小型互联网业务环境的搭建（非云平台）

现在越来越多企业已经搭建自己的网站，或者已经部署了互联网业务。随着云环境大火，更多人业务已经部署上云，但是某些场景仍需要在内部部署一套业务环境并提供外网服务。本文简单描述了一个非云平台互联网业务环境的搭建，环境规模较小（普通业务，非流服务），规划对外提供http、https服务。

拓扑图如下，搭建环境用到的设备有防火墙（图中Firewall）、交换机（图中switch）、内部服务器。ISP接口设备在图中没画出，不同运营商（电信、移动、联通、广电）不同业务类型提供的设备各有差异。

 

下面从内部主机、互联网接入，内部网络方面做说明。

目录

 

内部主机

互联网接入

内部网络

交换机配置规划

防火墙配置规划

 

---

内部主机

内部主机分为两部分，一部分用于业务，一部分用于管理。

业务系统采用前后端分离架构，前端文件和静态资源部署在nginx，后端服务器提供http接口。nginx通过反向代理将后端接口映射出来，后端服务器处理静态资源，用户上传后将数据分发到nginx服务器。

nginx（存放页面和静态资源、后端负载均衡）、后端服务器（部署tomcat或其它容器）、数据库服务器（部署mysql或其它数据库软件）用于业务；日志服务器用于管理，部署ELK，存放网络设备、服务器操作系统和应用系统日志。

其中，nginx和数据库服务器通过keepalived配置双机热备。

 

互联网接入

通常ISP提供接口为网线接口、光纤接口等，这里只需提供防火墙所适配的接口。同时由于需要提供外网服务，ISP需要提供固定的公网ip地址以及相应的dns ip，相应ip信息配置到防火墙即可接入互联网。

防火墙作为外网的入口以及内部服务器访问外网的入口，需要将默认路由配置指向ISP分配的对端接口。

此处防火墙作为隔离内外网的设备，需要将内外网划分到不同安全域，并做相应的安全策略配置。由于服务由内网服务器提供，将nginx服务器的虚拟地址映射到互联网接口，对外暴露80、443端口，其他端口拒绝访问。

这里规划防火墙为主备部署，需要接入两条线路，可根据成本、需求等因素调整成一台。

 

内部网络

内部网络由2台交换机（可根据成本、需求等因素调整成一台。）组成，交换机选择三层交换机，考虑到业务流量不大，使用全千兆电口交换机即可。

两台采用虚拟化技术进行堆叠（某3C厂商的设备具有该能力，其他厂商没使用过），服务器分别物理上接入两台交换机。

交换机配置规划

• vlan划分：

1. 配置vlan100作为业务vlan，接入业务服务器，包括nginx、后端服务器和数据库服务器。
2. 配置vlan200作为内部服务vlan，接入日志服务器、网管服务器等

• 三层接口：

1. 配置一个端口为路由模式，与防火墙互联
2. 配置vlanif100作为业务服务器网关
3. 配置vlanif200作为内部服务器设备网关
4. 配置默认路由指向防火墙

防火墙配置规划

• 配置一个端口为路由模式，与内网互联
• 对内设置一个安全域
• 增加内网服务器ip的路由

 

本文只简单描述了业务环境的搭建，随网络复杂度增加以及安全要求提升，将需要对整个环境进行更复杂的调整。