跳至主要內容

百人规模软件公司现代化IT基础架构设计文档

util62026/4/9大约 7 分钟

百人规模软件公司现代化IT基础架构设计文档

  • 版本: 2.0
  • 日期: 2025年9月30日
  • 核心架构: Proxmox VE 超融合平台 + 万兆骨干网络

1. 概述

1.1. 项目背景

为支持约100人规模软件研发团队的业务需求，构建一套全新的IT基础架构，以解决旧有网络在性能、安全、扩展性和远程协同方面的不足。

1.2. 设计目标

  • 高性能 (High-Performance): 满足高并发编译、大数据测试、代码同步等研发场景，核心网络达到万兆速率。
  • 高可用 (High-Availability): 核心服务具备冗余能力，降低单点故障风险，保障业务连续性。
  • 安全可控 (Security & Controllability): 通过VLAN、防火墙策略实现网络隔离和精细化访问控制。
  • 灵活扩展 (Scalability): 架构支持未来人员增长和新业务（如AI训练）的平滑扩展。
  • 成本效益 (Cost-Effectiveness): 充分利用现有硬件资产，优先采用成熟的开源软件，实现功能与成本的最佳平衡。

1.3. 核心架构

采用基于Proxmox VE的超融合基础架构 (HCI)。通过虚拟化技术，在单台高性能物理服务器上整合网络核心（虚拟化防火墙）、存储核心（虚拟化NAS）及应用服务，并通过L3核心交换机构建万兆内部网络骨干，实现“内外兼顾、安全可控”的融合网络。

2. 物理与逻辑拓扑

2.1. 网络拓扑图

2.2. 硬件设备清单

分类设备名称关键规格/说明数量
服务器现有服务器4路AMD处理器, 128GB+ RAM1
万兆网卡Intel/Mellanox 双光口 SFP+ 10GbE1
HBA卡LSI/Broadcom SAS HBA卡 (IT Mode)1
网络核心L3核心交换机≥ 4个10GbE SFP+光口, ≥ 24个1GbE电口, 支持三层路由1
网络接入L2接入交换机24/48口千兆网管交换机, 支持PoE+ (802.3at)3-4
无线网络Wi-Fi 6 AP企业级高密度AP, 802.11ax8-10
基础设施网络机柜42U标准机柜1
UPS在线式机架式UPS, ≥ 6KVA1

2.3. IP地址与VLAN规划

VLAN ID名称用途子网网关 (在L3核心交换机)
10Management网络设备管理10.0.10.0/2410.0.10.1
20Servers物理/虚拟服务器10.0.20.0/2410.0.20.1
30Corporate员工办公PC/Mac10.0.30.0/2310.0.30.1
40Development开发环境10.0.40.0/2310.0.40.1
50Testing测试环境10.0.50.0/2310.0.50.1
99Guest访客Wi-Fi10.0.99.0/2410.0.99.1
200VPN_Users远程VPN接入用户10.0.200.0/2410.0.200.1 (在pfSense)

3. 网络核心服务配置

3.1. 路由设计

  • VLAN间路由: 全部由L3核心交换机负责，实现内网流量的线速转发。
  • 默认路由 (公网访问): L3核心交换机的默认路由（0.0.0.0/0）指向pfSense防火墙的LAN口IP地址。

3.2. NAT (网络地址转换) 策略

  • 在pfSense防火墙上配置出站NAT (Outbound NAT)规则，将所有来自内网VLAN的流量，在访问互联网时，其源地址自动转换为防火墙的公网IP。

3.3. 端口映射 (Port Forwarding / DNAT)

  • 在pfSense防火墙上根据对外服务的需求，配置端口映射规则，将对公网IP特定端口的访问请求转发至内网服务器。

4. 虚拟化平台设计

4.1. 宿主机平台

  • 软件: Proxmox VE (PVE)
  • 理由: 开源免费，功能强大，集成ZFS与LXC，社区活跃。

4.2. 核心虚拟机规划

VM名称用途操作系统资源建议 (vCPU/RAM)备注
fw-core-01核心防火墙/路由器pfSense / OPNsense4 Cores / 8 GB直通万兆网卡，负责网络出口和VPN。
nas-core-01文件存储服务器OpenMediaVault (OMV)4 Cores / 16 GB直通HBA卡，管理所有数据硬盘，提供SMB/NFS共享。
cicd-runner-01CI/CD服务Ubuntu Server8 Cores / 32 GB运行GitLab, Jenkins等。

4.3. 存储设计

  • 采用HBA卡直通方案，将所有数据硬盘的管理权交给nas-core-01 (OMV)虚拟机。
  • 在OMV内部，使用ZFS文件系统将所有硬盘组建为RAID-Z2或RAID-Z3阵列。

5. 安全架构设计

5.1. 防火墙规则理念与策略

  • 遵循“默认全部拒绝 (Default Deny)”原则，仅显式允许必要的通信。
  • VLAN间访问控制:
    • 管理VLAN (10): 仅允许特定堡垒机IP访问。
    • 服务器VLAN (20): 按需对其他VLAN开放服务端口。
    • 访客VLAN (99): 严格隔离，仅允许访问互联网。

5.2. 无线网络安全

  • 采用WPA2/WPA3-Enterprise认证模式，后端对接RADIUS服务器，实现员工使用个人账号认证上网。

6. 远程访问方案 (VPN)

6.1. 技术选型

  • 推荐: WireGuard。因其配置极简、性能超高、技术现代。

6.2. 服务器端配置 (pfSense)

  1. 安装服务: 通过Package Manager安装wireguard包。
  2. 创建隧道: 在"VPN" -> "WireGuard"中添加新Tunnel，生成服务器密钥，并分配一个独立的接口（如WG_VPN），配置VPN子网（如10.0.200.1/24）。
  3. 配置防火墙规则:
    • WAN口: 允许外部UDP流量访问WireGuard的监听端口（如51820）。
    • WG_VPN接口: 配置规则，允许WG_VPN net访问必要的内网资源（如Servers net）。
  4. 创建客户端(Peers): 为每位员工创建一个Peer，分配一个VPN内的固定IP（如10.0.200.2/32），并生成其客户端配置文件。

6.3. 客户端配置与使用

  1. 安装软件: 员工从WireGuard官网下载并安装对应系统的客户端。
  2. 导入配置: 员工通过.conf文件或二维码导入配置。
  3. 连接: 点击“Activate”激活连接。
  4. 访问: 连接成功后，即可通过内网IP访问公司所有已授权的服务器资源。

6.4. VPN数据流图

7. 实施与部署

7.1. 实施步骤纲要

  1. 阶段一：基础设施准备: 机柜就位，综合布线，电力系统（含UPS）部署。
  2. 阶段二：服务器与虚拟化: 安装Proxmox VE，配置好管理网络、存储和虚拟化网桥。
  3. 阶段三：核心网络配置: 配置L3核心交换机、pfSense虚拟机、L2接入交换机。
  4. 阶段四：核心服务部署: 部署OMV虚拟机并配置存储池；部署无线AC控制器并配置AP。
  5. 阶段五：应用迁移与测试: 逐步迁移应用，进行全网络连通性、性能和安全策略测试。

8. 附录：关键技术知识点

技术名词作用与解释
NAT将多个私网IP“伪装”成一个公网IP去访问互联网，实现共享上网。
L3路由在不同VLAN（子网）之间进行高速数据转发，构建互联互通的内网。
Port Forwarding将对公网IP特定端口的访问请求，精准“导航”到内网指定的服务器上。
VLAN在物理网络中逻辑上划分出多个独立的广播域，用于网络隔离。
HCI将计算、存储、网络等资源通过软件定义的方式，在通用服务器硬件上统一管理。
ZFS一种先进的文件系统，以其数据完整性、快照和存储池功能而闻名。
HBA Passthrough将物理硬件的控制权直接移交给虚拟机，实现接近物理机的性能。
WireGuard一种极其简单、快速和现代的VPN，采用最先进的加密技术。
util6 knowledge hub
Copyright © 2026 util6