【文章內容簡介】 ◇建立系統(tǒng)編制標準； ◇制定系統(tǒng)測試的標準和方法； ◇在每個階段規(guī)范項目工作和改進項目質量。 (2)．本項目將制定系統(tǒng)設計規(guī)范包括程序名、文件名和變量的規(guī)范化以及數據字典等，并要求在實施過程中提供以下技術文檔： ◇項目規(guī)劃與系統(tǒng)實施方案； ◇系統(tǒng)體系架構及描述； ◇系統(tǒng)軟件功能設計說明書； ◇系統(tǒng)需求規(guī)格說明書； ◇系統(tǒng)概要設計、詳細設計說明書； ◇數據庫設計說明書；◇系統(tǒng)代碼設計說明書；◇系統(tǒng)測試方案及測試分析報告；◇系統(tǒng)軟硬件配置說明；◇系統(tǒng)安裝維護手冊、用戶使用手冊；◇系統(tǒng)軟硬件培訓資料；◇系統(tǒng)故障及應急處理預案說明書第4章. 建設方案 基于本期XX單位XX云計算平臺的建設思路一一搭建基于IaaS層面的云計算平臺，如何采用云計算技術建立動態(tài)的IT資源平臺，并使之具備快速IT服務交付能力，進而通過動態(tài)的IT架構來應對有關省直單位XX業(yè)務發(fā)展的需要；將應用和業(yè)務從底層的IT資源中分離出來，提高系統(tǒng)的可移植性，并能夠充分利用更加優(yōu)化的系統(tǒng)和網絡資源以提高效率、降低整體成本是本期建設方案需要重點解決的問題。 為此，我們建議以XX應用系統(tǒng)為頂層架構來搭建XX單位XX云計算資源池，它是由計算資源池、存儲資源池、網絡資源池、XX應用程序以及運營管理平臺共同組成，運營管理平臺負責對資源池和應用進行管理調度及告警監(jiān)控。其組成框架如下圖所示。圖3：資源池組成框架圖以下針對XX云計算資源池的各組成部分分別進行具體闡述。. 網絡資源池. 組網物理拓撲圖 XXXX云計算平臺組網物理拓撲如下圖所示：圖4：XX云計算平臺組網物理拓撲圖本工程新增3根移動專線接入，單根200Mpbs帶寬。一根為XX互聯網接入區(qū)對外提供服務用，一根用于VPN專線，一根用于XX辦公人員訪問互聯網使用。 整個云計算平臺在組網設計上滿足雙網雙平面結構，從網絡接口、網絡鏈路到關鍵網絡設備均配置冗余部件。在網絡接口上每臺物理服務器至少配置3張網卡，分別用于業(yè)務服務、虛擬化平臺宿主機管理、IP存儲系統(tǒng)互聯。業(yè)務服務網絡根據業(yè)務屬性不同，通過MPLS VPN劃分為公用網絡區(qū)、互聯網接入區(qū)、專用網絡區(qū)。虛擬化計算資源可以在不同的網絡區(qū)域中自由遷移。 在匯聚層旁掛防火墻、隔離網閘、運維審計、數據庫審計系統(tǒng)等安全設備。其中防火墻用于實現同一網絡區(qū)域中不同業(yè)務系統(tǒng)的之間的安全隔離；隔離網閘用于在MPLS VPN隔離的不同網絡區(qū)域之間進行安全數據交換，同時用于XX和XX之間的數據安全交換。. 網絡負載均衡設計 網絡負載均衡分鏈路負載均衡和本地負載均衡，總體邏輯示意圖如下圖所示：圖5：網絡負載均衡示意圖. 鏈路負載均衡設計 如上圖所示，將移動互聯網專線和電信互聯網專線接入鏈路負載均衡器，鏈路負載均衡器通過對所有Internet鏈路進行流量路由和控制帶寬服務水平實現多互聯網接入的高可用性。鏈路負載均衡器將多條互聯網線路進行虛擬化處理，保障用戶從最好的線路訪問內外部資源。任意一條ISP線路中斷，都不會對服務造成任何影響。通過鏈路負載均衡器可實現ISP接入線路的無縫擴展。 1) OutBound流量負載均衡 XX辦公人員訪問互聯網的流量到達鏈路負載均衡器時，將通過鏈路負載均衡器多種鏈路狀態(tài)檢測結果選擇最佳出口鏈路，提升用戶體驗。 2) InBound流量負載均衡 為使移動用戶和電信用戶通過不同互聯網鏈路訪問互聯網接入區(qū)應用系統(tǒng)，鏈路負載均衡器的智能DNS解析功能將不同用戶訪問的域名解析成不同的公網IP地址，加速應用訪問，提升用戶體驗。. 本地負載均衡設計 本工程新增本地負載均衡器兩臺，旁掛于匯聚交換機。實現對服務器的負載均衡。本地負載均衡器可以保障內部資源的容錯性，內部任何一個應用節(jié)點出現問題都不會對用戶造成任何的影響，本地負載均衡器能夠自動的屏蔽有問題的應用節(jié)點，讓其停止對外服務，同時把該故障節(jié)點上的用戶遷移到其他正常的節(jié)點上去。 匯聚層本地負載均衡器可以虛擬成為多個設備，滿足XX不同分區(qū)的安全隔離要求。 XX業(yè)務系統(tǒng)以B/S架構為主，目前的WEB應用都包含了大量的圖片，javascript，CSS文件等，這些文件的重復傳輸不但給服務器造成了壓力，同時也使得用戶的體驗受到了影響。本地負載均衡器通過HTTP壓縮的方式來節(jié)省帶寬以及提高訪問速度。通過靜態(tài)文件和動態(tài)文件的cache．文件壓縮，瀏覽器端文件cache控制等優(yōu)化技術，來提供對WEB應用進行加速，提高用戶訪問速度。使用本地負載均衡器開放的API接口可以實現和云計算管理平臺的集成。. 網絡虛擬化設計. 云計算對傳統(tǒng)網絡的挑戰(zhàn) 傳統(tǒng)的網絡規(guī)劃設計依據高可靠思路，形成了冗余復雜的網狀網結構，結構化網狀網的物理拓撲在保持高可靠、故障容錯、提升性能上有著極好的優(yōu)勢，是通用設計規(guī)則。云計算的大規(guī)模運營，給傳統(tǒng)網絡架構和傳統(tǒng)應用部署都帶來了挑戰(zhàn)，新一代網絡支撐這種巨型的計算服務，不論是技術革新還是架構變化，都需要服務于云計算的核心要求，動態(tài)、彈性、靈活，并實現網絡部署的簡捷化。具體來說傳統(tǒng)網絡面臨的挑戰(zhàn)主要有以下幾點： 一一傳統(tǒng)網絡的復雜性在實際的運維中，管理人員承擔了極其繁冗的工作量； 一一云計算平臺下多虛擬機部署在同一臺物理服務器上運，服務器的利用率從20%提高到80%，服務器端口流量大幅提升，對網絡性能提出更高要求；一一云計算平臺中，虛擬機在物理服務器之間進行遷移，為了避免虛擬機遷移后路由的震蕩和修改網絡規(guī)劃，遷移通常只在在二層域進行，因此云計算平臺需要具備一個性能更高、二層域更大的網絡環(huán)境為遷移提供保障。通過分析云計算對傳統(tǒng)網絡基礎架構帶來的挑戰(zhàn)，我們可以從兩個方面來應對。一是通過構建高性能、高可靠的網絡，從而滿足云計算給網絡帶來的壓力；二是通過構建虛擬化網絡來滿足云計算中由于虛擬機部署、遷移、以及安全策略實施對網絡提出的靈活性、安全性的要求。 總的來說，為滿足云計算的業(yè)務要求，統(tǒng)一的基礎網絡要素必然包括：高性能交換、虛擬化應用、透明化交換。. 高性能二層網絡 為提供一個性能更高、二層域更大的網絡環(huán)境，本工程新增核心交換機和匯聚交換機通過交換機虛擬化技術（華三IRF思科VSS）分別虛擬成一臺邏輯設備，減少了設備節(jié)點，簡化了配置。通過跨設備鏈路聚合技術取代傳統(tǒng)部署方式中的STP+VRRP協(xié)議，使網絡拓撲變得簡潔，具備更強的擴展性；同時，其毫秒級的故障收斂時間，為虛擬機遷移提供了更加寬松的實現環(huán)境。圖6：交換機橫向虛擬化經過二層透明化改造后，云計算平臺的匯聚接入層是一個透明二層網絡。不同業(yè)務（虛擬服務器）接入不同的二層VLAN，但同一個業(yè)務（虛擬服務器）可以在不同網絡分區(qū)里靈活部署與遷移，滿足了云計算的要求；同時，匯聚層以上進行的是VPN標簽交換與路由轉發(fā)，又保證了不同業(yè)務（虛擬服務器）的安全隔離。. 網絡服務虛擬化 為滿足不同XX分區(qū)的安全隔離要求，本項目在云計算平臺的匯聚層部署有匯聚交換機、防火墻、IPS、負載均衡器等設備。傳統(tǒng)網絡下，將為不同分區(qū)單獨配置一套安全設備，設備利用率低，運維管理復雜。在云計算平臺下，通過網絡服務虛擬化，統(tǒng)一建設一套性能強大、可擴展性良好的網絡服務設備，滿足為不同分區(qū)提供安全、應用加速等服務。圖7：1：N網絡虛擬化技術 匯聚層交換機也通過虛擬化技術多實例，每個模擬出的交換機都擁有它自身的軟件進程、專用硬件資源（接口）和獨立的管理環(huán)境，可以實現獨立的安全管理界限劃分和故障隔離域。有助于將分立網絡整合為一個通用基礎設施，保留物理上獨立的網絡的管理界限劃分和故障隔離特性，并提供單一基礎設施所擁有的多種運營成本優(yōu)勢。如下圖所示：圖8：交換機縱向虛擬化. 虛擬交換機技術1) VMware VMware分布式虛擬交換機功能滿足網絡分區(qū)條件下，虛擬主機在線遷移等功能時，保證業(yè)務網絡的持續(xù)性。 虛擬交換機是構成虛擬平臺網絡的關鍵角色，VMware虛擬化通過VMware vNetwork Distributed Switch，使虛擬機跨多個主機移動時始終處于同一個VLAN內，它為虛擬機在物理服務器之間移動時監(jiān)視和保持其安全性提供了一個框架。VMware vNetwork Distributed Switch示意圖如下所示： 圖9：VMware vNetwork Distributed Switch示意圖 在多網絡分區(qū)環(huán)境時，VMware通過虛擬交換機的VLAN TRUNK，當一個端口啟用了TRUNK功能后，就具備端口聚合的功效，會自動檢測流向此端口的所有流量，并把不同VLAN的流量導向物理交換機上相應的VLAN中。在一臺ESX主機上由多個千兆網卡綁定在一起(組合成vSwitch)提供VM對外通訊的流量，并與物理交換機上的多個啟用了TRUNK功能的端口相連接。此時VMs分別在VLAN l、VLANVLAN3上，同時在物理交換機上也有同樣ID的VLAN。那么，在VLAN1中的虛擬機，就可以和與物理交換機上VLAN1中的端口相連的機器相互通訊。同時實現虛擬化服務器在多網絡分區(qū)間的動態(tài)遷移。2）XEN通過將OPEN vSwitch（開放虛擬交換標準）作為其默認組件， FPI就實現對虛擬交換機的支持， SP2開始也實現了分布式的虛擬交換機功能。XenMotion是 Citrix Xenserver 的動態(tài)遷移技術，當然，該系列4款虛擬化產品中，目前只有最高等級的白金版和企業(yè)版才具備這項功能，至于標準版及完全免費的Express精簡版則無此項能力。不但是CITRIX旗下的虛擬化產品，其他基于Xen技術開發(fā)出來的虛擬化產品，例如Virtual Iron，也具備相似的動態(tài)遷移功能 LiveMigrate，除了免費提供的個人版之外，需要付款購買的企業(yè)版及企業(yè)加強版具有內置該項功能。. IP地址及DNS規(guī)劃XXXX云計算平臺新增兩個獨立網段，一個用于云平臺及虛擬機宿主機之間通信，一個用于云計算平臺內IP存儲系統(tǒng)網互聯；業(yè)務系統(tǒng)的IP地址和NDS規(guī)劃，沿用當前XX統(tǒng)一規(guī)劃。具體參考實施意見《XXXXIP地址規(guī)劃及管理規(guī)范》和《XX政府外網DNS及設備命名規(guī)范》。. IP地址規(guī)劃原則XX單位XXIP地址規(guī)劃遵從國信辦和國家外網工程辦有關規(guī)定和指導意見。XXIP直至規(guī)劃原則包括：IP地址規(guī)劃主要涉及到網絡資源利用的方便有限的管理網絡的問題，公有地址相對緊張的情況下，合理有效的利用IP地址成為IP地址規(guī)劃的主要問題，合理的IP地址規(guī)劃是有利于網絡管理的；IP地址的合理分配是保證網絡順利運行和網絡資源有效利用的關鍵。對于外網廣域骨干網IP地址的分配應該采用國家XX工程辦分配的合法地址空間，充分考慮到地址空間的合理利用，保證實現最佳的網絡內地址分配及業(yè)務流量的均勻分布；IP地址的規(guī)劃和劃分應該考慮到網絡的后續(xù)規(guī)模和業(yè)務上的發(fā)展，能夠滿足未來發(fā)展的需要；既要滿足本期工程對IP地址的需求，同時要充分考慮未來的業(yè)務發(fā)展，預留相應的地址段；IP地址的分配需要有足夠靈活性，能滿足各種用戶接入需要；地址分配是有業(yè)務驅動，按照業(yè)務量的大小分配各地的地址段；IP地址的分配必須采用VLSM(變長掩碼)技術，保證IP地址的利用效率；采用CIDR技術，這樣可以減小路由器路由表的大小，加快路由的收斂速度，也可以減小網絡廣播的路由信息的大小；充分合理利用已申請的地址空間，提高地址的利用效率；IP地址的規(guī)劃應該是XX廣域骨干整體規(guī)劃的一部分，即IP地址規(guī)劃要和網絡層次規(guī)劃、路由協(xié)議規(guī)劃、流量規(guī)劃等結合起來考慮。IP地址的規(guī)劃應盡可能和網絡層次相對應，應該是自頂向下的一種規(guī)劃。. IP地址規(guī)劃總體規(guī)劃 根據國家外網工程辦的規(guī)定，XXXX云平臺的公用網絡區(qū)使用國家申請的IP地址范圍為：XXX—XXX。 互聯網區(qū)供互聯網訪問的設備的IP目前有省電信、省移動提供外 網地址，數量考慮上留有余地?；ヂ摼W區(qū)XX移動提供有3根互聯網專線，每條專線提供一個C類外網IP地址段，共3個C類地址段供本平臺使用。 XX單位XX橫向需要互聯各個政府部門，縱向需要打通省，設區(qū)市、縣、鄉(xiāng)鎮(zhèn)（街道）四級部門單位，在外網地址規(guī)劃中，使用綜合地址規(guī)劃方案，采用公有地址和私有地址雙軌并行的辦法，在公有地址不夠時，允許采用私有地址作為部門單位的XX業(yè)務地址。 XX承載三種不同的網絡業(yè)務，為了最大程度地減少不同網絡業(yè)務區(qū)IP地址空間的重疊，XXXXIP地址總體規(guī)劃如下：網絡業(yè)務區(qū)地址空間（建議的）用戶地址空間公用網絡區(qū)互聯網接入區(qū)專用網絡區(qū)云計算平臺管理云計算平臺存儲IP網絡 業(yè)務地址從相應的業(yè)務網絡區(qū)地址空間中劃分。 . DNS域名體系結構 XX單位XX升級和社區(qū)市網絡分別采用獨立的三級域名。 域名由根域和若干個子域名用“.”連接而成，。各級政府組成部門咋XX設置服務器后，應將服務器的IP地址和對應的域名在省電子網XX管中心注冊。 域名以45段為主，原則上不超過5段。如：“”；由省數據中心建立域名（)管理中心，；可在9個設區(qū)市市分別建立子域（)；，需在XX外網管理中心備案之后向國家外網管理中心注冊。. 集成智能DNS系統(tǒng) 本工程新增2臺鏈路負載均衡器，實現智能DNS解析功能。XX互聯網接入區(qū)應用系統(tǒng)的DNS域名系統(tǒng)需與鏈路負載均衡器的智能DNS系統(tǒng)進行集成。通過對系統(tǒng)原有DNS授權域服務器配置進行修改，將動態(tài)記錄委派到鏈路負載均衡器上進行解析，再返回給發(fā)起DNS請求的用戶。根據解析結果引導用戶請求到不同的運營商鏈路，實現就近訪問。. 網絡安全域劃分與隔離 根據國家XX所承載的業(yè)務和系統(tǒng)服務類型的不同，在邏輯上，將國家XX劃分為公用網絡區(qū)（Global）、 專用網絡區(qū)（VPN）和互聯網接入區(qū)（Internet）三個功能域， 分別提供國家XX互聯互通業(yè)