財政專有云服務(wù)探索

◎文/李研碩 苗 偉

一、背景和現(xiàn)狀

（一）背景

天津市財政局的信息化工作自上世紀90年代起步，經(jīng)過近30年的發(fā)展，現(xiàn)已形成由天津市財政局生產(chǎn)中心（以下簡稱市局生產(chǎn)中心）、天津市津南數(shù)據(jù)中心 （以下簡稱津南數(shù)據(jù)中心）和薊州區(qū)應(yīng)急備份中心組成的兩地三中心的信息化基礎(chǔ)架構(gòu)，擁有各類設(shè)備9000余臺套，承載了財政及原地稅全部核心業(yè)務(wù)。同時為了給財政業(yè)務(wù)提供更好的擴展能力，天津市財政局還租用了濱海電子政務(wù)云和市電子政務(wù)云資源實現(xiàn)了部分業(yè)務(wù)系統(tǒng)的部署。

多年來，天津市財政局與地稅局合署辦公，財政地稅業(yè)務(wù)所需信息化資源一直統(tǒng)籌考慮。2018年6月15日，按照國家相關(guān)規(guī)定，國家稅務(wù)總局天津市稅務(wù)局正式成立，天津市財政部門與稅務(wù)部門正式分離。機構(gòu)改革后，財稅數(shù)據(jù)中心和薊州區(qū)應(yīng)急備份中心房產(chǎn)歸屬于稅務(wù)局，但財政與原地稅的核心業(yè)務(wù)仍然在天津市財稅數(shù)據(jù)中心核心機房和市局生產(chǎn)中心機房中運行。

2019年，財政部印發(fā)了《財政部關(guān)于印發(fā)〈財政信息化三年重點工作規(guī)劃〉的通知》（財辦 〔2019〕34 號），對全國財政預(yù)算管理一體化系統(tǒng)建設(shè)、集中化部署、財政大數(shù)據(jù)以及財政專有云的建設(shè)進行了統(tǒng)一規(guī)劃。要求中央和省級財政部門，采用 “1+N”方式，共同建設(shè)財政專有云平臺，滿足財政部和省級業(yè)務(wù)應(yīng)用上云需求。

為全面落實財政部相關(guān)工作要求，經(jīng)市委網(wǎng)信辦評審，天津市財政局租用了財政經(jīng)濟分析中心IDC服務(wù)，準備將現(xiàn)有財政設(shè)備和應(yīng)用遷移至該中心，并依托市電子政務(wù)云資源，建設(shè)天津市財政專有云平臺，為財政業(yè)務(wù)應(yīng)用提供計算、存儲、網(wǎng)絡(luò)、安全、容災(zāi)及相關(guān)維護服務(wù)。

（二）現(xiàn)狀

近年來，天津市財政局多數(shù)設(shè)備采購項目為稅務(wù)項目，財政獨立使用的設(shè)備不論是資源方面還是使用年限方面均已接近飽和，無法獨立支撐財政核心業(yè)務(wù)一體化系統(tǒng)及其他財政應(yīng)用系統(tǒng)的需求。

從計算資源方面看，現(xiàn)有計算存儲設(shè)備主要包括PC服務(wù)器、小型機等。其中非稅收入收繳管理系統(tǒng)、國庫集中支付系統(tǒng)、國庫支付電子化系統(tǒng)等核心業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫集群均部署于小型機上，這些小型機大多數(shù)采購于2010年左右，其性能、穩(wěn)定性以及維護成本均不再適應(yīng)新的業(yè)務(wù)需求；現(xiàn)有PC服務(wù)器300余臺，其中財政項目采購設(shè)備90余臺，能夠適用于云服務(wù)環(huán)境的設(shè)備20臺，其它服務(wù)器均瀕臨淘汰。從總體上講，現(xiàn)有計算存儲資源已經(jīng)接近飽和，無法繼續(xù)支撐后續(xù)新的業(yè)務(wù)需求。

從網(wǎng)絡(luò)安全方面看，天津市財政局已建成了涵蓋全市各直屬單位及區(qū)財政局的財政縱向網(wǎng)絡(luò)、連通全市1200余家市級預(yù)算單位、大部分銀行和其他橫向聯(lián)網(wǎng)單位的財政橫向網(wǎng)絡(luò)。隨著財政業(yè)務(wù)和信息化技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)安全變得愈發(fā)重要。天津市財政局不斷進行網(wǎng)絡(luò)安全加固，但由于建設(shè)年代早以及場地的限制等多種因素，某些層面無法完全達到相關(guān)規(guī)定的要求。

從容災(zāi)方面看，天津市財政局利用津南數(shù)據(jù)中心和市局生產(chǎn)中心建立了以存儲底層數(shù)據(jù)遠程復(fù)制技術(shù)為主的容災(zāi)系統(tǒng)，實現(xiàn)了財政核心應(yīng)用系統(tǒng)的異地容災(zāi)，同時利用薊州應(yīng)急備份中心實現(xiàn)了數(shù)據(jù)的異地備份。但由于機構(gòu)改革現(xiàn)有容災(zāi)環(huán)境及架構(gòu)需要重新調(diào)整。

二、面臨的問題

一是資源使用問題，天津市財政局信息化建設(shè)一直本著統(tǒng)籌規(guī)劃，統(tǒng)一建設(shè)的原則開展。信息化資源，特別是計算存儲資源一直是財政與地稅共同使用，在使用虛擬化技術(shù)后，這一特點尤為突出，現(xiàn)天津市財政局已建成內(nèi)網(wǎng)、外網(wǎng)和專網(wǎng)三個虛擬化資源池，共包括各類虛擬化服務(wù)器100余臺，其中大部分設(shè)備至今使用年限已經(jīng)超過8年。2018年，稅務(wù)整個體制改革后，大部分設(shè)備根據(jù)項目屬性劃歸稅務(wù)所有，可以為財政部門獨立使用的信息化資源主要包括2路服務(wù)器20臺，SAN存儲兩臺以及少量旁路部署的網(wǎng)絡(luò)安全設(shè)備。共可提供CPU400余核，內(nèi)存5.25T左右，存儲空間140T左右。目前，天津市財政局共有業(yè)務(wù)系統(tǒng)及各類管理系統(tǒng)80余個，綜合現(xiàn)有業(yè)務(wù)系統(tǒng)的實際需要和已知新增業(yè)務(wù)需求，保障應(yīng)用系統(tǒng)正常運行共計需要CPU 3202核，內(nèi)存 10.25T，存儲空間415T。

二是動態(tài)擴展需求，天津市財政局現(xiàn)有財政業(yè)務(wù)數(shù)量較多，為各項業(yè)務(wù)提供支撐的信息化資源，包括主機、存儲、網(wǎng)絡(luò)、安全等，數(shù)量更為龐大。目前，系統(tǒng)對于各類資源的分配，仍然使用的是建設(shè)初期大致估算，使用過程中手動增加的方式。但是對于業(yè)務(wù)突發(fā)高峰等突發(fā)性事件的快速響應(yīng)和事件之后的資源回收，缺少自動化手段。一方面導(dǎo)致對突發(fā)事件的響應(yīng)不及時，致使用戶體驗變差，另一方面也導(dǎo)致資源回收滯后，致使資源浪費。

三是整體遷移問題，由于現(xiàn)有津南數(shù)據(jù)中心房產(chǎn)歸市稅務(wù)局所有，因此需要按照財政部要求在財政經(jīng)濟分析中心建設(shè)財政專有云平臺，以便將現(xiàn)有信息化資源進行整合遷移。

四是網(wǎng)絡(luò)安全需求，天津市財政局機房分布于市局、津南、薊州、濱海新區(qū)等多地，雖然采用了大量的技術(shù)手段加以保障，但復(fù)雜的網(wǎng)絡(luò)安全架構(gòu)，也導(dǎo)致故障點隨之增多，不利于統(tǒng)一管理，更不利于財政業(yè)務(wù)的穩(wěn)定運行。

三、解決方案

天津財政專有云，是財政部以“云計算”理念分階段、分層次推動全國財政云平臺建設(shè)的一個重要組成部分。通過天津財政專有云的建設(shè)，可以逐步推進天津市乃至全國財政信息化系統(tǒng)云化應(yīng)用的進程，提高需求響應(yīng)速度和應(yīng)用部署效率，提升財政信息化集約化水平，為天津市財政核心業(yè)務(wù)系統(tǒng)化系統(tǒng)建設(shè)、集中化部署和財政大數(shù)據(jù)應(yīng)用等工作提供堅實的信息化基礎(chǔ)新支撐。

（一）總體目標

1.基于天津市電子政務(wù)云構(gòu)建天津市財政局財政專有云平臺。

2.建設(shè)符合工信部《基于云計算的電子政務(wù)公共平臺頂層設(shè)計指南》《信息安全技術(shù) 云計算服務(wù)安全指南》《信息安全技術(shù) 云計算服務(wù)安全能力要求》等國家及行業(yè)標準、規(guī)范的政務(wù)云平臺。

3.提供云服務(wù)支撐能力，滿足業(yè)務(wù)應(yīng)用服務(wù)需求；發(fā)展云平臺PaaS層服務(wù)功能，提高PaaS層與第三方控件、模塊對接能力；發(fā)展云平臺SaaS層服務(wù)能力，可支持提供共性應(yīng)用軟件服務(wù)和行業(yè)應(yīng)用軟件服務(wù)。

4.建設(shè)基于數(shù)據(jù)分析的云安全管理體系和運維管理體系，為云上應(yīng)用系統(tǒng)穩(wěn)定持續(xù)運行提供全面支撐。

5.建設(shè)統(tǒng)一完善的云服務(wù)監(jiān)管體系，實現(xiàn)云服務(wù)（含安全服務(wù)）的集中可視化監(jiān)控。

6.提供安全、可靠、高效的容災(zāi)方案，實現(xiàn)關(guān)鍵核心系統(tǒng)的容災(zāi)實施，并定期進行演練。

（二）建設(shè)原則

1.標準化

財政專有云平臺應(yīng)符合國家及行業(yè)標準、規(guī)范，標準規(guī)范包括但不限于國家工信部 《基于云計算的電子政務(wù)公共平臺頂層設(shè)計指南》《信息安全技術(shù)云計算服務(wù)安全指南》（GB/T31167-2014）《信息安全技術(shù)云計算服務(wù)安全能力要求》（GB/T31168-2014）。

2.可移植性及開放性

財政專有云平臺應(yīng)適應(yīng)財政業(yè)務(wù)系統(tǒng)類型多樣、結(jié)構(gòu)復(fù)雜的特點，在體系架構(gòu)、設(shè)備選型、軟件配置、數(shù)據(jù)交互等方面需兼容各種主流的應(yīng)用系統(tǒng)環(huán)境，保障業(yè)務(wù)系統(tǒng)及數(shù)據(jù)遷移的可移植性。同時，平臺提供開放的技術(shù)接口，滿足各應(yīng)用系統(tǒng)基于平臺的二次開發(fā)需求。

3.安全性

財政專有云平臺作為各項應(yīng)用的承載體，應(yīng)嚴格按照國家及行業(yè)安全標準規(guī)范設(shè)計建設(shè)，遵照各級保密法律法規(guī)，采取切實有效的措施，確保系統(tǒng)安全穩(wěn)定運行。

4.先進性

財政專有云平臺應(yīng)采用先進、成熟可靠的技術(shù)搭建，優(yōu)先選擇具有自主知識產(chǎn)權(quán)且具有成功案例的軟硬件產(chǎn)品，為平臺后續(xù)長期、安全、穩(wěn)定的運行提供基礎(chǔ)。

5.可擴展性

云服務(wù)商在搭建云平臺時，應(yīng)充分考慮未來信息化發(fā)展趨勢，系統(tǒng)的總體設(shè)計采用層次化、組件化設(shè)計，為今后平臺擴展留有空間。

6.易用性

云平臺應(yīng)操作簡單、使用方便、可集中管理和易于維護。

（三）總體架構(gòu)

財政專有云服務(wù)體系整體分為五層結(jié)構(gòu)、兩個體系，其總體邏輯架構(gòu)設(shè)計如圖1所示：

五層結(jié)構(gòu)分別是：基礎(chǔ)設(shè)施層、資源抽象層、資源服務(wù)層、云管理層、業(yè)務(wù)應(yīng)用層。輔以兩個體系，即信息安全保障體系和運行管理體系，對云數(shù)據(jù)中心的運行提供支撐。

1.五層結(jié)構(gòu)設(shè)計

（1）基礎(chǔ)設(shè)施層設(shè)計

基礎(chǔ)設(shè)施層包括機房運行環(huán)境以及計算、存儲、網(wǎng)絡(luò)、安全等設(shè)備。機房的部署按照分區(qū)設(shè)計，主要分為虛擬化應(yīng)用資源池、數(shù)據(jù)庫區(qū)、統(tǒng)一運維管理區(qū)、網(wǎng)絡(luò)設(shè)備區(qū)和安全管理區(qū)等區(qū)域。

（2）資源抽象層設(shè)計

資源抽象層通過虛擬化技術(shù)，負責對底層硬件資源進行抽象，對底層硬件故障進行屏蔽，統(tǒng)一調(diào)度計算、存儲、網(wǎng)絡(luò)、安全資源池。

（3）資源服務(wù)層設(shè)計

資源服務(wù)層將虛擬化后的計算、存儲、網(wǎng)絡(luò)、安全等資源以服務(wù)的形式提供給用戶，包括網(wǎng)絡(luò)服務(wù)、存儲服務(wù)、VPC服務(wù)、彈性主機、資源編排、負載均衡、安全服務(wù)等。

（4）云管理層設(shè)計

實現(xiàn)以云計算環(huán)境為管理對象的綜合型管理系統(tǒng)，包括云服務(wù)的提供和運營、云基礎(chǔ)設(shè)施的維護以及云用戶的管理，具備資源管理、調(diào)度管理、自動化部署、策略管理、計量管理、監(jiān)控管理、權(quán)限管理等功能。

（5）業(yè)務(wù)應(yīng)用層設(shè)計

云服務(wù)的最終目標是為最上層的業(yè)務(wù)應(yīng)用層提供服務(wù)，用于運行財政的各類業(yè)務(wù)應(yīng)用。

圖1 云計算總體邏輯架構(gòu)

2.兩個體系設(shè)計

（1）信息安全保障體系

信息安全保障體系應(yīng)貫穿云計算體系的各層面各環(huán)節(jié)，以《網(wǎng)絡(luò)安全法》為指導(dǎo)，以財政專有云計算體系環(huán)境的具體安全要求為核心，從安全技術(shù)體系、安全管理體系、關(guān)鍵系統(tǒng)的保障體系幾大層面入手，利用防火墻、IPS、 抗 DDOS、VPN、IDS 等技術(shù)和設(shè)備，形成安全防御、安全管理、身份認證、安全域管理、傳輸加密、鑒權(quán)授權(quán)等安全能力，參考國家、財政部及天津市的各項規(guī)范制度，設(shè)計信息安全保障體系。

（2）運行管理體系

根據(jù)財政業(yè)務(wù)特點，通過整合云管理平臺、網(wǎng)絡(luò)管理平臺、SDN控制器、虛擬化管理功能，實現(xiàn)各方面的管理功能，提供運行管理、網(wǎng)絡(luò)管理、系統(tǒng)管理等功能，并開放相關(guān)的開發(fā)接口，實現(xiàn)與用戶現(xiàn)有流程管理、配置管理、問題管理等運行維護管理系統(tǒng)的相互協(xié)同，集中管理云計算資源，保障系統(tǒng)健康運行。

（四）網(wǎng)絡(luò)安全架構(gòu)

1.總體拓撲架構(gòu)設(shè)計

財政專有云網(wǎng)絡(luò)環(huán)境主要分為業(yè)務(wù)專網(wǎng)和業(yè)務(wù)外網(wǎng)（互聯(lián)網(wǎng)）兩個分區(qū)（其中業(yè)務(wù)專網(wǎng)包括業(yè)務(wù)內(nèi)網(wǎng)、縱向聯(lián)網(wǎng)區(qū)和橫向聯(lián)網(wǎng)區(qū)）。兩個主要分區(qū)通過安全隔離與信息交互系統(tǒng)（以下簡稱網(wǎng)閘）實現(xiàn)區(qū)域間的隔離，以滿足不同的應(yīng)用部署環(huán)境需求。

2.業(yè)務(wù)專網(wǎng)設(shè)計

（1）業(yè)務(wù)專網(wǎng)整體架構(gòu)

業(yè)務(wù)專網(wǎng)分區(qū)承載專網(wǎng)相關(guān)業(yè)務(wù)，其總體規(guī)劃遵循區(qū)域化、層次化和模塊化的設(shè)計理念，提高承載業(yè)務(wù)系統(tǒng)的可擴展性、安全性和可管理能力。

按照系統(tǒng)邏輯分區(qū)及安全隔離要求，業(yè)務(wù)專網(wǎng)分為業(yè)務(wù)內(nèi)網(wǎng)核心交換區(qū)、虛擬化應(yīng)用資源池區(qū)、數(shù)據(jù)庫區(qū)、區(qū)縣應(yīng)用區(qū)、安全管理區(qū)、統(tǒng)一運維管理區(qū)等，各區(qū)域內(nèi)部再根據(jù)用戶實際業(yè)務(wù)需求劃分子區(qū)域。在網(wǎng)絡(luò)出口方面，通過縱向聯(lián)網(wǎng)區(qū)連接上下級財政部門，通過橫向聯(lián)網(wǎng)區(qū)連接各市級預(yù)算單位、銀行、企業(yè)等。

（2）業(yè)務(wù)專網(wǎng)網(wǎng)絡(luò)設(shè)計

業(yè)務(wù)專網(wǎng)網(wǎng)絡(luò)整體采用核心層、接入層的二層網(wǎng)絡(luò)架構(gòu)，以利于網(wǎng)絡(luò)的擴展和維護。網(wǎng)絡(luò)分層簡要概述如下：

①網(wǎng)絡(luò)核心交換區(qū)

網(wǎng)絡(luò)核心交換區(qū)是業(yè)務(wù)專網(wǎng)的流量轉(zhuǎn)發(fā)總核心，實現(xiàn)外部網(wǎng)絡(luò)與各資源池分區(qū)的流量轉(zhuǎn)發(fā)以及節(jié)點內(nèi)集群間流量轉(zhuǎn)發(fā)。核心交換機選用高性能、高可靠性的核心級交換設(shè)備，同時采用雙機虛擬化部署，支持SDN技術(shù)，實現(xiàn)虛擬網(wǎng)絡(luò)與硬件解耦，結(jié)合云管理平臺實現(xiàn)業(yè)務(wù)高速轉(zhuǎn)發(fā)和調(diào)度。

由于整網(wǎng)服務(wù)器、存儲、網(wǎng)絡(luò)、安全等設(shè)備眾多，需要一套完整的帶外管理網(wǎng)絡(luò)，單獨部署帶外管理核心交換機。帶外管理網(wǎng)絡(luò)是一套獨立的管理網(wǎng)，單獨為每個資源池部署帶外管理接入交換機，接入交換機再匯總到單獨的帶外管理核心交換設(shè)備之上。

核心交換區(qū)旁掛區(qū)縣應(yīng)用區(qū)的兩臺核心交換機用于連接區(qū)縣業(yè)務(wù)擴展應(yīng)用。核心交換區(qū)還通過網(wǎng)閘與財政業(yè)務(wù)外網(wǎng)（互聯(lián)網(wǎng)區(qū)）相連，即進行兩張網(wǎng)絡(luò)的物理隔離。

②網(wǎng)絡(luò)接入?yún)^(qū)

接入層由多種接入交換機組成，向下連接各類計算集群（虛擬化應(yīng)用資源池、數(shù)據(jù)庫區(qū)、安全管理區(qū)、統(tǒng)一運維管理區(qū)等），將集群內(nèi)流量控制在接入層內(nèi)，向上與核心交換設(shè)備相連。

接入交換區(qū)針對各類計算集群分別配置運維管理交換機 （帶外管理接入交換機），向上與帶外管理核心交換機相連。

③業(yè)務(wù)專網(wǎng)出口

業(yè)務(wù)專網(wǎng)出口分為縱向聯(lián)網(wǎng)區(qū)和橫向聯(lián)網(wǎng)區(qū)。

在縱向聯(lián)網(wǎng)區(qū)內(nèi)，兩臺核心交換機虛擬化后，通過多業(yè)務(wù)安全網(wǎng)關(guān)與縱向網(wǎng)絡(luò)接入設(shè)備相連，成為財政部、寬帶城域網(wǎng)（含區(qū)縣、市局）環(huán)網(wǎng)的一個重要節(jié)點。

在橫向聯(lián)網(wǎng)區(qū)，核心交換區(qū)通過網(wǎng)閘設(shè)備或防火墻隔離后，與橫向聯(lián)網(wǎng)區(qū)的核心交換機相連，并在此處部署一個單獨的應(yīng)用前置區(qū)（含應(yīng)用前置服務(wù)器），應(yīng)用前置區(qū)通過專用的路由器經(jīng)防火墻、 防毒墻、IPS、抗DooS等安全設(shè)備防護后與電子政務(wù)外網(wǎng)、VPDN、專線（人民銀行、商業(yè)銀行、企業(yè)等）連接。

（3）業(yè)務(wù)專網(wǎng)虛擬化應(yīng)用資源池設(shè)計

虛擬化應(yīng)用資源池提供服務(wù)器虛擬化功能，是整個云計算平臺承載業(yè)務(wù)的基礎(chǔ)。支持將物理服務(wù)器虛擬化為虛擬機，提供給不同業(yè)務(wù)使用，提高服務(wù)器資源的整體利用率。

在業(yè)務(wù)專網(wǎng)部署若干臺2路物理服務(wù)器并配套虛擬化軟件形成虛擬化資源池，服務(wù)器均采用雙萬兆光口上行連接虛擬化萬兆接入交換機，雙萬兆光口上行連接虛擬化萬兆管理接入交換機，雙千兆電口連接虛擬化運維交換機。具體組網(wǎng)示例如圖2：

在虛擬化計算資源池中，一般物理服務(wù)器與云主機的整合比平均不超過1∶5、單臺物理服務(wù)器上所有云主機vCPU之和不超過物理機總內(nèi)核的1.5倍、單臺物理服務(wù)器上所有云主機內(nèi)存之和不超過物理內(nèi)存 （通常再考慮預(yù)留20%內(nèi)存給物理機運行虛擬化操作系統(tǒng)）。虛擬化應(yīng)用資源池服務(wù)器的主頻、內(nèi)存都應(yīng)具備高性能、可拓展、高可用等特性。

圖2 虛擬化應(yīng)用資源池服務(wù)器組網(wǎng)

3.業(yè)務(wù)外網(wǎng)設(shè)計

（1）業(yè)務(wù)外網(wǎng)整體架構(gòu)

業(yè)務(wù)外網(wǎng)承載財政業(yè)務(wù)外網(wǎng)相關(guān)業(yè)務(wù)。其按照系統(tǒng)邏輯分區(qū)及安全隔離需求，分別由業(yè)務(wù)外網(wǎng)核心交換區(qū)、虛擬化應(yīng)用資源池、數(shù)據(jù)庫區(qū)、安全管理區(qū)、統(tǒng)一運維管理區(qū)組成。業(yè)務(wù)外網(wǎng)區(qū)網(wǎng)絡(luò)具有不同運營商的多個互聯(lián)網(wǎng)出口。整套環(huán)境采用云計算虛擬化相關(guān)技術(shù)搭建。

（2）業(yè)務(wù)外網(wǎng)（互聯(lián)網(wǎng)區(qū)）網(wǎng)絡(luò)設(shè)計

與業(yè)務(wù)內(nèi)網(wǎng)類似，業(yè)務(wù)外網(wǎng)作為數(shù)據(jù)中心的基礎(chǔ)設(shè)施，其高可用性直接影響到業(yè)務(wù)系統(tǒng)的可用性，需要采用高可靠的產(chǎn)品和技術(shù)，保障容錯能力和糾錯能力。同時應(yīng)按照端到端訪問安全、網(wǎng)絡(luò)L2-L7層安全兩個維度對安全體系進行設(shè)計規(guī)劃，確保網(wǎng)絡(luò)安全。業(yè)務(wù)外網(wǎng)（互聯(lián)網(wǎng)區(qū)）網(wǎng)絡(luò)整體采用核心層、接入層的二層網(wǎng)絡(luò)架構(gòu)。網(wǎng)絡(luò)分層簡要概述如下：

①網(wǎng)絡(luò)核心交換區(qū)

網(wǎng)絡(luò)核心交換區(qū)是業(yè)務(wù)外網(wǎng)（互聯(lián)網(wǎng)區(qū)）的流量轉(zhuǎn)發(fā)總核心，實現(xiàn)外部網(wǎng)絡(luò)與各資源池分區(qū)的流量轉(zhuǎn)發(fā)以及節(jié)點內(nèi)集群間流量轉(zhuǎn)發(fā)。核心交換機選用高性能、高可靠性的核心級交換設(shè)備，同時采用雙機虛擬化部署，支持SDN技術(shù)，實現(xiàn)虛擬網(wǎng)絡(luò)與硬件解耦，結(jié)合云管理平臺實現(xiàn)業(yè)務(wù)高速轉(zhuǎn)發(fā)和調(diào)度。

同時，由于整網(wǎng)服務(wù)器、存儲、網(wǎng)絡(luò)、安全等設(shè)備眾多，需要一套完整的帶外管理網(wǎng)絡(luò)，所以還需部署帶外管理核心交換機。帶外管理網(wǎng)絡(luò)是一套獨立的管理網(wǎng)，單獨為每個資源池都部署帶外管理接入交換機，接入交換機再匯總到單獨的帶外管理核心交換設(shè)備之上。

核心交換區(qū)還通過網(wǎng)閘與業(yè)務(wù)內(nèi)網(wǎng)相連，形成物理安全隔離。

②網(wǎng)絡(luò)接入交換區(qū)

接入層由多種接入交換機組成，向下連接各類計算集群（虛擬化資源池區(qū)、數(shù)據(jù)庫區(qū)、安全管理區(qū)、統(tǒng)一運維管理區(qū)等），將集群內(nèi)流量控制在接入層內(nèi)，向上與核心交換設(shè)備相連。

此外，分別配置運維管理交換機 （帶外管理接入交換機），向上與帶外管理核心交換機相連。

③業(yè)務(wù)外網(wǎng)（互聯(lián)網(wǎng)區(qū)）出口

為了方便公眾和企事業(yè)單位訪問業(yè)務(wù)外網(wǎng)，同時支持IPV4和IPV6協(xié)議，支持不同運營商的多個互聯(lián)網(wǎng)出口。

在核心交換區(qū)前端，通過兩套安全防護設(shè)備或兩臺多業(yè)務(wù)安全網(wǎng)關(guān)隔離后，部署兩臺鏈路負載均衡器，再與多家運營商的出口路由器相連。

（3）業(yè)務(wù)外網(wǎng)（互聯(lián)網(wǎng)區(qū)）虛擬化應(yīng)用資源池設(shè)計

在業(yè)務(wù)外網(wǎng)部署若干臺2路物理服務(wù)器配套虛擬化軟件做虛擬化資源池，服務(wù)器均采用雙萬兆光口上行連接虛擬化萬兆接入交換機，雙萬兆光口上行連接虛擬化萬兆管理接入交換機，雙千兆電口連接虛擬化運維交換機。具體組網(wǎng)示例如圖3：

圖3 虛擬化資源池服務(wù)器組網(wǎng)

計算資源池的設(shè)計與業(yè)務(wù)專網(wǎng)類似，在此不再贅述。

計算資源池通過負載均衡的部署，支持動態(tài)資源擴展能力。通過云平臺提供獲取方式簡單高效、處理能力彈性可伸縮的計算服務(wù)，支持根據(jù)用戶需求的硬件配置、操作系統(tǒng)和網(wǎng)絡(luò)配置，創(chuàng)建一臺或多臺云主機，在云平臺中，彈性云主機可以支持靈活定義服務(wù)規(guī)格，支持基于負載的水平擴展，具備云主機全生命周期的管控。并能夠通過監(jiān)控引擎實時獲取服務(wù)器的運行狀態(tài)，當監(jiān)控程序發(fā)現(xiàn)資源使用達到特定的閾值時，將觸發(fā)云主機相應(yīng)的伸縮任務(wù)。

（4）業(yè)務(wù)外網(wǎng)（互聯(lián)網(wǎng)區(qū)）數(shù)據(jù)庫區(qū)設(shè)計

業(yè)務(wù)外網(wǎng)數(shù)據(jù)庫區(qū)提供基于外網(wǎng)的相關(guān)數(shù)據(jù)庫類應(yīng)用服務(wù)，是整個云計算平臺承載數(shù)據(jù)庫相關(guān)業(yè)務(wù)的基礎(chǔ)設(shè)施。

數(shù)據(jù)庫區(qū)向各級別用戶提供數(shù)據(jù)庫資源自動化交付、數(shù)據(jù)庫生命周期管理、賬號管理、表空間管理、備份恢復(fù)管理等功能。同時，數(shù)據(jù)庫管理平臺還提供運維管理功能，如集群資源配置、監(jiān)控、報表、數(shù)據(jù)庫變更、遷移等功能。

財政外網(wǎng)業(yè)務(wù)需針對大量用戶，對高性能關(guān)系型數(shù)據(jù)庫和非結(jié)構(gòu)化數(shù)據(jù)的應(yīng)用需求都較高，因此對存儲容量和讀寫速度要求高。數(shù)據(jù)庫區(qū)資源以滿足高I/O數(shù)據(jù)庫需求的物理資源為主，包括物理服務(wù)器和高性能存儲陣列。

規(guī)劃在業(yè)務(wù)外網(wǎng) （互聯(lián)網(wǎng)區(qū)）部署4臺4路高性能物理服務(wù)器，并配套FC交換機和FC存儲陣列作為數(shù)據(jù)庫區(qū)。服務(wù)器均采用雙萬兆光口上行連接數(shù)據(jù)庫萬兆接入交換機，雙千兆電口連接虛擬化運維交換機，下行連接FC光纖交換機，F(xiàn)C光纖交換機直接與FC存儲相連。具體組網(wǎng)示例如圖4：

4.安全管理

（1）網(wǎng)絡(luò)安全

①防火墻

云計算環(huán)境的設(shè)計方案要求實現(xiàn)分域保護，縱深防御機制。在業(yè)務(wù)內(nèi)網(wǎng)和業(yè)務(wù)外網(wǎng)等安全域的網(wǎng)絡(luò)邊界處設(shè)置防火墻提供訪問控制，在允許資源互相訪問的情況下，保護核心關(guān)鍵資產(chǎn)，有效地防止由網(wǎng)絡(luò)入口處進行的各種破壞性的對網(wǎng)絡(luò)的攻擊和非法訪問行為。

圖4 數(shù)據(jù)庫區(qū)組網(wǎng)

②入侵防御系統(tǒng)（IPS）

利用入侵防御系統(tǒng)提供云計算環(huán)境下的云安全邊界的安全防護，對各虛擬應(yīng)用環(huán)境間及外部訪問虛擬化應(yīng)用的數(shù)據(jù)流進行深度檢測，精確、實時地識別并阻斷或限制黑客、蠕蟲、病毒、木馬、DoS/DDoS、掃描、間諜軟件、協(xié)議異常等異常行為，并提供帶寬管理和URL過濾功能。

③防毒墻

在各系統(tǒng)網(wǎng)絡(luò)邊界設(shè)置防毒墻，按照“層層設(shè)防、集中控制、預(yù)防為主、防殺結(jié)合”的策略，建設(shè)統(tǒng)一的、覆蓋全網(wǎng)的、立體的、集中控制的網(wǎng)絡(luò)防病毒體系。

④抗DDoS設(shè)備

在橫向聯(lián)網(wǎng)區(qū)及業(yè)務(wù)外網(wǎng)出口邊界部署抗DDoS設(shè)備，迅速識別并攔截DDoS攻擊。

⑤安全隔離與信息交互系統(tǒng)

業(yè)務(wù)內(nèi)網(wǎng)與業(yè)務(wù)外網(wǎng)的邊界需配置有安全隔離與信息交互系統(tǒng)，業(yè)務(wù)內(nèi)網(wǎng)與縱向聯(lián)網(wǎng)區(qū)和橫向聯(lián)網(wǎng)區(qū)的邊界可以根據(jù)用戶需要部署，以實現(xiàn)對不同網(wǎng)絡(luò)分區(qū)進行安全隔離。

（2）虛擬化安全

①虛擬化服務(wù)器安全

針對虛擬機的安全需求，部署虛擬化服務(wù)器深度安全防護系統(tǒng)，提供覆蓋虛擬機和云服務(wù)器以及虛擬桌面的全方位的服務(wù)器安全平臺，確保服務(wù)器、應(yīng)用程序和數(shù)據(jù)的安全?？梢蕴峁┓缾阂廛浖?、IDS/IPS、虛擬補丁、防火墻在內(nèi)的安全模塊或模塊組合，定制專署的無代理安全防護。

②虛擬機系統(tǒng)安全加固

財政專有云平臺要求支持強制訪問控制功能，用以控制虛擬主機之間的互相訪問和訪問的類型。提供針對虛擬機及虛擬化操作系統(tǒng)的操作系統(tǒng)安全加固系統(tǒng)，用以解決虛擬主機操作系統(tǒng)安全問題。部署虛擬化防火墻實現(xiàn)虛擬主機之間的訪問控制。

③虛擬化入侵檢測分析

財政專有云環(huán)境中應(yīng)具有完善的入侵檢測功能，對于虛擬化層的安全威脅，能夠提供智能分析功能，實現(xiàn)虛擬化環(huán)境下流經(jīng)虛擬交換機流量的威脅檢測與智能分析，可以直觀的展示一段時間內(nèi)虛擬化環(huán)境的安全態(tài)勢，為決策者做出安全建設(shè)決策提供依據(jù)。

（3）數(shù)據(jù)安全

財政專有云平臺應(yīng)為用戶提供數(shù)據(jù)庫審計服務(wù)，可以對數(shù)據(jù)庫操作進行細粒度審計的合規(guī)性管理，對數(shù)據(jù)庫遭受到的風險行為進行告警。實時監(jiān)測并智能地分析、還原各種數(shù)據(jù)庫操作過程，對數(shù)據(jù)庫系統(tǒng)漏洞、登錄帳號、登錄工具和數(shù)據(jù)操作過程進行跟蹤，及時發(fā)現(xiàn)對數(shù)據(jù)庫系統(tǒng)的異常使用，提供專業(yè)化審計報表。