一种支持网站业务零中断的网络割接方法
杨文博 王小瑾 戴斌
（解放军报社网络传播中心）
摘要： 伴随着互联网服务提供商间的竞争，为实现网站更低成本的带宽投入，更换互联网服务提供商，逐渐成为网站网络管理的必要操作之一。然而，网络割接直接影响到并改变各项网站应用的发布IP地址，因此，如何规避风险，如何消除对业务的影响，达到网络平稳过度，本文将从准备工作、方案规划、方案实施等方面对网站出口的网络改造进行介绍，以期为业内人士提供有益参考。关键词： 网络割接 平稳 网站 IP地址1概述
网络优化是综合提升网站性能的重要手段之一。网络优化涉及到网站网络系统的多个方面，包括路由优化、网络架构优化、网络链路负载优化、出口流量优化等。其中，通过网络割接手段实现出口流量优化、网站运营成本降低等，是网络优化的难点之一。网络割接涉及到网站大量对外发布IP地址的变换，直接影响网站的发布业务，因此，如何规避风险并消除对业务的影响，达到网络平稳过度，是网络割接的目标。现有的大型综合性网站业务复杂多样，涵盖对外、多平台发布业务，内部编辑人员发稿，员工无线上网办公，通过VPN线路实现异地数据灾备等多方面，为了满足7*24小时的业务连续性，避免网络在线路割接时出现无法提供对外服务，内部无法正常访问互联网等情况，急需制定一个切实可行的网络割接方案。本方案的提出是基于链路负载均衡的网络割接方案，实施结果表明，本方案具备网络割接速度快、业务影响为零、操作难度较低等优点。2背景
现主流的政府网站是以新闻发布为主，移动客户端、论坛、邮件服务等业务为辅的综合性网站，在线使用域名（含二级域名）一般多达150个以上。网站新闻门户日访问量（按点击量）在千万次以上，客户端下载量在200万次以上，论坛活跃用户数在1万以上，邮件系统活跃用户在2万左右。网站采用传统网站结构，静态页面数据主要是通过运营商的内容分发网络（Content Delivery Network，简称CDN）对外提供快速、可靠的访问服务，动态交互数据由网站内部自有服务器群提供安全、多样的服务。本文中涉及到的某综合性网站，采用双出口链路冗余，即采用双互联网接入，以防止单点接入故障。为表述方便并满足公司隐秘性要求，称互联网提供商A和互联网提供商B。网站网络架构所有关键网络设备与安全设备均为双活模式，如图1所示。图1 网站基础网络结构示意图
3网络割接方案
针对某网站网络割接方案，涉及到网站对外服务IP地址的更换，如新闻门户域名的IP地址、论坛服务IP地址、客户端对外服务IP地址等，因此，DNS解析是不得不考虑和解决的问题。目前，按照以往实际操作经验，网站域名IP地址切换，全球DNS系统对于新IP生效时间通常是24小时左右。由于网站采用传统的DNS解析模式，即单IP解析模式，因此，即使发布服务器的内部地址映射出2个对外地址，当其中1个地址失效时，使另1个地址生效仍需人工干预更改DNS配置。由于某网站域名约150多个，当进行对外IP地址更替时，如何保证互联网用户正常访问网站是需要处理的难点之一。不仅如此，内部编辑人员发稿，员工无线上网办公，通过对外提供VPN线路访问以及实现异地数据灾备等业务也不同程度受到影响。为解决上述问题，本文提出了基于网站出口区链路负载均衡功能的两种解决方案，并比较两种方案各自的优缺点。需要引入互联网服务商C来替换互联网服务商A。另外，为了保证网站数据的可靠性及安全性，在网站线路割接完毕后，针对异地灾备网站业务也进行了规划设计，确保在整个切换过程中实现平滑过渡。3.1方案一为避免两网地址切换引起的地址震荡导致的无法对外提供访问服务，方案首先应考虑所有网络的连续性，因此，将所有线路A上的业务无缝切换至线路B，为了防止业务不会因为割接而导致B线路流量激增，应增加线路B的带宽，以确保网站网络连接的稳定性。如图2，图2 线路A出口路由器切换图
将线路A更换为线路C，具体实施步骤如下：(1).提高带宽保持当前拓扑结构不变，临时提高B线路的带宽以确保稳定性。要点：为确保网络切换无缝衔接及稳定安全，现有拓扑及其配置完全不变动，先将线路B的带宽提高，增强健壮性，为整体业务切换到线路B做好准备。(2).梳理业务梳理所有业务IP地址以及流量走向，将向外访问的流量逐步切换至线路B；要点：将所有线路A业务整体平移到线路B，并进行测试，保证所有切换的业务正常，出现问题马上回退至线路A，要确保全部业务正常。(3). 配置替换要点：将路由器A的配置替换为线路C的配置，此时路由器角色由A转换成C，将A配置备份，便于之后回退。保证线路C与互联网服务商C网络通讯正常。(4).边缘业务地址切换对DNS域名解析地址、CDN数据源地址、对外VPN访问地址逐个进行地址切换。要点：需要对目前所有涉及的域名解析地址，CDN数据源地址，VPN地址进行排查，做到不遗漏。(5).配置出口交换机以及负载均衡设备要点：基于交换机与负载均衡设备上原有配置，增加线路C的配置，保证网站的网络通畅。(6).恢复业务要点：将临时迁线路B上的业务逐步恢复至线路C，双线运行并测试。由于上文提到的关于DNS解析缓存更新时间的问题，导致对外服务业务不稳定，24小时后，如所有业务正常，将B线路带宽恢复，如业务未恢复，利用之前步骤3备份的路由器A配置，还原所有配置。3.2方案二为避免两网地址切换引起的地址震荡导致的无法对外提供访问服务，方案首先应考虑所有业务的连续性，从而，线路A与线路C阶段性双线可访问成为方案集中出发点。图3 三线路并行可访问网络拓扑
(1).增加线路C保持原拓扑结构不变，保证线路A依旧原结构正常访问。要点：为确保网站业务切换无缝衔接及稳定安全，现有拓扑及其配置完全不变动，线路C将新加入。(2). 增加临时路由器C作为线路C的出口路由器。要点：将线路C的配置增加到路由器C中，测试线路C与互联网服务商C的网络通畅。(3). 边缘业务地址切换对DNS域名解析地址、CDN数据源地址、对外VPN访问地址逐个进行地址切换。要点：需要对目前所有涉及的域名解析地址，CDN数据源地址，VPN地址进行排查，做到不遗漏。(4).配置出口交换机以及负载均衡设备要点：基于交换机与负载均衡设备上原有配置，增加线路C的配置，使之与线路A的业务对应，保证网站的业务通畅。24小时后，确保所有对外提供的服务都切换到了互联网服务商C后，切断线路A，将路由器C的配置备份，将配置迁移至路由器A，此时路由器角色由A转换成C，放入线路C中，替换下临时增加的路由器C。观察业务是否正常运行，如不正常，回退操作。3.3方案对比两种方案总体优缺点总结如下：方案一：优点：(1).割接全过程无需断网；(2).无需增加设备；(3).实施步骤较简单；缺点：(1).临时提高带宽的成本增加；(2).所有业务均变为单点单线，一旦线路B出现问题恢复时间将很长；(3).业务中断至少24小时；(4).操作风险较高方案二：优点：(1).割接过程全程业务基本不中断；(2).多链路冗余备份，不会出现单点故障造成业务恢复时间过长；(3).操作风险较低；缺点：(1).需要额外增加设备；(2).实施步骤较多；(3).造成网络短时间中断；两方案的对比如表1所示：表1 方案对比表
| 方案一 | 方案二 | 理想方案 | |
| 业务中断指数 | 高 | 低 | 低 |
| 网络中断指数 | 低 | 中 | 低 |
| 是否切换到线路B | 是 | 否 | 否 |
| 方案操作复杂度 | 低 | 中 | 低 |
| 方案风险程度 | 中 | 低 | 低 |
4方案实施
网站目前是互联网提供商A和互联网提供商B并行对外提供访问服务，同时内网编辑用户还要访问互联网，一部分业务流量运行在A线路，另一部分运行在B线路，按照常规的网络割接方案，可以先将A线路中的全部流量切换到B线路上，当更换成C线路后，再将那部分流量从B线路切回到C线路。但是在迁移流量的过程中，网站的静态数据是通过CDN服务商来提供服务，动态数据是通过本网站的DNS服务器进行解析，当流量切换后，DNS地址映射表也要同时更新，由于DNS的更新周期需要一定的失效时间，外网用户在这段时间访问线路A线路那部分业务的动态数据时，会出现无法访问的情况。为了避免这种情况发生，可以采用增加出口的方法，在网站出口区增加一条线路C，同时增加一台利旧路由器C，将线路A上的业务流量同时引到线路C上，使原来流量同时运行在A和C两条线路上，经过一段时间运行，DNS服务器地址映射里更新了线路C地址，此时，将线路C上的临时路由器C撤下，替换成路由器A，外网用户访问网站业务不受影响。4.1设备选型新增路由器：临时路由器C（利旧）4.2设备关键配置思路(1).对出口交换机进行配置。要点：由于需要三网并行且链路负载均衡设备需要与三网通讯，应在出口交换机上增加对于线路C的配置，增加新vlan对应新出口地址。(2).对链路负载均衡设备配置进行调整要点：负载均衡设备分为两部分，底层是交换机，上层是负载均衡，1） 在底层交换机新增vlan，使之能与出口路由器通讯；2） 底层交换机与出口交换机相连的trunk上面；3） 在上层负载均衡设备上增加线路C的业务配置，使之适应三线同时访问；4.3业务切换对未经负载均衡设备的上网地址进行切换，主要是内网编辑用户办公上网和无线上网两个业务。要点：需要对目前所使用的所有线路A网段地址进行清理排查，做到不遗漏，当线路C路由器部署完毕后，先行将这部分线路切换至线路C线路初步测试。如出现问题，5分钟内切换回线路A线路。4.4异地数据灾备网站地址切换网站的异地数据灾备网站，以下简称异地备站，对本地网站简称主站，主要作用是防止地理和自然灾难，当主站全部故障后，可以确保在异地有一份完整的数据拷贝，同时提供网站对外发布服务。主站与备站之间在防火墙上建立VPN通道，通过在网站内网管理PC机上输入备站外网地址，可以在主站通过HTTP或者SSH方式登录网络设备，同时也可以在内网的管理机上登录备站服务器设备。备站防火墙品牌是S公司的中端产品，而主站防火墙型号是启明是Q低端产品，由于品牌型号差异，建立VPN时，会考虑配置兼容性问题，所以采用两种设备交集功能进行配置。主站与备站之间的拓扑如图4。图4 主站与备站之间的拓扑图
操作步骤说明：(1).登录主站与备站防火墙，分别进行配置备份；(2).确认使用外网网段的管理PC机可以用SSH和HTTP方式登录备站防火墙进入配置模式；(3).修改主站防火墙对外地址，同时IPsecVPN会话自动失效；(4).用外网网段管理PC机以SSH方式登录备站防火墙进入配置模式修改配置，感兴趣流不变；(5).登录出口防火墙查看连接是否建立；要点：如果VPN未建立成功，先按照之前备份退回到变更之前。
评论 点击评论