互联网+时代物流平台化逐渐成为趋势，用户量和数据量增长较快，物流行业对于数据安全及隐私要求非常高，IT架构建议采用公有云配合高性能物理服务器群集的模式，非核心业务可以部署在公有云上，随时根据活动弹性扩容，核心商业数据可以保存在独立的物理服务器中，我们特有的虚拟路由网关能够很好的把两者连接起来，协同运算。

     苏州胜网最近成功帮助苏州某仓储物流电子商务公司实施了混合云，帮助用户实现了资源的弹性伸缩、稳定性、高性价比的平衡，通过胜网科技的云管平台实现了统一的云管理，通过胜网科技的安全服务有力保障了云平台的安全，获得了用户的认可，整体方案如下。

一、需求概述

       苏州某仓储物流电子商务公司（以下简称：用户）是国内领先的仓储物流管理服务商。随着业务发展，其对业务连续性要求越来越高，胜网科技结合其当前IT基础设施，协助用户制定了相关解决方案。

二、混合云解决方案

       当前用户的主要业务部署在苏州新海宜机房和新区科技城IDC内，采用某虚拟化软件产品提供虚拟机运行实际业务，虚拟机数量在数百台左右。

针对客户的实际需求，采用公有云作为主要IT基础设施，理由如下：

在服务器未形成较大规模前，除有明确的政策和战略约束外，采用公有云比采用租赁IDC机柜、自购物理设备（含网络设备、物理服务器）有更大的性价比。租赁IDC机柜的方式，可能存在扩展性较差的风险，也就是当业务量急剧增大之后，IDC无法再提供足够数量或者物理距离上足够优化的机柜资源。租赁IDC机柜的方式，在一定程度上增加了运维成本，例如对网络规划的需求、物理设备故障导致的运维成本等。

经过几轮招标，最终确认使用华为云。

混合云解决方案架构图如下：

                                         图1 混合云架构图

应用场景：供应链企业的运营管理系统、物流信息管理系统、物流平台

2.1 混合云网络架构

      如图1所示，综合考虑成本和业务需求，胜网科技建议使用华为云提供的虚拟专用网络（VPN）服务来把用户自有机房网络和华为云上VPC网络连接起来。

     根据华为云官方说明，客户现有的防火墙设备USG6306支持与华为云构建基于IPSec的VPN加密隧道。华为云上的VPC子网规划为10.100.0.0/24（客户自有机房网段为10.200.0.0/24）。

客户现有机房的IT基础设施的定位为：

提供研发环境。提供测试环境。提供简单的灾备功能，在华为云完全故障的情况下，提供一定的服务能力。从华为云上实时复制数据库。提供备份功能，包括源代码、配置文件、数据库等。提供对华为云的远程监控和报警。

华为云IT基础设施的定位为：

提供生产环境。

2.2 华为云VPC详细说明

2.2.1 Web应用防火墙WAF

    Web应用防火墙（Web Application Firewall）对网站业务流量进行多维度检测和防护，结合深度机器学习智能识别恶意请求特征和防御未知威胁，阻挡诸如SQL注入或跨站脚本等常见攻击，避免这些攻击影响Web应用程序的可用性、安全性或消耗过度的资源，降低数据被篡改、失窃的风险。

2.2.2 弹性负载均衡ELB

      弹性负载均衡（ Elastic Load Balance）将访问流量自动分发到多台云服务器，扩展应用系统对外的服务能力，实现更高水平的应用容错。

       弹性负载均衡ELB除了实现负载均衡功能之外，也极大的减少了云主机对公网IP的需求（减少成本支出），同时减少了对外暴露的攻击面（增加安全性）。

2.2.3 NAT Gateway

      NAT Gateway能够为VPC内的弹性云服务器提供SNAT功能，通过灵活简易的配置，即可轻松构建VPC的公网出口。NAT Gateway为VPC内云主机提供主动连接到公网的服务。

2.2.4 弹性云主机ECS

      弹性云主机ECS提供实际的计算能力。为了节省成本同时提高安全性，所有弹性云主机ECS上均不配置公网IP。

2.2.5 云PAAS服务

      为了保障业务连续性和简化部署架构，建议客户分别使用云数据库MySQL、云RabbitMQ、云MongoDB。

2.2.6 代码发布架构

      维持客户现有机房Jenkins发布机制不变，只需要修改发布项目对应的主机为华为云弹性云主机即可。

2.2.7混合云数据同步

        在客户现有机房内，部署MySQL从库，主库指向华为云数据库MySQL（使用华为云VPC内网IP）。

三、安全保障

3.1网络防护

       在华为云弹性云主机上设置严格的安全组/IPTABLES，确保每台云主机仅仅对其他必要的云主机开放指定的端口。

3.2堡垒机的使用

      部署胜网科技云管理平台，限定云主机SSHD访问来源。同时，多云管理也提供了对操作的审计功能。

3.3云主机密码管理

      为云主机设定密码复杂度策略，同时禁用SSHD的密码访问（启用公钥私钥认证）。

3.4部署主机防御agent

      为了实现入侵检测目的，也就是为了在第一时间发现云主机被入侵的情况，建议部署SAAS版主机防御安全系统。该主机安全系统能实时监控主机的核心文件完整性、监控Webshell、异常进程、异常操作（例如提权等）、挖矿程序等，并在发现异常时对管理员告警。

3.5 定期安全扫描与渗透测试

       通过使用工具化定期扫描，发现系统存在的常见安全风险。

通过使用胜网科技安全专家的渗透测试服务，可以进一步发现工具化扫描所无法发现的安全问题，例如应用逻辑漏洞、页面跳转漏洞、Session漏洞等。

四、总结：混合云成功关键是技术和定制能力

         胜网科技已经成功协助十几家用户咨询并实施混合云，根据胜网科技的实践，混合云成功的关键是技术能力和定制能力。首先，混合云服务商必须熟悉公有云、私有云、网络、硬件等相关技术。其次，混合云服务商必须根据用户的具体情况，贴身定制最适合用户的方案。胜网科技拥有资深的技术专家，有各种场景混合云的丰富实践，在混合云解决方案方面有独特的优势。