智慧校園建設技術建議書(存儲版)

　　

【正文】 全虛擬機（以下簡稱DSVA）；安全代理程序（以下簡稱DSA）。一直以來，桌面計算普遍使用的是功能全面的“胖客戶端”PC。l 難以保護數據的安全：確保 PC 上的數據能成功備份并能在 PC 出現故障或文件丟失時恢復，是一個巨大的挑戰。管理員可使用Manage集中管理環境中的所有虛擬機。數據上移，信息安全 傳統桌面環境下，由于用戶數據都保存在本地PC，因此，內部泄密途徑眾多，且容易受到各種網絡攻擊，從而導致數據丟失。 應用上移，業務可靠 傳統桌面環境下，所有的業務和應用都在本地PC上進行處理，%，年宕機時間約21個小時。 資源彈性，復用共享 桌面云環境下，所有資源都集中在數據中心，可實現資源的集中管控，彈性調度。另現有的業務要運行在虛擬化環境中，使用 6個刀片做虛擬化服務器的方式來解決計算資源的分配問題，由于數據庫的低延時和高性能的要求，所以數據庫服務器用單獨的物理機來承載，在2塊四路刀片上部署服務器。l 10GE，40GE，100GE，IB FDE，EDR 演進。l 采用高效能鉑金AC電源，電源轉換效率高達95%，支持動態節能管理電源休眠。此次建設中的數據中心利用其中一個校區的機房作為災備中心，利用現有百兆光纖實現關鍵數據的異地存放，在災備中心放置一臺低端作為容災存儲。如何很好的管理和應用好來自不同廠商的異構陣列給存儲管理員提出了很高的技術要求。當災難發生時， 能夠通過互為備份的站點進行業務數據的接管和數據恢復。通過在數據中心與災備中心之間對關鍵業務數據進行策略性遠程復制，實現數據的異地備份，并在發生意外災難時對數據進行快速恢復，確保數據中心的業務持續性。空間管理，包括單用戶最大備份空間分配，用戶使用空間審查。 四、 方案優勢為保障云平臺安全，FusionSphere采用了完整的安全架構，避免出現安全真空，強化了網絡隔離和虛擬化隔離。云數據中心基礎的安全能力可主要通過系統加固、防病毒和安全補丁這三方面措施來提供。支持對虛擬機的快照功能，系統提供虛擬機、卷快照功能，便于在系統出現故障的時候還原系統。支持電源1+1冗余和熱插拔。對于各通信平面（業務、存儲、管理）均采用雙網卡，雙網卡采用了Bonding模式，兩網卡被綁定成邏輯上的“一塊網卡”后，同步一起工作。l 系統性能：FusionSphere提供了無與倫比的平臺平衡功能和卓越的資源分配功能。同時，刀片服務器的擴充不需要買昂貴的服務器機柜，從長遠的來看節約成本。l 硬件持續時間：FusionSphere的資源池模型可提供非常動態的性能平衡和調整功能。通過使用交換機堆疊技術，保證物理服務器對外與匯聚層交換設備和對內虛擬網絡層連接的冗余。配合智能的風扇調速和監控，確保服務器硬件系統運行的可靠性。數據中心虛擬化項目從整體、服務器、存儲、網絡、虛擬化多個層面綜合考慮系統可靠性，保障業務的續性。機房內安裝監控設備，方便事后審計。 備份中心的根備份服務器只需要管理分支機構的備份服務器，大大降低了整個方案的管理性。 支持 Windows 桌面和服務器操作系統，以及大多數流行的 Linux 操作系統。 此次建設中的數據中心利用其中一個校區的機房作為災備中心，利用現有百兆光纖實現關鍵數據的異地存放，在災備中心放置一臺華為低端作為容災存儲華為的遠程容災備份解決方案符合學校的要求和數據保護技術發展的趨勢。其場景特點就是異構LUN 數據搬遷過程中，主機業務不中斷。異構虛擬化可保證外部LUN數據完整性不被破壞。在數據安全性方面，通過存儲陣列的快照功能，可保留生產系統數據的部分歷史版本，保障了系統出現邏輯錯誤或者數據遭病毒感染等，可以通過快照恢復到系統正常時刻的數據，快速將業務恢復正常。l 豐富的交換模塊GE,10GE,FC,FCoE,IB，根據業務要求靈活配置。支持GPU，SSD PCIe擴展。 概述學校共有1200個云桌面的需求，此次硬件載體采用的是兩臺高性能Huawei Tecal E9000刀片服務器，配置26個兩路刀片和2個四路的刀片。TC讓辦公室噪音從50分貝降低到10分貝，辦公環境變得更加安靜。使用桌面云后，每位IT人員可管理超過2000臺虛擬桌面，維護效率提高4倍以上。華為FusionCloud 桌面云解決方案是基于華為云平臺的一種虛擬桌面應用，通過在云平臺上部署華為桌面云軟件，使終端用戶通過瘦客戶端或者其他設備來訪問跨平臺的整個客戶桌面。利用Fusion Cloud桌面虛擬化構建基于服務器的桌面解決方案，不僅可以解決 PC 桌面面臨的各種難題，還能優化可用性、可管理性、總體擁有成本和靈活性。目前，PC 管理工作包括部署軟件、更新和修補程序等，由于這些工作需要對多種 PC 配置的部署進行測試和驗證，因而會耗費大量的人力。l 提高對業務需求的響應速度，以便更迅速地部署項目。學校可以任何方式結合包括防惡意軟件、IDS/IPS、虛擬補丁、防火墻、完整性監控在內的安全模塊，定制學校專署的無代理安全防護。l 安全功能虛擬化：每個虛擬防火墻都可以配置獨立的安全策略及其他安全功能，只有屬于該虛擬系統的報文才會受到這些配置的影響。通過對防火墻進行虛擬化，分割成多個防火墻實例提供網絡安全服務，對每塊防火墻劃分三個邏輯實例，每一對虛擬防火墻工作在主主模式，防火墻實例分布在兩臺上面，從而達到負載分擔和冗余備份的能力。l 機房布線和管理復雜度低：刀片服務器在機房布線只要統一布設網絡線、電源線。綜上分析，建議本期計算資源池采用服務器虛擬化架構。服務器虛擬化技術特點：l 分區：在一個物理系統中，可以支持多個應用程序和操作系統。即使是再給現有服務器擴充升級，也只是簡單地增加一個新的服務器到服務群中，而不需改變現有網絡結構、停止現有的服務。網關作為校園網絡連接到另一個網絡的關口，就象是一扇大門，一旦大門敞開，學校的整個網絡信息就會暴露無遺。由于入侵防御的防護都是基于規則庫，因此規則庫的全面性是其價值所在，應該涵蓋病毒、協議、攻擊特征等所有方面。為避免線路資源浪費，合理使用網絡資源，防火墻設備提供智能鏈路負載均衡功能，能夠根據目標地址、用戶、應用、鏈路負載等多元素靈活組合來實現鏈路資源的智能路由。承擔網絡出口建設的所有網絡設備必須具備高可靠性要求，以確保整個校園網內部用戶對互聯網的正常訪問。并對網絡內的各項安全、網絡數據信息實現統一的分析，為教學業務提供有力支撐。使用上網行為管理對校園內部用戶的上網行為進行管理和監控，并可以對網絡流量實現基于用戶和應用的精細化話管理。可定制：展現內容、展現形式、內容排版可定制。位置拓撲：可進行障礙物設置，使得用戶可以了解不同障礙物對信號衰減的影響。華為公司推薦eSight網絡管理系統，可以準確、快捷的提供運維人員所需要的信息，大大減輕運維人員的工作量。還支持MAC地址過濾和端口過濾功能，能有效防范黑客、病毒攻擊，提供安全可靠的網絡服務。免維護易部署l 要求支持自動配置、即插即用、USB開局、自動批量遠程升級等功能，便于部署升級和業務發放，簡化后續的管理和維護性能。用戶的防攻擊涉及DHCP仿冒攻擊、中間人攻擊、IP/MAC Spoofing 攻擊、DHCP request flood、改變 CHADDR 值的 DoS 攻擊等等。l 要求支持BFD鏈路快速檢測功能，能為OSPF、ISIS、VRRP、PIM等協議提供毫秒級檢測機制，提高了網絡可靠性。極大的提升了接入側設備的可靠性。要求支持線速的跨VLAN組播復制功能，支持捆綁端口的組播負載分擔，支持可控組播，可以充分滿足IPTV和其他組播業務的需求。創新節能芯片，智能功耗控制l 創新節能芯片，實現按流量動態調整功率，支持端口休眠，無流量不耗電。l 要求負載均衡器支持動態“鎖流”技術，滿足校園網站在線視頻負載均衡需求。支持ISSU業務運行中軟件升級，設備軟件升級過程中確保關鍵業務和服務不中斷。整個校園內網采用扁平化設計理念，分成校園核心層、大樓匯聚層、樓層接入層和網絡管理四個部分，實現采用萬兆骨干，千兆到桌面，萬兆主干具備40G擴展能力。校園網中終端接入頻繁，用戶移動頻率過快，使用DHCP方式會浪費大量IP地址資源。 三、 整體建設方案校園網是指在學校范圍內鋪設的信息網絡，為學校師生提供快捷高效的教學、科研和綜合信息服務。 細化目標如下：提出并確定智慧校園網絡的體系結構；制定智慧校園的信息標準與應用標準，以及各系統之間的接口標準；  建設一個為全校提供服務的數據中心，包括虛擬主機、應用服務、數據存儲服務、數據備份服務、數據安全服務等； 建立全校的網絡安全體系，保證校園網絡的安全、保證關鍵數據、關鍵應用的安全以及關鍵 業務部門的安全，實現校園網絡及其應用系統的安全高效運行；建立一整套校園信息管理系統，為實現“網上辦公、網上管理、網上教學、網上服務”提供全面的系統支持。l IP地址分配校園網目前使用傳統的DHCP方式分配IP地址，對接入用戶缺乏有效的探測機制，地址回收效率也不高。設備在選型上要是擁有足夠實力和市場份額的主流產品，同時也提供很好的售后服務；，提供可以對整個網絡系統進行管理的中文圖形界面工具，使系統維護人員可以集中控制網絡的所有設備，方便管理和維護。l 冗余控制引擎間主備無縫切換，設備優雅重啟實現NSF無中斷轉發。l 要求負載均衡器支持TCP和HTTP重用，減輕服務器拆除/建立TCP連接的負載，提高服務器訪問效率。l 支持二、三層漫游，終端設備跨AP漫游快速切換，AC間1+N+1多機冷備和AC間負載分擔提高網絡可靠性。因此采用大樓匯聚交換機應具備以下特點：強大的多業務支持能力l 要求支持IGMP Snooping/ IGMP v3 snooping/Filter/Fast Leave/Proxy等協議。從而實現了跨設備的鏈路聚合和鏈路負載分擔功能。用戶可靈活選擇單電源工作模式或者雙電源工作模式，提高了設備可靠性。網絡的防攻擊主要是指STP的bpdu/root攻擊。l 要求支持基于端口的源MAC地址學習限制功能，有效防止用戶源MAC欺騙沖擊設備MAC表項，導致正常用戶無法學到MAC表而泛洪的問題等。要求可根據線纜長度進行相應輸出功率調整，并且支持無連接時端口休眠優異的安全性能l 要求支持豐富的安全特性，、RADIUS、NAC等安全認證方式。對于網絡運維人員而言，日常維護工作不僅繁雜，而且工作量大，涉及的工作內容包括監控拓撲對象、監控網元、配置網元、監控業務、診斷故障、監控性能、查看資源、報表生成等。l 多拓撲視圖，方便用戶從多角度了解無線網絡的狀態業務拓撲 ：展現AC、AP、終端用戶之間連接關系及詳細信息查看，并示意非法 AP的存在；提供無線業務的故障診斷能力（比如Ping）。多維度：接口流量排行、接口利用率流量排行、應用流量排行、協議流量排行、來源主機流量排行、目的主機流量排行、會話流量排行、DSCP流量排行。使用防火墻來防御網絡的大多數的攻擊行為，以保證網絡運行的穩定性，并且可以對網絡內流量進行多維度的監測。流量管理和行為管理與認證體系融合為一體。校園網出口必須具有高性能、高可靠、高安全 、可擴展的基本性能。為保證互聯網出口穩定性，考慮采用由兩個互聯網服務提供商實現雙出口，通過光纖與其相連，出口速率為1000M。 安全威脅更多地來自于應用層，比如說蠕蟲、病毒、木馬 、DoS／ DDoS、間諜軟件 、網絡釣魚、P2P／IM／網游等帶寬濫用，通過在網絡關鍵路徑上部署入侵防御設備， 可以對流經該關鍵路徑上的網絡數據流進行2—7層的深度分析識別，從而對業務應用、網絡基礎設施和網絡性能實 現安 全保護。當今的威脅已經不單單是一個病毒，經常伴有惡意程序、黑客攻擊以及垃圾郵件等多種威脅。其有靈活多樣的均衡策略把數據流量合理地分配給服務器群內的服務器共同負擔。因此，服務器虛擬化技術是云計算中心應用和平臺建設的核心解決方案。l 封裝：完整的虛擬機環境保存為文件，便于進行備份、移動和復制，為應用程序提供標準化的虛擬硬件，可保證兼容性。同時，刀片服務器的擴充不需要買昂貴的服務器機柜，從長遠看來交機架服務器更經濟。根據云平臺的安全策略要求，本期在校園網云計算中心部署一臺千兆防火墻做為計算中心的網關，虛擬出相應數量的防火墻以實現虛擬機隔離、虛擬機遷移策略隨行。為了實現每個虛擬系統的業務都能夠做到正確轉發、獨立管理、相互隔離，防火墻主要實現了三個方面的虛擬化：l 路由虛擬化：每個虛擬防火墻都擁有各自的路由表及會話表，相