首页 > 论文范文 > 教育综合论文 > 高等教育论文 > 堡垒机技术在跨校区多数据中心安全运维中的研究与实践

堡垒机技术在跨校区多数据中心安全运维中的研究与实践

2024-09-06 53 上传者：管理员

摘要：随着近年来国家高等教育事业发展，高校普遍开始采用多校区模式办学，分校区部署的数据中心为学校信息化建设带来便捷的同时，也对安全运维工作提出了挑战。本文结合高校实际需求，提出堡垒机安全运维架构，对比分析堡垒机多活部署方案，并通过系统间联动设计进一步提升堡垒机安全运维效率。

关键词：
堡垒机
安全运维
数据中心
校园网
跨校区
加入收藏

1、引言

中国地质大学位于武汉东湖国家自主创新示范区和光谷科创大走廊腹地，现有南望山校区、未来城校区，在北京周口店、河北北戴河、湖北秭归和巴东设有野外地质教学实习基地。目前，学校两校区所有教学、实验、科研、办公楼及学生宿舍完成网络全覆盖，万兆主干到楼，基本实现千兆到桌面。校园网络出口总带宽20G，全校网络认证活跃用户达近50000人。两校区采用三主一备高速互联，形成了主动安全和主动运维服务体系，初步实现网“安”、网“稳”、网“快”，为师生提供了一个“好用”、“有用”、“有保障”的网络支撑环境。

学校形成“一云两地三中心”架构，共有南望山数据中心、未来城数据中心和未来城通信中心三个机房，机房总面积达2250平米，机柜总数242个，在架设备资产近千台，具有充足的服务空间。“地大云”平台共有物理服务器70余台，存储设备多套，为学校约50个教学科研和管理服务单位建立了千余台虚拟服务器，支持了本科生院、远程与继续教育学院、后勤保障部、图书档案与文博部等单位200余个信息系统。

随着IT技术的发展，当下高校普遍采用的云服务部署模式，具有部署周期短、运维门槛低、维护工作少、网络访问便利、业务安全及灵活性高等优点，同时随着国家高等教育事业的发展，高校往往采用多校区办学模式，往往会选择在多个校区建设数据中心机房，建设统一的管理、分布部署的私有云和托管、纳管服务器集群，方便学校信息化业务的灵活部署和资源的统筹利用。

在享受多数据中心带来的特殊便利的同时，由于种种原因，学校IT资产分布在多校区的IDC机房和各种云平台中，而资产的分散也会给安全运维管理带来新的挑战。

2、堡垒机安全运维架构设计

面对国内外复杂严峻的网络安全形势，结合学校多校区、多数据中心运行的实际环境特点，提出一套多数据中心安全运维架构。如图1所示，该架构以堡垒机技术为核心打造统一运维审计平台。平台具备权限管理、账号管理、操作复核、日志留存、动态口令、资源授权、操作审计、访问控制等功能，实现统一管理的安全运维。平台通过带外管理网络实现与有线网络、无线网络、物联网络设备的互联互通，完成校园网基础硬件设备的统一管理运维。数据中心方面，采用分区分域原则设计，在每个数据中心中将安全域与资源域通过边界安全设备隔离，堡垒机部署在安全域中，确保管理运维安全。从而实现对数据中心中基础平台、操作系统、业务系统、后台数据库等IT资源的管理维护。同时，平台提供外部接口，可实现与其他相关业务系统数据打通和协同工作。整套分布式架构可为运维人员提供统一管理入口、统一平台，并实现高可用性和服务弹性扩展。为保障平台的安全、稳定运行和科学、规范使用，配套建设制度标准体系与安全保障体系予以支撑。

图1 多数据中心安全运维架构设计图

在与学校云平台对接方面，采用分布式可扩展模式设计。如图2所示，主节点堡垒机服务采用双机高可用性架构部署，确保核心业务稳定。各校区数据中心机房在部署云资源平台管理平台的同时，可以同步部署云堡垒机或硬件堡垒机。堡垒机之间通过API接口实现互联互通和协同均衡使用。数据中心内部则云主机资源、托管资源、纳管资源优先通过本数据中心内部堡垒管理运维，出现故障和需要负载均衡时可由核心节点堡垒机切换接管业务。该架构设计模式，业务就近管理，节省数据中心互联带宽，均衡业务负载，便于故障定位和应急处置，同时也提高了堡垒机管理员的工作效率。云堡垒机通过云平台自带的快照备份等功能保证业务稳定高可用；区域堡垒机以多站点的模式实现配置数据的自动同步，从而互为备份。

图2 云平台安全运维架构设计图

3、堡垒机多活部署方案介绍

3.1 需求分析

当前学校南望山校区数据中心（A数据中心）采用5台堡垒机以集群方式进行部署，未来城校区数据中心（B数据中心）采用2台堡垒机以HA方式进行部署。A、B数据中心两套堡垒机又以“多站点冷备”地进行部署，并实现以下效果：

(1）满足同城容灾要求：当A数据中心的5台堡垒机全都不可用时，可通过B数据中心的2台堡垒机进行跨站访问，提高业务连续性的保障；

(2）满足数据一致性要求：配置数据实时同步，当在主站点堡垒机进行配置时，配置数据将实时同步至备站点堡垒机；审计数据一天自动同步一次，同步时间可自定义设置。

3.2“多点-冷备”部署模式

“多点-冷备”方案，审计数据查看便利，如图3所示，仅需要在主站点即可搜索与回放审计日志。但同时存在一定缺点。站点切换时间长，需要较多的操作步骤才能完成站点切换过程，站点切换访问不便利。切换后，操作人员需要切换到备站点IP进行访问，存在数据丢失风险：当主备站点切换时，主站点数据会完全覆盖备站点数据，造成数据丢失。

图3“多点-冷备”方案设计图

3.3“多点-多活”部署模式

“多点-多活”方案如题4所示，站点切换时间短。仅需在DNS解析设备中将域名指向另一个站点的IP即可；站点切换无需更改访问方式：操作人员都是通过唯一的域名进行访问，无需变更访问地址；数据完整性保障：当站点发生切换时，审计数据会存放在当前站点的堡垒机中，保障了审计数据的完整性。同时存在审计数据独立存储：管理员需要到每个站点搜索与回放当前站点的审计数据的问题。

图4“多点-多活”方案设计图

综合考虑学校的实际情况，“多点-多活”方案更适合学校应用环境，用户使用体验更优，推荐采用。

4、堡垒机安全运维联动设计

为避免运维孤岛，提升运维管理效率。堡垒机可通过API接口与学校各类现有信息系统实现无缝对接，打通业务流程。

4.1 身份认证平台对接设计

堡垒机与学校身份认证平台对接，实现运维人员账号、密码自动同步，单点登录。用户对应的部门组织架构自动同步，自动赋权。同时，支持组建专项工作组和临时人员赋权。

图5 堡垒机与身份认证系统联动业务流程示意图

4.2资产管理平台对接设计

堡垒机与学校资产管理平台对接，实现资产管理员录入平台的信息资产，自动在堡垒机里完成添加。后期资产移交、变更信息、注销均支持自动同步。

图6 堡垒机与资产管理平台联动业务流程示意图

4.3工单流程平台对接设计

堡垒机与学校工单流程平台对接，运维人员接到系统分配的运维工单，同时会完成堡垒机账号和资产授权，运维人员通过审批后形成正式工单，高效安全开展运维工作，工作结束后权限自动收回，完成闭环管理。

图7 堡垒机与工单流程平台联动业务流程示意图

4.4云资源管理平台对接设计

图8 堡垒机与云资源管理平台联动业务流程示意图

堡垒机与学校云资源管理平台对接，在云平台管理员完成虚拟主机创建的同时，自动生成系统账号和对应管理权限，关联对应运维人员，提高虚拟机交付效率。

5、总结与展望

传统堡垒机技术通过架构体系和部署模式升级改造，实现跨校区多数据中心统一安全运维。通过开放的API接口实现堡垒机与学校身份认证、资产管理、工单流程、云资源管理平台的系统联动工作，实现安全运维的高效、闭环、全自动化管理，进一步提升了学校IT运维工作整体水平。未来随着零信任、动态安全防御、区块链、商业密码等技术的创新应用，将进一步促进堡垒机技术发展，提升数据中心安全运维管理水平。

参考文献:

[1]刘春雷,马云飞.堡垒机跨数据中心双活部署的原理与实现[J].数字技术与应用,2022,40(01):231-233.

[2]曹园青,艾丽斯娜,王惠惠.堡垒机系统在高校网络安全架构中的联动实践研究[J].电脑编程技巧与维护,2023(03):164-167.

[3]王璐璐,王致君.电力监控仿真系统堡垒机培训探析[J].山东电力高等专科学校学报,2022,25(02):49-51+59.

[4]覃虹菱,青文星,张颖.堡垒机技术在四川地震信息网络安全运维审计中的应用[J].网络安全和信息化,2023(09).

[5]林志达,张华兵,曹小明等.基于堡垒机技术的企业信息网络安全防护模型[J].电子设计工程,2022,30(18).

[6]匡石磊.基于堡垒机的屏幕录像系统的运维操作审计研究与实践[J].网络安全技术与应用,2021(06).

[7]梁浩伟.基于堡垒机的运维安全管理[J].中国信息化,2021(04).

[8]高杰欣.堡垒机实现运维工作应管尽管[J].中国教育网络,2020(12).

基金资助:中央高校基本科研业务费专项资金资助项目——中国地质大学(武汉)高等教育管理研究青年课题(项目名称:高校网络安全治理工作体系研究,项目批准号:2023QNB07);

文章来源:马峥,高浪.堡垒机技术在跨校区多数据中心安全运维中的研究与实践[J].网络安全技术与应用,2024,(09):29-32.