光大银行互联网管理技术方案

　 1 中国光大银行沈阳分行

　互联网管理方案

　一、管理架构

　根据与中国电信有关人员的探讨和沟通，得以中国光大银行沈阳分行完整实现互联网用户认证及审计的初步方案如下：

　电信方：

　1、根据银行营业大厅的排队机发出的请求为银行客户分配临时帐户（用户名、密码）； 2、给银行提供内部员工账户管理平台（二级管理员），管理银行内部员工账户； 3、所有连接请求的认证管理和 Portal 认证界面推送。

　用户方：

　1、银行内部员工直接通过无线（WIFI）认证后可以访问互联网，并可以随时修改个人上网密码； 2、临时用户在排队机上刷卡（银行卡或身份证）获得临时帐号通过无线（WIFI）认证后可以访问互联网。

　3、上网行为管理设备：负责从电信的认证服务器获取上网用户的帐号信息，按照规则实时记录用户的上网行为。

　二、用户上网流程详解

　如图所示，红色虚线左侧为互联网区，红色虚线右侧为光大银行内网区。

　 2

　1 1 、员工上网的具体方式如下：

　在员工实现上网前，需要在电信提供的账户管理平台上为员工分配帐户，并让员工得到上网的帐户信息。

　1）连接到无线网络并输入任意要访问的网址后，系统弹出认证页面； 2）填写已分配的帐号信息进行提交； 3）用户提交认证请求到 Radius 服务器； 4）电信端的 Radius 认证服务器检查上网用户提交的用户名、密码及有效期是否通过的信息，并将是否认证通过的信息反馈到用户提交方；如果用户认证通过，还将从 Portal 服务器推送成功登录的页面； 5）上网行为管理设备和用户上网设备会同步收到该数据包，上网行为管理设备解析该数据包，检查认证反馈通过的状态，如果是没有通过的状态，记录该信息到日志中；如果认证为通过的状态，将用户名解析和上网设备 IP 地址保存到上网行为管理设备中；

　 3 6）用户上网设备收到认证服务器反馈回来的数据包，如果认证没有通过，表示提交的认证信息不对，需要重新提交；如果认证通过，直接输入访问的网址即可访问互联网； 7）在用户上网过程中，上网行为管理设备会检查用户的行为是否符合设定的上网规则（如 URL 检查），并记录用户访问信息同时转发到互联网出口； 8）银行内部员工可随时通过登录成功界面修改个人上网密码。

　2 2 、客户上网的具体实现方式如下：

　1）客户首先在营业厅内的的排队机上刷卡取号（光大银行卡或身份证），排队机通过光大银行的信息平台向电信端的 Radius 服务器发送空白请求； 2）Radius 在“客户临时上网组”内生成“临时用户（ABC）/密码（123）” （ABC、123 为举例说明）的用户，排队机打印排队号以及上网账户信息，同时光大银行的信息平台生成“临时用户 ABC/卡号（或身份证号）/入网时间”等相应信息并留存日志； 3）取得临时账户信息后，用户上网的方式同银行内部员工是一样的，即内部员工上网步骤的 1）-7）步。

　三、功能分配描述

　1 1 、电信 s Radius 认证服务器

　1）负责银行内部员工的帐号维护，并提供相应的管理平台（仅管理银行内部员工帐号）。

　2）负责接收银行排队机发出的连接请求，分配银行客户的临时帐号；

　 4 3）接受所有上网用户（包括银行内部员工和银行客户）发出的认证请求并反馈。

　2 2 、上网行为管理设备

　1）对所有上网用户（包括银行内部员工和银行客户）的上网行为进行管理，符合上网规则的连接才可以继续转发到电信； 2）对所有上网用户（包括银行内部员工和银行客户）的上网行为进行记录，并实现用户 IP 和用户帐号的记录对应。

　四、管理

　1 1 、银行内部员工帐号的集中管理

　经与电信协商，电信为中国光大银行沈阳分行提供内部员工的管理平台（Radius 二级管理员），实现中国光大银行沈阳分行内部帐号的统一管理工作，包括增加、修改、删除等功能。

　2 2 、上网行为设备的集中 管理

　通过上网行为设备集中管理平台，可以实现所有网点的上网行为管理设备的集中管理，包括上网行为管理设备的状态及上网策略的统一配置和分发功能等。

　3 3 、用户上网日志的集中管理

　为方便统一审计，在分行设置一台统一日志服务器，通过配置每台上网行为管理在每日网络闲置时或者固定时间段内，如每日凌晨自动将每台上网行为管理设备上的审计日志发送到日志服务器，这样，可以在日志服务器中实现日志的统一查询等审计工作。

　4 4 、实名审计

　 5 1）银行内部员工为实名制上网，可以通过上网行为管理设备上的日志直接审计； 2）银行客户通过临时用户名上网，需通过“临时用户名+上网时间”将上网行为管理设备上的日志和处于内网的银行信息平台上的开户记录联合起来定位到用户身份进行审计。