數(shù)據(jù)中心優(yōu)化方案

年4月19日數(shù)據(jù)中心優(yōu)化方案文檔僅供參考，不當(dāng)之處，請聯(lián)系改正。ＸＸ數(shù)據(jù)中心優(yōu)化方案ＸＸ數(shù)據(jù)中心優(yōu)化目標(biāo)：ＸＸ數(shù)據(jù)中心承載著ＸＸＸＸＸＸ服務(wù)平臺3.0及4.0的所有運(yùn)行環(huán)境，是整個業(yè)務(wù)的支柱，是數(shù)據(jù)存儲、信息交換和信息再加工的基礎(chǔ)，是提高核心競爭力之所在，沒有良好的技術(shù)支撐和保障，提供優(yōu)質(zhì)服務(wù)就無從談起。針對ＸＸ數(shù)據(jù)中心現(xiàn)階段存在的問題，我們希望經(jīng)過優(yōu)化能夠滿足高密度、高容量、高安全性，而且具有高可靠性、可擴(kuò)展性的首要目標(biāo)，然后在此基礎(chǔ)上進(jìn)一步節(jié)省成本、節(jié)省空間、能夠在節(jié)能方面做得更好，而且使應(yīng)用的穩(wěn)定性更高。數(shù)據(jù)中心現(xiàn)有架構(gòu)：ＸＸ數(shù)據(jù)中心現(xiàn)有架構(gòu)如上圖所示：網(wǎng)絡(luò)接入采用雙線路，電信聯(lián)通各100M帶寬，經(jīng)過兩個H3C的U200UTM接入互聯(lián)網(wǎng)，辦公網(wǎng)絡(luò)共用了服務(wù)平臺的網(wǎng)絡(luò)并建立了到五一新干線的VPN連接；服務(wù)器采用3臺HPDL380物理服務(wù)器并做了虛擬化，將20多臺虛擬服務(wù)器分布到上面并開啟了FaultTolerance（容錯）；后端采用HPEVA6350，所有的數(shù)據(jù)都儲存在這一臺存儲設(shè)備內(nèi)。數(shù)據(jù)中心存在的問題及解決方案一．網(wǎng)絡(luò)方面問題1：防火墻承載能力不足現(xiàn)在采用的防火墻H3C的U200是一款低端的UTM設(shè)備，防火墻模式下200M的吞吐率，最大并發(fā)連接數(shù)為60000個，按照每用戶25個連接計算，兩臺防火墻雙線路共能支持5000用戶在線，如果考慮未來1萬用戶在線，設(shè)備已無法承受；另外較低的吞吐率也不利于帶寬擴(kuò)展，與主流防火墻1000M以上的吞吐率相去甚遠(yuǎn)。問題2：防火墻的防護(hù)能力差現(xiàn)有防火墻的防攻擊和反入侵能力較差，只有一些簡單的防護(hù)功能，無法應(yīng)付數(shù)據(jù)中心級別的安全保護(hù)要求，例如防DDOS攻擊、入侵檢測等，一旦遭遇上規(guī)模攻擊就會導(dǎo)致整個平臺癱瘓，另外如果開啟了UTM防護(hù)模式，最大連接數(shù)會降低到16000個，兩臺防火墻雙線路只能支持1200個在線用戶。問題3：平臺網(wǎng)絡(luò)和工作網(wǎng)絡(luò)混雜現(xiàn)在數(shù)據(jù)中心的業(yè)務(wù)平臺網(wǎng)絡(luò)和工作網(wǎng)絡(luò)混雜在一起，這對數(shù)據(jù)安全是一個很大的隱患同時對業(yè)務(wù)網(wǎng)絡(luò)穩(wěn)定性也會產(chǎn)生影響，特別當(dāng)出現(xiàn)中毒或者中木馬情況時，將會帶來不可估量的后果。解決方案：增加滿足需求的防火墻，考慮到未來發(fā)展需要，最大連接數(shù)至少達(dá)到達(dá)到500000，能夠同時承載0用戶在線，吞吐率至少達(dá)到1000M水平，同時需要有完整的抗攻擊和入侵保護(hù)系統(tǒng)，以下提供了兩個備選型號：參數(shù)\型號CiscoASA5525-IPS-K9JuniperNS-ISG-1000防火墻性能（最大吞吐量）2Gbps2Gbps防火墻性能（小包吞吐量）1Gbps1GbpsIPS（入侵防護(hù)）狀態(tài)吞吐量600Mbps1Gbps當(dāng)前最大連接數(shù)500000500000每秒新建連接數(shù)00IPS系統(tǒng)（防入侵、DDOS）有有，可升級入侵檢測IDP固定端口8個千兆口4個千兆口擴(kuò)展插槽1個，可升級6個千兆口2個，可升級8個千兆或2個萬兆口價格大約6萬元大約7萬元優(yōu)缺點總體性能達(dá)到需求，IPS防護(hù)狀態(tài)下性能稍差，可擴(kuò)展性稍差，需要購買帶IPS的版本，默認(rèn)不帶。性能較好，且能夠升級入侵檢測以及帶寬更高的接口，價格相對稍貴。調(diào)整網(wǎng)絡(luò)結(jié)構(gòu)，隔離平臺和工作網(wǎng)絡(luò)。申請了一條20M的線路，將獨立架設(shè)路由代理用于工作網(wǎng)絡(luò)，運(yùn)營平臺獨享兩條100M線路，保證安全和速度。二．服務(wù)器方面問題1：服務(wù)器都是單點模式現(xiàn)在平臺的所有服務(wù)器都是單點模式，只要一個點出現(xiàn)問題將導(dǎo)致整個系統(tǒng)癱瘓，另外單點的性能也不能滿足系統(tǒng)需求，會嚴(yán)重影響系統(tǒng)速度和用戶體驗。問題2：系統(tǒng)內(nèi)存和存儲容量不足根據(jù)性能測試以及現(xiàn)有情況分析，現(xiàn)有服務(wù)器內(nèi)存和存儲已不到一半，考慮到需要做集群負(fù)載均衡，系統(tǒng)在近期內(nèi)將會增加大量的服務(wù)器以及數(shù)據(jù)，現(xiàn)有的資源已經(jīng)完全不能滿足需求，同時還需要考慮一定冗余配置以保證災(zāi)難恢復(fù)轉(zhuǎn)移。問題3：UPS停電保護(hù)時間不足現(xiàn)有的UPS配備的電池容量僅僅能夠支撐硬件設(shè)備運(yùn)行10分鐘，這個時間對于數(shù)據(jù)中心進(jìn)行反饋和應(yīng)變處理不夠，很可能造成數(shù)據(jù)丟失和用戶體驗的不良影響。解決方案：平臺各節(jié)點必須要多節(jié)點負(fù)載和冗余，建議采用硬件負(fù)載均衡設(shè)備如F5，提高容災(zāi)能力和性能；現(xiàn)階段信息安全部將進(jìn)行系統(tǒng)級Web端負(fù)載均衡測試以檢驗可行性；數(shù)據(jù)庫端的集群由DBA部門進(jìn)行配置和測試。增加服務(wù)器內(nèi)存及存儲空間，以滿足上線需要。根據(jù)初步計算，即將增加的服務(wù)器和數(shù)據(jù)量需要的資源包括：3臺虛擬機(jī)服務(wù)器每臺增加64G內(nèi)存，共計192G；增加一個硬盤柜以及12塊硬盤，做Raid后達(dá)到18T容量。建議型號及價格如下：項目內(nèi)存硬盤柜硬盤（2T）數(shù)量每服務(wù)器8條，3臺服務(wù)器共計24條3臺36塊單價約600元約15000元約2500元總價14400元45000元90000元合計149400元增加UPS電池容量，建議至少保證所有設(shè)備在停電后運(yùn)行1個小時，以便于及時通知相關(guān)人員進(jìn)行數(shù)據(jù)保存以及安全關(guān)閉系統(tǒng)工作，同時也可防止某些關(guān)鍵任務(wù)需要較長時間關(guān)閉導(dǎo)致的問題發(fā)生。按照現(xiàn)有UPS的功率及負(fù)載建議型號及電池如下表：參數(shù)\型號湯淺免維護(hù)蓄電池12V65AH松下免維護(hù)蓄電池12V65AH型號NP65-12LC-P1265ST電壓12V12V容量65AH65AH數(shù)量1616單價700元680元合計11200元10880元附加說明另需電池柜及附件大約800元。軟件方面問題1：殺毒軟件非專用現(xiàn)在服務(wù)器上使用的殺毒軟件是免費的個人版殺毒軟件，穩(wěn)定性和安全性都不能滿足服務(wù)器系統(tǒng)的需要甚至還有廣告加載，而且沒有得到及時更新，起不到防護(hù)作用。問題2：沒有反垃圾郵件的策略郵件服務(wù)器沒有反垃圾郵件策略，也沒有用戶驗證以及任務(wù)調(diào)度功能，這樣容易導(dǎo)致服務(wù)器變成垃圾郵件發(fā)送者的跳板服務(wù)器或者發(fā)送過于頻繁，被郵箱運(yùn)營商和垃圾郵件列表封殺。問題3：各級別的備份缺失現(xiàn)在無論是從存儲級別、虛擬機(jī)級別或者應(yīng)用程序級別，都沒有備份策略，一旦發(fā)生問題，沒有任何恢復(fù)手段，將造成數(shù)據(jù)丟失的嚴(yán)重后果。解決方案：殺毒軟件更換為服務(wù)器專用版本，并保持更新。已選型版本介紹：ESET文件安全軟件服務(wù)器版專為服務(wù)區(qū)環(huán)境優(yōu)化設(shè)計ESETE文件安全軟件服務(wù)器版專為Windows服務(wù)器平臺需求優(yōu)化設(shè)計，保障系統(tǒng)流暢運(yùn)行、安全無虞。支持「內(nèi)核」版服務(wù)器系統(tǒng)新版本支持服務(wù)器系統(tǒng)內(nèi)核版，專為日常應(yīng)用進(jìn)行優(yōu)化，占用系統(tǒng)資源更少。官方授權(quán)購買網(wǎng)址，約600元/年每服務(wù)器，按需購買。確定郵件服務(wù)器及反垃圾郵件策略。正在開發(fā)的郵件服務(wù)器需要有反垃圾郵件功能、用戶驗證