IDC精品特服區(qū)解決方案技術(shù)白皮書

1、idc精品特服區(qū)解決方案技術(shù)白皮書 一.前言1.1需求分析idc 將傳統(tǒng)的isp和icp的優(yōu)勢(shì)結(jié)合起來(lái)，高可靠性的運(yùn)行環(huán)境保證和最大限度的帶寬保證是傳統(tǒng)idc 生存的基本要素。隨著互聯(lián)網(wǎng)的迅猛發(fā)展，專門提供主機(jī)托管及相關(guān)服務(wù)的idc也迅速發(fā)展，競(jìng)爭(zhēng)越來(lái)約激烈。如何通過(guò)通過(guò)細(xì)化服務(wù)產(chǎn)品，捕捉不同客戶的差異化需求，增強(qiáng)本idc的競(jìng)爭(zhēng)力，是出給idc管理者的難題。目前，idc除了提供電信級(jí)的設(shè)備運(yùn)行環(huán)境，骨干網(wǎng)級(jí)的帶寬容量之外，還在網(wǎng)絡(luò)應(yīng)用安全，高可用性保障、可管理性等方面做文章，在機(jī)柜租賃，主機(jī)托管，虛擬主機(jī)的傳統(tǒng)業(yè)務(wù)之后還爭(zhēng)相推出了防火墻租用服務(wù)，入侵檢測(cè)租用服務(wù)，緩存租用，遠(yuǎn)程監(jiān)控服務(wù)等等。并

2、提出精品idc的概念。1.2方案提出以citrix netscaler 產(chǎn)品為核心組成的精品idc解決方案，強(qiáng)調(diào)了應(yīng)用交付優(yōu)化的理念，為idc提供了一系列增值服務(wù)，其主要功能包括：l 支持多址鏡象備份，異地服務(wù)器狀態(tài)檢查，異地負(fù)載分擔(dān)。l 支持多鏈路聚合，解決電信和網(wǎng)通互聯(lián)瓶頸問(wèn)題。l switching-url，解決公網(wǎng)地址短缺和虛擬主機(jī)負(fù)載均衡的問(wèn)題。l 內(nèi)容緩存的應(yīng)用加速服務(wù)。l 壓縮加速l 流量浪涌保護(hù)功能。l tcp 優(yōu)化連接，提升服務(wù)器的處理能力。l 安全保護(hù)功能。l 多設(shè)備并行處理。二.方案功能介紹2.1多址鏡象備份、異地服務(wù)器狀態(tài)檢查、異地負(fù)載分擔(dān)(智能dns解析)隨著企業(yè)對(duì)電

3、子商務(wù)或信息系統(tǒng)可靠性的要求越來(lái)越高，一個(gè)企業(yè)可能將自己的主機(jī)托管到多個(gè)idc，這些服務(wù)器是主服務(wù)器的鏡象，通過(guò)多址鏡象保證服務(wù)的可靠。將異地服務(wù)器組成ha的系統(tǒng)。通過(guò)對(duì)用戶域名的智能dns解析，將流量引導(dǎo)到離客戶local dns 最近的服務(wù)器或帶寬情況最好的服務(wù)器上，就近訪問(wèn)和帶寬保證措施提升了用戶的訪問(wèn)質(zhì)量。2.2多鏈路精品區(qū)目前，中國(guó)電信和中國(guó)網(wǎng)通的網(wǎng)間互訪存在著延遲大的問(wèn)題，能解決這個(gè)問(wèn)題就會(huì)極大的增強(qiáng)本企業(yè)idc的競(jìng)爭(zhēng)力。citrix netscaler通過(guò)靜態(tài)路由表的方式,不僅解決了多isp互聯(lián)互通的問(wèn)題,同時(shí)又保證了鏈路的冗余,網(wǎng)絡(luò)的強(qiáng)壯.所以多鏈路負(fù)載均衡是idc精品形象的重

4、要內(nèi)容之一。2.3 switching-url基于url交換是支持idc雙鏈路特服區(qū)的重要功能。idc在接入多鏈路的時(shí)候，由于不同運(yùn)營(yíng)商的公網(wǎng)ip不能隨意互相廣播，所以只能使用nat的模式。一臺(tái)服務(wù)器正常工作就需要對(duì)應(yīng)屬于不同運(yùn)營(yíng)商的兩個(gè)ip地址。這有可能存在某個(gè)運(yùn)營(yíng)商的ip地址不夠用的情況發(fā)生，citrix netscaler的switching-url功能,通過(guò)檢查報(bào)頭中的url字段,使一個(gè)ip地址對(duì)應(yīng)多個(gè)域名,同時(shí)在內(nèi)部對(duì)應(yīng)多個(gè)web服務(wù)器的方式，來(lái)達(dá)到為idc節(jié)省寶貴ip地址資源的目的。內(nèi)容交換，也叫做七層交換。七層交換的特點(diǎn)就是可以根據(jù)不同的應(yīng)用或是七層的數(shù)據(jù)包信息來(lái)對(duì)流量進(jìn)行分配。

5、如下所示：七層交換可以根據(jù)用戶請(qǐng)求的七層信息（如url，http header等），在經(jīng)過(guò)策略來(lái)決定流量的去向。并且netscaler獨(dú)有的appexpert引擎可以非常靈活的來(lái)控制流量的去向。internetserversweb1web2和為同一個(gè)ip2.4內(nèi)存cache目前很多站點(diǎn)都是動(dòng)態(tài)頁(yè)面，這種頁(yè)面的生成每次都需要調(diào)用存儲(chǔ)在數(shù)據(jù)庫(kù)里的內(nèi)容，因此網(wǎng)頁(yè)瀏覽量的增加，將產(chǎn)生了大量的數(shù)據(jù)庫(kù)查詢操作，使數(shù)據(jù)庫(kù)服務(wù)器的壓力不斷增加，導(dǎo)致網(wǎng)站的整體性能不斷下降。緩存技術(shù)是減少數(shù)據(jù)庫(kù)訪問(wèn)量，增加web應(yīng)用性能的一個(gè)很好的方法。netscaler的內(nèi)存緩存技術(shù)，采用動(dòng)態(tài)和靜態(tài)應(yīng)用數(shù)據(jù)綜合內(nèi)容緩存功能，c

6、itrix netscaler系統(tǒng)可大幅減少企業(yè)網(wǎng)絡(luò)應(yīng)用所需的數(shù)據(jù)庫(kù)取出操作次數(shù)。打個(gè)比方，多個(gè)用戶需要相同應(yīng)用數(shù)據(jù)時(shí)，citrix netscaler系統(tǒng)可直接從內(nèi)存緩存提取內(nèi)容來(lái)服務(wù)用戶。由于無(wú)需重復(fù)生成常用應(yīng)用數(shù)據(jù)，高性能緩存可大大減輕應(yīng)用基礎(chǔ)架構(gòu)包括數(shù)據(jù)庫(kù)資源的負(fù)擔(dān)。 netscaler的內(nèi)存緩存技術(shù)，使得netscaler系統(tǒng)可以卸載很大部分服務(wù)器對(duì)于請(qǐng)求的消耗，使數(shù)據(jù)庫(kù)不再成為網(wǎng)絡(luò)性能的瓶頸，使站點(diǎn)可以更快的向最終用戶傳送內(nèi)容。靜態(tài)以及動(dòng)態(tài)內(nèi)容都可以支持，緩存的策略以及有效性也可以靈活的設(shè)置。高性能的緩存以及壓縮，內(nèi)容交換等其他優(yōu)化技術(shù)一起協(xié)同工作，使得用戶響應(yīng)時(shí)間達(dá)到最佳，并且w

7、eb站點(diǎn)的客擴(kuò)展性也顯著提高。2.5壓縮加速目前在網(wǎng)絡(luò)用戶中存在一些使用低帶寬、高延時(shí)wan和撥號(hào)連接方式的用戶，這些用戶使得服務(wù)器處理能力降低，客戶等待時(shí)間延長(zhǎng)。同時(shí)，大量的網(wǎng)絡(luò)流量，也使網(wǎng)絡(luò)出口資源緊張，而使所有的用戶等待時(shí)間延長(zhǎng)。netscaler的appcompress解決方案很好的解決了上述問(wèn)題，appcompress是一種可高效壓縮所有應(yīng)用數(shù)據(jù)流量的技術(shù)。通過(guò)降低發(fā)送到客戶端的數(shù)據(jù)數(shù)量，citrix netscaler解決方案可立刻將總帶寬需求降低50%或更多，改善所有用戶的應(yīng)用性能，特別是采用wan或其它遠(yuǎn)程連接方式的用戶。下圖是tolly group在2005年對(duì)appcomp

8、ress壓縮性能的測(cè)試報(bào)告： appcompress for httpappcompress for http的高級(jí)http壓縮功能加速了對(duì)所有用戶的web化應(yīng)用數(shù)據(jù)交付過(guò)程。它將標(biāo)準(zhǔn)web化頁(yè)面應(yīng)用發(fā)布過(guò)程提高了2到3倍，甚至將某些企業(yè)應(yīng)用數(shù)據(jù)發(fā)布過(guò)程提高了7倍，而未增加任何客戶端技術(shù)。同時(shí)，該功能還卸載了web服務(wù)器的計(jì)算密集的壓縮過(guò)程，因此企業(yè)無(wú)需追加基礎(chǔ)架構(gòu)投資就能服務(wù)更多用戶。 appcompress mpappcompress mp是一項(xiàng)多協(xié)議壓縮技術(shù)，可以對(duì)非web的應(yīng)用進(jìn)行壓縮，可改善用戶經(jīng)全/富客戶端（如microsoft® outlook）、非web瘦客戶端（由大

9、眾化企業(yè)應(yīng)用如oracle、行情發(fā)布系統(tǒng)等）以及移動(dòng)客戶端（如pocket pc）進(jìn)行應(yīng)用訪問(wèn)的性能。 appcompress extreme通過(guò)清除http內(nèi)容中的冗余數(shù)據(jù)，appcompress extreme技術(shù)改善了標(biāo)準(zhǔn)化http壓縮性能。該技術(shù)提供了一種強(qiáng)大的壓縮引擎，以策略為導(dǎo)向，可立即計(jì)算出應(yīng)用數(shù)據(jù)的差異，然后將變更數(shù)據(jù)發(fā)送給用戶。壓縮效率比普通的http壓縮更為強(qiáng)大。2.6浪涌保護(hù)當(dāng)用戶訪問(wèn)量出現(xiàn)突發(fā)式的增長(zhǎng)，往往導(dǎo)致服務(wù)器不堪負(fù)荷而宕機(jī)，這一問(wèn)題對(duì)用戶來(lái)說(shuō)意味著對(duì)這個(gè)站點(diǎn)失去了信心，從而導(dǎo)致客戶的損失。netscaler的浪涌保護(hù)機(jī)制，能夠平滑網(wǎng)絡(luò)流量，起到削峰平谷的作用，使

10、后臺(tái)應(yīng)用服務(wù)器安全度過(guò)網(wǎng)絡(luò)高峰期。如上圖，在沒(méi)有netscaler的時(shí)候，隨著客戶連接數(shù)的增加，服務(wù)器的連接數(shù)也不斷增加，當(dāng)服務(wù)器端連接數(shù)到達(dá)一個(gè)閥值之后，服務(wù)器資源耗盡，不能回應(yīng)任何客戶請(qǐng)求。部署netscaler之后，當(dāng)服務(wù)器連接數(shù)達(dá)到規(guī)定數(shù)值后，netscaler浪涌保護(hù)機(jī)制啟動(dòng)，緩存當(dāng)前的客戶請(qǐng)求，使后臺(tái)服務(wù)器安全度過(guò)網(wǎng)絡(luò)高峰期。2.7ssl加速 目前很多系統(tǒng)，如網(wǎng)上交易等系統(tǒng)都是采用加密協(xié)議的。ssl加密無(wú)疑是當(dāng)前最好的安全交易方式，ssl的安全加密、安全認(rèn)證和數(shù)字簽名等系統(tǒng)為用戶的網(wǎng)上交易提供了一個(gè)安全的通道，目前很多重要的電子交易系統(tǒng)，如網(wǎng)上銀行、民航電子客票系統(tǒng)等，都建立了基于

11、ssl技術(shù)的網(wǎng)上交易系統(tǒng)。 ssl 在 web 服務(wù)器上完成，大多數(shù) web 服務(wù)器支持ssl。但是，ssl是一個(gè)極其消耗 cpu 的進(jìn)程，通常會(huì)降低整個(gè)服務(wù)器的性能。一個(gè)普通的服務(wù)器一般只能每秒處理幾百個(gè)會(huì)話 (tps) ，并且較少的加密吞吐量nescaler內(nèi)置的ssl加速模塊，可以從服務(wù)器卸載 ssl 進(jìn)程，并與后臺(tái)服務(wù)器保持明文傳送。通過(guò)卸載大量占用 cpu 的 ssl 協(xié)商和加密解密工作， 改善服務(wù)器性能，加速用戶的響應(yīng)時(shí)間。加密隧道明文ssl加速優(yōu)點(diǎn)： 當(dāng)ssl被用來(lái)確保信息的安全性時(shí)，可以改善服務(wù)器的性能。 可以與所有 request switching的其他特性一起使用,例如壓

12、縮， tcp offload, 內(nèi)置緩存，內(nèi)容過(guò)濾等。 高性能: netscaler 可以支持到 8,800 tps, 760 mbps 加密吞吐量以及高達(dá) 750,000 并發(fā)連接。 同時(shí)，后端與服務(wù)器的加密傳輸也可以作為一個(gè)可選項(xiàng)來(lái)確保端到端的加密。 web服務(wù)器不需要做修改，證書被安裝在netscaler上。2.8 tcp 優(yōu)化服務(wù)器超負(fù)荷一直是web站點(diǎn)的瓶頸，傳統(tǒng)的服務(wù)器負(fù)載均衡方案在增加服務(wù)器以及均衡流量的基礎(chǔ)上增加了站點(diǎn)的性能，結(jié)果，越來(lái)越多的服務(wù)器被加入來(lái)滿足流量的持續(xù)增長(zhǎng)需求。服務(wù)器超負(fù)荷通常是由于大量的tcp連接建立和拆除. 因?yàn)檫@需要大量的cpu處理 包含很多無(wú)效的進(jìn)程處

13、理 這限制了服務(wù)器提供給用戶服務(wù)的吞吐量netscaler 優(yōu)化技術(shù)，能夠從服務(wù)器上卸載了tcp建立和拆除進(jìn)程。netscaler 充分利用了http 1.1允許多個(gè)請(qǐng)求復(fù)用到一個(gè)連接上的特點(diǎn)。netscaler 終結(jié)客戶端連接，提取其中的請(qǐng)求，按照負(fù)載均衡算法選擇合適的服務(wù)器，然后在已經(jīng)建立的常連接上發(fā)送請(qǐng)求。如下圖：tcp 優(yōu)化的優(yōu)點(diǎn) tcp 的建立和拆除,是一個(gè)非常消耗 cpu 資源的進(jìn)程，現(xiàn)在被極大的減少了。 服務(wù)器效率被顯著提升。 服務(wù)器負(fù)載被充分減少。 只要少量的服務(wù)器就可以滿足流量了。 同樣的服務(wù)器現(xiàn)在可以為更多用戶提供服務(wù)了。 對(duì)于用戶來(lái)說(shuō)完全透明，對(duì)于服務(wù)器也基本只需很小的改

14、動(dòng)。2.9安全防護(hù)netscaler能夠?yàn)楹戏ǖ挠脩袅髁刻峁┤阅?，能夠阻止?yīng)用層的病毒攻擊，如蠕蟲和nimenda病毒；能夠阻止網(wǎng)絡(luò)層拒絕服務(wù)（dos）攻擊，如syn flood、tear drop和icmp溢出；能夠阻止http dos攻擊等等。netscaler的內(nèi)容過(guò)濾功能能夠基于第七層的協(xié)議內(nèi)容過(guò)濾掉非法的請(qǐng)求和病毒。netscaler 能夠防范syn flood攻擊。netscaler可以經(jīng)受200萬(wàn)每秒synflood攻擊netscaler系統(tǒng)的syn cookie 機(jī)制確保了以下幾點(diǎn)：l 系統(tǒng)的內(nèi)存不會(huì)浪費(fèi)在非法的syn包上，實(shí)際上，內(nèi)存只被用來(lái)向合法用戶提供服務(wù)。l 合法用戶

15、的普通的tcp對(duì)話可以無(wú)終斷的得到服務(wù)，就算系統(tǒng)在syn flood攻擊下也是如此。l 正由于內(nèi)存只在收到http請(qǐng)求后才予以分配給連接， netscaler系統(tǒng)使得web站點(diǎn)避免受到了 “空閑連接” 攻擊。netscaler 還能有效的防范7層 dos 攻擊。一般來(lái)講，有兩種類型的7層 http dos攻擊： get攻擊以及 idle攻擊。 對(duì)于get攻擊,黑客在一個(gè)連接建立后發(fā)出非常多的get請(qǐng)求。 對(duì)于idle攻擊，攻擊者在連接建立后惡意停止一切活動(dòng)而空閑等待。 netscaler 系統(tǒng)在處理時(shí)，當(dāng)連入的session速率達(dá)到一個(gè)預(yù)先設(shè)定的門限值時(shí)，dos防衛(wèi)功能就自動(dòng)觸發(fā)。 netsc

16、aler 9000系統(tǒng)會(huì)抽樣對(duì)一部分客戶端請(qǐng)求發(fā)送帶有set-cookie的響應(yīng)。 惡意攻擊主機(jī)通常不會(huì)響應(yīng)set-cookie，所以這些攻擊包就會(huì)被丟棄。 而普通正常的http請(qǐng)求不會(huì)受到影響。 這個(gè)觸發(fā)的門限值以及發(fā)送set-cookie的比例值可以針對(duì)每個(gè)服務(wù)來(lái)精細(xì)微調(diào)。 并且，由上所述，連接不會(huì)在第一個(gè)get請(qǐng)求到達(dá)前建立。所以netscaler系統(tǒng)也可以有效的防止idle攻擊。2.10多設(shè)備并行處理 鑒于一些idc具有高帶寬出口線路的情況,采用多臺(tái)設(shè)備接入并行工作的方式, 以滿足高帶寬出口的需要.三、netscaler 產(chǎn)品線3.1citrix公司介紹思杰系統(tǒng)公司（納斯達(dá)克代碼：ct

17、xs）是全球領(lǐng)先的以及最值得信賴的按需接入基礎(chǔ)架構(gòu)解決方案提供商。全球有18萬(wàn)多家企業(yè)都在使用思杰接入平臺(tái)為用戶提供最好的應(yīng)用接入體驗(yàn)。思杰客戶包括100%的財(cái)富100強(qiáng)，98%的財(cái)富500強(qiáng)，以及成千上萬(wàn)家小企業(yè)和個(gè)人用戶。思杰在100多個(gè)國(guó)家擁有約6200多渠道商和合作伙伴。思杰公司2005年年收入達(dá)到9.09億美元。2005年8月，思杰系統(tǒng)公司收購(gòu)了私有netscaler公司，一家專門提供用于優(yōu)化重要網(wǎng)絡(luò)化應(yīng)用部署的綜合網(wǎng)絡(luò)解決方案的領(lǐng)先技術(shù)廠商。通過(guò)采用citrix netscaler優(yōu)化所有網(wǎng)絡(luò)化應(yīng)用并利用citrix presentation server虛擬化所有傳統(tǒng)和客戶端/服

18、務(wù)器應(yīng)用，各地客戶可隨時(shí)隨地讓任何用戶接入任何應(yīng)用，并且提供最好的接入體驗(yàn)。五年前，netscaler開始實(shí)施一項(xiàng)偉大計(jì)劃，改善全球企業(yè)的網(wǎng)絡(luò)化應(yīng)用部署和交付。我們的目標(biāo)是在提高應(yīng)用安全性和降低應(yīng)用的總擁有成本的同時(shí)改善應(yīng)用用戶的滿意度和生產(chǎn)效率，讓用戶體驗(yàn)到真正的不同。有了這個(gè)目標(biāo)，netscaler開發(fā)出了革命性的應(yīng)用部署解決方案，將傳統(tǒng)數(shù)據(jù)中心網(wǎng)絡(luò)產(chǎn)品的所有功能如負(fù)載平衡、緩存、壓縮、ssl加速和安全性融入了單一的綜合解決方案，經(jīng)過(guò)全新設(shè)計(jì)，提供了無(wú)與倫比的性能和可靠性。如今，上百家全球財(cái)富1000公司都依靠citrix netscaler產(chǎn)品來(lái)改善其至關(guān)重要的網(wǎng)絡(luò)化應(yīng)用的性能、安全性和

19、可靠性。而且，通過(guò)google、ebay、a、yahoo！、msn、e*trade、 s、betfair、ticketmaster和其它數(shù)十家全球熱門網(wǎng)站，citrix netscaler產(chǎn)品改善了75%因特網(wǎng)用戶的接入體驗(yàn)。除了將應(yīng)用性能提高到15倍以外，citrix netscaler解決方案還最大程度地提高了應(yīng)用的正常運(yùn)行時(shí)間，將后端服務(wù)器負(fù)荷減少了一半，極大地降低了總運(yùn)營(yíng)成本。結(jié)果，思杰成為目前唯一一家可在任何地方為所有客戶提供真正意義上的最好應(yīng)用接入體驗(yàn)的公司，應(yīng)用包括客戶端/服務(wù)器、網(wǎng)絡(luò)、電子郵件、協(xié)作、文件接入和語(yǔ)音。citrix系列主要有兩個(gè)系列的產(chǎn)品。即應(yīng)用加速器系列及應(yīng)用交

20、換機(jī)系列。3.1citrix netscaler產(chǎn)品線特性矩陣citrix netscaler產(chǎn)品線特性矩陣特性應(yīng)用交換機(jī)企業(yè)版應(yīng)用交換機(jī)標(biāo)準(zhǔn)版應(yīng)用加速器加速終端用戶性能citrix® appcompresstm for httpcitrix appcompress mptcp客戶端優(yōu)化citrix® appcompress extremetm··········增強(qiáng)應(yīng)用可用性4層負(fù)載平衡7層內(nèi)容交換4層dos防御7層內(nèi)容過(guò)濾7層dos防御廣域服務(wù)器負(fù)載平衡（gslb）基于鄰

21、近廣域負(fù)載平衡浪涌保護(hù)優(yōu)先排隊(duì)··············改善數(shù)據(jù)中心效率tcp多路復(fù)用tcp緩沖ssl卸載和加速citrix® appcachetm高速緩存重定向············可用硬件平臺(tái)12000、10000、9000、700070009000、70003.2citrix netscaler 應(yīng)用交付系統(tǒng)硬件性能指

22、標(biāo)硬件平臺(tái)120001000090007000支持產(chǎn)品應(yīng)用交換機(jī)企業(yè)版應(yīng)用交換機(jī)企業(yè)版應(yīng)用交換機(jī)企業(yè)版應(yīng)用交換機(jī)標(biāo)準(zhǔn)版應(yīng)用加速器應(yīng)用加速器應(yīng)用交換機(jī)企業(yè)版應(yīng)用加速器平臺(tái)屬性處理器雙單單單內(nèi)存4 gb4 gb2 gb1 gb以太網(wǎng)端口8×gbit sfp銅或光端口1×100/10base-t4×gbit光端口 或4×1000/100base-t1×1000/100base-t4×gbit光端口 或4×1000/100/10base-t1×1000/100/10base-t2×1000/100/10base-t6×100/10base-tfips支持可用平臺(tái)性能每秒http請(qǐng)求275,000250,000125,00050,000每