數據中心機房方案匯總十篇

序論：好文章的創作是一個不斷探索和完善的過程，我們為您推薦十篇數據中心機房方案范例，希望它們能助您一臂之力，提升您的閱讀品質，帶來更深刻的閱讀感受。

篇（1）

Abstract: in recent years, with the rapid development of information, data center has become the emerging building type. At the same time with the progress of the IT industry and information industry increased demand, data center construction scale, building type is also in constant changes of perfect. And other building types of design, architecture design in data centers in a pilot and overall status, data center security, function, efficiency, economic and even sustainable development and the design of the building and data center has close relationship.

Key words: data center, architectural design, new data center

中圖分類號：S611文獻標識碼：A 文章編號：

數據中心定義為：是一類多種功能集于一體的建筑物，能夠容納多個服務器以及通信設備等。這些設備能夠放置在一起是因為它們對環境的要求以及物理安全具有相同的需求,并且集中放置便于維護。

網絡電子信息技術的快速發展，使信息網絡成為了人們日常生活、工作中必不可少的元素。新型的數據中心作為信息網絡的關鍵承載者，發揮著極其重要的作用。在其建筑設計領域許多方面值得研究和討論。

一、數據中心

1、數據中心的構成

數據中心是電子信息設備安全運行的空間環境，這個空間環境可以是一幢建筑物或者是某個建筑物的一部分，其主要組成部分可以分為：

（1）主機房：主要用于電子信息處理、存儲、交換和傳輸設備的安裝和運行，包括服務器機房、網絡機房、存儲機房等。

（2）輔助區：用于電子信息設備和軟件的安裝、調試、維護、運行監控和管理，包括進線間、測試機房、打印室、維修室等。

（3）支持區：支持并保障完成信息處理過程和必要的技術處理工作，包括變配電室、柴油發電機房、不間斷電源系統室、空調機房、動力站房、消防和安防控制室等。

（4）行政管理區：數據中心相關人員處理日常事物的區域，主要是對數據中心進行管理、維護、檢修等。

2、數據中心設計標準

對于數據中心的設計標準，國內使用標準是《電子信息系統機房設計規范》（GB50174-2008），除此之外還有北美地區常使用的由美國電信工業聯盟 EIA制定的電信機房設計國家標準。

其中美國的EIA標準按照可靠性和安全性將數據中心的級別分為四個等級：T1/T2/T3/T4。而我國的標準是根據電子信息系統機房中系統中斷可能造成的經濟損失和對社會秩序的影響，將其劃分為三個等級：A/B/C。在數據中心的建筑設計中會根據這三個等級來依據不同的標準進行設計。

3、數據中心的特點:

現今，我國的數據中心通常根據主機房的規模劃分為兩類：一種是主機房中每個單元面積在50-500平米的小型企業級數據中心；另一種是主機房每個單元面積在500平米以上的中、大型企業級數據中心。無論是小型、還是中大型的數據中心，在建筑上的構成大體上是沒有區別的，其主要建筑設計特點有以下幾個方面：

（1）要注意安全防護；

安全第一是每一個建筑設計的首要原則，對于建筑專業來說，安全防護的設計是由始至終都要注意的問題，對數據中心的建筑設計更是如此，其整體方面包括建筑布局、交通流線組織、圍墻等物理限界、人車流組織、出入口設置、功能布局等；具體方面包括各種防護設計，如防火、防水、防靜電等。

（2）工藝為本，注意造型設計；

由于數據中心在安全方面的重要性，它的工藝造型設計是需要認真考慮的。工藝為本是數據中心設計的基本原則，尤其是對數據機房和監控中心來說，不同的工藝布局、設備選型、管線走向對建筑的平立剖面布局有著很大影響。另外，要根據數據中心不同的類型以及對機房工藝的要求，有目標的對其進行設計。類型不同的數據中心的工藝必定有著很大不同，哪怕是同一類型的機房也會因為使用者的需求不同而要有不同IT規劃和工藝布局，從而形成不同特點的機房。

（3）注重細部構造設計；

數據中心的細部構造設計跟常見的民用建筑不同，要求更高，非常規的節點更多、涉及的因素也較多。比如數據機房格外注重防水，但是高效的水冷空調在機房中的使用帶來用水隱患，這就需要細部構造來解決擋水、排水的問題；比如屋面，需要屋面的細部構造來解決大量的設備基礎造成漏水隱患問題。

（4）確保優質材料的使用；

由于數據中心對于設備、環境的高要求，需要保證其建筑材料的優良性。同時也使得建筑的造價通常很高。所以建筑專業在設計過程中應該在保證安全和功能的前提下，避免選取過于昂貴的建筑材料，從而控制造價。

（5）向著新型數據中心的發展；

數據中心的建筑設計應該緊隨信息時代的發展，注重行業發展、IT技術和機電設備的發展潮流，特別是近年來，“綠色、高效、運營簡單”的新型數據中心已經成為數據中心的發展方向，因此在建筑設計開始階段，功能空間的模塊化構成，設備空間的加大預留量、節能設計的高標準都是建筑設計中需要重視的問題

二、數據中心建筑設計的安全防護

數據中心的安全防護表現在建筑設計中是指通過建筑手段保證建筑、設備系統及計算機系統的安全，主要包括以下幾個方面：

1、防火設計

根據我國對數據中心機房的等級劃分，A類計算機房的建筑耐火等級不能低于一級；B、C類計算機房的耐火等級不能低于二級；重要的已記錄媒體存放間等等關鍵部位的耐火等級應為一級，相關的其他工作房間及輔助房間等的耐火等級不應低于二級。

2、防水設計

數據機房內設備比較貴重，而且大部分不能進水。設備遇水容易引起短路，設備毀壞等問題，影響通信安全，因此數據機房應采取嚴密的防水措施，主要有屋面防水、樓地面防水、外墻防水、地下室防水等。

3、防塵設計

灰塵的堆積會對機房設備的使用效率造成影響，降低其使用壽命，甚至可能影響數據中心的正常工作，所以，數據機房的建筑圍護結構和室內裝修選材很重要，要使用氣密性良好，而且在溫度和濕度變化時變形小的材料。

4、防干擾設計

防干擾主要包括防靜電、防雷接地和電磁屏蔽。靜電可能會形成干擾電磁場，擾亂數據中心系統的正常運行，影響設備的可靠性；雷電對于計算機設備的危害顯而易見，所以在數據中心中預防雷電也是建筑設計要注意的問題；電磁屏蔽是指使用屏蔽體將接收電路、設備或系統包圍起來，防止它們受到外界電磁場的影響，特別是對涉及國家秘密或企業對商業信息有保密要求的數據中心時，一定要設置電子屏蔽室或者實施其他電磁泄漏保護措施。

5、機房自身防入侵設計

機房工作區與外界生活區要有嚴格分隔，主機房區域與工作區嚴格分隔，防止外界非法入侵。這就需要我們在建筑設計中做好相關的設計，大部分數據中心內部采用輕隔墻設計，墻體上安裝防火門并配有門禁系統；門口設有警衛值班室，可視窗能夠觀察到進入數據中心的人員活動情況；去往主機房的人員需要有單獨的身份識別。在建筑設計上最大程度防止非法入侵的發生。

總結：

作為信息時代不可或缺的新產物――數據中心，由于其包含設備的龐大、多樣，使其所需要的建筑環境有其獨特的特點以及安全的防護措施。對于新型數據中心來說，做好它的建筑設計方案更是數據中心進行良好運轉工作的安全保障。

參考資料：

篇（2）

中圖分類號： TP399 文獻標識碼：A

1傳統數據中心的網絡系統的特點

（1） 隨著業務的迅速增長，數據中心各系統中的網絡設備種類繁多、并且零散分布，這種集成度低的網絡架構無法提供高度的穩定性和可靠性。

（2） 由于系統種類的多樣化，網絡設備的零散的分布，也使得整體網絡缺乏統一的建設和管理，而且缺乏有效的控制手段，這樣同樣給維護人員加大了工作量及工作難度。

（3） 同時由于網絡設備的繁多，也對機房能耗、環境要求、配套要求、設備及線路安裝等提出更高的要求。目前各大運營商雖在進一步努力加大對機房建設，加強對機房規范化管理和質量標準化，但面對現網已使用的數據中心機房，仍存在著嚴重壓力。例如機房空間不足、機房局部過熱、電源容量飽和等都成為目前普遍存在并難以解決的問題。因此傳統的網絡結構對數據中心未來建設和發展而言，也很難打造一個節能、環保的綠色的基礎設施系統。

因此通過以上分析可以得出結論：一個合理的、優化的、綠色的網絡架構，一個可靠的、穩定的系統，不但能夠很好的滿足客戶需求，同時也節約了資金的投入和維護成本。更加為未來的競爭發展提供了可靠保證。

2現代數據中心系統對網絡的要求

人們對信息的需求是無所不在的。人們把數據存儲在數據中心里，但數據的產生和使用可以在任何地方，包括Web、移動應用、分支機構、合作伙伴站點或 子公司。由于數據無所不在，因此，網絡就成為數據中心的基礎平臺。

由于網絡具有很多內在的性質，因而可以作為提供共享數據中心基礎設施的基礎。它能夠觸及到數據中心運作的方方面面，無論是遠程還是分布式，都能以統一、一致的方式提供服務。因此同時無論何種類型的數據中心都必須具備高帶寬，高密度、高管理性和高安全可靠性的基本要求。

目前在數據中心的最新研究方向是虛擬化。未來，所有的資源都透明地運行在各種各樣的物理平臺上，資源的管理都將按邏輯方式進行，完全實現資源的自動化分配，而虛擬化技術就是實現它的理想工具。

虛擬化技術相對來說是一種開源技術，目前很多企業已經掌握服務器運行的虛擬化技術，供應商正在推廣將整個數據中心進行虛擬化的設想。這種設想就是，通過由新的虛擬化技術構建的數據中心平臺，實現對服務器、存儲設備與網絡設備進行動態管理。虛擬化技術會成為運營中重要并且無處不在的因素，因而成為數據中心一種新形式的操作系統；“虛擬化技術顛覆對操作系統的傳統看法，并給我們提供創建未來數據中心操作系統的機會。”

虛擬化技術同時也是一種節能技術，根據相關的研究顯示，采用虛擬化技術使使用者節省高達70%的硬件投資。因為虛擬化技術可以幫助用戶合并多種應用工作負荷，在單個系統上運行多種操作系統環境；優化應用開發，在單一系統上進行測試和開發； 提高系統可用性，在系統之間遷移虛擬環境。

3網絡虛擬化技術在數據中心的應用方案

3.1網絡虛擬化技術的介紹

3.1.1 方式一：VDC技術

虛擬化技術的方式一：可以將一臺交換機能夠提供多個虛擬設備環境（VDC）。虛擬設備環境特性能為每個物理設備創建多個虛擬設備實例，無限制地提供所有服務。硬件資源能在這些設備實例間劃分。VDC在每個VDC實例間提供全面故障隔離和管理。每個實例的管理和運行都能獨立于系統中的其他實例而進行。如下圖（1）所示，一臺設備可以虛擬成邏輯上的四臺設備，在組網時兩臺設備可以實現過去多臺設備才能達到的高可靠性和冗余功能。

例如圖（2） 所示：每個虛線框內實際物理上是一臺交換機，通過虛擬設備環境虛擬分區成兩臺交換機，做為核心交換機和下面一層的匯聚交換機交叉相連，從而相當于核心四臺交換機與下層交叉互聯，提高了可靠性和冗余性。

3.1.2 方式二：VPC技術

虛擬化技術的方式二： 在傳統的數據中心二層環境中，上聯端口為了避免環路，需要使用生成樹協議來阻斷一條鏈路，采用VPC（virtual port channel ）技術，可以無須阻斷一條鏈路，實現雙上聯，增加了帶寬。更加詳細地說： （VPC）是種基于堆棧的虛擬端口通道技術，當使用 VPC技術時上端的兩個物理交換機對下端交換機而言相當于一臺虛擬交換機，因為其簡單化的機制使得原來的兩臺交換機形成環路的限制都不存在了。VPC使得兩臺核心交換機與下層交換機的連接鏈路全部處于激活狀態，而且對兩端交換機而言這些連接鏈路就是一條端口通道，成倍增加了互聯帶寬。

如下圖所示：左邊為傳統上聯形式，雖然是交叉上聯，但只有一條鏈路工作，另一條為備用。右邊為采用VPC技術后的雙上聯，實際是將兩臺交換機邏輯的虛擬成一臺交換機，這樣雙上聯的鏈路就不會產生環路，兩條鏈路均可工作，提供了更大上聯帶寬。

4網絡虛擬化技術的優勢

通過這種虛擬化工作，我們在數據中心可以實現非常方便的資源調配 （比如端口的調配、處理能力和轉發表的調配），資源共享（電源的共享、轉發能力的共享），提高抗故障能力（把風險分散到多個物理實體中去）；甚至可以和服務器配合，實現按需配置的虛擬數據中心。這也是云計算技術的一個重要發展趨勢。

逐步的網絡虛擬化技術將是數據中心的重要組成部分。在整合數據中心結構中，我們會對服務器進行虛擬化、對網絡設備進行虛擬化，以滿足應用交付的重構，還會對數據存儲進行虛擬化，從而實現整體的數據中心虛擬化。未來，數據中心在虛擬化技術的驅動下，將會變得更靈活、更易管理、更安全、更低成本

5網絡虛擬化技術的應用案例

本節以某公司的數據中心為例。該公司在數據中心的網絡系統部署了虛擬化功能，核心交換機能夠將操作系統和硬件資源劃分為模擬虛擬設備的虛擬環境VDC，利用 VDC技術可將匯聚層的核心交換機邏輯化分為兩個區Outside VDC 和Inside VDC，這兩個區分別通過萬兆連接到對應的服務對象。 Outside VDC服務對象：低安全區 、核心區， Outside VDC流量會強制被引導到外部網絡服務區 。Inside VDC服務對象：高安全區，連接到內部的服務器和應用。外部網絡服務區： 來自Outside的流量通過這個區進行流量安全檢測和優化服務。先前需要通過4臺交換機實現的功能，通過虛擬化技術可以通過2臺交換機滿足業務的需求，節省了硬件的投資成本。另外，在上行鏈路中啟用了VPC 協議，可以達到雙活的上行鏈路，增加了帶寬。避免了鏈路的浪費。整個數據中心通過虛擬化的技術，比原先節省了投資30%。另外，虛擬化技術減少了設備數量，提高了鏈路的使用效率，因為減少了在使用成本，更加節能環保。

結語

綜上所述，虛擬化已成為一種趨勢，通過虛擬化技術，可以為企業降低硬件的投資成本，提高現有設備的使用率。在數據中心領域，通過廣泛采用虛擬化技術，可以大大提高服務器、存儲、網絡資源的利用率，降低硬件投資和運營成本，為企業的發展提供競爭優勢。虛擬化技術可以幫助企業打造出了更加高效、可管理性更高、資源配置更靈活的數據中心。不管是數據中心自身的整合與擴容，還是降低能源消耗，虛擬化技術在其中都承擔了很重要的角色，使它成為下一代數據中心發展的關鍵。 下一代數據中心將會向著虛擬化的方向進一步發展，最終做到完全透明的虛擬化，讓企業用戶能夠根據具體環境進行具體應用。

篇（3）

(一)樹立大數據審計的理念。將大數據審計的貫穿到每個審計項目中，不斷研究新思路、新經驗和新做法，以數據為核心，將數據分析與現場延伸調查相結合的方式，更精準的定位審計疑點，縮小核實范圍，提高工作效率。

(二)充實大數據審計資源。定期采集包括財政、民生等使用較為頻繁的數據資源；積極推動數據采集規范化建設；推動大數據審計方法庫的構建，使計算機審計方法的應用更為便利、快捷。

(三)強化大數據審計隊伍建設。運用計算機和大數據進行審計應動員全局力量，而不僅僅局限在計算機人員。加強復合型人才的培養，審計人員不僅要懂得數據庫的知識，還要懂得審計實務；加強數據分析能力和業務知識的學習培訓，提升綜合素質。

二、提高大數據審計的措施

(一)前期數據調查

對全市各部門(單位)所運用的業務系統和業務數據進行調查了解，摸清各部門的業務數據內容及其存儲情況，為采集業務數據和審計項目中可能涉及到跨部門數據關聯做準備。接入用友財務統一核算軟件審計端口，審計端口的接入更靈活、方便地為各審計組財務數據采集提供服務。

(二)積極配合項目組

在項目實施前積極與組長、主審進行溝通，如何開展計算機審計、項目組需要什么、項目所需要的數據、主審想得到的目的和結果。以確定審計方向和重點，并將相關的審計內容納入到審計工作實施方案。在審計項目實施過程中，對審計方法、發現的疑點、采集到的數據方面存在的問題、以及審計思路的變化，及時與主審反饋，以調整審計方法和思路，并配合項目組核實疑點。

(三)參與重點項目

年初審計計劃項目制定后，確定重點審計項目，加入到項目組中。除數據分析外，通過參與其他審計內容，熟悉財務知識、財經法規以及其他業務方面知識，盡快地提升自身業務能力，積累經驗。今后審計工作中，運用自己的思路和方法開展審計。

(四)編寫計算機審計方法

篇（4）

整合數據,搭建基礎數據中心

數據中心的首要任務是整合TA、直銷、呼叫中心、估值、投資交易等系統數據,通過數據建模,經歷一系列的數據清洗、轉換過程,整合形成企業統一數據中心。

數據中心通過對企業層面數據的統一和規范,利用ETL工具對“臟數據”進行處理,確保數據的準確性、完整性和一致性;同時,通過數據倉庫的數據建模技術和數據分層技術,支持業務的各種數據和信息需要,以應對未來需求的變更與擴展,保證數據的靈活性與高擴展性。

搭建信息應用體系

數據中心利用BI工具開發、生成一系列業務報表、OLAP分析、儀表盤等信息資源,為用戶日常業務提供支持。生成的各種報表通過信息門戶集中,實現了便利的信息分類瀏覽功能。

通過BI前端工具對數據的展現加工,融合管理思維、模型與方法,面向業務實現數據知識化,便捷企業管理者對業務的洞察、分析與預測,可信的數據支撐可靠的分析與決策。

各種類型的信息資源最終被信息服務門戶分類管理,并實現向業務用戶的快捷傳遞,包括系統查閱、郵件、短信、移動應用等多種方式,還可與OA等業務系統整合,實現信息在OA等系統上的,方便業務用戶的使用。

建立信息資源管理平臺

基金行業數據中心需從多個業務系統數據源整合數據,經過一系列的清洗、轉換過程,并通過多種前端應用工具將數據轉換為報表、分析等應用。整個過程中,涉及的業務系統眾多,數據結構復雜,如何確保數據中心的穩健運行,并在問題發生時及時地解決問題,以滿足業務對信息的需要,成為數據中心不可回避的一個重要問題;同時,數據中心涉及源系統、數據倉庫、數據集市、報表、分析、儀表盤等方方面面的數據相關資產,如何管理這些資產,確保這些數據資產更好地為業務起到支撐作用,是數據中心面臨的又一個重要課題。

篇（5）

中圖分類號TP39 文獻標識碼A 文章編號 1674-6708（2012）64-0165-02

近年來，各大金融機構及各大國有企業均在大力推進信息化建設，數據中心成為了信息化的重要基礎設施， 鑒于數據中心對安全的要求高，因此數據中心的安全防范系統設計至關重要,是一項復雜的系統工程，需要從物理環境和人為因素等各方面來全面的考慮，一般由視頻安防監控系統、出入口控制系統、入侵報警系統、電子巡更系統、安全防范綜合管理系統等系統組成。

1 設計原則

1）系統的防護級別與被防護對象的風險等級相適應；2）技防、物防、人防相結合，探測、延遲、反應相協調；3）滿足防護的縱深性、均衡性、抗易損性要求；4）滿足系統的安全性、可靠性、可維護性要求；5）滿足系統的先進性、兼容性、可擴展性、經濟性、適用性要求。

安全防范系統是一個基于客戶端/服務器，分布式的網絡管理平臺，通過信息共享、信息處理和控制互聯實現各子系統的集中控制和管理。安全防范系統的故障應不影響各子系統的運行；某一子系統的故障應不影響其它子系統的運行。

2 安全等級定義

1）針對數據中心園區的不同功能區域，可將安全保障定義為4個安全保障等級區域

（1）一級安全保障等級區：一般為數據機房樓內的模塊機房及ECC區監控中心區域；（2）二級安全保障等級區：一般為數據機房樓機電設備區、動力保障區；（3）三級安全保障等級區：一般為運維辦公區域；（4）四級安全保障等級區：一般為園區周界區域。

2）對于不同的安全級別的區域選擇不同的安全防范技術手段

（1）一級安全保障等級區

①數據機房所有模塊機房門

安裝生物識別電子門禁、攝像監控設備、雙鑒報警設備；

所有出入口設防，門禁及紅外報警系統聯動，紅外報警系統與攝像監控系統聯動。

②數據機房所有模塊機房內

按照設備機柜的排列方位安裝攝像監控設備，設備間通道設防。

（2）二級安全保障等級區

①數據機房維護人員通道：安裝內外雙向讀卡器的電子門禁鎖；機電設備維修區的門安裝單向門禁鎖，設置在維修區的外側；在消防疏散樓梯安裝單向門禁鎖，設置在樓梯間內側；

②數據機房所有的出入通道：安裝雙向讀卡電子門禁、攝像監控設備、雙鑒報警設備；

③數據機房入口的安保室設置安保實時監控管理設施。

（3）三級安全保障等級區

①運維辦公區安裝單向門禁鎖，配置視頻監控，具體設計依據相關安防系統規范設計；②建議進入運維辦公區或中央監控中心的第一通道，在進行身份定位的同時，進行身份鑒別；速通門刷卡通行+保安人員通過屏幕圖像對比方式。

（4）四級安全保障等級區

整個園區用圍欄與四周道路分隔開，并設防闖入和視頻監控系統。在周邊四個路口的圍欄轉角處設置防沖撞體，在出入口設置液壓防沖撞裝置。數據機房油罐區域四周布置一體化球機及電子圍欄，進行不間斷的自動跟蹤攝像，并設置防入侵裝置。

3 視頻安防監控系統

1）視頻安防監控系統根據數據中心園區的使用功能和安全防范要求，對建筑物內外的主要出入口、通道、電梯廳、電梯轎廂、園區周界及園區內道路、停車場出入口、園區接待處及其他重要部位進行實時有效的視頻探測，視頻監視，圖像顯示、記錄和回放；2）目前，工程上對網絡視頻監控系統的設計有兩種：全數字化的網絡視頻監控系統和半數字化的網絡視頻監控系統即前端攝像機為模擬攝像機，模擬視頻信號通過編碼器轉換為數字信號進行傳輸的視頻監控系統。IP數字監控系統是發展的趨勢，但是現在國內市場還處于初級階段，IP數字監控系統成本相對要高一些，兩種方案各有利弊。

4 出入口控制系統

1）出入口控制系統即門禁系統作為數據中心園區安全防范系統的主要子系統。它擔負兩大任務，一是完成對進出數據中心園區各重要區域和各重要房間的人員進行識別、記錄、控制和管理的功能；二是完成其內部公共區域的治安防范監控功能；2）系統要求能滿足多門互鎖邏輯判斷、定時自動開門、刷卡防尾隨、雙卡開門、卡加密碼開門、門狀態電子地圖監測、輸入輸出組合、反脅迫等功能需求。控制所有設置門禁的電鎖開/關，實行授權安全管理，并實時地將每道門的狀態向控制中心報告；3）通過管理電腦預先編程設置，系統能對持卡人的通行卡進行有效性授權（進/出等級設置），設置卡的有效使用時間和范圍（允許進入的區域），便于內部統一管理。設置不同的門域、門禁級別。

5 入侵報警系統

1）根據相關規范、標準在數據中心園區的周界圍墻、重要機房和重要辦公室設置入侵報警探測器、緊急報警裝置，系統采用紅外和微波雙鑒探測器、玻璃破碎探測器等前端設備，構成點、線、面的空間組合防護網絡；2）周界圍墻采用電子圍欄或紅外對射，地下油罐周界采用電子圍欄及圖像跟蹤相結合的防范措施，重要機房、檔案庫、電梯間、室外出入口等設置雙鑒探測器；3）對探測器進行時間段設定，在晚上下班時間，樓內工作人員休息時間及節假日設防，并與視頻安防監控系統進行聯動，有人出入時聯動監視畫面彈出，監測人員出入情況，及時發現問題防止不正常侵入，同時聲光告警器告警。

6 電子巡更系統

在園區內采用在線式電子巡查系統。在主要通道及安防巡邏路由處設置巡更點，同時利用門禁系統相關點位作為相應的巡更點。

7 安全防范綜合管理系統

利用統一的安防專網和管理軟件將監控中心設備與各子系統設備聯網，實現由監控中心對各子系統的自動化管理與監控。當安全管理系統發生故障時，不影響各子系統的獨立運行。

7.1 對安防各子系統的集成管理

主要針對視頻監控系統、出入口控制系統及入侵報警系統，在集成管理計算機上，可實時監視視頻監控系統主機的運行狀態、攝像機的位置、狀態與圖像信號；可實時監視出入口控制系統主機、各種入侵出入口的位置和系統運行、故障、報警狀態，并以報警平面圖和表格等方式顯示所有出入口控制的運行、故障、報警狀態。

7.2 安防系統聯動策略

1）安保系統與門禁、照明等系統聯動

安保系統與門禁、照明、電梯、CCTV、緊急廣播、程控交換機等系統的高效聯動。

說明：當發生非法闖入時，門禁或入侵報警系統記錄非法闖入信息，通過跨系統聯動設置，打開相應的照明系統設備和安保系統設備，使非法闖入者無處容身。

2）安保系統與消防系統之間聯動

安保系統與消防系統聯動策略為：當大樓內某一區域發生火警時立即打開該區所有的通道門，其他區域的門仍處于正常工作狀態，并將該區域的攝像機系統啟動、置預置位、進行巡視，多媒體監控計算機報警，矩陣切換該圖像到控制室的視頻處理設備上，并將圖像信號切換到指揮中心、公安監控室、消防值班室的監視器上進行顯示。

8 結論

數據中心園區的綜合安防管理，需要縱深考慮，包括了人防、物防及技防，設防管理僅是技術手段，制度的管理和執行才是重要的工作。

參考文獻

[1]安全防范工程技術規范 GB50348-2004.

篇（6）

近年來，各大金融機構及各大國有企業均在大力推進信息化建設，數據中心成為了信息化的重要基礎設施， 鑒于數據中心對安全的要求高，因此數據中心的安全防范系統設計至關重要，是一項復雜的系統工程，需要從物理環境和人為因素等各方面來全面的考慮，一般由視頻安防監控系統、出入口控制系統、入侵報警系統、電子巡更系統、安全防范綜合管理系統等系統組成。

1 設計原則

1）系統的防護級別與被防護對象的風險等級相適應；2）技防、物防、人防相結合，探測、延遲、反應相協調；3）滿足防護的縱深性、均衡性、抗易損性要求；4）滿足系統的安全性、可靠性、可維護性要求；5）滿足系統的先進性、兼容性、可擴展性、經濟性、適用性要求。

安全防范系統是一個基于客戶端/服務器，分布式的網絡管理平臺，通過信息共享、信息處理和控制互聯實現各子系統的集中控制和管理。安全防范系統的故障應不影響各子系統的運行；某一子系統的故障應不影響其它子系統的運行。

2 安全等級定義

1）針對數據中心園區的不同功能區域，可將安全保障定義為4個安全保障等級區域

（1）一級安全保障等級區：一般為數據機房樓內的模塊機房及ECC區監控中心區域；（2）二級安全保障等級區：一般為數據機房樓機電設備區、動力保障區；（3）三級安全保障等級區：一般為運維辦公區域；（4）四級安全保障等級區：一般為園區周界區域。

2）對于不同的安全級別的區域選擇不同的安全防范技術手段

（1）一級安全保障等級區

①數據機房所有模塊機房門

安裝生物識別電子門禁、攝像監控設備、雙鑒報警設備；

所有出入口設防，門禁及紅外報警系統聯動，紅外報警系統與攝像監控系統聯動。

②數據機房所有模塊機房內

按照設備機柜的排列方位安裝攝像監控設備，設備間通道設防。

（2）二級安全保障等級區

①數據機房維護人員通道：安裝內外雙向讀卡器的電子門禁鎖；機電設備維修區的門安裝單向門禁鎖，設置在維修區的外側；在消防疏散樓梯安裝單向門禁鎖，設置在樓梯間內側；

②數據機房所有的出入通道：安裝雙向讀卡電子門禁、攝像監控設備、雙鑒報警設備；

③數據機房入口的安保室設置安保實時監控管理設施。

（3）三級安全保障等級區

①運維辦公區安裝單向門禁鎖，配置視頻監控，具體設計依據相關安防系統規范設計；②建議進入運維辦公區或中央監控中心的第一通道，在進行身份定位的同時，進行身份鑒別；速通門刷卡通行+保安人員通過屏幕圖像對比方式。

（4）四級安全保障等級區

整個園區用圍欄與四周道路分隔開，并設防闖入和視頻監控系統。在周邊四個路口的圍欄轉角處設置防沖撞體，在出入口設置液壓防沖撞裝置。數據機房油罐區域四周布置一體化球機及電子圍欄，進行不間斷的自動跟蹤攝像，并設置防入侵裝置。

3 視頻安防監控系統

1）視頻安防監控系統根據數據中心園區的使用功能和安全防范要求，對建筑物內外的主要出入口、通道、電梯廳、電梯轎廂、園區周界及園區內道路、停車場出入口、園區接待處及其他重要部位進行實時有效的視頻探測，視頻監視，圖像顯示、記錄和回放；2）目前，工程上對網絡視頻監控系統的設計有兩種：全數字化的網絡視頻監控系統和半數字化的網絡視頻監控系統即前端攝像機為模擬攝像機，模擬視頻信號通過編碼器轉換為數字信號進行傳輸的視頻監控系統。IP數字監控系統是發展的趨勢，但是現在國內市場還處于初級階段，IP數字監控系統成本相對要高一些，兩種方案各有利弊。

4 出入口控制系統

1）出入口控制系統即門禁系統作為數據中心園區安全防范系統的主要子系統。它擔負兩大任務，一是完成對進出數據中心園區各重要區域和各重要房間的人員進行識別、記錄、控制和管理的功能；二是完成其內部公共區域的治安防范監控功能；2）系統要求能滿足多門互鎖邏輯判斷、定時自動開門、刷卡防尾隨、雙卡開門、卡加密碼開門、門狀態電子地圖監測、輸入輸出組合、反脅迫等功能需求。控制所有設置門禁的電鎖開/關，實行授權安全管理，并實時地將每道門的狀態向控制中心報告；3）通過管理電腦預先編程設置，系統能對持卡人的通行卡進行有效性授權（進/出等級設置），設置卡的有效使用時間和范圍（允許進入的區域），便于內部統一管理。設置不同的門禁區域、門禁級別。

5 入侵報警系統

1）根據相關規范、標準在數據中心園區的周界圍墻、重要機房和重要辦公室設置入侵報警探測器、緊急報警裝置，系統采用紅外和微波雙鑒探測器、玻璃破碎探測器等前端設備，構成點、線、面的空間組合防護網絡；2）周界圍墻采用電子圍欄或紅外對射，地下油罐周界采用電子圍欄及圖像跟蹤相結合的防范措施，重要機房、檔案庫、電梯間、室外出入口等設置雙鑒探測器；3）對探測器進行時間段設定，在晚上下班時間，樓內工作人員休息時間及節假日設防，并與視頻安防監控系統進行聯動，有人出入時聯動監視畫面彈出，監測人員出入情況，及時發現問題防止不正常侵入，同時聲光告警器告警。

6 電子巡更系統

在園區內采用在線式電子巡查系統。在主要通道及安防巡邏路由處設置巡更點，同時利用門禁系統相關點位作為相應的巡更點。

7 安全防范綜合管理系統

利用統一的安防專網和管理軟件將監控中心設備與各子系統設備聯網，實現由監控中心對各子系統的自動化管理與監控。當安全管理系統發生故障時，不影響各子系統的獨立運行。

7.1 對安防各子系統的集成管理

主要針對視頻監控系統、出入口控制系統及入侵報警系統，在集成管理計算機上，可實時監視視頻監控系統主機的運行狀態、攝像機的位置、狀態與圖像信號；可實時監視出入口控制系統主機、各種入侵出入口的位置和系統運行、故障、報警狀態，并以報警平面圖和表格等方式顯示所有出入口控制的運行、故障、報警狀態。

7.2 安防系統聯動策略

1）安保系統與門禁、照明等系統聯動

安保系統與門禁、照明、電梯、CCTV、緊急廣播、程控交換機等系統的高效聯動。

說明：當發生非法闖入時，門禁或入侵報警系統記錄非法闖入信息，通過跨系統聯動設置，打開相應的照明系統設備和安保系統設備，使非法闖入者無處容身。

2）安保系統與消防系統之間聯動

安保系統與消防系統聯動策略為：當大樓內某一區域發生火警時立即打開該區所有的通道門，其他區域的門仍處于正常工作狀態，并將該區域的攝像機系統啟動、置預置位、進行巡視，多媒體監控計算機報警，矩陣切換該圖像到控制室的視頻處理設備上，并將圖像信號切換到指揮中心、公安監控室、消防值班室的監視器上進行顯示。

8 結論

數據中心園區的綜合安防管理，需要縱深考慮，包括了人防、物防及技防，設防管理僅是技術手段，制度的管理和執行才是重要的工作。

參考文獻

[1]安全防范工程技術規范 GB50348-2004.

篇（7）

中圖分類號：TP308 文獻標識碼：A 文章編號：1674-7712 （2013） 04-0046-02

隨著服務器虛擬化和網絡虛擬化的日益蓬勃發展，云計算在發展過程中出現了一臺物理機上部署虛擬機過多vSwitch占用服務器大量物理資源的問題，虛擬機與外部網絡對接、關聯和感知不明確不可控的問題。如何解決以上問題，Cisco公司提出了802.1Qbh、802.1BR和VN-Tag技術方案，而HP（H3C）/IBM提出了802.1Qbg的技術解決方案。

一、802.1Qbg技術

數據中心的變革歷經了服務器虛擬化、云計算等過程，而相應的交換設備也隨之悄然演化著，標準的制定和推出為這一變化指出改革方向，802.1Qbg順應改革浪潮及時跟進，對數據中心部署云時遇到的難題給出了解決方案。HP（H3C）/IBM對一臺物理機上部署虛擬機過多vSwitch占用服務器大量物理資源的問題，虛擬機與外部網絡對接、關聯和感知不明確不可控的問題，提出盡量將網絡功能移植回物理網絡，推出了802.1Qbg標準。

802.1Qbg在交換功能上，除了兼容vSwitch原有的VEB模式（Virtual Ethernet Bridging）模式外，還增加了VEPA（Virtual Ethernet Port Aggregator）和Multi-Channel工作模式共3種。VEB模式是大家部署虛擬服務器時常見的模式，802.1Qbg兼容這種模式。此種模式下，同一臺物理機上同一VLAN的虛擬服務器之間通信是直接經過該服務器內部的vSwitch轉發，沒有經過外部網絡設備。雖然由于vSwitch這一網元數量的增加，可以拓展虛擬化網絡規模，但也因為內部虛擬服務器數據交換不可控，QOS和網絡安全控制是個難題。

VEPA模式主要是針對之前已部署虛擬化的企業推出的一種解決方案。HP（H3C）/IBM基于IEEE標準，提出在沒有增加新的二層標簽基礎上，只對VMM軟件和交換機軟件簡單升級就可實現VEPA轉發功能。此種方案對已部署虛擬化服務器的用戶影響較小，二次投入也不多。VEPA方案既可以采用純軟件方式，也可是采用硬件方式實現。經HP實驗室測試，該方案報文轉發性能比傳統vSwitch提升12%或更高。VEPA要求VM服務器交換數據流必須經過外部Bridge，然后再原路返回VM響應服務器，路徑的一進一出就為原來意義上的vSwitch減輕了負擔，同時可以對相應端口進行Qos、ACL策略配置，IDS/IPS和防火墻等也可以對此端口進行安全管理，不但可控還節約了投資。

Multi-Channel工作模式是802.1Qbg的第三種模式，它是VEPA的一種增強模式。此種模式去除了服務器內部網絡功能，而以S-Channel方式將虛擬服務器與外部網絡連接起來，通過VDP（VSI Discovery Protocol）和CDCP（S-Channel Discovery and Configuration Protocol）協議報文交換，最終將將虛擬端口（vPort）終結在物理交換機端口上。多通道模式允許VEB、VEPA、Director IO同時存在，也允許各種組合方式存在。它將網絡端口劃分為并行獨立的邏輯通道并在邏輯上隔離，通道可按用戶要求隨意安排成VEB、VEPA或Director IO的一種。多通道技術實現了VEB和VEPA共存一機的要求。值得一提的是，該方式需網卡和交換機支持S-TAG和QinQ功能，所以對新部署虛擬化技術的且要求比較多的用戶比較適合。

二、802.1Qbg在云數據中心的應用測試

H3C公司作為HP的子公司，在802.1Qbg技術解決方案上做了大量的工作。筆者有幸作為一名測試用戶申請試用了H3C的虛擬化數據中心平臺。該公司為體驗用戶搭建了云數據中心的測試平臺，VMM軟件是基于KVM（IBM虛擬化）核心源代碼開發的H3C虛擬化系統，管理軟件是iMC CRM管理平臺，網絡平臺是基于40G和100G的 H3C 12500路由交換為核心，服務器是美國HP制造的多臺H3C服務器，并啟用了各種后臺存儲設備。在該試用平臺上，廠家利用多種基于802.1Qbg解決方案的技術，給用戶提供多種體驗環境。測試中，VMM遷移順暢，業務實時工作不中斷；虛擬機部署方便容易；各種網絡管理策略可在管理平臺上統一制定模板；實時對端口監測，發現異常及時報警。經觀察，多通道技術對虛擬化應用支持力度最為強勁不但兼容了原有VEB，還可利用VEPA技術，在交換機上對虛擬服務器網絡端口做各種策略，Qos、ACL保障極為便利，端口流鏡像、報文統計、安全策略下發管理上極為方便。

數據中心虛擬化目前最大的問題是虛擬機遷移不可控的問題，而HP（H3C）/IBM在VMM遷移（vMotion）這個問題上，找到了一條比較明確的解決方案：即利用iMC CRM管理虛擬機狀態，同時對可遷移的資源統一部署，利用802.1Qbg技術制定相應網絡遷移策略和路徑，做到可控的遷移，明確了VMM遷移的范圍和可利用資源。

目前H3C iMC系統能夠維護多達數萬個虛擬機接入，基于層級化的網絡管理模式，未來iMC將可管理虛擬機數量擴展到數十萬甚至數百萬，做到跨三層大范圍的自動化配置與遷移，而這一切的實現都離不開802.1Qbg技術對數據中心虛擬化的貢獻。

本人在測試中，感覺802.1Qbg對KVM、VMware支持力度很大，而對Microsoft的HyperV 3支持力度偏弱。如果廠家能及時跟進，加大與HyperV可擴展交換機技術的融合，開發相應的擴展程序包或硬件，將會是個不錯的選擇。畢竟微軟的用戶是眾多的，而Cisco、NEC和Inmon也都為此開發了相關擴展包組件或硬件。

三、結束語

802.1Qbg解決方案將服務器虛擬交換機功能大部分或完全移植回物理網絡，提升了服務器性能，明晰了網絡與服務器的界限，增強了虛擬服務器與網絡數據交換的可控性和安全性，降低了對安全設備重復投資的要求。802.1Qbg該技術和Cisco的VN-TAG如果互相借鑒的話，將會更有利于數據中心虛擬化的發展，EVB標準將會更加融合和發展。

參考文獻：

[1]李存軍.數據中心云接入技術比較[J].計算機光盤軟件與應用，2012，23.

[2]H3C EVB技術體系介紹[J].IP領航，2012，6.

[3]H3C EVB數據中心應用模型[J].IP領航，2012，6.

[4]錢景輝.數據中心在云計算需求下的技術分析[J].現代計算機，2012，07.

[5]姜建偉.企業數據中心網絡虛擬化環境中邊界感知安全技術和應用[J].計算機應用與軟件.

[6]吳晨，朱志祥，胡清俊.一種云數據中心虛擬交換的解決方案[J].西安郵電學院學報，2011，9，16，5.

[7]梁凱鵬.基于VEPA的云計算數據中心的設計與實現[J].廣東通信技術，2011，09.

[8]Shehzad Merchant VEPA：虛擬交換解決之道[J].網絡世界，2011，1，17第028版.

篇（8）

中圖分類號：TP388.8 文獻標識碼：A 文章編號：1007-9416（2016）12-0114-01

現階段各企事業單位往往已對信息化高度重視，信息化建設的投入也不斷增加，在增強核心競爭力、有效降低成本、提高工作效率的同時信息化系統也變得愈加龐大，這種變化可以歸納為內部和外部兩方面的增長。

內部增長體現在信息化系統橫向和縱向擴展，橫向擴展主要是指新建的專業信息化系統，如某單位已有一套人力資源管理系統，因為效果良好計劃再上一套財務管理系統；縱向擴展則是對已有信息化系統功能模塊的不斷擴充，如已有的人力資源管理系統有組織規劃、招聘管理、培訓管理等模塊，計劃二期繼續擴展自助平臺和報表平臺等功能。外部增長主要體現在異地多數據中心的需求，如某些核心信息化系統無法接受數據丟失或業務中斷，就需要根據業務的重要程度建立不同級別的兩點或多點分布式異地容災系統；再如某些企事業單位組織機構分布廣泛，除總部外的分支機構設立在其他地市甚至其他省市，需要使用多點部署的分布式信息化系統。

信息化系統的這類變化必然導致作為其載體的數據中心也不斷向大型化、復雜化轉變，從本地單中心到異地分布式中心不斷擴張。這樣不但增加了企事業單位維護的成本，還加大了維護人員的管理難度，如何能夠對這類大型分布式數據中心進行有效的集中化監控管理就成為企事業單位亟待解決的問題。

1 大型數據中心內部集中監控管理

一般而言，單一大型數據中心內部主要可以分為機房環境、供配電系統、網絡設備、服務器硬件、虛擬化系統、存儲系統、操作系統、中間件和數據庫模塊。針對不同的模塊有不同的對接方式來實現數據采集，通過設立一個集中監控主機來實現數據中心內部不同模塊的統一監控。

1.1 機房環境

機房環境主要包括溫濕度、精密空調、空調防水和視頻監控等，溫濕度和空調防水通過監控探頭直接數據收集并記錄歷史數據；精密空調通過RS485卡利用modbus協議收集數據并對空調溫濕度設定、多級集群運行模式調整、遠程開關機等進行操作；視頻監控可通過攝像探頭直接進行圖像采集，也可利用專用視頻錄像機對圖像數據進行分級存儲并對攝像云臺進行各項參數調整。

1.2 供配電系統

機房供配電系統主要包括UPS、電池、輸入輸出配電柜等，整個系統的數據采集可以通過對UPS的通信來完成，UPS對外接口通常有RS232接口、AS400接口、SNMP接口和USB接口，通過接口提供的SNMP、UPS-link等協議能夠實現對供配電系統歷史狀況進行記錄，分析UPS、電池、各路供電線路電流電壓狀態，并對UPS設備進行遠程配置。

1.3 網絡設備

數據中心網絡設備主要包含路由器、交換機、防火墻、入侵檢測、流量控制、負載均衡等設備，通常這類設備都支持SNMP，通過SNMP可以統一進行資源使用率、端口狀態、設備配置等方面的監控，對中心整體網絡拓撲、設備互聯狀態、配置屬性、實時告警、歷史告警、設備實體關系等進行展示。

1.4 服務器硬件

因操作系統功能的不斷強大，服務器硬件的監控在日常運維管理中經常會被忽視，但不可否認的是服務器硬件監控還是有一些無法替代的作用。如x86平臺利用IPMI標準接入服務器硬件，可以對服務器內部主板溫度、風扇轉速、本地硬盤RAID狀態進行監控，便于提前預判問題，同時還可以展現控制臺界面，對服務器設備進行冷啟動等遠程操作。

1.5 虛擬化系統

隨著虛擬化技術在數據中心內部的廣泛使用，針對虛擬化系統的運維管理也變得愈加重要。市場上主流的虛擬化系統都有相應的監控API提供，利用這些接口可以開發不同類別的監控功能，集中監控虛擬主機和虛擬機的健康狀況和性能，有效規劃容量，合理為虛擬設備分配資源。

1.6 存儲系統

使用SNMP、Cli、SNIA's、SMI-S和廠商指定規則自動發現存儲設備、監控諸如RAID、磁帶庫、磁帶驅動器、光纖交換機等存儲設備。顯示設備及其互連拓撲圖，顯示鏈路名、源和目標用不同顏色表示設備并對互連的狀態和流量利用趨勢深入分析，幫助管理人員定位存儲系統性能瓶頸。

1.7 操作系統

目前對操作系統的監控已經較為成熟，不論是Windows、Linux還是AIX、HP-UX等UNIX系統都支持非常完備監控方式，如Agent、SNMP等方式。SNMP方式的優勢在于不用在O控的操作系統系統商額外安裝程序，不會對業務系統產生影響，對主機資源的占用也較低。通過SNMP方式同樣能對CPU、磁盤使內存使用量、使用率，網卡連接、流量，特定進程狀態等進行監測，并可對相應指標設定相應閥值及時報警。

1.8 中間件

中間件主要包括交易中間件（TPM）、應用服務器（WAS）、消息中間件（MOM）、數據訪問中間件（UDA）、安全中間件等。主流的Java中間件主要通過JMX技術進行監控，實現請求數量、請求狀態、響應時間、部署應用狀態等參數實時監控和歷史數據分析。

1.9 數據庫

數據庫主要通過建立只讀用戶，通過查詢系統表相應字段，對數據庫的用戶連接數、執行等待時間、表空間、死鎖、查詢命中率、緩沖池等多種數據庫性能參數進行監控告警，并自動記錄導致異常運行或資源消耗很大的SQL語句以便開發人員對優化升級應用程序。

2 分布式數據中心之間的集中監控管理

分布式數據中心的集中監控管理的工作主要體現在監控數據的傳輸整合上，而數據的傳輸取決與分布式數據中心之間的連接方式。如果中心之間采用的是專線連接則可以讓各數據中心內部的集中監控主機通過普通的路由交換協議傳輸數據；如果中心之間是通過公網連接則需要在內部的集中監控主機之外設置邊緣服務器，放置于防火墻構建的DMZ，專用于中心之間的數據傳輸。如果需在公網傳輸的數據安全等級較高，還可以考慮在傳輸和接收之間進行加解密操作。

基礎的大型分布式數據中心集中監控，可以選擇一個有人職守數據中心作為集中監控主中心，設置主中心內的集中監控主機為整體集成監控主機，除收集本中心內各模塊的監控數據外，還用于接受其他中心監控主機傳來的數據進行統一管理；也可在監控主中心內獨立設置集成監控主機，只接收本中心和其他中心集中監控主機傳來的數據進行統一管理，形成集中監控至集成監控的兩級數據收集模式。若集中監控對于企事業單位的重要程度較高，還可選擇多個有條件的數據中心設立多個集成監控主機，分別收集，集中管理，處理結果根據重要程度在各集成監控主機之間進行同步或異步的數據復制。

3 結語

隨著企事業單位信息化建設的不斷深入，承載信息化系統的數據中心規模也不斷增長，本文所討論的集中監控管理方案既能將大型數據中心內部涉及的大多數模塊進行集中監控處理，又能對各數據中心的數據進行集成監控管理。這種方式有利于數據中心運維管理人員提前發現預判隱患，及時定位處理故障，同時還能存儲歷史數據用于后期的分析學習，降低了運維管理人員工作強度，大幅提高工作效率，能夠為企事業單位節約數據中心整體維護成本，同時為后期擴展至基于移動終端的集中監控管理奠定基礎。

參考文獻

[1]李錫紅，吳建德，何湘寧.UPS監控技術綜述[J].通信電源技術，2003，02：18-20.

[2]薛斌，房敬敬，劉昊.機房精密空調環境監控模塊設計與實現[J].軟件研發與應用，2015，11：27-32.

篇（9）

DOI：10.16640/ki.37-1222/t.2016.22.112

1 前言

隨著IT技術的發展和“互聯網+”戰略的實施，保護信息系統和數據安全的需要也飛速增長，數據中心的安全建設需求愈發重要。而防火墻作為數據中心防護架構的關鍵防線，如何在數據中心內部穩定并高效的部署防火墻，成為當今數據中心安全建設的一個重要課題。一般來說，數據中心防火墻部署于數據中心的網絡邊界上，位于數據中心內部的服務器區域和外部訪問用戶區域之間，傳統的網絡層防火墻運行在TCP/IP協議棧上，通過對訪問流量的TCP/IP報文進行預訂策略的識別、過濾和轉發來控制外部用戶對數據中心內部服務器的訪問權限，保護數據中心內部服務器免于非法用戶的訪問和入侵[1]。

2 NGFW介紹

隨著網絡技術的發展和防護需求的提升，傳統的網絡層防火墻由于工作在ISO網絡七層架構的網絡層，對數據包和流量的分析是基于網絡層五元組（源/目的IP，源/目的端口和協議）的，由此也暴露出一些新問題：1）基于端口的識別方式對具體應用沒有識別能力，導致非法應用可能借用知名端口穿過防火墻；2）基于IP的識別方式對DDoS、源地址仿冒攻擊和對象IP地址不固定的移動端信息服務防范能力不足；3）對于應用層服務的檢測、過濾和管理能力欠缺。

因此，業內各個廠家近年來都推出了下一代防火墻（Next Generation Fire Wall，NGFW）來代替傳統防火墻，除了提供傳統防火墻的防護方式外，同時提供以區分用戶、應用和資源內容為防護手段和目標的新一代數據中心防護模式。

3 NGFW實施方案

在實際實施方案中，我們選用了華為公司的S12708三層交換機作為數據中心的網絡核心和骨干[2]，各個機柜的服務器通過二層VLAN連接到該數據中心交換機[3]。采用兩塊ET1D2FW00S00 NGFW下一代防火墻集成板卡作為安全防護核心。系統結構如圖1所示：

該方案主要說明如下：1）兩塊S12708集成的NGFW Module做主備式部署，其GE0/0/1配置為心跳接口，當A板卡出問題后，防護系統自動切換到B板卡，消除單點故障；2）兩塊NGFW Module通過背板帶寬，以一進一出兩個虛擬20G接口的方式與S12708三層交換機做邏輯連接；3）兩塊NGFW Module上行鏈路做捆綁后與S12708數據中心交換機外網部分做路由互指，NGFW Module的默認路由指向S12708，S12708根據防火墻上實際部署的服務器網段做靜態路由；4）兩塊防火墻的內向接口配置為內部服務器的網關，并且做VRRP以確保冗余切換，在內向接口上使用子接口區分不同VLAN。

4 具體關鍵配置

在對S12708進行完基礎配置，使其聯入互聯網后，防火墻功能部分主要配置實施如下：1）將兩塊NGFW Module的GE0/0/1用網線直接連接，并配置其心跳線功能：

Module A：

interface GigabitEthernet0/0/1

ip address 10.0.0.1 255.255.255.252

hrp enable

hrp interface GigabitEthernet0/0/1 remote 10.0.0.2

Module B：

interface GigabitEthernet0/0/1

ip address 10.0.0.1 255.255.255.252

hrp enable

hrp interface GigabitEthernet0/0/1 remote 10.0.0.2

2）以新增VLAN51（VRRP=10.10.179.30）為例配置內網接口為服務器區域網關：

Module A：

vlan 51

hrp track active

interface Vlanif51

ip address 10.10.179.28 255.255.255.224

vrrp vrid 1 virtual-ip 10.10.179.30 active

interface GigabitEthernet1/0/0

portswitch

port link-type trunk

port trunk permit vlan 51

Module B：

vlan 51

hrp track active

interface Vlanif51

ip address 10.10.179.29 255.255.255.224

vrrp vrid 1 virtual-ip 10.10.179.30 standby

interface GigabitEthernet1/0/0

portswitch

port link-type trunk

port trunk permit vlan 51

3）配置兩塊NGFW Module和S12708之間的接口地址和互指路由后，內外網即可以互通。

配置完成后進行測試，將VLAN51下的服務器IP地址設置為10.10.179.0/27內地之后，可以ping通網關并正常上網。通過192.168.1.195和192.168.1.196可以進入防火墻板卡的配置接口或Web管理界面，以配置更詳細的防火墻策略，實現對服務器的全面防護。

5 總結

較之獨立防火墻設備的部署方式，集成式的防火墻板卡優化了與數據中心交換機的連接方式，節約了設備端口的同時，還提供了很大的雙向連接帶寬。同時充分利用了S12708上設備端口，減少了防火墻所需的設備下聯端口。基于以上過程搭建的數據中心安全架構，具有很好的安全冗余性，并且除了提供了傳統防火墻所具備的防功能外，還可以為數據中心提供反病毒、入侵防護、URL過濾、內容過濾、文件過濾、郵件過濾、應用行為控制等企業級應用層功能，經過多方面測試，具有較好的實際使用效果。

參考文獻：

[1]陳麟，李煥洲，胡勇，戴宗坤.防火墻系統高可用性研究[J].四川大學學報（工程科學版），2005，31（01）：126-129.

[2]HUAWEI USG6000系列&NGFW Module V100R001典型配置案例 [J].

篇（10）

中圖分類號：TN915.1 文獻標識碼：A 文章編號：1674-7712 （2014） 12-0000-01

在數字通訊網絡運行過程中，中心機要聯系成百上千的網絡終端，如何優化數字通信網絡終端的布局，影響著中心機的運行效率和工作質量。科學合理的選擇終端和中心機之間鏈路的連接是改進數字通信網絡工作的重要步驟。隨著科技的進步和社會的發展，數字通信網絡的發展將會備受重視，為了實現數字通信網絡終端的布局的優化和完善，下文提出了針對性的解決方案。

一、數字通信網絡中設計注意事項

（一）限制流量

由于數字通訊網絡線路的傳輸量是有限制的，如果無限制的接納傳輸的信息量，當某條線路的處理工作增加時，線路上的信號傳遞達到飽和，一旦出現這種情況，信號的消耗量就會加大，信號的處理和使用效率便大大降低，影響數字網絡通信的正常使用和優化發展，因此在優化布局設計時，要注意限制流量。

（二）控制終端數量

數字網絡通信的工作過程，中心機要和數量龐大的終端機連接，本身的處理和工作壓力就很大了，如果不斷增加終端的個數，中心機的處理將會面臨崩潰的境地，處理質量和效率會降低到相當低的水平，最終嚴重影響客戶終端機的正常使用。因此控制終端數量才可以保障用戶使用時的效率和質量水平。多點式的線路終端數量要少于承受最大量，其他的終端數量也要嚴格限制，保證數字通信的信息處理水平。

（三）延時限制

在數字網絡通信運行中，信號的傳播速度迅速，但是即使這樣信號從信號源出發到達網絡終端也要有時間上的延遲。時間的延遲出現在三個環節：信號傳遞過程中，在網絡節點處需要處理時間，造成時間延時；信號在網絡節點處的排隊時間；信號自身在線路上的傳輸時間。通過以上對造成信號延遲原因的探究，我們認識到為了縮短信號消耗時間就要盡可能的減少線路中存在的網絡節點，盡量使中心機和客戶終端直接聯系和傳遞信息。但是這樣的方法會造成數字網絡通信的成本提高，直接相連可以減少信號消耗，提高運行效率但是會增加大量的成本。延時限制是數字網絡通信工作要處理的重要問題。

二、影響數字網絡通信布局的原因

（一）設備可靠性大小

數字網絡通信和人們生活息息相關，所以可靠性和安全性都是必不可少的優勢。對于通信設備的可靠性要經過認真科學的推敲和測定，設備的可靠程度關系到數字網絡通信事業的發展，要保證可靠性。就需要在建設網絡終端時，要選擇質量優和性能強的設備。

（二）干擾因素

在數據信息進行傳播的過程中，會受到外界環境的干擾，信號的傳播在受到干擾后會出現不穩定，影響到客戶的使用。干擾產生的原因很多，有相鄰干擾、數字網絡通信系統自身產生和其他信號干擾因素，優化數字網絡通信的布局，信號的穩定性才能保證。

（三）全面覆蓋性差

進行數字網絡通信建設要實現的是網絡的全面覆蓋，在建設過程中要不斷擴大覆蓋范圍才是重中之重，當然在這個過程中還要注意保證質量。數字網絡通信的覆蓋首先應該實現地區性然后進行補充，盡量做到均勻覆蓋。

三、數字網絡通信終端優化方案

（一）優化處理的計算方法

在數字通信網絡終端設計時都要經過嚴格的計算，以往的設計都是將鏈路集合和鏈路容量的確定區分開來，單獨處理。在解鏈路集合時，假設容量已知，在確定連接結構之后，采用解析法進行全網鏈路數量的再分配。傳統的算法不能夠完全適應實際的需要和現實情況。在實際處理過程中，鏈路和容量都是未知的，并且鏈路成本和長度、容量為正比關系，信號的延時與容量大小成反比，要實現成本的最低化和信號延時的最小化，鏈路連接和容量并不是獨立的，二者是關聯很大的變化量，綜合考慮才能得到最優結果。

為了計算的簡便和效率及質量的提高，可以選擇將網絡進行分層，鏈路連接和容量分配同時進行，密切關注限制指標兵進行相應調整滿足約束條件。為優化聯接結構可采用分層聯接法，從距離中心最遠的層次開始和層內最短鏈路連接，這樣可以避免離中心距離小的點先飽和遠距離的點不能良好運行的問題。新算法應用的是聯接和紛飛交錯進行，分配和檢查都是分片進行，及時發現有延時超過預定值也不用過多進行調整。這樣的算法比以往的全網分配得到的結果更優。

（二）優化數字信息網絡干擾項

數字信息網絡信號傳輸過程中會出現干擾因素，影響信號的傳遞，要解決這一問題就要對干擾因素進行列舉和分析，對于干擾因素的特點和特性進行分析和記錄，同時要做好與其他部門的溝通工作，盡量避免干擾因素的擴大，本部門也要做好自身的規劃，避免出現越戰干擾情況影響到正常工作。去除干擾因素可以為數字信息網絡發展貢獻很大的力量。

（三）對數字信息網絡設備進行管理

數字信息網絡設備的好壞，關系到數字信息網絡工作能否正常實施。對于設備要關注性能、質量和效率，對于關鍵系統設備的選擇更是要格外重視，對于產品的服務和維修要多加注意。在設備使用中，要注意對設備的維修和保養，對設備的質量和安全進行跟蹤和記錄，對于可能出現的問題要做好應急方案，提高設備的使用率，對于老化的設備要及時更換，避免事故隱患。此外，加強數字信息網絡設備管理，還要注意提高操作人員的業務素質和專業技能，操作的水平影響到工作的質量，因此，做好設備管理工作作用重大。

三、結束語

數字通信網絡終端的布局優化設計是要盡可能控制好鏈路和鏈路的容量，同時還要減少投資成本，優化資源的使用。數字信息網絡的發展離不開對其設計方案的優化和處理，我國的數字通信網絡發展要不斷改進方法，提高技術水平，滿足大眾的通信需求和社會發展的需要。

參考文獻：