【正文】 基于報(bào)文內(nèi)容對(duì)應(yīng)用進(jìn)行識(shí)別和分類(lèi)，可針對(duì)百兆鏈路提供對(duì)常見(jiàn) P2P 應(yīng)用的網(wǎng)絡(luò)占用帶寬趨勢(shì)圖和流量趨勢(shì)圖及。需要在數(shù)據(jù)中心部署網(wǎng)絡(luò)流量分析系統(tǒng)。 2）完善的報(bào)告 提供設(shè)備、主機(jī)、應(yīng)用系統(tǒng)、漏洞、網(wǎng)絡(luò)流量、主機(jī)資產(chǎn)、法規(guī)遵從（如 SOX、 HIPAA、GLBA、 FISMA 等法案和條例）七大類(lèi)報(bào)告，基本覆蓋了所有安全相關(guān)的信息，并支持以 PDF、HTML、 WORD、 TXT 等多種格式輸出；同時(shí)可通過(guò) Web 界面進(jìn)行定制報(bào)告，定制內(nèi)容包括數(shù)據(jù)的時(shí)間范圍、數(shù)據(jù)的來(lái)源設(shè)備、生成周期、輸出類(lèi)型等。 2）日志管理 采用主動(dòng)收集、被動(dòng)接收等多種方式，提供有價(jià)值的集中化日志管理，并對(duì)不同類(lèi)型格式的日志進(jìn)行歸一化處理。支持網(wǎng)絡(luò)運(yùn)行設(shè)備的配置變化檢查，一旦配置發(fā)生變化，立刻以告警方式通知管理員關(guān)注。 4）自動(dòng)化的建立可追溯的網(wǎng)絡(luò)配置 通過(guò)啟動(dòng)自動(dòng)備份功能，幫助管理員周期性自動(dòng)地完成設(shè)備配置的歷史備份，自動(dòng)建立起可追溯的網(wǎng)絡(luò)配置。并可快速恢復(fù)至基線(xiàn)配置。提供設(shè)備運(yùn)行配置和啟動(dòng)配置的基線(xiàn)化版本管理，將每個(gè)設(shè)備相關(guān)的配置文件劃分為三種版本：基線(xiàn)、普通、草稿。 2）集中化的設(shè)備配置和軟件信息展示 提供全網(wǎng)設(shè)備的配置文件、軟件版本信息集中式展示，包括設(shè)備的當(dāng)前軟件版本、最新可用于升級(jí)的軟件版本、最近備份時(shí)間、是否已加入自動(dòng)備份計(jì)劃等信息；可提供管理員對(duì)設(shè)備的集中操作包括設(shè)備配置部署、設(shè)備配置備份與恢復(fù)、設(shè)備軟件升級(jí)與恢復(fù)、設(shè)備空間管理、設(shè)備軟件基線(xiàn)化管理功能，極大的方便了管理員直觀的掌握當(dāng)前網(wǎng)絡(luò)的配置和軟件版本。 （ 2）拓?fù)涔芾? 高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 40 數(shù)據(jù)中心拓?fù)涔芾聿粌H可以自動(dòng)發(fā)現(xiàn)網(wǎng)絡(luò)物理拓?fù)浣Y(jié)構(gòu)，還需 要提供分區(qū)拓?fù)?、機(jī)房拓?fù)?、機(jī)架拓?fù)?、設(shè)備面板、用戶(hù)拓?fù)涞裙δ?，可將全網(wǎng)設(shè)備根據(jù)不同的管理區(qū)域、樓層、機(jī)房、機(jī)架、面板、用戶(hù)等進(jìn)行劃分，建立資源、業(yè)務(wù)與用戶(hù)的統(tǒng)一拓?fù)湟晥D，方便管理員從各個(gè)維度對(duì)數(shù)據(jù)中心的各種資源進(jìn)行管理。 . 網(wǎng)絡(luò)管理 （ 1）設(shè)備管理 數(shù)據(jù)中心設(shè)備主要包括服務(wù)器、路由器、交換機(jī)、安全（ FW、 IPS）等基礎(chǔ)設(shè)施，建議按照統(tǒng)一管理的原則，由一套管理平臺(tái)來(lái)對(duì)數(shù)據(jù)中心的全局資源進(jìn)行監(jiān)控，出現(xiàn)故障或告擎后能夠快速找到故障點(diǎn)。 ? 安全、保密性原則 從設(shè)備安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全等多角度考慮管理系統(tǒng)的安全性和保密性，采用多種手段對(duì)安全性和保密性進(jìn)行控制來(lái)確保 學(xué)校 業(yè)務(wù)經(jīng)營(yíng)信息的安全。數(shù)據(jù)中心運(yùn)維管理建設(shè)需要遵循的基本原則如下： ? 集中性原則 系統(tǒng)規(guī)劃、設(shè)計(jì)和建設(shè)要以管理系統(tǒng)集中、數(shù)據(jù)集中、處理集中為原則，統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一設(shè)備、統(tǒng)一開(kāi)發(fā)與應(yīng)用。如下圖所示： 高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 38 . 數(shù)據(jù)中心管理 . 數(shù)據(jù)中心管理設(shè)計(jì) 原則 人、設(shè)備、流程的管理是 IT 的主要傳統(tǒng)任務(wù) ,數(shù)據(jù)中心運(yùn)維管理建設(shè)的重點(diǎn)在于利用好現(xiàn)有資源，整合信息及其系統(tǒng)，實(shí)現(xiàn)科技的整體規(guī)劃和標(biāo)準(zhǔn)管理。如下圖示： 構(gòu)建無(wú)差異虛擬機(jī)接入網(wǎng)絡(luò)，部署 VLAN ACL，同時(shí)將防火墻策略上移，保證虛擬機(jī)在本區(qū)域內(nèi)遷移時(shí)，網(wǎng)絡(luò)和安全策略無(wú)差異，如下圖所示： 高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 37 iMC 網(wǎng)絡(luò)管理平臺(tái)對(duì) VMotion 的感知。 1. 服務(wù)器千兆接入，多萬(wàn)兆捆綁上行到核心區(qū)。虛擬機(jī)從一臺(tái)物理服務(wù)器遷移到另一臺(tái)物理服務(wù)器之后，網(wǎng)絡(luò)接入交換機(jī)上針對(duì)原物理服務(wù)器的端口策略（ ACL、 QoS 等）將全部失效。部署虛擬機(jī)之后，虛擬機(jī)的部分流量將經(jīng)過(guò)內(nèi)部虛擬交換機(jī)轉(zhuǎn)發(fā)，虛擬交換機(jī)是位于服務(wù)器內(nèi)的軟件，網(wǎng)絡(luò)管理員配置和監(jiān)控困難。在部署了虛擬機(jī)之后，服務(wù)器的利用率得以提升，同時(shí)一臺(tái)服務(wù)器產(chǎn)生的業(yè)務(wù)流量將會(huì)成倍提升，同時(shí)一臺(tái)物理服務(wù)器上部署多個(gè)應(yīng)用系統(tǒng)，業(yè)務(wù)流的突發(fā)性也會(huì)加劇。 高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 36 . 虛擬機(jī) (VM)部署與遷移 虛擬機(jī)在數(shù)據(jù)中心的部署越來(lái)越廣泛，虛擬機(jī)的部署將會(huì)對(duì)網(wǎng)絡(luò)設(shè)計(jì)產(chǎn)生以下幾個(gè)方面的影響： ? 網(wǎng)絡(luò)流量和突發(fā)性加劇 。 OA 服務(wù)器區(qū)FCoE 部署組網(wǎng)拓?fù)淙缦聢D所示： OA 服務(wù)器部署萬(wàn)兆 CAN 融合網(wǎng)卡， 連接 FCoE 接入交換機(jī)，同時(shí)在 FCoE 接入交換機(jī)上配置 FC 接口卡，與 FC SAN 交換機(jī)相連。此外，從保護(hù) 學(xué)校 現(xiàn)有投資（已建設(shè)的 FC SAN）角度出發(fā)問(wèn)題，也建議現(xiàn)階段只在網(wǎng)絡(luò)接入層通過(guò) FCOE 實(shí)現(xiàn)服務(wù)器 IO 整合，簡(jiǎn)化接入層線(xiàn)纜部署，而保留原有 LAN 骨干與原有 FC SAN 骨干的獨(dú)立性。服務(wù)器安裝支持 FCoE的 10GE CNA 網(wǎng)卡，并連接到接入層 FCoE 交換機(jī)（ FCF 或 NPV），接入層交換機(jī)再分別通過(guò) 10GE 鏈路和 FC 鏈路連接到現(xiàn)有的 LAN 和 SAN。 2. FCOE 只部署在服務(wù)器網(wǎng)絡(luò)接入層（上圖 b）。 FCoE 技術(shù)的應(yīng)用范圍擴(kuò)大到 整網(wǎng)，除接入層交換機(jī)外，匯聚核心層交換機(jī)也支持 FCoE 功能；除服務(wù)器外，存儲(chǔ)設(shè)備也逐漸支持 FCoE 接口。然而，傳統(tǒng)以太網(wǎng) LAN 和傳統(tǒng) FC SAN 具有不同的技術(shù)要求，在拓?fù)浣Y(jié)構(gòu)、高可用性、傳輸保障機(jī)制、流量模型 等方面存在較大差別。多種類(lèi)型的接口卡和網(wǎng)絡(luò)設(shè)備削弱了業(yè)務(wù)靈活性，增加了數(shù)據(jù)中心網(wǎng)絡(luò)管理復(fù)雜性、增加了設(shè)備成本、增加了電力等方面的開(kāi)銷(xiāo)。方案組網(wǎng)如下圖所示： 從主中心和備份中心的網(wǎng)關(guān)層（本方案的接入交換機(jī)）拉出互聯(lián)鏈路，經(jīng)過(guò)“ DCI PE設(shè)備 ”匯聚后 承載到廣域 IP 網(wǎng)絡(luò) ； 高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 34 在 IP 核心網(wǎng)上，兩端 PE 間建立 GRE 隧道，實(shí)現(xiàn)兩 PE 背靠背互聯(lián)， 這種方案的好處的可建立 IPSEC 保護(hù)私密性與完整性； 綜合上述兩種方案，推薦采用方案 1，避免互聯(lián)帶寬和時(shí)延成為應(yīng)用的瓶頸！ . 新技術(shù)應(yīng)用 . FCoE 數(shù)據(jù)中心網(wǎng)絡(luò)接入層是將服務(wù)器連接到網(wǎng)絡(luò)的第一層基礎(chǔ)設(shè)施，這里最常見(jiàn)的網(wǎng)絡(luò)類(lèi)型是用于局域網(wǎng)（ LAN）連接的以太網(wǎng)，以及用于存儲(chǔ)網(wǎng)絡(luò)（ SAN）連接的 FC 網(wǎng)絡(luò)。方案組網(wǎng)如下圖所示： 高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 33 從主中心和備份中心的網(wǎng)關(guān)層（本方案的接入交換機(jī)）拉出互聯(lián)鏈路，經(jīng)過(guò)“異地集群連通模塊”匯聚后上波分設(shè)備； 異地集群連通模塊將需要進(jìn)行集群和遷移的服務(wù)器 VLAN 進(jìn)行 Trunk，實(shí)現(xiàn)與大連雙中心的大二層 VLAN 互通，保證服務(wù)器可以實(shí)現(xiàn)跨數(shù)據(jù)中心的集群（ MSCS）和遷移（ VMotion）； 數(shù)據(jù)中心內(nèi)部端到端部署 IRF虛擬化，虛擬化后的網(wǎng)關(guān)設(shè)備與大連備份中心運(yùn)行 VRRP，保證網(wǎng)關(guān)設(shè)備跨數(shù)據(jù)中心熱備。 對(duì)于數(shù)據(jù)中心與大連災(zāi)備中心的二層互聯(lián)，有兩種方案可供選擇，這兩種方案均為標(biāo)準(zhǔn)協(xié)議方案 ，可以很好的與大連現(xiàn)中心及第三方設(shè)備互聯(lián) 。借助傳輸技術(shù)（ DWDM、 SDH 等）實(shí)現(xiàn)主中心和災(zāi)備中心間磁盤(pán)陣列的數(shù)據(jù)復(fù)制。在不同的數(shù)據(jù)中心服務(wù)器網(wǎng)絡(luò)接入層，構(gòu)建一個(gè)跨數(shù)據(jù)中心的大二層網(wǎng)絡(luò)（ VLAN），以滿(mǎn)足服務(wù)器集群或虛擬機(jī)動(dòng)態(tài)遷移等場(chǎng)景對(duì)二層網(wǎng)絡(luò)接入的需求。當(dāng)主數(shù)據(jù)中心發(fā)生災(zāi)難時(shí)，前端網(wǎng)絡(luò)將實(shí)現(xiàn)快速收斂，客戶(hù)端通過(guò)訪(fǎng)問(wèn)災(zāi)備中心以保障業(yè)務(wù)連續(xù)性。 為簡(jiǎn)化網(wǎng)絡(luò)部署， 學(xué)校 的 QoS 建議采用第二種方法！ 高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 32 . 數(shù)據(jù)中心互 聯(lián) 數(shù)據(jù)中心的互 聯(lián) 包括以下三種 類(lèi)型： ? 三層互聯(lián)： 也稱(chēng)為數(shù)據(jù)中心前端網(wǎng)絡(luò)互聯(lián)，所謂“前端網(wǎng)絡(luò)”是指數(shù)據(jù)中心面向園區(qū)網(wǎng)或廣域網(wǎng)的出口。 第二種方式：廣域網(wǎng)路由器啟用 QoS 站點(diǎn)實(shí)現(xiàn)方法：在站點(diǎn)的路由器上配置 QoS 策略，首先啟用 ACL 識(shí)別 ERP 流（如：源地址 +目的地址），打上優(yōu)先級(jí) DSCP 標(biāo)記 AF31；再啟用 CBQ（基于類(lèi)的隊(duì)列），將其引入 CBQ的中優(yōu)先級(jí)隊(duì)列，由 CBQ 進(jìn)行隊(duì)列調(diào)度，搶占低優(yōu)先級(jí)的帶寬，優(yōu)先轉(zhuǎn)發(fā)報(bào)文。在局域網(wǎng)高帶寬和多廠家設(shè)備混合組網(wǎng)的情況（如防火墻采用國(guó)產(chǎn)設(shè)備），一般在 數(shù)據(jù)中心內(nèi)部局域 網(wǎng)內(nèi)不啟用 QoS，以下將介紹兩種方式： 第一種方式：端到端的 QoS 站點(diǎn)實(shí)現(xiàn)方法：在站點(diǎn)的 ERP工作站接入交換機(jī)上啟用 QoS，通過(guò) ACL識(shí)別 ERP流量（如：源地址 +目的地址），打上 DSCP 優(yōu)先級(jí) AF31，并啟用 SP（嚴(yán)格優(yōu)先級(jí)），將其優(yōu)先發(fā)送，經(jīng)核心交換機(jī)、防火墻至路由器，所經(jīng)各設(shè)備同時(shí)啟用 QoS，保障其優(yōu)先轉(zhuǎn)發(fā)；再通過(guò)路由器啟用 CBQ（基于類(lèi)的隊(duì)列），將 ERP 流量放入到中優(yōu)先級(jí)隊(duì)列，搶占低優(yōu)先級(jí)隊(duì)列的帶寬，發(fā)送報(bào)文。 2. ERP 流量 ERP 系統(tǒng)是 學(xué)校 的關(guān)鍵業(yè)務(wù)， ERP 服務(wù)器部署在數(shù)據(jù)中心，各站點(diǎn)分布多個(gè) ERP 工作站訪(fǎng)問(wèn)數(shù)據(jù)中心的 ERP 服務(wù)器。對(duì)于 學(xué)校 需要保障的業(yè)務(wù) —— 視頻業(yè)務(wù)和 ERP 業(yè)務(wù)，其優(yōu)先級(jí)是不同的，根據(jù)實(shí)施經(jīng)驗(yàn)，下面對(duì)其做詳細(xì)的 QoS 設(shè)計(jì)： 1. 視頻流量 站點(diǎn)實(shí)現(xiàn)方法：在站點(diǎn)的 出口 路由器上配置 QoS 策略，首先啟用 ACL 識(shí)別視頻流（如視頻會(huì)議終端的 IP 地址），打上優(yōu)先級(jí) DSCP 標(biāo)記 AF41；再啟用 CBQ（基于類(lèi)的隊(duì)列），將其引入 CBQ 的緊急隊(duì)列，由 CBQ 進(jìn)行隊(duì)列調(diào)度，搶占足夠帶寬，優(yōu)先轉(zhuǎn)發(fā)緊急隊(duì)列中的報(bào)文，直到發(fā)送完后才發(fā)送其他類(lèi)對(duì)應(yīng)的隊(duì)列的報(bào)文。 . QoS部署 對(duì)與 學(xué)校 的整體 QoS 部署，我們建議根據(jù)不同層次進(jìn)行部署，涉及局域網(wǎng)設(shè)備和廣域網(wǎng)設(shè)備，來(lái)實(shí)現(xiàn)對(duì) 學(xué)校 關(guān)鍵業(yè)務(wù)的保障。 WRED(Weighted early random detection)提供了對(duì)擁塞的控制，它 不是等待緩沖區(qū)填高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 30 滿(mǎn)然后出現(xiàn)尾部丟棄，而是不停地監(jiān)控緩沖的深度，并可以根據(jù) IP header 中的 IP Precedence 有選擇地早期丟棄一些級(jí)別較低的 TCP 連接的包，保證關(guān)鍵數(shù)據(jù)的傳送，并避免當(dāng)緩沖滿(mǎn)溢時(shí)丟棄大量的數(shù)據(jù)包。另外還可以采用 CRTP（ IP /UDP/ RTP 報(bào)文頭壓縮）技術(shù)，以提高鏈路的利用率。如 果接入帶寬 2M，則需要考慮采用鏈路有效機(jī)制。 另外如果邊緣層與骨干層的接入采用低速的鏈路接入，因此也必須考慮相應(yīng)的隊(duì)列管理技術(shù)。 CBWFQ\LLQ，有一個(gè)低時(shí)延隊(duì)列 LLQ，用來(lái)支撐 EF 類(lèi)業(yè)務(wù)，被絕對(duì)優(yōu)先發(fā)送（優(yōu)先級(jí)低于 RTP 實(shí)時(shí)隊(duì)列）；另外有 63 個(gè) BQ，用來(lái)支撐 AF 類(lèi)業(yè)務(wù)，可以保證每一個(gè)隊(duì)列的帶寬及可控的時(shí)延；還有一個(gè) FIFO/WFQ，對(duì)應(yīng) BE 業(yè)務(wù)，使用接口剩余帶寬進(jìn)行發(fā)送。在實(shí)際應(yīng)用中， SP 隊(duì)列調(diào)度算法與 WRR 調(diào)度算法可以同時(shí)應(yīng)用一個(gè)端口上，既保證關(guān)鍵業(yè)務(wù)的延時(shí)與抖動(dòng)，同時(shí)又保證各業(yè)務(wù)具有一定的帶寬保證。關(guān)鍵業(yè)務(wù)有一重要的特點(diǎn)，即在擁塞發(fā)生時(shí)要求優(yōu)先獲得服務(wù)以減小響應(yīng)的延遲。目前業(yè)界在以太網(wǎng)絡(luò)交換機(jī)實(shí)現(xiàn)的 Qos 隊(duì)列管理技術(shù)主要采用嚴(yán)格優(yōu)先級(jí) SP（ StrictPriority）隊(duì)列調(diào)度算法、加權(quán)輪循 WRR（ Weighted Round Robin）調(diào)度算法。 ? 隊(duì)列管理 在 Diffserv 體系的隊(duì)列管理中，同樣按照不同的邊界范圍采用不同的隊(duì)列管理技術(shù)。而數(shù)據(jù)又分 ERP 關(guān)鍵業(yè)務(wù)和其他業(yè)務(wù)，因此需要對(duì)現(xiàn)有業(yè)務(wù)系統(tǒng)進(jìn)行分類(lèi)，才能更好地保障業(yè)務(wù)的開(kāi)展。 QoS 性能特點(diǎn)是用戶(hù)可見(jiàn)的，使用用戶(hù)可理解的語(yǔ)言表示為一組參數(shù)，如傳輸延遲、延遲抖動(dòng)、安全性、可靠性等。 對(duì)于 學(xué)校 廣域網(wǎng)的 QoS，我們建議采用 Diffserv 方式進(jìn)行部署。從技術(shù)上看， Intserv 需要網(wǎng)絡(luò)對(duì)每個(gè)流均維持一個(gè)軟狀態(tài)，因此會(huì)導(dǎo)致設(shè)備性能的下降，或?qū)崿F(xiàn)相同的功能需要更高性能的設(shè)備，另外，還需要全網(wǎng)設(shè)備都能提供一致的技術(shù)才能實(shí)現(xiàn)QoS。網(wǎng)絡(luò)通過(guò)這些信息來(lái)進(jìn)行報(bào)文的分類(lèi)、 流量整形、流量監(jiān)管和排隊(duì)。網(wǎng)絡(luò)不需要為每個(gè)流維護(hù)狀態(tài)，它根據(jù)每個(gè)報(bào)文指定的 QoS，來(lái)提供特定的服務(wù)。 ? Differentiated service： Diffserv 即區(qū)別服務(wù)模型，它可以滿(mǎn)足不同的 QoS 需求。這個(gè)請(qǐng)求是通過(guò)信令（ signal）來(lái)完成的，應(yīng)用程序首先通知網(wǎng)絡(luò)它自己的流量參數(shù)和需要的特定服務(wù)質(zhì)量請(qǐng)求，包括帶寬、時(shí)延等，應(yīng)用程序一般在收到網(wǎng)絡(luò)的確認(rèn)信息，即網(wǎng)絡(luò)已經(jīng)為這個(gè)應(yīng)用程 序的報(bào)文預(yù)留了資源后，發(fā)送報(bào)文。 ? Integrated service： Intserv 是一個(gè)綜合服務(wù)模型，它可以滿(mǎn)足多種 QoS 需求。應(yīng)用程序可以在任何時(shí)候，發(fā)出任意數(shù)量的報(bào)文，而且不需要事先獲得批準(zhǔn)，也不需要通知網(wǎng)絡(luò)。 . QoS 服務(wù)模型選擇 為了更有效的利用帶寬，使關(guān)鍵業(yè)務(wù)得到無(wú)阻塞的應(yīng)用，網(wǎng)絡(luò)需要進(jìn)行 QoS 方案的設(shè)計(jì)實(shí)施，首先需要考慮選擇合適的技術(shù)框架，也即服務(wù)模型。換句話(huà)說(shuō)，即在網(wǎng)絡(luò)帶寬足夠高的情況下，不需要 QOS 機(jī)制。 SLB 插卡與接入交換機(jī)建立三層連接關(guān)系，同時(shí)對(duì)下做為服務(wù)器網(wǎng)關(guān)設(shè)備 提供服務(wù)器負(fù)載均衡功能。 本方案的推薦 采用組網(wǎng)四方案 ，組網(wǎng)邏輯拓?fù)淙缦聢D所示： 高校 數(shù)據(jù)中心網(wǎng)絡(luò)及安全方案建議書(shū) 26 在本案例組網(wǎng)設(shè)計(jì)中， 接入交換機(jī)和安全插卡都為雙機(jī)部署，使用 OSPF 動(dòng)態(tài)路由協(xié)議。 ? SLB 可以作為服務(wù)器網(wǎng)關(guān)設(shè)備部署，如果服務(wù)器間還需要更嚴(yán)格的防護(hù)策略可以將防火墻部署在 SLB 下端作為服務(wù)器的隔離設(shè)備。也可以將服務(wù)器網(wǎng)關(guān)放置在交換機(jī)上， L