农业信息化网站建设方案

1、xx 农业信息化网站建设方 案 目 录 1系统集成方案系统集成方案.3 1.1系统建设原则.3 1.2系统整体设计思路概述.4 1.3系统示意拓扑图.5 1.4详细设计 .8 1.4.1服务器系统.8 1.4.2服务器负载均衡.11 1.4.3存储系统.11 1.5安全设计 .13 1.5.1系统高可用.13 1.5.2互联网安全接入和入侵防御系统.13 1.5.3网页防篡改系统.14 1.5.4病毒防范系统.15 1.5.5用户/服务器身份认证 .15 1.6本规划特点 .16 1 系统集成方案系统集成方案 1.11.1 系统建设原则系统建设原则 1、先进性 设计思想先进、起点高，结构先进，

2、最大限度的采用市场覆盖 率高、符合技术标准的标准化和技术成熟的软硬件产品。 2、实用性 要充分保护好、利用好现有的资源，发挥现有设备的功效，功 能完善、兼容性强。 3、开放性 采用开放技术、开放结构、开放系统组件和开放接口，符合国 际通用标准协议，便于系统维护、扩展升级与外界互联沟通。 4、可靠性 具有容错功能，管理维护方便，能满足系统所在的地理环境、 气候条件。抗干扰能力强，确保系统的高可靠运行。 5、可扩展性 规划与设计既能满足现行的应用，在配置上，又要有所预留， 以满足因技术发展需要而实现低成本扩展和升级的需要。 6、安全性 最大满足的提供多层次的安全控制手段，建立完善的安全体系。 7、

3、经济性 投资合理，优良好的性价比，且综合考虑设备价格的变化、扩 展升级等因素。 8、易维护性 系统应具有良好的管理功能。 1.21.2 系统整体设计思路概述系统整体设计思路概述 考虑本系统预计的同时在线用户数量较大（约 300000 用户） ， 为保证系统的稳定和可靠运行，并且有效保护投资，建议整个系统 硬件构架上采用分期实施方式，同时在系统的整体结构设计上具有 良好的可扩展性。一期建议先按照 2000-3000 用户同时并发考虑设 计，后期随着用户数的增加，只需要添加相应的服务器和网络设备 等，而不需要改变系统的整体架构。 1.31.3 系统示意拓扑系统示意拓扑图图 入入侵侵检检测测 i i

4、d ds s 核核心心交交换换机机 w we eb b服服务务器器群群 数数据据库库服服务务器器 群群 网网页页防防篡篡改改发发 布布服服务务器器 认认证证服服务务器器 s sa an n交交换换机机 主主存存储储 备备份份存存储储 备备份份管管理理 服服务务器器 防防火火墙墙 负负载载均均衡衡 交交换换机机 c ca a, ,r ra a, ,r rs s服服务务器器 联通电信 银行 方案设计说明：方案设计说明： 本设计从结构和功能角度主要划分为：服务器部分、存储部分、 互联网安全部分、应用服务器负载均衡部分、网页防篡改部份等。 1、服务器系统： 考虑本系统可能的同时在线用户数量较大（约 3

5、00000 用户）为 保障业务的稳定运行，并为今后业务扩展预留充分的扩展空间，本 方案采用两级结构：前端部署 2 台负载均衡交换机，采用多台 pc 服 务器并行作为系统应用服务器，运行应用系统来提供 web 服务；后 端采用 2 台高性能服务器以集群方式工作，作为后台数据库服务器， 这 2 台服务器实现双机和负载分担。服务器选型为国际著名品牌， 具有优异处理能力、可靠的稳定性和便捷的可管理维护性。 此种设计架构的优点在于可以充分保障系统的稳定可靠，而且 随着用户量的增加，可以通过直接增加应用服务器和数据库服务器 的方式保证系统的运行，而不需要改变现有的架构，能够做到对现 有投资的有效利用和保护

6、。 2、存储系统： 考虑本系统包含业务重要，且需要运行数据库等软件，故存储 系统使用 fc san 架构。通过采用多端口的 san 交换机，可以实现多 台数据库服务器共享一台高性能的磁盘阵列，保证业务的可靠性和 系统的可扩展性。fc san 架构为当前技术最成熟、最稳定的存储架 构，尤其适合包含重要业务应用的数据库环境。 为实现系统最大可用性，保证服务器和存储间的最佳组合，建 议存储和服务器主机同一品牌。 3、互联网和银行安全接入 建议采用安全网关（防火墙）接入宽带互联网，安全网关 utm(统一威胁管理)可以进行从网络层到应用层的全面检查，在安 全网关上还可以部署防病毒模块，从而有效防范抵御来

7、自网外的病 毒、黑客等攻击。 一体化安全网关采用高性能的硬件架构和一体化的软件设计， 通过选配不同的应用模块（如用户需要） ，可以实现集防火墙、 vpn、入侵防御（ips） 、防病毒、外联控制、抗拒绝服务攻击 （anti-dos） 、内容过滤、反垃圾邮件、netflow 等多种安全技术于 一身，同时全面支持 qos、高可用性（ha） 、日志审计等功能，为 网络边界提供了全面实时的安全防护。 4、入侵防御系统 入侵防御系统（ips）可以围绕深层防御、精确阻断这个核心， 通过对网络中深层攻击行为进行准确的分析判断，在判定为攻击行 为后立即予以阻断，主动而有效的保护网络的安全。 入侵防御系统（ips

8、）倾向于提供主动性的防护，其设计旨在 预先对入侵活动和攻击性网络流量进行拦截，避免其造成任何损失， 而不是简单地在恶意流量传送时或传送后才发出警报。ips 是通过 直接嵌入到网络流量中而实现这一功能的，即通过一个网络端口接 收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑 内容后，再通过另外一个端口将它传送到内部系统中。这样一来， 有问题的数据包，以及所有来自同一数据流的后续数据包，都能够 在 ips 设备中被清除掉。简单地理解，ips 等于防火墙加上入侵检 测系统，但并不是说 ips 可以代替防火墙或入侵检测系统。防火墙 是粒度比较粗的访问控制产品，它在基于 tcp/ip 协议的过

9、滤方面 表现出色，而且在大多数情况下，可以提供网络地址转换、服务代 理、流量统计等功能。 5、服务器负载均衡 由于本站同时在线及并发的用户量较大，预计峰值会有 300000 人左右在线，故采用 2 台硬件负载均衡交换机+多台 web 服务器的模 式，通过负载均衡交换机合理分配用户的访问流量到各台服务器， 保障系统的稳定可靠运行。 1.41.4 详细设计详细设计 1.4.11.4.1 服务器服务器系统系统 服务器应能够确保连续的，长时间的正常运行；由于服务器上 包含重要业务数据，必须保证 724 小时的不间断使用，而且一台 服务器硬件故障不能影响整个系统的运行；服务器应能够运行 oracle 等

10、大型数据库及应用程序；能满足当大量用户及多种业务在 服务器上运行时，系统性能不明显下降；应能够提供很高的安全性、 可靠性与可管理性。 1.4.1.11.4.1.1选型概述选型概述 考虑本系统可能的同时在线用户数量较大（约 300000 用户）为 保障业务的稳定运行，并为今后业务扩展预留充分的空间，本方案 采用两级结构：前端部署 2 台负载均衡交换机，采用多台 pc 服务器 并行作为系统应用服务器，运行应用系统来提供服务；后端采用 2 台高性能服务器作为后台数据库服务器，这 2 台服务器通过双机软 件实现双机和负载分担。服务器选型为国际著名品牌，具有优异处 理能力、可靠的稳定性和便捷的可管理维护

11、性。 对于处理能力的需求，往往通过内部的 tpmc（tpc-c，事务处 理性能标准的单位）指标来衡量服务器系统的总体处理能力。tpmc 是以不同系列服务器在实际业务环境中经过大量检测得到的技术指 标，是一种国际标准。该值考虑到了用户的实际环境，具有很高的 参考价值。 1.4.1.21.4.1.2cpu 能力的计算能力的计算 以下计算公式是业界系统集成总结的经验方法，基本反映了业 务特点对主机处理能力的需求： tpmtask80%s（1+f）/（tc） 其中： task：为每日业务统计峰值交易量，每台写为主的终端每天大 约会对数据库做 5 次操作，按照 500000 台计算；而每台以读为主的 终

12、端每天大约会对数据库做出 10 次操作，按照 500000 台计算。则 每天总的业务对数据库的操作数为：5*500000+10*500000=7500000 次。 t：为每日峰值交易时间，每日 80%业务量集中在每天的 1 小时， 即 60 分钟内完成：t=60。 s：为实际业务交易操作相对于标准 tpc-c 测试基准环境交易的 复杂程度比例。由于实际的业务交易复杂程度与 tpc-c 标准测试中 的交易存在较大的差异，须设定一个合理的对应值。一笔业务往往 需要同时写入大量数据库表，相对于 tpc-c 标准交易的复杂度，要 复杂很多；根据科学的统计结果，每笔交易操作相比较于 tpc 标准 测试中

13、的每笔交易的复杂度，此值可设定为 30。 c：为主机 cpu 处理余量。实际应用经验表明，一台主机服务器 的 cpu 利用率高于 80%，则表明 cpu 的利用率过高会产生系统瓶颈， 而利用率低于 60%时，是处于利用率最佳状态。因此，在推算主机 性能指标时，必须考虑 cpu 的冗余，设定 c=60%。 f：为系统未来三年的业务量发展冗余预留，设定为 50%。 综上所述，为保障数据库程序处理性能要求，我们可推算得出 主机所需的处理能力。考虑每日的业务量的 80大约在工作日的 1 个小时高峰业务时段内发生，业务复杂度参数设定为 30。则套用上 面的公式： 每分钟的交易数：tpm=75000008

14、0%30*1.5/(600.6) 75000000 注：注：本期工程中建议采用 2 台高性能 pc 服务器作为数据库服务 器，通过集群方式提供分担和冗余服务。后期随着用户量的增加， 可以通过在群集内增加服务器的方式实现方便的扩展。 1.4.1.31.4.1.3推荐服务器配置推荐服务器配置 数据库服务器数据库服务器（2 台）： 作用：运行系统所需的各种系统数据和业务数据，完成本地业 务数据的访问、存取。 操作系统：redhat5 linux 高级平台服务器版 数据库：oracle10g 硬件设备配置：4 颗英特尔 至强主频 2.4ghz 以上六核处理 器,32g 以上内存，2*146g 10k

15、sas 2.5双端口热插拔硬盘，支持 raid-0、1、5，4 个 10/100/1000mb 自适应以太网口，11 冗余电 源，超薄 sata dvd 光驱。 应用服务器：应用服务器：（2 台以上） 作用：采用 2 台以上 pc 服务器并行作为系统应用服务器，为用 户提供在线服务。 操作系统：redhat5 linux 标准服务器版 硬件设备配置：2 颗英特尔 至强四核处理器 2.40ghz 以上, 8g 内存，2*146g 10k sas 2.5双端口热插拔硬盘， 4 个 10/100/1000mb 自适应以太网卡，11 冗余电源，超薄 sata dvd 光 驱。 注：单台注：单台 web

16、web 应用服务器大约可以承载应用服务器大约可以承载 50005000 左右并发用户，可左右并发用户，可 以通过增加应用服务器数量实现承载能力的扩充。以通过增加应用服务器数量实现承载能力的扩充。 1.4.21.4.2 服务器负载均衡服务器负载均衡 推荐采用 2 台负载均衡交换机，部署在 web 服务器前端，通过 负载均衡交换机合理分配用户的访问流量到各台服务器，保障系统 的稳定可靠运行。 1.4.31.4.3 存储存储系统系统 1.4.3.11.4.3.1选型概述选型概述 性能 存储性能是系统设计的重要原则之一，存储的性能应能够满足 应用系统峰值的需求，并有进一步扩展的空间，包括容量和性能的

17、扩展。选择性能最佳的磁盘系统，可以有效地提高计算机系统的 i/o 性能，从而提高计算机的整体性能。 扩展性 磁盘系统的容量扩展性：磁盘系统本身设计会有一定的局限， 其容量最大可扩展能力是否满足单位今后数据发展的需要，是选择 磁盘系统时必须考虑的一个方面。 磁盘系统的扩容兼容性：由于磁盘系统的发展日新月异，用户 在存储扩容时还要考虑新磁盘系统与旧设备之间的兼容性，即产品 系列有连续性。 磁盘驱动器的兼容性：只有能够支持不同容量、不同转速的磁 盘驱动器，才能最大限度地保护用户的投资。 可靠性 数据是非常重要的资产，数据的可靠性很大程度上依靠存储设 备。 1.4.3.21.4.3.2存储选型存储选型

18、 本期工程系统按 300000 用户，考虑数据保存 10 年设计，并保 证一定的扩展能力。 每天图片数量大概在 40m， 文字信息大概在 20m，日志大概 20m，按照保存 10 年的数据考虑，则资料数据为：（40+20+20） 365*10292g。 主数据库考虑 30g 空间，则数据库数据量为 29230322g。 数据库容量数据库数据量（1索引系数 0.3）（1冗 余系数 0.2）+数据库系统空间 20gb292g1.31.220455g。 对于系统的数据采用 raid5 的冗余方式，其数据量为 455/0.8570gb 的物理存储空间。 1.4.3.31.4.3.3推荐存储配置推荐存储

19、配置 磁盘阵列： 光纤磁盘阵列 1 台，8 端口 san 交换机 2 台。 2 个控制器 ,每个控制器有 1 gb 以上缓存、2 个 4gb fibre channel 端口；6 块以上 146g sas 硬盘。 1.51.5 安全设计安全设计 1.5.11.5.1系统高可用系统高可用 针对电子商务系统的特点，本系统主要设备均设置双机互备， 最大程度上消除单点故障，从而满足业务系统高可用的需求。 1.5.21.5.2互联网安全接入互联网安全接入和入侵防御系统和入侵防御系统 预计本网站高峰在线用户有 300000 人，按照高峰有 10%（30000）用户并发，每个用户平均最少需要消耗约 100k

20、bit 带 宽计算，考虑一定的冗余，建议大约需要 3000m 互联网出口带宽。 注：先期如果用户量不大，可以根据实际情况适当考虑出口带注：先期如果用户量不大，可以根据实际情况适当考虑出口带 宽。宽。 互联网接入设备互联网接入设备 按照业界的经验值每个用户的连接数在 10-20 个左右，按照 300000 用户同时在线计算，防火墙的并发连接数需要在 1000000 以上。 注：先期如果用户量不大，可以根据实际选择单台并发连接数 1000000 以上的防火墙，后期（业务量达到一定程度）再采用多台 防火墙并发分担流量。 推荐采用千兆安全网关接入宽带互联网，设备可提供 4 个以上 10/100/100

21、0base-t 接口，支持 sfp 千兆接口，并发连接数 1000000 以上，每秒新建连接数 30000 以上，吞吐量 2g 以上。 入侵防御设备入侵防御设备 推荐互联网防御方面部署入侵防御系统，入侵防御类网络安全 产品，围绕深层防御、精确阻断这个核心，通过对网络中深层攻击 行为进行准确的分析判断，在判定为攻击行为后立即予以阻断，主 动而有效的保护网络的安全。入侵防御系统及时、全面的检测和呈 现网页木马和 web 漏洞，并提供补救措施。对 sql 注入、跨脚本 攻击等针对 web 业务的攻击行为有很好的判断和防御能力，做到 无误报，无漏报。 1.5.31.5.3网页防篡改系统网页防篡改系统

22、面对越来越多的 web 应用层攻击，传统的安全措施和服务已经 无法有效的进行防御。即便有防病毒保护、防火墙和 ids/ips，企 业仍然不得不允许一部分的通讯经过防火墙，毕竟 web 应用的目的 是为用户提供服务，保护措施可以关闭不必要暴露的端口，但是通 常情况下 web 应用必须的 80 和 443 端口，是一定要开放的。可以 顺利通过的这部分通讯，可能是善意的，也可能是恶意的，很难辨 别。而恶意的用户则可以利用这两个端口执行各种恶意的操作，或 者偷窃、或者操控、或者破坏 web 应用中的重要信息。因此，部署 专业、可靠的 web 应用安全产品以保护 web 应用免遭篡改、注入、 跨站等应用

23、层攻击，是保障网站系统业务安全正常运营、阻止不法 分子侵害广大用户的利益的重要措施。 推荐在现有网络架构的基础上部署网页防篡改系统，一旦发现 网页被非法修改，即进行自动恢复，保证非法网页内容不被公众浏 览。支持网页的自动发布、篡改检测、应用保护、警告和自动恢复， 保证传输、鉴别、完整性检查、地址访问、表单提交、审计等各个 环节的安全，完全实时地杜绝篡改后的网页被访问的可能性，也杜 绝任何使用 web 方式对后台数据库的篡改。 1.5.41.5.4病毒防范系统病毒防范系统 网络病毒是目前广大互联网用户最头疼的问题。在网络出口部 署防火墙，只能做到对来自局域网外部攻击的防范，对于由于局域 网内部员工的不规范使用或 copy 文件而产生的病毒，无法做到控 制。对于公司内部网，必须增加一套网络版杀毒软件，用以控制局 域网内的主机病毒。 1.5.51.5.5用户用户/服务器身份认证服务器身份认证 1、建立 pki/ca 认证体系 从总体构架来看， pki/ca 主要由最终用户、认证中心和注册 机构来组成。本系统配置了 c