鐵路云平臺國產化適配方案研究

劉 佳，高 洋，安婷玉，安 琪

近年來，我國鐵路信息化飛速發展，已逐步建成了龐大的對內、對外生產服務的信息網絡，打造了涵蓋鐵路各領域的業務系統［1］。在鐵路主數據中心，建成了全國統一的鐵路信息化基礎設施——云平臺，實現了絕大部分業務應用系統向云計算架構的遷移，這對于解決信息化發展瓶頸問題，降低重復建設投資，實現節能環保，以及更加高效、穩定、安全和可靠地服務信息化應用等方面，發揮了重要作用［2-3］。

1 研究背景

面對國際安全形勢的日益嚴峻，在信息化快速發展的同時，國產化及網絡安全自主可控需求愈加凸顯，國產化替代工作勢在必行［4-5］。鐵路作為國民經濟的大動脈，其信息系統承載著大量的鐵路業務數據、公民個人信息等，一旦遭到破壞并影響正常使用，將對國家安全、經濟穩定和公眾安全產生重要影響［6］。隨著鐵路云平臺上層信息系統面臨的網絡安全威脅，以及底層基礎軟硬件技術封鎖風險的不斷攀升，鐵路云平臺國產化改造迫在眉睫。

鐵路云計算平臺在建設初期就考慮到底層技術的自主可控，為了避免出現完全依靠國外技術的情況，選擇了自主研發云平臺技術與成熟商業產品異構統管的技術方案［7］。其中，自主研發架構是以鐵信云產品為核心，正式生產運行情況良好。然而，鐵信云產品受整體技術條件限制，其服務器、CPU、操作系統等核心組件仍然受國外技術壟斷控制，無法完全實現自主、可控的目標。因此，需將鐵路云平臺自研技術向國產體系遷移適配，屏蔽底層不同的技術路線對應用系統帶來的影響，進一步提升鐵路信息化基礎設施的安全可控性。

2 現狀分析

2.1 鐵路云平臺

鐵路云平臺規劃包括基礎設施服務層（IaaS）和平臺服務層（PaaS），目前已完成IaaS層建設和部署，并穩步推進PaaS層研發工作。鐵路云平臺以OpenStack架構為基礎，實現對計算資源池、存儲資源池和網絡資源池的統一管理和調度，為信息系統應用部署提供基礎資源服務。鐵路云平臺整體架構見圖1。

圖1 鐵路云平臺整體架構

2.2 總體需求

1）鐵路主數據中心的建設發展應堅持走國產化之路，要對鐵路云平臺的國產化需求進行評估，在云平臺基礎軟硬件方面實現國產化適配。

2）鐵路云平臺國產化替代工作需滿足安全技術路線。無縫遷移既有云平臺歷史數據，在確保數據安全性和完整性的基礎上，保障平臺安全合規。

3）鐵路云平臺國產化替代工作需嚴謹、可靠、穩定、規范。在技術路線選擇時，按照技術先進、自主可控的原則，統籌考慮知識產權自主程度、技術發展性、生態可擴展性、穩定性及可靠性等，選擇適配程度深、穩定性好的技術路線，避免出現兼容性和影響運行效率問題；同時，充分利用原有云平臺建設成果，避免資源重復投入，保證發展的連續性。

3 適配過程

鐵路云平臺國產化遷移適配可分為評估規劃和技術準備、測試驗證與遷移實施、運行驗證與正式上線3個階段，包括盤點評估、遷移準備、實驗驗證、業務切換、試運行、上線運維等6個環節。

3.1 評估規劃和技術準備

3.1.1 盤點評估

對鐵路云平臺進行調研盤點，全面梳理云平臺的建設使用情況，包括全棧軟硬件、運行環境等。針對鐵路云平臺國產化替代需求，CPU應覆蓋x86和ARM 2條技術路線；操作系統可選OpenEuler技術路線，對應麒麟操作系統。

3.1.2 遷移準備

選擇飛騰CPU S2500服務器，XSKY XEDP國產分布式存儲平臺，Kylin V10 SP2操作系統。按照盡可能接近最終生產環境的原則，搭建鐵路云平臺遷移驗證所需的基礎設施、運行環境等實驗環境。成立項目小組，制定項目計劃和項目組織管理方案。

3.2 測試驗證與遷移實施

3.2.1 操作系統適配

目前，鐵路云平臺基于OpenStack構建，云平臺服務部署在容器中，需要在飛騰CPU服務器上適配麒麟操作系統。主要工作如下。

1）鏡像依賴包構建。整理鐵路云平臺所有依賴包的包名和版本列表，涉及基礎鏡像依賴包、云平臺依賴包、宿主機依賴包等。經統計，鐵路云平臺使用到的依賴包共計1 000余個需要進行替代。

2）build-hci與kolla-ansible項目兼容適配。鐵路云平臺的安裝和部署用到build-hci與kolla-ansible項目，考慮到與麒麟操作系統的兼容性，需要進行修改設計，完成包的安裝與卸載，以及麒麟操作系統的兼容、存儲適配等工作。

3）虛擬機鏡像制作及云插件適配。重新制作虛擬機使用的麒麟版本鏡像，對制作鏡像使用到的云插件，如cloud-init、qga等做相應適配［8］。

4）云平臺驗證。以上每一步的操作均需要在國產化架構下驗證，驗證內容包括云平臺虛擬機創建、調整配置、冷遷移、熱遷移等重要功能。

3.2.2 對接存儲

目前，鐵路云平臺采用RedHat Ceph存儲，需要與國產分布式存儲平臺XSKY XEDP進行適配對接。主要工作如下。

1）環境檢查及初始化配置。環境檢查包括檢查服務器各節點之間管理網絡、存儲集群對外網絡、存儲集群內部網絡間互通狀態，以及服務器時間等。初始化配置包括配置XSKY集群所有節點與Open-Stack所有節點雙向免密，存儲集群與 OpenStack 集群的時鐘同步，及將OpenStack集群的IP與主機名添加到存儲集群節點的 hosts 解析文件中等。

2）存儲集群安裝。安裝產品和產品許可并激活，確認集群信息和賬戶信息。

3）網關節點配置。對接XSKY XEDP存儲平臺，需要將待部署的云平臺節點添加為XSKY XEDP塊設備網關節點。XSKY可采用可視化部署，通過存儲管理界面，添加OpenStack節點訪問網關服務器（塊存儲網關角色），并獲取存儲池pool與ceph.conf配置文件。

4）部署云平臺。執行云平臺部署腳本install_cloud.sh，并初始化云環境。

3.2.3 部署主機高可用模塊

當前鐵路云平臺在生產使用過程中，會出現服務器故障導致關機或重啟的情況。當服務器出現故障時，運行在服務器上的云主機也會受到相應影響導致業務中斷，因此需引入主機高可用模塊，在服務器發生故障時，可以自動地將云主機疏散到其他節點上運行［9］。

主機高可用模塊包括主機高可用API服務（FDI）、主機高可用管理服務（FDM）和主機高可用代理服務（FDA）。FDI、FDM、FDA服務運行部署見圖2。

圖2 主機高可用模塊運行部署

FDI和FDM服務運行在主控節點上。其中，FDI服務為主機高可用模塊提供API服務；FDM負責所有主機高可用集群的監控與虛擬機疏散任務；FDA服務運行在每個計算節點主機上，負責檢查計算節點主機的狀態。FDM與FDA之間通過管理網發送管理心跳，采用寫存儲對象的方式更新存儲心跳。

3.2.4 安全加固

安全加固內容大致可分為以下7類。

1）系統服務相關。KSM（Kernel Samepage Merging）是內核中的一種內存共享機制，通過ksmd和ksmtuned服務用于共享內存，默認為啟用時可能會導致虛擬機信息泄露。可關閉SELinux（Security Enhanced Linux）；關閉防火墻、ksmd、ksmtuned服務等。

2）系統用戶相關。為保障用戶賬戶安全，可加固內容包括：修改用戶密碼策略（密碼復雜度、密碼到期時間、登錄失敗賬戶鎖定、密碼最大復用次數等）；鎖定nologin賬號；設置用戶目錄所需的最小權限等。

3）遠程登錄相關。可加固內容包括：禁止root用戶遠程SSH（Secure Shell）登錄和Telnet登錄；設置登錄超時策略，用戶輸入空閑超過時間后自動斷開；配置SSH登錄提示等。

4）系統日志相關。可加固內容包括：配置嚴謹的系統日志讀寫權限；開啟crontab 定時任務的日志輸出，默認crontab的任務執行未記錄到日志中，啟用日志功能，可在crontab執行失敗時找到問題原因；設置history命令保存條數等。

5）網絡相關。由于ICMP重定向（ICMP redirect）可以動態地更改主機的路由，因此在系統加固中建議禁用ICMP redirect功能。

6）FTP相關。通過vsftpd（very secure file transfer protocol daemon）服務器軟件，可加固內容包括：禁止root用戶登錄；設置全局chroot（change root），限制FTP用戶權限，將其操作禁錮在指定的目錄樹內；禁止匿名FTP登錄等［10］。

7）其他。修改snmp（simple network management protocol）默認團體名。因為使用默認團體名易導致系統運行的進程、系統存在的用戶、運行的服務、端口情況等敏感信息泄露。

3.2.5 業務切換

基于驗證、測試結果，制定遷移割接方案，穩步實施鐵路云平臺的遷移和業務切換。

3.3 試運行與正式上線

在生產環境下進行測試驗證，監測發現并解決潛在問題及異常狀況。在對鐵路云平臺功能、性能等做最終評估后，云平臺正式上線，并進入運維期。

4 結束語

鐵路云平臺是鐵路信息化建設中的重要一環，其自主可控對維護國家安全意義深遠。本文在既有鐵路云平臺的基礎上，對構建自主可控云環境進行試點研究，通過對接國產芯片、操作系統和存儲服務器提供可信的計算、網絡和存儲能力，采用主機高可用模塊和安全加固措施，為云平臺的性能提供保障。鐵路云平臺的國產化為鐵路信息系統應用部署和國產化遷移適配提供可行的環境支撐，可有效降低信息化成本。下一步將對云平臺微服務、大數據、人工智能等技術進行研究，提高其先進性和普適性。