文 / 中國光大銀行金融科技部 彭曉 李剛 蔡絮
近年來，隨著大數據、云計算在商業銀行的引入和快速推廣，對應的服務器規模增長迅速，現有銀行數據中心容量逐漸無法滿足業務快速發展的需求。此外，人民銀行在《金融科技發展規劃（2022—2025年）》中指出要“穩妥推進信息系統向多節點并行運行、數據分布存儲、動態負載均衡的分布式架構轉型”。為適應上述發展趨勢，中國光大銀行數據中心將在未來幾年由“兩地三中心”向“兩地多中心”架構轉型；數據中心網絡也將從同城大二層對等網絡向支持多中心互聯架構演進，提高泛在接入、靈活調度、安全穩定的科技運營網絡基礎設施支撐能力。
光大銀行金融科技部副總經理 彭曉
多數據中心網絡的需求與挑戰
1.應用部署需求
在多中心場景下，商業銀行的應用部署及容災能力從兩地三中心向多活數據中心逐步升級，其對網絡的需求主要體現在以下幾方面。
一是業務分布式單元化部署需要網絡架構能夠提供泛在的網絡連接服務；二是多中心間的流量調度需要網絡提供穩定、可靠、安全的網絡域名服務；三是云計算、大數據技術的大規模部署需要網絡提供高速率、大帶寬、彈性靈活的網絡服務。
2.監管規范指引
隨著新技術和新業務場景出現，各類監管規范和指引陸續發布或更新，用于指導銀行科技合規穩健發展。多中心建設涉及的災備中心能力、災備中心物理距離、同城和異地網絡、出口網絡等方面均有相應的標準要求。商業銀行多中心網絡建設需在滿足上述監管要求基礎上進行，確保整體網絡規劃和建設符合最新的規范和指引要求。
3.日常網絡管理面臨的挑戰
目前，光大銀行采用業內通用的“兩地三中心”架構，北京同城雙活數據中心通過網絡大二層結構同時對外提供服務。該網絡架構在同城雙中心場景下，為應用提供了高可用性，但延展到多數據中心仍存在不少局限性，如流量繞行、環路風險和性能受限等。基礎網絡需要在確?，F有生產業務運行穩定的前提下，實現二層網絡轉向三層網絡，逐步完成底層網絡基礎設施向多中心架構轉型，存在一定的過渡期。
多數據中心網絡實踐
1.多數據中心網絡建設原則
多數據中心網絡依據以下原則進行規劃建設，打造支持多中心和多業務場景的網絡基礎設施服務能力。
一體化：以業務為核心，統籌考慮應用系統與網絡協同，實現多中心網絡架構統一規劃。
高可靠：部署滿足多中心災備需求的網絡能力。
易擴展：根據業務需求實現網絡融合承載、邏輯隔離、模塊化部署，提高靈活擴展能力。
高安全：依據監管要求和規范進行網絡規劃，提升網絡安全合規管控能力。
前瞻性：結合網絡、存儲、分布式數據庫、全棧云等技術發展趨勢，使光大銀行未來網絡架構規劃滿足技術發展需求。
可行性：綜合考慮網絡和系統部署、搬遷的可落地性、技術復雜度和成本因素，確?，F有架構平穩過渡。
2.多數據中心網絡建設策略
向多數據中心網絡轉型的過程并非一蹴而就，需在充分考慮二層網絡存在的架構局限性和技術風險基礎上，根據應用需求，結合多中心網絡架構演進方向，對基礎網絡架構進行重構，滿足多數據中心的接入需求。整體網絡轉型思路是以承載網為核心，以分布式域名解析系統和三層網絡區域國產改造為抓手，以同城DCI和光傳輸波分系統為支撐，為業務網絡分布式部署及大數據存算網絡等數據中心間的大流量提供高速網絡服務，以數據中心服務器資源池化部署為依托，通過標準模塊化架構，實現快速靈活的交付服務。
3.多數據中心網絡建設實踐
（1）核心承載網。核心承載網是光大銀行多數據中心、多業務融合承載的網絡核心。按照層次化、模塊化設計，核心承載網采用“核心+POP”雙層架構，基礎架構彈性靈活，實現分布式數據中心、一級分行、分支機構、外聯合作伙伴等網絡接入能力。核心層作為頂層穿越區域，以北京同城主要數據中心和異地數據中心部署核心節點。POP層根據業務和地域屬性定義各類匯聚節點，后續按需擴展，實現網絡快速部署、業務靈活接入。另外，根據業務屬性和接入范圍，規劃雙平面路由和業務邏輯通道，實現了業務流量負載分擔和業務邏輯隔離功能，為整網提供了高效、安全的數據傳輸網絡通道（見圖1）。
圖1 核心承載網
2019年，光大銀行在總分行一級骨干網率先建設基于SR-MPLS的SDN-WAN網絡，實現了業務細粒度檢測與流量自動調度，能夠敏捷感知運營商線路質量變化與業務服務質量狀況。根據網絡隧道級能力，實現基于業務服務質量感知的自動切換，有效提升網絡運維效率?；赟R的廣域網SDN技術通過線路資源精細化管理，挖掘線路資源潛力，在保障業務可靠開展的前提下，提高了廣域網線路帶寬資源利用率。
針對目前網絡調度管理方面缺少隨流即時檢測和實時業務質量可視等問題，光大銀行結合金融廣域網技術發展趨勢，開展核心承載網SRv6的試點和部署，研究核心承載網SRv6的演進路線和IPv6+的隨流檢測、應用感知等技術。
（2）分布式域名解析系統?；谟蛎麑崿F商業銀行多數據中心業務流量的調度，已成為行業主流解決方案，域名化改造也成為多中心建設中必不可缺的一環。域名化改造對整個域名系統提出了新的挑戰，承載全行業務系統解析流量意味著域名系統需要極高的性能容量。作為流量調度的核心環節，域名系統應具備高可用架構的支撐，同時，其本身的安全性也將影響全行的業務系統穩定性。
為滿足多中心場景下全行業務流量調度的需求，光大銀行在架構方面將域名服務器按照根服務器、權威服務器和遞歸服務器進行角色解耦，每一層角色服務器均在多中心進行分布式的部署，各層級域名服務器之間實現完整的域名授權體系，單中心域名服務器通過負載均衡實現集群部署，增加域名系統整體可靠性和擴展性，提升整體服務能力（見圖2）。在產品方面，引入國產產品進行異構部署，持續推進應用創新能力建設；在安全和規范服務治理方面，設計針對DNS的相關安全防護措施和技術保障方案，提升域名服務系統安全管理水平。
圖2 分布式域名解析系統
（3）同城DCI和波分網絡。DCI和波分網絡是多數據中心網絡架構的重要組成部分，實現同城數據中心大流量高速傳輸通道，分擔承載網在同城數據中心間的傳輸壓力。
目前光大銀行已建成多套國產異構品牌的同城高速DCIVxlan網絡，為業務提供跨中心二層網絡互訪。DCI網絡采用點到點結構，根據業務類型和流量現狀，把各網絡分區分散接入各套DCIVxlan網絡，通過合理規劃接入區域數量及超載比，實現整體規劃單套DCI超載比不超過4:1。后續隨著多中心接入，結合云、大數據、分布式技術發展趨勢，DCI網絡將基于三層網絡實現數據中心高速互聯，滿足同城數據中心相同安全域不過防火墻的高速互訪需求（見圖3）。
圖3 同城DCI網絡
同時，光大銀行采用光傳輸DWDM技術和運營商裸光纖，建設同城高速波分光網絡?？紤]到存量傳統二層應用的網絡架構對跨中心鏈路的時延、可靠性要求高，采用點對點按需組網方式構建同城光傳輸波分網絡。
（4）數據中心資源池化部署。為了滿足數據中心資源池化統一部署需求，實現多業務融合承載和彈性擴展，支持業務快速敏捷交付，光大銀行以網絡安全域規范作為數據中心資源池標準化的基礎，將邏輯層面的網絡安全域與物理層面的資源池形成映射。
在網絡安全域層面，按照“安全域規劃合規、安全域結構精簡、同質區互訪高效、邏輯區靈活擴展、云內外安全一致”的規劃原則對原有網絡安全域進行重建，根據業務屬性及安全防護等級，規劃了互聯網DMZ、三方DMZ、生產業務、IT管理、開發測試等安全域。在資源池層面，數據中心資源池參照網絡安全域規劃，根據業務的不同傳輸需求，形成相應的多中心資源池組網標準架構，減小廣播域和沖突域范圍，增強擴展性，降低全局性風險。
展 望
本文探討了商業銀行數據中心從“兩地三中心”向多數據中心轉型場景下基礎網絡總體部署策略，包括核心承載網、分布式域名系統、同城數據中心互聯網絡、同城波分網絡、數據中心資源池化的建設實踐和思考。
多數據中心網絡建設及配套應用多活改造是一項復雜的系統工程，在具體網絡建設和應用部署過程中還會遇到新的問題和挑戰，我們將結合業務需求持續研究完善，積極推進金融科技網絡架構轉型，打造堅實的網絡基礎設施，逐步實現“兩地三中心”向多數據中心災備架構演進，通過科技賦能產品和服務，助力光大銀行實現財富管理銀行的戰略愿景。
