2022年數(shù)據(jù)中心解決方案

1、數(shù)據(jù)中心解決方案2022/8/13Page 2Contents總體網(wǎng)絡(luò)概述數(shù)據(jù)中心業(yè)務(wù)實(shí)現(xiàn)高可靠性安全保護(hù)數(shù)據(jù)中心網(wǎng)絡(luò)概覽Page 3互聯(lián)網(wǎng) 防火墻匯聚交換機(jī)核心路由器IDS/IPS備份數(shù)據(jù)中心服務(wù)器群網(wǎng)絡(luò)運(yùn)維中心SAN交換機(jī)磁盤(pán)陣列DWDM負(fù)載均衡器IDC 業(yè)務(wù)區(qū)企業(yè)應(yīng)用區(qū) 電信業(yè)務(wù)區(qū) NMSKVM SW管理網(wǎng)絡(luò) 接入層交換機(jī)業(yè)務(wù)網(wǎng)絡(luò) 備份和存儲(chǔ)網(wǎng)絡(luò) 數(shù)據(jù)中心網(wǎng)絡(luò)模塊SAN存儲(chǔ)備份服務(wù)器MPLS 骨干網(wǎng) 三網(wǎng)分離的數(shù)據(jù)中心網(wǎng)絡(luò)業(yè)務(wù)網(wǎng)絡(luò)、管理網(wǎng)絡(luò)和備份網(wǎng)絡(luò)流量分離，服務(wù)器通過(guò)不同的網(wǎng)卡分別接入不同的網(wǎng)絡(luò)，通過(guò)數(shù)據(jù)中心骨干網(wǎng)絡(luò)進(jìn)行互聯(lián)分離的網(wǎng)絡(luò)可以保證數(shù)據(jù)中心網(wǎng)絡(luò)的高性能及高安全性，同時(shí)方便管理

2、Page 4業(yè)務(wù)網(wǎng)絡(luò) NAS/備份網(wǎng)絡(luò)SAN存儲(chǔ)網(wǎng)絡(luò)網(wǎng)管網(wǎng)絡(luò)HBA帶內(nèi)網(wǎng)管帶外網(wǎng)管網(wǎng)管網(wǎng)絡(luò)業(yè)務(wù)網(wǎng)絡(luò)備份存儲(chǔ)網(wǎng)絡(luò)DC骨干網(wǎng)數(shù)據(jù)中心管理網(wǎng)絡(luò)管理網(wǎng)絡(luò)全部采用單鏈路實(shí)現(xiàn)服務(wù)器支持帶內(nèi)管理（網(wǎng)卡）和帶外管理（KVM網(wǎng)絡(luò)）運(yùn)維中心可以通過(guò)KVM直接管理數(shù)據(jù)中心里的服務(wù)器，也可以通過(guò)KVM操作網(wǎng)管系統(tǒng)，通過(guò)帶內(nèi)網(wǎng)管間接管理數(shù)據(jù)中心里的服務(wù)器Page 5IDC 業(yè)務(wù)區(qū)企業(yè)應(yīng)用區(qū) 電信業(yè)務(wù)區(qū) 網(wǎng)管系統(tǒng)防病毒服務(wù)器KVM認(rèn)證中心KVM交換機(jī)匯聚數(shù)據(jù)交換機(jī)網(wǎng)絡(luò)運(yùn)維中心Internet KVM交換機(jī)數(shù)據(jù)中心存儲(chǔ)備份網(wǎng)絡(luò)存儲(chǔ)支持SAN和NAS存儲(chǔ)，滿(mǎn)足不同的業(yè)務(wù)需要（數(shù)據(jù)庫(kù)和文件級(jí)）備份時(shí)，服務(wù)器使用一個(gè)網(wǎng)卡連接備份

3、網(wǎng)絡(luò)，使用NAS存儲(chǔ)時(shí)，可復(fù)用此網(wǎng)卡備份網(wǎng)絡(luò)一般通過(guò)GE/10GE/DWDM光纖網(wǎng)絡(luò)連接二級(jí)數(shù)據(jù)中心進(jìn)行異地?cái)?shù)據(jù)備份，當(dāng)然也可以直接進(jìn)行本地備份Page 6SAN交換機(jī)磁盤(pán)陣列備份服務(wù)器磁帶庫(kù)磁盤(pán)陣列備份數(shù)據(jù)中心DWDMZone 1Zone 2 Zone 3 存儲(chǔ)網(wǎng)絡(luò)NAS/備份網(wǎng)絡(luò)數(shù)據(jù)中心業(yè)務(wù)網(wǎng)絡(luò)典型組網(wǎng)模式網(wǎng)絡(luò)架構(gòu)采用業(yè)界成熟的三層架構(gòu)：接入、匯聚、核心防火墻和負(fù)載均衡器采用外掛匯聚層交換機(jī)的方式進(jìn)行部署，網(wǎng)絡(luò)層次簡(jiǎn)單，高靠性Page 7AggregationAccessCoreInternet MPLS backbone T bit路由交換平臺(tái)10G接口連接外網(wǎng):9300/NE40EFW

4、、負(fù)載均衡器IPS/IDS在此部署， 保證網(wǎng)絡(luò)安全，提高網(wǎng)絡(luò)效率:5300/9300G bit數(shù)據(jù)接入，大容量考慮引入堆疊及上行端口聚合：5300系列彈性的網(wǎng)絡(luò)架構(gòu)接入層和匯聚層可以根據(jù)需要進(jìn)行擴(kuò)展大型網(wǎng)絡(luò)采用分區(qū)設(shè)計(jì)，共享一個(gè)核心層；整個(gè)網(wǎng)絡(luò)分步建設(shè)、方面數(shù)據(jù)中心擴(kuò)容及管理交換機(jī)堆疊、鏈路聚合技術(shù)使網(wǎng)絡(luò)擴(kuò)容更加方便Page 8Internet MPLS backbone Aggregation Module 1Aggregation Module 2Aggregation Module nScalingScalingServer Farm Access Layer交換與路由層次劃分匯聚層交換

5、機(jī)二層和三層網(wǎng)絡(luò)的分界點(diǎn)，上面為三層路由，下面為二層交換使用負(fù)載均衡的服務(wù)器，網(wǎng)關(guān)在負(fù)載均衡器，不使用負(fù)載均衡的服務(wù)器，網(wǎng)關(guān)在防火墻Page 9Internet MPLS backbone L3路由L2交換服務(wù)器的分區(qū)設(shè)計(jì)服務(wù)器群根據(jù)業(yè)務(wù)的不同分為不同的業(yè)務(wù)區(qū)域，邏輯進(jìn)行業(yè)務(wù)隔離保障安全，防止跨區(qū)的越權(quán)訪問(wèn)和入侵、病毒感染根據(jù)業(yè)務(wù)重要性的不同進(jìn)行分區(qū)，可以提供不同的網(wǎng)絡(luò)服務(wù)水平，提供QOS保障多個(gè)業(yè)務(wù)區(qū)可共享一個(gè)匯聚層模塊，也可能一個(gè)業(yè)務(wù)區(qū)應(yīng)用多個(gè)匯聚層模塊Page 10Internet MPLS backbone 防火墻聚合交換機(jī)核心路由器IDS/IPSIDC業(yè)務(wù)區(qū) 企業(yè)應(yīng)用業(yè)務(wù)區(qū) 電信業(yè)務(wù)

6、區(qū) 網(wǎng)絡(luò)模塊服務(wù)器群接入交換機(jī)接入交換機(jī)負(fù)載均衡器接入交換機(jī)不同類(lèi)型服務(wù)器的接入位置中低端機(jī)架服務(wù)器，數(shù)量眾多，通過(guò)接入層交換機(jī)接入；高端服務(wù)器/大型機(jī)，數(shù)量較少且重要性高，直接接在匯聚層交換機(jī)上，保證帶寬；沒(méi)有內(nèi)置交換機(jī)的刀片服務(wù)器，通過(guò)接入層交換機(jī)接入；內(nèi)置交換機(jī)的刀片服務(wù)器，直接接在匯聚層交換機(jī)上，減少交換網(wǎng)絡(luò)的層級(jí)，提升網(wǎng)絡(luò)性能；Page 11Internet MPLS backbone 沒(méi)有內(nèi)置交換機(jī)的刀片服務(wù)器內(nèi)置交換機(jī)的刀片服務(wù)器中低端機(jī)架服務(wù)器高端服務(wù)器/大型機(jī)服務(wù)器的三層架構(gòu)基于Web的應(yīng)用程序一般采用Web、application、database 三層架構(gòu)，各層之間通過(guò)防

7、火墻進(jìn)行安全隔離；處于性能考慮，web-app-db之間可以采取ACL實(shí)現(xiàn)三種不同類(lèi)型的服務(wù)器網(wǎng)絡(luò)連接采用不同的VLAN來(lái)識(shí)別三個(gè)VLAN的流量都經(jīng)過(guò)負(fù)載均衡和防火墻，所以負(fù)載均衡和防火墻可以為三個(gè)層次所共用三個(gè)層次也可以直接用物理網(wǎng)絡(luò)進(jìn)行劃分，服務(wù)器之間部署交換機(jī)，同時(shí)附帶防火墻和均衡器，網(wǎng)絡(luò)層次過(guò)多，成本高，不推薦使用Page 12WEB VLANAPP VLANDB VLANWEBAPPDB數(shù)據(jù)中心核心 Internet 數(shù)據(jù)流WEBAPPDB物理防火墻ACL實(shí)現(xiàn)ACL實(shí)現(xiàn)Page 13Contents總體網(wǎng)絡(luò)概述數(shù)據(jù)中心業(yè)務(wù)實(shí)現(xiàn)高可靠性安全保護(hù)統(tǒng)一的數(shù)據(jù)業(yè)務(wù)承載在同一組網(wǎng)模型下滿(mǎn)足3種

8、不同用戶(hù)對(duì)防火墻和負(fù)載均衡器的需要Page 14邏輯圖物理連接圖L3 linkTrunkTrunkTrunk匯聚交換機(jī)心跳線心跳線心跳線（1）不需要（3）只需要FW（2）需要FW和LB接入交換機(jī)黃線：Trunk鏈路黑線：L3鏈路（1）不需要（3）只需要FW（2）需要FW和LB防火墻和負(fù)載均衡部署防火墻對(duì)內(nèi)隔離不同的VLAN，提供三個(gè)VLAN接口（子接口），分別對(duì)應(yīng)WEB、APP和DB,對(duì)外隔離不同的分區(qū)，通常有一個(gè)或多個(gè)接口（子接口），對(duì)應(yīng)所屬的分區(qū)VPN，如IDC分區(qū)的IDC VPN 或Internet負(fù)載均衡對(duì)內(nèi)對(duì)外都只有3接口（或子接口），分別對(duì)應(yīng)WEB、APP、DB三個(gè)VLAN負(fù)載均衡

9、根據(jù)需要進(jìn)行部署，單臺(tái)服務(wù)器時(shí) 或者 APP與DB之間可能APP本身就進(jìn)行了均衡操作，此時(shí)數(shù)據(jù)流不需要通過(guò)物理負(fù)載均衡器Page 15WEBAPP對(duì)應(yīng)各VLAN的接口對(duì)應(yīng)各VLAN的接口DBWEBAPPDB對(duì)應(yīng)各VLAN的接口對(duì)應(yīng)各VPN Instance的接口VPN 1Internet 虛擬化設(shè)備業(yè)務(wù)流流程邏輯設(shè)計(jì)Internet Web，經(jīng)過(guò)物理防火墻和負(fù)載均衡器9 7 6 2Web App，ACL作安全，經(jīng)過(guò)負(fù)載均衡器1 8 3App DB，ACL作安全，不經(jīng)過(guò)負(fù)載均衡4 5Page 16匯聚交換機(jī)接入交換機(jī)心跳線心跳線Web serverDatabase serverApplicati

10、on server互連Trunk9邏輯連接圖黃線：Trunk鏈路1112業(yè)務(wù)流流程物理設(shè)計(jì)Page 17物理連接圖Web serverDatabase serverApplication server黃線：Trunk鏈路互連Trunk1211686匯聚交換機(jī)接入交換機(jī)Internet Web，經(jīng)過(guò)物理防火墻和負(fù)載均衡器9 7 6 6 6 2Web App，ACL作安全，經(jīng)過(guò)負(fù)載均衡器1 8 8 3App DB，ACL作安全，不經(jīng)過(guò)負(fù)載均衡4 5MPLS VPN 實(shí)現(xiàn)區(qū)域隔離和多站點(diǎn)互訪不同站點(diǎn)的同一分區(qū)間可以可以實(shí)現(xiàn)安全的互連互通，與在同一局域網(wǎng)無(wú)差別。這樣可以連通位于不同城市的機(jī)房，消除信息

11、孤島。同一類(lèi)型的業(yè)務(wù)可以分布式部署在不同的站點(diǎn)，增加業(yè)務(wù)部署的靈活性不同的分區(qū)間通過(guò)MPLS VPN實(shí)現(xiàn)路由的隔離，比只采用防火墻做隔離大大增加了安全性Page 18Internet / MPLS backbone IDC VPNData Center AData Center BIDC VPNEnterprise VPNTelecom VPNManagement VPNEnterprise VPNTelecom VPNManagement VPN同一站點(diǎn)和不同站點(diǎn)間的跨區(qū)域訪問(wèn)同一站點(diǎn)及不同站點(diǎn)的不同分區(qū)間的相互訪問(wèn)必須繞行Internet（物理上繞行核心路器）和經(jīng)過(guò)防火墻的安全過(guò)濾將來(lái)自其

12、它區(qū)域訪問(wèn)當(dāng)作來(lái)自Internet的訪問(wèn)，由防火墻過(guò)濾，確保安全Page 19Internet / MPLS backbone IDC VPNData Center AEnterprise VPNTelecom VPNManagement VPNInternet / MPLS backbone IDC VPNData Center AData Center BIDC VPNEnterprise VPNTelecom VPNManagement VPNEnterprise VPNTelecom VPNManagement VPN數(shù)據(jù)中心虛擬化實(shí)現(xiàn)分區(qū)的服務(wù)器屬于不同的MPLS VPN，匯聚層的防

13、火墻、負(fù)載均衡器通過(guò)虛擬化分別對(duì)應(yīng)不同的MPLS VPN，實(shí)現(xiàn)同一設(shè)備為多個(gè)分區(qū)所共享虛擬化實(shí)現(xiàn)資源合理分配，加強(qiáng)了可靠性，在某一分區(qū)遭受攻擊，資源緊張的情況下，其它分區(qū)仍可以正常工作Page 20MPLS BackboneAggregation Module 1Blue VRFRed VRFGreen VRFPEPEDC CoreInternetAggregation Module n交換機(jī)虛擬化multi-VRF（MCE）匯聚交換機(jī)通過(guò)部署multiVRF，把路由表分成多個(gè)邏輯路由，實(shí)現(xiàn)不同分區(qū)的三層業(yè)務(wù)隔離轉(zhuǎn)發(fā)引擎通過(guò)VPN ID索引不同的路由表，根據(jù)目的IP轉(zhuǎn)發(fā)到上行口配合防火墻和負(fù)載

14、均衡的虛擬化實(shí)現(xiàn)匯聚層不同業(yè)務(wù)分區(qū)的業(yè)務(wù)隔離Page 21分區(qū)2分區(qū)3分區(qū)1MPLS COREVRF1VRF2VRF3MPLS VPN起始點(diǎn)QOS設(shè)計(jì)總體上分6個(gè)優(yōu)先級(jí)。管理流量最高標(biāo)記為5（EF）其他按照業(yè)務(wù)重要程度和與客戶(hù)簽訂的SLA來(lái)確定優(yōu)先級(jí)等級(jí)自有業(yè)務(wù)標(biāo)記4（AF4）、3（AF3）大客戶(hù)金牌2 （AF2） 、銀牌1 （AF1） 其他為0（BE）Page 22增值業(yè)務(wù)自有業(yè)務(wù)大客戶(hù)其他接入設(shè)備端口根據(jù)所接業(yè)務(wù)標(biāo)記Internet / MPLS backbone 入口根據(jù)源和目的IP標(biāo)記Page 23Contents總體網(wǎng)絡(luò)概述數(shù)據(jù)中心業(yè)務(wù)實(shí)現(xiàn)高可靠性安全保護(hù)接入層可靠性設(shè)計(jì)接入交換機(jī)到

15、匯聚采用三角型的組網(wǎng)匯聚層的防火墻、負(fù)載均衡器等設(shè)備可以為多個(gè)接入層交換機(jī)對(duì)所共用冗余鏈路，倒換時(shí)間短VLAN可以跨接入交換機(jī)，靈活性高，方便部署可靠性： STP/RSTP/MSTPSmart Link/Monitor LinkLoopback detection服務(wù)器多網(wǎng)卡接入Page 24AggregationLayer 3Layer 2三角環(huán)路.1Q TrunkVlan 2Vlan 3Vlan 2MSTPSmart linkSmart linkLoopback detectionLoopback detectionSTP二層可靠性保護(hù)VLAN trunk實(shí)現(xiàn)接入交換機(jī)之間的二層互通MST

16、P破環(huán)防止轉(zhuǎn)發(fā)風(fēng)暴，同時(shí)應(yīng)用多生成樹(shù)實(shí)例，實(shí)現(xiàn)負(fù)載均衡秒級(jí)的故障恢復(fù)BPDU保護(hù)，防止邊緣端口惡意攻擊導(dǎo)致重新計(jì)算生成樹(shù)環(huán)路保護(hù)， 防止由于網(wǎng)絡(luò)擁塞導(dǎo)致BPDU沒(méi)有及時(shí)傳送引起端口狀態(tài)切換產(chǎn)生環(huán)路根橋保護(hù)，保護(hù)根橋的指定端口免受虛假BPDU攻擊導(dǎo)致?tīng)顟B(tài)切換TC（topology change）保護(hù)，防止頻繁的TC_BPDU報(bào)文導(dǎo)致ARP和MAC反復(fù)刪除，引起CPU過(guò)載Page 25802.1Q TrunkSTP root primaryActiveActiveDC Core STP root-protectionSTP loop-protectionSTP BPDU-protectionSma

17、rt link雙歸可靠性保護(hù)Page 26接入交換機(jī)雙鏈路上行到匯聚交換機(jī)，實(shí)現(xiàn)雙歸保護(hù)50ms的鏈路切換，雙歸應(yīng)用場(chǎng)景可取代MSTP實(shí)現(xiàn)高可靠鏈路保護(hù)獨(dú)有的monitor link特性，可檢測(cè)到匯聚交換機(jī)上行鏈路的端口狀態(tài)（port3故障）多Smart link實(shí)例實(shí)現(xiàn)業(yè)務(wù)的負(fù)載均衡Port1Port2Port3Port 4Port 5Smart link group: port1, 2Monitor link group : port3, 4, 5Layer 3Layer 2DLDP 和 環(huán)路檢測(cè)二層網(wǎng)絡(luò)交換機(jī)各端口之間部署DLDP（device link detection protoc

18、ol），用于檢測(cè)單向鏈路是否存在在部署STP的情況下，推薦部署，用于確保生成樹(shù)正確，不發(fā)生環(huán)路端口環(huán)路檢測(cè)（Loopback detection），部署在接入交換機(jī)與服務(wù)器相連端口，防止用戶(hù)組網(wǎng)或配置出現(xiàn)錯(cuò)誤Page 27DC Core Loopback dectionDLDPNIC Teaming 實(shí)現(xiàn)服務(wù)器多網(wǎng)卡捆綁服務(wù)器雙鏈路上行，實(shí)現(xiàn)雙歸保護(hù)網(wǎng)絡(luò)驅(qū)動(dòng)程序?qū)⒍鄠€(gè)網(wǎng)卡捆綁成一個(gè)網(wǎng)卡一個(gè)網(wǎng)卡失效，另一個(gè)接管它的MAC地址服務(wù)器使用同一個(gè)IP進(jìn)行訪問(wèn)Page 28ActiveStandbyActiveDisableIP=192.168.1.1MAC=00e0.fc00.1111IP=192.1

19、68.1.1MAC=00e0.fc00.1111NormalFailure匯聚層可靠性VRRP匯聚交換機(jī)之間配置多個(gè)VRRP組實(shí)現(xiàn)備份和負(fù)載分擔(dān)負(fù)載均衡設(shè)備和防火墻之間分別建立VRRP組實(shí)現(xiàn)備份上述VRRP組的心跳通過(guò)匯聚交換機(jī)之間的Trunk鏈路進(jìn)行交互BFD實(shí)現(xiàn)加快VRRP組心跳檢測(cè)，實(shí)現(xiàn)50ms快速倒換Page 29DC Core VRRP1VRRP1VRRP2VRRP3VRRP3VRRP4VRID2 masterVRID4 backupVRID2 backupVRID4 masterVRRP條件下的故障切換二層雙歸保護(hù)可以是MSTP或者Smart link防火墻故障處理同負(fù)載均衡器防火墻和負(fù)載均衡器同匯聚交換機(jī)之間的保護(hù)通過(guò)鏈路聚合完成Page 30（A）（C）（B）（D）鏈路聚合聚合分為兩種：靜態(tài)聚合，動(dòng)態(tài)聚合（LACP）提供更高的帶寬，同時(shí)進(jìn)行負(fù)載分擔(dān)鏈路備份，提高可靠性Page 31FE/GELACPWhen bandwidth is not enough?When link fault?DC Core 核心層網(wǎng)絡(luò)拓?fù)鋵?duì)于中小型網(wǎng)絡(luò)，推薦雙核心備份對(duì)于大型或可靠性要