銀行業(yè)作為國家現(xiàn)代經濟運行的核心，安全問題一直是十分重要而嚴峻的課題。較之于傳統(tǒng)的安全保衛(wèi)工作，新形勢下的銀行安全防范的范圍不斷擴大，由過去的保衛(wèi)對象現(xiàn)金轉向信貸、國際業(yè)務、銀行卡、電子渠道等新的貨幣形式的“大安全”管理，銀行業(yè)安全保衛(wèi)和案件防范面臨很大的壓力和嚴峻的考驗，值得引起銀行管理者對新形勢下安防管理模式的思考。以下是蘇輝貴的《省級銀行安全監(jiān)控專網的設計與實現(xiàn)》。

一、網絡現(xiàn)狀及存在的問題

網絡建設是信息化建設的基礎，快速、安全、高效的網絡能為信息化應用提供有力的支撐和服務。近年來，信息金融事業(yè)飛速發(fā)展，支付系統(tǒng)、貨幣金銀系統(tǒng)、征信系統(tǒng)、國家金庫信息處理系統(tǒng)要求承載網絡具備實時性、安全性、高可靠性、高穩(wěn)定性、高響應性等一系列性能指標。與此同時，遠程培訓系統(tǒng)、視頻會議系統(tǒng)、安防視頻監(jiān)控系統(tǒng)等流媒體數(shù)據系統(tǒng)的相繼應用發(fā)展，對網絡帶寬與網絡設備處理能力提出了更高的要求。

目前筆者所在單位現(xiàn)有的業(yè)務網分為骨干網和省域網兩個層次。骨干網以總行——省會省級行兩級構架方式組網，省會省級行分別以電信、聯(lián)通的10M ATM廣域網電路上聯(lián)總行。省域網以省會省級行——市級行——縣級行三級構架方式組網，采取省域自治系統(tǒng)方式整體接入骨干網;其中，省會省級行與市級行分別以電信、聯(lián)通的4M ATM電路互聯(lián)互備，市級行與網絡末梢節(jié)點的縣級行分別以電信、聯(lián)通的2M ATM電路互聯(lián)互備。

當前承載監(jiān)控視頻數(shù)據的銀行業(yè)務網同時也是銀行內部信息的傳輸通道，這幾年網絡高清攝像機的普及導致監(jiān)控視頻數(shù)據需要占用大量帶寬，對其他重要應用造成了一定影響,同時也制約了安全業(yè)務的發(fā)展。安全監(jiān)控系統(tǒng)使用業(yè)務網存在的問題主要有：

一是網絡帶寬達不到視頻傳輸?shù)囊?。目?路H.265 編碼的1080p視頻需要2M的碼率，現(xiàn)有的網絡帶寬無法滿足高清視頻監(jiān)控系統(tǒng)視頻聯(lián)網的要求，從而造成監(jiān)控系統(tǒng)視頻無法正常連接的情況出現(xiàn)。

二是IP地址數(shù)量無法滿足網絡高清監(jiān)控系統(tǒng)建設需求?，F(xiàn)有的網絡IP地址規(guī)劃時，只考慮到電腦、服務器等電子設備的配備數(shù)量，未考慮網絡監(jiān)控設備的數(shù)量，IP地址的數(shù)量受限，而網絡安全等級保護的要求又禁止監(jiān)控設備使用地址轉換等技術使用私有IP地址，從而造成網絡高清設備IP地址不夠用的情況。

針對目前存在的這些問題，同時為了加強不同業(yè)務網絡間的安全隔離，避免不同業(yè)務流之間的相互影響，適應視頻監(jiān)控數(shù)據傳輸?shù)奶攸c和要求，建設銀行安全保衛(wèi)監(jiān)控專網勢在必行。

二、建設目標

安全保衛(wèi)專網的建設，應該考慮到網絡的擴展性、可靠性、安全性,以及運行的監(jiān)控、視頻各類業(yè)務應用對網絡實時性、帶寬需求、接入方式、安全性、數(shù)據分布特征等方面的需求。按照業(yè)務需要，統(tǒng)一全網的安全控制措施和安全監(jiān)測手段;集中網絡管理，實施分級維護;進一步規(guī)范IP地址的應用，積極開展網絡綜合應用?？偟膩碚f專網建設應達到以下目標：

綜合性：為多種業(yè)務應用與信息網絡提供統(tǒng)一的綜合業(yè)務傳送平臺。

支持QOS：能根據業(yè)務的要求提供不同等級的服務并保證服務質量，提供資源預留、擁塞控制、報文分類、流量整形等強大的IP QOS功能。

高可靠性：具有很高的容錯能力，具有抵御外界環(huán)境和人為操作失誤的能力，保證任何單點故障都不影響整個網絡的正常運作。

高性能：在高負荷情況下仍然具有較高的吞吐能力和效率，延遲低。安全性:具有保證系統(tǒng)安全，防止系統(tǒng)被人為破壞的能力。支持AAA功能、ACL、IPSEC、NAT、ISPkeeper、路由驗證、CHAP、PAP、CA、MD5、DES、3DES、日志等安全功能以及MPLS VPN。

擴展性：易于增加新設備、新用戶，易于和各種公用網絡連接，隨系統(tǒng)應用的逐步成熟不斷延伸和擴充，充分保護現(xiàn)有投資利益。開放性：符合開放性規(guī)范，方便接入不同廠商的設備和網絡產品。標準化：通訊協(xié)議和接口符合國際標準。

三、視頻監(jiān)控專網的應用設計

針對筆者所在單位目前的網絡現(xiàn)狀，在現(xiàn)有業(yè)務網結構不變的前提下，需要設計一套安全監(jiān)控專網，并能實現(xiàn)總行通過業(yè)務網調用安全監(jiān)控專網的視頻服務器與接入服務器。全省各分支機構通過租用線路運營商的廣域網專線實現(xiàn)全省安全監(jiān)控專網的互聯(lián)互通，省內各分支機構視頻監(jiān)控服務器的數(shù)據流通過安全監(jiān)控專網進行數(shù)據轉發(fā)。省內各分支機構訪問本地視頻監(jiān)控管理服務器的流量通過本地監(jiān)控專網的局域網進行訪問。

具體來看，需要在省會省級行、省內各市級行各部署兩臺三層交換機，其視頻監(jiān)控服務器、監(jiān)控攝像頭及硬盤錄像機等監(jiān)控所需的設備均通過接入交換機連接至對應的三層交換機上，省會省級行、省內各市級行租用不同運營商的兩條廣域網線路，通過廣域網線路實現(xiàn)省級行交換機和市級行交換機的互聯(lián)。各縣級行則部署一臺二層交換機僅作為監(jiān)控設備的接入，以減少后期的網絡維護工作量，縣市支行網絡管理維護通過所在市級行的三層交換機完成。市級行及縣級行租用不同運營商的兩條廣域網線路。

在省級行業(yè)務網和監(jiān)控專網之間部署一套防火墻設備，防火墻采用靜態(tài)路由;安全監(jiān)控專網規(guī)劃單獨的IP地址段(如：188.16.0.0/16)，通過防火墻的源IP地址和目的IP地址雙向轉換，實現(xiàn)業(yè)務網到監(jiān)控網的訪問，且業(yè)務網的路由表中不出現(xiàn)監(jiān)控網的IP地址段路由，通過訪問控制實現(xiàn)指定授權的IP訪問視頻管理設備。各級單位的三層交換機互聯(lián)采用IP互聯(lián)，并采用OSPF協(xié)議，將相關網段宣告到OSPF網絡中實現(xiàn)路由的互通。

安全專網拓撲圖

四、項目實現(xiàn)

江西省人民銀行系統(tǒng)轄內共有1個省會中心支行，10個地市中心支行，79個縣級行，共計90個單位，需建設安全專網將所有單位安全監(jiān)控系統(tǒng)進行聯(lián)網。

1.廣域網線路實現(xiàn)

根據各級行的數(shù)據傳輸量，廣域網線路選擇租用業(yè)內技術成熟且費用較為實惠的MSTP線路，考慮到視頻監(jiān)控需要占用大量帶寬資源，省級行到各市級行的廣域網線路的帶寬為20M，各市級行到縣級行的廣域網帶寬為10M。

2.設備互聯(lián)實現(xiàn)

省級行和各市級行互聯(lián)接口均采用千兆光以太電口(SFP)，省級行三層交換機端口實現(xiàn)線路運營商專線接入的接口匯聚，省級行端采用以太端口并將端口設置為trunk模式，在省級行交換機上創(chuàng)建多個VLAN，每個VLAN對應一個地市級行，并在interface Vlan XXX上分配掩碼為30位的IP地址，實現(xiàn)省級行到各市級行的IP層面的互聯(lián)互通。省級行兩臺交換機使用虛擬化IRF技術增加網絡的可靠性與性能。

各市級行端與縣級行互聯(lián)的端口設置為trunk，在各市級行端交換機的interface Vlan XXX下配置IP地址作為縣級行的監(jiān)控攝像頭、硬盤錄像機的網關地址?？h級行的交換機則為二層接入設備，用于連接監(jiān)控相關設備。市級行兩臺交換機使用虛擬化IRF技術增加網絡的可靠性與性能。

省級行防火墻采用路由模式，用于邏輯隔離業(yè)務網與監(jiān)控專網，防火墻外網接口用于連接安全監(jiān)控專網的三層交換機，內網接口用于連接省級行業(yè)務網的核心交換機設備。

3.VLAN設計

4.IP地址規(guī)劃

5.路由設計

省級行與各市級行的三層交換機采用三層互聯(lián)，網絡采用OSPF協(xié)議，使用單區(qū)域設計，將全網地址以network的方式宣告到網絡中。

省級行業(yè)務網及監(jiān)控專網的三層交換機與防火墻的互聯(lián)線路采用三層互聯(lián)，在交換機上通過靜態(tài)的主機路由將下一跳指向防火墻設備，并將靜態(tài)路由引入到OSPF中。

6.防火墻設計

為確保業(yè)務網絡安全，監(jiān)控專網和業(yè)務網絡路由不做雙向引入，在防火墻上采用路由模式，并通過對數(shù)據報文的源地址、目的地址做NAT轉換，再配合訪問控制、主機路由等方式，保障網絡的安全。