超級計算中心網(wǎng)絡系統(tǒng)建設可研方案基礎網(wǎng)絡部分

云計算中心網(wǎng)絡系統(tǒng)建設方案1網(wǎng)絡系統(tǒng)建設方案1.1網(wǎng)絡系統(tǒng)建設要求計算中心經(jīng)過互聯(lián)網(wǎng)、專線接入和VPN接入提供服務；提供多個網(wǎng)絡接入及特定單位專線接入，滿足用戶以多個方式遠程接入云計算平臺要求；有效隔離計算中心與互聯(lián)網(wǎng)，防范來自互聯(lián)網(wǎng)非授權訪問，使計算中心在受控前提下提供給外部進行訪問；為云計算大樓公共服務區(qū)（用戶服務區(qū)、辦公區(qū)、公共會議室）提供網(wǎng)絡連接；子網(wǎng)相對獨立，又彼此關聯(lián)。各入駐單位計算機網(wǎng)絡相互獨立，各自構建獨立單位局域網(wǎng)，滿足各單位組網(wǎng)需求；同時要考慮其工作共性需求。在設計中要考慮他們之間相對隔離又彼此關聯(lián)要求，劃分不一樣區(qū)域，區(qū)域之間采取物理隔離或邏輯隔離。建立完善網(wǎng)絡安全和管理機制，確保網(wǎng)絡系統(tǒng)安全和正常運轉(zhuǎn)。1.2網(wǎng)絡系統(tǒng)總體設計1.2.1圖1云計算中心網(wǎng)絡系統(tǒng)邏輯結(jié)構圖云計算中心網(wǎng)絡系統(tǒng)整體邏輯結(jié)構如圖1所表示。整個網(wǎng)絡系統(tǒng)包含云計算資源區(qū)和服務與管理區(qū)，服務與管理區(qū)可深入分為對外服務區(qū)、中心辦公區(qū)、DMZ區(qū)。云計算資源區(qū)是超級計算系統(tǒng)所在區(qū)域。云計算服務區(qū)是計算中心對企業(yè)等非政府機構提供超級計算服務區(qū)域。中心辦公區(qū)是云計算中心工作人員辦公區(qū)域。DMZ區(qū)是云計算中心設置Web服務器和SSLVPN接入?yún)^(qū)域。上述區(qū)域整體上包含云計算中心資源層、關鍵交換層、功效接入層和互聯(lián)網(wǎng)接入/服務層；采取分層結(jié)構模塊化設計理念，使網(wǎng)絡結(jié)構清楚化，便于網(wǎng)絡安全策略實施和網(wǎng)絡管理，并提升網(wǎng)絡靈活性和可擴展性。1）云計算資源區(qū)云計算中心服務結(jié)點使用萬兆鏈路直接接入到云計算資源區(qū)高性能接入交換機上。2）服務與管理區(qū)關鍵交換/訪問控制層：主要包含一臺關鍵交換機，因為現(xiàn)在關鍵交換設備通常都支持多個模塊，而本項目所需接入網(wǎng)段也不是太多，可將匯聚交換功效融入其中，對各子網(wǎng)訪問控制策略采取交換機訪問控制技術實現(xiàn)。功效接入層：包含云計算中心辦公子網(wǎng)、云計算對外服務子網(wǎng)等；互聯(lián)網(wǎng)接入/服務層：包含1條互聯(lián)網(wǎng)接入鏈路、邊界防火墻、DMZ區(qū)（設置DNS、WWW、SSLVPN接入等服務）等。1.2.2服務與管理區(qū)網(wǎng)絡圖2網(wǎng)絡系統(tǒng)拓撲結(jié)構及安全防護布署能夠?qū)⒕W(wǎng)絡拓撲分為3層，包含互聯(lián)網(wǎng)接入/服務層、功效接入層關鍵交換層和云計算中心資源層?；ヂ?lián)網(wǎng)接入/服務層包含邊界防火墻、DMZ區(qū)（設置DNS、WWW、郵件、SSLVPN接入等服務）。關鍵交換層主要包含一臺關鍵交換機。功效接入層包含云計算中心辦公子網(wǎng)、云計算對外服務子網(wǎng)等。1.2.3云計算開放區(qū)包含與超級計算相關管理、服務單位，其對網(wǎng)絡連接和訪問控制要求如表1所表示：表1云計算中心子網(wǎng)分布表云計算相關單位分布情況大樓內(nèi)部聯(lián)網(wǎng)要求外部聯(lián)網(wǎng)要求高性能計算開放試驗室（云計算辦公子網(wǎng)）云計算中心子網(wǎng)互聯(lián)網(wǎng)超級計算中心辦公室、高性能計算機工程中心呂梁分中心、會議室、辦公室（云計算辦公子網(wǎng)）云計算中心子網(wǎng)互聯(lián)網(wǎng)進駐單位云計算中心子網(wǎng)互聯(lián)網(wǎng)用戶經(jīng)過互聯(lián)網(wǎng)采取VPN技術接入云計算中心；假如需要，能夠采取專線接入，能夠直接接入到關鍵層關鍵交換機上，利用VLAN方式進行邏輯隔離，利用防火墻對其進行訪問控制、審計。1.2.4網(wǎng)絡帶寬1）主干帶寬設計考慮超級計算機業(yè)務需求，選擇萬兆以太網(wǎng)作為關鍵層組網(wǎng)，從接入交換機到關鍵交換機采取千兆以太網(wǎng)技術。為了便于今后系統(tǒng)升級，選擇關鍵交換機、接入交換機等都能夠支持萬兆。一旦今后需要無需更換設備即可平滑升級到全萬兆主干網(wǎng)。2）互聯(lián)網(wǎng)接口及帶寬要求（a）云計算辦公區(qū)互聯(lián)網(wǎng)帶寬需求內(nèi)部人員利用Internet進行資料查詢、收發(fā)郵件、對外聯(lián)絡等工作，對帶寬需求不會太高。內(nèi)部人員按照140左右估算，估量約200M即可滿足需求。（b）對外服務區(qū)互聯(lián)網(wǎng)帶寬需求云計算中心客戶經(jīng)過Internet訪問相關服務器，完成計算業(yè)務提交、數(shù)據(jù)上傳、作業(yè)管理、作業(yè)監(jiān)控、結(jié)果下載等。作業(yè)提交方式主要包含WEB訪問、FTP、Telnet、Xwindows等方式。這部分訪問單個用戶對帶寬要求不高，不過需要考慮用戶總量，結(jié)合并發(fā)用戶訪問量進行綜合考慮。在早期，初步預留300M帶寬給這部分訪問。（c）互聯(lián)網(wǎng)帶寬需求依照以上對Internet帶寬初步分析，同時結(jié)合現(xiàn)在ISP提供帶寬性價比綜合考慮，選擇1000M多路接入，以后依照發(fā)展情況再進行擴展。1.3互聯(lián)網(wǎng)接入互聯(lián)網(wǎng)接入/服務層主要提供對外服務，是外界進入中心，與中心發(fā)生數(shù)據(jù)交互第一個功效層次，這個功效層包含：互聯(lián)網(wǎng)接入、DMZ區(qū)和網(wǎng)絡與安全管理區(qū)等。這個功效層建設中首先需要考慮安全問題，重點是怎樣確保外界安全、可靠與中心各區(qū)域進行數(shù)據(jù)交互，其次是設備選型，如：邊界路由器、邊界防火墻等。1.3互聯(lián)網(wǎng)接入?yún)^(qū)主要是連接到Internet，向用戶提供云計算資源服務。電信運行商接入：依照對用戶應用需求初步分析，提議在試運行期間經(jīng)過二條線路組成M接入，一條線路接入中國電信網(wǎng)，一條接入中國聯(lián)通網(wǎng)，均具備1000M帶寬。大數(shù)據(jù)量用戶專線接入：為了滿足大數(shù)據(jù)量用戶傳輸數(shù)據(jù)需求，經(jīng)過租用中國電信光纜，建立一條或多條（依照大數(shù)據(jù)量用戶單位數(shù)量確定）大數(shù)據(jù)量用戶到云計算中心專線?？偠灾行木W(wǎng)絡接口如表2。表2中心網(wǎng)絡接口表網(wǎng)絡部分技術備注內(nèi)部主干網(wǎng)1000M以太網(wǎng)五個功效區(qū)域互連電信運行商接入M二條線路，分別接入中國電信網(wǎng)、中國聯(lián)通。大數(shù)據(jù)量用戶接入光纖專線經(jīng)過中國電信經(jīng)過在中心關鍵交換機上QoS設置，確保在中心內(nèi)部網(wǎng)絡上為大數(shù)據(jù)量用戶單位分配1000M獨占帶寬。在系統(tǒng)試運行一段時間后能夠依照綜合考慮以下原因來對互聯(lián)網(wǎng)接入帶寬加以調(diào)整：來自Internet實際用戶量用戶訪問響應速度出口可靠性1.互聯(lián)網(wǎng)接入路由器，即邊界路由器，主要完成與Internet高速互聯(lián)。作為云計算開放區(qū)網(wǎng)絡與公共IP骨干網(wǎng)絡接口，互聯(lián)網(wǎng)連接層提供了平臺與公共IP網(wǎng)橋梁，它運行情況直接關系到整個云計算平臺為用戶所提供服務質(zhì)量，這就要求該層設備必須具備以下特點：高速路由交換能力具備豐富接口類型完善QoS支持能力在互聯(lián)網(wǎng)連接層配置接入路由器，使用高速連接到IP骨干網(wǎng)，并以全冗余方式與關鍵層互連。借助于這些高端路由器高性能及豐富特征，提供全冗余、高速、高性能網(wǎng)絡關鍵。1.4功效接入網(wǎng)絡設計包含中心辦公子網(wǎng)、中心用戶服務子網(wǎng)。每個子網(wǎng)采取1臺2/3層接入交換機，經(jīng)過千兆鏈路接入服務與管理區(qū)關鍵交換機。各子網(wǎng)交換機可采取高性價比工作組級交換機，具備強大堆疊性能、環(huán)境適應能力、交換性能和QoS/ACL能力等，完全滿足用戶接入要求。另外考慮到今后升級能力，接入交換機需要能夠支持萬兆模塊，在今后需要時能夠平滑升級到萬兆骨干。辦公子網(wǎng)和用戶服務之間，以及這兩個子網(wǎng)對超級計算機房子網(wǎng)訪問控制經(jīng)過VLAN劃分和在關鍵交換機上配置訪問控制策略實現(xiàn)，基本策略應確保辦公子網(wǎng)和用戶服務子網(wǎng)對超級計算機房子網(wǎng)訪問，辦公子網(wǎng)和用戶服務子網(wǎng)之間不能相互訪問。1.4.1由5臺安全認證接入終端、1臺2/3層接入交換機組網(wǎng)，組成中心工作人員辦公環(huán)境，經(jīng)過千兆鏈路接入服務與管理區(qū)關鍵交換機。中心工作人員經(jīng)過辦公管理子網(wǎng)對超級計算機進行維護管理，利用Internet開展資料查詢、收發(fā)郵件、對外聯(lián)絡等工作。1.4.經(jīng)過CAE軟件界面交互式使用超級計算機是現(xiàn)在工業(yè)用戶使用超級計算機一個主要方式，這種方式存在一個主要問題是假如網(wǎng)絡因為延遲過大，或者丟包出現(xiàn)中止，那么就意味著一次計算失敗。為了處理以上問題，同時為用戶提供愈加優(yōu)質(zhì)超級計算體驗，在中心建立一個用戶服務環(huán)境，由12臺安全認證接入終端和1臺2/3層接入交換機組網(wǎng)而成，經(jīng)過千兆鏈路接入服務與管理區(qū)關鍵交換機。1.4.3用戶為了確保辦公管理子網(wǎng)和用戶服務子網(wǎng)全部終端接入正當性，中心內(nèi)部網(wǎng)絡將布署終端認證系統(tǒng)。認證系統(tǒng)由服務器和客戶端組成，終端認證系統(tǒng)服務器布署在網(wǎng)絡與安全管理區(qū)，每臺接入辦公管理子網(wǎng)和用戶服務子網(wǎng)終端安裝終端認證系統(tǒng)客戶端。在終端接入網(wǎng)絡時，首先由認證系統(tǒng)客戶端向認證系統(tǒng)服務器發(fā)起用戶名和密碼認證，只有經(jīng)過認證正當終端才能接入中心內(nèi)部網(wǎng)絡。1.5關鍵交換網(wǎng)絡設計主要包含1臺萬兆級關鍵交換機，以雙關鍵、雙鏈路、冗余互連組網(wǎng)結(jié)構來實現(xiàn)負載均衡和提升可靠性需求。關鍵交換機下聯(lián)依照不一樣區(qū)域確定采取萬兆或千兆鏈路，其中超級計算機房、DMZ、用戶服務區(qū)使用萬兆鏈路、安全管理區(qū)與辦公區(qū)使用千兆鏈路。1.5.1關鍵交換機擬采取1臺高性能交換機，具備良好設備冗余機制及擴展能力，首先要考慮設備本身硬件容錯能力，另首先要考慮今后網(wǎng)絡擴展能力。如：交換機支持電源、引擎、風扇等主要部件冗余、具備多個擴展插槽并良好支持安全模塊、10G等技術。超級計算資源層網(wǎng)絡設備經(jīng)過其內(nèi)部互連交換機使用一個萬兆端口上連至關鍵交換機上。1.5.2關鍵專線帶寬確保：在關鍵交換機上配置QoS服務，確保中心內(nèi)部骨干網(wǎng)每條鏈路能夠為專線用戶提供1000M獨占帶寬。支持硬件容錯能力：交換機支持電源、引擎、風扇等主要部件冗余、具備多個擴展插槽并良好支持安全模塊、10G等技術。1.6網(wǎng)絡地址規(guī)劃1.6各個功效區(qū)域服務器單獨劃分到一個網(wǎng)段中確保服務器安全。依照功效區(qū)服務器、終端功效和規(guī)模能夠劃分若干個VLAN，能夠把功效相近設備群組劃分到同一VLAN，不一樣性質(zhì)設備劃分到不一樣VLAN中去。不一樣VLAN之間流量必須經(jīng)過關鍵交換機或者防火墻完成，而且能夠經(jīng)過關鍵交換機或防火墻上ACL（訪問控制列表）來控制VLAN之間訪問。每個VLAN配置一個IP地址網(wǎng)段，VLAN之間經(jīng)過路由連通。1.6.2本網(wǎng)絡系統(tǒng)中，采取IPv4進行地址規(guī)劃。需要申請4或16個C類IP地址，用于云計算中心為互聯(lián)網(wǎng)提供服務地址。中心開放區(qū)域統(tǒng)一分配地址，采取互聯(lián)網(wǎng)保留地址172.16-31或10.0，每個子網(wǎng)分配1個C類地址段，必要時采取地址轉(zhuǎn)換技術。超級計算機房部分能夠配置靜態(tài)或動態(tài)路由協(xié)議，動態(tài)路由協(xié)議選取OSPF或EIGRP等路由協(xié)議。在互聯(lián)網(wǎng)出口上主要采取默認路由，通常來說Internet服務提供商不會與接入單位運行動態(tài)路由協(xié)議，所以在互聯(lián)網(wǎng)接入路由器上只需要一條默認路由指向ISP即可，ISP則經(jīng)過靜態(tài)路由完成到外網(wǎng)接入部分路由，多個ISP靜態(tài)路由可交給帶負載均衡功效防火墻設備來自動進行切換，確保網(wǎng)絡可靠性。1.7網(wǎng)絡基礎設施系統(tǒng)需求（1）關鍵交換機表3關鍵交換機選型推薦品牌性能指標CISCO6509,H3CS9512，華為S8512，深圳風云S9808模塊化機箱交換機，插槽數(shù)≥9槽配置引擎有效交換容量≥720GbpsIPv4三層包轉(zhuǎn)發(fā)率≥400Mpps，IPv6三層包轉(zhuǎn)發(fā)率≥200MppsMAC地址表≥64000全部端口缺省均支持MPLS功效,無需專門板卡實現(xiàn),無需升級板卡可支持10/100/1000M千兆自適應以太網(wǎng)端口≥384個可支持1000M千兆以太網(wǎng)光纖端口≥384個可支持10GE以太網(wǎng)端口≥64個可支持防火墻模塊IPv4路由表≥256000條，Ipv6路由表≥128000條支持L3路由國際標準協(xié)議：RIP/RIP2，OSPF，IS-IS，BGP-4支持視頻組播協(xié)議IGMPv1/v2/v3,IGMPSnooping，PIMSparse/DenseMode，DVMRP，MBGP，MSDP，SSM以及雙向PIM支持交換引擎冗余；在配置冗余處理引擎情況下，主處理引擎出現(xiàn)故障時能夠在不到1秒時間內(nèi)自動地完成故障切換，而且交換容量、交換性能保持不變，即單引擎情況下系統(tǒng)交換性能不會減半支持虛擬路由冗余負載均衡協(xié)議HSRP或VRRP或GLBP支持在線軟件升級，支持模塊化軟件，增強系統(tǒng)穩(wěn)定性，并便于維護、升級支持國際標準Radius/TACACS+/KERBEROSAAA認證接入支持多級User/Password設置支持ARP過濾和限制技術，預防ARP坑騙攻擊支持DHCP偵聽以預防假冒DHCPServer、DHCPRelay和動態(tài)ARP攔截以預防假冒MAC地址硬件支持交換機控制層保護機制支持SNMPv1、v2c、v3網(wǎng)管協(xié)議支持對本機和遠端交換機端口做流量鏡像（2）路由器表4路由器選型推薦品牌性能指標CISCO7609,H3CSR8812，華為NE40E-8配置引擎有效交換容量≥320Gbps三層包轉(zhuǎn)發(fā)率≥200MppsMAC地址表≥3模塊化機箱交換機，插槽數(shù)≥6槽全部端口缺省均支持MPLS功效,無需專門板卡實現(xiàn),無需升級板卡可支持10/100/1000M千兆自適應以太網(wǎng)端口≥192個可支持1000M千兆以太網(wǎng)光纖端口≥192個可支持10GE以太網(wǎng)端口≥32個IPv4路由表≥256000條，Ipv6路由表≥128000條支持L3路由國際標準協(xié)議：RIP/RIP2，OSPF，IS-IS，BGP-4支持視頻組播協(xié)議IGMPv1/v2/v3,IGMPSnooping，PIMSparse/DenseMode，DVMRP，MBGP，MSDP，SSM以及雙向PIM支持交換引擎冗余；在配置冗余處理引擎情況下，主處理引擎出現(xiàn)故障時能夠在不到1秒時間內(nèi)自動地完成故障切換，而且交換容量、交換性能保持不變，即單引擎情況下系統(tǒng)交換性能不會減半支持虛擬路由冗余負載均衡協(xié)議HSRP或VRRP或GLBP支持在線軟件升級，支持模塊化軟件，增強系統(tǒng)穩(wěn)定性，并便于維護、升級支持國際標準Radius/TACACS+/KERBEROSAAA認證接入支持多級User/Password設置支持ARP過濾和限制技術，預防ARP坑騙攻擊支持DHCP偵聽以預防假冒DHCPServer、DHCPRelay和動態(tài)ARP攔截以預防假冒MAC地址硬件支持交換機控制層保護機制支持SNMPv1、v2c、v3網(wǎng)管協(xié)議支持對本機和遠端交換機端口做流量鏡像（3）代理緩存表5代理緩存選型推薦品牌性能指標BluecoatSG,MicrosoftISA,CiscoCacheEngine設備功效和性能要求*支持各種文件格式HTML、RM、MOV、ASF、FLASH等內(nèi)容手動和自動分發(fā)具備自動更新CACHE內(nèi)容功效；提供PUSH和PULL內(nèi)容分發(fā)功效基于策略內(nèi)容分發(fā)功效，支持客戶定義策略支持對內(nèi)容優(yōu)先級、更新頻率設定等內(nèi)容管理功效提供對CACHE服務器中內(nèi)容監(jiān)視和控制功效能按需求生成份發(fā)內(nèi)容訪問情況統(tǒng)計匯報支持中心對CACHE中內(nèi)容集中式管理支持計費報表統(tǒng)計功效*能同時支持50個CACHE內(nèi)容服務器內(nèi)容分發(fā)管理管理及其余要求*提供遠程管理功效和命令行管理方式提供基于WEB管理界面提供基于SNMP協(xié)議圖形化網(wǎng)管，包含設備管理、故障管理、告警管理等功效，并能與HPOPENVIEW等管理平臺集成基于硬件內(nèi)容分發(fā)管理控制器，提供機架式安裝，使設備易于使用、管理和維護，占用較小設備機架空間支持電信級電源及板卡冗余*設備性能穩(wěn)定，可確保7天×二十四小時工作，設備可用率達成99.99%；設備支持協(xié)議支持HTTP1.0/1.1，F(xiàn)TP，HTTPS、NNTP、RTSP/RTCP/RTP、MMS、PNA、NECP等協(xié)議*支持ICP（InternetCachingProtocol）協(xié)議，并提供成功應用方案支持LDAP，RADIUS等用戶認證管理協(xié)議*支持WCCPV1和V2協(xié)議設備支持功效*支持透明緩存（TransparentCaching）和傳統(tǒng)代理緩存（ProxyCaching）等工作模式*支持CACHE級連及逐層內(nèi)容分發(fā)安全性上支持針對SSL/SSH應用*應支持針對URL過濾功效，能夠過濾掉特定站點特定內(nèi)容支持Wensense、SmartFilter等過濾機制支持動態(tài)過濾功效支持內(nèi)容主動動態(tài)刷新方式支持URLRewirte功效支持廣告插播功效支持Pipeline技術*支持L4重定向功效支持L3/路由器策略路由重定向(PolicyRouting)支持DNS重定向，并提供成功應用方案支持REAL、WMT、QT等多個媒體服務器用戶管理認證方式支持多個CACHE內(nèi)容服務器Cluster功效可高速緩存DNS項并提供方案支持傳統(tǒng)CACHE功效，并同時支持Real，MicrosoftMedia，等主流中低速流媒體格式內(nèi)容高速緩存，能提供對其余中低速流媒體擴展支持，支持RealProxy功效支持智能流支持基于MPEG1/MPEG2/MPEG4標準流緩存和代理服務，并提供成功應用方案支持流媒體應用proxyrouting功效支持Real，MicrosoftMedia等直播、點播系統(tǒng)STREAMSPLITTING功效支持Real，MicrosoftMedia等多媒體流MULTICAST與UNICAST之間相互轉(zhuǎn)換與RELAY功效采取高效內(nèi)容命中率算法和方法并提供方案，使內(nèi)容命中率>70%單臺設備服務性能支持并發(fā)用戶數(shù)>=10000個*支持流服務能力>=500M*支持http服務能力>=300CACHE內(nèi)容響應時間<=10毫秒設備擴展性及其余能力*緩存磁盤容量>200G支持電信級電源及板卡冗余*提供>=2個1000M以太網(wǎng)光接口或>=4個