銀行堡壘機實施方案-資料下載頁
2025-04-26 07:56本頁面
【正文】 ，也減化了運維人員的操作過程。 設(shè)備硬件信息集中管控平臺物理參數(shù)如下：設(shè)備型號硬件參數(shù)集中管控平臺UOMMGT3000CPU 64位 3G/32G內(nèi)存/2T硬盤/交流電/2U 軟件信息設(shè)備操作系統(tǒng)軟件版本Licenses數(shù)集中管控平臺Centos200個 地址規(guī)劃兩臺設(shè)備分別需要分配3個IP地址，且三個地址需要在一個子網(wǎng)，其中二個IP地址為管理地址，一個IP地址為HA地址，HA地址為用戶訪問地址，二臺設(shè)備使用NRRP協(xié)議對HA地址進行管理，當主服務(wù)器出現(xiàn)問題時，HA地址會自動飄移到從服務(wù)器。設(shè)備名稱所屬區(qū)域IP掩碼網(wǎng)關(guān)主服務(wù)器總行從服務(wù)器總行HA地址總行 部署規(guī)劃n 設(shè)備為2U n 每臺需要2*10A電源 450W功率 集中管控平臺部署集中管控平臺部署在XX銀行總部，使用HA架構(gòu)解決單點故障，集中管控平臺主要用于總部管理人員進行報表輸出和分析，同時，總部有一些運維人員需要跨多個省進行運維操作時，也可以通過集中管控平臺。集中管控平臺共計二臺，采用HA架構(gòu)，二臺集中管控平臺使用NRRP協(xié)議共同使用一個熱備份IP，當主服務(wù)器出現(xiàn)問題時，從服務(wù)器會自動將熱備份IP切換到本機，進行服務(wù)接管，以保證不會出現(xiàn)單點故障。 系統(tǒng)上線需求集中管控平臺需要與各分行堡壘機進行交互訪問，并且與總行運維人員、總行管理人員終端進行交互訪問，不需要與分行服務(wù)器進行交互訪問，訪問策略如下：集中管控平臺訪問策略需求明細源地址目的地址端口方向描述集中管控平臺各分行堡壘機SNMP單向狀態(tài)獲取集中管控平臺各分行堡壘機TCP 3306單向數(shù)據(jù)獲取集中管控平臺各分行堡壘機TCP 443單向WebPortal命令傳送集中管控平臺各分行應(yīng)用發(fā)布SNMP單向狀態(tài)獲取總行運維終端 集中管控平臺TCP 443單向WEB 訪問 總行運維終端相應(yīng)分行堡壘機TCP 222 338590X單向訪問目標服務(wù)器ftp、ssh、telnet、rdp、vnc、x11，如果沒有相應(yīng)的服務(wù)可以關(guān)閉相應(yīng)的端口 系統(tǒng)安裝集中管控平臺配置主要需要如下幾步，在系統(tǒng)配置網(wǎng)絡(luò)配置中進行IP配置6 雙機部署模式 雙機部署模式功能二臺堡壘機采用主從方式，共同使用一個浮動IP，默認情況下浮動IP在主堡壘機上，運維人員訪問堡壘機時使用浮動IP，當主堡壘機出現(xiàn)硬件或軟件服務(wù)問題時，從堡壘機會將浮動IP啟動，繼續(xù)提供服務(wù)。二臺主機會自動實時同步配置和審計數(shù)據(jù)。雙機模式可以有效解決單點故障，當一臺堡壘機出現(xiàn)軟、硬件問題時，從堡壘機可以自動啟動并且接替主堡壘機提供服務(wù)，不會造成業(yè)務(wù)中斷影響。 上線條件二臺堡壘機使用VRRP協(xié)議進行通訊，因此二臺堡壘機必須安裝在同一個網(wǎng)段，共計需要三個IP，主堡壘機管理IP一個、從堡壘機管理IP一個、浮動IP一個。 地址規(guī)劃參照分行部署規(guī)范，運維審計堡壘機及應(yīng)用發(fā)布平臺，需要分行分配在基礎(chǔ)服務(wù)器區(qū)域，分配【】的地址，兩臺設(shè)備分別需要分配IP地址，且兩個地址需要在一個子網(wǎng)。設(shè)備名稱所屬區(qū)域產(chǎn)品型號IP序列號主堡壘機IP內(nèi)網(wǎng)UOM1000A從堡壘機IP內(nèi)網(wǎng)UOM1000A浮動IP內(nèi)網(wǎng) 上線步驟本上線步驟為默認一臺堡壘機已經(jīng)運行在現(xiàn)網(wǎng)環(huán)境，系統(tǒng)安裝時，以當前堡壘機為主用，新堡壘機為從用進行上線安裝。操作步驟如下：，登錄從機后臺，使用命令mysqldump opt audit_sec /tmp/ 將當前堡壘機/tmp/，在新堡壘機上運行mysql audit_sec 3. 在主、從堡壘機的iptables里，分別增加一條，允許對端可以訪問任何服務(wù)比如如下，加上這一條可以允許對端的堡壘機訪問本機，然后使用命令systemctl restart iptables 重啟主機防火墻4．同步主、從堡壘機的通訊主機密鑰在主堡壘機上運行命令： ssh l root 從機ip p 2288在從堡壘機上運行命令： ssh l root 主機ip p 2288這樣可以保證連接時不需要在進行yes接受公鑰確認 5．在主服務(wù)器上運行/home/wuxiaolong/mysql_keepalived/從堡壘ip浮動ip 接口名稱在從服務(wù)器上運行/home/wuxiaolong/mysql_keepalived/主堡壘ip浮動ip 接口名稱其中接口名稱是指插網(wǎng)線口的接口名稱，一般為ETH0，如果做了內(nèi)置虛機，則是br06．測試在主機上運行命令 ip add show eth0 ，需要可以看到浮動IP，注意這個地址顯示時掩碼為32位在從機上運行命令 ip add show eth0 ，不能看到浮動IP在主機上運行killall keepalived 后重啟上面二個看IP的動作，可以發(fā)現(xiàn)浮動IP移到了從機上在主機上在運行keepalived命令，重啟上面二個看IP的動作，可以發(fā)現(xiàn)浮動IP又移到了主機上然后在主機上添加一個帳號，看看從機上是否會自動加上（即時無延時）在從機上添加一個帳號，看看主機上是否會自動添加 如果上面的測試都通過了，則雙機就配置好了 (20220523)銀行總行科技開發(fā)部運維中心第39頁, 共39頁
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1