一种IDC集中式数据安全设计

　　0引言

　　浙江省诸暨市的经济位居全国百强县前10位，截止2013年上市企业有12家，位于浙江省第一位及全国第三位。浙江民营企业众多，为了满足政府部门和中小型企业DNS、Web、E-mail、流媒体、文件、数据库、云平台等网络系统托管外包服务的需要，诸暨市电信公司规划建设了互联网数据中心(Internet Data Center，IDC)[1]，此外还向电信用户提供IPTV/VOD、NGN、3G、在线网络游戏、在线音乐等多种数据服务。本文提出了建立集中式数据存储的网络组成方式，并给出了一个适应电信业务需求的集成信息安全方案[2]。

　　1数据存储的组成结构

　　数据存储系统从组成结构上分为集中式和分布式两种。

　　1.1集中式数据存储结构

　　集中式数据存储要求各业务子系统共享同一个集中的存储系统进行数据交换。一般通过FC(Fibre Channel，光纤通道)组建SAN网络(Storage Area Network，存储区域网络)[3]来实现数据共享，其结构如图1所示。集中式存储的优点是：

　　(1)数据集中存储、集中备份，便于集中管理和监控。有利于将传统的被动式维护模式转变为主动式、预防式维护模式。

　　(2)数据集中易于制定统一的管理措施和数据保护机制，便于日后建设容灾系统。

　　(3)集中存储结构将数据和业务相分离，有利于支撑业务的快速发展、资源有效整合利用。可以进行在线扩容而不影响业务，不同业务系统之间的存储资源根据实际需求的变化可以随时动态调整。

　　集中式数据存储的缺点是风险集中，需要建设配套的数据保护机制，如集中备份等，其方案设计和实施均有一定的技术难度。

　　1.2分布式存储结构

　　分布式存储要求各业务系统分别构建独立的存储系统，以NAS(Network Attached Storage)网络连接起来，各存储系统依主机不同而分散存在。分布式存储的优点是：实现不存在技术难度，其结构如图2所示。如不涉及集中管理的话，则投资成本相对较小。

　　分布式存储的缺点是：数据分散存储、分散备份，风险分散，不利于集中管理和监控，故管理维护成本较高。不容易制定和实施统一的数据保护机制和管理措施，数据维护压力较大。由于业务发展的不确定性，容易导致资源分配的不均和浪费。

　　1.3两种存储结构的成本比较

　　两种存储结构的成本各有优缺点。除了对网络要求较高的缺点外，集中式存储有利于节约投资成本、管理成本和后期扩容，其成本比较详见表1。第4期杨伟：一种IDC集中式数据安全设计智能计算机与应用第3卷

　　and distributed storage structure成本分布式集中式设备投资多少软件投资多少传输资源很少需建设专用的SAN环境可靠性故障点、风险分散风险集中，易于集中管理安全性数据保护机制独立分散数据保护机制统一，

　　利于数据容灾备份/恢复性能低高，IO性能最优可扩展性低，依赖于系统主机

　　本身的兼容性和存储

　　设备的可扩展性高，可无需停机在线扩容

　　2IDC数据安全方案

　　诸暨市电信公司IDC采用集中式数据存储结构，其基础架构是冗余可靠的，具有较高的可靠性。该系统用光纤交换机搭建SAN环境。用高端磁盘阵列作为集中存储设备，负责数据集中存放。由于SAN结构扩充方便，建议IDC设立初期只需配置两台磁盘阵列，随着数据量需求的增加可继续扩展阵列。采用一台大容量磁带库负责IDC数据备份和归档工作。安装存储管理软件和集中备份软件，负责存储管理和数据备份的集中管理。在业务服务器上增加HBA卡(Host Bus Adapter，主机总线适配器)连接光纤交换机。对于SAN架构内的核心业务服务器的备份网络依靠SAN实现，数据流直接从磁盘阵列备份到磁带库，其他业务系统则可通过NAS网络备份到此备份系统中。部署远程的维护终端，提供远程存储管理和数据备份的集中管理。业务网络与后台管理网络隔离，对外的业务网络受到攻击时，后台管理网络仍能提供可靠的本地和远程访问，快速恢复故障，其结构如图3所示。

　　IDC数据安全由三个层次组成，并进行分级管理。

　　(1) 物理层。提供智能数据存储管理的物理基础，提高存储设备的利用率，并保证I/O性能和安全性。

　　(2) 逻辑层。实行数据生命周期管理，应用HA技术、快照技术、备份归档等自动管理整个数据生命周期，实现数据存储、传输、备份和归档的自动化。

　　(3) 业务层。利用远程数据复制技术实现业务连续性保障。

　　IDC数据安全需要进行以下数据安全性设计，防止可能存在的安全隐患。

　　2.1划分VLAN

　　在交换机上划分VLAN[4](Virtual Local Area Network，虚拟局域网)，从逻辑上划分成不同的网段，用来隔离不同系统的网络。不同业务系统的主机分在不同的VLAN，Windows操作系统和Unix操作系统分在不同的VLAN，主要业务应用和普通业务应用分在不同的VLAN，后台管理系统和前台应用系统分在不同的VLAN。各业务系统仅和备份服务器通信，互相之间并不通信。各业务系统分属不同的广播域，阻止病毒和网络风暴的扩散。

　　2.2访问控制策略

　　网络访问控制可以隔离非法的主体进入受保护的网络资源。允许合法用户访问受保护的网络资源。防止合法用户对受保护的网络资源进行非授权的访问。在以太网交换机前增设防火墙，设置访问控制策略[5]，限制各业务主机到管理服务器的访问，禁止各业务系统之间的访问。

　　作者：杨伟 来源：智能计算机与应用 2013年4期