上海某仓储物流电子商务公司混合云解决方案

新钛云服最近成功帮助上海某仓储物流电子商务公司实施了混合云,帮助用户实现了资源的弹性伸缩、稳定性、高性价比的平衡,通过新钛云服的TiOps云管平台实现了统一的云管理,通过新钛云服的安全服务有力保障了云平台的安全,获得了用户的认可,整体方案如下。

一、需求概述

上海某仓储物流电子商务公司(以下简称:用户)是国内领先的仓储物流管理服务商。随着业务发展,其对业务连续性要求越来越高,新钛云服结合其当前IT基础设施,协助用户制定了相关解决方案。

二、混合云解决方案

当前用户的主要业务部署在上海某IDC内,采用某虚拟化软件产品提供虚拟机运行实际业务,虚拟机数量在数百台左右。

针对客户的实际需求,采用公有云作为主要IT基础设施,理由如下:

  1. 在服务器未形成较大规模前,除有明确的政策和战略约束外,采用公有云比采用租赁IDC机柜、自购物理设备(含网络设备、物理服务器)有更大的性价比。
  2. 租赁IDC机柜的方式,可能存在扩展性较差的风险,也就是当业务量急剧增大之后,IDC无法再提供足够数量或者物理距离上足够优化的机柜资源。
  3. 租赁IDC机柜的方式,在一定程度上增加了运维成本,例如对网络规划的需求、物理设备故障导致的运维成本等。

经过几轮招标,最终确认使用华为云。

混合云解决方案架构图如下:

上海某仓储物流电子商务公司混合云解决方案

图1 混合云架构图

2.1 混合云网络架构

如图1所示,综合考虑成本和业务需求,新钛云服建议使用华为云提供的虚拟专用网络(VPN)服务来把用户自有机房网络和华为云上VPC网络连接起来。

根据华为云官方说明,客户现有的防火墙设备USG6306支持与华为云构建基于IPSec的VPN加密隧道。华为云上的VPC子网规划为10.100.0.0/24(客户自有机房网段为10.200.0.0/24)。

客户现有机房的IT基础设施的定位为:

  • 提供研发环境。
  • 提供测试环境。
  • 提供简单的灾备功能,在华为云完全故障的情况下,提供一定的服务能力。
  • 从华为云上实时复制数据库。
  • 提供备份功能,包括源代码、配置文件、数据库等。
  • 提供对华为云的远程监控和报警。

华为云IT基础设施的定位为:

  • 提供生产环境。

2.2 华为云VPC详细说明

2.2.1 Web应用防火墙WAF

Web应用防火墙(Web Application Firewall)对网站业务流量进行多维度检测和防护,结合深度机器学习智能识别恶意请求特征和防御未知威胁,阻挡诸如SQL注入或跨站脚本等常见攻击,避免这些攻击影响Web应用程序的可用性、安全性或消耗过度的资源,降低数据被篡改、失窃的风险。

2.2.2 弹性负载均衡ELB

弹性负载均衡( Elastic Load Balance)将访问流量自动分发到多台云服务器,扩展应用系统对外的服务能力,实现更高水平的应用容错。

弹性负载均衡ELB除了实现负载均衡功能之外,也极大的减少了云主机对公网IP的需求(减少成本支出),同时减少了对外暴露的攻击面(增加安全性)。

2.2.3 NAT Gateway

NAT Gateway能够为VPC内的弹性云服务器提供SNAT功能,通过灵活简易的配置,即可轻松构建VPC的公网出口。NAT Gateway为VPC内云主机提供主动连接到公网的服务。

2.2.4 弹性云主机ECS

弹性云主机ECS提供实际的计算能力。为了节省成本同时提高安全性,所有弹性云主机ECS上均不配置公网IP。

2.2.5 云PAAS服务

为了保障业务连续性和简化部署架构,建议客户分别使用云数据库MySQL、云RabbitMQ、云MongoDB。

2.2.6 代码发布架构

维持客户现有机房Jenkins发布机制不变,只需要修改发布项目对应的主机为华为云弹性云主机即可。

2.2.7混合云数据同步

在客户现有机房内,部署MySQL从库,主库指向华为云数据库MySQL(使用华为云VPC内网IP)。

三、安全保障

3.1网络防护

在华为云弹性云主机上设置严格的安全组/IPTABLES,确保每台云主机仅仅对其他必要的云主机开放指定的端口。

3.2堡垒机的使用

部署新钛云服云TiOps,限定云主机SSHD访问来源。同时,TiOps也提供了对操作的审计功能。

3.3云主机密码管理

为云主机设定密码复杂度策略,同时禁用SSHD的密码访问(启用公钥私钥认证)。

3.4部署主机防御agent

为了实现入侵检测目的,也就是为了在第一时间发现云主机被入侵的情况,建议部署SAAS版主机防御安全系统。该主机安全系统能实时监控主机的核心文件完整性、监控Webshell、异常进程、异常操作(例如提权等)、挖矿程序等,并在发现异常时对管理员告警。

3.5 定期安全扫描与渗透测试

通过使用工具化定期扫描,发现系统存在的常见安全风险。

通过使用新钛云服安全专家的渗透测试服务,可以进一步发现工具化扫描所无法发现的安全问题,例如应用逻辑漏洞、页面跳转漏洞、Session漏洞等。

四、总结:混合云成功关键是技术和定制能力

新钛云服已经成功协助十几家用户咨询并实施混合云,根据新钛云服的实践,混合云成功的关键是技术能力和定制能力。首先,混合云服务商必须熟悉公有云、私有云、网络、硬件等相关技术。其次,混合云服务商必须根据用户的具体情况,贴身定制最适合用户的方案。新钛云服拥有资深的技术专家,有各种场景混合云的丰富实践,在混合云解决方案方面有独特的优势。

作者介绍

胥峰新钛云服首席解决方案架构师,十二年运维经验,曾长期在盛大游戏担任运维架构师,参与盛大游戏多款大型端游和手游的上线运维。资深Linux专家,拥有工信部高级信息系统项目管理师资格,著有畅销书《Linux运维最佳实践》,译著《DevOps:软件架构师行动指南》是DevOps领域的经典著作。