【導(dǎo)讀】河南中原云大數(shù)據(jù)集團(tuán)有限公司·媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目。河南中原云大數(shù)據(jù)集團(tuán)有限公司

　　

【正文】 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 28 頁(yè) , 共 153 頁(yè) 數(shù)據(jù)輸出邊界安全資源池區(qū)需求 數(shù)據(jù)輸出邊界安全資源池是 CDN、 IPTV、 OTT 等業(yè)務(wù)的安全防護(hù)，可能發(fā)生的互聯(lián)網(wǎng)威脅主要有 暴力猜解 (BrutForceAttack)，端口掃描 (Portscan)，嗅探，病毒，蠕蟲(chóng)，垃圾郵件，木馬， SQL 注入 、 網(wǎng)絡(luò)攻擊 DDOS 等多種安全威脅，因此只有防火墻是不能保證數(shù)據(jù)中心內(nèi)網(wǎng)安全的。 建議通過(guò)安全資源池通過(guò)不同的安全設(shè)備實(shí)現(xiàn)多種安全防護(hù)功能即 媒體云數(shù)據(jù)中心 與公有云邊界安全資源池 為 媒體云數(shù)據(jù)中心 提供防火墻 (FW)、防毒墻 (AV)、入侵防御 (IPS)等功能。 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 29 頁(yè) , 共 153 頁(yè) 核心交換分區(qū) 媒體云數(shù)據(jù)中心 生產(chǎn)網(wǎng)核心交換區(qū)承載各個(gè)生產(chǎn)業(yè)務(wù)區(qū)，引入網(wǎng)絡(luò)虛擬化及虛擬化網(wǎng)絡(luò)技術(shù)， 保證資源調(diào)度靈活，以高彈性高擴(kuò)展型的網(wǎng)絡(luò)架構(gòu)為基礎(chǔ)。搭建統(tǒng)一的核心交換平臺(tái)，采用成熟可用的大二層、扁平化網(wǎng)絡(luò)架構(gòu)，選用的網(wǎng)絡(luò)設(shè)備支持傳統(tǒng)網(wǎng)絡(luò)到 Overlay 重疊 網(wǎng)絡(luò)的平滑演進(jìn)，支持傳統(tǒng)網(wǎng)絡(luò)和 Overlay 網(wǎng)絡(luò)的統(tǒng)一管理?？蔀樘摂M機(jī)資源池和物理機(jī)資源池同時(shí)提供 Overlay 網(wǎng)絡(luò)，并要在 Overlay 網(wǎng)絡(luò)中保證與傳統(tǒng)網(wǎng)絡(luò)一樣的高吞吐、高轉(zhuǎn)發(fā) 、低時(shí)延等方面的要求。 同時(shí)為了保證業(yè)務(wù)在冗余虛擬化網(wǎng)絡(luò)中實(shí)現(xiàn)動(dòng)態(tài)擴(kuò)展，因此應(yīng)用交付網(wǎng)關(guān)是核心交換區(qū)不可缺 失的區(qū)域。 新聞島 生產(chǎn)網(wǎng)業(yè)務(wù)分區(qū) 媒體匯聚系統(tǒng)分區(qū) 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 30 頁(yè) , 共 153 頁(yè) 媒體匯聚系統(tǒng)即媒體采集區(qū)，主要是 計(jì)算刀片運(yùn)行虛擬化，完成融媒體材料采集工作。通過(guò)通過(guò)融合接入交換機(jī)上聯(lián)核心交換區(qū)，該融合交換機(jī)下掛刀片服務(wù)器，由鏡像存儲(chǔ)配合計(jì)算完成計(jì)算虛擬化，而計(jì)算虛擬化帶來(lái)的安全問(wèn)題是通過(guò)網(wǎng)絡(luò)功能虛擬化 NFV 安全防護(hù)實(shí)現(xiàn)；由業(yè)務(wù)存儲(chǔ)區(qū)配合計(jì)算完成采集業(yè)務(wù)。 媒體制作系統(tǒng) 分區(qū) 媒體制作系統(tǒng)區(qū)包含云非編業(yè)務(wù)、通用虛擬化計(jì)算、物理站點(diǎn)業(yè)務(wù)（如，配音、上下載工作站、數(shù)據(jù)庫(kù)）與業(yè)務(wù)存儲(chǔ)一起完成媒體制作系統(tǒng)的工作。 云非編精編 GPU 虛擬化 云非編資源池是基于刀片工作站，引入服務(wù)器虛擬化技術(shù)、 GPU直通或者虛擬化技術(shù)、虛擬桌面架構(gòu)（ VDI）技術(shù)，構(gòu)建的云非編制作資源池。其實(shí)現(xiàn)如下圖所示： 建議基于刀片服務(wù)器構(gòu)建非編資源池，刀片服務(wù)器上部署虛擬化層，將物理服務(wù)器虛擬成多個(gè)虛機(jī)，然后在虛機(jī)上安裝操作系統(tǒng)、遠(yuǎn)程桌面協(xié)議以及非編應(yīng)用軟件，即構(gòu)成非編資源池。用戶使用 PC機(jī)或者瘦客戶機(jī)通過(guò)支持高清視頻穩(wěn)定傳輸?shù)淖烂鎱f(xié)議訪問(wèn)虛擬制作工作站（對(duì)應(yīng)一個(gè)安裝有非編軟件的虛機(jī)），所有的非編處理工作都在后臺(tái)完成，前端只是鍵盤(pán)、鼠標(biāo)操作以及顯示制作畫(huà)面。 云非編解 決方案的關(guān)鍵技術(shù)點(diǎn)和難點(diǎn) 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 31 頁(yè) , 共 153 頁(yè) 1. 虛擬化軟件支持 GPU 直通或者 GPU 虛擬化，這是因?yàn)榉蔷庈浖枰獙I(yè)圖形卡的輔助處理。 2. 遠(yuǎn)程桌面協(xié)議必須實(shí)現(xiàn) 媒體云數(shù)據(jù)中心 專業(yè)制作高清視頻的遠(yuǎn)程實(shí)時(shí)穩(wěn)定傳輸，無(wú)丟幀、時(shí)延與抖動(dòng)，同傳統(tǒng)制作工作站一致的操作體驗(yàn)。 GPU 直通與 GPU虛擬化的技術(shù)選擇 從目前的測(cè)試情況來(lái)看， GPU 虛擬化對(duì)于 媒體云數(shù)據(jù)中心 高清制作應(yīng)用場(chǎng)景來(lái)說(shuō)尚不成熟，從測(cè)試效果來(lái)看，其用戶體驗(yàn)遠(yuǎn)低于 GPU直通的云制作效果；同時(shí) GPU 虛擬化的實(shí)現(xiàn)成本更高，因此性價(jià)比較低。因此建議現(xiàn)階段給予 GPU 直通技術(shù)構(gòu)建非編資源池。 云非編 解決方案在不改變用戶使用習(xí)慣 和用戶體驗(yàn) 的前提下，將傳統(tǒng) 制作工作站 以虛擬制作桌面 的形式 提供給編導(dǎo)。虛擬桌面 運(yùn)行 于云計(jì)算 數(shù)據(jù)中心的虛擬 制作 資源池中 ， 依托云計(jì)算管理平臺(tái)和云業(yè)務(wù)工作流程，自動(dòng)化部署 編導(dǎo) 自助申請(qǐng)的虛擬 制作 資源， 自動(dòng) 部署完成后 編導(dǎo) 即可使用 ，用完后自動(dòng)釋放相應(yīng)資源，從而 有效的實(shí)現(xiàn)了 制作資源的協(xié)同共享， 極大的提升了 制作資源池的彈性和效率。 通用虛擬化 由鏡像存儲(chǔ)配合計(jì)算完成計(jì)算虛擬化，而計(jì)算虛擬化帶來(lái)的安全問(wèn)題是通過(guò)網(wǎng)絡(luò)功能虛擬化 NFV安全防護(hù)實(shí)現(xiàn)；由業(yè)務(wù)存儲(chǔ)區(qū)配合計(jì)算完成制作。 物理站點(diǎn) 物理站點(diǎn)主要是通過(guò)虛擬化無(wú)法完成的工作，如，配音、上下載工作站、數(shù)據(jù)庫(kù)，通常采用物理機(jī)實(shí)現(xiàn)功能。 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 32 頁(yè) , 共 153 頁(yè) 媒體發(fā)布系統(tǒng) 分區(qū) 通過(guò)通用虛擬化云計(jì)算資源池完成媒體發(fā)布到不同媒體頻道、渠道。 由鏡像存儲(chǔ)配合計(jì)算完成計(jì)算虛擬化，而計(jì)算虛擬化帶來(lái)的安全問(wèn)題是通過(guò)網(wǎng)絡(luò)功能虛擬化 NFV安全防護(hù)實(shí)現(xiàn)；由業(yè)務(wù)存儲(chǔ)區(qū)配合計(jì)算完成制作。 新聞指揮中心 分區(qū) 與匯聚采集、媒體制作、發(fā)布系統(tǒng)區(qū)計(jì)算資源池共用資源。 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 33 頁(yè) , 共 153 頁(yè) 備播區(qū)需求 TOR 交換機(jī)（ 2 臺(tái)） 要求：?jiǎn)闻_(tái) 48 端口 萬(wàn)兆 ， 4 端口 40G， 機(jī)架服務(wù)器 單臺(tái)配置要求 2 顆 E52650v2 處理器，內(nèi)存 64G，雙電源，兩塊 300G 10K轉(zhuǎn)速 寸熱插拔硬盤(pán)，硬盤(pán)托架支持藍(lán)色背光顯示，方便定位，主板集成 RAID 卡， 2端口萬(wàn)兆 網(wǎng)絡(luò)適配器， 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 34 頁(yè) , 共 153 頁(yè) WEB 應(yīng)用分區(qū) 數(shù)據(jù)交換控制區(qū) 數(shù)據(jù)交換區(qū)，保證遠(yuǎn)程辦公接入?yún)^(qū)、 OA辦公區(qū)與 媒體云數(shù)據(jù)中心 生產(chǎn)業(yè)務(wù)交互時(shí)的安全控制區(qū)。 當(dāng)遠(yuǎn)程辦公是網(wǎng)絡(luò)維護(hù)人員需要通過(guò)堡壘機(jī)跳轉(zhuǎn)；當(dāng)遠(yuǎn)程辦公是生產(chǎn)業(yè)務(wù)需要經(jīng)過(guò)入侵防御、數(shù)據(jù)交換平臺(tái)安全措施。 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 35 頁(yè) , 共 153 頁(yè) 電臺(tái)、電視臺(tái)全臺(tái)網(wǎng)對(duì)接傳輸 分區(qū) 與電臺(tái)、電視臺(tái)可以通數(shù)據(jù)交換區(qū)，來(lái)保證數(shù)據(jù)推送交互的安全性。見(jiàn)數(shù)據(jù)交換區(qū)。 管理系統(tǒng)區(qū) 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 36 頁(yè) , 共 153 頁(yè) OA辦公分區(qū) OA 業(yè)務(wù)分區(qū) 遠(yuǎn)程辦公接入?yún)^(qū) 遠(yuǎn)程辦公人員從 Interner/公有云訪問(wèn) 媒體云數(shù)據(jù)中心 生產(chǎn)區(qū)或 OA業(yè)務(wù)系統(tǒng)的必經(jīng)區(qū)即必須通過(guò)辦公區(qū) VPN 網(wǎng)關(guān)和準(zhǔn)入控制認(rèn)證后才能訪問(wèn)。 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 37 頁(yè) , 共 153 頁(yè) 第 7章 媒體云數(shù)據(jù)中心 解決 方案 媒體云數(shù)據(jù)中心 IaaS層云管理平臺(tái)設(shè)計(jì)方案 IaaS 云管理平臺(tái)是 媒體云數(shù)據(jù)中心 生產(chǎn)網(wǎng)核心組成部分之一，云管理平臺(tái)具備對(duì)物理資源、虛擬化資源、網(wǎng)絡(luò)資源、安全資源、存儲(chǔ)資源的統(tǒng)一管理與調(diào)度功能。 采用 H3Cloud 云管理平臺(tái)作為 媒體云數(shù)據(jù)中心 生產(chǎn)網(wǎng)的 IaaS 云管理平臺(tái)。 IaaS 層 云管理平臺(tái)邏輯架構(gòu) H3Cloud 云管理平臺(tái)分為三個(gè)層次，分別是：資源抽象與控制層、服務(wù)編排層、服務(wù)開(kāi)放層。 ? 資源抽象與控制層 資源抽象與控制層主要是將已經(jīng)虛擬化的各類資源池中的邏輯資源顆粒，進(jìn)一步抽取關(guān)聯(lián)要素，使其具備不同類型資源融合適配與面向服務(wù)進(jìn)行編排的條件。同時(shí)，資源抽象與控制層通過(guò)與不同類型虛擬化資源控制器相互配合，完成對(duì)各類型邏輯資源的控制，從而實(shí)現(xiàn)IaaS 基礎(chǔ)資源云的全虛擬化、全融合以及面向服務(wù)的資源交付與智能調(diào) 度。 CVM 是 H3C CAS 計(jì)算虛擬化系統(tǒng)的管理平臺(tái)， H3Cloud 云管理平臺(tái)通過(guò) CVM 實(shí)現(xiàn)計(jì)算虛擬化資源池資源的動(dòng)態(tài)調(diào)度、彈性伸縮、智能管理。同時(shí)， H3Cloud 云管理平臺(tái)還支持對(duì)其它主流廠商的計(jì)算虛擬化管理系統(tǒng)進(jìn)行管理，從而實(shí)現(xiàn)異構(gòu)計(jì)算虛擬化的管理。 SDN 控制器是 H3C 云計(jì)算網(wǎng)絡(luò)方案的核心控制設(shè)備，本項(xiàng)目通過(guò) VxLan 技術(shù)建設(shè) SDN控制器集中控制的 Overlay 網(wǎng)絡(luò)資源池。 H3Cloud云管理平臺(tái)通過(guò)與 SDN控制器的交互， 實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)資源池的管理。 AFC 控制器是網(wǎng)絡(luò)功能虛擬化 NFV 技術(shù)方案中的核心控 制設(shè)備，在本項(xiàng)目中部署了vFW 虛擬防火墻組成云安全資源池，用于云內(nèi)安全邊界防護(hù)管控。 H3Cloud 云管理平臺(tái)通過(guò)與 AFC 控制器交互，實(shí)現(xiàn)對(duì)安全資源池的管理，實(shí)現(xiàn)在虛擬機(jī)發(fā)生遷移時(shí)，安全策略能夠動(dòng)態(tài)跟隨。 UIS Manager是對(duì)承載計(jì)算資源池的刀箱及相關(guān)刀片等物理硬件設(shè)備進(jìn)行集中硬件配置 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 38 頁(yè) , 共 153 頁(yè) 管理、運(yùn)行環(huán)境監(jiān)控等的設(shè)備。 H3Cloud 云管理平臺(tái)通過(guò)與 UIS Manager 設(shè)備交互，將 IaaS云基礎(chǔ)資源中物理硬件設(shè)備運(yùn)行狀態(tài)納入監(jiān)管范圍，大幅度提升對(duì)運(yùn)維管理工作的支撐。 本期項(xiàng)目建議部署的 H3Cloud 云管理平臺(tái) 的是基于 Openstack 的， Openstack 目前已經(jīng)成為一個(gè) 事實(shí)上的 行業(yè)標(biāo)準(zhǔn) ，特別是在計(jì)算虛擬化方面具備較好的兼容性，使得 媒體云數(shù)據(jù)中心 不會(huì)被某個(gè)特定的廠商綁定和限制。 同時(shí)， Openstack 在可擴(kuò)展性上有優(yōu)勢(shì) ,這確保了后期生產(chǎn)網(wǎng)規(guī)模不斷擴(kuò)大時(shí)候，仍能夠具備較高的性能和穩(wěn)定性。 ? 服務(wù)編排層 服務(wù)編排層是將已經(jīng)被抽取形成的服務(wù)單元（ Service Unit），以面向上層業(yè)務(wù)服務(wù)的視角，對(duì)底層邏輯資源進(jìn)行編排，形成基礎(chǔ)資源服務(wù)交付組合。再由控制層調(diào)度各類資源控制器完成資源調(diào)度、管控等等。 服務(wù)單元（ Service Unit）是服務(wù)編排的最小單位。 通過(guò) IaaS 云管理平臺(tái)的 自動(dòng)化編排 能力，使得生產(chǎn)網(wǎng)在 業(yè)務(wù)規(guī)劃、實(shí)施、變更和監(jiān)控的管理復(fù)雜性 大大降低 ， 實(shí)現(xiàn)制播 業(yè)務(wù)快速部署能力 。同時(shí) IaaS 云管理平臺(tái)可以將編排好的符合業(yè)務(wù)邏輯的相應(yīng)資源提交給 PaaS/SaaS 層使用。 ? 服務(wù)開(kāi)放層 服務(wù)開(kāi)放層是 IaaS 云管理平臺(tái)中，面向直接用戶申請(qǐng)基礎(chǔ)資源時(shí)的交互界面層，也是面向上層 PaaS 平臺(tái)接受資源申請(qǐng)及交付結(jié)果確認(rèn)的接口層。 通過(guò)開(kāi)放 IaaS云管理平臺(tái)管理、運(yùn)維、監(jiān)控等方面 API接口，實(shí)現(xiàn)面向上層的 PaaS 平臺(tái)以及制播 網(wǎng)業(yè)務(wù)系統(tǒng)的無(wú)縫對(duì)接，確保 PaaS 平臺(tái)以及制播網(wǎng)業(yè)務(wù)系統(tǒng)能夠按需、動(dòng)態(tài)調(diào)度資源池資源。 云管理平臺(tái)軟件部署 考慮云管理平臺(tái)的可靠性，云管理節(jié)點(diǎn)建議采用雙機(jī)。云管理服務(wù)服務(wù)器部署于管理服務(wù)區(qū)。 河南中原云大數(shù)據(jù)集團(tuán)有限公司媒體云數(shù)據(jù)中心（一期）建設(shè)項(xiàng)目 第 39 頁(yè) , 共 153 頁(yè) 云管理功能特性 網(wǎng)絡(luò)資源管理功能 IaaS 云管理的網(wǎng)絡(luò)管理功能是通過(guò)與 SDN 控制器交互實(shí)現(xiàn)的。 在網(wǎng)絡(luò)虛擬化層面，通過(guò)將網(wǎng)絡(luò)設(shè)備的控制層面與轉(zhuǎn)發(fā)層面分離，將控制層面邏輯集中，從而提供一個(gè)能夠面向業(yè)務(wù)的新型網(wǎng)絡(luò)，為新業(yè)務(wù)快速部署或網(wǎng)絡(luò)創(chuàng)新提供良好的平臺(tái)。 通過(guò) SDN控制器集中控制 VXLAN的轉(zhuǎn)發(fā)，控制器通過(guò)集群技術(shù)可以實(shí)現(xiàn)動(dòng)態(tài)的擴(kuò)容，可以支持大規(guī)模甚至超大規(guī)模的 VXLAN 網(wǎng)絡(luò)。同時(shí)通過(guò) SDN 控制器面向 VXLAN 網(wǎng)絡(luò)統(tǒng)一下發(fā)控制流表，從而實(shí)現(xiàn)了網(wǎng)絡(luò)資源池化和網(wǎng)絡(luò)資源的按需交付。 在 SDN+VxLan 網(wǎng)絡(luò)下，當(dāng)生產(chǎn)網(wǎng)云平臺(tái)上虛擬機(jī)由于業(yè)務(wù)需要或者運(yùn)維需要發(fā)生遷移時(shí)， IaaS 云管理平臺(tái)調(diào)度 SDN 控制器，將虛擬機(jī)對(duì)應(yīng)的網(wǎng)絡(luò)策略（如： VLan 信息、路由策略、網(wǎng)關(guān)、流控等）以流表形式下發(fā)的虛擬機(jī)遷移后新的網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備之上，從而實(shí)現(xiàn)網(wǎng)絡(luò)策略動(dòng)態(tài)跟隨。 資源編排 資源 編排用抽象語(yǔ)言定義一個(gè)從 使用者 到業(yè)務(wù)服務(wù) 的管道的過(guò)程。 資源編排 以 制播網(wǎng)業(yè)務(wù)需求 為目的，將 生產(chǎn)網(wǎng)云平臺(tái) 服務(wù)單元進(jìn)行有序的安排和組織，使網(wǎng)絡(luò)各個(gè)組成部分平衡協(xié)調(diào)，生成能夠滿足用戶要求的服務(wù)。 依托 IaaS 云管理平臺(tái)的資源編排功能， 能 實(shí)現(xiàn) 自動(dòng)化部署要求的服務(wù)具有快速部署、動(dòng)態(tài)調(diào)整、重復(fù)使用的能力 。 ? 抽象服務(wù)單元 引入服務(wù)單元（ Service Unit）的概念，服務(wù)單元是服務(wù)編排的最小單位。提供如下可供服務(wù)編排的服務(wù)單元：