三峽建行網(wǎng)絡改造總體設計方案書（討論稿）二零零一年四月

目錄TOC\o"1-3"第1章三峽建行網(wǎng)絡現(xiàn)狀 頁與Internet連接狀況三峽建行目前已經(jīng)開通了Internet連接，用于網(wǎng)上銀行業(yè)務，帶寬為2M，、連接拓撲圖如圖:如圖所示三峽建行支付網(wǎng)關與Internet連接采用了目前比較完備的網(wǎng)絡安全體系和技術，防火墻采用的是IBMFirewall3.12，并安裝了ISS網(wǎng)絡安全管理軟件進行安全漏洞掃描、入侵檢測審計等，上述連接已經(jīng)獲得總行的驗收認可。

網(wǎng)絡應用現(xiàn)狀根據(jù)三峽建行對網(wǎng)絡業(yè)務的劃分，可以將三峽建行網(wǎng)絡業(yè)務劃分為：核心業(yè)務和外連業(yè)務。核心業(yè)務是三峽建行業(yè)務開展的基礎業(yè)務，包括以城市綜合網(wǎng)為基礎的營業(yè)網(wǎng)和以企業(yè)內部網(wǎng)為基礎的管理網(wǎng)兩部分；外連業(yè)務是三峽建行依托核心業(yè)務系統(tǒng)，針對轄區(qū)內的企業(yè)和客戶開發(fā)的業(yè)務網(wǎng)絡系統(tǒng)。各系統(tǒng)應用關系如下圖所示：管理網(wǎng)應用現(xiàn)狀三峽建行目前正在管理網(wǎng)（企業(yè)網(wǎng)）使用的主要是基于LOTUS/NOTES平臺上開發(fā)的應用，現(xiàn)在在三峽建行轄區(qū)范圍內管理網(wǎng)上運行應用系統(tǒng)主要包括：電子郵件系統(tǒng)、信息網(wǎng)站、人力資源、信貸信息管理、移民資金管理、辦公自動化系統(tǒng)、國際結算系統(tǒng)等。除少數(shù)應用系統(tǒng)外，大多數(shù)應用系統(tǒng)都向下推廣到縣支行一級，轄區(qū)內管理網(wǎng)（企業(yè)網(wǎng)）用計算機大約300余臺，IP地址分配采用９８年總行統(tǒng)一規(guī)劃的企業(yè)網(wǎng)地址。此外管理網(wǎng)與市人行存在臨時的連接，用于定期本地貸款單位資料查詢。管理網(wǎng)（企業(yè)網(wǎng)）拓撲連接如下圖營業(yè)網(wǎng)應用現(xiàn)狀三峽建行目前的營業(yè)網(wǎng)應用主要是城市綜合網(wǎng)，全行共有前臺網(wǎng)點１５０余個，ATM３２臺，金融查詢機２０臺，Pos２００余臺，城市綜合網(wǎng)以太網(wǎng)采用１９９４年總行下發(fā)的營業(yè)網(wǎng)段98..42.63.0，而城市綜合網(wǎng)廣域網(wǎng)前臺網(wǎng)點地址沒有標準可循；清算A卡網(wǎng)的前置機和各縣清算組前臺（清算組前臺已經(jīng)與前臺會計柜改為直連后的會計柜機器）采用總行清算系統(tǒng)分配的２０網(wǎng)段的IP地址。另外隨著新業(yè)務的開展，前臺網(wǎng)點還往往下聯(lián)一些特定業(yè)務的前置設備（例如金融查詢機和個貸前置機），這些設備地址也沒有統(tǒng)一的規(guī)定。營業(yè)網(wǎng)拓撲連接如下圖:外連網(wǎng)應用現(xiàn)狀三峽建行充分利用三峽建行網(wǎng)絡優(yōu)勢，積極開拓業(yè)務領域，先后與電信、證券、人行、社保局等多家實現(xiàn)了網(wǎng)絡互連互通，通常我們是采用路由器+前置機的方式，使外連網(wǎng)與城綜網(wǎng)隔離，即每個外連系統(tǒng)都獨自采用一臺路由器和一臺前置機，路由器配置靜態(tài)路由和相應的訪問控制，前置機屏蔽所有無關的服務。外連網(wǎng)的IP地址分配由于沒有可遵循的標準，分配時有很大的隨意性。網(wǎng)絡拓撲連接如下圖：網(wǎng)絡安全現(xiàn)狀三峽建行在網(wǎng)絡建設過程中已經(jīng)采取了一些必要的安全措施，如“利用VLAN技術將業(yè)務網(wǎng)與企業(yè)網(wǎng)邏輯隔離、與各證券網(wǎng)點聯(lián)網(wǎng)時利用前置機來保證數(shù)據(jù)傳輸?shù)陌踩芴栐L問采用了RADIUS認證、在與Internet接入的支付網(wǎng)關中使用防火墻和ISS安全監(jiān)控軟件等。但從總體整體上分析，三峽建行現(xiàn)有網(wǎng)絡中仍然存在著一些安全隱患。主要包括以下幾個方面：●可靠性安全隱患由于某些網(wǎng)絡設備的關鍵部件存在質量問題或缺陷，導致網(wǎng)絡在運行過程中存在可靠性安全隱患。如：MOTOROLA路由器的FLASHMemory工作時極不穩(wěn)定，經(jīng)常丟失系統(tǒng)軟件，影響了清算A卡系統(tǒng)以及企業(yè)網(wǎng)的正常運行。一些系統(tǒng)缺乏備份鏈路和備份設備，一旦出現(xiàn)故障，勢必影響業(yè)務的正常開展?！駪孟到y(tǒng)安全隱患各種應用缺乏統(tǒng)一的規(guī)劃，未能充分考慮網(wǎng)絡上的安全要求，導致三峽建行中心機房的業(yè)務運行網(wǎng)段上與外連的應用網(wǎng)段之間缺乏必要的安全屏蔽。有些與外界相連的應用系統(tǒng)缺乏有效的網(wǎng)絡安全保障。如：與外界相連應用系統(tǒng)沒有按照總行要求的安全連接模式連接，前置機可能存在未屏蔽非必要的通訊端口，可能存在多余的路由表等等。此外對重要的應用服務器沒有進行安全監(jiān)控和漏洞掃描?！癫《救肭职踩[患一些應用系統(tǒng)，特別是基于WINDOWS 平臺的應用系統(tǒng)，沒有安裝一些防計算機病毒的軟件，給計算機的安全造成了一定的隱患?！窈诳凸綦[患缺乏對黑客攻擊進行防止、檢測和響應的一整套防黑措施和相應的安全體系，沒有明確的安全指導思想和安全模型，不能夠對安全事件進行全過程監(jiān)控和作出相應的響應行動，無法對整個安全系統(tǒng)進行準確有效的安全評估。網(wǎng)絡管理的現(xiàn)狀三峽建行目前正在使用CiscoCWSI2.1專用網(wǎng)管系統(tǒng)，用于管理三峽建行局域網(wǎng)上的網(wǎng)絡設備。由于其專用性，該軟件無法正確管理非Cisco網(wǎng)絡設備，而且無法監(jiān)控到廣域網(wǎng)的運行狀態(tài)。三峽建行在業(yè)務管理中成功引進了BMC管理系統(tǒng)，在對BMC的移植過程中，三峽建行科技人員開發(fā)設計了對前臺網(wǎng)點實時監(jiān)控程序，目前這項工作正在實驗推廣過程中。三峽建行網(wǎng)絡存在主要問題三峽建行城域網(wǎng)存在的問題●根據(jù)總行網(wǎng)絡改造要求，三峽建行主交換機需要兩臺，并要求支持第三層交換，而三峽建行現(xiàn)有的主交換機Catalyst5505沒有第三層交換模塊，另一臺主交換機的備份Catalyst5000，無論從交換能力還有模塊配置均無法滿足網(wǎng)絡改造的要求。●隨著以后語音、視屏在網(wǎng)絡的應用，三峽建行目前100M骨干局域網(wǎng)將面臨擁塞。●三峽建行辦公大樓結構化布線不規(guī)范，線路急需整理，網(wǎng)絡設備的運行環(huán)境也需要加以改善●現(xiàn)有的城市綜合網(wǎng)網(wǎng)絡地址、企業(yè)網(wǎng)地址以及清算A卡網(wǎng)地址都不統(tǒng)一，需要按照總行網(wǎng)絡改造的要求加以規(guī)范●現(xiàn)有城域網(wǎng)之間的光纖缺乏必要的鏈路備份，一旦光纖出現(xiàn)故障，沒有其他應急方案可供選擇。營業(yè)網(wǎng)存在的問題：●目前前臺網(wǎng)點使用的IP地址不符合總行規(guī)范，必須加以調整。●城市綜合網(wǎng)（含清算A卡網(wǎng)）與總行采用的是64KX25線路，已經(jīng)無法承載新的業(yè)務●一些網(wǎng)點由于業(yè)務量大，通信帶寬不足，出現(xiàn)通信堵塞，有些網(wǎng)點反映通信故障率比較高●目前網(wǎng)點采用的串口通信協(xié)議Slip，在新主機上支持不好，給主機安全運行帶來隱患?！褚恍┛h行還在使用X.25，效率比較低，費用比較高。●一些網(wǎng)點還外掛諸如查詢機、個貸前置機等，網(wǎng)絡連接結構凌亂，通信質量無法得到保證。管理網(wǎng)（企業(yè)網(wǎng)）存在的問題●管理網(wǎng)（企業(yè)網(wǎng)）所有非以太網(wǎng)連接的用戶接入帶寬嚴重不足?！裼捎诂F(xiàn)有的組網(wǎng)模式是企業(yè)網(wǎng)與城綜網(wǎng)彼此隔離，往往綜合性的網(wǎng)點需要幾條線路，造成浪費。●管理網(wǎng)（企業(yè)網(wǎng)）廣域網(wǎng)中使用的Motorola路由器故障率高，端口損壞嚴重，維修困難?！窆芾砭W(wǎng)（企業(yè)網(wǎng)）與總行連接的Motorola路由器，故障率比較高●管理網(wǎng)（企業(yè)網(wǎng)）整個IP地址分配基本是符合此次總行建議的規(guī)范，但也有部分企業(yè)網(wǎng)需要保留的地址被分配了?！窆芾砭W(wǎng)（企業(yè)網(wǎng)）目前還沒有必要鏈路的備份措施。外連網(wǎng)存在的問題外連網(wǎng)缺乏統(tǒng)一的平臺，其廣域網(wǎng)地址不符合總行新的Ip地址分配規(guī)范，也需要做調整。外連網(wǎng)與建行核心業(yè)務網(wǎng)絡耦合度大，外連網(wǎng)業(yè)務的變化往往帶來核心業(yè)務的變動?！裢膺B網(wǎng)的網(wǎng)絡連接模式，不符合總行網(wǎng)絡安全要求，而且還造成設備的利用率不高，監(jiān)控管理困難。網(wǎng)絡改造的需求規(guī)定總體目標總行骨干網(wǎng)改造是A總行為了適應新形勢下銀行激烈競爭，提高A銀行核心競爭力的一項具有戰(zhàn)略意義的舉措。三峽建行網(wǎng)絡改造作為整個建行網(wǎng)絡改造工作的一個組成部分，成功的網(wǎng)絡改造將使三峽建行能夠在較長時間里在當?shù)赝瑯I(yè)的競爭中繼續(xù)保持科技優(yōu)勢，從而推動各項業(yè)務的快速發(fā)展。三峽建行網(wǎng)絡改造的總體目標是以此次總行骨干網(wǎng)改造為契機，在不影響全行正常業(yè)務開展的前提下，將目前分離的城綜網(wǎng)、清算A卡網(wǎng)和企業(yè)網(wǎng)整合成為統(tǒng)一的以IP技術為主體的穩(wěn)定、可靠、高效的綜合網(wǎng)絡平臺，實現(xiàn)建行核心業(yè)務和外連業(yè)務的有機分離，為最終完成全建行數(shù)據(jù)集中做網(wǎng)絡準備。網(wǎng)絡改造需求三峽建行局域網(wǎng)1、根據(jù)總行骨干網(wǎng)改造方案，三峽建行局域網(wǎng)需要有兩臺主交換機，而且都必須能夠支持第三層路由交換，而三峽建行目前只有一臺主交換機Catalyst5505且沒有配置第三層交換模塊。這次網(wǎng)絡改造中需要增加三峽建行網(wǎng)絡中心需要增加一臺高檔交換機，并增加配置Catalyst5505相應的第三層交換模塊。2、通過網(wǎng)絡改造實現(xiàn)全行核心業(yè)務的網(wǎng)段按照總行最近下發(fā)的〈〈關于調查IP地址使用情況及征集對IP地址修訂建議的意見的通知〉〉的要求整合，外連業(yè)務網(wǎng)絡將采用新的接入方式，引進統(tǒng)一的中間業(yè)務平臺和網(wǎng)絡連接平臺。3、隨著業(yè)務的拓展，特別是語音、視頻的應用，三峽建行目前的局域網(wǎng)10M/100M也面臨帶寬不足的壓力，考慮在三峽建行大樓與科技部之間的骨干上千兆以太網(wǎng)，三峽建行大樓用低端交換機替換HUB。三峽建行城域網(wǎng)１、進一步擴展城域網(wǎng)的連接范圍，將丙辦的光纖延伸到己支行機關，架設到戊支行機關的光纖，使庚、戊這兩個城區(qū)主要支行接入三峽建行城域網(wǎng)，減少通信費用。２、為三峽建行城域網(wǎng)提供必要的鏈路備份措施。廣域網(wǎng)接入1、與總行的一級骨干網(wǎng)連接按照總行骨干網(wǎng)改造要求實現(xiàn)。2、考慮對伍支行、東辦等城區(qū)支行以及各縣支行等綜合性的網(wǎng)點的企業(yè)網(wǎng)、城綜網(wǎng)線路合并，接入帶寬提高到64K，通過路由器連接到三峽建行；3、對于業(yè)務量大或線路集中的網(wǎng)點也考慮使用路由器，并提高接入速率到64K；4、其他網(wǎng)點提速后仍使用目前的串口協(xié)議連入三峽建行中心網(wǎng)絡，將SLIP改為PPP；5、前臺網(wǎng)點的廣域網(wǎng)采用的PSTN撥號備份實現(xiàn)后臺無人干預。6、外連網(wǎng)絡的廣域網(wǎng)連接整合到一套網(wǎng)絡設備上，并安裝防火墻與營業(yè)網(wǎng)隔離。網(wǎng)絡管理的需求1、具有網(wǎng)絡管理基本功能，提供設備管理、配置管理、圖形面板、流量監(jiān)控、故障判斷、拓撲發(fā)現(xiàn)等。2、在不影響關鍵業(yè)務運行的前提下，收集分析網(wǎng)絡流量中的應用信息，網(wǎng)絡管理員可以定義、監(jiān)控并評估網(wǎng)絡連接性、安全性和性能策略，并進行網(wǎng)絡的規(guī)劃和設計。3、網(wǎng)管系統(tǒng)能夠作到管理監(jiān)控到全網(wǎng)所有網(wǎng)絡設備，直觀的顯示各種設備運行狀態(tài)，并對各種異常情況實現(xiàn)自動報警。網(wǎng)絡安全管理需求１、網(wǎng)絡設計中利用防火墻、VLAN等技術，確保計算機網(wǎng)絡系統(tǒng)計算機網(wǎng)絡系統(tǒng)安全漏洞最小化，使網(wǎng)絡入侵的風險得到控制。２、能夠使安全管理員了解計算機網(wǎng)絡系統(tǒng)的整體安全狀況。３、可監(jiān)控到來自網(wǎng)絡內部和外部的“黑客”入侵。４、能夠為查明入侵的來源提供有效的依據(jù)。5、能夠對整個網(wǎng)絡系統(tǒng)從網(wǎng)絡層、系統(tǒng)層、數(shù)據(jù)庫和應用層進行安全脆弱性進行評估，提供安全修復指引。語音、視頻應用的需求１、在三峽建行一級安裝有能與與總行通話的IP電話20門，并能夠參加總行舉行的視頻會議。２、在條件允許的情況下，在三峽建行城域網(wǎng)內能夠實現(xiàn)IP電話和視頻服務。網(wǎng)絡改造的基本原則●高可靠性選用可靠性較高的網(wǎng)絡產(chǎn)品，合理設計網(wǎng)絡架構，制訂可靠的網(wǎng)絡備份策略，保證網(wǎng)絡具有故障自愈的能力，從而最大限度地支持各業(yè)務系統(tǒng)的正常運行?！駥嵱眯跃W(wǎng)絡改造方案設計實施應充分考慮實際需求和費用，追求高的性效比●安全性制訂統(tǒng)一的網(wǎng)絡安全策略，整體考慮網(wǎng)絡平臺的安全性●集中管理對網(wǎng)絡實行集中監(jiān)測、，并統(tǒng)一分配帶寬資源。選用先進的網(wǎng)絡管理平臺，具有對設備、端口等的管理、流量統(tǒng)計分析，及可提供故障自動報警。●可擴展性。根據(jù)未來業(yè)務的增長和變化，網(wǎng)絡可以平滑地擴充和升級，減少對網(wǎng)絡架構和現(xiàn)有設備的調整。●靈活性支持大型的動態(tài)路由協(xié)議，支持策略路由功能，保證與其它網(wǎng)絡(如公共數(shù)據(jù)網(wǎng)、金融網(wǎng)絡、行內其它網(wǎng)絡)之間的平滑連接?！窦夹g先進性以先進、成熟的網(wǎng)絡通訊技術進行方案設計及實施，相關的技術均要符合國際標準?！癖Ｗo現(xiàn)有投資保證網(wǎng)絡整體性能的前提下，充分利用現(xiàn)有的網(wǎng)絡設備或做必要的升級?！穹蛛A段實施原則對整個網(wǎng)絡改造進行統(tǒng)一規(guī)劃，分階段逐步實施。網(wǎng)絡總體設計三峽建行網(wǎng)絡系統(tǒng)改造目標總體架構組網(wǎng)模式大型網(wǎng)絡的網(wǎng)絡結構是層次化的，正確理解我行網(wǎng)絡層次的劃分和每個層次的主要作用，有助于我們合理選擇網(wǎng)絡拓撲和網(wǎng)絡技術。鑒于三峽建行的特殊性，我們將網(wǎng)絡結構設計為如下層次：城域網(wǎng)：城域網(wǎng)實現(xiàn)建行同城網(wǎng)絡的連接，包括中心機房到丁機房、甲路機房的連接。分布層：實現(xiàn)網(wǎng)絡統(tǒng)一策略的互聯(lián)層，訪問層向核心層的匯接點，三峽建行到各縣支行構成的二級網(wǎng)絡即屬于網(wǎng)絡分布層。接入層：為最終用戶提供對網(wǎng)絡的接入，三峽建行到各營業(yè)網(wǎng)點構成的網(wǎng)絡即屬于網(wǎng)絡接入層。同時，接入層網(wǎng)絡包括三峽建行與外連網(wǎng)的連接。按照以上方式進行組網(wǎng)，層次比較清晰，便于方案實施，。組網(wǎng)模型如下圖：

網(wǎng)絡總體拓撲結構設計網(wǎng)絡改造后的網(wǎng)絡拓撲結構示意圖如下所示：局域網(wǎng)改造局域網(wǎng)改造方案設備選擇在三峽建行網(wǎng)絡中心，增加一臺高性能的交換機CiscoCatalyst6509，同時在CiscoCatalyst5505增加千兆模塊和RSM路由模塊，通過兩條千兆鏈路連接起來，利用GigabitEtherFast技術既相互備份，又負載均衡。Catalyst6509可以提供高性能、多層交換的數(shù)據(jù)通信，滿足內部網(wǎng)絡（INTRANET）、苛求網(wǎng)絡服務和網(wǎng)絡語音應用。每臺Catalyst6509配置兩塊帶有PFC子卡和MSFC子卡的超級引擎，互為備份，其中PFC子卡主要用于擴充Qos能力，可以實現(xiàn)基于應用（TCP/UDP應用端口號）的服務質量控制，而MSFC子卡主要是取代原來的路由模塊MSM實現(xiàn)線速三層交換，并且進行了很大的擴充，數(shù)據(jù)包吞吐率從原來的6Mpps擴充到15Mpps。同時，Catalyst6509配置一個48口10M/100M模塊分別提供與網(wǎng)管工作站、路由器等的連接。為了保證中心交換機的可靠性，Catalyst6509配置雙電源冗余系統(tǒng)。將原有Catalyst5000交換機從網(wǎng)絡中心下移到江閣大樓，同時增加兩個千兆模塊，分別以1000Mbps速率同Catalyst6509和Catalyst5505相連。VLAN劃分將局域網(wǎng)按服務器業(yè)務類型劃分為不同VLAN，主要有：業(yè)務網(wǎng)、管理網(wǎng)等，也可以按照部門劃分VLAN，VLAN之間的通信可以通過諸如主交換機中設置的策略路由等加以控制。三峽建行網(wǎng)絡中心局域網(wǎng)網(wǎng)絡拓撲圖三峽建行網(wǎng)絡中心網(wǎng)絡拓撲圖如下：網(wǎng)絡中心交換機設備配置表設備配置表如下：序號產(chǎn)品號產(chǎn)品名稱數(shù)量Catalyst65091WS-C6509Catalyst6509Chassis12WS-CAC-1300WCatalyst60001300WACPowerSupply13WS-CAC-1300W/2CatalystSecond60001300WACPowerSupply14WS-X6K-S2-MSFC2Catalyst6500SupervisorEngine-2,2GE,plusMSFC-2&PFC-215WS-X6K-S2-MSFC2/2*Cat6500Red.Sup2,2GE,MSFC2&PFC2(InChassisOnly)16MEM-C6K-FLC24MCatalyst6000SupervisorPCMCIAFlashMemCard,24MBOption17MEM-MSFC-128MBCatalyst6000MSFCMem,128MBDRAMOption18WS-X6408-GBICCatalyst60008-portGigabitEthernetModule(Req.GBICs)19WS-G54841000BASE-SX"ShortWavelength"GBIC(Multimodeonly)810WS-X6248-RJ-45Catalyst600048-port10/100RJ-45Moudel111SC6MSFCA-12.0.3XECiscoIOSCatalyst6000FamilyMSFC-Enterprise112FR-IRC6Catalyst6000FamilyInterDomainRoutingFeatureLicense1Catalyst5505（增加模塊）13WS-X5403C5000GigabitEthernetSwitchingModulew/oGBICs(3port)114WS-G54841000BASE-SX"ShortWavelength"GBIC(Multimodeonly)315WS-X5302Catalyst5000RouteSwitchModule1城域網(wǎng)改造城域網(wǎng)主要提供城區(qū)各個主要局域網(wǎng)的接入，包括江閣大樓、云路機房、信用卡部和星辦局域網(wǎng)的接入，還包括增加戊和己兩支行局域網(wǎng)的接入將三峽建行網(wǎng)絡中心原有的Catalyst5000交換機下移到江閣大樓，作為江閣大樓局域網(wǎng)中心交換機，在Catalyst5000新增兩個千兆模塊端口，通過1000BASE-SX模塊分別和Catalyst6509、Catalyst5505相連，兩條鏈路互為備份。甲路機房、信用卡部和星辦局域網(wǎng)保持原有結構不變。戊和己支行需鋪架光纖，接入三峽建行城域網(wǎng)，己支行需增加一臺Catalyst2924交換機。城域網(wǎng)改造后，網(wǎng)絡拓撲圖如下：城域網(wǎng)鏈路備份方案有兩種：方案一是通過ISDN連接路由器的方式，方案二是通過10M的無線以太網(wǎng)方式（方案見附件）。這兩種備份方式都只備份營業(yè)網(wǎng)廣域網(wǎng)改造廣域網(wǎng)分布層改造分布層網(wǎng)絡主要是指三峽建行到縣級支行和城區(qū)較遠支行的網(wǎng)絡連接。三峽建行到上述支行的網(wǎng)絡拓撲圖如下：鏈路說明：支行采用64KDDN鏈路與三峽建行網(wǎng)絡中心互連，用于傳輸營業(yè)數(shù)據(jù)和企業(yè)內部管理數(shù)據(jù)；同時利用PSTN鏈路作為備份線路。設備選型：縣級支行局域網(wǎng)進行改造，配置一臺Catalyst2924交換機，通過選用的CISCO2600系列路由器分別與三峽建行相連。在Catalyst2924劃分VLAN將管理網(wǎng)和營業(yè)網(wǎng)隔離開。節(jié)點確定原則：該節(jié)點就近有既營業(yè)網(wǎng)又有管理網(wǎng)的廣域網(wǎng)的接入。初步確定有b、c、d、e、f、g、h、i各縣支行以及城區(qū)、國際業(yè)務部。廣域網(wǎng)接入層改造接入層網(wǎng)絡主要是指三峽建行到網(wǎng)點的網(wǎng)絡連接。三峽建行到網(wǎng)點的網(wǎng)絡拓撲圖：鏈路說明：大的網(wǎng)點采用低端路由器（還可廣泛采用原有的一些非CiscoL路由設備）通過64KDDN鏈路與三峽建行網(wǎng)絡中心互連，用于傳輸營業(yè)數(shù)據(jù)，小的網(wǎng)點采用異步MODEM通過64KDDN鏈路與三峽建行網(wǎng)絡中心互連；同時利用PSTN鏈路作為備份線路。節(jié)點確定原則：該節(jié)點就近有多條營業(yè)網(wǎng)的廣域網(wǎng)的接入。初步確定有航空辦、北山辦、五廣分理處等。外網(wǎng)的連接為了實現(xiàn)三峽建行和外網(wǎng)（主要是開展的中間業(yè)務）的連接，通過將運行中間業(yè)務的前置機和路由器之間放置一臺PIX防火墻進行物理隔離，配置一臺CISCO3661，配置多口同步模塊，通過DDN與證券營業(yè)部相連，同時提供網(wǎng)上查詢等業(yè)務。三峽建行局域網(wǎng)與外網(wǎng)連接圖如下：可靠性設計三峽建行網(wǎng)絡可靠性包括網(wǎng)絡設備備份和鏈路備份（包括電話撥號）。設備備份三峽建行局域網(wǎng)中心設備備份三峽建行中心局域網(wǎng)中心增加一臺高性能的交換機CiscoCatalyst6509，同時在CiscoCatalyst5505增加千兆模塊和RSM路由模塊，通過兩條千兆鏈路連接起來，利用GigabitEtherFast技術既相互備份，又負載均衡。Catalyst6509配置雙引擎和雙路由模塊，同時配置雙電源冗余系統(tǒng)，保證中心交換機的可靠性。提供一臺CISCO3662 交換機，配置同異步模塊，作為中心路由器的設備備份。城域網(wǎng)設備備份在三峽建行中心交換機Catalyst6509上備份一塊24口100M多模光纖模塊，同時提供一臺Catalyst1924C交換機，作為城域網(wǎng)下一級節(jié)點的設備備份。支行局域網(wǎng)設備備份提供一臺Catalyst2924交換機，作為遠程支行局域網(wǎng)交換機的設備備份。鏈路備份城域網(wǎng)鏈路備份城域網(wǎng)的主干鏈路為光纖連接，為了保證城域網(wǎng)的鏈路的可靠性，可以采用ISDN備份在城域網(wǎng)各節(jié)點申請一條ISDN線路，同時增加一臺CISCO2600路由器，配置一個ISDN模塊，當光纖主干鏈路出現(xiàn)故障時，啟動ISDN線路，保證城域網(wǎng)的連通。廣域網(wǎng)線路備份●支行廣域網(wǎng)鏈路備份支行選用CISCO2600路由器通過64KDDN鏈路與三峽建行網(wǎng)絡中心互連，用于傳輸營業(yè)數(shù)據(jù)和企業(yè)內部管理數(shù)據(jù)，同時利用PSTN鏈路作為備份線路?！窬W(wǎng)點廣域網(wǎng)鏈路備份大的網(wǎng)點采用CISCO2600路由器通過64KDDN鏈路與三峽建行網(wǎng)絡中心互連，用于傳輸營業(yè)數(shù)據(jù)，小的網(wǎng)點采用異步MODEM通過64KDDN鏈路與三峽建行網(wǎng)絡中心互連；同時利用PSTN鏈路作為備份線路。網(wǎng)絡IP路由設計路由協(xié)議對網(wǎng)絡的穩(wěn)定高效運行、網(wǎng)絡在拓樸變化時的快速收斂、網(wǎng)絡帶寬的充分有效利用、網(wǎng)絡在故障時的快速恢復、網(wǎng)絡的靈活擴展都有很重要的影響。在大型網(wǎng)絡中，靜態(tài)路由和某些動態(tài)路由如RIP、IGRP由于其固有的局限性(擴展性差、不支持VLSM)，不適合在網(wǎng)絡節(jié)點多、規(guī)模大的網(wǎng)絡中使用。目前在大型網(wǎng)絡中最常見的路由協(xié)議是OSPF和EIGRP。由于在大型的網(wǎng)絡中有多種平臺的路由器存在，而EIGRP僅為Cisco獨家支持。由于我們?yōu)榱顺浞掷迷芯W(wǎng)絡設備（其中很大一部分是非Cisco的）無法選擇EIGRP，且在最新內部路由的設計中，OSPF的性能在流量整形方面遠超于Eigrp。故我們在本網(wǎng)絡方案中內部主路由協(xié)議選擇OSPF。面向應用的網(wǎng)絡服務業(yè)務分類和數(shù)據(jù)特點的分析：不同的應用系統(tǒng)對網(wǎng)絡服務的要求不同。在一個統(tǒng)一的網(wǎng)絡平臺上，應該保證對于不同的應用數(shù)據(jù)根據(jù)其具體要求提供相應的網(wǎng)絡服務，并能在因故障導致網(wǎng)絡資源稀缺時優(yōu)先保證關鍵性業(yè)務數(shù)據(jù)的傳輸。經(jīng)對我行現(xiàn)有應用系統(tǒng)的網(wǎng)絡需求分析，按其重要程度分為以下兩類：營業(yè)類、管理類。營業(yè)類業(yè)務系統(tǒng)包括綜合網(wǎng)柜面業(yè)務系統(tǒng)、清算系統(tǒng)、龍卡系統(tǒng)、網(wǎng)上銀行等。這些業(yè)務是我行最重要的業(yè)務，應優(yōu)先得到保障。這些業(yè)務的數(shù)據(jù)包大小比較固定，對數(shù)據(jù)傳輸?shù)难訒r要求比較高。管理類業(yè)務系統(tǒng)包括OA、信貸、總帳傳輸、人力資源、電子郵件等管理系統(tǒng)。這一類管理信息目前主要是普通的文件傳輸，數(shù)據(jù)流量大、突發(fā)性強、對實時性要求較低，但要求能夠可靠傳輸，流向目前主要是縱向。綜合類業(yè)務系統(tǒng)包括訪問行內信息網(wǎng)站、Internet瀏覽以及IP電話、視頻會議、網(wǎng)上培訓多媒體增值業(yè)務等。這些都屬于流量增長最快的應用系統(tǒng)，流量大、隨機性強，流向可能是任意方向的，其中多媒體業(yè)務是面向非連接的，對時延非常敏感。QOS保證使不同的業(yè)務集成在了同一個網(wǎng)絡平臺上，如何保證不同業(yè)務數(shù)據(jù)的優(yōu)先級別和傳輸質量就成了一個很重要的問題。同時將要實施的語音等新應用對網(wǎng)絡提出了新的服務質量的要求。要保證以上數(shù)據(jù)的網(wǎng)絡服務質量，需要采用策略路由實現(xiàn)根據(jù)不同的業(yè)務數(shù)據(jù)種類選擇不同鏈路傳輸，并在每條線路上采用帶寬分配、優(yōu)先級控制等QOS控制技術保證各類應用數(shù)據(jù)的有效傳輸。QoS控制技術為了避免增加過多的控制策略導致路由器負載過重，選擇以下幾種QOS控制技術，簡單有效地實現(xiàn)各類應用的QOS保障?！窠尤胨俾士刂?CAR)CommittedAccessRate(●IP優(yōu)先級控制●隊列機制(WeightedFairQueuing)●先期擁塞控制(WRED)●標記交換(MPLS)●語音數(shù)據(jù)優(yōu)先在三峽建行在此次網(wǎng)絡改造中將廣泛采用上述技術保證網(wǎng)絡通暢，特別是營業(yè)數(shù)據(jù)的正常傳輸。三峽建行網(wǎng)絡管理設計在三峽建行廣域網(wǎng)中，設備繁多，網(wǎng)絡規(guī)模大，地理位置跨越廣，且應用環(huán)境復雜。對于諸多網(wǎng)絡硬件設備和網(wǎng)絡應用，只有對網(wǎng)絡進行有效地組織和管理,才能夠充分利用網(wǎng)絡軟硬件資源，發(fā)揮其效力，為系統(tǒng)應用提供良好的網(wǎng)絡運行平臺。為了提高系統(tǒng)的分級安全性,設計網(wǎng)絡管理系統(tǒng)，便于管理和故障處理，監(jiān)控的實時性。以CiscoWorks2000為網(wǎng)絡管理平臺；以美國BMC軟件公司的PATROL組件為基礎，集成網(wǎng)管系統(tǒng)、系統(tǒng)的監(jiān)控程序和自行開發(fā)的監(jiān)控程序，建設集中監(jiān)控管理系統(tǒng)，實現(xiàn)計算機網(wǎng)絡系統(tǒng)的集中監(jiān)控和管理，實現(xiàn)監(jiān)視各種主機／服務器、數(shù)據(jù)庫、網(wǎng)絡和網(wǎng)上關鍵性系統(tǒng)的運行狀態(tài)、工作任務完成情況，自動啟動工作任務，進行作業(yè)調度，減少中心機房值班人員的工作壓力，逐步實現(xiàn)主機房無人值守。同時，配置BMC的數(shù)據(jù)備份與恢復軟件，從而減少因系統(tǒng)停機、重要數(shù)據(jù)信息的丟失等而造成的業(yè)務停頓，最大程度上保證系統(tǒng)的高可用性和可管理性，以保障7x24小時關鍵性應用系統(tǒng)的運行，最終實現(xiàn)企業(yè)信息系統(tǒng)的管理目的。網(wǎng)管系統(tǒng)功能及其職責為了保障網(wǎng)絡運行的品質，維持網(wǎng)絡傳送頻率，降低傳送錯誤率，確保網(wǎng)絡安全等，網(wǎng)絡系統(tǒng)技術人員借助網(wǎng)絡管理工具或本身的技術經(jīng)驗實施網(wǎng)絡管理，職責內容可分為下列八大類。網(wǎng)管系統(tǒng)的職責:網(wǎng)絡監(jiān)控:監(jiān)視網(wǎng)絡的運行狀態(tài),控制網(wǎng)絡路由和流量,分析運行記錄和報警信息性能控制:據(jù)網(wǎng)絡應用狀態(tài),負荷狀態(tài),網(wǎng)絡利用率,合理調整網(wǎng)絡性能。故障管理：為確保網(wǎng)絡系統(tǒng)的高穩(wěn)定性，在網(wǎng)絡出現(xiàn)問題時，必須及時察覺問題的所在。它包含所有節(jié)點運作狀態(tài)，故障記錄的追蹤與檢查及平常可對各種通訊協(xié)議的測試。效率管理：效率管理在于評估網(wǎng)絡系統(tǒng)的運作，統(tǒng)計網(wǎng)絡資源的運用及各種通訊協(xié)議的傳輸量等，更可提供未來網(wǎng)絡提升或更新規(guī)劃的依據(jù)。用戶記帳管理:建立統(tǒng)一的記帳系統(tǒng),對網(wǎng)絡資源的使用采取收費記帳的方法,對不同的資源訪問制定不同的收費標準和算法。網(wǎng)絡安全管理:用戶身份確認,訪問控制,對用戶權限以及用戶帳戶進行維護和管理,設置相應口令與更新.加密和密鑰管理.監(jiān)視和控制網(wǎng)上的破壞安全系統(tǒng)的行為。運行管理:制定網(wǎng)絡運行的技術標準,可靠性,安全性方案和運行制度。計費管理：了解網(wǎng)絡使用時間，能針對各個局部網(wǎng)絡做使用量統(tǒng)計。一則可作為使用網(wǎng)絡計費的依據(jù)，更可作為日后網(wǎng)絡升級或更新規(guī)劃的參考。網(wǎng)絡管理員能夠借助網(wǎng)管軟件，對網(wǎng)絡上的任何資源和進程調用。網(wǎng)絡管理平臺和網(wǎng)管工作站通過前面的分析，網(wǎng)絡系統(tǒng)設備采用了cisco的交換機、路由器和遠程訪問服務器，針對系統(tǒng)的這個特點，推薦cisco公司的最新推出的網(wǎng)管系統(tǒng)CiscoWorks2000。1、網(wǎng)管平臺設計將原有網(wǎng)管軟件CWSI進行升級，采用Cisco公司提供的最新CiscoWorks2000的廣域網(wǎng)套件，用于對網(wǎng)點網(wǎng)絡設備進行管理，局域網(wǎng)套件，用于對三峽建行局域網(wǎng)進行管理。2、網(wǎng)管工作站設計由于網(wǎng)管工作站將實時處理網(wǎng)絡設備上傳的運行參數(shù)，因此必須具備大內存、高性能CPU和良好圖形顯示功能。擬保留原有網(wǎng)管工作站。3、cisco網(wǎng)管軟件和其基本管理模式-CiscoWorks2000網(wǎng)管系統(tǒng)works2000包括局域網(wǎng)和廣域網(wǎng)網(wǎng)組件，還包括語音管理套件。4、自主網(wǎng)絡監(jiān)控軟件的開發(fā)由于cisco網(wǎng)管軟件的專用性，無法有效監(jiān)控到非Cisco設備，更不能監(jiān)控到大部分采用串口協(xié)議的網(wǎng)點，為了能夠監(jiān)控到所有網(wǎng)點，需要對相關軟件做大量的客戶化開發(fā)工作。網(wǎng)絡系統(tǒng)安全設計由于網(wǎng)絡的開放性和網(wǎng)絡技術的發(fā)展，網(wǎng)絡安全本身已經(jīng)成為一個與時間和技術相關動態(tài)的概念。針對傳統(tǒng)安全模型的缺陷和不足，有關公司提出了一個極具創(chuàng)意的，能夠自我不斷完善、不斷發(fā)展、自我適應能力極強的嶄新的網(wǎng)絡安全模型P2DR安全模型，我行這次網(wǎng)絡系統(tǒng)安全的實施就準備基于這個模型。安全模型（P2DR模型）P2DR方案是一個超前的安全模型，它是在對國際上安全方面可靠的權威著作進行多年研究的基礎上獨自發(fā)展出來的。它的指導思想比傳統(tǒng)安全方案有突破性提高。P2DR模型如圖所示：Policy策略、Protection防護、Detection檢測和Response響應組成的完整模型體系，可以描述和解釋任何信息安全問題。P2DR安全模型的特點就是動態(tài)性和基于時間的特性，可以說對信息安全的“相對性”給予了更好地描述：雖然沒有100%的安全，但是模型為進一步解決信息安全技術問題提供了有益的方法和方向。Policy(安全策略)安全策略是P2DR安全模型的核心，要想實施動態(tài)網(wǎng)絡安全模型，必須首先制定企業(yè)的安全策略，所有的防護、檢測、響應都是依據(jù)安全策略實施的，企業(yè)安全策略為安全管理提供管理方向和支持手段。Protection（保護）保護通常是通過采用一些傳統(tǒng)的靜態(tài)安全技術及方法來實現(xiàn)的，主要有防火墻、加密、認證等方法。通過防火墻監(jiān)視限制進出網(wǎng)絡的數(shù)據(jù)包，可以防范外對內及內對外的非法訪問，提高了網(wǎng)絡的防護能力，當然需要根據(jù)安全策略制定合理的防火墻策略；也可以利用SecureID這種一次性口令的方法來增加系統(tǒng)的安全性等等。Detection（檢測）在P2DR模型，檢測是非常重要的一個環(huán)節(jié)，檢測是動態(tài)響應的依據(jù)，它也是強制落實安全策略的有力工具，通過不斷地檢測和監(jiān)控網(wǎng)絡和系統(tǒng)，來發(fā)現(xiàn)新的威脅和弱點，通過循環(huán)反饋來及時作出有效的響應。檢測主要包括“漏洞檢測”和“入侵檢測”兩個部分。Response（響應）緊急響應在安全系統(tǒng)中占有最重要得地位，是解決安全潛在性最有效的辦法。在檢測到安全漏洞和安全事件之后必須及時做出正確的響應，從而把系統(tǒng)調整到安全狀態(tài)。從某種意義上講，安全問題就是要解決緊急響應和異常處理問題。要解決好緊急響應問題，就要制訂好緊急響應的方案，做好緊急響應方案中的一切準備工作?？傊粋€信息安全方案必須對安全策略、安全防護、安全檢測和安全響應有準確和完整的描述。值得強調的是，P2DR安全模型已被正式收錄進人民銀行的安全藍皮書：《國家金融信息系統(tǒng)安全》總體綱要-1999.12三峽建行網(wǎng)絡系統(tǒng)總體安全體系安全策略設計1、安全策略描述原則由于數(shù)據(jù)傳輸?shù)陌踩躁P系到我行的服務質量和信譽保證，關系到客戶的切身利益，因此在制定安全策略時，要加強對數(shù)據(jù)傳輸?shù)南拗?，即只有表示為允許的才可以進行傳輸這一原則來加強對網(wǎng)絡安全的限制。2、具體安全策略三峽建行安全策略應該包括：用戶管理、職責劃分、安全管理、安全評估、安全監(jiān)控、緊急響應、異常處理、授權操作、恢復策略以及跟蹤審計等總體安全體系的規(guī)定網(wǎng)絡系統(tǒng)的安全從體系結構上來看應該是一個多層次、多方面的結構。通過對我行網(wǎng)絡所面臨的安全狀況的分析，可將整個三峽建行網(wǎng)絡的安全性在總體結構上劃分為四個級別：網(wǎng)絡級安全、應用級安全、系統(tǒng)級安全和企業(yè)級安全。三三峽建行網(wǎng)絡系統(tǒng)安全體系架構網(wǎng)絡級安全系統(tǒng)級安全應用級安全企業(yè)級安全安全管理制度審計病毒防范加密數(shù)字簽名身份認證安全漏洞檢測安全監(jiān)控訪問控制VLAN劃分VPN數(shù)據(jù)包過濾安全級別安全手段網(wǎng)絡級安全是指在網(wǎng)絡的下三層(物理層、鏈路層、網(wǎng)絡層)采取各種安全措施來保障整個三峽建行網(wǎng)絡的安全，包括數(shù)據(jù)包過濾、VPN虛擬私有網(wǎng)、VLAN的劃分、訪問控制、身份認證、數(shù)據(jù)包加密傳輸、安全審計、安全監(jiān)控和安全漏洞檢測等應用級安全是指通過利用三峽建行網(wǎng)絡中各大應用系統(tǒng)（如綜合業(yè)務系統(tǒng)、清算系統(tǒng)、企業(yè)網(wǎng)系統(tǒng)等等）和大型關系型數(shù)據(jù)庫自身的安全機制，在應用層保證對三峽建行網(wǎng)絡中各種應用系統(tǒng)的信息訪問合法性；系統(tǒng)級安全主要是通過對操作系統(tǒng)(UNIX、NT)的安全設置，防止利用操作系統(tǒng)的安全漏洞對整個三峽建行網(wǎng)絡構成安全威脅；企業(yè)級安全主要是從三峽建行范圍內的安全管理和計算機病毒防范兩方面來保障整個我行網(wǎng)絡的安全。此次網(wǎng)絡改造我們主要對網(wǎng)絡級安全加以設計。三峽建行網(wǎng)絡級安全設計可適應性網(wǎng)絡安全由四個集成的方案組成。第一，端對端的網(wǎng)絡安全要求持續(xù)的、綜合的安全評估，通過自動的基于網(wǎng)絡的和基于主機的掃描技術實現(xiàn)；第二，對安全弱點的響應通過已建立的安全策略中相關的安全漏洞來衡量。更正動作很容易獲得并迅速實現(xiàn)。另外，基于網(wǎng)絡和主機的實時入侵檢測提供對內部攻擊、外部攻擊和誤操作的實時保護。最后，對安全威脅的網(wǎng)絡自動更正包括主動中斷連接和網(wǎng)絡設備的重新配置。網(wǎng)絡安全的程度必然是動態(tài)變化的，所以網(wǎng)絡安全不可能是一個靜態(tài)的結果，需隨著網(wǎng)絡環(huán)境的變化，并綜合各種可能的影響安全的因素來制訂整個網(wǎng)絡的安全策略對于系統(tǒng)安全設計，一定要充分考慮整個三峽建行網(wǎng)絡系統(tǒng)的實際需求和網(wǎng)絡現(xiàn)狀，以我行網(wǎng)絡與外部的連接作為安全設計的重點，可通過以下措施來從網(wǎng)絡物理層一直到應用層保證整個網(wǎng)絡系統(tǒng)的安全使用。局域網(wǎng)安全設計由于局域網(wǎng)中采用廣播方式，因此，若在某個廣播域中可以偵聽到所有的信息包，黑客就可以對信息包進行分析，那么本廣播域的信息傳遞都會暴露在黑客面前。三峽建行局域網(wǎng)在空間分布上是城域范圍的，局域網(wǎng)的安全必須認真考慮，局域網(wǎng)安全主要有采取VLAN劃分以及利用安全軟件對局域網(wǎng)進行掃描。劃分VLAN虛擬網(wǎng)（VLAN）技術主要基于近年發(fā)展的局域網(wǎng)交換技術（ATM和以太網(wǎng)交換）。交換技術將傳統(tǒng)的基于廣播的局域網(wǎng)技術發(fā)展為面向連接的技術。因此，網(wǎng)管系統(tǒng)有能力限制局域網(wǎng)通訊的范圍而無需通過開銷很大的路由器。以太網(wǎng)從本質上基于廣播機制，但應用了交換機和VLAN技術后，實際上轉變?yōu)辄c到點通訊，除非設置了監(jiān)聽口，信息交換也不會存在監(jiān)聽和插入（改變）問題。由以上運行機制帶來的網(wǎng)絡安全的好處是顯而易見的：信息只到達應該到達的地點。因此，防止了大部分基于網(wǎng)絡監(jiān)聽的入侵手段。通過虛擬網(wǎng)設置的訪問控制，使在虛擬網(wǎng)外的網(wǎng)絡節(jié)點不能直接訪問虛擬網(wǎng)內節(jié)點。但是，虛擬網(wǎng)技術也帶來了新的問題：執(zhí)行虛擬網(wǎng)交換的設備越來越復雜，從而成為被攻擊的對象。基于網(wǎng)絡廣播原理的入MAC的VLAN不能防止MAC欺騙攻擊。采用基于MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此，VLAN的劃分最好基于交換機。但這要求整個網(wǎng)絡桌面使用交換端口或每個交換機所在的網(wǎng)段機器均屬于相同的VLAN。VLAN的劃分方式的目的是保證系統(tǒng)的安全性。因此，可以按照系統(tǒng)的安全性來劃分VLAN：可以將總部中的服務器系統(tǒng)單獨劃作一個VLAN，如數(shù)據(jù)庫服務器、電子郵件服務器等。也可以按照機構的設置來劃分VLAN，VLAN之內的連接采用交換技術實現(xiàn)，VLAN與VLAN之間采用策略路由來控制數(shù)據(jù)傳輸。在三峽建行局域網(wǎng)在安全設計時將采取上述兩種劃分VLAN的策略來保證系統(tǒng)的安全性。安全漏洞掃描在三峽建行整個網(wǎng)絡系統(tǒng)中（包括三峽分行、各支行、局域網(wǎng)、廣域網(wǎng)）配置ISSInternetScanner（網(wǎng)絡安全掃描器）、在分行中心企業(yè)網(wǎng)和營業(yè)網(wǎng)中重要的主機中安裝ISSSYSTEMscanner、在分行中心企業(yè)網(wǎng)和營業(yè)網(wǎng)中的數(shù)據(jù)庫服務器中安裝ISSDATABASEscanner，可在通訊和服務層、系統(tǒng)層、應用數(shù)據(jù)層掃描出網(wǎng)絡/系統(tǒng)/數(shù)據(jù)應用存在的安全漏洞，并提交漏洞報告和修補漏洞的建議，使網(wǎng)絡安全風險降到最小。安全入侵檢測和響應在三峽建設銀行整個網(wǎng)絡系統(tǒng)中，主要應用業(yè)務數(shù)據(jù)（企業(yè)網(wǎng)和營業(yè)網(wǎng)）均是存放在分行中心，中間通過VLAN劃分進行各個業(yè)務系統(tǒng)隔離，具備一定的信息安全功能，但缺乏對各個業(yè)務系統(tǒng)數(shù)據(jù)通信的安全檢測和監(jiān)控，不能夠做到對各個系統(tǒng)安全狀況心中有數(shù)，不能夠對安全事件進行統(tǒng)計和預測，不能夠對外來入侵和內部誤用進行自動的實時響應，在系統(tǒng)遭受破壞之前將入侵者驅除出外。故在各個業(yè)務系統(tǒng)核心數(shù)據(jù)服務器網(wǎng)絡入口處，配置ISS的realsecurenetworksensor對外來與本業(yè)務系統(tǒng)核心數(shù)據(jù)服務器連接的所有通信流量進行安全監(jiān)控，同時在核心業(yè)務主機中配置realsecureOSsensor從系統(tǒng)層面中對系統(tǒng)攻擊事件進行安全監(jiān)控。通過兩者的配合，對一些危害網(wǎng)絡安全和信息安全的行為進行阻擊，也可以作為對犯罪分子的犯罪證據(jù)，從法律角度對犯罪分子提出指控。廣域網(wǎng)安全設計由于廣域網(wǎng)采用公網(wǎng)傳輸資料，因而在廣域網(wǎng)上進行傳輸時信息也可能會被不法分子截取。如從分支機構發(fā)一個信息到三峽建行時，這個信息包就可能被人截取和利用。因此在廣域網(wǎng)上發(fā)送和接收信息時要保證：除了發(fā)送方和接收方外，其它人是不可知悉的（隱私性）；傳送過程中不被篡改（真實性）；發(fā)送方能確信接收方不是假冒的（非偽裝性）；發(fā)送方不能否認自己的發(fā)送行為（非否認）。能夠對所有網(wǎng)絡訪問活動和攻擊行為進行過程監(jiān)控、威脅統(tǒng)計和預測。內部廣域網(wǎng)安全設計1、在應用程序普遍采用IC卡的基礎上，在廣域網(wǎng)連接設備之間的網(wǎng)絡通信對數(shù)據(jù)包進行加密。2、對于從外部撥號訪問三峽建行內部局域網(wǎng)的用戶，由于使用公用電話網(wǎng)進行數(shù)據(jù)傳輸所帶來的風險，必須嚴格控制其安全性。對于內部廣域網(wǎng)采用撥號備份時可以使用回撥確認等方式來防止非法訪問。3、加強對撥號用戶的身份認證，使用RADIUS等專用身份驗證服務器（AAA服務器）。一方面，實現(xiàn)對撥號用戶帳號的統(tǒng)一管理；另一方面，在身份驗證過程中采用加密的手段，避免用戶口令泄露的可能性。4、在數(shù)據(jù)傳輸過程中采用加密技術，防止資料被非法竊取。5、因為內部廣域網(wǎng)中安全弱點主要來自于網(wǎng)絡互聯(lián)設備和網(wǎng)絡傳輸設備的安全漏洞，故采用ISSinternetscanner漏洞掃描工具從網(wǎng)絡層對整個內部廣域網(wǎng)絡系統(tǒng)進行安全漏洞掃描和評估，從而采取措施修復安全漏洞，加強安全管理、設備管理、軟件管理等安全工作。外連網(wǎng)的安全設計1、在連接外部網(wǎng)時，使用路由器與外網(wǎng)進行隔離，在路由器上設置訪問控制列表（ACL），屏蔽未經(jīng)允許的訪問。2、連接外部網(wǎng)時，在三峽建行內部網(wǎng)與路由器之間安裝PIX防火墻，利用防火墻的數(shù)據(jù)包過濾、地址隱藏以及VPN功能保證外部的非法訪問無法進入建行內部網(wǎng)。3、使用DMZ非軍事化區(qū)，將業(yè)務前置機放置于非軍事化區(qū)，這樣既保證外連網(wǎng)正常業(yè)務，又保證內網(wǎng)安全。4、在DMZ區(qū)、連接外連網(wǎng)的網(wǎng)段，配置了ISS入侵監(jiān)測系統(tǒng)實時監(jiān)視網(wǎng)絡的非法入侵行為。該系統(tǒng)包括RealScureconsole、RealScureageng(包括networksensor和ossensor)兩部分，其中RealSecureageng可以從網(wǎng)絡和系統(tǒng)兩個層次實時檢測政策違規(guī)，不影響網(wǎng)絡性能，它分析各個數(shù)據(jù)包的內容和上下文，決定流量是否未經(jīng)授權。如果一個網(wǎng)絡的數(shù)據(jù)流遇到未經(jīng)授權的活動，例如SATAN攻擊、PING攻擊或秘密的研究項目代碼字，RealScureageng會給RealSecureconsole管理控制臺轉發(fā)告警，并從網(wǎng)絡刪除入侵者。在網(wǎng)絡入口處配置realsecurenetworksensor，可以在業(yè)務前置機中安全realsecureossensor相應地，在數(shù)據(jù)中心配置的RealScureconsole軟件負責對RealScureAgent的管理。5、為檢查網(wǎng)絡中可能存在的安全漏洞，在網(wǎng)絡中配置ISSinternetscanner，對系統(tǒng)和網(wǎng)絡進行掃描，主動查找安全漏洞，并自動生成關于安全狀況的報告。6、對于來說，由于與相連企業(yè)之間傳輸?shù)亩际顷P鍵性的資金帳務信息，在有條件的地方，可以適當采取鏈路加密措施，選用一些獨立的鏈路加密設備進行對傳輸數(shù)據(jù)進行加密保護。IP電話網(wǎng)絡設計IP電話網(wǎng)絡建設的必要性語音的集成技術:VoiceoverIP是數(shù)據(jù)、語音、視頻集成的新興技術之一，IP語音極為重要。語音是對服務質量(QoS)最為敏感的信息流類型，堪稱對網(wǎng)絡工程和性能的最好測試。IP語音的需求使IP環(huán)境中的QoS有所改變，并將最終導致QoS在Internet中使用，以便進行傳真、語音電話和視頻電話服務。IP語音最終將會成為使通話向LAN體系結構移植過程中的核心部分。數(shù)據(jù)網(wǎng)與語音網(wǎng)的結合是當今網(wǎng)絡界發(fā)展的一種趨勢。通過語音數(shù)字化及壓縮技術，可將通話時的模擬語音信號數(shù)字化后，再壓縮成語音數(shù)據(jù)包，然后再將語音數(shù)據(jù)包封裝在IP數(shù)據(jù)包中，通過已有的IP數(shù)據(jù)網(wǎng)（Internet或Intranet）傳輸，即可實現(xiàn)“網(wǎng)上電話”,經(jīng)過一系列優(yōu)化和帶寬保證,打語音電話的質量與通常電信網(wǎng)上的話音質量幾乎是一樣的。IP電話所使用的幾種技術語音壓縮在通常的電話網(wǎng)中打一路電話需要64K(bps)的帶寬，而在數(shù)據(jù)網(wǎng)中維持一條語音話路只需要少于10K的通信帶寬；即傳輸語音數(shù)據(jù)包所需要的帶寬比傳統(tǒng)的語音網(wǎng)要少。這是將語音信號編碼/解碼，即將模擬的語音信號數(shù)字化后再壓縮以及反向流程的的結果，語音信號編碼/解碼的質量決定了IP電話的話音質量。采用G.729或CS－ACELP技術，可將一路IP電話所需的帶寬降為8K，且通話的質量與傳統(tǒng)的電話網(wǎng)中的話路（64KPCM編碼）質量幾乎相同。靜音抑制人們在打電話時，通話間會有間隙，即有一部分被傳輸數(shù)據(jù)包并未含有任何語音信息。通過靜音抑制技術，可以減少語音電話對帶寬的需求，將節(jié)省的帶寬為其它數(shù)據(jù)傳輸所用。服務質量功能在Internet網(wǎng)以及其它IP數(shù)據(jù)網(wǎng)中，語音數(shù)據(jù)包傳輸?shù)膬?yōu)先權必須得到保證。帶寬預留協(xié)議(RSVP)可以為語音數(shù)據(jù)包預留帶寬；隊列技術，如：FIFO，PriorityQueuing,CustomQueuing,WeightedFairQueuing,可以優(yōu)先保證小數(shù)據(jù)量數(shù)據(jù)包的傳輸；另外，實時數(shù)據(jù)傳輸、數(shù)據(jù)包頭壓縮協(xié)議(RTP)等也提供服務質量的保證。語音流的傳輸控制網(wǎng)絡設備可以為語音數(shù)據(jù)包的傳輸提供更多的附加功能。如可以采用代價最小的路由策略以及虛擬專用網(wǎng)技術等。語音交換網(wǎng)絡設備不僅可以為一個公司內兩個不同地點的辦事處提供復雜的語音數(shù)據(jù)包的傳輸功能，還能提供類似小型程控交換機（PBX）的功能，如呼叫處理、話路交換等。CISCO的VoIP解決方案CISCO公司針對基于包交換網(wǎng)絡技術的電話服務推出新型解決方案，這些新方案將給電話服務提供商帶來無限商機和回報。這些基于H.323協(xié)議的解決方案包括分布式預付呼叫(distributedprepaidcalling)、Internet呼叫等待（InternetCallWaiting,ICW）、點擊撥號（click-to-dial）和清倉結算(ClearinghouseSettlements)等。通過利用CiscoH.323網(wǎng)絡，服務提供商可以在他們已有的包交換式網(wǎng)絡上尋找到新的利潤增長點。CISCO公司作為網(wǎng)關的產(chǎn)品主要型號有CiscoAS5300。CISCO公司增加了CiscoAS5300/VoiceGateway網(wǎng)關的話音端口密度。如今，CiscoAS5300/VoiceGateway支持T1系統(tǒng)的呼叫達96個之多，支持基于E1系統(tǒng)的呼叫達120個。通過提升了的容量和新的G723壓縮，如今，Cisco給服務提供商和大型企業(yè)提供更好的可擴展能力，這可以降低運營成本。Cisco推出的這些語音網(wǎng)關使得服務提供商能夠利用現(xiàn)有的IP基礎設施，更為輕松地為他們的顧客提供增值服務。CiscoAS5300平臺支持的話音網(wǎng)關應用軟件使路由器能夠在PBX，集團電話或PSTN電路間連接話音呼叫，在IP網(wǎng)絡上傳輸話音。撥入的呼叫終結在話音/傳真卡上，運用包括G.711和G.729的標準算法，在卡上將話音編碼，壓縮并被封入RTP信息包中。使用標準H.323協(xié)議，一個呼叫可被置入遠程話音網(wǎng)關，遠程網(wǎng)關將話音解碼，并傳送給接收器。當一個撥入呼叫是傳真時，傳真轉播特性自動地決定，并在IP網(wǎng)絡上向傳真機發(fā)送信令，然后，僅當接收傳真機在線時，接受用于轉發(fā)的傳真。這樣終端用戶能夠確保傳真被發(fā)送。Cisco話音管理器Cisco話音管理器是一個基于Web的網(wǎng)絡管理應用，它配置并監(jiān)視CiscoVOIP網(wǎng)關。網(wǎng)絡監(jiān)管者能夠實施撥號計劃，實時監(jiān)控呼叫行為和呼叫質量參數(shù)，并生成說明呼叫過程和傳送質量的詳細報告。服務質量Cisco話音技術在大多數(shù)不利的網(wǎng)絡情況下(包括信息包延遲和信息包丟失)維護通信傳輸質量通信。在一個話音網(wǎng)絡中，包丟失和延遲都會對通話質量產(chǎn)生嚴重的負面影響。

Cisco話音網(wǎng)關的高性能話音協(xié)同處理器設計將話音編碼和打包過程中信息包的延遲和丟失減到最小程度。Cisco的QoS特性在話音網(wǎng)關和骨干路由基礎設施上實現(xiàn)，包括IP優(yōu)先權，RSVP，加權公平排隊，WRED和多級多鏈路PPP分割交叉。這些特性能夠在最擁塞的網(wǎng)絡上為敏感的話音業(yè)務提供低延遲，高可靠性的路徑。

新的CiscoAS5300話音/傳真特性卡的一個普遍應用是INTRANET電話呼叫和傳真。公司使用帶有話音/傳真特性卡CiscoAS5300及與Cisco3600和Cisco2600的話音模塊，通過在現(xiàn)存的IP網(wǎng)絡上傳輸局間話音和傳真業(yè)務，能夠大幅度降低長途電話和傳真費用，而無損話音和傳真質量。在INTRANET中，通過使用Cisco的話音包GATEWAY-ENABLED系列產(chǎn)品，管理者能夠監(jiān)視和控制服務級別從而在他們的數(shù)據(jù)網(wǎng)絡上獲得和維護長話音質和傳真?zhèn)鬏敗?/p>

采用Cisco話音/傳真解決方案處理INTRANET電話呼叫和傳真帶來的成本節(jié)約一般可在幾個月內抵消主要的設備投資。三峽建行與總行的VoIP通信三峽建行IP語音網(wǎng)絡一是解決三峽建行和總行的長途通信問題，主要是利用閑置的數(shù)據(jù)網(wǎng)絡帶寬開通VoIP功能，以節(jié)省長途電話費用。目前，三峽建行到總行進行IP電話通信，由于一路語音大約占用12Kbps帶寬，本次為三峽建行開通20路話音，需要開通1條E1的數(shù)字語音話路，因此三峽建行的語音網(wǎng)關選用CiscoAS5300/VoiceGateway，共配置1個E1適配卡，1個E1適配卡連接到三峽建行程控交換機上，提供與建總行的通信。三峽建行到總行VoIP網(wǎng)絡拓撲圖如下：在三峽建行配置兩臺CISCO3661作為關守，運行IP電話管理軟件，作為H.323的Gatekeeper。兩臺關守之間通過熱備份協(xié)議，實現(xiàn)互為備份。關守（Gatekeeper）可以提供地址翻譯、帶寬控制、許可控制、域管理功能、帶寬管理、呼叫控制信令、呼叫鑒權和呼叫管理等服務。IP語音的管理CVM(CiscoVoiceManagement)提供了對網(wǎng)管的管理，配置、狀態(tài)監(jiān)視及提供詳細的CDR(CallDetailsRecord)原始數(shù)據(jù)，為用戶生成詳細的計費依據(jù)。需要注意的是，在一個數(shù)據(jù)、語音、視頻共同傳輸?shù)木W(wǎng)絡中，各種應用的優(yōu)先級別設置，應服從于整個網(wǎng)絡的需要，集中的加以控制。為此，CISCO的策略式網(wǎng)絡管理系列工具就是這個目的，其中關于服務質量管理的第一代QPM，就可以方便管理者進行基于業(yè)務策略的QOS設置。三峽建行視頻會議設計視頻會議已在社會性的信息交流中發(fā)揮了巨大的溝通作用。視頻會議通過通信網(wǎng)絡把兩個或多個地點的多媒體會議終端連接起來，在其間傳送各種圖像、話音和數(shù)據(jù)信號，使出席會議者有親臨現(xiàn)場的感覺。除了用于多點多媒體會議之外，視頻會議系統(tǒng)還應用于遠程教育、遠程醫(yī)療等需要傳送實時音頻、視頻和數(shù)據(jù)的應用。視頻會議能為用戶提供直接、全面的溝通交流，并能節(jié)約時間、降低成本、提高生產(chǎn)率，因此巨大的市場需求推動了視頻會議技術的發(fā)展。國內外很多科研機構和廠商都進行了多媒體多點會議通信系統(tǒng)的研究，并推出了各自的視頻會議系統(tǒng)。在研究各視頻會議系統(tǒng)的基礎上，國際電信聯(lián)盟(ITU-T)形成了視聽多媒體通信系統(tǒng)國際標準的H.200系列建議，使不同廠商的多媒體通信產(chǎn)品能夠互通，推動了多媒體通信技術標準化的進程。視頻會議系統(tǒng)為總行到三峽建行的星型結構，視頻會議多點控制器（MCU）及總行視頻會議終端集中在總行局域網(wǎng)上，三峽建行視頻會議終端分別連接到三峽建行局域網(wǎng)上，通過廣域網(wǎng)建立全行視頻會議系統(tǒng)的通訊連接。三峽建行局域網(wǎng)上，視頻會議終端通過10M/100M交換端口接入局域網(wǎng)。為保證視頻會議效果，帶寬要求768Kbps。視頻會議系統(tǒng)結構目前視頻會議系統(tǒng)主要采用H.320和H.323兩種組網(wǎng)協(xié)議。H.323協(xié)議適用于IP包交換的通信線路，選擇H.323作為視頻會議系統(tǒng)的組網(wǎng)協(xié)議，可以更好地實現(xiàn)視頻會議、IP語音以及數(shù)據(jù)應用部署在同一網(wǎng)絡平臺上。視頻會議系統(tǒng)邏輯結構如下圖所示：會議電視終端設備三峽建行會場三峽建行會場采用VCON公司的MediaConnect8000Pro會議室型視頻會議終端系統(tǒng)。MediaConnect8000同時支持H.323和H.320標準，運行于任何專業(yè)會議室和多功能會議室，集高質量、豐富的視頻、音頻和數(shù)據(jù)于一體。MediaConnect8000在組合機框和顯示器配置上可分為單機配置、雙機配置和三機配置。主會場采用單機配置。根據(jù)用戶需要，單機配置可在任何時候方便地升級為雙機配置、三機配置。單機標準配置為可移動組合機柜裝有VCON編解碼器板和10BASE-TLAN接口卡的主機高質量的VTOPPTZ攝像頭29”SVGA顯示器，可選PAL環(huán)境支持H.320/H.323國際標準雙工工作模式有T.120數(shù)據(jù)功能，帶無線鍵盤VCON用戶界面友好的視頻會議應用軟件MsWindows?,MsOffice?及MsNetMeeting?可接入國際互聯(lián)網(wǎng)InternetMediaConnect8000通過主機箱中的10BASE-T網(wǎng)卡與局域網(wǎng)交換機的10BASE-T端口相連。實現(xiàn)功能1.電視會議能召開有總行主會場、多個三峽建行會場參加的多點電視會議，而且網(wǎng)上同時可進行多個多點會議，可通過多點會議控制器（MCU）對每個會議進行控制和管理。大大節(jié)省召開各種會議所花時間和開支，提高工作效率。2.遠程教學能通過會議電視系統(tǒng)實現(xiàn)遠程教學，對干部職工進行各種管理、業(yè)務及新產(chǎn)品、新技術的培訓，不斷提高干部職工的素質和業(yè)務水平。遠程教學實施簡易，教師與學員通過多媒體手段實現(xiàn)超越地理界限的雙向交流，不僅保證教學的質量，還能節(jié)省教學的開支。3.協(xié)同工作會議電視系統(tǒng)在傳送圖像的同時，還能實現(xiàn)電子白板、文件傳輸和應用程序共享，使企業(yè)Intranet用戶真正實現(xiàn)面對面的數(shù)據(jù)交流與協(xié)作。4.音頻/視頻廣播能利用會議電視系統(tǒng)，在網(wǎng)上進行電視節(jié)目的廣播。廣播的節(jié)目即可以是實時的，也可以是預先錄制的。會議電視系統(tǒng)可與有線電視網(wǎng)實現(xiàn)互連。主要特點1.充分利用了現(xiàn)有的計算機及通信網(wǎng)絡的資源，保護了原有的投資。2.技術先進、功能完善、操作簡便。3.節(jié)省投資。如：各分會場采用會議室型會議電視終端，對其進行升級改造，使之滿足會議室環(huán)境的要求，使總體造價大大降低。4.系統(tǒng)開放，符合各種國際標準，能與其它廠商產(chǎn)品互連。5．系統(tǒng)安全可靠、便于擴充、易于維護。h附件1三峽建行IP地址分配規(guī)劃總行規(guī)定IP地址編碼結構比特數(shù)：8Bits5Bits3Bits 3Bits13Bits一級地域標識二級地域標識000(擴展位)類別標識用戶網(wǎng)絡地址說明：1）一級地域標識（8Bits）用于區(qū)分全國各省、自治區(qū)、直轄市和計劃單列市。三峽建行的編碼為010101102）二級地域標識位（5Bits）用于區(qū)分各省、自治區(qū)、所屬各地、市、州或直轄市和計劃單列市所屬的各區(qū)、縣。其有效取值范圍為00001~11111。二級地域標識取值為00000對應的地址塊為地域標識主塊，其對應的IP地址空間用于省、自治區(qū)、直轄市和計劃單列市的主管機構，例如三峽建行X支行二級地域標識位為00100。3)將緊臨二級地域標識位的000三位比特作為將來擴展預留。4)第17-19位作為類別標識，三位可劃分八個類別，分別是000（網(wǎng)絡設備管理）、001（營業(yè)）、010（備用）、011（備用）、100（備用）、101（管理）、110（語音、視頻）、111（互連地址）。三峽建行IP地址規(guī)劃表名稱二級標識網(wǎng)絡分類IP地址范圍備注三峽建行00000設備管理86.0.0.0-86.0.31.255營業(yè)網(wǎng)86.0.32.0-86.0.63.25586.0.32.0用于營業(yè)網(wǎng)備用186.0.64.0-86.0.95.255備用286.0.96.0-86.0.126.255備用386.0.128.0-86.0.159.255管理網(wǎng)86.0.160.0-86.0.191.25586.0.191.0用于管理網(wǎng)語音、視頻86.0.192.0-86.0.223.255向下互連86.0.224.0-86.0.255.25586.0.224.0營業(yè)網(wǎng)互連，86.0.240.0管理網(wǎng)互連向上互連由總行IP地址中分配X縣00100a00110b01000c01010D01110E10000F10010G10100H待定I待定J待定K待定L待定M待定N待定三峽建行營業(yè)部待定國際業(yè)務部待定附件2三峽建行IP聯(lián)絡中心方案三峽建行CALLCENTER解決方案三峽建行IPCC體系架構由于目前三峽建行程控交換機尚不具備必須的ACD功能，為了采用先進技術、簡化維護管理，便于分布式人工座席的實施以及將來系統(tǒng)的方便擴展和降低通信成本，我們將采用CiscoIPCC聯(lián)絡中心(以下簡稱IPCC)解決方案。CiscoIPCC通過結合最新的CiscoIP電話技術和聯(lián)絡中心解決方案，為三峽建行提供一個完整的并且是得到驗證的IP聯(lián)絡中心解決方案。在這個方案里，座席通過IP電話既可以接收傳統(tǒng)的TDM電話又可以接收VoIP電話。由于IPCC集成了傳統(tǒng)的呼叫中心平臺和網(wǎng)絡，所以它在保護以前的技術投資的同時提供了向基于IP的聯(lián)絡中心的途徑。作為CiscoAVVID(語音、視像和集成的數(shù)據(jù)體系結構)不可缺少的一部分，IPCC可以在一個單點的環(huán)境實施，也可集成為多點聯(lián)絡中心。IPCC功能包括了智能呼叫路由、自動呼叫分配(ACD)、網(wǎng)絡到桌面的CTI、交互式語音應答(IVR)集成、呼叫排隊以及統(tǒng)一的管理報告。IPCC基于標準的開放體系結構潛在地支持了基于Web的客戶聯(lián)絡，包括協(xié)同瀏覽、文本交談和e-mail回復管理。IPCC利用三峽建行目前的IP網(wǎng)絡，優(yōu)化WAN基礎設施的投資并且降低管理維護費用。并且，這種面向IP的體系結構可以使企業(yè)的呼叫中心方便地擴展到分支機構、遠端座席、家庭座席和專家座席。

三峽建行IPCC系統(tǒng)架構IPCC功能和優(yōu)點●基于技能的Pre-Routing功能當一個呼叫還停留在IP網(wǎng)絡或PSTN公用電話網(wǎng)時Pre-Routing功能就可作出路由決策第一次將呼叫分配到合適的座席或資源。為了優(yōu)化路由決策，IPCC座席根據(jù)技能來進行分組。系統(tǒng)直接從每個座席的桌面實時收集技能組和狀態(tài)信息，甚至可以預定一個座席以保證當呼叫到達時這個座席是空閑的。系統(tǒng)通過腳本方式提供一系列路由選擇標準和工具，使用戶可以根據(jù)自己的業(yè)務需求方便地定制呼叫分配規(guī)則。對于多點呼叫中心運行，IPCC可以在企業(yè)范圍合理分配資源從而提高聯(lián)絡中心的性能和客戶服務?！窕诩寄艿腜ost-Routing功能Post-Routing功能是針對已經(jīng)連接到座席、ACD、PBX或IVR的呼叫進行的智能路由分配。當一個呼叫需要重新進行路由時，ICM系統(tǒng)使用與Pre-Routing功能同樣的業(yè)務邏輯指導外圍設備將呼叫送到最佳的資源。這些資源可以是另一個座席、IPCC內的一個技能組或服務，或另一個ACD?！窬W(wǎng)絡到桌面的CTICiscoIPCC將從Internet、運營商網(wǎng)絡、IVR、數(shù)據(jù)庫以及其他的應用系統(tǒng)中收集的客戶和交易信息傳送到目標座席的桌面，這些獨特的豐富的信息可以使企業(yè)數(shù)據(jù)結合業(yè)務充分地利用到客戶的聯(lián)絡過程中。主要功能包括：內容豐富的屏幕彈出：屏幕彈出可以使座席將更多的時間集中在對客戶的服務而無需浪費時間收集信息。CiscoICM軟件將呼叫和客戶數(shù)據(jù)傳送到IPCC座席的業(yè)務應用程序，使得當呼叫到達時座席時PC同步自動彈出相關數(shù)據(jù)。Cisco的解決方案傳送同樣的數(shù)據(jù)到IPCC座席和傳統(tǒng)的ACD座席，這樣保證了整個企業(yè)范圍客戶服務的一致性?？煽蛻艋淖烂妫篒PCC桌面CTI功能包括功能全面的軟電話(座席通過PC桌面的軟電話菜單執(zhí)行電話功能)。聯(lián)絡中心主管可以通過鼠標拖拉的方式方便地對軟電話進行客戶化。同時，軟電話功能可以通過鼠標拖拉的方式方便地嵌入現(xiàn)有的CRM(客戶關系管理)應用軟件之中從而提供CTI功能，這樣可以減少培訓、管理和維護的費用。第三方呼叫控制：IPCC的第三方呼叫控制功能可以使座席在桌面的應用程序中控制電話功能，如應答、保留、轉接、會議等。例如，IPCC座席收集的語音和數(shù)據(jù)可以在IPCC內部也可跨多個不同廠家的PBX進行轉接，使得當一個呼叫在座席間或不同的地點間轉接時，客戶和交易數(shù)據(jù)也隨之進行轉接。座席統(tǒng)計：每個IPCC座席通過顯示屏可以實時看到個人的統(tǒng)計數(shù)據(jù)例如處理的呼叫數(shù)、呼叫平均處理時間、累計空閑時間、總計上班時間等。在一個績效與收入掛鉤的環(huán)境中，這個功能可以為座席提供自己的實時表現(xiàn)數(shù)據(jù)，并與平均小組水平作一比較，從而達到激勵的目的。●統(tǒng)一的報告ICM軟件開放的體系結構使鏈路中心系統(tǒng)可以及時準確地對來自Internet、運營商網(wǎng)絡、CiscoCallManager、ACD、IVR、座席桌面和其他資源的信息進行統(tǒng)一的管理。這些信息存儲在一個MicrosoftSQL服務器中，提供實時和歷史的呼叫中心管理報告。ICM系統(tǒng)的報告功能提供多種報表模板，用戶可以設置閾值進行特定數(shù)據(jù)的監(jiān)控；“下挖”功能可以方便提供有關字段的詳細信息；報表可以按任意預設的時間間隔產(chǎn)生。通過ICM軟件提供的報告工具可以建立客戶化的報表；用戶也可通過第三方的數(shù)據(jù)庫訪問工具操作和顯示報告信息，或將數(shù)據(jù)輸出到符合工業(yè)標準的文件格式以用于其他的應用程序。聯(lián)絡中心管理報告可以通過ICM管理工作站上生成或顯示，任何經(jīng)過授權的裝有瀏覽器的桌面，或其他任何ODBC兼容的桌面應用也都可顯示?！馡PCC路由功能基于應用的路由和報告逐個呼叫路由(Call-by-callrouting)基于等待時間的呼叫重路由條件路由數(shù)據(jù)庫呼叫處理負載均衡前向排隊(Look-aheadqueuing)網(wǎng)絡間溢出優(yōu)先排隊基于技能的路由●客戶交互功能Audiotex自動話務員客戶輸入的數(shù)字受控的忙態(tài)基于實時條件的語音通知根據(jù)主叫信息的音樂等待基于實時條件的音樂等待可視的排隊狀況管理功能呼叫詳細記錄報告集中化報告客戶化報告歷史報告基于Web的報告瀏覽實時管理實時信息統(tǒng)計和圖形報告中繼利用報告圖形化用戶界面座席功能顯示在座席桌面的座席統(tǒng)計數(shù)據(jù)自動空閑自動Wrap-up輔助工作狀態(tài)空閑狀態(tài)客戶信息：主叫號碼(ANI)、主叫線路信息(CLID)、被叫信息(DNIS)、客戶輸入的數(shù)字(CED)完全可客戶化的軟電話應用Hot桌面或Login/Logout或遠端座席屏幕彈出轉接呼叫到一個隊列非空閑的工作狀態(tài)Wrap-upWrap-up代碼IPCC系統(tǒng)構成Cisco智能聯(lián)絡管理軟件ICMCiscoICM軟件可以為客戶提供來自Internet或PSTN電話網(wǎng)的聯(lián)絡方式，并集成了企業(yè)范圍的ACD、IVR、Web和e-mail服務器、桌面應用等系統(tǒng)。ICM軟件在網(wǎng)絡級別的路由決策基于每個客戶相關的信息例如客戶撥打的號碼、客戶主叫號碼、客戶輸入的數(shù)字、客戶通過Web表格提交的數(shù)據(jù)以及從客戶數(shù)據(jù)庫中得到的信息等。同時，系統(tǒng)通過從聯(lián)絡中心平臺和座席桌面收集的實時信息了解每個資源的狀態(tài)以配合路由決策。作為IPCC的組成部分，ICM軟件提供ACD功能包括對座席狀態(tài)的監(jiān)控、對呼叫的排隊、CTI功能、提供給座席和班長席的實時數(shù)據(jù)，以及歷史管理報告。ICM系統(tǒng)包括：ICM外圍設備網(wǎng)關(PG)：提供ICM軟件和外圍設備之間的接口。IPCCPG軟件包括CiscoCallManagerPG、IVRPG、ICMCTI。PG收集外圍設備的相關信息并提供給ICM作為Pre-Routing和Post-Routing的依據(jù)。每個PG跟蹤的事件是基于每個座席和每個呼叫之上的，這樣可以保證路由決策的準確性。ICMCTI服務器和桌席桌面：ICM的CTI功能可以使我們的客戶實施完整的網(wǎng)絡到桌面CTI策略，包括座席桌面的綜合功能。在服務器層次，ICM系統(tǒng)管理來自Internet、運營商網(wǎng)絡、AC、IVR、Web服務器、業(yè)務應用、數(shù)據(jù)庫設置ICM自己的實時和歷史數(shù)據(jù)信息。此外，CTI服務器從一個呼叫進入呼叫中心到結束的整個過程中實時將座席、呼叫和客戶數(shù)據(jù)傳送到相關服務器或桌面PC。在桌面端，Cisco解決方案包括一個使用ActiveX和Java的完整的座席軟電話，它可以無需了解電話系統(tǒng)底層信息即可完全訪問CTI服務器。結構是，應用軟件開發(fā)者和呼叫中心主管可以無需復雜的編程或系統(tǒng)集成即可快速將應用軟件如CRM集成到IPCC之中。Cisco管理工作站(AW)：ICMAW是ICM環(huán)境的用戶接口，使呼叫中心主管、班長席可以定義、修改、觀看路由腳本程序；管理系統(tǒng)配置；監(jiān)視呼叫中心性能；定義和產(chǎn)生報告；并保證系統(tǒng)安全性。AW提供Windows環(huán)境下的直觀易用的“鼠標點擊”方式的工具。CiscoCallMangerCiscoCallManger為包方式的IP電話和VIP語音網(wǎng)關提供傳統(tǒng)的PBX電話特性和功能(基本呼叫處理、信令和連接服務)。補充和增強的服務包括保留、轉接、前移、會議、自動路由選擇、縮位撥號、最后號碼重撥等等。呼叫許可控制保證了當WAN鏈路受限制時仍能保持語音服務質量(QoS)，并能在WAN的帶寬不夠時自動將呼叫通過PSTN公用電話網(wǎng)進行連接。CiscoCallManager軟件預裝在CiscoMCS(MediaConvergenceServer)之中。CiscoVoIPGateway每個IPCC方案都包括一個CiscoVoIP網(wǎng)關，它提供PSTN與CiscoAVVIDIP電話網(wǎng)絡之間的連接，將模擬和數(shù)字的語音轉換成IP包。該網(wǎng)關是通過CiscoCallManger進行管理、控制的。Cisco提供一系列VoIP網(wǎng)關供用戶選擇。CiscoIP電話座席通過Cisco7960IP電話連接到IPCC。它是一個功能全面的第二代IP電話，利用IP技術將數(shù)據(jù)和語音融合到一個網(wǎng)絡結構中-包括一根電纜連接、一個交換式以太網(wǎng)結構、統(tǒng)一的系統(tǒng)操作管理系統(tǒng)。Cisco7960提供6線或6個可編程功能鍵、4個交互的軟功能鍵。CiscoIP電話同時提供一個很大的LCD顯示屏，可以顯示日期、時間、主叫姓名、主叫電話、被叫號碼。另外，顯示屏還提供功能和線路狀態(tài)、揚聲器(免提)和手柄功能、靜音鍵。交互式語音應答系統(tǒng)(IVR)在IPCC中，IVR可以作為一個可以向ICM發(fā)起路由請求的路由客戶(routingclient)，作為受ICM管理的資源，作為一個統(tǒng)一的實時和歷史報告的信息源。另外IVR可以作為IPCC排隊中的一個點。如果沒有合適的座席來接聽客戶電話，IPCC利用IVR作為呼叫處理手段例如播放語音通知、收集客戶輸入的數(shù)字或在將呼叫重新路由到一個目標應答資源以前提供路由選項?？蛻艨梢赃x擇Cisco的IP-IVR也可選擇傳統(tǒng)的TDM方式的IVR或網(wǎng)絡IVR。語音/數(shù)據(jù)流程舉例：1、客戶通過PSTN撥呼叫中心的號碼。2、呼叫被CiscoVoIP網(wǎng)關接收，并被從TDM協(xié)議轉換成IP協(xié)議。3、VoIP網(wǎng)關向CallManger發(fā)送一個路由請求，并包含客戶撥打的號碼、主叫號碼和客戶輸入的數(shù)字。4、通過ICMPG，CiscoCallManger將這個路由請求發(fā)送到ICM。5、ICM進行數(shù)據(jù)庫查詢并根據(jù)相關信息決定路由。6、ICM觸發(fā)一個客戶定義的路由腳本程序以選擇最合適的IPCC座席來接聽這個電話，并將這個路由目標(如所選擇的座席)通過PG傳送到

CiscoCallManger。7、PG中的CTI服務器將客戶信息數(shù)據(jù)以屏幕彈出的形式發(fā)送到目標座席的桌面。8、CiscoCallManager指導CiscoVoIP網(wǎng)關將呼叫連接到目標座席。9、CiscoVoIP網(wǎng)關建立客戶呼叫與目標座席之間的語音連接。注1：根據(jù)業(yè)務需求，IPIVR可以用于收集客戶信息數(shù)據(jù)、完成交易，或將呼叫排隊在IVR端口。注2：以上呼叫流程描述的是一個單點IPCC的例子。IPCC可以集成到多點呼叫中心，在企業(yè)范圍、網(wǎng)絡層次實施ICM的Pre-Routing。IPCC應用軟件開發(fā)三峽建行聯(lián)絡中心系統(tǒng)的主要開發(fā)包括：呼叫流程設計：通過CiscoICM系統(tǒng)提供ScriptEditor(路由腳本編輯軟件)圖形用戶界面工具進行呼叫路由腳本(Script)的設計。IPIVR：通過CiscoIPIVR提供的ApplicationEditior圖形化界面進行IVR的流程編輯開發(fā)。座席桌面應用程序：座席桌面應用程序包括兩部分，一部分是將CiscoCTIClient的軟電話集成到應用程序(Cisco提供Windows操作系統(tǒng)環(huán)境下的ActiveX軟電話控制，開發(fā)時可通過鼠標拖拉屬性設置的方式方便地嵌入應用程序。)；另一部分是針對銀行業(yè)務應用的開發(fā)，需要與相應的業(yè)務系統(tǒng)數(shù)據(jù)庫集成。安裝：安裝工作包括VoiceGateway、CallManager、IPIVR、ICM的安裝，以及其它數(shù)據(jù)庫、操作系統(tǒng)等基本系統(tǒng)的安裝附錄資料：不需要的可以自行刪除常見電腦故障與解決的方法硬盤異