［李紅雙 李健 趙秋爽 孫淳曄］

1 引言

政務(wù)云即基于云計算的電子政務(wù)公共平臺，是運用云計算技術(shù)，統(tǒng)籌利用機房資源、計算資源、存儲資源、網(wǎng)絡(luò)資源、信息資源、應(yīng)用支撐等資源，發(fā)揮云計算虛擬化、高可靠性、通用性、高可擴展性以及快速、按需、彈性的服務(wù)等特征，為各政務(wù)部門構(gòu)建提供基礎(chǔ)設(shè)施、支撐軟件、應(yīng)用系統(tǒng)、信息資源、運行保障和信息安全等服務(wù)的電子政務(wù)綜合性服務(wù)平臺。

2015年1月，國務(wù)院印發(fā)了《關(guān)于促進云計算創(chuàng)新發(fā)展培育信息產(chǎn)業(yè)新業(yè)態(tài)的意見》，該文件中對政務(wù)云應(yīng)用提出了非常具體的目標(biāo)：“鼓勵應(yīng)用云計算技術(shù)整合改造現(xiàn)有電子政務(wù)信息系統(tǒng)，實現(xiàn)各領(lǐng)域政務(wù)信息系統(tǒng)整體部署和共建共用，大幅減少政府自建數(shù)據(jù)中心的數(shù)量”。政務(wù)云資源池的建設(shè)，可有效降低政府部門信息化的建設(shè)和運營成本，避免重復(fù)建設(shè)，促進部門間的信息資源開發(fā)利用和協(xié)同共享，對促進政府管理創(chuàng)新和建設(shè)服務(wù)型政府有重大的意義。

截至2018年底，我國31個省級行政區(qū)（不包括港澳臺）中，已實現(xiàn)100%已經(jīng)建有或正在建設(shè)政務(wù)云，我國334個地級行政區(qū)中，超過七成已經(jīng)建有或正在建設(shè)政務(wù)云。在政策的驅(qū)動下，中國的政務(wù)云近年來實現(xiàn)高增長，政務(wù)云規(guī)模目前占據(jù)了私有云市場的53%，是私有云中增長較快的行業(yè)。

目前中國市場上的政務(wù)云廠商主要分為四類，這幾類廠商各具優(yōu)勢，它們之間的競爭合作關(guān)系形成了現(xiàn)階段的市場生態(tài)主體。

（1）大型IT企業(yè)：以華為、新華三、浪潮、曙光、烽火、中興等為代表。

（2）互聯(lián)網(wǎng)公司：以阿里、騰訊、京東等為代表。

（3）基礎(chǔ)電信企業(yè)：中國電信、中國聯(lián)通、中國移動。

（4）系統(tǒng)集成商：以太極軟件、神州數(shù)碼、中軟、東華軟件等為代表。

2 政務(wù)云資源池需求分析

政務(wù)云屬于為政府建設(shè)的專有云，政務(wù)云數(shù)據(jù)中心一定是在政府可控、可監(jiān)管的范圍內(nèi)。政務(wù)云具有政府專有、資源獨占、安全級別高等特性。政務(wù)云服務(wù)團隊不僅要維護系統(tǒng)正常的運行，同時也要合理分配資源、合理規(guī)劃設(shè)計、提高系統(tǒng)的使用效率。

2.1 網(wǎng)絡(luò)需求

政務(wù)云資源池要求能夠接入電子政務(wù)外網(wǎng)和互聯(lián)網(wǎng)，具備互聯(lián)網(wǎng)獨享出口帶寬的能力；出口采用雙鏈路設(shè)計，出口鏈路能夠?qū)崿F(xiàn)動態(tài)流量負荷分擔(dān)；同時要求出口帶寬可隨需求靈活擴展。

政務(wù)云資源池網(wǎng)絡(luò)采用扁平二層網(wǎng)絡(luò)架構(gòu)，分為核心層和接入層；核心交換機支持虛擬化集群技術(shù)，接入交換機支持堆疊技術(shù)，保證設(shè)備冗余，支持VPN、VXLAN、SDN技術(shù)；網(wǎng)絡(luò)具備可承載語音、視頻、數(shù)據(jù)等方面的能力，且保證高性能高穩(wěn)定，具備性能管理、故障管理、配置管理、服務(wù)器監(jiān)視等網(wǎng)絡(luò)管理功能。

核心網(wǎng)絡(luò)能夠按照業(yè)務(wù)功能劃分邏輯隔離區(qū)，邏輯隔離區(qū)之間的訪問需有統(tǒng)一的安全策略管理，主要分為管理域、業(yè)務(wù)域、存儲域、安全隔離域、測試域等，不同域之間進行邏輯隔離。不同業(yè)務(wù)部門以租戶的方式分配資源，不同租戶分配不同VPN通道，VPN相互隔離。

2.2 計算資源、存儲資源、網(wǎng)絡(luò)資源需求

計算資源主要包括虛擬機和X86物理服務(wù)器。虛擬機主要為滿足政務(wù)系統(tǒng)的郵箱服務(wù)、門戶服務(wù)和其他信息化系統(tǒng)；X86物理服務(wù)器主要為滿足政務(wù)系統(tǒng)數(shù)據(jù)庫及其他無法在虛擬機上部署的特殊服務(wù)等。計算資源要求是市場上主流的服務(wù)器設(shè)備，具有高可靠性和高可用性，支持國產(chǎn)操作系統(tǒng)，資源能夠靈活分配與回收，支持動態(tài)資源調(diào)度。

存儲資源主要包括傳統(tǒng)SAN存儲和分布式存儲。SAN存儲是由光纖交換機+磁盤陣列構(gòu)成，主要為滿足交易型數(shù)據(jù)庫高可靠、高I/O的存儲需求；分布式存儲采用存儲型X86服務(wù)器+分布式存儲軟件，主要為滿足存儲監(jiān)控視頻、圖片、GIS地圖等數(shù)據(jù)的需求。存儲資源要求支持動態(tài)擴展、彈性調(diào)度，支持不同存儲介質(zhì)之間進行動態(tài)遷移，支持數(shù)據(jù)保護，包括：快照、恢復(fù)、備份、復(fù)制、鏡像、克隆、冗余等數(shù)據(jù)保護功能。

網(wǎng)絡(luò)資源主要包括路由器、防火墻、核心交換機、接入交換機、管理交換機、VPN、負載均衡器等設(shè)備，滿足政務(wù)云資源池的組網(wǎng)需求。核心交換機要求支持虛擬化集群技術(shù)，接入交換機支持堆疊技術(shù)；交換機要求支持VXLAN和SDN技術(shù)，支持網(wǎng)絡(luò)設(shè)備可擴展，支持自動彈性的網(wǎng)絡(luò)管理。

2.3 安全需求

政務(wù)云資源池的安全保障包括：平臺自身軟硬件安全、平臺提供的安全服務(wù)、平臺的接入安全等三部分內(nèi)容。

平臺自身軟硬件安全：政務(wù)云資源池自身安全為平臺基礎(chǔ)環(huán)境、平臺所承載數(shù)據(jù)和業(yè)務(wù)提供安全保障，涉及平臺的物理環(huán)境、網(wǎng)絡(luò)、主機（物理主機和虛擬主機）、存儲、平臺所承載的數(shù)據(jù)和平臺支撐的業(yè)務(wù)軟件等方面。

平臺提供的安全服務(wù)：政務(wù)云資源池的安全服務(wù)是指平臺將安全措施以服務(wù)的形式提供，用戶可以根據(jù)需要選擇相應(yīng)的安全服務(wù)來支撐其應(yīng)用和業(yè)務(wù)。資源池提供的安全服務(wù)包括云監(jiān)測、云防護、云掃描、云審計和統(tǒng)一認證等云安全基礎(chǔ)服務(wù)。

平臺的接入安全：平臺的接入安全主要涵蓋外部終端、網(wǎng)絡(luò)以及外部業(yè)務(wù)系統(tǒng)接入政務(wù)云資源池平臺涉及的安全。

3 政務(wù)云資源池建設(shè)方案

目前運營商建設(shè)的政務(wù)云資源池多數(shù)是以獨立組網(wǎng)為主，即政務(wù)外網(wǎng)區(qū)和互聯(lián)網(wǎng)區(qū)網(wǎng)絡(luò)設(shè)備、計算設(shè)備、存儲設(shè)備、安全設(shè)備均獨立資源池建設(shè)，兩個區(qū)域互相隔離。本論文研究的方案采用的是融合組網(wǎng)方式，即政務(wù)外網(wǎng)區(qū)和互聯(lián)網(wǎng)區(qū)出口網(wǎng)絡(luò)設(shè)備獨立建設(shè)，后端計算設(shè)備、存儲設(shè)備、安全設(shè)備等均共用，采用VXLAN、服務(wù)器虛擬化、虛擬防火墻等技術(shù)進行業(yè)務(wù)隔離。融合組網(wǎng)的優(yōu)點是網(wǎng)絡(luò)簡單、設(shè)備利用率高、工程投資少、對機房空間及電力資源的占用較少，同時設(shè)備資源分配靈活，易調(diào)整。下文主要對融合組網(wǎng)方案展開介紹：

3.1 雙中心容災(zāi)方案

為保障系統(tǒng)安全，政務(wù)云資源池采用異局址雙數(shù)據(jù)中心建設(shè)，數(shù)據(jù)中心之間通過傳輸專線互聯(lián)，數(shù)據(jù)中心采用雙活模式，實現(xiàn)負荷分擔(dān)。數(shù)據(jù)中心之間采用大二層或三層互聯(lián)，形成跨機房的資源池，允許應(yīng)用集群、虛擬機跨機房部署、遷移，并且進行訪問路徑的優(yōu)化。在雙中心配置全局負載均衡器，實現(xiàn)業(yè)務(wù)的雙活訪問。雙中心容災(zāi)方案主要為實現(xiàn)應(yīng)用層和存儲層的雙活。

應(yīng)用層雙活：支持應(yīng)用集群跨數(shù)據(jù)中心部署，應(yīng)用集群和VM遷移技術(shù)，可提供給用戶跨數(shù)據(jù)中心的高可用、負載均衡、應(yīng)用負載遷移調(diào)度的特性。

存儲層雙活：提供上層應(yīng)用在兩個數(shù)據(jù)中心之間同時讀寫存儲，寫入存儲時兩個數(shù)據(jù)中心同時寫入，最大程度保證數(shù)據(jù)可靠性。

3.2 組網(wǎng)方案

政務(wù)云資源池要求根據(jù)功能需求通過網(wǎng)絡(luò)和安全設(shè)備將資源池劃分為多個物理安全隔離區(qū)，安全隔離區(qū)之間的訪問需有統(tǒng)一的安全策略管理。按功能要求，安全區(qū)分為政務(wù)外網(wǎng)出口區(qū)、互聯(lián)網(wǎng)出口區(qū)、核心交換區(qū)、安全隔離區(qū)、數(shù)據(jù)中心互聯(lián)區(qū)、虛擬化區(qū)、X86物理區(qū)、存儲區(qū)和安全運維區(qū)等。政務(wù)云資源池各安全區(qū)互聯(lián)方式及設(shè)備部署如圖1所示。

圖1 政務(wù)云資源池網(wǎng)絡(luò)結(jié)構(gòu)圖

（1）政務(wù)外網(wǎng)出口區(qū)

政務(wù)外網(wǎng)出口區(qū)為政務(wù)外網(wǎng)提供統(tǒng)一的安全出口，部署防病毒、防入侵、安全審計等網(wǎng)絡(luò)訪問的安全防護設(shè)施。政務(wù)外網(wǎng)出口區(qū)配置2臺路由器做為出口設(shè)備，上聯(lián)電子政務(wù)外網(wǎng)，以及與互聯(lián)網(wǎng)區(qū)互聯(lián)；配置2臺出口防火墻和2臺IPS設(shè)備，作為NAT及數(shù)據(jù)中心邊界防護設(shè)備。

（2）互聯(lián)網(wǎng)出口區(qū)

互聯(lián)網(wǎng)出口區(qū)為互聯(lián)網(wǎng)提供統(tǒng)一的安全出口，部署防病毒、防入侵、安全審計、抗DDOS等網(wǎng)絡(luò)訪問的安全防護設(shè)施?；ヂ?lián)網(wǎng)出口區(qū)配置2臺路由器做為出口設(shè)備，上聯(lián)互聯(lián)網(wǎng)，以及與政務(wù)外網(wǎng)區(qū)互聯(lián)；配置2臺出口防火墻、2臺抗DDOS設(shè)備、2臺IPS設(shè)備，作為NAT及數(shù)據(jù)中心邊界防護設(shè)備。

（3）核心交換區(qū)

核心交換區(qū)做為數(shù)據(jù)中心的中央樞紐，將政務(wù)外網(wǎng)出口區(qū)、互聯(lián)網(wǎng)出口區(qū)、數(shù)據(jù)中心互聯(lián)區(qū)等出口區(qū)域以及安全隔離區(qū)、虛擬化區(qū)等業(yè)務(wù)區(qū)進行互聯(lián)，完成數(shù)據(jù)交換和業(yè)務(wù)負載均衡功能。

核心交換區(qū)配置2臺匯聚交換機與政務(wù)外網(wǎng)出口區(qū)、互聯(lián)網(wǎng)出口區(qū)互聯(lián)；配置2臺核心交換機與數(shù)據(jù)中心互聯(lián)區(qū)、安全隔離區(qū)、計算及存儲區(qū)等互聯(lián)；配置2臺VPN設(shè)備負責(zé)為數(shù)據(jù)中心維護人員、租戶等遠程登錄數(shù)據(jù)中心設(shè)備及租戶通過互聯(lián)網(wǎng)訪問業(yè)務(wù)系統(tǒng)建立專網(wǎng)隧道；配置2臺全局負載均衡器和2臺業(yè)務(wù)負載均衡器負責(zé)對各邏輯業(yè)務(wù)區(qū)的業(yè)務(wù)進行負荷分擔(dān)。

（4）安全隔離區(qū)

安全隔離區(qū)主要用于實現(xiàn)租戶之間隔離及WEB應(yīng)用防護功能，安全隔離區(qū)主要部署租戶隔離防火墻和WEB防火墻。

（5）數(shù)據(jù)中心互聯(lián)區(qū)

數(shù)據(jù)中心互聯(lián)區(qū)用于實現(xiàn)與異局址數(shù)據(jù)中心互聯(lián)，主要部署數(shù)據(jù)中心互聯(lián)交換機。

（6）虛擬化區(qū)

虛擬化區(qū)用于給租戶分配虛擬化服務(wù)器資源，主要部署通用X86服務(wù)器，并通過采用虛擬化軟件將物理服務(wù)器虛擬成虛擬機資源，分配給客戶部署業(yè)務(wù)系統(tǒng)。

（7）X86物理區(qū)

X86物理區(qū)用于給租戶分配X86物理服務(wù)器資源，主要部署通用X86物理服務(wù)器，滿足政務(wù)系統(tǒng)數(shù)據(jù)庫及其他無法在虛擬機上部署的特殊服務(wù)等需求。

（8）存儲區(qū)

存儲區(qū)主要為政務(wù)外網(wǎng)業(yè)務(wù)及互聯(lián)網(wǎng)業(yè)務(wù)提供存儲資源和備份服務(wù)。存儲區(qū)主要包括傳統(tǒng)SAN存儲和分布式存儲兩類存儲資源。傳統(tǒng)SAN存儲由光纖交換機+磁盤陣列構(gòu)成，滿足交易型數(shù)據(jù)庫高可靠、高I/O的存儲需求。分布式存儲采用存儲型X86服務(wù)器+分布式存儲軟件，存儲監(jiān)控視頻、圖片、GIS地圖等數(shù)據(jù)。備份系統(tǒng)采用存儲型X86服務(wù)器+備份軟件方式實現(xiàn)本地數(shù)據(jù)備份，并通過遠程復(fù)制功能，實現(xiàn)本地數(shù)據(jù)的異地容災(zāi)，實現(xiàn)數(shù)據(jù)的多重保護。

（9）安全運維區(qū)

安全運維區(qū)主要包括安全管理和運維兩部分功能。其中安全管理部分在本區(qū)域部署了漏洞掃描、日志審計、數(shù)據(jù)庫審計、堡壘機、4A系統(tǒng)等軟硬件安全設(shè)備。

漏洞掃描：用于對數(shù)據(jù)中心內(nèi)的網(wǎng)路、系統(tǒng)、數(shù)據(jù)庫進行周期性漏洞掃描，并對漏洞進行修補，降低系統(tǒng)自身脆弱性，滿足三級等保對于主機入侵防范的要求。

日志審計：匯總?cè)W(wǎng)網(wǎng)元日志，融合安全態(tài)勢感知、報表管理、日志審計、集中告警管理等功能。

數(shù)據(jù)庫審計：用于實時監(jiān)控并記錄來自各層面的數(shù)據(jù)庫活動。

堡壘機：對網(wǎng)絡(luò)運維人員登錄設(shè)備的行為進行審計，防止運維人員權(quán)力濫用。

4A系統(tǒng)：對用戶進行帳號管理、認證管理、授權(quán)管理和審計管理。

安全運維區(qū)實現(xiàn)的運維功能主要包括：SDN控制器、云管平臺和帶外管理。

在本區(qū)域的管理服務(wù)器上部署SDN軟件，實現(xiàn)數(shù)據(jù)中心核心交換機和區(qū)域接入交換機的控制面和數(shù)據(jù)面分離。用于網(wǎng)絡(luò)虛擬化，實現(xiàn)網(wǎng)絡(luò)流量的靈活控制。

在管理服務(wù)器上部署云管平臺軟件，實現(xiàn)對虛擬機、X86物理服務(wù)器、分布式存儲服務(wù)器的管理，以及對計算、存儲、網(wǎng)絡(luò)設(shè)備的性能及狀態(tài)監(jiān)控。

在管理服務(wù)器上部署帶外網(wǎng)管軟件，運維人員可通過帶外管理網(wǎng)絡(luò)實現(xiàn)對數(shù)據(jù)中心所有硬件設(shè)備進行集中監(jiān)控、管理和維修。

3.3 安全方案

政務(wù)云資源池對系統(tǒng)的安全級別要求較高，必須滿足信息系統(tǒng)安全等級保護三級的要求。資源池通過部署軟硬件安全產(chǎn)品不僅要實現(xiàn)平臺自身軟硬件的安全、平臺的接入安全，而且還需向客戶提供一些安全服務(wù)。具體的安全需求及安全解決方案如表1所示。

4 結(jié)束語

政務(wù)云資源池的建設(shè)，是政府云計算技術(shù)試點的開始，也是各級政府部門應(yīng)用的入口，是運營商及互聯(lián)網(wǎng)公司爭奪的焦點，對布局政務(wù)行業(yè)有重要的戰(zhàn)略意義。運營商建設(shè)政務(wù)云資源池具有以下優(yōu)點：

（1）運營商具有獨有的網(wǎng)絡(luò)資源，網(wǎng)絡(luò)覆蓋規(guī)模大，帶寬資源豐富，網(wǎng)絡(luò)安全性高，具備電信級安全。

（2）具有豐富的IDC資源，運營商作為基礎(chǔ)通信服務(wù)商，擁有眾多的IDC數(shù)據(jù)中心，建設(shè)和運維能力強，并且運營商數(shù)據(jù)中心具有良好的網(wǎng)絡(luò)條件、地理位置和機房環(huán)境。

（3）具有產(chǎn)業(yè)整合優(yōu)勢，運營商借助強有力的產(chǎn)業(yè)地位，已經(jīng)與服務(wù)器廠商、網(wǎng)絡(luò)設(shè)備廠商、云服務(wù)廠商等合作伙伴建立了完善的合作體系。

（4）具有運營保障能力，運營商具有電信級的服務(wù)保障能力、屬地化的資源和服務(wù)優(yōu)勢。

表1 政務(wù)云資源池安全需求及解決方案

運營商應(yīng)該充分利用自身的優(yōu)勢，積極開展政務(wù)云資源池的建設(shè)，為全面把握政務(wù)行業(yè)信息化戰(zhàn)略機遇打定基礎(chǔ)。政務(wù)云資源池的建設(shè)不僅可以通過對政府部門提供統(tǒng)一的云計算、網(wǎng)絡(luò)、云平臺安全、定制化運維服務(wù)以及共性應(yīng)用服務(wù)等帶來直接的經(jīng)濟效益，同時還會帶動專線、終端、統(tǒng)付、物聯(lián)網(wǎng)、大數(shù)據(jù)等業(yè)務(wù)的間接收入。