XXX云平臺規(guī)劃方案_2017.doc

.目錄1方案整體規(guī)劃21.1整體拓撲21.2設計依據21.3方案描述42網絡部分規(guī)劃72.1網絡拓撲72.2設計依據72.3方案描述112.3.1物理交換網112.3.2云平臺虛機網絡113計算及存儲規(guī)劃163.1平臺拓撲163.2設計依據163.3方案描述183.3.1彈性與自動化的基礎設施183.3.2按需服務，平臺交付183.3.3敏捷的IT服務水平193.3.4簡化管理，智能統一運維193.3.5硬件故障無害化，保障業(yè)務連續(xù)193.3.6計算虛擬化需求203.3.7分布式存儲213.3.8網絡虛擬化（SDN）224網絡安全規(guī)劃234.1方案目標234.2設計依據234.3等保要求244.4方案拓撲284.5功能描述285運維管理規(guī)劃315.1設計依據315.2方案描述316附件：功能參數331 方案整體規(guī)劃1.1 整體拓撲方案劃分為五個功能區(qū)：線路接入區(qū)：包含互聯網線路，市局、各委辦局、采集點等專線接入網絡縱深防御區(qū)：包含各種網絡安全、審計設備，符合等保3級規(guī)范要求核心交換區(qū)：包含萬兆核心交換集群及匯聚交換設備網管、客服區(qū)：包含網管平臺及客戶終端計算、存儲區(qū)：包含云計算機平臺和分布式存儲系統。1.2 設計依據傳統計算中心觀念是根據功能需求的變化實現對應的硬件功能盒子堆砌而構建的，這非常類似于傳統軟件開發(fā)的組件堆砌，被已經證明為是一種較低效率的資源調用方式，而如果能夠將整個網絡的構建看成是由封裝完好、相互耦合松散、但能夠被標準化和統一調度的“服務”組成，那么業(yè)務層面的變更、物理資源的復用都將是輕而易舉的事情。因此提出支撐業(yè)務運行的底層基礎設施也應當向“面向服務”的設計思想轉變，構造“面向服務的數據中心”（Service Oriented Data Center SODC）。具體而言SODC,應形成這樣的資源調用方式：底層資源對于上層應用就像由服務構成的“資源池”，需要什么服務就自動的會由網絡調用相關物理資源來實現，管理員和業(yè)務用戶不需要或幾乎可以看不見物理設備的相互架構關系以及具體存在方式。SODC的框架原型如下所示：在圖中，隔在基礎架構和用戶之間的“交互服務層”實現了向上提供服務、向下屏蔽復雜的物理結構的作用，使得網絡使用者看到的網絡不是由復雜的基礎物理功能實體構成的，而是一個個智能服務安全服務、移動服務、計算彈性服務、分布式存儲服務等，至于這些服務是由哪些實際存在的物理資源所提供，管理員和上層業(yè)務都無需關心，交互服務層解決了一切資源的調度和高效復用問題。SODC構成的數據中心IT架構必將是整個數據中心未來發(fā)展的趨勢，雖然實現真正理想的SODC融合的架構將是一個長期的歷程，但在向該融合框架邁進的每一步實際上都將會形成對網絡靈活性、網絡維護、資源利用效率、投資效益等方面的巨大改善。因此本次數據中心的建設規(guī)劃，要求盡可能的遵循如上所述的新一代面向服務的數據中心設計框架。在基于SODC的設計框架下，規(guī)劃的新一代數據中心應實現如下設計原則：l 簡化管理：使上層業(yè)務的變更作用于物理設施的復雜度降低，能夠最低限度的減少了物理資源的直接調度，使維護管理的難度和成本大大降低。l 高效復用：使得物理資源可以按需調度，橫向無限擴展，物理資源得以最大限度的重用，減少建設成本，提高使用效率。即能夠實現總硬件資源占用量降低了，而每個業(yè)務得到的服務反而更有充分的資源保證了。 l 策略一致：降低具體設備個體的策略復雜性，最大程度的在設備層面以上建立統一、抽象的服務，每一個被充分抽象的服務都按找上層調用的目標進行統一。1.3 方案描述SODC架構是一種資源調度的全新方式，資源被調用方式是面向服務而非像以前一樣面向復雜的物理底層設施進行設計的，而其中交互服務層是基于服務調用的關鍵環(huán)節(jié)。l 網絡整合SODC要求將數據中心所需的各種資源實現基于網絡的整合，這是后續(xù)上層業(yè)務能看到底層網絡提供各類SODC服務的基礎。數據中心網絡所必須提供的資源包括：智能業(yè)務網絡所必須的智能功能，比如高可靠性、多臺交換設備虛機化、安全訪問控制、設備智能管理等等；統一整合數據中心的三大資源網絡：高性能計算網絡；存儲交換網絡；數據應用網絡。這三類資源的整合將是檢驗新一代數據中心網絡SODC能力的重要標準。因此本方案中的“核心交換區(qū)“是由兩臺高端核心交換設備，虛機為一臺交換設備，統一對外提供數據交換、存儲交換接入能力。l 計算、存儲整合SODC要求將數據中心所需的各種計算、存儲實現統一整合和交付，上層業(yè)務不需考慮底層計算資源和存儲資源的物理結構。只需根據業(yè)務系統劃撥使用，底層計算和存儲動態(tài)實現資源按需使用，動態(tài)擴展，數據安全等。本方案中的“計算、存儲區(qū)“是由統一整合計算和存儲的云平臺來實現，云平臺由多臺高端定制化的硬件服務器配合云系統來實現：l 集中管理：云平臺提供了集中管理能力，從而對計算、存儲資源的統一化及動態(tài)化分配和管理。l 高度可擴展能力：提供了真正意義上的水平擴展能力，沒有中心節(jié)點，集群的規(guī)?？梢砸詳登_服務器為單位?？梢园葱柙黾佑嬎阗Y源和存儲資源，單個云平臺可以管理到超過6萬臺虛機，從而滿足各種規(guī)模中心發(fā)展的需要。l 最可靠的平臺：云平臺從底層就提供了數據的多副本，當服務器出現硬件故障時，云平臺可以將該服務器上的負載自動遷移到其他可用的服務器上，保障應用負載在硬件失敗時自動恢復。平臺內部的物理網絡都是雙冗余配置，以確保物理網絡連接的高可用。云計算平臺還使用SDN等網絡虛擬化技術，構建高可用的虛擬用戶網絡。云平臺通過使用分布式文件系統，構建統一的存儲池，提供包括實時異地多副本和硬盤快照等功能， 保證用戶數據的安全可靠。 在應用服務方面，云平臺提供虛擬的負載均衡器。負載均衡器把用戶請求轉發(fā)到多臺應用服務器上， 一旦某臺應用服務器失敗， 負載均衡器可以把失敗的應用服務器隔離，但對用戶請求仍然可以由其他的應用服務器提供。達到高可用性、負載平衡的運行環(huán)境。l 動態(tài)資源調整：云平臺的計算、存儲、網絡等資源的物理位置及底層的基礎架構對于用戶來說是透明和不相關的。 通過虛擬化技術可以實現硬件資源的整合池化， 云平臺所分配的計算、存儲和網絡資源都可以根據需要動態(tài)地調整，從而達到整個云計算平臺資源的平衡， 最合理地利用硬件計算資源， 提高IT資源的整體使用率。l 易用性：云平臺提供了一個統一的、易用的訪問門戶以及手機客戶端，用戶在云平臺上申請自己所需的服務（功能）與所需的硬件資源。直觀的訪問界面和操作提示減少用戶培訓時間，減少了二次學習時間。l 安全的平臺: 云平臺從多角度提供了數據安全，不僅是私有網絡的二層隔離，角色授權、操作日志、訪問日志等機制全方位保護云平臺的安全性。更和業(yè)界領先的云安全廠商合作，整合更專業(yè)的安全組件。2 網絡部分規(guī)劃2.1 網絡拓撲核心交換集群：采用兩臺高端交換設備進行虛機化集群，由兩臺交換機虛機為一臺高性能、高可用性、高負載能力交換機對象，提供萬兆網絡和存儲接入服務。匯聚交換機和云平臺節(jié)點服務器均使用10G光纖鏈接核心交換集群。2.2 設計依據數據中心的設計需要綜合考慮客戶需求和技術成熟度（包括網絡技術，節(jié)能技術和行業(yè)標準等）因素。 客戶需求數據中心的客戶需求包括客戶的業(yè)務戰(zhàn)略需求，應用部署需求，網絡管理需求和成本需求等多方面。l 業(yè)務戰(zhàn)略需求：包含客戶業(yè)務發(fā)展戰(zhàn)略對數據中心網絡的需求，如未來幾年內隨著業(yè)務發(fā)展，對網絡的容量、性能及功能產生的新需求。l 應用部署需求：包含應用軟件系統、服務器和存儲設備對網絡性能和功能的需求。l 網絡管理需求：數據中心網絡除了支持自身的管理外，還是服務器、存儲盤陣和其他應用系統的管理運行平臺。各系統的日常管理、控制指令都需要通過網絡提供的管理平臺發(fā)布和執(zhí)行。l 成本需求：數據中心網絡規(guī)劃應充分考慮機房環(huán)境，投資回報和維護成本問題。在綜合布線，供電和制冷規(guī)劃時參照綠色節(jié)能的理念，降低數據中心整體能耗，提高能源效率。 技術趨勢近兩年隨著數據中心的大規(guī)模建設，數據中心網絡技術快速發(fā)展。下圖為目前數據中心設計技術發(fā)展趨勢。數據中心網絡所處的整合、虛擬化和云計算三個階段相互區(qū)別，但并非簡單換代關系。 l 整合階段：本階段偏重資源整合，網絡性能要求低，業(yè)務分區(qū)物理獨立，業(yè)務較固定。l 虛擬化階段：該階段的網絡設計承前啟后，能夠提供較好的業(yè)務靈活性，使傳統數據中心結構得以延續(xù)。l 云計算階段：該階段數據中心的網絡設計要求資源能夠靈活調度，性能高，物理和邏輯分區(qū)界限模糊化且資源靈活按需使用。數據中心網絡規(guī)劃設計應該以現有網絡架構為基礎采用階段化策略，逐步建立穩(wěn)健、可持續(xù)運行的網絡架構。數據中心網絡設計人員還需要考慮以下幾個要素： l 數據中心機房的物理布局：包括基礎設施配備限制，物理空間使用，機房部署和布線空間等制約條件。 l 數據中心現有網絡的現狀：通?，F有的網絡是根據實際情況發(fā)展出來的，必須對網絡現狀進行具體分析，才能設計規(guī)劃出適合的數據中心網絡。如某些專有系統對網絡有特殊要求，數據中心網絡必須滿足，有些系統運行管理流程的要求，數據中心網絡也必須滿足。l 數據中心的行業(yè)標準：設計數據中心網絡時必須支持相關的行業(yè)標準，如TIA942布線標準、IEEE的各種接口標準，網絡距離限制都需要盡量滿足，以適應未來數據中心的運行管理和業(yè)務擴展。 設計原則數據中心網絡設計遵循以下設計原則：l 發(fā)展階段目前的建設階段為“云平臺”建設。l 模塊化考慮到業(yè)務的調整及發(fā)展，網絡結構和系統結構設計模塊化、易于擴展。l 高可靠網絡設計中采用冗余網絡設計，實現關鍵設備、鏈路冗余；關鍵設備選用高可靠性產品，可實現單板、模塊熱拔插、控制模塊設計冗余、電源冗余；減少網絡層級，簡化網絡結構，從網絡架構上提高可靠性。l 安全隔離數據中心網絡應具備有效的安全控制。按業(yè)務、按權限進行分區(qū)邏輯隔離，對特別重要的業(yè)務采取物理隔離。以服務器為中心的業(yè)務、IP存儲備份、管理網絡等多個網絡進行邏輯隔離，管理網絡采取物理隔離。l 可管理性和可維護性網絡應當具有良好的可管理性。為了便于維護，應盡可能選取集成度高、模塊可通用的產品。2.3 方案描述2.3.1 物理交換網核心交換集群：采用兩臺高端交換設備進行虛機化集群，由兩臺交換機虛機為一臺高性能、高可用性、高負載能力交換機對象，提供萬兆網絡和存儲接入服務。匯聚交換機和云平臺節(jié)點服務器均使用10G光纖鏈接核心交換集群。2.3.2 云平臺虛機網絡網絡虛擬化以軟件方式完整再現了物理網絡。虛擬網絡不僅可以提供與物理網絡相同的功能特性和性能保證，而且還具有虛擬化的運維優(yōu)勢和硬件獨立性，包括快速調配、無中斷部署、自動維護等。網絡虛擬化將邏輯網絡連接設備和服務（邏輯端口、交換機、路由器、防火墻、負載平衡器和VPN等）提供給已連接的工作負載。應用在虛擬網絡上的運行與在物理網絡上完全相同。使用SDN技術，實現網絡控制平面和轉發(fā)平面的分離，由此提供更友善、更強大的網絡配置和控制能力。云平臺通過網絡軟件定義(SDN)技術實現虛擬網絡的編程控制和網絡功能虛擬化(NFV)。云平臺提供了兩種組網方式：基礎網絡和私有網絡。前者是一個由QCMS維護的全局網絡，后者是基于VXLAN協議由用戶自行管理和定義的網絡。 私有網絡虛擬私有網絡(VPC)是云平臺環(huán)境內可以為用戶預配置出的一個專屬的大型網絡。在VPC網絡內，您可以自定義IP地址范圍、創(chuàng)建子網，并在子網內創(chuàng)建主機/數據庫/大數據等各種云資源。私有網絡之間是100%隔離的，以滿足對安全的100%追求。私有網絡類似物理世界中使用虛擬交換機（L2 Switch）將多臺服務器連接在一起，組成的局域網。虛擬路由器用于多個受管私有網絡之間互聯，并提供多項附加功能：DHCP、端口轉發(fā)、VPN、隧道服務和訪問控制，涵蓋了常用的網絡配置與管理工作。當用戶使用多臺主機工作時，通常會讓不同功能的主機分布在不同的子網里，例如：Web服務器和DB服務器因為訪問要求的不同而被分配在不同的子網里。提供的私有網絡功能幫助用戶輕松完成組網工作，針對上述案例，只需將Web服務的主機和DB服務的主機放置在不同的私有網絡里即可。私有網絡的節(jié)點通訊從傳統樹形結構變成網狀結構，所有節(jié)點之間進行點對點直接通訊，提高了節(jié)點間通訊的性能。私有網絡之間的通訊不在依賴單個虛擬路由器，而是通過分布式網關實現。提高了私有網絡之間通訊的效率，也提高了單個路由器可以接駁的私有網絡數目。一個私有網絡可以連接254個子網（Vxnet），且最多可以容納60,000臺虛擬主機。通過分布式路由器和虛擬直連技術，云平臺的VPC網絡可以在大規(guī)模部署的情況下，保障網絡集群的高性能和高可用。VPC網絡也可以實現和公網Internet的高效互通，任意一臺VPC網絡管理的主機都可以直接綁定EIP；同時，負載均衡器也可以直接連接VPC網絡內的主機。在VPC網絡里，管理路由器只負責VPN/隧道/DNS/端口轉發(fā)等管理功能，以及這些管理流量的轉發(fā)和路由，不再處理子網之間的轉發(fā)流量。VPC網絡內的主機可以綁定自己的EIP；設置專屬的防火墻，這些IP、防火墻與管理路由器之間沒有隸屬關系。 自管網絡如果云提供的路由器功能無法滿足您對網絡管理的需求，您可以創(chuàng)建自管私有網絡，以自行配置和管理該網絡。一個云主機可以加入多個自管網絡，每個自管網絡對應云主機的一塊虛擬網卡：從操作系統角度可以看到系統有4個網卡，eth0對應到受管網絡，eth13對應到3個自管網絡smn1,smn3和smn2。手工可以修改自管網絡的網絡配置。如eth1被修改為0。此時如有其它云主機也加入到smn1自管網絡且設置ip到同一個網絡，則兩個云主機可以相互ping通。 網絡功能虛擬化通過軟件定義網絡實現了網絡功能虛擬化，提供了虛擬負載均衡、虛擬防火墻功能。虛擬負載均衡器可以將來自多個EIP地址的訪問流量分發(fā)到多臺主機上，并支持自動檢測并隔離不可用的主機，從而提高業(yè)務的服務能力和可用性。 同時，你還可以隨時通過添加或刪減主機來調整你的服務能力，而且這些操作不會影響業(yè)務的正常訪問。 負載均衡器支持HTTP/HTTPS/TCP 三種監(jiān)聽模式，并支持透明代理，可以讓后端主機不做任何更改，直接獲取客戶端真實IP。 另外，負載均衡器還支持靈活配置多種轉發(fā)策略，實現高級的自定義轉發(fā)控制功能。同時，提供的虛擬防火墻來保護網絡的訪問。云的虛擬防火墻采用的是分布式防火墻技術，就是利用每個計算節(jié)點物理主機的IPTABLES，把所有計算節(jié)點組成了一個分布式的防火墻。為每個用戶提供了一個缺省防火墻，我們也可以自建更多的防火墻。不同的云服務器可以被設置不同的防火墻策略。 物理組網由于不僅需要支持虛擬機之間高速的通信，還要支撐完成多份實時副本的工作，為保證整個平臺的性能，我們規(guī)劃云平臺的支撐網絡應該規(guī)劃為萬兆（10Gb/s）網絡，。在云計算管理平臺對于網絡設備的使用都只當為二層（鏈路層）設備來使用，物理網絡設備只是解決連通性問題，無需使用任何三層（網絡層）的協議。這樣的好處是在確保性能最優(yōu)的前提下，無需復雜的配置，無論是工程實施，還是后期維護，工作量都大大減少了；同時系統的構建不用依賴任何廠家的網絡產品，再也沒有廠商鎖定的困擾。3 計算及存儲規(guī)劃3.1 平臺拓撲整個云平臺由：控制節(jié)點、對象存儲網關節(jié)點、計算、分布式存儲節(jié)點、對象存儲節(jié)點構成。3.2 設計依據從技術架構來看，云計算出現之前的數據中心大多采用“豎井式”的應用開發(fā)部署方式，無論是機房基礎設施，還是網絡資源、存儲資源、計算資源等都采用專業(yè)化維度的部署管理，對于應用軟件投產、數據分布及備份采用按應用系統“一事一議”的方式部署。這種各個系統部件、應用緊耦合的維護、變更模式流程較為復雜。數據中心普遍通過在ServiceDesk中采用專門的變更、問題流程管理功能協調各專業(yè)部門的工作流。隨著業(yè)務的發(fā)展，數據中心在一定程度上出現了IT資源局部富余但整體緊張的現象。數據中心為了更好的管理既有業(yè)務系統，同時提升IT系統的運行效率，規(guī)劃采用云數據中心方式對業(yè)務系統提供統一的IT能力服務平臺。另一方面，考慮到數據中心未來長期的云計算平臺建設策略，建議規(guī)劃整體的云計算建設路線圖，并對當前的基礎架構云進行詳細設計。云數據中心平臺的建設，應該考慮到的設計原則為：n 可管理性原則 系統架構中應提供集成、統一的軟硬件管理功能，滿足各種日常的管理需求，適應新一代數據中心管理快捷、方便的特點 n 開放性原則 架構必須能夠滿足自身的穩(wěn)定性，同時具有集成的異構兼容性，在滿足新的業(yè)務需求同時不需要對架構進行重新設計或對現有架構重大修改。 n 可擴展性原則 可擴展性是指未來應用系統的業(yè)務量增加時，資源能夠自動擴展以適應更多用戶、更多的業(yè)務處理及存儲能力。 n 安全性原則 系統架構必須是能夠提供認證、訪問控制能力的環(huán)境，以確保業(yè)務關鍵信息的完整性、保密性 。 n 適度性原則 結合自身需求， 資源以滿足目前要求為基準，并適度前瞻。 n 持續(xù)性原則 IT架構設計應該具有持續(xù)性，滿足目前要求并可持續(xù)擴展，持續(xù)優(yōu)化。3.3 方案描述云計算平臺的建設是分階段、分步來實施的，并且伴隨業(yè)務訪問量和對存儲空間、存儲性能的要求，還可對本項目云平臺進行水平擴展，本項目規(guī)劃由：控制節(jié)點、對象存儲網關節(jié)點、計算分布式存儲節(jié)點、對象存儲節(jié)點構成。本次數據中心的基礎架構云的建設可達成以下預期目標：3.3.1 彈性與自動化的基礎設施通過建設軟件定義的數據中心，實現能以按需方式，通過網絡，方便的訪問數據中心的可配置計算資源共享池(比如：網絡，服務器，存儲，應用程序和服務) 。同時以最少的管理開銷，完成自動化迅速配置提供或釋放資源，應對不確定以及海量的訪問壓力時提供足夠的計算資源。3.3.2 按需服務，平臺交付統一便捷的服務提供能力與集成能力，為資源使用者提供標準化的服務目錄與資源申請、管理平臺，使其可以方便的連接到云計算平臺，申請所需服務與資源，并便捷的進行管理。降低對于人工配置和流程的依賴，在滿足總體管理需求的前提下提升服務水平。3.3.3 敏捷的IT服務水平 不僅滿足服務器資源池化的需求，同時對存儲、網絡、數據庫、緩存等關鍵組件都實現軟件定義和標準的服務提供能力，將物理資源轉化為邏輯資源，利用模版化、API、秒級交付、批量構建等手段，加速IT資源的供給速度，提高服務水平。3.3.4 簡化管理，智能統一運維通過云計算管理平臺，實現對資源的統一化及動態(tài)化分配和管理。將多組服務器、網絡和存儲通過軟件定義技術， 將其作為一個超大規(guī)模的集群進行統一管理，可以對其進行資源的動態(tài)分配和調整及回收， 提高管理效率，并通過安全設置可以保證虛擬資源的安全性和獨立性。3.3.5 硬件故障無害化，保障業(yè)務連續(xù)通過其高可用設計，可以實現最可靠的運算平臺。將任何一臺服務器的失敗， 云計算管理平臺都可以自動發(fā)現， 并把失敗的服務器從可用服務器列表中剔除，從而保證任意時間用戶請求的計算資源都是建立的可用的服務器之上。同時， 將該服務器上的負載自動遷移到其他可用的服務器上，保障應用負載在硬件失敗時自動恢復。同時方案提供各種應用、數據的備份機制（高連續(xù)性服務），可實現應用層面的多節(jié)點負載、快照、HA，數據節(jié)點的3副本的備份機制，提供多種安全保障功能，解決業(yè)務的意外中斷和數據丟失困擾。同時實現網絡的冗余配置，以確保物理網絡連接的高可用。使用SDN等網絡虛擬化技術，構建高可用的虛擬用戶網絡。使用分布式文件系統，構建統一的存儲池，提供包括實時異地多副本和硬盤快照等功能， 保證用戶數據的安全可靠。 在應用服務方面， 提供虛擬的負載均衡器，把用戶請求轉發(fā)到多臺不同物理宿主的應用服務器上， 一旦某臺應用服務器失敗， 負載均衡器可以把失敗的應用服務器隔離， 但對用戶來講，其請求仍然可以由其他的應用服務器提供。達到高可用性、負載平衡的運行環(huán)境，保障業(yè)務連續(xù)。3.3.6 計算虛擬化需求計算虛擬化是指通過虛擬化技術將一臺物理計算機虛擬為多臺邏輯計算機。在一臺物理計算機上同時運行多個邏輯計算機，每個邏輯計算機可運行不同的操作系統，并且應用程序都可以在相互獨立的空間內運行而互不影響，從而顯著提高計算機的工作效率。虛擬化使用軟件的方法重新定義劃分IT資源，可以實現IT資源的動態(tài)分配、靈活調度、跨域共享，提高IT資源利用率，使IT資源能夠真正成為社會基礎設施，服務于各行各業(yè)中靈活多變的應用需求。計算虛擬化的功能及技術需求如下： 采用目前主流的KVM全虛擬化技術，應支持不重啟主機動態(tài)升級KVM版本； 支持計算資源虛擬化，形成分布式計算資源池。虛擬化效率不小于99.95%； 支持計算設備“一虛多”。同一臺物理主機上同時支持多種操作系統，或是相同操作系統的不同版本。分區(qū)與分區(qū)之間相互獨立，互不影響； 支持資源的動態(tài)調配與彈性可伸縮。資源池具備各級資源的按需獲取功能，提高資源消費者的可用性、容錯與擴展能力。資源響應的速度應達到秒級。 支持虛擬機的在線和離線遷移； 支持虛擬機系統自動批量部署，一次同時部署的規(guī)模能達到200臺虛擬機。3.3.7 分布式存儲分布式存儲系統，是將數據分散存儲在多臺獨立的設備上。傳統的網絡存儲系統采用集中的存儲服務器存放所有數據，存儲服務器成為系統性能的瓶頸，也是可靠性和安全性的焦點，不能滿足大規(guī)模存儲應用的需要。分布式網絡存儲系統采用可擴展的系統結構，利用多臺存儲服務器分擔存儲負荷，它不但提高了系統的可靠性、可用性和存取效率，還易于擴展。分布式存儲系統不僅為虛擬主機提供塊存儲也為對象存儲提供存儲能力。同時分布式存儲系統提供數據的多（3）個實時副本，保證用戶數據的安全。分布式存儲系統的功能及技術需求如下：n 支持增量擴容和自動數據平衡能力，允許用戶定制數據分布策略；n 架構避免固定的集中控制點，且各節(jié)點能自動進行故障監(jiān)測、切換以及數據遷移；n 具備高可擴展性，可支持上億個文件和PB以上量級的文件存儲；支持不重啟系統，增加物理服務器后自動擴容；n 在不依賴SAN&NAS等特殊硬件設備的條件下，提供高可用性和高可靠性；n 提供至少3份數據實時副本，且保證至少有一份跨機架的數據副本；n 服務可用性要高于99.95%；數據可靠性要高于99.99999%;n 基于SAS硬盤的虛擬存儲IO性能不小于120MB/s, 基于SSD硬盤的虛擬存儲IO性能不小于300MB/s。n 應采用Shared-nothing架構設計，支持1萬以上用戶并發(fā)讀寫，支持1000臺以上物理服務器集群。3.3.8 網絡虛擬化（SDN）網絡虛擬化完整再現了物理網絡。虛擬網絡不僅可以提供與物理網絡相同的功能特性和性能保證，而且還具有虛擬化的運維優(yōu)勢和硬件獨立性，包括快速調配、 無中斷部署、自動維護等。網絡虛擬化將邏輯網絡連接設備和服務（邏輯端口、交換機、路由器、防火墻、負載平衡器和VPN等）提供給已連接的工作負載。應用在虛擬網絡上的運行與在物理網絡上完全相同。使用SDN技術，實現網絡控制平面和轉發(fā)平面的分離，由此提供更友善、更強大的網絡配置和控制能力。網絡虛擬化和SDN的功能及技術需求如下：n 采用軟件+硬件方式，通過軟硬件集成實現SDN，靈活調度與管理虛擬網絡，并實現已應用為中心的基礎架構；n 通過SDN技術實現網絡虛擬化，構建網絡資源池；n 支持虛擬私有網絡，私有網絡間要100%二層網絡隔離，支持不同用戶自由使用網絡資源；n 支持虛擬路由器，虛擬交換機，虛擬防火墻，虛擬負載均衡器，可以按需配置網絡邏輯拓撲；n 通過SDN實現DHCP，端口轉發(fā)，隧道服務，VPN接入服務和過濾控制服務；n 支持通過SDN功能實現機房間通過網絡安全隧道（IP-Sec）聯通。4 網絡安全規(guī)劃4.1 方案目標充分解讀網絡安全等級保護相關政策和標準，全面提升網絡安全防護能力，應對新威脅、新應用下的安全威脅，利用云端安全服務、云防護的創(chuàng)新技術理念與技術落地，實現對網絡安全的智能統一管理，并達到國家網絡安全等級保護的相關標準與要求。4.2 設計依據l 中辦200327號文件國家信息化領導小組關于加強信息安全保障工作的意見l 四部委于2004年9月15日發(fā)布公通字200466號信息安全等級保護工作的實施意見l 四部委2007年06月17日發(fā)布（2007）公通字43號 信息安全等級保護管理辦法l GB/T 22239.1 信息安全技術 信息安全等級保護基本要求 第1部分：安全通用要求l GB/T 22239.2 信息安全技術 信息安全等級保護基本要求 第2部分：云計算安全擴展要求l GB/T 31167-2014 信息安全技術 云計算服務安全指南l GB/T 31168-2014 信息安全技術 云計算服務安全能力要求4.3 等保要求l 對標新等保的第三級安全通用要求。l “物理和環(huán)境要求”不在本方案的撰寫范疇。網絡和通信安全網絡架構鏈路負載防火墻數據庫審計運維審計堡壘機WEB防火墻漏洞掃描抗DDOS攻擊通信傳輸防火墻邊界防護防火墻運維審計堡壘機訪問控制防火墻入侵防范IPS數據庫審計WEB防火墻抗DDOS攻擊惡意代碼防范防火墻防病毒網關安全審計防火墻數據庫審計運維審計堡壘機日志審計WEB防火墻漏洞掃描抗DDOS攻擊集中管控防火墻漏洞掃描抗DDOS攻擊設備和計算安全身份鑒別防火墻虛擬化安全數據庫審計運維審計堡壘機WEB防火墻抗DDOS攻擊訪問控制防火墻虛擬化安全數據庫審計運維審計堡壘機WEB防火墻漏洞掃描虛擬化安全數據庫審計運維審計日志審計WEB防火墻漏洞掃描抗DDOS攻擊入侵防范虛擬化安全WEB防火墻抗DDOS攻擊惡意代碼防范虛擬化安全虛擬化安全數據庫審計運維審計堡壘機WEB防火墻抗DDOS攻擊應用和數據安全身份鑒別數據庫審計運維審計堡壘機數據庫審計運維審計堡壘機WEB防火墻數據庫審計運維審計堡壘機日志審計軟件容錯數據庫審計運維審計堡壘機WEB防火墻資源控制數據庫審計運維審計堡壘機數據備份恢復數據庫審計運維審計堡壘機WEB防火墻個人信息保護數據庫審計運維審計堡壘機安全運維管理漏洞和風險管理漏洞掃描4.4 方案拓撲4.5 功能描述產品名稱產品描述產品形態(tài)數量單位場景及配件選型鏈路負載集多線路智能選路和多鏈路相互備份，保障網絡連通硬件2網絡和通信安全虛擬化安全提供針對虛擬化平臺的一站式的包含防病毒、IPS、WEBSHELL、主機防火墻的防護。軟件1應用和數據安全+設備和計算安全抗DDOS抗拒絕服務攻擊