小型網際網路業務環境的搭建（非雲平）

現在越來越多企業已經搭建自己的**，或者已經部署了網際網路業務。隨著雲環境大火，更多人業務已經部署上雲，但是某些場景仍需要在內部部署一套業務環境並提供外網服務。本文簡單描述了乙個非雲平台網際網路業務環境的搭建，環境規模較小（普通業務，非流服務），規劃對外提供http、https服務。

拓撲圖如下，搭建環境用到的裝置有防火牆（圖中firewall）、交換機（圖中switch）、內部伺服器。isp介面裝置在圖中沒畫出，不同運營商（電信、移動、聯通、廣電）不同業務型別提供的裝置各有差異。

下面從內部主機、網際網路接入，內部網路方面做說明。

內部主機

網際網路接入

內部網路

交換機配置規劃

防火牆配置規劃

內部主機分為兩部分，一部分用於業務，一部分用於管理。

業務系統採用前後端分離架構，前端檔案和靜態資源部署在nginx，後端伺服器提供http介面。nginx通過反向**將後端介面對映出來，後端伺服器處理靜態資源，使用者上傳後將資料分發到nginx伺服器。

nginx（存放頁面和靜態資源、後端負載均衡）、後端伺服器（部署tomcat或其它容器）、資料庫伺服器（部署mysql或其它資料庫軟體）用於業務；日誌伺服器用於管理，部署elk，存放網路裝置、伺服器作業系統和應用系統日誌。

其中，nginx和資料庫伺服器通過keepalived配置雙機熱備。

通常isp提供介面為網線介面、光纖介面等，這裡只需提供防火牆所適配的介面。同時由於需要提供外網服務，isp需要提供固定的公網ip位址以及相應的dns ip，相應ip資訊配置到防火牆即可接入網際網路。

防火牆作為外網的入口以及內部伺服器訪問外網的入口，需要將預設路由配置指向isp分配的對端介面。

此處防火牆作為隔離內外網的裝置，需要將內外網劃分到不同安全域，並做相應的安全策略配置。由於服務由內網伺服器提供，將nginx伺服器的虛擬位址對映到網際網路介面，對外暴露80、443埠，其他埠拒絕訪問。

這裡規劃防火牆為主備部署，需要接入兩條線路，可根據成本、需求等因素調整成一台。

內部網路由2臺交換機（可根據成本、需求等因素調整成一台。）組成，交換機選擇三層交換機，考慮到業務流量不大，使用全千兆電**換機即可。

兩台採用虛擬化技術進行堆疊（某3c廠商的裝置具有該能力，其他廠商沒使用過），伺服器分別物理上接入兩台交換機。

配置vlan100作為業務vlan，接入業務伺服器，包括nginx、後端伺服器和資料庫伺服器。

配置vlan200作為內部服務vlan，接入日誌伺服器、網管伺服器等

配置乙個埠為路由模式，與防火牆互聯

配置vlanif100作為業務伺服器閘道器

配置vlanif200作為內部伺服器裝置閘道器

配置預設路由指向防火牆

本文只簡單描述了業務環境的搭建，隨網路複雜度增加以及安全要求提公升，將需要對整個環境進行更複雜的調整。