机房综合安全运维管理系统设计方案.doc

德讯（上海）网络系统有限公司 德讯(上海)网络系统有限公司 地址：上海市中山西路999号华闻国际大厦1209室 电话：021 传真：021机房综合安全运维管理系统设计方案 某数据中心机房规模大概30个机柜，每个机柜平均8台设备，总计约240台设备。设备类型包括服务器、小型机、刀片式服务器、虚拟服务器、路由器、交换机、防火墙、负载均衡产品等等。设备种类繁多，维护手段复杂多样，缺乏统一的安全监管机制。因此，机房综合安全运维管理系统的建设需要涵盖三个大的方面：安全性运维管理、带外管理和远程电源控制。 其中安全性管理尤为重要，对于来自外部的威胁，可以采用防火墙、入侵监测等产品。但对于来自内部人员（合法用户）的一些误操作，滥用权力，有意犯罪，越权访问机密信息，或者恶意篡改数据，缺乏管理机制，这些更加难以防范。需要相关的安全审计产品予以监督，能够做到时候有据可查，对于误操作、或者恶意事件能够追溯，也可以对内部人员的操作起到很好的警示作用。 对于带外管理，要求能够实现对机房的所有服务器和网络设备提供远程集中统一控制管理，并要求对所有的远程用户操作记录审计。用户在远程办公室通过TCP/IP进行访问。所有用户登陆时必须经过中央集中认证，认证通过后集中访问其权限内的所有设备。 对于远程电源控制，要求能够实现通过TCP/IP进行电源端口的开、关、重启操作，并要求能够实时监测电源的运行情况、供电参数，提供可视化的统计报表。 机房综合安全运维管理系统建设目标： a、从单点技术管理过渡到全面集中管理 计算机应用规模的扩大，对计算机管理提出了更高的要求。面对众多的计算机系统，仍采用一对一的方式，逐个控制和管理制约了计算机管理水平的进一步提高，无论是从现实情况，还是从发展的眼光看，都需要对服务器机房内的计算机主机系统实现集中控制管理。 b、从普通系统管理过渡到安全系统管理 建立健全操作授权管理机制：在目前的管理模式中，参与管理的技术人员的授权管理机制不健全，大多数系统管理是建立在对管理人员基本的信任基础上，但客观上是不科学的。应按照不同管理人员职责设定不同的管理权限，遵循“权限最小”原则，进行访问控制，提高系统安全性。 安全日志记录和审计：系统设备出现问题，技术人员即使进行解决，但解决的过程没有任何记录，不利于人员的考核和事件追踪，出现问题后责任无法分清。再则，厂商技术人员进行远程系统维护，维护过程不透明，系统管理员无法监督公司方的操作。这种缺乏维护记录和监督所产生的安全隐患是不容忽视的。 减少机房人员进出，提高物理安全性：内部主机运行机房是核心部位之一，应减少人员频繁进出，提高计算机设备的物理安全性。 c、从域本地管理过渡到远程控制管理 在企业普遍采用开放的IT构架的今天，管理上的孤岛现象依旧是普遍存在的，并且是影响IT系统技术支持能力的一个主要原因，这主要是没有全面解决远程技术支持问题。基于此，机房急需解决远程技术支持问题。 d、从“被动”系统监控管理过渡到“主动”系统监控管理 目前机房管理员在很多时候扮演的是一个救火队的角色。当分布在各地的网络、服务器或者应用出现各种突发故障时，管理人员必须快速地发现并解决问题，否则企业的业务就会受到影响，甚至会产生严重的后果。由于有太多潜在的随机因素会影响业务的可用性和性能，系统维护人员不得不以“问题驱动”的方式来开展工作，在管理系统的同时也被系统所管理，很难确保整个业务系统的“服务等级”或“服务品质”。 造成这一问题的原因是对系统实施监控管理的方式滞后。传统的系统监控管理工具一般采用“被动式”工作模式：监测各种系统的特征参数，根据监控管理策略（Policy）对情况做出判断和处理。显然，“出现问题后再解决”是很难适应“业务关键型”要求的。解决该类问题的途径就是引入智能化的手段，从而能够“主动”地监控管理系统。 方案拓扑图 方案设备配置说明 前期方案设计规模按照机房内30个机柜，每个机柜平均8台设备，服务器192台，网络设备和小型机等串口设备48台，总计240台设备来计算。 对于机房内192台各类服务器的带外KVM控制管理，我们设计采用12台DSE1016数字式KVM交换机对其进行集中控制管理；每台DSE1016设备的本地端我们设计用DS1700 LCD一体机连接，实现机房本地化管理。单台DSE1016设备支持1个IP操作用户和1个本地用户同时操作访问。对于48台网络设备的带外管理需求，我们设计采用1台32口的OCS32串口管理设备和1台16口的OCS16串口管理设备来实现。 对于所有服务器和网络设备的电源远程管理，按照双电源冗余供电考虑，我们设计采用60台8端口的NPC1