二級(jí)網(wǎng)詳細(xì)設(shè)計(jì)方案-畢業(yè)論文

目錄TOC\o"1-3"\h\z1. 前言 11.1. 編寫目的 11.2. 背景 11.3. 定義 11.4. 參考資料 22. 網(wǎng)絡(luò)改造目標(biāo) 33. 需求分析 43.1. 數(shù)據(jù)集中的需求 43.2. 業(yè)務(wù)隔離需求 43.3. 靈活的接入能力 43.4. 可管理性要求 43.5. 安全性要求 53.6. 網(wǎng)絡(luò)帶寬需求 54. 網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì) 64.1. 二級(jí)骨干網(wǎng)結(jié)構(gòu)設(shè)計(jì) 64.1.1. 與一級(jí)骨干網(wǎng)的連接 74.1.2. 與內(nèi)部局域網(wǎng)的連接 74.1.3. 與接入網(wǎng)的連接 94.2. 通信線路的選擇和規(guī)劃 114.3. 非IP網(wǎng)絡(luò)協(xié)議的過渡 114.3.1. SNA 114.3.2. BNA 165. 路由設(shè)計(jì) 175.1. 路由協(xié)議概述 175.2. 骨干路由 175.2.1. 模式一 185.2.2. 模式二 195.3. 接入路由 196. IP規(guī)劃 206.1. 一級(jí)地域互聯(lián)IP地址規(guī)劃： 206.2. 二級(jí)地域互聯(lián)IP地址規(guī)劃 216.3. 二級(jí)骨干網(wǎng)絡(luò)各種應(yīng)用系統(tǒng)IP地址的規(guī)劃 216.4. 二級(jí)分行路由器LOOPBACK地址 216.5. 二級(jí)分行路由器直聯(lián)網(wǎng)段的地址 227. 可靠性設(shè)計(jì) 237.1. 設(shè)備備份 237.2. 線路備份 237.2.1. 情況一：正常情況 247.2.2. 情況二：主鏈路故障 257.2.3. 情況三：主、副鏈路故障 267.2.4. 情況四：路由器1以太網(wǎng)（業(yè)務(wù)）故障 277.2.5. 情況五：兩臺(tái)路由器以太網(wǎng)（業(yè)務(wù)）故障 277.2.6. 情況六：一臺(tái)交換機(jī)故障 298. QoS設(shè)計(jì) 308.1. 業(yè)務(wù)分類及特點(diǎn) 308.2. QoS實(shí)施策略 318.2.1. IP優(yōu)先級(jí) 318.2.2. 擁塞避免機(jī)制―WRED 338.2.3. 隊(duì)列管理機(jī)制――CBWFQ和WFQ 338.2.4. 帶寬控制機(jī)制－CAR 348.2.5. SNA的QoS 349. 網(wǎng)絡(luò)安全設(shè)計(jì) 359.1. 對(duì)網(wǎng)絡(luò)設(shè)備和服務(wù)的保護(hù) 359.2. 對(duì)應(yīng)用系統(tǒng)的保護(hù) 35中國建設(shè)銀行二級(jí)骨干網(wǎng)絡(luò)改造詳細(xì)設(shè)計(jì)方案第37頁，共37頁前言編寫目的編寫本方案的目的是為二級(jí)骨干網(wǎng)絡(luò)改造項(xiàng)目的實(shí)施提供指導(dǎo)性的方案和規(guī)劃，主要包括路由設(shè)計(jì)、不同協(xié)議接入的設(shè)計(jì)、接入設(shè)計(jì)、IP規(guī)劃、網(wǎng)絡(luò)安全等內(nèi)容。背景本方案是在總體設(shè)計(jì)方案的基礎(chǔ)之上，根據(jù)二級(jí)網(wǎng)調(diào)研、測(cè)試和試點(diǎn)的結(jié)果編寫的。定義為了便于理解避免混淆，對(duì)本方案中的關(guān)鍵詞語解釋如下：網(wǎng)絡(luò)結(jié)構(gòu)按網(wǎng)絡(luò)的組建、運(yùn)營、管理和維護(hù)的責(zé)任地理區(qū)域，可分為一級(jí)骨干網(wǎng)、二級(jí)骨干網(wǎng)和接入網(wǎng)。一級(jí)骨干網(wǎng)：由設(shè)置在總行和一級(jí)分行的節(jié)點(diǎn)組成，它提供省間的通訊業(yè)務(wù)，由總行至各一級(jí)分行的網(wǎng)絡(luò)組成。二級(jí)骨干網(wǎng)：由設(shè)置在省內(nèi)的節(jié)點(diǎn)組成，它提供本省內(nèi)長途通訊業(yè)務(wù)，由各一級(jí)行至下屬二級(jí)分行的網(wǎng)絡(luò)構(gòu)成。接入網(wǎng)：地區(qū)范圍內(nèi)的節(jié)點(diǎn)組成。由地區(qū)所轄各類業(yè)務(wù)網(wǎng)絡(luò)接入組成。骨干傳輸部分：整個(gè)網(wǎng)絡(luò)的廣域網(wǎng)骨干結(jié)構(gòu)部分，負(fù)責(zé)實(shí)現(xiàn)高性能、高可靠性、高速數(shù)據(jù)交換和轉(zhuǎn)發(fā)功能；本文是指一級(jí)骨干、二級(jí)骨干。接入服務(wù)部分：為最終用戶提供對(duì)網(wǎng)絡(luò)的接入，完成用戶入網(wǎng)接口。由各層節(jié)點(diǎn)處的本地局域網(wǎng)接入、我行網(wǎng)絡(luò)最末端的各營業(yè)網(wǎng)點(diǎn)和分支機(jī)構(gòu)廣域網(wǎng)接入、外部網(wǎng)絡(luò)和Internet接入等組成，完成業(yè)務(wù)系統(tǒng)之間的隔離、互通、安全性控制等。參考資料《中國建設(shè)銀行骨干網(wǎng)絡(luò)優(yōu)化建設(shè)總體設(shè)計(jì)方案》《中國建設(shè)銀行一級(jí)骨干網(wǎng)網(wǎng)絡(luò)設(shè)備招標(biāo)：附件3項(xiàng)目技術(shù)方案和實(shí)施計(jì)劃》《中國建設(shè)銀行網(wǎng)絡(luò)系統(tǒng)IP地址和域名分類編碼規(guī)范》《中國建設(shè)銀行骨干網(wǎng)絡(luò)改造項(xiàng)目二級(jí)網(wǎng)調(diào)研報(bào)告》《中國建設(shè)銀行骨干網(wǎng)絡(luò)改造項(xiàng)目二級(jí)網(wǎng)測(cè)試報(bào)告》《各分行IP地址的調(diào)查報(bào)告》《“全行網(wǎng)絡(luò)狀況的通知”各行上報(bào)統(tǒng)計(jì)》《企業(yè)內(nèi)部網(wǎng)物理網(wǎng)絡(luò)技術(shù)手冊(cè)》《中國建設(shè)銀行一級(jí)骨干網(wǎng)絡(luò)改造詳細(xì)設(shè)計(jì)方案》

網(wǎng)絡(luò)改造目標(biāo)按照《中國建設(shè)銀行骨干網(wǎng)絡(luò)優(yōu)化建設(shè)總體設(shè)計(jì)方案》的設(shè)計(jì)要求，本次二級(jí)骨干網(wǎng)絡(luò)改造的目標(biāo)為：完成各一級(jí)分行城市綜合業(yè)務(wù)系統(tǒng)、清算系統(tǒng)、企業(yè)網(wǎng)系統(tǒng)以及其它相關(guān)應(yīng)用系統(tǒng)在二級(jí)骨干網(wǎng)的切換上線；為在各行綜合業(yè)務(wù)系統(tǒng)數(shù)據(jù)集中過程中提供網(wǎng)絡(luò)技術(shù)保障。完成二級(jí)骨干網(wǎng)絡(luò)路由器設(shè)備及通訊鏈路的整合。完成二級(jí)骨干網(wǎng)絡(luò)的路由策略、設(shè)備和鏈路的備份策略、QOS機(jī)制、安全策略等，與一級(jí)骨干網(wǎng)和各行接入網(wǎng)融為一體，實(shí)現(xiàn)整個(gè)網(wǎng)絡(luò)的互通與控制。為我行數(shù)據(jù)、語音、視頻三網(wǎng)合一打好技術(shù)基礎(chǔ)。建立全行統(tǒng)一策略的網(wǎng)絡(luò)管理系統(tǒng)。按照總行新制定的IP地址標(biāo)準(zhǔn)，完成IP地址的統(tǒng)一。

需求分析數(shù)據(jù)集中的需求應(yīng)滿足一級(jí)分行數(shù)據(jù)集中的需要，并在三年后能夠滿足全行數(shù)據(jù)集中的需要。因此，網(wǎng)絡(luò)骨干需具有高通信效率、高穩(wěn)定性、高可靠性和可伸縮性，適應(yīng)拓?fù)浣Y(jié)構(gòu)的變化。業(yè)務(wù)隔離需求根據(jù)業(yè)務(wù)特點(diǎn)和重要級(jí)別，不同業(yè)務(wù)之間會(huì)有相互隔離的要求，可以為不同的業(yè)務(wù)或應(yīng)用系統(tǒng)分配不同的IP網(wǎng)段，并在各網(wǎng)段之間實(shí)現(xiàn)業(yè)務(wù)的隔離。如我行業(yè)務(wù)系統(tǒng)可劃分為清算網(wǎng)段、龍卡網(wǎng)段、網(wǎng)上銀行網(wǎng)段、辦公自動(dòng)化網(wǎng)段、外接業(yè)務(wù)網(wǎng)段、Internet服務(wù)網(wǎng)段、語音網(wǎng)段、視頻網(wǎng)段等，明確各類業(yè)務(wù)的優(yōu)先級(jí)，從而在邏輯上將各類業(yè)務(wù)分開，并保證其可靠傳輸。靈活的接入能力未來銀行將成為個(gè)人、企業(yè)的結(jié)算機(jī)構(gòu)，保險(xiǎn)公司、證券交易機(jī)構(gòu)等都將同銀行互聯(lián)。銀行的變革實(shí)質(zhì)是從千家萬戶進(jìn)入銀行向銀行進(jìn)入千家萬戶的轉(zhuǎn)變，為此需要我行網(wǎng)絡(luò)為客戶提供靈活的接入方式，提供多樣化、個(gè)性化的金融服務(wù)。可管理性要求網(wǎng)絡(luò)的安全穩(wěn)定運(yùn)行離不開有效的管理，在設(shè)計(jì)時(shí)就要求充分考慮網(wǎng)絡(luò)的可管理性，要求能實(shí)現(xiàn)對(duì)所有骨干設(shè)備的管理。為便于管理，采用兩級(jí)網(wǎng)管模式，集中監(jiān)控、分權(quán)管理，即總行建立網(wǎng)管中心，統(tǒng)一調(diào)度一級(jí)網(wǎng)資源，一級(jí)分行建立網(wǎng)管分中心，管理所屬機(jī)構(gòu)網(wǎng)絡(luò)，形成覆蓋全行的分布式網(wǎng)絡(luò)管理系統(tǒng)。采用先進(jìn)的網(wǎng)絡(luò)管理平臺(tái)，將來可以平滑地實(shí)現(xiàn)從網(wǎng)絡(luò)層到應(yīng)用層的管理。安全性要求要制定全網(wǎng)統(tǒng)一的安全策略，確保各類業(yè)務(wù)在網(wǎng)絡(luò)上的安全。網(wǎng)絡(luò)帶寬需求二級(jí)骨干網(wǎng)的帶寬需求，以日均交易量5萬筆的二級(jí)分行為例計(jì)算，二級(jí)分行到一級(jí)分行的帶寬趨勢(shì)如下（單位為Kbps）：

網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)二級(jí)骨干網(wǎng)結(jié)構(gòu)設(shè)計(jì)二級(jí)骨干網(wǎng)以樹型結(jié)構(gòu)為主，遵循骨干和接入邏輯分離的原則，確保網(wǎng)絡(luò)上下能夠完全貫通，為數(shù)據(jù)大集中做好準(zhǔn)備，并具有較高的可靠性。二級(jí)骨干網(wǎng)從結(jié)構(gòu)上看如下圖所示： 二級(jí)骨干網(wǎng)絡(luò)結(jié)構(gòu)同樣遵循一級(jí)骨干網(wǎng)的原則，即一級(jí)分行和二級(jí)分行之間使用兩條廣域網(wǎng)主鏈路傳輸數(shù)據(jù)，其中一條為業(yè)務(wù)主鏈路，另一條為管理主鏈路，兩條鏈路互為備份，分別采用不同電信運(yùn)營商的線路，另外還有一條撥號(hào)鏈路作為備份鏈路。與一級(jí)骨干網(wǎng)的連接原則上應(yīng)在一級(jí)網(wǎng)的路由器上增加連接二級(jí)網(wǎng)的端口模塊，使分行一級(jí)骨干路由器既連接一級(jí)網(wǎng)，又連接二級(jí)網(wǎng)。與內(nèi)部局域網(wǎng)的連接二級(jí)網(wǎng)與內(nèi)部局域網(wǎng)的連接從物理上來說，如下圖所示：在一級(jí)分行配置了（或者已有）兩臺(tái)三層交換機(jī)，每臺(tái)路由器同時(shí)與兩臺(tái)交換機(jī)連接（除撥號(hào)備份路由器外）;在二級(jí)分行配置兩臺(tái)二層交換機(jī)，這兩臺(tái)交換機(jī)支持802.1Q或者ISLVLANTrunk協(xié)議，每臺(tái)路由器同時(shí)與兩臺(tái)交換機(jī)以Trunk連接（除撥號(hào)備份路由器外）。一級(jí)分行路由器與交換機(jī)的邏輯設(shè)計(jì)參見《中國建設(shè)銀行一級(jí)骨干網(wǎng)絡(luò)改造詳細(xì)設(shè)計(jì)方案》。二級(jí)分行路由器與交換機(jī)的邏輯設(shè)計(jì)如下圖所示： 路由器和交換機(jī)之間所有連接采用Trunk，圖中的F0.1代表路由器上第一個(gè)快速以太網(wǎng)物理端口上的1號(hào)子端口，F(xiàn)1.10代表路由器上第二個(gè)快速以太網(wǎng)物理端口上的10號(hào)子端口，在配置時(shí)需要將物理端口根據(jù)實(shí)際情況定義。 圖中，所有的F0.1和F1.2分別定義為路由器之間傳遞路由的網(wǎng)段1（LAN_A）和網(wǎng)段2（LAN_B），二者路由優(yōu)先級(jí)相等，并比其它網(wǎng)段的路由優(yōu)先級(jí)高。 定義主路由器1的F0為營業(yè)類數(shù)據(jù)的主用網(wǎng)卡，F(xiàn)1為管理類數(shù)據(jù)的備用網(wǎng)卡；定義主路由器2的F0為管理類數(shù)據(jù)的主用網(wǎng)卡，F(xiàn)1為營業(yè)類數(shù)據(jù)的備用網(wǎng)卡；定義備份路由器的F0為業(yè)務(wù)類數(shù)據(jù)的備用網(wǎng)卡和管理類數(shù)據(jù)的備用網(wǎng)卡。主路由器1的F0.10、主路由器2的F1.10和備份路由器的F0.10都定義為總行所屬的營業(yè)網(wǎng)段1，配置HSRP，優(yōu)先級(jí)依次為150、120、90。主路由器1的F1.11、主路由器2的F0.11和備份路由器的F0.11都定義為總行所屬的管理網(wǎng)段1，配置HSRP，優(yōu)先級(jí)依次為120、150、90。如上圖所示，骨干路由器和骨干交換機(jī)之間定義了專門用于數(shù)據(jù)轉(zhuǎn)發(fā)的網(wǎng)段、總行推廣的營業(yè)系統(tǒng)網(wǎng)段、總行推廣的管理系統(tǒng)網(wǎng)段，在二級(jí)網(wǎng)上還應(yīng)定義各分行城綜網(wǎng)應(yīng)用網(wǎng)段，各分行應(yīng)根據(jù)實(shí)際情況定義相應(yīng)的子接口、HSRP、IP地址等參數(shù)，例如子接口為：F0.20、F0.21等。與接入網(wǎng)的連接接入網(wǎng)指三級(jí)網(wǎng)，包括縣（區(qū)）級(jí)支行、儲(chǔ)蓄網(wǎng)點(diǎn)以及相應(yīng)的局域網(wǎng)絡(luò)。如圖所示，對(duì)于省分行接入網(wǎng)，采用分離模式，即在省分行局域網(wǎng)用單獨(dú)的路由器負(fù)責(zé)同城網(wǎng)點(diǎn)的接入。在二級(jí)分行設(shè)計(jì)中，根據(jù)接入網(wǎng)點(diǎn)數(shù)量、業(yè)務(wù)量大小、原有設(shè)備情況等條件，接入方式主要可以參照兩種模式：模式一：共用模式，即在二級(jí)分行骨干路由器在上連一級(jí)分行同時(shí)，還負(fù)責(zé)連接接入網(wǎng)，充分發(fā)揮骨干網(wǎng)絡(luò)設(shè)備的接入能力，保護(hù)設(shè)備投資；模式二：分離模式，即二級(jí)分行骨干路由器和二級(jí)分行的接入路由器分離，采用專用設(shè)備負(fù)責(zé)連接接入網(wǎng)，該設(shè)備再通過局域網(wǎng)（或廣域網(wǎng)）連接二級(jí)分行的骨干路由器。在技術(shù)上能夠?qū)崿F(xiàn)、可滿足應(yīng)用需求的前提下，要充分考慮原有設(shè)備的利用，本著降低成本的原則選擇接入網(wǎng)的模式。通信線路的選擇和規(guī)劃原則上一級(jí)分行和二級(jí)分行之間應(yīng)具有三條鏈路：主鏈路、副鏈路和撥號(hào)備份鏈路。主、副鏈路應(yīng)以FrameRelay、DDN或E1為主。撥號(hào)備份鏈路采用PSTN或者ISDN。依據(jù)骨干網(wǎng)絡(luò)改造總體設(shè)計(jì)方案的原則，主鏈路和副鏈路要求采用不同的物理路由接入，可選擇不同電信運(yùn)營商的線路，一般情況下，不建議采用無線或衛(wèi)星線路。主鏈路主要用于清算、龍卡、網(wǎng)銀、債券等營業(yè)類數(shù)據(jù)的傳輸；當(dāng)副鏈路出現(xiàn)故障時(shí)，可以有限制地用于管理數(shù)據(jù)的傳輸。副鏈路主要用于IP電話、WWW瀏覽、辦公自動(dòng)化、信貸、人力資源、NOTES、電子郵件等管理系統(tǒng)數(shù)據(jù)的傳輸，當(dāng)主鏈路出現(xiàn)故障時(shí)，可以用于營業(yè)類數(shù)據(jù)的傳輸。備份鏈路當(dāng)主鏈路和副鏈路都出現(xiàn)故障時(shí)，用于營業(yè)類數(shù)據(jù)和部分管理信息的傳輸。非IP網(wǎng)絡(luò)協(xié)議的過渡在總體設(shè)計(jì)方案中已經(jīng)明確規(guī)定網(wǎng)絡(luò)改造的目標(biāo)是要建設(shè)以IP為基礎(chǔ)的骨干網(wǎng)絡(luò)，因此對(duì)于現(xiàn)存的具有IBM大機(jī)、AS/400以及UnisysA機(jī)的分行，現(xiàn)有的SNA、BNA等協(xié)議要過渡到以IP為傳輸協(xié)議，與總體目標(biāo)保持一致，對(duì)于不具備過渡條件的分行要逐步進(jìn)行改造。SNA在SNA網(wǎng)絡(luò)環(huán)境中，利用DLSw等技術(shù)完成主機(jī)與網(wǎng)點(diǎn)之間的SNA通訊。SNA數(shù)據(jù)可封裝在IP包內(nèi)，通過IP網(wǎng)絡(luò)在路由器之間傳輸，再通過SDLC、QLLC等技術(shù)與SNA的終端系統(tǒng)連接，原來的應(yīng)用系統(tǒng)不需要做改變。采用DLSw+的SNA接入方案設(shè)計(jì)如下圖所示：如上圖所示，業(yè)務(wù)網(wǎng)點(diǎn)終端首先連接到本地市行的骨干路由器上，然后再通過市分行和省分行之間IP網(wǎng)絡(luò)上的DLSW+技術(shù)和省分行的主機(jī)進(jìn)行通信。主機(jī)的接入建議采用以太網(wǎng)。網(wǎng)點(diǎn)的接入主要有四種類型：以太網(wǎng)、令牌環(huán)、SDLC和QLLC。DLSw+的對(duì)等關(guān)系（peer）在骨干網(wǎng)的四臺(tái)主路由器之間建立，省行的主路由器作為被動(dòng)方（promiscuous），地市行的每臺(tái)主路由器和省行的兩臺(tái)主路由器建立兩個(gè)對(duì)等關(guān)系，其中直聯(lián)的路由器作為primarypeer，另一臺(tái)路由器作為backuppeer。當(dāng)直聯(lián)的路由器之間的TCP連接（primarypeer）發(fā)生故障，backuppeer將啟用，在primarypeer恢復(fù)后，將切換回來。下面舉例說明：情況一：鏈路故障如果發(fā)生鏈路故障，比如主、副鏈路同時(shí)故障，在這種情況下，通過路由迂回仍然可以保持peer之間的連接。情況二：主鏈路間主對(duì)等體故障可能因?yàn)槁酚珊臀锢礞溌吩颍瑢?dǎo)致省行主路由器和地市行主路由器各自的Loopback端口之間的TCP連接失效，PrimaryPeer關(guān)系中斷；省行主路由器和地市行副路由器之間的Backuppeer準(zhǔn)備啟用，即從DISCONN狀態(tài)變?yōu)閃AIT_RD，等待打開讀端口2065。然后進(jìn)入CAP_EXG狀態(tài)，電路建立之后，進(jìn)入CONNECT狀態(tài)；Backuppeer啟用，SNA數(shù)據(jù)走在省行主路由器和地市行副路由器之間。情況三：副鏈路間主對(duì)等體故障可能因?yàn)槁酚珊臀锢礞溌吩?，?dǎo)致省行副路由器和地市行副路由器各自的Loopback端口之間的TCP連接失效，PrimaryPeer關(guān)系中斷；省行主路由器和地市行副路由器之間的Backuppeer準(zhǔn)備啟用，即從DISCONN狀態(tài)變?yōu)閃AIT_RD，等待打開讀端口2065。然后進(jìn)入CAP_EXG狀態(tài)，電路建立之后，進(jìn)入CONNECT狀態(tài)；Backuppeer啟用，SNA數(shù)據(jù)走在省行副路由器和地市行主路由器之間。情況四：主、副鏈路間主對(duì)等體均故障這種情況是以上兩種的匯總，PrimaryPeer均失效；Backuppeer啟用，SNA數(shù)據(jù)走在省行副路由器和地市行主路由器之間。

情況五：主路由器兩個(gè)以太網(wǎng)端口均發(fā)生故障時(shí)這種情況時(shí)PrimaryPeer正常，但此時(shí)路由器和局域網(wǎng)之間的連接完全丟失；此時(shí)需要通過手工操作才能完成切換，具體過程如下：將省行主路由器的loopback端口shutdown，地市行主路由器Backuppeer會(huì)自動(dòng)啟用；SNA數(shù)據(jù)走在省行副路由器和地市行主路由器之間。作為peer的IP地址采用路由器的loopback地址，這是為了確保當(dāng)廣域網(wǎng)鏈路或者以太網(wǎng)鏈路出現(xiàn)故障時(shí)，DLSw+peer仍然可以保持連接，當(dāng)然，前提是兩個(gè)loopback地址之間路由的連通性。為了實(shí)現(xiàn)到主機(jī)的SNA接入，需要對(duì)一級(jí)網(wǎng)詳細(xì)設(shè)計(jì)方案中省行的局域網(wǎng)接入模式進(jìn)行修改，主要包括：在交換機(jī)上建立一個(gè)SNAVLAN；交換機(jī)和路由器連接采用Trunk（由于IOS的原因，目前和SNA連接只能采用ISLTrunk），在省行兩臺(tái)主路由器和交換機(jī)之間的Trunk中要包含SNAVLAN，但在地市行交換機(jī)之間的Trunk上不要包含SNAVLAN；將主路由器上原來在物理端口上的配置修改為邏輯子端口配置；在省行主路由器上每個(gè)以太網(wǎng)物理端口上再建立一個(gè)子端口用于SNA接入，該子端口屬于SNAVLAN，在該子端口上配置transparentbridge，采用IEEEspanningtree協(xié)議，所有SNA子端口屬于同一個(gè)bridgegroup；在地市行每個(gè)主路由器的某個(gè)以太網(wǎng)物理端口上建立一個(gè)子端口用于SNA接入，該子端口屬于SNAVLAN，兩個(gè)主路由器上的SNA子接口分別連接到不同的交換機(jī)上，這時(shí)為了確保在任一時(shí)刻，任何前置機(jī)和SNA主機(jī)之間都只有一條路徑，避免產(chǎn)生回路。當(dāng)以太網(wǎng)前置機(jī)和一個(gè)路由器之間的連接出現(xiàn)問題時(shí)，需要手動(dòng)將以太網(wǎng)前置機(jī)連接到另一個(gè)交換機(jī)上。地市行的兩臺(tái)主路由器都可以提供SNA的接入，實(shí)現(xiàn)負(fù)載平衡。根據(jù)二級(jí)網(wǎng)測(cè)試的情況，個(gè)別采用令牌環(huán)連接的前置機(jī)，通過DLSw+無法正確連接到主機(jī)，如果出現(xiàn)這種情況，可以啟用主機(jī)的令牌環(huán)網(wǎng)卡，在省行和地市行的主路由器上配置RSRB進(jìn)行連接。還需要注意的是，采用DLSw+時(shí)，由于DLSw+會(huì)自動(dòng)根據(jù)連接的方式修改MAC地址（bitwrap），但是修改后可能導(dǎo)致前置機(jī)無法連接到主機(jī)，此時(shí)需要管理員對(duì)MAC地址進(jìn)行調(diào)整。詳見《中國建設(shè)銀行二級(jí)骨干網(wǎng)絡(luò)改造實(shí)施工藝》（示范稿）。BNA對(duì)于BNA協(xié)議，目前尚沒有較好的BNAoverIP的解決方案，因此采用BNA協(xié)議的分行應(yīng)根據(jù)自己的網(wǎng)絡(luò)實(shí)際情況和數(shù)據(jù)集中的模式，對(duì)網(wǎng)絡(luò)進(jìn)行改造，保證數(shù)據(jù)集中的需要，并為其他應(yīng)用系統(tǒng)提供良好的網(wǎng)絡(luò)環(huán)境，具體方案報(bào)總行審批。

路由設(shè)計(jì)路由協(xié)議概述 骨干路由考慮到路由協(xié)議的能力和擴(kuò)展性的要求，二級(jí)網(wǎng)骨干部分應(yīng)選擇OSPF或者EIGRP路由協(xié)議。這兩種路由協(xié)議都可以滿足二級(jí)骨干網(wǎng)的需求，但由于從標(biāo)準(zhǔn)化方面來看，OSPF優(yōu)于EIGRP，因此在此次二級(jí)骨干網(wǎng)中我們推薦采用OSPF作為骨干網(wǎng)路由協(xié)議。撥號(hào)備份路由器之間采用浮動(dòng)靜態(tài)路由。 有兩個(gè)問題需要注意：路由匯總：在骨干路由器上要進(jìn)行路由匯總，減少路由表的規(guī)模路由重分布：在撥號(hào)備份路由器上需要進(jìn)行靜態(tài)路由到骨干路由協(xié)議的重分布；在其他骨干路由器上當(dāng)運(yùn)行多種動(dòng)態(tài)路由協(xié)議時(shí)，需要進(jìn)行骨干路由到其他動(dòng)態(tài)路由協(xié)議的重分布。下面是兩種推薦模式，當(dāng)然在實(shí)施時(shí)需要根據(jù)實(shí)際情況而定。模式一采用OSPF，如下圖所示：如上圖模式一中，整個(gè)二級(jí)網(wǎng)運(yùn)行OSPF，一級(jí)分行到二級(jí)分行廣域網(wǎng)是OSPF的骨干Area0，一級(jí)分行局域網(wǎng)和每個(gè)二級(jí)分行局域網(wǎng)分別屬于一個(gè)SubArea，一級(jí)分行和二級(jí)分行的兩臺(tái)骨干路由器是邊界路由器，并且在每個(gè)骨干路由器（SubArea邊緣）上做路由匯總。需要注意的是，為盡量減少發(fā)到Area0的路由信息條目，應(yīng)在OSPF的邊界路由器（骨干路由器）上做路由匯總，當(dāng)對(duì)外部重分布的路由進(jìn)行匯總時(shí)，要注意各個(gè)外部路由匯總相互之間不能有重復(fù)或沖突。例如：當(dāng)各網(wǎng)點(diǎn)的采用靜態(tài)路由分別接入兩臺(tái)二級(jí)骨干路由器時(shí)，如網(wǎng)點(diǎn)IP地址不規(guī)范會(huì)造成兩臺(tái)骨干路由器的外部路由匯總的沖突，此時(shí)還需在二級(jí)分行的骨干路由器上運(yùn)行一個(gè)RIP或者EIGRP進(jìn)程（只在用于路由器間直連的網(wǎng)段上運(yùn)行），參與靜態(tài)路由的重分布，詳細(xì)設(shè)計(jì)見《中國建設(shè)銀行二級(jí)骨干網(wǎng)絡(luò)改造實(shí)施工藝（示范稿）》。模式二如下圖模式二中，整個(gè)二級(jí)骨干網(wǎng)運(yùn)行EIGRP，并屬于一個(gè)EIGRP的AS，一級(jí)分行局域網(wǎng)和每個(gè)二級(jí)分行局域網(wǎng)也運(yùn)行EIGRP路由協(xié)議，在每個(gè)骨干路由器的廣域網(wǎng)端口上做EIGRP的路由匯總。接入路由接入部分的路由并不做統(tǒng)一規(guī)定，但是要滿足下列要求：在邊界路由器上進(jìn)行路由匯總；滿足可靠性的要求；方便實(shí)施和維護(hù)?；谶@些要求，我們推薦：連接網(wǎng)點(diǎn)采用靜態(tài)路由；連接規(guī)模較大的支行可以采用EIGRP或者OSPFSubArea；局域網(wǎng)應(yīng)采用收斂速度快的動(dòng)態(tài)路由協(xié)議，可與骨干路由相同；如果局域網(wǎng)現(xiàn)有路由比較穩(wěn)定，可沿用現(xiàn)有路由協(xié)議；

IP規(guī)劃本方案以《中國建設(shè)銀行網(wǎng)絡(luò)系統(tǒng)IP地址與域名分類編碼規(guī)范》為依據(jù)，對(duì)IP地址進(jìn)一步細(xì)化。編碼結(jié)構(gòu)如下：8Bits 5Bits 3Bits 3Bits 13Bits一級(jí)地域標(biāo)識(shí)二級(jí)地域標(biāo)識(shí)000(擴(kuò)展位)類型標(biāo)識(shí)用戶網(wǎng)絡(luò)地址類型標(biāo)識(shí)：類別標(biāo)識(shí)位取值相應(yīng)IP地址的類別000網(wǎng)絡(luò)設(shè)備管理001營業(yè)類010備用011備用100語音、視頻類101管理類110備用111網(wǎng)絡(luò)互連地址一級(jí)地域互聯(lián)IP地址規(guī)劃：建設(shè)銀行一級(jí)地域互聯(lián)IP地址用于一級(jí)分行與二級(jí)行之間的互聯(lián)。該地址從一級(jí)地域用戶地址中分配，類型標(biāo)識(shí)為“111”，該地址由省分行統(tǒng)一分配使用，其編碼方式為：8Bits 5Bits 3Bits 3Bits 13Bits一級(jí)地域標(biāo)識(shí)00000000(擴(kuò)展位)類型標(biāo)識(shí)111用戶網(wǎng)絡(luò)地址為了便于標(biāo)識(shí)，我們沿用一級(jí)骨干網(wǎng)中的用法，即二級(jí)骨干網(wǎng)主線路使用X.0.241.X，備份線路使用X.0.242.X，撥號(hào)線路使用X.0.243.X。二級(jí)地域互聯(lián)IP地址規(guī)劃建設(shè)銀行二級(jí)地域互聯(lián)IP地址用于二級(jí)分行與所轄機(jī)構(gòu)之間的互聯(lián)。該地址從二級(jí)地域用戶地址中分配，類型標(biāo)識(shí)為“111”，該地址由二級(jí)行統(tǒng)一分配使用，其編碼方式為：8Bits 5Bits 3Bits 3Bits 13Bits一級(jí)地域標(biāo)識(shí)二級(jí)地域標(biāo)識(shí)000(擴(kuò)展位)類型標(biāo)識(shí)111用戶網(wǎng)絡(luò)地址二級(jí)骨干網(wǎng)絡(luò)各種應(yīng)用系統(tǒng)IP地址的規(guī)劃各二級(jí)分行不同應(yīng)用的網(wǎng)段主要根據(jù)IP地址中第17~.19三位類別標(biāo)識(shí)來區(qū)分，其編碼規(guī)則為：8Bits5Bits3Bits3Bits13Bits一級(jí)地域標(biāo)識(shí)二級(jí)地域標(biāo)識(shí)000類別標(biāo)識(shí)用戶網(wǎng)絡(luò)地址根據(jù)此規(guī)則，總行推廣的各應(yīng)用系統(tǒng)的具體IP地址做如下規(guī)定：網(wǎng)段編號(hào)應(yīng)用項(xiàng)目地址類型IP地址/掩碼24位網(wǎng)段1營業(yè)類HSRP網(wǎng)關(guān)X.X.32.98網(wǎng)絡(luò)設(shè)備局域口X.X.32.91~X.X.32.100應(yīng)用主機(jī)、應(yīng)用服務(wù)器X.X.32.1~50網(wǎng)絡(luò)內(nèi)用戶其他網(wǎng)段2管理類(企業(yè)網(wǎng))HSRP網(wǎng)關(guān)X.X.191.98網(wǎng)絡(luò)設(shè)備局域口X.X.191.91~X.X.191.100應(yīng)用主機(jī)、應(yīng)用服務(wù)器X.X.191.1~50網(wǎng)絡(luò)內(nèi)用戶其他二級(jí)分行路由器LOOPBACK地址路由器需設(shè)置INTERFACELOOPBACK地址，占用各二級(jí)分行網(wǎng)管網(wǎng)段地址X.X.31.X，掩碼為32位，地址從大向小取值，即從X.X.31.254/32~X.X.31.200/32，如省行路由器的LOOPBACK地址為X.0.31.254/32~X.0.31.200/32，某地市分行路由器的LOOPBACK地址為X.32.31.254/32~X.32.31.200/32。二級(jí)分行路由器直聯(lián)網(wǎng)段的地址二級(jí)分行的本地局域網(wǎng)內(nèi)，路由器之間需要占用兩個(gè)IP網(wǎng)段互連，規(guī)劃占用網(wǎng)絡(luò)地址X.X.31.X/28，占用網(wǎng)段從X.X.31.0/28~X.X.31.31/28，IP地址從以下空間中分配：網(wǎng)段編號(hào)IP地址范圍備注1X.X.31.0~X.X.31.15LAN_A2X.X.31.16~X.X.31.31LAN_B 主路由器1、主路由器2和備份路由器分別占用該網(wǎng)段中的第1、第2和第3個(gè)地址。

可靠性設(shè)計(jì)網(wǎng)絡(luò)可靠性包括網(wǎng)絡(luò)設(shè)備的備份和線路備份。設(shè)備備份所有骨干設(shè)備，包括省分行、二級(jí)分行的骨干路由器都配置了2臺(tái)高可靠的設(shè)備，具有雙路由引擎、雙總線、雙電源等部件，所有模塊支持熱插拔，個(gè)別關(guān)鍵部件還購買了備件。線路備份在設(shè)計(jì)中，針對(duì)廣域網(wǎng)提供三種線路：主鏈路、副鏈路和備份鏈路（通過撥號(hào)備份路由器），針對(duì)局域網(wǎng)提供雙交換機(jī)雙連接到每個(gè)主路由器。這種設(shè)計(jì)保證了很高的可靠性。線路備份應(yīng)遵循下列原則：正常情況下營業(yè)類數(shù)據(jù)主要在主鏈路上傳輸，管理類數(shù)據(jù)主要在副鏈路上傳輸；主鏈路故障時(shí)，營業(yè)類數(shù)據(jù)迂回到副鏈路上傳輸，主鏈路恢復(fù)正常后，營業(yè)類數(shù)據(jù)恢復(fù)到主鏈路傳輸；副鏈路故障時(shí)，部分重要的管理類數(shù)據(jù)迂回到主鏈路上傳輸（但是要保證營業(yè)類數(shù)據(jù)的帶寬），副鏈路恢復(fù)正常后，管理類數(shù)據(jù)恢復(fù)到副鏈路傳輸；主鏈路和副鏈路同時(shí)故障時(shí)，營業(yè)類數(shù)據(jù)將迂回到撥號(hào)備份鏈路上傳輸；局域網(wǎng)部分故障時(shí)，依據(jù)路由策略，營業(yè)類數(shù)據(jù)和管理類數(shù)據(jù)可能在同一條鏈路上傳輸。線路備份的具體實(shí)現(xiàn)采用了多種技術(shù)，比如HSRP、動(dòng)態(tài)路由協(xié)議。在本部分我們論述線路備份實(shí)現(xiàn)的效果。舉例說明如下：采用二層交換機(jī)實(shí)現(xiàn)。以清算為應(yīng)用，某二級(jí)行清算訪問省行清算不說明數(shù)據(jù)返回的流程情況一：正常情況數(shù)據(jù)流程如下圖所示：發(fā)送到路由器1，這是因?yàn)槁酚善?是清算的主網(wǎng)關(guān)（HSRP）；發(fā)送到主鏈路，這是因?yàn)槁酚善?到省行的路由指向主鏈路。情況二：主鏈路故障數(shù)據(jù)流程如下圖所示：發(fā)送到路由器1，這是因?yàn)槁酚善?是清算的主網(wǎng)關(guān)（HSRP）；通過直聯(lián)網(wǎng)段LAN_A或LAN_B發(fā)送到路由器2，這是因?yàn)槁酚善?通過動(dòng)態(tài)路由從LAN_A或LAN_B得到了去省行的路由信息，下一跳為路由器2（如前所述，LAN_A,LAN_B的優(yōu)先級(jí)較高）；發(fā)送到副鏈路，這是因?yàn)槁酚善?的到省行的路由指向副鏈路。情況三：主、副鏈路故障數(shù)據(jù)流程如下圖所示：發(fā)送到路由器1，這是因?yàn)槁酚善?是清算的主網(wǎng)關(guān)（HSRP）；路由器1、2和撥號(hào)路由器之間運(yùn)行動(dòng)態(tài)路由，主副鏈路均失效，清算網(wǎng)段只有撥號(hào)鏈路這一出口；數(shù)據(jù)在路由器1通過LAN_A發(fā)送到路由器3，這是因?yàn)槁酚善?通過動(dòng)態(tài)路由得到了路由器3上重分布進(jìn)來的路由，且路由器1與路由器3連接的鏈路中LAN_A的優(yōu)先級(jí)最高；發(fā)送到撥號(hào)鏈路，這是因?yàn)槁酚善?的靜態(tài)路由指向撥號(hào)鏈路。情況四：路由器1以太網(wǎng)（業(yè)務(wù)）故障數(shù)據(jù)流程如下圖所示：路由器1以太網(wǎng)故障，HSRP促使清算網(wǎng)段的網(wǎng)關(guān)切換到路由器2；發(fā)送到路由器2，這是因?yàn)槁酚善?成為清算網(wǎng)段HSRP的ACTIVE網(wǎng)關(guān)；發(fā)送到副鏈路，這是因?yàn)槁酚善?上的到省行的路由指向副鏈路。情況五：兩臺(tái)路由器以太網(wǎng)（業(yè)務(wù)）故障數(shù)據(jù)流程如下圖所示：路由器1、2以太網(wǎng)故障，HSRP協(xié)議促使清算的網(wǎng)關(guān)切換到撥號(hào)路由器（網(wǎng)關(guān)的邏輯地址不變）；數(shù)據(jù)發(fā)送到撥號(hào)路由器，這是因?yàn)閾芴?hào)路由器成為清算的ACTIVE網(wǎng)關(guān)（HSRP）；LAN_A、LAN_B用于傳送路由，因?yàn)閾芴?hào)路由器上只有LAN_A，所以撥號(hào)路由器與路由器2之間通過LAN_A學(xué)習(xí)路由，所以此時(shí)撥號(hào)路由器通過LAN_A得到當(dāng)前的路由信息，而下一跳指向路由器2；數(shù)據(jù)發(fā)送到副鏈路，這是因?yàn)槁酚善?的路由指向副鏈路。情況六：一臺(tái)交換機(jī)故障數(shù)據(jù)流程如下圖所示：交換機(jī)1故障，清算HSRP主網(wǎng)關(guān)切換到路由器2；發(fā)送到路由器2，這是因?yàn)槁酚善?切換為清算的主網(wǎng)關(guān)（HSRP）；發(fā)送到副鏈路，這是因?yàn)槁酚善?上的到省行的路由指向副鏈路。

QoS設(shè)計(jì)業(yè)務(wù)分類及特點(diǎn)我行的業(yè)務(wù)主要有營業(yè)類業(yè)務(wù)、管理類業(yè)務(wù)、語音類業(yè)務(wù)和視頻類業(yè)務(wù)。營業(yè)類業(yè)務(wù)指與柜面業(yè)務(wù)密切相關(guān)的業(yè)務(wù)，如儲(chǔ)蓄、會(huì)計(jì)業(yè)務(wù)、外接在線業(yè)務(wù)和Internet在線服務(wù)等。管理類業(yè)務(wù)指與銀行管理有關(guān)的業(yè)務(wù)，如行內(nèi)的MIS/OA、Internet信息服務(wù)、外部管理信息交換等。語音類業(yè)務(wù)有行內(nèi)的IP電話等，視頻類業(yè)務(wù)有視頻會(huì)議系統(tǒng)、遠(yuǎn)程教育系統(tǒng)等。其中營業(yè)類業(yè)務(wù)、管理類業(yè)務(wù)屬于數(shù)據(jù)信息，語音和視頻類業(yè)務(wù)屬于多媒體信息。各類應(yīng)用對(duì)網(wǎng)絡(luò)的需求體現(xiàn)在實(shí)時(shí)性、帶寬需求、多種接入方式、安全性、數(shù)據(jù)分布特征轉(zhuǎn)化等方面。營業(yè)類業(yè)務(wù)的特點(diǎn)是交易包長度固定，交易時(shí)限要求實(shí)時(shí)，上下行數(shù)據(jù)流量基本對(duì)等。其中柜面業(yè)務(wù)數(shù)據(jù)分布在總行、一級(jí)分行、二級(jí)分行，是逐級(jí)上傳，總行是交換中心，均屬于在線業(yè)務(wù)。外接在線業(yè)務(wù)和Internet在線服務(wù)在進(jìn)入我行內(nèi)部網(wǎng)后與傳統(tǒng)的柜面業(yè)務(wù)的特點(diǎn)一致。管理類業(yè)務(wù)的特點(diǎn)是數(shù)據(jù)包不定長，突發(fā)性強(qiáng)，大部分業(yè)務(wù)為批量上傳，上傳數(shù)據(jù)量較大，下傳數(shù)據(jù)量較少，對(duì)實(shí)時(shí)性要求不高。其中行內(nèi)管理信息業(yè)務(wù)在管理上為逐級(jí)管理，數(shù)據(jù)分布在總行、一級(jí)分行和二級(jí)分行。Internet信息服務(wù)（即通過內(nèi)部網(wǎng)對(duì)Internet的訪問）和內(nèi)部WEB瀏覽的時(shí)效性要求較高，上傳數(shù)據(jù)量小，下傳數(shù)據(jù)量大。外部管理信息交換以文件傳輸為主，對(duì)實(shí)時(shí)性要求不高。語音類、視頻類業(yè)務(wù)的特點(diǎn)是數(shù)據(jù)量大，對(duì)時(shí)延敏感，對(duì)實(shí)時(shí)性和帶寬要求高。QoS實(shí)施策略根據(jù)這些業(yè)務(wù)類型及特點(diǎn)，為建立統(tǒng)一的QoS策略，簡(jiǎn)化QoS配置，二級(jí)骨干網(wǎng)采用的QoS策略與一級(jí)骨干網(wǎng)的基本一致，具體如下：IPPrecedence的設(shè)置——通過Policy-BasedRouting實(shí)現(xiàn)；擁塞避免機(jī)制——采用WRED-WeightedRandomEarlyDetection實(shí)現(xiàn)；隊(duì)列輸出管理機(jī)制——采用CBWFQ-ClassBasedWeightedFairQueuing或者WFQ實(shí)現(xiàn)。帶寬控制機(jī)制——采用CAR-CommittedAccessRate實(shí)現(xiàn)IP優(yōu)先級(jí)所謂的IPPrecedence指的是在IP包頭中預(yù)留的TypeofService3位比特，3位比特從000到111共可設(shè)置8個(gè)有效值，權(quán)值越低，優(yōu)先級(jí)越低。我們一般可以使用其中從000到101六個(gè)級(jí)別，110和111用來保留給網(wǎng)絡(luò)內(nèi)部其它信令等通訊使用。在RFC791中，給每個(gè)IPPrecedence值定義了一個(gè)名字。在具體配置中，我們經(jīng)常會(huì)應(yīng)用這些名字來標(biāo)識(shí)相應(yīng)的IPPrecedence值。每個(gè)IPPrecedence值的相應(yīng)名字在下表中列出。IPPrecedenceValuesNumberName0Routine1Priority2Immediate3Flash4flash-override5Critical6Internet7NetworkIP優(yōu)先級(jí)可以控制IP包在路由器中被處理的優(yōu)先程度，可以和各種隊(duì)列技術(shù)結(jié)合起來使用，比如WRED在發(fā)生阻塞時(shí)，先丟棄優(yōu)先級(jí)低的IP包。針對(duì)我行的應(yīng)用情況，我們建議使用以下的優(yōu)先級(jí)劃分方法：業(yè)務(wù)應(yīng)用類型IPPrecedence值Name其它應(yīng)用（如FTP和HTTP）0routine管理信息系統(tǒng)2imm