整体架构网设计方案架构网.docx
《整体架构网设计方案架构网.docx》由会员分享，可在线阅读，更多相关《整体架构网设计方案架构网.docx（24页珍藏版）》请在冰豆网上搜索。
整体架构网设计方案架构网
1整体架构网设计方案
1.1概述
此方案主要是为了优万网络的整体网络规划，提前设计好网络会更好的让采购进行，让不合理的地方进行调整，相关技术人员的招聘与学习也会随此方案的方向进行调整。
方案的设计主要是在满足公司需求的情况下，尽量的节省资金，我们要求用合适的价格，建设稳定的网络。
1.2系统互联框架
游戏行业的整体架构网，在业界基本上有着固定的模式，主要分为三部分
1.办公室网络（主要用于公司办公及运营中心的人员对游戏分区及会员中心的访问）
2.会员中心（提供会员注册、冲值、网站及与游戏分区的数据交换）
3.游戏分区（主要给游戏用户提供一个稳定的游戏环境）
大致如下图：
如上图所示，公司办公网、会员中心、游戏分区，这三个网络全部需要通过VPNline连接起来，上图仅仅只显示出了一个游戏分区，可能到实际的情况中，我们需要开设数十个以上游戏分区，此中间会包含电信和网通的区，所以会员中心、官网，一般都建议采用双线机房。
上图中并未画出下载服务器的布署，后面我会在相关的章节中写明此资源的需求及需要考虑的情况。
1.3路由冗余
路由冗余系统主要是针对目前办公网和各地的IDC连接来设计的，中国的互联网用户主要的运营商为电信和网通，他们之间的互联互通是存在一些问题（丢包多，延迟高，个别网络不可达等），因此，我们在设计办公网到各地的访问时，需要考虑路由冗余的问题，路由冗余主要是利用多条链路来保证网络在一条链路出现物理故障的时候，另一条链路可以自动切换，保证网络的实时稳定性。
路由冗余的方法有很多种来实现，考虑到性价比，我们还是使用网关或办公网多层交换机路由优先级的方式来实现，具体实现的方法我们在后续的办公网子系统中来写明实施方案。
1.4VPN冗余
在中国，由于各种原因，经常会出现IDC之间的中间链路不通的情况，例如：
机房有上海，北京，广东
这三个的VPN都是互通的，互联网经常会出现IDC之间不通的情况，比如：
上海至北京的VPN是通的，但上海至广东可能就会断网，但北京至广东确是通的。
基于此情况，能否设计出上海在至广东是断的情况下，上海通过北京的链路自动冗余到广东。
经过一些资料的查证（针对netscreenVPN路由器），只可以达到上述的要求。
（关于VPN的实现我还需要查证一些资料）经过查证，netscreen的防火墙利用hubandspoke的模式即可实现VPN冗余的功能。
1.5IP地址规划
IP地址的规划，是一个合理的架构网设计的基础，合理的设置IP地址，对于未来长远规划是否能有效实施有着关键作用，并且对于以上的路由VPN的冗余是否能有效实施，起着决定性的作用。
公司目前IP地址的现状如下：
内网网段192.168.0.0/24
所有地址全部为C类地址，由于主要是开发，在一些网络的高可用性方面并未开始设计和使用，所以网络的结构非常简单。
到运营期，我们公司的网络的高可用性方面将会属一个主要技术解决方案之一，所以，这就会牵涉到IP地址的规划，以满足我们的需求。
此章节，我们只描述大致的IP子网的规划，从整个面来描述，后面每个子系统的实施方案中，将会写明每个结点的IP地址的分配。
整个IP子网的规划如下图：
整个办公网将使用192.168.0.0/16这个网段
会员中心、官网使用192.168.1.0/24192.168.2.0/24网段
游戏分区则使用192.168.3.0/24的网段，有多的游戏分区可以此类推，当然，一个游戏分区也可以使用多个C类子网段。
1.6设备选型
设备的选型跟我们需要实现的需求有着很大的关联，由于是架构网的设计，我们在此只描述网络设备方面的选型，来满足我们在网络方面的需求。
办公网设备的选型：
办公室的设备主要满足如下要求：
1．稳定的内网办公环境（internet上网，收发邮件）
2．内部测试服务器的功能、性能测试
3．外部的VPN访问
达到以上这些要求，我们可以通过很多方案来实施，我们提出的方案不一定是最便宜或最贵的，但从基本上满足我们运营状况的同时，又可以给未来做为扩充。
办公网交换机的选型：
选用cisco3550三层交换作为公司内网的核心交换，可以在上面通过划分vlan的方式来来实现我们未来的路由冗余的功能，并且通过SNMP可以监控到整个交换机性能和网络的情况，对于未来判断和解决问题方面，可以起到更迅速的作用。
选用cisco2900系列的二层交换机作为直接接入桌面的交换机，此交换机也是思科入门级的交换机，由于我们核心层交换采用的是思科的，所以在接入层方面，也采用思科的交换机，这样在办公网vlan的规划方面，可以按每个员工的交换机接口来标识其所拥有的权限，从链路层上面就可以做到安全的访问。
办公网网关的选型：
办公网网关，主要需求为两台VPN网关，主网关的我们可采用netscreen50VPN路由器。
备用网关，我们可以netscreem5GT做为备用网关
无线设备的选型：
（正在查询相关资料中）
1.7所有子系统之间的关联
整个架构网中间是分为多个子系统来实现的，所有子系统如下：
1．办公子系统（公司办公、开发环境、运营中心对整个游戏运营的支撑）
2．运营子系统（会员注册、产品网站、数据中心）
3．游戏子系统（游戏用户环境）
4．下载子系统（游戏客户端、游戏更新下载）
5．安全子系统（整个架构网安全框架及实施）
6．监控子系统（游戏环境、整体架构网监控）
7．备份子系统（整体架构网中重要数据的备份及冗余）
在上面这些子系统统中，１、２、３是基础网络的建设，也是为后面的子系统提供最基础的保障，在保证基础网络建设的合理性以后，才能有效的保障４、５、６、７子系统的有效建设。
从另一个层面来说，４、５、６、７子系统的建设是有效保障公司整体架构网的稳定运营的基础，所以，以上７个系统缺少哪一个环节都会对公司的整体架构网的建设造成一定的损失。
2办公网子系统实施方案
2.1需要达到的目标
办公网未来需要达到，整个办公区容纳２００人，每个员工能拥有两个IP和一个电话结点，无线覆盖整个办公网区域，整个办公区的IP点容纳３００台电脑同时在线，公司有两个以上的网络出口（此方案以两个网络出口来设计，但对于多出口的增加不会影响到整个办公网的设计），在一条线路出现故障的时候，会自动冗余到另一条线路，无差错时间在５分钟以内，对整个网络的所有数据可以进行监控和入浸检测，对异常数据可以进行审核。
关于办公网的权限方面，我们可以通过交换机vlan的功能将我们的财务、开发、运营的网络分开，在vlan上做一定访问控制，做到办公网权限级别的划分，这样从网络出现问题以后，我们也可以快速反应并隔离，在安全方面可以做到层层设防。
2.2办公网的网络拓扑
首先我给出整个办公网的网络拓扑，里面已经包括了网络设备和一些IP地址的规划：
上图中，总体的vlan控制全部通过cisco3550来完成，它相当于整个内部网络的数据转发中心，在出局的地方，我们主要通过netscreen50来负责处理所有的数据包出局，在出现问题的时候，将在3550上通过路由的优先级来将数据包转发到netscreen5GT上，以保证线路的冗余。
在内部的管理方面，通过vlan将财务及测试服务器组与不需要访问其的IP隔离，从物理上保证其安全性。
关于安全方面，将会在后面的安全子系统中逐个描述，但对于以上设备的需求，是保障安全的基础设施。
2.3网络带宽的选择
在网络带宽选择方面，我们至少需要两根线路，分别为一根网通，一根电信，主线路为１０M独享专线网通线路或电信线路，最好是电信通的线路，辅助线路为５M独享专线与主线路应相反（即主线路为网通时，此线路为电信，主线路为电信时，此线路为网通）。
2.4程控交换的布署
目前公司的程控交换为非智能３２路内线，８路外线。
此交换机在未来的办公网使用中肯定是满足不了，未来我们可以采用NEC的智能程控交换机，内线保持１２８路，外线１６路以上基本就可以满足我们的需求。
2.5路由冗余的设计
路由冗余主要是解决两个问题
1．主网关至备份网关切换的问题
2．VPN冗余的解决方案之一
在中心交换机上面添加基于路由优先级的冗余，可以保证在公司主网关不通的情况下，自动切换到备份网关，在此时，VPN的连接也会自动切换到备份网关，前提是，须将两个VPN同时配置与各个IDC连通，默认情况下，主网关是与各地IDC及会员中心通讯，在主网关线路出现异常时，则自动切换至备份网关。
2.6UPS的选择
办公网机房中配备UPS是为了保护服务器在断电的情况下，仍然有一定的时间来关机，正常保护硬盘及文件系统的可用性。
那么办公室机房得配置多大的UPS方能满足关键设备的电源可用性呢。
根据以前的经验，可以配置能保护１５台服务器电源的稳定性的情况下即可满足，主要是保护内部的业务系统，程控交换机和网关处理设备，在停电的时候，可以正常关机。
2.7双路电源的选择
办公网的机房中配备双路的电源可保证，供电系统在一路出现问题，自动切换到另一路供电系统上，这样对于公司的整个电力系统的支撑，以及整个网络的稳定性起着一定的作用。
所以，在选择新办公区的时候，我们就需要将此考虑进去。
2.8
3运营子系统实施方案
3.1需要达到的目标
运营子系统未来是游戏运营中的一个主要环节，未来里面包括会员充值、点数划播、产品网站等，也属于整个公司的重要数据存放的地方，此中间数据库的数据安全方面要求是最高级别，所以我们设计这个子系统，要从很多方面来考虑。
3.2运营子系统的网络拓扑
下面是运营子系统的整个网络拓扑：
上图中，从上至下来标识了整个运营子系统的网络拓扑，在对外的主要是通过两台外网交换机接至负载均衡设备，在内网的交换机上面将利用vlan技术来对数据库，BBS，前端网站进行控制。
3.3网络带宽的选择
运营子系统带宽方面，可以分为两条线路。
1．会员系统对外的访问
2．VPN连接的访问
第１部分，属会员系统整个对外提供服务的带宽，我们需要带宽较高，这一部分要求的IP地址也较多，带宽应满足<50M独享，第２部分属VPN连接的带宽此部分主的连接主要是跟办公网和游戏分区的连接，带宽在<5M独享。
3.4IDC的选择
IDC方面，中国的南北互通一直存在问题，所以，选择一个双线机房来应用会员系统是非常有必要的。
经过一些验证，２６３和电信通这两家双线机房提供商，在此双线的互通方面有着不错的品质。
所以，未来在运营子系统的选择上，我们应该主要该考虑这两家服务商的机房。
3.5网络设备的选择
网络设备方面的选择，暂时定为如下，以后可选择同系列型号的设备：
前端两个交换机：
思科２９５０
两个负载均衡器：
F５
内部核心交换机：
思科３５００三层交换
VPN防火墙 ：
netscreen204
内网其它交换机：
思科2950
3.6IP地址的规划
在IP地址分配方面，外网需要两段IP地址，一段用于会员中心官网、BBS等这类的应用，加上双负载均衡器的3个IP地址，以及前端2个两层交换机的IP地址，实际的需求14个就可以满足。
另一段主要用于VPN接入，这个1个固定IP即可满足，主要做于公司及游戏分区到会员中心的VPN互联。
内网的IP地址分配方面，考虑到vlan的划分及未来的IP地址扩充，可以分为如下：
192.168.4.1/255.255.252.0
这样整个网可利用的IP段为：
192.168.4.1/24
192.168.5.1/24
192.168.6.1/24
192.168.7.1/24
总共可容纳主机１０２２台，这样可以充分满足会员中心的主机IP地址规划。
3.7服务器系统的选择
服务器系统方面，我们经过讨论和业务部门的需求，决定采用RedHat4.0U5，此版本很多硬件厂商支持，在系统方面，REDHAT公司还提供商业的支持（收费），在整个linux系统中，市场调查下来的占用率属最高的，所以我们采用。
4游戏子系统实施方案
4.1需要达到的目标
游戏子系统，未来主要是为uworld的服务器运营环境，从整体上需要考虑全面存放大量用户的负载。
由于目前uworld的技术成型产品及运营策略未定，所以在方案的编写上面，此节暂时忽略。
4.2游戏子系统的网络拓扑
4.3网络带宽的选择
4.4IDC的选择
4.5网络设备的选择
4.6IP子网的规划
5安全子系统实施方案
5.1概述
我认为计算机信息系统的安全建设是一个全面的、循序渐进的过程，同时又必须考虑我们最紧迫的安全要求，因此整体方案的设计分为三个阶段。
阶段1为网络层安全解决方案，在网络层安全解决方案的设计过程中，我充分考虑了我公司目前在网络安全方面的投资，最大限度地利用现有的网络结构和安全产品构造网络安全防护体系，在保证技术先进，实现安全目标，满足安全需求的前提下，保护已有的投资。
阶段2为安全风险评估服务。
阶段3为应用层安全解决方案。
目前对这两个阶段的安全需求尚未明确，整体方案中包含这两个部分的目的只是希望为未来的信息安全建设提供参考意见。
就目前的情况来看，主要是设计方案的工作，与以上几个阶段还有一定差距。
安全建设的流程图如下：
安全需求分析
安全策略制定
安全系统部署
安全风险评估
安全系统设计
安全系统调试
安全培训
安全系统运行与维护
前期
中期
后期
关于安全方面的理论，我在此不多说，也不是本方案的重点。
总结一下，安全是一个系统工程，缺少一个环节或者一个点出现问题可能导致整个安全系统的崩溃。
5.2网络系统安全与现状
公司目前只有办公网已建成，主要为开发方面的使用，IDC方面有几台服务器放在机房中，主要为公司的官方网站、产品网站和邮件服务器。
安全方面的策略主要为一些对常用端口的访问控制。
目前还没有形成一整套安全方面的流程，未来我们需要建立一整套安全方面的流程。
实际上证明，大多数被攻击的网络，大都是由不规范的操作所引起的，不规范的操作大都是由于工作人员的执行力不够，未能按照事先规范的操作来工作。
所以，我们需要在后续的章节强调规程规范，来保障安全系统的正常运营。
5.3网络安全的分界
对于网络安全来说，首先需要明确的是网络安全的边界。
只有在网络安全的边界明确下来之后，才能够针对不同的安全需求，在不同的安全边界上制定不同的安全策略，部署相应的安全防护系统。
在网络安全边界的确定过程中，需要解决以下安全隐患：
●在Internet和内部网之间没有明晰的界限，网络的边缘不清晰，存在着内外混杂的情况。
●内部网中外部连接的方式过多且复杂，到Internet的连接主要有专线连接、无线连接、拨号连接、ADSL连接等，而且管理上没有明确的外部连接规定。
●各内部网段之间的连接情况比较复杂，难以界定各网段的职能。
我公司未来的网络结构比较清晰，容易划分安全边界，并且容易明确在不同界限之间需要保护的对象，根据我公司拓扑图，我们采用红色圈圈来表示高风险，蓝色表示中风险，如下图：
从上图所示：
我们必须将我们的系统建成一个纵深防御系统，达到层层设防。
对于高风险的地方，我们严格设置访问控制来检测所有进出的数据，对于中风险的地方，我们也需要在不影响业务的情况下来限制用户进出的数据，以达到黑客即使攻入第一道门也被第二道门拦在门口。
5.4需要建立的系统安全级别
未来，我们需要建立的系统主要为上面提到的三个系统：
1.办公子系统
2.运营子系统
3.游戏子系统
从我公司业务的角度来分析，我公司主要从事游戏研发及运营。
在安全优先级上划分：
A为最高，C为最低。
A．游戏分区数据库、会员中心数据库、公司内部邮件服务器、域名服务器、公司域控制器、所有直连外部的交换机、防火墙以及负载均衡器、会员系统中心交换机
B．游戏前端服务器、官方网站、论坛、游戏服务器、公司各内部交换机、公司内部中心路由器、打印服务器
C．公司office所有终端、所有内部接入网口
对于安全级别高的地方，主要在公司会员系统和游戏服务器数据库，对于游戏安全来说，最高级别肯定是数据库，因为所有的敏感信息全部存储于数据库中，所以在安全上面我们应该对数据库方面最高级别安全。
对于数据库安全方面：
1．设置强密码
2．打好最新数据库补丁
3．做好备份策略
4．限制特定的IP访问
5．可以考虑使用商业加密软件来对数据进行加密
6．定期对数据库进行渗透性测试（推荐一个月一次）
7．定期对数据库前端的注册网站进行渗透性、溢出测试（推荐一个月一次）
对于网站安全，我们的开发模式是j2ee，需要走apache+resin+mysql的方式来布署，程序方面会有QA部门进行程序的QA，系统层面，我们会采用在各个软件上开最少模块加一些过滤的程序，来布署上面这些软件，整个流程为：
布署->功能测试->安全测试->成功->签立上线通知书->按时间点上线
对于系统安全，安装的时候，只装可用的包，打上最新补丁，尽量减化，利用现有的系统iptables设立标准的防火墙，允许特定的通迅端口和IP地址，达到一个纵深防御的功能。
对于密码的管理，密码方面一直是安全的一个很大问题，大多数攻击方式都有猜测密码这一个步骤，设置一个强密码和密码的整体管理也是一个有效的阻止方式，之前，我们的密码管理中是根据不同的应用，不同的密码，例：
WEB服务器密码与数据库服务器的密码就是不同的，各个游戏分区的密码也是不同的。
另外，可以加上动态口令卡来配合使用。
这样在密码的安全方面，可以达到多重的防御。
对于网络设备安全，我们目前的方法是关掉所有不用的服务，对登录和通讯端口做一些访问控制的限制，基本上从这个层面出问题的基率是比较小的。
在各个安全分界的地方需要做一定的访问控制，只允许授权的用户才可以访问，通过此方式，在配合密码，也达到了多重防御的效果。
对于公司办公网安全，有以下需要完善：
杀毒软件系统的布署，由于公司的员工电脑，全部使用windows，windows平台本身就是病毒木马黑客喜欢光临的地方，所以一整套的杀毒软件系统布署是必须的。
有一套网络版的杀毒软件系统以后，我们就可以定期来看公司所有机器病毒的发生的情况，并且全部同时可以通过服务器端同步升级病毒库。
5.5渗透性测试
渗透性测试是指安全工程师尽可能的完整地模拟黑客的漏洞发现技术和攻击手段，对目标网络/系统/主机/应用的安全性作深入的探测，发现系统最脆弱的环节的过程。
渗透性测试能够直观的让管理人员知道自己网络所面临的问题。
渗透性测试是一种专业的安全服务，类似于军队里的“实战演习”或者“沙盘推演”的概念，通过实战和推演，让用户清晰的了解目前网络的脆弱性、可能造成的损失，以便采取必要的防范措施。
从渗透性试中，我们能得到的收益至少有：
1．发现网络中的安全最短板，协助我们有效的了解目前最低风险的初始任务；
2．一份文档齐全有效的渗透性测试报告有助于组织IT管理者以案例说明目前的安全状况，从而增强信息安全的认知程度。
3．信息安全是一个整体工程，渗透测试有助于组织中所有的成员意识到自己的岗位同样可能提高或降低风险，有助于内部安全的提升；
当然，渗透性测试并不能保证发现目标网络中的“所有”弱点，因此我们不宜片面强调它的重要性。
在渗透性测试方面我一直在构思，最近理了一下操作步骤：
1．对所有我们向外提供外网服务的主机进行全面扫描（每月一次），使用工具：
Retina4.9x-scan3.3，这些工具在业界都是比较有名气，Retina4.9属商业型，但我这边暂时使用的是破解版，这两种工具在扫描完成以后，全部可以生成报表，我定期去查看这些报表，对需要修补的安全问题，尽快予以解决。
2．WEB服务方面，对于外网，定期使用（每月一次）acunetixwebscanner进行检测所有的网站，对于网站程序的安全，进行一些模拟攻击测试。
3．对于操作系统更新这一块，定期对公司所有VPN内网服务器做一次补丁扫描检测（每月一次），对于未打更新的机器，我们利用开关服的时间里，重新启动来完成补丁的更新。
4．对于数据库这一块，我定期使用（每月一次）最新的数据库攻击工具来对数据库进行模拟攻击，以达到对数据库的安全性进行改善。
5.6入浸检测的布署、日志收集和审核
网络安全防护技术中，仅仅部署防火墙是不够的，入侵检测也是网络系统安全的重要组成部分。
它扩展了系统管理员的安全管理能力（包括安全审计、监视、攻击识别和响应），增强了信息安全基础结构的完整性。
它从计算机网络系统中的若干关键点收集信息并进行分析，查看网络中是否有违反安全策略的行为和遭到袭击的迹象。
入侵检测被认为是防火墙之后的第二道安全闸门，在基本不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时检测。
入侵检测技术的一个独有特征是有一个基于规则的参考引擎，系统通过这个引擎来匹配所有已知的攻击方法。
入侵检测技术的另一个特点是它并不需要频繁更新规则库，这与病毒检测程序和脆弱性扫描器不同。
黑客攻击程序千变万化，但并不是没有规律可循，比如对缓冲区溢出攻击就存在一个通用的攻击模式匹配算法。
在许多情况下，仅仅因为有一个新程序受到缓冲溢出攻击，并不需要修改规则库。
这些通用的检测方法使得检测系统更加可靠。
我公司未来会员系统这一块，有大量的WEB服务向外提供，后台还有数据库中心，所有的会员的资料和计费全部在这中间，所以我认为很有必要在这里布署入浸检测系统来保障会员系统的安全，定期在安全上来审核是否有被攻击现象，这样可以做到被攻击的时候有效可写规则来控制数据包源地址来达到阻断攻击。
但入浸检测系统这一块，相对来说价格较高，有一定误报率，如果购买的话，一定要选择品牌可信度较高的厂家。
我们也可以通过开源的系统来实现，目前实现的较好的是snort，具体此软件的功能就不在这里多说了。
未来我们的系统主要跑在linux服务器端，日志的收集和审核，我们可以通过syslog来集中收集，通过相应的软件来过滤掉不用的信息，把真正对我们有效的信息保留下来，每周定期来审核网络登录的情况，以保证公司一旦出现攻击现象以后可以快速响应。
同时将所有安全数据定期存到数据库中，以待出现问题的时候有据可查。
5.7更新服务器的布署
像windowsSUS一样，linux也有着更新的服务器端软件YUM，通过其也能实现linux服务器端的全部自动更新，未来需要在会员中心及游戏分区布署些服务器端，以保证服务器端的更新。
关于更新方面，需要有一个流程，安全专员负责查找和发布更新，并且经过QA部门的测试，保证此更新在没有问题的情况下，全面部署，此流程未来需要根据人力资源和流程的合理性来制定，保证可以快速、有效、不影响业务的情况下布署到所有的服务器端。
5.8开发代码的安全
目前开发方面主要使用SVN平台管理来负责开发的提交，现状如下：
现状：
目前所有的开发数据全部存放在以下地方：
192.168.0.8redhates4.0
146*5RAID5磁盘阵列
目录：
/var/svn现438M
/var/future现544M
/data/art现4.4G
数据库776K
系统部每周会对此服务器的硬件现状进行检查并记录，以防止硬盘出现故障。
备份方案：
按开发部门要求：
每周周二对以上目录进行全面备份，每月第一个周二全部进行刻盘。
系统部的建议：
每周周二对以上目录进行全面备份，拷至移动硬盘上，一个月之内全部进行增量备份，汇总每月的所有数据，每月再做一次全面备份。
此硬盘由系统部保管，容量先定为300G。
另，再购买一块
升级会员 