【正文】 器、接口服務(wù)器和搜索服務(wù)器冗余設(shè)計Portal服務(wù)器是對外的門戶，如果該業(yè)務(wù)出現(xiàn)問題，直接的后果就是用戶進(jìn)入不了頁面或者客戶端。由此可知門戶業(yè)務(wù)、接口業(yè)務(wù)和搜索功能業(yè)務(wù)均屬于關(guān)鍵性業(yè)務(wù)。本次工程將利舊Array 3520負(fù)載均衡，將外部的訪問平均負(fù)載到對應(yīng)的門戶服務(wù)器群上，另外將門戶服務(wù)器的接口請求和搜索請求負(fù)載到對應(yīng)的搜索服務(wù)器群和接口服務(wù)器群上，如果其中一臺服務(wù)器業(yè)務(wù)出現(xiàn)問題，負(fù)載均衡將主動剔除該服務(wù)器，將所有訪問轉(zhuǎn)向正常的主機。負(fù)載均衡使用L4策略，健康檢查可以采用端口判斷，：服務(wù)器VIP虛擬地址資源池會話保持功能備注 portal1VIP地址1（需要映射成公網(wǎng)地址）門戶farm開啟 portal2 portal3Wap portal1VIP地址2（需要映射成公網(wǎng)地址）wap門戶farm開啟Wap portal2Wap portal3Wap portal4搜索服務(wù)器1申請的私網(wǎng)地址（不用映射公網(wǎng)）搜索服務(wù)器群搜索服務(wù)器2接口服務(wù)器1申請的私網(wǎng)地址（不用映射公網(wǎng)）接口群接口服務(wù)器2 網(wǎng)絡(luò)冗余設(shè)計建議本次利舊的網(wǎng)絡(luò)設(shè)備均采用雙機冗余設(shè)計，將防火墻、交換機和負(fù)載均衡配置為主備方式，并且要經(jīng)過嚴(yán)格的測試來驗證，如果某條線路故障，平臺任然可以對外提供服務(wù)。 安全方案 網(wǎng)絡(luò)安全設(shè)計保證系統(tǒng)網(wǎng)絡(luò)安全的首要問題就是要規(guī)劃合理的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，合理劃分網(wǎng)段，利用防火墻和交換機等網(wǎng)絡(luò)設(shè)備的安全機制實施訪問控制。使用VLAN技術(shù)，進(jìn)行合理的網(wǎng)絡(luò)分段，既可以節(jié)約成本，又可以保障重要網(wǎng)段的安全，同時減少廣播和沖突，提高系統(tǒng)的可用性。對于更高安全級別的隔離措施，可以采用路由器或防火墻等進(jìn)行隔離。目前，系統(tǒng)網(wǎng)絡(luò)中，需要采取一定的網(wǎng)絡(luò)隔離措施來實現(xiàn)訪問控制，保障網(wǎng)絡(luò)和主機系統(tǒng)的安全，尤其是與現(xiàn)有的內(nèi)部網(wǎng)絡(luò)之間的關(guān)鍵性數(shù)據(jù)交互的安全性和一致性。在此基礎(chǔ)上，本方案建議利舊現(xiàn)有網(wǎng)絡(luò)和安全設(shè)備采用如下措施，提高平臺的安全性：216。 通過局域網(wǎng)交換機劃分VLAN，將不同業(yè)務(wù)功能的系統(tǒng)分開；216。 在直接連接公網(wǎng)的出口，部署防火墻系統(tǒng)，對外網(wǎng)、內(nèi)網(wǎng)的訪問進(jìn)行嚴(yán)格的訪問控制，阻擋絕大多數(shù)的來自網(wǎng)絡(luò)外部的攻擊；216。 對于平臺和現(xiàn)有的其他業(yè)務(wù)支撐系統(tǒng)、資源能力系統(tǒng)之間的必要數(shù)據(jù)做嚴(yán)格的安全控制，保證進(jìn)入內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)都是合法和預(yù)期的；216。 所有的主機服務(wù)器系統(tǒng)選用安全服務(wù)，包括安全加固優(yōu)化服務(wù)，安全響應(yīng)服務(wù)，日常支持服務(wù)等，來全面保障主機系統(tǒng)的安全； 防火墻系統(tǒng)防火墻被用來設(shè)置在被保護(hù)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間，成為一道屏障，以防止發(fā)生不可預(yù)測的、潛在破壞性的侵入。它可通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能地對外部屏蔽網(wǎng)絡(luò)內(nèi)部的信息、結(jié)構(gòu)和運行狀況，以此來實現(xiàn)網(wǎng)絡(luò)的安全保護(hù)。防火墻系統(tǒng)已經(jīng)基本成為和路由器、交換機等具有同等地位的網(wǎng)絡(luò)基礎(chǔ)設(shè)備。它能夠把來自網(wǎng)絡(luò)外部的絕大多數(shù)非法訪問拒之門外。根據(jù)工程的網(wǎng)絡(luò)設(shè)計情況，并考慮移動現(xiàn)有設(shè)備和機房環(huán)境，系統(tǒng)平臺在連接出口位置部署2臺防火墻，設(shè)置嚴(yán)格的訪問策略和包過濾策略，嚴(yán)格限制外網(wǎng)對內(nèi)部系統(tǒng)的訪問。在防火墻設(shè)置上，我們提出如下配置建議，以提高網(wǎng)絡(luò)安全性：216。 根據(jù)整體安全策略和安全目標(biāo)，規(guī)劃設(shè)置正確的安全過濾規(guī)則，審核IP數(shù)據(jù)包的內(nèi)容包括協(xié)議、端口、源地址、目的地址、流向等項目，嚴(yán)格地禁止來自公網(wǎng)對平臺的不必要的、非法的訪問，同時嚴(yán)格控制從本平臺向內(nèi)部網(wǎng)絡(luò)發(fā)送的數(shù)據(jù)請求?？傮w上遵從“不被允許的服務(wù)就是被禁止”的原則；216。 將防火墻配置成過濾掉以內(nèi)部網(wǎng)絡(luò)地址進(jìn)入的IP包，這樣可以防范源地址假冒和源路由類型的攻擊，包括DOS或DDOS攻擊等：過濾掉以非法IP地址離開內(nèi)部網(wǎng)絡(luò)的 IP 包，防止內(nèi)部網(wǎng)絡(luò)發(fā)起的對外的攻擊；216。 對于平臺內(nèi)部的系統(tǒng)，可以考慮采取私網(wǎng)地址，使網(wǎng)絡(luò)外界無法發(fā)現(xiàn)網(wǎng)絡(luò)內(nèi)部的真實地址；216。 考慮禁止一切從公網(wǎng)發(fā)起的對平臺內(nèi)部服務(wù)器的訪問（除門戶服務(wù)器、接口服務(wù)器和運營管理服務(wù)器外），包括ICMP、UDP、TCP等，如必須從外網(wǎng)對內(nèi)網(wǎng)主機進(jìn)行管理，要進(jìn)行嚴(yán)格的訪問控制，并采取SSH安全傳輸方式，通過安全檢查才允許進(jìn)入；216。 對于防火墻的遠(yuǎn)程管理可以考慮SSH等安全傳輸方式，盡可能不用Telnet等明文傳輸?shù)倪B接方式；具體的華為E1000防火墻相關(guān)配置（例如，哪些服務(wù)器IP地址可以訪問內(nèi)部網(wǎng)絡(luò)、訪問目的IP地址、訪問什么目的端口、協(xié)議類型等等）需要等項目實施階段作進(jìn)一步規(guī)劃和調(diào)整，并在施工方案中進(jìn)行詳細(xì)的落實和確認(rèn)。22