Search <book_title>...

Veritas NetBackup™ 安全和加密指南

Last Published: 2017-11-02

Product(s): NetBackup & Alta Data Protection (8.1)

具备所有 NetBackup 安全功能的多数据中心

具备所有 NetBackup 安全的多数据中心是一个中到大型主机组（超过 50 台主机）。这些主机可以跨越两个或更多地理区域，并且可以通过广域网 (WAN) 进行连接。在此示例中，一个数据中心位于伦敦，另一个数据中心位于东京。两个数据中心通过专用 WAN 连接进行连接。

此示例将前面的所有示例都组合在一起。它代表一个非常复杂的环境，在该环境中可以存在对各种客户端的不同要求。某些客户端可能要求使用脱离主机加密（如，供电不足的主机，或数据库备份）。而另一些客户端可能会由于主机上数据的敏感性，要求使用在机加密。将 NBAC 添加到安全混合体中，可以在 NetBackup 内将管理员、操作员和用户分离开来。

具备所有 NetBackup 安全的多数据中心包括以下要点：

NetBackup 通过 WAN 跨越两个或更多地理区域
请参见前面有关多数据中心的各节，了解各个选件的要点
最灵活但最复杂的环境
按照类似模型认真设计便可利用每个选件的优点

图：具备所有 NetBackup 安全功能的多数据中心显示了具备所有 NetBackup 安全功能的多数据中心示例。

图：具备所有 NetBackup 安全功能的多数据中心

下表介绍实现了所有 NetBackup 安全的多数据中心所使用的 NetBackup 部件。

表：实现了所有 NetBackup 安全的多数据中心所使用的 NetBackup 部件

部件	描述
伦敦数据中心	包含根代理、身份验证代理 1、GUI 1。它还包含授权引擎、主服务器、介质服务器 1、MSEO 1、客户端 1 至 6、运输以及场外保管库。伦敦数据中心还包含客户端 1、2、3、6 和 7 的加密数据磁带，以及客户端 4 和 5 的未加密数据磁带。伦敦数据中心通过专用 WAN 连接连接到东京数据中心。
东京数据中心	包含身份验证代理 2、GUI 2、介质服务器 2、MSEO 2、客户端 7 至 12、运输和场外保管库。东京数据中心还包含客户端 7、8、9 和 12 的加密数据磁带，以及客户端 10 和 11 的未加密数据磁带。东京数据中心通过专用 WAN 连接连接到伦敦数据中心。
广域网 (WAN)	指定专用 WAN 链路将伦敦数据中心和东京数据中心连接起来。WAN 提供了根代理与身份验证代理 1 和身份验证代理 2 之间的连接。此外，WAN 还提供根代理与身份验证代理 1 和 GUI 2，连同介质服务器 2 之间的连接。WAN 还会将授权引擎连接到介质服务器 2。WAN 会将主服务器连接到 GUI 2、介质服务器 2 以及客户端 7 至 12。最终，WAN 会将介质服务器 1 连接到客户端 7。
主服务器	指定位于伦敦数据中心的主服务器与根代理、身份验证代理 1、GUI 1、授权引擎、介质服务器 1 以及客户端 1 至 6 进行通信。主服务器还与东京的 GUI 2、介质服务器 2 以及客户端 7 至 12 进行通信。
介质服务器	指定在此多数据中心示例中可以有两个介质服务器。介质服务器 1 位于伦敦数据中心，介质服务器 2 位于东京数据中心。在伦敦，介质服务器 1 与主服务器、根代理和身份验证代理 1 进行通信。它还与授权引擎、MSEO 1 以及客户端 1 至 6 和 7 进行通信。介质服务器 1 针对客户端 4 和 5 将未加密数据写入磁带，并针对客户端 1 至 6 将加密数据写入磁带。在东京，介质服务器 2 通过 WAN 与伦敦的主服务器、根代理、身份额验证代理 1 以及授权引擎进行通信。介质服务器 2 还与东京的 MSEO 2、GUI 2 以及客户端 7 至 12 进行通信。介质服务器 2 针对客户端 10 和 11 将未加密数据写入磁带，并针对客户端 7、8、9 和 12 将加密数据写入磁带。
GUI	指定在此多数据中心示例中可以有两个 GUI。GUI 1 在伦敦，GUI 2 在东京。这些远程管理控制台 GUI 从身份验证代理接收凭据。然后，GUI 使用凭据来访问介质服务器和主服务器上的功能。在伦敦，GUI 1 从身份验证代理 1 接收凭据。GUI 1 有权访问主服务器以及介质服务器 1 和 2 上的功能。在东京，GUI 2 从身份验证代理 2 接收凭据。GUI 2 有权访问主服务器以及介质服务器 1 和 2 上的功能。
根代理	指定在一个多数据中心安装中需要一个根代理。有时根代理会与身份验证代理合二为一。在此示例中，根代理和身份验证代理显示为同一个组件且都位于伦敦数据中心。在伦敦，根代理对同样在伦敦的身份验证代理 1 和在东京的身份验证代理 2 进行身份验证。根代理不会对客户端进行身份验证。
身份验证代理	指定在一个数据中心安装中可以有多个身份验证代理。有时，可以将身份验证代理与根代理组合在一起。在此数据中心安装中，使用两个身份验证代理。身份验证代理通过确认主服务器、介质服务器、GUI 和客户端各自的凭据对其进行身份验证。身份验证代理还会使用命令提示符对用户进行身份验证。在伦敦，身份验证代理 1 会使用主服务器、介质服务器 1、GUI 1 以及客户端 1 至 6 来执行凭据身份验证。东京和伦敦的所有 NetBackup 服务器和客户端都会针对伦敦的身份验证代理 1 进行身份验证。GUI 1 会对伦敦的身份验证代理 1 进行身份验证。GUI 2 会对东京的身份验证代理 2 进行身份验证。
授权引擎	指定在一个多数据中心安装中只需要一个授权引擎。授权引擎与主服务器和介质服务器进行通信，以确定经过身份验证的用户的权限。这些权限决定了功能是否对用户可用。授权引擎还存储用户组和权限。授权引擎驻留在伦敦并与主服务器和介质服务器 1 进行通信。授权引擎还通过 WAN 进行通信，以授予对东京的介质服务器 2 进行访问的权限。注意: 授权引擎作为后台驻留程序进程驻留在主服务器上。在此图中，它显示为一个单独的图像（仅用于示例）。
磁带	指定在伦敦数据中心和东京数据中心生成未加密和加密的数据磁带。在伦敦，未加密磁带针对客户端 4 和 5 进行写入并在伦敦数据中心进行场内存储。加密磁带针对客户端 1、2、3、6 和 7 进行写入，并在场外传输到伦敦的保管库，从而实现灾难恢复。在东京，未加密磁带针对客户端 10 和 11 进行写入并在东京数据中心进行场内存储。加密磁带针对客户端 7、8、9 和 12 进行写入，并在场外传输到东京的保管库，从而实现灾难恢复保护。即使客户端 7 位于东京并在东京进行备份，它也还是会在伦敦进行备份以实现更好的安全和备份冗余。注意: 要解密数据，用于加密数据的密钥必须可用。
运输	指定可以有两类运输。一类运输位于伦敦，另一类运输位于东京。伦敦的运输卡车将客户端 1、2、3、6 和 7 的加密磁带场外运送到安全的伦敦保管库设施。东京的运输卡车将客户端 7、8、9 和 12 的加密磁带场外运送到安全的东京保管库设施。请注意，客户端 7 的备份副本在伦敦和东京两地保管。注意: 即使在运输期间丢失了磁带，数据中心管理员也已通过使用客户端数据加密技术潜在降低了数据泄露的风险。
场外保管库	指定可以有两个场外保管库。一个保管库位于伦敦，另一个保管库位于东京。两个保管库均在不同于数据中心所在位置场外提供安全的加密磁带存储设施。注意: 将加密磁带存储在数据中心之外的位置可实现良好的灾难恢复保护。
客户端	指定客户端位于伦敦和东京数据中心。在伦敦，客户端 1 至 3 是 MSEO 加密类型。客户端 4 是标准 NetBackup 类型。客户端 5 是位于 DMZ 中的 Web 服务器类型。客户端 6 也是位于 DMZ 中的客户端加密类型。所有客户端类型都可以由主服务器进行管理，并通过介质服务器 1 将其数据备份到磁带。客户端 5 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 进行通信。此外，客户端 5 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 接收连接。在东京，客户端 7 至 9 是 MSEO 加密类型。客户端 10 是标准 NetBackup 类型。客户端 11 是位于 DMZ 中的 Web 服务器类型。客户端 12 也是位于 DMZ 中的客户端加密类型。所有客户端类型都可以由主服务器进行管理，并通过介质服务器 2 将其数据备份到磁带。请注意，客户端 7 可由介质服务器 1 和 2 进行管理。客户端 11 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 进行通信。此外，客户端 11 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 接收连接。
内部防火墙	指定在此多数据中心示例中可以有两个内部防火墙。一个内部防火墙位于伦敦，另一个内部防火墙位于东京。在伦敦，内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 5 和加密的客户端 6。在东京，内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 11 和加密的客户端 12。仅为通过内部防火墙进出 DMZ 的数据通信启用了选定的 NetBackup 端口和可能的其他应用程序端口。不允许在外部防火墙中打开的 HTTP 端口通过内部防火墙。
隔离区 (DMZ)	指定在此多数据中心示例中可以有两个 DMZ。一个 DMZ 位于伦敦，另一个 DMZ 位于东京。在伦敦，DMZ 为 Web 服务器客户端 5 和加密的客户端 6 提供“安全”操作区域。这些客户端存在于内部防火墙与外部防火墙之间。DMZ 中的 Web 服务器客户端 5 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 5 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。在东京，DMZ 为 Web 服务器客户端 11 和加密的客户端 12 提供“安全”操作区域。这些客户端存在于内部防火墙与外部防火墙之间。DMZ 中的 Web 服务器客户端 11 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 11 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。
外部防火墙	指定在此多数据中心示例中可以有两个外部防火墙。一个外部防火墙位于伦敦，另一个外部防火墙位于东京。在伦敦，外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 5。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 5 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 5 的 HTTP 端口可以通过外部防火墙访问 Internet。在东京，外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 11。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 11 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 11 的 HTTP 端口可以通过外部防火墙访问 Internet。
Internet	指定只能有一个 Internet，但是此多数据中心示例中有两个 Internet 连接。一个 Internet 连接位于伦敦，另一个 Internet 连接位于东京。Internet 是通过铜线、光纤电缆和无线连接链接到一起的互连计算机网络集合。在伦敦，Web 服务器客户端 5 可以通过外部防火墙使用 HTTP 端口在 Internet 上进行通信。在东京，Web 服务器客户端 11 可以通过外部防火墙使用 HTTP 端口在 Internet 上进行通信。