小型互联网业务环境的搭建（非云平）
现在越来越多企业已经搭建自己的网站，或者已经部署了互联网业务。随着云环境大火，更多人业务已经部署上云，但是某些场景仍需要在内部部署一套业务环境并提供外网服务。本文简单描述了一个非云平台互联网业务环境的搭建，环境规模较小（普通业务，非流服务），规划对外提供http、https服务。
拓扑图如下，搭建环境用到的设备有防火墙（图中Firewall）、交换机（图中switch）、内部服务器。ISP接口设备在图中没画出，不同运营商（电信、移动、联通、广电）不同业务类型提供的设备各有差异。
下面从内部主机、互联网接入，内部网络方面做说明。
目录
内部主机
内部主机分为两部分，一部分用于业务，一部分用于管理。
业务系统采用前后端分离架构，前端文件和静态资源部署在nginx，后端服务器提供http接口。nginx通过反向代理将后端接口映射出来，后端服务器处理静态资源，用户上传后将数据分发到nginx服务器。
nginx（存放页面和静态资源、后端负载均衡）、后端服务器（部署tomcat或其它容器）、数据库服务器（部署mysql或其它数据库软件）用于业务；日志服务器用于管理，部署ELK，存放网络设备、服务器操作系统和应用系统日志。
其中，nginx和数据库服务器通过keepalived配置双机热备。
互联网接入
通常ISP提供接口为网线接口、光纤接口等，这里只需提供防火墙所适配的接口。同时由于需要提供外网服务，ISP需要提供固定的公网ip地址以及相应的dns ip，相应ip信息配置到防火墙即可接入互联网。
防火墙作为外网的入口以及内部服务器访问外网的入口，需要将默认路由配置指向ISP分配的对端接口。
此处防火墙作为隔离内外网的设备，需要将内外网划分到不同安全域，并做相应的安全策略配置。由于服务由内网服务器提供，将nginx服务器的虚拟地址映射到互联网接口，对外暴露80、443端口，其他端口拒绝访问。
这里规划防火墙为主备部署，需要接入两条线路，可根据成本、需求等因素调整成一台。
内部网络
内部网络由2台交换机（可根据成本、需求等因素调整成一台。）组成，交换机选择三层交换机，考虑到业务流量不大，使用全千兆电口交换机即可。
两台采用虚拟化技术进行堆叠（某3C厂商的设备具有该能力，其他厂商没使用过），服务器分别物理上接入两台交换机。
交换机配置规划
- vlan划分：
- 配置vlan100作为业务vlan，接入业务服务器，包括nginx、后端服务器和数据库服务器。
- 配置vlan200作为内部服务vlan，接入日志服务器、网管服务器等
- 三层接口：
- 配置一个端口为路由模式，与防火墙互联
- 配置vlanif100作为业务服务器网关
- 配置vlanif200作为内部服务器设备网关
- 配置默认路由指向防火墙
防火墙配置规划
- 配置一个端口为路由模式，与内网互联
- 对内设置一个安全域
- 增加内网服务器ip的路由
本文只简单描述了业务环境的搭建，随网络复杂度增加以及安全要求提升，将需要对整个环境进行更复杂的调整。