智慧城市云数据中心建设技术方案

第一章、智慧城市云数据中心建设目标根据《国家电子政务“十二五”规划》〔中办发〔2006〕18号〕等文件，以智慧城市建设总体思路为指导，建设智慧城市云数据中心，实现统一建设、统一管理、统一使用，为智慧城市和全市〔县、区〕各部门的业务应用系统提供统一的机房空间、网络资源、存储灾备、平安保障和运维效劳，实现信息根底资源互通共享，从底层来联系整个政府机构内外的异构系统、应用、数据库资源等，打通各个职能部门间的“信息孤岛”，满足社会效劳与管理，共享根底数据库、协同办公、行政审批与处分、智慧城管、智慧社区等应用以及其他职能部门之间无缝的共享和交换数据的需要，实现相关部门的资源共享，提升政府的行政效率。1.1、建设统一云数据中心作为电子政务统一的根底资源平台，包括：网络资源、计算资源、存储资源等，并对根底资源进行池化，使各部门各单位的用户可以灵活的共享和按需分配。1.2、建设电子政务外网应用的云计算PAAS平台作为全市〔县、区〕电子政务统一的根底资源平台，不仅需要提供IAAS层的根底设施，还能够对上层基于SOA架构的电子政务类应用进行一定的能力支撑，包括根本的数据库、中间件等通用的根底软件资源和电子政务类公共组件类的软件资源。各部门各单位不仅可以共享PAAS层资源，而且可以在PAAS平台的根底上，简单、快速的开发不同功能类的电子政务类应用。1.3、建立统一高效的运维管理平台建立根底资源平台的统一运维管理体系，对机房根底设施、IT设备、虚拟机、数据库以及上层应用软件等资源进行统一的检测、动态调度和自动化控制管理，简化运维管理的流程和人工操作，提高根底管理平台的运维效率，降低云数据中心运行本钱。1.4、建立统一的平安保障体系按照国家政务外网统一平安规划，参照等级保护的根本要求，建立统一的政务外网平安保障体系，加强平安管理、统一平安策略、统一标准标准，保障政务外网云数据中心和政务业务系统平安可靠运行。第二章、云数据中心需求分析参考国家电子政务和智慧城市等系列标准标准和成功经验，对云数据中心的建设需求进行分类定性分析。2.1云数据中心应用需求分析2.1.1全局型应用需求分析全局型应用是指为政府及其部门以及面向社会公众提供效劳的电子政务应用系统。常见的全局型应用系统举例如下。1. 综合办公系统电子政务办公管理系统是为满足政务系统需要的共性办公电子政务运转系统，处理所有的内部电子制文、联合征信、节能减排等各共性应用功能，外部来文与办文管理的各环节工作，同时也是信息采集，调研和研究需要的工作平台。2. 行政审批效劳系统行政审批综合管理信息平台，实现信息共享、网上流转、协同审批、实时监察、信息分析、绩效评估等功能；形成一体化的交互式、可跟踪、可查询、可监督、可评价、可视化的网上审批系统和电子监察系统，进一步标准行政审批行为，提高行政审批效率，不断降低行政管理本钱，推动行政管理体制的改革，促进政府职能转变。3. 信息发布系统信息发布系统是以实现信息采集、编辑、发布和后台管理为主要功能的信息管理平台。主要是对站点、栏目和文档操作进行管理，对站点、栏目和文档的显示模板进行管理，对部门、用户组和用户权限的操作进行管理，对文档评论的审批进行管理，定制个人页面的显示风格和系统的默认显示风格，配置系统需要的资源信息，提供查看系统日志的功能。除了以上三种全局型应用系统，还有一些公共的IT云数据中心，比方：邮件系统、门户网站系统、地理信息系统等。这些系统要求云数据中心能够为大量的用户提供稳定的高并发的WEB访问，而且大局部的访问类型都是上载、下载文件、图片甚至包括音视频文件等等。因此，这类全局型的公共应用需要大并发、高带宽、高可靠性以及高存储等特点的云平台。2.1.2行业型应用需求分析行业型应用是指政府各个部门的各自业务范畴内所需要的非通用业务软件。需要电子政务支撑云平台、数据集成共享与交换平台以及通用数据库中间件平台来支撑。与全局型应用类似，这些行业型应用及其支撑平台对云数据中心同样有高效性、高可靠性等需求，另外还有如下需求：标准遵循电子政务支撑云平台既要对上层各个政府部门的行业应用提供支撑，又要对下层通用平台和云数据中心进行调研和接口，因此要求云数据中心的各个组成局部必须兼容业界通用的相关标准，防止由于标准兼容性问题造成无法连接或者不稳定与低效。可扩展性电子政务支撑云平台后续要逐步支撑全省的电子政务业务系统，因此自身一定具备良好的扩展性。这就要求通用平台和云数据中心都必须具备良好的可扩展性，包括：不停机在线扩展、高指标上限等。灵活性电子政务支撑云平台作为底层资源为上层电子政务业务系统调用，因此自身必须具备资源灵活调度与自动化管理的能力，这就要求其下层的通用平台和云数据中心也同样具备这种灵活性，并且能够屏蔽大多数的技术细节，只需调用即可。2.1.3资源型应用需求分析资源型应用需求是指各个政府部门特定的业务应用需求，不需要云数据中心提供任何的PAAS层的相关效劳与框架支撑，其上层的所有组件与效劳模块都由该政府部门的业务应用独立完成。因此资源型应用仅需要云数据中心提供最根本的计算、存储、网络和平安方面的资源。这些资源需求包括：虚拟机、物理机、SAN存储空间、网络负载均衡、防火墙、公网IP地址、VLAN、平安组、虚拟私有云等。2.2政务云数据中心管理需求分析为了维护云数据中心的各种系统和应用的平稳、高效运行，根据前文所述业务应用针对云数据中心的管理需求，云数据中心的管理系统应当具如以下举的管理需求。1、能够对虚拟化环境、云数据中心和物理环境的性能、事件和配置参数进行集中监控和管理；2、能够根据租户自助的或者管理员手动的指令，自动分配相应的计算、存储、网络和平安资源给相应的使用者；3、能够对提供应租户的资源提供QOS和SLA的保障；4、能够对云数据中心自身以及底层的机房根底设施和上层的应用系统进行监控、报警和事故处理，具有一定的自动化能力；5、具有统一的门户，管理员登录后又可以分为运维侧和运营侧两套不同的功能集合，并能够分权分域；6、具有良好的扩展性，至少包括今后会用到的IT效劳流程管理体系〔ITIL标准〕、运营出租计费系统〔或者与运营商计费系统对接〕和多个计算中心的统一管理与协调调度能力；7、具有各种专家知识库和人工智能的日志、事件分析能力，能够根据不同的客户需求产生不同种类的报表和视图；8、具有良好的开放性，能够为云数据中心的上层PAAS和业务应用提供API〔或其他〕调用接口，以便上层平台能够自动化的调用底层根底资源。2.3云数据中心平安需求分析电子政务的业务应用需要部署政务协同办公系统、政府门户网站群、行政审批系统，以及社会效劳与管理信息化平台等，工程建设过程中的平安需求重点包括：在全面的平安保障体系框架根底上，在保证今后平安平台可扩展性的条件下，重点关注对云计算根底设施和各业务应用系统的平安防护上。平安需求包括：1、平安域的划分与隔离根据国家信息平安针对电子政务的等级保护相关政策，云数据中心应当进行平安与的划分，并针对不同等级的平安域进行逻辑隔离，做严格的访问控制策略。2、抵御来自互联网的攻击与威胁由于局部业务系统需要对互联网的公众提供各种业务效劳和公共信息展现，因此云数据中心与互联网的边界必须能够抵御来自互联网的攻击与各种威胁。这些攻击和威胁包括但不限于：DDOS攻击、针对网站的入侵攻击、病毒蠕虫等恶意软件的传播等。云数据中心的平安保障体系必须能够抵御这些来自互联网的攻击与威胁。3. 保障云平台的平安性对于云数据中心，由于采用了虚拟化和多用户访问等一系列先进的技术手段，因此必须保障虚拟机隔离和多租户等一系列云数据中心特有的平安问题。4、平安管理需求为了保障云数据中心的平安性，必须建立起包含平安事件分析、平安审计、日志分析等独立的可追溯的平安管理体系，并配合一系列平安策略方针和管理制度。5. 保障数据平安性云数据中心中数据的重要性远远大于其他的软、硬件产品。因为任何产品的失效都可以通过维护和替换来解决，损失的只是时间和金钱。一旦云数据中心数据平安性受到破坏〔包括：丧失、泄密、被篡改等〕，那么损失是无法弥补的。因此，保障数据的完整性、保密性和可用性都是云数据中心的重要平安需求。7、系统和数据的容灾备份考虑云数据中心需要支持关键电子政务应用，应用可用性和数据的平安性非常重要，因此需要建立云数据中心的本地容灾体系。一般建设首先保证本地高可靠容灾，一台存储故障不影响云平台上层业务体验，到达存储自动切换的功能。第三章、云数据中心机房建设方案3.1机房建设智慧城市数据中心机房包含UPS供电间、联合指挥中心、主机房以及各功能办公室等局部的建设。本方案主要建设的信息设施系统包括：装修工程、UPS室机房装饰系统-照明、二次消防改造工程、机房供配电系统、机房柜式七氟丙烷自动灭火、机房内外区装饰系统-电气、机房内外区装饰系统-给排水工程、机柜冷通道封闭、环控系统、计算机网络系统、暖通系统、综合布线系统工程等。机房建设必须建立良好的供电系统，在这个系统中不仅要解决IT设备〔主机、网络、主控、电脑、终端等〕用电的问题，还要解决保障IT设备正常运行的其它附属设备〔机房空调、新风机、照明系统、平安消防系统等〕的供配电问题。计算机和网络设备对交流电源的质量要求十分严格，对交流电的电压和频率，对电源波形的正弦性，对三相电源的对称性，对供电的连续性、可靠性、稳定性和抗干扰性等各项指标都要求保持在允许偏差范围内。机房的供配电应满足《电子计算机场地通用标准》GB／T2778-2000的规定，其供配电系统应为380V/50HZ，采用TN-S系统。供配电系统容量应该按照机房所配备设备情况确定，同时考虑系统扩展、升级的可能，预留备用容量。为提高机房设备的供配电系统可靠性，必需为机房内的IT设备配置交流不间断电源系统UPS，到达供电可靠不间断，质量稳定无干扰。本方案要求按照2N设计，符合TIER标准，需要引入两路市电，前端采用1250A/3P断路器控制。云数据中心机房供配电系统应该是一个独立的系统，通常由UPS配电系统、动力配电系统两局部组成。UPS配电系统负责向网络通信设备、效劳器等IT设备供电采用UPS供电。动力配电系统负责向机房空调系统、机房照明系统和机房维修电源系统。机房动力配电柜应该选用自动的空气开关，并且与消防系统联动，当机房出现严重事故或者火警时，能够立即切断所有动力电源。3.2机房建设目标云数据中心的建设目标是为智慧城市提供根底设施环境及搭建根底管理平台。同时，建立智能信息化根底，节约能源，降低本钱，为智慧城市提供提供根底管理平台，到达智慧城市未来的开展要求，满足系统建设的可靠性、实用性、先进性、开放性、经济性等原那么。先进性：各系统将实现数字化、网络化、智能化的典型特征，采用代表行业开展趋势国际或国内通行的先进技术。成熟性：各系统以实用为原那么，采用成熟的并且经过实际工程检验的先进技术和产品。开放性：各系统采用开放的技术标准和国际标准的通信协议，防止在系统互联时产生障碍。标准化：各系统的系统设计、系统性能标准等将符合中国的有关标准化的要求。可扩展：各系统的设计充分考虑到未来的开展，在机房未来功能扩展方面留有冗余和预留。可靠性：各系统的产品选择稳定可靠，为主要系统设备提供可靠性指标。平安性：各系统充分考虑系统平安、人身平安以及信息传递平安等平安性需求。集成性：本智能化工程根据功能要求、管理和信息共享的要求对智能系统分层次、分阶段进行集成，聚集本工程内外信息，对各子系统进行综合管理。经济性：在实现先进性、可靠性的前提下，系统的配置设计到达性能与价格的深化目标。系统设置除考虑建设时的一次性投资外，还将充分考虑系统运行时的维护本钱，并使之到达最小化。3.3建设内容〔一〕云数据中心机房根底工程建设1、装修工程装修工程主要包括：撤除工程、砌筑工程以及天地墙的面层装修装饰工程。1〕撤除工程主要包括：撤除已经砌筑的局部隔墙，撤除消防支管等。2〕砌筑工程主要包括：除楼梯间、电梯间及管井的隔墙以外的所有房间的隔墙。3〕装修装饰工程主要内容包括：机房、UPS室，装修如下：1〕楼面：主机房基层找平后铺设防静电架空地板，架空地板下地面及墙面应贴刷防尘防潮漆，贴保温棉，保温棉的防火等级需到达B1级别。UPS电池室为节省造价同时到达美观，地面做防静电自流平。楼面需根据设备重量对楼板进行复核，对楼板进行结构加固。2〕天棚：微孔铝扣板吊顶内填防火保温棉。为防止出现结露水主机房天棚下铺设防火保温棉。3〕内墙面：基层找平后采用彩钢板内填防火保温棉。4〕门窗：门均采用甲级防火门，窗户需进行封堵,受力到达消防气体火灭标准的相关要求。2、密闭通道密闭冷通道主要是由效劳器机柜、UPS柜、电池柜、配电柜、行级空调、天窗、围板和端门组成，密闭冷通道可使冷源直接进入到IT设备，提高制冷效率。双排密封通道主要由端门和天窗组成。密闭通道的端门分为推拉门和双开旋转门两种方案，具体根据实际情况进行调整，下面方案以双开旋转门设计为例。双开旋转门外形尺寸是：高×宽×深=2040mm×1380mm×50mm。双开旋转门为外开，开门角度110°。可以保证密封通道系统的独立性。门板下部安装密封毛刷，提高模块的密闭性。密闭通道采用平顶结构方案，包括平顶旋转天窗和平顶固定天窗。平顶旋转天窗由侧板、顶板、旋转天窗组成，以单个机柜为扩展模块单元。旋转天窗天窗旋转原理：旋转天窗采用偏心结构。当触发装置动作后，天窗在重力作用下翻开翻转。旋转天窗的驱动方式是通过电磁锁触发装置翻转。平顶旋转天窗尺寸：高×宽×深=33mm×600mm×1343mm。平顶固定天窗由侧板和顶板组成，以单个机柜为扩展模块单元。平顶固定天窗外观如下图。平顶固定天窗尺寸：高×宽×深=33mm×600mm×1343mm。3、结构工程如云数据中心原设计功能为综合办公大楼，大楼建筑按照办公室功能要求设计，一般来说承重达不到要求，需要进行结构加固设计。机房结构加固设计拟采用钢结构加固方式，机房设备布置区域加固到8KN/m2，UPS室设备布置区域加固到12KN/m2。4、拟选用品牌说明作为智慧城市云数据中心工程建设，选择的各系统设备不仅需要从产品设计是否完全符合相应的国际/国家标准及智能化行业标准、市场内主流厂家技术标准，而且要从产品制造商的研发生产实力、产品覆盖的全面性、产品的物理规格、性能参数等诸多技术条件考虑，同时要兼顾产品品牌在本地市场使用的延续性、用户良好的口碑以及售后效劳保障体系的完备性进行评估选用。〔二〕供配电系统1、电气工程根据机房的特点及要求，应在机房内建立系统设备不停电供电系统，按照国家有关标准，即为一级负荷采取一类供电。同时系统电源条件应满足计算机设备运行的国家标准。按《电子计算机机房建设标准》〔GB50174---93〕，如下表：电子计算机供电电源质量根据电子计算机的性能、用途和运行方式(是否联网)等情况，可划分为A、B、C三级(见下表)。工程等级ABC稳态电压偏移范围(%)±2±5+7-13稳态频率偏移范围(%)±0.2±0.5±1电压波形畸变率(%)3~55~88~10允许断电持续时间(ms)0~44~200200~1500一般云数据中心机房按B级标准建设。本机房工程以380V/220V、50Hz、TN-S〔三相五线〕放射式供电系统为本机房区域内设备供电。机房内包括计算机通讯设备〔UPS、网络机柜、列头柜、操作台等〕、照明用电、空调用电、消防用电及普通用电设备市电等组成。此用电方案采用两路市电专供机房，从不同的变电站引来，符合B级机房的供电要求。因满足两个电源不会同时损坏的要求，故本工程机房供电系统不配置后备柴油发电机组，不间断电源蓄电池后备时间按照1小时配置。机房通信设备用电、照明空调用电从低压配电间的不同回路引来。机房采用大楼联合接地系统，接地电阻小于1Ω，由大楼土建专业负责地网建设并预留机房接地排。机房供电方式采用三相五线制独立供电，配电柜由市电UPS输入柜二台、UPS并机输出配电柜一台、UPS间空调自动切换柜一台、列头柜12台组成，共16台配电柜。计算机系统、网络通信设备由双市电做UPS输入回路，正常状态由市电供电，如市电出现故障，那么转换成UPS供电。精密空调由双市电组成的双电源供电，双市电互为备用自动切换。其它用电设备由市电直接供应。计算机机房内的配电系统应考虑到与应急照明系统的自动切换和消防系统的联动，一旦发生火灾，自动关掉精密空调、常用照明、维修插座等大功率动力负载、同时自动开启排风系统。机房内通信设备负荷：主机房面积按机柜平面规划，摆放约100个机柜。单机架功率按4KW考虑，通信设备功率为400KW。主机房和辅助区与其他房间的空调参数不同时，宜分别设置空调系统。机房和UPS室采用空调采用机房专用精密空调，以满足本工程需要。UPS室配置一台制冷量不小于40KW的下送风上回风专用精密空调，主机房配置制冷量不小于100KW的下送风上回风专用精密空调机组机房内插座、面板开关等采用TCL品牌，机房区主机采用三孔插座供电，维修插座设二三孔组合插座。机房内所有配线均选用阻燃铜芯塑导线，并实施管槽屏蔽。机房地板下插座均安放在机柜附近，并留有扩充预留备用局部，用清晰的标志加以区分，方便今后使用。为了防止机房辅助设备在启动、制动及在正常运行时可能对计算机系统构成的干扰，《电子计算机机房建设标准》规定：“机房内其它电力负荷不得由计算机主机电源和不间电源系统供电”。因此机房内空调、照明、临时维修电器等用电设备直接采用市电电源，电源为三相五线。照明系统在火灾报警时应有消防联动控制回路，在火灾报警时自动切断常用照明，同时开启应急照明系统。空调、照明、新风等设备用电开关、插座安装在墙面上。维修和测试设备采用单相二、三极五孔插座〔市电〕。机房内市电、UPS电源走线布于活动地板下，分别独立安装于各自的金属线槽〔管〕内；插座面板也应相互区别；通信线缆桥架在机柜上明装。线槽、线管接头两端均用6mm2接地线就近连至保护地接地箱上，所有电源线均在金属管槽内敷设，具有良好的屏蔽效果。为保证电源运行时三相根本平衡，应尽可能将单相负荷均匀分配在各相上，机房低压配电系统三相负荷不平衡度应控制在5-20%。为防止闪电雷击产生过电压带来的危害，机房电源进线应采用地下直接埋设电缆；机房专用动力配电箱内低压配电母线上应装设分级浪涌抑制器，用以消除线路上产生的瞬时高压尖峰脉冲，造成用电设备及控制电器烧坏。2、机房照明机房内照明的建设按主机房平均照度300—500Lx取值。根据要求机房主要采用3×36W、600×600mm无眩光隔栅日光灯具，光管采用光色、光指数好的荧光灯管。光管采用冷色温〔≥5300k〕光管，与灯盘相配可产生柔和的效果，不会产生眩光，特别适用于机房照明系统。所有灯盘采用电子镇流器，由于电子整流器输出端为高频电压，既防止一般单相荧光管产生的交流频闪效应，也可防止普通镇流器起动时跳闪的现象，也有节约能源的效果。根据实际使用情况及GB50174-93《电子计算机机房建设标准》，主机房按300Lx的照度进行建设。机房内所用的灯盘和电源线必须采用优质格栅灯盘和阻燃铜芯电缆、电线。电源线应采用桥架及金属保护管。〔1〕所有机房主要采用3×36W、600×600mm光隔栅日光灯具，光管采用光色、光指数好的进口荧光灯管。〔2〕机房内的应急照明由UPS供电，并设置带蓄电池的疏散照明。〔3〕灯具配电线径不小于2.5mm2，接线和接地保护线须与灯具接触良好；所有照明线都须穿金属管并留有余量，电源线应通过绝缘垫圈进入灯具，各回路绝缘电阻值不小于0.5MΩ。〔4〕灯具安装于天花，光带应平直、整齐，同一排灯具中心偏差不大于5mm。〔5〕机房内照度建设上能达400LX以上，建设符合国家标准《电子计算机机房建设标准》GB50174-93中相应的规定的：“机房内在距地0.8m处不低于200LX”的标准。3、UPS系统本工程为XX市智慧城市智能中心工程，本方案是针对XX市智慧城市智能中心工程，提出的UPS供电解决方案。通过该技术方案，合理配置UPS。通信设备负荷：主机房面积共160m²，按机柜平面规划，可摆放约100个机柜。单机架功率按4KW考虑，通信设备功率为400KW。因此设置400KVA的模块化UPS两台，组成1+1系统，可满足需求；选用UPS5000-E-400kVA两台，备电1小时每台UPS单独配置电池组。根据招标文件需求，单台ups主机满足400KVA后备1小时，配置4组12V/110AH蓄电池组的接入,两台UPS共配置8组，每组40节，共320节12V/110AH蓄电池；4、精密空调本项工程需建设主机房机房面积160平方米，冷负荷估算300KW，UPS室面积41平方米，冷负荷估算40KW。区域房间面积〔㎡〕冷负荷估算〔kW〕备注主机房260300包含IT发热、新风负荷、维护结构散热等UPS室4140包含ups、配电柜发热和维护结构散热等基于以上工程情况和需求，对于机房精密空调那么有下述根本要求：〔1〕机房精密空调应稳定可靠，通过了严格的测试、试验和认证。〔2〕机房精密空调应能适应单机柜高发热量及发热量动态变化的需求。机房精密空调配置内置智能控制模块的EC室内风机，电子膨胀阀和变频控制，能实现无极调速的高效低噪音室外风机。〔3〕机房精密空调应能满足效劳器机柜需要，并且不造成能源浪费；同时又能满足后续扩容需求。根据招标文件要求，为了满足主机房制冷需求，考虑系统的可靠性，现根据制冷需求，选用先进的精密环境控制设备。配置如下：序号总冷量要(Kw)送风方式制冷循环系统〔压缩机〕数量风量〔m3/h〕加湿量〔kg/h〕室内机尺寸最大值〔宽×深×高mm〕1≥50下送风单系统≥14000≥71140×890×19802≥100下送风双系统≥28000≥102280×890×19805、防雷接地本方案包括以下4个方面的建设：〔1〕机房内部等电位接地措施〔2〕机房接地母线的引入〔3〕电源防浪涌保护〔防雷〕器的分级安装建设〔4〕数据网络设备线路接口防雷保护装置的安装建设等电位网：本工程室内接地采用综合接地方式。在室内的地板上安装等电位网，等电位网选用30*3紫铜排，铜排通过高强度绝缘子固定在地板上；接地汇流排在室内做网状分布，网格大小以方便设备最近接地为准，最大不超过3.2*3.2平方米；接地汇流排与接地汇接箱〔接地母线排〕通过50平方专用接地电缆〔2条以上〕或30*3铜排多处可靠复接。接地汇流排之间连接做可靠焊接。从防雷的要求看，均压才能防止还击，而均压又要求多点接地。从防干扰的要求应该是单点接地，所以只有做好机房的等电位连接，并通过单点连接到直流信号地网上，才能使上述两项矛盾的要求兼而顾之。在机房按下述方案构成等电位网：机房防静电地板下面沿墙用3×30mm紫铜排做成纵横网格状等电位网。所有设备的“平安保护接地”以及供电电源“交流工作接地”、计算机的“直流信号地”、避雷器的“防雷地”全部连接到等电位网上。将机房所有用电插座接“地”孔全部连到等电位网上。将机房设备外壳全部连到等电位网上。将机房内所有金属管槽全部连到等电位网上。将机房天花龙骨、地板支架、钢板墙体及门框金属体全部连到等电位网上。用多芯铜线绝缘电缆将等电位网与大楼综合接地点可靠连接。1〕要求大楼综合接地点接地电阻≤1Ω电源防浪涌保护〔防雷〕器的分级安装建设鉴于机房内设备作为对雷电、浪涌等过电压非常敏感的信息设备,电源线路的防雷是机房防雷的重点。因为电源线路容易受到外部雷电磁波的感应而携带和传导大量的雷电浪涌高压。本着对计算机机房电源线路进行系统防护的原那么,根据机房电源和设备自身的特点,我们对电源供电线路采取多级防护措施。有关标准也指出,通常对连接导线超过15米以上的电源线路之间需做一次分级防雷保护。本工程的交流电源系统防雷是指与交流电源有关的各级交流配电局部:从变压器输出端到低压配电开关电源输入端，以及UPS输入输出、分配电屏等各交流电源配电系统实施多级防雷保护。2〕电源防雷器的配置本期工程电源系统防雷采用多级防护。所采用的电源防雷器为原厂生产的防雷器。第一级防雷箱安装在配电室主机房主供电线路上，防雷箱为超强型防雷箱〔内置防雷模组〕，三相五线，带声光报警、相电压指示、雷击次数、监控和零地保护功能等，数量：1套。第一级防雷箱采用25m㎡以上多股线缆与供电线路和地排进行连接，引线小于0.5M，越短越好。第二级防雷器安装机房市电配电柜进线处，防雷器〔内置原装防雷和NPE模组〕，三相五线，数量：1套。第三级防雷器安装在机房UPS配电柜内〔保护贵重设备〕中，防雷器〔内置原装防雷和NPE模组〕，三相五线。上述相关防雷器中,电源防雷模块均采用专利的多层石墨间隙放电技术，是目前世界上唯一通过所有国际标准、包括防爆标准的产品；其余的压敏材料电源模块也以双重镀银强力压璜与底座紧密相连；全部防雷模块均安装在特制的箱体中，完全符合防爆要求。6、消防灭火系统主机房、UPS电池室。建设方案为：采用管网式独立柜式七氟丙烷自动灭火系统。主机房设置4个150L瓶柜，UPS电池室设置2个150L瓶柜。防护区内建设灭火方式为全淹没灭火。本灭火装置具有自动、手动及机械应急操作三种方式火灾报警控制器可安装于操作室内，当气体灭火控制器接收到任何一个防护区内两个独立火灾报警信号时，延时30秒，控制器输出24伏直流电，使电磁阀〔电爆管〕动作，并启动相应防护区内预制灭火装置。防护区外门灯显亮，防止人员误入，同时控制器接收压力讯号器反应信号，控制器面板喷放指示灯亮。手动控制状态下，当防护区发生火警时，控制器只发出一个独立报警信号时，不能输出动作信号，由值班室人员确认火警后，按下相应防护区外气体手动放气按钮，即可启动该装置，喷放七氟丙烷灭火剂灭火。机械应急操作方式，当某一防护区发生火警时，自动和手动控制都失去功能，值班人员可通过预制灭火装置内的平安梢按下启动，即可启动该装置，喷放七氟丙烷灭火剂灭火。7、火灾自动报警系统手动按钮、紧急启/停按钮及手/自动转换开关安装在防护区门外，离地高度1.3～1.5M，工作人员便于操作。探测器水平安装。气体灭火控制器应能将火灾报警信号、喷放动作信号及故障报警信号反应至消防控制中心。控制导线采用单芯ZR-BV1.0mm,信号传输用ZR-BV1.5mm双绞线，线管接地良好。所有布线应采取穿金属管保护，并宜暗敷在非燃烧体结构内，如明敷时应外涂防火漆保护。系统布线完毕后将用500V兆欧表对线路进行绝缘测试，其绝缘电阻应大于20兆欧。由消防控制室接地板下引至各消防范的接地线应选用铜芯绝缘软线，其线芯截面为6MM2。8、综合布线系统综合布线系统应满足本工程信息通信网络的布线要求，以支持语音、数据、图像等业务信息传输为主，同时也可根据实际需求支持各相关弱电系统中信息的传输。在智慧城市云数据中心工程中，综合布线系统是完成该工程弱电智能化的根底建设工作，主要包括设备间、各管理间内的设备，弱电井内连接设备间至各管理间的主干线缆以及各管理间至终端点的水平线缆。机房综合布线系统主要为主要为机房内各智能化设备提供根底物理链路，分别从机房核心机柜敷设24芯室内多模光纤至机房网络列头柜，再从网络列头柜敷设12芯多模光纤至各分机柜；各接入效劳器通过六类非屏蔽双绞线接入到机房布线系统中。第四章、云数据中心整体建设方案4.1设计目标通过建设云数据中心，满足各单位当前政务信息化应用和未来平滑扩展的需求，实现政务信息化资源统一建设、统一使用、统一管理的目标。1、功能方面：虚拟化云平台，具备自助统一门户、云资源管理、兼容主流商业虚拟化软件，能够满足本期工程应用需求；2、性能方面：效劳器、云平台的计算性能、内存容量、整体负载和存储架构的性能、容量支撑能力，能够满足本期的业务应用和未来3-5年的业务规模；3、扩展性方面：虚拟化平台、效劳器、存储性能和容量扩展能力，能够满足从小到大、灵活扩展；4、业务连续方面：系统业务连续性保障能力，能够满足云数据中心和物理机集群混合情况下的应用7×24小时不中断运行；5、数据平安方面：数据具备保护能力，能够满足虚拟机和物理机、各种通用文件系统和数据库的备份和恢复；6、容灾扩展能力：能够满足虚拟机和物理机混合环境的数据级和应用级同城容灾，兼顾保护现有投资和灾备切换便捷性。4.2设计依据依据国家电子政务外网平台建设相关的技术性指导文件；依据电子政务内外网全局性、行业性和资源型三大类型应用对于支撑平台的实际需求分析，包括应用支撑平台计算资源、存储资源以及云平台管理的需求分析；依据电子政务内外网三大类型应用对于数据库系统需求分析，包括数据库系统的平安性和可靠性以及数据库系统对于存储资源的实际需求分析；依据电子政务内外网三大类型应用对于数据平安和可靠性的需求分析，包括数据备份以及未来数据容灾的需求分析；依据电子政务内外网三大类型应用对于整个应用支撑平台架构先进性需求分析，包括易管理、易维护、弹性平滑可扩展以及绿色节能等需求分析；依据技术通用性原那么，无技术排他性。4.3云平台整体拓扑图在数据中心部署二层扁平环境，在二层环境下虚拟机迁移不改变IP地址。二层扁平化方式降低了网络复杂度，简化了网络拓扑，提高了转发效率。二层网络架构中，采用网络虚拟化技术，解决链路环路问题，提高了网络可靠性。在接入交换机中对不同的业务或对不同的虚拟机参加不同的VLAN做二层转发。效劳器区采用物理效劳器做数据库效劳，虚拟化效劳和云平台提供其他平台应用类效劳，存储区采用存储虚拟化网关实现高端存储的存储虚拟化，配合云平台软件实现备份容灾功能。第五章、网络虚拟化建设方案5.1设计目标根据云数据中心的实际需求分析，提出以下网络平台架构的设计目标。1、高效性：为了满足云数据中心承载的政务信息化应用系统的高并发访问、快速的虚拟机迁移和大文件的上传下载等要求。因此设计一个高带宽、低延时、快速收敛并防止环路出现的网络平台是一个根本的设计目标。2、高可靠性：根底平台的网络的稳定性直接关系到全市〔区、县〕政务信息化效劳的可用性。因此高可用性是数据中心网络平台的设计目标之一，关键和核心局部不能出现单点故障。3、可扩展性：随着后续越来越多的业务应用系统迁入云数据中心，云数据中心的规模需要根据业务应用需求逐步扩大。因此具备良好的扩展能力也是云数据中心网络平台的设计目标之一，在核心、骨干网络设备上要留有余量，充分考虑今后业务应用增加的网络需求。4、灵活性、易维护性：考虑到云数据中心今后所承载的各个行业电子政务业务系统的不确定性，需要网络平台能够灵活简便的对网络资源进行调配。因此，网络管理的灵活性和易维护性也是网络平台的设计目标之一。通过减少网络配置节点、简化网络配置，降低网络管理的人力开销，从而易于网络资源的调整和分配。5、先进性：云数据中心承载各委办局不同种类的电子政务应用系统，整体架构应当保持稳定而不应当频繁调整。作为根底平台的重要组成局部，网络平台的架构调整会影响根底平台的整体架构。因此在设计网络平台的架构的时候，设计目标之一应该是保证网络架构和采用技术的先进性，3-5年内只做规模扩充，而不做架构调整。6、平安性：网络平安是根底平台平安架构的一个重要组成局部，因此平安性也是网络平台需要考虑的设计目标之一。由于网络平安域的划分与隔离很大程度上依赖网络结构的合理性，因此在设计网络架构的时候需要考虑整体网络平安性，便于平安方案进行平安域的划分和平安域间访问控制。5.2关键技术根据上述的设计目标，云数据中心的网络平台的架构设计采用如下的关键技术满足设计目标。1、高效性：云数据中心交换机支持纵向维度的异构融合，可以将盒式设备以及AP设备纵向虚拟化为核心交换机的板卡以及端口，实现设备的统一管理。数据中心交换机要能支持目前业界最高的1:16设备横向虚拟化能力，将一台物理设备虚拟成多台独立的逻辑设备，满足多业务区共享核心交换机的需求；与此同时支持将两台或多台物理核心交换机虚拟为一台逻辑核心交换机，这样形成的树形结构能够有效的破除环路，并支持等价链路并行转发，在快速收敛的同时充分利用了全部的链路带宽。2、高可靠性：核心设备的业务板卡与交换网板采用完全正交设计，使得跨线卡业务流量通过正交连接器直接上交换网板，从而背板走线降低为零，极大的躲避信号衰减。另外核心设备和关键设备均需配备两台以上，并通过网络虚拟化技术虚拟为一台逻辑设备。参与虚拟化的物理设备同时工作，并自动进行流量的负载均衡。这样一台物理设备失效，其网络流量负荷会自动被其他参与虚拟化的物理设备接管，不会产生单点故障。3、可扩展性：采用核心、接入的二层结构，在核心交换机上预留足够的万兆接口和板卡槽位，保证今后有足够的扩展能力连接更多的接入交换机，从而支持云平台的扩展性。4、灵活性、易维护性：采用网络虚拟化技术，把多台物理设备虚拟成一台逻辑设备，减少设备节点，简化了配置工作。采用业务平面、管理平台和存储平面别离的架构，能够更容易进行网络资源的管理和分配以及QOS保障。5、先进性：支持IETF标准协议TRILL〔TransparentInterconnectionofLotsofLinks〕，采用TTL防止二层环路，大幅增强了网络的稳定性，同时加快网络收敛速度；TRILL组网下，所有数据流量基于SPF及ECMP实现快速转发。6、平安性：按照网络承载业务的功能进行区域划分，把不同性质的业务分布在不同的网络分区中。这样不仅便于后期效劳器等计算设备的扩展，而且便于规划网络平安域，并对平安域之间进行访问控制。采用统一互联网出口，并做统一的平安防护，可以有效降低各个部门独立网络出口所带来的互联网风险和隐患。5.2.1独立的三平面遵循国家电子政务相关标准和指南，考虑到网络今后的可扩展性和灵活性等需求，云数据中心建设网络平台可分为业务平面、管理平面和存储平面三个网络平面。三个网络平面相互独立。业务平面主要效劳对象是为租户的业务应用软件的通讯，管理平台主要为设备自身、平安系统、运维系统所使用，存储平面完全是一个封闭的私有网络，效劳器和存储设备在该平面上进行存储数据的传送。5.2.2网络虚拟化和二层结构传统的数据网络平台架构一般采用核心—会聚—接入的三层网络架构模型，采用这种传统的网络架构存在以下几个方面的问题：网络的层次较多，处理效率低；多增加了一个会聚的层面，就会额外增加会聚设备的处理时延、线路时延等；同时由于网络节点数量增多，也增加了部署本钱和设备故障的几率；由于会聚层面设备一定存在处理性能和上行带宽的收敛比，在数据中心规模不断扩大的情况下，会聚设备会成为整个网络的瓶颈，出现拥塞、丢包等问题；在网络扩容时，不仅仅需要增加接入层的设备，同时也必须考虑到会聚设备的性能和端口密度能否满足要求，也需要进行相应的扩容，带来投资本钱的增加。网络设备之间的STP、LAG、路由处理、平安等相互之间的交互信息，随着设备数量的增加，会成几何级数激增。随着云数据中心虚拟化的技术的大规模应用，新的网络平台流量模型中，大多数的流量是在内部效劳器之间进行通信，甚至能够到达整体流量的75%，这种部署架构会导致效劳器之间流量需要通过会聚层甚至核心层设备转发，效率低下，且性能很差。为了解决上述存在的问题，数据中心网络架构采用扁平化二层网络架构〔核心层、接入层〕，使用网络虚拟化技术，核心交换机承当核心层和会聚层的双重任务。扁平化方式降低了网络复杂度，简化了网络拓扑，提高了转发效率。二层网络架构中，采用网络虚拟化技术，解决链路环路问题，提高了网络可靠性，采用二层技术可以在提高带宽的同时降低网络延时。核心层：采用网络虚拟化技术，将两台核心交换机虚拟为一台设备，设备背板共享，交换能力提高。接入层：采用网络虚拟化技术，将两台或多台接入交换机虚拟为一台设备，设备背板共享，交换能力提高。核心交换机和接入交换机之间的四条跨框链路捆绑为一个Eth-Trunk组，网络架构变成树型模式。在TRILL组网下，所有数据流量基于SPF及ECMP实现快速转发，解决了传统STP协议中存在的次优路径问题，大大的提高了带宽的利用率。。扁平化二层网络架构设计的主要优势在于：简化网络管理，降低维护管理本钱能够减少网络中的交换机和链路数量，从而降低前期购置本钱和后期维护本钱网络性能提高，支撑高性能的效劳器流量通过减少交换层数量，流量需要穿越的交换机数量也会减少，从而可以缩短延迟，提高应用性能网络利用率提高，支撑云平台的资源池动态调度云平台要求对于计算资源池和存储资源池任意按需调配。要求网络能够适应这种大范围的调度网络可靠性提高减化的网络通过虚拟化技术，可以消除网络中的可靠性隐患，无需运行spanning-tree协议，消除网络的故障收敛时间，从而提高网络可靠性5.2.3业务功能分区网络总体规划应遵循区域化、层次化、模块化的设计理念，使网络层次更加清楚、功能更加明确。这样在每个区域内部调整时不会影响其他区域，而且区域内部资源调度也更加方便和灵活。依据这样的设计理念和设计原那么，网络平台应根据业务性质或网络设备的作用进行区域划分，通常需要考虑以下几个方面内容：按照网络架构中设备作用的不同，网络可以划分为核心层、接入层，层次化结构也有利于网络的扩展和维护。综合考虑网络效劳中数据应用业务的独立性、各业务的互访关系，以及业务的平安隔离要求，电子政务外网在逻辑上还划分为外联区〔包括DMZ区、政务外网效劳器区〕、网络核心区〔包括网络效劳区〕、计算区域〔包括运维管理区、开发测试区、等保二级、等保三级和高平安高敏感区〕、存储区域〔包括IPSAN区和FCSAN区〕、委办局接入区等。5.3、总体架构云数据中心网络平台划分为外联区、网络核心区和计算存储区。不同的区域通过防火墙进行逻辑隔离。网络架构采用扁平化二层网络架构〔核心层、接入层〕，使用网络虚拟化技术，核心层交换机承当着核心层和会聚层的双重任务。核心层采用网络虚拟化技术，将两台核心交换机虚拟为一台设备，设备背板共享，交换能力提高。接入层采用网络虚拟化技术，将两台或多台接入交换机虚拟为一台设备，设备背板共享，交换能力提高。核心交换机与接入交换机的骨干链路采用万兆互联，效劳器采用千兆链路接入。各个委办局光纤接入如以下图所示，各委办局用户通过政务外网的光纤，接入云数据中心。由于各委办局的光纤接入均为千兆链路，各个委办局光纤接入交换机上联至云计算中心核心交换机万兆接口，根据不同光纤承载的委办局用户数的不同，可以在光纤接入交换机和云数据中心核心交换机上进行限速和优先级设定，优先保障重要单位的网络流量带宽。第六章、效劳器虚拟化设计方案6.1设计目标云数据中心需要配置适宜的效劳器来满足其强大计算能力的需求，因此针对于计算节点的设计，本次设计目标是到达MAPSS标准，其中MAPSS原那么指的是：M-可管理性〔Management〕A-可用性〔Availability〕P-性能〔Performance〕S-效劳〔Service〕S-节约总体本钱(SavingTCO)6.2方案拓扑效劳器区采用的是高性能物理效劳器加虚拟化效劳器的方式来解决计算资源的分配问题，由于数据库的低延时和高性能的要求，所以数据库效劳器采用单独的物理机来承载。其他业务系统由物理效劳器进行虚拟化部署。通过虚拟化整合物理效劳器，将业务迁移到云平台上，可通过资源共享实现最大的利用率，节约硬件投资和维护本钱。6.3物理效劳器云数据中心有多个应用数据库和根底库支撑平台数据库，由于数据库的低延时和高性能的要求，本次数据库效劳器采用单独的物理效劳器来承载，不仅需要能够满足当前类型应用的实际需求，同时还需要满足未来3-5年内应用平滑扩展的需求。数据库效劳器主要为上层应用软件效劳，为了方案设计便于计算，并留有一定余量为全局型应用和资源型应用以及后续准备上线的业务应用系统来使用。由于数据库业务对整个效劳器的CPU处理性能和内存要求较高，需要保证整个系统的高吞吐和高可靠性，一般建议采用4台高四路效劳器来承载应用数据库，采用4台高四路效劳器来承载根底库支撑平台数据库。一共8台高四路效劳器，单台采用E7-48008核2.0GCPU、128GB内存、2*300GB15KSAS硬盘、配置8GBFCHBA卡、1GBCacheRaid卡。6.4虚拟化效劳器传统物理效劳器系统建设方式粗放、建设模式单一显然不能满足数据中心建设的需求。虚拟化技术很好地解决了传统效劳器系统建设的问题，通过提高虚拟化效劳器利用率大幅度消减物理效劳器购置需求、数量和运营本钱；通过利用效劳器虚拟化中CPU、内存、I0资源的动态调整能力实现对业务应用资源需求的动态响应，提升业务应用的效劳质量；通过在线虚拟机迁移实现更高的可用性和可靠性以及各种基于资源优化或节能减排策略的跨物理效劳器的调度等等。因此，效劳器虚拟化技术是云数据中心应用和平台建设的核心解决方案。6.4.1效劳器虚拟化技术特点1、分区：在一个物理系统中，可以支持多个应用程序和操作系统。可在扩展或扩张。体系结构中将效劳器整合到虚拟机中。计算资源被视为以可控方式分配给虚拟机的统一池。2、隔离：虚拟机与主机和其他虚拟机完全隔离。如果一个虚拟机崩溃，所有其他虚拟机不会受到影响。虚拟机之间不会泄露数据，而且应用程序只能通过配置的网络连接进行通信。3、封装：完整的虚拟机环境保存为文件，便于进行备份、移动和复制，为应用程序提供标准化的虚拟硬件，可保证兼容性。综上分析，建议计算资源池采用效劳器虚拟化架构。一般建议采用20台〔数量根据实际情况确定〕高四路效劳器来承载虚拟化平台，单台采用E7-48008核2.0GCPU、256GB内存、2*300GB15KSAS硬盘、配置8GBFCHBA卡、1GBCacheRaid卡。第七章、存储虚拟化设计方案7.1方案设计原那么根据一般政府已建成的政务应用系统和将要建设的智慧城市各应用的特点，存储系统在建设过程中应当遵循如下原那么进行：平安可靠性原那么系统支持双活动控制器，满足高可靠性需求系统器件选择要考虑能支持7×24小时连续长时间大压力下工作；系统具有充分的冗余能力、容错能力；系统具有专业的技术保障体系以及数据可靠性保证机制；对工作环境要求较低，环境适应能力强；确保系统具有高度的平安性，提供平安的登录和访问措施，防止系统被攻击；异常掉电后不丧失数据，供电恢复后自动重新启动并自动恢复正常连接；先进性原那么系统必须严格遵循国际标准、国家标准和国内通信行业的标准要求；需符合存储技术以及IT行业的开展趋势，所选用的产品型号已规模上量；所有的系统处于先进的技术水平，确保较长时间内技术上不落伍；系统的处理能力要到达业内领先，对于本次业务的使用要留有一定的余量，以满足后续升级的需求；开放性原那么系统必须支持国际上通用的标准网络存储协议、国际标准的应用开放协议；与主流效劳器之间保持良好的兼容性；兼容各主流操作系统、卷管理软件及应用程序；可以与第三方管理平台集成，提供应客户定制化的管理维护手段；满足今后的开展，留有充分的扩充余地；各主流厂家的硬盘均可接入；易维护性原那么系统支持简体中文，通俗易懂，操作方便、简单；系统具有充分的权限管理，日志管理、故障管理，并能够实现故障自动报警；系统设备安装使用简单，无需专业人员维护；系统容量可按需要在线扩展，无需停止业务；系统功能扩充需要升级时，支持不中断业务升级；支持WEB管理方式或集中管理方式；扩展性原那么系统易于扩充；系统选择标准化的部件，利于灵活替换和容量扩展；系统设计遵守各种标准规定、标准；经济性原那么综合考虑集中存储系统的性能和价格，最经济最有效地进行建设，性能价格比在同类系统和条件下到达最优。7.2拓扑结构其设计配置如下：所有业务集中存储同时支持FC和IP组网SAS、SATA硬盘混插应用了先进的硬盘休眠技术支持存储虚拟化支持多节点集群支持基于存储网关的镜像、快照支持基于存储网关的数据复制7.3方案特点由于业务系统的增长速度越来越快，从硬件的升级换代速度来看，传统的中低端存储不能满足云数据中心的需求了，因此数据中心建议采用高端存储〔至少每存储配置双控，至少192GB缓存，192G后端磁盘通道〕，并且配置存储虚拟化网关实现硬件层面的存储虚拟化，彻底满足异构存储整合、存储空间统一管理、多级容灾系统构建等需求，实现资源整合、统一管理、数据迁移和多重数据保护，构建平安可靠、管理灵活、高性能、开放的存储系统。第八章、云数据中心平安建设方案8.1平安策略配置原那么平安防护一般遵守遵循以下原那么：最小授权原那么。依据“缺省拒绝”的方式制定防护策略。防护策略在身份鉴别的根底上，只授权开放必要的访问权限，并保证数据平安的完整性、机密性、可用性；业务相关性原那么。在保证业务正常运行、保证效率的情况下分别设置相应的平安防护策略；策略最大化原那么。当存在多项不同平安策略时，平安域防护策略包含这些策略的合集，并选取最严格的防护策略，平安域的防护必须遵循策略最大化原那么。8.2云数据中心平安设计传统数据中心网络平安包含纵向平安策略和横向平安策略，无论是哪种策略，传统数据中心网络平安只关注业务流量的访问控制，将流量平安控制作为唯一的规划考虑因素。而虚拟化数据中心的网络平安模型那么需要由二维平面转变为三维空间，即增加网络平安策略，网络平安策略能够满足虚拟机顺畅的参加、离开集群，或者是动态迁移到其它物理效劳器，并且实现海量用户、多业务的隔离。根据云平台的平安策略要求，一般部署两台千兆防火墙做为云数据中心的网关，虚拟出相应数量的防火墙以实现虚拟机隔离、虚拟机迁移策略随行及不同委办局访问数据中心采取不同平安策略。8.2.1平安域划分设计按照平安效劳接口层、纵深防御层、平安运行管理层三层平安体系结构，针对不同的平安域进行不同层级的平安防护，平安是整体的平安需要平安设备与网络设备互相配合协同。平安域划分是一种逻辑意义上的划分，是在建立在数据中心网络结构之上的划分，不同于单纯在防火墙中的平安域划，通过网络、设备、业务的物理隔离和防火墙域划分，策略配置等完成的功能、业务等方面的逻辑隔离，云计算虚拟化内部采用VDC实现不同平安子域虚拟机的隔离。根据数据中心的业务逻辑、平安防护需求和网络构成特点，将数据中心划分为不同的平安域；再根据平安域内部的不同平安需求划分为平安子域，形成平安域与平安子域两级结构。各个平安域和平安子域的功能划分如下表所示：平安域平安子域平安子域作用备注公共域Internet外联区主要是与Internet互连委办局接入区主要是与各委办局互联交换域网络核心区提供区域间网络互联内部域核心业务区提供核心业务物理资源区基于物理设备部署的应用区域云计算区基于云计算虚拟化部署的应用区域云计算区内部可通过VDC细分为多个子区域过渡区核心区和外联区之间的过渡区管理域运行管理区包括计算中心网络监控，平安管理计算中心的管理区，包括云平台管理平面，效劳器、网络设备等的管理数据中心内部平安域的划分主要采用如下方法：〔1〕计算中心网络为“分层分平面”的网络架构，整体组网分为核心层与接入层两个层次以及管理、计算、存储、业务4个平面。管理和业务平面隔离：计算、管理在不同的VLAN平面计算和存储物理隔离：独立的存储网络。应用三层架构平面隔离：可以根据业务需要，如把WEB->APP->DB划分在不同的VLAN平面。〔2〕各业务区根据需要可以划分为不同的VLAN通过虚拟防火墙实现二层隔离。〔3〕通过在数据中心出口应用防火墙来实现对平安区域的隔离。它可以工作在透明模式，也可以工作在路由模式，方便各种组网需求，主要实现如下的功能：通过防火墙严格的ACL策略和连接状态检测进行通信合法性保护隔离内部各个部门，可以为不同的部门设置不同的平安级别，能实现各个部门之间的访问策略，也可以防范某些内部用户发起的针对其他区域内设备的各种攻击。防火墙的ACL提供了细粒度的访问控制功能，实现的粒度包括：源与目的IP地址、源与目的MAC地址，源与目的端口、访问协议等。保护计算中心内部的一些重要的效劳器，控制各委办局和外部对这些重要资源的访问，防范针对这些效劳器的各种攻击。通过部署应用防火墙，对流经网络的报文进行详细的分析与检查，探测各种可能的异常情况和攻击行为。对不同的部门均可以部署在不同的业务区中，它们之间可以通过VLAN和虚拟防火墙进行网络隔离虚拟化中可以采用VDC和平安组方便的实现不同业务分区和虚拟机的隔离。8.2.2虚拟机隔离设计通过对防火墙进行虚拟化，分割成多个防火墙实例提供网络平安效劳，对每块防火墙划分三个逻辑实例，每一对虚拟防火墙工作在主-主模式，防火墙实例分布在两台上面，从而到达负载分担和冗余备份的能力。不同业务虚拟机的网关地址各不相同，同一个逻辑集群内的虚拟机只能在VLAN内迁移，如公共效劳、智慧城管、协同办公三种业务分别对应在VLAN2、VLAN3、VLAN4内，每组业务使用独立的VLAN、接口、路由表及转发表，将一台物理网络设备逻辑上分割成多台虚拟设备，增强对计算资源的平安访问隔离控制能力。防火墙做效劳器网关，L2分区之间互访必须经由防火墙对互访流量做状态检测，并卫生医疗、环境治理、GIS之间完全由防火墙实现访问控制，属于强隔离措施。假设存在局部数据库相互调用可设置允许某一端口IP地址互通。8.2.3各委办局接入策略控制设计通过虚拟防火墙对不同委办局接入时采取不同的权限策略，每个委办局介入时虚拟防火墙系统运行过程中根据转发流的情况动态申请。如转发面会话表、监控表、带宽等资源表现为实时性很高，可能某一个时段仅需要占用少量资源，另一个时段会占用较大资源，甚至全部资源。这样防火墙管理员为虚拟防火墙分配资源时就可以配置一个保证数量和一个最大数量，防止某些虚拟防火墙空闲时，分配的资源浪费掉，通过预留一局部资源为全部虚拟防火墙所共享，大家抢占使用。使得防火墙的整机资源得到高效利用，也可以防止空闲的虚拟防火墙在使用时出现饥饿申请不到资源的情况。删除虚拟防火墙时，按照一定的顺序对各子系统的资源进行回收，保证资源回收干净。8.2.4虚拟机平安策略动态迁移设计当虚拟机实现跨效劳器迁移时，需要实现虚拟机的平安策略随行。8.3虚拟防火墙部署优势虚拟防火墙是将一台物理设备从逻辑上划分为多台独立的虚拟防火墙设备的功能。每台虚拟防火墙都可以拥有自己的管理员、路由表和平安策略。通过虚拟系统技术，就可以让部署在云数据中心出口的防火墙具备云计算网关的能力，对用户流量进行隔离的同时提供强大的平安防护能力。为了实现每个虚拟系统的业务都能够做到正确转发、独立管理、相互隔离，防火墙主要实现了三个方面的虚拟化：路由虚拟化：每个虚拟防火墙都拥有各自的路由表及会话表，相互独立隔离。平安功能虚拟化：每个虚拟防火墙都可以配置独立的平安策略及其他平安功能，只有属于该虚拟系统的报文才会受到这些配置的影响。配置虚拟化：每个虚拟防火墙都拥有独立的虚拟系统管理员和配置界面，每个虚拟系统管理员只能管理自己所属的虚拟系统。通过以上三个方面的虚拟化，使得防火墙的虚拟防火墙功能更加易于使用。8.4DMZ区域平安设计DMZ区域主要承载对外效劳，而现在主要的威胁来自于互联网，因此DMZ区域建设重点在于提供平安可靠的效劳。DMZ是为了解决安装防火墙后外部网络不能访问内部网络效劳器的问题，而设立的一个非平安系统与平安系统之间的缓冲区，这个缓冲区位于数据中心内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的效劳器设施，如计算中心Web效劳器、FTP效劳器和论坛等。另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络。在互联网接入区的出口位置部署专用的链路负载均衡设备，链路负载均衡与全局负载均衡设备共同实现由内向外和由外向内的出入站流量负载均衡。DMZ区网络核心为两台防火墙，防火墙工作在路由模式，两台防火墙采用双机热备方式部署，防火墙上配置DMZ区的网关。