【文章內(nèi)容簡介】 信息安全：適用與信息安全有關(guān)的信息技術(shù)應(yīng)用系統(tǒng)建設(shè)。. 質(zhì)量保證體系 (1)．系統(tǒng)質(zhì)量保證體系將遵循“數(shù)字XX”的系統(tǒng)設(shè)計標準 ◇建立質(zhì)量控制流程； ◇建立系統(tǒng)編制標準； ◇制定系統(tǒng)測試的標準和方法； ◇在每個階段規(guī)范項目工作和改進項目質(zhì)量。 (2)．本項目將制定系統(tǒng)設(shè)計規(guī)范包括程序名、文件名和變量的規(guī)范化以及數(shù)據(jù)字典等，并要求在實施過程中提供以下技術(shù)文檔： ◇項目規(guī)劃與系統(tǒng)實施方案； ◇系統(tǒng)體系架構(gòu)及描述； ◇系統(tǒng)軟件功能設(shè)計說明書； ◇系統(tǒng)需求規(guī)格說明書； ◇系統(tǒng)概要設(shè)計、詳細設(shè)計說明書； ◇數(shù)據(jù)庫設(shè)計說明書；◇系統(tǒng)代碼設(shè)計說明書；◇系統(tǒng)測試方案及測試分析報告；◇系統(tǒng)軟硬件配置說明；◇系統(tǒng)安裝維護手冊、用戶使用手冊；◇系統(tǒng)軟硬件培訓(xùn)資料；◇系統(tǒng)故障及應(yīng)急處理預(yù)案說明書第4章. 建設(shè)方案 基于本期XX單位XX云計算平臺的建設(shè)思路一一搭建基于IaaS層面的云計算平臺，如何采用云計算技術(shù)建立動態(tài)的IT資源平臺，并使之具備快速IT服務(wù)交付能力，進而通過動態(tài)的IT架構(gòu)來應(yīng)對有關(guān)省直單位XX業(yè)務(wù)發(fā)展的需要；將應(yīng)用和業(yè)務(wù)從底層的IT資源中分離出來，提高系統(tǒng)的可移植性，并能夠充分利用更加優(yōu)化的系統(tǒng)和網(wǎng)絡(luò)資源以提高效率、降低整體成本是本期建設(shè)方案需要重點解決的問題。 為此，我們建議以XX應(yīng)用系統(tǒng)為頂層架構(gòu)來搭建XX單位XX云計算資源池，它是由計算資源池、存儲資源池、網(wǎng)絡(luò)資源池、XX應(yīng)用程序以及運營管理平臺共同組成，運營管理平臺負責(zé)對資源池和應(yīng)用進行管理調(diào)度及告警監(jiān)控。其組成框架如下圖所示。圖3：資源池組成框架圖以下針對XX云計算資源池的各組成部分分別進行具體闡述。. 網(wǎng)絡(luò)資源池. 組網(wǎng)物理拓撲圖 XXXX云計算平臺組網(wǎng)物理拓撲如下圖所示：圖4：XX云計算平臺組網(wǎng)物理拓撲圖本工程新增3根移動專線接入，單根200Mpbs帶寬。一根為XX互聯(lián)網(wǎng)接入?yún)^(qū)對外提供服務(wù)用，一根用于VPN專線，一根用于XX辦公人員訪問互聯(lián)網(wǎng)使用。 整個云計算平臺在組網(wǎng)設(shè)計上滿足雙網(wǎng)雙平面結(jié)構(gòu)，從網(wǎng)絡(luò)接口、網(wǎng)絡(luò)鏈路到關(guān)鍵網(wǎng)絡(luò)設(shè)備均配置冗余部件。在網(wǎng)絡(luò)接口上每臺物理服務(wù)器至少配置3張網(wǎng)卡，分別用于業(yè)務(wù)服務(wù)、虛擬化平臺宿主機管理、IP存儲系統(tǒng)互聯(lián)。業(yè)務(wù)服務(wù)網(wǎng)絡(luò)根據(jù)業(yè)務(wù)屬性不同，通過MPLS VPN劃分為公用網(wǎng)絡(luò)區(qū)、互聯(lián)網(wǎng)接入?yún)^(qū)、專用網(wǎng)絡(luò)區(qū)。虛擬化計算資源可以在不同的網(wǎng)絡(luò)區(qū)域中自由遷移。 在匯聚層旁掛防火墻、隔離網(wǎng)閘、運維審計、數(shù)據(jù)庫審計系統(tǒng)等安全設(shè)備。其中防火墻用于實現(xiàn)同一網(wǎng)絡(luò)區(qū)域中不同業(yè)務(wù)系統(tǒng)的之間的安全隔離；隔離網(wǎng)閘用于在MPLS VPN隔離的不同網(wǎng)絡(luò)區(qū)域之間進行安全數(shù)據(jù)交換，同時用于XX和XX之間的數(shù)據(jù)安全交換。. 網(wǎng)絡(luò)負載均衡設(shè)計 網(wǎng)絡(luò)負載均衡分鏈路負載均衡和本地負載均衡，總體邏輯示意圖如下圖所示：圖5：網(wǎng)絡(luò)負載均衡示意圖. 鏈路負載均衡設(shè)計 如上圖所示，將移動互聯(lián)網(wǎng)專線和電信互聯(lián)網(wǎng)專線接入鏈路負載均衡器，鏈路負載均衡器通過對所有Internet鏈路進行流量路由和控制帶寬服務(wù)水平實現(xiàn)多互聯(lián)網(wǎng)接入的高可用性。鏈路負載均衡器將多條互聯(lián)網(wǎng)線路進行虛擬化處理，保障用戶從最好的線路訪問內(nèi)外部資源。任意一條ISP線路中斷，都不會對服務(wù)造成任何影響。通過鏈路負載均衡器可實現(xiàn)ISP接入線路的無縫擴展。 1) OutBound流量負載均衡 XX辦公人員訪問互聯(lián)網(wǎng)的流量到達鏈路負載均衡器時，將通過鏈路負載均衡器多種鏈路狀態(tài)檢測結(jié)果選擇最佳出口鏈路，提升用戶體驗。 2) InBound流量負載均衡 為使移動用戶和電信用戶通過不同互聯(lián)網(wǎng)鏈路訪問互聯(lián)網(wǎng)接入?yún)^(qū)應(yīng)用系統(tǒng)，鏈路負載均衡器的智能DNS解析功能將不同用戶訪問的域名解析成不同的公網(wǎng)IP地址，加速應(yīng)用訪問，提升用戶體驗。. 本地負載均衡設(shè)計 本工程新增本地負載均衡器兩臺，旁掛于匯聚交換機。實現(xiàn)對服務(wù)器的負載均衡。本地負載均衡器可以保障內(nèi)部資源的容錯性，內(nèi)部任何一個應(yīng)用節(jié)點出現(xiàn)問題都不會對用戶造成任何的影響，本地負載均衡器能夠自動的屏蔽有問題的應(yīng)用節(jié)點，讓其停止對外服務(wù)，同時把該故障節(jié)點上的用戶遷移到其他正常的節(jié)點上去。 匯聚層本地負載均衡器可以虛擬成為多個設(shè)備，滿足XX不同分區(qū)的安全隔離要求。 XX業(yè)務(wù)系統(tǒng)以B/S架構(gòu)為主，目前的WEB應(yīng)用都包含了大量的圖片，javascript，CSS文件等，這些文件的重復(fù)傳輸不但給服務(wù)器造成了壓力，同時也使得用戶的體驗受到了影響。本地負載均衡器通過HTTP壓縮的方式來節(jié)省帶寬以及提高訪問速度。通過靜態(tài)文件和動態(tài)文件的cache．文件壓縮，瀏覽器端文件cache控制等優(yōu)化技術(shù)，來提供對WEB應(yīng)用進行加速，提高用戶訪問速度。使用本地負載均衡器開放的API接口可以實現(xiàn)和云計算管理平臺的集成。. 網(wǎng)絡(luò)虛擬化設(shè)計. 云計算對傳統(tǒng)網(wǎng)絡(luò)的挑戰(zhàn) 傳統(tǒng)的網(wǎng)絡(luò)規(guī)劃設(shè)計依據(jù)高可靠思路，形成了冗余復(fù)雜的網(wǎng)狀網(wǎng)結(jié)構(gòu)，結(jié)構(gòu)化網(wǎng)狀網(wǎng)的物理拓撲在保持高可靠、故障容錯、提升性能上有著極好的優(yōu)勢，是通用設(shè)計規(guī)則。云計算的大規(guī)模運營，給傳統(tǒng)網(wǎng)絡(luò)架構(gòu)和傳統(tǒng)應(yīng)用部署都帶來了挑戰(zhàn)，新一代網(wǎng)絡(luò)支撐這種巨型的計算服務(wù)，不論是技術(shù)革新還是架構(gòu)變化，都需要服務(wù)于云計算的核心要求，動態(tài)、彈性、靈活，并實現(xiàn)網(wǎng)絡(luò)部署的簡捷化。具體來說傳統(tǒng)網(wǎng)絡(luò)面臨的挑戰(zhàn)主要有以下幾點： 一一傳統(tǒng)網(wǎng)絡(luò)的復(fù)雜性在實際的運維中，管理人員承擔(dān)了極其繁冗的工作量； 一一云計算平臺下多虛擬機部署在同一臺物理服務(wù)器上運，服務(wù)器的利用率從20%提高到80%，服務(wù)器端口流量大幅提升，對網(wǎng)絡(luò)性能提出更高要求；一一云計算平臺中，虛擬機在物理服務(wù)器之間進行遷移，為了避免虛擬機遷移后路由的震蕩和修改網(wǎng)絡(luò)規(guī)劃，遷移通常只在在二層域進行，因此云計算平臺需要具備一個性能更高、二層域更大的網(wǎng)絡(luò)環(huán)境為遷移提供保障。通過分析云計算對傳統(tǒng)網(wǎng)絡(luò)基礎(chǔ)架構(gòu)帶來的挑戰(zhàn)，我們可以從兩個方面來應(yīng)對。一是通過構(gòu)建高性能、高可靠的網(wǎng)絡(luò)，從而滿足云計算給網(wǎng)絡(luò)帶來的壓力；二是通過構(gòu)建虛擬化網(wǎng)絡(luò)來滿足云計算中由于虛擬機部署、遷移、以及安全策略實施對網(wǎng)絡(luò)提出的靈活性、安全性的要求。 總的來說，為滿足云計算的業(yè)務(wù)要求，統(tǒng)一的基礎(chǔ)網(wǎng)絡(luò)要素必然包括：高性能交換、虛擬化應(yīng)用、透明化交換。. 高性能二層網(wǎng)絡(luò) 為提供一個性能更高、二層域更大的網(wǎng)絡(luò)環(huán)境，本工程新增核心交換機和匯聚交換機通過交換機虛擬化技術(shù)（華三IRF思科VSS）分別虛擬成一臺邏輯設(shè)備，減少了設(shè)備節(jié)點，簡化了配置。通過跨設(shè)備鏈路聚合技術(shù)取代傳統(tǒng)部署方式中的STP+VRRP協(xié)議，使網(wǎng)絡(luò)拓撲變得簡潔，具備更強的擴展性；同時，其毫秒級的故障收斂時間，為虛擬機遷移提供了更加寬松的實現(xiàn)環(huán)境。圖6：交換機橫向虛擬化經(jīng)過二層透明化改造后，云計算平臺的匯聚接入層是一個透明二層網(wǎng)絡(luò)。不同業(yè)務(wù)（虛擬服務(wù)器）接入不同的二層VLAN，但同一個業(yè)務(wù)（虛擬服務(wù)器）可以在不同網(wǎng)絡(luò)分區(qū)里靈活部署與遷移，滿足了云計算的要求；同時，匯聚層以上進行的是VPN標簽交換與路由轉(zhuǎn)發(fā)，又保證了不同業(yè)務(wù)（虛擬服務(wù)器）的安全隔離。. 網(wǎng)絡(luò)服務(wù)虛擬化 為滿足不同XX分區(qū)的安全隔離要求，本項目在云計算平臺的匯聚層部署有匯聚交換機、防火墻、IPS、負載均衡器等設(shè)備。傳統(tǒng)網(wǎng)絡(luò)下，將為不同分區(qū)單獨配置一套安全設(shè)備，設(shè)備利用率低，運維管理復(fù)雜。在云計算平臺下，通過網(wǎng)絡(luò)服務(wù)虛擬化，統(tǒng)一建設(shè)一套性能強大、可擴展性良好的網(wǎng)絡(luò)服務(wù)設(shè)備，滿足為不同分區(qū)提供安全、應(yīng)用加速等服務(wù)。圖7：1：N網(wǎng)絡(luò)虛擬化技術(shù) 匯聚層交換機也通過虛擬化技術(shù)多實例，每個模擬出的交換機都擁有它自身的軟件進程、專用硬件資源（接口）和獨立的管理環(huán)境，可以實現(xiàn)獨立的安全管理界限劃分和故障隔離域。有助于將分立網(wǎng)絡(luò)整合為一個通用基礎(chǔ)設(shè)施，保留物理上獨立的網(wǎng)絡(luò)的管理界限劃分和故障隔離特性，并提供單一基礎(chǔ)設(shè)施所擁有的多種運營成本優(yōu)勢。如下圖所示：圖8：交換機縱向虛擬化. 虛擬交換機技術(shù)1) VMware VMware分布式虛擬交換機功能滿足網(wǎng)絡(luò)分區(qū)條件下，虛擬主機在線遷移等功能時，保證業(yè)務(wù)網(wǎng)絡(luò)的持續(xù)性。 虛擬交換機是構(gòu)成虛擬平臺網(wǎng)絡(luò)的關(guān)鍵角色，VMware虛擬化通過VMware vNetwork Distributed Switch，使虛擬機跨多個主機移動時始終處于同一個VLAN內(nèi)，它為虛擬機在物理服務(wù)器之間移動時監(jiān)視和保持其安全性提供了一個框架。VMware vNetwork Distributed Switch示意圖如下所示： 圖9：VMware vNetwork Distributed Switch示意圖 在多網(wǎng)絡(luò)分區(qū)環(huán)境時，VMware通過虛擬交換機的VLAN TRUNK，當一個端口啟用了TRUNK功能后，就具備端口聚合的功效，會自動檢測流向此端口的所有流量，并把不同VLAN的流量導(dǎo)向物理交換機上相應(yīng)的VLAN中。在一臺ESX主機上由多個千兆網(wǎng)卡綁定在一起(組合成vSwitch)提供VM對外通訊的流量，并與物理交換機上的多個啟用了TRUNK功能的端口相連接。此時VMs分別在VLAN l、VLANVLAN3上，同時在物理交換機上也有同樣ID的VLAN。那么，在VLAN1中的虛擬機，就可以和與物理交換機上VLAN1中的端口相連的機器相互通訊。同時實現(xiàn)虛擬化服務(wù)器在多網(wǎng)絡(luò)分區(qū)間的動態(tài)遷移。2）XEN通過將OPEN vSwitch（開放虛擬交換標準）作為其默認組件， FPI就實現(xiàn)對虛擬交換機的支持， SP2開始也實現(xiàn)了分布式的虛擬交換機功能。XenMotion是 Citrix Xenserver 的動態(tài)遷移技術(shù)，當然，該系列4款虛擬化產(chǎn)品中，目前只有最高等級的白金版和企業(yè)版才具備這項功能，至于標準版及完全免費的Express精簡版則無此項能力。不但是CITRIX旗下的虛擬化產(chǎn)品，其他基于Xen技術(shù)開發(fā)出來的虛擬化產(chǎn)品，例如Virtual Iron，也具備相似的動態(tài)遷移功能 LiveMigrate，除了免費提供的個人版之外，需要付款購買的企業(yè)版及企業(yè)加強版具有內(nèi)置該項功能。. IP地址及DNS規(guī)劃XXXX云計算平臺新增兩個獨立網(wǎng)段，一個用于云平臺及虛擬機宿主機之間通信，一個用于云計算平臺內(nèi)IP存儲系統(tǒng)網(wǎng)互聯(lián)；業(yè)務(wù)系統(tǒng)的IP地址和NDS規(guī)劃，沿用當前XX統(tǒng)一規(guī)劃。具體參考實施意見《XXXXIP地址規(guī)劃及管理規(guī)范》和《XX政府外網(wǎng)DNS及設(shè)備命名規(guī)范》。. IP地址規(guī)劃原則XX單位XXIP地址規(guī)劃遵從國信辦和國家外網(wǎng)工程辦有關(guān)規(guī)定和指導(dǎo)意見。XXIP直至規(guī)劃原則包括：IP地址規(guī)劃主要涉及到網(wǎng)絡(luò)資源利用的方便有限的管理網(wǎng)絡(luò)的問題，公有地址相對緊張的情況下，合理有效的利用IP地址成為IP地址規(guī)劃的主要問題，合理的IP地址規(guī)劃是有利于網(wǎng)絡(luò)管理的；IP地址的合理分配是保證網(wǎng)絡(luò)順利運行和網(wǎng)絡(luò)資源有效利用的關(guān)鍵。對于外網(wǎng)廣域骨干網(wǎng)IP地址的分配應(yīng)該采用國家XX工程辦分配的合法地址空間，充分考慮到地址空間的合理利用，保證實現(xiàn)最佳的網(wǎng)絡(luò)內(nèi)地址分配及業(yè)務(wù)流量的均勻分布；IP地址的規(guī)劃和劃分應(yīng)該考慮到網(wǎng)絡(luò)的后續(xù)規(guī)模和業(yè)務(wù)上的發(fā)展，能夠滿足未來發(fā)展的需要；既要滿足本期工程對IP地址的需求，同時要充分考慮未來的業(yè)務(wù)發(fā)展，預(yù)留相應(yīng)的地址段；IP地址的分配需要有足夠靈活性，能滿足各種用戶接入需要；地址分配是有業(yè)務(wù)驅(qū)動，按照業(yè)務(wù)量的大小分配各地的地址段；IP地址的分配必須采用VLSM(變長掩碼)技術(shù)，保證IP地址的利用效率；采用CIDR技術(shù)，這樣可以減小路由器路由表的大小，加快路由的收斂速度，也可以減小網(wǎng)絡(luò)廣播的路由信息的大?。怀浞趾侠砝靡焉暾埖牡刂房臻g，提高地址的利用效率；IP地址的規(guī)劃應(yīng)該是XX廣域骨干整體規(guī)劃的一部分，即IP地址規(guī)劃要和網(wǎng)絡(luò)層次規(guī)劃、路由協(xié)議規(guī)劃、流量規(guī)劃等結(jié)合起來考慮。IP地址的規(guī)劃應(yīng)盡可能和網(wǎng)絡(luò)層次相對應(yīng)，應(yīng)該是自頂向下的一種規(guī)劃。. IP地址規(guī)劃總體規(guī)劃 根據(jù)國家外網(wǎng)工程辦的規(guī)定，XXXX云平臺的公用網(wǎng)絡(luò)區(qū)使用國家申請的IP地址范圍為：XXX—XXX。 互聯(lián)網(wǎng)區(qū)供互聯(lián)網(wǎng)訪問的設(shè)備的IP目前有省電信、省移動提供外 網(wǎng)地址，數(shù)量考慮上留有余地?；ヂ?lián)網(wǎng)區(qū)XX移動提供有3根互聯(lián)網(wǎng)專線，每條專線提供一個C類外網(wǎng)IP地址段，共3個C類地址段供本平臺使用。 XX單位XX橫向需要互聯(lián)各個政府部門，縱向需要打通省，設(shè)區(qū)市、縣、鄉(xiāng)鎮(zhèn)（街道）四級部門單位，在外網(wǎng)地址規(guī)劃中，使用綜合地址規(guī)劃方案，采用公有地址和私有地址雙軌并行的辦法，在公有地址不夠時，允許采用私有地址作為部門單位的XX業(yè)務(wù)地址。 XX承載三種不同的網(wǎng)絡(luò)業(yè)務(wù)，為了最大程度地減少不同網(wǎng)絡(luò)業(yè)務(wù)區(qū)IP地址空間的重疊，XXXXIP地址總體規(guī)劃如下：網(wǎng)絡(luò)業(yè)務(wù)區(qū)地址空間（建議的）用戶地址空間公用網(wǎng)絡(luò)區(qū)互聯(lián)網(wǎng)接入?yún)^(qū)專用網(wǎng)絡(luò)區(qū)云計算平臺管理云計算平臺存儲IP網(wǎng)絡(luò) 業(yè)務(wù)地址從相應(yīng)的業(yè)務(wù)網(wǎng)絡(luò)區(qū)地址空間中劃分。 . DNS域名體系結(jié)構(gòu) XX單位XX升級和社區(qū)市網(wǎng)絡(luò)分別采用獨立的三級域名。 域名由根域和若干個子域名用“.”連接而成，。各級政府組成部門咋XX設(shè)置服務(wù)器后，應(yīng)將服務(wù)器的IP地址和對應(yīng)的域名在省電子網(wǎng)XX管中心注冊。 域名以45段為主，原則上不超過5段。如：“”；由省數(shù)據(jù)中心建立域名（)管理中心，；可在9個設(shè)區(qū)市市分別建立子域（)；，需在XX外網(wǎng)管理中心備案之后向國家外網(wǎng)管理中心注冊。. 集成智能DNS系統(tǒng) 本工程新增2臺鏈路負載均衡器，實現(xiàn)智能DNS解析功能。XX互聯(lián)網(wǎng)接入?yún)^(qū)應(yīng)用系統(tǒng)的DNS域名系統(tǒng)需與鏈路負載均衡器的智能DNS系統(tǒng)進行集成。通過對系統(tǒng)原有DNS授權(quán)域服務(wù)器配置進行修改，將動態(tài)記錄委派到鏈路負載均衡器上進行解析，再返回給發(fā)起DNS請求的用戶。根據(jù)解析結(jié)果引導(dǎo)用戶請求到不同的運營商鏈路，實現(xiàn)就近訪問。. 網(wǎng)絡(luò)安全域劃分與隔離 根據(jù)國家XX所承載的業(yè)務(wù)