数据中心基础网络设计培训

1、1H3C 数据中心基础网络设计2n 概述概述n 数据中心基础网络架构数据中心基础网络架构n 数据中心基础网络设计数据中心基础网络设计n 总结总结目录目录3H3CH3C企业网方案的体系架构企业网方案的体系架构Data centerCampusBranch 1 Branch 2 Teleworker 4业务交业务交换机换机核心交核心交换机换机接入交接入交换机换机互联网互联网边缘边缘外部网外部网互联网边互联网边缘和外部缘和外部网网大楼大楼小型园区网络小型园区网络大型分支机构大型分支机构MSRMSRMSRMSR大楼大楼园区网络园区网络城域以太网城域以太网家庭办公室家庭办公室小型机构小型机构MSRMSR

2、MSRMSR运营商运营商2 2运营商运营商1 1 VPN VPN互联网互联网大型主数据中心大型主数据中心扩展式多层设计扩展式多层设计数据中心数据中心核心区核心区精简式多层设计精简式多层设计园区核心园区核心数据中心管理区数据中心管理区webwebAPPAPPDBDBDBIV5000DBwebAPP NASSANHPCHPC数数据中心据中心管理管理f f服务器服务器广域网广域网灾备数据中心灾备数据中心WEB WEB APP APP 园区园区核心核心WEB WEB APP APP WEB WEB APP APP 广域网广域网IP/MPLSIP/MPLS路由器路由器防火墙防火墙IPSIPSAPAPPC

3、PC服务器服务器IP IP 万兆万兆存储存储存储虚拟存储虚拟化设备化设备存储存储阵列阵列10GE10GE链路链路GE GE 链路链路广域网广域网链路链路SDH/WDMSDH/WDMH3CH3C数据中心全景架构概图数据中心全景架构概图5数据中心在企业网络中的位置数据中心在企业网络中的位置AAARemote AccessSP1SP2Internet Server FarmDMZCore SwitchesExtranet Server FarmIntranet Server FarmCampusVPN &Private WAN数据中心数据中心6数据中心的核心任务数据中心的核心任务以数据为中心

4、以数据为中心 如高密度的数据存储、ERP、数据仓库等应用； 传统上的数据库应用目前仍然占整个数据中心的各类应用的主要部分，企业级数据中心绝大多数是围绕着企业内部业务系统，其核心任务仍是以存储业务系统的数据为主以以Web 为中心为中心 如高密度的网络、网络服务处理等 面向Web 的应用，通过网络传输和处理数据的服务逐渐受到关注，在数据中心的核心任务中扮演着越来越重要的角色。从时间序列来看，在近期建设完成的以及目前正在建设中的企业级数据中心中，把面向Web的应用作为核心任务的比例也呈逐渐增加的趋势以计算为中心以计算为中心 如数据转换、计算网格、高性能计算等。 常规计算应用已经向服务器集群过渡7灾备

5、灾备存储存储计算计算网络网络网络是数据网络是数据(&容灾容灾)中心访问必备模块中心访问必备模块计算是业务数据中心必备模块，容灾中心可选计算是业务数据中心必备模块，容灾中心可选存储是数据中心必备模块，但是在多中存储是数据中心必备模块，但是在多中心结构下，可选择心结构下，可选择DC载体载体灾备是数据中心可选模块灾备是数据中心可选模块数据中心解决方案构成数据中心解决方案构成-数据中心组成元素数据中心组成元素8n 概述概述n 数据中心基础网络架构数据中心基础网络架构n 数据中心基础网络设计数据中心基础网络设计n 总结总结目录目录n数据中心网络基础架构数据中心网络基础架构n数据中心基础架构的演进

6、数据中心基础架构的演进n关于分布式数据中心关于分布式数据中心9数据中心分区设计思想数据中心分区设计思想Intranet Intranet 服务器区服务器区数据交换数据交换& &测试服务器区测试服务器区数据中心管理区数据中心管理区Extranet Extranet 服务器区服务器区园区网园区网核心区核心区Internet Internet 服务器区服务器区数据中心数据中心核心区核心区Internet/VPN Internet/VPN 接入区接入区企业园区网企业园区网企业数据中心企业数据中心数据存储功能区数据存储功能区数据灾备功能区数据灾备功能区10数据中心内部数据中心内部-ser

7、ver 前端网络结构前端网络结构主机接入模块主机接入模块业务服务器模块业务服务器模块办公服务器模块办公服务器模块上线前测试模块上线前测试模块EE&DLSW+服务服务器群器群组接组接入区入区业务业务Internet外联区外联区DMZ区区Internet服务区服务区外联区外联区DMZ区区Extranet服务区服务区外联外联Extranet外联区外联区DMZ区区Internet服务区服务区办公办公Internet核心核心交换交换一级骨干网络一级骨干网络省分行省分行 数据中心间数据中心间同城网络同城网络外连网络模块外连网络模块广域网络模块广域网络模块ECC办公区办公区园区网络模块园区网络模块办

8、公区办公区主机管理终端管理管理控制区控制区开放平台管理终端网络管理终端管理管理控制区控制区11数据中心内部的安全边界数据中心内部的安全边界12aggregation4aggregation3通用数据中心网络构架通用数据中心网络构架aggregation2NIC Teaming集群NIC Teaming接入刀片服务器Pass throughmainframe刀片集成switch三层接入DC CoreDC aggregationDC 13数据中心基础网络接入层架构数据中心基础网络接入层架构应用架构的变迁B/S（Browser/Server）是随着Internet技术的兴起，对C/S结构的一种变化或

9、者改进的三层结构。数据库+业务处理界面两层结构C/S，由两部分构成：前端是客户机，通常是PC后端是服务器，运行数据库管理系统，提供数据库的查询和管理B/SC/SSQL请求请求App GUIDB ServerHTML/HTTPWEB browserWEB ServerApp ServerDB S14PresentationPresentationserviceserviceWebWebbrowserbrowserClientClientPCPCCitrixCitrixpresentationpresentationApplication ServiceApplication ServiceDat

10、abase ServiceDatabase ServiceWEB serviceWEB serviceInternet/IntranetInternet/IntranetIntranetIntranetDMZDMZTrust/Trust/Part trustPart trust数据中心基础网络接入层架构数据中心基础网络接入层架构 多层应用间的安全隔离多层应用间的安全隔离15多层应用部署的展开模式多层应用部署的展开模式Web serversApplication serversDatabase serversWeb serversApplication serversDatabase 16多层应

11、用架构的扁平化部署多层应用架构的扁平化部署WEB ServersWEB ServersApp ServersApp ServersDB ServersDB ServersWeb serversApplication serversDatabase serversWEB ServersWEB ServersApp ServersApp ServersDB ServersDB S17数据中心基础网络高可用设计数据中心基础网络高可用设计网络高可用设计网络高可用设计硬件设备冗余，双主控、单板热插硬件设备冗余，双主控、单板热插拔、冗余电源、冗余风扇拔、冗余电源、冗余风扇物理链路冗余，以太网链路聚合物理链

12、路冗余，以太网链路聚合环网技术，环网技术，RPRRPR、RRPPRRPP二层路径冗余，二层路径冗余，MSTPMSTP、SmartLinkSmartLink三层路径冗余，三层路径冗余，VRRPVRRP、ECMPECMP、动、动态路由快速收敛态路由快速收敛快速故障检测技术，快速故障检测技术，BFDBFD不间断转发技术，不间断转发技术，GRGR路径可用检查，路径可用检查，L3 MonitorL3 Monitor安全高可用设计安全高可用设计硬件设备冗余，硬件设备冗余，冗余引擎冗余引擎、冗余电、冗余电源、冗余风扇源、冗余风扇设备之间状态热备份设备之间状态热备份18数据服务器集群网络数据服务器集群网络SA

13、N负载均衡集群: 所有服务器在线工作主要解决单机性能问题具备一定扩展性、容错能力高可用HA集群:服务器主备模式主要面向高要求HA环境常见HA集群Microsoft MSCSVeritas Cluster Server (Local)Solaris Sun Cluster EnterpriseOracle RAC (Real Appl.Cluster)HP MC/ServiceGuardHP NonStopIBM HACMP/HAGEOEMS/Legato Automated Availability MgrLB集群HA集群HA/LB集群HA集群对网络的要求各集群节点具有 VIP 地址集群互联需

14、要扩展二层 VLAN进行连接专用心跳互联集群可伸缩扩展：本地集群、远程集群19数据中心服务器集群网络逻辑结构数据中心服务器集群网络逻辑结构SANSAN企业广域网企业广域网集群采用VLAN扩展L2互联存储同步/异步数据复制n大部分集群实现要求使用共用VLAN提供成员之间的二层直连 用于集群心跳的连通性、或集群VIP的访问可达n异地L2网络扩展有助于集群的分布式部署，提高容灾能力 但带来了网络设计的复杂性n网络交换虚拟化技术将提供全局VLAN扩展的简洁性20数据中心网络解决方案数据中心网络解决方案-IRF集群采用VLAN扩展L2互联MSTP+VRRPn本地IRF简化了数据中心内部设计，将二层连同扩

15、展到整个分区 去除了MSTP/VRRP的复杂设计，通过IRF进一步增强HA能力n异地L2网络扩展借助远距设备的IRF整合功能，将L2互联扩展到两个数据中心IRF-1IRF-1IRF-2IRF-2Remote IRFRemote IRFNon- IRFNon- IRFLocal IRFLocal IRF21n 概述概述n 数据中心基础网络架构数据中心基础网络架构n 数据中心基础网络设计数据中心基础网络设计n 总结总结目录目录n数据中心网络基础架构数据中心网络基础架构n数据中心基础架构的演进数据中心基础架构的演进n关于分布式数据中心关于分布式数据中心22H3C数据中心基础网络架构的演进策略数据中心

16、基础网络架构的演进策略不断演化增强的基础架构不断演化增强的基础架构传统基础网络架构传统基础网络架构虚拟化与万兆以太网虚拟化与万兆以太网DC统一交换融合数据中心统一交换融合数据中心提供传统提供传统DC建设方案建设方案技术特点技术特点n业务集成业务集成n高性能交换架构高性能交换架构n初步业务融合初步业务融合nLANnIPCnIP-SANnIRF可扩展接入可扩展接入nVRF 端到端虚拟化端到端虚拟化产品组合产品组合n9500n75En5600/5500满足满足DC虚拟化趋势虚拟化趋势技术特点技术特点n虚拟化虚拟化 Chassis IRF Box IRFn全全DC调度与交换调度与交换 多级业务队列多级

17、业务队列 超大调度缓存超大调度缓存满足万兆数据中心趋势满足万兆数据中心趋势n全万兆全万兆DC架构架构n万兆网络万兆网络n万兆安全万兆安全n万兆存储万兆存储产品组合产品组合n12500n95E/75En5800系列系列满足统一交换与满足统一交换与100G趋势趋势技术特点技术特点n端到端虚拟化端到端虚拟化 n全全DC级级IRFn虚拟化网络实例虚拟化网络实例n统一交换统一交换DCnDCEn40G&100G 产品组合产品组合n12500n95E/75En5800系列系列V1.0V2.0/2.5V23H3C数据中心基础网络解决方案数据中心基础网络解决方案Phase IIP存储容灾链路n产品组合产

18、品组合n 9500n7500En5600n5500EIn5500SI24H3C数据中心基础网络解决方案数据中心基础网络解决方案Phase IIS12500S12500S9500S9500S7500ES7500ES7500E IRFS7500E IRFS7500E IRFS7500E IRFS5500EI IRFS5500EI IRFDC boxDC boxS12500S12500S12500S12500S9500S95007500E7500ES5810-SS5810-SDC boxDC box5500EI-IRF5500EI-IRFDC boxDC 25H3C数据中心基础网络解决方案数据中心基

19、础网络解决方案DC2.5S12500S12500DC boxDC boxS12500S12500S12500S12500SANS7500 ES7500 ES9500ES9500ES7500 ES7500 ES9500ES9500E26n 概述概述n 数据中心基础网络架构数据中心基础网络架构n 数据中心基础网络设计数据中心基础网络设计n 总结总结目录目录n数据中心网络基础架构数据中心网络基础架构n数据中心基础架构的演进数据中心基础架构的演进n关于分布式数据中心关于分布式数据中心27北京生产中心北京生产中心分行分行一级骨干路由器核心交换机二级骨干路由器FC交换机磁盘阵列汇聚交换机核心交换机汇聚交换

20、机骨干路由器IBM P590电信电信ATM 10MATM 10M上海备份中心上海备份中心SDH 北京同城灾备中心北京同城灾备中心FC交换机磁盘阵列汇聚交换机核心交换机汇聚交换机骨干路由器同步同步PPRCHAGEOSDHSDH远程异步远程异步PPRCFC交换机磁盘阵列汇聚交换机核心交换机汇聚交换机骨干路由器IBM P590网通网通联通联通 ATM/SDHATM/SDHATM 10MATM 10M 每个数据中心分别配置R1、R2路由器。 一级分行R1连接业务中心R1，承载业务数据。一级分行R2连接异地备份中心的R1，承载OA数据，同时为生产链路做备份。一级分行R3连接业务同城灾备中心，为生产和OA

21、做备份链路。R1R1R2R2R1R1R2R2R1R1R2R2R1R1R3R3R2R2IBM P590数据中心数据中心-两地三中心两地三中心28两地三中心模式的路由规划两地三中心模式的路由规划生产中心同城灾备中心异地备份中心分支EBGPEBGPEBGPEBGPEBGPEBGPEBGPEBGPIBGPIBGPIBGPIBGPIBGPIBGPIBGPIBGPEBGPEBGPEBGPEBGPEBGPEBGPEBGPEBGP新数据中心新数据中心怎样与现网融合？新数据中心怎样与现网融合？29业务后台的互联核心网业务后台的互联核心网A A平面平面B B平面平面分支机构分支机构城域网城域网业务中心业务中心业务

22、中心业务中心30n 概述概述n 数据中心基础网络架构数据中心基础网络架构n 数据中心基础网络设计数据中心基础网络设计n 总结总结目录目录n 结构化、标准化、模块化思路结构化、标准化、模块化思路n Intranet server farmIntranet server farm设计设计n 外联平台设计外联平台设计n 安全与优化设计安全与优化设计n 不同规模和类型的数据中心不同规模和类型的数据中心31数据中心设计的结构化数据中心设计的结构化n适当的冗余性适当的冗余性n网络的对称性网络的对称性n网络业务的适度分隔网络业务的适度分隔办公终端办公终端PCPC服务器区服务器区办公区办公区核心核心一般进行双

23、节点冗余性设计过度的冗余不便于运行维护对称性有助于拓扑直观有助于协议设计分析有利于网络的策略部署减少对关键业务的影响缩小故障范围32数据中心结构化数据中心结构化 安全安全& &优化模型优化模型安全安全管理管理“拒绝拒绝服务服务”(DOS)(DOS)反病毒反病毒InternetInternetVPN/campus端点端点准入准入数据数据中心中心应用应用优化优化L2 交换机交换机 ：BPDU Guard、端口隔离、五元组绑定、端口隔离、五元组绑定、802.1X等实现二层安全保护等实现二层安全保护L2.5 MPLS：网络隔离：网络隔离L3 路由器路由器/防火墙防火墙/AFC/SSL

24、：访问控制和隔离、加密：访问控制和隔离、加密L4 NTA“网络水表网络水表”流量异常分析流量异常分析L57 IPS应用层威胁识别和抵御：蠕虫、间谍软件、应用层威胁识别和抵御：蠕虫、间谍软件、P2P、病毒、攻击等、病毒、攻击等IP存储：数据安全（异地容灾，数据备份）存储：数据安全（异地容灾，数据备份）安全安全管理管理用户用户管理管理(iMC)33数据中心设计的模块化、标准化数据中心设计的模块化、标准化模块化模块化n数据中心以应用群为单位整合成模块部件数据中心以应用群为单位整合成模块部件n根据数据中心不同业务区域性质设计安全模块要素根据数据中心不同业务区域性质设计安全模块要素n安全模块可集中部署数

25、据中心访问控制策略安全模块可集中部署数据中心访问控制策略标准化标准化n对数据中心模块设计规范化对数据中心模块设计规范化n相同架构要求的业务区采用同样的基础网络组件相同架构要求的业务区采用同样的基础网络组件n扩展数据中心区域可直接进行模块复制扩展数据中心区域可直接进行模块复制34数据中心模块化分区设计原则数据中心模块化分区设计原则n业务需求以逻辑或数据中心物理区域进行业务规划，有助于业务在企业的开展与管理n数据流根据数据流特征进行分区规划，尽量使得数据中心业务流流向可控、同一区域相似性强、流量可监测n应用的逻辑功能不同应用的部署方式有区别，对网络配置需求不同，按应用逻辑特点进行分区模块化，便于维

26、护管理差异性应用nIT安全的需求数据中心分区，有助于区域的统一安全要求标准化管理一般情况下，数据中心网络划分为以下的分区(根据企业自身特点有所区别)：n核心区 提供各分区模块互联nIntranet区 企业内部业务系统部署区域n集成区 企业应用系统之间信息交换区域、信息共享区域n外联业务区 企业对外业务、互联网业务部署区n测试区 企业新应用上线测试区n运营管理区 企业IT运营中心n存储区 企业数据存储专区n容灾备份区 提供企业容灾、业务一致性35核心交换区核心交换区 16个园区个园区 电信（上网）电信（上网）电信电信联通联通销售公司、售后点销售公司、售后点呼叫中心呼叫中心系统系统视频会议视频会议

27、系统系统IPIP语音系统语音系统WEBWEB、APPAPP服务器服务器DBDB服务器服务器未来扩展未来扩展服务器群区服务器群区网网络络应应用用区区开开发发测测试试区区新新总总部部大大楼楼管理区管理区ECC终端终端系统管理系统管理服务器服务器DMZDMZinternet区区Extranet区区备份中心广域网区备份中心广域网区备份中心核心数据中心核心WAN/VPN/MPLSWAN/VPN/MPLS. .Cat6509Cat6509S9512ES9512ES9512ES9512ES75ES75EFWFWIPSIPSLLBLLBS75ES75EFWFWS75ES75EFWFWS75ES75ES9512

28、ES9512EFWFWSLBSLBS7506ES7506ES7506ES7506ES7506ES7506ES3600 IRFS3600 IRF76097609SR6600SR6600数据中心、园区网一体化架构案例数据中心、园区网一体化架构案例Cat3750Cat3750新数据中心广域网区新数据中心广域网区分公司分公司/商务处商务处/海外机构海外机构国内该生产基地国内该生产基地36数据中心、园区网分离架构案例数据中心、园区网分离架构案例NE40-8InternetInternetS7500E+FWAFCIPSFWWEBAPPDBMSR50IPSFW前置机MSR50WANWANS75E+IPS插卡

29、插卡FW插卡插卡S55EI网管网管 iMC/SecCenterNE20-EEADFW F100FW F100办公服务器办公服务器生产业务服务器生产业务服务器EADEADACG2000ACG2000InternetInternetIPS T200IPS T200FW F100S75EFW插卡插卡S55EIIPS T1000S55EIS55EIS55EISDH WANSDH WANS95+FW插卡插卡S7500E+FWSR88MSRS95+FW插卡插卡37n 概述概述n 数据中心基础网络架构数据中心基础网络架构n 数据中心基础网络设计数据中心基础网络设计n 总结总结目录目录n 结构化、标准化、模块

30、化思路结构化、标准化、模块化思路n Intranet server farmIntranet server farm设计设计n 外联平台设计外联平台设计n 安全与优化设计安全与优化设计n 不同规模和类型的数据中心不同规模和类型的数据中心38数据中心基础网络分层架构数据中心基础网络分层架构 提供多个DC汇聚模块互联，并连接园区核心 要求高交换能力和突发流量适应能力 大型DC核心要求多汇聚模块扩展能力 中小型DC共用园区核心 当前以10G接口为主 提供server farm对外流量高带宽出口 大密度GE/10GE端口提供接入层互联 较多槽位数提供增值业务模块部署 接入业务二层终结要求:MSTP、V

31、RRP、三层 汇聚层数据交换有一定收敛比 以汇聚模块作为业务扩展单元 高密度GE接入、万兆接入 MSTP 收敛比 基于机架考虑1RU更具灵活部署能力 堆叠更具扩展能力 上行双链路冗余能力39aggregation3aggregation2aggregation1数据中心基础网络核心数据中心基础网络核心l大中型数据中心需要设计独立的核心层大中型数据中心需要设计独立的核心层核心层提供多业务分区互联核心层提供多业务分区互联数据中心应用分区数据中心应用分区1 1数据中心应用分区数据中心应用分区2 2数据中心应用分区数据中心应用分区3 3l关键应用数据中心需要设计独立的核心层关键应用数据中心需要设计独立

32、的核心层可提供切合应用的流量架构可提供切合应用的流量架构l中小型数据中心可与园区共用核心中小型数据中心可与园区共用核心基于数据中心进行企业基础网络部属基于数据中心进行企业基础网络部属l数据中心核心可直连园区数据中心核心可直连园区适应本地大流量访问适应本地大流量访问l数据中心核心可直连广域网数据中心核心可直连广域网适应企业分布式流量特征适应企业分布式流量特征40数据中心汇聚层部署方式数据中心汇聚层部署方式井字型方案井字型方案n优点优点适合独立设备互联适合独立设备互联主备冗余设计主备冗余设计拓扑简单拓扑简单n缺点缺点InlineInline设备性能瓶颈设备性能瓶颈业务设备旁挂业务设备旁挂n优点优点

33、适合独立设备互联适合独立设备互联只对部分流量牵引只对部分流量牵引易保证整网性能易保证整网性能n缺点缺点交换机策略复杂交换机策略复杂业务交换集成业务交换集成减少数据中心布线减少数据中心布线按需配置业务模块按需配置业务模块易满足高性能要求易满足高性能要求网络架构简化网络架构简化易运维管理易运维管理41常见的传统接入设计拓扑常见的传统接入设计拓扑L3L2二层无环路设计二层无环路设计倒倒U型组网、不使能型组网、不使能STP二层无环路设计二层无环路设计U型组网、不使能型组网、不使能STP矩形组网矩形组网使能使能STP三角形组网三角形组网使能使能STP1234不启用STP，好管理VLAN 可以跨汇聚层交换

34、机，服务器部署灵活必须通过链路聚合保证高可靠性汇聚交换机故障时，服务器不可达，无法实现高可靠接入不启用STP，好管理双active链路，接入交换机密度高VLAN不能跨汇聚层，服务器部署不灵活接入交换机间链路故障，VRRP心跳报文无法传递，整机做VRRP主备切换，故障收敛时间长双active链路，接入交换机密度高，VLAN可以跨汇聚层交换机有一半的接入层流量要通过汇聚交换机之间的链路。当接入交换机上行链路故障时，所有流量将从一侧的交换机上行。收敛比变小，网络易拥塞，降低网络高可用性。链路冗余，路径冗余，故障收敛时间最短VLAN 可以跨汇聚层交换机，服务器部署灵活42服务器与网络的连接服务器与网络

35、的连接- - 网口数量网口数量1RU1RU多于多于2 2个个GEGE业务口业务口一个一个FEFE带外管理接口带外管理接口常见1RU机架式服务器最少三个网口n两个业务网口n一个管理网口n可能带存储网络接口前端访问前端访问HAHA心跳线心跳线服务器间访问服务器间访问存储访问存储访问存储访问存储访问带外管理带外管理高端服务器根据具体应用场景n前端网口-多个n服务器间访问网口-多个n一个管理网口n一个或多个心跳互联n存储网络接口多数情况下需要处理多网口捆绑、冗余的情况多数情况下需要处理多网口捆绑、冗余的情况-网口多归属网口多归属43服务器多网卡绑定（服务器多网卡绑定（NIC TeamingNIC Te

36、aming）Eth0：ActiveEth1：Standby主备模式主备模式Eth0：ActiveEth1-x：Active负载分担模式负载分担模式Eth0：ActiveEth1-x：Active统一的统一的 MAC，统一的，统一的 IP支持静态聚合、支持静态聚合、802.3ad聚合聚合Etherchannel / 端口聚合模式端口聚合模式IRF堆叠堆叠44n 概述概述n 数据中心基础网络架构数据中心基础网络架构n 数据中心基础网络设计数据中心基础网络设计n 总结总结目录目录n 结构化、标准化、模块化思路结构化、标准化、模块化思路n Intranet server farmIntranet se

37、rver farm设计设计n 外联平台设计外联平台设计n 安全与优化设计安全与优化设计n 不同规模和类型的数据中心不同规模和类型的数据中心45数据中心数据中心InternetInternet业务区安全与应用优化业务区安全与应用优化 type-Btype-B企业的外联平台企业的外联平台n业务业务InternetInternet（internet Server Farminternet Server Farm）提供企业与自身业务经营的互联网业务如电子商务、网银、网上报税等n外联外联ExtranetExtranet（ internet Server Farm internet Server Farm

38、 ）提供企业与合作伙伴的业务系统连接如商业银行的银联互联等多种外联业务平台依据企业业务要求可分离设计或合成设计安全是外联接入考虑的关键因素外联区设置WEB或前置服务器提供客户服务46Server FarmServer Farm安全体系建议安全体系建议DDOSDDOS检测防御检测防御SPAN/RSPAN/ERSPANSPAN/RSPAN/ERSPANNetStreamNetStream高性能服务器高性能服务器低档服务器应用低档服务器应用传输加密应用传输加密应用防火墙防火墙IPSIPSVPNVPNLBLBLB+SSLLB+SSLVLAN ACLVLAN ACLIngress ACLIngress

39、ACLEgress ACLEgress ACLuRPFuRPFSec CenterSec Center转发数据流镜像监控流外部网络外部网络设备加固设备加固线路加密线路加密传输加密传输加密防火墙防火墙入侵检测与防御入侵检测与防御网络实时监控网络实时监控拒绝服务攻击拒绝服务攻击网络渗透性防御网络渗透性防御VPNVPN技术技术网络授权管理网络授权管理VLANVLAN隔离隔离双向双向NATNATProxyP47外联平台安全与应用优化部署模型外联平台安全与应用优化部署模型Internet SRFInternet SRFDDOSDDOS攻击防御攻击防御流量分析流量分析防火墙防火墙VPNVPN服务服务入侵防

40、御入侵防御负载均衡负载均衡&SSL&SSLExtranet SRFExtranet SRF流量分析流量分析防火墙防火墙负载均衡负载均衡&SSL&SSL服务器服务器服务器服务器48Internet外网FW托管区边界FWIPS互联网互联网接入区接入区DMZDMZ区区业务业务托管区托管区内网区内网区LLB网银WEBDNS服务器FWSLB/SSLSLB/SSLAFC-DAFC-G链路分担IPS网流分析internet SRF internet SRF 的设计方案的设计方案 1 1CA网银APP网银DB数据中心核心层交换机内网FW49InternetInternet外网防

41、火墙外网防火墙互联网互联网接口接口DMZDMZ区区服务服务托管区托管区内网区内网区数据中心核心交换机数据中心核心交换机内网边界内网边界FWFWAFC-DAFC-DAFC-GAFC-GCACA系统系统网银网银APPAPP网银网银DBDBWEBWEBDNSDNS服务器服务器internet SRF internet SRF 的设计方案的设计方案 1 1（集成模式）（集成模式）50InternetInternet外网外网FWFWLLBLLBAFC-DAFC-DAFC-GAFC-G链路分担链路分担网流分析网流分析接数据中心核接数据中心核心层交换机心层交换机互互联联网网接接口口D DMMZ Z区区内网内

42、网FWFW网银网银WEBWEB服务器服务器网银网银APPAPP服务器服务器网银网银DBDB服务器服务器SLB/SSLSLB/SSLSLB/SSLSLB/SSLIPSIPSIPSIPSinternet SRF internet SRF 的设计方案的设计方案 2 51互联网接入DMZ区InternetAFC-DAFC-G链路分担流量分析防火墙IPSSLB/SSL接数据中心核心层交换机内网FWWEB服务器APP服务器DB服务器链路分担流量分析防火墙IPSSLB/SSLinternet SRF internet SRF 的设计方案的设计方案 2 2（集成模式）（集成模式）WEBWEBAPPAPPDBD

43、B 可利用虚拟FW特性，为每种服务器分配一个FW实例，增强服务器安全性FW FW 虚拟化虚拟化52关于关于Extranet SRF Extranet SRF 的设计方案的设计方案 Extranet SRF 同Internet SRF的设计思路基本相同。但在安全要求上Extranet SRF相对弱些。 Extranet SRF出口常用路由器，通过专线与第三方连接。53n 概述概述n 数据中心基础网络架构数据中心基础网络架构n 数据中心基础网络设计数据中心基础网络设计n 总结总结目录目录n 结构化、标准化、模块化思路结构化、标准化、模块化思路n Intranet server farmIntran

44、et server farm设计设计n 外联平台设计外联平台设计n 安全与优化设计安全与优化设计n 不同规模和类型的数据中心不同规模和类型的数据中心54数据中心高性能业务集成架构数据中心高性能业务集成架构其它接口其它接口存储子件存储子件高性能系统高性能系统其它业务处理其它业务处理X-core系统系统硬盘硬盘/CFNP/X-core系统系统CF高性能安全与优化模块的工作模式：高性能安全与优化模块的工作模式：n主机路由模式主机路由模式FWFW、SLBSLB、LLBLLB、SSL VPNSSL VPN，AFCAFCn重定向模式重定向模式IPSIPS、ACGACGn防火墙透明模式防火墙透明模式 FWF

45、Wn镜像模式镜像模式NetStreamNetStream，AFDAFD55n防火墙设计防火墙设计nIPSIPS设计设计nLBLB设计设计nSSL VPNSSL VPN设计设计n组合设计组合设计数据中心安全与优化设计数据中心安全与优化设计56独立防火墙双机设计独立防火墙双机设计DMZDMZDMZDMZAPPAPPDBDBWEBWEBWEBWEBAPPAPPDBDBn出口单层出口单层FWFWn出口双层出口双层nServer farm Server farm 单层单层nServer farm Server farm 多层多层57防火墙双机热备防火墙双机热备n 批量备份：先运行的防火墙会将已经存在的会

46、话及业务表项一次性同步到新加入的设备n 实时备份：防火墙在产生新表项后会及时备份到另一台设备双机热备同步数据信息：会话、NAT、ALG、ASPF、黑名单、H.323、SIP、ILS、RTSP、NBT、SQLNET等 nFW通过VRRP组实现主备或负载分担 根据VRRP组状态进行切换nFW同侧接口需二层可达nFW组对上对下部署静态路由VRRP-1VRRP-1VRRP-2VRRP-2OSPFOSPFn动态路由完成选路切换n交换、路由设备进行路径选择nFW所有业务接口使能动态路由58防火墙防火墙SecBladeSecBlade、SecPathSecPath部署比较部署比较nSecbladeSecbl

47、ade接入接入chassischassis交换机交换机n独立防火墙旁挂独立防火墙旁挂chassischassis交换机交换机n独立防火墙独立防火墙inlineinline心跳线心跳线心跳线心跳线心跳线心跳线不论采用何种部署方案，网络数据流的逻辑设计是相同的不论采用何种部署方案，网络数据流的逻辑设计是相同的所有结构本质上都是所有结构本质上都是inlineinline方式，只是外在表现不同。方式，只是外在表现不同。59Core Switch_1Core Switch_2FW_1FW_2L3L3L2L2DB_VLANAPP_VLANWEB_VLANWEBAPPDB运行运行MSTP防火墙旁挂：路由模式

48、防火墙旁挂：路由模式- -设计设计1-A1-AL2L2物理链路物理链路心跳互联心跳互联n所有服务器网关在防火墙上所有服务器网关在防火墙上nWEB/APP/DBWEB/APP/DB间访问策略由间访问策略由FWFW控制控制n接入交换机、汇聚层面向服务器侧二层接口运行接入交换机、汇聚层面向服务器侧二层接口运行MSTPMSTPnFWFW对服务器运行对服务器运行VRRPVRRP，对外可运行动态路由或配，对外可运行动态路由或配VRRPVRRP汇聚核心全互联汇聚核心全互联60Core Switch_1Core Switch_2FW_1FW_2L2L2L3L3DB_VLANAPP_VLANWEB_VLANWE

49、BAPPDB运行运行MSTP防火墙旁挂：路由模式防火墙旁挂：路由模式- -设计设计2 2L2L2物理链路物理链路心跳互联心跳互联n所有服务器网关在汇聚交换机上，相应接口运行所有服务器网关在汇聚交换机上，相应接口运行VRRPVRRPnWEB/APP/DBWEB/APP/DB间访问策略由交换机控制，具有较高性能间访问策略由交换机控制，具有较高性能n接入交换机、汇聚层面向服务器侧二层接口运行接入交换机、汇聚层面向服务器侧二层接口运行MSTPMSTPnFWFW可运行动态路由可运行动态路由 FWFW远离服务器侧接口与核心交换机建立路由邻居远离服务器侧接口与核心交换机建立路由邻居 FWFW近服务器侧接口与

50、汇聚交换机建立路由邻居近服务器侧接口与汇聚交换机建立路由邻居61Core Switch_1Core Switch_2FW_1FW_2L3L3L2L2DB_VLANAPP_VLANWEB_VLANWEBAPPDB运行运行MSTPL2L2防火墙旁挂：透明模式防火墙旁挂：透明模式- -设计设计1-A1-AL2L2物理链路物理链路FW工作在路由模式FW工作在透明模式n所有服务器网关在汇聚交换机上，相应接口运行所有服务器网关在汇聚交换机上，相应接口运行VRRPVRRPnWEB/APP/DBWEB/APP/DB间访问策略由间访问策略由FWFW控制控制n接入交换机、汇聚层面向服务器侧二层接口运行接入交换机、

51、汇聚层面向服务器侧二层接口运行MSTPMSTP汇聚核心全互联汇聚核心全互联62虚拟防火墙设计虚拟防火墙设计1-1-实例化实例化SecBlade 10G通道通道FW工作在路由模式FW工作在透明模式L3L2FW虚拟化实例虚拟化实例交换机三层路由接口交换机三层路由接口n设计逻辑：按照独立防火墙需求部署n配置规划：将连通VLAN对应到设计的链路63虚拟防火墙设计虚拟防火墙设计2-2-双机连通双机连通SecBlade 10G通道通道FW工作在路由模式FW工作在透明模式FW虚拟化实例虚拟化实例交换机三层路由接口交换机三层路由接口物理链路物理链路L2L2L3L3Outside VLANOutside VLA

52、NInside VLANInside VLAN64虚拟防火墙设计虚拟防火墙设计3-3-互联互联VLAN-VLAN-透明模式透明模式L2L2Outside VLANOutside VLANInside VLANInside VLANOutside VLAN、Inside VLAN对称互通用于运行VRRPInside VLAN还需要运行MSTP，FW过滤MSTP报文、透传VRRP报文V1000V1000V1001V1001V3000V3000V3001V3001V1000V1000V1001V1001V3000V3000V3001V3001多实例多实例FWFW用于透明模式：用于透明模式：L3L65

53、n防火墙设计防火墙设计nIPSIPS设计设计nLBLB设计设计nSSL VPNSSL VPN设计设计n组合设计组合设计数据中心安全与优化设计数据中心安全与优化设计66IPSIPS部署比较部署比较IPSIPS插卡接入插卡接入chassischassis交换机交换机独立独立IPSIPS旁挂旁挂chassischassis交换机交换机独立独立IPSIPS在线部署在线部署心跳线心跳线心跳线心跳线心跳线心跳线对于独立对于独立IPSIPS设备设备不论采用何种部署方案，网络数据流的逻辑设计是相同的不论采用何种部署方案，网络数据流的逻辑设计是相同的所有结构本质上都是所有结构本质上都是inlineinline方

54、式，只是外在表现不同。方式，只是外在表现不同。交换机对数据进行重定向到交换机对数据进行重定向到IPSIPSIPSIPS处理处理“嵌入嵌入”在交换机转发中在交换机转发中VLAN-1VLAN-1VLAN-2VLAN-67IPSIPS插卡的工作机制插卡的工作机制nC-SC-S方向流量方向流量在交换机入口进行流量识别在交换机入口进行流量识别将识别的流量重定向到将识别的流量重定向到IPSIPS所在交换机端口所在交换机端口IPSIPS处理完毕后右从该端口返回处理完毕后右从该端口返回交换机继续正常的二三层转发交换机继续正常的二三层转发IPSIPSClientClientServerServerIPSIPSC

55、lientClientServerServerIngressIngress入口重定向入口重定向IngressIngress入口重定向入口重定向nS-CS-C方向流量方向流量在交换机入口进行流量识别在交换机入口进行流量识别将识别的流量重定向到将识别的流量重定向到IPSIPS所在交换机端口所在交换机端口IPSIPS处理完毕后右从该端口返回处理完毕后右从该端口返回交换机继续正常的二三层转发交换机继续正常的二三层转发68IPSIPS与与FWFW的位置关系的位置关系Server farmServer farmn外联出口服务器网络FW位于IPS更靠外的网络起到一定保护IPS作用FW用于隔离内外网IPS用于

56、更深度防护n内部服务器网络FW与IPS可根据网络拓扑调整位置关系FW主要用于服务器安全访问策略IPS用于深度防护关键应用系统FWFWFWFWIPSIPSIPSIPS69n防火墙设计防火墙设计nIPSIPS设计设计nLBLB设计设计nSSL VPNSSL VPN设计设计n组合设计组合设计数据中心安全与优化设计数据中心安全与优化设计70我司我司LBLB的两种组网设计的两种组网设计nNAT方式的负载均衡LB设备使用NAT技术对报文的源、目的地址进行转换，使得客户端和真实服务器之间能通信。nDR方式负载均衡 LB设备与服务器群在同一VLAN，服务器除了本身的IP地址，还需要配置VIP（虚拟IP，用于接

57、收由LB设备分发来的服务请求）71LBLB部署比较部署比较LBLB插卡接入插卡接入chassischassis交换机交换机独立独立ASEASE旁挂旁挂chassischassis交换机交换机心跳线心跳线LBLB设计模式类似设计模式类似FWFW路由模式路由模式可参考可参考FWFW路由模式设计方法路由模式设计方法VLAN-1VLAN-1VLAN-2VLAN-72LBLB网络拓扑一网络拓扑一ClientServer FarmSWITCH以太网端口只是LB的扩展端口VLAN-1VLAN-1VLAN-2VLAN-2VLAN interfaceVLAN interfaceVLAN-1VLAN-1VLAN-

58、2VLAN-73LBLB网络拓扑二网络拓扑二ClientServer FarmSWITCHVLAN-1VLAN-1VLAN-2VLAN-2VLAN interfaceVLAN interfaceVLAN-1VLAN-1VLAN-2VLAN-2L3L2VLAN-3VLAN-3L2L3VLAN-3VLAN-74LBLB网络拓扑三网络拓扑三ClientServer FarmSWITCHVLAN-2VLAN-2VLAN-3VLAN-3VLAN interfaceVLAN interfaceVLAN-1VLAN-1VLAN-2VLAN-2L3VLAN-3VLAN-3L3VLAN-3VLAN-3VLAN-

59、3VLAN-3VLAN-1VLAN-1L2L75n防火墙设计防火墙设计nIPSIPS设计设计nLBLB设计设计nSSL VPNSSL VPN设计设计( (略略) )n组合设计组合设计数据中心安全与优化设计数据中心安全与优化设计设计方式与设计方式与FW/LBFW/LB近似近似76n防火墙设计防火墙设计nIPSIPS设计设计nLBLB设计设计nSSL VPNSSL VPN设计设计n组合设计组合设计数据中心安全与优化设计数据中心安全与优化设计77扩展式结构扩展式结构NS+FW+LBNS+FW+LB设计的多种组合模式设计的多种组合模式三层转发三层转发二层转发二层转发FWFWLBLBA AB BCCD

60、DE EF FGG关于FW和L3SW的顺序建议：对于intranet data center L3SW位于FW外层对于internet data center FW位于L3SW外层LB In-lineLB In-lineLB One-armLB One-78FW+LBFW+LB最佳实践最佳实践配置配置部署：核心交换机(Switch9500/S12500)汇聚交换机(Switch9500/75E)集成业务板卡核心、汇聚交换机之间配置OSPF协议FW（防火墙板卡）作为Server的网关。FW配置静态路由，缺省网关指向汇聚交换机。两个FW之间运行VRRP，保证HA或是负载均衡LB（负载均衡板卡） 单臂旁挂，配置静态路由，缺省网关指向汇聚交换机。两个LB之间运营VRRP，保证HA或是负载