基层央行业务网超融合平台探索.docVIP

基层央行业务网超融合平台探索 摘要：业务网超融合平台是人民银行邵阳市中心支行解决信息系统“孤岛式的建设和应用模式”的重要举措，是信息系统虚拟化建设道路上一个非常重要的尝试。本文介绍了该平台的建设、完善过程和主要做法，并对实际运维情况进行小结。 关键词：金融科技；超融合平台；运维 一、引言 当前，人民银行信息化建设发展迅速，但基层央行在系统的上线及运维方面，一直以来都存在“孤岛式”的建设和应用弊端，存在建设周期长、资源利用率低等问题，数据的安全性及工作效率有待提高。中国人民银行邵阳市中心支行（以下简称“人行邵阳中支”）为了解决弊端，积极探索虚拟化建设，于2017年11月初立项建设业务网超融合平台，2018年1月18日正式上线。在实际运行过程中，该行不断总结、不断探索，先后进行了2次升级（一次平台架构升级、一次网络结构升级），逐步完善平台，最终圆满达成了建设目标。 二、探索背景 （一）平台拓扑简单，风险抵御能力不足。在平台建设初期，人行邵阳中支决定整个平台的建设分多步进行，首期升级原有闲置服务器的硬件配置，在此基础上搭建一个双节点超融合架构平台，今后再根据需要逐步升级平台。初期的拓扑如图1所示。初期平台上创建了服务器网段、安全设备网段、测试网段等3个虚网，迁移了公文流转、TIPS前置系统，邵阳金信港、邵阳电子设备管理系统，远程培训课程分发子系统主机、远程培训课程分发子系统主机和备机等6个在用应用系统，后期又创建了6个用于测试的云盘系统虚拟机。平台CPU、内存、存储资源充足，完全能满足所有虚拟机运行及数据实时备份的需求。但是在双节点架构运行时，一旦其中一个节点故障，在故障节点修复前平台的运行压力将急剧增加，可能影响某些部署在平台上的系统的流畅性。同时，还将暂时出现单点风险。（二）局域网拓扑过时，效率及安全性有待提升。一是从平台拓扑结构及局域网拓扑结构上来看，业务出口分别用千兆双绞线与两台核心交换机相连。实际上，由于两台核心交换机通过传统“MSTP+VRRP”架构进行组网连接，平台两条业务出口线路中有一条处于阻断状态，其网络利用率最多只能达到50%。局域网拓扑亟待优化，平台入网连接方式有待改进。中心网络的可靠性及转发能力亟待提高。二是从网络管理层面来看，平台上线后，业务网的业务系统、平台软件等全部部署在同一个虚网内（服务器虚网），无法做到对平台访问控制的最小权限配置，不便于对服务器进行分类管理及精细化访问控制，存在一定的风险隐患。（三）运维不够深入，平台功能有待深挖。平台上线后，人行邵阳中支组织力量平稳地将现行的业务系统逐一迁入平台，实现了业务系统的实时备份。管理员每天巡检平台实体机的工作状态，登录平台查看虚拟机的状态，并在业务系统维护前保存快照。监控和运维手段比较单一，未能完全发挥出超融合平台的智能化功能。 三、主要做法 （一）升级平台架构，提升平台健壮性。为了解决平台风险抵御能力不足的隐患，并扩充平台的存储空间，人行邵阳中支新购入了一台服务器，把平台升级到3节点架构。新的架构充分考虑冗余设计，提升了平台的容错能力，如极大地降低了平台在硬件和线路两个方面的单点隐患。硬件方面，由于服务器数量增加到3台，在一台实体机故障宕机的情况下，平台完全有能力支撑目前的所有业务正常运行，为故障机器的维修恢复提供了充足的时间。线路方面，平台的业务出口和存储通信均采用冗余连接。每台服务器分别分配2个业务端口连接至2台核心交换机，2个存储通信端口连接至2台存储通信交换机，其中任何一条线路或交换机故障均不会影响平台的正常运行。由于服务器端口资源有限，管理端口和VXLAN通信端口暂时不做冗余连接。平台升级后的拓扑如图2所示。（二）优化网络结构，拓展平台高效性。为了从网络层面上拓展平台的高效性，人行邵阳中支对业务网核心交换机进行了虚拟化升级。经过充分的市场调研及可行性验证，在现网设备上增加了两块堆叠板卡和两块万兆业务板卡，通过堆叠板卡组建CSS系统，实现了核心交换机虚拟化。接下来，人行邵阳中支将原有的平台实体机与核心交换机之间的所有连线进行了聚合，实现了业务出口的负载均衡。这样，在扩容网络效率的同时，保护了已有投入，同时简化了设备的配置和管理，提高了系统的可靠性。因此，网络利用率、切换速度等方面都有了大幅度提升。核心交换机虚拟化升级后平台的拓扑如图3所示（三）细化网络管理，提高平台安全性。根据人行邵阳中支局域网IP地址的应用现状及今后虚拟化建设的发展需求，该行将服务器生产区划分为应用服务器、平台服务器、存储服务器、特殊服务器等4个虚网。其中，原服务器网段变更为应用服务器网段。应用服务器子网段主要部署对外提供服务的应用系统（如当前在用的所有应用系统），平台服务器子网主要部署超融合平