华为数据中心解决方案-部署指南

1数据中心解决方案概述 1 1 2 32数据中心网络配置 4 4 4 17 21 23 272.2.1企业内部园区用户接入数据中心对 272.2.2企业网分支用户接入数据中心对网 292.2.3企业合作伙伴接入数据中心对网 312.2.4企业外部用户通过Internet接入数据 33文档版本01(2011-07-22)华为专有和保密信息1数据中心解决方案概述1.1方案简介术、通信技术的发展，数据中心已经成为企业信息化的核心，数l另一方面，通过WEB提供信息门户，建立和客户沟通的渠道，提供企l另外，数据中心还能够提供高性能计算的业务，如：3D渲染、药物研究、基在一个企业的数据中心中，可能同时有这三种典型业务，这些对于企业来讲，随着“数据大集中”的进展，越来越多的业务和华为数据中心解决方案主要侧重于对建设数据中心的网络部小型机构家庭大型分支机构Internet运营商1运营商2VPN园区网络楼宇园区核心园区网络WANiStackiStackWebAPPDB容灾备份数据核心/汇聚主数据中心网络iStackSDH/WDM小型机构家庭大型分支机构Internet运营商1运营商2VPN园区网络楼宇园区核心园区网络WANiStackiStackWebAPPDB容灾备份数据核心/汇聚主数据中心网络iStackSDH/WDM1.2典型组网园区及分支园区核心楼宇园区核心楼宇iStackDNSEmailWebAPPiStackDNSEmailWebAPP核心核心/汇聚ServeriStackExtranet区ServeriStackExtranet区iStack控制服务器备份控制区iStackIP存储区iStackServerWebWebAPP iStack精简式多层设计数据中心管理区iStack控制服务器备份控制区iStackIP存储区iStackServerWebWebAPP iStack精简式多层设计数据中心管理区WebWebiStack层 APPAPPWebWebiStack层 APPAPPFW扩展式多iStack设iStack计FCSwitchFC存储区核心交换机SDH设备FC交换机10GE链路汇聚交换机FC交换机10GE链路AP设备GE链路低端路由器广域网链路高端路由器堆叠线缆负载均衡服务器防火墙/IPS服务器存储设备图1-1是数据中心的典型组网图，该数据中心遵循了分区的设计原则。根据企业特点，依据业务系统的相关性、数据流的访问要求和系统安全控制的要求等，把数据企业内部访问的数据中心区域，通常称为内网区，企业提供给合作伙伴访问的数据中心区域，通常文档版本01(2011-07-22)华为专有和保密信息企业提供给Internet用户访问的数据中心1.3配套产品和版本V200R001C00版本及以上V100R006C00版本及以上V100R006C00版本及以上文档版本01(2011-07-22)华为专有和保密信息文档版本01(2011-07-22)华为专有和保密信息 2数据中心网络配置2.1数据中心基础网络配置四个区内部的网络连通性配置，不管从业务上来讲是否允许互通。基础网络之外的不2.1.1Intranet区配置灾备份数据中心核心交换机、小型园区中的核心交换lIntranet区核心/汇聚交换机之间-对于需要负载均衡服务的服务器，网关设置在负载均衡器上，服务器通过负载-其他服务器网关设置在防火墙上。-防火墙和负载均衡器采用双机热备方式，提高可靠性保护。l对于控制备份区，接入交换机配置堆叠后，只需要配置且网关配置在其接入交换机上。整区的交换XGE1/5/0XGE1/4/02/5/0/0XGE2/1/12/4/0/0XGE/0/0XGE2/2/0/0XGE1/2/0/0XGE2/2/0/1XGE1/1/1XGE1/1/2XGE2/3/0/1XGE2/1/2XGE1/1/1XGE1/2/0/1XGE2/1/1XGE1/3/0/1ExtranetACC-18ACC-17DMZACC-16XGE2/1/0/1XGE1/1/1XGE1/2/0/6ACC-15XGE2/1/1XGE2/2/0/5XGE2/2/0/6XGE1/1/1XGE2/1/1XGE1/2/0/5XGEACC-3ACC-4ACC-1 控制服务器备份控制区ACC-14ACC-13WebAPPDB精简式ACC-2ACC-9ACC-10Web WebACC-6ACC APPAPPACC-7ACC-8扩展式非Web应用设计ACC-12ServerACC-11XGE1/5/0XGE1/4/02/5/0/0XGE2/1/12/4/0/0XGE/0/0XGE2/2/0/0XGE1/2/0/0XGE2/2/0/1XGE1/1/1XGE1/1/2XGE2/3/0/1XGE2/1/2XGE1/1/1XGE1/2/0/1XGE2/1/1XGE1/3/0/1ExtranetACC-18ACC-17DMZACC-16XGE2/1/0/1XGE1/1/1XGE1/2/0/6ACC-15XGE2/1/1XGE2/2/0/5XGE2/2/0/6XGE1/1/1XGE2/1/1XGE1/2/0/5XGEACC-3ACC-4ACC-1 控制服务器备份控制区ACC-14ACC-13WebAPPDB精简式ACC-2ACC-9ACC-10Web WebACC-6ACC APPAPPACC-7ACC-8扩展式非Web应用设计ACC-12ServerACC-11l对于IP存储区，接入交换机配置堆叠后交换机XGE1/1/0/0XGE1/0/1/0/1XGE1/0/1XGE2/1/0/0XGE1/1/0/0XGE1/1/0/1XGE2/1/0/0文档版本01(2011-07-22)华为专有和保密信息XGE1/0/1XGE1/0/1文档版本01(2011-07-22)华为专有和保密信息连l因堆叠使能后，会影响端口编号，所以先把扁平化无环网络配置完成l配置端口描述信息l配置核心汇聚交换机-服务器网关在FW上：配置VLAN，相应接口加入VLAN，使服务器和FW在-服务器网关在LB上：配置VLAN，相应接口加入VLAN,使服务器和LB在相-配置接口IP地址及OSPF路由协议，实现核心汇聚交换机可以跟旁挂的FW、通l配置防火墙设备-登录防火墙设备，配置VRRP，VIP-配置防火墙IP和OSPF路由协议，实现路由可达-配置防火墙热备功能文档版本01(2011-07-22)华为专有和保密信息-配置防火墙防攻击和过滤功能l配置负载均衡设备-登录负载均衡设备，配置VRRP，VIP作为服务器-配置负载均衡功能，实现服务器负载均衡-配置静态路由，实现下一条路由可达FW上-配置负载均衡器热备功能l配置备份控制区接入交换机-配置VLAN，接口加入VLAN-配置接口IP、路由OSPF，实-配置防火墙功能-配置VLAN，接口加入VLAN-配置VLAN，接口加入VLAN-配置VLAN，接口加入VLAN1.配置扁平化无环网络a.在核心交换机上使能堆叠功能sysnameCORE-1setcssid1//如果没有修改过缺省值，该步骤可以省略cssenablesysnameCORE-2setcssid2cssenableb.在接入交换机上使能堆叠功能机就会自动选举主、备、从堆叠设备。如果当前交换机处于非堆叠状态，可以执行如下步骤使能sysnameACC-1stackslot1priority255//优先级越高，堆叠成功后就成为Masterstackenable文档版本01(2011-07-22)华为专有和保密信息文档版本01(2011-07-22)华为专有和保密信息在堆叠生效后，配置新系统名字为编号比较小的设备名，如COER-1CORE-1配置#interfaceeth-trunk1#interfacexgigabitethernet1/2/0/0eth-trunk1#interfacexgigabitethernet1/2/0/0eth-trunk1#ACC-1配置#interfaceeth-trunk1modelacp-static#interfacexgigabitethernet1/1/1eth-trunk1#interfacexgigabitethernet2/1/1eth-trunk1#Eth-trunk2Eth-trunk2Eth-trunk3Eth-trunk3Eth-trunk6Eth-trunk6Eth-trunk7Eth-trunk7Eth-trunk9Eth-trunk9接2.配置接口描述信息interfacexgigabitethernet1/2/0/0descriptionTo-[CE-1]XGE-1/1/13.配置核心汇聚交换机假设备份控制区里面的控制服务器网关配置在FW上VLAN划分#vlan200//假定备份控制区所有服务器在同一个网段地址，只需要配置一个VLAN。#interfaceeth-trunk1//CORE-1跟ACC-1的逻辑接口容许VLAN200通过portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan200#interfaceeth-trunk6//CORE-1跟FW-1的逻辑接口容许VLAN200通过portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan200#interfaceeth-trunk7//CORE-1跟FW-1的逻辑接口容许VLAN200通过portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan200#上述配置只是针对一个VLAN的情况，如VLAN划分#vlan400//假定非Web应用区所有服务器在同一个网段地址，只需要配置一个VLAN#interfaceeth-trunk4//CORE-1跟ACC-11的逻辑接口容许VLAN400通过portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan400#interfaceeth-trunk8//CORE-1跟LB-1的逻辑接口容许VLAN400通过portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan400#interfaceeth-trunk9//CORE-1跟LB-1的逻辑接口容许VLAN400通过portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan400#上述配置只是针对一个VLAN的情况，如VLAN一个网关，请对照上述配置举例进行相关配置。另外LB下一跳为FW，在#vlan100//此VLAN用于FW跟LB同网段互通#interfaceeth-trunk6portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan100#interfaceeth-trunk7portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan100#interfaceeth-trunk8portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan100#interfaceeth-trunk9portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan100#c.配置接口IP地址及OSPF路由协议，实现网络各节点的VLANIF20VLANIF40机#vlan10#interfaceeth-trunk6portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan10#interfaceeth-trunk7portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan10#interfacevlanif10ipaddress24##ospf1import-routedirectareanetwork55network55network55network55network55network55network55#a.在进行FW相关配置前，需要先配置SPU为FW类型#sysnameFW-1#interfaceEth-trunk6#interfaceEth-trunk6.200control-vid200dot1q-terminationdot1qterminationvid200dot1qvrrpvid200ipaddress24vrrpvrid20virtual-ip54//此IP为备份控制区服务器网关地址vrrpvrid20priority120//此VRRP作为Masterarpbroadcastenable#interfaceEth-trunk6.100//此子接口用于跟LB进行通信control-vid100dot1q-terminationdot1qterminationvid100dot1qvrrpvid100ipaddress24vrrpvrid10virtual-ip54//此IP为LB下一跳网关vrrpvrid10priority120arpbroadcastenable#c.配置防火墙IP和路由，实现跟各区路由可达#interfaceEth-trunk6.10//此子接口用于跟核心汇聚交换机进行通信control-vid10dot1q-terminationdot1qterminationvid10dot1qvrrpvid10ipaddress24//FW-2对应子接口为/24arpbroadcastenable#ospf1import-routedirect//通过OSPF发布直连路由areanetwork55#FW-1配置#hot-standby-grouplocalpeersrc-data-port3001dst-data-port4001hot-standbyenableFW-2配置#hot-standby-grouplocalpeersrc-data-port4001dst-data-port3001hot-standbyenablee.配置防火墙防攻击、过滤功能l支持日志功能，流量统计和监控-拒绝服务型攻击-扫描窥探攻击-畸形报文攻击-Land攻击-Smurf攻击-WinNuke攻击-SYNFlood攻击-ICMP和UDPFlood攻击-PingofDeath攻击-地址扫描与端口扫描攻击-PingofDeath攻击-ICMP-Redirect和ICMP-Unreachable-攻击Teardrop攻击-Fraggle攻击-IP-Fragment攻击-Tracert攻击5.配置负载均衡业务a.在进行LB相关配置前，需要先配置SPU为LoadBalance类型setservice-typeload-balance#sysnameLB-1#interfaceEth-trunk8#interfaceEth-trunk8.200control-vid200dot1q-terminationdot1qterminationvid200dot1qvrrpvid200ipaddress16vrrpvrid20virtual-ip54//此IP为非Web应用设计区服务器网关地址vrrpvrid20priority120//此VRRP作为Masterarpbroadcastenable#interfaceEth-trunk8.100//此子接口用于跟FW进行通信control-vid100dot1q-terminationdot1qterminationvid100ipaddress24arpbroadcastenable#c.配置服务器负载均衡业务功能d.配置静态路由，实现下一条路由可达FW上iproute-static54#hot-standby-grouplocalpeersrc-data-port3001dst-data-port4001hot-standbyenable#hot-standby-grouplocalpeersrc-data-port4001dst-data-port3001hot-standbyenable#a.上行配置eth-trunk，跟#vlan100#interfacegigabitEthernet1/0/0portlink-typeaccessportdefaultvlan100#FW进行路由交互，以实现网络层可达。串行的防火墙可以配置二层防火墙VLAN划分，服务器端口加入VLAN请参考备份控制c.配置串行防火墙防攻击过滤功能则需要配置IP和OSPF路由协议。相关配置和该防火墙防攻击过滤功能请参看该设备该区接入交换机配置跟备份控制区接入交换机类似，具10.IP存储区该区接入交换机配置跟备份控制区接入交换机类似，具2.1.2DMZ区配置同来源的Internet用户返程数据返回到不同的lUTM设备集成IPS和防火墙功能，对Internet用户Internet运营商1运营商2主数据中心网络CORE-2Internet运营商1运营商2主数据中心网络CORE-2园区核心楼宇园区网络园区核心楼宇GE2/0/0GEGE2/0/0ARAR-1LLB-1UTM-2GE0/0/1iStackLB-3XGE1/1/1 DNSEmailDMZWebAPPCE-16XGE2/1/1GE1/0/1CE-15UTM-1LLB-2LB-4AR-2XGE1/2/0/5XGE2/2/0/5CORE-1XGE1/2/0/5XGE2/2/0/5CORE-1核心/汇聚CSSFWWeb服务器APP服务器Web服务器APP服务器--1.配置各设备接口描述、IP地址，配置路由协议OSPF，实现该区域路由整网可达#vlan20#interfaceeth-trunk10portlink-typetrunkundoporttrunkallow-passvlan1porttrunkallow-passvlan20#interfacevlanif20ipaddress24##ospf1import-routedirect文档版本01(2011-07-22)华为专有和保密信息areanetwork55#iproute-staticx.x.x.x2.服务器接入交换机划分VLAN，不同网段服务器接入#vlanbatch700701#interfacegigabitEthernet1/0/5portlink-typeaccessportdefaultvlan700#interfacegigabitEthernet1/0/6portlink-typeaccessportdefaultvlan700#interfacegigabitEthernet1/0/7portlink-typeaccessportdefaultvlan701#interfacegigabitEthernet1/0/8portlink-typeaccessportdefaultvlan701#interfacevlanif700ipaddress5424#interfacevlanif701ipaddress5424#楼宇园区网络园区核心2.1.3Extranet区配置楼宇园区网络园区核心l区域内部服务器建议采用二层方式接入lFW建议采用三层路由模式串接单独对外提供服务，LB采用旁lFW对外提供的NAT后的IP地址用于隐主数据中心网络XGEXGE1/1/1GE0/0/1GE1/0/1Extranet-1LB-5LB-6Extranet-2XGE2/1/1GE0/0/1GE1/0/1Extranet-1LB-5LB-6Extranet-2XGE2/1/1GE2/0/0GE2/0/0AR-4AR-3AR-4CORE-1CORE-2XGE1/2/0/6XGE2/2/0/6XGE1/2/0/6XGE2/2/0/6核心/汇聚CSS文档版本01(2011-07-22)华为专有和保密信息--1.配置Extranet区接入交换机与数据中心核心交换机之间的互通具体配置请参见2.1.1Intranet区配置。#interfacevlanif2500ipaddress12//Vlan3000网关地址，其他接入接口配置相同3.配置区域接入交换机#interfaceGigabitEthernet1/0/0portlink-typeaccessportdefautvlan2500//Extranet所属vlan其他接入接口配置相同，b.配置接入交换机端口描述信息#文档版本01(2011-07-22)华为专有和保密信息interfacexgigabitethernet0/1/1descriptionToServerA//根据实际客户要求格式配所联设备的设备名称及IP地址作为描述信息lExtranet区域内服务器处在同#interfaceEthernet0/0/1portlink-typeaccessportdefautvlan2900//Extrannet所属vlan，其他接入接口配置相同。注：AR使用下行口与FW相连#interfacevlanif2900ipaddress24//Vlan2900网关地址，其他配置类似b.配置与运营商接口允许通过的IP及路由注：由于运营商提供的网络类型及IP等信息与实际组网2.1.4维护网络配置如图2-4所示是维护网络的典型配置组网图。l整个区域内部网络建议采用独立IP地址段且l区域内部建议采用全二层组网文档版本01(2011-07-22)华为专有和保密信息精简式多层设计ServeriStackExtranet区主数据中心网络EthernetEthernet1/0/0/0iStackCSSWebAPPEthernetiStackAPPAPPiStackiStackIP存储区非Web计iStackServer iStackWebAPPEthernetEthernetEthernetEthernetWebWebiStack精简式多层设计ServeriStackExtranet区主数据中心网络EthernetEthernet1/0/0/0iStackCSSWebAPPEthernetiStackAPPAPPiStackiStackIP存储区非Web计iStackServer iStackWebAPPEthernetEthernetEthernetEthernetWebWebiStack EthernetiStackiStack控制服务器备份控制区GE0/0/4GE0/0/3GEGE0/0/4GE0/0/3GE0/0/2GE0/0/5GE0/0/4GE0/0/3GE0/0/2GE0/0/1GE1/0/0GE1/0/1GE0/0/1Mgt-2Mgt-1Mgt-2Mgt-Agg数据中心维护网络l维护网络接入交换机、核心/汇聚交换机的互联互通文档版本01(2011-07-22)华为专有和保密信息-配置VLAN并将对应的接口加入VLAN-配置接口IP地址及路由协议，实现维护管理网络内各节点的网络层互通-配置接口IP地址及路由协议，实现维护管理网络与外部网络互通，须根据实际-配置VLAN并将对应的接口加入VLANl在数据中心被管理网元设备，如接入交换机、核心/汇聚交换机配1.配置区域核心交换机a.配置互联接口允许通过的VLAN#vlanbatch300030013099#interfaceGigabitEthernet1/0/0portlink-typetrunkporttrunkallow-passvlan300030013099//允许维护区域不同设备的VLAN通过b.配置汇聚交换机描述信息#interfacexgigabitethernet0/1/1descriptionToswitch-2GE-1/0/5//根据实际客户要求格式配置，其他互联接口配置同上c.配置汇聚交换机各网段网关IP#interfacevlanif3000ipaddress12//Vlan3000网关地址#interfacevlanif3001ipaddress12//Vlan3001网关地址，其他网段地址配置同上a.配置互联接口允许通过的VLAN（配b.配置普通接口允许通过的VLAN#interfaceGigabitEthernet1/0/0portlink-typeaccessportdefautvlan3000//被管理设备所属vlan，其他接入交换机普通接口配置相同c.配置接入交换机端口描述信息文档版本01(2011-07-22)华为专有和保密信息#interfaceEthernet1/0/0/0ipaddressS9300堆叠管理网口主控为默认为Eth1/0/0/0。华为公司其他设备类型配置类似。其他厂商的设b.配置被管理设备的网元管理SN#snmp-agentsnmp-agentcommunityreadpublicsnmp-agentcommunitywriteprivatesnmp-agentsys-infoversionall文档版本01(2011-07-22)华为专有和保密信息文档版本01(2011-07-22)华为专有和保密信息2.2不同用户接入数据中心时对网络的要求凹说明在基础网络配置完成以后，不同的用户接入到数据中心网络时对网络设备有不同的要求2.2.1企业内部园区用户接入数据中心对网络的要求l企业内部用户接入数据中心后，FW根据用户不同权限授予必要的业务资源访l企业内部用户接入数据中心后，在合理授权的情况下，可以访问如ExtrXGEXGEXGE2/1/0/0XGE1/0/1XGEXGEXGE2/1/0/0XGE1/0/1ACC-15ACC-16XGE2/1/1XGE1/1/0/0ACC-15ACC-16XGE2/1/1XGE1/2/0/5XGE1/1/1XGE1/2/0/5XGE2/1/0/0XGE1/1/0/1XGE1/2/0/6XGE2/2/0/5XGE2/2/0/6XGE2/2/0/6XGE2/1/0/1XGE1/1/1XGE1/1/1ACC-17XGE2/2/0/0XGE1/2/0/0XGE2/2/0/1XGE1/1/1XGE2/1/1XGE1/1/2XGE2/3/0/1XGE2/1/2XGE1/1/1XGE1/2/0/1XGE2/1/1XGE1/3/0/1XGE1/5/0XGE1/4/0XGE2/1/1ACC-3ACC-4ACC-11ACC-12ACC-1ACC-14ACC-13ACC-7ACC-8ACC-5ACC-6APPAPPACC-2ACC-9ACC-10Web Web XGE2/2/0/0XGE1/2/0/0XGE2/2/0/1XGE1/1/1XGE2/1/1XGE1/1/2XGE2/3/0/1XGE2/1/2XGE1/1/1XGE1/2/0/1XGE2/1/1XGE1/3/0/1XGE1/5/0XGE1/4/0XGE2/1/1ACC-3ACC-4ACC-11ACC-12ACC-1ACC-14ACC-13ACC-7ACC-8ACC-5ACC-6APPAPPACC-2ACC-9ACC-10Web Web /0/0XGEXGE核心//0/0XGEXGE主数据中心网络l在数据中心核心/汇聚交换机旁挂的防火墙上配置防火墙策略、在负载均衡设-防火墙旁挂在核心/汇聚交换机上保证数据中心提供业务的能力，防止由于防火-防火墙对不同的用户提供不同权限，以访问不同的业务。文档版本01(2011-07-22)华为专有和保密信息-核心/汇聚交换机旁挂负载均衡设备，对海量用户访问的服务器进行负载均衡。2.2.2企业网分支用户接入数据中心对网络的要求l企业分支用户接入数据中心后，FW根据用户不同权限授予必要的业务资源访l企业分支用户接入数据中心后，在合理授权的情况下，可以访问如Extr文档版本01(2011-07-22)华为专有和保密信息XGE2/5/0/0XGE2/4/0/0XGE1/5/0/0XGE1/4/0/0XGE1/1/1XGE1/2/0/0XGE1/2/0/1XGE1/3/0/1XGE2/2/0/0XGE2/2/0/1XGE2/3/0/1XGE2/1/1XGE1/1/2XGE2/1/2XGE1/1/1XGE2/1/1ACC-15XGE1/1/1ACC-16XGE1/2/0/6XGE2/2/0/5CORE-2XGE2/1/0/1XGE2/2/0/6XGE1/1/1XGE2/5/0/0XGE2/4/0/0XGE1/5/0/0XGE1/4/0/0XGE1/1/1XGE1/2/0/0XGE1/2/0/1XGE1/3/0/1XGE2/2/0/0XGE2/2/0/1XGE2/3/0/1XGE2/1/1XGE1/1/2XGE2/1/2XGE1/1/1XGE2/1/1ACC-15XGE1/1/1ACC-16XGE1/2/0/6XGE2/2/0/5CORE-2XGE2/1/0/1XGE2/2/0/6XGE1/1/1XGE2/1/1XGE1/2/0/5XGE2/1/1ACC-1ACC-2ACC-3ACC-4WebWebACC-9ACC-10ACC-11ACC-14控制服务器ACC-7备份控制区APPAPPACC-8扩展式Web精简式APPDBServer非Web应用设计ExtranetACC-18ACC-17交换机XGEXGEXGE2/1/0/0XGE1/0/1XGE1/1/0/0XGE1/1/0/1XGE2/1/0/0ACC-5