政务云平台网络架构、功能架构、相关方和供应商、安全监测年度总结报告模板、关键软件组件硬件部件清单.pdfVIP

GB/TXXXXX—XXXX

A

A

附录A

（规范性）

政务云平台网络架构

基于GW0013—2017的政务云业务区域划分，典型政务云平台网络架构如图A.1所示。

图A.1政务云平台网络架构

政务云平台的网络架构通常包括两个物理区域：

a)互联网业务区与互联网联通，用于承载政务部门面向互联网的业务，如政府门户网站等；

b)公共业务区连接国家电子政务外网，用于承载政务部门内部业务。两个业务区之间通过专用的

数据交换设备实现业务与数据的交互。

注：政务云两个物理区域在架构上与公有云的可用区（AZ）相似，其差异为：在公有云中，不同AZ之间网络是互

联的，数据流是互通的，租户业务系统可在AZ之间自由迁移和部署；而在政务云中，两个区域之间的数据流

动受到严格控制，不同区域的租户业务系统不可自由迁移或部署。

两个业务区内部，通过网络设备（或VLAN）建设有三个不同用途的子网络，这三个子网络之间不

存在直接的网络连通性。

注：直接的网络连通性通常指通过IP地址寻址或NAT技术，实现基于TCP/IP协议的通信能力。

两个业务区内部的三个子网络分别为：

a)承载租户数据的“租户网络”；

b)承载政务云平台管理运维数据的“管理网络”；

c)专用于存储目的的“存储网络”。

政务云平台的物理设备会根据其功能连接到这三个子网络，其中：提供计算资源的计算节点会连

接三个网络，通过租户网络承载租户业务，通过管理网络接收资源调度与管理，通过存储网络访问存储

节点的存储资源；提供存储资源的存储节点也会连接三个子网络，通过存储网络为计算节点提供专用存

27

GB/TXXXXX—XXXX

储服务，通过租户网络为租户提供网络化的存储服务，并通过管理网络接收统一的资源调度与管理；网

络交换设备可根据实际需求提供TCP/IP报文交换、网络接入、VLAN划分、子网隔离及子网互联访问控

制等功能；专用安全设备与数据交换设备通常接入租户网络和管理网络，提供相关服务，并接受统一管

理。两个区域的网络都会在出入口部署一系列互联安全设备（一般包括防火墙、入侵检测系统IDS、抗

DDoS等），分别保障互联网和政务外网的接入安全。

政务云平台还会设立本地运维网络，用于接入本地专用运维终端。本地运维网络通过安全设备同

时接入两个业务区域的管理网络，以保障运维安全。

部分政务云平台会提供远程运维能力，因此会建立远程运维网络。该网络会接入专用远程运维终

端，并经过远程专用安全设备、互联网（或VPN、专网）以及政务云平台互联网业务区的互联安全设备，

最终接入政务云平台的远程运维安全设备。远程运维安全设备会与远程运维网络或终端建立加密VPN，

并实施必要的接入安全检查和多因素身份验证，以提升远程运维安全性。远程运维的数据会导向本地运

维网络中的堡垒机，以进一步保障远程运维安全。

两个业务区建设完全独立的计算节点群和存储节点群，分别构成计算资源池和存储资源池。根据

技术路线的不同，计算资源池可由同构或异构的计算节点群构成。计算节点除了提供通用CPU计算资源

外，还可通过安装专门计算模块（如GPU模块、NPU模块）提供面向特定用途的专业计算资源，例如用

于AI训练和推理。存储节点可由通用服务器加载大容量存储介质构成，也可由专用存储节点组成（如

SAN存储盘阵）。

2288

GB/TX