网银手机银行环境

网银、手机银行网络架构第一章整体架构网银、手机银行环境总体如下图所示，从外到内分别为“互联网接入区”、“DMZ区”、“网银业务区”、“行内业务区”，跨区域流量都要经过防火墙的过滤，考虑到异构安全性的优势，各区域边界防火墙应采用不同厂商的设备。Internet网银客户手机客户CFCA外网防火墙外网防火墙WEB服务器WEB服务器内网防火墙内网防火墙数据库服务器网银APP应用服务器手机银行APP服务器内网防火墙内网防火墙行内前置机行内前置机WEB负载均衡和SSL加速WEB负载均衡和SSL速链路负载均衡链路负载均衡DMZ验签服务器网银业务区行内核心业务区互联网接入区DMZ区网银业务区行内业务区RA服务器第二章．各区域2.1、互联网接入区部署链路分担设备，提供多ISP的互联网接入，并承担网银域名解析；部署流量清洗，防御DDOS攻击；部署外网边界防火墙，实现互联网与DMZ区隔离。2.2、DMZ区部署网银WEB服务器、门户WEB服务器，RA服务器；部署IPS，为WEB服务器提供深层安全保护；部署SSL卸载&服务器负载分担设备，优化HTTPS响应速度并保证WEB业务高可用性；部署WEB-APP边界防火墙，实现DMZ与网银业务区的隔离。2.3、网银业务区部署网银APP服务器、网银DB服务器、验签服务器；APP服务器前可部署服务器负载分担设备，用于业务优化和提高可用性；APP服务器与DB服务器间可部署防火墙实现访问控制；部署内网边界防火墙，实现网银业务区与行内业务区间的隔离。2.4、行内业务区部署综合业务系统主机、网银前置服务器、前置服务器等行内系统。第三章．服务器3.1网银WEB服务器网银WEB服务器是网银业务面向互联网客户的主用界面，当前互联网上有很多基于WEB应用的攻击，由于网银WEB直接暴露于互联网上，因此WEB服务器前不仅要通过防火墙实现基于网络层或传输层的访问控制，通过部署IPS实现深度安全检测，还需要通过流量清洗设备实现DDOS攻击防御。网银WEB服务器与用户浏览器间通过HTTPS协议保证数据的私密性与完整性，为了减少WEB服务器进行密钥交换与加解密的工作负担，在WEB服务器前部署SSL设备。当前多数厂家生产的服务器负载分担设备兼具SSL卸载功能，因此在网银WEB服务器前部署负载分担设备既可实现HTTPS协议加速，又可实现业务负载分担和服务高可用性。3.2网银APP服务器网银APP（应用）服务器提供网银系统的业务逻辑，包括会话管理、提交后台处理以及向WEB服务器提交应答页面等。APP服务器与WEB服务器共同构成网银业务（如网上支付与结算、网银转帐、基金交易、网上理财等）运行环境。由于WEB服务器与互联网客户浏览器之间承载数据的SSL协议不具备数字签名功能，所以网银客户端的数字签名通常由浏览器插件程序完成，而服务器端的验签工作则由单独的验签服务器完成。客户签名的交易数据经由WEB服务器提交给APP服务器，再由APP服务器向验签服务器发起验签请求。上述工作流程决定了APP服务器作为网银系统的核心组件，应保障其服务高可用性与网络访问安全性。从安全角度考虑，由于APP服务器与网银WEB服务器所处的安全区域不同，因此在网银WEB服务器与APP服务器之间应部署防火墙实现访问控制。APP服务器前不需要部署IPS设备，一方面原因是APP服务器不接受直接来自互联网的访问流量，安全风险较低，另一方面原因是当前市场上各类IPS产品的价格都比较高，在部署更多IPS设备将增加网银系统的建设成本。3.3、网银DB服务器网银DB（数据库）服务器的主要作用是保存、共享各种及时业务数据（如客户支付金额）和静态数据（如利率表），支持业务信息系统的运作，对登录客户进行合法性检查。DB服务器通常需要与存储整列连接，并且DB服务器通常采用双机互为备份的方式以保证高可用性。网银DB服务器与网银APP服务器的安全防护需求基本相同，但DB服务器只允许来自APP服务器的访问，WEB服务器禁止直接访问DB服务器。APP服务器与DB服务器可以部署在同一个安全区域内，也可分别部署在两个不同的安全区域内。如部署在同一安全区域内，则APP与DB服务器将以同一个防火墙做为安全边界，而APP与DB之间的互访控制可通过接入交换机上的ACL实现。3.4、RA服务器、签名验证服务器RA服务器与签名验证（验签）服务器都是与网银交易中数字签名相关的系统。RA（RegistrationAuthority，数字证书注册审批机构）服务器是PKI体系中CA服务器的延伸，RA负责向CFCA（中国金融认证中心）的CA或银行自建的CA申请审核发放证书。验签服务器负责对用户提交的交易数据进行数字签名验证。RA服务器与验签服务器都与APP服务器间有数据交互，但RA服务器还需要通过互联网（或专线）与CFCA的CA服务器相连，因此RA与验签服务器应部署在不同的安全区域内。通常是将RA与WEB服务器部署在一个安全区域内，而将验签服务器与APP服务器部署在一个安全区域内，APP服务器与RA服务器的访问需要通过防火墙做访问控制。3.5、行内业务系统网银的帐务处理、客户数据及密码的存放都在行内业务系统中完成。网银前置负责将APP服务器提交的业务请求经过协议处理、数据格式转换或加密后转交到业务系统的主机进行处理。位于网点的客户端通过访问网银管理服务器实现网银用户管理功能（如开户、注销、证书下载、密码修改等）。上述三种业务系统都部署在银行数据中心内网区，APP服务器与三者间都存在直接或间接的访问关系，由于网银APP服务器与数据中心内网区分属不同的网络安全区域，所以两者间的网络通信需要通过防火墙进行访问控制。