中朔科技

Schina Technology

专注-追求完美

中朔科技专注于信息化服务，加快云时代的到来，让人们过上更便捷的云生活。

虚拟化-统一和趋势

虚拟化将成为全球云技术一体化的基石，完美统一各类不同硬件。更快，更省，
更方便的部署。

云-改变生活

畅游知识的海洋，享受傲游云端的快乐，共创云的新生活。

安全-保驾护航

为您的数据、设备、系统、通讯构建一道坚不可摧的护盾，为您美好的云端生活
保驾护航。
。

初心-不改

中朔科技与世界共同进步，在自身提升的同时，永怀初心，与您共创未来。

넳 넲

首页v2 ꄲ 案例测试2

您的位置：

案例测试2

ꁆ ꁇ

VMware私有云设计方案

VMware数据中心网络和安全建议方案

1.

项目建设目标

本项目整体目标如下：

Ø

提高虚拟化安全防护能力

利用虚拟化安全防护技术构建具备高安全特性的网络平台，特别针对招生、考试等业务系统要实现细粒度网络访问控制，包括任意虚拟机之间、任意隔离网络之间、任意集群之间和任意资源池之间的安全防护，避免关键业务系统受攻击和数据泄漏。

Ø

实现安全隔离网络

利用虚拟化网络技术实现重点业务系统和普通业务系统的安全隔离，在不调整物理架构的情况下，保证每套业务系统使用独立隔离网络，互补干扰。

Ø

实现网络安全监控

利用网络虚拟化和服务器虚拟化集成特性，实现深度网络数据包监控，包括网络访问日志记录，实时流量监控，历史流量分析等。

Ø

解决网络结构复杂的问题

建立信息系统安全标准化体系，统一规划和部署防病毒、防火墙等安全组件，实现细粒度访问控制策略，提高信息系统安全防护能力。利用网络虚拟化技术构建具备灵活性、安全性和易管理性的数据中心网络平台，通过该平台可轻松实现数据中心双活及容灾。

Ø

提高业务系统冗余负载能力

利用网络虚拟化提供的负载均衡组件，加上应用多实例部署架构，实现业务系统高并发访问和高可靠性。

Ø

实现统一数据中心安全管理

利用统一的网络虚拟化平台，实现数据中心网络集中、统一管理。

2.

方案整体架构

基于XXXXXX现状进行详细的网络和安全架构设计，本设计方案仅包括数据中心虚拟化平台部分，传统物理服务器保持原有架构不变，同时方案充分考虑利旧原有设备原则。

XXXXXXXX虚拟化集群由6台高性能两路服务器和1台共享存储组成，部署VMware vSphere虚拟化软件，承载约30个教育业务系统，招生和考试系统采用多台物理服务器部署。本期计划将招生和考试系统迁移到虚拟化平台中，该系统对网络安全要求非常严格，固本方案将针对虚拟化数据中心进行整体网络和安全架构改造，包含原有业务系统和招生考试业务系统。

本方案采用在原有服务器虚拟化平台之上增加网络虚拟化软件方式实现数据中心网络和安全改造，无需增加物理设备；网络虚拟化平台支持自动备份和网络还原。

数据中心整体架构设计如图示1，下面将分别针对每个部分进行详细介绍：

图示1：XXXXXXX虚拟化数据中心拓扑

2.1

物理服务器架构设计

XXXXXX数据中心虚拟化集群已构建完成，本次项目要在现有虚拟化集群之上部署网络虚拟化软件，应用网络虚拟化软件后，建议重新设计南北流量通道，固每台服务器需要增加一块双端口万兆网卡，用于传输南北流量，即所有外部访问均通过万兆网卡进入数据中心。

未来拓展虚拟化服务器时，建议独立出两台服务器做管理集群，所有管理类服务器运行在该集群内，实现管理和生产分离。

表1. 服务器分配情况

2.2

物理网络架构设计

以太网络架构设计包含数据中心内部网络和数据中心边缘网络两个部分，本方案应用网络虚拟化技术，并对网络进行重新规划设计，下面将详细说明数据中心网络架构设计方案；

网络设计原则：

1、

所有网络设备、服务器网卡和连接采用冗余架构，任意设备或链路故障不影响业务使用；

2、

每台虚拟化服务配置万兆接口用于南北流量访问（外部访问业务系统）；

3、

虚拟化服务器连接网络采用VLAN隔离，上联端口启用Trunk；

4、

连接虚拟化服务器的物理交换机MTU调整为1600；

5、

全网启用动态路由协议（推荐OSPF），以适应虚拟化网络创建；

6、

网络功能减少对单一设备提供商的功能依赖，构建通用化网络架构。

注意：由于不了解现有物理网络架构，此处暂不详细描述。

虚拟化平台网络功能分为“管理网络”、“vMotion网络”、和“VM网络”几种类型，每种类型网络通过两块物理网卡与两台物理交换机连接，实现物理链路冗余和带宽扩展；

2.3

虚拟网络隔离架构设计

在虚拟化环境中，我们即希望能够充分利用服务器资源，又要求满足不同业务安全隔离需求，例如大连教育局现有的招生和考试系统就要求必须具备与其它业务系统完全隔离的环境；同时为保证招生和考试系统的高并发需求，应避免Web服务器、应用服务器和数据库服务器之间产生发夹流量；

本方案利用网络虚拟化软件重新设计虚拟机网络，在原有的物理VLAN网络之上构建全新的VXLAN网络，为每套业务系统创建独立隔离网络，如多层应用架构，每个应用也具备独立网络，这样可以实现每套业务系统均具备最小广播域，避免大VLAN范围造成的广播风暴风险；同时利用网络虚拟化平台的分布式路由功能，实现流量的最短路径，提高访问效率；最后再结合边界网关服务实现客户端到服务器端的网络访问控制；再结合分布式防火墙实现单业务系统内部之间的访问控制；

利用网络虚拟化平台的分布式逻辑交换机和分布式逻辑路由器组件可以实现以下目标：

·

物理设备无关，创建网络无需配置物理交换机和路由器

·

分布式架构，具备高可靠性

·

VXLAN提供1600万个隔离子网，满足细粒度隔离需求

·

VXLAN采用非广播模式，降低网络压力

·

分布式逻辑路由器实现最短路径，节约核心网络资源

·

支持双活数据中心架构，业务不中断情况下在不同网络中移动

·

为招生考试系统提供最佳隔离网络和安全防护

下图展示多层应用的隔离网络架构

图示2：三层应用采用虚拟化网络架构

2.4

虚拟网络防火墙架构设计

在传统的虚拟化环境中，虚拟机的网络安全问题是最难解决的，因为同主机，同网段虚拟机的网络通讯是通过虚拟机交换机，物理防火墙根本起不到任何作用；为保证业务网络安全性，针对三层应用（数据库、应用、Web）架构，最佳网络防护方式是用户仅需要访问Web服务器，Web服务器仅需要访问应用服务器，应用服务器仅需要访问数据库服务器，如果通过物理防火墙实现，不仅策略复杂，还需要为每层应用都创建一个独立VLAN，在传统架构下几乎无法实现；同时传统防火墙策略基于IP地址进行识别，如果虚拟机修改IP地址，防火墙策略也随之失效，这会带来很大安全风险；