數(shù)據(jù)中心優(yōu)化方案

年4月19日數(shù)據(jù)中心優(yōu)化方案文檔僅供參考，不當(dāng)之處，請(qǐng)聯(lián)系改正。ＸＸ?cái)?shù)據(jù)中心優(yōu)化方案ＸＸ?cái)?shù)據(jù)中心優(yōu)化目標(biāo)：ＸＸ?cái)?shù)據(jù)中心承載著ＸＸＸＸＸＸ服務(wù)平臺(tái)3.0及4.0的所有運(yùn)行環(huán)境，是整個(gè)業(yè)務(wù)的支柱，是數(shù)據(jù)存儲(chǔ)、信息交換和信息再加工的基礎(chǔ)，是提高核心競(jìng)爭(zhēng)力之所在，沒(méi)有良好的技術(shù)支撐和保障，提供優(yōu)質(zhì)服務(wù)就無(wú)從談起。針對(duì)ＸＸ?cái)?shù)據(jù)中心現(xiàn)階段存在的問(wèn)題，我們希望經(jīng)過(guò)優(yōu)化能夠滿(mǎn)足高密度、高容量、高安全性，而且具有高可靠性、可擴(kuò)展性的首要目標(biāo)，然后在此基礎(chǔ)上進(jìn)一步節(jié)省成本、節(jié)省空間、能夠在節(jié)能方面做得更好，而且使應(yīng)用的穩(wěn)定性更高。數(shù)據(jù)中心現(xiàn)有架構(gòu)：ＸＸ?cái)?shù)據(jù)中心現(xiàn)有架構(gòu)如上圖所示：網(wǎng)絡(luò)接入采用雙線(xiàn)路，電信聯(lián)通各100M帶寬，經(jīng)過(guò)兩個(gè)H3C的U200UTM接入互聯(lián)網(wǎng)，辦公網(wǎng)絡(luò)共用了服務(wù)平臺(tái)的網(wǎng)絡(luò)并建立了到五一新干線(xiàn)的VPN連接；服務(wù)器采用3臺(tái)HPDL380物理服務(wù)器并做了虛擬化，將20多臺(tái)虛擬服務(wù)器分布到上面并開(kāi)啟了FaultTolerance（容錯(cuò)）；后端采用HPEVA6350，所有的數(shù)據(jù)都儲(chǔ)存在這一臺(tái)存儲(chǔ)設(shè)備內(nèi)。數(shù)據(jù)中心存在的問(wèn)題及解決方案一．網(wǎng)絡(luò)方面問(wèn)題1：防火墻承載能力不足現(xiàn)在采用的防火墻H3C的U200是一款低端的UTM設(shè)備，防火墻模式下200M的吞吐率，最大并發(fā)連接數(shù)為60000個(gè)，按照每用戶(hù)25個(gè)連接計(jì)算，兩臺(tái)防火墻雙線(xiàn)路共能支持5000用戶(hù)在線(xiàn)，如果考慮未來(lái)1萬(wàn)用戶(hù)在線(xiàn)，設(shè)備已無(wú)法承受；另外較低的吞吐率也不利于帶寬擴(kuò)展，與主流防火墻1000M以上的吞吐率相去甚遠(yuǎn)。問(wèn)題2：防火墻的防護(hù)能力差現(xiàn)有防火墻的防攻擊和反入侵能力較差，只有一些簡(jiǎn)單的防護(hù)功能，無(wú)法應(yīng)付數(shù)據(jù)中心級(jí)別的安全保護(hù)要求，例如防DDOS攻擊、入侵檢測(cè)等，一旦遭遇上規(guī)模攻擊就會(huì)導(dǎo)致整個(gè)平臺(tái)癱瘓，另外如果開(kāi)啟了UTM防護(hù)模式，最大連接數(shù)會(huì)降低到16000個(gè)，兩臺(tái)防火墻雙線(xiàn)路只能支持1200個(gè)在線(xiàn)用戶(hù)。問(wèn)題3：平臺(tái)網(wǎng)絡(luò)和工作網(wǎng)絡(luò)混雜現(xiàn)在數(shù)據(jù)中心的業(yè)務(wù)平臺(tái)網(wǎng)絡(luò)和工作網(wǎng)絡(luò)混雜在一起，這對(duì)數(shù)據(jù)安全是一個(gè)很大的隱患同時(shí)對(duì)業(yè)務(wù)網(wǎng)絡(luò)穩(wěn)定性也會(huì)產(chǎn)生影響，特別當(dāng)出現(xiàn)中毒或者中木馬情況時(shí)，將會(huì)帶來(lái)不可估量的后果。解決方案：增加滿(mǎn)足需求的防火墻，考慮到未來(lái)發(fā)展需要，最大連接數(shù)至少達(dá)到達(dá)到500000，能夠同時(shí)承載0用戶(hù)在線(xiàn)，吞吐率至少達(dá)到1000M水平，同時(shí)需要有完整的抗攻擊和入侵保護(hù)系統(tǒng)，以下提供了兩個(gè)備選型號(hào)：參數(shù)\型號(hào)CiscoASA5525-IPS-K9JuniperNS-ISG-1000防火墻性能（最大吞吐量）2Gbps2Gbps防火墻性能（小包吞吐量）1Gbps1GbpsIPS（入侵防護(hù)）狀態(tài)吞吐量600Mbps1Gbps當(dāng)前最大連接數(shù)500000500000每秒新建連接數(shù)00IPS系統(tǒng)（防入侵、DDOS）有有，可升級(jí)入侵檢測(cè)IDP固定端口8個(gè)千兆口4個(gè)千兆口擴(kuò)展插槽1個(gè)，可升級(jí)6個(gè)千兆口2個(gè)，可升級(jí)8個(gè)千兆或2個(gè)萬(wàn)兆口價(jià)格大約6萬(wàn)元大約7萬(wàn)元優(yōu)缺點(diǎn)總體性能達(dá)到需求，IPS防護(hù)狀態(tài)下性能稍差，可擴(kuò)展性稍差，需要購(gòu)買(mǎi)帶IPS的版本，默認(rèn)不帶。性能較好，且能夠升級(jí)入侵檢測(cè)以及帶寬更高的接口，價(jià)格相對(duì)稍貴。調(diào)整網(wǎng)絡(luò)結(jié)構(gòu)，隔離平臺(tái)和工作網(wǎng)絡(luò)。申請(qǐng)了一條20M的線(xiàn)路，將獨(dú)立架設(shè)路由代理用于工作網(wǎng)絡(luò)，運(yùn)營(yíng)平臺(tái)獨(dú)享兩條100M線(xiàn)路，保證安全和速度。二．服務(wù)器方面問(wèn)題1：服務(wù)器都是單點(diǎn)模式現(xiàn)在平臺(tái)的所有服務(wù)器都是單點(diǎn)模式，只要一個(gè)點(diǎn)出現(xiàn)問(wèn)題將導(dǎo)致整個(gè)系統(tǒng)癱瘓，另外單點(diǎn)的性能也不能滿(mǎn)足系統(tǒng)需求，會(huì)嚴(yán)重影響系統(tǒng)速度和用戶(hù)體驗(yàn)。問(wèn)題2：系統(tǒng)內(nèi)存和存儲(chǔ)容量不足根據(jù)性能測(cè)試以及現(xiàn)有情況分析，現(xiàn)有服務(wù)器內(nèi)存和存儲(chǔ)已不到一半，考慮到需要做集群負(fù)載均衡，系統(tǒng)在近期內(nèi)將會(huì)增加大量的服務(wù)器以及數(shù)據(jù)，現(xiàn)有的資源已經(jīng)完全不能滿(mǎn)足需求，同時(shí)還需要考慮一定冗余配置以保證災(zāi)難恢復(fù)轉(zhuǎn)移。問(wèn)題3：UPS停電保護(hù)時(shí)間不足現(xiàn)有的UPS配備的電池容量?jī)H僅能夠支撐硬件設(shè)備運(yùn)行10分鐘，這個(gè)時(shí)間對(duì)于數(shù)據(jù)中心進(jìn)行反饋和應(yīng)變處理不夠，很可能造成數(shù)據(jù)丟失和用戶(hù)體驗(yàn)的不良影響。解決方案：平臺(tái)各節(jié)點(diǎn)必須要多節(jié)點(diǎn)負(fù)載和冗余，建議采用硬件負(fù)載均衡設(shè)備如F5，提高容災(zāi)能力和性能；現(xiàn)階段信息安全部將進(jìn)行系統(tǒng)級(jí)Web端負(fù)載均衡測(cè)試以檢驗(yàn)可行性；數(shù)據(jù)庫(kù)端的集群由DBA部門(mén)進(jìn)行配置和測(cè)試。增加服務(wù)器內(nèi)存及存儲(chǔ)空間，以滿(mǎn)足上線(xiàn)需要。根據(jù)初步計(jì)算，即將增加的服務(wù)器和數(shù)據(jù)量需要的資源包括：3臺(tái)虛擬機(jī)服務(wù)器每臺(tái)增加64G內(nèi)存，共計(jì)192G；增加一個(gè)硬盤(pán)柜以及12塊硬盤(pán)，做Raid后達(dá)到18T容量。建議型號(hào)及價(jià)格如下：項(xiàng)目?jī)?nèi)存硬盤(pán)柜硬盤(pán)（2T）數(shù)量每服務(wù)器8條，3臺(tái)服務(wù)器共計(jì)24條3臺(tái)36塊單價(jià)約600元約15000元約2500元總價(jià)14400元45000元90000元合計(jì)149400元增加UPS電池容量，建議至少保證所有設(shè)備在停電后運(yùn)行1個(gè)小時(shí)，以便于及時(shí)通知相關(guān)人員進(jìn)行數(shù)據(jù)保存以及安全關(guān)閉系統(tǒng)工作，同時(shí)也可防止某些關(guān)鍵任務(wù)需要較長(zhǎng)時(shí)間關(guān)閉導(dǎo)致的問(wèn)題發(fā)生。按照現(xiàn)有UPS的功率及負(fù)載建議型號(hào)及電池如下表：參數(shù)\型號(hào)湯淺免維護(hù)蓄電池12V65AH松下免維護(hù)蓄電池12V65AH型號(hào)NP65-12LC-P1265ST電壓12V12V容量65AH65AH數(shù)量1616單價(jià)700元680元合計(jì)11200元10880元附加說(shuō)明另需電池柜及附件大約800元。軟件方面問(wèn)題1：殺毒軟件非專(zhuān)用現(xiàn)在服務(wù)器上使用的殺毒軟件是免費(fèi)的個(gè)人版殺毒軟件，穩(wěn)定性和安全性都不能滿(mǎn)足服務(wù)器系統(tǒng)的需要甚至還有廣告加載，而且沒(méi)有得到及時(shí)更新，起不到防護(hù)作用。問(wèn)題2：沒(méi)有反垃圾郵件的策略郵件服務(wù)器沒(méi)有反垃圾郵件策略，也沒(méi)有用戶(hù)驗(yàn)證以及任務(wù)調(diào)度功能，這樣容易導(dǎo)致服務(wù)器變成垃圾郵件發(fā)送者的跳板服務(wù)器或者發(fā)送過(guò)于頻繁，被郵箱運(yùn)營(yíng)商和垃圾郵件列表封殺。問(wèn)題3：各級(jí)別的備份缺失現(xiàn)在無(wú)論是從存儲(chǔ)級(jí)別、虛擬機(jī)級(jí)別或者應(yīng)用程序級(jí)別，都沒(méi)有備份策略，一旦發(fā)生問(wèn)題，沒(méi)有任何恢復(fù)手段，將造成數(shù)據(jù)丟失的嚴(yán)重后果。解決方案：殺毒軟件更換為服務(wù)器專(zhuān)用版本，并保持更新。已選型版本介紹：ESET文件安全軟件服務(wù)器版專(zhuān)為服務(wù)區(qū)環(huán)境優(yōu)化設(shè)計(jì)ESETE文件安全軟件服務(wù)器版專(zhuān)為Windows服務(wù)器平臺(tái)需求優(yōu)化設(shè)計(jì)，保障系統(tǒng)流暢運(yùn)行、安全無(wú)虞。支持「內(nèi)核」版服務(wù)器系統(tǒng)新版本支持服務(wù)器系統(tǒng)內(nèi)核版，專(zhuān)為日常應(yīng)用進(jìn)行優(yōu)化，占用系統(tǒng)資源更少。官方授權(quán)購(gòu)買(mǎi)網(wǎng)址，約600元/年每服務(wù)器，按需購(gòu)買(mǎi)。確定郵件服務(wù)器及反垃圾郵件策略。正在開(kāi)發(fā)的郵件服務(wù)器需要有反垃圾郵件功能、用戶(hù)驗(yàn)證