【正文】 城 域 網同 城 支 行銀 聯(lián)外 聯(lián) 單 位人 行 銀 監(jiān) 局匯 聚 交 換 機S 7 5 0 3 E接 入 交 換 機 S 3 6 0 0 5 2 P E IS 3 6 0 0 5 2 P E I冷 備S 3 6 0 0 2 8 P E I華 夏 銀 行 濟 南 分 行 網 絡 拓 撲O S P F 1 0 0A r e a 0電 信代 收 費3 G匯 聚 路 由 器S R 6 6 0 8廣 域 接 入 區(qū)廣 電聯(lián) 通電 信同 城 支 行自 助 銀 行異 地 支 行M S R 2 0 4 0M S R 3 0 2 0B G PO S P F 1 0 0A r e a ZA r e a YA r e a X下 聯(lián) 東 營 路 由 器M S R 3 0 2 0 ? 與總行互聯(lián)的廣域網 廣域網保持 BGP 路由協(xié)議不變，華夏銀行濟南分行路由器與總部路由器之間建立 eBGP 鄰居關系，與總行交換路由。設備 名稱的字母全部采用大寫表示。 2. 采用動態(tài)路由協(xié)議，維護簡單，擴展性好； 第 3章 設備部署 設備命名規(guī)則 為便于進行網絡故障診斷和遠程監(jiān)測，參照總行《網絡設備命名規(guī)范》分行將統(tǒng)一全轄網絡設備的命名。 架構落后，安全風險大： 隨著業(yè)務系統(tǒng)的擴展，現(xiàn)有網絡雖采用了分層的設計思 想，但沒有對各功能區(qū)域進行劃分，各業(yè)務系統(tǒng)及功能區(qū)域之間沒有指定清洗的安全等級，不利于安全策略的制定。設備的老化已經嚴重影響了網絡的正常運行。 目前的網絡存在以下問題： 設備的老化，故障頻發(fā)： 分行網絡從建設運行至今已有八年，大部分設備已出現(xiàn)不同程度的老化現(xiàn)象，網絡設備運行故障升高，斷電后再啟動、死機，重啟后無法啟動等現(xiàn)象頻繁發(fā)生。 分行網絡通過 cisco7606和華為 NE16接入總行網絡，兩臺設備互為備份，通過防火墻與總行網絡隔離。為保證網絡安全，通過防火墻與聯(lián)通網絡進行了隔離，單點 ATM和移動辦公終端在數(shù)據(jù)傳輸時均采取了嚴格的加密措施。另外，為保證接入銀聯(lián)網絡的穩(wěn)定性，分行把銀聯(lián)業(yè)務網絡單獨隔離，與核心網絡直接聯(lián)接，并通過防火墻進行了有效隔離。 華夏銀行濟南分行數(shù)據(jù)中心項目工程實施方案 在內部網絡的基礎上分行又建設了終端網，各支行終端可通過 10M光纖接入核心終端服務器，從而訪問分行生產網絡，大大提高了網絡訪問速度。 內網核心網絡設備采用兩臺思科 6509高端設備，處理速度快，穩(wěn)定性高。內網由核心、匯聚、接入三層結構組成，嚴格按照網絡的三層結構設計建設，是分行內部網絡業(yè)務系統(tǒng)；外網是第三方接入網絡； DMZ區(qū)是部分公用系統(tǒng)和無線網絡接入區(qū)。為了保證網 絡的安全，在各區(qū)域間架設防火墻，對網絡的訪問進行過濾和限制。 3. 網絡區(qū)域劃分 目前分行網絡劃分為外網、內網、 DMZ區(qū)三個大的區(qū)域。 2. 千兆網絡建設 隨著數(shù)據(jù)大集中項目的實施 ，以及各種新業(yè)務系統(tǒng)的上線，網絡系統(tǒng)資源的占用越來越大，提高業(yè)務處理的速度和質量，成為分行網絡建設的重點。 網絡 改造具體涉及到 以下幾點 ： 1. 網絡設備更換或升級 分行網絡自建成運行以來，已經連續(xù)運轉八年，網絡設備已 出現(xiàn)不同程度的老化，部分設備性能已嚴重落后于現(xiàn)有同等網絡產品，甚至部分產品已停產或淘汰，為保證分行網絡的安全運轉，優(yōu)化分行網絡性能，預防網絡故障的發(fā)生，對分行老舊網絡設備進行更換或升級。今后擬對分行網絡系統(tǒng)進行一次升級改造，確保網絡處理能力滿足未來發(fā)展需要，真正實現(xiàn)業(yè)務處理和信息管理的高速運行。另一方面全行各類 信息業(yè)務平臺、管理平臺的不斷投入使用，帶來明顯的網絡交易壓力，對網絡帶寬、穩(wěn)定性和安全性提出了更高要求。 1 華夏銀行濟南分行數(shù)據(jù)中心項目 工程實施方案 杭州華三通信技術有限公司 2021年 7月 華夏銀行濟南分行數(shù)據(jù)中心項目工程實施方案 第 1章 項目概況 項目背景 華夏銀行濟南分行為滿足業(yè)務需求，將根據(jù)模塊化的、分層的、分級的現(xiàn)代數(shù)據(jù)中心設計理念，構建一個滿足可擴展性、靈活性和高可用性的網絡基礎架構，實現(xiàn)對分行各業(yè)務系統(tǒng)提供統(tǒng)一的基礎設施服務支持的目標。 項目目標 隨著數(shù)據(jù)大集中的完成，分行業(yè)務處理模式將發(fā)生根本性變化，由先前的業(yè)務處理發(fā)生在分行本地演變成所有核心業(yè)務均上送總行統(tǒng)一處理。同時，由于網絡設備持續(xù)運行，年久老化，面臨較重的運行壓力。 根據(jù)當前成熟的網絡技術 并 結合網絡技術將來的發(fā)展趨勢， 分行 網絡系統(tǒng) 改造 目標是建成一個高性能 、 高可靠性、安全冗余、可擴展的 網絡 安全 通信平臺。 同時 ，網絡改造 必須 采用國際通用的標準，在網絡模式、設備的選擇、線路的選擇、實施和管理等各個環(huán)節(jié)上都采用現(xiàn)行國際標準和行業(yè)標準，以方便以后對網絡的升級、更新和維護； 充分考慮 各個網絡產品 (軟件、硬件 )的兼容性 ，網絡設備的冗余性；所有網絡設備必須支持 IPV6，滿足下一代數(shù)據(jù)通信網絡的需要。鑒于分行現(xiàn)有的百兆網絡面臨的業(yè)務壓力，必須提升網絡帶寬，對分行核心網絡設備實現(xiàn)千兆光纖互聯(lián)，保證網絡的快速處理能力，并實現(xiàn)核心應用服務器的千兆連接。為了增加網絡的安全性、可管理性，對網絡按不同的功用，進行更細致的區(qū)域劃分，共劃分為十一個區(qū)域，通過區(qū)域的劃分使分行網絡結構更加合理，各部分的功能一目了然，便于管理和安全規(guī)則的設置。 第 2章 網絡總體規(guī)劃 網絡現(xiàn)狀 原組網圖如下： 華夏銀行濟南分行數(shù)據(jù)中心項目工程實施方案 1 0 M 光 纖z2M SDH2M SDH2M SDH2M SDH廣 電 聯(lián) 通聯(lián) 通J N X L P E C 1J N X L P E C 2J N F H C E C 2P i x U pP i x D o w nJ N G X 2 6 2 1 J N S B 2 6 2 1 J N Y Y B 2 6 2 1J N C D 2 6 2 1 J N H P L 2 6 2 1J N S N 2 6 2 1 J N H Y 2 6 2 1 J N J F L 2 6 2 1 J N W E L 2 6 2 1 J N J S L 2 6 2 11 2 個 支 行 路 由 器1 4 個 自 助 銀 行 路 由 器J N W D Z Z 1 8 4 1J N D G Z Z 1 8 4 1 J N J D Z Z 1 7 2 0 J N Q C L Z Z 1 8 4 1J N D G D J Z Z 1 8 4 1 J N G X Q Z Z 1 8 4 1 J N D L Z K Z Z 2 5 0 0J N S J Z Z 2 5 0 0J N Z D 3 5 6 03 5 6 0 A ( 冷 備 )1 2 個 支 行 終 端 交 換 機J N G X 2 9 6 0J N W E 2 9 6 0J N J S L 2 9 6 0J N H P L 2 9 6 0J N J F L 2 9 6 0J N H Y 2 9 6 0J N S N 2 9 6 0J N S B 2 9 6 0J N J G 2 9 6 0外 聯(lián) 銀 聯(lián)龍 馬 A龍 馬 BJ N Y L W T C 2J N Y L G D C 1J N P E C 1J N P E C 2上 聯(lián) 總 行J N H L C 2 9 2 4 AJ N H L C 2 9 2 4 BJ N R H W T C 1 J N R H L T C 2J N W L P E C 1到 外 聯(lián) 單 位 （ 證 券 公 司 、 人 行 、 電 信 代 收 費 等 ）J N C D 2 9 6 0J N T O F H J G 2 6 2 1J N L C 2 6 2 1K E Z X O A 2 9 5 0J N F H J G 2 6 2 1聊 城煙 臺DDN廣 電J N D X 2 6 2 1J N Y T 2 6 1 0D M Z 區(qū)華 夏 銀 行 濟 南 分 行 網 絡 邏 輯 拓 撲 圖i n s i d eo u t s i d eC S S I N AC S S I N BC S S O U T AC S S O U T BC S S D M Z A C S S D M Z BJ N Z Q 2 8 1 1J N Z Q 2 9 6 0龍 馬 C龍 馬 DJ N F H C E C 1 目前華夏銀行濟南分行（以下簡稱分行）網絡系統(tǒng)分為內網、外網、 DMZ區(qū)三部分，各區(qū)之間通過防火墻進行了有效隔離。分行網絡經過總行大集中網絡改造后，已實現(xiàn)了核心冗余，匯聚冗余、接入冗余，實現(xiàn)了設備 和線路的冗余。兩臺設備互為備份，實現(xiàn)核心冗余；匯聚設備由兩臺思科 75系列設備構成，并互為備份，一臺設備出現(xiàn)故障，另一臺可立即接管；接入層為思科 2621XM路由器，通過網通和廣電兩條 2M SDH接入核心網絡，兩條線路一主一備，保證業(yè)務連續(xù)性。 外聯(lián)網是第三方接入分行網絡區(qū)域，第三方用戶通過一臺思科 75系列路由器 和兩臺思科 28系列路由器接入分行生產網絡。 DMZ區(qū)是部分公用系統(tǒng)區(qū)和聯(lián)通無線網絡接入區(qū)，分行利用聯(lián)通網絡建設了無線 vpn網絡，通過無線 vpn網絡分行單點 ATM和移動辦公終端可在聯(lián)通無線信號覆蓋的任何區(qū)域接入分行網絡。 內部網絡三個區(qū)域之間通過防火墻（ pix520）進行隔離，并設置了相應的訪問 策略，同時利用思科的內容交換機（ cisco11051）和防火墻相結合，實現(xiàn)了防火墻的負載均衡和冗余備份。 在網絡監(jiān)控和預防非法入侵方面，分行采用聯(lián)想 N820入侵檢測設備，實時監(jiān)測網絡運行狀況。 6臺內容交換機和 1臺 PIX防火墻都出現(xiàn)過硬件故障；兩臺匯聚路由器cisco7567 和 cisco7507 引擎故障，自動重啟；各支行網絡由路由器 cisco2621 陸續(xù)出現(xiàn)了故障。 系統(tǒng)陳舊，功能匱乏： 現(xiàn)有兩臺核心交換設備 cisco6509 操作系統(tǒng)為 CATOS，而現(xiàn)在CATOS已淘汰，目前市場流行的路由和交換設備都使用 IOS，因此導致不能兼容多數(shù)新型的網絡設備和各種新的功能特性，致使許多安全措施無法應用，影響核心網絡的安全性。 新建網絡設計 新網絡拓撲如下： 華夏銀行濟南分行數(shù)據(jù)中心項目工程實施方案 業(yè) 務 服 務 器 區(qū)分 行 用 戶 接 入 區(qū)開 發(fā) 測 試 區(qū)外 聯(lián) 接 入 區(qū)終 端 接 入 區(qū)V P N 主 機辦 公 服 務 器 區(qū)D M Z 區(qū)接 入 交 換 機S 5 5 0 0 5 2 C E I管 理 控 制 區(qū)總 行 接 入 區(qū)匯 聚 交 換 機S 5 5 0 0 5 2 C E I匯 聚 交 換 機S 5 5 0 0 5 2 C E I匯 聚 交 換 機S 5 5 0 0 2 8 C E I綠 盟 I P S5 0 8 P 0 2天 融 信T G 4 5 2 4外 聯(lián) 路 由 器C I S C O 3 8 4 5匯 聚 路 由 器S R 6 6 0 8總 行 接 入 路 由 器匯 聚 交 換 機S 5 5 0 0 5 2 C E I廣 域 接 入 區(qū)C D M A 接 入交 換 機S 5 5 0 0 5 2 C E I核 心 交 換 機S 7 5 0 6 E內 置 防 火 墻 模 塊總 行 網 絡C D M A網 絡廣 電聯(lián) 通1 0 0 0 M b p s 單 模1 0 0 0 M b p s 多 模1 0 0 0 M b p s 雙 絞 線1 0 0 M b p s 雙 絞 線1 5 5 M b p s S D H2 M b p s S D H1 0 M b p s M S T P電 信同 城 支 行自 助 銀 行異 地 支 行城 域 網同 城 支 行銀 聯(lián)外 聯(lián) 單 位人 行 銀 監(jiān) 局匯 聚 交 換 機S 7 5 0 3 E接 入 交 換 機 S 3 6 0 0 5 2 P E IS 3 6 0 0 5 2 P E IM S R 2 0 4 0M S R 3 0 2 0冷 備S 3 6 0 0 2 8 P E I華 夏 銀