教育数据中心建设方案详细

1、教育新数据中心建设方案目录1、存在的问题分析 31.1 网络及网络安全问题 31.2 教育数据中心问题 52、解决方案 62.1 网络及网络安全问题解决方案 62.1.1 教育城域网升级优化 62.1.2 市教育局办公网络建设 72.1.3 移动用户远程接入 92.2 构建新一代教育数据中心 92.2.1 构建新一代教育数据中心技术需求 102.2.2 构建新一代教育数据中心关键技术 102.2.3 教育数据中心架构设计 132.3 城域网服务优化 172.3.1 城域网出口链路优化 172.3.2 教育城域网应用加速 173、预算清单 171、存在的问题分析教育城域网经过三次较大规模的建设，

2、已走在了中国教育信息化的前列，教 育城域网成功的组网模式已成为当代教育信息化建设的典，并得到教育部的大力 推广。随着教育信息化的快速发展，应用方式的多样化，我们应看到教育信息化 的建设不是简单的网络互联，网络的宽带化，更为重要的是我们的教育要以人为 本，要构建以人为本的网络，满足现代教育的多样化需求。目前的教育网络还存 在着很多的问题。1.1 网络及网络安全问题? 教育城域网骨干单核心组网，没有冗余保障教育城域网最近的一次改造于 2006 年完成，整个教育城域网的核心采用一台 思科 Cisco7609 路由器， 13个县市区城域网通过 1000M链路连接到 7609路由器， 另外采用一台华为

3、NE40路由器作为整个教育城域网的出口路由。 城域网核心路由 器及出口路由器存在单点故障问题，如果其中的一台设备出现故障将导致整个教 育城域网无常运行；并且，设备的使用期限存着的很大问题， NE40路由器已运行 了五年，存在着设备老化问题， 7609 路由器设备质保期已近期限。? 教育城域网络安全问题城域网核心路由器置防火墙模块存在性能瓶颈问题，随着教育城域网流量的 增加，尤其是互联网访问、教学资源库及中小学远程教育等多媒体应用成为当前 教育城域网的最重要应用。思科 7609 路由器置的单块防火墙（吞吐量只有 5G） 已存在着性能瓶颈问题，在网络流量高峰时经常造成用户上不了网的情况，导致 无常

4、访问教育资源事件的发生。? 上网行为管理问题互联网给我们带来前所未有的混合威胁的风险。 一方面，互联网中存在着太 多的风险， 如恶意、网上欺诈、网络病毒及恶意代码， 给网络安全带来巨大威胁； 而另一方面网络违规行为泛滥， 如：员工随意不受控制地访问非法、 传递敏感信 息、发布非法言论、滥用网络资源（包括 P2P下载、 IM 即时通讯、网络游戏、 在线视频、炒股等）、外泄敏感业务信息等，严重影响网络安全，造成难以弥补 的损失。因此，需要一套上网行为管理系统实现对办公网用户的安全管理。? 市教育局办公网建设问题（1）办公网组网架构及模式 市教育局办公网应和核心分离出来，作为一个单独的网络区域连接到

5、教育 城域网，做到网络架构的层次清晰化，便于网络的扩展及维护。另外，随着无线 终端的大量普及， 尤其是笔记本电脑的大量使用， 无线网络无疑成为了新型办公 网络的发展趋势； 无线局域网络具备有线网络所不具备的移动性和漫游功能， 使 得在无线信号覆盖的围之，局域网用户不管在任何地方都可以实时的访问信息， 无线网络能够支持移动办公与移动网络管理， 用户可以随时随地在大楼部安全的 接入网络。教育局办公局域网应部署无线局域网，便于教育局移动办公及会议、 培训等应用。（2）远程办公灵活性差，安全得不到保障现在， Web成为标准平台已势不可挡，越来越多的单位开始将各种应用移植 到 Web上。然而，有些资源只

6、能在部访问，并没有对外发布，如果外网用户（出 差或家庭办公）如何安全地访问网资源呢？通常情况下，是通过VPN方式接入。VPN建在互联网的公共网络架构上，通过“隧道”协议，在发端加密数据、在收 端解密数据，以保证数据的私密性。教育网的一些应用如办公系统、部资源库， 如果对外发布存在着很大的安全问题，因此需要一种安全有效的方式解决这一问 题。（3）办公网病毒防护问题 为实现办公网的安全，有必要在办公网部署一套网络版防病毒系统。实现终端的安全接入，通过网络版防病毒系统将病毒进行有效隔离1.2 教育数据中心问题? 服务器及存储设备问题网络中心现有的存储设备都是采用 DAS方式（直连存储，一对一连接方式

7、） ， 目前共有 5 台设备，使用年限都在五年以上；并且这些设备需要分散管理维护， 灵活性和设备利用率较差。另外，随着服务器数量的增多，就不能再采用 DAS 存储。因此，我们需要构建 SAN存储网络， 实现网络服务器与存储设备之间的多 对多连接。 SAN架构的优势在于，强大的扩展性、多种存储设备的集中和新架构 支撑下的新型数据应用方式。 另外，原有服务器使用年限分别达到了五年至七年， 设备性能较低。? 数据中心架构模式问题（1）维护管理难 在现有构架的网络中进行业务扩容、迁移或增加新的服务功能越来越困难， 每一次变更都将牵涉相互关联的、 不同时期按不同初衷建设的多种物理设施， 涉 及多个不同领

8、域、不同服务方向，工作繁琐、维护困难，而且容易出现漏洞和差 错。比如数据中心新增加一个业务类型， 需要调整新的应用访问控制需求， 此时 管理员不仅要了解新业务的逻辑访问策略，还要精通物理的防火墙实体的部署、 连接、安装，要考虑是增加新的防火墙端口、还是需要添置新的防火墙设备，要 考虑如何以及何处接入，有没有相应的接口，如何跳线，以及随之而来的VLAN、路由等等，如果网络中还有诸如地址转换、 7 层交换等等服务与之相关联，那将 是非常繁杂的任务。当这样的 IT 资源需求在短期累积，将极易在使得系统维护 的质量和稳定性下降， 同时反过来减慢新业务的部署， 进而阻碍业务的推进和发 展。（2）资源利用

9、率低 现有架构方式对底层资源的投入与在上层业务所收到的效果很难得到同比 发展，最普遍的现象就是忙的设备不堪重负， 闲的设备资源储备过多， 二者相互 之间又无法借用和共用。 这是由于对底层网络建设是以功能单元为中心进行建设 的，并不考虑上层业务对底层资源调用的优化， 这使得对网络的投入往往无法取 得同样的业务应用效果的改善，反而浪费了较多的资源和维护成本。（3）服务策略不一致 现有架构最严重的问题是这种以孤立的设备功能为中心的设计思路无法真 正从整个系统角度制订统一的服务策略， 比如安全策略、 高可用性策略、 业务优 化策略等等， 造成跨平台策略的不一致性， 从而难以将所投入的产品能力形成合 力

10、为上层业务提供强大的服务支撑。2、解决方案2.1 网络及网络安全问题解决方案2.1.1 教育城域网升级优化? 增加一台模块化路由器为了解决网络核心单点故障问题， 建议增加一台模块化路由器。 正常情况下， 这台路由器作为因特网出口使用， 通过置防火墙模块实现 NAT地址转换及边界安 全防护，这台路由器与现有的 NE40路由器实现出口负载分担， 规划 NE40路由器 用于连接电信，新路由器用于连接 Cernet 及新联通；在设备选型上选用思科 Cisco7606S 路由器，配置 SUP32引引擎，双电源； Cisco7606S 路由器与现有的 核心路由器 Cisco7609 板卡通用，如果核心路由

11、器 Cisco7609 出现故障，那么这 台新路由器可以接替 Cisco7609 工作，最大程度上保障网络的可持续运行。 如下 图所示：? 增加两块防火墙模块，解决城域网安全及性能瓶颈问题为了解决因特网出口冗余及原有置防火墙性能瓶颈问题， 建议增加的两块防 火墙模块，其中一块置于出口路由器 Cisco7606S 中，实现 NAT转换及城域网边 界安全防护，另一块防火墙置于核心路由器 Cisco7609 中，完成城域网出口安全 防护、服务器安全防护及上网日志统计功能。2.1.2 市教育局办公网络建设教育局新办公大楼，包括原有楼宇部分和新建楼宇部分，共两栋楼，每栋6 层。原有大楼包括约 110 间

12、房，新建部分估计 90 间，合计约 200 间，每个房 间规划 2 个信息点，其计 400个。网络中心位于原大楼 6 层（教育信息中心）， 含大中心机房 1 个，大、中、小会议室 3 个，网络培训教室 1 个。在新办公大楼的组网方式上要充分利用现在的计算机网络技术，将有线与 无线紧密结合， 建设一套现代化的新型办公网络， 更好地服务于教学研究和行政 办公。整个办公网络采用层次化网络拓扑结构，在网络核心设计一台思科万兆路 由交换机 -CAT4506E作为整个教育局部办公网的核心， 核心交换机负责办公子网 的数据交换与转发， 通过万兆链路连接至教育信息中心骨干路由器， 万兆端口提 供了高速的数据传

13、输带宽， 充分满足办公及多媒体应用的需求， CAT4506与 7609 路由器之间启用 OSPF动态路由。本次网络的建设要完成 400多个信息点的综合布线，全部采用 6 类非屏蔽 双胶线；接入层设计 8 台全千兆交换机，通过 1000M 多模光纤连接核心 4506E 交换机。在接入层设备选型上采用思科 3560G 智能三层交换机，该提供 48 个 1000M电口，为终端用户提供高速带宽的同时，通过所支持的 POE功能还能为无 线 Wi-Fi 设备（如无线接入 AP，移动）、监控摄像头、 IP 提供以太网在线供电功 能（绿色环保），充分满足未来几年的新型网络需求。在网络组网方式上，将有线与无线技

14、术结合起来。近年来随着移动终端的 大量普及， 更加促进了无线网络技术的发展， 无线网络在解决一些场所， 如实验 室、会议室等地点难以布线的问题的同时， 还可以简化在这些区域网络实施， 通 过无线网络覆盖， 有效节省了布线成本和相应的管理维护成本， 无线系统正逐渐 成为不少发达国家教育机构、 院校或部门的重要组成部分。 为了迎合新型绿色网 络发展的趋势， 本次网络建设规划设计无线局域网。 在技术选型上， 采用集中管理的架构，设计一台无线控制器 -思科 WLC440，2 对所有接入 AP进行集中管理， 实现无线移动用户接入的负载均衡和漫游。无线接入AP在产品选型上采用思科最新一代支持 802.11

15、n 的 LAP1141N，为无线接入终端提供更高的传输带宽。本 次无线接入网络规划在两栋办公楼中每层部署 2 台 AP，三个会议室及网络培训 教室各部署一台，共计 28 台。2.1.3 移动用户远程接入为了解决移动用户远程办公的问题，建议在教育网络中部署SSL VPN网关设备，通过与互联网建立加密隧道，以保护对教育资源的安全访问。利用 SSL VPN全面网络接入，几乎可以访问网络上的所有应用、服务器或 资源。全面网络接入通过轻量级 VPN客户端软件提供，该软件可以在连接到 SSL VPN网关之后动态下载到用户桌面上（通过 Web浏览器连接）。由于这种 VPN客 户端不需要人工软件分发或最终用户

16、交互就能动态下载和更新， 因此几乎不需要 IT 部门提供桌面支持，能够降低部署和运作成本。与无客户端接入相似，全面 网络接入也能够按照最终用户的访问权限提供完全访问控制定制。 利用全面网络 接入，员工可以远程访问到在办公室里能够访问到的所有应用和网络资源， 以及 不能通过基于 Web的无客户端连接提供的所有客户端 - 服务器应用。2.2 构建新一代教育数据中心在数据大集中的趋势下， 数据中心的服务器规模越来越庞大。 随着服务器规 模的成倍增加， 硬件成本也水涨船高， 同时管理众多的服务器的维护成本也随着 增加。为了降低数据中心的硬件成本和管理难度， 对大量的服务器进行整合成了 必然的趋势。 通

17、过整合，可以将多种业务集成在同一台服务器上， 直接减少服务 器的数量，有效的降低服务器硬件成本和管理难度。数据中心资源的整合和虚拟化正在不断发展， 这需要高度可扩展的永续安全 数据中心网络基础。 网络不但能让用户安全访问各种数据中心服务， 还能根据需 要实现共享数据中心组件的部署、互联和汇聚，包括各种应用、服务器、网络设 备和存储。 适当规划的数据中心网络不仅能保护应用和数据完整性， 提高应用可 用性和性能， 还能增强对不断变化的市场状况、 业务重要程度和技术先进性的反应能力2.2.1 构建新一代教育数据中心技术需求? 虚拟化能力虚拟化其实就是把已整合的资源以一种与物理位置、 物理存在、 物理

18、状态等 无关的方式进行调用， 是从物理资源到服务形态的质变过程。 虚拟化是实现物理 资源复用、 降低管理维护复杂度、 提高设备利用率的关键， 同时也是为未来自动 实现资源协调和配置打下基础。新一代数据中心网络要求能够提供多种方式的虚拟化能力， 不仅仅是传统的 网络虚拟化（比如 VLAN、VPN等），还必须做到：交换虚拟化智能服务虚拟化 服务器虚拟化? 绿色数据中心要求当前的能源日趋紧， 能源的价格也飞扬直上； 节能减排是我们每个人都关心 的议题。如何最大限度的利用能源、降低功耗，以最有效率方式实现高性能、高 稳定性的服务是新一代的数据中心必须考虑的问题。2.2.2 构建新一代教育数据中心关键技

19、术? 一体化交换技术DCE（数据中心以太网）技术的重要目标是实现传统数据中心最大程度的资 源整合，从而实现面向服务的数据中心的最终目标。 在传统数据中心中存在三种 网络：使用光纤存储交换机的存储交换网络（ Fiber Channel SAN ），便于实现 CPU、存资源并行化处理的高性能计算网络（多采用高带宽低延迟的InfiniBand技术），以及传统的数据局域网。 DCE技术将这三种网络实现在统一的传输平台 上，即 DCE将使用一种交换技术同时实现远程存储、 远程并行计算处理和传统数 据网络功能。 这样才能最大化的实现三种资源的整合， 从而便于实现跨平台的资 源调度和虚拟化服务，提高投资的有

20、效性，同时还降低了管理成本。教育新数据中心要实现存储网络和传统数据网络的双网合一， 使用 DCE技术 实现二者的一体化交换。 当前在以太网上融合传统局域网和存储网络唯一成熟技 术标准是 Fiber Channel Over Ethernet 技术（ FCoE），它已在标准上给出了如 何把存储网 （SAN）的数据帧封装在以太网帧进行转发的相关技术协议。由于该项 技术的简单性、高效率、经济性，目前已经形成相对成熟的包括存储厂商、网络 设备厂商、主机厂商、网卡厂商的生态链。? 性能支撑能力为保证实现一体化交换和资源整合， DCE还必须对传统以太网的性能和可扩 展性的进行革新。首先为保证三网合一后的带

21、宽资源， 万兆以太网技术只是 DCE核心层带宽的 起点。而正在发展中的 40G/100G以太网才是 DCE技术将来的主流带宽。因此， 要保证我们今天采购的设备能有 5 年以上的生命周期，就必须考虑硬件的可扩展 能力。另外存储网络和高性能计算所要求的通过网络实现的远程磁盘读写、 存同步 的性能需求， DCE设备必须提供比传统以太网设备低几个数量级的端口间转发延 迟。 DCE要求的核心层的三层转发延迟应可达到 30us 以下，接入层的二层转发 延迟应可在 34us 以下。这都是传统以太网技术无法实现的性能指标要求。? 虚拟化技术（1）网络及服务虚拟化在服务资源整合以及设备虚拟化的基础之上， DCE

22、要求每个虚拟化的网络应 用区都有自己的业务服务设施，比如自己的防火墙、 IDS、负载均衡器、 SSL 加 速、网络服务，这些如果都是物理上独占式分配的，将是高成本、低效率且 难于维护管理的。 DCE网络在提供这些网络智能服务时都可以以虚拟化的方式实 现各类服务的资源调用，思科的 DCE网络中就可以实现虚拟防火墙、虚拟 IDS、 虚拟负载均衡器、虚拟 SSL VPN网络等等，从而实现网络智能服务的虚拟化。（2）服务器虚拟化 服务器虚拟化可以使上层业务应用仅仅根据自己所需的计算资源占用要求 来对 CPU、存、 I/O 和应用资源等实现自由调度，而无须考虑该应用所在的物理 关联和位置。当前商用化最为

23、成功的服务器虚拟化解决方案是 VMWare的 VMotion 系列，微软的 Virtual Server 和许多其它第三方厂商（如 Intel 、AMD等）也正 在加入，使得服务器虚拟化的解决方案将越来越完善和普及。然而人们越来越意识到服务器虚拟化的系统解决方案中除了应用、 主机、操 作系统的角色外， 网络将是一个更为至关重要的角色。 网络将把各个自由联系成 为一个整体，网络将是实现自由虚拟化的桥梁。? 大容量存储能力由于计算机技术尤其是存储技术的发展日新月异、 一日千里， 新的技术、产 品不断涌现，而一些旧的、过时的技术、产品也逐渐地退出历史舞台，如何保证 存储系统在这种情况下能够不断地完善

24、、 发展，保持系统的实用性和技术的先进 性是在整个系统的规划阶段必需考虑的问题。集中化的存储管理思想是一种非常有效的经济的解决方案。 因为对于磁盘阵 列来说，只有一套管理系统，这样就可以极为方便地进行磁盘监控，性能调试。 增加或者重新配置磁盘也变得非常简单。 最大化的合成集中设备， 也使得存储系 统的宕机风险降至最低。 同时，一套完善的备份方案就可以有效地进行数据备份 及恢复。数据传输能力将直接影响整个系统的性能。 当今计算技术的发展， 主机 CPU 主频，存容量飞速提高，系统性能瓶颈主要集中在数据读写，传送能力。为 了提高性能，存储系统的发展方向应该是大缓存，固化高处理能力CPU，配置功能先

25、进的存储软件。? 服务器负载均衡技术需要提供四到七层数据包的容交换和负载均衡功能， 为服务器机群提供虚拟 地址和端口， 从而可以有效地对重要应用数据的传送进行优化和简化。 同时，为 数据中心服务器应用提供应用级安全保护。? “绿色”数据中心DCE技术的整合化、 虚拟化和自动化本身就是在达到同样业务能力的要求下 实现高效率利用硬件资源、 减少总硬件投入、 节约维护管理成本等方面的最佳途 径，这本身也是绿色数据中心的必要条件。2.2.3 教育数据中心架构设计? 刀片服务器 -UCS 统一计算系统随着随着教育规模的进一步扩大，老师和学生对于计算机需求的进一步提 升，以塔式和机架式服务器为主的计算中心

26、难以承担越来越细化的需求， 容易面 临扩容的任务。 而目前的服务器技术发展趋势是刀片服务器， 教育平台设计选择 刀片服务器。考虑教育教学中视频流量极大， 对带宽要求高， 建议刀片服务器配置万兆接 口。刀片服务器是一种 HAHD（HighA vailability High Density ，高可用高密度 ） 的低成本服务器平台， 是专门为特殊应用行业和高密度计算机环境设计的， 其主 要结构为一大型主体机箱， 部可插上许多“刀片”， 其中每一块刀片实际上就是 一块系统母板， 类似于一个个独立的服务器， 它们可以通过本地硬盘启动自己的 操作系统。刀片式服务器具有四大特点， 首先是部署简单、 易于维

27、护， 所有的线都连在 机柜上，布线只有原来的 1/10 或者 1/20 。其次是维护成本低，服务器出现问题的时候， 刀片可以立即更换并马上启用， 而塔式和机架式则不可能做到这一点第三是节省占用空间成本和能源消耗成本， 机架式服务器本身要带电源、 光 驱、软驱等一系列基础设施，不但占用了宝贵的空间更增添了能源的消耗成本。 而一个机柜中的所有刀片都能共用一套基础设施， 除了空间利用率更高之外， 集 中供电效率也远比单机要高很多。本期教育合计设计 8 台服务器，在本次设计中考虑使用虚拟化技术， 8 个 刀片服务器可以虚拟成 30-50 台服务器。在新教育数据中心建设中我们建议选择思科统一计算系统 (

28、UCS)。UCS 是一 个理想的虚拟化理想平台，因为它减少了I / O 、 CPU和存等的虚拟化“痛点” (pain point) 问题。作为 Cisco Data Center 3.0 愿景的下一步发展目标，统一计算是一个数 据中心架构， 在一个紧密结合的高可用性系统中整合了计算、 网络、存储访问与 虚拟化功能，旨在降低总体拥有成本( TCO)，同时提高业务灵活性。思科统一计算系统 (UCS)基于工业标准之上，致力于：? 精简数据中心资源。? 扩展服务交付? 从根本上减少需要设置、管理、电源 / 冷却和布线的设备数量思科的统一计算架构可在显著降低数据中心总体拥有成本的同时， 有效提高 IT

29、灵活性和响应能力。它能够：? 通过为虚拟化和非虚拟化环境提供即时配置和移动性支持， 提高业务灵活 性。? 显著降低整个平台、站点和整个企业的总体拥有成本。虚拟环境需要一致的 I/O 配置，为资源池中所有服务器的系统管理程序提供 统一支持。它们还需要能够支持虚拟机（ VM）在资源池中的各服务器间移动，同 时又能满足各虚拟机带宽和安全要求的 I/O 配置。思科统一计算系统以一个低延 时无丢包的 10-Gbps 统一网络阵列为基础，能够满足这一需要。 Cisco UCS5 108 刀片机箱中的刀片服务器通过扩展卡访问阵列，每刀片服务器吞吐率高达 40 Gbps。该统一阵列采用“一次布线”部署模式，

30、机箱只通过线缆连接到互联阵列一 次，I/O 配置的改变只需通过管理系统进行，而无需安装主机适配器以及对机架 和交换机重布线。此统一阵列不再需要在每个服务器中部署冗余以太网和光纤通 道适配器， 也不必采用独立布线连接接入层交换机， 并为每种网络媒体使用不同 交换机，因此大大简化了机架布线。 所有流量都路由到中央服务器互联， 随后以 太网和光纤通道流量可独立传输到本地非整合网络。? 数据存储系统为实现教育数据中心关键数据的集中存储和管理，在本次项目中部署 NAS 和 FC SAN/IP SAN，NS480系统可同时支持 NAS、IP SAN、FC SAN。教育的数据 量初期设计 15TB，配置 1

31、1块400GFC硬盘， 15块 1T SATA盘，随着数据量的不 断增加，后期只需增加硬盘。我们推荐的 EMCN S480单台设备可支持 480 块驱动 器。CISCO 统一计算和 EMC存储更紧密的结合，能够为客户提供计算 +存储的完 美的解决方案。通过统一互联阵列，存储设备可以和刀片服务器直接连接起来。 这样不仅轻松实现了服务器和存储的整合， 而且大大的降低了用户在数据中心的 建设成本、空间成本、管理成本和使用成本。对于需要共享的数据，比如VOD、课件等数据采用 NAS架构存储。数据中心服务器 +存储架构图如下：? 服务器虚拟化设计虚拟化可以大幅度提高数据中心资源和应用程序的效率和可用性。在旧的 “一台服务器一个应用程序”模式下， 部资源未得到充分利用， 并且 IT 管理员 将太多的时间花在服务器管理上， 而不是用于创新。 借助在 VMware 虚拟化平台 基础上构建的自动化数据中心，您能够以前所未有的速度和效率响应市场动态。 VMware vSphere 可以按需要随时将