政务云网介绍

一.产生背景

        我国自2000年开始推广电子政务，以代替线下流程。但在电子政务的推进过程中，各种问题也渐渐暴露出来。

        主要表现为：由于缺乏统一规划，各部门电子政务建设自成一体，每个部门都有自己的机房、网络设备、服务器、数据库等一整套的软硬件，各部门需要自行管理和维护这些基础设施，这种小而全分散建设导致资金投入大，资源利用效率低，管理成本高，网络安全隐患大。

        或者说各部门网站之间存在信息孤岛、信息交互困难、风格不统一等问题。运维管理难，网络安全保障性差，性价比很差。

二.什么是政务云

        政务云是基于云计算技术的一种针对政府部门的信息化解决方案。它为政府部门提供了层次清晰、功能完备的云计算平台，能够满足政府部门对安全、稳定、可靠的信息化基础设施的需求政务云的核心特点包括：

• 独立私有：政务云的基础设施由政府独立拥有和管理，数据安全受到严格保护。
• 多租户：政务云可以同时满足多个政府部门、机构和单位的需求，实现资源共享、协同办公等功能。
• 弹性扩展：政务云能够根据需求的变化，灵活调整计算、存储、带宽等资源的规模。
• 高可用：政务云采用高可用架构，保证政府部门在遇到故障或灾难时的信息系统能够继续正常运行。

三.业务需求分析

• 云计算平台：提供包括弹性计算、关系存储、负载均衡、容灾系统等在内的基础云服务。
• 大数据平台：提供数据采集、清洗、加载的能力和BI分析，数据模型、开发平台等的基础服务。应该说是处于云计算平台上一层的。
• 数据中心：完备的数据中心需要包括制冷、水电、消防、灾备等能力。
• 智慧城市：实现符合需求的支柱产业建设目标，包括智慧园区、智慧农业、智慧政务、智慧产业和互联网+行业的解决方案。

 四.政务云技术架构

        政务云的技术架构可概括为“四横两纵”，其中四横是指：

        基础设施服务层(IaaS)、数据服务层(DaaS)、平台服务层(PaaS)、应用软件服务层(SaaS)；两纵是指：信息安全体系、管理体系。

        基础设施股务层(IaaS)：提供基本的计算、存储、网络服务；提供基础资源的虚拟化服务、资源的动态分配、再分配和回收。
        数据服务层(DaaS)：DaaS数据即服务。数据共享交换平台通过进行数据的比对、处理、融合和共享，为电子政务应用和各厅局的专业应用提供统一数据支撑。大数据智能分析平台，通过高性能的实时和非实时大数据计算能力、丰富的统计、分析、挖掘模型，为政务决策提供智能支撑。
        平台服务层(PaaS)：平台服务层包括信息资源与应用支撑。应用支撑主要提供网络信任体系、中间件、应用开发、单点登录等功能。
        软件服务层(SaaS)：SaaS软件即服务，开展政务服务云、政务行业云、政务管理云、政务决策云、政务办公云等建设。

        两纵指的是：
        云平台信息安全管理体系：针对云平台建设，通过技术手段保证数据安全、应用安全、主机安全、网络安全、物理安全、管理安全，保障省省级电子政务外网统一云平台的安全。
        管理体系：包括运行维护管理和运营管理，保障云平台的正常运行，提供资源管理、调度管理、监控管理等运维功能，以及业务管理、流程管理、订单管理等运营功能。

五.数据中心架构

考虑到容灾的场景，政务云的网络架构设计是一个两地三中心的模式。

两地：本地的一个数据中心，异地的一个灾备中心。

三中心：本地的一个主数据中心机房（也被称为生产中心），一个同城双活的数据中心以及一个灾备中心。

架构解析：

        本地的两个中心一般是通过租用裸光纤的方式，通过波分设备进行连接。波分设备的一个作用就是讲不通波长的光合为一束，沿着单根光纤进行传输，保证两中心数据传输的带宽。

        本地生产中心和灾备中心是通过广域网，然后租用一个专线进行数据交互。

        外部数据中心：也被称为互联网区，一般用来发布一些政务公开的数据，例如：政府网站，对外提供查询的网站，举报系统（12345）
        互联网区也有一些划分：从外到里分别是出口区（会串联防火墙、IPS、防病毒、WAF），核心交换区（包括交换机、负载均衡）和最里面的数据中心（包括各种虚拟机、存储资源池、IP存储网络）

        内部数据中心：也被称为政务外网，一般是自身的一些业务系统，例如一些水利、环保等一些对内开放的业务系统和数据库

1. 网络资源设计：网络采用扁平化二层架构，分为核心层和接入层，提高性能，减少时延；网络大二层部署，保证虚拟机在资源池内部的热迁移能力；核心交换机旁桂负载均衡器，提供负载均衡增值服务；防火墙支持虚拟防火墙能力，实现业务系统之间的安全隔离。
2. 计算资源设计：采用标准化的X86物理服务器，构建计算资源池。采用OpenStack开放架构，支持Xen、KVM等主流虚拟化平台。X86服务器根据业务系统对资源的不同需求，配置不同的产品型号及物理配置，划分高性能计算区、通用性能计算区，分别作为虚拟化资源和物理机资源。（GPU物理机）
3. 存储资源设计：多样化存储部署，满足不同业务系统的需求，降低存储的投资成本。对于数据库、VM文件系统采用FC SAN进行承载；对于非结构化数据、虚拟化镜像等数据存储，建议采用分布式文件系统存储承戴，保障存储性能和扩容能力。
4. 业务云化设计：根据各政府部门业务对云资源的不同需求，以及业务云化的难度，分批逐步的将现网业务系统迁移至云胶务商政务云，实现更多政务业务的云化。
5. 云管理平台设计：构建统一云管理平台，通过对政务云益础资源的抽象和资源池化，提供自助式的IaaS、PaaS、SaaS服务。政府客户可通过云管理平台统一门户自助申请云服务，并进行灵活的管理。同时，云管理平台也负责对政务云所有鉴础资源进行统一的运维管理。

也可参考以下图示：

六.政务云网络划分

子网名称	网络功能
公众网（互联网）	我们日常使用的网络
政务外网互联网出口区	政务外网的门户网站区（比如政务公开的网页、招投标大厅、政务流程中请网 站，部署的是w心b服务器）
政务外网内部区城	党政机关非涉密的办公业务网络，数据库部署位置、存储部署位置、应用软 件部署位置，部署的是应用服务器、数据库服务需存储服务器。（政务外网属 非涉密网性质，是政府的业务专网，主要运行政务部门面向社会的专业性服 务业务和不需在内网上运行的业务，是服务于各级党委、人大、政府、政协、 法院和检察院等政务部门，用户正常的对外(例如公众、其他组织)进行信息和 数据交流，满足共经济调节，市场监管，社会管理和公共服务等方面需要的 政务公用网络。）
待迁入的政务专网	党政机关非沙密的办公业务网，专网是历史问题，是部门条块的体现，视 频专网、水利专网、卫检专网、交管专网，国家现在原则不再建设专网，要 逐步迁移和融合到内外网上来。
政务内网	电子政务内网是党政机关涉密的办公业务网络，实现政府内部办公、包括向 公务员提供服务及政府机关之间的互联互通，在网络设计上与其他网络完全 物理上断开。电子政务内网主要为领导决策和指挥提供信息支持和技术服 务，并承担公文、应急、值班，邮件、会议等办公业务。覆盖的范回尽可能 的减少，对上与国家电子政务内网互联。政务内网的连接范国不会涉及到乡 镇这一级的政府，目不能与外网交换信息。所以一般副省级以下的城市中， 党政机关的业务主要部署在外网当中。

七.实际案例

一个省级政务网架构

具体解析：

        图示的右边是互联网区，通过联通、电信双云双链路做一个冗余，然后出口区通过双防火墙和核心区进行连接。核心区按照等保要求，部署了一系列的等保设备，同时也有一个安全区放置了密保的设备，按照密评的要求。还连接了两个业务区和一个开发测试区。

        互联网区的左侧通过一个网闸交换系统（并不一定是物理隔离，也有可能是逻辑隔离。就算按照等保的要求，但实际情况每个地方的实施办法不同）与电子政务外网（政务外网）进行一个连接，政务外网的网络架构和互联网区的架构有点相似。有自己的二级、三级的业务区，有自己的安全管理区和密码服务器区。不同点：互联网区的对外出口是互联网，而政务外网的对外出口分为上、下两类，向上是连接各个其他省和国家的电子政务外网，向下是连接各个市、区、县的。

        政务外网的左侧是通过一个网闸连接到一个政务内网。

下图是对实例的丰富：

向上和向下的网络可以参考下图：

        一般政务云的建设主要涉及的是政务外网。省电子政务外网采用分区规划，分层设计，双节点冗余部署。整个网络分为核心路由区、广域网区、城域网区、数据中心区、互联网出口区。

        核心路由区由2台广域网高端核心路由器和2台城域网高端核心交换机口字型互联。

        广域网采用省级、市級、县级三层部署，省级到市级采用1000M链路，市级至县级为100M链路。

 下图是对丰富图VPN接入的解析：

        数据中心的移动用户、远程办公用户等，需要通过互联网对数据中心进行远程访问，以实现远程办公需要；某些分支机构，由于资金或网络条件的限制，无法通过专线或MPLS-VPN的方式接入到数据中心，需要通过互联网的方式接入到数据中心。 

国家级广域网架构：

 八.数据中心内部网络架构

        传统机房的三层网络架构存在以下几个方面的问题：

• 网络的层次较多，导致数据处理效率低，增加了处理时延和线路时延
• 在数据中心规模不断扩大的情况下，汇聚设备会成为整个网络的瓶颈，导致出现拥塞、丢包等问题
• 网络设备之间的STP、LAG、路由处理、安全等相互之间的交互信息，随着设备数量的增加，会成几何级数激增
• 随着数据中心虚拟化的部署，新的数据中心流量模型中，大多数的流量是在内部服务器之间进行通信，甚至能够达到整体流量的75%，这种部署架构会导致服务器之间流量需要通过汇聚层甚至核心层设备转发，效率低下，且性能很差。且无法满足虚拟机迁移问题。

        为了解决上述存在的问题，数据中心核心网络建议采用核心层和接入层的的二层扁平化网络架构，二层扁平化的网络架构可以实现：

1. 简化网络管理，降低投资成本，降低维护管理成本：
2. 简化网络拓扑，降低网络复杂度，提高网络的性能，支撑高性能的服务器流量：
3. 提高网络利用率，支撑云计算技术的资源池动态调度：