机房建设方案18180

件平台具有可靠的系统恢复和数据恢复的能力，并可以提供及时有效的技术支持目前市场上关系型数据产品主要有Oracle SQLServer、DB2等目前较为成熟的数据库集群方式主要有oracle rac、sql severalwayson以及amoeba+mysql分布式数据库等可根据实际业务需求选择适当的数据库集群

1.5存储及备份系统建设

1.

5.1存储容量及分层存储项目中的存储容量可根据业务类型或者数据读写要求进行分层规划，如cache级的可考虑SSD固态磁盘，数据库等可选择15000转的SAS磁盘，音视频等建议使用普通的大容量SATA磁盘

1.

5.2存储技术选择目前主流的存储技术有两种SAN StorageArea Network和NAS NetworkAttachedStorage它们分别适用于不同的应用环境o目前基于FC的SAN应用方案最多，成熟的产品也很多FC-SAN主要由磁盘阵列、FC交换机和主机光纤接口卡等组成FC-SAN存储系统主要具有如下技术特点:？采用可伸缩的FC Switch网络拓扑结构，通过高速光纤通道连接，提供SAN内部任意节点之间的多路可选择的数据交换，设备访问的网络拥塞处理也交由高速交换机处理，使得连接设备的增多几乎不影响各个设备的访问速度高性能支持

2、

4、8和16Gbps端口速度自适应支持热拔插，高可靠性、可用性、可维护性SAN存储适合于大数据量存储、需要实时访问数据的应用本项目的数据量较大，且对数据安全稳定要求较高，因此，存储系统采用SAN存储结构目前中高端的存储系统可将FC SAN、IP SAN以及NAS等功能融合为一体,可根据实际数据读写和传输要求按需选择L

5.3备份体系的选择数据已成为企业信息化的核心，企业应用依赖于数据来开展一切业务，因而企业应用一直冀望于备份技术可以为数据提供最大程度的保护可以说，备份系统是企业信息化系统的保障，是企业应用数据安全的关键业界备份技术发展历程经过了磁带到磁盘的转变，在磁盘备份技术的基础上又发展出虚拟磁带库VTL技术VTL虚拟磁带库是把磁盘虚拟成磁带库，VTL的具备以下优势无缝融入用户当前环境，无须更新备份软件或改变备份策略，保护用户投资；加快了读写的速度，缩短了备份窗口，轻松应对备份窗；能在不修改备份软件的前提下，利用磁盘进行备份；多种RAID级别的磁盘阵列冗余，提供稳固可靠的数据保护；备份数据可策略性地导出到物理磁带上离线存储；支持备份数据的远程复制；本项目存在诸多关键业务数据，建议采用VTL的方式来提高数据的安全性

1.

5.4存储备份系统方案概述整个存储备份系统由光纤交换网络、磁盘阵列、数据备份系统等部分组成光纤交换网络是存储备份系统的网络基础，其关键设备是光纤交换机方案建议配置两台光纤交换机组建冗余的SAN核心交换网络磁盘阵列是存储备份系统的核心方案配置一套双控制器FC主机通道磁盘通道为SAS的磁盘阵列，为接入SAN的服务器提供安全、高速的存储空间备份系统采用软件备份方案，实现对客户端系统、文件以及数据库的策略备份为了保证SAN存储的管理、备份策略的制定以及调整，系统配置一台备份管理服务器进行数据备份备份由备份服务器和虚拟带库组成，备份服务器和虚拟带库同时通过光纤通道卡HBA与光纤交换机相连，以便实现业务数据的LAN-free或Server-free备份本方案主要体现以下优势可靠性在结构上充分考虑了可靠性，首先在核心交换层上配置2台高可靠的光纤交换机作为双核心部署，构成双星型结构；光纤交换机、磁盘存储设备都采用冗余设计高性能支持

2、

4、8和16Gbps端口速度自适应安全性交换机采用Zoning方式，保证特定的主机和应用只能访问特定的存储空间,防止数据被不属于可访范围的主机访问扩展性方案采用光纤交换机，可以扩展端口，并能通过级联形成Fabric网络磁盘阵列系统在容量和光纤通道端口等方面具有良好的可扩展性虚拟带库在接口和磁盘等方面同样具有较好的可扩展性网络建设以及规划中一个必须考虑却又难以把握的重要内容承载各种网络应用的带宽容量瓶颈不打开，网络应用的发展空间就会捉襟见肘本项目主要依托互联网建设，根据以往项目经验，互联网和VPN网络配置100M以上的出口带宽是必要的，也是符合卓信集团的业务发展需要的本项目的主要网络核心设备之间设计采用万兆以太网互联，这解决了网络核心的性能瓶颈本项目的汇聚层和接入层的流量主要来自各个区域的服务器设备且数量规模不大（服务器直接连接核心交换机），千兆链路能够确保流量及时上传至核心层，基本不存在影响整个网络性能的瓶颈设计方案概述根据项目实际情况，整体设计将网络系统按边界划分为互联网、内部办公网以及本项目新建内网本项目新建内网与互联网通过防火墙逻辑隔离，本项目新建内网与内部办公网通过防火墙逻辑隔离；本项目新建的内网按业务逻辑又划分为互联网业务区、内部业务区以及核心数据区，各区域之间逻辑隔离；由于互联网业务区主要面向互联网用户提供服务，存在较高风险，但互联网业务区的部分应用有着访问核心数据区的需求，因此方案设计在这两个区域之间部署一台防火墙，确保数据流向和访问许可，保障核心数据区的网络和数据安全L

3.3万兆以太网技术的应用万兆（10G）技术的推出，提供了一种简单的带宽升级途径，解决了带宽不断增加的问题，使网络实现平滑过渡以及各种网络之间的“融合”10G以太网提供业务的高速运作保证了应用的高速发展选择10G是大势所趋，它不但在技术上解决带宽瓶颈，更重要的是它体现了宽带技术发展趋势的同时，能够有效地承载网络的未来的应用当千兆已无法满足当下不断增长的业务数据传输需求，服务器虚拟化和融合成为了目前数据中心发展的主要趋势万兆以太网能克服千兆的容量限制，同时可支持未来数据中心的带宽增长并简化布线成本的优势就凸现出来本项目的主要网络核心设备之间设计采用万兆以太网互联，解决网络核心的性能瓶颈

1.

3.4本地流量负载均衡的实现方案设计在互联网业务区交换机以及内部业务区交换机上分别旁路部署一台硬件负载均衡设备，实现所属区域内的服务器负载均衡，保证业务的连续性，增强网络数据吞吐量、处理能力和灵活性服务器负载均衡又称本地流量负载均衡

1.

3.5边界防护-防火墙防火墙是网络安全最基本、最经济、最有效的手段之一防火墙可以实现内外网或不同信任域之间的隔离与访问控制防火墙可以做到网络间的访问控制需求，过滤一些不安全服务，可以针对协议、端口号、时间、邮件地址等条件实现安全的访问控制项目主要依托互联网和VPN专网建设，因此本项目涉及的网络边界为两个，即本项目新建内网与互联网边界，本项目新建内网与集团内网边界根据业务逻辑，项目新建内网可划分为3个安全区域，分别为互联网业务区、内部业务区以及核心数据区本项目部署的防护墙为下一代防火墙，下一代防火墙集传统防火墙、VPN、入侵防御、防病毒、数据防泄漏、带宽管理、Anti-DDoS URL过滤、反垃圾邮件等多种功能与一身，全局配置视图和一体化策略管理在各边界及区域部署下一代防火墙能够实现以下安全保护内网边界防护在内网汇聚网络部署下一代防火墙对用户通过防火墙策略基于用户信息进行访问控制互联网出口防护在互联网出口部署下一代防火墙，在出口进行访问控制，阻止一切非认证访问启用入侵防御功能，提供应用层威胁实时防护VPN远程互联通过下一代防火墙的VPN接入，在互联网上构建一条可信、可控、可管的安全传输隧道

1.

3.6监控检测体系建设-入侵检测随着网络应用范围的不断扩大，来自内部和外部的恶意攻击、非法访问等安全威胁也与日俱增，对入侵攻击的检测与防范、保障计算机系统、网络系统及整个信息基础设施的安全是保证业务安全开展的前提基于网络的开放性与自由性，网上有各种各样的人，他们的意图也是形形色色的利用防火墙技术，经过严谨的配置，通常能够为不同安全域之间提供安全的网络保护，降低网络安全风险但是，仅仅使用防火墙，网络安全还远远不够，主要表现在以下几个方面入侵者可伪装成正常的访问请求通过防火墙，寻找内部系统可能存在的缺陷某些恶意程序（木马后门）和破坏者可能就在防火墙保护的系统内部由于性能的限制，防火墙通常不能提供实时的入侵检测能力保护措施单一因此为了弥补防火墙的不足，建立立体防御体系，需要利用网络入侵检测系统在各个关键点实时监测网络的运行状态，监视并记录各网段上的所有操作，以便及时发现对网络中重要服务器和主机的非法操作和恶意攻击并做出及时响应通过网络入侵检测系统用于分区实时检测和保护核心服务器和数据库，这样能够实时监控网络传输情况，自动检测可疑行为，分析来自网络外部和内部的入侵信号，在网络受到危害前发出预警，以便及时作出预判应对，最大程度地为网络提供安全保障网络入侵检测系统的部署与网络结构有密切的关系，把网络入侵检测引擎放在关键网段上，采用旁路监听方式，能够监测关键系统和应用的异常行为；选择某台服务器作为入侵检测系统的管理控制中心，对探测引擎进行策略下发、事件上报等管理具体部署如下入侵检测系统的探测引擎有管理端口和监听端口，将监听端口旁路接到网络出口的防火墙上，这样探测引擎就可以实时监控到被监听端口的数据流量了将探测引擎的管理端口接在核心数据区的交换机的普通端口，使之能与管理控制台服务器进行正常的通信在互联网和集团内网出口防火墙上旁路部署入侵检测系统能够实现以下安全保护检测外部用户对内网客户端及浏览器的攻击行为；检测外部用户对内网服务器与应用系统的攻击行为；识别互联网的流量类型

1.4服务器系统建设

1.

1.1服务器主机分类及选型本项目涉及的服务器按照功能大类进行分类主要可分为数据库、应用服务器等数据库服务器数据库系统是整个系统的核心，对服务器的CPU主频、内存大小以及磁盘I/O等方面有着较高要求，数据库系统是应用系统的数据分析、数据挖掘的核心基础组件，其可靠性、可用性、性能将直接影响到应用系统的整体表现本项目核心数据区建议部署基于物理主机的集群数据库系统，为应用系统提供数据库服务应用服务器对于应用服务器，它的要求要比数据库服务器要低，它主要强调系统实时响应速度，对CPU、内存、I/O要求相对较低的，本项目部分应用服务器可由虚拟机承担，计算资源以及存储资源可实现按需分配

1.

1.2服务器虚拟化虚拟化概述L

4.

2.1虚拟化打破了物理硬件与操作系统及在其上运行的应用程序之间的硬性连接操作系统和应用程序在虚拟机中实现虚拟化之后，便不再因位于单台物理计算机中而受到种种束缚物理元素（如交换机和存储器）的虚拟等效于在可跨越整个企业的虚拟基础架构内运行与物理机一样，虚拟机是运行操作系统和应用程序的软件计算机管理程序用作虚拟机的运行平台，并且可以整合计算资源每个虚拟机包含自己的虚拟（基于软件的）硬件，包括虚拟CPU、内存、硬盘和网络接口卡虚拟化计算机x86计算机硬件被设计为只能运行单个操作系统和单个应用程序，这导致了大多数计算机未得到充分利用即使安装了众多应用程序，大多数计算机仍无法得到充分利用在最基本的层次上，通过虚拟化可以在单台物理计算机上运行多个虚拟机，且所有虚拟机可在多种环境下共享该物理计算机的资源在同一物理计算机上，不同的虚拟机可以独立、并行运行不同的操作系统和多个应用程序下图所示的就是一台物理主机在虚拟化前和虚拟后的差别虚拟化基础架构除了虚拟化单台物理计算机之外，还可以构建整个虚拟基础架构，其规模包括数千台互联的物理计算机和存储设备通过虚拟化，可以动态移动资源和处理能力，分配硬件资源无需向每个应用程序永久分配服务器、存储器或网络带宽云计算虚拟基础架构是云计算的基础云计算依赖于可扩展的弹性模型来提供IT服务，而该模型本身依赖于虚拟化才可正常工作服务器整合通过虚拟化进行服务器整合可以更充分地利用现有的服务器此外，还可以限制需要管理、支持、存储和购买的物理资源通过整合现有的工作负载并利用剩余的服务器以部署新的应用程序和解决方案，可以实现较高的整合率业务连续性通过虚拟化，IT可以缩短甚至消除计划和非计划的停机时间例如，使用vSphere可以将虚拟机实时迁移到其他主机，并随时对物理服务器执行维护，而无需用户介入或中断服务通过使用High Availability和FaultTolerance等vSphere功能，可以缩短非计划停机时间传统的灾难恢复计划需要手动执行复杂的步骤来分配恢复资源、执行裸机恢复、恢复数据并验证系统是否可以使用VMware vSphere简化了此环境硬件配置、固件、操作系统和应用程序变为存储在磁盘上一些文件中的数据使用备份或复制软件保护这些文件便可确保整个系统受到保护无需更改这些文件便可将它们恢复到任何物理计算机上，因为虚拟机独立于硬件」本项目虚拟化平台设计L

4.2本项目中计划将现有PC服务器安装ESXi加入虚拟化平台，物理主机都通过光纤HBA接入SAN,实现计算和存储资源的虚拟化本项目中的大部分应用服务器可通过虚拟化技术来实现

1.

4.3应用服务器负载均衡为了保障系统的可持续业务运行，重要的、业务繁忙的应用服务器可通过部署在互联网业务区和内网业务区的硬件负载均衡设备进行部署，正常情况下实现本地流量负载均衡，在某一台应用服务器出现故障的情况下确保系统能够提供正常的应用服务

1.

4.4数据库服务器集群数据库平台选型，一方面要考虑空间基础数据的管理，因为安全生产综合监管平台的一部分基础数据是空间数据，因此选择的数据库软件平台要有较好的空间基础数据管理的能力；另外要考虑数据库软件平台的安全运行，需要数据库软。