金融企业两地三中心演进多地多中心思路
1. RTO/RPO/NRO
RTO: Recovery Time Object，恢复时间目标，指信息系统从灾难状态恢复到可运行状态所需要的时间，用来衡量容灾系统的业务恢复能力；通俗讲就是业务系统中断到重启生效的中间经历的时间，越短越好。
RPO: Recovery Point Object，恢复点目标，是指灾难发生后，容灾系统能把数据恢复到灾难发生前时间点的数据。在实际应用中，业务数据库与灾备数据库的一致性是有时间差的，通俗讲RPO就是指灾难发生后通过灾备数据库恢复业务所丢失的数据，即灾备数据与生产数据的时间差。
NRO: Network Recovery Objcet，网络恢复时间目标，指灾难发生后网络恢复或切换到备中心所花费的时间，NRO小于RTO才有意义。
2. 双活数据中心
典型的双活数据中心分为运营级双活和业务级双活，双活中心距离一般小于50KM。
运营级双活：通过运营手段实现业务的交叉容灾，具体为不同业务部署在不同的中心，互为主备
业务级双活：两中心同时提供一项业务，一般需要部署SLB/GLSB
2.1 运营级双活
运营级双活的两种方式
集中式网关
主备数据中心VRRP二层互通，业务切换网关不变。
部署简单，网络切换业务无感知，整网路由无变化，互联网出口单边。
双活网关
主备中心部署VRRP双活网关，服务器切换后从本地数据中心出口
需要双中心出口防火墙同步会话才能保证业务无感知，部署稍微复杂，但节省带宽。
双活网关存在的问题是路径最优问题：即节点可以从本地出口但外部访问节点无法感知节点在哪个数据中心，无法实现最优访问，解决方案是RHI路由注入，注入方式有四种：
- 二层网络网关路由注入(学习ARP)，网关感知主机变化，注入32位路由，如上图；
- 二层网络LB健康检查路由注入，负载健康检查，注入32位路由，同上图；
- 三层LB路由注入，两端SLB都将VIP发布到网络中，设置路由的优先级，客户端（外部）只能看到一条路由，当某一中心DOWN后，停止发布路由，次优路由生效，如下图。
- 部署GSLB与本地LB联动，各数据中心LB的VIP不一样，通过GLSB联动发布不同的VIP，实现不同源访问调到不同数据中心。
2.2 业务级双活
业务双活的两种方式
WEB/APP/DB双活
部署GLSB，允许外部流量分流到不同的DC，GSLB与SLB做联动，当某DC内应用故障或或性能下降，通过GLSB引流到另一DC中去；
SLB只关注本数据中心应用健康，上报GSLB；
DB跨DC双活集群，需二层互联，实时同步Cache数据，支持外部并发访问；
存储跨DC虚拟化，表现为单一存储阵列，实时同步数据，支持并发操作。
Web/App双活，DB主备
部署GLSB，允许外部流量分流到不同的DC，GSLB与SLB做联动，当某DC内应用故障或或性能下降，通过GLSB引流到另一DC中去；
SLB只关注本数据中心应用健康，上报GSLB；
DB跨DC主备集群，需二层互联，不同DC对数据库的访问统一由主DB处理；
存储跨DC亦可为主备模式。
3. 两地三中心
两地三中心的模式位双活中心+异地灾备。各分支机构通过专线连接到三数据中心，业务AB走不同的双活数据中心且灾备路由，备份链路走备份数据，如业务A可以为生产，业务B可以为OA，备份链路为生产和OA的数据备份。
三中心可以采用全互联模式，运行EBGP
各数据中心内部OSPF互通，每数据中心两台DCI路由器，与内部IBGP互连（两组路由器，一组DCI路由器用于连接各数据中心，一组广域网接入路由器用于连接各分支机构）；
DCI路由器之间运行EBGP，每个数据中心一个AS;
分支机构与各数据中心的广域网接入路由器运行EBGP，每个分支一个AS。
4. 多地多中心
随着业务的发展，可能会出现更多的数据中心，打破了两地三中心的结构，这个时候需要考虑新的组网架构，比如建立一个独立的核心广域网，对于核心广域网我们可以直接考虑高级组网，比如环网平面。
多平面增强了可靠性，比如平面A运行生产业务，平面B运行办公业务，当生产业务链路有故障时，可以借用办公业务的平面B转发数据，但当平面B链路有故障时不允许借用生产业务平面A转发，这样给生产业务更高的保障。