idc方案项目建议书

1、idc五项目建议书治理概述，IDC阴建谀tK暝，出E电网姐恒小建设以及网络IDC网络架构统和应用为主机系 不开网络治可治理性理和运营将直截了系到IDC主机托管（具业,模式的 出基于两种不托管服务IDC的差 ion）两大类。 不同，使得其 同模式时的网2Co-locat业务的顺 启下的一IDCIDC的业务将包含接入业务，空间出租业务，托管业务，治理业务和增值业务。本章将在介绍IDC网络设计的同时，阐述每个设计要点对 IDC业务的阻碍和重要性。因为上图中整个IDC建设框架的最终目的是为了 IDc业务的开展和电&超BHostinvservces穿为上业务开展g本章将从托管服务，网络安全，Intern

2、et连接，内容交换，内容传送， 后台连接和网络治理等方面具体阐述IDC网络解决方案对IDC业务的针对 性&计。基于主机托管的IDC网络全貌主机托管是IDC初期为其用户提供的一种基础服务。网站及企业用户自身拥有若干服务器，并把它放置在IDC的机房里，由客户自己进行爱护主机托管业务的特点：投资降低，用户可使用已购买的服务器等设备， 无需再作设备投资，同时可采纳IDC提供的线路。该业务适合于自身有较强的网络运行爱护体会并在数据中心建立之前已投入人力物力建设了网站设备的大型企业用户。如闻名的Yahoo、eBay、A都采纳了主机托管业务。提供主机托管业务的IDC向其用户提供的业务要紧包括与Interne

3、t网的 连接以及提供独立安全的场地，如此关于IDC而言在进行网络设计时必须考虑提升网络连接的速度及可靠性，从而为用户提供高质量的服务。对主机托管业务，IDC可为客户提供n x 100M或者千兆独占带宽的电 信级专业机房租用服务，包括随时可扩充的独占带宽24小时实时摄像监控，电源操纵系统FFDi-DW也一UPS不间断电源保证消防系统以及可选的机柜出租：层、标准电信级桩囊高2M、深1M或1。2每台机柜提供独立电源操纵高速以太网接口 独立风扇设备19英寸-Cnlll，托管医如下图所示,基于主机托管业务ID核心层和服务器接入层。,、 J网络分为骨干区Internet 连接在提供主机托管服务给用户时，I

4、DC服务提供商将负责提供Internet连 接层、核心层、分布层及服务器接入层的设备并保证其稳固运行。用户则需要自己负责服务器以及包含防火墙等在内的内部网络。有关网络各层的描述，请参见后续相应章节。基于网站托管的 IDC 网络全貌网站托管是IDC 通过进展后而开展的一项业务。用户采纳 IDC 提供的服务器来存放数据，运行软件。总体来讲数据中心的硬件设备要紧包括：服务器阵列、网络设备（路由器、交换机） 、机房操纵设备、防火系统、备用电源、空调设施等。数据服务中心的建设除了必须具有一定面积的机房和相当数量的服务器外，还必须对运维治理、安全系统、监控等设施、工具和专业服务进行深入的考虑。提供网站托管

5、业务的 IDC 向其用户提供的业务要紧包括网络设施及网站托管，如此关于 IDC 而言在进行网络设计时必须考虑以下要素：提升服务器及 Web应用的可访咨询性，这需要网络具有内容识不（Content Awar0 的功能为方便租用主机的用户易于操纵及治理其主机内容，提供相应的治理平台。独享式网站托管IDC 为用户提供专用主机，这更适合于具有复杂业务的站点。专用主机能够为这些关键应用提供高质量、安全的服务。关于这种业务模型，用户将其服务器包给了数据服务中心经营者，用户不必拥有运算机、网络方面的技术人员而享受数据服务中心所提供的全套专业服务。为了保证服务质量，获得相应的高增值服务费用， IDC 服务经营

6、者通常与用户制定 SLA （Service Level Agreement）。运营者遵照SLA上规定的条例保证服务的不间断、丢包率、网络响应时刻。经营者通过提供例如：平台设计、服务监控、服务品质测试、网络安全治理和缓存等项增值服务加大市场竞争力。对中小型网站而言，不管是从运营爱护的角度，依旧对整体业务收入而言，与场地租用的服务相比，独享主机服务更能吸引 IDC 的经营者。按照用户需求的不同，我们能够定义单机，双机集群或包括数据库服务器的独享主机服务包。其他作为独享主机托管服务的一部分还应包括：电信级高品质机房环境和设备可靠的供电系统恒温恒湿操纵系统19 英寸标准机架10M/100M 共享或独占

7、接口独立IP地址服务器配置服务器系统软件安装、调试24 X 7网络系统治理爱护与技术支持24 小时实时的服务器运行状态、流量监测详细的访咨询统计报告紧急状况的处理共享式网站托管又可称为虚拟主机业务，是指在一种 Internet 的网站工作环境下， IDC 的网络服务器能够容纳许多相互独立的多个网站和 Email 系统，同时由 ID C 提供治理爱护服务。 而每一位客户能够有条件地访咨询和控降服务器上的 一小部分，从而用来构建自己的网站。虚拟主机依靠于一台服务器，多个网站能够在这台服务器上共享资源（硬盘空间、处理器以及内存空间） ，单独的一台服务器上能够同时运行多个虚拟主机。虚拟主机是一种初级的

8、网络系统方案，其用途要紧是容纳一些中小型企业应用以及静态网页。在商业网站进展的早期时期，是系统采取的要紧解决方案。其业务需求的前提如下：建设网站系统需要高额的硬件费用；缺乏爱护这些系统的有体会的专家；网站比较简单；交互应用程序较少；网络带宽的限制。现在Internet上专门多网站都采纳虚拟主机系统方案。 虚拟主机业务市 场将会随着那个产业的进展而持续调整与变化，持续地满足如小型企业、 社会团体以及其它仅需要一种简单的网页系统的需求。但由于这种业务模 式的技术难度不大，所需投资较小，竞争也比较猛烈，利润也较低。在IDC网络建设初期，虚拟主机业务为服务提供商提供了庞大的市场 机遇，而且它是实施其他

9、增值服务（例如应用托管业务）的基础。共享式网站托管是深受中、小企业欢迎的一个价廉物美的服务，内容 包括：国际、国内域名代理申请URL域名解析FTP访咨询及其密码修改断点续传支持CGI/Perl支持，专用CGI BIN名目Active X/VB Script 支持JAVA Applet/Class 支持不料岫尉Web HostingWEB Counter1,I!防火墙爱护 服务器24小时 WEB设计服务Banner广告条搜索引擎uh 口口 iiEmaU电动转发、回复及邮件列表支持IDC河按照用户斑以主功能的选择及对福备空间敢耍尿:IDC可按照用户其以二求，定义成不同级不的服务包提供冬虐声声言.目

10、F在基于网站托管业穿DC由Z-eteot.az连接层、设心层、分布层、服务器接,“3皿1E颍如下图所东，网络分为骨干医OInternet在提供网站托管业务时，IDC服务提供商需提供并治理所有各层的设 备，关于IDC的用户是完全透亮的，从而用户能够用心于其业务而无需负众所周知，作为全球使用范畴最大的信息网，Internet自身协议的开放 性极大地点便了各种运算机连网，拓宽了共享资源。然而，由于在早期网 络协议设计上对安全咨询题的忽视，以及在使用和治理上的无政府状态， 逐步使Internet自身的安全受到严峻威逼，与它有关的安全事故屡有发生。 对网络安全的威逼要紧表现在：拒绝服务、非授权访咨询、冒

11、充合法用户、 破坏数据完整性、干扰系统正常运行、利用网络传播病毒、线路窃听等方 面。这就要求我们对与Internet互连所带来的安全性咨询题予以足够重视。IDC以Internet技术体系作为基础，要紧特点是以 TCP/IP为传输协议 和以扫瞄器/WEB为处理模式。因此我们在IDC的设计中必须充分重视安全 咨询题，尽可能的减少安全漏洞。止匕外，我们还应该按照IDC的客户需求提供不同的安全服务，同时最大限度的保证 IDC网络治理中心（NOC）自 身的安全。IDC的安全需求我们把关于IDC的安全需求分为三类：分不是IDC差不多服务，IDC 增值服务，IDC NOC。关于IDC差不多服务的安全需求如下

12、：AAA服务，提供认证，授权及审计的功能防Dos黑客攻击功能线速ACL功能关于IDC增值服务的安全需求如下：AAA服务，提供认证，授权及审计的功能防Dos黑客攻击功能线速ACL功能防火墙及防火墙平滑切换功能入侵检测功能漏洞检测功能线速 NAT关于 IDC NOC 的安全需求如下：AAA 服务，提供认证，授权及审计的功能防Dos黑客攻击功能线速 ACL 功能防火墙及防火墙平滑切换功能入侵检测功能漏洞检测功能线速 NATACL 的策略治理安全元件的策略治理VPNAAA 服务所谓 AAA 是(Authentication、Authorization、Accounting)的缩写，即 认证、授权、记帐

13、功能，简单的讲：认证：用户身份的确认，确定承诺哪些用户登录，对用户的身份的校验。授权：当用户登录后承诺该用户能够干什么，执行哪些操作的授权。记帐：记录用户登录后干了些什么。AAA 功能的实施需要两部分的配合：支持AAA 的网络设备、 AAA 服务器。 RADIUS/TACACS+ 是实施 AAA 常用的协议，认证软件需要有完整 的记帐功能，同时能够将USER 信息直截了当导入软件的用户数据库，极大方便的 AAA 服务的用户治理。在使用 AAA 的功能后用户通过网络远程登录到网络设备上的差不多过程如下：用户输入口令后，网络设备向 AAA 服务器查询该用户是否有权登录。AAA服务器检索用户数据库，

14、如果该用户承诺登录则向网络设备返回PERMIT信息和该用户在该网络设备上可执行的命令同时将用户登录的时刻、IP作详细记录；若不能在用户数据库中检索到该用户的信息则返回DENY信息，并能够按照设置向网管工作站发送 SNMP的警告消息。当网络设备得到AAA的应答后，能够按照顾答的内容作出相应的操作， 如果应答为DENY则关闭掉当前的SESSION进程；如果为PERMIT则按照 AAA服务器返回的用户权限为该用户开启 SESSION进程，并将用户所执行 的操作向AAA服务器进行报告。通过AAA的实施我们能够方便的操纵网络设备的安全性，同时结合ACL的设置限制能够进行远程登录的工作站的数量、IP地址降

15、低网络设备受 到攻击的可能性。防DoS黑客攻击在拒绝服务（晔攻击中，恶意用户向将餐发送多个认证要求，使 其满负载，同时所三不的返回地址差不多上屯至当服务器妄图将认 证结果返回的用户将无性找到这些小户。择急j中情M下,服务器只 好等待，有4k至会小待1日由小才能关1k次连接。当二务器关闭连接之后，攻击者漏送新的一批用因过载而拒涮供服务。要求，以一Handler鸳，直到服务器HaneterHandler口吧6）签为空丁优餐j _OS则不管卜酬自动攻击者手鼻聚作目而DDIHan: ler .IrkDoS攻击需要与他分布式概念类似，分研携鬻服务能蝴便好多麟算机即磷躯程。在这种情形下，就会有一股拒绝服务

16、洪流冲击网络，并使其因过载而崩溃。DDOS工作的差不多概念如图所示。黑客（client）在不同的主机（han dler）上安装大量的DoS服务程序，它们等待来自中央客户端（client）的 命令，中央客户端随后通知全体受控服务程序（agent）,并指示它们对一个 特定目标发送尽可能多的网络访咨询要求。该工具将攻击一个目标的任务 分配给所有可能的DoS服务程序，这确实是它被叫做分布式 DoS的缘故。实际的攻击并不仅仅是简单地发送海量信息，而是采纳 DDOS 的变种工具，这些工具能够利用网络协议的缺陷使攻击力更强大或者使追踪攻击者变得更困难。第一，现在的 DDOS 工具差不多上都能够假装源地址。它

17、们发送原始的IP包(raw IP packet),由于Internet协议本身的缺陷，IP包 中包括的源地址是能够假装的，这也是追踪DDOS攻击者专门困难的要紧缘故。其次，DDOS 也能够利用协议的缺陷，例如，它能够通过SYN 打开半开的 TCP 连接，这是一个专门老且早已为人所熟知的协议缺陷。为了使攻击力更强，DDOS 通常会利用任何一种通过发送单独的数据包就能探测到的协议缺陷，并利用这些缺陷进行攻击。防范攻击的措施过滤进网和出网的流量网络服务提供商应该实施进网流量过滤措施， 目的是阻止任何伪造IP 地址的数据包进入网络，从而从源头阻止诸如 DDOS 如此的分布式网络 攻击的发生或削弱其攻击

18、成效。采纳网络入侵检测系统 IDS当系统收到来自惊奇或未知地址的可疑流量时， 网络入侵检测系统 IDS (Intrusion Detection Systems能够给系统治理人员发出报警信号，提醒 他们及时采取应对措施，如切断连接或反向跟踪等。具体措施在路由器和 Web交换机上，它将丢弃下列类型的数据帧：长度太短；帧被分段；源地址与目的地址相同；源地址为我们的内部地址，或源地址为子网广播地址；源地址不是单播地址；源地址是环回地址；目的地址是环回地址；目的地址不是有效的单播或组播地址此外，关于 HTTP 数据流， WEB 交换机必须在HTTP 流启动后的 16秒内同意一个有效的帧，否则它将丢弃那

19、个帧并中断那个流；关于TCP数据流，WEB交换机必须在16秒内同意一个返回的ack,否则它将终止那个TCP 流；关于任意尝试过8 次以上 SYN 的数据流， WEB 交换机将终止那个流，同时停止处理同样SYN ，源地址，目的地址及端口号对的数据流。在核心交换机上我们能够用线速的 ACL 来达到上述类似的帧丢弃策略，我们还能够用CAR的方法对ping及SYN的数据流进行带宽操纵，以 预防 DDOS 的攻击。漏洞检测漏洞检测(Vulnerability Scanner) 确实是对重要运算机信息系统进行检查，发觉其中可被黑客利用的漏洞。漏洞检测的结果实际上确实是系统安全性能的一个评估，它指出了哪些攻

20、击是可能的，因此成为安全方案的一个重要组成部分。安全扫描服务器能够对网络设备进行自动的安全漏洞检测和分析，同时在实行过程中支持基于策略的安全风险治理过程。另外，互联网扫描执行预定的或事件驱动的网络探测，包括对网络通信服务、操作系统、路由器、电子邮件、Web服务器、防火墙和应用程序的检测，从而去识不能被入侵者利用来进入网络的漏洞。安全扫描服务器同时能进行系统扫描。系统扫描通过对企业内部操作系统安全弱点的完全的分析，关心组织治理安全风险。系统扫描通过比较规定的安全策略和实际的主机配置来发觉潜在的安全风险，包括缺少安全补丁、词典中可猜的口令、不适当的用户权限、不正确的系统登录权限、不安全的服务配置和

21、代表攻击的可疑的行为。系统安全扫描还能够修复有咨询题的系统，自动产生文件所有权和文件权限的修复脚本。安全扫描服务器能提供实时入侵检测和实时报警。当收到安全性消息时，图形用户界面上相应的主机状态颜色和安全性消息组的图标都应有相应变化，以关心操作人员快速地确定报警的缘故和范畴。入侵检测入侵检测(Intrude Detection)具有监视分析用户和系统的行为、审计系统配置和漏洞、评估敏锐系统和数据的完整性、识不攻击行为、对专门行为进行统计、自动地收集和系统有关的补丁、进行审计跟踪识不违反安全法规的行为、使用诱骗服务器记录黑客行为等功能，使系统治理员能够较有效地监视、审计、评估自己的系统。实时入侵检

22、测系统解决方案，用于检测、报告和终止整个网络中未经授权的活动。它能够在 Internet和内部 网环境中操作，爱护整个网络。入侵检测系统包括两个部件：Sensor Director。Sensor不阻碍网络性能，它分析各个数据包的内容和上下文，决定流量是否未经授权。如果一个网络的数据流遇到未经授权的活动，例如 SATAN 攻击、 PING 攻击或隐秘的研究项目代码字，Sensor能够实时检测政策违规，给Director治理操纵 台转发告警，并从网络删除入侵者。基于网络的实时入侵检测系统，能够监控整个数据网络，需要是具备最新攻击检测功能的稳健的全天候监控和应答系统，能在本地、地区和总部监视操纵台之

23、间指导和转发告警的分布式入侵检测系统。同时需要能够承诺部署大量Sensor和Director的可伸缩的体系结构，在大型网络环境中 提供全面的覆盖面，与现有网络治理工具和实践平滑集成的入侵检测系统。入侵检测系统通常具有的关键特性包括：对合法流量/网络使用透亮的实时入侵检测对未经授权活动的实时应对能够阻止黑客访咨询网络或终止违规会话全面的攻击签名名目能够检测广泛的攻击，检测基于内容和上下文的攻击支持广泛的速度和接口类型，包括10/100 Mbps 以太网、令牌环网和 FDDI告警包括攻击者和目的地IP 地址、目的地端口、攻击介绍以及捕捉的攻击前键入的字符适合特大规模分布式网络的可伸缩性专用VLAN

24、IDC环境是一个典型的多客户的服务器群结构，每个托管客户从一个 公共的数据中心中的一系列服务器上提供 Web服务。如此，属于不同客户 的服务器之间的安全就显得至关重要。一个保证托管客户之间安全的通用 方法确实是给每个客户分配一个 VLAN和有关的IP子网。通过使用VLAN , 每个客户被从第2层隔离开，能够防止任何恶意的行为和 Ethernet的信息探 听。然而，这种分配每个客户单一 VLAN和IP子网的模型造成了庞大的扩 展方面的局限。这些局限要紧有以下几方面：复杂的STP:关于每个VLAN , 一个有关的Spanning-tree的拓扑都需 要治理IP地址的紧缺：IP子网的划分势必造成一些

25、地址的白费在一个IDC中，流量的流向几乎差不多上在服务器与客户之间，而服 务器间的横向的通信几乎没有。Cisco在IP地址治理方案中引入了一种新的VLAN机制, 信。这一新独 这种特性昼 专用服务器同在一个子网中，但服务器只能与自己的缺省网关通1 IP SubnetVLAN 特性确实考专用VLAN . ( private VLAN , pVLAN ) Sgo2AN路由器或第3层交换机接口福声。南单地讲,在一个专用.、. *-Jl f. .、.1不的访咨询端口。与服多专用端口限定在第2局网 端口来的流量。混杂端口（1中有两类同安全级private port）, 一个海杂端口，也只能检测从混杂s

26、port）没有专用端口的限定，它与VLAN内，专用端口收到的流量只能发往混杂踹口I朝杂端口收ma的流量能够发往所有端口（混杂端口和专用端口）下图示出了同一专用VL两类端口的关系。专用VLAN的应用在多客户的数据中心是专门有效的，因为 IDC的 网络中，服务器只需与自己的缺省网关连接，一个专用 VLAN不需要多个 VLAN和IP子网就提供了如此的安全连接。在这一模型中，所有的服务器 都接入专用VLAN ,从而实现了所有服务器与缺省网关的连接，而与专用VLAN内的其他服务器没有任何访咨询。目前， Cisco的Catalyst Switch 6000/6500系列交换机支持专用VLAN。Intern

27、et 连接作为IDC网络彳nternei举|艘田|绘Internet连接层提供了 IDC 与公共IP网的桥梁，它的运行情中当空系到IDC为其用户所提供的对各种nnmCOSi完善的 nil在 Internetf IP 骨干网，并以 全冗余方式与卞|及丰富的特性提供全冗余、骨干接入作为IDC网络与公共IP骨干网络的接口， Internet连接层提供了 IDC 与公共IP网的桥梁，它的运行情形直截了当关系到IDC为其用户所提供的 服务的质量，这就要求该层的设备必须具有以下的特点：高速的路由交换能力对各种高级路由协议（如BGP等）的全面支持具备丰富的接口类型完善的QOS支持能力在Internet连接层

28、配置高端路由器，使用高速连接到IP骨干网，并以全冗余方式与核心层互连。借助于这些高端路由器的高性能及丰富的特性， 提供全冗余、高速、高性能网络核心。带宽治理在IDC的业务中，通常针对提供不同的带宽收取不同的费用，因此带 宽治理成为Internet连接中提供服务质量的重要保证。识不网络流量IDC 的带宽治理需要支持多种协议和应用程序，同时能够按照自己的需要，自行设定相应的标准来区分更多的类型。能够通过应用、服务、协议、端口数、URL或通配符(用于 Web通信)、主机名称、优先权、以及I P或MAC地址对通信量进行分类。只有如此才能对用户提供完善的带宽治 理机制。保证应用性能带宽治理需要保证关键的

29、和交互式的应用获得其所需要的带宽，同时限制一般应用对带宽的需求。每种通信类型映射到一项特定的带宽分配政策上，确保每种通信类型得到一个适当的带宽。速率政策(Rate policies)限制或保证每个单独对话的带宽，抑制那些 贪欲的应用通信，或者爱护对时延敏锐的流量。例如，一个HTTP cap会使Web游玩幸免使用他人的带宽。而且获得保证的音频或视频流淌速率，幸 免显现恼人的不稳固性。速率政策是为应用提供没有被使用的带宽，因此，昂贵的带宽从可不能被白费。测量、分析和生成报表网络治理员在制订一项带宽治理策略之前及之后必须分析其网络应用通信的模式，以测量其是否成功。带宽治理将跟踪平均和高峰通信量水平，

30、运算在重新传输上所白费的带宽比例，突出最要紧用户和应用程序，同时测量性能。网络总结以及特定上下文的报表提供了对网络趋势的轻松访咨询。响应时刻特点承诺你测量性能，设置可同意性标准，并跟踪响应质量是否坚持了标准。流量操纵和监视操纵IDC 的带宽治理是专门复杂的业务和技术操纵，因此，需要一个简单易用的进行操作的治理界面。通过这一界面，网络治理员可在任何时候、任何地点，通过网络来配置、操纵和监控带宽分配情形。轻松部署利用路由器和交换机的特定 QOS (Quality of Service)技术，也能实现 带宽治理。例如 Cisco公司的CAR (Committed Access Rate技术。内容交换

31、服务dry, Alteon 和 Ci悭，卡门是服务 以满上应用 这在卜节将有具对本地刃 sco公司的四内容交1 内容交X 器的响应性d 的要求，例， 体阐述。基于IP的负载均衡数据中心的服务提供商除了向客户提供一些差不多的主机托管和网站 托管服务外，还需要提供一些更高级不的增值服务来吸引用户、拓展市场。 作为数据中心托管用户的主体，例如ICP网站、电子商务网站、企业网站 等，它们托管或租用在数据中心的大部分服务器差不多上基于Internet TCP/IP协议的应用服务器，例如 WWW服务器、FTP服务器等。关于这些用户 而言，如何保证这些关键服务器的高可靠性、高可用性和可扩展性是专门 重要的。

32、因此，如果数据中心的服务提供商能够给客户提供这种高可用性 服务，就能够像保险公司的保险费一样，来向客户收取一定的增值服务费 用！同时对数据中心的各种类型用户都带来好处：对主机租用用户来讲， 他们的服务器硬件本身差不多上租用数据中心的，因此自然期望数据中心 能够对服务器系统的可用性提出更高的保证；对主机托管用户来讲，尽管 服务器是自身携带的，然而除了极少部分大的网站有资金、有技术能力来 自行解决关键服务器系统的高可用性咨询题外，大多数的网站并不具备如 此的条件，他们期望数据中心服务提供商能够作为他们的Virtual IT部门，能够给他们提供一个完善的解决方案。下面我们以数据中心中最为普遍的服务-

33、 WWW服务为例，来详细讲 解如何实现Internet服务的高可用性，即关键服务器系统的高可用性。往常作为一个网站通常采纳的方式是 WWW服务器由一台硬件配置专 门高的UNIX服务器来担当，尽管成本昂贵，但如此做仍旧不能保证它的可靠性、可用性、可爱护性：一是因为一台服务器仍作不到硬件级的完全容错，保证不了可靠性；二是因为一台服务器的网络带宽有限，保证不了 可用性；三是因为当这台服务器进行硬件或软件升级时，不可幸免地要中 断 WWW 服务，保证不了可爱护性。基于上述缘故，人们提出了 DNS轮询方案(DNS Round Robin)试 图解决 WWW 服务的可用性咨询题，即多台 WWW 镜像主机在

34、DNS 中对应同一域名，当用户访咨询 WWW,要求DNS服务器解析域名时，DNS服 务器按 DNS 要求的先后顺序把域名依次解析成其中一台 WWW 主机的 IP 地址，从而把任务平均分担到数台 WWW 主机上，来提升WWW 服务的整体性能。它的优点是：实现简单、实施容易、成本低；然而，它的缺点也专门明显：不是真正意义上的负载均衡，DNS服务器将HTTP要求平均地分配到后台的 WWW 服务器上， 而不考虑每个WWW 服务器当前的负载情形；如果后台的 WWW 服务器的配置和处理能力不同，最慢的 WWW 服务 器将成为系统的瓶颈，处理能力强的服务器不能充分发挥作用；另外未考虑容错，如果后台的某一台W

35、WW服务器显现故障，DNS服务器仍会把DNS要求分配到这台故障服务器上，导致对客户端的不能响应。而这最后一 个缺点是致命的，有可能造成相当一部分客户不能访咨询 WWW 服务，同 时由于 DNS 缓存的缘故，造成的恶劣后果要连续相当长一段时刻(一样DNS刷新周期约24小时)。止匕外，还有一些基于群集(Cluster)技术的软件解决方案来保证 WW W 服务的高可用性。它的通用做法是通过在操作系统的基础上安装操作系 统厂商的群集软件或第三方的群集软件(绝大多数支持WWW 服务的群集)，例如 Microsoft Cluster Server、Turbo Linux、Cluster Serve等，来做

36、到 应用级的互为备份或负载平稳。互为备份(Active/Standby)方式下，其中 一台服务器缺省处于活动状态(Active/Primary ) ， 而另一台处于睡眠状态( Standby/Backup) ，当主服务器系统死机或应用不能正常服务时，备份服务器 会自动变成活动状态，从而接管原主服务器的任务，保证应用能够连续服务。负载平稳方式下，能够有多台服务器，每一个服务器都承担一定的应 用。它们之间即能够互为备份，也能够有专门一台备份服务器，它在群集正常时不承担任何任务，然而当群集中的某一台服务器发生故障时，它会自动激活，从而接管故障服务器的任务。然而，它也存在以下缺点：安装、配置复杂，难于

37、爱护和治理；群集软件与服务器的硬件平台和操作系统紧密有关，不能做到设备无关性和无缝升级；实现负载平稳的算法简单，一样是按照轮询（ Round Robin） ，有些WWW 群集软件可支持设定权重（ Weighting ）算法，但权重（weighting ）是人为设定，并不能客观反映每一台服务器的 HTTP 要求响应能力以及当前负载情形；与硬件实现方案（ Layer4 的负载平稳交换设备）比较起来，性能较低，另外支持的Web Site 的规模较小（WWW服务器最多能够到16台）；不能实现HTTPS等专门应用的负 载平稳（这是因为在HTTPS应用中，客户端和服务器端要进行身份验证、 交换证书和密钥，

38、因此客户端和服务器端应一一对应，同一客户的要求应由同一台服务器来处理） 。因此更为重要的一点是，作为数据中心的托管用户，他们往往不期望数据中心服务提供商在他们的服务器上安装任何软件！正因为上述的解决方案存在如此或那样的咨询题，因此，随着 Internet 技术的进展，显现了基于应用、甚至基于内容的负载平稳设备，即我们通常所讲的第四层、 第七层智能负载平稳设备。 它们通过硬件技术或专用的 A SIC芯片来实现WWW等应用服务器的负载均衡和高可用性解决方案。通 过这种技术能够提升WWW 服务器的整体处理能力，并提升整个服务器系统的可靠性、 可用性、 可爱护性、 可扩展性， 保证 WWW 服务质量的

39、QOS，提供基于 URL 、基于内容的交换（当采纳第七层负载平稳设备时） ，最终用一组低处理能力、低实现成本的主机提供大规模、高性能、可扩展的 WW W 服务。以下是关于采纳第四层负载平稳设备实现WWW 服务的负载平稳的一样介绍：在第四层负载平稳设备上设置WWW 服务的虚拟 IP 地址（ VirtualIP Address,那个虚拟IP地址是DNS服务器中解析到的 WWW服务器的 IP 地址，对客户端是可见的。当客户访咨询此WWW 应用时，客户端的 HTTP 要求会先被第四层负载平稳设备接收到，它会基于第四层交换技术实时检测后台 WWW 服务器的负载，按照设定的算法进行快速交换，交给当前最可用

40、、负载最轻的服务器来处理。常见的算法有以下几种：轮询（ Round Robin) 、权重(Weighting ) 、最少连接(Least connection) 、随机(Random)、响应时刻(Response Time等。通过这种技术可将大量的、并发性 的用户要求分配到多个服务器来处理，从而降低单个服务器的负载，幸免服务器的死机或响应延迟过大！另外，这种负载平稳设备还能够几乎实时地检测到后台服务器的硬件、操作系统、网络甚至应用级不的状态，从而幸免客户的要求被失效的服务器处理。应用负载均衡第七层应用负载平稳设备是近一、两年才显现的最新技术，它要紧用于实现WWW 应用的负载平稳和服务质量保证。

41、它与第四层负载平稳设备比较起来：第七层负载平稳设备不仅能检查 TCP/IP数据包的TCP、UDP端 口号(Transportation Layer) ，从而转发给后台的某一个服务器来处理，而且它能从会话层(Session Layer以上来分析HTTP要求的URL,按照URL 的不同将不同的 HTTP 要求交给不同的服务器来处理 (能够具体到某一类文件，甚至某一个文件) ，甚至同一个URL 要求能够让多个服务器来响应以分担负载(当客户访咨询某一个URL,发起HTTP要求时，它实际上要与服务器建立多个会话连接，得到多个对象Object,例如。txt/。gif/。jpg 文档，当这些对象都下载到本地

42、后，才组成一个完整的页面) 。跨地域负载均衡前面讲述的差不多上关于如何在本地局域网实现WWW 等应用服务器的负载平稳，那么如何实现应用服务器的广域网上的负载平稳，从而保证应用的冗灾备份，以及如何有效的按照客户的地域分布、广域网络的连通状态或延迟时刻来将客户定向到他们最适合访咨询的站点呢？这些都涉及到广域网的负载平稳技术( Global Server Load Balance) ， 常见的广域网负载平稳产品差不多上基于DNS重定向原理来实现的，即当客户访咨询某一个网站时，例如wwwo 时，客户的关于那个网站的 DNS域名解 析要求会被那个广域网的负载平稳设备来处理，而那个广域网的负载平稳设备会基

43、于客户端的 IP 地址范畴、客户端与各节点的网络延迟、各节点的状态及负载等参数，然后按照一定的算法来判定那个节点最适合用户访咨询，从而将那个节点的IP地址或VIP地址返回给客户。常见的广域网负载平稳算法有：轮询(Round Robin) 、加权轮询(Weighted Round Robin ) 、随机(Random)、最少连接数(Least Connection)、最低CPU利用率(Lo west CPU Utilization) HTTP 重定向(HTTP Redirection)等。Cookie和SSL会话的连接锁定为了使得一个电子商务的事务成功，客户必须被锁定到指定的服务器上直到事务完成

44、。保持到一个服务器连续的连接，称为“锁定” ，这是任何 制造利润的电子商务WEB 站点的关键。Web交换机能够读到分布在多个包中的Cookie并有能力识不一个Cookie。Cookie能够由 Web交换机内部产生或在服务器上产生。一旦 Cooki e被设定，用户的扫瞄器就被透亮地刷新。能够产生Cookie对电子商务站点基于Cookie使流量具有优先级是有益的。如果进入一个要求同时提供了 一个Cookie,用户的优先级字段就会决定那个服务器群同意要求。如果没 有提供 Cookie ，要求要么被送到认证服务器，要么交换机内部产生一个新 的 Cookie 。那个要求就有一个有优先级设置的 Cooki

45、e ，那个优先级会把用 户定向到合适得服务器群。爱护基于 Web 的商务的最常用的方法确实是使用流行的 SSL( Secur e Socket Layei)协议。SSL是端到端的加密机制，是当今 Web商务加密的 要紧方法。基于 SSL 会话 ID 坚持连续性优化了电子商务的商务完整性， 保证了 安全和性能的均衡。在一个安全的事务中，Web交换机坚持从用户Cookie(购物)到 SSL 会话 ID (结帐)的转化。这一点专门关键，因为 Cookie 处于为进行SSL事务而加密的HTTP头部，因此坚持锁定连的Web交换机 不能读到。用户扫瞄器与服务器之间开始的 SSL Hello消息含有一个空的

46、会 话ID字段(如果要建立一个新的SSL会话)或上一次客户使用得SSL会话。 然而，这并不是下面的电子事务使用的SSL会话ID。作为客户Hello消息的响应， 服务器选择一个新的会话ID 并把自己的带有会话ID 的 Hello 发回到客户端。CSS交换机在服务器的Hello中检测到那个新的SSL会话ID并 把要求路由到这一时刻最合适的服务器。后续的有那个会话ID 的要求都将被转到同一台服务器。为了优化资源，当一个会话在一个定义的时刻段处于休止状态后,开释那个会话ID。户处理，会建鼻 押申请或信用/Web交换个 户中意度，也 涉及交换公钥， 重建失败的会 处理复杂的谈芈当咽簪传遨除避寸，服务器把

47、它作为一个新用话的握手会舌ID并透亮地M新会话而做的Web服务器会终止那个会话。当几分钟没有操作后，服务器会做超时处理,内容传送网络加速Web Cach啾术是把大多数经常被访咨询的内容存放的距客户更近从 而提升了 Web的访咨询速度。Web cached够在企业的Internet接入处配置, 在接入设备和ISP POP中骨干链路之间，或在ISP网络之间的边缘。有许多的Web each映现方法，包括代理、透亮的以及反向代理cache。每一种技术白区不在于在Web服务器访咨询途径的什么地点配备和需 要进行配置的多少。Cache能力定义为一个对象能够被的潜力。Web Cache只能cache静 态的

48、内容，如gif、jpg和PDF等。有一些类型的 Web的内容是不能被Cac he的，例如动态的内容，包括 CGI脚本、RealAudio、ASP、加密的文件或 与cookie有关的象shopping card/。Internet专家证实，当今 4050%的I nternet内容是动态的。Web Cache的效率是用最大cach喻中率和最低可能 的要求/响应延时来衡量的。Cache的命中率受一系列因素的阻碍，包括工 作负载、内存和磁盘大小、内容老化算法等。透亮 Caching在透亮代理Caching (Transparent Caching环境中，Cache关于扫瞄 器是透亮的， 扫瞄器不需要配

49、置指向Cache。 用户的要求通过网络设备路由到 Cache， 例如通过路由器上的策略过滤、 远程的访咨询服务器或通过使用 专门用途的 Web Cache前端设备，如 Web交换机。代理 Cache在代理Cache (Proxy Caching)环境中，每个 Web扫瞄器都要配置 代理Cache的IP地址，所有用户的要求都会转发到代理。当发起一个内容 要求时，每个要求都会转到代理 Cache的IP地址，不管是对动态或静态内 容的要求。如果要求的内容差不多在Cache中，那么Cache直截了当把内容发给客户；如果要求的内容不在 Cache中，要求被送到服务器猎取内容， 一旦在服务器中找到了所需内

50、容，Cache响应客户，且如果内容是可 Cache 的，在Cache中复制一个copy。代理Cache的要紧的缺点是需要治理的，缺少集中操纵，同时不能 重新定向用户绕过当掉的Cache,而是送到“黑洞”中。Cache集群在一个位置配备多个Cache确实是Cache集群(Cache Clustering)。 Cache集群提供冗余，增加了 Cache的性能合扩展能力。Cache集群能够通 过把多个Cache连接到一个路由器、第4层交换机或 Web交换机上来实现。 Cache集群提供了冗余，在单个Cache失败时起到爱护作用。专门是代理 C ache,对单一的Cache失败专门敏锐。如果一个网络中

51、等 Cache失败，所有 的配置使用它的扫瞄器都会失去与Web 的连接。集群是一个有关于配置后备Cache较好的解决方案，因为后者增加了代理Cache治理的复杂程度。反向代理 Cache代理和透亮的Cache是具有代表性的为优化穿越网络的所有Internet 流量而配备的。反向代理 Cache (Reverse Proxy Caching RPC)则是典型 的数据中心的扩展。反向代理 Cache是Web服务器的代理，而不是客户的 代理。事实上，反向代理Cache对网络来讲象是真正的Web服务器，DNS 解析RPC的IP地址而不是实际的服务器的IP地址。Web交换机能够为不可 Cache的HTT

52、P要求或不可Cache的TCP要 求（如SSL）旁路RPC。交换机旁路RPC,把最初的IP地址信息和包含在 流头部的序列号发往服务器。服务器直截了当向客户答复，或转发到 RPC 的交换机。两种方法都不涉及Cache,它能够集中资源去服务可 Cache的内 容要求。智能Cache旁路动态内容，如电子商务的事务、股票交易、 ASP以及CGI表单，是 不能Cache到Cache服务器的，只有静态的内容是能够 Cache的。能够Ca che的静态的内容的例子确实是gif、jpeg和pdf文件等。动态内容复制Web交换机能够设置某些内容的负荷门限，当此内容的访咨询超过门 限，交换机将动态复制热点内容到备

53、份服务器，并重定向要求到备份服务 器。由于Internet的流量具有专门强的突发性，而且具有不可预见性，关于业务量造成服务器的眄塞，时刻没有利:为用户提供了b交换机按照用户Web交换机发兰的门限时，勺容的.咨询一些大型的网站,由于WeblI后台治理在建设IDC时，能够按照分层的方式将整个网络平台划分为： 核心层, 分布层，接入层和后台网络。其中前三层要紧承载用户的业务，而后台网 络要紧提供各种后台的治理功能。在IDC初期建设时，后台治理的重要性 不明显，甚至专门多规模较小的IDC在刚开始建设时，完全没有考虑到后台治理的咨询题，然而随着业务的迅速进展，后台网络的重要性逐步被认 识，因此目前比较成

54、功的 IDC ，都有一个专门完善的后台治理系统。本解决方案提供了完整的后台治理平台，关于每一个服务器通过两块网卡，一块连接到前台的接入层，为 Internet 用户提供服务，另一块连接到后台治理系统的接入交换机。在后台治理平台上， IDC 建立网络治理操纵中心完成对整个IDC 的治理操纵， IDC 客户中心为 IDC 的客户提供设备治理平台，数据备份中心为用户提供数据备份。通过后台治理系统， IDC 能够为用户提供多种治理功能：备份，网络治理和客户中心服务。备份在后台治理网络上能够通过设置专有的 VLAN ( Private VLAN ) 或者是一般的 VLAN ，以隔离不同用户的服务器。而需

55、要由多个用户共享的资源和服务， 则能够通过VLAN Trunk 和全通口与各个需要共享资源的服务器通信。因此 IDC 能够按照用户的要求，由一台备份服务器为多个用户提供数据备份，也能够由一台备份服务器为单独的一个用户提供服务。网络治理由于后台治理系统与前台的网络相互隔离，同时在本方案中对网络的安全性作了全面的考虑，例如利用防火墙将前后台隔离，配置入侵检测和漏洞检测系统，因此具有专门好的安全性。同时由于后台网络不承担业务，带宽也相对充足，因此IDC 差不多上通过后台来对服务器和网络设备进行治理。客户中心由于客户将设备托管给IDC ，用户对自己的设备需要定期的检查和治理。目前 IDC 能够为用户提

56、供多种访咨询方式，其中 IDC 设置客户中心为用户提供访咨询平台，用户能够在客户服务中心访咨询自己的网络设备，与自己的服务器交换信息。客户中心即能够是由多个用户共享，也能够是由一个客户专有，例如一些网上银行，他就需要在IDC 拥有自己专有的治理平台，那么 IDC 就能够为这类用户提供专有的客户中心。数据更新关于从事网上业务的公司，提供好的内容是业务成功的关键，因此IDC 的用户会经常需要对内容进行更新和改进。在用户对服务器进行更新时，对数据的安全性通常会有较高的要求，因此简单的通过前台来更新服务器关于从事电子商务的网站是不适用的。因此通过客户中心，或者是通过公网从后台治理系统完成对服务器的更新

57、和数据交换，是IDC 通常采纳的方法。远程数据更新的方案中提供全套的端到端的解决方法，包括：远程拨号；专线；IP 加密（IP se。VPN; MPLS VPN。远程拨号用户通过拨号的方式进入后台治理系统，对自己的服务器和数据库进行配置和更新，然而这种方式存在带宽的限制，因此当用户需要与服务器交换大量数据时，拨号方式就不太合适。专线在IDC设置路由器，通过常用的专线方式，如 DDN, Frame Relay等 方式提供用户访咨询自己的服务器。这种方式中需要对各个用户的数据流向进行操纵，使他们只能访咨询他们自己的服务器，而不能访咨询其它用户的服务器。IP加密VPN用户也能够通过专线的方式接入到公网

58、，通过对IP数据包加密来保证用户数据的安全性，在IDC再对用户的IP包进行解密，然后用户进入自己 的 VLAN ，访咨询自己的各个服务器。这种解决方案需要在 IDC 设置 IP Se c 的 VPN 网关。MPLS VPNMPLS VPN 为用户提供了一种更加灵活有效的访咨询方式，用户能够通过公网平台上自己私有的MPLS VPN 对自己的设备进行访咨询，而且其地址空间也能够是其自己的私有地址，由于地址空间是私有的，黑客几乎无法对其进行攻击。同时在MPLS VPN 上通过流量操纵机制能够为用户提供端到端的服务质量保证。网络治理是IDC运行治理中的重要一环，它将覆盖所有网络元素的治 理和操纵。网络

59、拓扑治理为对IDC网络进行系统化治理，治理员第一需要对全网的当前状态有 一个准确、直观的了解。网络拓扑治理作为治理系统的一个重要组成部分 能够满足治理员的以上需求。它应能关心治理员自动生成网络的拓扑结构 图和发觉节点设备的分布状况，同时能对网络结构的变化进行动态跟踪和 更新。网管中心治理员第一利用自动发觉治理进程，对其治理范畴内的全网 络拓扑结构、联网节点设备以及应用服务器进行地址扫描。按照地址扫描 的发觉的结果，将在治理服务的治理数据库中生成全网的网络拓扑图。对 已生成的全网网络拓扑图还将进行定期的检查，发觉可能显现的拓扑改变， 并对治理数据库中储备的拓扑图进行相应的更新。故障治理网络治理员

60、在获得了最新网络拓扑结构图后，还需对全网的故障进行集中控管。网络故障治理利用了治理软件包中的功能。通过定义对全网的 I P节点设备，通讯链路等多方面网络资源进行自动定期轮询检测，可发觉节点设备的硬件故障和网络链路中断。还能够利用对 SNMP Trap的支持，捕 捉网络上传送的故障Trap信息。按照收集到的故障信息，网络治理软件能够对所发觉的网络专门状态进行跟踪，并在网管中心的图形化治理操纵台 上以多种方式向网络治理员报警。网络治理员通过观看治理操纵台上的不 同类型报警信息即能够迅速定位故障显现的准确位置和故障的严峻等级。网络治理员还能够在治理操纵台上直截了当启动设备治理工具观看显现故 障的的网