云平台构架浅析

董飞宇

【摘要】 在云计算日益普及的情况下，大量的业务应用系统迁移到云平台上，云平台的基本构架成为大家所关注的问题。

【关键字】 云计算 构架 安全

一、引言

本文对云平台各个资源池的部署进行说明，以便读者能够大略了解云平台部署的基本构架，对云平台具备一定的认识。

二、云平台资源划分

这个云平台按照资源来划分主要分为云计算资源、存储资源、网络资源；同时网络资源中结合安全设备和手段，保证云平台的安全性；存储资源中结合备份系统保障数据的安全性。各资源主要说明如下： 网络资源：网络资源是云平台互联互通以及访问控制的资源节点、是实现业务区域划分、用户流量隔离、互访安全控制、流量负载分担、安全VPN接入等相关需求的基础保证。计算资源：计算资源是云平台的核心资源，也是业务承载的关键。通过虚拟化软件的管理节点，实现对云资源池的划分、管理和调度；相关云资源池的计算节点则是具体提供相应的虚拟化云服务的平台。存储资源：存储资源是存储数据的资源，只有通过共享存储资源，才能够实现云计算平台业务迁移的功能，同时专用的存储资源，也是保证数据存放安全可靠的关键。

三、云平台构架及分析

3.1云平台的分层与分区

1）核心层主要负责整个云平台的出口和路由的公告，同时也是对外安全的保障。通过部署出口防火墙、IPS、带库管理、网页防篡改等设备实现内外网络安全的隔离和包含。

2）业务汇聚层则是实现内部云平台分区的关键、可依据管理功能分为云平台管理区、业务区，业务区又可根据不同的业务类型划分为不同的业务区域；每个业务区域对应到云计算资源上，则是一个云计算资源池。在安全要求高的云平台内，不同业务区域的汇聚层旁应具备一定的安全设备，例如防火墙等，实现内部业务区的安全隔离和不同业务区之间的访问控制和隔离。

3）业务接入层，则是直接连接服务器，例如虚拟化服务器、数据库服务器、备份服务器；服务器可考虑双上行接入不同的物理交换机，在数据中心的环境下，可将多个接入交换机虚拟为一台逻辑交换机；在这种情况下，服务器的双网卡可考虑绑定实现流量负载。对于不具备虚拟化功能的交换机，则可以使用主备的方式接入。

4）为了进一步缩减层次，也可考虑采用大容量的数据中心交换机，将接入和汇聚层合并。

3.2云平台的存储资源

1）首先磁盘阵列是所有虚拟化服务器和数据库服务器公用的存储资源，同一虚拟资源池内的计算资源通过共享存储资源从实现虚拟机的迁移；数据库服务器RAC通过共享存储资源实现数据库的之间实例的切换备份；同时磁盘阵列是基于SAN环境下，每台服务器通过双网卡接入不同的SAN交换机，SAN交换机通过划分zone实现流量的隔离，同时存储设备的前端端口分别接入SAN交换机中，同时通过多路径实现链路的冗余性。存储本身通过全局热备盘和采用raid方式，实现存储设备本身的可靠性。2）NAS存储作为文件存储资源，可基于NFS/CIFS协议实现对虚拟服务器提供相关的文件存储资源服务。文件系统资源可通过控制IP地址和帐号的方式实现安全的管理。3）虚拟带库作为备份的存储介质，通过备份服务器实现数据的存储。在服务器上安装备份客户端，同负责备份策略制定和执行的备份策略服务器通讯，控制流数据通过IP网络到达。同时通过备份数据量采用lan_free方式，通过san环境下传输；实现备份数据的传递。

3.3云平台的计算资源

对于同一资源池内的计算资源，资源池内的虚拟机可实现自由迁移；同时相关计算资源的创建、划分、管理通过云资源管理区的管理节点实现对相关计算资源的管理。一般每台计算节点服务器都连接三个网络，一个是通过HBA连接san网络访问存储资源；一个是通过以太网络接入业务接入交换机实现虚拟机业务流量的传输；最后是通过以太网络和管理区的管理节点，用于传输计算资源池的管理流量。

3.4云平台的安全防护

1）网络隔离实现安全防护。除了基本的网络层vlan隔离，可在业务汇聚层部署区域防火墙，实现进一步不同区域的安全控制。如果需要更为彻底的隔离则可以考虑引入MPLS VPN的方式，将业务控制在VPN范围内。同时对于不同区域间存在互通需求的情况下，则通过安全网闸实现信息数据的互通。2）专业设备避免异常攻击。通过在入口部署IPS/带宽控制/WAF（网页防篡改）实现对异常攻击的检测和防护功能；3）安全接入。可考虑通过SSL VPN设备实现远程安全的vpn接入；4）主机侧安全控制。通过漏洞扫描、安全加固、补丁升级的方式实现对虚拟主机的安全防护；对于数据库服务器则通过数据库审计的方式来保证安全。

四、结束语

由于业务平台的性质不同，其构架也会略有不同，但是云平台的总体构架上则都是大同小异。最终的构架还需要结合具体的业务应用和设备特性规划设计。

参 考 文 献

[1]华为文档，云计算构架