《XX银行全国数据集中工程网络网络数据中心设计方案》由会员分享，可在线阅读，更多相关《XX银行全国数据集中工程网络网络数据中心设计方案（89页珍藏版）》请在金锄头文库上搜索。
1、 2、系统设计总体方案XX银行全国数据集中工程目 录第1章 前言5第2章 概述6第3章 网络设计原则7第4章 总体架构设计8 结构设计8 结构设计策略8 分区模块设计8 分层设计9 物理部署设计10 上海全国数据中心局域网拓朴104.3 网络核心层11 生产区12 运行管理区13 MIS区14 广域接入区15 OA接入控制区154.9 生产外联16 设备选型推荐17 S8500简介19 AR28-80简介24第5章 服务器接入设计28第6章 VLAN和SPANNING TREE设计29 VLAN简述29 VLAN注册协议（GVRP）29 VLAN设计31 STP设计31 VRRP33第7章 I
2、P地址设计34第8章 路由选择和设计35 路由协议选择35 路由边界35 路由协议设计（OSPF）36 OSPF Area设计36 OSPF Process ID37 OSPF Router ID38 OSPF链路Metric38 OSPF MD5认证38 选路规划38 静态路由39第9章 QOS设计39 QoS服务模型40 Best-Effort service40 Integrated service40 Differentiated service41 服务模型选择41 QoS实现技术42 报文分类42 拥塞管理42 拥塞避免43 流量监管和整形44 农行数据中心QoS设计44第10章
3、可靠性设计46 可靠性概述46 设备级可靠性设计48 引擎（含主控及交换网）48 电源50 模块和端口51 系统软件54 链路级可靠性设计55 网络级可靠性设计56 拓扑冗余56 网关冗余59 路由冗余60 应用级可靠性设计61第11章 网络安全61 安全设计概述61 安全管理中心设计62 安全认证中心设计65 模块化的安全构架设计67 核心交换区69 生产区69 OA接入控制区70 运维管理区73 MIS服务区74 生产外联区75 统一的安全联动设计76 其他安全防护考虑78 网络病毒控制79第12章 网络管理81第13章 数据中心切换89第1章 前言上海数据中心工程是XX银行数据大集中项目
4、的重要组成部分，将作为全国生产中心投入运行。生产数据中心的建成将为提高XX银行的经营管理决策水平和风险控制能力打下坚实的基础，并支持提升中国XX银行整体的服务水平和信息化服务质量。华为3Com公司深刻认识到数据中心建设对于大集中项目以及中国XX银行发展的重要性，针对数据中心承载多种业务应用的特点，按照高可靠、高安全和先进性的原则对网络整体结构和各个功能分区进行了详细的网络方案设计。为用户提供最完善的服务是华为3Com技术的一贯宗旨，有关本方案的一切问题，欢迎用户在随时垂询。第2章 概述针对上海数据生产中心稳定、可靠、高效运行的要求，本方案以高可靠性，高安全性和先进性为原则进行了重点设计。整体结
5、构上，根据上海数据中心承载多种业务功能的特点，依据统一性，开放性，易扩展和可管理的特性要求，通过模块化层次化的构筑方法，以高可靠、高速率的交换结构为中心，连接生产区，外联区，接入区和MIS区等功能分区，并针对各个功能不同的业务应用需求和安全要求进行了针对性设计。在本项目设备建议中，我们推荐了先进的Quidway S8500系列万兆核心路由交换机作为平台构架的主要设备，通过高效的万兆交换技术实现骨干网络的高性能互联，同时，其安全联动、全面的业务支持以及电信级的高可靠特性，更保障本网络具备了有强大的业务支撑和性能扩展能力，可以满足上海数据中心未来35年的发展需要。第3章 网络设计原则高可用性网络架
6、构和设备均支持业务系统对服务级别高可靠性的要求，在网络分层部署的架构和设备体系选择以及相关配置上均充分按照高可用的系统设计。高安全性按照立体的安全体系进行设计，分布式部署，使网络具有统一的安全，支持全网的安全联动。先进性网络设备支持先进的高性能体系架构，支持高带宽的数据传输。统一性数据中心局域网是基于大集中“一个整体”基础上考虑。全网采用统一的架构、策略部署，QoS分类和设备形态，保证全网的可维护性。开放性本方案网络建设全面遵循业界标准，所推荐采用的设备、技术在互通性和互操作性上，可以支持本网络系统的快速布署。第4章 总体架构设计4.1 结构设计4.1.1 结构设计策略按照数据中心的结构，本方
7、案采用以下策略设计1、 高可靠的设计思想融合在结构设计、路由设计、应用服务设计的各个层面；2、 针对业务网络应用需求实施全模块化分区设计；3、 依照工作重点和结构分工的整网三层体系结构；4.1.2 分区模块设计网络按照业务应用需求，划分以下主要功能区：l 生产区l MIS区l 生产外联区l 广域接入区l 运行管理区l OA接入控制区各个区以扩展模块的形式分别连接到数据中心高可靠的核心交换网络。4.1.3 分层设计按照网络核心，汇聚和接入的模型对数据中心以及之内的每一个功能区域按照层次化结构模型进行划分：核心层构成整个数据中心生产局域网的高速交换核心，为各个功能分区提供高可靠高稳定和支持快速愈合
8、的第三层接入服务。在核心层设计以高可靠，高速交换为主要原则；汇聚层各个功能分区的交换核心是组成整个生产中心局域网的汇聚层。汇聚层提供各个分区内部接入层的汇聚，作为各个分区的对外接入，集中实现接入控制和安全控制；接入层在各个分区主机和服务器的接入，具有高密度的接入能力。支持基于主机端口的访问控制，并针对接入的数据流进行标记工作，便于传输过程中逐级实现针对流量的QoS控制策略。4.1.4 物理部署设计上海数据中心的核心网络主要分布在上海园区的E2楼的各层，因此网络将按照就近接入的原则将各个功能区网络设备与应用主机就近放置分布在各个楼层。网络的交换核心、广域接入区等没有主机接入的功能区域放置于网络机
9、房。4.2 上海全国数据中心局域网拓朴在数据中心的实际部署中，针对数据中心模型进一步细分各个功能分区。生产区涉及到的应用系统较多包括核心业务以及各种总行级的业务系统。核心业务系统放置于IBM S/390上，通过在S/390上划分多个分区来实现核心业务相关的不同功能。考虑到核心业务系统属于银行全部业务核心，属于数据中心的重中之重，同时S/390的操作方式与其他开放平台不一致，因此物理上将生产区设置为核心业务生产区和开放平台生产区2个分区接入到核心层。测试区根据测试需要尽量与生产网络实现完全分离，根据实际需求确定是否需接入到核心层。生产外联区包括网上银行的Internet外联以及和合作伙伴的Ext
10、ranet外联两种方式，在网络结构上和安全部署上有很大不同，因此在实际部署中分别设置2个接入区域连接到核心交换区。广域接入区设置一个单独的物理分区，提供各个一级分行的流量接入和汇聚。灾备接入区设置一个单独的物理分区，部署与北京灾备中心的连接和灾备策略的部署。MIS服务区设置一个单独的物理分区，提供MIS业务应用的服务。运行管理区设置一个单独的物理分区，提供数据中心和全网的管理和监控。4.3 网络核心层网络核心层由4台万兆交换机构成，通过万兆实现各个功能分区的接入，同时4台交换机之间采用双万兆捆绑的方式实现高速互联。为了保证通过核心网络的流量和路径可控，并提高故障切换的效率，对各个功能分区实现三
11、层接入的方式。为了保证各个功能分区的高可靠性，与各个功能分区的汇聚交换机采用双星型的结构连接。4.4 生产区生产区将接入数据中心核心生产系统和部分生产系统前置 ；生产区核心业务平台：由2台汇聚层交换机和2台接入层交换机构成，接入层交接机连接S/390主机系统平台。生产区开放平台：由2台汇聚层交换机和4台接入层交换机构成，接入层交接机连接开放平台。连接方式：四台接入层交换设备通过四条千兆线路上联到汇聚层，两台汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。4.5 运行管理区运行管理区是生产中心主要的人员操作区，主要以各种管理配置平台为主
12、。运行管理区：由2台汇聚层交换机和2台接入层交换机构成，接入层交接机连接各类业务、网络、配置管理系统；连接方式：两台接入层交换设备通过双千兆线路上联到汇聚层，两台汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。4.6 MIS区MIS区将接入数据中心MIS处理主机系统，主要以开放平台为主。MIS系统平台：由2台汇聚层交换机和4台接入层交换机（两层结构、分为外联接入交换机与内联接入交换机）构成，接入层交接机连接各MIS系统平台；连接方式：两台接入层交换设备通过双万兆线路上联到汇聚层，两台汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，
13、各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。4.7 广域接入区广域接入提供各个下联一级分行的接入，同时支持在接入边界部署安全控制策略。广域接入平台：由2台汇聚层交换机构成，直接接入路由设备。连接方式：汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。在汇聚交换机侧支持部署防火墙和入侵检测设备，采用访问控制和安全联动相结合的方式对接入流量进行安全防护。（关于安全联动的详细介绍请参阅第十一章：网络安全相关内容）4.8 OA接入控制区OA接入控制区是生产区和OA用户及OA服务器所在功能区的隔离区，OA用户通过此区访问生产的相关资源
14、。OA接入控制区：由2台汇聚层交换机构成。在汇聚交换机对外互连处部署防火墙和入侵检测设备，采用访问控制和安全联动相结合的方式对流量进行安全防护。连接方式：汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。4.9 生产外联生产外联区主要分为两大部分：网银Internet接入区域、合作伙伴接入区域，两大区域建立统一的汇聚层交换机，按照两大区域对安全级别的要求的不同，分别设置多层DMZ区域。在合作伙伴接入区域提供和各个金融服务机构，金融监管机构和金融市场的接入，会部署大量的外联前置系统，采用防火墙实现隔离，在DMZ区部署外联前置服务器。合作伙伴接入区域接入平台：由2台DMZ区接入交换机构成。在外联网接入和DMZ与汇聚层连接处部署高可用防火墙，并部署IDS设备实现安全联动。连接方式：汇聚层设备之间通过两条冗余的千兆线路实现互连，同时，各自通过两条千兆冗余线路分别上行到两台核心交换层交换机。网银互联网接入部分主要面向互联网的客户提供服务以及部分数据交换
