烟台教育数据中心建设方案v.doc

烟台市教育新数据中心建设方案目 录1、存在的问题分析31.1网络及网络安全问题31.2教育数据中心问题52、解决方案62.1网络及网络安全问题解决方案62.1.1教育城域网升级优化62.1.2市教育局办公网络建设72.1.3移动用户远程接入92.2构建新一代教育数据中心92.2.1构建新一代教育数据中心技术需求102.2.2构建新一代教育数据中心关键技术102.2.3教育数据中心架构设计132.3城域网服务优化172.3.1城域网出口链路优化172.3.2教育城域网应用加速173、预算清单171、存在的问题分析烟台教育城域网经过三次较大规模的建设，已走在了中国教育信息化的前列，教育城域网成功的组网模式已成为当代教育信息化建设的典范，并得到教育部的大力推广。随着教育信息化的快速发展，应用方式的多样化，我们应看到教育信息化的建设不是简单的网络互联，网络的宽带化，更为重要的是我们的教育要以人为本，要构建以人为本的网络，满足现代教育的多样化需求。目前烟台市的教育网络还存在着很多的问题。1.1网络及网络安全问题 教育城域网骨干单核心组网，没有冗余保障烟台教育城域网最近的一次改造于2006年完成，整个教育城域网的核心采用一台思科Cisco7609路由器，13个县市区城域网通过1000M链路连接到7609路由器，另外采用一台华为NE40路由器作为整个烟台市教育城域网的出口路由。城域网核心路由器及出口路由器存在单点故障问题，如果其中的一台设备出现故障将导致整个教育城域网无法正常运行；并且，设备的使用期限存着的很大问题，NE40路由器已运行了五年，存在着设备老化问题，7609路由器设备质保期已近期限。 教育城域网络安全问题城域网核心路由器内置防火墙模块存在性能瓶颈问题，随着教育城域网流量的增加，尤其是互联网访问、教学资源库及中小学远程教育等多媒体应用成为当前烟台市教育城域网的最重要应用。思科7609路由器内置的单块防火墙（吞吐量只有5G）已存在着性能瓶颈问题，在网络流量高峰时经常造成用户上不了网的情况，导致无法正常访问教育资源事件的发生。 上网行为管理问题互联网给我们带来前所未有的混合威胁的风险。一方面，互联网中存在着太多的风险，如恶意网站、网上欺诈、网络病毒及恶意代码，给网络安全带来巨大威胁；而另一方面网络违规行为泛滥，如：员工随意不受控制地访问非法网站、传递敏感信息、发布非法言论、滥用网络资源（包括P2P下载、IM即时通讯、网络游戏、在线视频、炒股等）、外泄敏感业务信息等，严重影响网络安全，造成难以弥补的损失。因此，需要一套上网行为管理系统实现对办公网用户的安全管理。 市教育局办公网建设问题（1）办公网组网架构及模式市教育局办公网应和核心分离出来，作为一个单独的网络区域连接到教育城域网，做到网络架构的层次清晰化，便于网络的扩展及维护。另外，随着无线终端的大量普及，尤其是笔记本电脑的大量使用，无线网络无疑成为了新型办公网络的发展趋势；无线局域网络具备有线网络所不具备的移动性和漫游功能，使得在无线信号覆盖的范围之内，局域网用户不管在任何地方都可以实时的访问信息，无线网络能够支持移动办公与移动网络管理，用户可以随时随地在大楼内部安全的接入网络。教育局办公局域网应部署无线局域网，便于教育局移动办公及会议、培训等应用。（2）远程办公灵活性差，安全得不到保障现在，Web成为标准平台已势不可挡，越来越多的单位开始将各种应用移植到Web上。然而，有些资源只能在内部访问，并没有对外发布，如果外网用户（出差或家庭办公）如何安全地访问内网资源呢？通常情况下，是通过VPN方式接入。VPN建在互联网的公共网络架构上，通过“隧道”协议，在发端加密数据、在收端解密数据，以保证数据的私密性。教育网内的一些应用如办公系统、内部资源库，如果对外发布存在着很大的安全问题，因此需要一种安全有效的方式解决这一问题。（3）办公网病毒防护问题为实现办公网的安全，有必要在办公网内部署一套网络版防病毒系统。实现终端的安全接入，通过网络版防病毒系统将病毒进行有效隔离。1.2教育数据中心问题 服务器及存储设备问题网络中心现有的存储设备都是采用DAS方式（直连存储，一对一连接方式），目前共有5台设备，使用年限都在五年以上；并且这些设备需要分散管理维护，灵活性和设备利用率较差。另外，随着服务器数量的增多，就不能再采用DAS存储。因此，我们需要构建SAN存储网络，实现网络服务器与存储设备之间的多对多连接。SAN 架构的优势在于，强大的扩展性、多种存储设备的集中和新架构支撑下的新型数据应用方式。另外，原有服务器使用年限分别达到了五年至七年，设备性能较低。 数据中心架构模式问题（1）维护管理难在现有构架的网络中进行业务扩容、迁移或增加新的服务功能越来越困难，每一次变更都将牵涉相互关联的、不同时期按不同初衷建设的多种物理设施，涉及多个不同领域、不同服务方向，工作繁琐、维护困难，而且容易出现漏洞和差错。比如数据中心新增加一个业务类型，需要调整新的应用访问控制需求，此时管理员不仅要了解新业务的逻辑访问策略，还要精通物理的防火墙实体的部署、连接、安装，要考虑是增加新的防火墙端口、还是需要添置新的防火墙设备，要考虑如何以及何处接入，有没有相应的接口，如何跳线，以及随之而来的VLAN、路由等等，如果网络中还有诸如地址转换、7层交换等等服务与之相关联，那将是非常繁杂的任务。当这样的IT资源需求在短期内累积，将极易在使得系统维护的质量和稳定性下降，同时反过来减慢新业务的部署，进而阻碍业务的推进和发展。（2）资源利用率低现有架构方式对底层资源的投入与在上层业务所收到的效果很难得到同比发展，最普遍的现象就是忙的设备不堪重负，闲的设备资源储备过多，二者相互之间又无法借用和共用。这是由于对底层网络建设是以功能单元为中心进行建设的，并不考虑上层业务对底层资源调用的优化，这使得对网络的投入往往无法取得同样的业务应用效果的改善，反而浪费了较多的资源和维护成本。（3）服务策略不一致现有架构最严重的问题是这种以孤立的设备功能为中心的设计思路无法真正从整个系统角度制订统一的服务策略，比如安全策略、高可用性策略、业务优化策略等等，造成跨平台策略的不一致性，从而难以将所投入的产品能力形成合力为上层业务提供强大的服务支撑。2、解决方案2.1网络及网络安全问题解决方案2.1.1教育城域网升级优化 增加一台模块化路由器为了解决网络核心单点故障问题，建议增加一台模块化路由器。正常情况下，这台路由器作为因特网出口使用，通过内置防火墙模块实现NAT地址转换及边界安全防护，这台路由器与现有的NE40路由器实现出口负载分担，规划NE40路由器用于连接电信，新路由器用于连接Cernet及新联通；在设备选型上选用思科Cisco7606S路由器，配置SUP32引引擎，双电源；Cisco7606S路由器与现有的核心路由器Cisco7609板卡通用，如果核心路由器Cisco7609出现故障，那么这台新路由器可以接替Cisco7609工作，最大程度上保障网络的可持续运行。如下图所示： 增加两块防火墙模块，解决城域网安全及性能瓶颈问题为了解决因特网出口冗余及原有内置防火墙性能瓶颈问题，建议增加的两块防火墙模块，其中一块内置于出口路由器Cisco7606S中，实现NAT转换及城域网边界安全防护，另一块防火墙内置于核心路由器Cisco7609中，完成城域网出口安全防护、服务器安全防护及上网日志统计功能。2.1.2市教育局办公网络建设烟台市教育局新办公大楼，包括原有楼宇部分和新建楼宇部分，共两栋楼，每栋6层。原有大楼包括约110间房，新建部分估计90间，合计约200间，每个房间规划2个信息点，其计400个。网络中心位于原大楼6层（烟台市教育信息中心），含大中心机房1个，大、中、小会议室3个，网络培训教室1个。在新办公大楼的组网方式上要充分利用现在的计算机网络技术，将有线与无线紧密结合，建设一套现代化的新型办公网络，更好地服务于教学研究和行政办公。整个办公网络采用层次化网络拓扑结构，在网络核心设计一台思科万兆路由交换机-CAT4506E作为整个教育局内部办公网的核心，核心交换机负责办公子网内的数据交换与转发，通过万兆链路连接至烟台市教育信息中心骨干路由器，万兆端口提供了高速的数据传输带宽，充分满足办公及多媒体应用的需求，CAT4506与7609路由器之间启用OSPF动态路由。本次网络的建设要完成400多个信息点的综合布线，全部采用6类非屏蔽双胶线；接入层设计8台全千兆交换机，通过1000M多模光纤连接核心4506E交换机。在接入层设备选型上采用思科3560G智能三层交换机，该提供48个1000M电口，为终端用户提供高速带宽的同时，通过所支持的POE功能还能为无线Wi-Fi设备（如无线接入AP，移动电话）、监控摄像头、IP电话提供以太网在线供电功能（绿色环保），充分满足未来几年内的新型网络需求。在网络组网方式上，将有线与无线技术结合起来。近年来随着移动终端的大量普及，更加促进了无线网络技术的发展，无线网络在解决一些场所，如实验室、会议室等地点难以布线的问题的同时，还可以简化在这些区域网络实施，通过无线网络覆盖，有效节省了布线成本和相应的管理维护成本，无线系统正逐渐成为不少发达国家教育机构、院校或部门的重要组成部分。为了迎合新型绿色网络发展的趋势，本次网络建设规划设计无线局域网。在技术选型上，采用集中管理的架构，设计一台无线控制器-思科WLC4402，对所有接入AP进行集中管理，实现无线移动用户接入的负载均衡和漫游。无线接入AP在产品选型上采用思科最新一代支持802.11n的LAP1141N，为无线接入终端提供更高的传输带宽。本次无线接入网络规划在两栋办公楼中每层部署2台AP，三个会议室及网络培训教室各部署一台，共计28台。2.1.3移动用户远程接入为了解决移动用户远程办公的问题，建议在教育网络中部署SSL VPN网关设备，通过与互联网建立加密隧道，以保护对教育资源的安全访问。利用SSL VPN全面网络接入，几乎可以访问网络上的所有应用、服务器或资源。全面网络接入通过轻量级VPN客户端软件提供，该软件可以在连接到SSL VPN网关之后动态下载到用户桌面上（通过Web浏览器连接）。由于这种VPN客户端不需要人工软件分发或最终用户交互就能动态下载和更新，因此几乎不需要IT部门提供桌面支持，能够降低部署和运作成本。与无客户端接入相似，全面网络接入也能够按照最终用户的访问权限提供完全访问控制定制。利用全面网络接入，员工可以远程访问到在办公室里能够访问到的所有应用和网络资源，以及不能通过基于Web的无客户端连接提供的所有客户端-服务器应用。2.2构建新一代教育数据中心在数据大集中的趋势下，数据中心的服务器规模越来越庞大。随着服务器规模的成倍增加，硬件成本也水涨船高，同时管理众多的服务器的维护成本也随着增加。为了降低数据中心的硬件成本和管理难度，对大量的服务器进行整合成了必然的趋势。通过整合，可以将多种业务集成在同一台服务器上，直接减少服务器的数量，有效的降低服务器硬件成本和管理难度。数据中心资源的整合和虚拟化正在不断发展，这需要高度可扩展的永续安全数据中心网络基础。网络不但能让用户安全访问各种数据中心服务，还能根据需要实现共享数据中心组件的部署、互联和汇聚，包括各种应用、服务器、网络设备和存储。适当规划的数据中心网络不仅能保护应用和数据完整性，提高应用可用性和性能，还能增强对不断变化的市场状况、业务重要程度和技术先进性的反应能力。2.2.1构建新一代教育数据中心技术需求 虚拟化能力虚拟化其实就是把已整合的资源以一种与物理位置、物理存在、物理状态等无关的方式进行调用，是从物理资源到服务形态的质变过程。虚拟化是实现物理资源复用、降低管理维护复杂度、提高设备利用率的关键，同时也是为未来自动实现资源协调和配置打下基础。新一代数据中心网络要求能够提供多种方式的虚拟化能力，不仅仅是传统的网络虚拟化（比如VLAN、VPN等），还必须做到：l 交换虚拟化l 智能服务虚拟化l 服务器虚拟化 绿色数据中心要求当前的能源日趋紧张，能源的价格也飞扬直上；节能减排是我们每个人都关心的议题。如何最大限度的利用能源、降低功耗，以最有效率方式实现高性能、高稳定性的服务是新一代的数据中心必须考虑的问题。2.2.2构建新一代教育数据中心关键技术 一体化交换技术DCE（数据中心以太网）技术的重要目标是实现传统数据中心最大程度的资源整合，从而实现面向服务的数据中心的最终目标。在传统数据中心中存在三种网络：使用光纤存储交换机的存储交换网络（Fiber Channel SAN），便于实现CPU、内存资源并行化处理的高性能计算网络（多采用高带宽低延迟的InfiniBand技术），以及传统的数据局域网。DCE技术将这三种网络实现在统一的传输平台上，即DCE将使用一种交换技术同时实现远程存储、远程并行计算处理和传统数据网络功能。这样才能最大化的实现三种资源的整合，从而便于实现跨平台的资源调度和虚拟化服务，提高投资的有效性，同时还降低了管理成本。烟台教育新数据中心要实现存储网络和传统数据网络的双网合一，使用DCE技术实现二者的一体化交换。当前在以太网上融合传统局域网和存储网络唯一成熟技术标准是Fiber Channel Over Ethernet技术（FCoE），它已在标准上给出了如何把存储网(SAN)的数据帧封装在以太网帧内进行转发的相关技术协议。由于该项技术的简单性、高效率、经济性，目前已经形成相对成熟的包括存储厂商、网络设备厂商、主机厂商、网卡厂商的生态链。 性能支撑能力为保证实现一体化交换和资源整合，DCE还必须对传统以太网的性能和可扩展性的进行革新。首先为保证三网合一后的带宽资源，万兆以太网技术只是DCE核心层带宽的起点。而正在发展中的40G/100G以太网才是DCE技术将来的主流带宽。因此，要保证我们今天采购的设备能有5年以上的生命周期，就必须考虑硬件的可扩展能力。另外存储网络和高性能计算所要求的通过网络实现的远程磁盘读写、内存同步的性能需求，DCE设备必须提供比传统以太网设备低几个数量级的端口间转发延迟。DCE要求的核心层的三层转发延迟应可达到30us以下，接入层的二层转发延迟应可在34us以下。这都是传统以太网技术无法实现的性能指标要求。 虚拟化技术（1）网络及服务虚拟化在服务资源整合以及设备虚拟化的基础之上，DCE要求每个虚拟化的网络应用区都有自己的业务服务设施，比如自己的防火墙、IDS、负载均衡器、SSL加速、网络服务，这些如果都是物理上独占式分配的，将是高成本、低效率且难于维护管理的。DCE网络在提供这些网络智能服务时都可以以虚拟化的方式实现各类服务的资源调用，思科的DCE网络中就可以实现虚拟防火墙、虚拟IDS、虚拟负载均衡器、虚拟SSL VPN网络等等，从而实现网络智能服务的虚拟化。（2）服务器虚拟化服务器虚拟化可以使上层业务应用仅仅根据自己所需的计算资源占用要求来对CPU、内存、I/O和应用资源等实现自由调度，而无须考虑该应用所在的物理关联和位置。当前商用化最为成功的服务器虚拟化解决方案是VMWare的VMotion系列，微软的Virtual Server和许多其它第三方厂商（如Intel、AMD等）也正在加入，使得服务器虚拟化的解决方案将越来越完善和普及。然而人们越来越意识到服务器虚拟化的系统解决方案中除了应用、主机、操作系统的角色外，网络将是一个更为至关重要的角色。网络将把各个自由联系成为一个整体，网络将是实现自由虚拟化的桥梁。 大容量存储能力由于计算机技术尤其是存储技术的发展日新月异、一日千里，新的技术、产品不断涌现，而一些旧的、过时的技术、产品也逐渐地退出历史舞台，如何保证存储系统在这种情况下能够不断地完善、发展，保持系统的实用性和技术的先进性是在整个系统的规划阶段必需考虑的问题。集中化的存储管理思想是一种非常有效的经济的解决方案。因为对于磁盘阵列来说，只有一套管理系统，这样就可以极为方便地进行磁盘监控，性能调试。增加或者重新配置磁盘也变得非常简单。最大化的合成集中设备，也使得存储系统的宕机风险降至最低。同时，一套完善的备份方案就可以有效地进行数据备份及恢复。数据传输能力将直接影响整个系统的性能。当今计算技术的发展，主机CPU 主频，内存容量飞速提高，系统性能瓶颈主要集中在数据读写，传送能力。为了提高性能，存储系统的发展方向应该是大缓存，固化高处理能力CPU，配置功能先进的存储软件。 服务器负载均衡技术需要提供四到七层数据包的内容交换和负载均衡功能，为服务器机群提供虚拟地址和端口，从而可以有效地对重要应用数据的传送进行优化和简化。同时，为数据中心服务器应用提供应用级安全保护。 “绿色”数据中心DCE技术的整合化、虚拟化和自动化本身就是在达到同样业务能力的要求下实现高效率利用硬件资源、减少总硬件投入、节约维护管理成本等方面的最佳途径，这本身也是绿色数据中心的必要条件。2.2.3教育数据中心架构设计 刀片服务器-UCS统一计算系统随着随着烟台教育规模的进一步扩大，老师和学生对于计算机需求的进一步提升，以塔式和机架式服务器为主的计算中心难以承担越来越细化的需求，容易面临扩容的任务。而目前的服务器技术发展趋势是刀片服务器，烟台教育平台设计选择刀片服务器。考虑教育教学中视频流量极大，对带宽要求高，建议刀片服务器配置万兆接口。刀片服务器是一种HAHD(High Availability High Density，高可用高密度)的低成本服务器平台，是专门为特殊应用行业和高密度计算机环境设计的，其主要结构为一大型主体机箱，内部可插上许多“刀片”，其中每一块刀片实际上就是一块系统母板，类似于一个个独立的服务器，它们可以通过本地硬盘启动自己的操作系统。刀片式服务器具有四大特点，首先是部署简单、易于维护，所有的线都连在机柜上，布线只有原来的1/10或者1/20。其次是维护成本低，服务器出现问题的时候，刀片可以立即更换并马上启用，而塔式和机架式则不可能做到这一点。第三是节省占用空间成本和能源消耗成本，机架式服务器本身要带电源、光驱、软驱等一系列基础设施，不但占用了宝贵的空间更增添了能源的消耗成本。而一个机柜中的所有刀片都能共用一套基础设施，除了空间利用率更高之外，集中供电效率也远比单机要高很多。本期烟台教育合计设计8台服务器，在本次设计中考虑使用虚拟化技术， 8个刀片服务器可以虚拟成30-50台服务器。在烟台市新教育数据中心建设中我们建议选择思科统一计算系统(UCS)。UCS是一个理想的虚拟化理想平台，因为它减少了I / O 、CPU和内存等的虚拟化“痛点”(pain point)问题。 作为 Cisco Data Center 3.0 愿景的下一步发展目标，统一计算是一个数据中心架构，在一个紧密结合的高可用性系统中整合了计算、网络、存储访问与虚拟化功能，旨在降低总体拥有成本（TCO），同时提高业务灵活性。思科统一计算系统(UCS)基于工业标准之上，致力于： 精简数据中心资源。 扩展服务交付。 从根本上减少需要设置、管理、电源/冷却和布线的设备数量。思科的统一计算架构可在显著降低数据中心总体拥有成本的同时，有效提高 IT 灵活性和响应能力。它能够： 通过为虚拟化和非虚拟化环境提供即时配置和移动性支持，提高业务灵活性。 显著降低整个平台、站点和整个企业的总体拥有成本。虚拟环境需要一致的I/O配置，为资源池中所有服务器的系统管理程序提供统一支持。它们还需要能够支持虚拟机（VM）在资源池中的各服务器间移动，同时又能满足各虚拟机带宽和安全要求的I/O配置。思科统一计算系统以一个低延时无丢包的10-Gbps统一网络阵列为基础，能够满足这一需要。Cisco UCS 5108刀片机箱中的刀片服务器通过扩展卡访问阵列，每刀片服务器吞吐率高达40 Gbps。该统一阵列采用“一次布线”部署模式，机箱只通过线缆连接到互联阵列一次，I/O配置的改变只需通过管理系统进行，而无需安装主机适配器以及对机架和交换机重布线。此统一阵列不再需要在每个服务器中部署冗余以太网和光纤通道适配器，也不必采用独立布线连接接入层交换机，并为每种网络媒体使用不同交换机，因此大大简化了机架布线。所有流量都路由到中央服务器互联，随后以太网和光纤通道流量可独立传输到本地非整合网络。 数据存储系统为实现烟台教育数据中心关键数据的集中存储和管理，在本次项目中部署NAS和FC SAN/IP SAN，NS480系统可同时支持NAS、IP SAN、FC SAN。烟台教育的数据量初期设计15TB，配置11块400GFC硬盘，15块1T SATA盘，随着数据量的不断增加，后期只需增加硬盘。我们推荐的EMC NS480单台设备可支持480块驱动器。CISCO 统一计算和EMC存储更紧密的结合，能够为客户提供计算+存储的完美的解决方案。通过统一互联阵列，存储设备可以和刀片服务器直接连接起来。这样不仅轻松实现了服务器和存储的整合，而且大大的降低了用户在数据中心的建设成本、空间成本、管理成本和使用成本。对于需要共享的数据，比如VOD、课件等数据采用NAS架构存储。数据中心服务器+存储架构图如下： 服务器虚拟化设计虚拟化可以大幅度提高数据中心资源和应用程序的效率和可用性。在旧的“一台服务器一个应用程序”模式下，内部资源未得到充分利用，并且 IT 管理员将太多的时间花在服务器管理上，而不是用于创新。借助在 VMware 虚拟化平台基础上构建的自动化数据中心，您能够以前所未有的速度和效率响应市场动态。VMware vSphere 可以按需要随时将资源、应