容灾方案：密保统一验证灾备机制.pdfVIP

Secretsecurityunified

verificationdisasterrecovery

solution

TencentTechnology(Shenzhen)Co.,Ltd.

Allrights.

Infringementwillbe

prosecuted

修订记录

DateRevision修改描述Authorreview

本

1.0Summarizeexistingdocumentscanzhangisaacxing

andcreateversions

1.1描述整理isaacxing

2009-8-21.1.1补充说明Isaacxing

1

一、背景和概述

当出现IDC断网,机器down掉等异常时,考虑到的情况，统一安全验证可能数小时不

能正常服务。

希望所有业务具备ip自动切换能力,避免单点故障;

对于像登陆,个帐这样的基础重要业务(后面称为A类业务),当所有密保系统ip都不可用时,

需要跳过密保验证逻辑,避免业务中断.这也是公司提倡的”柔性可用”.

二、方案

1.安全多个接入服务器

目前安全的IDC服务器及部署情况：

172.27.32.17电信福永3楼IDC

172.23.148.179电信沙河IDC

172.16.131.33电信枢纽7楼IDC

172.23.150.162电信沙河IDC

业务可以根据自己的IDC部署情况从中选择两个或多个作为接入服务器并考虑负载均衡,至

少要选择两台不同IDC的接入服务器.

2.业务容灾

方案A(简单实现IP的自动切换,避免单点故障):

实现参考:对于每次操作,先随机IPi,如果IPi超时,则IPj(j!=i),如果IPj也超

时,则本次操作失败.

方案B(实时统计每个ip的可用情况,当所有ip都不可用时,跳过密保逻辑,避免业务中断):

注意:考虑到网络抖动,单次请求超时,业务不可跳过密保验证逻辑,直接失败即可,否则有

安全问题;

我们强烈建议业务尽可能采用方案B,尤其是A类业务.

另外,希望ip是可配置的,后续可能会根据网络情况调整ip部署,比如异地容灾.

方案B的一种实现例子,供参考:

初始为所有ip都可用.

每次都随机所有可用ip,并统计每个ip的请求和响应数量.如果某ip在60