[发明专利]改进的目录服务系统网络拓扑结构

说明书

技术领域

本发明涉及一种目录服务系统，尤其是一种改进的目录服务系统网络拓扑结构。

背景技术

目录服务访问管理服务集群(AM, Access Manager)是目录服务统一身份认证、访问控制、单点登录的统一入口，包括访问网关服务器(AG, Access Gateway)和身份认证服务器(IDS, Identity Server)。

在传统的基于HTTP协议的访问管理系统中，访问网关服务器和身份认证服务器直接与单台F5设备连接，实现负载均衡，如图3所示。但是，这种直接接入方式存在两点安全隐患：（1）存在单点隐患：由于F5设备与目录系统服务器设备串联，如果F5设备出现异常，会直接影响目录系统的可用性；恢复系统时，需采用手动方式将目录系统访问管理服务器切换至备用的F5设备，而在切换过程中，目录服务系统就不能对外提供服务，影响业务系统的使用；（2）可扩容性差：由于F5设备下联的目录系统服务器数量受到F5设备物理接口数量的限制，当目录服务系统访问量增加，现有服务器不能满足系统不断增长的扩容需求时，而目录系统总体服务器数量不能超过F5设备物理接口数量，致使系统可扩容性差。

发明内容

本发明要解决的技术问题是提供一种改进的目录服务系统网络拓扑及其旁路接入方法，解决了目录服务访问管理存在的F5单点隐患，并为今后服务器扩容提供支持。

为解决上述技术问题，本发明所采取的技术方案是：一种改进的目录服务系统网络拓扑结构，包括身份认证服务器和访问网关服务器；身份认证服务器和访问网关服务器都与内部交换机连接，内部交换机划分为两个独立的网段VLAN1和VLAN2，其中，VLAN1为访问网关服务器提供负载均衡，VLAN2为身份认证服务器提供负载均衡；F5设备为两个网段VLAN1和VLAN2提供负载服务；内部交换机和F5设备都与上层交换机连接。

其中，所述身份认证服务器对外提供服务的地址和访问网关服务器对外提供服务的地址均设置在F5设备上，并且身份认证服务器与访问网关服务器的网关都设为F5设备的地址，由F5设备转发相应的数据流。

其中，所述上层交换机通过网络云与客户端连接。

其中，所述F5设备包括采用双机部署模式的主F5设备和备用F5设备。

采用上述技术方案所产生的有益效果在于：本发明具有如下的技术特点：（1）解决了目录服务访问管理存在的F5设备单点隐患：在直连部署模式下，服务器单点连接入F5设备，F5设备发生故障的几率约0.001%，当更改为旁路以后，服务器与F5设备没有物理连接关系，两台F5双机可同时为服务器提供负载均衡服务，任何一台出现故障不会影响现有服务，两台F5设备同时出现故障的几率为0.001%*0.001=0.000001%，因此，将由于F5设备故障导致的服务不可用几率降低了1000倍；（2）为今后服务器扩容提供支持：在直连部署模式下，F5设备可负载服务器数量取决于设备的物理端口，目前F5设备提供的物理端口为8个，相应的可负载服务器数量n=8；当改为旁路部署模式后，可负载服务器数量取决于带宽，而且8个端口可捆绑，当应用所占带宽不超过8000Mbps时，理论上可负载服务器数量n=+∞；（3）通过划分VLAN的方式完成目录服务访问管理系统网络改造，最大限度节省了资源。

总之，本发明通过网络改造，将目录服务访问管理服务器直接接入F5设备的模式改为旁路模式，即将目录访问管理服务器接入二层交换机，通过二层交换机连接到F5设备上，实现负载均衡。解决了目录服务访问管理存在的F5设备单点隐患，并为今后服务器扩容提供支持。

附图说明

图1是本发明的目录服务系统网络拓扑图；

图2是采用内置交换机直连方式的网络拓扑图；

图3是现有技术访问管理和身份认证服务器网络拓扑结构图。

具体实施方式

下面结合附图和具体实施方式对本发明作进一步详细的说明。