǎng)絡(luò)功能喪失的狀況下，保證各營業(yè)網(wǎng)點能夠通過備份路由器連接到北京災(zāi)備中心運行所有業(yè)務(wù)。在 2M SDH 主線路、深圳總部中心機房 760營業(yè)廳主 SDH 線路、營業(yè)廳主路由器中的一個或多個華南理工大學(xué)網(wǎng)絡(luò)教育學(xué)院畢業(yè)論文 (設(shè)計說明書 ) 16 出現(xiàn)問題的時候，營業(yè)廳的數(shù)據(jù)將經(jīng)過北京災(zāi)備中心的 C3662 進行數(shù)據(jù)轉(zhuǎn)發(fā)。網(wǎng)絡(luò)建設(shè)將為各應(yīng)用做基礎(chǔ)，在深圳中心機房的設(shè)計是以三 層的應(yīng)用結(jié)構(gòu)，它們是根據(jù)應(yīng)用的功能性來進行結(jié)構(gòu)的拆分和規(guī)劃的。核心層內(nèi)的應(yīng)用包括 KCBP 和核心 DB；中間件層則由交易 KCXP、歷史查詢 KCXP、報盤 KCXP、外圍 KCXP 組成；外圍層包括行情轉(zhuǎn)換、行情下載、銀證三方、深圳報盤、上海報盤、網(wǎng)上交易。第三章 營業(yè)部接入設(shè)計 17 圖 36 核心交易網(wǎng)段由三臺 KCBP 服務(wù)器、三臺 CTDB 組成，為了安全考慮它們將單獨放在一 個網(wǎng)段內(nèi)（ VLAN6）；中間層需要同時訪問核心交易網(wǎng)段和外圍網(wǎng)段和報盤網(wǎng)段，所以中間層網(wǎng)段內(nèi)的主機將設(shè)置兩網(wǎng)卡，一張網(wǎng)卡和核心交易屬于同一網(wǎng)段，另一張網(wǎng)卡則與外圍層報盤網(wǎng)段屬同一網(wǎng)段。此設(shè)計結(jié)合兩臺 6506 上的 FWSM 安全防火墻模塊，通過對它們的訪問策略進行控制，可以大大的對網(wǎng)絡(luò)提高安全性。 N/W 項目路由器命名原則建議以設(shè)備類型 地理位置 設(shè)備型號 身份（功能）。 字段可選定義： 華南理工大學(xué)網(wǎng)絡(luò)教育學(xué)院畢業(yè)論文 (設(shè)計說明書 ) 18 字段類型 字段定義 設(shè)備類型 R:router S:Switch F:firewall 地理位置 深圳 ZT： SZZT 南方中心： NFZX 北方中心： BFZX 拼音首個字母大寫 設(shè)備型號 760 366 750 650 400 2960 根據(jù)實際使用的型號填寫 身份（功能） M： master 機柜號 :1 S： slave 命名舉例： 設(shè)備 命名 說明 型號 身份 路由器命名 深圳 ZT路由器主7606 RSZZT7606M 深圳總部數(shù)據(jù)中心 7606 主（ master） 南方中心路由器 3662 RNFZX3662M 北京災(zāi)備中心 3662 M 北方方中心路由器7507 RBFZX7507M 北京災(zāi)備中心 7507 M 交換機命名 深圳 ZT交換主 6506 S SZZT6506M 深圳總部數(shù)據(jù)中心 6506 主（ master） 深圳 ZT交換備 6506 S SZZT6506S 深圳總部數(shù)據(jù)中心 6506 從(slave) 機柜接入交換機 2960 SSZZT29601 ZT 機房機柜接入 1 2960 1 機柜接入交換機 2960 SSZZT29602 ZT 機房機柜接入 2 2960 2 南方中心災(zāi)備主 4006 SNFZX4006M 北京災(zāi)備中心 4006 M 南方中心災(zāi)備備 4006 SNFZX4006S 北京災(zāi)備中心 4006 S 第三章 營業(yè)部接入設(shè)計 19 防火墻命名 中心互聯(lián)網(wǎng) VPN 接入 FSZZT208M 深圳數(shù)據(jù)中心 JuniPer S 核心數(shù)據(jù)主 NS500 FSZZTNS500M 深圳數(shù)據(jù)中心 JuniPer M 核心數(shù)據(jù)備 NS500 FSZZTNS500S 深圳數(shù)據(jù)中心 JuniPer S 中心交換主 PIX FSZZTPIX6506M 深圳數(shù)據(jù)中心 PIX6506 M 中心交換備 PIX FSZZTPIX6506S 深圳數(shù)據(jù)中心 PIX6506 S