趙 佟，張明光

(山東廣播電視大學(xué)，山東 濟(jì)南 250014)

淺談電大遠(yuǎn)程教育網(wǎng)絡(luò)的可靠可用性設(shè)計(jì)

趙 佟，張明光

(山東廣播電視大學(xué)，山東 濟(jì)南 250014)

為進(jìn)一步加強(qiáng)網(wǎng)絡(luò)教學(xué)環(huán)境的安全穩(wěn)定，山東電大于2011年實(shí)施了信息化建設(shè)網(wǎng)絡(luò)改造工程，該工程設(shè)計(jì)了雙核心交換、雙骨干鏈路，在服務(wù)器集群中安裝了虛擬化系統(tǒng)并共享FC SAN存儲(chǔ)，并在網(wǎng)絡(luò)內(nèi)部部署了防火墻、IPS、網(wǎng)絡(luò)行為管理系統(tǒng)等安全設(shè)備，實(shí)現(xiàn)了網(wǎng)絡(luò)及應(yīng)用系統(tǒng)的高可靠性、高可用性及安全性。

虛擬化;信息化建設(shè);網(wǎng)絡(luò)改造

一、項(xiàng)目背景

山東廣播電視大學(xué)校園網(wǎng)始建于1998年，并與2002年進(jìn)行擴(kuò)建及升級(jí)改造，主要用于全省開放教育的網(wǎng)絡(luò)教學(xué)及省電大的網(wǎng)上辦公。2010年，省電大十二五發(fā)展規(guī)劃中指出，“辦好開放大學(xué)”是《國(guó)家中長(zhǎng)期教育改革和發(fā)展規(guī)劃綱要(2010—2020》和《山東省中長(zhǎng)期教育改革和發(fā)展規(guī)劃綱要(2010—2020)》提出的戰(zhàn)略目標(biāo)，是黨中央國(guó)務(wù)院、省委省政府交給我們電大工作者的一項(xiàng)光榮任務(wù)，是電大教育在新形勢(shì)新階段下科學(xué)發(fā)展的新機(jī)遇新挑戰(zhàn)。［1］因此學(xué)校的信息化建設(shè)應(yīng)全面服務(wù)于“辦好開放大學(xué)”這個(gè)目標(biāo)，提出要建設(shè)功能齊全、性能先進(jìn)的遠(yuǎn)程教育網(wǎng)絡(luò)平臺(tái)。根據(jù)十二五規(guī)劃的要求，學(xué)校決定實(shí)施省電大信息化建設(shè)網(wǎng)絡(luò)改造工程，由于資金的限制，該工程將分期投入建設(shè)。以虛擬化技術(shù)為核心的一期改造工程已于2011年招標(biāo)完成，目前工程正在實(shí)施過(guò)程中。筆者負(fù)責(zé)該工程的需求分析及網(wǎng)絡(luò)設(shè)計(jì)工作，并參與了項(xiàng)目招標(biāo)，本文將簡(jiǎn)述本次改造工程的方案及對(duì)現(xiàn)有的網(wǎng)絡(luò)教學(xué)及辦公環(huán)境帶來(lái)的改觀。

二、需求分析及設(shè)計(jì)目標(biāo)

山東電大原有網(wǎng)絡(luò)在2002年升級(jí)改造后，在全省開放教育教學(xué)工作中發(fā)揮了重大作用，但隨著時(shí)間的推移，存在的問(wèn)題也日益顯現(xiàn)，主要有，網(wǎng)絡(luò)速度較慢，核心設(shè)備存在單點(diǎn)故障的隱患，重要的應(yīng)用服務(wù)器缺少冗余，一旦發(fā)生故障，對(duì)外服務(wù)要中斷很長(zhǎng)一段時(shí)間，網(wǎng)絡(luò)內(nèi)病毒較多，電驢、BT等客戶端軟件對(duì)網(wǎng)絡(luò)的整體性能影響很大，不能對(duì)用戶進(jìn)行有效的控制。

為此，山東電大此次信息化建設(shè)網(wǎng)絡(luò)改造工程的建設(shè)目標(biāo)是:升級(jí)學(xué)?，F(xiàn)有的網(wǎng)絡(luò)，擴(kuò)大傳輸容量，確?；A(chǔ)網(wǎng)絡(luò)的穩(wěn)定、可靠，對(duì)于學(xué)校的核心應(yīng)用(遠(yuǎn)程教學(xué)平臺(tái)、WEB、OA)要確保高可用性，并能提升其運(yùn)行效率，保證數(shù)據(jù)的安全可靠，提升網(wǎng)絡(luò)的安全性，能監(jiān)控、記錄內(nèi)網(wǎng)用戶的各類動(dòng)作，規(guī)范內(nèi)網(wǎng)用戶的上網(wǎng)行為，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的可管可控。

三、網(wǎng)絡(luò)規(guī)劃與設(shè)計(jì)方案

根據(jù)對(duì)現(xiàn)有網(wǎng)絡(luò)的需求分析，并綜合實(shí)測(cè)的各項(xiàng)現(xiàn)有網(wǎng)絡(luò)的性能指標(biāo)，本著保護(hù)投資的原則，我們?cè)O(shè)計(jì)了如下技術(shù)方案:網(wǎng)絡(luò)中心采用雙核心交換，骨干鏈路采用雙線的冗余方案，互為備份并負(fù)載均衡，實(shí)現(xiàn)了基礎(chǔ)網(wǎng)絡(luò)的穩(wěn)定、可靠;通過(guò)在高性能服務(wù)器集群中安裝虛擬化軟件并連接共享的FC SAN存儲(chǔ)，構(gòu)建虛擬化的數(shù)據(jù)中心，將各類應(yīng)用全部部署到虛擬化服務(wù)器中，提高了應(yīng)用的高可用性及服務(wù)器的效率，并通過(guò)另外一臺(tái)存儲(chǔ)實(shí)現(xiàn)數(shù)據(jù)的備份;利用防火墻、IPS、上網(wǎng)行為管理等硬件設(shè)施，確保網(wǎng)絡(luò)安全，并監(jiān)控、規(guī)范內(nèi)網(wǎng)用戶的上網(wǎng)行為。具體方案如下:

(一)穩(wěn)定、可靠、管理方便的高性能校園網(wǎng)核心

我校原有的網(wǎng)絡(luò)建于2002年，采用兩層的網(wǎng)絡(luò)結(jié)構(gòu)，核心設(shè)備為一臺(tái)“思科4006”交換機(jī)，通過(guò)百兆雙絞線或多模光纖與各樓層或其它校區(qū)的接入交換機(jī)相連。由于近年來(lái)網(wǎng)絡(luò)應(yīng)用與網(wǎng)絡(luò)用戶不斷增加，核心設(shè)備的交換能力已經(jīng)遠(yuǎn)不能適應(yīng)現(xiàn)有的網(wǎng)絡(luò)規(guī)模，另外還存在單點(diǎn)故障的安全隱患。

新網(wǎng)絡(luò)方案采用三層架構(gòu)的網(wǎng)絡(luò)結(jié)構(gòu)，核心層選用兩臺(tái)“H3C7500”交換機(jī)，之間通過(guò)雙千兆光纖互聯(lián)，雙線的設(shè)計(jì)既增加了帶寬，又互為備份并負(fù)載均衡。兩臺(tái)“H3C7500”交換機(jī)均支持VRRP協(xié)議，能實(shí)現(xiàn)路由冗余，消除單點(diǎn)故障，每臺(tái)引擎交換容量高達(dá)384G，采用模塊化設(shè)計(jì)，支持萬(wàn)兆端口，方便今后的擴(kuò)展與升級(jí)。匯聚層選用三臺(tái)“H3C3600”系列交換機(jī)實(shí)現(xiàn)對(duì)三個(gè)校區(qū)接入層的匯聚，每臺(tái)“H3C3600”通過(guò)千兆光纖分別接入兩臺(tái)“H3C7500”交換機(jī)，實(shí)現(xiàn)了全部骨干線路的冗余和負(fù)載均衡。校園網(wǎng)采用雙 internet出口，分別用兩臺(tái)“天融信NGF4000”防火墻接100M中國(guó)聯(lián)通出口和10M中國(guó)電信出口，兩臺(tái)防火墻與雙核心交換之間也使用雙線冗余方案。為實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的可管理性，我們配備了基線網(wǎng)絡(luò)管理軟件，它能自動(dòng)生成網(wǎng)絡(luò)拓?fù)?，以WEB方式對(duì)網(wǎng)絡(luò)進(jìn)行性能、故障、安全、配置等方面的管理。

(二)利用虛擬化技術(shù)搭建穩(wěn)定、高效、高可用性的新一代校園網(wǎng)數(shù)據(jù)中心

我?，F(xiàn)有包括電大在線遠(yuǎn)程教學(xué)平臺(tái)、WEB、OA、數(shù)字圖書館在內(nèi)的網(wǎng)絡(luò)應(yīng)用二十余種，其中電大在線遠(yuǎn)程教學(xué)平臺(tái)、WEB、OA屬于學(xué)校的核心應(yīng)用，要確保這些應(yīng)用的高可用性。比如電大在線遠(yuǎn)程教學(xué)平臺(tái)，如果承載該應(yīng)用的服務(wù)器出現(xiàn)硬件故障，那將影響大批成人學(xué)員在平臺(tái)上的學(xué)習(xí)活動(dòng)，并給學(xué)校聲譽(yù)造成不良的影響。［2］

目前，能實(shí)現(xiàn)高可用性的技術(shù)有很多，比如雙機(jī)熱備和集群技術(shù)，但兩者的突出問(wèn)題是增加了硬件投資并造成了資源的成倍浪費(fèi)。通過(guò)對(duì)現(xiàn)在新興技術(shù)的考察，我們決定采用虛擬化技術(shù)作為高可用性的技術(shù)方案。

虛擬化是通過(guò)對(duì)IT硬件資源整合、優(yōu)化、共享的成熟高新技術(shù)，是實(shí)現(xiàn)云計(jì)算最基礎(chǔ)的支撐技術(shù)。在數(shù)據(jù)中心，通過(guò)虛擬化技術(shù)將物理服務(wù)器進(jìn)行虛擬化，實(shí)現(xiàn)在單一物理服務(wù)器上運(yùn)行多個(gè)虛擬服務(wù)器(虛擬機(jī))，把應(yīng)用程序?qū)Φ讓拥南到y(tǒng)和硬件的依賴抽象出來(lái)，從而解除應(yīng)用與操作系統(tǒng)和硬件的綁定對(duì)映關(guān)系，使得物理設(shè)備的差異性與兼容性與上層應(yīng)用透明，不同的虛擬機(jī)之間相互隔離、互不影響，可以運(yùn)行不同的操作系統(tǒng)，并提供不同的應(yīng)用服務(wù)。簡(jiǎn)單地說(shuō)就是可以將我們現(xiàn)有的服務(wù)器上面的應(yīng)用整合到幾臺(tái)服務(wù)器上去。［3］通過(guò)虛擬化技術(shù)可以有效增加組織的靈活性和效率，同時(shí)又可以降低其成本。虛擬化技術(shù)以其系統(tǒng)的先進(jìn)性、高可用性、系統(tǒng)的靈活擴(kuò)展能力、開放性以及高可管理性等可完全滿足當(dāng)前和未來(lái)幾年內(nèi)我校信息系統(tǒng)的發(fā)展需求。

本方案中我們選用了虛擬化領(lǐng)域的市場(chǎng)領(lǐng)導(dǎo)者VM Ware公司的產(chǎn)品。我們新購(gòu)置了3臺(tái)高性能的“HP 580 G7”服務(wù)器，加上原有的兩臺(tái)配置較高的“HP 580 G5”服務(wù)器作為虛擬化平臺(tái)的集群服務(wù)器，5臺(tái)服務(wù)器均安裝VM Ware虛擬化軟件ESX Server，形成虛擬化系統(tǒng)架構(gòu)，在此架構(gòu)基礎(chǔ)上可建立幾十臺(tái)甚至更多的虛擬服務(wù)器，每臺(tái)虛擬服務(wù)器從性能、功能、操作上等同于傳統(tǒng)的單臺(tái)物理服務(wù)器，可安裝操作系統(tǒng)及網(wǎng)絡(luò)應(yīng)用。在服務(wù)器集群的后端連有FC SAN光纖存儲(chǔ)，虛擬架構(gòu)系統(tǒng)生產(chǎn)出來(lái)的虛擬機(jī)封裝文件都存放在FC SAN存儲(chǔ)上，通過(guò)共享的FC SAN架構(gòu)，可以最大的發(fā)揮虛擬平臺(tái)的優(yōu)勢(shì)，在線的遷移正在運(yùn)行的虛擬服務(wù)器，實(shí)現(xiàn)雙機(jī)熱備、容錯(cuò)、動(dòng)態(tài)資源管理等功能。我們選用EMC 5000作為存儲(chǔ)架構(gòu)的產(chǎn)品，陣列采用冗余雙控制器，采用兩臺(tái)光纖交換機(jī)，服務(wù)器與陣列均用雙連接的方式接入光纖交換機(jī)。

整個(gè)虛擬架構(gòu)部署完畢后，我們將包括核心應(yīng)用在內(nèi)的全部網(wǎng)絡(luò)應(yīng)用安裝在劃分出來(lái)的每臺(tái)虛擬服務(wù)器上，虛擬平臺(tái)可根據(jù)應(yīng)用的實(shí)際需求分配所需的硬件資源。當(dāng)有新應(yīng)用要加入時(shí)，無(wú)需購(gòu)置新服務(wù)器，只要在平臺(tái)上在開辟一臺(tái)新虛擬服務(wù)器即可。如果服務(wù)器出現(xiàn)故障，或?qū)δ撑_(tái)服務(wù)器進(jìn)行正常的硬件升級(jí)維護(hù)，該服務(wù)器上的虛擬服務(wù)器應(yīng)用會(huì)自動(dòng)遷移到其它四臺(tái)服務(wù)器中，無(wú)需中斷應(yīng)用，保證了高可用性。此外，我們還將原來(lái)的曙光DS2100光纖存儲(chǔ)也接入了FC交換機(jī)，作為對(duì)一些關(guān)鍵應(yīng)用的數(shù)據(jù)備份。

省電大虛擬化方案示意圖

(三)安全、可控的網(wǎng)絡(luò)安全系統(tǒng)

在系統(tǒng)安全方面，我們采用了防火墻、入侵保護(hù)、上網(wǎng)行為管理及網(wǎng)絡(luò)殺毒軟件等軟硬件設(shè)施來(lái)增強(qiáng)整個(gè)網(wǎng)絡(luò)系統(tǒng)的安全性。

在網(wǎng)絡(luò)出口，采用兩臺(tái)“天融信NGFW4000”防火墻，分別接入中國(guó)聯(lián)通和中國(guó)電信，可實(shí)現(xiàn)訪問(wèn)控制、內(nèi)容過(guò)濾、NAT、帶寬管理、負(fù)載均衡、雙機(jī)熱備等功能，達(dá)到外網(wǎng)對(duì)內(nèi)網(wǎng)安全訪問(wèn)的目的。我們?cè)诜阑饓χ性O(shè)置了3個(gè)區(qū)域，內(nèi)網(wǎng)、外網(wǎng)和防火區(qū)(DMZ區(qū))，將提供對(duì)外服務(wù)的服務(wù)器或其它設(shè)備放入防火區(qū)，對(duì)內(nèi)提供服務(wù)的服務(wù)器或設(shè)備放入內(nèi)網(wǎng)區(qū)，防火區(qū)的各種設(shè)備通過(guò)地址轉(zhuǎn)換(NAT)實(shí)現(xiàn)內(nèi)網(wǎng)地址到外網(wǎng)地址的轉(zhuǎn)換功能，并在防火墻上設(shè)置嚴(yán)格的訪問(wèn)策略，允許外網(wǎng)有限的訪問(wèn)防火區(qū)，比如HTTP、FTP等常用的對(duì)外服務(wù)，禁止外網(wǎng)訪問(wèn)內(nèi)網(wǎng)區(qū)，保證了內(nèi)網(wǎng)的安全可靠。

在防火墻與核心交換之間，串接了一臺(tái)綠盟公司的NIPS600入侵保護(hù)系統(tǒng)，用來(lái)作為防火墻的補(bǔ)充，進(jìn)一步增強(qiáng)網(wǎng)絡(luò)的安全性。近年來(lái)，校園網(wǎng)所面臨的安全問(wèn)題越來(lái)越復(fù)雜，安全威脅正在飛速增長(zhǎng)，尤其混合威脅的風(fēng)險(xiǎn)，如黑客攻擊、蠕蟲病毒、木馬后門、間諜軟件、僵尸網(wǎng)絡(luò)、DDoS攻擊、垃圾郵件、網(wǎng)絡(luò)資源濫用(P2P下載、IM即時(shí)通訊、網(wǎng)游、視頻)等，極大地困擾著用戶，給校園網(wǎng)的信息網(wǎng)絡(luò)造成嚴(yán)重的破壞。通過(guò)入侵保護(hù)系統(tǒng)，可以實(shí)時(shí)、主動(dòng)地?cái)r截黑客攻擊、蠕蟲、網(wǎng)絡(luò)病毒、后門木馬、DoS等惡意流量，保護(hù)用戶在訪問(wèn)被植入木馬等惡意代碼的網(wǎng)站時(shí)不受侵害，及時(shí)、有效地第一時(shí)間攔截Web威脅，阻斷一切非授權(quán)用戶流量，管理合法網(wǎng)絡(luò)資源的利用，有效保證關(guān)鍵應(yīng)用全天候暢通無(wú)阻，全面監(jiān)測(cè)和管理P2P下載、網(wǎng)絡(luò)游戲、在線視頻等網(wǎng)絡(luò)行為，并限制其流量，更好地執(zhí)行校園網(wǎng)的安全策略。利用NIPS600入侵保護(hù)的上述功能，彌補(bǔ)了防火墻功能上的不足，及時(shí)阻斷多種非法流量，通過(guò)與天融信NGFW4000防火墻配合使用，使整個(gè)校園網(wǎng)又上了一道保險(xiǎn)。

為了規(guī)范校園網(wǎng)用戶的上網(wǎng)行為，我們還在校園內(nèi)部署了一臺(tái)網(wǎng)康公司的NI5910上網(wǎng)行為管理系統(tǒng)。NI5910可進(jìn)行內(nèi)容審計(jì)與過(guò)濾，支持對(duì)郵件、QQ、MSN、各類BBS論壇、新聞評(píng)論、貼吧的發(fā)帖內(nèi)容進(jìn)行監(jiān)控審計(jì)，對(duì)搜索引擎的搜索行為進(jìn)行記錄，可區(qū)分網(wǎng)頁(yè)搜索、圖片搜索、視頻搜索等搜索類型，并可過(guò)濾有害關(guān)鍵字，檢測(cè)到敏感信息時(shí)，可自動(dòng)向管理員發(fā)送郵件報(bào)警。具有中斷控制與準(zhǔn)入功能，通過(guò)部署專用客戶端，可實(shí)現(xiàn)對(duì)客戶端運(yùn)行進(jìn)程信息的檢測(cè)，可以禁止指定進(jìn)程訪問(wèn)網(wǎng)絡(luò)的同時(shí)，不影響其它程序使用網(wǎng)絡(luò)。能完整保留用戶所有上網(wǎng)行為資料。通過(guò)NI5910上網(wǎng)行為管理系統(tǒng)，我們可以引導(dǎo)用戶尤其是校園網(wǎng)的學(xué)生用戶科學(xué)健康的使用網(wǎng)絡(luò)。

我們?cè)诰W(wǎng)絡(luò)內(nèi)還部署了卡巴斯基網(wǎng)絡(luò)殺毒系統(tǒng)，通過(guò)安全中心可實(shí)現(xiàn)對(duì)工作站及服務(wù)器殺毒的集中管理，有效地阻止了各類病毒對(duì)網(wǎng)絡(luò)系統(tǒng)的侵害。

四、項(xiàng)目實(shí)施效果及展望

山東電大此次信息化建設(shè)網(wǎng)絡(luò)改造工程以虛擬化技術(shù)作為建設(shè)重點(diǎn)，并對(duì)校園網(wǎng)核心及骨干鏈路實(shí)現(xiàn)了雙冗余的改造，增加了多種網(wǎng)絡(luò)安全設(shè)備，實(shí)現(xiàn)了基礎(chǔ)網(wǎng)絡(luò)、各類應(yīng)用的穩(wěn)定、安全、可靠、高可用、高效率等性能，項(xiàng)目實(shí)施以來(lái)運(yùn)行穩(wěn)定，為學(xué)校開展網(wǎng)絡(luò)遠(yuǎn)程教育奠定了堅(jiān)實(shí)的基礎(chǔ)。

在十二五期間，學(xué)校應(yīng)在安全可靠的基礎(chǔ)網(wǎng)絡(luò)環(huán)境下，整合現(xiàn)有網(wǎng)絡(luò)的各類應(yīng)用與資源，在網(wǎng)絡(luò)的應(yīng)用和內(nèi)涵建設(shè)上下大功夫，打造功能強(qiáng)大、齊全的終生教育服務(wù)平臺(tái)，以實(shí)現(xiàn)學(xué)校十二五規(guī)劃的信息化建設(shè)目標(biāo)。

［1］陳驥.辦好開放大學(xué)與我們的工作任務(wù)［J］.山東廣播電視大學(xué)學(xué)報(bào)，2011(4):4-10.

［2］張明光，韓磊.利用“電大在線”平臺(tái)構(gòu)建基層電大網(wǎng)上教學(xué)環(huán)境［J］.山東廣播電視大學(xué)學(xué)報(bào)，2011(3):10 -12.

［3］田豐，朱紅斌.淺談虛擬化與虛擬化IT架構(gòu)［J］.福建電腦，2011(1):64-65.

G728.8

A

1008—3340(2012)02—0016—03

2012-04-23

趙佟，男，山東廣播電視大學(xué)現(xiàn)代教育技術(shù)中心，助理工程師。