（金融保险）银行网络数据中心设计方案2、系统设计总体方案XX银行全国数据集中工程目录第1章前言8第2章概述9第3章网络设计原则10第4章总体架构设计114.1结构设计114.1.1结构设计策略114.1.2分区模块设计114.1.3分层设计124.1.4物理部署设计124.2上海全国数据中心局域网拓朴13 4.3网络核心层144.4生产区144.5运行管理区154.6MIS区164.7广域接入区164.8OA接入控制区174.9生产外联174.10设备选型推荐184.10.1S8500简介204.10.2AR28-80简介27第5章服务器接入设计32第6章VLAN和SPANNINGTREE设计33 6.1VLAN简述336.2VLAN注册协议（GVRP）346.3VLAN设计366.4STP设计366.5VRRP37第7章IP地址设计38第8章路由选择和设计408.1路由协议选择408.2路由边界408.3路由协议设计（OSPF）418.3.1OSPFArea设计418.3.2OSPFProcessID428.3.3OSPFRouterID438.3.4OSPF链路Metric438.3.5OSPFMD5认证438.3.6选路规划448.4静态路由44第9章QOS设计449.1Q O S服务模型459.1.1Best-Effortservice459.1.2Integratedservice459.1.3Differentiatedservice469.1.4服务模型选择479.2Q O S实现技术489.2.1报文分类489.2.2拥塞管理489.2.3拥塞避免509.2.4流量监管和整形519.3农行数据中心Q O S设计52第10章可靠性设计5510.1可靠性概述5510.2设备级可靠性设计5610.2.1引擎（含主控及交换网）5710.2.2电源6110.2.3模块和端口6110.2.4系统软件6210.3链路级可靠性设计64 10.4网络级可靠性设计6410.4.1拓扑冗余6410.4.2网关冗余6810.4.3路由冗余6910.5应用级可靠性设计71第11章网络安全7111.1安全设计概述7111.2安全管理中心设计73 11.3安全认证中心设计76 11.4模块化的安全构架设计8011.4.1核心交换区8011.4.2生产区8211.4.3OA接入控制区8211.4.4运维管理区8511.4.5MIS服务区8711.4.6生产外联区88 11.5统一的安全联动设计89 11.6其他安全防护考虑91 11.7网络病毒控制93第12章网络管理95第13章数据中心切换104第1章前言上海数据中心工程是XX银行数据大集中项目的重要组成部分，将作为全国生产中心投入运行。
生产数据中心的建成将为提高XX银行的经营管理决策水平和风险控制能力打下坚实的基础，并支持提升中国XX银行整体的服务水平和信息化服务质量。
华为3Com公司深刻认识到数据中心建设对于大集中项目以及中国XX银行发展的重要性，针对数据中心承载多种业务应用的特点，按照高可靠、高安全和先进性的原则对网络整体结构和各个功能分区进行了详细的网络方案设计。
为用户提供最完善的服务是华为3Com技术有限公司的一贯宗旨，有关本方案的一切问题，欢迎用户在随时垂询。
第2章概述针对上海数据生产中心稳定、可靠、高效运行的要求，本方案以高可靠性，高安全性和先进性为原则进行了重点设计。
整体结构上，根据上海数据中心承载多种业务功能的特点，依据统一性，开放性，易扩展和可管理的特性要求，通过模块化层次化的构筑方法，以高可靠、高速率的交换结构为中心，连接生产区，外联区，接入区和MIS区等功能分区，并针对各个功能不同的业务应用需求和安全要求进行了针对性设计。
在本项目设备建议中，我们推荐了先进的QuidwayS8500系列万兆核心路由交换机作为平台构架的主要设备，通过高效的万兆交换技术实现骨干网络的高性能互联，同时，其安全联动、全面的业务支持以及电信级的高可靠特性，更保障本网络具备了有强大的业务支撑和性能扩展能力，可以满足上海数据中心未来3－5年的发展需要。
第3章网络设计原则高可用性网络架构和设备均支持业务系统对服务级别高可靠性的要求，在网络分层部署的架构和设备体系选择以及相关配置上均充分按照高可用的系统设计。
高安全性按照立体的安全体系进行设计，分布式部署，使网络具有统一的安全，支持全网的安全联动。
先进性网络设备支持先进的高性能体系架构，支持高带宽的数据传输。
统一性数据中心局域网是基于大集中“一个整体”基础上考虑。
全网采用统一的架构、策略部署，QoS分类和设备形态，保证全网的可维护性。
开放性本方案网络建设全面遵循业界标准，所推荐采用的设备、技术在互通性和互操作性上，可以支持本网络系统的快速布署。
第4章总体架构设计4.1 结构设计4.1.1 结构设计策略按照数据中心的结构，本方案采用以下策略设计1、高可靠的设计思想融合在结构设计、路由设计、应用服务设计的各个层面；2、针对业务网络应用需求实施全模块化分区设计；3、依照工作重点和结构分工的整网三层体系结构；4.1.2 分区模块设计网络按照业务应用需求，划分以下主要功能区：●生产区●MIS区●生产外联区●广域接入区●运行管理区●OA接入控制区各个区以扩展模块的形式分别连接到数据中心高可靠的核心交换网络。
4.1.3 分层设计按照网络核心，汇聚和接入的模型对数据中心以及之内的每一个功能区域按照层次化结构模型进行划分：核心层构成整个数据中心生产局域网的高速交换核心，为各个功能分区提供高可靠高稳定和支持快速愈合的第三层接入服务。
在核心层设计以高可靠，高速交换为主要原则；汇聚层各个功能分区的交换核心是组成整个生产中心局域网的汇聚层。
汇聚层提供各个分区内部接入层的汇聚，作为各个分区的对外接入，集中实现接入控制和安全控制；接入层在各个分区主机和服务器的接入，具有高密度的接入能力。
支持基于主机端口的访问控制，并针对接入的数据流进行标记工作，便于传输过程中逐级实现针对流量的QoS控制策略。
4.1.4 物理部署设计上海数据中心的核心网络主要分布在上海园区的E2楼的各层，因此网络将按照就近接入的原则将各个功能区网络设备与应用主机就近放置分布在各个楼层。
网络的交换核心、广域接入区等没有主机接入的功能区域放置于网络机房。
4.2 上海全国数据中心局域网拓朴在数据中心的实际部署中，针对数据中心模型进一步细分各个功能分区。
生产区涉及到的应用系统较多包括核心业务以及各种总行级的业务系统。
核心业务系统放置于IBMS/390上，通过在S/390上划分多个分区来实现核心业务相关的不同功能。
考虑到核心业务系统属于银行全部业务核心，属于数据中心的重中之重，同时S/390的操作方式与其他开放平台不一致，因此物理上将生产区设置为核心业务生产区和开放平台生产区2个分区接入到核心层。
测试区根据测试需要尽量与生产网络实现完全分离，根据实际需求确定是否需接入到核心层。
生产外联区包括网上银行的Internet外联以及和合作伙伴的Extranet外联两种方式，在网络结构上和安全部署上有很大不同，因此在实际部署中分别设置2个接入区域连接到核心交换区。
广域接入区设置一个单独的物理分区，提供各个一级分行的流量接入和汇聚。
灾备接入区设置一个单独的物理分区，部署与北京灾备中心的连接和灾备策略的部署。
MIS服务区设置一个单独的物理分区，提供MIS业务应用的服务。
运行管理区设置一个单独的物理分区，提供数据中心和全网的管理和监控。
4.3 网络核心层网络核心层由4台万兆交换机构成，通过万兆实现各个功能分区的接入，同时4台交换机之间采用双万兆捆绑的方式实现高速互联。
为了保证通过核心网络的流量和路径可控，并提高故障切换的效率，对各个功能分区实现三层接入的方式。
为了保证各个功能分区的高可靠性，与各个功能分区的汇聚交换机采用双星型的结构连接。
4.4 生产区生产区将接入数据中心核心生产系统和部分生产系统前置；生产区核心业务平台：由2台汇聚层交换机和2台接入层交换机构成，接入层交接机连接S/390主机系统平台。
生产区开放平台：由2台汇聚层交换机和4台接入层交换机构成，接入层交接机连接开放平台。
连接方式：四台接入层交换设备通过四条千兆线路上联到汇聚层，两台汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。
4.5 运行管理区运行管理区是生产中心主要的人员操作区，主要以各种管理配置平台为主。
运行管理区：由2台汇聚层交换机和2台接入层交换机构成，接入层交接机连接各类业务、网络、配置管理系统；连接方式：两台接入层交换设备通过双千兆线路上联到汇聚层，两台汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。
4.6 MIS区MIS区将接入数据中心MIS处理主机系统，主要以开放平台为主。
MIS系统平台：由2台汇聚层交换机和4台接入层交换机（两层结构、分为外联接入交换机与内联接入交换机）构成，接入层交接机连接各MIS系统平台；连接方式：两台接入层交换设备通过双万兆线路上联到汇聚层，两台汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。
4.7 广域接入区广域接入提供各个下联一级分行的接入，同时支持在接入边界部署安全控制策略。
广域接入平台：由2台汇聚层交换机构成，直接接入路由设备。
连接方式：汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。
在汇聚交换机侧支持部署防火墙和入侵检测设备，采用访问控制和安全联动相结合的方式对接入流量进行安全防护。
（关于安全联动的详细介绍请参阅第十一章：网络安全相关内容）4.8 OA接入控制区OA接入控制区是生产区和OA用户及OA服务器所在功能区的隔离区，OA用户通过此区访问生产的相关资源。
OA接入控制区：由2台汇聚层交换机构成。
在汇聚交换机对外互连处部署防火墙和入侵检测设备，采用访问控制和安全联动相结合的方式对流量进行安全防护。
连接方式：汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。
4.9 生产外联生产外联区主要分为两大部分：网银Internet接入区域、合作伙伴接入区域，两大区域建立统一的汇聚层交换机，按照两大区域对安全级别的要求的不同，分别设置多层DMZ区域。
在合作伙伴接入区域提供和各个金融服务机构，金融监管机构和金融市场的接入，会部署大量的外联前置系统，采用防火墙实现隔离，在DMZ区部署外联前置服务器。