基于測繪應(yīng)用的數(shù)據(jù)中心設(shè)計(jì)與實(shí)現(xiàn)

張 磊 邵金強(qiáng) 張 麗 史洋勛

（貴州省地礦局測繪院 貴州 貴陽 550018）

在信息安全方面， 地理信息的安全性直接關(guān)系到國家及區(qū)域安全， 加強(qiáng)地理信息行業(yè)數(shù)據(jù)及系統(tǒng)的安全性建設(shè)成為迫切的要求，除了遵循相關(guān)法律外，通過硬件建設(shè)提升地理信息的安全性和完備性也顯現(xiàn)的尤為重要。 本文將以此展論述：

1 原數(shù)據(jù)存儲狀況分析

1.1 原有信息環(huán)境特點(diǎn)

該單位原有應(yīng)用系統(tǒng)有業(yè)務(wù)數(shù)據(jù)庫，OA 系統(tǒng)， 操作系統(tǒng)為WindowsXP、Windows 2003 等，常用數(shù)據(jù)庫為MS SQL；涉密終端機(jī)器約50 臺，3 臺老式塔式服務(wù)器，組建的小型局域網(wǎng)較多，但全院未形成整體的高效局域網(wǎng)；全院范圍內(nèi)電子數(shù)據(jù)缺少統(tǒng)一的大容量存儲介質(zhì)和一體化管理，業(yè)務(wù)數(shù)據(jù)都是單獨(dú)存放在單臺服務(wù)器上的，備份保護(hù)是部分通過純手工方式備份、有一部分未做任何備份措施，存儲和備份模式存在很大弊端；涉密數(shù)據(jù)除制度管理約束外缺少信息技術(shù)的保障，全院的信息化建設(shè)還處于初級狀態(tài)。

1.2 主要問題

目前，貴州省地礦測繪院負(fù)責(zé)全省范圍內(nèi)測繪業(yè)務(wù)，測繪數(shù)據(jù)對其有相當(dāng)重要的作用，因此系統(tǒng)及數(shù)據(jù)不能出現(xiàn)任何故障，必須保證業(yè)務(wù)系統(tǒng)的連續(xù)性和防范業(yè)務(wù)系統(tǒng)數(shù)據(jù)的丟失。而現(xiàn)行信息環(huán)境具有如下問題：

1）原有數(shù)據(jù)生產(chǎn)中主要是單機(jī)存儲，無網(wǎng)絡(luò)備份，無版本控制，容易因人為因素，造成數(shù)據(jù)的混亂或丟失；

2）測繪數(shù)據(jù)在提交后，都是在日常使用的機(jī)器上和移動(dòng)存儲設(shè)備上進(jìn)行保存，在拷貝手段和保密性上都存在一定的隱患；

3）受PC 機(jī)硬件性能限制，在進(jìn)行海量空間數(shù)據(jù)處理和分析過程中，耗時(shí)耗力而極大的影響工作效率，對于高性能運(yùn)算服務(wù)器需求更加迫切；

4）在內(nèi)部管理軟件的應(yīng)用和部署，缺少一定的發(fā)布平臺，以擴(kuò)展現(xiàn)行業(yè)務(wù)領(lǐng)域，同時(shí)滿足自身的版本管理等相關(guān)需求；

5）備份空間處于人工維護(hù)狀態(tài)，隨著備份數(shù)據(jù)的增加，備份副本難以管理，無形中增加維護(hù)工作量。

2 建設(shè)基本要求及擬采用技術(shù)

2.1 建設(shè)基本要求

充分保證數(shù)據(jù)的安全性和系統(tǒng)的穩(wěn)定性；

實(shí)現(xiàn)對財(cái)務(wù)及人事OA 系統(tǒng)的植入和歷史數(shù)據(jù)的遷移；

滿足全院的數(shù)據(jù)存儲及備份需求， 并滿足相應(yīng)的服務(wù)器系統(tǒng)建設(shè)：

千兆網(wǎng)絡(luò)到桌面，網(wǎng)絡(luò)規(guī)模新建為50-100 信息點(diǎn)；

歷史數(shù)據(jù)目前4T，每年2T 增長，本期建設(shè)應(yīng)滿足五年內(nèi)需求，并具有較好的可擴(kuò)展性；

按照標(biāo)準(zhǔn)化機(jī)房進(jìn)行建設(shè)。

2.2 擬采用的關(guān)鍵技術(shù)

1）防火墻技術(shù)

從該院全網(wǎng)范圍看，按飛地邊界部署規(guī)則，需要有防火墻進(jìn)行隔離。

2）備份及容災(zāi)技術(shù)

該數(shù)據(jù)中心的建設(shè)中，成果數(shù)據(jù)的安全性是核心，須通過備份及容災(zāi)等相關(guān)技術(shù)，實(shí)現(xiàn)對數(shù)據(jù)的安全存儲，并利用保護(hù)策略，實(shí)現(xiàn)數(shù)據(jù)的更高安全保障。

3）版本控制技術(shù)

該數(shù)據(jù)中心的建設(shè)中， 過程數(shù)據(jù)的控制性和可恢復(fù)性也不容忽視，采用版本控制技術(shù)，對測繪數(shù)據(jù)生產(chǎn)中的數(shù)據(jù)進(jìn)行過程性標(biāo)記，以保證相應(yīng)過程數(shù)據(jù)的安全性和互操作性。

4）工作流技術(shù)

逐步引入工作流的理念，對整個(gè)數(shù)據(jù)的提交及歸檔流程進(jìn)行信息化規(guī)范。

3 IDC 設(shè)計(jì)與實(shí)現(xiàn)

3.1 基本構(gòu)想

除滿足常規(guī)數(shù)據(jù)中心布設(shè)的要求外，結(jié)合測繪應(yīng)用的特點(diǎn)，本建設(shè)主要圍繞著測繪過程數(shù)據(jù)的版本管理，成果數(shù)據(jù)的備份容災(zāi)，以及應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器和高性能計(jì)算服務(wù)器的展開。 建設(shè)中充分利用現(xiàn)有資源，構(gòu)建基于SAN 架構(gòu)的集中存儲模式，引入各類服務(wù)器提升各應(yīng)用系統(tǒng)的效能和綜合安全性，并引入磁盤陣列和一體化存儲設(shè)備完成本地集中存儲體系建設(shè)，從而逐步實(shí)現(xiàn)備份及容災(zāi)。

3.2 詳細(xì)設(shè)計(jì)及具體實(shí)施

3.2.1 整體結(jié)構(gòu)

本數(shù)據(jù)中心基于防火墻、核心交換機(jī)、接入交換機(jī)構(gòu)建的三層網(wǎng)絡(luò)， 通過IBM 高性能數(shù)據(jù)服務(wù)器接入EMC 主磁陣和愛數(shù)備份存儲柜，并聯(lián)高性能運(yùn)算服務(wù)器等各類應(yīng)用服務(wù)器，并通過6 類雙絞線接入千兆桌面。 大體布設(shè)如圖1 所示。

圖1 數(shù)據(jù)中心結(jié)構(gòu)圖

3.2.2 網(wǎng)絡(luò)結(jié)構(gòu)：

圖2 網(wǎng)絡(luò)結(jié)構(gòu)圖

防火墻：因各個(gè)安全域的流量既需要互訪、又必須經(jīng)過嚴(yán)格的訪問控制和隔離， 本次采用Secospace USG5000 系列統(tǒng)一安全網(wǎng)關(guān)，以保證方便的進(jìn)行安全域劃分，容易擴(kuò)展和管理，也提高了整體性能。

核心層：采用華為Quidway S9300 系列T 比特核心路由交換機(jī)作為核心交換機(jī)。 本次配置了S9303 含一個(gè)引擎、一個(gè)電源、48 個(gè)千兆電口，24 個(gè)千兆SFP 光接口，2 個(gè)多模光模塊，并通過光纖接往200 米開外的另一處辦公節(jié)點(diǎn)。

接入層：使用華為Quidway S5700 系列全千兆企業(yè)網(wǎng)交換機(jī)作為接入層交換機(jī)，以實(shí)現(xiàn)該層的分級設(shè)計(jì)，本次選用的S5700-52C-SI，交換容量為256G，完成千兆到桌面的部署，提升局域網(wǎng)的訪問速率和可靠性。

3.2.3 主要服務(wù)器

建立數(shù)據(jù)服務(wù)器連接數(shù)據(jù)存儲集群， 滿足全院的數(shù)據(jù)高效存取、備份及共享性， 提高數(shù)據(jù)存儲的可擴(kuò)展性及安全性。 引入IBM X3755M37164I05 一臺作為數(shù)據(jù)服務(wù)器。

建立應(yīng)用服務(wù)器，滿足全院內(nèi)部管理系統(tǒng)的發(fā)布要求，同時(shí)可以考慮作為軟件測試服務(wù)器載體， 服務(wù)后期的業(yè)務(wù)擴(kuò)展并提升工作效率。 引入兩臺IBMX3650M3 7945I25 作為WEB 及應(yīng)用服務(wù)器。

建立運(yùn)算服務(wù)器， 滿足中心內(nèi)高性能計(jì)算及處理等工作需求，利用硬件的高性能提高工作效率，減少工作時(shí)間，從而節(jié)約成本。對原有3 臺IBM X3400 塔式服務(wù)器升級，通過負(fù)載均衡構(gòu)建運(yùn)算集群。

3.2.4 存儲及備份

引進(jìn)國際領(lǐng)先的EMC 磁盤陣列VNXE3100， 此期配置滿足5 年使用的容量，考慮到磁盤陣列做了RAID5 技術(shù)后的容量，則此次配置在容量上配置為18T，做完RAID 后有14T 的容量，完全滿足3-5 年的容量需求。

為使數(shù)據(jù)能更加完善的得到備份容災(zāi)保護(hù)，并降低方案成本，采用愛數(shù)的備份存儲一體化設(shè)備PX1200，與傳統(tǒng)的4S（Server+System+Backup Software+Storage）架構(gòu)相比，更為合理和節(jié)省資源開銷。

3.2.5 配套設(shè)施

根據(jù)標(biāo)準(zhǔn)化機(jī)房的相應(yīng)要求，機(jī)房還需配置UPS 及電池組，滿足4 小時(shí)供電；建立溫控、濕控及防雷等設(shè)備；同時(shí)建立門禁及監(jiān)控設(shè)備保證機(jī)房安全性。[1-3]

3.2.6 安全性設(shè)計(jì)

數(shù)據(jù)中心構(gòu)建上需要從以下三個(gè)層次進(jìn)行安全設(shè)計(jì)：

設(shè)備級的安全：需要保證最容易成為最終攻擊目標(biāo)的設(shè)備本身的安全；

網(wǎng)絡(luò)級的安全：通過進(jìn)行用戶接入認(rèn)證、授權(quán)和審計(jì)以防止非法的接入，進(jìn)行傳輸加密以防止信息的泄漏和窺測，進(jìn)行安全劃分和隔離以防止為授權(quán)的訪問等進(jìn)行安全保證；

系統(tǒng)級的主動(dòng)安全：智能的防御網(wǎng)絡(luò)必須在潛在威脅演變?yōu)榘踩糁凹右源胧?，包括通過準(zhǔn)入控制來使“健康”的機(jī)器才能接入網(wǎng)絡(luò)，通過事前探測即時(shí)分流來防止大規(guī)模DDoS 攻擊，進(jìn)行全局的安全管理等。

3.3 相關(guān)策略

權(quán)限控制：按照IP、MAC、線路實(shí)現(xiàn)整體權(quán)限控制；通過部門、用戶、操作權(quán)限的綜合配置進(jìn)行訪問和使用權(quán)限控制；專業(yè)的管理系統(tǒng)還設(shè)置相應(yīng)的秘鑰進(jìn)行權(quán)限控制；結(jié)合FTP、CVS、愛數(shù)等自帶功能進(jìn)行權(quán)限控制。

存儲控制： 與權(quán)限相匹配外， 同時(shí)通過數(shù)據(jù)服務(wù)器的Windows Server 2008 相應(yīng)權(quán)限設(shè)置和EMC 自帶功能結(jié)合相應(yīng)的權(quán)限控制機(jī)制實(shí)現(xiàn)存儲控制，邏輯盤符相對獨(dú)立。

版本化控制：采用CVS 等版本控制工具，對數(shù)據(jù)處理過程目錄進(jìn)行版本化控制，保證數(shù)據(jù)安全的同事，適度可以有助于業(yè)務(wù)的協(xié)作分工。

備份控制：通過愛數(shù)備份存儲柜實(shí)現(xiàn)對文件系統(tǒng)、應(yīng)用系統(tǒng)和操作系統(tǒng)定時(shí)定模塊的備份策略，如對重要的業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫做數(shù)據(jù)不丟失的實(shí)時(shí)復(fù)制， 對邊緣業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫做數(shù)據(jù)庫的定時(shí)備份，保證業(yè)務(wù)系統(tǒng)的高安全性，制度控制：通過相應(yīng)的流程化管理和制度約束，保障系統(tǒng)的正常運(yùn)轉(zhuǎn)和安全性操作，從而保障數(shù)據(jù)中心的順利使用。

4 后期工作展望

本數(shù)據(jù)中心主要基于測繪行業(yè)的特點(diǎn)，圍繞數(shù)據(jù)的安全性和高性能處理上進(jìn)行考慮，在后續(xù)的升級過程中，還需要逐步的考慮深化版本控制和容災(zāi)思想，同時(shí)引入VMWare 等虛擬軟件提升性能，應(yīng)用統(tǒng)一終端進(jìn)行桌面安全管理等。

［1］中國電信[2005]658 號“關(guān)于印發(fā)中國電信IDC 產(chǎn)品規(guī)范：試行的通知”[S].

［2］Q/GDW345-2009 國家電網(wǎng)公司企業(yè)標(biāo)準(zhǔn).國家電網(wǎng)公司信息機(jī)房評價(jià)規(guī)范[S].

［3］GB50174-2008 中華人民共和國國家標(biāo)準(zhǔn).電子信息系統(tǒng)機(jī)房設(shè)計(jì)規(guī)范[S].