Breve descripción de los aspectos más significativos de la arquitectura de los centros de datos del Ministerio de Fomento

Transcripción

1 SUBSECRETARÍA MINISTERIO DE FOMENTO INSPECCIÓN GENERAL DE FOMENTO SUBDIRECCIÓN GENERAL DE TECNOLOGÍAS DE LA INFORMACIÓN Y ADMINISTRACIÓN ELECTRÓNICA Breve descripción de los aspectos más significativos de la arquitectura de los centros de datos del Ministerio de Fomento 1 Objeto El objeto del presente documento consiste en presentar un resumen de los aspectos más significativos de la arquitectura de T. I. que da soporte a los servicios prestados en el Ministerio de Fomento. El presente documento recoge información de los Centros de Datos gestionados por la Subdirección General de Tecnologías de la Información y Administración Electrónica (en adelante SGTIAE), donde se según la estrategia TIC debería consolidarse el resto de CPD de los centros directivos del Ministerio. 2 SGTIAE LA SGTIAE se encarga de prestar servicios de carácter horizontal al Ministerio: Navegación, correo electrónico, gestión de contenidos del Web Site y de dar soporte directo a los centros directivos que no cuentan con infraestructura tecnológica propia. A continuación se desarrollan someramente las infraestructuras más significativas, pero al margen de los equipos que se referencian, también se mantienen una serie de equipos físicos y plataformas que dan soporte a ciertos servicios, entre las que caben destacar: Linux (red Hat), Oracle y MySQL, JBoss, etc. Puesto que el objeto de este documento es dar una idea de la general de la infraestructura T.I., no se entrará en detalle de la de estos equipos físicos dedicados exclusivamente a aplicaciones verticales o a servicios en extinción. En dos ficheros anexos recogen los planos detallados de todos los equipos físicos alojados en los centros de datos ubicados en Castellana 67 y Castellana 112 que se pueden poner a disposición de las empresas interesadas en participar en el concurso abierto, bajo un compromiso de confidencialidad. 2.1 CENTROS DE DATOS El Ministerio de Fomento (sin considerar los Organismos Autónomos asociados al mismo), cuenta con 2 centros principales de proceso de datos: un CPD principal y un centro de respaldo en alta disponibilidad, en configuración activo-pasivo, capaz de asumir los servicios más críticos ante un fallo del CPD principal. El CPD principal, ubicado en el Pº Castellana, 67 de Madrid, cuenta con unos 180 metros cuadrados, con acometida de un único centro de transformación y dotación de UPS en una parte de los circuitos eléctricos. Está dividido en dos zonas dentro de la misma sala: zona de equipamiento de comunicaciones y zona de equipamiento de proceso de datos. En la primera se encuentran los conmutadores centrales de la red local de todo el Ministerio, así como el equipamiento terminal de redes WAN suministradas por los

2 2 proveedores de servicios de telecomunicaciones del Ministerio de Fomento. En esta zona se encuentra asimismo la zona de acceso a la Red Sara desde el Ministerio de Fomento. En la segunda zona, constituida por unas 40 huellas de rack, se encuentra los servicios de proceso de datos: servidores y almacenamiento. El CPD de respaldo ubicado en Castellana 112 tiene unos 30 metros cuadrados, basado en 5 huellas de rack, para dar soporte a subconjunto de los servicios, que integran elementos de comunicaciones y proceso de datos, sin especialización de unas y otras en distintas zonas y racks. Además hay otros centros de datos gestionados directamente por la Dirección General de la Marina Mercante y la Dirección General del Instituto Geográfico Nacional cuya integración en los CPDs principales está en estudio. 2.2 WAN DE FOMENTO El Ministerio de Fomento tiene un total de 220 sedes en la Península e Islas Baleares y Canarias. En cada una de estas sedes existe una LAN. Todas las sedes están interconectadas entre sí y con la LAN de los servicios centrales en el Paseo de la Castellana 67 en Madrid, a través de la WAN corporativa de la AGE, licitada en el concurso de comunicaciones de la AGE, actualmente en proceso de implantación. Uno de los servicios que se ofrece desde los servicios centrales para los puestos de trabajo en estas sedes es el acceso internet. El servicio de acceso internet tiene un ancho de banda de 600 megabits por segundo, redundando en ambos Centros de Datos. La autorización de acceso y filtrado de contenidos durante la navegación, a nivel de usuario o grupos, residen en el sistema de seguridad perimetral. 2.3 CONFIGURACIÓN PERIMETRAL La seguridad perimetral está gestionada por 6 equipos firewalls de nueva generación Fortigate 1000, configurados en pares de alta disponibilidad, estableciendo las siguientes zonas - Externo, que conecta toda la infraestructura a Internet y donde se ubica la zona DMZ en la que se alojan todos los servicios prestados por el Ministerio de Fomento en Internet, tanto los destinados a los ciudadanos, como los que permiten el trabajo remoto de los funcionarios. - Red SARA, para gestionar la interconexión con los organismos de la Administración Pública. - Interno, del que cuelgan la red CPD que aloja todos los servicios corporativos (intranet, correo, servidores de ficheros, etc.) y la propia red interna de M.

3 3 2.4 DMZ FOMENTO, la seguridad está basada en un esquema de VLANs con diferentes niveles de acceso a la información. Las arquitecturas web tienen granjas frontend y backend. Las granjas frontend se encuentran en la DMZ, y las granjas backend se encuentra en la red interna. Los servicios prestados desde la DMZ están soportados por una granja de servidores con Windows 2012 desplegados sobre un clúster de Hyper-V. Este clúster está compuesto por cuatro nodos, dos de ellos ubicados en Castellana 67 y dos ubicados en Castellana 112. Los servidores son Dell R910 y el almacenamiento es DAS (aunque se encuentra en un proceso de sustitución por cabinas Dell EqualLogic) Aunque cuenta con alguna excepción, los servicios de la DMZ se prestan sobre plataformas de productos Microsoft (Windows Server 2008/2012, IIS ) y las aplicaciones más comunes han sido desarrolladas en.net y Java Los servidores de base de datos no se encuentran en la DMZ sino en la red interna (en la mayoría de los casos se trata de una instancia en un servidor de bases de datos compartido) En la DMZ también se ubican otros equipos que gestionan servicios accesibles desde el exterior que se describen más adelante como los servicios GIS o los accesos en movilidad. 2.5 LAN La SGTIAE cuenta con una red de área local Ethernet, con un ancho de banda de 1 Gbps sobre infraestructura CISCO. La mayoría de los servicios que son prestados desde LAN residen sobre equipos virtuales. No obstante, se mantienen equipos físicos para dos servicios importantes: el correo electrónico y el clúster de BBDD Hypervisores Se cuenta con varios clústers de de Hyper-V y uno de Vmware. En Centro de Datos principal en Castellna 67 se encuentra un cluster hyper-v de 6 nodos que da servicios en LAN interna del Ministerio, así como un cluster de dos nodos de Vmware que también da servicio en la LAN. Existe asimismo otro cluster de dos nodos que da servicio en la DMZ. En el Centro de Datos secundario, en Castellana 112, existen dos cluster de hyper-v: uno de cuatro nodos que da servicio a la LAN y uno de dos nodos que da servicio en la DMZ. Lo servidores de los clusters, son DELL de los modelos R910 y R820, con configuraciones de procesadores diferentes en función del servidor en concreto, que dan un total de 24, 40 ó 48 cores en cada servidor en concreto

4 4 Estos sistemas soportan en la actualidad unos 350n servidores en hyper-v (LAN, DMZ y en ambos Centros de Datos), y unos 100 servidores en el clúster VMware, siendo los sistemas operativos más comunes Windows Server 2008 y 20212, aunque alojan también máquinas Linux (principalmente Red Hat) Almacenamiento Además de algún servicio de almacenamiento local, se han provisto dos tipos de cabinas almacenamiento: EqualLogic de DELL y VNX de EMC En relación con VNX, se ha ubicado un equipo en el CPD de cada Castellana 67 y otro en Castellana 112. Sobre estos equipos se ha configurado un pool donde se han definido las LUNs que dan soporte a aquellos servicios que exigen replicación síncrona: clúster de ficheros y Clúster de BBDD. En las cabinas EqualLogic se ubica el resto de almacenamiento que no demanda replicación síncrona, mediante conexiones iscsi Directorio activo El acceso a los recursos de gestiona mediante el directorio activo de Microsoft, desplegado sobre máquinas virtuales con Windows 2012 repartidas en diversas sedes (no solo los dos CPDs principales). Cuenta con más cuentas vivas, prestando servicio a unos usuarios de todo el Ministerio Clúster de Ficheros Se ha configurado un clúster de ficheros con dos servidores en Windows 2012, uno en Castellana 67 y otro en Castellana 112. El almacenamiento para el clúster se ha configurado sobre un conjunto de LUNS alojadas en pool de discos de cabinas de EMC (modelo VNX) Clúster de SQL Se ha configurado dos clústers geográfico de SQL Server cada uno con dos servidores físicos. SQL server 2008 sobre Windows Server 2008 y SQL server 2012 sobre Windows Server 2012 en cada cada uno de los nodos está en el CPD de Castellana 67 y otro en el CPD de Castellana 112, sobre un conjunto de LUNS alojadas en pool de discos de cabinas VNX Correo electrónico EL servicio de correo electrónico (Microsoft Exchange 2010) se presta mediante un conjunto de servidores físicos sobre Windows Server 2008 para el desempeño de todos los roles. Los servidores se encuentran en ambos centros de datos redundados, en DMZ y en la LAN. Existen 4 servidores de buzones principales, otro retrasado en el tiempo y otro

5 5 más que es parte del servicio de almacenamiento a largo plazo del correo gestionado. Además existen 2 servidores CAS, 2 servidores HUB y 2 servidores CAS-HUB. En DMZ existen 4 servidores EDGE. El sistema gestiona del orden de 1,5 millones de mensajes cada mes Copia de respaldo y recuperación de datos El servicio de copia e respaldo de datos de servidores en la LAN está soportado en el producto Legato Networker La capacidad licenciada es de 30 Teras netos (tras la compresión de datos realizada por el cliente NetWorker). Físicamente se almacenan en dos equipos Data Domain de EMC, cada uno centro de datos, configurado con 16 discos de 2 teras Servidor GIS Se ha configurado un clúster para los servicios GIS con productos ESRI (ArcGIS Server) instalando dos servidores sobre Windows Server 2012 y conectado con el Directorio Activo para la gestión de accesos. Los datos se almacenan sobre una Geodatabase en Microsoft SQL Server En la DMZ se ha ubicado el complemento ArcGIS Web Adaptor en dos máquinas virtuales sobre IIS en plataforma Windows Server 2012, actuando como redireccionador de URL s de ArcGIS Server para acceder a los servicios desde el exterior. Las licencias se gestionan a través de un equipo instalado al efecto: ArcGIS License Manager. 2.6 SERVICIOS EN MOVILIDAD CItrix Se ha configurado una granja de servidores sobre Windows 2012 para Citrix en la versión XenApp 6, principalmente para servir aplicaciones en remoto. Los servidores virtuales se reparten entre las sedes de Castellana 67 y Castellana 112, mateniendo la LAN extendida y todos los servidores comparten la misma subred IP. El acceso externo, sobre la DMZ, está formado por dos servidores instalados con el software Secure Gateway 3.2. Uno en Castellana 67 y otro en Castellana 112, realizándose un balanceo mediante DNS Round Robin. La infraestructura de Web Interface está formada también por dos servidores instalados con Citrix Web Interface 5.3Uno en Castellana 67 y otro Castellana 112, realizándose balanceo mediante NLB.

6 Webdav Se han configurado dos de servidores sobre Windows 2012 para prestar el servicio de acceso remoto al clúster de ficheros a través de protocolo WebDav, ubicada en una Vlan específica de la DMZ. El tráfico a estos equipos se autentifica mediante TMG y se balancea por el propio firewall según una función hash VPN A través de las propias funcionalidades ofrecidas por los firewalls de seguridad perimetral se ha configurado un servicio de túnel SSL de los firewall para permitir la conexión a la red interna del Ministerio. Adicionalmente se han configurado VPN para establecer conexiones con Azure, para la provisión de servicios en la nube (este servicio está en fase de pruebas)