基于省市兩級(jí)分布式政務(wù)云資源共享建設(shè)方案的研究與實(shí)踐

劉浪 潘志安

江西省信息中心大數(shù)據(jù)技術(shù)部 南昌市 330000

1 省市政務(wù)云建設(shè)現(xiàn)狀

隨著我省政務(wù)應(yīng)用建設(shè)的不斷推進(jìn)，提升基礎(chǔ)設(shè)施資源利用率、推動(dòng)政務(wù)資源共享、實(shí)現(xiàn)業(yè)務(wù)應(yīng)用快速部署、保障業(yè)務(wù)應(yīng)用系統(tǒng)安全可靠運(yùn)行的需求越來(lái)越迫切，亟需建設(shè)一個(gè)省、市互通共享的電子政務(wù)云平臺(tái)，實(shí)現(xiàn)全省IT資源的大整合，充分發(fā)揮云計(jì)算的高性能、低成本、易擴(kuò)展等優(yōu)勢(shì)，為各級(jí)政務(wù)部門信息化工作提供更有力的支持和保障［1-2］。目前，我省已構(gòu)建標(biāo)準(zhǔn)統(tǒng)一、互聯(lián)互通、層級(jí)銜接的省、市兩級(jí)電子政務(wù)云平臺(tái)，如圖1所示。

圖1 江西省電子政務(wù)云兩級(jí)分布式部署圖

1.1 網(wǎng)絡(luò)體系建設(shè)

依托全省電子政務(wù)外網(wǎng)統(tǒng)一網(wǎng)絡(luò)平臺(tái)，建設(shè)了符合省、市兩級(jí)部署要求的分布式數(shù)據(jù)中心網(wǎng)絡(luò)；縱向與11個(gè)設(shè)區(qū)市政務(wù)云數(shù)據(jù)中心互聯(lián)的大二層網(wǎng)絡(luò)。

省電子政務(wù)云網(wǎng)絡(luò)遵循“網(wǎng)絡(luò)分區(qū)+業(yè)務(wù)分平面”的設(shè)計(jì)理念，在網(wǎng)絡(luò)層面分為政務(wù)外網(wǎng)應(yīng)用區(qū)和互聯(lián)網(wǎng)應(yīng)用區(qū)兩大區(qū)域，并根據(jù)業(yè)務(wù)需求細(xì)分為若干業(yè)務(wù)子區(qū)。在業(yè)務(wù)層面分為業(yè)務(wù)平面、管理平面和存儲(chǔ)平面三大平面，三大平面物理獨(dú)立，有效提高了系統(tǒng)的可擴(kuò)展性、安全性和可維護(hù)性。

1.2 安全體系建設(shè)

省市兩級(jí)政務(wù)云按照信息安全等級(jí)保護(hù)三級(jí)要求構(gòu)建了政務(wù)云安全防護(hù)體系［3］，部署防火墻、Web應(yīng)用防火墻、虛擬化安全防護(hù)軟件等軟硬件設(shè)備，提供了網(wǎng)絡(luò)安全、主機(jī)安全、數(shù)據(jù)安全、虛擬化安全等多種安全服務(wù)，保證虛擬機(jī)、云平臺(tái)數(shù)據(jù)中心、網(wǎng)絡(luò)邊界的安全，同時(shí)為將來(lái)的業(yè)務(wù)應(yīng)用系統(tǒng)發(fā)展提供可兼容的空間，最大程度地降低業(yè)務(wù)應(yīng)用系統(tǒng)安全風(fēng)險(xiǎn)，確保整體信息安全目標(biāo)的實(shí)現(xiàn)。

2 研究意義

目前，我省“1+11”的省、市兩級(jí)電子政務(wù)云架構(gòu)初步形成，在提升基礎(chǔ)設(shè)施資源利用率、推動(dòng)政務(wù)資源共享、實(shí)現(xiàn)業(yè)務(wù)應(yīng)用快速部署、保障業(yè)務(wù)應(yīng)用系統(tǒng)安全可靠運(yùn)行等方面取得了較好成效。但是，目前省、市政務(wù)云之間不能聯(lián)動(dòng)，形成了“島云”，無(wú)法解決云與云之間資源共享的難題。因此，研究省市兩級(jí)分布式政務(wù)云資源的共享利用對(duì)提升全省電子政務(wù)云對(duì)外服務(wù)能力具有重要意義。

2.1 有利于提升全省政務(wù)云災(zāi)備防護(hù)水平

通過研究省市兩級(jí)分布式政務(wù)云資源共享，將有力提升省級(jí)政務(wù)部門和設(shè)區(qū)市政務(wù)云重要信息系統(tǒng)業(yè)務(wù)備份恢復(fù)能力，增強(qiáng)信息安全防護(hù)水平，防止大型系統(tǒng)損毀后造成的數(shù)據(jù)丟失。

2.2 有利于提升全省政務(wù)云業(yè)務(wù)支撐能力

通過研究省市兩級(jí)分布式政務(wù)云資源共享［4］，形成省市邏輯一朵云和全省IT基礎(chǔ)設(shè)施統(tǒng)一資源池，將有利于提升全省政務(wù)業(yè)務(wù)承載的深度和廣度，滿足省級(jí)政務(wù)部門業(yè)務(wù)應(yīng)用部署需要，發(fā)揮信息資源共享的示范與帶動(dòng)作用，更好地為社會(huì)提供公共服務(wù)，進(jìn)一步推動(dòng)各部門和各地區(qū)凝聚和發(fā)揮政務(wù)創(chuàng)新力量，為深化行政體制改革做好服務(wù)。

2.3 有利于提升全省政務(wù)云安全防護(hù)水平

省市電子政務(wù)云平臺(tái)已初步構(gòu)建了安全保障技術(shù)支撐體系［5］，但是隨著信息安全形勢(shì)的不斷變化，政務(wù)云平臺(tái)的發(fā)展必須將網(wǎng)絡(luò)與信息安全保障工作放在更為重要的位置上。通過研究省市兩級(jí)分布式政務(wù)云未知威脅感知和安全態(tài)勢(shì)預(yù)警技術(shù)，可實(shí)現(xiàn)對(duì)政務(wù)云平臺(tái)安全態(tài)勢(shì)覺察、跟蹤、預(yù)測(cè)和預(yù)警，全面、實(shí)時(shí)掌握云平臺(tái)安全態(tài)勢(shì)，及時(shí)掌握網(wǎng)絡(luò)安全威脅、風(fēng)險(xiǎn)和隱患，及時(shí)監(jiān)測(cè)漏洞、病毒木馬、網(wǎng)絡(luò)攻擊情況，通報(bào)預(yù)警重大網(wǎng)絡(luò)安全威脅，達(dá)到實(shí)時(shí)態(tài)勢(shì)感知、準(zhǔn)確安全監(jiān)測(cè)、及時(shí)應(yīng)急處置的目標(biāo)。

3 研究?jī)?nèi)容

3.1 省市政務(wù)云互聯(lián)

為盡可能充分使用分布在多個(gè)不同地理位置的數(shù)據(jù)中心資源，實(shí)現(xiàn)電子政務(wù)云數(shù)據(jù)安全冗余備份，需要實(shí)現(xiàn)數(shù)據(jù)中心二層網(wǎng)絡(luò)跨站點(diǎn)擴(kuò)展，即多個(gè)數(shù)據(jù)中心站點(diǎn)間實(shí)現(xiàn)二層網(wǎng)絡(luò)互聯(lián)，以便業(yè)務(wù)可以在多個(gè)數(shù)據(jù)中心間透明遷移?？缯军c(diǎn)的高可用性集群、數(shù)據(jù)中心整合以及虛擬機(jī)的跨站點(diǎn)遷移則成為數(shù)據(jù)中心二層互聯(lián)的主要驅(qū)動(dòng)力。

3.2 省市政務(wù)云對(duì)接

目前市級(jí)電子政務(wù)云建設(shè)規(guī)模相對(duì)都比較小，也沒有建設(shè)云災(zāi)備系統(tǒng)，很難滿足政務(wù)業(yè)務(wù)系統(tǒng)的突發(fā)性和規(guī)模性資源需求，也存在重要政務(wù)業(yè)務(wù)數(shù)據(jù)丟失的風(fēng)險(xiǎn)，為了有效解決上述問題，研究省、市兩級(jí)政務(wù)云對(duì)接技術(shù)［6］，本文將著重研究以下內(nèi)容：

3.2.1 跨域應(yīng)急資源服務(wù)

在省級(jí)政務(wù)云建設(shè)市級(jí)政務(wù)云應(yīng)急服務(wù)資源池。當(dāng)市級(jí)政務(wù)云本地資源不足時(shí)，可向省級(jí)資源池申請(qǐng)應(yīng)急資源，并將業(yè)務(wù)通過政務(wù)云平臺(tái)快速部署到省級(jí)應(yīng)急資源池中，市級(jí)云管理員可跨域統(tǒng)一管理在省級(jí)云里分配給他們的資源。

3.2.2 統(tǒng)一數(shù)據(jù)級(jí)云備份服務(wù)

省級(jí)政務(wù)云為市級(jí)政務(wù)云提供統(tǒng)一備份資源池。市級(jí)政務(wù)云可選擇將本地重點(diǎn)業(yè)務(wù)數(shù)據(jù)，遠(yuǎn)程備份至省級(jí)統(tǒng)一備份資源池上。當(dāng)本地業(yè)務(wù)數(shù)據(jù)或備份業(yè)務(wù)數(shù)據(jù)出現(xiàn)問題時(shí)，可將遠(yuǎn)程備份數(shù)據(jù)遠(yuǎn)程恢復(fù)至市級(jí)資源池上，保護(hù)重點(diǎn)數(shù)據(jù)可靠性。

3.2.3 兩級(jí)云管理

省市兩級(jí)政務(wù)云需實(shí)現(xiàn)統(tǒng)一運(yùn)維管理，橫向可以實(shí)現(xiàn)多數(shù)據(jù)中心的統(tǒng)一管理，縱向可實(shí)現(xiàn)兩級(jí)云的分級(jí)、分權(quán)、分域管理，實(shí)現(xiàn)服務(wù)申請(qǐng)流程化、資源調(diào)度智能化、運(yùn)維保障主動(dòng)化。

4 省市兩級(jí)分布式政務(wù)云資源共享建設(shè)方案

為了實(shí)現(xiàn)省市兩級(jí)分布式政務(wù)云資源共享利用，為省、市兩級(jí)政務(wù)云提供統(tǒng)一管理、統(tǒng)一的災(zāi)備服務(wù)，提高全省政務(wù)云系統(tǒng)和數(shù)據(jù)的可靠性和連續(xù)性問題，整體減低建設(shè)、投資及管理的復(fù)雜度及成本［7］。采用注入式級(jí)聯(lián)OpenStack的兩級(jí)政務(wù)云解決方案［8-9］，可在成本最小化的情況下，很好地實(shí)現(xiàn)上述需求。

4.1 總體架構(gòu)

市級(jí)政務(wù)云采用統(tǒng)一云管理平臺(tái)+級(jí)聯(lián)OpenStack云計(jì)算架構(gòu)，為本市政務(wù)云用戶提供資源服務(wù)，省市兩級(jí)政務(wù)云拓?fù)鋱D如圖2所示。

圖2 省市兩級(jí)政務(wù)云拓?fù)鋱D

4.1.1 跨云備份

市級(jí)政務(wù)云管理員需登錄省級(jí)政務(wù)云服務(wù)平臺(tái)，申請(qǐng)文件/對(duì)象存儲(chǔ)服務(wù)，獲得賬戶信息及存儲(chǔ)URL后，將信息配置到市級(jí)政務(wù)云的災(zāi)備管理系統(tǒng)中，作為遠(yuǎn)程備份地址［10］。

當(dāng)市級(jí)政務(wù)云租戶選擇備份服務(wù)時(shí)，可選擇本地備份及遠(yuǎn)程備份。若租戶選擇遠(yuǎn)程備份，并將需要備份的虛擬機(jī)掛載給該服務(wù)，并申請(qǐng)服務(wù)通過后，該租戶虛擬機(jī)將按照備份服務(wù)申請(qǐng)時(shí)選擇的備份策略，自動(dòng)化遠(yuǎn)程備份至省級(jí)政務(wù)云的存儲(chǔ)空間上，實(shí)現(xiàn)虛擬機(jī)的跨云備份。當(dāng)虛擬機(jī)生產(chǎn)數(shù)據(jù)故障時(shí)，可通過災(zāi)備服務(wù)將數(shù)據(jù)從省級(jí)政務(wù)云存儲(chǔ)空間遠(yuǎn)程恢復(fù)至市級(jí)政務(wù)云本地備份或生產(chǎn)存儲(chǔ)上，實(shí)現(xiàn)數(shù)據(jù)的回滾及恢復(fù)。

4.1.2 跨云部署

市級(jí)政務(wù)云管理員需要登錄省級(jí)政務(wù)云服務(wù)平臺(tái)，申請(qǐng)一個(gè)應(yīng)急VDC（虛擬數(shù)據(jù)中心）資源池，獲得該VDC信息及OpenStack管理IP后，將信息加入到市級(jí)政務(wù)云被級(jí)聯(lián)OpenStack平臺(tái)，系統(tǒng)將自動(dòng)向省級(jí)應(yīng)急VDC注入被級(jí)聯(lián)OpenStack，實(shí)現(xiàn)市級(jí)資源及省級(jí)應(yīng)急資源的統(tǒng)一管理。

省級(jí)應(yīng)急資源在市級(jí)政務(wù)云管理平臺(tái)下呈現(xiàn)為一個(gè)獨(dú)立的資源池，可供市級(jí)政務(wù)云租戶在申請(qǐng)?jiān)品?wù)時(shí)所選擇。當(dāng)市級(jí)政務(wù)云資源不足時(shí)，市級(jí)租戶可申請(qǐng)?zhí)摂M機(jī)服務(wù)，并選擇該資源池及對(duì)應(yīng)的網(wǎng)絡(luò)。當(dāng)虛擬機(jī)服務(wù)審批通過后，云平臺(tái)將自動(dòng)化就緒虛擬機(jī)環(huán)境，可供市級(jí)政務(wù)云租戶部署業(yè)務(wù)系統(tǒng)。

4.1.3 方案優(yōu)勢(shì)

基于注入式級(jí)聯(lián)OpenStack的兩級(jí)政務(wù)云解決方案，有如下幾大優(yōu)勢(shì)：

（1）這種方案設(shè)計(jì)的前提是基于省市各自一套獨(dú)立的政務(wù)云平臺(tái)，相互之間獨(dú)立操作、獨(dú)立管理，適配當(dāng)前省市政務(wù)云的投資、建設(shè)及管理模型。

（2）省級(jí)政務(wù)云為市級(jí)政務(wù)云提供的備份和計(jì)算資源。

◎從市級(jí)政務(wù)云管理員看，依舊為自有資源，而非第三方資源，不增加管理復(fù)雜度及成本。

◎無(wú)論跨云備份還是跨云部署，對(duì)市級(jí)政務(wù)云租戶看，與使用本地資源流程毫無(wú)區(qū)別，不增加租戶的使用難度，保證政務(wù)云平臺(tái)的友好度。

◎從省級(jí)政務(wù)云管理員看，為市級(jí)政務(wù)云提供的備份和計(jì)算資源僅僅增加了幾個(gè)普通租戶（每個(gè)地市在省級(jí)政務(wù)云上增加一個(gè)租戶），資源管理和用戶管理的復(fù)雜度和成本基本不變。

（3）市級(jí)政務(wù)云采用省級(jí)政務(wù)云資源，均為私有云資源，兩朵云之間通過政務(wù)外網(wǎng)互聯(lián)，滿足政務(wù)云對(duì)業(yè)務(wù)及數(shù)據(jù)安全性的需求。

4.2 關(guān)鍵技術(shù)

4.2.1 跨云網(wǎng)絡(luò)互聯(lián)

江西省電子政務(wù)云遵循省市兩級(jí)架構(gòu)，分別在11個(gè)設(shè)區(qū)市建立電子政務(wù)云數(shù)據(jù)中心，同時(shí)市級(jí)電子政務(wù)云以省級(jí)電子政務(wù)云數(shù)據(jù)中心作為它的災(zāi)備中心，這11個(gè)市級(jí)電子政務(wù)云通過江西省電子政務(wù)外網(wǎng)互聯(lián)［11］，全省電子政務(wù)外網(wǎng)省市兩級(jí)廣域采用雙SDH/155M線路組網(wǎng)，各設(shè)區(qū)市（除南昌）均采用一條為聯(lián)通SDH/155M線路，一條移動(dòng)SDH/155M線路上行至省級(jí)電子政務(wù)外網(wǎng)。南昌市采用一條裸光纖、一條移動(dòng)SDH/155M線路上行至省級(jí)電子政務(wù)外網(wǎng)。

多數(shù)據(jù)中心二層互聯(lián)主流技術(shù)三種方案，裸光纖DWDM互聯(lián)方案、VPLS互聯(lián)方案、NVO3互聯(lián)方案。

（1）裸光纖DWDM互聯(lián)

裸光纖互聯(lián)方案適用于同城（數(shù)據(jù)中心間距離小于100km）數(shù)據(jù)中心互連。同城數(shù)據(jù)中心通過傳輸設(shè)備組成環(huán)網(wǎng)。兩臺(tái)核心交換機(jī)組成互聯(lián)節(jié)點(diǎn)，實(shí)現(xiàn)數(shù)據(jù)中心間的二層互通。

裸光纖互聯(lián)部署簡(jiǎn)單，互聯(lián)鏈路帶寬大，數(shù)據(jù)中心間通信時(shí)延小，適用多個(gè)數(shù)據(jù)中心業(yè)務(wù)雙活的應(yīng)用場(chǎng)景，但組網(wǎng)成本也比較高。

（2）VPLS互聯(lián)

VPLS是一種基于MPLS和以太網(wǎng)技術(shù)的二層VPN技術(shù)，主要目的就是通過公共網(wǎng)連接多個(gè)以太網(wǎng)，使它們像一個(gè)LAN那樣工作。

每個(gè)數(shù)據(jù)中心可以看作是一個(gè)站點(diǎn)，出口交換機(jī)作為CE，接入PE路由器，多個(gè)PE之間建立全連接，并支持水平分割避免產(chǎn)生環(huán)路。

（3）NVO3互聯(lián)

與VPLS等基于MPLS技術(shù)實(shí)現(xiàn)的二層互聯(lián)手段不同，NVO3技術(shù)支持通過普通IP網(wǎng)絡(luò)實(shí)現(xiàn)數(shù)據(jù)間二層擴(kuò)展，對(duì)互聯(lián)承載網(wǎng)絡(luò)的要求更低，只要路由可達(dá)即可，VxLAN是目前NVO3中的一個(gè)主流技術(shù)。

為支持虛擬機(jī)在省市不同數(shù)據(jù)中心之間的遷移，基于IP可達(dá)的廣域網(wǎng)鏈路，通過省市的數(shù)據(jù)中心核心交換機(jī)，實(shí)現(xiàn)NVO3互聯(lián)，即部署VxLAN構(gòu)建省市數(shù)據(jù)中心之間的大二層。

4.2.2 跨云網(wǎng)絡(luò)互通

在省級(jí)政務(wù)云申請(qǐng)的VM中，會(huì)注入Cloud Agent，通過Cloud Agent向租戶提供Overlay的虛擬網(wǎng)絡(luò)，同時(shí)，使用VxLAN進(jìn)行Overlay網(wǎng)絡(luò)的隔離。而省級(jí)政務(wù)云的虛擬網(wǎng)絡(luò)將作為Overlay網(wǎng)絡(luò)的Underlay隧道。

省級(jí)政務(wù)云VM中的Underlay網(wǎng)絡(luò)與市級(jí)政務(wù)云的Underlay網(wǎng)絡(luò)通過VPN三層打通，Overlay網(wǎng)絡(luò)可實(shí)現(xiàn)跨云大二層或三層的互通。

4.2.3 多云統(tǒng)一管理

兩級(jí)政務(wù)云的核心是多個(gè)私有云之間的統(tǒng)一管理［12］，如圖3所示。

圖3 多云統(tǒng)一管理拓?fù)鋱D

在一個(gè)私有云環(huán)境內(nèi)，可通過級(jí)聯(lián)OpenStack將多個(gè)被級(jí)聯(lián)OpenStack統(tǒng)一管理。在省市兩級(jí)政務(wù)云場(chǎng)景下，也是通過同樣的管理模型。只是在省級(jí)政務(wù)云側(cè)，在管理對(duì)接時(shí)，會(huì)在資源池中先注入一個(gè)Cloud Gateway，實(shí)現(xiàn)省級(jí)政務(wù)云標(biāo)準(zhǔn)的OpenStack API。這樣使基于OpenStack的管理架構(gòu)繼續(xù)保持穩(wěn)定不變，同時(shí)在資源呈現(xiàn)上，僅僅增加一個(gè)被命名為“省應(yīng)急”的AZ，可使任何一個(gè)市級(jí)租戶選擇使用。

5 總結(jié)和展望

省市兩級(jí)政務(wù)云在我省的電子政務(wù)集約化建設(shè)中，將是一個(gè)普遍并長(zhǎng)期存在的場(chǎng)景?；谧⑷胧郊?jí)聯(lián)OpenStack的兩級(jí)政務(wù)云解決方案，由于其在場(chǎng)景的適配度、使用和管理的友好度、功能和演進(jìn)的先進(jìn)性、權(quán)限及安全管理的可靠性等方面，均是當(dāng)前省市兩級(jí)政務(wù)云場(chǎng)景下最佳的解決方案。

隨著政務(wù)云建設(shè)的進(jìn)一步開放，很多地區(qū)政務(wù)云也有采購(gòu)當(dāng)?shù)剡\(yùn)營(yíng)商、集成商提供的本地云服務(wù)。而政府自建政務(wù)云與采購(gòu)云服務(wù)之間的關(guān)系如何協(xié)調(diào)，如何統(tǒng)一管理、使用，避免兩個(gè)云業(yè)務(wù)之間的孤島問題，提高政務(wù)云服務(wù)友好度和可用性等，也將成為一個(gè)普遍性的問題。

而基于注入式級(jí)聯(lián)OpenStack的兩級(jí)政務(wù)云解決方案也可同時(shí)解決自建政務(wù)云與購(gòu)買云服務(wù)之間的統(tǒng)一管理、服務(wù)等問題，提高可用性和可管理性。

針對(duì)政務(wù)云中互聯(lián)網(wǎng)業(yè)務(wù)區(qū)的管理，從長(zhǎng)遠(yuǎn)來(lái)看，未來(lái)可通過自建政務(wù)云互聯(lián)網(wǎng)區(qū)管理平臺(tái)與公有云的對(duì)接與統(tǒng)一管理，實(shí)現(xiàn)政務(wù)云與公有云的進(jìn)一步融合。