某证券公司柳州营业部网络设计方案第一部分.doc

某证券公司柳州营业部网络设计方案第一部分.doc

《某证券公司柳州营业部网络设计方案第一部分.doc》由会员分享，可在线阅读，更多相关《某证券公司柳州营业部网络设计方案第一部分.doc（32页珍藏版）》请在冰点文库上搜索。

××证券柳州营业部网络系统方案：

网络解决方案

目录

第一部分网络解决方案 １

一、前言 １

二、需求分析 ２

1、建设背景 ２

2、系统需求 ２

三、网络系统设计 ２

1、系统设计目标 ２

2、系统设计原则 ３

3、系统总体设计 ３

4、网络平台详细设计 ４

5、服务器系统详细设计 １３

6、操作系统平台选择 ２１

四、安全体系设计 ２１

1、主机安全 ２２

2、数据安全 ２２

3、网络安全 ２４

五、工程实施 ２８

1、工程实施成功的要素 ２８

2、工程管理组织 ３０

3、工程实施步骤 ３１

4、工程文档 ３２

第一部分网络解决方案

一、前言

随着××证券公司自身业务规模的不断扩大，为了更好的对广大股民提供服务，××证券计划对公司柳州营业部新址的证券业务进行重新规划，并在近期建造一个全新的电脑网络系统。

北京××软港致力于证券行业的系统集成及软件开发，多年在广西区内为各证券营业部实施系统集成工程，具有丰富的证券行业系统集成经验，在区内拥有百分之六十的市场占有率，声誉卓著。

随着国际互联网的发展，北京××软港已大踏步地向网络化发展，为券商提供全面的系统集成解决方案。

为了把××证券柳州营业部新址的计算机网络系统建设成为一个可伸缩性好、安全可靠、稳定先进的网络平台，北京××软港在进行方案设计时充分利用了××软港在证券行业以及银行交易系统开发和服务方面长期积累的成熟先进技术资源，在保证系统提供高性能、高可用、安全交易的前提下，保证系统具有良好的可扩展性。

经过详细的分析，××软港推荐××证券采用××新世纪券商千兆解决方案。

本方案有如下特点：

l采用三层硬分离结构，实现内外网完全隔离，网络千兆主干冗余，百兆上联冗余，百兆全交换到桌面，不存在单点故障，保证网络不会因为某个设备故障而导致整个网络崩溃。

l采用先进NHAS系统（NovellHAServer），通过使用高性能的磁盘阵列柜，提高了Novell行情服务器的可靠性和可用性，保障证券Novell服务器能7x24小时不间断地高速运作。

l采用先进的LifeKeep技术（NCRLifeKeep），通过使用高性能的磁盘阵列柜，提高了交易服务器的可靠性和可用性，保障证券交易服务器能7x24小时不间断地高速运作。

l工作站采用IntelPro/100S可管理网卡，硬件级支持DES加密，底层完成保护在局域网中传输的数据，并支持远程唤醒。

下面，我们就对这个解决方案做详尽的阐述。

二、需求分析

1、建设背景

××证券公司在近期将柳州营业部搬迁至新址，同时为了满足不断增长的业务，需要建立一个全新的高效的计算机网络系统，以增强自身的竞争能力。

这个网络系统不仅是为证券交易业务提供一个强大稳定的平台，具备行情发布和柜台交易功能，而且还能提供办公自动化功能，提高××证券公司的办公效率。

网络系统必须是高效、安全的，还应该具备很好的扩展性。

2、系统需求

l网络主干要求达到千兆位带宽，桌面接入要求达到百兆位带宽；

l网络结构要求做到完全冗余，不存在单点故障，能不间断运作；

l网络系统要求至少提供1000个信息点的接入能力；

l主机系统能够满足目前以及未来的应用需要，具备高可靠性和高扩展性。

三、网络系统设计

1、系统设计目标

1）为营业部中各个部门的证券交易业务以及办公自动化业务一个安全稳定可靠的运行控制和集成管理核心网络环境，为所有的信息点提供100M全交换的桌面接入；

2）提供丰富的网络服务，实现广泛的软件、硬件资源共享，避免重复投资，发挥系统最大效益；

3）主机系统应具有高度的可靠性，能7x24小时不间断工作，并有容错措施；还应具备很高的安全性，以保证券商网络中机密数据的合法访问；具有广泛的软件支持，软件兼容性好，并支持多种传输协议；

4）主机系统应享有较好的性价比和较低的总拥有成本，并具有良好的向后扩展能力和一定的先进性；考虑到券商技术力量的限制，主机系统应易于使用和维护；

2、系统设计原则

本网络系统作为××证券业务的核心基础，应充分利用先进技术，通过组织和利用系统资源，以合理的代价，为用户提供安全、可靠、有效、充分、友好的服务。

为了满足××证券的业务对网络系统的要求，针对××证券的具体需求和业务特点，在网络系统的构架中应遵循以下原则：

1）高安全性和可靠性原则：

整个系统必须具有高度的安全性、可靠性和稳定性，保证网络系统能高可靠的运作。

在万一出现局部故障时应不影响网络其它部分的运行，并且故障便于诊断和排除。

充分体现计算机网络的高可用性；

2）成熟性和先进性原则：

应采用被实践证明为技术成熟且领先的技术方案，最大限度地满足现在业务和未来发展的需求；

3）开放性和可扩展性原则：

应考虑未来发展的需要，使系统与未来扩展的设备具有互联性和互操作性，又便于升级、换代，使整个系统可以随着科学技术的发展与进步，不断得到充实、完善、改进和提高，并且能很方便地融于全球信息网络中；

4）集成性和可管理性原则：

充分考虑系统所涉及的各子系统的集成和信息共享，保证系统总体上的先进性和合理性，采用集中管理、操作和分散控制的模式；

5）经济性原则：

系统应具有较高的性能价格比。

3、系统总体设计

要充分考虑到系统既要高起点地满足当前需求，又要满足将来可能的爆炸式的增长，就必须将系统建立在一个强健的、高度可伸缩的体系结构之上。

我们建议的就是这样一个体系结构。

我们采用分层设计方法来设计××证券网络系统，其中核心网络由主干交换机组（核心层）和桌面接入交换机群（访问层）、路由器（边缘层）构成。

系统总体逻辑结构如下：

根据系统设计目标的对系统规模的要求，我们对系统进行了细致的设计和论证，我们将在下面展开详细阐述。

4、网络平台详细设计

1）网络技术选择

采用完全交换式以太网技术

完全交换式以太网技术，能有效提高整个网络的性能和可靠性，主要表现在：

1、采用完全交换式以太网技术后，任何一个点的突发性事故不会对网络中其他部分造成影响，系统可以自动的屏蔽该点的故障，切断虚电路。

2、在目前证券行业的计算机网络模式中，利用完全交换式以太网技术，可以有效的屏蔽广播包，同时可以利用交换机的背板带宽，提高重要工作站间的数据交换处理能力。

3、采用完全交换式以太网技术，可以利用802.X生成树协议（SpanningTree），对网络进行冗余、均衡配置，提高系统的可用性和安全性。

采用千兆交换式以太网技术

采用千兆以太网技术

千兆网络技术已经成熟，千兆产品正在成为市场的主流。

千兆网络可以轻松解决证券公司在行情火爆和交易量大时，出现的网络“瓶颈”问题。

千兆网络方便以后证券交易网络的升级，可以保护证券公司投资。

千兆以太网技术的优势

核心设备具有更强的处理能力；

可与目前的以太网（10M）、快速以太网（100M）设备无缝连接；

利用现有的以太网知识就可以管理、监视和维护千兆以太网；

千兆以太网技术是组建网络主干的核心技术；

基于RSVP和IEEE802.1Q/p标准实现CoS，从而提供不同的服务等级。

采用千兆铜缆以太网技术

千兆铜缆技术能在普通双绞线实现千兆速度的数据传输。

千兆铜缆设备可实现百兆和千兆的自适应，实现与原有的快速以太网设备无缝连接，保护投资。

千兆铜缆设备与千兆光纤设备相比具有更高的性价比。

网络设备冗余与容错

网络系统的可靠性对于证券公司来说至关重要，甚至高于对性能的要求。

网络可靠性可采用冗余的网络互连结构和故障迅速恢复技术来实现。

要实现网络的可靠性，消除交换机的单点故障，必须采用硬件上的冗余，主要包括主干交换机冗余、二级交换机上行链路冗余和服务器网卡冗余。

主干交换机冗余

可采用双主干交换机形式——两台交换机相互冗余形式或一台主交换机与一台备用交换机相结合形式。

通过GEC（GigaEthernetChannel）技术还可实现负载均衡。

二级交换机上行链路冗余

通过SpanningTreeProtocol生成树协议，可采用光纤或铜缆作为上行冗余链路。

服务器网卡容错

在服务器上安装两块服务器网卡，分别连接两台主干交换机，形成服务器与主干交换机之间连接的冗余，实现容错功能。

通过以几方面的论述可以看出：

我们的方案能够保证网络的可靠性，做到中心交换机的故障不会导致整个网络瘫痪，并提供最快速的故障恢复方案，从根本上消除证券公司面临的风险。

2）网络设备厂商选择

目前能够提供网络产品的厂商很多，Cisco、3Com和Intel等公司都有从路由器到交换机的全线网络产品，用户选择余地较大。

然而这些公司的技术、产品、服务与价格存在一些差异，故网络厂商的选择时，应认真分析这些公司的特点，并结合所建系统的具体特点。

Cisco在高端产品市场优势明显，但价位较高。

但其在网络解决方案方面，具有较高的领先性和良好的性价比。

3Com在高中低端的网络产品市场，尤其在桌面市场占据一定优势。

Intel公司的近年来在网络方面发展很快，尤其在千兆铜缆产品方面，其在服务器网卡市场占有绝对的优势。

特别是其千兆服务器网卡，目前尚未有同类产品可以匹敌。

这几个公司各有其特点，根据××证券公司网络系统的具体特征，推荐选用Cisco公司交换机产品、选用Intel公司的网卡来构建网络系统。

3）网络拓扑结构

我们在这里为××证券设计的网络方案，其网络拓扑图如下：

4）网络平台设计详述

网络平台采用两台Cisco4006千兆企业级交换机作为网络主干交换机，两台480T千兆交换机之间采用GEC光纤通道实现互为冗余容错，同时还能实现负载均衡，从而保证主干网络的可靠性和稳定性以及提高性能，杜绝网络单点故障。

内网的主干交换机采用两台Cisco2948G企业级交换机通过多个百兆端口实现FEC通道来互为冗余备份，同时还能实现负载均衡。

行情服务器通过安装的两块IntelPro/1000GigabitServerAdapter（千兆光纤网卡）进行AFT容错，实现网卡互为冗余备份，防止因网卡出错而导致系统工作中断。

而且每台服务器都采用冗余光纤链路分别连接到外网的两台4006主干交换机的千兆光纤口上。

交易服务器也采用两块IntelPro/1000GigabitServerAdapter（千兆光纤网卡）AFT容错方式，并通过冗余光纤链路分别连接到内网的两台2948G主交换机的GBIC千兆光纤口上。

对于桌面接入交换机（二级交换机），我们采用Cisco2924独立式百兆交换机，为桌面PC提供100M全交换接入。

而且每台Cisco2924都采用百兆冗余铜缆上行链路分别连接到两台4006的百兆铜缆口上。

与国际互联网的连接通过ADSL设备来实现，并且采用防火墙软件抵御外部网络入侵。

外部网络和内部网络之间采用中间件来安全隔离，保证内部网络数据的安全性和可靠性。

5）网络设备产品简介

CiscoCatalyst4006

CiscoCatalyst4006能够在一个机箱中满足多达240个快速以太网端口的网络部件连接要求，背板带宽是60Gbps。

Catalyst4006的热插拔模块的即插即用交换解决方案降低了复杂性，可以简单地支持当今网络不断变化的桌面环境。

未来端口接口增强包括无线PC连接、千兆铜缆连接。

Catalyst4006结合了高级工程技术和生产进步，以更加经济有效的价格提供更加强大、更加可靠的企业交换解决方案。

它重新定义了新的性价比值。

Catalyst4006提供的自治愈网络智能，足以快速恢复端口、设备及网络故障，而没有明显的桌面延迟。

主要优点包括：

·性能--提供了先进的交换解决方案，它能随着您端口的添加而增大带宽。

领先的ASIC技术更是使Catalyst4000系列解决方案如虎添翼，ASIC技术提供了线速第2层和第3层10/100或千兆位交换。

其中，第2层交换由24Gbps、18Mpps引擎驱动，第3层交换则由可伸缩的8Gbps、6Mpps引擎驱动。

·投资保护--灵活的模块化体系结构对配线室中的动态桌面连接提供了经济高效的管理。

Catalyst4006背板进一步提供了网络保护能力，因为它支持60Gbps无阻塞容量，所以这种机箱更能适应未来需要。

·功能透明板卡--Catalyst4000的结构优势扩大了Catalyst4000系列板卡的部署寿命。

只要简单地添加其它引擎模块，如新的第3层服务模块，Catalyst4000系统就能方便地将所有系统端口升级到更高层的交换功能。

不需要更换现有板卡就能在系统端口上实现高层功能增强，这在常规交换产品中是很常见的。

这样，新的Catalyst4006端口可以随时用于WAN、IP电话、第4层到第7层Web交换。

·模块化监控器引擎保护--Catalyst4006机箱背板和监控器连接器可以支持未来的监控器引擎升级。

未来改进的可能性包括将可伸缩交换机结构容量增加到64Gbps、使用线速第3层和第4层交换和基于未来技术的千兆位上行链路。

·CiscoIOS网络服务--Catalyst4000系列交换机提供了成熟的企业第2层和第3层特性，能够有效地增强公司网络的能力。

这些特性满足大中型企业的高级联网要求，因为它们的推出直接得益于多年的Cisco客户反馈意见。

·基于硬件的组播--协议独立组播（PIM）密集和稀疏模式、Internet组群组播协议（IGMP）、以及Cisco组群组播协议（CGMP）支持基于标准的、Cisco改进的高效多媒体联网。

·共享内存体系结构，没有线路头阻塞--集中式低等待延迟（1.4微秒）、共享内存交换结构提供了领先的能力，消除了所有可能的线路头部阻塞。

·桌面能够使用千兆位能力--Catalyst4000系列已经提供了丰富的1000Mbps千兆位和千兆位服务器交换解决方案。

Catalyst4000系统的千兆位解决方案的使用范围可以方便地扩展到桌面。

·可管理性--利用每一种Catalyst4000系列交换解决方案提供的先进的管理能力以及每一个端口中内置的基于业界标准的管理功能，Catalyst4000系列的控制能力和安全性都得到了加强。

您可以灵活地选择是使用基于Web的图形用户接口（GUI）还是命令行接口（CLI）来完成管理任务，从而增强了您的网络操作能力。

·降低网络操作费用--因为Catalyst平台、体系结构和软件之间有更高的一致性，所以费用得到了很大降低。

另外，端到端的Cisco管理和服务也降低了网络的总拥有成本。

·保护关键任务应用的性能--集中式企业策略创建加上CiscoAssure支持和针对第2层CoS和第3层ToS的网络服务质量，这些可共同保证您能够从边缘到核心得到一致的应用性能。

·高可用性--Catalyst4000系列提供了自恢复网络智能，它的速度足以从端口、设备、链路上发现故障而在桌面上没有明显延迟。

·面向未来的网络--Cisco的继续开发和投资使CiscoCatalyst4000系列LAN解决方案成为一个具有战略意义的配线室和分支机构平台，它经历了多年的不断改进。

Catalyst4000系列能轻松地应对网络发展，通过简单地添加更多的端口，您可以有效地提高您网络的带宽。

另外，功能上透明的体系结构优势将扩大每个交换板卡的有效时间，允许您随着您的需求而添加更高级的功能，而不需要进行彻底升级。

CiscoCatalyst2948G

Catalyst2948G为一固定配置的第二层的以太网交换机，提供48个RJ-4510/100M端口和2个千兆以太网上联端口，带有模块化的千兆以太网转换器（GBIC）端口。

Catalyst2948G支持Catalyst企业版的系统软件。

该特点不仅使其与其它Catalyst交换机具有互操作性，还是供业界最丰富的第二层的特点。

其主要支持的软件特点包括：

·先进扩展性（如FastEtherChannel,DynamicVLAN,802.1Qtrunking）

·带宽管理（QoS，协议过滤，链路负载平衡）

·网络的可靠性（UplingFast,PortFast,Spanningtree）

·安全性（每端口的安全，验证，IPPermitLists）

----Catalyst2948G是企业级桌面交换机，其很高的性能，可靠的软件，高性能非阻塞的结构为××证券的内网提供保障。

----Catalyst2948G具有24Gbps的带宽，可以同时支持48个10/100和千兆口同时以线速交换。

Catalyst2948G高性能的结构将减少拥塞和提供整个网络的相应时间。

Catalyst2948G支持各种容错特点，包括一个外置的冗余电源（单独购买），支持多条负载均衡的中继（FastEtherChannel），多个Spanningtree，快速收敛的软件工具如PortFast和UplinkFast。

广泛的硬件和软件的容错工具使Catalyst2948G可以提供当今关键任务网络所需要的灵活的平台和容错特性。

CiscoCatalyst2924XL

CiscoCatalyst2924XL交换机拥有24个10Base-T或100Base-TX端口，背板带宽是3.2Gbps。

它还具备以下的杰出优点：

·12或24个10Base-T/100Base-TX自适应端口能够为要求苛刻的工作组和服务器提供最需要的功能，同时保留了传统的10Base-T连接（Catalyst2912XL和Catalyst2924XL）。

·24个10Base-T/100Base-TX自适应端口能够为要求苛刻的工作组和服务器提供最需要的功能，同时保留了传统的10Base-T连接。

·3.2-Gbps交换网和3Mpps的传送速度保证了所有10Base-T/100Base-TX端口具有最佳的性能。

·100Base-T端口的全双工功能使终端、服务器和交换机之间的带宽可以达到200Mbps。

·4-MB共享内存结构通过去除头部信息阻塞现象、最大地减少数据包丢失以及降低多点传送和广播传输的拥挤现象，保证了最高的吞吐量。

·快速以太通道技术实现的带宽集合提高了容错能力，能够为交换机、路由器、服务器之间的连接提供高达800Mbps的带宽。

·每个交换机可以拥有多达12个快速以太通道带宽集合群，这使每台Catalyst2900XL交换机能够通过标准的全双工10/100快速以太通道链路将多个网络设备聚集在一起。

·CGMP使交换机能够有选择和动态地将IP多点传送信息传送到目标多媒体终端，因而从整体上减少了网络流量。

·可配置的网络端口能够为骨干连接提供不受限制的媒体访问控制（MAC）地址支持能力。

IntelPro/100S台式机网卡

英特尔®PRO/100S台式机网卡是专门为服务器优化、可信赖、可管理的10/100M网卡。

主要特性

■针对电子商业而优化的高性能局域网安全性

■先进的特性缓和了服务器的瓶颈问题，同时最大程度地提高工作站的正常运行时间

■英特尔singleDriver™技术降低了网络复杂程度

■支持3DES（168位高强度加密）

新型英特尔®PRO/100S网卡利用基于标准的安全性来保护局域网上的敏感数据，同时依然保持出色性能。

英特尔®PRO/100S网卡将IPSec加密卸载与英特尔®PRO/100+网卡所具有的先进管理特性完美地结合在了一起。

■ 英特尔®82594ED网络加密协处理器－从台式机的处理器上卸载加密工作，最大程度地提高网络性能，节省系统资源用于其它关键服务器任务。

■ 智能控制器－英特尔®自适应技术可动态调整传输速率以减少冲突，并且能够实现网卡微代码的软件升级。

■ 针对Windows*2000进行优化－英特尔®PRO/100S网卡是英特尔与微软合作开发的产品，专门针对Windows*2000进行精心设计,可在您的网络上实施加密,同时性能丝毫不受影响。

++

■ 先进的远程管理－支持WfM12.0、SNMP、DMI2.0，通过WakeonLAN和板上英特尔®BootAgent可实现远程服务器配置。

■ 可扩充的吞吐能力和高可用性－总带宽高达800Mbps，使用任何英特尔服务器网卡的组合均可建立自动冗余连接。

■ DES和3DES加密算法－使用应用最广泛的最高级别安全性，以保护局域网上传输的数据。

IntelPro/1000F千兆光纤服务器网卡

高性能千兆位服务器网卡

主要特性

■高度集成的英特尔®控制器提供了业界领先的性能

■通过网卡容错和PCL热插拔增强了服务器的可用性

■自适应负载平衡和千兆位EtherChannel提供了可扩充的吞吐能力，支持1000BASE-SX的SC光纤连接器

■ 顶级千兆位网卡－“其它没有一款网卡能够提供与之相媲美的1000Mbps吞吐量。

”-引自1998年8月LANQuest实验室报告

■可扩充的吞吐能力和高可用性－－高达8Gbps的集合带宽，并且可以利用任何英特尔®服务器网卡组合建立自动冗余连接。

■ 支持工业标准－-802.3z千兆位以太网

-用于高级通信管理的802.1QVLAN和802.3x数据流控制。

■ 广泛的互操作性－与WindowsNT*、Novell*、UNIX*和Linux*环境中的工业标准交换机兼容。

■ 在线维护能力－PCI热插拔技术补充了网卡容错特性，能够在不中断服务器运行的情况下更换故障网卡。

■ 通过远程管理降低支持成本－支持联网管理（WfM）2.0、SNMP和DMI2.0。

5、服务器系统详细设计

1）服务器系统要求

1、服务器系统技术要求服务器系统选用先进、实用、稳定、可靠的系统，具有开放性结构，且服务器系统选型时应要考虑备份机制和容错功能。

2、服务器系统安全性要求建立企业内部访问的安全控制机制，提高服务器系统数据的安全性和访问的安全性。

3、服务器系统设备要求服务器系统应采用国际知名品牌产品，具有较高的性价比，可扩展、易升级，应操作简便、易于管理。

2）服务器系统设计原则

服务器系统设计是系统建设的关键，其直接影响投资规模和系统成败，因此要认真作好这项工作。

服务器系统设计基于以下原则：

一、高可靠性

由于证券服务器系统可靠性直接关系到证券业务的正常进行，只有可靠性高的产品才能做到无间断运行。

服务器系统必须具有高安全性，能够有效的防止黑客的入侵。

二、高可用性

由于证券业务系统需要高可用性的特点，在设计时需要考虑采用，可利用双机容错系统提高系统的可用性，减少宕机时间。

三、高扩展性

在投资范围内，追求最大的可扩展性，为以后扩展升级打下基础，保护客户投资。

四、高性价比

在有限的预算前提下，选用性能价格比较高的产品，用最少的投资获得最大的效益。

五、高质量和高效的售后服务

国际著名服务器厂商的产品无论在质量上、服务上，还是在技术支持上都有卓著的声誉，产品的持续支持能力也能得到保证。

3）服务器系统设计

服务器系统是在整个网络的运行以及各种网络应用服务中是起着关键的作用。

对网络性能的实现和今后网络的升级都十分重要。

目前在证券行业中服务器大都是采用COMPAQ服务器，而且COMPAQ服务器在多年来的证券应用中口碑很好。

（1）行情服务器设计

考虑到有近1000个工作站，而且工作站需要做成无盘WIN98工作站，服务器的负载比较大，因此Novell行情服务器建议采用一台康柏ProLian