张家界金融行业公关事件处理能力的不足
本篇文章9996字，读完约25分钟
摘要:在vpc之前，传统的云网络是扁平的，云主机的ip地址是由云服务提供商固定和分配的，它们的分配经常是不连续的。同时，它将依赖于一个相对较大的两层网络，这将在环路控制、广播风暴、多路径技术和热迁移范围等许多方面存在潜在的技术风险。
在钛媒旗下的第26期钛告白微信课程中，邀请了8位对企业云有深入了解的钛客户分享。本文是基于金山云网络与安全部技术总监刘涛的分享。
刘涛是通信和信息系统博士。他曾是工程师、高级建筑师和百度系统部技术委员会主席，从零开始领导和见证百度自主开发网络系统的全过程。现在他是金山云网络与安全部门的技术总监和首席网络架构师，负责公司网络与安全业务的研发和管理。
以下是刘涛对钛的坦诚分享:
大家好，我是金山云的刘涛，很高兴与大家坦诚分享我们如何利用vpc构建混合云，帮助企业实现向云的过渡。在正式开始之前，让我自我介绍一下。我2009年毕业于中国科技大学，获得博士学位，然后加入百度。在百度的六年里，我经历了百度增长最快的几年。当我加入百度的时候，只有大约四五个R&D团队的网络产品，后来它变成了一个70到80人的R&D团队。在此期间，百度的服务器从4万台增长到了50万台。在这个过程中，我们制作了很多百度自主开发的网络产品，包括负载均衡、防攻击、交换机，甚至高密度的100 gbps融合交换机，以及后来的百度公共云网络和防攻击服务。2015年，我离开了百度。当时我想如果我想充分发挥我的特长，我应该去一家专门做云计算的公司，所以当时我选择了金山云。
金山云是一家专注于B2B业务的云服务提供商，成立于2012年。它成立之初，是基于金山快运的拆分。金山快速磁盘是一种个人云存储服务。每个人都应该知道，当时百度云盘、360、腾讯等公司都在做个人网盘，这要花很多钱。因此，到2014年，金山云公司的管理层，包括我们当时的ceo张宏江博士和总裁王玉林先生都敏锐地意识到，如果我们继续做个人云盘服务，我们将面临一个竞争激烈、盈利困难的红海市场，所以公司决定转型销售金山快运业务，重点做云计算服务。
2016年，当资本是寒冷的冬天，C系列融资超过1亿美元，目前的估值约为11亿美元。在国内独角兽排名前300名中，金山云排名超过第50位。在这个排名中，如果你只看云计算行业的公司，金山云排名第一。根据2016年第三方机构idc提供的2015年中国公共云企业调查报告，金山云是2015年云计算企业中收入增长最快的。
金山云提供的云服务是一个非常完整的系统，从企业级云存储、cdn、云主机、云网络和大数据服务，到垂直行业的游戏云、视频云、医疗云、政府云和互联网行业云。例如，金山云的云存储服务ks3类似于aws的s3服务。我们每天的上传量约为500tb，这是原始数据。如果我们考虑三份拷贝的实际存储，每日上传量约为1.5pb，这仍在快速增长。因此，金山云在中国的存储领域拥有巨大的领先优势。有了存储，它自然会带来cdn服务。金山云拥有数百个自己搭建的cdn节点，为包括今日头条、gif快手、iQiyi和小米在内的大量国内客户提供cdn和VOD直播服务。在游戏行业，金山云提供游戏评估、游戏iaas服务、游戏运维管理paas服务、广告实现等服务；在视频方面，提供云计算和云网络的iaas服务、直播源站的paas服务、直播的saas应用等全方位服务。在医疗行业，我们为北京大学人民医院等客户提供医疗混合云解决方案。在政府云方面，我们为北京市政府提供电子政务云和其他省市的政务云服务。
从我面前的钛客户分享中，我可以看到有些人做saas，有些人做paas。金山云专注于iaas服务和一些垂直行业的高级服务。与此同时，我们的许多客户和合作伙伴都在从事saas服务，包括中国一些知名的企业saas服务提供商。他们使用金山云的iaas和paas服务来构建自己的企业saas服务。因此，金山云就像一个生态系统，为我们的saas合作伙伴提供底层资源和服务，并与他们合作开发更广阔的云服务市场。
企业中关于云的常见问题
企业中的云问题
当我们与客户沟通并介绍解决方案时，客户最常见的问题如下:
首先，有可能节约成本吗？
第二，是否信任云。不同类型的客户对云的信任有不同的理解。许多生于云的客户实际上对云有高度的信任，或者他们的情况决定了他必须信任云；对于拥有自己的idc资源的客户、数量更多的客户，甚至是那些建立自己的idc的客户，他对云信任和安全性的理解是不同的。
第三，如何走向云，如何使用当前资源与云连接，如何过渡到云，以及它应该是综合云还是混合云架构。
为什么企业需要转向云？
企业为什么走向云
这张图片是我对为什么我们的企业客户需要转向云的总结。其中一个很大的原因肯定是成本，这应该是一个综合成本，包括人力成本，资源储备和其他方面。除了成本，还有几个关于资源、灵活性和团队的重要原因。
首先，在资源方面，要找到一个好的idc，我们必须有一个非常好的供电架构，一个非常好的制冷架构，以及一个好的民用承重结构；在网络上，必须有良好的网络线路，良好的bgp线路和可靠的传输系统。从服务器硬件的角度来看，我们应该考虑硬件选择、质量控制、交付管理以及上述资源的部署周期。然后，在弹性方面，比如带宽资源的储备和弹性，以及服务器硬件资源应对突发事件的弹性。
然后是团队，这与以前的资源和灵活性有关。要有一个非常好的idc，你需要找到一个非常好的idc工程师。如果你需要一个好的网络，你需要有一个好的网络架构师和运行维护工程师，还有一个好的基础服务工程师，比如dns，负载平衡，nat等等。服务器选择、评估和交付控制都做得很好，还需要相应的服务器硬件团队。在更高层次的应用程序中，您可能需要一个非常优秀的dba，以及一个理解hadoop、mongodb、redis等的团队。在上述所有方面建立一个可靠的团队的时间成本和金钱成本都非常高。我经常有朋友来找我说，兄弟，你能帮我推荐一个网络架构师或者一个可靠的dba吗？在某些领域，可靠的架构师流动性非常低，从基础架构领域的各个方向寻找核心员工需要花费大量的时间和金钱。因此，综合考虑，首先是一个企业自身的规模能否提供他所需要的资源，尤其是一些资源，如idc和网络等资产非常沉重的资源；第二是部署的灵活性，这是前面的客人反复提到的；还有团队。如果将这些因素综合起来考虑，就非常有必要确保云带来的弹性和专业技术团队的保证所带来的底层iaas资源的质量。
拿下面两张图片给你一个例子来解释为什么有必要去云。第一幅图显示，当京广韩骨干网不久前发生故障时，北京电信覆盖整个南方地区的质量可以看到许多红色和黄色，这代表着大量的丢包和延时增加。
下图为通过自建骨干网将北京电信流量调度到上海电信出口后金山云的覆盖质量。在那一天，使用金山云的客户基本上没有意识到主干网的故障，或者只是在短时间内受到影响。当我们的调度计划实施后，故障得到了恢复，但事实上，电信骨干网的故障从那天下午14: 00持续到18: 00。
这是一个非常典型的例子。大多数企业没有能力自己建立全国性的骨干环网，也没有能力自己建立多中心节点和多线路bgp，如北京、上海、广州。与此同时，他们可以有非常大的传输和bgp带宽储备，以应对这种大规模的故障。这些资源和功能正是公共云服务提供商非常擅长的。
这是另一个例子，如下图所示，这是金山云标准区域的网络结构。图中的Tc1和tc2是我们的网络接入点，我们可以通过我们的pop供应商合作伙伴访问附近的idc或客户办公室。同时，客户也可以通过拉动光纤直接访问我们的tc节点。Tc节点不仅连接到国际数据中心和客户办公室，也是我们接入电信运营商的一个突破点。我们将通过具有独立物理路由的多条光纤连接电信、中国联通、中国移动、彭博士和其他运营商。目前，北京和上海地区提供十线bgp接入。
区域网络架构
该图下部的可用区域(az)通过我们自建的单波200gbps密集波分环形网络与tc节点互连。这样一个城域环网的投资需要几千万到几亿元。除了像英美烟草这样的大型互联网公司，大多数中国企业很难自己建立这样一个城域网。
什么是vpc？
回到我们的话题，让我们谈谈vpc。vpc是一个专有名词，是虚拟私有云的缩写。因为我们组有很多非技术类的学生，我想简单介绍一下vpc。vpc相当于一个虚拟数据中心。在vpc之前，传统的云网络是扁平的。两者的主要区别在于，在传统的平面网络中，云主机的ip地址是固定的，由云服务提供商分配，并且它们的分配经常是不连续的。当企业需要进行混合云时，这种固定和离散的ip地址可能与空的网络地址冲突，这是一个不灵活的地方。同时，平面网络在网络层面上将依赖于一个相对较大的两层网络，这将在环路控制、广播风暴、多径技术、热迁移范围等诸多方面存在潜在的技术风险。
相比之下，vpc可以理解为一个虚拟数据中心，它可以为客户提供完全定制的ip地址空房间规划。例如，企业的现有机房网络使用网段，如10.0.0.0/16，因此在创建vpc时，可以根据自己的网络规划使用地址空机房，如10.1.0.0/16。金山云vpc可以支持客户使用任何自定义地址空，甚至公共网络地址空.其次，虚拟专用网可以提供灵活的功能，如主机路由、网络地址转换(nat)、专线、虚拟专用网之间的对等互连等。这些灵活功能的结合将非常有利于企业实施混合云。
这里有点抽象。让我给你一张照片看看vpc是什么样的。
您可以在图中看到虚线，因为它是一种虚拟资源，具有我们的软件定义的网络技术，但它是一种真正的服务，可供客户使用。虚拟数据中心的典型特征是什么？必须有一个路由器，它将与许多交换机连接，并且不同的虚拟机将在这些交换机下连接。金山云的虚拟专用网可以放置物理机和虚拟机。同时，虚拟专用网还提供许多网络服务和其他服务，如nat地址转换、EIP、lb、vpn、防火墙、dc以及虚拟专用网与其他虚拟专用网之间的对等连接服务。
该图中间的路由器R是分布式虚拟路由器(dvr)，它是由分布在所有主机上的软件模块构成的分布式路由器。Dvr是云计算的核心技术点。要实现高性能、高可靠性的分布式虚拟路由器，需要深厚的体系结构设计和开发能力。金山云和开源社区的实现是完全不同的。openstack基于openvswitch。尽管ovs具有良好的灵活性和设计理念，但其性能或应用复杂性可能不是最好的。例如，像我们这样的虚拟路由器可以意识到，一个虚拟机每秒可以路由和转发超过100万个数据包。如果不是基于金山云自主开发的技术，这个数字可能会很低，比如100，000或200，000，甚至更低。
上图实际上涉及一个案例。我们遇到了一些客户，他们都是非常老式的互联网公司。他们的一些代码被写死了。要求运行代码的机器必须有两个网卡，一个是公共网络，另一个是内部网。因此，为了满足这类客户的需求，我们开发了双网卡vpc主机，它可以在不同的VPC中有两个网卡。金山云是中国为数不多的向VPC提供支持这一功能的云服务提供商之一。
金山云混合云解决方案
拥有idc混合云接入
首先，如图所示，我们可以通过专线与客户的国际数据中心互联，互联带宽可以根据需要选择，例如，可以使用100兆位、1000千兆位或1000千兆位。这种接入方式的成本是光纤或专线的租赁成本。客户可以通过专线直接连接到金山云的tc节点，或者通过访问我们附近的pop合作伙伴来访问它。我们的许多客户使用的另一种方式是通过vpn。有两种虚拟专用网实现。一是客户的idc拥有商业vpn设备，如juniper、Cisco、华三和其他制造商。客户可以通过他们自己的vpn与我们的高可用性vpn商用设备建立vpn连接，然后通过我们的sdn隧道网关访问VPN。除了这种通过商业设备的vpn互连模式外，由于我们的vpc支持主机路由功能，我们还可以通过云主机使用openswan和openvpn等软件方法构建站点到站点的vpn。这种方法的成本主要是云主机的成本和虚拟专用网的带宽成本。它的优点是灵活和简单，客户可以自己完成所有的配置，并且带宽粒度非常细，所以成本可以根据mbps的粒度来控制。
从上图中可以看出，有两个面向客户的idc，其中一个在右上角的IDC中填充了一个kingstack，这就是金山云私有云的解决方案。我们提供了一个完整的基于openstack二次开发的私有云解决方案，它只需要三个服务器来构建最小的私有云。同时，根据客户的需求，我们的私有云解决方案可以管理1，000个物理机资源。基于此方案，我们可以帮助客户访问公共云虚拟专用网络，并为他们自己的虚拟专用网络云。金斯塔克的销售方法很灵活。您可以每年为整个方案购买许可证，也可以根据托管物理机的数量购买许可证。在左上角的idc中，填充了一个专用云，这也是我们的云idc方案。该方案不是基于开源开放堆栈架构，而是基于我们的公共云架构，因此其初始资源要求相对较高。也许他需要二三十台机器来启动，但是它的可扩展性非常强。我们的公共云集群可以管理20，000台物理机。该计划旨在为特别大规模的客户提供其他云资源。我们杭州地区的金山云是一个专为超大规模客户定制的专属区域。
图中还有两个虚拟专用网络的对等连接。您可以在右下角看到这两个虚拟专用网络的相互连接。这是我们国内骨干网络资源的封装，我们的骨干网络资源根据客户需求划分为非常细粒度的互联资源，实现异地互联。这个函数实际上是sd-wan的一个实现，现在非常流行。例如，此功能的一个典型场景是，一个客户在北京和上海有一个国际数据中心，他想通过专用线路连接两条国际数据中心专用线路。一种解决方案是客户购买长距离光纤来建立长距离传输系统或租用链路。另一个非常方便的解决方案是，他可以分别访问金山云在北京和上海的本地vpc，然后在控制台上购买跨区域对等互联服务，从而实现北京和上海idc的互联。与传统方案相比，互连的粒度更加灵活，可以是兆字节，可以是1mbps、10mbps、1gbps和10gbps。
kis epc
上图介绍了我们的另外两个混合云产品，其中一个叫做冰岛(kis)。冰岛实际上是金山云国际数据中心的一个独立区域。简而言之，它是客户自己在金山云的机房中的私有idc。他解决了什么问题？事实上，这是一个适合拥有中小型物理资源的客户的解决方案。我们的许多客户拥有100、300、500和2000台物理机。这些物理机器必须面对许多复杂的事务，例如选择机房、选择公共网络线路、选择现场操作和维护、管理现场备件等。这些服务器的数量不是特别大，但是处理相关的事情需要大量的人力和精力。对于这些客户来说，他实际上不想这样做，同时这些客户也想去云，那么我们这个私有idc的最大好处是什么？
首先，他可以直接使用金山云的网络服务和反攻击服务，并使用金山云的公共网络出口，包括金山云的bgp和静态带宽资源。
第二，他可以通过与我们的虚拟专用网互连，不受带宽限制地访问所有的云资源，包括虚拟专用网中的物理机和金山云的云存储服务。
第三，金山云可以为机房托管的所有机器的现场操作和维护工作提供一些免费的维护服务和一些复杂的收费操作服务。机器在kis中托管后，客户基本上不需要去机房。
第四，金山云拥有业内最好的idc团队。金山云自建或合建的机房拥有国内顶级的供电架构、制冷架构和现场管理流程，因此客户不必担心机房停电或空呼叫失败造成的业务中断。
第五，如果客户有一些不方便直接访问vpc的特殊硬件，他们也可以把它放在kis中。例如，一些客户有他们自己的oracle rac、san、nas系统或rdma网络，它们可以放在kis中。
举几个例子，金山云存储服务做得非常好，所以我们有一个视频图像处理客户，他也是一个视频saas提供商。为了方便访问金山云存储，他将自己的物理机托管在金山云的kis产品中，然后通过机房内的专线以40g的带宽访问金山云的ks3服务。在vpc方向访问资源的带宽是免费的，这为客户节省了成本，并且非常大。，我们现在是kis的大客户，通过内部网访问vpc的带宽通常为70gbps。这种带宽水平可以通过一条外部国际数据中心专用线路获得，而且成本非常昂贵。
在上图中，除了右边的kis产品，另一个混合云产品是左边vpc中的epc产品。Epc是弹性物理云的缩写，也就是说，将服务器放在vpc中并将其用作虚拟机的产品。对于客户自己的物理机器，托管在虚拟专用网中，他们可以直接使用虚拟专用网的网络服务，如网络地址转换，lb，eip等。同时，我们还为服务器提供外包运维服务，可以方便地将外包工单直接发送到控制台上，供现场外包人员操作。对于客户租用的金山云提供的物理机，我们可以进一步提供开、关控制台、重启服务器、重新安装操作系统的图形化服务。该产品适用于所有类型的网络和云数据服务客户，他们的服务器是标准服务器，并希望将服务器放在虚拟专用网络中。这些物理机可以放置在vpc中的任何虚拟交换机下，并与虚拟机混合使用。对于托管自己服务器的客户，如果他们临时需要额外的物理机资源，只需点击几次控制台，就可以打开金山云提供的云物理机。
通过自主开发的sdn技术，我们控制定制的硬件交换机和高性能自主开发的软件网关，实现对客户专有物理机的无入侵，物理机上不安装代理或内核模块，从而为客户提供纯操作系统和作为虚拟机的便捷vpc操作体验。
使用vpc构建高可用性架构
以下三幅图是如何使用vpc云服务在计算机房中建立高可用性，在同一城市的计算机房中进行双住，在不同地区的不同地方进行双住，或者在不同地方进行灾难恢复。
统一访问和传出高可用性
区域高可用性
跨地区高度可用
对于我们的客户来说，最基本的高可用性是通过机房集群来抵御单机故障的高可用性方案。如第一幅图所示，流量可以通过负载平衡分配给多台机器。在另一个场景中，如果你想建立一个mysql的主从服务，你可以使用lb和我们的openapi的组合。当企业意识到需要在主服务器和备用服务器之间切换mysql时，您可以通过调用我们的openapi将lb的流量从原始主服务器切换到备用服务器。同样，构建主从redis或其他服务也可以做到这一点。
如果我们想从更高的层次来看，为同一城市的双活动制定高可用性方案也非常简单，只需在我们的控制台上打开一个lb，它指向该地区不同计算机房(az)中的虚拟机。典型的在线业务模型是虚拟机访问数据库或缓存服务，或云存储，以及业务的上游和下游逻辑。金山云的rds、kcs(redis)、ks3和其他服务都支持跨az高可用性。因此，如果客户的业务基于金山云的lb+vm+rds+kcs进行组合，那么只需通过控制台操作或openapi调用就可以轻松地与同一个城市的双活动架构进行组合。
如果您想实现更高水平的高可用性，例如金融、大型游戏或大型互联网客户，您需要在不同的地方进行双重工作或在不同的地方进行灾难恢复。然后，对于跨区域网络延迟的业务，不管业务逻辑本身和数据同步的结构如何，就资源的底层而言，只需要使用第三张图所示的金山云的gslb (Intelligent dns)服务，在金山云的不同区域启用一批资源，然后购买跨区域对等服务。金山云本身是中国顶级的cdn服务提供商，我们的cdn系统是基于金山云的gslb服务实现的。因此，我们的gslb调度功能还可以帮助客户实现非常细粒度的流量调度。
有两种方法可以利用在不同地方工作的客户。一是集群用户，使用我们的gslb将北方的所有客户发送到北京地区，将南方的所有客户发送到上海地区。另一种方法是使用gslb直接让用户访问附近。同时，如果一个地区的服务失败，所有用户将通过gslb被分派到另一个地区服务。
这里还有第三个用途，那就是制作全球混合服务的游戏架构。使用国内区域覆盖国内玩家，并将核心数据放在国内区域；使用香港区域覆盖海外玩家，然后通过两个区域之间的vpc对等服务将核心数据同步回国内区域。
当然，在上述提供跨区域的多活动方案中，云服务只提供基本的资源、互联和调度能力，业务本身的跨区域架构设计也是非常重要和不可或缺的。
案例:如何使用vpc作为混合云架构？
第一个案例计划由多个saas服务客户、在线教育客户、物联网平台客户和一个大型生态互联网公司客户使用。简单来说，他们有很多业务或部门，他们的运维团队有很强的开发能力。运营维护团队为公司其他部门提供各种服务，包括内部dns解析、监控报警、自动程序部署等。当他们部署时，他们选择一个虚拟专用网络作为中心虚拟专用网络，其他虚拟专用网络通过对等连接到这个虚拟专用网络，然后通过vpc中心连接到他自己的国际数据中心。通过这种方式，运营和维护团队作为资源经理，可以通过我们的iam服务将不同的VPC的管理授权给不同的业务部门或子公司。一方面，各个业务部门可以独立开放资源，进行内部网络配置，同时可以访问运维部门提供的公共服务。
上图是另一个案例，非常适合saas服务客户。我们有几个客户做电子商务后台saas服务，即时聊天后台saas服务和金山云自己的实时视频saas服务，所有这些都是通过这个架构完成的。从图中可以看出，通过区分来自不同子网的客户，您可以看到客户A、客户B、客户C和客户d的交换机。事实上，他为每个客户分配了一个交换机，与该客户相关的虚拟机的所有资源都挂在该交换机下。图中交换机连接上的acl意味着虚拟交换机通过配置acl规则相互隔离。
这是一个典型的电子商务场景。我们有许多大型电子商务客户，他们都有自己的国际长途电话公司、资源和线路，但他们有一个共同的问题，那就是像双十一这样的大型促销活动每天的访问量将达到几十倍和几百倍。此时，他们需要额外的灵活资源。这个场景是像我们这样的客户的连接场景。首先，他们通过自己的idc与我们的vpc连接。在中国联通之后，他们将在我们的vpc中启用相应服务的前端资源，而前端服务使用我们的负载平衡服务。这幅图的一个特点是https的负载平衡。众所周知，https的握手过程非常消耗服务器的计算资源。典型的英特尔至强双向服务器每秒只能处理数千个https握手请求。对于突发流量，用普通服务器进行计算是非常不合适的。金山云的https负载均衡服务帮助客户将https的所有计算量转移到负载均衡，并且只将http请求转发到客户端主机，从而帮助客户节省大量资源。
像我们这样的大型电子商务客户会把他的双十一灵活资源，特别是一些对象，如业务前端，页面等。在我们的云上，当促销结束时，vpc中的虚拟资源可以被取消。这是使用云的好处之一，即提供灵活且可扩展的资源。
最后一张图片是我刚才提到的我们冰岛产品的应用案例。该应用案例对应于两个客户，一个是大型互联网广告服务提供商，另一个是大型互联网公司。在这个架构中，您可以看到左上角是用虚拟机构建的在线服务，右边是我们的云服务数据库和云缓存服务。互联网公司的典型在线业务场景是将lb分发给虚拟机，虚拟机访问数据库或缓存服务。因此，这两个客户使用虚拟机、云数据库和云缓存来构建业务前端。但是这些客户实际上有很多计算需求，包括日志处理、用户肖像计算、广告模型培训等等。
由于计算量大、性能要求高，它是一个固定的计算集群，每天都需要计算。因此，客户将选择使用我们的epc云物理机来形成地图缩减集群。该地图缩减集群中的所有物理机都通过双万兆连接进行连接，这可能会耗尽极高的性能和吞吐量。还有一些客户需要进行模型培训的场景。在过去的两年里，使用gpu进行大规模高性能浮点计算已经很流行。例如，深度学习等大量高维矩阵单精度浮点计算是由gpu的物理机集群计算的，客户也选择在vpc中托管gpu机器。由mr集群计算的数据和由gpu集群计算的模型被推送到由vpc中的虚拟机组成的在线集群，以向终端用户提供服务。除了这些常规的日常计算之外，企业还需要每周或每月的临时灵活资源来计算月度报告、周报告和其他报告。此时，客户选择启用金山云提供的kmr(金山地图还原)服务，并按分粒度收费。在计算每周和每月报告后，数据将存储在ks3上，然后群集将被拆除以节省成本。
今天，我分享了许多案例和计划。综上所述，我的建议是，如果企业非常大，他对云的要求可能只是适当的灵活性；企业规模中等，可能更适合私有云、公共云和混合场景；如果体积较小，它可能只是纯粹的云。(本文是第一个钛媒体，根据金山云网安全技术总监刘涛分享的钛自白)
标题:张家界金融业公关事件处理能力不足
地址:http://www.stocksun.net/yuqingjiankong/2701.html
本文专栏:舆论监督
本文来源:快速推动舆论
标题：张家界金融行业公关事件处理能力的不足 地址：http://www.shuiyihui.cn/new/6193.html
