智慧校园建设技术建议书

智慧校园建设技术建议书2015/12/13目录TOC\o"1-6"\h\z\u一、工程背景-3-二、总体建设目标-3-三、整体建设方案-4-3.1整网组网拓扑图-4-3.2网络建设方案-5-校园网概述-5-校园网建设目标-6-校园网建设分析-6-校园核心层建设方案-7-大楼会聚层建设方案-9-楼层接入层建设方案-12-网络管理建设方案-12-3.3平安建设方案-15-概述-15-出口平安建设-16-出口双机部署-17-路由平安-17-防火墙-18-入侵防御-18-用户行为管理-19-防病毒网关-19-运维管理建设-19-3.4数据中心建设方案-20-效劳器虚拟化建设方案-20-概述-20-效劳器虚拟化-20-刀片效劳器优势-21-存储虚拟化建设-22-方案设计原那么-22-存储的优势-23-数据中心平安建设-24-概述-24-虚拟机隔离设计-24-虚拟防火墙部署优势-25-云平台深度平安防护系统-25-3.5桌面云建设方案-27-概述-27-传统桌面环境目前面临的挑战-27-华为桌面云简介-28-华为桌面云优势分析-29-华为桌面云主要硬件-31-3.6备份容灾建设方案-32-概述-32-本地存储异构虚拟化建设-33-异地存储容灾建设-34-备份一体机建设-35-四、方案优势-37-4.1具有多层次平安防护优势-37-4.2具有可靠性优势-39-虚拟化可靠性-39-管理可靠性-39-效劳器可靠性-39-存储可靠性-40-网络可靠性-40-4.3具有本钱节约的优势-40-五、方案预算-42-工程背景智慧校园是以网络为根底，利用先进的信息化手段和工具，实现从环境〔包括实验室、教室、设备等〕、资源〔如公文、图书、讲义、课件等〕、到活动〔包括教、学、科研、管理、效劳、办公等〕的全部数字化、智能化，在传统校园的根底上构建一个数字空间，以拓展现实校园的时间和空间维度，从而提升传统校园的效率，扩展传统校园的功能，最终实现教育过程的全面信息化，到达提高教育管理水平和效率的目的。总体建设目标鉴于学校目前信息化现状、客观存在的问题以及实际需求，结合国内学校信息化的开展趋势，建议本次智慧校园建设总体目标设定为：夯实数字化的应用管理环境、智慧化的教学环境、有特色的校本课程建设环境和具有云计算能力的网络平台，最终建成一个开放、多元、人文、智慧、高效、平安、和谐的智慧校园，为学校实现战略开展目标提供强有力的支持，实现学校教研、教学、管理、效劳等整体信息化，到达提升教学质量、提高人才培养水平、优化管理流程的目的。使得信息化整体水平与学校的业务开展定位一致，整体提供学校核心竞争力，并实现学校优质高效的可持续开展。细化目标如下：1、提出并确定智慧校园网络的体系结构；2、制定智慧校园的信息标准与应用标准，以及各系统之间的接口标准；3、建设一个为全校提供效劳的数据中心，包括虚拟主机、应用效劳、数据存储效劳、数据备份效劳、数据平安效劳等；4、建立全校的网络平安体系，保证校园网络的平安、保证关键数据、关键应用的平安以及关键业务部门的平安，实现校园网络及其应用系统的平安高效运行；5、建立一整套校园信息管理系统，为实现“网上办公、网上管理、网上教学、网上效劳”提供全面的系统支持。整体建设方案3.1整网组网拓扑图3.2网络建设方案校园网概述校园网是指在学校范围内铺设的信息网络，为学校师生提供快捷高效的教学、科研和综合信息效劳。校园网既需要承载科研信息共享、多媒体教学、电子阅览、教学资料存储等教学相关的网络业务，也要承载行政和总务管理、教师办公、高校论坛等其他网络业务，因此对网络的性能、效劳质量等要求极高。随着高校信息化的开展，网络中所承载内容的变化，以及接入终端的多样化，校园网的建设也面临着越来越多的新挑战。1、网络带宽问题传统校园网的接入层为百兆带宽，已经不能满足现有网络应用的高速传输需求。2、网络运营问题接入场景复杂校园网有大量的固定资产〔例如打印机、摄像头、IP等〕需要接入网络，这些终端设备都需要稳定运行；学生宿舍、教师公寓等地点又会有大量PC接入网络；校园中访客众多，公共场所总会有访客频繁接入网络；由于学生和教师乐于尝试新技术，校园又是无线终端非常密集的场所。网络效率不高校园网中有大量的P2P及其他下载流量占用带宽，导致重要网络应用质量不高；有多个网络出口时，经常会出现一个出口已经非常拥塞，另一出口占用率却很低的现象；无论从技术上还是管理上，运维都显得非常复杂。网络行为管理本着对学生负责的理念，校园网需要提供网络行为管理的工具，对学生进行实名认证，对学生的上网行为进行约束，并对上网的行为能够监控记录，必要时进行回溯。IP地址分配校园网目前使用传统的DHCP方式分配IP地址，对接入用户缺乏有效的探测机制，地址回收效率也不高。校园网中终端接入频繁，用户移动频率过快，使用DHCP方式会浪费大量IP地址资源。3、网络平安问题校园网的用户具有极强的网络技术以及好奇心，会不断尝试攻击校园网络；同时校园网应用繁多，结构复杂，是网络攻击、网络病毒滋生扩散的温床。4、IPv6的过渡问题校园网往往走在网络技术的最前线，作为网络技术开展的必然趋势，校园网更需要提前考虑IPV6的良好过渡。校园网建设目标本期工程的目标是建立如下系统：1.构造一个既能覆盖本地又能与外界进行网络互通、共享信息、展示校园的计算机网络。选用技术先进、具有容错能力的网络产品，在投资和条件允许的情况下也可采用结构容错的方法完全符合开放性标准，将业界优秀的产品集成于该综合网络平台之中；2.配备网络交换设备，整体网络实现万兆主干，千兆接入，保证未来各应用系统的实施以及满足学校各种计算机应用系统的大信息量的传输，为今后的网络扩容作好准备；3．设备选型在技术上具有先进性，通用性，且必须便于管理，维护。应具备未来良好的可扩展性，可升级性，保护学校的投资。设备要在满足该工程的功能和性能上还具有良好的性价比。设备在选型上要是拥有足够实力和市场份额的主流产品，同时也提供很好的售后效劳；4.网管设计，提供可以对整个网络系统进行管理的中文图形界面工具，使系统维护人员可以集中控制网络的所有设备，方便管理和维护。校园网建设分析整个校园内网采用扁平化设计理念，分成校园核心层、大楼会聚层、楼层接入层和网络管理四个局部，实现采用万兆骨干，千兆到桌面，万兆主干具备40G扩展能力。校园核心层建设方案1、校园核心交换机校园核心交换机主要承载全校办公和教学等业务系统数据转发、楼宇之间互联等功能，因此建议采用大交换容量、稳定性高、可靠性强的电信级核心交换机。因此校园核心交换机应具备以下特点：支持强大的业务处理能力，提升网络架构扩展性多业务路由交换平台，满足学校接入、会聚、核心业务承载要求，支持无线、语音、视频和数据应用，为学校提供高可用、低时延、全业务的一体化网络解决方案。支持分布式L2/L3MPLSVPN功能，支持MPLS、VPLS、分层VPLS、VLL，满足学校VPN等接入需求。完善的二、三层组播协议，支持PIMSM、PIMDM、PIMSSM、MLD、IGMPSnooping，满足多终端高清视频监控和视频会议接入需求。支持运营级高可靠性设计，可视化故障诊断具备超越5个9的高可靠性，主控、电源、风扇等关键部件采用冗余设计，所有模块均支持热插拔。专用的故障检测定位子卡，提供300pps/3.3ms高精度硬件级以太OAM功能，802.3ah、802.1ag和ITU-Y.1731标准协议，网络故障发生时能够在第一时间检测所有终端Session联通性，图形化网管故障诊断界面，设备节点、链路自动遍历，实现网络快速故障检测与定位。冗余控制引擎间主备无缝切换，设备优雅重启实现NSF无中断转发。支持ISSU业务运行中软件升级，设备软件升级过程中确保关键业务和效劳不中断。支持完善的QOS机制，提升语音、视频用户体验提供高品质的QOS〔QualityofService〕能力，支持从链路层到应用层流分类技术，具备完善的队列调度算法、拥塞控制算法，能够对数据流实现多级的精确调度，从而满足学校不同用户终端、不同业务种类的效劳质量要求。提供硬件组播QOS低延时队列，全面满足学校视频业务优先级保障需求，为视频会议、监控等关键业务提供高质量承载保障。创新的优先级调度算法，对传统QOS队列调度进行了专门针对学校语音与视频的优化，大幅降低IP语音时延、消除视频马赛克，提高用户体验。支持高性能IPv6业务能力，IPv4到IPv6平滑升级要求软硬件平台均支持IPv6，取得工信部IPv6入网认证和IPv6Ready第二阶段金色认证。支持IPv4/IPv6双协议栈，支持多种隧道技术，支持IPv6静态路由、RIPng、OSPFv3、BGP+、IS-ISv6、IPv6组播，满足IPv6独立组网和IPv4/IPv6混合组网要求。支持智能流量负载均衡，提升校园IT利用效率要求负载均衡器支持加权轮询、基于连接数、加权IP地址Hash和基于HTTPURL的Hash等多种均衡调度算法，全面满足客户负载均衡要求。要求负载均衡器支持TCP和HTTP重用，减轻效劳器撤除/建立TCP连接的负载，提高效劳器访问效率。要求负载均衡器支持动态“锁流”技术，满足校园网站在线视频负载均衡需求。强大的网络流量分析能力，随时网络健康诊断要求支持随板分布式网络Netstream业务分析功能，满足用户对网络流量实时采集、分析需要。支持NetstreamV5/V8/V9多种报文格式，支持聚合流量模板，减轻网络采集器系统压力，支持实时流量采集、动态报表生成、属性分析、流量异常告警等功能。帮助客户对网络流量进行实时监控、现网设备吞吐分析，为优化网络结构、科学合理扩容提供决策依据。无线AC模块，全面满足移动办公需求要求无线AC板卡支持丰富的RF〔射频〕管理。支持AP上线时自动选择信道和功率，在AP重叠区域，信号冲突时自动调整功率或信道，RSSI〔接收信号强度指示〕/SNR〔信噪比〕的不断更新，让系统可以实时了解每一个无线用户所处电磁环境，提升网络可用性。要求无线AC板卡支持802.1x认证、MAC地址认证、Portal认证、WAPI认证等多种认证方式，满足客户不同终端、不同平安等级设备的接入需求。支持二、三层漫游，终端设备跨AP漫游快速切换，AC间1+1、N+1多机冷备和AC间负载分担提高网络可靠性。创新节能芯片，智能功耗控制创新节能芯片，实现按流量动态调整功率，支持端口休眠，无流量不耗电。智能POE供电，可以实现基于PD设备角色启动不同的能源管理方案，保持设备能源管理弹性。支持IEEE802.3az能效以太网标准，线卡收发器具备低功率闲置模式，支持正常工作与低功率状态快速转换，低流量低功耗。2、校园网出口防火墙由于内网出口防火墙负责与学校内网互连的任务，在防火墙上配置访问控制列表ACL，通过ACL将三层IP数据包进行首次过滤，过滤掉不符合条件的数据。同时负责出口平安防护功能。3、校园网出口路由器一般情况下，路由设备主要工作在OSI七层网络模型中的第三或四层，负责校内网数据路由交换功能，因此出口路由器要采用高转发性能、高平安、高可靠。大楼会聚层建设方案大楼会聚层交换机主要负责对接入层提供大数据量的会聚功能，同时要满足不同业务之间的隔离，因此会聚交换机应采用具备大容量、高密度千兆端口，可提供万兆上行的万兆交换机。因此采用大楼会聚交换机应具备以下特点：强大的多业务支持能力要求支持IGMPSnooping/IGMPv3snooping/Filter/FastLeave/Proxy等协议。要求支持线速的跨VLAN组播复制功能，支持捆绑端口的组播负载分担，支持可控组播，可以充分满足IPTV和其他组播业务的需求。要求支持MCE功能，实现了不同VPN用户在同一台设备的隔离，有效解决用户数据平安问题，同时降低用户投资本钱。完备的高可靠保护机制要求不仅支持传统的STP/RSTP/MSTP生成树协议，还支持SmartLink和RRPP等增强型以太网技术，可以实现毫秒级链路保护倒换，保证高可靠性的网络质量。此外，针对Smartlink和RRPP均提供多实例功能，可实现链路负载分担，进一步提高了链路带宽利用率。要求支持以太Trunk〔E-Trunk〕功能。在使用E-Trunk之后，CE设备可以通过E-Trunk双归接入到两台PE设备上。从而把链路可靠性从单板级提高到了设备级，大大增强了设备级的可靠性。从而实现了跨设备的链路聚合和链路负载分担功能。极大的提升了接入侧设备的可靠性。要求支持智能以太保护SEP〔SmartEthernetProtection〕，SEP是一种专用于以太网链路层的环网协议。适用于半环组网场景，部署时可独立于上层会聚设备，并提供50ms的快速业务倒换性能。保证业务的不中断。在华为设备上已经利用SEP协议实现了以太网链路管理。SEP协议简单可靠、倒换性能高、维护方便、拓扑灵活，可以大大方便用户进行网络的管理和规划。要求支持双电源冗余供电，也可以交、直流同时输入。用户可灵活选择单电源工作模式或者双电源工作模式，提高了设备可靠性。要求支持BFD链路快速检测功能，能为OSPF、ISIS、VRRP、PIM等协议提供毫秒级检测机制，提高了网络可靠性。要求遵循IEEE802.3ah和802.1ag提供点到点以太网故障管理功能，可以用于检测用户侧最后一公里以太网直连链路上的故障。完备的QoS策略和平安机制要求系列交换机可以基于五元组、IP优先级、TOS、DSCP、IP协议类型、ICMP类型、TCP源端口、VLAN、以太网帧协议类型、CoS等信息，实现复杂流分流功能，支持双向ACL。5700支持基于流的双速三色限速功能，每端口支持8个优先级队列，支持WRR、DRR、SP、WRR＋SP、DRR+SP多种队列调度算法，有效地保证了话音、视频和数据等网络业务质量。要求系列交换机提供多种平安保护功能。支持DoS〔DenialofService〕类防攻击、网络的防攻击、用户的防攻击等功能。其中Dos类防攻击主要包括SYNFlood、Land、Smurf、ICMPFlood。网络的防攻击主要是指STP的bpdu/root攻击。用户的防攻击涉及DHCP仿冒攻击、中间人攻击、IP/MACSpoofing攻击、DHCPrequestflood、改变CHADDR值的DoS攻击等等。要求支持通过建立和维护DHCPSnooping绑定表，侦听接入用户的MAC/IP地址、租用期、VLAN-ID、接口等信息，解决DHCP用户的IP和端口跟踪定位问题。同时，对不符合绑定表项的非法报文〔ARP欺骗报文、擅自修改IP地址等〕直接丢弃，有效防止黑客或攻击者通过ARP报文实施园区网常见的“中间人”攻击。利用DHCPSnooping的信任端口特性还可以保证DHCPServer的合法性。要求支持ARP表项严格学习功能，可以防止因ARP欺骗攻击将交换机ARP表项占满，导致正常用户无法上网。同时，支持IPSourceCheck特性，防止包括MAC欺骗、IP欺骗、MAC/IP欺骗在内的非法地址仿冒带来的DOS攻击。要求支持集中式MAC地址认证和802.1x认证及NAC功能，支持用户账号、IP、MAC、VLAN、端口、客户端是否安装病毒防范等用户标识元素的动态或静态绑定，同时实现用户策略〔VLAN、QoS、ACL〕的动态下发。要求支持基于端口的源MAC地址学习限制功能，有效防止用户源MAC欺骗冲击设备MAC表项，导致正常用户无法学到MAC表而泛洪的问题等。免维护易部署要求支持自动配置、即插即用、USB开局、自动批量远程升级等功能，便于部署升级和业务发放，简化后续的管理和维护性能。从而大大降低了维护本钱。要求支持SNMPV1/V2/V3，CLI命令行、Web网管、TELNET、HGMP集群管理等多样化的管理和维护方式，设备管理更加灵活。支持NTP、SSHv2.0、TACACS+、RMON、多日志主机、基于端口的流量统计，支持NQA网络质量分析，有利于进一步作好网络规划和改造。楼层接入层建设方案接入层设备主要提供千兆桌面接入功能，建议采用静音低耗可堆叠的智能千兆桌面交换机即可。因此楼层接入交换机应具备以下特点：全新节能设计，引领低碳通信要求全系列设备采用无风扇静音设计，降低整机功耗的同时，让您免除噪音的烦扰。要求整机遵循IEEE802.3az〔EnergyEfficientEthernet能效以太网〕，提供端口低耗电闲置模式，大幅度降低功耗。要求可根据线缆长度进行相应输出功率调整，并且支持无连接时端口休眠优异的平安性能要求支持丰富的平安特性，如802.1x、RADIUS、NAC等平安认证方式。还支持MAC地址过滤和端口过滤功能，能有效防范黑客、病毒攻击，提供平安可靠的网络效劳。强大的组网和带宽扩展能力要求提供LACP、STP/RSTP/MSTP等功能，可有效实现链路扩展及备份。SNMP管理型交换机支持高达8个MSTP实例，让组网无忧。网络管理建设方案eSight是华为推出的新一代面向学校园区和分支网络管理系统，实现对学校资源、业务、用户的统一管理以及智能联动。eSight支持对IT&IP，以及非华为设备的统一管理，同时对网络流量、接入认证角色等进行智能分析，自动调整网络控制策略，全方位保证学校网络平安。同时，eSight提供灵活的开放平台，为学校量身打造自己的智能管理系统提供根底。对于网络运维人员而言，日常维护工作不仅繁杂，而且工作量大，涉及的工作内容包括监控拓扑对象、监控网元、配置网元、监控业务、诊断故障、监控性能、查看资源、报表生成等。华为公司推荐eSight网络管理系统，可以准确、快捷的提供运维人员所需要的信息，大大减轻运维人员的工作量。通过eSight网络管理系统丰富的管理功能和灵活多样的维护手段，可以轻松实现网络日常维护。1、有线无线一体化网络管理通过eSight物理拓扑，可以统一监控交换机、路由器、平安设备、H3C设备、Cisco设备以及IT设备。对网络中的AC、POE交换机、FITAP等无线设备与有线设备进行一体化集中管理，直观地看到设备之间的连接关系、设备的状态及告警，全网设备信息和状态一目了然。轻松实现业务部署，支持无线设备的批量配置，提升管理效率向导式的业务部署以及基于表单AP导入，可加速WLAN的业务部署。通过对华为AC设备的管理，实现对WLAN业务的配置。AP的信息都配置在AC上，当AP上线建立隧道后从AC获取信息。多拓扑视图，方便用户从多角度了解无线网络的状态业务拓扑：展现AC、AP、终端用户之间连接关系及详细信息查看，并示意非法AP的存在；提供无线业务的故障诊断能力〔比方Ping〕。位置拓扑：可进行障碍物设置，使得用户可以了解不同障碍物对信号衰减的影响。可查看当前热点位置及射频信号覆盖范围并在视图上标识当前非法AP位置及冲突域。颜色表示不同的频段，深浅表示信号的范围，红色显示冲突域。2、网络管理效率快速、稳定的网络访问速度可以提高办公和学习效率，但在日常中，常常会出现网速太慢，无法正常办公的窘况。需要了解网络中的流量是被如何消耗掉的。哪些应用占用了大量的带宽，这些带宽是如何造成的，是否应该调整网络的QoS策略，或是对网络进行扩容。HuaweieSightNTA网流分析组件，基于NetFlow、NetStream、sFlow协议对网络流量进行深入分析，收集路由器、三层交换机输出的流信息，提供自定义报表功能，帮助网络管理员掌握流量及带宽使用情况，及时发现网络瓶颈，为网络规划及故障诊断等提供依据。多维度：接口流量排行、接口利用率流量排行、应用流量排行、协议流量排行、来源主机流量排行、目的主机流量排行、会话流量排行、DSCP流量排行。可定制：展现内容、展现形式、内容排版可定制。支持局部流量刷新，不引起整体界面变化。接口流量排行和接口利用率排行，展示接口流量汇总信息，包括流入速率、流出速率、流入数据包、流出数据包等。点击一个具体的接口，可从应用、主机、会话、DSCP等多维度了解该接口基于时间的流量构成。通过HuaweieSightNTA网流分析组件可以精确分析出网络的使用效率情况，从而为网络运维提供助力。3.3平安建设方案概述在出口边界区域中，防火墙透明接入网络，不对网络逻辑拓扑产生影响。使用防火墙将校园网划分成内网、外网、DMZ等不同区域，为不同区域划分不同的优先级，同时设置不同区域间的互访策略，以防止越权访问。使用防火墙来防御网络的大多数的攻击行为，以保证网络运行的稳定性，并且可以对网络内流量进行多维度的监测。使用上网行为管理对校园内部用户的上网行为进行管理和监控，并可以对网络流量实现基于用户和应用的精细化话管理。本方案中在外网使用上网行为管理对用户上网行为进行分析，对网络中运行的具体应用流量进行管控，可以标准用户的上网行为。可实现如下功能：流量控制：传统网络中，设备仅仅能依靠MAC地址、VLAN等信息进行具体用户的流量识别，无法实施精细化的流量监控。上网行为管理基于产品内的应用协议分析能力，基于用户、应用/协议、时间、链路、带宽等多维度调控手段并支持其灵活组合，从而实现精细化的网络流量管控。网络违法溯源：eSight可以进行海量日志采集、存储、审计，对防火墙的日志进行智能分析，结合ASG的行为管理功能，对于校园网络用户的一些违规网络行为，可以实现快速追踪溯源，使管理方可以准确寻找到违规行为的责任人，消除平安隐患。行为管理与审计：上网行为管理实现对管道内网络流量的深入检测，分析，并把对象和访问情况进行数据化的统计分析，形成直观报表。上网行为管理针对特殊定义的检测目标和执行策略，深入到访问内容，为满足法律法规提供技术支撑。流量管理和行为管理与认证体系融合为一体。并对网络内的各项平安、网络数据信息实现统一的分析，为教学业务提供有力支撑。出口平安建设校园网络威胁主要来自两方面:一，来自外网的威胁，二，内网的威胁。边界出口平安建设是网络建设的重中之重：互联网出口部署高性能的防火墙来保证网络层3-4层的网络平安，有效防止DDos攻击和非法入侵。同时部署IPS〔入侵防御系统〕来监控来自网络4-7层的蠕虫攻击、木马入侵、红色代码入侵等的威胁。由此构建网络2-7层的平安防护。保障整个网络的平安。出口双机部署校园网出口处从上至下分别部署出口路由器、防火墙、上网行为管理，所有设备全部双机部署，两台上网行为管理物理接口通过万兆接口分别连接到两台核心交换机，提供全冗余的物理连接，万兆的接口速率确保内部接口不会产生性能瓶颈，和满足未来业务开展需求。校园网出口必须具有高性能、高可靠、高平安、可扩展的根本性能。承当网络出口建设的所有网络设备必须具备高可靠性要求，以确保整个校园网内部用户对互联网的正常访问。网络设备可靠性表达在双主控、冗余备份、热插拔等方面。整个互联网出口采用两条完全一致的通路互为备份。两条通路的设备之间通过心跳线连接。当两条通路中的任意一条发生故障时，可通过路由的重新计算，通过第二条通道进行数据传输。此外，所有平安防御设备透明部署，部署起来更加方便，增加了网络的平安性，又降低了用户管理的复杂程度。校园网通过NAT技术，与互联网进行平安可控连接。为保证互联网出口稳定性，考虑采用由两个互联网效劳提供商实现双出口，通过光纤与其相连，出口速率为1000M。为防止线路资源浪费，合理使用网络资源，防火墙设备提供智能链路负载均衡功能，能够根据目标地址、用户、应用、链路负载等多元素灵活组合来实现链路资源的智能路由。路由平安一般情况下，接入路由设备主要工作在OSI七层网络模型中的第三或四层，在边界路由器上配置访问控制列表ACL，通过ACL将三层IP数据包进行首次过滤，过滤掉不符合条件的数据。为此在边界路由器上配置访问控制策略可以实现：(1)限制病毒和黑客在网络层对内部络的攻击，并进行第一层过滤，以减轻边界防火墙的压力。(2)在边界防火墙现问题时，可临时顶替防火墙缓和Internet对内部网络的攻击。3防火墙出口防火墙作为访问控制设备，其主要作用是实现Internet与校园网之问的隔离、重要区域保护、访问控制等，以到达保护应用效劳系统、控制对中心网络的访问、记录和统计网络利用数据以及非法使用数据和策略执行等功能，并且在网络接入时，全部通信都受到防火墙的监控，通过防火墙过滤网络中不必要传输的垃圾数据，以及做流量控制，调整链路的带宽利用，做到更强更好的控制，真正发挥防火墙最大成效。本次部署的两台万兆防火墙在本方案中部署方式为NAT模式，隔离校园网与互联网，对校园网进行2—4层防御，为保障只允许符合条件的设备才能访问互联资源，应当制定以下策略：允许访问策略：各种互联网效劳器允许对校园网、互联网提供效劳；允许互联网用户访问互联网效劳区对外提供的效劳；杀毒效劳器允许访问互联网，进行病毒库升级。禁止访问策略：除以上允许访问策略外，各区域之间为禁止互访。入侵防御平安威胁更多地来自于应用层，比方说蠕虫、病毒、木马、DoS／DDoS、间谍软件、网络钓鱼、P2P／IM／网游等带宽滥用，通过在网络关键路径上部署入侵防御设备，可以对流经该关键路径上的网络数据流进行2—7层的深度分析识别，从而对业务应用、网络根底设施和网络性能实现安全保护。由于入侵防御的防护都是基于规那么库，因此规那么库的全面性是其价值所在，应该涵盖病毒、协议、攻击特征等所有方面。考虑到实际应用价值，规那么库应该具备本地特点，可以实现对国内的主流威胁和应用识别，并定期实时自动更新。在功能方面，入侵防御设备要防止对正常业务流量的错误防御；当出现掉电等故障时，可以实现自动短路功能，从而保证业务流量的正常运行。本方案中IPS的部署方式为交换模式，对校园网进行4—7层保护，防止病毒等应用层攻击。用户行为管理为防止校园内部用户非法信息恶意传播，防止涉密信息的泄露；并可实时监控、管理网络资源使用情况，提高整体工作效率，快速定位可疑用户。我们在平安运维平台中增添上网行为管理设备，主要实现以下功能：上网人员管理:上网身份管理上网终端管理移动终端管理上网地点管理上网浏览管理:搜索引擎管理网址URL管理网页正文管理文件下载管理.上网外发管理:普通邮件管理WEB邮件管理网页发帖管理即时通讯管理其他外发管理.上网应用管理:上网应用阻断上网应用累计时长限额上网应用累计流量限额.上网流量管理:上网带宽控制上网带宽保障上网带宽借用上网带宽平均上网行为分析:上网行为实时监控上网行为日志查询上网行为统计分析由以上各平安体系构成了庐江县校园网覆盖OSI2-7层的纵深防御体系。防病毒网关对于学校网络，一个平安系统的首要任务就是阻止病毒通过电子邮件与附件入侵。当今的威胁已经不单单是一个病毒，经常伴有恶意程序、黑客攻击以及垃圾邮件等多种威胁。网关作为校园网络连接到另一个网络的关口，就象是一扇大门，一旦大门敞开，学校的整个网络信息就会暴露无遗。从平安角度来看，对网关的防护得当，就能起到“一夫当关，万夫莫开”的作用，反之，病毒和恶意代码就会从网关进入校园内部网，为校园带来巨大损失。防病毒网关是一种网络设备，用以保护网络内〔一般是局域网〕进出数据的平安。主要表达在病毒杀除、关键字过滤〔如色情、反动〕、垃圾邮件阻止的功能，同时局部设备也具有一定防火墙〔划分Vlan〕的功能，有效的保护网络内进出数据的平安性，使网络中的数据更加平安。3.3.3运维管理建设运维区分三个方面对效劳器虚拟化平台进行运维：建设全网管理平台，实现全网的分级分权管理。通过网管系统对全网的拓扑和设备进行管理，具有设备仿真面板所见即所得和对第三方主流设备管理的能力，可以管理管理大规模的无线管理网络，对设备配置变更、收集软件版本为多台设备统一批量配置和升级，大大节省管理员的工作量。部署应用负载均衡有效地解决数据流量过大、网络负荷过重的问题，并且不需花费昂贵开支购置性能卓越的效劳器，充分利用现有设备，防止效劳器单点故障造成数据流量的损失。其有灵活多样的均衡策略把数据流量合理地分配给效劳器群内的效劳器共同负担。即使是再给现有效劳器扩充升级，也只是简单地增加一个新的效劳器到效劳群中，而不需改变现有网络结构、停止现有的效劳。增加一台无线控制器，对网络中的无线AP进行统一管理，实现有线无线一体化，简化人员维护难度。3.4数据中心建设方案3.4.1效劳器虚拟化建设方案概述效劳器区采用的是高性能刀片效劳器，学校共有1200个云桌面的需求，一个256内存的两路刀片能支持60个桌面，共需要20个刀片，为保证性能每个刀片配置固态盘，做二级缓存。另现有的业务要运行在虚拟化环境中，使用6个刀片做虚拟化效劳器的方式来解决计算资源的分配问题，由于数据库的低延时和高性能的要求，所以数据库效劳器用单独的物理机来承载，在两块四路刀片上部署效劳器。通过虚拟化整合物理效劳器，将业务迁移到云平台上，可通过资源共享实现最大的利用率，节约硬件投资和维护本钱。效劳器虚拟化传统物理效劳器系统建设方式粗放、建设模式单一显然不能满足数据中心建设的需求。虚拟化技术很好地解决了传统效劳器系统建设的问题，通过提高虚拟化效劳器利用率大幅度消减物理效劳器购置需求、数量和运营本钱；通过利用效劳器虚拟化中CPU、内存、I0资源的动态调整能力实现对业务应用资源需求的动态响应，提升业务应用的效劳质量；通过在线虚拟机迁移实现更高的可用性和可靠性以及各种基于资源优化或节能减排策略的跨物理效劳器的调度等等。因此，效劳器虚拟化技术是云计算中心应用和平台建设的核心解决方案。效劳器虚拟化技术特点：分区：在一个物理系统中，可以支持多个应用程序和操作系统。可在扩展或扩张。体系结构中将效劳器整合到虚拟机中。计算资源被视为以可控方式分配给虚拟机的统一池。隔离：虚拟机与主机和其他虚拟机完全隔离。如果一个虚拟机崩溃，所有其他虚拟机不会受到影响。虚拟机之间不会泄露数据，而且应用程序只能通过配置的网络连接进行通信。封装：完整的虚拟机环境保存为文件，便于进行备份、移动和复制，为应用程序提供标准化的虚拟硬件，可保证兼容性。综上分析，建议本期计算资源池采用效劳器虚拟化架构。刀片效劳器优势本次数据中心建设采用刀片—存储架构，采用刀片效劳器较传统机架效劳器的优点如下：高密度计算：Web等分散式的应用系统更接近分布式计算——同一时间内大量进程并行，而单一进程的计算处理要求又非常低，正符合刀片式效劳器强调高密度分散计算的架构。对于刀片式效劳器而言，增大的计算密度使数据中心能用更少的空间效劳于更多的客户，也能让网站降低托管费用。低功耗：在设计上，刀片效劳器就是通过集中共享机箱中的电源、网络以及散热等设备来实现的。如此，不仅减少了冗余部件的使用数量，也通过“池化”的电源供给等，享有更好的供电效率。总体本钱低：在网络规模不断扩大，数据中心设备需要扩充的时候，刀片效劳器的优越性就表达出来了。刀片效劳器的扩容仅需购置假设干刀片，插入刀片效劳器机箱中，再与背板交换模块相连即可，扩展步骤较机架效劳器简单易操作。同时，刀片效劳器的扩充不需要买昂贵的效劳器机柜，从长远看来交机架效劳器更经济。机房布线和管理复杂度低：刀片效劳器在机房布线只要统一布设网络线、电源线。刀片效劳器之间不需要人为布线;而机架式效劳器那么要分别对每台效劳器的网络线、电源线进行配线，如果一个42U的机柜上安装多台1U的效劳器时，机柜后面的布线就非常多，看起来比拟凌乱。存储虚拟化建设方案设计原那么结合学校的业务需求，存储系统在建设过程中应当遵循如下原那么进行：1、平安可靠性原那么：系统器件选择要考虑能支持7×24小时连续长时间大压力下工作；系统具有充分的冗余能力、容错能力；系统具有专业的技术保障体系以及数据可靠性保证机制；对工作环境要求较低，环境适应能力强；确保系统具有高度的平安性，提供平安的登录和访问措施，防止系统被攻击；异常掉电后不丧失数据，供电恢复后自动重新启动并自动恢复正常连接；2、开放性原那么：系统必须支持国际上通用的标准网络存储协议、国际标准的应用开放协议；与主流效劳器之间保持良好的兼容性；兼容各主流操作系统、卷管理软件及应用程序；可以与第三方管理平台集成，提供给客户定制化的管理维护手段；满足今后的开展，留有充分的扩充余地；4、易维护性原那么：系统支持简体中文，通俗易懂，操作方便、简单；系统具有充分的权限管理，日志管理、故障管理，并能够实现故障自动报警；系统设备安装使用简单，无需专业人员维护；系统容量可按需要在线扩展，无需停止业务；系统功能扩充需要升级时，支持不中断业务升级；支持WEB管理方式或集中管理方式；5、扩展性原那么：系统易于扩充；系统选择标准化的部件，利于灵活替换和容量扩展；系统设计遵守各种标准规定、标准；6、经济性原那么：综合考虑集中存储系统的性能和价格，最经济最有效地进行建设，性能价格比在同类系统和条件下到达最优。存储的优势此次采用的存储设计配置如下：所有业务集中存储同时支持FC和IP组网支持NAS和SAN融合，不需另配文件引擎SAS，SATA硬盘混插应用了先进的硬盘休眠技术支持存储虚拟化支持多节点集群支持基于存储网关的镜像、快照支持基于存储网关的数据复制随着学校业务系统的增长，从硬件的升级换代速度来看，传统的中低端存储不能满足学校云计算平台的需求了，因此本次方案采用高端存储〔至少每存储配置双控，至少96GB缓存，192G后端磁盘通道〕，实现硬件层面的存储虚拟化，彻底满足异构存储整合、存储空间统一管理、多级容灾系统构建等需求，实现资源整合、统一管理、数据迁移和多重数据保护，构建平安可靠、管理灵活、高性能、开放的存储系统。数据中心平安建设概述传统计算中心网络平安包含纵向平安策略和横向平安策略，无论是哪种策略，传统计算中心网络平安只关注业务流量的访问控制，将流量平安控制作为唯一的规划考虑因素。而虚拟化计算中心的网络平安模型那么需要由二维平面转变为三维空间，即增加网络平安策略，网络平安策略能够满足虚拟机顺畅的参加、离开集群，或者是动态迁移到其它物理效劳器，并且实现海量用户、多业务的隔离。根据云平台的平安策略要求，本期在校园网云计算中心部署一台千兆防火墙做为计算中心的网关，虚拟出相应数量的防火墙以实现虚拟机隔离、虚拟机迁移策略随行。虚拟机隔离设计通过对防火墙进行虚拟化，分割成多个防火墙实例提供网络平安效劳，对每块防火墙划分三个逻辑实例，每一对虚拟防火墙工作在主-主模式，防火墙实例分布在两台上面，从而到达负载分担和冗余备份的能力。不同业务虚拟机的网关地址各不相同，同一个逻辑集群内的虚拟机只能在VLAN内迁移，如社管效劳、数字城管、协同办公三种业务分别对应在VLAN2、VLAN3、VLAN4内，每组业务使用独立的VLAN、接口、路由表及转发表，将一台物理网络设备逻辑上分割成多台虚拟设备，增强对计算资源的平安访问隔离控制能力。防火墙做效劳器网关，L2分区之间互访必须经由防火墙对互访流量做状态检测，之间完全由防火墙实现访问控制，属于强隔离措施。假设存在局部数据库相互调用可设置允许某一端口IP地址互通。虚拟防火墙部署优势虚拟防火墙是将一台物理设备从逻辑上划分为多台独立的虚拟防火墙设备的功能。每台虚拟防火墙都可以拥有自己的管理员、路由表和平安策略。通过虚拟系统技术，就可以让部署在云平台和计算中心出口的防火墙具备云计算网关的能力，对用户流量进行隔离的同时提供强大的平安防护能力。为了实现每个虚拟系统的业务都能够做到正确转发、独立管理、相互隔离，防火墙主要实现了三个方面的虚拟化：路由虚拟化：每个虚拟防火墙都拥有各自的路由表及会话表，相互独立隔离。平安功能虚拟化：每个虚拟防火墙都可以配置独立的平安策略及其他平安功能，只有属于该虚拟系统的报文才会受到这些配置的影响。配置虚拟化：每个虚拟防火墙都拥有独立的虚拟系统管理员和配置界面，每个虚拟系统管理员只能管理自己所属的虚拟系统。通过以上三个方面的虚拟化，使得防火墙的虚拟防火墙功能更加易于使用。云平台深度平安防护系统虚拟化和云计算使当今的数据中心改换了面貌。但随着学校纷纷从物理环境迁移至集物理、虚拟和云于一体的综合环境，许多学校仍沿用之前的多种传统平安解决方案应对当前流行的威胁形势。这可能使实际获得的性能提升与预期不符，从而导致操作复杂性过高并埋下平安隐患，最终的结果是学校无法集中全部资源开展虚拟化和云计算。趋势科技云平台深度平安防护系统DeepSecurity提供了一种全方位的效劳器平安平台，旨在提升虚拟化和云工程投资收益率的同时简化平安操作。学校通过紧密集成的模块轻松扩展该平台，以覆盖到虚拟和云效劳器以及虚拟桌面，确保效劳器、应用程序和数据的平安。学校可以任何方式结合包括防恶意软件、IDS/IPS、虚拟补丁、防火墙、完整性监控在内的平安模块，定制学校专署的无代理平安防护。最终获得一个全面、高效、自适应的虚拟化平安平台，以防止关键业务中断和数据泄露，防止造成巨大损失。DeepSecurity产品由三局部组成，管理控制平台〔以下简称DSM〕；平安虚拟机〔以下简称DSVA〕；平安代理程序〔以下简称DSA〕。趋势科技DeepSecurity平安防护系统管理控制中心〔DSM〕，是管理员用来配置及管理平安策略的集中式管理组件，所有的DSVA及DSA都会注册到DSM，接受统一的管理。趋势科技DeepSecurity平安防护系统平安虚拟机(DSVA)是针对虚拟化环境构建的平安虚拟计算机，可提供防恶意软件、IDS/IPS、防火墙、Web应用程序防护和应用程序控制防护，数据完整性监控等平安功能。趋势科技DeepSecurity平安防护系统平安代理程序(DSA)是平安客户端，直接部署在操作系统中，可提供IDS/IPS、防火墙、Web应用程序防护、应用程序控制、完整性监控和日志审查防护等平安功能。3.5桌面云建设方案概述IT组织目前仍在设法解决过去十年里IT急速开展所造成的不良后果：根底架构本钱高昂、响应速度缓慢以及管理不一致等，这些都让许多IT组织饱受其苦。如今，IT组织假设要让自己的企业具备可持续的竞争优势，就需要：提高资源的利用率，从而降低根底架构的本钱。提高对业务需求的响应速度，以便更迅速地部署工程。提高运营的一致性和可预测性。传统桌面环境目前面临的挑战一直以来，桌面计算普遍使用的是功能全面的“胖客户端”PC。在许多情况下，此类PC提供了价格、性能与功能的最正确组合。但是，在不少使用案例中，胖客户端PC并不是理想的解决方案。其缺点包括：难以管理：面对广泛分布的PC硬件，用户日益要求能在任何地方访问其桌面环境，因此集中式PC管理极难实现。此外，众所周知，由于PC硬件种类繁多，用户修改桌面环境的需求各有不同，因此PC桌面标准化也是一个难题。总体拥有本钱高：PC硬件相对较低的本钱优势，通常无法抵消PC管理和支持工作的高昂本钱。目前，PC管理工作包括部署软件、更新和修补程序等，由于这些工作需要对多种PC配置的部署进行测试和验证，因而会消耗大量的人力。同时，由于标准化程度不高，支持人员经常需要亲临现场解决问题，这就进一步增加了支持本钱。难以保护数据的平安：确保PC上的数据能成功备份并能在PC出现故障或文件丧失时恢复，是一个巨大的挑战。即使数据能成功备份，PC失窃的风险也威胁着重要数据的平安。资源未充分利用：PC的分布式特性使人们难以通过集中资源的方式提高利用率和降低本钱。结果，PC的利用率通常低于5%，远程办公室需要重复的桌面根底架构，移开工作人员可能需要使用复杂的远程桌面解决方案。由于存在上述缺点，各个组织在不断针对多种情景评估并实施能够替代胖客户端PC的解决方案。具体而言，各家公司纷纷采用在效劳器系统上承载桌面映像的方法，以集中资源并提高其桌面计算根底架构的可管理性。利用FusionCloud桌面虚拟化构建基于效劳器的桌面解决方案，不仅可以解决PC桌面面临的各种难题，还能优化可用性、可管理性、总体拥有本钱和灵活性。借助FusionCloud桌面虚拟化，在使用FusionSphere虚拟化的效劳器上运行的虚拟机中，可以构建完整的桌面环境－操作系统、应用程序和配置。管理员可使用Manage集中管理环境中的所有虚拟机。最终用户可使用远程显示软件，从PC或瘦客户端访问其桌面环境。利用FusionSphere桌面虚拟化，管理员可以：构建独立于硬件的桌面环境在同一系统上同时运行多个虚拟机系统中的每个虚拟机都相互独立、彼此隔离只需几分钟时间即可利用模板完成新虚拟机的部署华为桌面云简介FusionCloud是华为推出的桌面虚拟化技术，具有技术成熟、性能领先、运行稳定、便于管理等特点，在各行业客户群中均已广泛应用。FusionSphere将计算、存储资源集中到数据中心，将桌面、应用虚拟化、效劳器虚拟化的效劳器分别组成集群，从而优化管理能力和资源使用率：远程运维：通过FusionSphere对桌面资源进行集中，桌面云系统管理员不必离开工位即可对全局终端进行远程管理，校园桌面TC和VM资源尽在掌握。资源管理：通过集中管理，可以对VM系统参数、预装软件进行标准化设置，支持软件批量快速安装部署等需求。充分使用硬件资源：通过集中部署，数据中心的计算、存储资源得到充分利用，电力使用率得到大幅提高。华为FusionCloud桌面云解决方案是基于华为云平台的一种虚拟桌面应用，通过在云平台上部署华为桌面云软件，使终端用户通过瘦客户端或者其他设备来访问跨平台的整个客户桌面。华为FusionCloud桌面云解决方案如下列图：华为FusionCloud桌面云解决方案重点解决传统PC办公模式给客户带来的如：平安、投资、办公效率等方面的诸多挑战，适合金融、大中型企事业单位、政府、营业厅、医疗机构、军队或其他分散型办公单位。3.5.4华为桌面云优势分析1、数据上移，信息平安传统桌面环境下，由于用户数据都保存在本地PC，因此，内部泄密途径众多，且容易受到各种网络攻击，从而导致数据丧失。桌面云环境下，终端与数据别离，本地终端只是显示设备，无本地存储，所有的桌面数据都是集中存储在企业数据中心，无需担忧企业的智力资产泄露。除此之外，TC的认证接入、加密传输等平安机制，保证了桌面云系统的平安可靠。2、高效维护，自动管控传统桌面系统故障率高，据统计，平均每400台PC机就需要一名专职IT人员进行管理维护，且每台PC维护流程〔故障申报—>安排人员维护—>故障定位—>进行维护〕需要2～4个小时。桌面云环境下，资源自动管控，维护方便简单，节省IT投资。3、维护效率提升桌面云不需要前端维护，强大的一键式维护工具让自助维护更加方便，提高了企业运营效率。使用桌面云后，每位IT人员可管理超过2000台虚拟桌面，维护效率提高4倍以上。4、资源自动管控白天可自动监控资源负载情况，保证物理效劳器负载均衡；夜间可根据虚拟机资源占用情况，关闭不使用的物理效劳器，节能降耗。5、应用上移，业务可靠传统桌面环境下，所有的业务和应用都在本地PC上进行处理，稳定性仅99.5%，年宕机时间约21个小时。在桌面云中，所有的业务和应用都在数据中心进行处理，强大的机房保障系统能确保全局业务年度平均可用度达99.9%，充分保障业务的连续性。各类应用的稳定运行，有效降低了办公环境的管理维护本钱。6、无缝切换，移动办公传统桌面环境下，用户只能通过单一的专用设备访问其个性化桌面，这极大的限制了用户办公地灵活性。采用桌面云，由于数据和桌面都集中运行和保存在数据中心，用户可以不中断应用运行，实现无缝切换办公地点。7、降温去噪，绿色办公节能、无噪的TC部署，有效解决密集办公环境的温度和噪音问题。TC让办公室噪音从50分贝降低到10分贝，办公环境变得更加安静。TC和液晶显示器的总功耗大约60W左右，终端低能耗可以有效减少降温费用。8、资源弹性，复用共享桌面云环境下，所有资源都集中在数据中心，可实现资源的集中管控，弹性调度。资源利用率提高资源的集中共享，提高了资源利用率。传统PC的CPU平均利用率为5%～20%，桌面云环境下，云数据中心的CPU利用率可控制在60%左右，整体资源利用率提升。9、安装便捷，部署快速相比于其它桌面云解决方案，华为FusionCloud桌面云解决方案具有安装便捷，部署快速的特点。华为FusionCloud桌面云解决方案一体机部署模式可以实现把局部虚拟化软件预安装到效劳器上。到客户现场后，只需效劳器上电，进行桌面云软件的向导式安装，接通网络并进行相关业务配置即可进行业务发放，大幅度提高了部署效率。3.5.5华为桌面云主要硬件1、概述学校共有1200个云桌面的需求，此次硬件载体采用的是两台高性能HuaweiTecalE9000刀片效劳器，配置26个两路刀片和2个四路的刀片。一个256内存的两路刀片能支持60个桌面，共需要20个刀片，为保证性能每个刀片配置固态盘，做二级缓存。另现有的业务要运行在虚拟化环境中，使用6个刀片做虚拟化效劳器的方式来解决计算资源的分配问题，由于数据库的低延时和高性能的要求，所以数据库效劳器用单独的物理机来承载，在2块四路刀片上部署效劳器。通过虚拟化整合物理效劳器，将业务迁移到云平台上，可通过资源共享实现最大的利用率，节约硬件投资和维护本钱。2、效劳器介绍TecalE9000定位为高端计算平台，支撑高端核心应用，针对不同需求进行差异化设计并在硬件计算平台的RAS〔可靠性/可用性/可效劳性〕、节能减排、生命周期、市场准入、智能管控与效劳等方面的全面提升；提供类小型机的品质和效劳能力，为企业软件业务提供持续的竞争力提升；在企业的通用业务、互联网业务，提供与业界通用低本钱效劳器的竞争力；同时可为计算与数据/媒体融合的业务具备高带宽、低延时交换，支持计算与媒体的融合。性能卓越：E9000可支持全系列E5的Intelx86CPU，并能匹配未来多代CPU的演进。支持丰富的计算节点规格：2S/4S和半宽/全宽槽位计算节点灵活配置。计算节点通过Mezz扣卡支持丰富的网络接口和加速卡，以满足各种高性能需求。支持GPU，SSDPCIe扩展。整机支持半宽700w,全宽1400KW散热和供电设计。10GE，40GE，100GE，IBFDE，EDR演进。硬盘以活动抽屉方式排布，支持单个硬盘在线插拔。WriteCache支持掉电保护。动态架构设计：计算、存储、交换、散热、供电模块化设计。提供2P,4P,8P刀片效劳器动态扩展架构。中型、小型、整机柜系列化演进，支持业务平滑扩展。丰富的交换模块GE,10GE,FC,FCoE,IB，根据业务要求灵活配置。绿色可靠：无状态计算，物理机迁移，支持关键应用高可用性。采用高效能铂金AC电源，电源转换效率高达95%，支持动态节能管理电源休眠。优化系统风道设计，散热效率业界第一。功能模块全冗余，完全负载均衡设计，支持故障无缝切换。无源背板设计，防止单点故障。3.6备份容灾建设方案3.6.1概述此次建设方案的备份容灾本从两个维度系统进行保护：1〕业务连续性；2〕数据平安性。在业务连续性方面，在存储区部署两台华为高端存储，通过存储镜像能，将生产站点的数据写入备份站点，保障了生产站点发生故障，备份站点能接管生产站点的业务，保障数据平安性和业务连续性，数据库效劳器可部署为OracleRAC的Active-Active集群模式，可以实现业务负载均衡以及节点故障自动切换；应用效劳器部署为云平台集群，以保证应用主效劳器故障时，应用可自动切换到备效劳器上运行。在数据平安性方面，通过存储阵列的快照功能，可保存生产系统数据的局部历史版本，保障了系统出现逻辑错误或者数据遭病毒感染等，可以通过快照恢复到系统正常时刻的数据，快速将业务恢复正常。为保障校园数据中心的信息平安，数据远程容灾备份必不可少。此次建设中的数据中心利用其中一个校区的机房作为灾备中心，利用现有百兆光纤实现关键数据的异地存放，在灾备中心放置一台低端作为容灾存储。另外在网络中部署一台备份一体机，备份一体机具有集中管理、全面保护、分层保护、异地容灾、平安可靠等诸多特性，备份一体机可以对整个网络中的数据进行备份。保证灾难发生时，数据不丧失。3.6.2本地存储异构虚拟化建设考虑到本地数据高可用性和业务的连续性，本期建设存储区部署两台云存储，并在其中一台存储上采用先进的异构虚拟化功能，将另一台存储纳入其管理下，实现存储的虚拟化，建立统一的存储池。在后期的存储扩充中，即使是异构厂商存储也可以将其纳入我们的主存储的管理下，扩大了用户的选择自由度，简化用户的管理复杂度。异构虚拟化的工作原理就是把异构阵列映射到本端阵列的LUN，作为可为本端阵列提供存储空间的逻辑盘LD，再在该逻辑盘LD上创立为可对主机映射的eDevLun，逻辑盘LD为eDevLun的DataVolume提供了全部的数据卷存储空间，eDevLun的元数据volume空间由本地存储提供。异构虚拟化可保证外部LUN数据完整性不被破坏。异构虚拟化化可以满足各种场景的需求：1、异构阵列接管用户的数据中心通过长期的建设，数据中心可能存在来自不同异构厂商的存储阵列。如何很好的管理和应用好来自不同厂商的异构阵列给存储管理员提出了很高的技术要求。存储管理员可通过异构虚拟化接管功能，可大大降低对管理异构阵列的技术难度和复杂度。存储管理员只需要管理好华为阵列就能到达管理好所有异构阵列的目的，从而减轻了存储管理员的工作负担。其场景特点就是简化用户管理。2、异构数据搬迁用户数据中心可能存在大量的存量异构设备，有些设备可能即将过保或性能不能再满足业务要求，在购置华为OceanStorV3存储后，客户可能希望把存量LUN上的业务迁移到新购阵列中。客户可通过异构虚拟化LUN在线迁移功能，在线迁移异构LUN数据到新购阵列中，数据迁移过程中，主机业务正常运行，但在进行数据迁移前，需要对异构LUN进行接管。其场景特点就是异构LUN数据搬迁过程中，主机业务不中断。3、异构容灾如果客户业务数据分散在不同的站点，且对业务的持续性要求较高时，需要各业务站点的数据互为备份和业务切换。当灾难发生时，能够通过互为备份的站点进行业务数据的接管和数据恢复。但是，可能由于数据站点的阵列来自于不同的异构厂商，导致异构阵列间的数据无法做到互为备份。异构虚拟化提供的异构同步和异步复制功能，可以使异构阵列间的LUN数据做到互相备份，做到站点间的数据容灾。4、异构数据保护客户异构阵列上的LUN数据可能受到病毒或其他原因导致LUN数据受到破坏。异构虚拟化提供异构快照技术可为异构LUN提供快照备份，快照瞬间完成，当数据被破坏后，可通过快照迅速的回滚到指定的快照时间点的数据，迅速恢复数据。3.6.3异地存储容灾建设为保障校园数据中心的信息平安，数据远程容灾备份必不可少。此次建设中的数据中心利用其中一个校区的机房作为灾备中心，利用现有百兆光纤实现关键数据的异地存放，在灾备中心放置一台华为低端作为容灾存储华为的远程容灾备份解决方案符合学校的要求和数据保护技术开展的趋势。采用基于标准化的远程复制技术实现在现有网络上的数据异地存储。通过在数据中心与灾备中心之间对关键业务数据进行策略性远程复制，实现数据的异地备份，并在发生意外灾难时对数据进行快速恢复，确保数据中心的业务持续性。远程复制技术的一种，存储间实时的同步数据，最大限度保证数据的一致性，以减少灾难发生时数据的丧失量。HyperReplication/S工作原理：建立同步远程复制之初，会启动一个初始同步，也就是将主LUN数据全量拷贝到从LUN；初始同步完成以后，如果此时主LUN收到生产主机写请求，按照如下流程进行I/O处理；主站点接收生产主机写请求，记录这个I/O对应数据块的差异日志值为“有差异”；主站点将写请求的数据写入主LUN〔LUNA〕，同时利用配置好的链路将写请求发送到远端从站点；判断写LUNA和写LUNB的执行结果，如果都成功，那么将差异日志改为“无差异”，否那么保存“有差异”，在下一次启动同步时重新拷贝这一个数据块；向主机返回写请求完成。优势和应用场景：1、零数据丧失；2、复制比可达32:1〔同步远程复制+异步远程复制之和〕；3、主从存储可互为镜像；4、适用于本地或同城数据容灾。图5HyperReplication/S工作原理3.6.4备份一体机建设备份一体机具有集中管理、全面保护、分层保护、异地容灾、平安可靠等诸多特性。集中管理

1、集中管理所有远程代理，实现对学校网络中各计算机系统、数据、邮件的集中式备份与管理。

2、效劳器Web管理界面,轻松实现对网络备份代理的管理。

3、强大的用户管理机制，包括管理员和受信的用户机制，可建立统一集中的平安策略。

4、空间管理，包括单用户最大备份空间分配，用户使用空间审查。

5、统一日志和报表管理，管理员可集中审查每个用户的执行日志，数据备份报表。全面保护

1、支持Windows桌面和效劳器操作系统，以及大多数流行的Linux操作系统。

2、支持对各种文档的备份与恢复，如Office文档、设计文档、源代码等。

3、支持Windows操作系统的备份与恢复，包括Server系统的灾难恢复，以便效劳器或者员工桌面计算机因中毒、硬件故障、升级等导致计算机系统崩溃时，远程几分钟即可恢复到正常工作状态。

4、支持MicrosoftSQLServer，MySQL，Access等多种数据库的备份与恢复。

5、支持Outlook、OutlookExpress、Foxmail、Thunderbird等常用邮件客户端邮件的备份与恢复。分层保护

分层保护是指当用户的网络拓扑结构比拟复杂的情况下，通过将网络划分为几个子网络，每个子网络实现一个网络备份方案，再部署一个根备份效劳器，根备份效劳器又兼管各子网络的备份效劳器，从而实现了统一的集中备份管理。分层保护有以下优点：

1、备份中心的根备份效劳器只需要管理分支机构的备份效劳器，大大降低了整个方案的管理性。

2、自上而下统一分发备份策略，统一分类数据，实施不同级别的保护。

3、分支机构内部网络的节点变化不影响备份中心的统一方案，保证了可扩展性，减少了维护本钱。

4、数据既在本地网络存在备份，又在备份中心存在备份，既保证了备份与恢复速度，又增加了数据的平安性。方案优势4.1具有多层次平安防护优势为保障云平台平安，FusionSphere采用了完整的平安架构，防止出现平安真空，强化了网络隔离和虚拟化隔离。此平安架构层面主要采用了分层和纵深防御的思想。分层防御〔LayeredDefense〕：分层防御旨在采用多种方法，在网络中多个区域执行平安性策略，从而确保网络中没有单点平安故障发生。纵深防御〔DefenseinDepth〕：纵深防御思想使用多重防御策略来管理风险，以便在一层防御不够时，另一层防御将会阻止系统遭受完全的破坏。云数据中心平安框架从分层、纵深防御思想出发，根据网络层次分为物理、主机/虚拟化、网络、业务和数据、管理维护等几个层面，同时整体上考虑满足合规性等需求，用来指导数据中心平安解决方案的部署。云平安框架见下列图：1、物理平安云计算数据中心的物理接入需进行严格的控制，只有授权的人员才能够进入。机房内安装监控设备，方便事后审计。2、根底平安整个云计算环境中使用了大量OS、DB、Web等通用软件，很容易遭受病毒入侵、漏洞攻击、木马、拒绝效劳等平安威胁。云数据中心根底的平安能力可主要通过系统加固、防病毒和平安补丁这三方面措施来提供。3、虚拟化平安云计算在带来资源共用的好处的同时，也带来新的平安风险。首先是虚拟化层能真正地把虚拟机和物理主机、不同部门、不同公司的虚拟机和虚拟机之间平安地隔离开来，这一点正是保障虚拟机平安性的根本。另外，预防云内部虚拟机之间的恶意攻击，传统在网络出口提供防火墙、IDS设备已经不能完全满足要求，需部署一些基于主机的虚拟防火墙/IDS/IPS。4、网络平安为了抵御数据中心网络可能遭受的各种类型的DOS攻击和用户数据遭窃听和篡改等平安威胁，可从“网络隔离、攻击防护、传输平安”等多个角度考虑。通过子网划分、网络隔离手段实现计算、存储、管理、接入等域的隔离，管理面单独物理组网，保证网络平安性，防止