联想万全助力重庆市秀山县财政局“金财工程”项目

2008-04-28 13:43　作者：佚名　出处：蓝桥资讯　责任编辑：蔡强　　【文字大小：大中小】

　　项目背景

　　重庆市秀山县财政局为了建立“金财工程”对财政局信息系统所要求的财政电子化支付系统，需要对现有局域网络结构进行安全合理的调整，并选择稳定实用的服务器设备，按照满足当前业务快速高效运行要求，并具备一定的扩展能力和系统级容错能力来对整体系统架构进行设计。通过分析整个系统应包含以下几个子部分：

　　1、网络管理系统：包括网络结构、服务器架构与有关硬件设备部署的整合设计。

　　2、应用管理系统：数据库服务、应用服务(财政业务软件)、局机关办公自动化、腾讯通系统(含短信平台)、内部网站。

　　3、网络安全系统：包括数据存储备份恢复、系统监控、病毒防治和信息安全;

　　整个系统在网络连接上，对上，与市财政局的连接采用专用光纤，而对下，与各级预算单位和乡镇财政单位的连接通过党政信息网来建立连接。

　　专用光纤

　　应用分析

　　从前面的整体分析来看，服务器系统是整个应用系统的核心，为了搭建数据库服务、应用服务(财政业务软件、预算支付系统)、局机关办公自动化OA、腾讯通系统(含短信平台)、内部网站系统等共5个应用系统，需要建立一套非常稳定可靠，并且具备较高性能和访问安全性、数据存储安全性的硬件平台。

　　对于财政局应用的关键业务系统来说，需要不间断的为上下级政府部门业务系统提供服务。如果系统的服务中断就会造成难以估量的损失。但是系统的硬件故障，软硬件的兼容性错误，人为操作错误，计算机病毒，黑客入侵以及自然灾害等等原因都可造成系统的中断。因此建立一个高可用系统，保证系统在上述故障发生时还能正常提供业务服务已经迫在眉睫。

　　要建立高可用的计算机系统，首先，在硬件上要做到各部件的冗余，多台计算机组成集群机构，使整个系统不存在单点故障。此外，还需要有专门的集群软件来进行管理和监控，使得系统在任何软硬件单元发生故障时都能够稳定可靠的运行。

　　高可用系统要满足几个关键点：1应用系统的主机切换对用户透明;2故障发生时是否需要人为 ;3切换速度;4配置是否简单方便，易于管理;5与操作系统，应用程序是否能紧密结合。

　　方案设计

　　在本系统中共需要建立5个应用系统，我们建议将最核心的数据库系统单独使用一台联想R350 G6服务器来部署。另外需要将应用服务(财政业务软件、预算支付系统)与局机关办公自动化OA系统集中部署到应用服务器上，因为这二者的操作系统一致，故可以考虑共用一个硬件平台。而腾讯通系统(含短信平台)、内部网站则统一部署到其他应用服务器上。

　　考虑到整个系统的稳定性和高可靠性，需要将数据库服务器和应用服务器组成一个双机高可用系统，这样，在数据库服务器发生宕机事故后，应用服务器可以迅速接管数据库服务，继续对外提供。

　　共享磁盘阵列的双机系统由两个服务器节点和一台共享磁盘阵列组成。操作系统，应用服务程序(比如数据库的实例)都装在服务器的本地硬盘里面。共享数据装在磁盘阵列里面。也可以把应用服务程序也装到磁盘阵列里面。与无共享资源双机系统相同，也是一台服务器作为工作机另外一台作为备份机。双机软件控制工作机和备份机通过专用的心跳线来传递信息，互相监测对方的状态。此时工作机拥有对磁盘阵列的占用权利，可以对磁盘阵列的数据进行读写，而备份机无法对磁盘阵列进行操作，甚至无法发现磁盘阵列，这是通过双机软件的“软件锁”功能来实现的。这个功能避免了两台机器对同一数据操作而造成数据不可用，例如数据库损坏;保证了数据的一致性，从而确保了数据安全，对双机系统十分重要。工作机出现故障后，备份机的双机软件会监测到故障的发生，然后在备份机上启动应用服务并接管共享磁盘阵列的控制权。拓扑图如下：

　　共享磁盘阵列双机系统

　　图2 共享磁盘阵列双机系统

　　我们推荐的磁盘阵列产品是一款全光纤的磁盘阵列，该产品在本项目中是作为DAS连接方式，但是在今后能够非常方便的升级到SAN连接方式。

　　另外，布署的防火墙系统能够在某些异常主机的识别上起到极大的作用。如果内部计算机感染了某些蠕虫病毒，不断在内部发起大量连接，防火墙能够迅速定位异常主机，在最短的时间内定位故障点，大大简化管理问题。

　　针对财政局网络，总结通过防火墙设备主要解决的问题包括：

　　防止非法的访问与数据包：一般来讲，黑客总是利用高端口发送数据包，从而进行攻击行为，那么我们只需要封闭这些端口，或者一些没有用处的协议(比如ICMP协议)，就能够有效的防范黑客的攻击，特别是针对相对的外网用户，由于在内部有各类服务器的应用，我们必须确保只有对应的服务才能经过防火墙，而其他的访问均被禁止，从而保护各类服务器的安全，进而还可防范外网的黑客利用服务器为跳板，发起对其他“信息资产”的攻击或窃取。

　　防止地址欺骗：一方面，来自其它网络的访问者会将自己的IP地址伪装成内部地址，从而绕过防火墙发起对内网的攻击;另一方面，内部用户通过修改自己的地址，而获得更高的访问权限;这些行为都会给单位的网络形成安全威胁，那么防火墙通过MAC地址绑定技术、源地址识别等技术，能够识别出这些地址欺骗行为，从而更有效的执行访问控制策略;

　　有效抵抗黑客攻击行为：采用的防火墙设备能够识别并防范对网络和主机的扫描攻击、异常网络协议攻击、IP欺骗攻击、源IP攻击、IP碎片攻击、DoS/DDoS攻击等。

　　与入侵检测系统联动：防火墙能够与部署在核心区域的多种第三方入侵检测系统进行联动，当入侵检测系统发现外网对总部内网发起的攻击行为，入侵检测系统会将此类报警信息发送给防火墙，防火墙在接受到报警信息后，动态生成访问控制策略，将发起攻击的源头阻断在防火墙之外，从而形成动态防护体系。

　　保障系统的可用性：当防火墙被部署在的网络边界时，会成为连接外网和内网的唯一通道，那么防火墙自身的性能，和加入防火墙后，能否保障网络原有的冗余设计特点，就显得非常重要。防火墙可以进行端口冗余配置，一旦某个端口出现故障，可以立刻启用另一个备用的专用冗余接口，完全能够保障内、外网之间高可用性的冗余线路设计。

　　另外，为了保证内部的服务器的高速吞吐率，不能让防火墙成为数据交换的瓶颈，考虑到这一点，我们提供的防火墙产品支持端口绑定功能，能够将两个端口绑定成一条逻辑链路，加大数据交换的带宽。同时，应人才考试中心提出的要求，对于某些IP地址的访问和被访问都要求进行带宽限制。我们提供的防火墙产品对带宽的控制能够达到97%的精确度，已经达到了相当高的控制精度了。

　　秀山县金财工程网路拓扑图