IDC精品特服區(qū)解決

1、*解決方案技術(shù)白皮書 一.前言1.1需求分析IDC 將傳統(tǒng)的ISP和ICP的優(yōu)勢結(jié)合起來，高可靠性的運(yùn)行環(huán)境保證和最大限度的帶寬保證是傳統(tǒng)IDC 生存的基本要素。隨著互聯(lián)網(wǎng)的迅猛發(fā)展，專門提供主機(jī)托管及相關(guān)服務(wù)的IDC也迅速發(fā)展，競爭越來約激烈。如何通過通過細(xì)化服務(wù)產(chǎn)品，捕捉不同客戶的差異化需求，增強(qiáng)本IDC的競爭力，是出給IDC管理者的難題。目前，IDC除了提供電信級的設(shè)備運(yùn)行環(huán)境，骨干網(wǎng)級的帶寬容量之外，還在網(wǎng)絡(luò)應(yīng)用安全，高可用性保障、可管理性等方面做文章，在機(jī)柜租賃，主機(jī)托管，虛擬主機(jī)的傳統(tǒng)業(yè)務(wù)之后還爭相推出了防火墻租用服務(wù)，入侵檢測租用服務(wù)，緩存租用，遠(yuǎn)程監(jiān)控服務(wù)等等。并提出精品IDC

2、的概念。1.2方案提出以Citrix Netscaler 產(chǎn)品為核心組成的精品IDC解決方案，強(qiáng)調(diào)了應(yīng)用交付優(yōu)化的理念，為IDC提供了一系列增值服務(wù)，其主要功能包括：l 支持多址鏡象備份，異地服務(wù)器狀態(tài)檢查，異地負(fù)載分擔(dān)。l 支持多鏈路聚合，解決電信和網(wǎng)通互聯(lián)瓶頸問題。l Switching-URL，解決公網(wǎng)地址短缺和虛擬主機(jī)負(fù)載均衡的問題。l 內(nèi)容緩存的應(yīng)用加速服務(wù)。l 壓縮加速l 流量浪涌保護(hù)功能。l TCP 優(yōu)化連接，提升服務(wù)器的處理能力。l 安全保護(hù)功能。l 多設(shè)備并行處理。二.方案功能介紹2.1多址鏡象備份、異地服務(wù)器狀態(tài)檢查、異地負(fù)載分擔(dān)(智能DNS解析)隨著企業(yè)對電子商務(wù)或信息系

3、統(tǒng)可靠性的要求越來越高，一個企業(yè)可能將自己的主機(jī)托管到多個IDC，這些服務(wù)器是主服務(wù)器的鏡象，通過多址鏡象保證服務(wù)的可靠。將異地服務(wù)器組成HA的系統(tǒng)。通過對用戶域名的智能DNS解析，將流量引導(dǎo)到離客戶Local DNS 最近的服務(wù)器或帶寬情況最好的服務(wù)器上，就近訪問和帶寬保證措施提升了用戶的訪問質(zhì)量。2.2多鏈路精品區(qū)目前，中國電信和中國網(wǎng)通的網(wǎng)間互訪存在著延遲大的問題，能解決這個問題就會極大的增強(qiáng)本企業(yè)IDC的競爭力。Citrix Netscaler通過靜態(tài)路由表的方式,不僅解決了多ISP互聯(lián)互通的問題,同時又保證了鏈路的冗余,網(wǎng)絡(luò)的強(qiáng)壯.所以多鏈路負(fù)載均衡是IDC精品形象的重要內(nèi)容之一。2

4、.3 Switching-URL基于URL交換是支持IDC雙鏈路特服區(qū)的重要功能。IDC在接入多鏈路的時候，由于不同運(yùn)營商的公網(wǎng)IP不能隨意互相廣播，所以只能使用NAT的模式。一臺服務(wù)器正常工作就需要對應(yīng)屬于不同運(yùn)營商的兩個IP地址。這有可能存在某個運(yùn)營商的IP地址不夠用的情況發(fā)生，Citrix Netscaler的Switching-URL功能,通過檢查報頭中的URL字段,使一個IP地址對應(yīng)多個域名,同時在內(nèi)部對應(yīng)多個web服務(wù)器的方式，來達(dá)到為IDC節(jié)省寶貴IP地址資源的目的。內(nèi)容交換，也叫做七層交換。七層交換的特點(diǎn)就是可以根據(jù)不同的應(yīng)用或是七層的數(shù)據(jù)包信息來對流量進(jìn)行分配。如下所示：七層

5、交換可以根據(jù)用戶請求的七層信息（如URL，HTTP header等），在經(jīng)過策略來決定流量的去向。并且NETSCALER獨(dú)有的AppExpert引擎可以非常靈活的來控制流量的去向。InternetServersweb1web2和為同一個IP2.4內(nèi)存cache目前很多站點(diǎn)都是動態(tài)頁面，這種頁面的生成每次都需要調(diào)用存儲在數(shù)據(jù)庫里的內(nèi)容，因此網(wǎng)頁瀏覽量的增加，將產(chǎn)生了大量的數(shù)據(jù)庫查詢操作，使數(shù)據(jù)庫服務(wù)器的壓力不斷增加，導(dǎo)致網(wǎng)站的整體性能不斷下降。緩存技術(shù)是減少數(shù)據(jù)庫訪問量，增加WEB應(yīng)用性能的一個很好的方法。NetScaler的內(nèi)存緩存技術(shù)，采用動態(tài)和靜態(tài)應(yīng)用數(shù)據(jù)綜合內(nèi)容緩存功能，Citrix N

6、etScaler系統(tǒng)可大幅減少企業(yè)網(wǎng)絡(luò)應(yīng)用所需的數(shù)據(jù)庫取出操作次數(shù)。打個比方，多個用戶需要相同應(yīng)用數(shù)據(jù)時，Citrix NetScaler系統(tǒng)可直接從內(nèi)存緩存提取內(nèi)容來服務(wù)用戶。由于無需重復(fù)生成常用應(yīng)用數(shù)據(jù)，高性能緩存可大大減輕應(yīng)用基礎(chǔ)架構(gòu)包括數(shù)據(jù)庫資源的負(fù)擔(dān)。 NetScaler的內(nèi)存緩存技術(shù)，使得NetScaler系統(tǒng)可以卸載很大部分服務(wù)器對于請求的消耗，使數(shù)據(jù)庫不再成為網(wǎng)絡(luò)性能的瓶頸，使站點(diǎn)可以更快的向最終用戶傳送內(nèi)容。靜態(tài)以及動態(tài)內(nèi)容都可以支持，緩存的策略以及有效性也可以靈活的設(shè)置。高性能的緩存以及壓縮，內(nèi)容交換等其他優(yōu)化技術(shù)一起協(xié)同工作，使得用戶響應(yīng)時間達(dá)到最佳，并且WEB站點(diǎn)的客擴(kuò)

7、展性也顯著提高。2.5壓縮加速目前在網(wǎng)絡(luò)用戶中存在一些使用低帶寬、高延時WAN和撥號連接方式的用戶，這些用戶使得服務(wù)器處理能力降低，客戶等待時間延長。同時，大量的網(wǎng)絡(luò)流量，也使網(wǎng)絡(luò)出口資源緊張，而使所有的用戶等待時間延長。NetScaler的Appcompress解決方案很好的解決了上述問題，Appcompress是一種可高效壓縮所有應(yīng)用數(shù)據(jù)流量的技術(shù)。通過降低發(fā)送到客戶端的數(shù)據(jù)數(shù)量，Citrix NetScaler解決方案可立刻將總帶寬需求降低50%或更多，改善所有用戶的應(yīng)用性能，特別是采用WAN或其它遠(yuǎn)程連接方式的用戶。下圖是tolly group在2005年對Appcompress壓縮性

8、能的測試報告： AppCompress for HTTPAppCompress for HTTP的高級HTTP壓縮功能加速了對所有用戶的Web化應(yīng)用數(shù)據(jù)交付過程。它將標(biāo)準(zhǔn)Web化頁面應(yīng)用發(fā)布過程提高了2到3倍，甚至將某些企業(yè)應(yīng)用數(shù)據(jù)發(fā)布過程提高了7倍，而未增加任何客戶端技術(shù)。同時，該功能還卸載了Web服務(wù)器的計算密集的壓縮過程，因此企業(yè)無需追加基礎(chǔ)架構(gòu)投資就能服務(wù)更多用戶。 AppCompress MPAppCompress MP是一項(xiàng)多協(xié)議壓縮技術(shù)，可以對非web的應(yīng)用進(jìn)行壓縮，可改善用戶經(jīng)全/富客戶端（如Microsoft® Outlook）、非Web瘦客戶端（由大眾化企業(yè)應(yīng)用如

9、Oracle、行情發(fā)布系統(tǒng)等）以及移動客戶端（如Pocket PC）進(jìn)行應(yīng)用訪問的性能。 AppCompress Extreme通過清除HTTP內(nèi)容中的冗余數(shù)據(jù)，AppCompress Extreme技術(shù)改善了標(biāo)準(zhǔn)化HTTP壓縮性能。該技術(shù)提供了一種強(qiáng)大的壓縮引擎，以策略為導(dǎo)向，可立即計算出應(yīng)用數(shù)據(jù)的差異，然后將變更數(shù)據(jù)發(fā)送給用戶。壓縮效率比普通的http壓縮更為強(qiáng)大。2.6浪涌保護(hù)當(dāng)用戶訪問量出現(xiàn)突發(fā)式的增長，往往導(dǎo)致服務(wù)器不堪負(fù)荷而宕機(jī)，這一問題對用戶來說意味著對這個站點(diǎn)失去了信心，從而導(dǎo)致客戶的損失。Netscaler的浪涌保護(hù)機(jī)制，能夠平滑網(wǎng)絡(luò)流量，起到削峰平谷的作用，使后臺應(yīng)用服務(wù)器

10、安全度過網(wǎng)絡(luò)高峰期。如上圖，在沒有Netscaler的時候，隨著客戶連接數(shù)的增加，服務(wù)器的連接數(shù)也不斷增加，當(dāng)服務(wù)器端連接數(shù)到達(dá)一個閥值之后，服務(wù)器資源耗盡，不能回應(yīng)任何客戶請求。部署Netscaler之后，當(dāng)服務(wù)器連接數(shù)達(dá)到規(guī)定數(shù)值后，Netscaler浪涌保護(hù)機(jī)制啟動，緩存當(dāng)前的客戶請求，使后臺服務(wù)器安全度過網(wǎng)絡(luò)高峰期。2.7SSL加速 目前很多系統(tǒng)，如網(wǎng)上交易等系統(tǒng)都是采用加密協(xié)議的。SSL加密無疑是當(dāng)前最好的安全交易方式，ssl的安全加密、安全認(rèn)證和數(shù)字簽名等系統(tǒng)為用戶的網(wǎng)上交易提供了一個安全的通道，目前很多重要的電子交易系統(tǒng)，如網(wǎng)上銀行、民航電子客票系統(tǒng)等，都建立了基于ssl技術(shù)的網(wǎng)

11、上交易系統(tǒng)。 SSL 在 Web 服務(wù)器上完成，大多數(shù) Web 服務(wù)器支持SSL。但是，SSL是一個極其消耗 CPU 的進(jìn)程，通常會降低整個服務(wù)器的性能。一個普通的服務(wù)器一般只能每秒處理幾百個會話 (TPS) ，并且較少的加密吞吐量Nescaler內(nèi)置的ssl加速模塊，可以從服務(wù)器卸載 SSL 進(jìn)程，并與后臺服務(wù)器保持明文傳送。通過卸載大量占用 CPU 的 SSL 協(xié)商和加密解密工作， 改善服務(wù)器性能，加速用戶的響應(yīng)時間。加密隧道明文SSL加速優(yōu)點(diǎn)： 當(dāng)SSL被用來確保信息的安全性時，可以改善服務(wù)器的性能。 可以與所有 Request Switching的其他特性一起使用,例如壓縮， TCP

12、Offload, 內(nèi)置緩存，內(nèi)容過濾等。 高性能: Netscaler 可以支持到 8,800 TPS, 760 Mbps 加密吞吐量以及高達(dá) 750,000 并發(fā)連接。 同時，后端與服務(wù)器的加密傳輸也可以作為一個可選項(xiàng)來確保端到端的加密。 WEB服務(wù)器不需要做修改，證書被安裝在Netscaler上。2.8 TCP 優(yōu)化服務(wù)器超負(fù)荷一直是WEB站點(diǎn)的瓶頸，傳統(tǒng)的服務(wù)器負(fù)載均衡方案在增加服務(wù)器以及均衡流量的基礎(chǔ)上增加了站點(diǎn)的性能，結(jié)果，越來越多的服務(wù)器被加入來滿足流量的持續(xù)增長需求。服務(wù)器超負(fù)荷通常是由于大量的TCP連接建立和拆除. 因?yàn)檫@需要大量的CPU處理 包含很多無效的進(jìn)程處理 這限制了服

13、務(wù)器提供給用戶服務(wù)的吞吐量Netscaler 優(yōu)化技術(shù)，能夠從服務(wù)器上卸載了TCP建立和拆除進(jìn)程。Netscaler 充分利用了HTTP 1.1允許多個請求復(fù)用到一個連接上的特點(diǎn)。Netscaler 終結(jié)客戶端連接，提取其中的請求，按照負(fù)載均衡算法選擇合適的服務(wù)器，然后在已經(jīng)建立的常連接上發(fā)送請求。如下圖：TCP 優(yōu)化的優(yōu)點(diǎn) TCP 的建立和拆除,是一個非常消耗 CPU 資源的進(jìn)程，現(xiàn)在被極大的減少了。 服務(wù)器效率被顯著提升。 服務(wù)器負(fù)載被充分減少。 只要少量的服務(wù)器就可以滿足流量了。 同樣的服務(wù)器現(xiàn)在可以為更多用戶提供服務(wù)了。 對于用戶來說完全透明，對于服務(wù)器也基本只需很小的改動。2.9安全

14、防護(hù)NetScaler能夠?yàn)楹戏ǖ挠脩袅髁刻峁┤阅?，能夠阻止?yīng)用層的病毒攻擊，如蠕蟲和Nimenda病毒；能夠阻止網(wǎng)絡(luò)層拒絕服務(wù)（DoS）攻擊，如SYN Flood、Tear Drop和ICMP溢出；能夠阻止http dos攻擊等等。Netscaler的內(nèi)容過濾功能能夠基于第七層的協(xié)議內(nèi)容過濾掉非法的請求和病毒。NetScaler 能夠防范SYN FLOOD攻擊。NetScaler可以經(jīng)受200萬每秒SYNFLOOD攻擊NetScaler系統(tǒng)的SYN cookie 機(jī)制確保了以下幾點(diǎn)：l 系統(tǒng)的內(nèi)存不會浪費(fèi)在非法的SYN包上，實(shí)際上，內(nèi)存只被用來向合法用戶提供服務(wù)。l 合法用戶的普通的TCP

15、對話可以無終斷的得到服務(wù)，就算系統(tǒng)在SYN FLOOD攻擊下也是如此。l 正由于內(nèi)存只在收到HTTP請求后才予以分配給連接， NETSCALER系統(tǒng)使得WEB站點(diǎn)避免受到了 “空閑連接” 攻擊。NetScaler 還能有效的防范7層 DOS 攻擊。一般來講，有兩種類型的7層 HTTP DOS攻擊： GET攻擊以及 IDLE攻擊。 對于GET攻擊,黑客在一個連接建立后發(fā)出非常多的GET請求。 對于IDLE攻擊，攻擊者在連接建立后惡意停止一切活動而空閑等待。 NetScaler 系統(tǒng)在處理時，當(dāng)連入的SESSION速率達(dá)到一個預(yù)先設(shè)定的門限值時，DOS防衛(wèi)功能就自動觸發(fā)。 NetScaler 90

16、00系統(tǒng)會抽樣對一部分客戶端請求發(fā)送帶有SET-COOKIE的響應(yīng)。 惡意攻擊主機(jī)通常不會響應(yīng)SET-COOKIE，所以這些攻擊包就會被丟棄。 而普通正常的HTTP請求不會受到影響。 這個觸發(fā)的門限值以及發(fā)送SET-COOKIE的比例值可以針對每個服務(wù)來精細(xì)微調(diào)。 并且，由上所述，連接不會在第一個GET請求到達(dá)前建立。所以NetScaler系統(tǒng)也可以有效的防止IDLE攻擊。2.10多設(shè)備并行處理 鑒于一些IDC具有高帶寬出口線路的情況,采用多臺設(shè)備接入并行工作的方式, 以滿足高帶寬出口的需要.三、NETSCALER 產(chǎn)品線3.1CITRIX公司介紹思杰系統(tǒng)公司（納斯達(dá)克代碼：CTXS）是全球領(lǐng)

17、先的以及最值得信賴的按需接入基礎(chǔ)架構(gòu)解決方案提供商。全球有18萬多家企業(yè)都在使用思杰接入平臺為用戶提供最好的應(yīng)用接入體驗(yàn)。思杰客戶包括100%的財富100強(qiáng)，98%的財富500強(qiáng)，以及成千上萬家小企業(yè)和個人用戶。思杰在100多個國家擁有約6200多渠道商和合作伙伴。思杰公司2005年年收入達(dá)到9.09億美元。2005年8月，思杰系統(tǒng)公司收購了私有NetScaler公司，一家專門提供用于優(yōu)化重要網(wǎng)絡(luò)化應(yīng)用部署的綜合網(wǎng)絡(luò)解決方案的領(lǐng)先技術(shù)廠商。通過采用Citrix NetScaler優(yōu)化所有網(wǎng)絡(luò)化應(yīng)用并利用Citrix Presentation Server虛擬化所有傳統(tǒng)和客戶端/服務(wù)器應(yīng)用，各地

18、客戶可隨時隨地讓任何用戶接入任何應(yīng)用，并且提供最好的接入體驗(yàn)。五年前，NetScaler開始實(shí)施一項(xiàng)偉大計劃，改善全球企業(yè)的網(wǎng)絡(luò)化應(yīng)用部署和交付。我們的目標(biāo)是在提高應(yīng)用安全性和降低應(yīng)用的總擁有成本的同時改善應(yīng)用用戶的滿意度和生產(chǎn)效率，讓用戶體驗(yàn)到真正的不同。有了這個目標(biāo)，NetScaler開發(fā)出了革命性的應(yīng)用部署解決方案，將傳統(tǒng)數(shù)據(jù)中心網(wǎng)絡(luò)產(chǎn)品的所有功能如負(fù)載平衡、緩存、壓縮、SSL加速和安全性融入了單一的綜合解決方案，經(jīng)過全新設(shè)計，提供了無與倫比的性能和可靠性。如今，上百家全球財富1000公司都依靠Citrix NetScaler產(chǎn)品來改善其至關(guān)重要的網(wǎng)絡(luò)化應(yīng)用的性能、安全性和可靠性。而且，

19、通過Google、eBay、A、Yahoo！、MSN、E*Trade、 S、Betfair、Ticketmaster和其它數(shù)十家全球熱門網(wǎng)站，Citrix NetScaler產(chǎn)品改善了75%因特網(wǎng)用戶的接入體驗(yàn)。除了將應(yīng)用性能提高到15倍以外，Citrix NetScaler解決方案還最大程度地提高了應(yīng)用的正常運(yùn)行時間，將后端服務(wù)器負(fù)荷減少了一半，極大地降低了總運(yùn)營成本。結(jié)果，思杰成為目前唯一一家可在任何地方為所有客戶提供真正意義上的最好應(yīng)用接入體驗(yàn)的公司，應(yīng)用包括客戶端/服務(wù)器、網(wǎng)絡(luò)、電子郵件、協(xié)作、文件接入和語音。citrix系列主要有兩個系列的產(chǎn)品。即應(yīng)用加速器系列及應(yīng)用交換機(jī)系列。3.

20、1CITRIX NETSCALER產(chǎn)品線特性矩陣Citrix NetScaler產(chǎn)品線特性矩陣特性應(yīng)用交換機(jī)企業(yè)版應(yīng)用交換機(jī)標(biāo)準(zhǔn)版應(yīng)用加速器加速終端用戶性能Citrix® AppCompressTM for HTTPCitrix AppCompress MPTCP客戶端優(yōu)化Citrix® AppCompress ExtremeTM··········增強(qiáng)應(yīng)用可用性4層負(fù)載平衡7層內(nèi)容交換4層DoS防御7層內(nèi)容過濾7層DoS防御廣域服務(wù)器負(fù)載平衡（GSLB）基于鄰近廣域負(fù)載平衡

21、浪涌保護(hù)優(yōu)先排隊(duì)··············改善數(shù)據(jù)中心效率TCP多路復(fù)用TCP緩沖SSL卸載和加速Citrix® AppCacheTM高速緩存重定向············可用硬件平臺12000、10000、9000、700070009000、70003.2CITRIX NETSCALER 應(yīng)用交付系統(tǒng)硬件性能指標(biāo)硬件平臺12

22、0001000090007000支持產(chǎn)品應(yīng)用交換機(jī)企業(yè)版應(yīng)用交換機(jī)企業(yè)版應(yīng)用交換機(jī)企業(yè)版應(yīng)用交換機(jī)標(biāo)準(zhǔn)版應(yīng)用加速器應(yīng)用加速器應(yīng)用交換機(jī)企業(yè)版應(yīng)用加速器平臺屬性處理器雙單單單內(nèi)存4 GB4 GB2 GB1 GB以太網(wǎng)端口8×Gbit SFP銅或光端口1×100/10BASE-T4×Gbit光端口 或4×1000/100BASE-T1×1000/100BASE-T4×Gbit光端口 或4×1000/100/10BASE-T1×1000/100/10BASE-T2×1000/100/10BASE-T6×100/10BASE-TFIPS支持可用平臺性能每秒HTTP請求275,000250,00