Esquema de la arquitectura HA de los Datacenternanotechnetworks.com/pdf/Topologia.pdfVentajas...
-
Upload
nguyenthuan -
Category
Documents
-
view
220 -
download
0
Transcript of Esquema de la arquitectura HA de los Datacenternanotechnetworks.com/pdf/Topologia.pdfVentajas...
Esquema de la arquitectura HA de los Datacenter
Diagrama f uncional de componentes perimetral es.
Toda la plataforma en el DC se encuentra virtualizada con VMware vSphere 5.5 con los últimos parches de
seguridad y actualizados semanalmente por medio de VMware Update Manager.
Se habilita la infraestructura en un segmento con cluster de Cisco Nexus 5K - 5548UP a 10Gbps en Activo/Activo
y con la tecnología de Jumbo Frame habilitada.
Diagrama f uncional de A l macenamiento.
Se cuenta con servidores HP cada uno con 2x Intel Xeon L5640 y 288GB DDR3 RAM con sistema operativo
VMware ESXi 5.5, estos equipos tienen 4 puertos 10Gbps conectados por fibra óptica usando diferentes
caminos al sistema de almacenameinto Oracle ZFS.
El sistema de almacenamiento cuenta con tecnologías ZIL y ARC2 con discos de estado sólido y arreglos de 32
discos hot swap en pools de ZFS Z2 donde se pueden dañar hasta 8 discos sin ocasionar ninguna pérdida de
información o deterioro en el servicio prestado.
El sistema de almacenamiento utiliza tecnologías de Oracle ZFS para generar snapshots (Backups) cada hora.
Se cuenta con una unidad exactamente igual conectada como espejo de la principal haciendo replicación cada
12 horas.
Diagrama f uncional de red virtual .
En la configuración de la capa de virtualización, los servidores VMware ESXi están administrados por un
vCenter, el cual se encarga de mantener operativo el clúster y entrega funcionalidades de HA, DR y
administración de la plataforma, en la configuración se encuentran vswitches distribuidos con vLan dedicada
para los clientes, cada vswitch distribuido tiene asignado por lo menos 2 NICs de 10Gbps y se ha configurado
multipath para el envío de paquetes por múltiples caminos.
Diagrama f uncional de conexión VM ware.
Toda la arquitectura de virtualización está conectada en varias capas funcion ales que permiten la conectividad a
través de redes TCP/IP, las redes de administración, carga de trabajo y clientes están separadas por seguridad y
la comunicación entre los datacenters se hace por medio de redes privadas y se replica por medio de VMware
SRM (Site Recovery Manager)
Toda la comunicación entre los diferentes componentes de la solución se encuentra encriptada usando
certificados digitales de alta seguridad, y el acceso a las diferentes capas de comunicación está reservado
estrictamente a personal de administración y control dedicado para estas actividades.
Diagrama f uncional de arquitectura virtual .
Resumen de Servicios de Red:
✓ Internet dedicado 1:1 en datacenter (Segmento alimentado por 5 operadores y un
Sistema Autonomo (AS) alimentado por un router BGP). ✓ Dirección IP Pública.
✓ VLAN para los servidores
✓ Virtual Firewall Dedicado con módulos de IDS/IPS habilitados
✓ VPN site2site y client2site con diferentes protocolos y algoritmos.
Firewall perimetral CISCO ASA, Protección FORTINET (IDS/IPS)
Reglas de publicación como lo informe el cliente.
Diagrama f uncional de l os procesos de repl icación y backups.
Bases del respaldo.
El backup que se hace en todo el Datacenter es cada hora y el SLA estándar que se maneja incluye una retención
de 2 semanas, esto no es solo a las máquinas virtuales o recursos de infraestructura contratados, el proceso de
respaldo ocurre a nivel de storage, ya que usamos una tecnología llamada ins tantáneas (snapshots) a nivel de
bloques del sistema de archivos ORACLE ZFS, la cual permite crear puntos en el tiempo y congela lo que estaba
escrito para ser liberado una vez que la instantánea vence.
Instantáneas (Snapshots)
Como ZFS no sobrescribe datos, tomar una instantánea simplemente significa no liberar los bloques utilizados
por versiones antiguas de los datos. La ventaja es que las instantáneas se toman rápidamente y también son
eficientes desde el punto de vista del espacio, pues comparten los datos sin modificar con el sistema de ficheros.
Se pueden crear instantáneas modificables (llamadas clones), lo que resulta en dos sistemas de ficheros
independientes que se crean compartiendo un conjunto común de bloques. A medida que se re alizan cambios
los bloques del sistema de ficheros divergen, pero los bloques comunes se mantendrán independientemente de
cuantos clones existan.
Fuente:
http://es.wikipedia.org/wiki/ZFS_(sistema_de_archivos).
Otra de las tecnologías de ORACLE ZFS que se emplea dentro del proceso de Backup es la replicación de bloques
y compresión con deduplicación de datos, estas tecnologías permiten en su configuración actual que una vez al
día, sean sincronizados los datos del storage con una parte de otro storage en otr a ubicación geográfica,
transmitiendo solo los datos cambiados durante las horas de desincronización y manteniendo una copia fresca
de los datos del volumen en un sitio remoto (Georeplicación), de esta forma no sólo permite hacer un mejor uso
del espacio, analizando los datos repetidos a nivel de bloques y creando punteros a los mismos, sino que
además realiza la compresión a nivel de sistema de archivos.
Ventajas adicionales que tiene el sistema de archivos empleado en nuestros datacenters son:
✓ Auto reparación (Self-healing)
✓ Modelo transaccional (Copy-on-write)
✓ Dynamic striping
✓ Espacios de almacenamiento (Storage pools)
✓ Prioridad I/O explícita con deadline scheduling.
✓ Ordenación y agregación de I/O globalmente óptima.
✓ Multiple independent prefetch streams with automatic length and stride detection.
✓ Parallel, constant-time directory operations.
Restauración del respaldo
Con respecto a la restauración del BACKUP, existen diferentes escenarios para el servicio estándar:
1) Restauración de cualquiera de los equipos contratados en el datacenter a un estado anterior en un
período de dos semanas (modo overwrite): Esta acción puede ser solicitada por el cliente en cualquier
momento a nuestro centro de soporte ([email protected]), normalmente este
tipo de requerimiento está asociados a situaciones de contingencias en las cuales la configuración o
datos del equipo en su estado más reciente resultan no viables para continuar en producción (ejemplo configuraciones que causan errores de pantalla azul en servidores windows) esto causará que el estado
del equipo y por consiguiente todos los datos almacenados en éste se verán reemplazados por el
snapshot o imagen del momento que el cliente haya considerado en su solicitud donde la situac ión de contingencia no se había presentado. Este proceso dura aproximadamente 20 minutos.
2) Restauración de cualquiera de los equipos a un estado anterior en un período de dos semanas (modo
offline): Es igual que el proceso anterior pero NO se sobreescribe el recurso en producción, sino que se
le habilita al cliente la opción de bajar la imagen del recurso a restaurar vía servicio FTP o similar a
fines de que éste pueda ejecutarlo localmente y realizar procesos de verificación o restauración selectiva de los datos que considere pertinente. El tiempo de este proceso varía en función del tamaño
de la imagen y del canal de conexión del que disponga el cliente para realizar la descarga de la misma.
3) Restauración de cualquiera de los equipos a un estado anterior en un período de dos semanas (modo
parallel online): En esta opción la imagen generada ni sobreescribe los recursos en producción ni es descargada por el cliente, en su lugar es empleada en unos recursos adicionales que son habilitados
temporalmente en nuestro datacenter a fin de poder ser cargada y trabajada en un espacio lógico
completamente aislado de la infraestructura de producción, a diferencia de las dos primeras opciones, esta alternativa implica un costo para el cliente que variará en función de los recursos temporales
necesarios para hacer la restauración y el tiempo que se necesite mantenerlos en línea.
En conclusión, con las características y SLA ofrecidos como parte de la propuesta estándar ofrece a sus
clientes la tranquilidad de tener sus datos no solo en los mejores equipos de cómputos del mercado sino que
además se contempla un esquema de respaldo que le permite recuperar el estado de su infraestructura en
cualquier momento a intervalos de una hora y hasta con dos semanas hacia atrás a partir de cualquier
incidente con georeplicación cada 24 horas y SIN afectar en ningún momento el performance de los recursos
contratados. Aun cuando el esquema planteado en nuestro servicio estándar es más que suficiente para la
mayoría de los escenarios de aplicación típicas, otros esquemas de backups (como por ejemplo un incremento
en la retención de la data) también están disponibles bajo la figura de contratación de recursos adicionales (el
costo viene dado en función de los requerimientos particulares de cada caso).
Diagrama f uncional de arquitectura de red.
Toda la arquitectura en la plataforma de datacenters es altamente redundante, el siguiente diagrama
muestra a nivel de arquitectura funcional el modelo de comunicaciones en el perímetro principal CORE.
cuenta con un direccionamiento de IP propio, alimentado con un Sistema Autonomo, en Intenet, la
comunicación subyacente se realiza por medio de protocolos BGP (Border Layer Protocol) creando así una
maya de diferentes caminos para encontrar un destino.
el direccionamiento IP es alimentado por varios proveedores los cuales entregan ancho de banda, si uno
de estos proveedores, el tráfico es enrutado inmediatamente y sin caída de servicio por un nuevo camino.
El diagrama funcional de nuestra arquitectura BGP se podría expresar de la siguiente manera:
En el diagrama anterior, se puede observar el comportamiento de un AS alimentado por 3 proveedores (ISP A,
ISP B, ISP C)
Diagrama f uncional de arquitectura de borde de Red con redes
virtual es de l os cl ientes y Virtual Firewall .
La arquitectura perimetral protege a todos los clientes de los diferentes datacenters tiene presencia, sin
embargo, para una mayor granularidad y control de las reglas de negocio de cada cliente, las máquinas de la
arquitectura virtual están agrupadas en vLANs en las que se colocan servicios de seguridad virtualizados, entre
ellos, se encuentra el Virtual Firewall dedicado para la vLAN del cliente.
Como se observa en el diagrama anterior, se aprecian 2 vLans de 2 clientes, cada vLAN con 3 máqu inas virtuales
y un Virtual firewall en el perímetro de la red virtual.
Servicios de seguridad virtual adicional es.
Dentro de los componentes activos de protección de la arquitectura en los datacenters donde se tiene
presencia, se cuenta con appliance de seguridad como:
• Reverse Web Proxy
• SSL Encapsulation
• Load Balancer
• Web Application Firewall
• Layer 2 IDS/IPS/Monitoring
• Layer 3 IDS/IPS/Monitoring
• Layer 7 IDS/IPS/Monitoring
• SNMP Comunity Monitoring
• Advance Service monitoring
Servicios de seguridad: WA F (Web A ppl ication Firewal l) .
En la arquitectura contamos con firewall de capa 7 para la protección de sitios WEB.
Esto permite a nuestros clientes y usuarios implementar y/o desarrollar servicios WEB sin tener personal
especialista en seguridad de la información, como un apoyo adicional, el sistema genera registros de acciones
bloqueadas para que nuestros clientes/usuarios puedan tomar acciones que le permitan asegurar sus
componentes en el tiempo que lo requieran ya que el perímetro de seguridad estará protegiéndolos
7x24.
Servicios de seguridad: Detección y prevención de intrusos.
Las diferentes capas de seguridad permiten tener máximo control del tráfico generado desde y hacia las
diferentes redes de los clientes así como a la arquitectura perimetral y de administración.
En cada capa de seguridad se encuentran monitores pasivos que están analizando el tráfico y comportamiento
del uso de los servicios, este monitoreo pasivo tiene el rol de IDS (Detección de intrusos) el cual al detectar una
anomalía en el comportamiento o una regla de seguridad, informa al NOC/SOC y al mismo tiempo, depende del
tipo de amenaza, informa a los diferentes firewalls para que tomen acciones inmediatas como el bloqueo por IP
del atacante.
Servicios de seguridad: NOC y SOC.
Todos los datacenters cuentan con presencia, tienen por lo menos 2 conexiones separadas armando una red
privada virtual (VPN) contra nuestro Centro de Operaciones d e Red (NOC) o de Seguridad (SOC) en donde
hay personal altamente capacitado y certificado para la mitigación de riesgos informáticos ya sea por mal
funcionamiento o por servicios comprometidos, el NOC/SOC cuenta con las herramientas de monitoreo
más avanzadas y total control y visualización de la arquitectura.
Servicios de seguridad: H erramientas avanzadas.
Nuestro NOC/SOC distribuido cuenta con un detalle granular de todos los componentes de la arquitectura así
como de todos los protocolos y servicios dentro de los centros de datos. Así podemos apoyar acciones de
ingeniería forense debidamente solicitadas para encontrar vulnerabilidades y/o desconfiguraciones en los
componentes internos, externos, virtuales y de los clientes.
Dentro de los monitores, podemos contar con análisis de paquetes y control de operaciones.