銀行分行網(wǎng)點(diǎn)高柜企業(yè)網(wǎng)接入方案

1、2編號(hào)密級(jí)項(xiàng)目技術(shù)類文檔銀行*省分行網(wǎng)點(diǎn)高柜企業(yè)網(wǎng)接入方案中國(guó)建設(shè)銀行安徽省分行網(wǎng)點(diǎn)高柜企業(yè)網(wǎng)接入方案文檔修訂記錄序號(hào)修訂內(nèi)容簡(jiǎn)述修訂日期目前版本號(hào)作者審閱1初稿 索引一、前言11.方案目的12.方案范圍13.目標(biāo)讀者14.參考文檔1二、背景21.網(wǎng)點(diǎn)現(xiàn)狀與項(xiàng)目需求分析22.項(xiàng)目目標(biāo)4三、架構(gòu)設(shè)計(jì)51.總體拓?fù)浣Y(jié)構(gòu)52.設(shè)計(jì)說(shuō)明5四、詳細(xì)設(shè)計(jì)和實(shí)施方案61.網(wǎng)絡(luò)部分62.服務(wù)器部分62.1硬件要求62.2軟件要求62.3配置方法73.win終端部分193.1 硬件要求193.1.1 實(shí)達(dá)終端硬件要求203.2 系統(tǒng)要求203.2.1 實(shí)達(dá)終端系統(tǒng)要求203.2.2 國(guó)光終端系統(tǒng)要求213.3

2、配置接入啞終端方法213.3.1 實(shí)達(dá)終端213.3.2 國(guó)光終端223.4 配置接入企業(yè)網(wǎng)方法273.4.1 實(shí)達(dá)終端273.4.2 國(guó)光終端273.5 切換使用步驟303.5.1 實(shí)達(dá)終端303.5.2 國(guó)光終端30五、安全策略設(shè)計(jì)30ii中國(guó)建設(shè)銀行安徽省分行 網(wǎng)點(diǎn)高柜企業(yè)網(wǎng)接入方案一、前言1.方案目的為解決我行營(yíng)業(yè)網(wǎng)點(diǎn)高柜內(nèi)員工訪問(wèn)企業(yè)網(wǎng)，方便快捷的獲取辦公網(wǎng)內(nèi)信息，同時(shí)實(shí)現(xiàn)柜員都能獨(dú)立訪問(wèn)員工滿意度測(cè)評(píng)等涉及每個(gè)員工的信息系統(tǒng)，保護(hù)個(gè)人隱私，特制定本方案。本方案用于該項(xiàng)目的詳細(xì)規(guī)劃和設(shè)計(jì)，并且用作工程實(shí)施的指導(dǎo)性文件之一。2.方案范圍本方案作為我行營(yíng)業(yè)網(wǎng)點(diǎn)高柜接入企業(yè)網(wǎng)的實(shí)施指導(dǎo)，主

3、要包括以下內(nèi)容：背景架構(gòu)設(shè)計(jì)詳細(xì)設(shè)計(jì)和實(shí)施方案安全策略設(shè)計(jì)3.目標(biāo)讀者本文檔主要面向負(fù)責(zé)分行網(wǎng)點(diǎn)前臺(tái)網(wǎng)絡(luò)和設(shè)備接入設(shè)計(jì)和實(shí)施的管理人員及技術(shù)支持成員。4.參考文檔qccb-0506-01-2005*銀行桌面辦公系統(tǒng)配置安全技術(shù)要求（2005版）qccbt-0503-01-2009*銀行操作系統(tǒng)安全配置指南（v1.0）qccb-0102-07-2010中國(guó)建行銀行前端（網(wǎng)點(diǎn)）信息服務(wù)類外設(shè)技術(shù)規(guī)范（試行）qccb-0102-04-2010*銀行接入網(wǎng)建設(shè)總體技術(shù)規(guī)范（試行）qccbt-0102-03-2007*銀行基礎(chǔ)設(shè)施技術(shù)標(biāo)準(zhǔn)策略規(guī)范qccb-0506-02-2005*銀行個(gè)人信息與桌面安全

4、pds系統(tǒng)運(yùn)行管理規(guī)范（試行）qccb-0102-08-2010*銀行前端（網(wǎng)點(diǎn)）終端設(shè)備及應(yīng)用技術(shù)規(guī)范（試行）二、背景1. 網(wǎng)點(diǎn)現(xiàn)狀與項(xiàng)目需求分析網(wǎng)絡(luò)結(jié)構(gòu)：目前我行網(wǎng)點(diǎn)接入網(wǎng)廣域網(wǎng)多采用單設(shè)備雙線路模式圖表 1 雙線路單設(shè)備廣域網(wǎng)上級(jí)節(jié)點(diǎn)配備兩臺(tái)路由器，下級(jí)節(jié)點(diǎn)只配備一臺(tái)路由器。兩臺(tái)上級(jí)節(jié)點(diǎn)的路由器分別通過(guò)兩條廣域網(wǎng)線路與下級(jí)節(jié)點(diǎn)的一臺(tái)路由器進(jìn)行互聯(lián)。在同層網(wǎng)絡(luò)結(jié)構(gòu)、采用同檔次設(shè)備的前提下，采用本模式可以具有結(jié)構(gòu)簡(jiǎn)單、運(yùn)維工作量少、投資規(guī)模小的特點(diǎn)。網(wǎng)點(diǎn)局域網(wǎng)多采用單交換機(jī)單接口模式：圖表 2 單交換機(jī)單接口模式單交換機(jī)單接口模式下，路由器只有一個(gè)以太口與交換機(jī)互聯(lián)。單交換機(jī)單接口模式下的交

5、換機(jī)可以采用三層或二層接入模式。采用二層接入方式時(shí)，路由器的以太端口通過(guò)trunk的方式連接到交換機(jī)上，將各vlan的網(wǎng)關(guān)配置在路由器不同的子端口上。 網(wǎng)點(diǎn)設(shè)備連接：如下圖 圖表3 網(wǎng)點(diǎn)終端設(shè)備連接 網(wǎng)點(diǎn)高柜內(nèi)的字符終端、win終端都通過(guò)串口連接至網(wǎng)點(diǎn)路由器上內(nèi)置的異步口。其它生產(chǎn)客戶端、自助設(shè)備接入網(wǎng)點(diǎn)可網(wǎng)管交換機(jī)的生產(chǎn)網(wǎng)vlan，辦公客戶端和pbcs客戶端接入可網(wǎng)管交換機(jī)的辦公網(wǎng)vlan。2.項(xiàng)目目標(biāo)根據(jù)省分行關(guān)于印發(fā)的通知（建皖函2011607號(hào)）要求，為努力改善前臺(tái)員工企業(yè)網(wǎng)使用環(huán)境，保證前臺(tái)高低柜員工都能及時(shí)了解行內(nèi)最新動(dòng)態(tài)，反饋員工之聲，提高員工的企業(yè)歸屬感，我們參照每個(gè)行所屬實(shí)際

6、網(wǎng)點(diǎn)數(shù)為每一個(gè)網(wǎng)點(diǎn)配備了企業(yè)網(wǎng)專用pc，并逐步更新淘汰原有字符終端，按照總行產(chǎn)品標(biāo)準(zhǔn)目錄升級(jí)為win終端，同時(shí)滿足網(wǎng)點(diǎn)前臺(tái)員工隨時(shí)訪問(wèn)企業(yè)信息網(wǎng)獲取最新信息。因網(wǎng)點(diǎn)原有pbcs系統(tǒng)部署在低柜，該系統(tǒng)可以同時(shí)訪問(wèn)企業(yè)網(wǎng)，因此本項(xiàng)目所涉及的內(nèi)容主要針對(duì)網(wǎng)點(diǎn)高柜區(qū)的員工訪問(wèn)企業(yè)網(wǎng)的需求設(shè)計(jì)。三、架構(gòu)設(shè)計(jì)根據(jù)項(xiàng)目需求，結(jié)合總分行相關(guān)建設(shè)與安全規(guī)范，網(wǎng)絡(luò)接入設(shè)計(jì)如下：1. 總體拓?fù)浣Y(jié)構(gòu)（本架構(gòu)為培訓(xùn)時(shí)所提方案二的過(guò)渡方案，方案一具體架構(gòu)見(jiàn)隨本方案一起下發(fā)的ppt文件）圖表4 總體拓?fù)浣Y(jié)構(gòu)2. 設(shè)計(jì)說(shuō)明l 網(wǎng)點(diǎn)高柜內(nèi)win終端仍然通過(guò)主串口和啞終端路由器的異步串口相連，仍使用原有連接線纜；l 網(wǎng)點(diǎn)高柜新增

7、一臺(tái)pc服務(wù)器，配置有雙網(wǎng)卡，其中主網(wǎng)卡接入網(wǎng)點(diǎn)企業(yè)網(wǎng)交換機(jī)對(duì)應(yīng)vlan中；l 網(wǎng)點(diǎn)新增的pc服務(wù)器和win終端的網(wǎng)口通過(guò)一臺(tái)傻瓜交換機(jī)（8-16口）連接，組成一個(gè)私有網(wǎng)絡(luò)，使用私有網(wǎng)絡(luò)ip地址，如：/24。（新增服務(wù)器擺放位置盡量與高柜終端放在一條水平線上，從而減少綜合布線）l 高柜內(nèi)的win終端通過(guò)終端服務(wù)連接到網(wǎng)點(diǎn)新增的pc服務(wù)器上，通過(guò)此pc服務(wù)器訪問(wèn)企業(yè)網(wǎng)。通過(guò)以上方式連接后，高柜柜員使用的win終端在通過(guò)啞終端（串口）方式連接到生產(chǎn)后臺(tái)辦理業(yè)務(wù)的同時(shí)，也具備了通過(guò)windows終端服務(wù)方式隨時(shí)訪問(wèn)企業(yè)網(wǎng)，獲取行內(nèi)最新動(dòng)態(tài)，反饋員工心聲的環(huán)境。此外，如身份核查

8、之類的企業(yè)網(wǎng)業(yè)務(wù)也可直接在高柜終端上完成。四、詳細(xì)設(shè)計(jì)和實(shí)施方案1. 網(wǎng)絡(luò)部分此部分內(nèi)容已在架構(gòu)設(shè)計(jì)中說(shuō)明，此處不再贅述。2. 服務(wù)器部分2.1 硬件要求：建議網(wǎng)點(diǎn)pc服務(wù)器選擇較高配置的計(jì)算機(jī)，內(nèi)存2g以上，硬盤320g以上，含光驅(qū)等。（本次實(shí)施由省分行統(tǒng)一購(gòu)置下發(fā)）2.2 軟件要求：根據(jù)網(wǎng)點(diǎn)高柜上企業(yè)網(wǎng)的要求并結(jié)合實(shí)際情況，操作系統(tǒng)選擇安裝windows 2003 server。殺毒軟件安裝行內(nèi)統(tǒng)一的mcafee virusscan enterprise 8.7，其他常用軟件如java、office2003等。2.3 配置方法2.3.1 windows 2003 server的安裝l 首先

9、，將計(jì)算機(jī)設(shè)置為光驅(qū)啟動(dòng)，將windows 2003 server光盤放入光驅(qū)。l 當(dāng)屏幕出現(xiàn)“press any key to boot from cd”時(shí)敲任意鍵進(jìn)入。l 到選擇安裝分區(qū)時(shí)，注意將分區(qū)格式化為ntfs格式，如果硬盤比較大，考慮用戶臨時(shí)文件比較多，建議c盤分區(qū)空間盡量大于20gl 其他正常安裝即可l 系統(tǒng)安裝完成后，第一次進(jìn)入系統(tǒng)，右鍵點(diǎn)擊“我的電腦”，打開(kāi)【管理】【計(jì)算機(jī)管理】【磁盤管理】對(duì)剩余的磁盤進(jìn)行分區(qū)。l 桌面上右鍵【屬性】【設(shè)置】【高級(jí)】【疑難解答】【硬件加速】，設(shè)置成【完全】l 【運(yùn)行】輸入【dxdiag】【顯示】將directx功能的所有項(xiàng)目啟用注：最后兩步主

10、要加快顯卡顯示能力 2.3.2 安裝終端服務(wù)（注意終端服務(wù)授權(quán)問(wèn)題）在控制面板中打開(kāi) 添加/刪除程序，點(diǎn)擊 添加/刪除windows組件：l 把ie增強(qiáng)的安全配置勾選去除，勾選 終端服務(wù)器以及終端服務(wù)器授權(quán)兩項(xiàng)，然后下一步；l 出現(xiàn)授權(quán)提示，直接下一步；l 選擇“寬松安全模式”，下一步l （安裝了sp1才有這一步）選擇許可證服務(wù)器，選擇：我將在120天之內(nèi)選擇許可證服務(wù)器；下一步；選擇“每設(shè)備”；點(diǎn)擊下一步l 開(kāi)始安裝終端服務(wù)，安裝完畢后提示重啟，點(diǎn)擊：是。安裝完成。2.3.3 windows 2003 server終端服務(wù)的激活注意：此步驟可在安裝完服務(wù)器120天內(nèi)做。激活服務(wù)器，安裝完正式

11、的許可證后需要把服務(wù)器重新啟動(dòng)一次，終端才會(huì)把原來(lái)的臨時(shí)許可證更新為正式許可證。如果打開(kāi)終端服務(wù)器授權(quán)，提示找不到授權(quán)服務(wù)器，在控制面板中打開(kāi) 添加/刪除程序，點(diǎn)擊 添加/刪除windows組件中勾選 終端服務(wù)器以及終端服務(wù)器授權(quán)兩項(xiàng)，重新安裝一遍，就能出來(lái)現(xiàn)授權(quán)服務(wù)器。windows 2003 的終端服務(wù)許可證安裝分為兩個(gè)步驟：l 激活終端服務(wù)器。l 添加終端服務(wù)許可證。第一步：激活終端服務(wù)器。運(yùn)行 開(kāi)始程序管理工具終端服務(wù)器授權(quán)，出現(xiàn)的界面如下：上圖顯示的服務(wù)器的名稱，對(duì)應(yīng)的如果你激活時(shí)，此處出現(xiàn)的便是你的服務(wù)器的名稱了，將鼠標(biāo)移動(dòng)到服務(wù)器名稱上，點(diǎn)擊鼠標(biāo)的右鍵，出現(xiàn)了激活的菜單如下：選中

12、激活服務(wù)器，出現(xiàn)激活向?qū)М嬅妫狐c(diǎn)擊下一步，出現(xiàn)了連接方法，如果終端服務(wù)器可以直接上公網(wǎng)，選擇：自動(dòng)連接。根據(jù)提示，激活并安裝許可證即可，許可證程序選擇為enterprise agreement。產(chǎn)品版本選擇：【windows server 2003】，產(chǎn)品類型根據(jù)實(shí)際應(yīng)用選擇【每設(shè)備】。輸入?yún)f(xié)議號(hào)碼6565792，完成。查看終端服務(wù)器授權(quán)情況，雙擊服務(wù)器名稱?？梢钥吹揭呀?jīng)獲得了n個(gè)（你輸入的或默認(rèn)的值）批量許可證。重啟服務(wù)器。如果終端服務(wù)器不可以上公網(wǎng)，選擇web瀏覽器。下一步：出現(xiàn)如下提示：根據(jù)提示，抄下產(chǎn)品id，到一臺(tái)能夠上公網(wǎng)的pc使用ie或netscape等瀏覽器，采用安全連接方式訪問(wèn)

13、url，。出現(xiàn)的如下網(wǎng)頁(yè)，為了方便瀏覽，可以指定語(yǔ)言為chinese（simplified）方式，點(diǎn)擊【go】，頁(yè)面將變成中文。下一步，到達(dá)輸入界面如下，產(chǎn)品id處填入你的產(chǎn)品id，在激活向?qū)帲梢钥吹疆a(chǎn)品id，其他的姓名、單位，等可以填入實(shí)際的，也可以填入虛假的。國(guó)家選擇中國(guó)。根據(jù)提示下一步，出現(xiàn)確認(rèn)信息，確認(rèn)無(wú)誤后下一步，此時(shí)會(huì)反饋給你一串35個(gè)字節(jié)長(zhǎng)的激活碼。抄下該號(hào)碼。根據(jù)提示，選擇是，直接獲取客戶機(jī)許可證。出現(xiàn)如下界面。注意，許可證程序由open license更改為enterprise agreement。點(diǎn)擊【下一步】輸入【數(shù)量】和協(xié)議號(hào)碼【6565792】。產(chǎn)品類型根據(jù)選擇【

14、每設(shè)備】。點(diǎn)擊下一步。出現(xiàn)確認(rèn)信息，確認(rèn)無(wú)誤后選擇下一步。得到紅框內(nèi)的許可證密鑰。抄下該號(hào)。點(diǎn)擊“是”。此時(shí)將上述2串紅色方框內(nèi)的id帶回到終端服務(wù)器。將第一個(gè)得到的紅框中的許可證id填入到激活對(duì)話框中，再點(diǎn)擊下一步，便可以激活終端服務(wù)器了：直接點(diǎn)擊下一步，出現(xiàn)相似的輸入對(duì)話框。將第二串一個(gè)35個(gè)字節(jié)長(zhǎng)的用紅框圈起來(lái)的id，輸入到上圖的對(duì)應(yīng)處，并且點(diǎn)擊下一步，便完成了終端許可證的安裝。查看終端服務(wù)器授權(quán)情況，雙擊服務(wù)器名稱。可以看到已經(jīng)獲得了n個(gè)（此處為100，一個(gè)網(wǎng)點(diǎn)掛接終端不會(huì)太多，可選默認(rèn)值）批量許可證。重啟服務(wù)器。2.3.4 設(shè)置終端服務(wù) 【開(kāi)始】【程序】【管理工具】【終端服務(wù)配置】【

15、tcp-rdp屬性】【權(quán)限】，添加【users】組，權(quán)限設(shè)置為 用戶訪問(wèn)、來(lái)賓訪問(wèn)。確認(rèn)即可。2.3.5新建用戶 我的電腦右鍵【管理】【用戶和組】【用戶】右鍵【新用戶】輸入用戶名及密碼。將“用戶下次登陸時(shí)須更改密碼”勾去掉，勾上”密碼永不過(guò)期”,點(diǎn)擊創(chuàng)建。3. win終端部分3.1 硬件要求3.1.1 實(shí)達(dá)終端硬件要求l 型號(hào)：start wt-5060lxl 序列號(hào)：v1.xx 1g/512m/128m dom安徽建行版sn：10xxxxxx-10xxxx序列號(hào)中“v1.xx”表示硬件主板版本；1g表示cpu；512m表示內(nèi)存；128m表示電子硬盤dom卡；“安徽建行版”表示硬件特殊版本號(hào)；

16、“sn：10”表示10年生產(chǎn)；lx表示液晶一體化，如5060lxd中的“d”雙網(wǎng)卡版本；l 網(wǎng)終接口：1個(gè)10m/100m自適應(yīng)網(wǎng)卡；l 音頻接口：帶有音頻模塊，可接駁音頻輸出和音頻輸入設(shè)備；l 接口：4個(gè)db9針串口、1個(gè)db25針串口（安徽建行特殊版）、1個(gè)并口、1個(gè)ps/2鍵盤接口、1個(gè)ps/2鼠標(biāo)接口、4個(gè)usb 2.0接口(其中2個(gè)右側(cè)置)。3.2 系統(tǒng)要求3.2.1 實(shí)達(dá)終端系統(tǒng)要求采用windows ce.net v5.5開(kāi)發(fā)環(huán)境 ，目前版本標(biāo)識(shí)號(hào)為v4.xx，支持協(xié)議：支持microsoft rdpv5.5連接協(xié)議 支持citrix ica v8.00連接協(xié)議 支持telnet

17、應(yīng)用 支持tcp/ip、ppp、dhcp、dns協(xié)議 3.2.2 國(guó)光終端系統(tǒng)要求windows ce版本 3.3 配置接入啞終端方法3.3.1 實(shí)達(dá)終端l 實(shí)達(dá)前兩批5060lx終端在開(kāi)箱后需要升級(jí)telnet程序。升級(jí)方法如下：開(kāi)機(jī)后，插入u盤（將程序放在u盤的根目錄下）點(diǎn)擊桌面上的“本機(jī)”點(diǎn)開(kāi)后再點(diǎn)擊“程序升級(jí)” 在左邊的選項(xiàng)中選擇“telnet” 在右上角選擇“本地u盤” 兩項(xiàng)選好后 在頁(yè)面的下方點(diǎn)擊“下載” 下載成功后按提示重啟機(jī)器。l 建立dcc連接： 首先新建dcc 點(diǎn)擊“新建”選擇“telent仿真客戶端” 鏈接名稱輸入“dcc” 主機(jī)接口選“rs232” 仿真類型選擇“ans

18、i”然后點(diǎn)擊下一步，再點(diǎn)擊完成，完成后在界面上會(huì)出現(xiàn)dcc的鏈接圖標(biāo)，雙擊打開(kāi)，在dcc上面有“設(shè)置”選項(xiàng)，點(diǎn)開(kāi)選擇“桌面”里面有3項(xiàng)需要改1“esc鍵”改成“esc”、2“數(shù)字鍵盤”改成“數(shù)字鎖定”、3在右邊其他選項(xiàng)中把“ctrl+a”打鉤，完成后點(diǎn)擊“ok”。再進(jìn)入設(shè)置打開(kāi)打印機(jī)設(shè)置，打印機(jī)選“oki5330”（打印機(jī)選項(xiàng)要看接受嗎類型的打印機(jī)，一般情況下面包機(jī)選“oki5330”寬行打印機(jī)選“l(fā)q系列”），打印模式選“透明”，打印優(yōu)化選“否”其他不需要改，完成后點(diǎn)擊“ok”。再次進(jìn)入設(shè)置中的“輔口”選項(xiàng)，把輔口一的波特率改成“1200”（默認(rèn)是9600）完成后點(diǎn)擊“ok”然后退出dcc，

19、在桌面窗口右下角點(diǎn)擊“保存”。3.3.2 國(guó)光終端機(jī)器打開(kāi)后，終端外設(shè)的連接：串口1：通訊口（9轉(zhuǎn)25針線）；串口2：磁卡機(jī)；串口3：密碼鍵盤；串口5：指紋儀；具體如下圖：配置dcc連接：l 點(diǎn)擊左下角的設(shè)置連接向?qū)Х抡孢B接管理打開(kāi)：l 選擇“新建”按鈕后彈出菜單仿真下“連接”，串口通訊，選擇com1：即可。”綜合”：仿真類型選擇vt220。鍵盤設(shè)置中副鍵盤用vt105 ，101專用。l 輔口設(shè)置：將串口映射修改下，邏輯輔口1映射到物理串口com2，邏輯輔口2映射到物理串口com3，邏輯輔口3映射到物理串口com5。l 選擇輔口1、輔口2點(diǎn)擊串口設(shè)置將配置表中的“參數(shù)優(yōu)先”勾選上，這個(gè)比較重要

20、不選外設(shè)將無(wú)法使用。輔口3 ，輔口4依次按照輔口1、2設(shè)置的方法設(shè)置即可。 l 在”外設(shè)”設(shè)置項(xiàng)密碼器打開(kāi)后端口選擇com3；磁卡機(jī)端口選擇com2l 名稱修改完以后就將數(shù)據(jù)保存，點(diǎn)擊保存后彈出對(duì)話框，連接名設(shè)為dcc，點(diǎn)擊確定即可。在桌面會(huì)有三個(gè)圖標(biāo)。一個(gè)是ie瀏覽器，一個(gè)是rdp連接，還有一個(gè)就是國(guó)光仿真。由于是接9轉(zhuǎn)25針線，有可能在個(gè)別網(wǎng)點(diǎn)不能聯(lián)機(jī)，那么只要修改一下路由器設(shè)置，在異步口增加語(yǔ)句undo detect dsrdtr。3.4 配置接入企業(yè)網(wǎng)方法3.4.1 實(shí)達(dá)終端l 新建rdp鏈接，并設(shè)置如下，首先在開(kāi)機(jī)畫面的窗口上打開(kāi)“網(wǎng)絡(luò)”，打開(kāi)后輸入本機(jī)的ip地址。然后點(diǎn)擊新建，選擇“microsoftrdp客戶端”選中后輸入連接名稱，再輸入服務(wù)器地址，完成后進(jìn)行下一步，這步根據(jù)客戶需求自己進(jìn)行修改輸入。再下一步，這部分不需要設(shè)，直接下一步。下一步后把“顯示鏈接欄”打鉤。再下一步，把“串行口”