【正文】 器、接口服務器和搜索服務器冗余設計Portal服務器是對外的門戶，如果該業(yè)務出現(xiàn)問題，直接的后果就是用戶進入不了頁面或者客戶端。由此可知門戶業(yè)務、接口業(yè)務和搜索功能業(yè)務均屬于關鍵性業(yè)務。本次工程將利舊Array 3520負載均衡，將外部的訪問平均負載到對應的門戶服務器群上，另外將門戶服務器的接口請求和搜索請求負載到對應的搜索服務器群和接口服務器群上，如果其中一臺服務器業(yè)務出現(xiàn)問題，負載均衡將主動剔除該服務器，將所有訪問轉向正常的主機。負載均衡使用L4策略，健康檢查可以采用端口判斷，：服務器VIP虛擬地址資源池會話保持功能備注 portal1VIP地址1（需要映射成公網(wǎng)地址）門戶farm開啟 portal2 portal3Wap portal1VIP地址2（需要映射成公網(wǎng)地址）wap門戶farm開啟Wap portal2Wap portal3Wap portal4搜索服務器1申請的私網(wǎng)地址（不用映射公網(wǎng)）搜索服務器群搜索服務器2接口服務器1申請的私網(wǎng)地址（不用映射公網(wǎng)）接口群接口服務器2 網(wǎng)絡冗余設計建議本次利舊的網(wǎng)絡設備均采用雙機冗余設計，將防火墻、交換機和負載均衡配置為主備方式，并且要經(jīng)過嚴格的測試來驗證，如果某條線路故障，平臺任然可以對外提供服務。 安全方案 網(wǎng)絡安全設計保證系統(tǒng)網(wǎng)絡安全的首要問題就是要規(guī)劃合理的網(wǎng)絡拓撲結構，合理劃分網(wǎng)段，利用防火墻和交換機等網(wǎng)絡設備的安全機制實施訪問控制。使用VLAN技術，進行合理的網(wǎng)絡分段，既可以節(jié)約成本，又可以保障重要網(wǎng)段的安全，同時減少廣播和沖突，提高系統(tǒng)的可用性。對于更高安全級別的隔離措施，可以采用路由器或防火墻等進行隔離。目前，系統(tǒng)網(wǎng)絡中，需要采取一定的網(wǎng)絡隔離措施來實現(xiàn)訪問控制，保障網(wǎng)絡和主機系統(tǒng)的安全，尤其是與現(xiàn)有的內(nèi)部網(wǎng)絡之間的關鍵性數(shù)據(jù)交互的安全性和一致性。在此基礎上，本方案建議利舊現(xiàn)有網(wǎng)絡和安全設備采用如下措施，提高平臺的安全性：216。 通過局域網(wǎng)交換機劃分VLAN，將不同業(yè)務功能的系統(tǒng)分開；216。 在直接連接公網(wǎng)的出口，部署防火墻系統(tǒng)，對外網(wǎng)、內(nèi)網(wǎng)的訪問進行嚴格的訪問控制，阻擋絕大多數(shù)的來自網(wǎng)絡外部的攻擊；216。 對于平臺和現(xiàn)有的其他業(yè)務支撐系統(tǒng)、資源能力系統(tǒng)之間的必要數(shù)據(jù)做嚴格的安全控制，保證進入內(nèi)部網(wǎng)絡的數(shù)據(jù)都是合法和預期的；216。 所有的主機服務器系統(tǒng)選用安全服務，包括安全加固優(yōu)化服務，安全響應服務，日常支持服務等，來全面保障主機系統(tǒng)的安全； 防火墻系統(tǒng)防火墻被用來設置在被保護網(wǎng)絡和外部網(wǎng)絡之間，成為一道屏障，以防止發(fā)生不可預測的、潛在破壞性的侵入。它可通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能地對外部屏蔽網(wǎng)絡內(nèi)部的信息、結構和運行狀況，以此來實現(xiàn)網(wǎng)絡的安全保護。防火墻系統(tǒng)已經(jīng)基本成為和路由器、交換機等具有同等地位的網(wǎng)絡基礎設備。它能夠把來自網(wǎng)絡外部的絕大多數(shù)非法訪問拒之門外。根據(jù)工程的網(wǎng)絡設計情況，并考慮移動現(xiàn)有設備和機房環(huán)境，系統(tǒng)平臺在連接出口位置部署2臺防火墻，設置嚴格的訪問策略和包過濾策略，嚴格限制外網(wǎng)對內(nèi)部系統(tǒng)的訪問。在防火墻設置上，我們提出如下配置建議，以提高網(wǎng)絡安全性：216。 根據(jù)整體安全策略和安全目標，規(guī)劃設置正確的安全過濾規(guī)則，審核IP數(shù)據(jù)包的內(nèi)容包括協(xié)議、端口、源地址、目的地址、流向等項目，嚴格地禁止來自公網(wǎng)對平臺的不必要的、非法的訪問，同時嚴格控制從本平臺向內(nèi)部網(wǎng)絡發(fā)送的數(shù)據(jù)請求。總體上遵從“不被允許的服務就是被禁止”的原則；216。 將防火墻配置成過濾掉以內(nèi)部網(wǎng)絡地址進入的IP包，這樣可以防范源地址假冒和源路由類型的攻擊，包括DOS或DDOS攻擊等：過濾掉以非法IP地址離開內(nèi)部網(wǎng)絡的 IP 包，防止內(nèi)部網(wǎng)絡發(fā)起的對外的攻擊；216。 對于平臺內(nèi)部的系統(tǒng)，可以考慮采取私網(wǎng)地址，使網(wǎng)絡外界無法發(fā)現(xiàn)網(wǎng)絡內(nèi)部的真實地址；216。 考慮禁止一切從公網(wǎng)發(fā)起的對平臺內(nèi)部服務器的訪問（除門戶服務器、接口服務器和運營管理服務器外），包括ICMP、UDP、TCP等，如必須從外網(wǎng)對內(nèi)網(wǎng)主機進行管理，要進行嚴格的訪問控制，并采取SSH安全傳輸方式，通過安全檢查才允許進入；216。 對于防火墻的遠程管理可以考慮SSH等安全傳輸方式，盡可能不用Telnet等明文傳輸?shù)倪B接方式；具體的華為E1000防火墻相關配置（例如，哪些服務器IP地址可以訪問內(nèi)部網(wǎng)絡、訪問目的IP地址、訪問什么目的端口、協(xié)議類型等等）需要等項目實施階段作進一步規(guī)劃和調(diào)整，并在施工方案中進行詳細的落實和確認。22