电力行业信息化概述 

中国电力工业的价值贡献正处在一个从量变到质变的关键节点上，而变化的本质就是信息化与传统电力工业的深度融合，这样的趋势必然表现为今后电力系统信息数据的爆发性增长。一旦电力企业真正关注到客户信息海量的大数据，一个大规模生产、分享和应用数据的时代就会开启，而云计算这项技术有可能使如此大量的、不规则的复杂数据的存储、计算、分析和使用成为可能。建立分布式的电力系统私有云计算平台对解决电力系统各种复杂的计算问题提供了新的途径，有助于实现电力系统在线运行分析与优化控制。 

H3C云网融合解决方案服务电力云综述 

而如何实现电力企业应用在云中的部署，如何实现各种终端基于安全策略的获取相应的应用服务，成为电力企业IT需要关注的内容。H3C VCF（Virtual Converged Framework）虚拟融合架构解决方案，则成为电力企业私有云构建的新IT解决之道。VCF架构自下向上分为三个层面。 

1）基础架构层 

基础承载层包括端点、网络、计算、存储的基础设施，涉及企业IT基础架构的全部设施，在网络部分不仅包含的传统网络，也增加了新网络技术如OpenFlow、NFV、Overlay；终端实现了从传统PC到智能终端(Apple IOS、安卓、Windows 8)的管理；数据中心部分包含服务器及存储、网络的集成和整体交付。 

2）融合控制层 

融合控制层包括VCFC、VCF-EIC、VCF-CAS，分别实现对网络、终端、云计算的软件定义。 
其中，VCFC是H3C SDN Controller，提供了对传统经典网络、OpenFlow网络、Overlay网络、NFV网络的支持和网络集中控制，更重要的是提供了基于OF的各种SDN APP，实现SDN的价值，如：软件定义的L2、L3、QoS、TE转发APP、Overlay转发APP、服务链APP、SDN APP的大规模集群架构，以及基于VCF Controller SDK的第三方APP。 
VCF-CAS实现了云计算的软件定义，实现VM的创建、迁移、克隆、快照等集中管理功能。 
VCF-EIC实现了终端的软件定义，实现对终端（不仅限于设备，还包括iNode、iOS等软件）的安全认证、健康检查、MDM（Mobile Device Management）、MAM（Mobile Application Management）。 

3）资源管理层 

资源管理层实现面向端点/用户/应用的资源虚拟化，对计算、存储、网络等资源的统一自动化编排，以及资源的按需交付、应需而动。 
基于OpenStack，原有的H3C iMC平台在实现网络业务编排的同时，可以支持计算、存储、数据库、安全、DNS等各类资源申请、管理以及业务编排，并且提供完善的自服务门户，为企业IT基础设施建设提供全套的运维、服务、管理、监控服务。 
基于资源管理层，提供Open API，支持基于iMC VCF SDK的第三方APP，支持第三方软件对接，支持应用联动需求。 

4）VCF架构下的电力企业IT基础架构 

电力企业IT基础架构的发展和演进依次走过标准化、虚拟化、自动化、业务驱动这几个阶段，最终完成向智能电网私有云模式的转变。 

H3C VCF通过软件定义架构，实现了应用在IT系统（服务器、存储、网络、终端系统）的智能化、自动化的协同部署，实现更加高效、便捷的新IT架构。 

方案总结： 

在云计算时代，每天新增的数据量非常巨大，需要处理的数据也成倍增加，这就要求电力IT系统具备更高的处理性能。传统的处理方式主要通过购买更高性能的设备来提升IT系统性能，但是整个IT系统的性能提升并不明显，主要原因在于IT系统内部各组件各自为战，无法有效的协同工作。通过统一的控制器实现IT系统的集中控制和调度，通过融合的管理平台实现面向应用的自动化运维，通过云网融合的IT架构，能够实现IT系统的协同工作，为各种云应用提供高效的IT基础架构平台和技术指导。 
随着产品技术的成熟，以及产品价格的不断下降，数据中心，特别是大型电力数据中心，是时候告别传统架构了，一个融合的时代已经到来。只有一个完全虚拟化、自动化的融合数据中心才能使“云计算”这片云真正腾飞起来。H3C云网融合数据中心解决方案通过创新的全面虚拟化、融合控制和融合管理，为今后电力数据中心建设开辟了一个新的建设方向，也为云计算的落地做好了更加充分的准备。 

一、微型互联网数据中心网络方案

互联网公司发展初期服务器较少，人员也较少，此时的数据中心和办公网相对简单，如下示意图：
1、  服务器数量在50台以内，配置两台数据中心级交换机满足高速交换功能，部署IRF2简化管理、提高可靠性、提高带宽利用率。数据中心出口一般为静态路由接入某大型运营商。
2、  服务器使用H3C UIS R100/R390系列机架式服务器，为提高服务器硬件利用率，服务器可部署H3C CAS CVK虚拟化平台。
3、  办公网一般采用园区网交换机，部署IRF2虚拟化技术提高可靠性，也便于网络管理，并可选部署无线方案实现移动办公和终端接入。
4、  在数据中心出口部署Firewall确保业务安全；数据中心与办公网之间部署Firewall实现业务和办公的隔离；对于复杂多变的各种办公终端，部署EAD方案实现安全准入。
5、  iMC实现网络统一管理，自动配置功能简化管理。
网络设备均采用H3C专利的IRF2（第二代智能弹性架构）技术，与传统的MSTP和VRRP技术相比，IRF2可以实现：从服务器到接入交换机，接入交换机到核心交换机的双Active上行，成倍提升网络运行的效率；将网络的故障收敛时间从十几秒大幅缩减到毫秒级；IRF2的N:1虚拟化功能可以简化50%以上的管理运维工作量。

推荐可选网络产品配置如下：

二、小型互联网数据中心网络方案

互联网公司随着业务的发展，服务器数量增加到200台左右，人员也不断壮大到200人左右，此时的数据中心和办公网规模增加，数据中心出口也需要考虑自建多运营商接入能力，如下示意图：
1、  数据中心核心配置两台数据中心级交换机满足高速交换功能，部署IRF2简化管理、提高可靠性、提高带宽利用率。原微型网络的数据中心核心下移作为接入交换机。数据中心出口新增负载均衡设备做链路负载均衡实现多运营商出口接入能力。
2、  服务器使用H3C UIS R100/R390系列机架式服务器，为提高服务器硬件利用率，服务器可部署H3C CAS CVK虚拟化平台。
3、  办公网仍采用园区网交换机，多台部署IRF2虚拟化技术提高可靠性，也便于网络管理，并可选部署无线方案实现移动办公和终端接入。
4、  针对网络安全，数据中心出口以及数据中心和办公网之间部署Firewall，实现业务和办公的隔离；对于复杂多变的各种办公终端，部署EAD方案实现安全准入。
5、  iMC实现网络统一管理，自动配置功能简化管理。

推荐可选网络产品配置如下：

三、中型互联网数据中心网络方案

互联网公司业务高速发展，服务器数量增加到1000台左右，人员也不断壮大到1000人左右，此时的数据中心和办公网规模增加，需要考虑多数据中心建设和同步方案，如下示意图：
1、  数据中心核心配置两台高性能数据中心级交换机满足高速交换功能，部署IRF2简化管理、提高可靠性、提高带宽利用率。原网络的数据中心网络下移作为接入交换机。路由器拉出专线与异地数据中心/CDN机房互联互通，并在出口开启IPSec VPN/GRE与其他数据中心建立备份数据同步通道提高可靠性。
2、  服务器使用H3C UIS R100/R390系列机架式服务器，为提高服务器硬件利用率，服务器可部署H3C CAS CVK虚拟化平台。
3、  办公网仍采用园区网交换机，同时配置无线控制器和Firewall等安全插卡，同时部署IRF2虚拟化技术提高可靠性，也便于网络管理，部署无线方案实现移动办公和终端接入。对于复杂多变的各种办公终端，部署EAD方案实现安全准入。
4、  iMC实现网络统一管理，自动配置功能简化管理。网络设备部署NETCONF、Autoconfig等提高管理和部署效率。

推荐可选网络产品配置如下：

四、大型和超大型互联网数据中心网络方案

互联网公司业务发展越来越快，服务器数量不断增加，达到5000台甚至以上规模，人员也壮大到2000人以上，此时的数据中心和办公网规模增加，需要考虑数据中心建设的模型化、标准化、自动化来实现网络的快速建设，满足业务的弹性增加，如下示意图：
1、  数据中心核心配置四台高性能数据中心级交换机满足高速交换功能，汇聚与接入形成一个POD，POD内为二层网络，满足虚拟机迁移需求。
2、  服务器使用H3C UIS R100/R390系列机架式服务器，为提高服务器硬件利用率，服务器可部署H3C CAS CVK虚拟化平台。
3、  办公网采用高性能园区网交换机，配置无线控制器和Firewall等安全插卡，同时部署IRF2虚拟化技术提高可靠性，也便于网络管理，部署无线方案实现移动办公和终端接入。对于复杂多变的各种办公终端，部署EAD方案实现安全准入。
4、  iMC实现网络统一管理，自动配置功能简化管理。网络设备部署NETCONF、Autoconfig等提高管理和部署效率。

推荐可选网络产品配置如下：

五、云数据中心网络解决方案

随着移动互联网技术与业务的飞跃式发展，云计算、虚拟化、大数据等技术开始在互联网企业大规模部署，对网络平台提出了新的需求：
Ø  网络必须是一个“大二层”的网络，满足虚拟机灵活迁移的需求
Ø  网络必须满足云计算平台自动化部署、端到端交付的业务需求
Ø  网络必须满足云计算环境下业务资源灵活部署，资源灵活调配的需求
Ø  网络必须满足云计算环境下多租户隔离的需求
……
这些云计算、虚拟化、大数据等技术带来的挑战，不再是简单地由网络进行业务部署，而是转变成了业务驱动网络、网络随业务而变、网络支撑用户业务。SDN（Software Defined Network，软件定义网络）是一种创新性的网络架构，它通过Openflow等标准化技术实现网络设备的控制层面和数据层面的分离，进而实现对网络流量的灵活化、集中化、细粒度的控制，使得网络完全根据用户业务驱动、自上而下、随需进行灵活进行构建，从而满足用户的运维集中管理、部署灵活弹性、资源池化管理、海量租户规格、租户安全隔离、网络安全可靠等诸多需求。
云计算时代的网络架构如下图所示：
1、  VCF控制器集群实现对整个网络的集中管理和控制。北向使用Restful API实现与云管理平台的对接，南向使用Openflow、Netconf、OVS-DB等协议实现对网络设备的集中控制
2、  VXLAN IP Gateway：实现VXLAN Overlay网络与传统网络的互通。
3、  VXLAN Gateway：实现虚拟机，服务器等各种终端接入到VXLAN网络中
4、  服务节点：vFW，vLB等NFV设备组成的安全服务资源池，可通过服务链技术为租户灵活添加安全服务
5、  软件网关资源池：在没有硬件VXLAN IP Gateway的情况下，可使用vSR作为软件VXLAN IP Gateway资源池。
6、  服务器及虚拟化平台：服务器使用H3C UIS R100/R390系列机架式服务器，部署H3C CAS CVK虚拟化平台。
7、   软交换机：软交换机使用H3C S1020V，可作为VXLAN Gateway。在这种情况下，上层Leaf交换机不需要支持VXLAN Gateway功能。

推荐可选网络产品配置如下：

方案相关内容
金融行业分支机构众多，地理分布广泛。普遍存在小型分支接入、合作伙伴远程接入和移动办公等需求。随着网络安全技术的不断发展，VPN已成为成本最低、应用最广泛的接入技术。但是，以下难题却一直困扰着用户：
  分支机构、合作伙伴、移动用户等不同接入需求如何解决
  接入用户的安全如何保证
  众多分支机构如何管理
H3C远程安全接入解决方案能彻底解决上述问题，是业界最佳的VPN方案，方案由安全接入网关和安全管理平台组成。安全接入网关SecPath防火墙融合多种VPN技术和专业防火墙功能，实现分支机构、合作伙伴、移动用户的一体化远程安全接入；并通过安全管理平台实现众多SecPath防火墙的统一部署、监控、管理。

1. 远程安全接入解决方案

分支机构接方式

方案亮点
  总部双VPN网关组网，可以实现负载分担和备份。
  支持OSPF over GRE over IPSec组网，实现动态链路检测和备份切换。
  安全管理平BIMS、VPN Manager和SecCenter，实现远程接入的统一部署、监控和管理。

移动用户接入方式

方案亮点
  无须客户端软件
 使用SSL完成用户身份认证和报文加密，安全性高
 包括本地认证、Radius认证、LDAP认证、AD认证、证书认证、双因素认证等完备的认证方式

2. 总体方案优势
一体化安全接入方式
一台VPN网关同时支持IPSec VPN、SSL VPN、GRE VPN 以及VPE（VPN+PE）技术，一台设备即可解决分支机构、合作伙伴、移动用户的不同接入需求。
在涉及到MPLS网的情况下，通过H3C专有的VPE技术，可将不同用户映射到相应的MPLS VPN，实现分支机构、移动用户和MPLS网的加密互联。
全面的接入安全保障
SecPath防火墙集成状态过滤、攻击防范、NAT、流量监控、动态路由等功能，能有效防范来自外部和内部攻击、过滤VPN隧道中的非法流量，既保护了传输通道的安全，也保证了传输内容的安全；同时，通过对接入用户的认证、授权和审计，防止接入用户越权使用网络，造成信息泄漏；对于移动用户的接入，则通过终端安全漏洞审查，杜绝不符合安全策略的用户接入。
统一安全管理
安全管理平台由BIMS、VPN Manager和SecCenter三个组件组成，实现了远程接入的统一部署、监控和管理。BIMS能对所有分支进行统一系统软件升级、策略集中下发，当分支机构通过拨号或者NAT连接上Internet时，公网IP地址不固定，普通的网管系统不能管理，BIMS能突破普通网管的限制，实现整网设备的统一部署；VPN Manager对VPN隧道实时监控，第一时间了解用户接入状态、流量分布；SecCenter对全网安全事件进行收集和分析，具有强大的审计功能，实时输出安全报告，协助管理员及时掌握远程接入安全状态。
高可靠性
通过双机热备、L3 Monitor、IPSec DPD、动态路由等先进技术对链路状态实时探测，在链路故障或者设备故障的情况下，及时发现故障并快速自动切换，保障业务不间断运行。

3. 典型案例
深圳平安保险全网VPN
深圳平安保险股份有限公司是中国第一家以保险为核心的，融证券、信托、银行、资产管理、企业年金等多元金融业务为一体的紧密、高效、多元的综合金融服务集团。公司市值超过100亿美元，是国际知名大型金融保险机构之一。

平安保险VPN项目的目标是通过VPN技术将平安保险遍布全国3000个营业网点和平安保险总部业务系统互联。项目中采用了两台SecPath F1000作为中心VPN网关，上连至Core Farm。3000台SecPath F100作为分支机构VPN网关，中心VPN网关和分支VPN网关通过IPSec VPN技术通过Internet互联，实现了远程分支机构和总部的业务互通。在管理上部署了CAMS管理软件：由网络管理框架、网络配置中心和VPN设备管理软件系统三个组件构成，用于对网络系统、VPN设备和操作系统提供统一的界面和统一的管理。部署了BIMS分支智能管理系统，对上千个分支机构的SecPath F100进行统一的OS、补丁、配置、策略等集中管理和下发

金融品智新无线

WLAN网络"三分靠建、七分靠管"。建的安全，管的规范才能让WLAN在金融行业充分发挥作用。
金融品智新无线
近年来在金融办公网及"精品网点"等场景，无线Wi-Fi技术无论是作为有线网络的补充或是局部取代有线网络，都有其现实意义。
金融业是安全敏感型行业，任何一套系统的运行开通或技术的实施都必须考虑安全问题，业内专家认为，中国的金融信息化要实现"管理集中、风险防范、绩效评估、客户至上、接轨国际和面向未来"这些要求，而由于WLAN其本身的实现机制，需要通过电磁波为传播介质，具有空口开放、容易受到监听等天然缺陷。另外，传统的胖AP逐点部署与管理也给网络管理员带来了较大的安全威胁与管理难度。相对于其他行业，WLAN未能在金融行业大量应用正是由于其对安全性与可靠性的要求远高于其他行业，因此必须采用切实有效的手段，建立企业级的安全策略和运维管理机制，既保留WLAN网络灵活、移动的特色，又能保障WLAN网络的安全和高效。本文主要从安全、可靠、灵活、运维管理等角度，阐述在金融行业中应用WLAN网络需要注意的一些问题。
一、七层立体安全防护
管理平台、统一监管
3-7<层安全防护
ARP攻击、MAC/IP欺骗、应用层攻击方案、用户流量行为审计
终端准入、权限可控
无线接入安全
7X24频谱监控，无线安全加密（WPA2/WAPI），非法AP检测，WIPS
建立空口加密，保障链路层安全

由于WLAN的开放式访问方式，非法用户可以未经授权而擅自使用网络资源，不仅会占用宝贵的无线信道资源，增加带宽费用，降低内部用户的服务质量，更重要的是会成为金融的安全泄密点，因此利用WLAN进行通信必须具有较高的通信保密能力，目前有多种技术及手段可保证WLAN的安全管理，首先就是建立无线的空口加密机制。主要的方法为对数据报文进行加密，保证只有特定的设备可以对接收到的报文成功解密，其他的设备虽然可以接收到数据报文，但是由于没有对应的密钥，无法对数据报文解密，从而实现WLAN数据的安全性保护。
现阶段常用的WLAN空口加密标准有WEP（Wired Equivalent Privacy，有线等效保密）、WPA（Wi-Fi Protected Access，Wi-Fi网络安全存取）、IEEE 802.11i（WPA2）、WAPI（Wireless LAN Authentication and Privacy Infrastructure，无线局域网鉴别和保密基础结构，中国WLAN安全强制标准）等。鉴于金融业所需的高安全性，建议使用更健壮的WPA、802.11i或WAPI等安全体系，保障WLAN网络的链路层安全。只要用户在首次选用WALN网络时，在AP接入模式上选择对应的加密算法即可，后续应用中对用户是透明的，与其他商业环境使用开放、共享的无线网络感受一样，既方便又能保障空口安全。

开通企业接入策略，保障网络层安全
空口加密只是WLAN安全管理的第一步，只是保证了接入无线网络的空口安全，由于金融客户采用WLAN主要进行办公及开展Wi-Fi Portal推送等业务，必须要和生产网隔离开来，因此有必要对WLAN实施企业级的接入控制策略，对每个接入的终端进行认证鉴权，控制其可达网络的范围。
对终端用户实施接入控制策略包含三方面的手段：

热点用户隔离
通过限制相同SSID下的接入用户的互访，可以保证终端用户无法在AP接入点上做互访，而不同SSID下的用户所对应的是不同的VLAN，因此所有的数据流量必须上行到AC，由AC控制器统一进行转发、交换和策略控制，从而防止信息进行本地交换而造成网络性能下降或病毒的泛滥等安全事件。

用户接入认证
通过用户接入认证实现对接入用户的身份认证，为网络服务提供安全保护。常用的无线接入认证主要有802.1X接入认证、MAC接入认证以及有线网络常用的Portal认证和PPPoE认证等。

动态控制用户权限
接入认证只解决了用户的身份验证问题，而无法对不同身份的用户提供不同等级的服务和访问权限，通过和Radius策略服务器配合，将带宽、VLAN、ACL、优先级等参数动态下发给终端用户，对于不同的用户群和业务可以控制其访问网络的权限，限制网络资源的使用，通过VLAN和优先级来标识用户和业务，并做到业务隔离。
对于内部办公的用户，必要时可部署终端准入控制（EAD）解决方案，通过增强的Radius策略服务器与无线客户端、WLAN设备和第三方软件配合，对接入WLAN网络的用户终端强制实施企业安全策略，比如是否正确安装杀毒软件、版本是否正确，操作系统是否安装了最新的补丁，是否安装了一些违规软件等，严格控制终端用户的网络使用行为，加强WLAN网络的主动防御能力。
另外，再配合Rogue AP检测功能，AC无线控制器可以识别并屏蔽所有非法接入的AP设备，从而确保了无线网络私搭乱建的威胁。通过以上方案，WLAN网络可以保证一个合法的用户被限定到一个唯一的网络访问路径中，并在这个网络中只能访问到限定的网络资源，同时又不会受到外界的侵犯，保证了WLAN网络在金融行业应用的端到端安全。但是金融机构是一个分布广、人员多的大型企业，WLAN规模部署不同于单点建设，安全策略如何便捷、快速、统一的部署变得更为重要，否则即使再安全的方案，也难免存在漏洞。
因此，近两年不仅仅是WLAN网络，甚至是整个IT的运维管理机制已和安全问题受到同等的关注。WLAN网络"三分靠建、七分靠管"，要充分发挥WLAN的作用，使WLAN能够提供高效、可靠的业务，功能强大的网络管理应成为WLAN的重要组成部分，无线网络直接面对最终用户，对管理系统稳定性、实时性、有效性要求都较高。

二、可靠网络、保障业务永续运营

金融业务对于可靠性的要求远大于其他行业，任何一次网络中断都可能造成巨大损失。从而要求了金融业务的永续性。而无线网络部署模式从FAT模式到FIT模式的转变，固然带来了管理运维简化，三层漫游等便利，也使得AP高度集中，由无线控制器统一管理，一旦发生故障将导致大部分无线网络瘫痪，虽然可以开启AP本地转发功能，但此时无线网络仅承担转发功能，其他功能的缺失将造成网络安全隐患。
为了解决此弊端，H3C无线控制器可实现 DHCP,PORTAL热备，当无线控制发生故障时，备份无线控制器将第一时间感知到，并同步复制AP信息，用户信息，当备份控制器将直接接管无线网络后，由于主备倒换时间非常短，用户侧无感知，也不需要重新认证，即可继续使用无线网络，以保障业务永续运行。

三、灵活接入，智能办公
智能终端的大量普及，使其与我们生活已然密不可分，金融行业也不例外；在网点我们会见到各种各样的体验机，大堂经理们会拿着IPAD进行产品演示；无线的便捷，快速，灵活已经成为我们生活办公的一部分，但种类繁多的终端势必会使得网络更加混乱，而终端本身的不成熟，不可靠将造成整网的安全隐患。
为了既满足无线的灵活快捷，又符合金融行业对于安全的高要求，H3C推出了BYOD解决方案：

终端识别技术
为了针对不同种类的终端实现资产管理，安全策略下发，必备条件便是对终端进行识别，以区分设备厂商、产品型号、操作系统等信息；H3C可以通过对终端设备的MAC，HTTP、DHCP等信息进行精确解析，从而进行区分。

终端合规检查
在智能终端上安装H3C客户端以后，可针对终端进行防病毒软件、防间谍软件管理；Android智能终端安全隐患较多，可对智能终端进行安全策略检查，不符合安全要求的智能终端拒绝其接入企业网络：可进行APP（白名单/黑名单）管理，通信功能管理（蓝牙、GPS、Wi-Fi等）

灵活授权

H3C可根据接入用户身份、所用终端类别、用户所连SSID、用户所在区域、用户继入时间等元素进行灵活组合以制定安全策略。

四、规范无线业务管理，简单有效
WLAN网络实际上包含数据交换、转发和Wi-Fi射频两部分，既具有有线网络的共性，又具有无线的特性，因此运维管理系统需要能够覆盖有线和无线，实现一体化管理。通过统一的规划、监控、控制AC、PoE交换机、AP、终端STA等网络资源的使用和各种网络活动，能够优化网络性能，降低维护成本，提高无线的服务质量。

有线无线一体化管理
当前主流的WLAN组网一般为AC + PoE 交换机 + Fit AP方案，对管理员来说，除了需要了解无线设备，还需要了解给AP供电的PoE交换机，这就要求在一张拓扑视图内能够画出从AP到交换机甚至是路由器到托管的AC的物理路径，一旦网络出现状况，管理员能够迅速定位究竟是无线设备还是有线设备出现问题。


如果AP是使用PoE供电的方式，管理员可以在一体化的拓扑内对AP上联的设备进行查询并判断，通过对PoE端口的操作实现对AP的断电、上电；对AP按计划周期性启动和断电，比如在凌晨时段自动关闭设备或射频口，这样既节能减排、降低辐射同时充分提高了管理员的运维效率。
另外，通过无线射频覆盖和物理位置拓扑的集合，可以展现一个房间或楼层目前的无线信号覆盖情况，帮助用户定位信号过弱，上网速度慢或无法上网问题，通过调整AP的部署位置以及发射功率、信道等参数配置，实现最优、最经济的无线的信号覆盖。如图右侧显示了障碍物的详细情况，便于精准掌握的射频信号的衰减,右侧图显示了按信号强度查看射频的真实覆盖效果。
无线RF热图覆盖

告警管理
除了设备宕机、超过性能阈值等常见告警外，为了更进一步的定位WLAN网络问题，管理系统应该充分考虑到WLAN设备相关的特性例如提供Radio信道变更、终端STA关联失败、非法设备、Ad-hoc设备等WLAN特有业务告警，真正实现WLAN网络的无线管理。
当管理系统收到告警后会根据告警级别改变拓扑节点颜色（也可根据用户需求定制），还可将告警以email、短信、SNMP Trap等方式转发给管理员，方便管理员在第一时间了解WLAN网络的故障。
性能管理
WLAN技术从802.11b一路走到802.11n，带宽得到了质的飞跃。WLAN逐渐从备份线路转变为承载线路，其资源利用情况逐渐成为用户关注点。以H3C WLAN管理系统为例，管理员可以通过WSM无线管理平台实时了解无线网络中的终端STA在线趋势、宽带趋势、终端STA最多的热点TopN、终端STA最多的SSID TopN等指标并给出形象的图标，从而使管理员能够及时掌握网络的性能负载。
无线网络状况TopN视图

无线入侵防御管理
802.11网络很容易受到大量网络威胁的影响，如未经授权的AP用户、Ad-hoc网络、拒绝服务型攻击等。Rouge非法设备对于金融WLAN网络安全来说是一个很严重的威胁。通过无线入侵防御（WIDS）管理用于对有恶意的用户攻击和入侵无线网络进行早期检测，可以保护WLAN网络和用户不被无线网络上未经授权的设备访问，对于检测出的Rogue AP和Rogue移动用户进行管理，调动WLAN设备对其发起攻击要求其下线，并列入黑名单。

五、 结束语

随着越来越多的便携式笔记本和手持终端都开始支持Wi-Fi接入，进一步推动了WLAN的广泛使用。在金融办公网络部署WLAN可使办公用户便捷地接入网络；在分支网点部署WLAN，可向手持终端等设备推送特色金融服务等广告页面，以满足不同客户的个性化需求，提高金融的品质服务质量。目前，在工、农、中、建、民生、人寿、人保等金融机构的网点、分支机构、办公大楼、开发测试中心等均已经成功开展了WLAN应用。金融行业即将迎来新一轮无线建设浪潮，但不论在何种应用场景，加强WLAN的安全和运维，同时提供多样化的个性服务，将成为金融行业无线网络建设的重点。

问题和挑战

GIS、客服支持系统、办公自动化(OA)、MIS 系统、电力市场和营销系统、电力调配系统(EMS)、配电管理系统(DMS)和呼叫中心(Call Center)等电力行业信息应用系统的使用。使得电力企业科学决策能力和管理效率都大大提高，让电力行业可以为用户提供更快速和优质服务。

随着传统的电力系统业务的变化，电力交易系统、电能量计量系统的建设；会议电视、变电站视频监控(无人值守)、输变电线路监控及电厂视频监控等视频业务的出现；监视全网运行状况，提供故障记录和分析的故障录波系统的建设：雷电定位系统、气象信息系统的建设；多媒体业务的出现等。因此，基于 Internet/Intranet 的体现信息化综合业务应用的管理信息系统将成为电力行业信息化的发展重点。

电力行业数据网络建设现状和关系：

建设目标

在业务上，这张网应该是可以满足多种媒体需求的网；其次，在管理上，要能够高效地为业务提供服务和保障 此外，还应该根据具体的应用特性，合理地调配网络资源的使用，将应用和网络基础资源紧密地结合在一起。

• 对关键业务应用能够具有可视能力，区分所有应用类型。
• 具备对关键应用的运行性能进行保障的能力，并对未被批准的应用进行抑制，而不需使用行政手段。
• 能为今后业务发展提供依据。
• 能够为电力的安全问题提供依据。

解决方案

PGM设备在电力行业网络中能实现如下功能：

• 强大的防火墙功能。
• 应用的自动识别和智能分类。
• 专业的流量管理策略。
• 灵活而全面的用户管理。
• 细致的上网行为管理。
• 完整的统计及报表功能。

PGM技术在电力行业网络中的应用如下图所示：

信息/调度两张广域网：运行IGP/BGP，MPLS VPN IDC体系架构

问题和挑战

随着网络技术的发展，网络扁平化设计日益成为发展趋势，传统高校网络的核心层+ 汇聚层+ 接入层的设计已成为过去，新一代高校网络的设计更多地采用核心层+ 接入层的模式。在万兆技术成熟的今天，万兆核心已经成为部署便捷、高速率、高性价比的下一代高校网络的基础；基于万兆芯片技术的核心路由平台成为下一代高校网络核心应用的典型特征。

硬件方面，下一代高校网络核心必须是健壮的，安全的，高可靠性的，可运营管理的。

建设目标

下一代高校网络需满足如下需求：

• 高带宽高容量：高校内节点众多，数据交换量大。
• 网络稳定可靠：随着在线教育的日益普及，更需要网络的稳定与可靠。
• 日后升级的需求：高校网络建设少则几百万多则上千万，因此需保证日后网络升级能方便和平滑的进行。

解决方案

下一代高校网的扁平化网络结构图：

PGM公司专门为高校等典型以太网环境量身定制的下一代以太网业务核心路由器MX 系列，能够提供运营商级以太网路由功能, 同时具有高密度的千兆/ 万兆接口；其中的旗舰产品MX960 ，在960Gbps 交换矩阵的支持下，提供全线速480*GE/48*10GE 端口，能够满足高校在今后3-5 年内核心网络容量的需求。PGM路由器在硬件层面先进的设计，使得路由器的包转发引擎PFE 和路由引擎RE 逻辑分离，路由的波动不影响PFE 的稳定性，而PFE 的负荷，不影响RE 的路由计算。从而确保路由器始终保持高稳定和高可靠性。

PGM路由器的性能：

• 路由与包转发功能分离
• PFE 和RE 逻辑分离
• 专ASICs 技术
• 硬件的高可靠性：提供路由引擎、转发引擎、电源、风扇等关键组件的全冗余，从而保证路由器的高可靠性
• 软件的高可靠性：操作系统完全是模块化架构，极强的故障隔离、恢复能力并最大限度提升了其提供新功能的速度
• NSR 技术：No-Stop Routing(NSR) 作为最为核心的功能为用户提供更好的网络可靠性。整个升级切换过程完成后，在控制层面中断的实际10 秒左右，使得网络运维人员不在担心这些过程导致网络故障的发生
• FRR 技术：借助MPLS 流量工程（Traffic Engineering）的能力，为LSP 提供快速保护倒换能力。保证业务数据的平滑过渡；同时将数据切换到新路径上，在新的LSP 建立成功之前，业务数据会一直通过保护路径转发。从而实现了实现在50ms 内链路切换到另一路径，减少了网络运维人员的工作量。
• 丰富的组播技术：完全是采用硬件转发IPv4/IPv6 单播和组播业务。

问题和挑战

问题和挑战

问题和挑战

数据大集中导致业务形态改变也对网络提出了新的挑战，具体包括集中存放的大数据的安全性和可靠性对网络设计带来的挑战；省级分支机构和市级分支机构通过广域网链路上传数据到数据中心时，有限的网络带宽资源和众多业务系统对带宽的需求之间的矛盾等等。广域网系统的健壮,安全和服务保障能力变得越来越重要, 本文档专注于介绍广域网的服务质量保障手段。

建设目标

在金融行业网络服务质量保障领域，普天网络能够提供全面成熟的解决方案。普天网络的服务质量保障解决方案具有基于工业标准 的良好互操作性，易于部署和实施。通过独特的系统架构为用户提供无与伦比的性能和功能集，使企业能够充分利用网络平台来支撑各种业务开展。

解决方案

金融行业广域网一般模型

金融行业的广域网一般是指租用运营商传输资源建设的，用于连接地理上分散的企业 总部，总部数据中心和各级分支机构的专有网络，其链路类型一般为点到点链路，常见的链路形态包括ATM PVC,，E1，MSTP等。以银行为例，其广域网一般由营业网点，一 级分行和总行三级节点组成。营业网点一般采用E1线路或双MSTP线路双归上联至一 级分行，一级分行一般采用双ATM PVC链路双归上联至总行核心路由器, 为了提高链路使用效率, 两条上行链路之间一般采用基于业务的负载分担方式, 即办公业务选择一条上行链路, 生产业务则选用另一条上行链路, 通过路由设计使不同业务选用另一条上行链路作为备选的次优链路。

普天网络广域网QoS解决方案

下图为金融行业广域网QoS解决方案具体部署样例, 以某银行广域网为例：

如图可看出典型的金融行业广域网络经过扁平化改造以后，结构上只有三个层次：营业网点，一级分行和总行。

部署QoS策略时业务分类在网络边缘节点完成，即营业网点的接入交换机EX4200VC会根据连接各业务系统的交换机端口号 或根据业务报文头部的特征信息(MF Classifier)对业务流量进行分类，由于网络带宽富裕，入接口不做限速。在EX4200VC上 联广域网路由器的出接口部署保护性的队列调度策略，比如 IP电话业务分配到VOIP队列，优先级为strict-high(LLQ), 但限速 至200Kbps以免把别的队列饿死，200Kbps带宽按照G.729a的语 音编码方式约可保障5路IP电话业务。其余生产或办公业务按 照业务特性可再聚合划分到金，银，铜三个保障级别，分配 到三个不同的硬件队列，网络设备之间的信令如ospf,bgp等单 独占用一个硬件队列如"network-control"来保障。剩下其它未分 类的流量都分配给"best-effort"队列。上述队列按照25% : 20% : 30% : %5 : 20% 的比例按照DWRR调度机制来分配接口服务完 strict-high队列后剩余的带宽。最后EX4200VC按照事先约好的 标 记 策 略 比 如 DSCP code-points为 所 有 从 出 接 口 转 发 出 给 SRX240上联路由器的业务报文打上相应的标记。

EX4200VC的下一跳设备SRX240在入接口处按照事先约定的标记策略如DSCP code-points通过BA Classifier对进入设备的流 量进行分类并分配队列，在出接口处按照与EX4200VC类似 的队列调度策略对出接口带宽进行动态分配，同时按照相同 的标记策略把从出接口转发往一级分行M10i下联路由器的业务报文进行重标记。

营 业 网 点 SRX240路 由 器 的 下 一 跳 设 备 M10i路 由 器 在 连 接 SRX240的线路/接口上按照事先约定的标记策略如 DSCP code- points等通过BA Classifier对进入设备的流量进行分类并分配队列，在出接口处按照与EX4200VC/SRX240类似的队列调度策 略对出接口带宽进行动态分配，同时按照相同的标记策略把从出接口发往分行内部核心交换机的业务报文进行重标记。

M10i的下一跳设备EX8208交换机在连接M10i的接口上按照事 先约定的标记策略如DSCP code-points等通过BA Classifier对进入设备的流量进行分类并分配队列，而在连接本地业务系统的接口上则根据连接各业务系统的交换机端口号或根据业务 报文头部的特征信息(MF Classifier)对业务流量进行分类，在出接口处按照与EX4200VC/SRX240/M10i类似的队列调度策略对出接口带宽进行动态分配，同时按照相同的标记策略把从出接口发往上联路由器M10i的业务报文进行重标记。

EX8208交换机的下一跳设备M10i上联路由器在连接EX8208的接口上按照事先约定的标记策略如DSCP code-points等通过BA Classifier对进入设备的流量进行分类并分配队列，在出接口处按照与EX4200VC/SRX240/M10i/EX8208类似的队列调度策略对出接口带宽进行动 态分配，同时按照相同的标记策略把从出接口发往总行路由器MX960的业务报文进行重标记。

报文到达MX960后就到达总行数据中心的业务系统了，由于数据中心内部一般不会有带宽瓶颈，所以这段网络可不部署队列调度策略。也跟根据需要部署保护性的调度策略，以防数据中心网络被异常流量冲击时能区分并保障关键业务。

上述只是业务流量上行方向的QoS策略部署，下行反方向也应部署一致的QoS策略，本文不再赘述。

问题和挑战

随着自动计算和交易对金融服务盈利能 力的重要性日益增加，金融服务行业对 高速计算和各种来源的市场数据的依赖 程度也在不断上升。从宏观角度看，每 一 微秒甚至纳秒的延迟都关乎业务盈亏。普天网络的交易型数据中心解决方案利用一个极快、简化的网络基础架构，帮助金融服务行业的企业线 速传输数据，并提供最高水平的安 全性和保证。

建设目标

在高性能交易、市场数据和算法交易应用方面，普天网络能够提供一流的解决方案。普天网络的交易型数据中心网络解决方案以极 具吸引力的价格，提供无与伦比的性能和功能，使企业能够充分利用最低延迟、最高永续性交易网络的优势。

解决方案

普天网络交易生产型数据中心网络解决方案包括QFX3500、EX8216、MX系列和SRX5000产品线，堪称市场上扩展能力最强的10GbE线速数据中心解决方案。

10GbE线速交换技术 先进的安全功能 不会降低交易计算能力 完全的高可用性 面临的挑战依靠高性能、高传输率的计算来获得业务成功的企业，需要建立一个复杂的网络，并 利用多种技术来支持其计算基础架构所需的性能。当前的解决方案已不能提供计算基 础架构技术发展所需的简洁性和功能。要想为交易、市场数据和算法交易应用提供网 络级的支持，会涉及很多难以满足的技术需求。一般来说，计算基础架构解决方案包 括了应用、平台驱动直至物理网络设备在内的一系列元素。计算解决方案在设备集群 间要求具备可预测的性能。当前的多层网络基础架构解决方案，并不能提供成功实施 交易平台、算法交易应用和市场数据分发系统所需的可预测性和低延迟。一种新的方 法也由此应运而生。

在交易计算领域中，延迟显然是一个重要的考虑事项，因为从源更快地将市场数据传 输给交易方或系统，将有助于更有效、及时地制定决策。而且，决策通过网络到达目 的交换地的速度也将影响到该请求的相对优势。但是，延迟并不是唯一需要考虑的因 素。不同交易往返时间的差异也是一个重要因素。抖动会影响平台或交易系统的总体 价值，因为，利用一个低抖动的基础架构可以实现一个可预测和公平的交易系统，向 所有客户提供相同的高性能体验。

由于性能特征对计算系统的使用至关重要，并且网络性能还与财务业绩密切相关，因 此，毫无疑问，企业首先、也最看重解决方案的性能，但与此同时，他们还需要一个 可扩展（以适应未来发展）、易管理（现有IT员工就可以管理）、安全（避免对业务 产生任何不必要的中断）的解决方案。

总之，如今的交易型数据中心需要一个高速、安全、易管理和强大的网络基础架构。

普天网络交易型数据中心网络解决方案

普天网络交易型数据中心解决方案能够为企业提供业内领先的高性能网络数据中心基 础架构，可为服务器、网络附加存储(NAS)和存储区域网络(SAN)提供10GbE连接，并 提供10GbE以上的状态防火墙业务网关和先进的边缘连接设备。

这一解决方案提供如今市场上功能最强大的10GbE服务器连接，适合于那些希望优化 交易和市场数据系统集群之间以太网连接的企业。通过在网络核心使用模块化的普天 网络Junos操作系统，能够简化操作，并显著提高网络运行的灵活性和可靠性。

该交易型数据中心网络基础架构基于Junos Os。这就显著降低了维护数据中心网络基础架构的总体运营支出，并为新兴的业务应用 提供支持。

通过实施普天网络交易型数据中心解决方案，企业能够支持最新的交易应用基础架构。该解决方案通过在普天网络EX8200以太网 交换机产品线上使用Junos OS L3功能套件，可支持多种多播应用。该解决方案使用普天网络MX系列3D通用边缘路由器，可在多 个位置间支持虚拟专用局域网服务(VPLS)，透明地连接应用节点，并满足无缝的高可用性需求。此外，通过使用集群交换技术， 该解决方案还支持无生成树的拓扑结构，以提供高可用性支持。

该交易型数据中心有两种规模：小型化的用于规模和功耗至关重要的共置(Co-location)部署；以及高密度10GbE部署，其中两个网络层将支持数量最多的10GbE服务器，以满足更大规模的计算需求。

该网络布局提供一个倒“U”型上行链 路连接机制，通过主用/备用服务器网络 接口卡(NIC)连接来充分利用上行链路， 并支持完全的上行链路冗余性。我们建 议在每个服务器机架顶部安装2台普天网 络QFX3500以太网交换机，以便通过冗 余接口将40台10GbE服务器连接到2台架 顶交换机。利用一个8成员的链路汇聚组 (LAG)中的8个上行链路（其中的4个成 员 各 连 接 一 台 EX8200），每 台 架 顶 交 换 机 最 多 可 连 接 2台 EX8200交 换 机 。 EX8200交换机中的下行链路数量不应超 过可用端口数量的八分之七，以便始终 有 八 分 之 一 的 端 口 可 用 于 集 群 交 换 连 接。通过将所有架顶的上行链路都配置 为 主 用 状 态 ， 我 们 可 以 利 用 用 16个10GbE上行链路将40台服务器连接到核心网络，从而通过完全非阻塞硬件有效实现1:2.5的超额开通率。如果使用一对普天网络 EX8216以太网交换机，下行链路的总数量将达到224个，从而使14个服务器机架能够分别连接各自的40台服务器。（在保留八分 之一端口的情况下）在一个交付点(POD)总计最多支持1120台服务器。MX系列3D通用边缘服务器可实现POD和其它位置的互连， 甚至无缝地作为数据中心的核心，这样从运维角度看就能使所有位置都极为相似，并根据需要保持L2或L3的连接。当然，此时 POD之间的带宽特性将发生变化。

特性与收益

• 每 个 POD支 持 1000多 台 10GbE服 务 器，能够实现模块化的可扩展性和最优控 制，并支持15个服务器机架
• （每个机箱）高达120Gbps的防火墙性 能，从而在POD实现最大的吞吐容量
• 最高30Gbps的IPS性能，提供特定应用 环境识别和安全处理服务
• 在整个网络基于Junos Os实现全面的 自动化和监控
• 1:2.5的上行链路超额开通率（非阻塞接入和核心）
• 每个POD支持128000个多播路由
• 深度缓存，以便可靠地恢复下行链路的饱和状态
• Ipv6支持
• 先进的路由和虚拟化支持，最多提供8000个VPLS实例
• QoS和ACL线速性能
• 最多100万个MAC地址
• 任意端口间的延迟低于12us（微秒）

问题和挑战

解决方案

梳理/重构安全区域>

如左图所示，先定义最基本的分区架构：Internet区域与业务及OA区域物理隔离，业务与OA业务之间通过防火墙隔离。然后 进一步界定业务区域的分区：根据安全级别，将外联区、WEB服务区、测试区、骨干网接入区、网管区等区域划分出来；再根据 职能详细划分某些关键区域的安全，例如将DNS等基础业务剥离独立城区，将开放业务区根据类别分成多个区域，将需要引入虚拟 化的主机业务单独分区等等。

虚拟化安全

普天通过vGW虚拟网关这来解决数据中心的虚拟化安全问题，vGW能够监控和保护虚拟环境的安全，同时确保最高水平的虚拟 机主机容量。管理人员利用基于Web的管理控制台来定义和集中管理传统的防火墙规则，其中包括允许和拒绝的源、目的地、协议 以及采取的行动等。规则可以适用于所有虚拟机、一组具有相似的连接性和安全需求的虚拟机，或者单个虚拟 机。采用这些规则的策略还可以在全局、群组和单个虚拟机级别上执行。这种三层的规则和策略结构在简化管理的同时，还能让网 络管理员对虚拟网络的流量进行细粒度的控制。

得益于普天的P+V架构，可以 保障虚拟防火墙与物理防火墙之间的 信息同步。当vGW虚拟网关部署到物 理主机上时，vGW会直接调取普天 SRX防火墙的配置，了解自己所管辖 虚拟主机与其他虚拟主机之间的访问 关系，并相应调整vGW的配置；同样的，当vGW生成了新的虚拟机配置时，vGW也会将新虚拟机的命名、主机地址、访问关系等同步到普天SRX防火墙。

 

远程维护、远程办公的安全接入

普天通过 MAG系列网关为授权用户提供安全的远程和移动SSL VPN连接。普天 MAG支持为不同接入需求的用户提供不同的接入页面，用户在登录前可了解安全提示、系统维护时间等等信息。用户在登 录时，MAG网关可以基于多种因素进行授权，如用户的登陆地址、安全状况、登录时间等，甚至可以根据终端的文件系统与注册 表等信息来判断是否用户是使用自己的笔记本还是用的公用终端。在授权时，可支持细粒度的访问控制机制，实现应用层的访问控制，例如判断出用户是在网吧使用公用终端，MAG会临时限制用户可以访问的URL、文件、读写权限等。

对于机场、网吧、公共平台这类特殊站点MAG还可以建立基 于用户的虚拟安全工作站，保证内部 文件和数据的安全。在完成登录后， MAG会持续检测终端的安全状态，如 果终端的安全状况发生了变化，将强 制重新对用户进行评估和授权。

问题和挑战

问题和挑战

问题和挑战

问题和挑战

问题和挑战

问题和挑战