Облачная инфраструктура CloudServer состоит из трех основных компонент:

• Система облачной виртуализации
• Система управления облачной платформой
• Система хранения данных

Система облачной виртуализации

Система виртуализации построена на базе решения Red Hat KVM, которое обеспечивает доступ и управление виртуальными ресурсами.

Основные критерии выбора в пользу системы виртуализации Red Hat KVM:

• Red Hat KVM позволяет виртуальным машинам использовать немодифицированные образы дисков, содержащие операционные системы;
• каждая виртуальная машина имеет своѐ собственное виртуальное аппаратное обеспечение: сетевые карты, диск, видеокарту и т. д.;
• модуль ядра экспортирует устройство, называемое /dev/kvm, которое делает возможным гостевой режим ядра (вдобавок к обычным режимам ядра и пользователей);
• каждое псевдоустройство /dev/kvm имеет свое собственное адресное пространство, отдельное от адресного пространства ядра или любых других работающих VM;
• каждый виртуальный сервер представлен как отдельный процесс, связанный с устройством /dev/kvm.

Процессоры: Intel Xeon E5

Сервера: Блейды и серверные платформы IBM, HP, Supеrmicro

Система управления облачной платформой

Для управления облачной платформой используется решение CloudStack, с помощью которого производится:

• управление ресурсами через веб интерфейс со стороны клиента (ядра, память, дисковые системы);
• управление облачной структурой: объединение физических серверов в единый пул, автоматическое распределение виртуальных ресурсов в пуле физических серверов (любая машина может масштабирована);
• безопасность: роутинг и автоматическое выделение инфраструктуры клиента в независимую подсеть (собственный VLAN);
• возможность создания и управления резервными копиями машин на независимом хранилище (снапшоты);
• отказоустойчивость при выходе из строя любого аппаратного компонента сервера.

 Система хранения данных

Система хранения данных каждого кластера CloudStack облачной инфраструктуры ActiveCloud состоит из двух независимых серверов хранения данных, каждый из которых подключен к двум независимым вводам электропитания, каждый из которых обеспечивает двухкратную мощность, необходимую для работы сервера.

Безопасность хранения данных обеспечивается комплексом аппаратно-программных решений:

• каждый сервер хранения данных подключен к вычислительным нодам по двум независимым каналам связи через два коммутатора, обеспечивающих пропускную способность данных до 1 ГБ/сек. для каждого из каналов;
• каждый диск в одном из серверов хранения данных объединен в RAID-группу уровня RAID1 (зеркало) с аналогичным диском во втором сервере хранения данных;
• синхронизация групп RAID1 между серверами хранения данных производится по выделенному высокоскоростному каналу InfiniBand со скоростью 40 ГБ/сек. Данный канал применен для разгрузки и исключения каких либо влияний на основной канал связи (между дисковыми массивами данных и вычислительными нодами);
• на уровне каждого сервера хранения данных все вышеуказанные RAID-группы объединены в RAID-группу уровня RAID0.

Основным компонентом кластера хранения данных является Linux-High Avilibility, который следит за состоянием кластера, общаясь с «напарником» посредством широковещательного канала. Таким образом, при выходе из строя одного дискового массива хранения данных, время простоя работы (down-time) стремится к нулю.

Система хранения данных: СХД Supermicro с SAS контроллерами

Типы дисков:

 Для всех типов дисков максимальная линейная скорость чтения-записи ограничена 65 МБ/с.

Каналы связи

Каждый сервер вычислительного кластера подключен по двум независимым каналам связи к дисковому массиву хранения данных. Для каждого канала связи инициализируется протокол ISCSI, который базируется на TCP/IP. Протокол ISCSI является стандартизованным по RFC 3720. В рамках двух независимых путей от HBA к дисковым массивам хранения данных используется технология Multipath. Multipath обеспечивает резервирование доступа к серверам хранения данных и повышение пропускной способности путем балансировки нагрузки. Каждый пакет пула виртуальных машин клиента во внутренней сети является тегированными по стандарту 802.1q, что обеспечивает безопасность передачи данных и предотвращает возникновение широковещательных штормов и петель. Внутри клиентского облака используется внутренняя адресация, каждому клиенту выделяется подсеть класса C (10.0.0.0/24). Соответственно, каждый виртуальный сервер клиента по умолчанию является недоступным из других подсетей и Интернет. При необходимости доступ к виртуальному серверу из других подсетей и Интернет предоставляется использованием виртуального маршрутизатора и технологии NAT. Имеется возможность выборочного проброса портов и настройки разрешенных внешних узлов. Первоначальная (стандартная) настройка виртуального маршрутизатора осуществляется по принципу «запрещено все, что не разрешено».

Пропускная способность канала для отдельного аккаунта CloudServer – 300 Мб/с

 Существующая схема защиты канала передачи данных между облачной инфраструктурой и сетью клиента

На данный момент в панели управления облачной инфраструктуры реализовано автоматическое создание защищенного туннеля связи с внутренней инфраструктурой Заказчика.

Для реализации защищѐнного туннелирования и аутентификации используется технология VPN с протоколом туннелирования второго уровня L2TP, который включает в себя безопасную идентификацию партнера (CHAP-подобную систему аутентификации).

Для шифрования данных сессии, предоставляется шифрование на пакетном уровне посредством протокола IPSec, аутентификация — PSK.