陕西电信dns扩容项目技术方案书.doc

2009年中国电信陕西公司DNS扩容工程技术方案北京融海恒信咨询有限公司2009年08月目 录一、DNS系统目前状况31、系统概述32、现有系统运行数据测算53、处理能力需求分析64、Anycast技术原理7二、增加专线用户DNS系统的必要性91、提高用户的体验92、提高系统可用性9三、陕西电信DNS系统差异化调整方案101、总体调整目标和调整内容102、DNS系统差异化调整方案112.1系统调整规划112.2二长节点结构调整142.3西华门结构调整142.4 DNS分流及分析监控方案15四、DNS系统优化项目实施内容及计划171、项目组织结构172、项目实施配合需求183、系统扩容及结构改造部署实施18五、差异化服务新增软件需求21六、技术及售后服务内容221、标准技术支持内容222、故障级别223、响应时长234、高级服务23七、培训计划251. 培训目的252. 培训人员及地点说明253. 方案报价254. 培训安排25附件1：项目工程系统实施及割接上线计划271. 二长Anycast上线计划（4工作日）：272. DNS日志分析系统上线（5工作日）：283. 二长Anycast扩容及替换计划（3工作日）：294. 西华门Anycast安装调试计划（8工作日）：315. 西华门Anycast上线计划（5工作日）：316. 西华门拨号节点扩容上线计划（2工作日）：337. 流量调整（20工作日）：358. 试运行期（60工作日）：35附件2：回退预案36附件3：应急预案36一、DNS系统目前状况1、系统概述在09年1月的西安市拨号专线分离完成后，目前，为陕西省互联网用户提供DNS解析查询请求回应的服务器群共有3组。它们是位于二长16楼的218.30.19.40、218.30.19.50，该组服务器群是为西安主用，九地市作备用和位于西华门2楼的61.134.1.4，该组服务器群是为九地市主用，西安作备用。其中西华门服务器群有1台四层交换机（radware AD3020）、3台服务器（SUN X4200）构成，其中一台服务器安装商用CNS应用软件，其余两台安装免费BIND应用软件。二长专线节点由一台CNS服务器（218.30.19.40）组成，为西安市专线用户主用，九地市用户备用。二长拨号节点（218.30.19.50）由四层交换机（radware AD3020）、3台服务器（SUN X4200）构成，均安装免费BIND应用软件。目前，DNS系统只缓存域名服务器与授权服务器分开设置，拨号用户使用的只缓存域名服务器和专线用户使用的只缓存域名服务器混合设置。在2009年6月25日，广东省路由故障时，由于QQ软件重复登录造成DNS流量异常增加，导致西华门四层交换机瘫痪，进而造成全省流量（峰值Qps超过5.5万）压迫到二长专线节点（218.30.19.40），使其超出处理能力，进而导致省内DNS服务中断15分钟。从此次事件反映出，四层交换机已经完全成为DNS系统的瓶颈、目前专线节点的处理能力不足，因此急需要进一步延续上一次的差异化服务，对九地市的专线和拨号用户进行分离。为专线用户和拨号用户提供完全独立的DNS系统。此次采用成熟的Anycast技术，利用等价路由为两台CNS服务器做负载均衡，以便避免四层交换机的瓶颈作用，为专线用户提供高可靠性低响应时间的服务。西华门DNS系统结构图见图1，二长DNS系统结构图见图2图：西华门DNS系统结构图（九地市用户主用）图2： 二长DNS系统结构图（西安用户主用）目前，全省的DNS服务器及四层交换机设备配置情况如表1、表2所示：表：陕西省DNS Cache服务配置情况统计表序号DNS服务器类型DNS服务器配置应用系统版本单位数量地点1CACHESUN X4200Solaris 10 X86台3西华门2x AMD Opteron Model 290 (2.8Ghz/1MB) dual core processor双核处理器, 4x 2GB PC3200 DDR1-400 memory（Up to 32GB)内存, 2x 146GB 10K RPM SAS drive硬盘,Raid 1功能,4x 10/100/1000Ethernet ports四个网口2CACHESUN X4200Solaris 10 X86台4二长2x AMD Opteron Model 290 (2.8Ghz/1MB) dual core processor双核处理器, 4x 2GB PC3200 DDR1-400 memory（Up to 32GB)内存, 2x 146GB 10K RPM SAS drive硬盘,Raid 1功能,4x 10/100/1000Ethernet ports四个网口表：陕西省DNS四层交换机配置情况统计表节点名称设备配置支持的最大并发会话数1西华门节点四层交换机Radware AD3020；配置：44G背板带宽；8 个 GBIC 端口及 12 个10/100/1000快速以太网端口最大新建会话数25万；最大并发会话数200万2二长节点四层交换机Radware AD3020；配置：44G背板带宽；8 个 GBIC 端口及 12 个10/100/1000快速以太网端口最大新建会话数25万；最大并发会话数200万2、现有系统运行数据测算在一期的差异化完成后，经过半年的运行，通过网管统计发现，发现近期三节点的Qps增长速度较快。目前二长专线节点的高峰Qps已经达到2.4万，西华门节点的Qps已经接近2.3万。考虑到目前西安专线节点只采用一台CNS服务器，本身并无备份，此外其处理能力无法满足两节点的总体Qps的处理量（6.25DNS故障中，四层瘫痪，造成所有压力均压在西安专线节点，峰值达到5.5万Qps，超过其处理能力，导致整理DNS不可用）。此外，由于上次的差异化工程并未完成，因此无法从系统整体结构上为专线用户提供独立的服务，因此此次需要对西华门节点进行分流。完整的对全省的拨号及专线用户DNS请求进行分离，并利用Anycast技术为专线用户提供高可用性的冗余保护。3、处理能力需求分析根据中国电信陕西省20092010年网络发展滚动规划（省内长途分册），到2010年12月，全省宽带接入用户将发展到201.13万户，其中西安86.39万户。 详见下表：表 20092010年12月陕西电信宽带接入用户预测表年份/月2009年5月2009年12月2010年12月西安宽带拨号用户638961 742681 856117 专线用户5917 6509 7810 九地市宽带拨号用户853735 979174 1128730 专线用户14122 15534 18641 全省宽带拨号用户1492696 1721855 1984847 专线用户20039 22043 26451 合计1512735 1743898 2011299 目前，在高峰期全省用户QPS达到5.6万，按照目前的DNS分布分析计算， DNS业务需求表如下表所示：表： 20092010年陕西电信DNS业务需求表年份/月2009年5月2009年12月2010年12月西安宽带拨号用户638961 742681 856117 宽带QPS15123 18457 22340 比例2.37%2.49%2.61%专线用户5917 6509 7810 专线QPS16609 19183 24171 比例280.70%294.73%309.47%九地市宽带拨号用户853735 979174 1128730 宽带QPS1257615145 18331 比例1.47%1.55%1.62%专线用户14122 15534 18641 专线QPS1190113746 17320 比例84.27%88.49%92.91%全省合计宽带QPS27699 33602 40671 专线QPS28510 32929 41491 4、Anycast技术原理Anycast方式最初定义于RFC1546，意为处于互联网中的一台主机向某一Anycast地址发送IP协议报文，互联网负责将其送往一个接收目的地址为Anycast地址的主机。这里Anycast地址定义为用于实现主机标记的IPv4或IPv6地址，可能有多个互联网主机接收目的地为该地址的IP报文。利用Anycast技术，提供同一类服务的所有服务器可配置同一个Anycast IP地址，路由系统自动将服务请求送至最近的服务器。图：Anycast技术原理Anycast 是目前当前应用较广的负载均衡技术。国外很多DNS系统都应用了Anycast技术，它具有以下优点：l 优点：全网负载均衡较好，用户按地域的就近访问，网络时延小；强大的冗余备份功能，域名解析服务不依赖于少数几个节点的连通性，每个节点都具有冗余备份功能，节点越多冗余备份功能越强；能有效预防DDoS攻击；有利于IPv6网络的部署，节点升级对用户几乎没有影响。Anycast技术既可以在整个网络间使用，也可以在单节点内采用等价路由实现负载分担，通过前期测试，其负载基本维持在1：1的比例，负载差异最大在10%以内，能够满足一般节点的负载均衡要求。此次陕西电信差异化服务中，专线节点的负载均衡使用Anycast技术。图：节点内Anycast示意图二、增加专线用户DNS系统的必要性1、提高用户的体验在2009年1月西安市专线用户流量进行后，目前约有75%左右的西安市拨号用户已经转移到新的DNS节点（218.30.19.50），已经逐步降低了各节点的压力，目前系统运行状态正常。西安市专线DNS节点218.30.19.40现主要为西安市专线用户提供解析服务，利用CNS软件的高可用性及低响应时间的特点为其提供高质量的服务。此次，需要进一步分流九地市专线用户流量，最终形成专线用户与拨号用户分别独立的DNS系统。通过独立的DNS系统首先为专线用户提供专业、安全快捷的DNS服务。通过不断优化，逐步提高陕西DNS的系统的处理能力，以便满足不断增长的趋势。计划在此次分流工作完成后，两个专线节点的峰值处理能力达到70000Qps，两个拨号节点的处理能力达到44000Qps，基本上满足陕西省电信用户至2010年底的解析需求。同时通过提高性能，降低各台服务器的处理压力，能够及时降低用户DNS请求的响应时间，因此用户最终的体验速度将得到提升。2、提高系统可用性在目前DNS的运行，多次出现因为DDos攻击，导致四层交换机处理能力不足而瘫痪，导致某一节点瘫痪，进而影响到另一节点服务质量下降，出现DNS多次响应时间过长或者不可用的情况。通过此次分析，首先利用Anycast技术，排除四层交换机的瓶颈，保证专线用户DNS节点的高可用性高可考性及安全性。其次，通过此次分流，降低现有的四层交换机的压力，使其能够满足省内拨号用户需求，并提高其可靠性及可用性。三、陕西电信DNS系统差异化调整方案1、总体调整目标和调整内容 为了给省内专线用户提供高可靠性高可用性的DNS解析，同时为了满足省内用户至2010年底的发展需要，对目前的DNS系统进行差异化调整，以便能够实现以下的目标： 专线用户与拨号用户DNS分流本次差异化方案调整的目标是省内拨号用户与专线用户DNS解析的完全分离。最终实现西安专线用户使用西安市专线用户的主用DNS为218.30.19.40，备用DNS为61.134.1.4。九地市专线用户主用DNS为61.134.1.4，备用DNS为218.30.19.40。拨号用户使用的DNS服务地址为218.30.19.50，及61.134.1.XXX（待定）。西安市拨号用户主用DNS为218.30.19.50，备用DNS为 61.134.1.XXX。九地市拨号用户主用DNS为61.134.1.XXX，备用DNS为218.30.19.50。 增强专线用户DNS系统的稳定性可靠性并提高处理能力在专线用户的两个节点，均采用成熟的Anycast架构，每个节点由路由器利用等价路由协议将流量均分至两台CNS服务器以实现负载分担。通过此架构可以解决：排除四层交换机的瓶颈；利用两台CNS做负载均衡，使单节点的处理能力达到70000Qps，满足至2010年底全省专业用户的发展要求。 增强拨号用户DNS服务系统的处理能力在拨号节点，新增Bind服务器，继续增强拨号用户DNS服务系统的处理能力。使其但节点的处理能力达到44000Qps，满足至2010年底全省拨号用户的发展要求。 根据以上的目标，此次差异化方案包含以下的内容： 专线、拨号用户服务系统分离在所有专线用户的专用DNS节点以及拨号用户专用的DNS节点搭建完成后，通过电信各地市逐步修改拨号用户Base，使拨号用户逐步转移到新的节点上，以便实现专线及拨号用户DNS服务的分离。 增加CNS软件部署陕西电线原有两套CNS商用软件，现已无法满足业务增长的需求，因此为保证业务增长需求，此次差异化方案需要新增两套CNS软件，与原有的CNS软件共同组成Anycast架构，为专线用户提供高质量、高可靠性的DNS解析服务。 调整专线用户服务系统的架构-ANYCAST（替换原有四层交换机模式）通过对以往DNS系统故障的分析和统计，发现当DNS攻击发生时， 90%的情况下，都会造成四层交换机首先瘫痪，导致DNS节点不可用。因此为保证为专线用户提供最为高可靠性高可用性的DNS服务系统，避免出现类似的四层交换机的瓶颈作用，因此采用已经成熟的Anycast架构组建专线用户的DNS节点。 为为拨号用户DNS系统增加服务器根据下表的预则，到2010年底，全省拨号用户的峰值Qps将达到4.87万。现有节点的服务器将无法承受，因此在此次方案中，为拨号用户新增三台服务器，形成每节点四台Bind服务器，单节点的峰值处理能力将达到4.4万Qps，基本能够满足至2010年底的全省拨号用户访问需求。年份/月2008年12月2009年12月2010年12月全省宽带用户142.15万177.87万213.59万全省Qps4.78万6.59万8.26万专线用户QPS2.85万2.91万3.37万普通用户QPS2.76万3.68万4.87万2、DNS系统差异化调整方案2.1系统调整规划2.1.1 DNS系统现状在2009年1月第一阶段完成西安市拨号及专线DNS分流后，目前陕西电信DNS的结构如下：图：二长DNS系统结构图（西安市用户主用）图：西华门DNS系统结构图（九地市用户主用）通过一期的分流工作已经实现了部分分流，阶段性的完成了分流工作，但西安市专线DNS节点218.30.19.40只采用了一台CNS服务器，节点无备份。同时，西华门节点的DNS未进行拨号用户及专线用户的分流，仍是专线与拨号混用的模式。继续实施并最终实现全省的DNS系统分流是本期分流工作的主要目标和工作内容。2.1.2 DNS系统调整设计方案本次差异化服务，除了进行专线和拨号用户的分流外，还采用成熟的Anycast架构巩固专线节点，利用等价路由协议直接在路由层进行负载分担工作，利用两台CNS服务器未专线用户提供底响应时间，高可靠性的服务。计划在新的Anycast的架构建立后，对全省拨号用户base进行修改，西安市拨号用户主用DNS为218.30.19.50，备用DNS为 61.134.1.XXX。九地市拨号用户主用DNS为61.134.1.XXX，备用DNS为218.30.19.50。计划经过30天左右的分流期，将接近80%的拨号用户转移到新的DNS节点上。专线用户不需要专门通知，维持原有DNS设置。计划实施完成后，陕西电信DNS系统能够基本满足至2010年底的DNS增长需求。完成后的系统架构为： 图：陕西电信DNS系统拓扑目标图2.2二长节点结构调整二长节点已在2009年1月进行了专线用户及拨号用户DNS系统的分离。目前专线用户DNS由一台CNS服务器组成，拨号用户DNS系统由三台Bind服务器组成。根据此次差异化的目标，需要进行以下的调整工作： 安装调试Anycast架构的DNS，并进行相关测试为新增的两台服务器安装CNS软件，并进行Anycast相关的调试。 割接原有专线节点（218.30.19.40）待Anycast系统经过压力及稳定性测试后，对原有专线用户节点进行割接，使用Anycast结构替换原有单台CNS服务器模式。通过割接后使节点的处理能力从目前的35000Qps，提高到70000Qps。 重新安装调试原有DNS服务器，将其加入拨号节点（218.30.19.50）中将原节点服务器重新安装Bind软件，测试正常后加入拨号专用节点（218.30.19.50）。使其的处理能力从目前的33000Qps提高到44000Qps，以便满足至2010年底的DNS增长需求。在二长节点调整完成后，形成一套Anycast架构以及一套四层交换机架构的DNS节点，其分别为西安市专线用户主用、西安市拨号用户主用。2.3西华门结构调整西华门节点现由一台四层交换机，一台CNS服务器及两台Bind服务器组成，尚未进行拨号及专线用户DNS系统的分离。按照差异化服务方案的目标，此次西华门系统需要进行以下的调整： 安装调试Anycast架构的DNS，并进行相关测试为新增的两台服务器安装CNS软件，并进行Anycast相关的安装调试。在安装完成后，对其进行稳定性及压力测试，以便保证系统上线后，能够正常稳定工作。 割接原有专线节点（61.134.1.4）待Anycast系统经过压力及稳定性测试后，对原有专线用户节点进行割接，使用Anycast结构替换原有单台CNS服务器模式。通过割接后使节点的处理能力从目前的35000Qps，提高到70000Qps。 西华门拨号用户专用节点调整通过设置四层交换机，修改DNS服务地址（61.134.1.XXX），修改完成后重新上线，为西华门拨号用户专用DNS节点。将新增的一台服务器以及原有CNS服务器重新安装Bind软件，测试正常后加入拨号专用节点（61.134.1.XXX）。使其的处理能力从目前的33000Qps提高到44000Qps，以便满足至2010年底的DNS增长需求。在西华门节点调整完成后，形成一套Anycast架构以及一套四层交换机架构的DNS节点，其分别为九地市市专线用户主用、九地市拨号用户主用。2.4 DNS分流及分析监控方案2.4.1 DNS分流方案在二长及九地市专线用户DNS架设好后，需要通知各地维护部门进行拨号用户的Base修改工作。其中西安市拨号用户主用DNS设置为218.30.19.50，备用DNS设置为61.134.1.XXX。九地市拨号用户主用DNS设置为61.134.1.XXX，备用DNS设置为218.30.19.40。二长及西华门节点的拨号节点的DNS形成互补。当二长拨号节点DNS出现故障时，西华门拨号节点的四台Bind服务器能够承担起省内所有拨号用户相应的解析要求；当西华门拨号节点DNS出现故障时，二长拨号节点的四台Bind服务器能够承担起省内所有拨号用户相应的解析要求。经计算在分流后，九地市专线用户的目前峰值Qps在10000左右，而CNS能够承担的压力在25000Qps（CPU利用率在50%左右）。九地市拨号拨号用户的目前峰值Qps在6000左右，四台Bind服务器能够承受的最大压力在26000Qps（CPU利用率在50%左右）。根据目前陕西电信用户数的增长趋势，九地市拨号用户与专线用户的DNS能够满足2010年底用户的增长解析需求。表：各地市Base调整表地市主用DNS备用DNS西安218.30.19.5061.134.1.XXX咸阳61.134.1.XXX218.30.19.50宝鸡61.134.1.XXX218.30.19.50渭南61.134.1.XXX218.30.19.50延安61.134.1.XXX218.30.19.50榆林61.134.1.XXX218.30.19.50汉中61.134.1.XXX218.30.19.50铜川61.134.1.XXX218.30.19.50安康61.134.1.XXX218.30.19.502.4.2 DNS分析及监控方案在开始DNS分流后，每日分析整理系统的运行状态以及DNS分布情况分析，为差异化服务的正常实施，提供相应的数据支持。 DNS分流状态分析监测流量变化及随时调整流量，每天定时监测收集新专线用户DNS请求数据及原有DNS系统运行数据，保证DNS系统的正常运行。监测CNS软件运行日志，及CPU利用率、QPS相关等数据，进行专线用户响应时间测试等，发现异常随时进行CNS软件配置调整及流量调节分配等。严格按照DNS差异化服务项目配置步骤、DNS差异化服务项目应急保障预案进行操作，确保业务稳定健康，使专线用户的服务质量得到最大限度的提升。表：西华门流量分布表序号归属地总百分比所占百分比所占百分比1西安38.78%34.36%65.64%2榆林11.80%72.22%27.78%3延安8.20%64.08%35.92%4汉中7.87%59.48%40.52%5安康6.18%66.34%33.66%6宝鸡6.09%17.02%82.98%7咸阳5.54%15.64%84.36%8渭南5.46%29.80%70.20%9商洛4.77%74.92%25.08%10铜川4.11%77.99%22.01%11C网1.20%0%100% DNS系统监控对每天收集的数据进行统计汇总，对比拨号及专线节点间的流量变化趋势。确保已经划转的客户业务顺畅、同时对整个原有DNS系统的运行状况进行分析，进而为后续的流量划转工作提供指导和优化。四、DNS系统优化项目实施内容及计划考虑到系统实施的复杂性及涉及的范围，融海咨询对本项目的具体实现方式、进度安排等实施方案建议如下。1、项目组织结构我们建议的项目组织结构如图51所示。图51项目组织结构图用户和公司各派出高层领导担任本项目负责人，把握项目的方向、决定项目的重大事项、协调双方的关系。项目经理由公司和客户各派一人担任，负责项目计划、组织和分工、控制项目进度、考核项目人员业绩、协调项目人员间的关系。项目管理的具体工作主要由公司的项目经理负责，但客户方也应派出项目经理（项目负责人），参与项目管理。2、项目实施配合需求 在工程实施分流过程中，需要电信配合提供的环境保障方面的工作有：(1)、提供硬件服务器，提供网络环境。提供安装CNS软件的硬件服务器及网络安装环境（包括IP等），以便顺利安装调试软件。(2)、提供陕西省专线用户的IP范围，以便配合CNS设置支持范围。由于新的CNS主要对西安专线用户提供服务，同时下一步也将为九地市专线用户提供服务。为了确保专线用户能够得到优质的服务，并且保证流量分配按照计划进行。因此此服务器只针对省内专线用户服务，需要提供其IP范围，以便进行配置。(3)、通知四层交换机厂商及服务器厂家工程师，配合根据DNS系统的状态进行系统设置调整。(4)、配合调整核心路由器路由设置，配合测试Anycast架构。(5)、在分流阶段，需要电信安排专人在指定之间通知各区局的专线用户修改DNS地址。3、系统扩容及结构改造部署实施（1） 、DNS差异化服务项目设计规划：工作量为60人.天主要完成：用户流量分析、预测及规划等工作，完成编写陕西电信09年DNS系统扩容及差异化服务的总体方案设计、本期09年DNS系统扩容调整及差异化服务的可行性方案设计、项目实施计划、项目配置规范及步骤、项目实施应急保障预案等。（2） 、系统扩容及结构改造(Anycast架构)部署实施: 工作量为69人.天项目实施分为软硬件部署配合、DNS差异化流量分流监测调优以及差异化服务质量检测评估等三部分。A、系统架构及网络环境准备 15工作日（安装调试为CNS软件附带服务，不计算工作量）按照差异化服务项目的设计目标，安装CNS软件，调试Anycast相关软件调试，配置修改 周期为5工作日，有效工作量：15人.天B、系统架构系统调试：工作量为30人.天调试两节点的Anycast架构涉及的交换机、服务器、路由软件、脚本调试：周期为5工作日，有效工作量：30人.天 C、系统上线前稳定性及压力测试：工作量为20人.天系统上线前对路由进程的稳定性及各项相关进程进行测试，并采用人为加压方式，对新建系统进行压力测试，以保证系统上线后的正常运行：周期为10工作日，有效工作量：20人.天D、新架构体系的部署上线：工作量为4人.天在Anycast系统测试正常无误后，对两套系统分别进行割接上线：周期为4工作日，有效工作量：4人.天（3） 、差异化服务调整实施: 工作量为60人.天A、上线前流量分布分析，系统监控：工作量为14人.天对系统上线前，现有三个DNS节点的流量分布情况进行分析汇总，进一步明确分流目标。周期为7工作日，有效工作量：14人.天B、各地Base修改，拨号用户用户DNS流量分离在全省Base的DNS设置进行修改，利用修改Base将拨号用户从现有DNS节点中分离，转移到新的拨号专用节点上。预计全省Base修改需要12个工作日。通知割接：（由电信安排专人通知）由电信安排专人，通知各地修改拨号用户的Base中的DNS设置。周期为7工作日，有效工作量：0人.天（由电信内部进行操作）C、上线后DNS流量分布分析，系统监控：工作量为34人.天每日分析四个DNS节点高峰期的流量分布情况，以便了解流量各地拨号用户的去向以及Base修改的效果。同时，对整个系统进行全面的监控，每日整理前一天的运行数据。以便了解DNS流量分离趋势。内容1：监测流量变化及随时调整流量，每天定时监测收集新专线用户DNS请求数据及原有DNS系统运行数据，保证DNS系统的正常运行。监测CNS软件运行日志，及CPU利用率、QPS相关等数据，进行专线用户响应时间测试等，发现异常随时进行CNS软件配置调整及流量调节分配等。严格按照DNS差异化服务项目配置步骤、DNS差异化服务项目应急保障预案进行操作，确保业务稳定健康，使专线用户的服务质量得到最大限度的提升。内容2：对每天收集的数据进行统计汇总，对比拨号及专线节点间的流量变化趋势。确保已经划转的客户业务顺畅、同时对整个原有DNS系统的运行状况进行分析，进而为后续的流量划转工作提供指导和优化。总计服务工作量为：60个工作日，工作量为34人.天D、系统检测及质量评估 工作量为：12人.天在试运行期后，对整个DNS分流情况进行评估，通过网管软件以及日志分析软件的分析数据对系统运行状况进行统计分析，对比分流前后DNS系统响应时间的变化以及系统性能变化，整理系统运行状态报告以及优化调整策略方案等，同时制定系统管理及调整维护手册。服务工作量为：12人.天（4） 工程总结及建议 工作量为：10人.天在系统试运行结束后，编写工程总结方案，同时对陕西电信现有系统进行分析，给出今后扩容建设建议。 服务工作量为：10人.天五、差异化服务新增软件需求根据此次差异化服务的目标，此次差异化服务需要新增的软件如下所示：内容 描述 数量用途DNS软件 CNS软件 2采集DNS日志，西华门及二长节点各一套DNS软件 Bind软件 3西华门节点两套，二长节点一套网管软件 AppManager for Solaris 1-2 CPU Server 5网管软件客户端网管软件 AppManager 7.0 Analysis Center Single-Server License 5新增服务器增加分析中心许可六、技术及售后服务内容1、标准技术支持内容融海咨询依托Nominum厂商的鼎力支持，依靠自身在DNS系统的建设、维护、管理等方面雄厚的技术力量储备，不仅提供管理系统的整体技术服务，同时可以提供强有力的整体的技术维护服务,确保陕西电信DNS系统稳定安全运行。并在优化工程的实施过程中，提供指导意见。技术支持是指在AppManager所支持的平台上，帮助客户解决问题，包括操作指导、问题解决、实施指导、项目实施、培训和二次开发。服务获取方式包括： 服务内容 通知 文档 电话支持 Online支持 远程诊断(需客户同意) 新版本升级 获取 Beta版 产品2、故障级别根据系统受影响的程度，将故障分为四个级别：L1：System Down系统宕机（硬件故障），不能工作。L2：Critical系统仍在工作，但性能严重下降。L3：Work-around系统可以工作，但不太正常。L4：Minor系统工作不受影响。3、响应时长服务内容电话服务email服务L1级故障服务7*24服务1小时内响应并到现场L2级故障服务7*24服务2小时内响应L3级故障服务5*8服务4-24小时内响应4-24小时内响应L4级故障服务5*8服务4-24小时内响应4-24小时内响应注：出现L1级故障时，为保证业务正常运行，融海公司为陕西电信安装CNS备机（硬件由陕西电信提供，可以将先用Bind服务器临时安装CNS保证业务的正常运行）。 当出现L2级及以下故障时，融海公司将及时配合用户解决问题。4、高级服务出标准技术支持内容外高级服务包括： 现场服务 项目实施 培训 实施指导高级服务响应时长：服务内容高级服务知识库故障服务Online用户论坛通知文档电话支持Online支持L1级故障服务1小时内响应L2级故障服务1小时内响应L3级故障服务1小时内响应L4级故障服务1小时内响应远程诊断(需客户同意)联系人个数10人Hotfixes and Inline ReleasesService Packs新版本升级获取 Beta版 产品七、培训计划1. 培训目的CNS培训帮助相关的管理人员了解产品的各个功能及特点，以及在日常如何维护系统。同时考虑到自09年以来，全国DNS系统多次遭受攻击而影响整个网络的正常运行。因此在此次培训中，对DNS系统的常见攻击类型及一般的应对方法做介绍，以便使管理人员能在日常维护过程中快速诊断故障，排除故障，恢复系统，保证DNS系统的正常运行。2. 培训人员及地点说明培训地点：西安培训人员：陕西电信DNS维护人员 人数：4人培训时间：2天 时间待定培训人员：Noinum厂家工程师3. 方案报价详见培训报价附件4. 培训安排第一天上午：产品安装 DNS原理、请求类型 CNS安装 Vantio及NXR（转发）安装 上线操作第一天下午：产品配置及维护 CNS及Vantio的配置介绍及操作 Cns_stats命令介绍 Nom_tell日常用法 其他常用命令说明第二天上午：DNS架构及发展趋势 最新DNS架构（Anycast）介绍 DNS发展趋势介绍 讨论第二天下午：DNS攻击介绍及应对方法 常见DNS攻击介绍及诊断应对方法 结合AppManager网管识别攻击 讨论附件1：项目工程系统实施及割接上线计划1. 二长Anycast上线计划（4工作日）： 计划完成时间：待定配合单位部门：陕西电信网监中心、北京融海、北京卓越天成割接工作内容：步骤一：割接前准备 （时间：一天）将现有的部署为Anycast的两台服务器IDCDNS1、IDCDNS2断网。修改Loopback地址，修改vantio.conf、zebra.conf、ospfd.conf.，将原文件中的218.30.19.47修改为218.30.19.40.修改启动脚本，将原有的Loopback地址修改为218.30.19.40。重启路由进程，zebra、ospfd、vantio测试版，做好割接前准备工作。步骤二：割接上线 （时间：一天）再次确认CNS服务器及日志服务器运行正常后，在临晨6点左右进行流量调换。插上Anycast架构的的两台两台服务器IDCDNS1、IDCDNS2的网线。利用其Loopback地址（218.30.19.40）掩码为255大于原有服务器掩码的原理，7609核心交换机会自动将DNS流量切换到Anycast架构的两台CNS服务器上。预计清除路由信息需要3分钟时间，会造成3分钟左右IDC专线节点无法提供解析服务。利用Dig命令，解析test.dns.com域名，根据返回结果判断两台服务器路由情况正常与否。域名解析结果分配到的服务器结果是否正常Test.dns.comTest.dns.comTest.dns.comTest.dns.comTest.dns.com在割接完成后，确认Anycast系统运行正常，保留原有服务器IDCVIPDNS处在联网状态，以便在Anycast系统异常时，能够及时替换。步骤三：试运行 （时间：两天）在割接完成后，对新上线的Anycast系统观察三天，对其三天的运行状态进行跟踪，保证系统的正常运行。负责厂家工程师电话E-mail北京融海恒信咨询有限公司靳辉18991101368hui.jinronghai.com2. DNS日志分析系统上线（5工作日）： 步骤一：安装服务器、磁盘阵列柜（时间：一天）分别在西华门及二长节点，安装新购买的日志服务器系统及相关的日志分析软件。步骤二：设置镜像端口（时间：一天）联系网监中心配合，在核心服务器设置镜像端口，以便收集DNS日志。步骤三：调试（时间：三天）调试日志服务器，调试自动分析脚本。负责厂家工程师电话E-mail北京融海恒信咨询有限公司靳辉18991101368hui.jinronghai.com3. 二长Anycast扩容及替换计划（3工作日）： 在Anycast系统正式上线运行两天后，系统未出现异常的情况下，执行此操作。步骤一：安装服务器（时间：一天）安装新购买的两台Sun X4150服务器安装操作系统（服务器名为IDCVIPDNS1、 IDCVIPDNS2），CNS软件及路由软件，测试正常后，准备替换原有的Anycast结构的两台老服务器。步骤二：替换（时间：一天）中断服务器IDCDNS1的服务器路由进程，等待1分钟后，使交换机路由清空后，拔下其网线。将原有网线接入IDCVIPDNS1服务器，确认路由正常启动，业务正常后，替换另一台服务器。按照上述步骤，用IDCVIPDNS2替换IDCDNS2服务器。利用Dig命令，解析test.dns.com域名，根据返回结果判断两台服务器路由情况正常与否。域名解析结果分配到的服务器结果是否正常Test.dns.comTest.dns.comTest.dns.comTest.dns.comTest.dns.com步骤三：拨号节点扩容（时间：一天）将替换下的IDCDNS1、IDCDNS2两台服务器，修改IP地址为218.30.19.44、218.30.19.45，并卸载原有Vantio测试版软件，调整为Bind服务器。测试正常后，通过拔插网线替换原二长拨号节点的两台临时Dell2850服务器。将原有IDCVIPDNS调整为Bind服务器，并修改IP地址为218.30.19.47，将其加入二长拨号节点。在流量切换完毕后，通过设置拨号节点的四层交换机，调整流量分配原则，将流量分配为1：1：1：1。设置图如下所示：负责厂家工程师电话E-mail北京融海恒信咨询有限公司靳辉18991101368hui.jinronghai.com西安信利软件科技有限公司王同胜13891947601wangtshxinli.com.cn4. 西华门Anycast安装调试计划（8工作日）： 计划完成时间：待定配合单位部门：陕西电信网监中心、北京融海安装调试工作内容：步骤一：安装调试（时间：一天）将新购买的两台服务器分别安装CNS软件，路由程序。临时组成对外IP为61.134.1.17的DNS服务器。步骤二：压力测试（时间：七天）利用两台压力服务器，对其此两台服务器进行压力测试，以便了解路由进程的稳定程度以及CNS进程的稳定性。负责厂家工程师电话E-mail北京融海恒信咨询有限公司靳辉18991101368hui.jinronghai.com5. 西华门Anycast上线计划（5工作日）： 计划完成时间：待定配合单位部门：陕西电信网监中心、北京融海割接工作内容：步骤一：割接前准备 （时间：一天）将现有的部署为Anycast的两台服务器XHMVIPDNS1、XHMVIPDNS2断网。修改Loopback地址，修改vantio.conf、zebra.conf、ospfd.conf.，将原文件中的61.134.1.17修改为61.134.1.4。修改启动脚本，将原有的Loopback地址修改为61.134.1.4。重启路由进程，zebra、ospfd、vantio测试版，做好割接前准备工作。步骤二：割接上线 （时间：一天）再次确认CNS服务器及日志服务器运行正常后，在临晨6点左右进行流量调换。拔掉原有XHM节点的光纤，插上Anycast架构的的两台两台服务器XHMVIPDNS1、XHMVIPDNS2。核心交换机在路由表重新建立后，将DNS流量切换到Anycast架构的两台CNS服务器上。预计清除路由信息需要5分钟时间，会造成5分钟左右IDC专线节点无法提供解析服务。利用Dig命令，解析test.dns.com域名，根据返回结果判断两台服务器路由情况正常与否。域名解析结果分配到的服务器结果是否正常Test.dns.comTest.dns.comTest.dns.comTest.dns.comTest.dns.com在割接完成后，确认Anycast系统运行正常，保留原有四层交换机架构处在冷备状态，以便在Anycast系统异常时，能够及时替换。步骤三：试运行 （时间：三天）在割接完成后，对新上线的Anycast系统观察三天，对其三天的运行状态进行跟踪，保证系统的正常运行。负责厂家工程师电话E-mail北京融海恒信咨询有限公司靳辉18991101368hui.jinronghai.com6. 西华门拨号节点扩容上线计划（2工作日）： 在Anycast系统正式上线运行两天后，系统未出现异常的情况下，执行此操作。步骤一：安装调试服务器（时间：一天）在原有XHMCNS服务器上卸载CNS软件，重新安装Bind软件，并调整服务器名为XHMDNS3。在新购的一台Bind服务器上，安装Bind软件，设置IP为61.134.1.16，服务器名为XHMDNS4。将两台服务器，加入原有的四层交换机下，准备西华门拨号节点上线。步骤二：修改四层交换机对外服务地址，调整流量分配（时间：一天）设置拨号节点的四层交换机，修改原有对外DNS地址由原来的61.134.1.4调整为61.134.1.xxx（待定）。调整流量分配原则，将流量分配为1：1：1：1。设置图如下所示：插上原有四层交换机光纤，使物理链路通畅，测试新节点是否正常。域名解析结果结果是否正常www.xaonlinewww.pconline.comwww.baidu.comwww.pcpop.comwww.xaonline.com负责厂家工程师电话E-mail北京融海恒信咨询有限公司靳辉18991101368hui.jinronghai.com西安信利软件科技有限公司王同胜13891947601wangtshxinli.com.cn7. 流量调整（20工作日）： 计划完成时间：20工作日修改BASE配置在四层交换机设置完成后，再次测试可以提供解析服务。逐步通知全省各地电信数据组逐步修改Base设置，设置如下：西安市拨号用户主用DNS：218.30.19.50，备用DNS：61.134.1.XXX九地市拨号用户主用DNS：61.134.1.XXX，备用DNS：218.30.19.50通过协商，预计修改全省所有BASE需要20个工作日。 8. 试运行期（60工作日）： 计划完成时间：60工作日 配合单位部门：北京融海在西安市用户分流后，每日对其数据进行分析。分析所有节点的流量变化。由于在base上修改后，有部分用户ADSL使用路由方式，仍会使用原有节点DNS。因此需要通过古城热线发布新DNS地址更改通知，以便使此部分用户逐步转换到新的DNS节点上。在试运行开始后，通过收集CNS日志（为减少CNS影响，采用隔天收集，次日分析的方式），对其进行分析。了解专线用户与普通用户的解析流量变化，评估转化效果。负责厂家工程师电话E-mail北京融海恒信咨询有限公司靳辉18991101368hui.jinronghai.com附件2：回退预案在利用Anycast替换原有节点时，原有节点均保留，如果Anycast架构出现异常，导致无法提供解析服务。只需要拔掉Anycast架构服务器的网线，重新插上原有服务器网线皆可恢复原有系统。附件3：应急预案由于此次分流在一台CNS的基础上，临时申请了一套Vantio测试版软件。因此可以只需要一台CNS或Vantio服务器即可支撑分流后的请求压力。首先，融海公司保证7x24的应急服务，保证在系统出现异常时，30分钟内远程解决，对于重大问题，保证在1小时内赶到现场。现对可能出现的异常情况，做以下的应急预案：1. CNS服务器或Vantio服务器的硬件出现故障，导致无法提供解析服务。解决办法：通过远程方式，在另外的两台Bind服务器上，紧急安装一套CNS或Vantio软件，及时替换故障机器。2. 四层交换机在出现攻击时瘫痪解决办法：如攻击时间不长，可以采用重启四层交换机的方式，恢复节点运行状态。如攻击时间较长，重启四层交换机可能面临再次瘫痪。此时可以将Vantio服务器临时修改IP，将其地址改为对外服务地址218.30.19.50。通过预先铺设的应急线路，将其直接挂载在7609核心交换机上，以便应对攻击。（注：CNS软件默认最大的递归数为2000，因此可以避免出现大量递归攻击造成解析性能严重下降的现象。