广发北方上海网络方案

广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 1 -广发证券上海营业部领导及工程师：您们好！北京致达赛都科技有限公司很荣幸有机会向各位呈交针对贵营业部网络改造的方案建议书。作为康柏、思科公司的授权代理商，凭着多年在金融证券系统集成领域工程设计与建设的经验，依靠公司雄厚的技术力量以及在证券行业的良好信誉，我们将向贵营业部提供完善的系统建设方案以及一系列的优质服务，包括技术咨询、安装、测试、用户培训、验收和系统维护等，以确保贵营业部网络系统具备高度的安全性和可靠性，为贵营业部开拓市场奠定坚实的基础。“大家的经验，大家的财富”，证券网络经历过十年的发展，积聚了众多优秀人才的智慧；良好的设计是工作完成的前提，赛都愿为您的建设贡献聪明才智。即便如此，本方案仍然会存在很多不足之处，希望各位领导、专家能够及时向我们提出批评和修改意见，以便我们能够进一步调整和完善。这里我们再次表示深深的感谢，并预祝合作愉快！感谢您对我们的信任和支持！ 北京致达赛都科技有限公司 2001 年 9 月广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 2 -目目 录录方案内容摘要方案内容摘要 .3第一章第一章 网络系统设计需求网络系统设计需求 .41.1 总体目标.41.2 网络系统设计需求.41.2.1 网络规模需求 .41.2.2 广发证券上海营业部网络系统设计需求 .4第二章第二章 交易网络设计方案交易网络设计方案 .52.1 网络整体设计说明.52.2 方案特点.7第三章第三章 关键技术的实现说明关键技术的实现说明 .93.1 服务器系统设计说明.93.1.1 服务器系统概述 .93.1.2 服务器选型说明 .93.1.3 服务器网卡容错设计说明 .113.2 中心交换机选型及容错说明.123.2.1 交换机选型说明 .133.2.2 网络容错的技术实现 .133.3 网络安全设计说明.153.3.1 通过交换机设置限制站点对网络系统的访问 .153.3.2 通过网络操作系统的安全管理加强网络安全 .163.3.3 通过应用软件加强网络安全 .163.3.4 赛都无盘引导菜单程序 .17第五章第五章 完善的服务保障体系完善的服务保障体系 .19服务理念.19工程实施现场管理流程.20施工方法.21项目人员组织安排.21验收标准.22赛都服务承诺.23服务热线.25方案总结方案总结 .26附录一附录一 CATALYST 4006 产品介绍产品介绍.27附录二附录二 公司业绩公司业绩 .30广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 3 -方案内容摘要方案内容摘要本方案首先介绍广发证券上海营业部的网络系统改造规划，我们将根据当前证券营业部的基本要求，同时结合赛都公司多年从事证券系统集成的经验和证券营业部计算机网络系统建设的最新技术，总结出本方案中营业部的网络改造设计需求。之后，我们提出营业部的整体设计规划和说明，同时指出实现本方案的要点。在本文的大多数章节中，我们将详细介绍本方案实现的技术要点。在另附的公司介绍和项目实施计划中，我们将对致达赛都科技有限公司进行较详细的介绍，并且对我们所提供的完善的服务保障体系进行介绍，包括：公司服务理念、工程实施管理流程、工程人员安排、技术培训、售后服务等等。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 4 -第一章第一章 网络系统设计需求网络系统设计需求1.1 总体目标总体目标在本方案中，我们力争做到在充分分析贵营业部现阶段实际需要的基础上，考虑未来几年之内的发展状况，结合我们自身的资源和技术优势，提出具有较高的可实施性、技术领先又切合实际的建设规划。特别是结合中国证监会的“规范”要求和实际系统的实施，为构造安全的计算机系统进行充分的论证。在本方案的设计过程中，我们认真体会贵公司的实际需求和中国证监会关于证券营业机构的信息系统安全要求，并且从中得到了启发。我们的目标是为您建设一个稳定、高效、先进、安全的证券网络。1.2 网络系统网络系统设计需求设计需求1.2.1 网络规模需求网络规模需求营业部现有信息点约 350 个，本次改造的主要目的是为了实现更高级别的网络安全，实现内、外网的分离。同时应考虑采用的设备、技术应具有先进性、扩充性，为将来营业部扩容打下良好的基础。1.2.2 广发证券上海营业部网络系统设计需求广发证券上海营业部网络系统设计需求1. 网络结构采用证监会“规范”中的“三层”结构，实现内、外网分离；2. 内外网中行情及交易系统实现实时容错，保证营业部中心环节实现不间断工作；3. 中间件各环节均不存在单故障点，保证内、外网的实时不间断通讯；4. 中心交换机采用高性能交换机，并实现双机容错。5. 对外网采用安全手段防止黑客的攻击；以上是对广发证券上海营业部网络系统设计需求的总结，我们将通过以下章节对方案的具体论述。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 5 -第二章第二章 交易网络设计方案交易网络设计方案网络的总体设计将根据证监会的要求，在满足广发证券上海营业部需求情况下，本着节约成本，保护用户投资，采取适当、先进的系统集成技术来设计本网络系统。2.1 网络整体设计说明网络整体设计说明为了加强证券经营机构计算机系统的安全管理，进一步防范风险，保护投资者利益，确保证券市场的健康发展，中国证监会在证券经营机构营业部信息系统技术管理规范（试行） 基础上提出了“三个分离”和“一个稽审”的要求。证券行业中的三个分离：即业务与技术分离；前台与后台分离；网络与数据分离。对证券网络建设来说，网络与数据的分离对于系统安全尤其显得重要。根据营业部各种应用系统的分类，我们可以将营业部电脑应用系统分为三部份，即核心股票资金交易数据库、交易所通信接口数据库和行情分析自助系统。这三类应用分别运行在一台 WINDOWS NT 服务器和两台 NETWARE 服务器上。前两种应用属于后台系统（内网） ，第三种应用属于前台系统（外网） 。为实现网络与数据分离，必须从网络结构和配置着手，对网络通信包的传输进行控制，防止非法人员通过网络对核心数据进行操作。采用“三层”结构安全网络和交易系统能够使证券营业部计算机系统有效抵御黑客的侵袭，在安全性方面上一个档次。“三层”网络结构即把一个营业部的局域网分为内网和外网两部分，内、外网通过中间件相连。中间层负责把前台客户的诸如下单、查询等应用请求发送给后台的交易服务器，并把交易服务器的回馈信息传送给前台客户。具体设计如下：广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 6 -Catalyst 4006引擎+2口千兆端口1块48口百兆模块广广发发证证券券上上海海营营业业部部网网络络结结构构拓拓扑扑图图1000M交交换换式式链链路路100M交交换换式式链链路路3COM1100及及原原有有其其他他交交换换机机内内部部行行情情服服务务器器Compaq PL ML530PIII Xeon933/128M RAM,10K 9.1G U23, 5302阵列卡两块百兆网卡做冗余FEC 800M外外网网核核心心工工作作站站包括:行情转码、处理机、网管工作站、行情备份工作站等等营营业业部部内内网网卫卫星星通通讯讯内内网网工工作作站站高高档档双双网网卡卡PC，实实现现内内、外外网网物物理理隔隔绝绝交交易易备备份份服服务务器器Compaq PL 7000（原原有有）交交易易服服务务器器Compaq PL ML570PIII Xeon700/512M RAM, 10K 18.2G U34, 5302 阵列卡两块百兆网卡做冗余内内部部行行情情备备份份服服务务器器Compaq PL 5000(原有）实实现现行行情情传传送送、协协议议转转换换等等功功能能中中 间间 件件营营业业部部外外网网外外网网行行情情备备份份服服务务器器两块千兆网卡做冗余外外网网行行情情服服务务器器Compaq PL ML570PIII Xeon700/512M RAM, 10K 18.2G U34, 5302 阵列卡两块千兆网卡做冗余机机房房 Catalyst 292424口百兆，其中两个百兆端口UPLINK FAST冗余上连，为营业部机房工作站提供百兆到桌面Compaq PL 7000（原原有有）Catalyst 2948G48口百兆，2口千兆3COM5000以以及及CISCO 2924交交换换机机内内网网交交换换机机网络结构内容说明网络结构内容说明 网络结构采用证监会提出的“三层”结构，实现营业部内、外网的分离，同时，任何一个中间件均保证至少两台以上同时工作，以消除中间件的单点故障。 外网的行情服务器及备份服务器选用 Compaq PL 570 和原有的 Compaq PL 7000；内网交易主服务器及备份服务器同样选用 Compaq PL ML570 和原有的Compaq PL 7000；内网行情服务器及备份服务器选用一台 Compaq PL ML530 原有的 Compaq PL 5000。 行网行情主服务器及备份服务器均配置两块 Intel 千兆网卡做冗余，冗余方式为 AFT，和中心交换机之间采用双千兆冗余链路；内网行情及交易主服务器均配置双百兆网卡，采用百兆网卡的冗余技术，和中心交换机之间采用双百兆冗余链路。 新增服务器上均配置 RAID5 的硬盘容错模式，即在配置硬盘容错时在RAID 之外另加一块硬盘作 HOT SPARE，当 RAID5 中的任何一块硬盘出现故障后，作为 SPARE 的硬盘自动接管该硬盘的工作，恢复服务器 RAID5 的硬盘容错结构。 外网中心: 采用一台 Cisco Catalyst4006 加一台 CISCO2948G 千兆交换机的冗余结构，同时使用 Spanning-Tree 技术提供交换网络形成冗余连接。中心交换机之间采用四对百兆五类线捆绑连接，使 FEC 达到 800M。Catalyst 4006 配置 1 块引擎（含 2 个千兆端口）,1 块 48 口百兆模块，二台中心交换机千兆冗余上连至外网行情主备份服务器、交易服务器。为证券业务提供健壮的广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 7 -网络主干。同时，Catalyst 4006 可支持多种技术并具有强大的扩展能力，可以满足营业部的未来需求。 内网交换机：使用原有 3COM5000 交换机，同时使用一台 CISCO2924 交换机作为备份。 机房交换机：采用二台 Cisco Catalyst 2924 作为营业部中心机房工作站工作组交换机，Catalyst 2924 包含 24 个 10M/100M 端口，采用百兆向上的冗余连接，即：其中两个百兆端口分别上连到中心交换机的百兆端口。交换机两条上连链路中只有一条被激活，为工作链路，另一链路为备份链路，当交换机工作链路出现故障后，Cisco 的 Uplink Fast 技术使备份链路在一秒钟内被迅速激活而成为工作链路。这样就保证了工作组交换机向上的冗余连接。 客户交换机：沿用已有 3COM1100 交换机，利用两条冗余链路上联中心交换机实现容错。需要说明的是：由于 3COM 交换机不支持 CISCO UPLINKFAST技术，当交换机工作链路出现故障后，备份链路将不能迅速切换（时间取决于3COM 交换机的型号、版本，范围在 530 秒左右） 。用户工作站有可能需要重启。 在外网行情服务器上安装赛都无盘站菜单保护程序，保证营业部大、中户无盘工作站只能进入菜单选择而无法进入 DOS 提示符状态，不能运行其它应用程序，保护外网行情服务器系统的安全2.2 方案特点方案特点以上设计充分考虑了证券网络系统建设的实际需求和千兆容错网络在已有证券营业部建设中的成功应用，尽量保证了网络的高速和可靠，它具有以下特点：采用三层结构充分保证了营业部核心数据的安全；行情及交易服务器、中间件、中心交换机等环节均采用有效的容错手段和备份技术，最大限度地消除了网络系统的单点故障；赛都无盘工作站菜单程序、Cisco 交换机端口访问限制功能的使用避免了大、中户室客户对工作站在 DOS 下的直接操作和个别操作者对外部行情服务器的恶意攻击，最大程度地保护了营业部网络系统的安全；网络服务器、交换机的选型具有很高的性能价格比，在技术上为领先产品，保证营业部未来的应用。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 8 -以上是赛都对于本方案的总体设计说明，后面的章节里，我们将从以下几方面介绍赛都公司在本方案设计中采用的技术和实现手段：1. 服务器系统设计说明；2. 中心交换机选型及容错说明；3. 网络安全系统说明；广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 9 -第三章第三章 关键技术的实现说明关键技术的实现说明证券行业的关键技术主要体现在服务器的选型、容错技术以及交换机的选型和容错技术，当然还有系统的安全措施。以下我们对本系统中的主要服务器和核心交换机的选型以及容错技术作详细的论述。3.1 服务器系统设计说明服务器系统设计说明3.1.1 服务器系统概述服务器系统概述服务器系统是证券网络的中心环节。随着计算机硬件技术的发展，服务器硬件本身的容错能力和可靠性不断增加，而从应用角度上来讲，各种容错手段也越来越丰富。保持业务系统持续运行,保证证券业务服务质量和保障业务系统不停机的运行,已经成为行业关注的焦点之一。从现在证券网络服务器的需求来看，无论行情或交易服务器，都需要性能稳定、可靠的硬件容错手段，如：多电源、多阵列卡、硬盘RAID等等。而在实际应用过程中，服务器系统往往出现偶发的非硬件故障，如：行情服务器NDS被破坏、交易服务器SQL结构被破坏，等等。这就需要我们在建设证券网络时，不但要考虑服务器硬件的稳定、可靠和高速，而且需要对应用系统进行实时的容错设计。结合营业部的目前实际需求，在多样化的产品系列中，我们努力选择最适合用户需求的最佳配置，提供出色的总体处理能力，同时具备出色的性价比，使用户的主要精力集中在关键业务和经营管理之中。下面，我们就对广发证券上海营业部服务器系统设计进行介绍。3.1.2 服务器选型说明服务器选型说明随着快速以太网技术、交换式以太网技术的广泛采用，制约系统性能的网络带宽瓶颈已不复存在，而且高速的网络通道允许所有的请求操作能同时到达服务器网卡，因此真正的网络瓶颈集中在网络服务器的网卡接口上，这样也造成了服务器的I/O通道面临着更大的压力。因此在大规模证券网络中，服务器的通道处理性能是决定整个系统性能的关键。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 10 -系统建设的主要目标是如何选择可靠、高性能的服务器来承担如此关键与重负荷的任务。对选择证券网络中的服务器应基于以下几个方面考虑：可靠性可靠性衡量服务器的可靠性主要依据服务器所采用的技术，并且最关键的要素是此服务器是否在实际网络环境中得到过考验。冗余技术冗余技术对服务器作冗余是消除服务器系统单故障点的重要手段，PC服务器的冗余主要包括以下的部件：A.A.电源电源冗余电源的设计对处在执行关键处理的服务器必不可少B.B.硬盘硬盘硬盘冗余技术在服务器中已经比较完善，用户可选择单卡双盘的镜像技术、双卡双盘的双工技术或RAID卡控制的RAID技术来实现硬盘的冗余C.C.内存内存内存冗余技术是通过在内存中增加纠错位来实现对内存的出错保护。目前服务器中多用ECC（错误纠正码）内存来实现内存冗余D.CPUD.CPU可采用多CPU服务器，可以减轻单个CPU的负担。 证券网络应用中应尽量采用以上部件冗余技术来保证服务器的可靠运行，以获取投资、可靠性、系统性能几方面的综合最优值。证券网络服务器在工作时是不允许停顿的，因此在冗余设计保证其不因单点故障而失效的前提下，还应有在线修复手段以及时排除出现的故障，使服务器恢复到正常运行状态。服务器的在线修复一般依靠以下技术实现： 故障部件隔离 故障部件可带电插拔 部件的在线配置技术 I/O并发操作能力在服务器中，由于I/O操作相对于主CPU的处理能力要慢许多，因此提高文件服务器能力的关键是优化系统的I/O操作。衡量服务器的I/O处理能力，首先要从结构上考虑。普通服务器采用了软、硬件与微机兼容的设计方案，使微机服务器在系统结构上有许多先天不足。如总线效率低下、通道争用过分依赖CPU处理I/O事务等，这些都严重限制了其I/O吞吐能力的扩充。因此在证券网络系统中应选用高档网络服务器。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 11 -在证券网络的应用中，行情服务器的写操作是以某些行情服务文件的持续更新操作为主，而读操作也主要针对这些文件进行，这样操作系统为改善文件操作性能而在内存开设的Cache与Buffer对这些文件实际上起不到太大作用，Cache与Buffer在算法上应首先保证内存与硬盘数据的一致性，这就要求系统不停地回写硬盘，因而极大地降低了用户从内存中直接读取文件的机会。硬盘操作比内存操作慢许多，因此优化服务器的硬盘读/写通道对改善系统的性能至关重要。一般来说，服务器硬盘子系统的性能取决于以下几点： 硬盘接口传输率 硬盘转速与寻道时间 硬盘通道设计根据目前的技术，最先进的SCSI控制接口为Ultra与WideUltra及ULTRA3。在同步方式下，ULTRA和WIDE ULTRA接口的传输率可达40M/S，ULTRA3可达80M/S，较以往接口标准分别高一倍和两倍。最高速的硬盘可达10000r/m，寻道时间小于8ms。用户可依据以上指标去衡量服务器硬盘接口的性能。另外，服务器的硬盘通道配置也极为重要，如：双工技术可实现并发的读/写操作，智能硬盘卡可提供高效的硬盘冗余与读/写操作。本方案中，主行情、交易服务器采用康柏高性能服务器Compaq PL570。PL570是康柏公司2000年推出的一款新品（替代原PL6000/7000系列） ，支持4路CPU，采用新型SCSI3硬盘。根据多家营业部实际使用经验，该款机器可以很好的满足400点以内营业部的使用需求。3.1.3 服务器网卡容错设计说明服务器网卡容错设计说明网络系统中心的容错主要是通过中心交换机的容错和服务器网卡的容错两方面来实现。其中，网卡容错是基础，我们常用的容错方式是 AFT 和 ALB，从目前证券网络使用情况上来看，AFT 居多，INTEL 最新的驱动程序将 AFT 更新为IANS，其基本原理与 AFT 相同。下面就以 INTEL 网卡为例，对这两种容错类型进行详细论述。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 12 -AFTAFT 在服务器与交换机之间建立额外的备份连接.当交换机端口,网卡或交换机端口与主网卡之间的连接出现故障时，adapter team 保证网络不会间断，AFT 通过一个主适配器和一个或多个从(备份)适配器来实现容错。正常情况下,备份适配器不传输数据.当主适配器的连路出现故障时,从适配器自动接替工作。要使用 AFT,服务器必须安装至少 2 块 PRO/1000 Gigabit 适配器或一块PRO/1000 适配器和一块 pro/100+ 适配器,且连接到同一网络。ALB 概述概述ALB 能简单高效把服务器的传输负载分配到 2-4 个 PRO/1000 Giagbit 适配器上。ALB 把多个 PRO/1000 Gigabit 适配器组成一个组。ALB 不断地分析各个适配器的负载，根据需要分配负载。AFB 同时具有 AFT 的功能。注意，ALB 不能对接收的数据进行负载均衡。要使用 ALB，服务器上的适配器必须配置成一个组，且连到同一网络交换机。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 13 -3.2 中心交换机选型及容错说明中心交换机选型及容错说明根据网络系统建设的原则，从安全可靠、高性能的角度考虑我们推荐使用世界著名的网络产品CISCO 产品系列。网络厂商介绍美国 Cisco 系统公司是世界上领先地位的网间网互联技术和产品（包括多协议路由器、ATM 交换机、局域网交换机、访问服务器、网间网管理软件）的供应商。Cisco 系统公司在向市场提供产品的近十个年头里，一直掌握网际互联系统全球市场的 50%以上。迄今为止，Cisco 系统公司已为世界上 40 个国家的 25，000 多个用户安装了超过 300,000 台网际网互联设备。上述众多用户构成了广泛的纵向市场范围，包括电信业、金融业、服务业、工业、零售业、政府部门及教育机构等市场部分。Cisco 系统公司是 S&P500 家之一，亦是”幸福”500 家之一。3.2.1 交换机选型说明交换机选型说明在证券行业的主交换机的选型中，根据我们在多家营业部网络系统的应用经验，按照交换机的负载能力，我们选择 Catalyst 4000 系列作为主干交换机。针对广发证券上海营业部的具体需求，我们选择一台 Catalyst4006 分别作为中心主干交换机，同时选用 CISCO4000 系列中的 2948G 做为它的备份。(主要产品 Cisco Catalyst 4006 的介绍请参见附录)3.2.2 网络容错的技术实现网络容错的技术实现1spanning tree技术技术标准的 Spanning-tree 如何实现链路的冗余和故障恢复。二级交换机采用双链路上联到中心交换机上，标准 Spanning-tree 能够判断出网络的拓扑结构，并且自动将其中一条链路“阻塞” （Blocking） ，只使用一条链路进行网络通讯（Forwarding） ，以避免网络拓扑结构上的环路的形成，这条链路称为“主链路” 。当主链路失效时，标准 Spanning-tree 有一套完整的故障诊断和恢复的方法，下图左侧部分显示出 Spanning-tree 故障恢复的几个过程，包括 Blocking、listening、Learning 和 Forwarding，交换机在Listening 和 Learning 过程中监听和学习网络的拓扑结构，之后才能激活备份端口（Forwarding） ，恢复网络的传输，整个故障恢复的过程大概要持续 40 秒到 1 分钟。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 14 -2PortFast 的工作方式的工作方式SPANING-TREE PORTFAST 技术使得交换机端口迅速跳过 listening(侦听)和 learning(学习)状态，而迅速成为 forwarding(转发)状态。我们可以在交换机上将连接到服务器或工作站的端口设置为 SPANINGTREE PORTFAST，这样可以减少网络生成树的时间。PORTFAST 仅仅设置连接到单一端站点，否则将导致网络环路。3UplinkFast 的工作方式的工作方式Uplink-Fast 是 Cisco 公司独有的故障链路快速诊断与恢复技术，是对标准 Spanning-tree 技术的加强。当配置了 Uplink-Fast 技术后，当主交换机的主上联链路断掉后，交换机几乎可以马上判断出网络的故障，然后立刻激活备份链路，在极短的时间内恢复网络连接，整个故障恢复的过程只需 1 至 2 秒。在 SPANINGTREE 拓扑结构发生变化时，Uplink Fast 能够通过使用冗余连接组提供快速收敛并获得负载平衡。Uplink Fast 组就是 VLAN 的一组设置端口，其中一个是处于 Forwarding（转发）状态，其余为 Blocking（阻塞）状态。一般情况下 Uplink Fast 端口组包括一个转发端口和一些阻塞端口，用来阻止网络环路。Uplink Fast 端口组提供一个可选择的端口以防止网络失败。下图表示了一个网络正常的案例，Switch A 是根交换机，是通过 L1 和Switch B 直接相连，通过 L2 和 Switch C 直接相连，Switch C 和 Switch B 相连的端口是 BLOCK 状态，L2 连接是活动的，L3 是处于 BLOCK 状态。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 15 -当 L2 连接失败时，Uplink Fast 解除在 Switch C 上的 BLOCK 端口进行转发数据，而不需要通过侦听和学习过程，交换机如上图所示，整个切换过程不超过 2 秒。可以保证客户端不会掉网。4.FEC/GEC4.FEC/GEC 技术技术FEC/GEC 称为 Cisco 交换机带宽聚合技术，FEC 应用于快速以太网端口，GEC 用于千兆以太网端口。在两台 Cisco 交换机互连时，利用 FEC/GEC 技术，可以将 2 条或 4 条物理链路捆绑成为一条更高带宽的逻辑链路，在方案中，两台中心交换机之间采用二对光纤捆绑连接方式，使 GEC 达到 4GB，我们可以得到一条全双工 4GB 带宽的链路。FEC/GEC 技术一方面为我们提供了一种扩展网络带宽的手段，另一方面，FEC/GEC 还为连接提供了容错。平时，网络流量是被分摊到构成 FEC/GEC 的 2条和 4 条物理链路上，如果其中一条链路发生故障（比如断线） ，该故障链路上的物理流量会立刻被重新分配到其他正常的流量上，从而达到容错的目的。FEC/GEC 技术本身是由 Cisco 公司开发的，原来只能用于 Cisco 设备之间的互连，但现在该技术已经被越来越多的其他物理厂商接受，如 Intel 公司的100M 和 1000M 的专用服务器网卡已全面支持 FEC/GEC，也就是说，如果一台服务器配置了两块或多块 Intel 的服务器网卡，并且连接到同一台 Cisco 以太网交换机，那么，可以利用 FEC/GEC 技术将原本独立的两条链路“聚合”成一条400M/4G 的具有容错性质的链路，以提高服务器的物理访问能力和稳定性。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 16 -3.3 网络安全设计说明网络安全设计说明目前的证券网络普遍存在着很多安全漏洞，比如：大、中户室无盘工作站可进入 DOS 提示符下对工作站进行直接操作，当操作系统设置出现漏洞时即可轻松进入服务器系统；外来人员用便携式电脑连入营业部网络对服务器进行攻击，等等。为了弥补这些漏洞，我们在本方案中采用以下手段，以确保营业部计算机网络的安全。3.3.1 通过交换机设置限制站点对网络系统的访问通过交换机设置限制站点对网络系统的访问Cisco 交换机提供了 MAC 地址限制的功能。在特定的端口进行设置，允许固定 MAC 地址网卡的包通过，只要工作站网卡 MAC 地址未被该端口登记，这台工作站就无法在网络上工作。交换机站点限制也可以通过动态的方式限制交换机可以转发那些工作站，设置站点数，如何交换机动态学习合法机器站点的 MAC 地址，省去许多手工配置的繁琐工作。这种通过对交换机设置来限制工作站点的方法能够有效阻止非本营业部的电脑、便携式电脑等的非法使用，保护了营业部网络的安全。3.3.2 通过网络操作系统的安全管理加强网络安全通过网络操作系统的安全管理加强网络安全由于与交易所的数据交换是通过文件形式来操作的，因此，要严格地限制对存放这些关键数据的权限。例如：限定专门用户、专家的机器及专用的时间才能合法登录、访问关键数据（这些选项在 NetWare 系统中，可以用 NWADMIN或者其他管理工具实现） 。另外，NetWare 4.11 中提供了审记功能，你可以对关键用户，关键数据文件进行审记核查工作；尤其是关键用户帐户及关键目录后于审记记录可以由唯一的专门用户帐户进行管理（一个好的帐户管理机制可以使网络管理员帐户（ADMIN）不能干预审记用户的审记操作） 。因此，可以由一个人掌管审记；由另外一个人掌管管理员帐户。在 NetWare 4.X 中 ADMIN 用户可以被删去或改名，通过对每个内部维护工程人员分配独自的帐户，可以清楚地记录每次关键操作。细分管理员帐号，明确各帐号的功能和利用系统进行权限限制以及工作日志，增加管理员的责任感。3.3.3 通过应用软件加强网络安全通过应用软件加强网络安全我们发现大部分证券营业部的 Novell 工作站上网存在以下漏洞：广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 17 -用户不加口令，采用批处理上网用户不加口令，采用批处理上网由于营业部内部有大量的无盘工作站，营业部工程师为简便开机工作，一般对某些帐户不设置口令而允许无盘工作站启动是利用批处理自动注册上网，自动启动相应的应用程序，如“钱龙软件”和“柜台管理软件” 。如果权限设置有误的话，一个入侵者可以中断批处理，登录上网，改变系统配置/数据文件（例如可以删除/修改某些文件） ，甚至注入病毒！这将直接损坏系统，因此应当对每个设置口令。如果需要自动上网，可以编写一些批处理或专门的应用程序完成带口令登录。如赛都无盘登录界面软件。批处理程序可以中断批处理程序可以中断无盘站在启动过程中，从 NetWare 服务器上获取 DOS 环境启动 DOS，再运行批处理程序（含 LOGIN：LOGIN SCRIPT 及其它 DOS 批处理） 。由于 DOS 系统的特性，批处理课余被用户键盘中断，网络数据很容易的裸露在用户面前。一旦网络权限或应用权限管理不充分或不准确，恶意的入侵者就可以修改网络管理权限或修改应用程序数据。要解决此类问题需要做如下工作：避免无盘工作站被中断，开发内存中断驻留程序，截取相应的按键（CTRL-C 或 CTRL-BREAK 等） ，避免批处理程序被中断，同时在 CONFIG.SYS 加入 SWITCHES=NO 使得计算机在启动时不检测 F4、F8 的请求，从而限制了客户不能中断 DOS 的引导过程。以下是一个工作站的 config.sys 和 autoexec.bat 的配置案例如下：Config.sys 的配置：的配置：DEVICE=himem.sysDEVICE=EMM386.EXE NOEMS X=D000-DFFF /为各种板卡保留内存地址空间，如大屏、电话卡等devicehigh=break.sys /c /屏蔽 F5、F8BREAK=OFFSWITCHES= /F /Ndos=umb,highlastdrive=Zfiles=40buffers=20FCBS=4,0Autoexec.batLH CTRLC.EXE /屏蔽 CTRL+C 或 CTRL+BREAK，用户按这些键将导致死机！LH LSL.EXELH E100BODILH IPXODILH VLMF: LOGIN MENU /直接登录赛都无盘站菜单程序用户广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 18 -网络软件系统的版本网络软件系统的版本网络操作系统有其自身的安全等级。对于 NetWare 早期的版本存在一些安全漏洞，需要一些补丁程序加以修补。而 NETWARE4.11 达到了 C2 级安全标准，基本满足局域网安全要求。另外 NetWare 4.11 缺省状态下开启了 Bindery 仿真方式（是为了与原有的 3.x 客户软件/应用兼容） ，入侵者仍有可能利用 Bindery 管理的弱点来攻击网络，因此，将客户端的软件升级到 4.11 的 NDS 登录，将 Bindery 仿真关闭（或只在限定的 OU 或限定的服务器） ，这样，有助于提高系统的安全性。3.3.4 赛都无盘引导菜单程序赛都无盘引导菜单程序在无盘站引导文件中加入防止中断的命令行和相应的配置文件，并强制执行无盘引导的菜单程序，该程序由我公司提供，主要功能是使指定工作站进入美观的菜单界面。操作者可在菜单界面下选择并进入钱龙动态、钱龙静态、通达信、证券咨讯、营业部公告等选项，执行完该程序后，操作者只能退回到原来的菜单界面而无法退到 DOS 提示符状态下。该界面举例如下：广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 19 -第五章第五章 完善的服务保障体系完善的服务保障体系致达赛都科技有限公司定位为系统服务商，为中国证券业提供专业性专家级服务，公司拥有一批学识渊博、经验丰富的专家组，随时提供专业支持。服务理念服务理念服务将成为 IT 行业产品的最主要差异的因素 利润利润= =产品产品+ +服务服务公司的核心竞争力主要表现两个方面：对内的高效管理，对外的优质服务。服务宗旨服务宗旨服务是一种文化，服务不仅仅代表一种制度、程序，它更需融入企业文化中，为所有员工接受和奉行。向用户提供持续、高效、快捷的服务，构建优质服务品牌。建立完善的服务网络，向用户提供专业化、标准化、多元化服务。树立以用户为中心的工作作风，以用户满意作为衡量工作的准绳。服务目标服务目标获得最好的客户满意度，为社会所认可，产生良好的社会效益。获得对投资者的优秀回报，产生良好的经济效益。在保证客户满意的原则下推行服务的标准化、专业化、产品化和多元化，以服务的高增值和高质量赢得客户满意。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 20 -工程实施现场管理流程工程实施现场管理流程工程实施现场管理流程合同要求履行内容采购要求业务人员交流采购及送配项目总管项目经理技术支持、质量控制小组项目管理小组项目经理实施正常问题技术支持、质量控制小组验收提交完工文档收款广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 21 -施工方法施工方法施工准备阶段施工准备阶段项目执行组与技术支持及质量控制小组的负责人成项目施工管理小组；做好施工现场勘察；做好施工图的会审工作；做好按施工图要求及工程进度计划劳动力、材料、工具等需要计划。施工实施阶段施工实施阶段对进入施工现场的材料、设备，由材料员进行检查，如有问题及时反映；严格按正确的施工，未按客户要求及设计员许可，不得擅自修改施工图纸；按照施工进度配合土建及装修施工进度，根据施工的实际情况，及时调整项目施工计划；根据现场施工的实际情况，积极主动做好施工协调配合工作。完成测试阶段完成测试阶段建有授证工程师组成的测试小组，制订测试计划详细计划项目交付前的具体事宜做好项目的完工测试，及测试文档整理竣工文档项目人员组织安排项目人员组织安排项目执行组项目执行组项目经理：项目经理：主要负责：主要负责：主持制定项目实施计划，报领导小组批准；对项目实施中出现的重大问题报项目协调小组协调解决；执行协调组的确定任务；定期组织现场例会，总结阶段工作完成情况及制定阶段性实施计划；定期以书面形式向领导小组回报项目进展情况；按排各施工小组的任务；现场解决安装过程中出现的技术问题；负责和工程现场各有关部门的协调；广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 22 -材料的管理：库存管理（出入库、材料分发） ；文档管理：图纸、备忘录、工程联系单、通知等文件的整理存档；安全管理：制定（或传达）有关用电、消防等安全条例，督促实施并定期检查。项目协调组项目协调组负责人：负责人：成成 员：员：主要负责主要负责：在项目进行过程中协调与甲方的关系；调解决项目进行过程中所产生的商务问题；协调解决其它小组及甲方提出的问题，确定解决方案并交执行小组执行；技术支持及质量控制组技术支持及质量控制组负责人：负责人：成成 员：员：主要负责：主要负责：根据用户确认的信息点数及网络配置要求，完成方案的细化设计；负责整体项目的安装、调试，解决项目实施过程中出现的问题，发现问题及时提出整改意见，并及时检查整改结果；负责项目的整体测试，并提供完整测试报告、竣工文档；牵头组织整个系统的最终验收工作。验收标准验收标准设备的验收设备的验收赛都公司提供给用户的所有设备均以生产厂家的制造标准进行验收，设备的开箱、清点、验收将用户及赛都公司人员一起完成。网络系统的验收网络系统的验收赛都公司建设的网络系统将完全满足广发证券上海营业部的业务需要，具体验收将由我们与用户一起按照网络测试计划进行。在系统验收之后，赛都公司将向用户提供完整的网络建设文档，以备用户参考。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 23 -赛都服务承诺赛都服务承诺赛都定位为系统服务商，为中国证券业提供专业性专家级服务。我们认为，优良的设计、合理的实施和规范的售后服务体系是系统建设的完备保障。在方案的设计、实施和维护过程中，应该保证以下几点：采用先进、成熟、实用的技术；考虑世纪的客户对办公环境及舒适性的需求；采用的系统和设备是标准化的、具有开放性、可扩性和灵活性；构成的系统必须具有安全性、可靠性和容错性；综合考虑到系统的需求、性能价格比、造型等实际问题来决定产品的选型；为了切实保证系统能够按规划实现，所使用的技术均经过严格的论证，确保这些技术切实可行。工程实施的保障工程实施的保障保证工程实施的零风险。“保用保用”的维护的维护我们认为，在证券界的应用模式中，在维护工作中，不能只局限于维护的“保修”概念，我们认为，在证券界的应用模式中，必须要作到一个切实可行的“保用”维护。全方位的保证全方位的保证工程实施过程中，赛都公司可以负责任地作出以下保证：供货方面：供货方面：Compaq 产品：由 Compaq 公司负责实现供货保障，监督供货渠道。并由COMPAQ 公司北京办事处提供技术支持和质量保证。CISCO 产品：由 CISCO 公司负责实现供货保障，监督供货渠道。并由CISCO 公司北京办事处提供技术支持和质量保证。施工方面：施工方面：赛都公司是 COMPAQ 特约系统集成商、是 CISCO 公司高级认证代理、证券行业专项系统集成商、Lucent,Panduit 布线产品认证代理。服务方面：服务方面：COMPAQ 服务器提供三年保修，并按照 COMPAQ 厂商保修的有关条例执行、CISCO 产品提供低端一年保修，高端三年保修，并按照 CISCO 厂商保修的有关条例执行，整个网络系统提供一年免费现场服务。对于关键设备赛都公司提供 10 小时备件更换服务。广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 24 -系统维护系统维护系统维护计划是针对用户的特殊情况而制定的维护规则，其中包括用户从我方购买的所有产品的维护规则。基本原则基本原则 我方应该向客户方提供所有用户购买的设备清单，如果客户方发现我方提供的设备型号与合同不符，我方必须无条件的在二个工作日内更换。设备型号的改变必须事先得到客户的同意，才可更换。我方应该向客户方提供一定的培训服务，包括系统硬件的现场培训服务，工程实施过程中的现场培训服务，并提供 12 小时的热线咨询服务，方式包括电话咨询及软件系统的实时上网修改服务。在工程结束后，我方应该向客户方提供所有用户购买设备的技术参数和文档。在网络工程结束后，我方必须向客户方提供详细的竣工报告，竣工报告必须包括：（1） 、网络系统拓扑结构图（2） 、交换机配置情况记录（3） 、网络系统服务器设置记录为了保证客户方工作的不间断性，对于关键的硬件系统，我方会向客户方提供备机更换的业务，更换时间不超过 12 小时，保证用户系统运转正常。如果我方无法提供相同型号的备机，我方应该与用户协商，尽可能地提供性能高于故障机的备机，原则是用户网络的正常运行。我方供应的所有产品严格按照有关厂商质保的有关规定，即在产品质保年限内，由于产品质量问题造成的备件损坏均可免费更换。我方负责对所提供的所有软、硬件实行终身维护，在产品的质保周期内，将提供免费的维护，当产品超过质保期后，我方将继续提供产品的维护工作，用户方将支付更换备件的费用。免费培训免费培训 “授人以鱼，不如授人以渔”，在系统设计、安装、调试、维护的工作过程中，赛都公司一直注重与最终用户的技术交流和技术培训，在本方案中所涉及的 CISCO、Compaq 公司的产品，赛都公司将由本公司的厂商认证资质工程师为用户提供免费的现场培训。培训内容包括： COMPAQ 服务器的安装、调试 COMPAQ 的管理，故障排除广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 25 - CISCO 交换机的安装、调试 CISCO 交换机网络冗余的设计与实施 CISCO 路由器的原理介绍 CISCO 路由器软件的配置 实用局域网与广域网组网技术用户可以在参加培训后，掌握产品知识，提高网络日常维护的能力，并能对目前较流行的组网技术有一个全面的了解。服务热线服务热线技术热线：技术热线：010-62275269,010-62275269, 6227527062275270广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 26 -方案总结方案总结本文在赛都公司多年证券系统集成业务中积累的理论和实践基础上，结合广发证券上海营业部的实际需求，对其即将建设的证券营业部网络系统进行了设计方案的论述。本方案在稳定、高效、安全、先进、经济等方面进行了综合考虑，力争为北京证券建立一流的证券交易营业部。本方案的重点是消除证券网络中通常存在的性能瓶颈和单故障点，通过网络设备选型和容错方案的设计来满足营业部当前和未来的需求。由于赛都公司拥有实力雄厚的软件开发队伍，因此，我们能根据券商的实际需求开发相应的应用程序以满足券商多方面的需求，这在本方案中已经有所体现。同时，这也是证券系统集成公司实力的体现和未来发展的大方向。赛都公司从经营机制上采用了先进的管理手段，使这个高技术企业向规模化、正规化迅速发展。值得一提的是，我们重视人才，理解人才。赛都公司现在的技术和业务骨干大部分都在公司辛勤工作了多年，骨干人员的稳定为企业树立了良好的形象，在保证企业技术实力和业务水平持续进步的同时，更保证了我们对客户服务过程中具有更好的连续性。最后，再次感谢北京证券的领导和工程师，感谢您给予我们信任、理解和支持，我们一定全力以赴，与您共同建设一个一流的证券营业部。希望我们的全体员工与赛都公司共同发展，与北京证券共同发展！广发证券上海营业部网络改造方案建议书 北京致达赛都科技有限公司北京致达赛都科技有限公司 TEL:010-62275265TEL:010-62275265 FAX:010-62261337FAX:010-62261337 - 27 -附录一附录一 CatalystCatalyst 40064006 产品介绍产品介绍CatalystCatalyst 40064006 产品介绍产品介绍 4006 是 CISCO 公司专门为适应目前需要和将来扩展设计的配线间级模块化交换机。 4006 扩展了配线间和数据中心交换机的网络服务，当一个企业中，主干网络上的各种应用如：数据汇总，语音传输及多媒体应用能够提供到每个配线间时，网络的作用才能充分发挥。每个员工才能通过他们的桌面真正实现网络所能带来的种种便利。 目前，每一个网络都面临新的挑战：新应用的无缝连接，更多的桌面服务，底层结构的增强，配线间成为一个非常重要的战略点。 4000 系列交换机的设计既为目前配线间的需求，同时也面对将来网络的发展，包括： 有线和无线的 PC 连接， 第四层服务， 千兆交换到桌面 以上这一切 4000 系列交换机都已准备好了，通过各种扩展模块，它提供给您端到端的解决方案，并能在将来有效的保护您的投资。 新的 4000 系列交换机无缝的集成了以下功能： 极具扩展性的桌面连接端口， 极具扩展性的主干上联端口 极具扩展性应用和服务功能特