资源预览内容
第1页 / 共18页
第2页 / 共18页
第3页 / 共18页
第4页 / 共18页
第5页 / 共18页
第6页 / 共18页
第7页 / 共18页
第8页 / 共18页
第9页 / 共18页
第10页 / 共18页
亲,该文档总共18页,到这儿已超出免费预览范围,如果喜欢就下载吧!
资源描述
超级计算中心网络系统建设可研方案-基础网络部分云计算中心网络系统建设方案1 网络系统建设方案1.1网络系统建设的要求1) 计算中心通过互联网、专线接入和VPN接入提供服务;2) 提供多种网络接入及特定单位的专线接入,满足用户以多种 方式远程接入云计算平台的要求;3) 有效隔离计算中心与互联网,防范来自互联网的非授权访问 使计算中心在受控的前提下提供给外部进行访问;4) 为云计算大楼公共服务区(用户服务区、办公区、公共会议 室)提供网络连接;5) 子网相对独立,又彼此关联。各入驻单位的计算机网络相互 独立,各自构建独立的单位局域网,满足各单位组网需求; 同时要考虑其工作的共性需求。在设计中要考虑他们之间的 相对隔离又彼此关联的要求,划分不同的区域,区域之间采 用物理隔离或逻辑隔离。6) 建立完善的网络安全和管理机制,保证网络系统的安全和正 、咯、=KK常运转。1.2网络系统总体设计1.2.1 网络架构设计DMZ区Issi1=1路由交换、安全防护云计算中心图1云计算中心网络系统逻辑结构图云计算中心网络系统整体逻辑结构如图1所示。整个网络系统包 括云计算资源区和服务与管理区,服务与管理区可进一步分为对外服 务区、中心办公区、DMZ区。云计算资源区是超级计算系统所在区域。云计算服务区是计算中心对企业等非政府机构提供超级计算 服务的区域。中心办公区是云计算中心工作人员的办公区域。 DMZ区是云计算中心设置Web服务器和SSL VPN接入的区 域。上述区域整体上包括云计算中心资源层、核心交换层、功能接入 层和互联网接入/服务层;采用分层结构模块化的设计理念,使网络 结构清晰化,便于网络安全策略的实施和网络管理,并提高网络的灵 活性和可扩展性。1)云计算资源区云计算中心服务结点使用万兆链路直接接入到云计算资源区的 高性能接入交换机上。2)服务与管理区核心交换/访问控制层:主要包括一台的核心交换机,由于现在的核心交换设备一般都支持多个模块,而本项目所需接入 的网段也不是太多,可将汇聚交换的功能融入其中,对各子 网的访问控制策略采用交换机访问控制技术实现。功能接入层:包括云计算中心办公子网、云计算对外服务子 网等;互联网接入/服务层:包括1条互联网接入链路、边界防火墙、DMZ区(设置DNS、WWW、SSL VPN接入等服务)等。1.2.2服务与管理区网络及安全防护部署盘阵功能接入层超算中心办公区丄云计算中心服务区丿超算资源层超级计算资源区图 2 网络系统拓扑结构及安全防护部署可以将网络拓扑分为 3 层,包括互联网接入/服务层、功能接入 层核心交换层和云计算中心资源层。互联网接入/服务层包括边界防 火墙、DMZ区(设置DNS、WWW、邮件、SSL VPN接入等服务)。核心交换层主要包括一台核心交换机。功能接入层包括云计算中心办公子网、云计算对外服务子网等。1.2.3 专用网络接入云计算开放区包括与超级计算相关的管理、服务单位,其对网络的连接和访问控制要求如表 1所示:表 1 云计算中心子网分布表云计算相关单位分布情况大楼内部联网要求外部联网要求高性能计算开放实验室(云计算办公子网)云计算中心子网互联网超级计算中心办公室、高性能计算机工程 中心吕梁分中心、会议室、办公室(云计 算办公子网)云计算中心子网互联网进驻单位云计算中心子网互联网用户通过互联网采用VPN技术接入云计算中心;如果需要,可 以采用专线接入,可以直接接入到核心层核心交换机上,利用 VLAN 的方式进行逻辑隔离,利用防火墙对其进行访问控制、审计。 1.2.4网络带宽设计1)主干带宽设计 考虑超级计算机的业务需求,选择万兆以太网作为核心层组网,从接入交换机到核心交换机采用千兆以太网技术。为了便于今后系统的升级,选择的核心交换机、接入交换机等都 能够支持万兆。一旦今后需要无需更换设备即可平滑升级到全万兆主 干网。2)互联网接口及带宽要求(a)云计算办公区的互联网带宽需求内部人员利用 Internet 进行资料查询、收发邮件、对外联系等工 作,对带宽需求不会太高。内部人员按照140左右估算,估计约200M 即可满足需求。(b) 对外服务区的互联网带宽需求云计算中心的客户通过Internet访问相关的服务器,完成计算业 务的提交、数据上传、作业管理、作业监控、结果下载等。作业提交 的方式主要包括WEB访问、FTP、Telnet. Xwindows等方式。这部 分访问单个用户对带宽要求不高,但是需要考虑用户的总量,结合并 发用户访问量进行综合考虑。在初期,初步预留300M带宽给这部分访问。(c) 互联网带宽需求根据以上对Internet带宽的初步分析,同时结合目前ISP提供的 带宽的性价比综合考虑,选择1000M多路接入,以后根据发展情况 再进行扩展。1.3互联网接入互联网接入/服务层主要提供对外服务,是外界进入中心,与中 心发生数据交互的第一个功能层次,这个功能层包含:互联网接入、 DMZ区和网络与安全管理区等。这个功能层建设中首先需要考虑安 全问题,重点是如何保证外界安全、可靠的与中心各区域进行数据交 互,其次是设备的选型,如:边界路由器、边界防火墙等。1.3.1互联网接入规划互联网接入区主要是连接到Internet,向用户提供云计算资源服 务。电信运营商接入:根据对用户应用需求的初步分析,建议在试运 行期间通过二条线路构成 2000M 接入,一条线路接入中国电信网, 一条接入中国联通网,均具有1000M带宽。大数据量用户专线接入: 为了满足大数据量用户传输数据的需求,通过租用中国电信的光缆, 建立一条或多条(根据大数据量用户单位数量确定)大数据量用户到 云计算中心的专线。综上所述,中心的网络接口如表 2。表 2 中心网络接口表网络部分技术备注内部主干网1000M以太网五个功能区域互连电信运营商接入2000M二条线路,分别接入中国电信 网、中国联通。大数据量用户接入光纤专线通过中国电信通过在中心核心交换机上的 QoS 设置,保证在中心内部网络上为大数据量用户单位分配1000M独占带宽。在系统试运行一段时间后可以根据综合考虑以下因素来对互联网接入带宽加以调整:来自Internet的实际用户量用户的访问响应速度出口的可靠性1.3.2互联网接入路由器互联网接入路由器,即边界路由器,主要完成与Internet的高速 互联。作为云计算开放区网络与公共IP骨干网络的接口,互联网连 接层提供了平台与公共IP网的桥梁,它的运行情况直接关系到整个云计算平台为用户所提供的服务质量,这就要求该层的设备必须具有 以下的特点:高速的路由交换能力具备丰富的接口类型完善的QoS支持能力在互联网连接层配置接入路由器,使用高速连接到IP骨干网, 并以全冗余方式与核心层互连。借助于这些高端路由器的高性能及丰 富的特性,提供全冗余、高速、高性能网络核心。1.4 功能接入网络设计包括中心办公子网、中心用户服务子网。每个子网采用 1台2/3 层接入交换机,通过千兆链路接入服务与管理区的核心交换机。各子网的交换机可采用高性价比工作组级交换机,具有强大的堆 叠性能、环境适应能力、交换性能和QoS/ACL能力等,完全满足用 户的接入要求。此外考虑到今后的升级能力,接入交换机需要能够支 持万兆模块,在今后需要时能够平滑升级到万兆骨干。办公子网和用户服务之间,以及这两个子网对超级计算机房子网 的访问控制通过 VLAN 划分和在核心交换机上配置访问控制策略实 现,基本策略应保证办公子网和用户服务子网对超级计算机房子网的 访问,办公子网和用户服务子网之间不能互相访问。1.4.1 办公与用户服务环境由 5台安全认证接入终端、 1台2/3层接入交换机组网,构成中 心工作人员的办公环境,通过千兆链路接入服务与管理区的核心交换 机。中心工作人员通过办公管理子网对超级计算机进行维护管理,利 用 Internet 开展资料查询、收发邮件、对外联系等工作。1.4.2 用户服务环境通过CAE软件界面交互式使用超级计算机是目前工业用户使用 超级计算机的一种主要方式,这种方式存在的一个主要问题是如果网 络因为延迟过大,或者丢包出现中断,那么就意味着一次计算的失败。 为了解决以上问题,同时为用户提供更加优质的超级计算体验,在中 心建立一个用户服务环境,由 12 台安全认证接入终端和 1 台 2/3 层 接入交换机组网而成,通过千兆链路接入服务与管理区的核心交换 机。1.4.3 用户接入安全认证为了保证办公管理子网和用户服务子网所有终端的接入合法性, 中心内部网络将部署终端认证系统。认证系统由服务器和客户端构 成,终端认证系统服务器部署在网络与安全管理区,每台接入办公管 理子网和用户服务子网的终端安装终端认证系统客户端。在终端接入 网络时,首先由认证系统客户端向认证系统服务器发起用户名和密码 认证,只有通过认证的合法终端才能接入中心内部网络。1.5 核心交换网络设计主要包括 1台万兆级核心交换机,以双核心、双链路、冗余互连 的组网结构来实现负载均衡和提高可靠性的需求。核心交换机下联根据不同的区域确定采用万兆或千兆链路,其中超级计算机房、DMZ、 用户服务区使用万兆链路、安全管理区与办公区使用千兆链路。1.5.1 核心交换设备核心交换机拟采用 1台高性能的交换机,具备良好的设备冗余机 制及扩展能力,一方面要考虑设备本身硬件容错的能力,另一方面要 考虑今后网络扩展的能力。如:交换机支持电源、引擎、风扇等重要 部件的冗余、具备多个扩展插槽并良好支持安全模块、 10G 等技术。超级计算资源层网络设备通过其内部互连交换机使用一个万兆 端口上连至核心交换机上。1.5.2 核心组网专线带宽保证:在核心交换机上配置 QoS 服务,确保中心内部 骨干网每条链路能够为专线用户提供1000M的独占带宽。支持硬件容错的能力:交换机支持电源、引擎、风扇等重要部件 的冗余、具备多个扩展插槽并良好支持安全模块、 10G 等技术。1.6 网络地址规划1.6.1 VLAN 规划各个功能区域的服务器单独划分到一个网段中保证服务器的安 全。根据功能区服务器、终端的功能和规模可以划分若干个 VLAN, 可以把功能相近的设备群组划分到同一 VLAN,不同性质的设备划 分到不同VLAN中去。不同VLAN之间的流量必须经过核心交换机或者防火墙完成,并且可以通过核心交换机或防火墙上的ACL (访 问控制列表)来控制VLAN之间的访问。每个VLAN配置一个IP地址网段,VLAN之间通过路由连通。1.6.2 IP 地址规划和路由设计本网络系统中,采用IPv4进行地址规划。需要申请4或16个C类 IP地址,用于云计算中心为互联网提供服务的地址。中心开放区域统一分配地址,采用互联网保留地址172.16-31或 100,每个子网分配1个C类地址段,必要时采用地址转换技术。超级计算机房部分可以配置静态或动态路由协议,动态路由协议 选用OSPF或EIGRP等路由协议。在互联网出口上主要采用默认路由,一般来说Internet服务提供 商不会与接入单位运行动态路由协议,因此在互联网接入路由器上只 需要一条默认路由指向ISP即可,ISP则通过静态路由完成到外网接 入部分的路由,多个 ISP 的静态路由可交给带负载均衡功能的防火 墙设备来自动进行切换,保证网络的可靠性。1.7 网络基础设施系统需求(1)核心
网站客服QQ:2055934822
金锄头文库版权所有
经营许可证:蜀ICP备13022795号 | 川公网安备 51140202000112号