运营商政务云资源池建设方案研究

［李红双 李健 赵秋爽 孙淳晔］

1 引言

政务云即基于云计算的电子政务公共平台，是运用云计算技术，统筹利用机房资源、计算资源、存储资源、网络资源、信息资源、应用支撑等资源，发挥云计算虚拟化、高可靠性、通用性、高可扩展性以及快速、按需、弹性的服务等特征，为各政务部门构建提供基础设施、支撑软件、应用系统、信息资源、运行保障和信息安全等服务的电子政务综合性服务平台。

2015年1月，国务院印发了《关于促进云计算创新发展培育信息产业新业态的意见》，该文件中对政务云应用提出了非常具体的目标：“鼓励应用云计算技术整合改造现有电子政务信息系统，实现各领域政务信息系统整体部署和共建共用，大幅减少政府自建数据中心的数量”。政务云资源池的建设，可有效降低政府部门信息化的建设和运营成本，避免重复建设，促进部门间的信息资源开发利用和协同共享，对促进政府管理创新和建设服务型政府有重大的意义。

截至2018年底，我国31个省级行政区（不包括港澳台）中，已实现100%已经建有或正在建设政务云，我国334个地级行政区中，超过七成已经建有或正在建设政务云。在政策的驱动下，中国的政务云近年来实现高增长，政务云规模目前占据了私有云市场的53%，是私有云中增长较快的行业。

目前中国市场上的政务云厂商主要分为四类，这几类厂商各具优势，它们之间的竞争合作关系形成了现阶段的市场生态主体。

（1）大型IT企业：以华为、新华三、浪潮、曙光、烽火、中兴等为代表。

（2）互联网公司：以阿里、腾讯、京东等为代表。

（3）基础电信企业：中国电信、中国联通、中国移动。

（4）系统集成商：以太极软件、神州数码、中软、东华软件等为代表。

2 政务云资源池需求分析

政务云属于为政府建设的专有云，政务云数据中心一定是在政府可控、可监管的范围内。政务云具有政府专有、资源独占、安全级别高等特性。政务云服务团队不仅要维护系统正常的运行，同时也要合理分配资源、合理规划设计、提高系统的使用效率。

2.1 网络需求

政务云资源池要求能够接入电子政务外网和互联网，具备互联网独享出口带宽的能力；出口采用双链路设计，出口链路能够实现动态流量负荷分担；同时要求出口带宽可随需求灵活扩展。

政务云资源池网络采用扁平二层网络架构，分为核心层和接入层；核心交换机支持虚拟化集群技术，接入交换机支持堆叠技术，保证设备冗余，支持VPN、VXLAN、SDN技术；网络具备可承载语音、视频、数据等方面的能力，且保证高性能高稳定，具备性能管理、故障管理、配置管理、服务器监视等网络管理功能。

核心网络能够按照业务功能划分逻辑隔离区，逻辑隔离区之间的访问需有统一的安全策略管理，主要分为管理域、业务域、存储域、安全隔离域、测试域等，不同域之间进行逻辑隔离。不同业务部门以租户的方式分配资源，不同租户分配不同VPN通道，VPN相互隔离。

2.2 计算资源、存储资源、网络资源需求

计算资源主要包括虚拟机和X86物理服务器。虚拟机主要为满足政务系统的邮箱服务、门户服务和其他信息化系统；X86物理服务器主要为满足政务系统数据库及其他无法在虚拟机上部署的特殊服务等。计算资源要求是市场上主流的服务器设备，具有高可靠性和高可用性，支持国产操作系统，资源能够灵活分配与回收，支持动态资源调度。

存储资源主要包括传统SAN存储和分布式存储。SAN存储是由光纤交换机+磁盘阵列构成，主要为满足交易型数据库高可靠、高I/O的存储需求；分布式存储采用存储型X86服务器+分布式存储软件，主要为满足存储监控视频、图片、GIS地图等数据的需求。存储资源要求支持动态扩展、弹性调度，支持不同存储介质之间进行动态迁移，支持数据保护，包括：快照、恢复、备份、复制、镜像、克隆、冗余等数据保护功能。

网络资源主要包括路由器、防火墙、核心交换机、接入交换机、管理交换机、VPN、负载均衡器等设备，满足政务云资源池的组网需求。核心交换机要求支持虚拟化集群技术，接入交换机支持堆叠技术；交换机要求支持VXLAN和SDN技术，支持网络设备可扩展，支持自动弹性的网络管理。

2.3 安全需求

政务云资源池的安全保障包括：平台自身软硬件安全、平台提供的安全服务、平台的接入安全等三部分内容。

平台自身软硬件安全：政务云资源池自身安全为平台基础环境、平台所承载数据和业务提供安全保障，涉及平台的物理环境、网络、主机（物理主机和虚拟主机）、存储、平台所承载的数据和平台支撑的业务软件等方面。

平台提供的安全服务：政务云资源池的安全服务是指平台将安全措施以服务的形式提供，用户可以根据需要选择相应的安全服务来支撑其应用和业务。资源池提供的安全服务包括云监测、云防护、云扫描、云审计和统一认证等云安全基础服务。

平台的接入安全：平台的接入安全主要涵盖外部终端、网络以及外部业务系统接入政务云资源池平台涉及的安全。

3 政务云资源池建设方案

目前运营商建设的政务云资源池多数是以独立组网为主，即政务外网区和互联网区网络设备、计算设备、存储设备、安全设备均独立资源池建设，两个区域互相隔离。本论文研究的方案采用的是融合组网方式，即政务外网区和互联网区出口网络设备独立建设，后端计算设备、存储设备、安全设备等均共用，采用VXLAN、服务器虚拟化、虚拟防火墙等技术进行业务隔离。融合组网的优点是网络简单、设备利用率高、工程投资少、对机房空间及电力资源的占用较少，同时设备资源分配灵活，易调整。下文主要对融合组网方案展开介绍：

3.1 双中心容灾方案

为保障系统安全，政务云资源池采用异局址双数据中心建设，数据中心之间通过传输专线互联，数据中心采用双活模式，实现负荷分担。数据中心之间采用大二层或三层互联，形成跨机房的资源池，允许应用集群、虚拟机跨机房部署、迁移，并且进行访问路径的优化。在双中心配置全局负载均衡器，实现业务的双活访问。双中心容灾方案主要为实现应用层和存储层的双活。

应用层双活：支持应用集群跨数据中心部署，应用集群和VM迁移技术，可提供给用户跨数据中心的高可用、负载均衡、应用负载迁移调度的特性。

存储层双活：提供上层应用在两个数据中心之间同时读写存储，写入存储时两个数据中心同时写入，最大程度保证数据可靠性。

3.2 组网方案

政务云资源池要求根据功能需求通过网络和安全设备将资源池划分为多个物理安全隔离区，安全隔离区之间的访问需有统一的安全策略管理。按功能要求，安全区分为政务外网出口区、互联网出口区、核心交换区、安全隔离区、数据中心互联区、虚拟化区、X86物理区、存储区和安全运维区等。政务云资源池各安全区互联方式及设备部署如图1所示。

图1 政务云资源池网络结构图

（1）政务外网出口区

政务外网出口区为政务外网提供统一的安全出口，部署防病毒、防入侵、安全审计等网络访问的安全防护设施。政务外网出口区配置2台路由器做为出口设备，上联电子政务外网，以及与互联网区互联；配置2台出口防火墙和2台IPS设备，作为NAT及数据中心边界防护设备。

（2）互联网出口区

互联网出口区为互联网提供统一的安全出口，部署防病毒、防入侵、安全审计、抗DDOS等网络访问的安全防护设施。互联网出口区配置2台路由器做为出口设备，上联互联网，以及与政务外网区互联；配置2台出口防火墙、2台抗DDOS设备、2台IPS设备，作为NAT及数据中心边界防护设备。

（3）核心交换区

核心交换区做为数据中心的中央枢纽，将政务外网出口区、互联网出口区、数据中心互联区等出口区域以及安全隔离区、虚拟化区等业务区进行互联，完成数据交换和业务负载均衡功能。

核心交换区配置2台汇聚交换机与政务外网出口区、互联网出口区互联；配置2台核心交换机与数据中心互联区、安全隔离区、计算及存储区等互联；配置2台VPN设备负责为数据中心维护人员、租户等远程登录数据中心设备及租户通过互联网访问业务系统建立专网隧道；配置2台全局负载均衡器和2台业务负载均衡器负责对各逻辑业务区的业务进行负荷分担。

（4）安全隔离区

安全隔离区主要用于实现租户之间隔离及WEB应用防护功能，安全隔离区主要部署租户隔离防火墙和WEB防火墙。

（5）数据中心互联区

数据中心互联区用于实现与异局址数据中心互联，主要部署数据中心互联交换机。

（6）虚拟化区

虚拟化区用于给租户分配虚拟化服务器资源，主要部署通用X86服务器，并通过采用虚拟化软件将物理服务器虚拟成虚拟机资源，分配给客户部署业务系统。

（7）X86物理区

X86物理区用于给租户分配X86物理服务器资源，主要部署通用X86物理服务器，满足政务系统数据库及其他无法在虚拟机上部署的特殊服务等需求。

（8）存储区

存储区主要为政务外网业务及互联网业务提供存储资源和备份服务。存储区主要包括传统SAN存储和分布式存储两类存储资源。传统SAN存储由光纤交换机+磁盘阵列构成，满足交易型数据库高可靠、高I/O的存储需求。分布式存储采用存储型X86服务器+分布式存储软件，存储监控视频、图片、GIS地图等数据。备份系统采用存储型X86服务器+备份软件方式实现本地数据备份，并通过远程复制功能，实现本地数据的异地容灾，实现数据的多重保护。

（9）安全运维区

安全运维区主要包括安全管理和运维两部分功能。其中安全管理部分在本区域部署了漏洞扫描、日志审计、数据库审计、堡垒机、4A系统等软硬件安全设备。

漏洞扫描：用于对数据中心内的网路、系统、数据库进行周期性漏洞扫描，并对漏洞进行修补，降低系统自身脆弱性，满足三级等保对于主机入侵防范的要求。

日志审计：汇总全网网元日志，融合安全态势感知、报表管理、日志审计、集中告警管理等功能。

数据库审计：用于实时监控并记录来自各层面的数据库活动。

堡垒机：对网络运维人员登录设备的行为进行审计，防止运维人员权力滥用。

4A系统：对用户进行帐号管理、认证管理、授权管理和审计管理。

安全运维区实现的运维功能主要包括：SDN控制器、云管平台和带外管理。

在本区域的管理服务器上部署SDN软件，实现数据中心核心交换机和区域接入交换机的控制面和数据面分离。用于网络虚拟化，实现网络流量的灵活控制。

在管理服务器上部署云管平台软件，实现对虚拟机、X86物理服务器、分布式存储服务器的管理，以及对计算、存储、网络设备的性能及状态监控。

在管理服务器上部署带外网管软件，运维人员可通过带外管理网络实现对数据中心所有硬件设备进行集中监控、管理和维修。

3.3 安全方案

政务云资源池对系统的安全级别要求较高，必须满足信息系统安全等级保护三级的要求。资源池通过部署软硬件安全产品不仅要实现平台自身软硬件的安全、平台的接入安全，而且还需向客户提供一些安全服务。具体的安全需求及安全解决方案如表1所示。

4 结束语

政务云资源池的建设，是政府云计算技术试点的开始，也是各级政府部门应用的入口，是运营商及互联网公司争夺的焦点，对布局政务行业有重要的战略意义。运营商建设政务云资源池具有以下优点：

（1）运营商具有独有的网络资源，网络覆盖规模大，带宽资源丰富，网络安全性高，具备电信级安全。

（2）具有丰富的IDC资源，运营商作为基础通信服务商，拥有众多的IDC数据中心，建设和运维能力强，并且运营商数据中心具有良好的网络条件、地理位置和机房环境。

（3）具有产业整合优势，运营商借助强有力的产业地位，已经与服务器厂商、网络设备厂商、云服务厂商等合作伙伴建立了完善的合作体系。

（4）具有运营保障能力，运营商具有电信级的服务保障能力、属地化的资源和服务优势。

表1 政务云资源池安全需求及解决方案

运营商应该充分利用自身的优势，积极开展政务云资源池的建设，为全面把握政务行业信息化战略机遇打定基础。政务云资源池的建设不仅可以通过对政府部门提供统一的云计算、网络、云平台安全、定制化运维服务以及共性应用服务等带来直接的经济效益，同时还会带动专线、终端、统付、物联网、大数据等业务的间接收入。