張 磊 邵金強 張 麗 史洋勛

（貴州省地礦局測繪院 貴州 貴陽 550018）

在信息安全方面， 地理信息的安全性直接關(guān)系到國家及區(qū)域安全， 加強地理信息行業(yè)數(shù)據(jù)及系統(tǒng)的安全性建設(shè)成為迫切的要求，除了遵循相關(guān)法律外，通過硬件建設(shè)提升地理信息的安全性和完備性也顯現(xiàn)的尤為重要。 本文將以此展論述：

1 原數(shù)據(jù)存儲狀況分析

1.1 原有信息環(huán)境特點

該單位原有應(yīng)用系統(tǒng)有業(yè)務(wù)數(shù)據(jù)庫，OA 系統(tǒng)， 操作系統(tǒng)為WindowsXP、Windows 2003 等，常用數(shù)據(jù)庫為MS SQL；涉密終端機器約50 臺，3 臺老式塔式服務(wù)器，組建的小型局域網(wǎng)較多，但全院未形成整體的高效局域網(wǎng)；全院范圍內(nèi)電子數(shù)據(jù)缺少統(tǒng)一的大容量存儲介質(zhì)和一體化管理，業(yè)務(wù)數(shù)據(jù)都是單獨存放在單臺服務(wù)器上的，備份保護是部分通過純手工方式備份、有一部分未做任何備份措施，存儲和備份模式存在很大弊端；涉密數(shù)據(jù)除制度管理約束外缺少信息技術(shù)的保障，全院的信息化建設(shè)還處于初級狀態(tài)。

1.2 主要問題

目前，貴州省地礦測繪院負責全省范圍內(nèi)測繪業(yè)務(wù)，測繪數(shù)據(jù)對其有相當重要的作用，因此系統(tǒng)及數(shù)據(jù)不能出現(xiàn)任何故障，必須保證業(yè)務(wù)系統(tǒng)的連續(xù)性和防范業(yè)務(wù)系統(tǒng)數(shù)據(jù)的丟失。而現(xiàn)行信息環(huán)境具有如下問題：

1）原有數(shù)據(jù)生產(chǎn)中主要是單機存儲，無網(wǎng)絡(luò)備份，無版本控制，容易因人為因素，造成數(shù)據(jù)的混亂或丟失；

2）測繪數(shù)據(jù)在提交后，都是在日常使用的機器上和移動存儲設(shè)備上進行保存，在拷貝手段和保密性上都存在一定的隱患；

3）受PC 機硬件性能限制，在進行海量空間數(shù)據(jù)處理和分析過程中，耗時耗力而極大的影響工作效率，對于高性能運算服務(wù)器需求更加迫切；

4）在內(nèi)部管理軟件的應(yīng)用和部署，缺少一定的發(fā)布平臺，以擴展現(xiàn)行業(yè)務(wù)領(lǐng)域，同時滿足自身的版本管理等相關(guān)需求；

5）備份空間處于人工維護狀態(tài)，隨著備份數(shù)據(jù)的增加，備份副本難以管理，無形中增加維護工作量。

2 建設(shè)基本要求及擬采用技術(shù)

2.1 建設(shè)基本要求

充分保證數(shù)據(jù)的安全性和系統(tǒng)的穩(wěn)定性；

實現(xiàn)對財務(wù)及人事OA 系統(tǒng)的植入和歷史數(shù)據(jù)的遷移；

滿足全院的數(shù)據(jù)存儲及備份需求， 并滿足相應(yīng)的服務(wù)器系統(tǒng)建設(shè)：

千兆網(wǎng)絡(luò)到桌面，網(wǎng)絡(luò)規(guī)模新建為50-100 信息點；

歷史數(shù)據(jù)目前4T，每年2T 增長，本期建設(shè)應(yīng)滿足五年內(nèi)需求，并具有較好的可擴展性；

按照標準化機房進行建設(shè)。

2.2 擬采用的關(guān)鍵技術(shù)

1）防火墻技術(shù)

從該院全網(wǎng)范圍看，按飛地邊界部署規(guī)則，需要有防火墻進行隔離。

2）備份及容災(zāi)技術(shù)

該數(shù)據(jù)中心的建設(shè)中，成果數(shù)據(jù)的安全性是核心，須通過備份及容災(zāi)等相關(guān)技術(shù)，實現(xiàn)對數(shù)據(jù)的安全存儲，并利用保護策略，實現(xiàn)數(shù)據(jù)的更高安全保障。

3）版本控制技術(shù)

該數(shù)據(jù)中心的建設(shè)中， 過程數(shù)據(jù)的控制性和可恢復(fù)性也不容忽視，采用版本控制技術(shù)，對測繪數(shù)據(jù)生產(chǎn)中的數(shù)據(jù)進行過程性標記，以保證相應(yīng)過程數(shù)據(jù)的安全性和互操作性。

4）工作流技術(shù)

逐步引入工作流的理念，對整個數(shù)據(jù)的提交及歸檔流程進行信息化規(guī)范。

3 IDC 設(shè)計與實現(xiàn)

3.1 基本構(gòu)想

除滿足常規(guī)數(shù)據(jù)中心布設(shè)的要求外，結(jié)合測繪應(yīng)用的特點，本建設(shè)主要圍繞著測繪過程數(shù)據(jù)的版本管理，成果數(shù)據(jù)的備份容災(zāi)，以及應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器和高性能計算服務(wù)器的展開。 建設(shè)中充分利用現(xiàn)有資源，構(gòu)建基于SAN 架構(gòu)的集中存儲模式，引入各類服務(wù)器提升各應(yīng)用系統(tǒng)的效能和綜合安全性，并引入磁盤陣列和一體化存儲設(shè)備完成本地集中存儲體系建設(shè)，從而逐步實現(xiàn)備份及容災(zāi)。

3.2 詳細設(shè)計及具體實施

3.2.1 整體結(jié)構(gòu)

本數(shù)據(jù)中心基于防火墻、核心交換機、接入交換機構(gòu)建的三層網(wǎng)絡(luò)， 通過IBM 高性能數(shù)據(jù)服務(wù)器接入EMC 主磁陣和愛數(shù)備份存儲柜，并聯(lián)高性能運算服務(wù)器等各類應(yīng)用服務(wù)器，并通過6 類雙絞線接入千兆桌面。 大體布設(shè)如圖1 所示。

圖1 數(shù)據(jù)中心結(jié)構(gòu)圖

3.2.2 網(wǎng)絡(luò)結(jié)構(gòu)：

圖2 網(wǎng)絡(luò)結(jié)構(gòu)圖

防火墻：因各個安全域的流量既需要互訪、又必須經(jīng)過嚴格的訪問控制和隔離， 本次采用Secospace USG5000 系列統(tǒng)一安全網(wǎng)關(guān)，以保證方便的進行安全域劃分，容易擴展和管理，也提高了整體性能。

核心層：采用華為Quidway S9300 系列T 比特核心路由交換機作為核心交換機。 本次配置了S9303 含一個引擎、一個電源、48 個千兆電口，24 個千兆SFP 光接口，2 個多模光模塊，并通過光纖接往200 米開外的另一處辦公節(jié)點。

接入層：使用華為Quidway S5700 系列全千兆企業(yè)網(wǎng)交換機作為接入層交換機，以實現(xiàn)該層的分級設(shè)計，本次選用的S5700-52C-SI，交換容量為256G，完成千兆到桌面的部署，提升局域網(wǎng)的訪問速率和可靠性。

3.2.3 主要服務(wù)器

建立數(shù)據(jù)服務(wù)器連接數(shù)據(jù)存儲集群， 滿足全院的數(shù)據(jù)高效存取、備份及共享性， 提高數(shù)據(jù)存儲的可擴展性及安全性。 引入IBM X3755M37164I05 一臺作為數(shù)據(jù)服務(wù)器。

建立應(yīng)用服務(wù)器，滿足全院內(nèi)部管理系統(tǒng)的發(fā)布要求，同時可以考慮作為軟件測試服務(wù)器載體， 服務(wù)后期的業(yè)務(wù)擴展并提升工作效率。 引入兩臺IBMX3650M3 7945I25 作為WEB 及應(yīng)用服務(wù)器。

建立運算服務(wù)器， 滿足中心內(nèi)高性能計算及處理等工作需求，利用硬件的高性能提高工作效率，減少工作時間，從而節(jié)約成本。對原有3 臺IBM X3400 塔式服務(wù)器升級，通過負載均衡構(gòu)建運算集群。

3.2.4 存儲及備份

引進國際領(lǐng)先的EMC 磁盤陣列VNXE3100， 此期配置滿足5 年使用的容量，考慮到磁盤陣列做了RAID5 技術(shù)后的容量，則此次配置在容量上配置為18T，做完RAID 后有14T 的容量，完全滿足3-5 年的容量需求。

為使數(shù)據(jù)能更加完善的得到備份容災(zāi)保護，并降低方案成本，采用愛數(shù)的備份存儲一體化設(shè)備PX1200，與傳統(tǒng)的4S（Server+System+Backup Software+Storage）架構(gòu)相比，更為合理和節(jié)省資源開銷。

3.2.5 配套設(shè)施

根據(jù)標準化機房的相應(yīng)要求，機房還需配置UPS 及電池組，滿足4 小時供電；建立溫控、濕控及防雷等設(shè)備；同時建立門禁及監(jiān)控設(shè)備保證機房安全性。[1-3]

3.2.6 安全性設(shè)計

數(shù)據(jù)中心構(gòu)建上需要從以下三個層次進行安全設(shè)計：

設(shè)備級的安全：需要保證最容易成為最終攻擊目標的設(shè)備本身的安全；

網(wǎng)絡(luò)級的安全：通過進行用戶接入認證、授權(quán)和審計以防止非法的接入，進行傳輸加密以防止信息的泄漏和窺測，進行安全劃分和隔離以防止為授權(quán)的訪問等進行安全保證；

系統(tǒng)級的主動安全：智能的防御網(wǎng)絡(luò)必須在潛在威脅演變?yōu)榘踩糁凹右源胧?，包括通過準入控制來使“健康”的機器才能接入網(wǎng)絡(luò)，通過事前探測即時分流來防止大規(guī)模DDoS 攻擊，進行全局的安全管理等。

3.3 相關(guān)策略

權(quán)限控制：按照IP、MAC、線路實現(xiàn)整體權(quán)限控制；通過部門、用戶、操作權(quán)限的綜合配置進行訪問和使用權(quán)限控制；專業(yè)的管理系統(tǒng)還設(shè)置相應(yīng)的秘鑰進行權(quán)限控制；結(jié)合FTP、CVS、愛數(shù)等自帶功能進行權(quán)限控制。

存儲控制： 與權(quán)限相匹配外， 同時通過數(shù)據(jù)服務(wù)器的Windows Server 2008 相應(yīng)權(quán)限設(shè)置和EMC 自帶功能結(jié)合相應(yīng)的權(quán)限控制機制實現(xiàn)存儲控制，邏輯盤符相對獨立。

版本化控制：采用CVS 等版本控制工具，對數(shù)據(jù)處理過程目錄進行版本化控制，保證數(shù)據(jù)安全的同事，適度可以有助于業(yè)務(wù)的協(xié)作分工。

備份控制：通過愛數(shù)備份存儲柜實現(xiàn)對文件系統(tǒng)、應(yīng)用系統(tǒng)和操作系統(tǒng)定時定模塊的備份策略，如對重要的業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫做數(shù)據(jù)不丟失的實時復(fù)制， 對邊緣業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫做數(shù)據(jù)庫的定時備份，保證業(yè)務(wù)系統(tǒng)的高安全性，制度控制：通過相應(yīng)的流程化管理和制度約束，保障系統(tǒng)的正常運轉(zhuǎn)和安全性操作，從而保障數(shù)據(jù)中心的順利使用。

4 后期工作展望

本數(shù)據(jù)中心主要基于測繪行業(yè)的特點，圍繞數(shù)據(jù)的安全性和高性能處理上進行考慮，在后續(xù)的升級過程中，還需要逐步的考慮深化版本控制和容災(zāi)思想，同時引入VMWare 等虛擬軟件提升性能，應(yīng)用統(tǒng)一終端進行桌面安全管理等。

［1］中國電信[2005]658 號“關(guān)于印發(fā)中國電信IDC 產(chǎn)品規(guī)范：試行的通知”[S].

［2］Q/GDW345-2009 國家電網(wǎng)公司企業(yè)標準.國家電網(wǎng)公司信息機房評價規(guī)范[S].

［3］GB50174-2008 中華人民共和國國家標準.電子信息系統(tǒng)機房設(shè)計規(guī)范[S].