Xin tư vấn về mô hình bảo mật cho MySQL Cluster ^^!

[lucky107]

Chào các bác, em không biết là post có đúng chỗ hay ko nữa, nếu ko đúng xin mấy anh mod và admin cũng đừng xóa bài của em ^^.

Chả là em đang làm đồ án tốt nghiệp về đề tài xây dựng hệ thống MySQL Clustering cho 1 e-commerce website. Yêu cầu được đặt ra là

1. Hệ thống không có 1 chỗ nào trở thành "single point of failure" (trừ mấy cái switch, chả bik làm sao cho failover dc @_@)
2. Website này phải chịu tải với 1 số lượng người truy cập rất lớn nên không thể để thời gian downtime tồn tại trong hệ thống quá 30s.

Đề tài này chủ yếu tập trung vào việc Cluster cho MySQL, nhưng em nghĩ đã làm Database là phải chú trọng đến bảo mật nên đến khi bắt tay vào thiết kế hệ thống mạng em mới cảm thấy confused ^_^ Em muốn đặt network-based firewall mà chả bik cái nào ngon nên dùng đại Cisco ASA 55xx :D Thật ra thì em cũng chưa bao giờ đọc về ASA cũng như làm lab về ASA, chỉ bik nó là 1 hardware firewall của Cisco thế thôi, do đó trong mô hình mạng sau đây cho em xin hỏi vài câu :




Với mô hình mạng như trên, cho em hỏi vài câu :

1. Mô hình em vẽ có chỗ nào chưa phải không, xin mấy huynh cho ý kiến ???
2. Bây giờ em muốn Load Balancing 2 con firewall ASA lại với nhau thì có phải là ở mặt ngoài (mặt public ra internet) sẽ cần 1 virtual IP để cho khách hàng truy suất vào web server bên trong và mặt trong của 2 FW này cũng sẽ cần 1 virtual IP để đặt làm default gateway cho các máy trong internal đúng không vậy mấy huynh ????
3. Có loại Hardware FW nào tối ưu hơn ASA trong mô hình này không (vì đề tài không bắt buộc dùng ASA, bảo mật chỉ là phần phụ của đề tài này) ???

Em cũng đã có nghĩ đến việc dùng Round Robin DNS cho 2 IP tĩnh mặt ngoài còn bên trong thì chỉ có 2 máy LAMP servers cần được nối với Internet nên em tính sẽ gán cứng default gateway ở mỗi máy LAMP server vào 1 IP mặt trong của mỗi con ASA Firewall. Nhưng em nghĩ lại rằng nếu có 1 con ASA chết thì 50% số khách hàng sẽ không truy cập được web và 1 trong 2 LAMP server sẽ mất kết nối internet. Do vậy, giải pháp này có vẻ không được khả thi lắm ^^!

Kính mong mấy huynh giúp đỡ cho vì còn 1 tuần nữa là nộp đồ án rồi !!! ^^

[dante04]

nếu chưa quan tâm đến vấn đề bảo mật thì có thể thay 2 con asa bằng router cũng được, sau đó sử dụng HSRP giữa 2 router này để Load Balancing, tuy nhiên chỉ Load Balancing được bên trong, nghĩa là nếu 1 trong 2 kết nối ftth bị down thì 2 con lamp vẫn ra ngoài internet được qua đường còn lại,,, nhưng nếu khách hàng bên ngoài mà truy cập vào thì ko có cách nào Load Balancing được, nếu dùng Round Robin DNS thì cũng có nhiều bất cập...

[lucky107]

Cám ơn bác dante04 đã reply ^_^ nhưng không phải là mình hok quan tâm đến vấn đề bảo mật mà bảo mật chỉ là phần phụ có nghĩa là đề tài TN này của mình hok cần bắt buộc phải quay phim, cấu hình hay nói chi tiết đến vấn đề bảo mật nhưng vấn đề này bắt buộc phải có vì đây là hệ thống database :) nếu thay 2 ASA FW bằng Router thì hội đồng phản biện chắc chắn sẽ đặt dấu chấm hỏi cho mô hình này ^^!

Câu hỏi mình muốn có câu trả lời nhất vẫn là câu số 2. Mục đích chính của mình là muốn thiết kế 1 mô hình hợp lý nhưng khổ nỗi mình lại ko có tí kinh nghiệm nào với ASA Firewall ^^!

[dante04]

tại mặt ngoài.. bạn ko thể cấu hình chạy với 1 ip được.. vì đây là bạn dùng mạng của 2 nhà cung cấp khác nhau.. ngay cả khi dùng cùng 1 nhà cung cấp thì việc chạy vitual 1 ip cũng là rất khó. do việc cấu hình vitual ip này nằm ở phí ISP (thường isp sẽ cung cấp cho bạn kết nối pppoe)..còn với mặt trong 2 con asa thì có thể cấu hình chạy LB với vitual IP

[lucky107]

Hi. Cám ơn các bạn đã reply giúp đỡ mình. Mô hình này mình đã tham khảo với 1 thầy CCIE (lý thuyết) trong trường mình và cuối cùng mình chỉnh lại và đưa ra mô hình sau :


Hiện nay mình đã nộp tập đồ án về trường và đang trong giai đoạn chỉnh sửa powerpoint để báo cáo. Do nhóm mình có 1 thành viên phải đi TQ du học và 1 người đi Mỹ định cư trong thời gian làm đồ án nên bị thiếu nhân lực trầm trọng, mình và 1 thành viên còn chạy không kịp các hạng mục đã đề ra nên phải cắt xén lại khá nhiều nên cảm thấy không được hài lòng lắm. Có lẽ chất lượng đã bị giảm sút nhiều.

Một lần nữa xin cám ơn các bạn nhiều lắm ^^. Have a nice day .

[nggianglx]

có thể shared document cho mọi người cùng tham khảo không bạn!

Have a nice day!

[mythuat24h]

nếu chưa quan tâm đến vấn đề bảo mật thì có thể thay 2 con asa bằng router cũng được, sau đó sử dụng HSRP giữa 2 router này để Load Balancing, tuy nhiên chỉ Load Balancing được bên trong, nghĩa là nếu 1 trong 2 kết nối ftth bị down thì 2 con lamp vẫn ra ngoài internet được qua đường còn lại,,, nhưng nếu khách hàng bên ngoài mà truy cập vào thì ko có cách nào Load Balancing được, nếu dùng Round Robin DNS thì cũng có nhiều bất cập...

[historya]

mình hiện tại đang nghiên cứu về Mysql cluster. Bạn lucky107 có thể chia sẻ tài liệu bạn đã nghiên cứu với mình không. Chân thành cảm ơn bạn
yahoo minh la trykid@yahoo.com