銀行業(yè)作為國家現(xiàn)代經濟運行的核心，安全問題一直是十分重要而嚴峻的課題。較之于傳統(tǒng)的安全保衛(wèi)工作，新形勢下的銀行安全防范的范圍不斷擴大，由過去的保衛(wèi)對象現(xiàn)金轉向信貸、國際業(yè)務、銀行卡、電子渠道等新的貨幣形式的“大安全”管理，銀行業(yè)安全保衛(wèi)和案件防范面臨很大的壓力和嚴峻的考驗，值得引起銀行管理者對新形勢下安防管理模式的思考。以下是蘇輝貴的《省級銀行安全監(jiān)控專網(wǎng)的設計與實現(xiàn)》。

網(wǎng)絡建設是信息化建設的基礎，快速、安全、高效的網(wǎng)絡能為信息化應用提供有力的支撐和服務。近年來，信息金融事業(yè)飛速發(fā)展，支付系統(tǒng)、貨幣金銀系統(tǒng)、征信系統(tǒng)、國家金庫信息處理系統(tǒng)要求承載網(wǎng)絡具備實時性、安全性、高可靠性、高穩(wěn)定性、高響應性等一系列性能指標。與此同時，遠程培訓系統(tǒng)、視頻會議系統(tǒng)、安防視頻監(jiān)控系統(tǒng)等流媒體數(shù)據(jù)系統(tǒng)的相繼應用發(fā)展，對網(wǎng)絡帶寬與網(wǎng)絡設備處理能力提出了更高的要求。

目前筆者所在單位現(xiàn)有的業(yè)務網(wǎng)分為骨干網(wǎng)和省域網(wǎng)兩個層次。骨干網(wǎng)以總行——省會省級行兩級構架方式組網(wǎng)，省會省級行分別以電信、聯(lián)通的10M ATM廣域網(wǎng)電路上聯(lián)總行。省域網(wǎng)以省會省級行——市級行——縣級行三級構架方式組網(wǎng)，采取省域自治系統(tǒng)方式整體接入骨干網(wǎng);其中，省會省級行與市級行分別以電信、聯(lián)通的4M ATM電路互聯(lián)互備，市級行與網(wǎng)絡末梢節(jié)點的縣級行分別以電信、聯(lián)通的2M ATM電路互聯(lián)互備。

當前承載監(jiān)控視頻數(shù)據(jù)的銀行業(yè)務網(wǎng)同時也是銀行內部信息的傳輸通道，這幾年網(wǎng)絡高清攝像機的普及導致監(jiān)控視頻數(shù)據(jù)需要占用大量帶寬，對其他重要應用造成了一定影響,同時也制約了安全業(yè)務的發(fā)展。安全監(jiān)控系統(tǒng)使用業(yè)務網(wǎng)存在的問題主要有：

一是網(wǎng)絡帶寬達不到視頻傳輸?shù)囊?。目?路H.265 編碼的1080p視頻需要2M的碼率，現(xiàn)有的網(wǎng)絡帶寬無法滿足高清視頻監(jiān)控系統(tǒng)視頻聯(lián)網(wǎng)的要求，從而造成監(jiān)控系統(tǒng)視頻無法正常連接的情況出現(xiàn)。

二是IP地址數(shù)量無法滿足網(wǎng)絡高清監(jiān)控系統(tǒng)建設需求?，F(xiàn)有的網(wǎng)絡IP地址規(guī)劃時，只考慮到電腦、服務器等電子設備的配備數(shù)量，未考慮網(wǎng)絡監(jiān)控設備的數(shù)量，IP地址的數(shù)量受限，而網(wǎng)絡安全等級保護的要求又禁止監(jiān)控設備使用地址轉換等技術使用私有IP地址，從而造成網(wǎng)絡高清設備IP地址不夠用的情況。

針對目前存在的這些問題，同時為了加強不同業(yè)務網(wǎng)絡間的安全隔離，避免不同業(yè)務流之間的相互影響，適應視頻監(jiān)控數(shù)據(jù)傳輸?shù)奶攸c和要求，建設銀行安全保衛(wèi)監(jiān)控專網(wǎng)勢在必行。

安全保衛(wèi)專網(wǎng)的建設，應該考慮到網(wǎng)絡的擴展性、可靠性、安全性,以及運行的監(jiān)控、視頻各類業(yè)務應用對網(wǎng)絡實時性、帶寬需求、接入方式、安全性、數(shù)據(jù)分布特征等方面的需求。按照業(yè)務需要，統(tǒng)一全網(wǎng)的安全控制措施和安全監(jiān)測手段;集中網(wǎng)絡管理，實施分級維護;進一步規(guī)范IP地址的應用，積極開展網(wǎng)絡綜合應用?？偟膩碚f專網(wǎng)建設應達到以下目標：

綜合性：為多種業(yè)務應用與信息網(wǎng)絡提供統(tǒng)一的綜合業(yè)務傳送平臺。

支持QOS：能根據(jù)業(yè)務的要求提供不同等級的服務并保證服務質量，提供資源預留、擁塞控制、報文分類、流量整形等強大的IP QOS功能。

高可靠性：具有很高的容錯能力，具有抵御外界環(huán)境和人為操作失誤的能力，保證任何單點故障都不影響整個網(wǎng)絡的正常運作。

高性能：在高負荷情況下仍然具有較高的吞吐能力和效率，延遲低。安全性:具有保證系統(tǒng)安全，防止系統(tǒng)被人為破壞的能力。支持AAA功能、ACL、IPSEC、NAT、ISPkeeper、路由驗證、CHAP、PAP、CA、MD5、DES、3DES、日志等安全功能以及MPLS VPN。

擴展性：易于增加新設備、新用戶，易于和各種公用網(wǎng)絡連接，隨系統(tǒng)應用的逐步成熟不斷延伸和擴充，充分保護現(xiàn)有投資利益。開放性：符合開放性規(guī)范，方便接入不同廠商的設備和網(wǎng)絡產品。標準化：通訊協(xié)議和接口符合國際標準。

針對筆者所在單位目前的網(wǎng)絡現(xiàn)狀，在現(xiàn)有業(yè)務網(wǎng)結構不變的前提下，需要設計一套安全監(jiān)控專網(wǎng)，并能實現(xiàn)總行通過業(yè)務網(wǎng)調用安全監(jiān)控專網(wǎng)的視頻服務器與接入服務器。全省各分支機構通過租用線路運營商的廣域網(wǎng)專線實現(xiàn)全省安全監(jiān)控專網(wǎng)的互聯(lián)互通，省內各分支機構視頻監(jiān)控服務器的數(shù)據(jù)流通過安全監(jiān)控專網(wǎng)進行數(shù)據(jù)轉發(fā)。省內各分支機構訪問本地視頻監(jiān)控管理服務器的流量通過本地監(jiān)控專網(wǎng)的局域網(wǎng)進行訪問。

具體來看，需要在省會省級行、省內各市級行各部署兩臺三層交換機，其視頻監(jiān)控服務器、監(jiān)控攝像頭及硬盤錄像機等監(jiān)控所需的設備均通過接入交換機連接至對應的三層交換機上，省會省級行、省內各市級行租用不同運營商的兩條廣域網(wǎng)線路，通過廣域網(wǎng)線路實現(xiàn)省級行交換機和市級行交換機的互聯(lián)。各縣級行則部署一臺二層交換機僅作為監(jiān)控設備的接入，以減少后期的網(wǎng)絡維護工作量，縣市支行網(wǎng)絡管理維護通過所在市級行的三層交換機完成。市級行及縣級行租用不同運營商的兩條廣域網(wǎng)線路。

在省級行業(yè)務網(wǎng)和監(jiān)控專網(wǎng)之間部署一套防火墻設備，防火墻采用靜態(tài)路由;安全監(jiān)控專網(wǎng)規(guī)劃單獨的IP地址段(如：188.16.0.0/16)，通過防火墻的源IP地址和目的IP地址雙向轉換，實現(xiàn)業(yè)務網(wǎng)到監(jiān)控網(wǎng)的訪問，且業(yè)務網(wǎng)的路由表中不出現(xiàn)監(jiān)控網(wǎng)的IP地址段路由，通過訪問控制實現(xiàn)指定授權的IP訪問視頻管理設備。各級單位的三層交換機互聯(lián)采用IP互聯(lián)，并采用OSPF協(xié)議，將相關網(wǎng)段宣告到OSPF網(wǎng)絡中實現(xiàn)路由的互通。

安全專網(wǎng)拓撲圖

江西省人民銀行系統(tǒng)轄內共有1個省會中心支行，10個地市中心支行，79個縣級行，共計90個單位，需建設安全專網(wǎng)將所有單位安全監(jiān)控系統(tǒng)進行聯(lián)網(wǎng)。

1.廣域網(wǎng)線路實現(xiàn)

根據(jù)各級行的數(shù)據(jù)傳輸量，廣域網(wǎng)線路選擇租用業(yè)內技術成熟且費用較為實惠的MSTP線路，考慮到視頻監(jiān)控需要占用大量帶寬資源，省級行到各市級行的廣域網(wǎng)線路的帶寬為20M，各市級行到縣級行的廣域網(wǎng)帶寬為10M。

2.設備互聯(lián)實現(xiàn)

省級行和各市級行互聯(lián)接口均采用千兆光以太電口(SFP)，省級行三層交換機端口實現(xiàn)線路運營商專線接入的接口匯聚，省級行端采用以太端口并將端口設置為trunk模式，在省級行交換機上創(chuàng)建多個VLAN，每個VLAN對應一個地市級行，并在interface Vlan XXX上分配掩碼為30位的IP地址，實現(xiàn)省級行到各市級行的IP層面的互聯(lián)互通。省級行兩臺交換機使用虛擬化IRF技術增加網(wǎng)絡的可靠性與性能。

各市級行端與縣級行互聯(lián)的端口設置為trunk，在各市級行端交換機的interface Vlan XXX下配置IP地址作為縣級行的監(jiān)控攝像頭、硬盤錄像機的網(wǎng)關地址。縣級行的交換機則為二層接入設備，用于連接監(jiān)控相關設備。市級行兩臺交換機使用虛擬化IRF技術增加網(wǎng)絡的可靠性與性能。

省級行防火墻采用路由模式，用于邏輯隔離業(yè)務網(wǎng)與監(jiān)控專網(wǎng)，防火墻外網(wǎng)接口用于連接安全監(jiān)控專網(wǎng)的三層交換機，內網(wǎng)接口用于連接省級行業(yè)務網(wǎng)的核心交換機設備。

3.VLAN設計

4.IP地址規(guī)劃

5.路由設計

省級行與各市級行的三層交換機采用三層互聯(lián)，網(wǎng)絡采用OSPF協(xié)議，使用單區(qū)域設計，將全網(wǎng)地址以network的方式宣告到網(wǎng)絡中。

省級行業(yè)務網(wǎng)及監(jiān)控專網(wǎng)的三層交換機與防火墻的互聯(lián)線路采用三層互聯(lián)，在交換機上通過靜態(tài)的主機路由將下一跳指向防火墻設備，并將靜態(tài)路由引入到OSPF中。

6.防火墻設計

為確保業(yè)務網(wǎng)絡安全，監(jiān)控專網(wǎng)和業(yè)務網(wǎng)絡路由不做雙向引入，在防火墻上采用路由模式，并通過對數(shù)據(jù)報文的源地址、目的地址做NAT轉換，再配合訪問控制、主機路由等方式，保障網(wǎng)絡的安全。