数据中心基础网络设计培训.pptx

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,Better Choice Closer Partnership,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,杭州华三通信技术有限公司,*,杭州华三通信技术有限公司,1,杭州华三通信技术有限公司,H3C,数据中心基础网络设计,数据中心基础网络设计培训,第1页,概述,数据中心基础网络架构,数据中心基础网络设计,总结,目录,数据中心基础网络设计培训,第2页,H3C,企业网方案体系架构,Data center,WAN/MAN/internet,Campus,Branch 1,Branch 2,Teleworker,数据中心基础网络设计培训,第3页,业务交换机,关键交换机,接入交换机,互联网边缘,外部网,互联网边缘和外部网,大楼,小型园区网络,大型分支机构,MSR,MSR,大楼,园区网络,城域以太网,家庭办公室,小型机构,MSR,MSR,运行商,2,运行商,1,VPN,互联网,大型主数据中心,扩展式多层设计,数据中心关键区,精简式多层设计,园区关键,数据中心管理区,web,web,APP,APP,DB,DB,DB,IV5000,DB,web,APP,NAS,SAN,HPC,数据中心,管理,f,服务器,广域网,灾备数据中心,WEB,APP,园区关键,WEB,APP,WEB,APP,广域网,IP/MPLS,路由器,防火墙,IPS,AP,PC,服务器,IP,万兆存放,存放虚拟化设备,存放阵列,10GE,链路,GE,链路,广域网链路,SDH/WDM,H3C,数据中心全景架构概图,数据中心基础网络设计培训,第4页,数据中心在企业网络中位置,PSTN,AAA,Remote Access,SP1,SP2,Internet,VPN,Internet Server Farm,DMZ,Core Switches,Extranet Server Farm,Intranet Server Farm,Partners,Campus,VPN&Private WAN,数据中心,数据中心基础网络设计培训,第5页,数据中心关键任务,以数据为中心,如高密度数据存放、,ERP,、数据仓库等应用；,传统上数据库应用当前依然占整个数据中心各类应用主要部分，企业级数据中心绝大多数是围绕着企业内部业务系统，其关键任务仍是以存放业务系统数据为主,以,Web,为中心,如高密度网络、网络服务处理等,面向,Web,应用，经过网络传输和处理数据服务逐步受到关注，在数据中心关键任务中饰演着越来越主要角色。从时间序列来看，在近期建设完成以及当前正在建设中企业级数据中心中，把面向,Web,应用作为关键任务百分比也呈逐步增加趋势,以计算为中心,如数据转换、计算网格、高性能计算等。,常规计算应用已经向服务器集群过渡,数据中心基础网络设计培训,第6页,灾备,存放,计算,网络,网络是数据,(&,容灾,),中心访问必备模块,计算是业务数据中心必备模块，容灾中心可选,存放是数据中心必备模块，不过在多中心结构下，可选择,DC,载体,灾备是数据中心可选模块,数据中心处理方案组成,-,数据中心组成元素,数据中心基础网络设计培训,第7页,概述,数据中心基础网络架构,数据中心基础网络设计,总结,目录,数据中心网络基础架构,数据中心基础架构演进,关于分布式数据中心,数据中心基础网络设计培训,第8页,数据中心分区设计思想,Intranet,服务器区,数据交换,&,测试服务器区,数据中心管理区,Extranet,服务器区,园区网,关键区,本区主要放置由内部用户访问应用和数据库,是最主要业务区域,本区主要放置为不一样业务应用之间进行数据交换中间业务应用,.,本区主要放置管理服务器,并能够连接到园区管理系统里。,本区主要放置被来自外联网络合作方或经过,VPN,接入合作方所访问应用和数据库,.,Internet,服务器区,本区主要放置,Internet DMZ,架构下服务器如,DNS,等，也称为,DMZ,区,数据中心,关键区,Internet/VPN,接入区,企业园区网,企业数据中心,本区布署网络存放设备,:IP SAN,或,FC SAN,。服务器经过高性能以太网交换机或,FC,交换机与磁盘柜联接,数据存放功效区,本区布署备份管理服务器及数据备份存放与网络系统，提供近线、远程数据容灾与备份功效,数据灾备功效区,生产,1,区,生产,2,区,非生产区,数据中心基础网络设计培训,第9页,数据中心内部,-server,前端网络结构,主机接入模块,业务服务器模块,办公服务器模块,上线前测试模块,EE&DLSW+,服务,器群,组接,入区,业务,Internet,外联区,DMZ,区,Internet,服务区,外联区,DMZ,区,Extranet,服务区,外联,Extranet,外联区,DMZ,区,Internet,服务区,办公,Internet,关键,交换,一级骨干网络,省分行,数据中心间,同城网络,外连网络模块,广域网络模块,ECC,办公区,园区网络模块,办公区,主机,管理,终端,管理,控制区,开放,平台,管理,终端,网络管理终端,管理,控制区,数据中心基础网络设计培训,第10页,数据中心内部安全边界,数据中心基础网络设计培训,第11页,aggregation4,aggregation3,通用数据中心网络构架,aggregation2,Campus Core,FW,LB,SSL,NAM,FW,LB,SSL,NAM,NIC Teaming,集群,NIC Teaming,接入,刀片服务器,Pass through,mainframe,刀片集成,switch,三层接入,DC Core,DC aggregation,DC access,数据中心基础网络设计培训,第12页,数据中心基础网络接入层架构,应用架构变迁,B/S,（,Browser/Server,）是伴随,Internet,技术兴起，对,C/S,结构一个改变或者改进三层结构。,数据库,+,业务处理界面,两层结构,C/S,，由两部分组成：,前端是客户机，通常是,PC,后端是服务器，运行数据库管理系统，提供数据库查询和管理,B/S,C/S,SQL,请求,App GUI,DB Server,HTML/HTTP,WEB browser,WEB Server,App Server,DB Server,数据中心基础网络设计培训,第13页,Presentation,service,Web,browser,Client,PC,Citrix,presentation,Application Service,Database Service,WEB service,Internet/Intranet,Intranet,DMZ,Trust/,Part trust,数据中心基础网络接入层架构,多层应用间安全隔离,数据中心基础网络设计培训,第14页,多层应用布署展开模式,Web servers,Application servers,Database servers,独立业务设备分层组网模式,Web servers,Application servers,Database servers,集成业务模块分层组网模式,FW,LB,AFC,NAM,FW,LB,AFC,NAM,FW,LB,AFC,NAM,FW,LB,AFC,NAM,FW,LB,AFC,NAM,FW,LB,AFC,NAM,数据中心基础网络设计培训,第15页,多层应用架构扁平化布署,FW,LB,IPS,NetStream,FW,LB,IPS,NetStream,WEB Servers,App Servers,DB Servers,应用系统分层布署模式,Web servers,Application servers,Database servers,应用系统分层布署模式,FW,LB,AFC,NAM,FW,LB,AFC,NAM,FW,LB,AFC,NAM,FW,LB,AFC,NAM,FW,LB,AFC,NAM,FW,LB,AFC,NAM,WEB Servers,App Servers,DB Servers,数据中心基础网络设计培训,第16页,数据中心基础网络高可用设计,WAN/Internet,WEB,Servers,application,Servers,database,Servers,出口路由器,关键层,汇聚层,网络高可用设计,硬件设备冗余，双主控、单板热插拔、冗余电源、冗余风扇,物理链路冗余，以太网链路聚合,环网技术，,RPR,、,RRPP,二层路径冗余，,MSTP,、,SmartLink,三层路径冗余，,VRRP,、,ECMP,、动态路由快速收敛,快速故障检测技术，,BFD,不间断转发技术，,GR,路径可用检验，,L3 Monitor,安全高可用设计,硬件设备冗余，,冗余引擎,、冗余电源、冗余风扇,设备之间状态热备份,数据中心基础网络设计培训,第17页,数据服务器集群网络,WEB,Servers,application,Servers,database,Servers,出口路由器,SAN,负载均衡集群,:,全部服务器在线工作,主要处理单机性能问题,具备一定扩展性、容错能力,高可用,HA,集群,:,服务器主备模式,主要面向高要求,HA,环境,常见,HA,集群,Microsoft MSCS,Veritas Cluster Server(Local),Solaris Sun Cluster Enterprise,Oracle RAC(Real Appl.Cluster),HP MC/ServiceGuard,HP NonStop,IBM HACMP/HAGEO,EMS/Legato Automated Availability Mgr,LB,集群,HA,集群,HA/LB,集群,HA,集群对网络要求,各集群节点含有,VIP,地址,集群互联需要扩展二层,VLAN,进行连接,专专心跳互联,集群可伸缩扩展：当地集群、远程集群,数据中心基础网络设计培训,第18页,数据中心服务器集群网络逻辑结构,SAN,SAN,企业广域网,集群采取,VLAN,扩展,L2,互联,存放同时,/,异步数据复制,大部分集群实现要求使用共用,VLAN,提供组员之间二层直连,用于集群心跳连通性、或集群,VIP,访问可达,异地,L2,网络扩展有利于集群分布式布署，提升容灾能力,但带来了网络设计复杂性,网络交换虚拟化技术将提供全局,VLAN,扩展简练性,数据中心基础网络设计培训,第19页,数据中心网络处理方案,-IRF,集群采取,VLAN,扩展,L2,互联,MSTP+VRRP,当地,IRF,简化了数据中心内部设计，将二层连同扩展到整个分区,去除了,MSTP/VRRP,复杂设计，经过,IRF,深入增强,HA,能力,异地,L2,网络扩展借助远距设备,IRF,整合功效，将,L2,互联扩展到两个数据中心,IRF-1,IRF-2,Remote IRF,Non-IRF,Local IRF,数据中心基础网络设计培训,第20页,概述,数据中心基础网络架构,数据中心基础网络设计,总结,目录,数据中心网络基础架构,数据中心基础架构演进,关于分布式数据中心,数据中心基础网络设计培训,第21页,H3C,数据中心基础网络架构演进策略,不停演化增强基础架构,传统基础网络架构,虚拟化与万兆以太网,DC,统一交换融合数据中心,提供传统,DC,建设方案,技术特点,业务集成,高性能交换架构,初步业务融合,LAN,IPC,IP-SAN,IRF,可扩展接入,VRF,端到端虚拟化,产品组合,9500,75E,5600/5500,满足,DC,虚拟化趋势,技术特点,虚拟化,Chassis IRF,Box IRF,全,DC,调度与交换,多级业务队列,超大调度缓存,满足万兆数据中心趋势,全万兆,DC,架构,万兆网络,万兆安全,万兆存放,产品组合,12500,95E/75E,5800,系列,满足统一交换与,100G,趋势,技术特点,端到端虚拟化,全,DC,级,IRF,虚拟化网络实例,统一交换,DC,DCE,40G&100G,产品组合,12500,95E/75E,5800,系列,V1.0,V2.0/2.5,V3.0,数据中心基础网络设计培训,第22页,H3C,数据中心基础网络处理方案,Phase I,Campus Core,FW,LB,SSL,NAM,DC Core,DC,Aggregation,DC,Access,FW,LB,SSL,NAM,Campus Core,FW,LB,SSL,NAM,DC Core,DC,Aggregation,FW,LB,SSL,NAM,WAN/MAN,IP,存放容灾链路,产品组合,9500,7500E,5600,5500EI,5500SI,数据中心基础网络设计培训,第23页,H3C,数据中心基础网络处理方案,Phase II,Enterprise,S12500,S9500,S7500E,FW,LB,SSL,NTA,FW,LB,SSL,NTA,S7500E IRF,S7500E IRF,S5500EI IRF,DC box,S12500,S12500,S9500,7500E,S5810-S,DC box,5500EI-IRF,DC box,数据中心基础网络设计培训,第24页,H3C,数据中心基础网络处理方案,DC2.5,Enterprise,S12500,DC box,S12500,S12500,SAN,S7500 E,S9500E,S7500 E,S9500E,数据中心基础网络设计培训,第25页,概述,数据中心基础网络架构,数据中心基础网络设计,总结,目录,数据中心网络基础架构,数据中心基础架构演进,关于分布式数据中心,数据中心基础网络设计培训,第26页,北京生产中心,分行,一级骨干路由器,关键交换机,二级骨干路由器,DWDM,DWDM,FC,交换机,磁盘阵列,汇聚交换机,关键交换机,汇聚交换机,骨干路由器,IBM P590,电信,ATM 10M,上海备份中心,SDH,北京同城灾备中心,FC,交换机,磁盘阵列,汇聚交换机,关键交换机,汇聚交换机,骨干路由器,同时,PPRC,HAGEO,SDH,SDH,远程异步,PPRC,FC,交换机,磁盘阵列,汇聚交换机,关键交换机,汇聚交换机,骨干路由器,IBM P590,网通,联通,ATM/SDH,ATM 10M,每个数据中心分别配置,R1,、,R2,路由器。,一级分行,R1,连接业务中心,R1,，承载业务数据。一级分行,R2,连接异地备份中心,R1,，承载,OA,数据，同时为生产链路做备份。一级分行,R3,连接业务同城灾备中心，为生产和,OA,做备份链路。,R1,R2,R1,R2,R1,R2,R1,R3,R2,IBM P590,数据中心,-,两地三中心,数据中心基础网络设计培训,第27页,两地三中心模式路由规划,生产中心,同城灾备中心,异地备份中心,分支,EBGP,EBGP,EBGP,EBGP,IBGP,IBGP,IBGP,IBGP,EBGP,EBGP,EBGP,EBGP,新数据中心,新数据中心怎样与现网融合？,数据中心基础网络设计培训,第28页,业务后台互联关键网,A,平面,B,平面,分支机构,城域网,业务中心,业务中心,数据中心基础网络设计培训,第29页,概述,数据中心基础网络架构,数据中心基础网络设计,总结,目录,结构化、标准化、模块化思绪,Intranet server farm,设计,外联平台设计,安全与优化设计,不一样规模和类型数据中心,数据中心基础网络设计培训,第30页,数据中心设计结构化,适当冗余性,网络对称性,FW,LB,NS,FW,LB,NS,网络业务适度分隔,办公终端,PC,服务器区,办公区,关键,普通进行双节点冗余性设计,过分冗余不便于运行维护,对称性有利于拓扑直观,有利于协议设计分析,有利于网络策略布署,降低对关键业务影响,缩小故障范围,数据中心基础网络设计培训,第31页,数据中心结构化 安全,&,优化模型,安全,管理,入侵,防护,防火墙,“,拒绝,服务,”,(DOS),反病毒,I,n,t,e,r,n,e,t,I,n,t,e,r,n,e,t,VPN/campus,端点准入,数据,中心,应用,优化,L2,交换机：,BPDU Guard,、端口隔离、五元组绑定、,802.1X,等实现二层安全保护,L2.5,MPLS,：网络隔离,L3,路由器,/,防火墙,/AFC/SSL,：访问控制和隔离、加密,L4,NTA“,网络水表”流量异常分析,L5,7,IPS,应用层威胁识别和抵抗：蠕虫、间谍软件、,P2P,、病毒、攻击等,IP,存放：数据安全（异地容灾，数据备份）,安全,管理,用户,管理,(iMC),数据中心基础网络设计培训,第32页,数据中心设计模块化、标准化,模块化,数据中心以应用群为单位整合成模块部件,依据数据中心不一样业务区域性质设计安全模块要素,安全模块可集中布署数据中心访问控制策略,标准化,对数据中心模块设计规范化,相同架构要求业务区采取一样基础网络组件,扩展数据中心区域可直接进行模块复制,数据中心基础网络设计培训,第33页,数据中心模块化分区设计标准,业务需求,以逻辑或数据中心物理区域进行业务规划，有利于业务在企业开展与管理,数据流,依据数据流特征进行分区规划，尽可能使得数据中心业务流流向可控、同一区域相同性强、流量可监测,应用逻辑功效,不一样应用布署方式有区分，对网络配置需求不一样，按应用逻辑特点进行分区模块化，便于维护管理差异性应用,IT,安全需求,数据中心分区，有利于区域统一安全要求标准化管理,普通情况下，数据中心网络划分为以下分区,(,依据企业本身特点有所区分,),：,关键区 提供各分区模块互联,Intranet,区 企业内部业务系统布署区域,集成区 企业应用系统之间信息交换区域、信息共享区域,外联业务区 企业对外业务、互联网业务布署区,测试区 企业新应用上线测试区,运行管理区 企业,IT,运行中心,存放区 企业数据存放专区,容灾备份区 提供企业容灾、业务一致性,数据中心基础网络设计培训,第34页,关键交换区,16,个园区,电信（上网）,电信,联通,销售企业、售后点,呼叫中心系统,视频会议系统,IP,语音系统,WEB,、,APP,服务器,DB,服务器,未来扩展,服务器群区,网络应用区,开发测试区,新总部大楼,管理区,ECC,终端,系统管理服务器,DMZ,DMZ,internet,区,Extranet,区,备份中心广域网区,备份中心关键,数据中心关键,WAN/VPN/MPLS,.,Cat6509,S9512E,S9512E,S75E,FW,IPS,LLB,S75E,FW,S75E,FW,S75E,S9512E,FW,SLB,S7506E,S7506E,S7506E,S3600 IRF,7609,SR6600,数据中心、园区网一体化架构案例,Cat3750,新数据中心广域网区,分企业,/,商务处,/,海外机构,国内该生产基地,数据中心基础网络设计培训,第35页,数据中心、园区网分离架构案例,NE40-8,广域网区,网银区,Internet,S7500E+FW,AFC,IPS,FW,WEB,APP,DB,MSR50,外联区,IPS,FW,前置机,MSR50,WAN,S75E+IPS,插卡,FW,插卡,S55EI,办公服务器区,生产服务器区,网络控制管理区,网管,iMC/SecCenter,地市联社,NE20-E,客户端接入区,EAD,办公,Internet,区,办公关键区,FW F100,办公服务器,生产业务服务器,EAD,ACG,Internet,IPS T200,生产测试区,生产关键区,办公园区网络,FW F100,S75E,FW,插卡,S55EI,IPS T1000,S55EI,S55EI,SDH WAN,S95+FW,插卡,S7500E+FW,SR88,MSR,数据中心网络,S95+FW,插卡,数据中心基础网络设计培训,第36页,概述,数据中心基础网络架构,数据中心基础网络设计,总结,目录,结构化、标准化、模块化思绪,Intranet server farm,设计,外联平台设计,安全与优化设计,不一样规模和类型数据中心,数据中心基础网络设计培训,第37页,数据中心基础网络分层架构,DC Core,提供多个,DC,汇聚模块互联，并连接园区关键,要求高交换能力和突发流量适应能力,大型,DC,关键要求多汇聚模块扩展能力,中小型,DC,共用园区关键,当前以,10G,接口为主,DC Aggregation,提供,server farm,对外流量高带宽出口,大密度,GE/10GE,端口提供接入层互联,较多槽位数提供增值业务模块布署,接入业务二层终止要求,:MSTP,、,VRRP,、三层,汇聚层数据交换有一定收敛比,以汇聚模块作为业务扩展单元,DC Access,高密度,GE,接入、万兆接入,MSTP,收敛比,基于机架考虑,1RU,更具灵活布署能力,堆叠更具扩展能力,上行双链路冗余能力,Campus Core,FW,LB,SSL,NAM,FW,LB,SSL,NAM,WEB,Servers,application,Servers,database,Servers,DC Core,DC,Aggregation,DC,Access,数据中心基础网络设计培训,第38页,aggregation3,aggregation2,aggregation1,数据中心基础网络关键,Campus Core,大中型数据中心需要设计独立关键层,关键层提供多业务分区互联,数据中心应用分区,1,数据中心应用分区,2,数据中心应用分区,3,Enterprise WAN/MAN,关键应用数据中心需要设计独立关键层,可提供切合应用流量架构,中小型数据中心可与园区共用关键,基于数据中心进行企业基础网络部属,数据中心关键可直连园区,适应当地大流量访问,数据中心关键可直连广域网,适应企业分布式流量特征,数据中心基础网络设计培训,第39页,数据中心汇聚层布署方式,DC Core,DC Aggregation,FW,LB,IPS,NetStream,FW,LB,IPS,NetStream,DC Access,Server Farm,井字型方案,优点,适合独立设备互联,主备冗余设计,拓扑简单,缺点,Inline,设备性能瓶颈,业务设备旁挂,优点,适合独立设备互联,只对部分流量牵引,易确保整网性能,缺点,交换机策略复杂,业务交换集成,降低数据中心布线,按需配置业务模块,易满足高性能要求,网络架构简化,易运维管理,数据中心基础网络设计培训,第40页,常见传统接入设计拓扑,L3,L2,二层无环路设计,倒,U,型组网、不使能,STP,二层无环路设计,U,型组网、不使能,STP,矩形组网,使能,STP,三角形组网,使能,STP,1,2,3,4,不启用,STP,，好管理,VLAN,能够跨汇聚层交换机，服务器布署灵活,必须经过链路聚合确保高可靠性,汇聚交换机故障时，服务器不可达，无法实现高可靠接入,不启用,STP,，好管理,双,active,链路，接入交换机密度高,VLAN,不能跨汇聚层，服务器布署不灵活,接入交换机间链路故障，,VRRP,心跳报文无法传递，整机做,VRRP,主备切换，故障收敛时间长,双,active,链路，接入交换机密度高，,VLAN,能够跨汇聚层交换机,有二分之一接入层流量要经过汇聚交换机之间链路。当接入交换机上行链路故障时，全部流量将从一侧交换机上行。收敛比变小，网络易拥塞，降低网络高可用性。,链路冗余，路径冗余，故障收敛时间最短,VLAN,能够跨汇聚层交换机，服务器布署灵活,数据中心基础网络设计培训,第41页,服务器与网络连接,-,网口数量,1RU,多于,2,个,GE,业务口,一个,FE,带外管理接口,常见,1RU,机架式服务器最少三个网口,两个业务网口,一个管理网口,可能带存放网络接口,前端访问,HA,心跳线,服务器间访问,存放访问,存放访问,带外管理,带外管理,高端服务器依据详细应用场景,前端网口,-,多个,服务器间访问网口,-,多个,一个管理网口,一个或多个心跳互联,存放网络接口,多数情况下需要处理多网口捆绑、冗余情况,-,网口多归属,数据中心基础网络设计培训,第42页,服务器多网卡绑定（,NIC Teaming,）,Eth0,：,Active,Eth1,：,Standby,主备模式,Eth0,：,Active,Eth1-x,：,Active,负载分担模式,Eth0,：,Active,Eth1-x,：,Active,统一,MAC,，统一,IP,支持静态聚合、,802.3ad,聚合,Etherchannel/,端口聚合模式,IRF,堆叠,数据中心基础网络设计培训,第43页,概述,数据中心基础网络架构,数据中心基础网络设计,总结,目录,结构化、标准化、模块化思绪,Intranet server farm,设计,外联平台设计,安全与优化设计,不一样规模和类型数据中心,数据中心基础网络设计培训,第44页,数据中心,Internet,业务区安全与应用优化,type-B,企业外联平台,业务,Internet,（,internet Server Farm,）,提供企业与本身业务经营互联网业务,如电子商务、网银、网上报税等,外联,Extranet,（,internet Server Farm,）,提供企业与合作搭档业务系统连接,如商业银行银联互联等,各种外联业务平台依据企业业务要求可分离设计或合成设计,安全是外联接入考虑关键原因,外联区设置,WEB,或前置服务器提供客户服务,数据中心基础网络设计培训,第45页,Server Farm,安全体系提议,DDOS,检测防御,SPAN/RSPAN/ERSPAN,NetStream,高性能服务器,低级服务器应用,传输加密应用,防火墙,IPS,VPN,LB,LB+SSL,VLAN ACL,Ingress ACL,Egress ACL,uRPF,Sec Center,转发数据流,镜像监控流,外部网络,设备加固,线路加密,传输加密,防火墙,入侵检测与防御,网络实时监控,拒绝服务攻击,网络渗透性防御,VPN,技术,网络授权管理,VLAN,隔离,双向,NAT,Proxy,数据中心基础网络设计培训,第46页,外联平台安全与应用优化布署模型,Internet SRF,DDOS,攻击防御,流量分析,防火墙,VPN,服务,入侵防御,负载均衡,&SSL,Extranet SRF,流量分析,防火墙,负载均衡,&SSL,服务器,服务器,数据中心基础网络设计培训,第47页,Internet,外网,FW,托管区边界,FW,IPS,互联网,接入区,DMZ,区,业务,托管区,内网区,LLB,网银,WEB,DNS,服务器,FW,SLB/SSL,SLB/SSL,AFC-D,AFC-G,链路分担,IPS,网流分析,internet SRF,设计方案,1,CA,网银,APP,网银,DB,数据中心关键层交换机,内网,FW,数据中心基础网络设计培训,第48页,Internet,外网防火墙,互联网,接口,DMZ,区,服务,托管区,内网区,数据中心关键交换机,内网边界,FW,AFC-D,AFC-G,SLB,IPS,SLB,IPS,FW,IPS,SSL,SLB,FW,IPS,SSL,SLB,LLB,FW,VPN,LLB,FW,VPN,CA,系统,网银,APP,网银,DB,WEB,DNS,服务器,internet SRF,设计方案,1,（集成模式）,数据中心基础网络设计培训,第49页,Internet,外网,FW,LLB,AFC-D,AFC-G,链路分担,网流分析,接数据中心关键层交换机,互联网,接口,DMZ,区,内网,FW,网银,WEB,服务器,网银,APP,服务器,网银,DB,服务器,SLB/SSL,SLB/SSL,IPS,IPS,internet SRF,设计方案,2,数据中心基础网络设计培训,第50页,互联网接入,DMZ,区,Internet,AFC-D,AFC-G,链路分担,流量分析,防火墙,IPS,SLB/SSL,接数据中心关键层交换机,内网,FW,WEB,服务器,APP,服务器,DB,服务器,链路分担,流量分析,防火墙,IPS,SLB/SSL,internet SRF,设计方案,2,（集成模式）,WEB,APP,DB,可利用虚拟,FW,特征，为每种服务器分配一个,FW,实例，增强服务器安全性,FW,虚拟化,数据中心基础网络设计培训,第51页,关于,Extranet SRF,设计方案,Extranet SRF,同,Internet SRF,设计思绪基本相同。但在安全要求上,Extranet SRF,相对弱些。,Extranet SRF,出口惯用路由器，经过专线与第三方连接。,数据中心基础网络设计培训,第52页,概述,数据中心基础网络架构,数据中心基础网络设计,总结,目录,结构化、标准化、模块化思绪,Intranet server farm,设计,外联平台设计,安全与优化设计,不一样规模和类型数据中心,数据中心基础网络设计培训,第53页,数据中心高性能业务集成架构,其它接口,存放子件,高性能系统,其它业务处理,X-core,系统,硬盘,/CF,NP/X-core,系统,CF,高性能安全与优化模块工作模式：,主机路由模式,FW,、,SLB,、,LLB,、,SSL VPN,，,AFC,重定向模式,IPS,、,ACG,防火墙透明模式,FW,镜像模式,NetStream,，,AFD,数据中心基础网络设计培训,第54页,防火墙设计,IPS,设计,LB,设计,SSL VPN,设计,组合设计,数据中心安全与优化设计,数据中心基础网络设计培训,第55页,独立防火墙双机设计,DMZ,DMZ,APP,DB,WEB,WEB,APP,DB,出口单层,FW,出口双层,Server farm,单层,Server farm,多层,数据中心基础网络设计培训,第56页,防火墙双机热备,批量备份：先运行防火墙会将已经存在会话及业务表项一次性同时到新加入设备,实时备份：防火墙在产生新表项后会及时备份到另一台设备,双机热备同时数据信息：,会话、,NAT,、,ALG,、,ASPF,、黑名单、,H.323,、,SIP,、,ILS,、,RTSP,、,NBT,、,SQLNET,等,FW,经过,VRRP,组实现主备或负载分担,依据,VRRP,组状态进行切换,FW,同侧接口需二层可达,FW,组对上对下布署静态路由,VRRP-1,VRRP-2,OSPF,动态路由完成选路切换,交换、路由设备进行路径选择,FW,全部业务接口使能动态路由,数据中心基础网络设计培训,第57页,防火墙,SecBlade,、,SecPath,布署比较,Secblade,接入,chassis,交换机,独立防火墙旁挂,chassis,交换机,独立防火墙,inline,心跳线,心跳线,心跳线,不论采取何种布署方案，网络数据流逻辑设计是相同,全部结构本质上都是,inline,方式，只是外在表现不一样。,数据中心基础网络设计培训,第58页,Core Switch_1,Core Switch_2,FW_1,FW_2,L3,L3,L2,L2,DB_VLAN,APP_VLAN,WEB_VLAN,WEB,APP,DB,运行,MSTP,防火墙旁挂：路由模式,-,设计,1-A,L2,L2,物理链路,心跳互联,全部服务器网关在防火墙上,WEB/APP/DB,间访问策略由,FW,控制,接入交换机、汇聚层面向服务器侧二层接口运行,MSTP,FW,对服务器运行,VRRP,，对外可运行动态路由或配,VRRP,汇聚关键全互联,数据中心基础网络设计培训,第59页,Core Switch_1,Core Switch_2,FW_1,FW_2,L2,L2,L3,L3,DB_VLAN,APP_VLAN,WEB_VLAN,WEB,APP,DB,运行,MSTP,防火墙旁挂：路由模式,-,设计,2,L2,L2,物理链路,心跳互联,全部服务器网关在汇聚交换机上，对应接口运行,VRRP,WEB/APP/DB,间访问策略由交换机控制，含有较高性能,接入交换机、汇聚层面向服务器侧二层接口运行,MSTP,FW,可运行动态路由,FW,远离服务器侧接口与关键交换机建立路由邻居,FW,近服务器侧接口与汇聚交换机建立路由邻居,数据中心基础网络设计培训,第60页,Core Switch_1,Core Switch_2,FW_1,FW_2,L3,L3,L2,L2,DB_VLAN,APP_VLAN,WEB_VLAN,WEB,APP,DB,运行,MSTP,L2,L2,防火墙旁挂：透明模式,-,设计,1-A,L2,L2,物理链路,FW,工作在路由模式,FW,工作在透明模式,全部服务器网关在汇聚交换机上，对应接口运行,VRRP,WEB/APP/DB,间访问策略由,FW,控制,接入交换机、汇聚层面向服务器侧二层接口运行,MSTP,汇聚关键全互联,数据中心基础网络设计培训,第61页,虚拟防火墙设计,1-,实例化,SecBlade 10G,通道,FW,工作在路由模式,FW,工作在透明模式,L3,L2,FW,虚拟化实例,交换机三层路由接口,设计逻辑：按照独立防火墙需求布署,配置规划：将连通,VLAN,对应到设计链路,数据中心基础网络设计培训,第62页,虚拟防火墙设计,2-,双机连通,SecBlade 10G,通道,FW,工作在路由模式,FW,工作在透明模式,FW,虚拟化实例,交换机三层路由接口,物理链路,L2,L2,L3,L3,Outside VLAN,Inside VLAN,数据中心基础网络设计培训,第63页,虚拟防火墙设计,3-,互联,VLAN-,透明模式,L2,L2,Outside VLAN,Inside VLAN,Outside VLAN,、,Inside VLAN,对称互通用于运行,VRRP,Inside VLAN,还需要运行,MSTP,，,FW,过滤,MSTP,报文、透传,VRRP,报文,V1000,V1001,V,V,V3000,V3001,V1000,V1001,V,V,V3000,V3001,多实例,FW,用于透明模式：,L3,L3,数据中心基础网络设计培训,第64页,防火墙设计,IPS,设计,LB,设计,SSL VPN,设计,组合设计,数据中心安全与优化设计,数据中心基础网络设计培训,第65页,IPS,布署比较,IPS,插卡接入,chassis,交换机,独立,IPS,旁挂,chassis,交换机,独立,IPS,在线布署,心跳线,心跳线,心跳线,对于独立,IPS,设备,不论采取何种布署方案，网络数据流逻辑设计是相同,全部结构本质上都是,inline,方式，只是外在表现不一样。,交换机对数据进行重定向到,IPS,IPS,处理“嵌入”在交换机转发中,VLAN-1,VLAN-2,数据中心基础网络设计培训,第66页,IPS,插卡工作机制,C-S,方向流量,在交换机入口进行流量识别,将识别流量重定向到,IPS,所在交换机端口,IPS,处理完成后右从该端口返回,交换机继续正常二三层转发,IPS,Client,Server,IPS,Client,Server,Ingress,入口重定向,Ingress,入口重定向,S-C,方向流量,在交换机入口进行流量识别,将识别流量重定向到,IPS,所在交换机端口,IPS,处理完成后右从该端口返回,交换机继续正常二三层转发,数据