第四章实施篇——从蓝图到现实4.1 基础设施层建设4.1.1 基础设施建设的理论定位基础设施层是企业信息化建设的“地基工程”其理论任务是为上层应用系统提供稳定、安全、高效的运行环境包括网络、服务器、存储、安全等硬件设施以及操作系统、数据库、中间件等基础软件。正如建造高楼必须先打好地基信息化建设也必须先筑牢基础设施。很多企业在信息化建设中容易犯“重应用、轻基础”的错误——花大价钱买了ERP软件却发现服务器跑不动业务系统上线了网络却经常中断数据越来越重要却没有备份机制。结果是系统有了但用不起来或者用起来提心吊胆。基础设施建设的核心价值价值维度描述对信息化的意义稳定可靠保障系统7×24小时连续运行业务不中断数据不丢失性能保障提供足够的计算、存储、网络能力系统响应快用户体验好安全防护保护系统免受攻击和数据泄露业务安全合规达标可扩展性支持未来业务增长和技术演进投资保护避免重复建设4.1.2 网络与安全基础设施建设企业网络架构设计中小企业典型网络架构text┌─────────────────────────────────────────────────────────────┐ │ 互联网 │ │ ↓ │ │ ┌─────────────┐ │ │ │ 防火墙 │ │ │ └─────────────┘ │ │ ↓ │ │ ┌─────────────┐ │ │ │ 核心交换机 │ │ │ └─────────────┘ │ │ ┌──────────────┼──────────────┐ │ │ ↓ ↓ ↓ │ │ ┌────────────┐ ┌────────────┐ ┌────────────┐ │ │ │ 接入交换机 │ │ 接入交换机 │ │ 接入交换机 │ │ │ └────────────┘ └────────────┘ └────────────┘ │ │ ↓ ↓ ↓ │ │ ┌────────────┐ ┌────────────┐ ┌────────────┐ │ │ │ 办公区 │ │ 生产区 │ │ 服务器区 │ │ │ └────────────┘ └────────────┘ └────────────┘ │ └─────────────────────────────────────────────────────────────┘网络设计关键要点要点说明建议核心层高速数据转发不处理复杂策略万兆核心交换机双机热备汇聚层策略控制、流量管理千兆汇聚交换机接入层终端接入千兆到桌面网络隔离不同安全区域隔离VLAN划分防火墙策略无线覆盖移动办公支持企业级AP无缝漫游网络安全防护体系纵深防御体系架构text┌─────────────────────────────────────────────────────────────┐ │ 第一层边界防护 │ │ ┌────────────┐ ┌────────────┐ ┌────────────┐ │ │ │ 防火墙 │ │ 入侵检测 │ │ VPN网关 │ │ │ └────────────┘ └────────────┘ └────────────┘ │ ├─────────────────────────────────────────────────────────────┤ │ 第二层主机防护 │ │ ┌────────────┐ ┌────────────┐ ┌────────────┐ │ │ │ 杀毒软件 │ │ 主机防火墙 │ │ 漏洞扫描 │ │ │ └────────────┘ └────────────┘ └────────────┘ │ ├─────────────────────────────────────────────────────────────┤ │ 第三层应用防护 │ │ ┌────────────┐ ┌────────────┐ ┌────────────┐ │ │ │ WAF防火墙 │ │ 身份认证 │ │ 权限控制 │ │ │ └────────────┘ └────────────┘ └────────────┘ │ ├─────────────────────────────────────────────────────────────┤ │ 第四层数据防护 │ │ ┌────────────┐ ┌────────────┐ ┌────────────┐ │ │ │ 数据加密 │ │ 备份恢复 │ │ 敏感数据 │ │ │ │ │ │ │ │ 脱敏 │ │ │ └────────────┘ └────────────┘ └────────────┘ │ └─────────────────────────────────────────────────────────────┘安全设备选型建议设备类型功能选型要点预算参考防火墙网络边界防护、访问控制吞吐量、并发连接数1-5万元上网行为管理员工上网管理、带宽控制用户数、应用识别能力1-3万元入侵检测/防御检测并阻断攻击检测准确率、性能2-5万元VPN网关远程安全接入并发用户数、加密性能1-2万元WAF防火墙Web应用防护攻击识别能力、性能2-5万元远程办公支持方案中小企业远程办公典型方案text┌─────────────────────────────────────────────────────────────┐ │ 远程员工 企业内网 │ │ ┌──────┐ ┌──────────────────────┐ │ │ │ 电脑 │───┐ │ ┌────┐ ┌────┐ ┌────┐ │ │ │ └──────┘ │ │ │ERP │ │OA │ │CRM │ │ │ │ ┌──────┐ │ Internet │ └────┘ └────┘ └────┘ │ │ │ │ 手机 │───┼────────────────▶│ ↑ │ │ │ └──────┘ │ │ ┌──────┴──────┐ │ │ │ ┌──────┐ │ │ │ VPN网关 │ │ │ │ │ 平板 │───┘ │ └─────────────┘ │ │ │ └──────┘ └──────────────────────┘ │ └─────────────────────────────────────────────────────────────┘远程接入方案对比方案优点缺点适用场景VPN安全、成熟、成本低配置复杂、性能受限远程办公堡垒机审计功能强、权限精细成本高运维人员、第三方外包虚拟桌面数据不落地、统一管理成本高、体验依赖网络研发、客服等云桌面即开即用、弹性扩展长期成本高短期项目、临时办公4.1.3 云平台选择与部署云服务模式对比模式定义管理范围适用场景IaaS基础设施即服务用户管理操作系统以上有专业IT团队、需高度定制PaaS平台即服务用户管理应用和数据开发测试、应用托管SaaS软件即服务用户仅使用软件标准应用、快速上线部署模式对比模式定义优点缺点适用场景公有云第三方云服务商提供弹性、低成本、免运维数据安全顾虑中小企业、互联网应用私有云企业自建云平台安全可控、合规成本高、运维复杂大型企业、政府、金融混合云公有云私有云组合灵活、兼顾安全与弹性管理复杂有峰值需求、敏感数据主流云平台对比云平台优势劣势适用场景阿里云国内市场份额第一、生态完善国际业务支持一般国内企业首选腾讯云游戏、社交领域优势企业级服务经验相对弱互联网、游戏企业华为云政企市场强、安全合规生态相对弱政府、大企业AWS全球领先、技术成熟国内访问速度、合规跨国企业、出海业务Azure微软生态整合国内支持相对弱微软技术栈企业云资源规划建议资源类型选型要点中小企业建议云服务器CPU、内存、带宽、存储初期2-4核8G起步根据负载调整云数据库性能、可用性、备份RDS MySQL高可用版对象存储容量、访问频次、成本标准存储低频存储分层CDN加速效果、覆盖范围静态资源加速提升访问体验负载均衡性能、会话保持多服务器分发流量提高可用性云防火墙防护能力、日志审计基础DDoS防护Web应用防火墙4.1.4 基础软件环境统一身份认证SSOSSO的价值一次登录到处访问员工只需记住一套账号密码统一权限管理入职、离职一键授权/回收权限安全合规统一密码策略、多因素认证中小企业SSO方案方案优点缺点适用场景钉钉/企业微信免费、易用、员工已安装仅支持自有应用使用钉钉/企微办公的企业LDAP/AD标准协议、兼容性好需自建、维护复杂有IT团队、技术栈成熟CAS开源、灵活需开发集成自研应用多AuthingSaaS服务、功能全面付费快速上线、功能要求高企业级通信工具工具核心功能优点缺点价格钉钉沟通、OA、协同功能全面、生态好信息过载免费/付费企业微信沟通、客户管理与微信互通功能相对简单免费/付费飞书文档、协作、OKR体验好、协同强生态相对弱免费/付费Teams沟通、会议、Office集成微软生态国内体验一般随Office 365文档管理与协作平台平台核心功能优点缺点价格腾讯文档在线文档、表格实时协作、免费功能相对简单免费/付费金山文档在线文档、WPS兼容WPS用户友好生态相对弱免费/付费语雀知识库、文档结构化知识管理协作功能弱免费/付费Confluence企业Wiki、知识库功能强大、集成好贵、复杂付费SharePoint文档管理、门户微软生态复杂、贵随Office 3654.1.5 基础设施建设的实施步骤第一步需求分析明确需要部署哪些应用系统估算用户数、并发量、数据量确定性能、可用性、安全性要求了解预算和 timeline第二步方案设计网络拓扑设计服务器选型物理机/云安全方案设计备份与容灾方案预算编制第三步采购与部署设备采购/云资源开通网络布线服务器安装与配置基础软件安装安全策略配置第四步测试与优化网络连通性测试性能压力测试安全漏洞扫描备份恢复演练根据测试结果优化第五步移交与运维文档移交网络拓扑、配置清单、账号密码运维培训建立监控告警制定应急预案4.1.6 基础设施运维管理监控体系建设监控维度监控指标告警阈值工具推荐网络带宽利用率、丢包率、延迟80%、1%、50msZabbix、Prometheus服务器CPU、内存、磁盘、负载80%、80%、90%、5Zabbix、Prometheus数据库连接数、慢查询、死锁接近上限、1秒、0云监控、Prometheus应用响应时间、错误率2秒、1%APM工具安全攻击事件、异常登录任何事件安全设备日志备份策略数据类型备份频率保留周期备份方式业务数据库每日全量每小时增量30天自动备份文件服务器每日增量30天自动备份系统配置每次变更长期手动版本控制虚拟机镜像每周30天自动快照应急预案故障场景响应时间恢复措施责任人服务器宕机5分钟重启/切换备用机运维工程师网络中断10分钟切换备用线路/联系运营商网络工程师数据库故障15分钟从备份恢复/切换从库DBA安全攻击立即阻断IP、隔离系统安全工程师数据丢失30分钟从备份恢复DBA4.1.7 常见问题与避坑指南问题1网络设计不考虑未来表现只考虑当前需求布线只够现在用核心交换机端口用完无法扩展。对策网络设计要有前瞻性核心交换机留足端口布线考虑未来3-5年需求。问题2安全投入不足表现只买防火墙没有入侵检测没有备份没有应急预案。对策安全是“1”其他是后面的“0”。安全投入不能省至少要做到基础防护和数据备份。问题3云资源“大炮打蚊子”表现买了高配服务器实际负载不到10%浪费钱。对策云资源可以弹性调整先从小规格开始根据实际负载调整。物理机则要更精准估算。问题4备份“有等于无”表现备份是做了但没验证过恢复时才发现备份坏了。对策定期演练恢复确保备份可用。备份不是目的恢复才是。问题5文档缺失表现网络拓扑、配置、账号密码都在运维人员脑子里人一走全抓瞎。对策建立文档管理制度所有配置都要文档化多人掌握。4.1.8 本章小结基础设施层建设是企业信息化的“地基工程”其核心价值在于为上层应用提供稳定、安全、高效的运行环境。本章系统阐述了网络与安全基础设施、云平台选择与部署、基础软件环境、基础设施运维等方面的关键要点和实施方法。网络与安全基础设施要遵循“纵深防御”原则从边界、主机、应用、数据四个层面构建防护体系。网络设计要有前瞻性安全投入不能省。云平台选择要根据企业规模、技术能力、预算等因素综合考虑。公有云适合大多数中小企业私有云适合有合规要求的大企业混合云兼顾安全与弹性。基础软件环境包括统一身份认证、企业通信工具、文档协作平台等它们共同构成了员工日常工作的数字环境。基础设施运维要建立监控、备份、应急预案三大体系。监控让你知道“系统怎么样”备份让你有“后悔药”应急预案让你在出事时“不慌张”。常见问题提醒我们基础设施建设要避免“重应用、轻基础”的误区网络要留余量安全要投入备份要验证文档要留存。