人才市场信息中心-网络技术方案.docVIP

人才市场数据中心 网络平台建设解决方案 神州数码网络有限公司 2012-2目 录 第一章、 数据中心网络平台建设方案 3 1.1、总体设计概述 3 1.2、数据中心运维管理中心 5 1.3、数据中心互联网出口解决方案 7 1.4、网络行为监控 9 1.5、网站应用安全防护解决方案 10 数据中心网络平台建设方案 1.1、总体设计概述 在本次项目中以建设新数据中心为主，并且为XX信息化公共服务平台构建良好的基础架构。首先建立双核心的数据中心交换机DCRS-6804E，主备冗余的方式连接到边缘多核安全网关DCFW-1800E-8G。数据中心互联网出口部署一台高端路由器DCR-7803负责高速NAT处理和多出口链路负载均衡。数据中心交换机与各服务器之间部署WAF网站应用防火墙设备，针对应用层实施24小时不间断安全防护，同时提供防篡改服务。 网络架构如下图： 根据我们本次方案在结构上稳定性、高可靠性和在技术具有高稳定、高性能的原则，在数据中心核心我们建议次采用两台DCRS-6804E作为数据中心核心交换机，为了增加服务器的安全性和数据流量的负载分担，在核心交换机与服务器之间挂一台DCFW-1800E-WAF506，通过WAF506负载均衡功能实现服务器的集群负载。同时WAF506的抗DDOS攻击、敏感信息过滤、网页防篡改、漏洞扫描等功能可以实现网站服务器的事前、事中、事后全方位立体防护。Internet出口，使用一台神州数码高端安全网关DCFW-1800E-8G，同时连接电信和移动的双出口，并配置出口多链路负载均衡。 DCRS-6804E采用控制平面和数据平面完全分离架构，两台DCRS-6804E中无论哪以太出现故障，另一台DCRS-6804E交换机都可以在不丢包的情况下承载所有数据的转发工作。同时，每台交换机我们都采用双电源冗余确保设备的稳定运行。DCRS-6804E交换机其交换容量1.2Tbps 以上，支持万兆、千兆以太网等多种的数据类型接口，强大的转发性能和丰富的接口可以充分的保障数据的线性转发。本次项目中，作为核心交换机，我们建议配置一块万兆模块用于两台DCRS-6804E的互联。我还建议配置一块24口的以太电接口卡用于连接管理系统、审计系统及服务器区，并留存一些端口给以后的升级做预留。同时再配置12口千兆光接口连接出口安全网关，或作为异地备份以太网光接口。DCRS-6800E系列是神州数码网络以业务智能化为核心理念的多业务万兆路由交换机。该产品具备成熟的IPv6特性、线速MPLS L2/L3 VPN功能、多平面分离的高可靠性设计、高性能的L2/L3交换、丰富精细的QoS策略、强大的融合业务支持、整合安全特性。它能够帮助用户切实提升商务效率和业务竞争力。 本次项目中，集成高性能WS-SVC-FWM-1-K9模块和ACE20-MOD-K9模块的两台Cisco 6509E配合能够提供720Gbps的SUP720高性能的引擎，组成虚拟交换系统（VSS）架构，两台Cisco 6509E可以虚拟成一台双引擎高性能安全、负载军行设备，对进入UCS统一计算平台的数据流量进行安全控制，减少故障点的同时为了保障每一台服务器稳定运行，可以通过ACE20-MOD-K9对数据流量进行负载分担。WS-SVC-FWM-1-K9防火墙服务模块（FWSM）是一个Catalyst 6500系列多千兆位防火墙模块，最高可以支持250个虚拟防火墙，每一个虚拟防火墙都有着独立系统资源和自己独立的路由表。5Gb的吞吐量，以及一百万个并发连接。在一个设备中最多可以安装四个FWSM，因而每个设备最高可以提供20Gb的吞吐量。ACE20-MOD-K9采用了一组智能第4层负载均衡和第7层内容交换技术，使用虚拟化架构和基于角色的管理支持系统和会话冗余，能够在系统或网络出现故障时自动切换至备份Cisco ACE，切换可以自动发生执行，不需要人工干预。支持状态化故障切换（stateful failover），为企业网络环境提供弹性网络保护。支持主备和双活冗余拓扑，支持配置同步。 在本次项目中，主备防火墙模块虽然分插在两台Cisco6509E机框中，但是由于采用了VSS架构，因此逻辑上视作在同一台交换机中，两块FWSM模块通过背板Trunk连接，采用一主一备（A/S）模式，通过两对VLAN实现failover的状态监控和状态同步。相同原理，两块ACE模块运行主备（A/S）模式，也通过VLAN进行两块模块的状态监控，实现时时的主备冗余。 在我们此次的数据中心建设中，配置一块4端口全限速万兆模块（WS-X6704-10GE），用于连接经过虚拟化后处于不通vDC的Nexus 7010，逻辑结构流量将从核心交换机Nexus 7010虚拟机4到Cisco 6509E 防火墙模块再次穿过N