建设银行主机服务器设置

建设银行主机服务器设置属于银行核心生产环境的基础设施范畴，需严格遵循银保监会（现国家金融监督管理总局）《商业银行信息科技风险管理指引》及我行数据中心运维规范。其设置通常分为物理服务器部署、操作系统层配置、数据库与中间件适配、网络与安全策略四个维度。以下为专业要点梳理。

一、物理服务器选型与硬件配置。建设银行主机服务器多采用高可用小型机或x86架构高端服务器，关键生产系统（如核心账务系统）建议使用Power系列或华为鲲鹏等国产化平台，需配置冗余电源、冗余风扇、RAID阵列卡及双HBA卡。服务器BIOS需开启超线程、虚拟化辅助功能（VT/AMD-V），并根据业务负载设置NUMA节点绑定，内存频率与CPU主频需匹配。存储方面，系统盘建议采用两块以上SSD做RAID1，数据盘按业务I/O特性选择SSD或HDD，并通过多路径软件连接SAN存储。

二、操作系统层设置。建设银行主机服务器操作系统通常使用Linux（如Red Hat Enterprise Linux、麒麟、统信UOS）或Windows Server（仅限外围非关键系统）。安装时需遵循最小化安装原则，禁用不必要的内核模块和服务。主要设置包括：1）主机名规范：按“分行/系统-应用类型-序号”命名，如“CCB-SH-CORE-DB01”；2）IP地址绑定：使用静态IP，并配置双网卡绑定（bond0/team0），模式建议为负载均衡（mode=4）或主备（mode=1）；3）内核参数优化：调整`vm.swappiness=10`、`net.core.somaxconn=1024`、`fs.file-max=6553500`，针对Oracle或MySQL数据库还需设置`kernel.shmmax`、`kernel.shmall`及`vm.overcommit_memory`；4）时间同步：配置NTP或Chrony，指向总行一级时间源服务器，偏差不得超过100毫秒。

三、数据库与中间件配置。建设银行主机服务器上运行的数据库主要包括Oracle数据库、MySQL/PostgreSQL（分布式场景）及国产数据库（如GaussDB、OceanBase）。数据库实例设置需考虑字符集（推荐AL32UTF8）、归档模式（必须开启）、内存参数（SGA/PGA或buffer pool）、控制文件冗余（至少三份）及日志缓冲区大小。中间件（如WebLogic、Tomcat、MQ）的JVM堆内存、连接池上限、线程池数量应根据服务器物理内存和并发量设置，并开启GC日志与慢查询日志。关键参数建议：JVM堆最大不超过物理内存50%，连接池初始大小=最大并发数/单体连接耗时*1.2。

四、网络与安全策略设置。建设银行主机服务器需接入生产网隔离区，通过防火墙和堡垒机管理。主机侧需配置：1）访问控制：仅开放业务端口（如8080、8443、1521、3306），禁用Telnet、FTP等明文协议，启用SSHv2并修改默认端口；2）IP安全策略：使用iptables或firewalld限制源IP白名单，管理网段仅允许运维跳板机访问；3）账号与认证：禁用root远程登录，使用普通用户+sudo提权，密码策略需满足复杂度（至少12位含大写、小写、数字、特殊字符）和90天更换周期；4）日志审计：配置syslog或rsyslog将认证日志、操作日志实时发送至日志审计平台，并开启auditd记录`execve`、`open`等关键系统调用。

五、高可用与容灾设置。建设银行主机服务器必须纳入集群管理。典型方案包括：Oracle RAC（两节点互联心跳网段独立）、操作系统集群（如Red Hat Cluster / Pacemaker）或云平台高可用组。每台服务器需配置心跳网卡（使用交叉线或独立VLAN），VIP（虚拟IP）用于客户端连接漂移。容灾方面，主机服务器需支持同城双活或异地灾备复制，在存储层使用镜像或复制软件（如HyperReplication）实现数据同步，切换时间目标（RTO）应小于30分钟，数据丢失目标（RPO）趋近于零。

六、监控与运维基线设置。建设银行主机服务器需纳入总行统一监控平台，设置以下阈值：CPU平均使用率告警线75%，峰值95%；内存使用率告警线80%，Swap使用率超过10%告警；根分区使用率告警线85%，其他数据分区90%；磁盘I/O等待时间超过20ms告警；网卡丢包率超过0.1%告警。同时需部署Agent采集性能指标，并设置自定义脚本检查关键进程（如`crsd.bin`、`ora_pmon_`）是否存在。所有服务器必须定期执行补丁更新（安全补丁不超过30天，高危补丁不超过7天），并遵循变更管理流程，变更窗口一般为周末凌晨02:00-04:00。

七、合规性与初始化检查。每台新服务器上线前，须执行安全基线检查，对照《中国建设银行服务器安全基线配置规范》，重点检查：1）默认账号是否删除或锁定；2）是否设置GRUB密码保护单用户模式；3）是否安装杀毒软件（如云安全客户端）；4）是否开启SELinux（或设置合规的enforcing模式）；5）是否完成等保三级要求的安全审计功能。完成上述设置后，还需进行压力测试（如使用swingbench或sysbench）和故障演练（如拔网线、断电模拟），确保主机服务器在实际生产负载下可稳定运行。最终依据《建设银行服务器安装配置记录表》归档，并将主机名、序列号、IP地址、MAC地址、bios版本等录入资产管理系统，实现全生命周期管理。