下载文档原格式
农村商业银行建设方案智领普华科技XX目录1概述51.1背景51.2建设目标51.3项目建设内容61.4设计原则61.4.1以客户为中心原则61.4.2品牌原则71.4.3经济性原则71.4.4扩充性原则71.4.5易用性原则72总体方案82.1总体结构82.1.1数据层82.1.2支持层92.1.3函数层92.1.4功能层92.1.5表现层92.2采用J2EE的三层架构102.2.1能有效降低建设和维护成本，简化管理102.2.2适应大规模和复杂的应用需求102.2.3可适应不断的变化和新的业务需求112.2.4能有效提高系统并行处理能力112.2.5能有效提高系统安全性112.3系统软件配置122.3.1服务器操作系统122.3.2数据库管理系统123技术路线143.1统一的工作流管理平台143.1.1快速构建基于流程的应用系统143.1.2灵活的流程制定153.2内容管理平台173.3展现力强的富煤体工具-flex203.4统一的用户管理和权限管理224功能描述234.1门户各类功能（前台）234.1.1首页234.1.2走进本行244.1.3新闻中心254.1.4业务指南264.1.5网点设置264.1.6政策法规274.1.7专题报道284.1.8人才招聘284.1.9联系我们294.2后台功能294.2.1栏目管理294.2.2信息录入、编辑和发布294.2.3模板管理294.2.4信息审核304.2.5信息分类与检索304.2.6广告发布管理模块304.3OA办公管理系统304.3.1管理314.3.2公文管理314.3.3我的工作台324.3.3.1待办工作344.3.3.2日程管理344.3.3.3个人文档354.3.3.4个人信息设置354.3.3.5我的关联364.3.3.6单位通讯录374.3.4行政办公384.3.4.1会议管理384.3.4.2其他行政服务管理394.3.5知识管理394.3.5.1灵活的知识收集过程404.3.5.2文档资料管理414.3.6在线客服424.3.7在线论坛425系统安全方案435.1网络安全435.2通讯安全435.3设备安全445.4系统安全445.5数据安全455.6业务安全456硬件及软件配置方案466.1硬件网络结构466.2硬件配置方案466.2.1IBM System x3755 详细参数466.2.2华为USG2250详细参数477系统实施建议497.1系统实施的组织建议497.1.1项目组织结构497.1.2系统实施的步骤508技术服务548.1热线即时指导服务548.2远程登陆即时指导服务548.3第一时间急修服务548.4上门维修服务548.5巡回检修服务548.6系统调整服务548.7系统常规检查541概述1.1背景随着因特网的进一步发展，各种基于网络的应用业务如雨后春笋地发展起来，方便、快捷、高效的电子商务以惊人的速度飞速扩X。
银行网络建设方案设计随着现代社会经济快速发展，网络技术的不断突破和发展，银行业的信息化建设也在不断推进。
为了满足日益增长的客户需求，提升服务品质，银行网络建设方案的设计变得尤为关键。
本文将从以下几个方面来探讨银行网络建设方案的设计。
一、需求分析在设计银行网络建设方案前，要充分调研和分析客户需求和银行业务需求。
这包括客户对于网银、手机银行等数字化渠道的需求，银行对于数据传输、安全性、可拓展性等方面的需求。
基本上，银行网络建设方案应当针对银行的并行处理能力、稳定性、安全性、有效性、易用性等多方面进行全面考虑。
二、网络架构设计网络架构设计是银行网络建设方案的核心。
银行的网银、手机银行、第三方支付等数字渠道的设计应该借鉴国际最新技术和先进经验，并根据银行业务特点和客户需求进行定制化设计。
同时，网络架构设计还应该针对数据中心的安全和可靠性进行合理规划。
三、网络安全及数据保护在银行网络建设方案设计中，网络安全及数据保护是最重要的一环。
包括安全管控、数据加密、身份认证、反黑客攻击、系统监控等方面。
因为银行的账户余额、交易明细等信息都是敏感数据，更何况还有客户的个人资料、账户信息等。
因此，银行网络安全和数据保护必须高度重视。
四、应用系统设计银行网络建设方案的应用系统应该具备稳定可靠、高效易用、可扩展等特点。
应用系统的设计离不开完善的数据模型、系统架构设计、业务逻辑分析等。
同时，在设计应用系统时，还需要考虑与其他应用程序的兼容性和互操作性，以及可靠的用户界面等方面。
五、设备选型与采购银行网络建设方案设计中设备选型和采购也十分重要。
设备选型包括硬件和软件的选型，硬件选择应考虑其性能和特性，软件选择应基于其开放性和稳定性。
而采购过程中，应该了解行业标准和应用要求，优先选择符合需求、标准、性价比的设备。
综上所述，银行网络建设方案设计是一个复杂而又细致的过程，需要综合考虑客户需求和银行业务需求。
只有科学合理地设置网络架构，实施完备的安全控制、保护措施和数据加密技术，利用先进的应用系统技术和设备，才能够确保银行的网络和服务安全可靠，并提高业务效率和客户满意度，满足银行信息化发展的需要。
商业银行业务网络建设项目方案建议书目录一、系统设计、网络方案 (2)1.前言 (2)2.概述 (3)3.银行网络规划 (4)4.网络Q OS规划 (10)5.网络安全规划 (14)二、系统框架设计图、网络拓扑图 (18)三、产品技术规格设计 (21)1.H3C S7500E系列高端多业务路由交换机 (21)2.H3C S5500EI系列增强型IP V6万兆交换机 (28)3.H3C SECPATH U200-M防火墙 (35)4.MSR50系列多业务开放路由器 (37)5.H3C S5120-EI系列IP V6智能弹性交换机 (45)四、所用的产品环境 (52)五、服务的期限和内容 (53)1、技术支持服务内容 (60)2、服务产品 (66)3、岗位责任 (75)4、CASE处理流程 (77)5、备件策略及RMA流程 (81)6、客户满意度调查 (83)7、文档管理 (85)六、产品详细清单 (86)七、相关成功案例介绍 (90)1.H3C产品市场占有率 (90)2.H3C金融数据中心典型应用 (90)3.H3C金融骨干网/园区网典型应用 (101)一、系统设计、网络方案1.前言文档目的随着国内银行信息化发展的推进，从上世纪八、九十年代开始的会计电算化、电子联行到近几年的数据大集中，揭开了金融行业核心网络安全建设的序幕。
伴随着数据集中的IT集约化、精细化转变，以及银行业务跨越式发展和核心竞争力的极大提升，业界掀起了金融行业核心网络安全建设的浪潮。
银行核心网络的安全性问题是现在银行信息化面临的最为严峻的挑战。
一旦各分/支行核心网络发生安全事故，受到影响的将是所覆盖范围的分支机构和几乎所有业务。
因此，银行核心网络的安全保护工作也就显得尤为重要。
本文档是某商业银行（以下简称：银行）根据自身网络建设标准和要求，结合银行目前网络的现状，考虑未来本行业务的发展趋势和面临的安全挑战，编写的网络安全建设解决方案。
银行网络建设方案Happy First, written on the morning of August 16, 2022网络建设方案参考国内外同行业的组网模型;按照标准化、模块化、结构的原则进行生产中心的升级;改变现状生产中心过于扁平化、安全性低的现状;可以将生产中心规划为：核心交换区、生产服务器区、前置机区、网银区、运行管理区、楼层接入区、办公服务器区、广域网接入区、灾备中心互联区、中间业务外联区等功能模块..在各分区边界部署防火墙;确保访问的安全;实现生产中心的高性能、高安全、高扩展和易管理..核心交换区：为生产网络的各功能子区提供核心路由交换..生产核心区：部署天津商行生产服务和生产小机..前置机服务器区：连接各种业务前置机专用区域楼层接入区迁移：负责本地办公用户的接入..网银区迁移：部署网上银行业务的服务器..DWDM区：连接生产中心和灾备中心的广域传输系统区域..广域网接入区：部署下联各省市分行、天津各区县支行、分理处的骨干网路由器..中间业务外联区：通过专线连接监管单位、合作伙伴;为第三方机构提供外联服务..运行维护区：部署网络和系统管理及维护的业务系统..4.1设计概述东丽数据中心主要需要建立IP网络和存储网络..在IP网络中;按业务功能和安全需要分为不同的网络区域;各个网络区域有独立的网络设备如交换机、防火墙等连接相应的主机、服务器、pc机等设备;每个网络区域的汇聚/接入交换机再连接到IP网的核心交换机上；每个网络区域内部可以根据需要再分为不同的控制区域..IP网络主要分为以下网络区域：核心交换区、生产核心区、前置机服务器区、楼层接入区、开发测试区、网银区、DWDM区、广域网接入区、中间业务外联区、运行维护区;如图：4.1.2 VLAN规划在模块化网络架构中可以看到;数据中心首先是被划分为网络分区;然后基于每个应用对各自架构的QOS需求;再进一步将网络分区划分为逻辑组..为了完成以上阐述的模块化架构;需要在网络的第2层创建VLAN..在不同分区之间互联点和分区内部上行连接点上;都需要创建VLAN..在数据内部;交换核心区域和其他功能区域的汇聚交换机之间运行OSPF骨干区域AREA 0;其他区域内部分别运行OSPF和静态路由..4.2核心交换区设计在东丽数据中心中;核心交换区连接了其他不同的分区..它也作为数据中心连接灾备中心和广域网络的连接点..核心区在数据中心架构中的作用是;尽可能快速地在网络之间实现数据传输的路由和数据交换..核心区主要部署两台高端交换机S12508交换机连接其他功能分区;提供10G 和GE链路的双归属连接..两台核心交换器之间采取Trunk链路连接;启用IRF技术;将两条核心交换机虚拟成一台..核心区交换机连接到所有其他区的边缘设备;有两类连接连接到核心;一类是来自核心生产业务比如生产核心区; 前置机区的连接;对该类应用提供高速访问服务;采用万兆接口这两个区域的汇聚交换机..另一类是其它业务..每个区汇聚交换机/接入交换机都上行连接到Core-SW1和Core-SW2..每个区交换机将使用单独的VLAN;VLAN跨越两个交换机;上行链接到核心..4.2.2 VLAN划分与每个子区域的互联接口可划分为同一VLAN;将核心交换区域与各子域的互联链路进行链路聚合..如下图所示：在2台Core-SW1和Core-SW2核心交换机和各区域的汇聚交换机连接端口上运行OSPF动态路由协议;所属的区域为Area 0;这样各个网络分区系统都可以通过核心区域知道整个网络系统的路由..采用IRF技术后;可以大大简化网络中的路由设置;减少需要的互联路由网段;其中;除网银与中间业务外联区外;其它区域的汇聚/接入交换机与核心之间的互联链路都进行聚合;生产核心区和前置机区在各自区域的核心/接入交换机上启用三层功能;采用OSPF和核心交换区之间进行互通;如下图所示意：4.3生产核心区规划生产核心区用于连接核心的生产业务系统的小机、服务器等生产主机；在该区域采用三层架构;采用全千兆智能接入交换机S5500EI系列交换机提供小机及服务器的光口、电口接入;每个接入交换机采用双千兆光口分别上行到生产核心区的两条汇聚交换机S9508E交换机上;两条S9508E交换机互相之间采用双万兆链路聚合捆绑;启用IRF功能;将两台汇聚交换机虚拟成一台交换机;每个S9508E 各出一个万兆接口上联到数据中心核心交换机S12508上;上行的两条万兆链路启用链路捆绑功能;聚合成一条20G的物理链路..4.3.2 VLAN规划上联到核心交换区的VLAN采用链路聚合;合并为一个VLAN;在分区内部根据不同级别的应用再进一步分配..VLAN分配主要考虑互联VLAN和主机..4.3.3 路由规划汇聚层交换机与核心交换机间运行OSPF路由协议..在设备间运行OSPF时;建议将汇聚层95的相关接口划分在一个OSPF－STUB区域中;以免数据中心中收到过多的LSA..各个功能区与核心区通讯路径要保证双向一致性和确定性..在任何链路状况下;通讯双方的往返路径均相同;并且可预知..生产核心区外连核心区的2条链路的进行链路捆绑;在路由计算上;只有一条路径;但是该路径包含2个万兆端口;提供物理层面的冗余..4.4前置机区规划4.4.1 拓扑前置机区连接生产类系统的前置机等；该区使用4台千兆智能交换机S5500-52C-EI交换机..4台S5500-52C-EI交换机采用IRF虚拟化技术将4台交换机虚拟成一台交换机..4.4.2 VLAN规划上联到核心区的链路进行链路捆绑;采用同一个VLAN进行互联..在分区内部根据不同级别的应用再进一步分配..VLAN分配主要考虑互联VLAN和主机..4.4.3 路由规划接入交换机启用三层功能;前置机网关设置在接入交换机上;接入交换机与核心交换机间运行OSPF路由协议..在设备间运行OSPF时;建议将接入交换机的相关接口划分在一个OSPF－STUB区域中;以免数据中心中收到过多的LSA..各个功能区与核心区通讯路径要保证双向一致性和确定性..在任何链路状况下;通讯双方的往返路径均相同;并且可预知..前置区外连核心区的2条万兆链路的进行链路捆绑;在路由计算上;只有一条路径;但是该路径包含2个万兆端口;提供物理层面的冗余..4.5广域网接入区规划广域网接入区主要连接与各省市分行;天津市内各区县支行;分理处等的上联网络设备;该区使用两台SR6608核心路由器作为各分支机构的上联设备;每个SR6608配置3个CPOS广域接口;2个主用;一个备用..4.5.1 路由规划广域网接入区与整个数据中心采用统一的策略和部署方案;在核心区作为OSPF骨干区的前提下;广域网接入区内部路由协议采用OSPF;在区域内路由详细规划上;建议如下：广域网路由器与核心交换机互联的端口;划分为OSPF骨干域0域广域网路由器下联接口;按照原有的路由规划;划分为1、2、3、4和10、20、30、40等几个路由子域..路由器到核心交换机上的链路采用Trunk链路进行连接..6.2 IRF虚拟化技术IRF 2交换机虚拟化实现多台设备虚拟化成一台设备;即多台设备当做一台设备来运行、管理..大大简化数据中心日益复杂的组网和管理维护;相比于传统的MSTP、VRRP和多路径的路由协议;IRF可以免除这些协议的部署;简化设备并成倍的提升网络性能与可靠性..IRF堆叠具有以下主要优点：简化管理..IRF堆叠形成之后;用户连接到任何一台成员设备的任何一个端口可以登录IRF堆叠系统;这相当于直接登录IRF系统中的Master设备;通过对Master设备的配置达到管理整个IRF堆叠以及堆叠内所有成员设备的效果;而不用物理连接到每台成员设备上分别对它们进行配置和管理..简化网络运行..IRF形成的虚拟设备中运行的各种控制协议也是作为单一设备统一运行的;例如路由协议会作为单一设备统一计算..这样省去了设备间大量协议报文的交互;简化了网络运行;缩短了网络动荡时的收敛时间..IRF技术的这一特性是常见的集群技术所不具备的;后者仅仅能完成设备管理上的统一;而集群中的设备在网络中仍然分别作为独立节点运行..低成本：IRF技术是将一些较低端的设备虚拟成为一个相对高端的设备使用;从而具有高端设备的端口密度和带宽;以及低端设备的成本..比直接使用高端设备具有成本优势..强大的网络扩展能力..通过增加成员设备;可以轻松自如的扩展堆叠系统的端口数、带宽和处理能力..保护用户投资..由于具有强大的扩展能力;当用户进行网络升级时;不需要替换掉原有设备;只需要增加新设备既可..很好的保护了用户投资..高可靠性..堆叠的高可靠性体现在多个方面;比如：成员设备之间堆叠物理端口支持聚合功能;堆叠系统和上、下层设备之间的物理连接也支持聚合功能;这样通过多链路备份提高了堆叠系统的可靠性；堆叠系统由多台成员设备组成;Master设备负责堆叠的运行、管理和维护;Slave设备在作为备份的同时也可以处理业务;一旦Master设备故障;系统会迅速自动选举新的Master;以保证通过堆叠的业务不中断;从而实现了设备级的1:N备份..IRF是网络可靠性保障的最优解决方案..高性能..由于IRF设备是由多个支持IRF特性的单机设备堆叠而成的;IRF设备的交换容量和端口数量就是IRF内部所有单机设备交换容量和端口数量的总和..因此;IRF技术能够通过多个单机设备的堆叠;轻易的将设备的核心交换能力、用户端口的密度扩大数倍;从而大幅度提高了设备的性能..丰富的功能..IRF支持包括IPv4、IPv6、MPLS、安全特性、OAA插卡、高可用性等全部交换机特性;并且能够高效稳定地运行这些功能;大大扩展了IRF设备的应用范围..广泛的产品支持..IRF技术作为一种通用的虚拟技术;对不同形态产品的堆叠一体化的实现;使用同一技术;同时支持盒式设备的堆叠;以及框式分布式设备的堆叠..使用IRF扩展端口数量使用IRF扩展端口数量如下图所示..当接入的用户数增加到原交换机端口密度不能满足接入需求时;可以通过在原有的堆叠系统中增加新的交换机而得到满足..使用IRF扩展端口组网图使用IRF扩展系统处理能力使用IRF扩展系统处理能力如下图所示..当中心的交换机转发能力不能满足需求时;可以增加新交换机与原交换机组成堆叠系统来实现..若一台交换机转发能力为64M PPS;则通过增加一台交换机进行扩展后;整个堆叠设备的转发能力为128M PPS..需要强调的是;是整个堆叠设备的转发能力整体提高;而不是单个交换机的转发能力提高..使用IRF扩展系统处理能力组网图使用IRF扩展带宽使用IRF扩展带宽如下图所示;当边缘交换机上行带宽增加时;可以增加新交换机与原交换机组成堆叠系统来实现..将成员设备的多条物理链路配置成一个聚合组;可以增加到中心交换机的带宽..而对中心交换机的而言;边缘交换机的数量并没有变化;物理上的两台交换机看起来就是一台交换机;原有交换机会将当前的配置批量备份到新加入的交换机..因此;这种变化对网络规划和配置影响很小..使用IRF扩展带宽组网图跨越空间使用IRFIRF2.0可以通过光纤将相距遥远的设备连接形成堆叠设备;如下图所示;每个楼层的用户通过楼道交换机接入外部网络;现使用堆叠光纤将各楼道交换机连接起来形成一个堆叠设备;这样;相当于每个楼只有一个接入设备;网络结构变得更加简单；每个楼层有多条链路到达核心网络;网络变得更加健壮、可靠；对多台楼道交换机的配置简化成对对堆叠系统的配置;降低了管理和维护的成本..跨越空间使用IRF组网图使用IRF简化组网常见的网络组网使用MSTP、VRRP等协议来支持链路冗余、网关备份..这种组网在各种场合均会使用;这里仅以汇聚层与接入层之间的组网为例..使用IRF2.0后;汇聚层的多个设备成为了一个单一的逻辑设备;接入设备直接连接到虚拟设备..这个简化后的组网不再需要使用MSTP、VRRP协议;简化了网络配置..同时依靠跨设备的链路聚合;在成员出现故障时不再依赖MSTP、VRRP等协议的收敛;提高了可靠性..使用IRF简化组网示意图。
商业银行数据中心网络建设方案目录1、数据中心建设分析 (3)1.1 背景 (3)1.2 建设重点 (3)2、数据中心网络系统设计原则 (4)2.1可靠性和可用性 (4)2.2可扩展性 (5)2.3灵活性 (5)2.4高性能 (5)3、数据中心分区设计思想 (5)3.1 区域划分 (5)3.2分区设计的优点 (6)4、数据中心架构设计 (6)4.1设计概述 (6)4.1.1 VLAN规划 (8)4.1.2 路由设计 (8)4.2核心交换区设计 (8)4.2.1 具体设计 (8)4.2.2 VLAN划分 (8)4.2.3 路由规划 (9)4.3生产前置区规划 (10)4.3.1拓扑 (10)4.3.2 VLAN规划 (10)4.3.3 路由规划 (10)4.4 广域网接入区规划（分行接入） (11)4.5.1 路由规划 (13)4.6 QoS设计 (13)4.6.1 QoS设计原则 (13)4.6.2 QoS服务模型选择 (14)4.6.3 QoS规划 (15)4.7 ARP攻击防御 (17)4.7.1 ARP攻击原理 (17)4.7.2 ARP攻击的类型 (17)4.7.3 ARP攻击解决方案 (20)4.7.4 其他技术 (27)5、数据中心管理 (28)5.1数据中心管理设计原则 (28)5.2网络管理 (29)5.3网络监控 (31)6、产品与关键技术 (33)6.1 万兆以太网与100G平台技术的考虑 (33)6.1.1以太网发展进入100G时代 (33)6.1.2服务器万兆互联成为主流趋势 (34)6.1.3核心交换机的价格升级至100G (35)6.2 IRF虚拟化技术 (36)6.2.1技术优点 (36)6.2.2典型组网应用 (37)1、数据中心建设分析1.1 背景当前，国内四大国有商业银行、城市商业银行、邮政储蓄银行、农村信用社、证券等金融机构都在进行数据大集中之后的IT建设，而数据中心和灾备中心的建设是其中建设的重点。
银行业务网络建设方案详细XX银行业务网络建设方案2013年10月目录1 整体建设项目概述 (2)2 网络项目规划 (2)2.1网络规划概述 (2)2.2安全域划分 (3)2.3业务网规划 (5)2.4网管监控网络规划 (7)2.5数据中心规划 (9)2.6业务网网络安全规划 (9)2.7后续网络扩容规划 (11)3 UPS电源系统规划 (13)3.1UPS电源系统概述 (13)3.2电源系统用户需求分析 (14)3.3电源系统设备选型 (14)3.4系统解决方案主要技术特点及参数 (15)4 消防系统规划 (16)4.1灭火系统产品简介 (16)4.2气体灭火系统设置要求 (17)5 项目实施安排 (17)5.1实施进度 (17)5.2实施分工 (19)6 选型设备介绍及资质 (20)6.1核心路由器介绍 (20)6.2防火墙介绍 (24)6.3核心交换机介绍 (30)6.4服务器产品介绍 (32)6.5存储产品介绍 (34)7 设备预算 (37)7.1预算概要 (37)7.2预算清单 (37)1整体建设项目概述XX银行地处XX市中心，目前设立市场部、风险管理部、营业部、综合办公室…，信息接入点XX个。
因业务开展，需建设银行业务系统，上联系统为浙江总部。
机房面积70平方米；周围无易燃、易爆等隐患，无危险建筑；机房区域划分为主机房区与监控机房区；按机房消防标准进行设计；强电、弱电分布符合国家标准；综合布线清晰、合理、安全、规范，易于维护，易于扩展；管道铺设保证机房安全。
2网络项目规划银行业务网络是银行运营信息系统的基础。
网络平台将信息交换、安全防护、安全管理和监控有机结合起来，贯穿整个信息系统的所有层次，是系统正常运转的重要保障。
本部分重点讲述及细化XX银行业务网络的具体规划建设和项目预算。
2.1网络规划概述XX银行从整网结构分析，属于二级分行角色。
通过跨省WAN链路上联浙江一级分行，通过城域网内WAN链路下联村镇分行。
网上银行系统建设项目技术方案书网上银行系统建设项目技术方案书目录一、前言 (1)1.1 网银应用系统目标 (1)1.2 安全保障系统目标 (1)二、技术方案 (3)2.1 系统架构 (3)2.1.1 系统架构 (3)2.1.2 网络及设备兼容性 (13)2.1.3 组件化 (14)2.1.4 多渠道支持能力 (15)2.1.5 后台系统支持及第三方集成能力 (16)2.2 系统设计 (17)2.2.1 7X24小时 (17)2.2.2 多语种 (18)2.2.3 界面交互设计 (18)2.2.4 业务逻辑和交易实现 (21)2.2.5 接口设计 (26)2.2.6 中间件 (27)2.2.7 关系数据库或数据仓库 (27)2.3 性能保障方案和测试案例 (28)2.3.1 网上银行系统交易的特点 (28)2.3.2 性能保障的措施 (28)2.3.3 性能指标 (30)2.4 安全方案 (32)2.4.1 安全建议 (32)2.4.2 安全措施 (33)2.5 开发平台 (33)2.5.1 发展和定位 (33)2.5.2 平台概述 (33)2.5.3 技术拓扑结构 (34)2.5.4 技术架构的特点 (37)2.6 项目开发工具 (43)2.6.1 建模工具 (43)2.6.2 页面工具 (44)2.6.3 调试工具及测试环境 (44)2.6.4 版本管理 (44)三、信息安全和访问控制 (46)3.1 安全概述 (46)3.1.1 安全的重要性 (46)3.1.2 信息系统安全之定义 (46)3.1.3 安全技术 (47)3.1.4 技术的局限 (47)3.1.5 提高安全性的一般原则 (47)3.1.6 侦测及回应 (48)3.1.7 趋势 (48)3.1.8 信息安全的国际标准 (48)3.2 安全政策 (49)3.2.1 安全政策之制定 (49)3.2.2 整体安全政策 (49)3.2.3 威胁模拟（Threat Modeling） (49) 3.2.4 风险评估（Risk Assessment） (50) 3.2.5 制定应对措施（Countermeasure） (50) 3.2.6 安全政策之施行 (50)3.3 安全措施 (50)3.3.1 通讯层 (50)3.3.2 系统层 (52)3.3.3 应用层 (53)3.4 动态口令方案 (57)3.4.1 短信动态口令 (57)3.4.2 动态口令身份认证系统 (57)一、前言本文是对网上银行系统建设的方案建议书，依据对业务需求的理解，阐述了网上银行系统的建设方案，主要涉及网上企业银行、网上零售银行及其相关的后台管理系统（柜员端和内部管理系统部分）的建设规划, 对项目总体目标、业务需求的实现、技术规划等内容进行说明1.1网银应用系统目标在体系结构、系统安全、性能、可扩充性登技术方面遵循的总体策略；建立统一的身份认证系统，个性化的身份标识，安全的单一登录；系统设计参数化、模块化，适应业务多元化及金融创新产品的快速开发要求；保证网上银行相关各类信息的传输安全性；全面的访问控制策略，灵活的多级授权机制以及合理的工作流控制；支持建立完整的网上银行业务管理体系；支持交易完整性控制；建立支持各类总行和分行中间业务产品快速开发的机制；建立系统化的内部控制体系，有效防范风险；实现7x24小时客户服务；具备方便的监控，全面掌控系统运行状况；支持详细的审计日志，满足全面的审计；灵活定制各类查询和统计报表；支持实时交易量统计；实现全面的网上银行服务，有效地帮助维护和开发优质客户；从体系结构上确保网上银行系统能够根据实际需要方便、快速地扩展到网络银行应用平台，便于整合通过多种渠道提供的客户服务系统。
银行联网方案第1篇银行联网方案一、背景随着金融业务的不断发展，银行机构对网络化、智能化的需求日益增强。
为实现业务高效处理、风险有效控制、客户优质服务，提高银行竞争力，特制定本银行联网方案。
二、目标1. 满足银行业务发展需求，提高业务处理速度和效率。
2. 确保网络安全，降低系统风险，保护客户信息。
3. 提高客户服务质量，提升客户满意度。
4. 符合国家法律法规及监管要求，确保合法合规。
三、联网方案设计1. 网络架构采用层次化、模块化的网络架构，分为核心层、汇聚层和接入层。
核心层负责处理高速数据交换，汇聚层实现业务汇聚和分发，接入层为各类终端设备提供接入服务。
2. 网络设备选型核心层：选用高性能、高可靠性的路由器和交换机，确保网络稳定运行。
汇聚层：选用支持高密度接入的网络设备，满足大量终端设备接入需求。
接入层：根据不同场景选择合适的接入设备，如无线AP、接入交换机等。
3. 网络安全（1）部署防火墙、入侵检测系统（IDS）和入侵防御系统（IPS），防止外部攻击和内部安全风险。
（2）采用虚拟专用网络（VPN）技术，实现数据加密传输。
（3）实施严格的访问控制策略，限制非法访问。
（4）定期进行网络安全检查和风险评估，确保网络持续安全。
4. 数据存储与备份（1）选用高效、稳定的数据存储设备，确保数据安全存储。
（2）采用两地三中心的数据备份策略，实现数据实时备份和灾难恢复。
5. 业务系统部署（1）根据业务需求，部署相应的银行业务系统，如核心业务系统、网上银行、手机银行等。
（2）采用云计算技术，实现业务系统的高效运行和弹性扩展。
四、实施方案1. 项目筹备成立项目组，明确项目目标、范围、时间表和预算。
2. 设备采购与部署根据设计方案，采购相关网络设备，并进行部署、调试。
3. 网络割接在确保业务正常运行的前提下，分阶段、分区域进行网络割接。
4. 系统测试与优化对业务系统进行测试，确保系统稳定运行，并对网络进行优化调整。
《网络集成实训》课程设计任务书目录第一章需求分析 (4)一、某城市商业银行网络系统规划背景与设计需求 (4)二、城市商业银行的网络建设目标 (5)第二章网络方案设计 (7)一、方案设计目标 (7)二、方案设计原则 (8)三、方案说明 (9)四、IP划分与VLAN划分 (14)五、关键技术的实现 (15)六、方案特点 (17)第三章产品选型分析 (18)一、设备清单 (18)二、产品选型分析 (19)第四章主要配置文件（附件） (36)一、核心层配置 (36)二、汇聚层配置 (37)三、接入层配置 (43)前言互联网科技日新月异，飞速发展。
人们在金融消费上的观念发生了巨大的变化，如果银行想要适应这种变化以提升竞争力并且通过它来盈利，银行就必须随着这些变化做出了相应的调整和适应，就要提供稳定、高效的高质量服务。
本规划就是在此前提下做出来的，它提供了一种妥善的解决方案，并且同样适用于其它同类型的银行联网建设。
为了适应原有计算机网络的发展和扩大，以及适应各企业、事业部门筹建新的计算机网络，从事通信事业的部门和公司纷纷建立公用数据通信网络，增设各类数据通信服务项目。
使用公用数据通信网时，不需要铺设或租用专用线路，所以投资少、通信费用低，便于中小型企事业单位的计算机和终端入网。
另外由于采用标准通信接口设备，还易把新型计算机和终端连入网内。
再有由于有了公用数据通信网作为基础后，想要筹建新的计算机网络时，只要根据使用者的要求和资源设置情况，制定较高级别的网络协议，并在相应主机系统上用本国相应协议的支持软件即可。
一般地说，在公用数据通信网的基础上可以建立多个类型、功能、协议均不相同的计算机网络。
因此，同一主机系统可以从用于不同的计算机网络，只要在同一主机中配置不同的网络所需要的基本软件就可能做到这一点。
更进一步，如果在不同计算机网络之间，群制定网络互连协议配置相应软件，就能构成更复杂的、规模更大的计算机网络。
第一章需求分析一、某城市商业银行网络系统规划背景与设计需求某城市商业银行由银行总部和10个营业网点构成，营业网点遍布全市各区域。
商业银行业务网络建设项目方案建议书目录一、系统设计、网络方案 (2)1.前言 (2)2.概述 (3)3.银行网络规划 (4)4.网络Q OS规划 (10)5.网络安全规划 (14)二、系统框架设计图、网络拓扑图 (18)三、产品技术规格设计 (21)1.H3C S7500E系列高端多业务路由交换机 (21)2.H3C S5500EI系列增强型IP V6万兆交换机 (28)3.H3C SECPATH U200-M防火墙 (35)4.MSR50系列多业务开放路由器 (37)5.H3C S5120-EI系列IP V6智能弹性交换机 (45)四、所用的产品环境 (52)五、服务的期限和内容 (53)1、技术支持服务内容 (60)2、服务产品 (66)3、岗位责任 (75)4、CASE处理流程 (77)5、备件策略及RMA流程 (81)6、客户满意度调查 (83)7、文档管理 (85)六、产品详细清单 (86)七、相关成功案例介绍 (90)1.H3C产品市场占有率 (90)2.H3C金融数据中心典型应用 (90)3.H3C金融骨干网/园区网典型应用 (101)一、系统设计、网络方案1.前言文档目的随着国内银行信息化发展的推进，从上世纪八、九十年代开始的会计电算化、电子联行到近几年的数据大集中，揭开了金融行业核心网络安全建设的序幕。
伴随着数据集中的IT集约化、精细化转变，以及银行业务跨越式发展和核心竞争力的极大提升，业界掀起了金融行业核心网络安全建设的浪潮。
银行核心网络的安全性问题是现在银行信息化面临的最为严峻的挑战。
一旦各分/支行核心网络发生安全事故，受到影响的将是所覆盖范围的分支机构和几乎所有业务。
因此，银行核心网络的安全保护工作也就显得尤为重要。
本文档是某商业银行（以下简称：银行）根据自身网络建设标准和要求，结合银行目前网络的现状，考虑未来本行业务的发展趋势和面临的安全挑战，编写的网络安全建设解决方案。
本方案在保护现有投资的前提下，也考虑到了后期网络发展的需求，在提升网络运维性能和安全防范的同时，最大限度兼顾银行当前已有的网络资源。
文档适用人员本文档主要面向负责银行网络设计和实施的设计人员、应用部门、维护人员及服务商的项目实施小组成员，为项目组完成本次网络安全建设提供建议。
文档内容范围本文档设计基于银行IT及基础设施规划，涵盖了总行外联业务区、分行网络、支行广域网接入等方面的详细设计，其中包括：●网络总体规划●总行外联业务网●分行网络●总行办公核心升级2.概述网络现状银行成立于2006年，现已发展成为由民营企业、自然人和内部职工共同持股、拥有一千多名员工的股份制商业银行，营业网点基本覆盖。
银行网络放置了网络、计算、存储等各种资源，数量庞大、管理复杂，参考各设备制造商在金融行业长期的最佳实践，银行拟利用模块化的设计思路，采用分区、分层、分级的设计方法，实现数据网络逻辑功能的模块分区设计。
这种标准化的数据网络架构层次清晰，能够实现银行数据网络高可靠、高性能、易管理、易扩展的目标。
需求分析在银行当前网络中，分行尚在建设中，计划打造全新的网络架构，同时接入总行；台州本部网络由于建设较早，业务外联区需要进行新的整合，办公网核心交换机老化严重，维护压力和维护成本较高，需要进行升级。
➢业务外联区在总行建立新的业务外联区，通过专线连接合作伙伴，为合作伙伴外联服务。
➢分行网络分行网络分为办公网和生产网，两套网络物理隔离，均属于新建网络。
➢总行办公核心升级当前的办公核心交换机老化现象比较严重，已不能满足日益增长的业务需求和发展势头，需要进行升级更换。
3.银行网络规划银行中运行的业务系统比较多，重要性也非常高，各种应用系统的投入运行，信息网络系统安全越来越直接的影响到企业的生产、经营及金融、资金的稳定与安全，与经济效益和社会利益也越来越紧密的联系在一起。
此外，由于银行系统业务的特殊性和实时性，信息网络系统的任何间断和失误都可能给用户带来不可挽救的损失，可以说，信息网络系统的安全非常重要。
因此如何设计一个高效的，经济的，风险最低的安全网络信息系统已成为银行亟待解决的重大问题。
银行业务外联区银行内部生产网络与外部机构（如监管部门、银联、券商等）进行通信时所必需经由的网络平台，称为业务外联区。
当前与银行进行网间互联的机构主要包括：银监会、人民银行、银联、海关、部分券商，以及其它业务合作单位等。
以下为银行总行新的业务互联区拓扑架构。
由于业务外联区主要是与一些第三方机构进行网络互连，应充分满足可靠性和安全性要求：网络层面：✓杜绝单点故障：采用双设备、双线路。
✓独立的外联设备，包括使用单独的以太网交换机，防火墙，路由器网络设备。
安全层面：✓必须在内、外网之间应设置专用的防火墙。
✓如条件许可，实现“双层、异构”的防火墙部署模式（核心交换机上部署防火墙插卡并设置专门的外联功能分区）。
本方案中，建议采用杭州华三通信技术有限公司生产的高性能H3C MSR5060路由器、S5500EI千兆三层交换机、S5120EI千兆二层交换机、SecPath U200防火墙组建业务外联区。
其中，MSR5060提供丰富的多接口的第三方接入；S5500EI作为DMZ区服务器网关设备；S5120EI作为外联交换机使用，将路由器与防火墙进行串接；SecPath U200用于对整个外联区进行安全防护。
分行网络分行网络可划分为生产网和办公网两张物理分离的网络。
整体网络框架规划如下：生产网生产网可分为核心交换区、广域网接入区、服务器接入区、功能互联区、第三方接入区、用户接入区等。
具体拓扑如下：●核心交换区核心交换区作为分行生产网的核心，连接不同的功能区域，实现数据的高速转发。
由于性能是该功能区最关键的因素，所以建议使用高性能的S5500EI三层交换机，并且在核心交换机上要避免使用那些可能会影响处理速度的访问列表定义●广域网接入区广域网接入区由核心骨干网路由器构成，建议采用多接入端口的MSR5060路由器，提供上下级分行之间的互联互通。
●服务器接入区生产服务器接入区采用两台稳定的高性能的交换机S5500EI和四台S5120EI构成，每台S5500EI都与两台核心交换机三层互联，采用千兆光纤连接。
同时，为了增强服务器区的安全性，在S5500EI上侧挂两台SecPath U200防火墙，对生产服务器进行全方位的安全防护。
●第三方接入区第三方接入区所涉及的业务主要是中间业务等外联前置系统，当前规划中放置两台三层交换机S5500EI。
●广域网接入区广域网接入区采用两台稳定的高性能的交换机MSR5060构成，与两台核心交换机通过千兆光纤三层互联，行成一个口字形连接。
同时，MSR5060上配置冗余电源、高密度的广域网串接口等。
●用户接入区用户接入区由两台S5500EI交换机及一部分楼层接入交换机构成，两台S5500EI通过千兆光纤上行连接到核心交换区。
●功能互联区功能互联区采用三级架构，首先通过两台S5500EI通过千兆光纤上行连接到核心交换区，然后下挂两台SecPath U200防火墙，防火墙下面再挂两台S5500EI千兆三层交换机。
办公网办公网和生产网的架构非常相似，也可分为核心交换区、广域网接入区、服务器接入区、功能互联区、第三方接入区、用户接入区等。
●核心交换区核心交换区作为分行办公网的核心，连接不同的功能区域，实现数据的高速转发。
由于性能是该功能区最关键的因素，所以也建议使用高性能的S5500EI三层交换机，并且在核心交换机上要避免使用那些可能会影响处理速度的访问列表定义。
●广域网接入区广域网接入区由核心骨干网路由器构成，建议也采用多接入端口的MSR5060路由器，提供上下级分行之间的互联互通。
●服务器接入区办公服务器接入区采用两台稳定的高性能的交换机S5500EI和四台S5120EI构成，每台S5500EI都与两台核心交换机三层互联，采用千兆光纤连接。
同时，为了增强服务器区的安全性，在S5500EI上侧挂两台SecPath U200防火墙，对办公服务器进行全方位的安全防护。
●第三方接入区当前规划中放置两台三层交换机S5500EI。
●广域网接入区广域网接入区采用两台稳定的高性能的交换机MSR5060构成，与两台核心交换机通过千兆光纤三层互联，行成一个口字形连接。
同时，MSR5060上配置冗余电源、高密度的广域网串接口等。
●用户接入区用户接入区由两台S5500EI交换机及一部分楼层接入交换机构成，两台S5500EI通过千兆光纤上行连接到核心交换区。
同时考虑到办公网需要严格控制交换机的接入，因此需要考虑基于交换机端口控制的端口准入控制技术（EAD）配合相应的客户端软件实现对接入的增强，当前交换机需预先支持此类功能。
功能互联区功能互联区采用三级架构，首先通过两台S5500EI通过千兆光纤上行连接到核心交换区，然后下挂两台SecPath U200防火墙，防火墙下面再挂两台S5500EI千兆三层交换机。
办公核心升级对于银行总行来说，办公核心交换机必须要有较高的性能和先进的架构。
本次推荐的核心交换机S7506E-S具有分布式转发模式、引擎切换零丢包和在线热补丁等特点，其交换容量为768G、转发性能为488M。
考虑到下联区域需向21个支行及近三十个自助银行提供接入，对设备性能及稳定性要求极高，S7506E配置的引擎为Salience VI-Turbo交换路由引擎，有着128K的MAC地址表和128K的IPv4路由转发表。
4.网络Qos规划数据的分类目前银行的数据主要可分为业务类、办公类和监控类三种。
其中，业务类主要是与柜面业务密切相关的业务，如储蓄、会计业务、外接在线业务和Internet 在线服务等，运行的均是银行最重要的数据，必须重点保证。
监控类数据主要是配合业务运行的，在业务运行的同时，必须保证监控数据的稳定传输。
办公类数据主要为一些行内的OA、Internet信息服务、外部管理信息交换办公服务，是可以在Qos中最后考虑的数据。
QoS实施策略根据这些数据类型及特点，为建立统一的QoS策略，简化QoS配置，采用的QoS策略如下：数据优先级标记的设置——通过Policy-Based Routing实现；拥塞避免机制——采用WRED- Weighted Random Early Detection实现；队列输出管理机制——采用CBWFQ- Class Based Weighted Fair Queuing 实现。
带宽控制机制——采用CAR- Committed Access Rate实现针对典型的银行的应用情况，可以把需要使用QOS的各种应用划分为3类：1) 业务：这类数据的特点是交易包长度固定，交易时限要求实时，上下行数据流量基本对等，因为是网络中的关键应用，所以定义为最高优先级；2) 监控：这类数据的特点是数据流量大，网络要求实时性不高。
