云計(jì)算網(wǎng)絡(luò)安全的現(xiàn)狀

　　今天主要講的內(nèi)容有三個(gè)部分，一是云數(shù)據(jù)中心安全戰(zhàn)略;二是云中心安全架構(gòu);三是云中心安全虛擬服務(wù)點(diǎn)。

　　首先給大家介紹一下云數(shù)據(jù)中心網(wǎng)絡(luò)安全的概念。云數(shù)據(jù)中心第一個(gè)特點(diǎn)是資源集中，我們?cè)谠茢?shù)據(jù)中心里面除了IT資源、網(wǎng)絡(luò)資源。現(xiàn)在的數(shù)據(jù)中心，基本上一個(gè)地方幾萬(wàn)臺(tái)服務(wù)器，云數(shù)據(jù)中心交換量很大。當(dāng)我們資源集中以后，我們使用資源，我們希望有一個(gè)統(tǒng)一的控制平臺(tái)，用戶可以通過(guò)這個(gè)控制平臺(tái)，通過(guò)交互式工具來(lái)獲取相應(yīng)的資源。在我們資源集中以后，如果想使用這個(gè)數(shù)據(jù)的話，彈性的去獲取，或者是撤銷任務(wù)。

　　從傳統(tǒng)數(shù)據(jù)中心到語(yǔ)音化數(shù)據(jù)中心的嚴(yán)謹(jǐn)。傳統(tǒng)的數(shù)據(jù)中心是什么樣子，一個(gè)數(shù)據(jù)中心首先有數(shù)據(jù)中心外部，數(shù)據(jù)中心內(nèi)部。進(jìn)入到數(shù)據(jù)中心內(nèi)部以后，我們這個(gè)數(shù)據(jù)中心的內(nèi)部通常有一個(gè)交換的網(wǎng)絡(luò)作為核心。進(jìn)到業(yè)務(wù)區(qū)域內(nèi)部以后，業(yè)務(wù)區(qū)域內(nèi)部分為核心匯聚，最后接入服務(wù)器，傳統(tǒng)的服務(wù)器一臺(tái)是一臺(tái)，這是傳統(tǒng)數(shù)據(jù)中心的一個(gè)架構(gòu)。隨著服務(wù)器虛擬化，我們說(shuō)傳統(tǒng)服務(wù)器為什么會(huì)變成虛擬化的服務(wù)中心?主要驅(qū)動(dòng)力來(lái)自于服務(wù)器的虛擬化。這種情況下，我們?yōu)榱速Y源合理去利用，假如我們把一個(gè)服務(wù)器固定在一個(gè)固定的位置上，我們希望虛擬機(jī)可以按照我們的需要，在資源普及的環(huán)境下，可以自由的去劃分，這樣的話原來(lái)那個(gè)模型就不太適合這個(gè)架構(gòu)，從這個(gè)角度來(lái)說(shuō)你的虛擬化的服務(wù)中心，不光是服務(wù)器的虛擬化，網(wǎng)絡(luò)也需要虛擬化。我們把多個(gè)虛擬化進(jìn)行集中，然后把業(yè)務(wù)分給不同的租戶來(lái)使用，這樣就提到了我們剛才說(shuō)的語(yǔ)音化數(shù)據(jù)中心。我們思科針對(duì)云數(shù)據(jù)中心，我們提供了我們專有的產(chǎn)品，從交換機(jī)，我們提供了我們專門的數(shù)據(jù)中心7K、5K、3K、2K。我們?cè)谧鲈茢?shù)據(jù)中心的時(shí)候，我們的資源集中化，按照傳統(tǒng)網(wǎng)絡(luò)，我怎么能讓我這個(gè)服務(wù)器接一個(gè)平面化的網(wǎng)絡(luò)，我需要資源的時(shí)候我可以動(dòng)態(tài)的去劃分。網(wǎng)絡(luò)是一個(gè)大平面，在這個(gè)平面里面只有一個(gè)交換機(jī)，具體你要使用的話，任何一個(gè)服務(wù)器上的虛擬機(jī)，它和其他的是完全對(duì)等的，你所想要的業(yè)務(wù)會(huì)非常方便，這是網(wǎng)絡(luò)對(duì)虛擬化的挑戰(zhàn)，而思科是這么應(yīng)對(duì)的。同時(shí)我們還做了1000K的網(wǎng)絡(luò)交換機(jī)。另外，我們專門針對(duì)數(shù)據(jù)中心做了安全防火墻，這個(gè)防火墻可以做虛擬化，可以把多個(gè)防火墻做成一個(gè)防火墻，我們可以把我們的安全資源集中化以后，虛擬成一個(gè)資源。除了數(shù)據(jù)中心的防火墻，我們還有ASA的防火墻卡。

　　安全架構(gòu)要求。我們有五個(gè)層面，邏輯隔離，這種情況下，我們?cè)谧鲈茢?shù)據(jù)中心網(wǎng)絡(luò)安全第一步就是安全隔離。第二是策略一致性，我們可以做到各個(gè)層面的安全防護(hù)。第三，在我使用語(yǔ)言數(shù)據(jù)中心的時(shí)候，我希望正確的人在正確的時(shí)間，從數(shù)據(jù)中心內(nèi)部或者外部掃描資源，這是基本的要求，我們需要通過(guò)認(rèn)證和授權(quán)。語(yǔ)言數(shù)據(jù)中心最大的優(yōu)點(diǎn)就是擴(kuò)展和性能，我們是不是能夠滿足性能的不斷提升的要求。當(dāng)我們加入這樣一個(gè)網(wǎng)絡(luò)安全服務(wù)的時(shí)候，是不是非常麻煩，還是我統(tǒng)一有一個(gè)平面，在這個(gè)平面上去做控制。虛擬化數(shù)據(jù)中心安全控制框架，我們把所有安全的服務(wù)放到一個(gè)服務(wù)池里面。在服務(wù)層面，一個(gè)數(shù)據(jù)中心內(nèi)部到外部的一個(gè)保護(hù)，還有就是租戶之間，業(yè)務(wù)之間的安全防護(hù)。

　　云中心隔離模型。中小型租戶：1、每個(gè)租戶一個(gè)VLAN/一個(gè)VRF。2、VLAN映射到VRF。3、不進(jìn)行業(yè)務(wù)/服務(wù)層區(qū)分。4、獨(dú)立VDC專供此用戶類型接入。大企業(yè)租戶/私有業(yè)務(wù)：1、租戶利用Global VRF區(qū)分。2、每個(gè)租戶多個(gè)Intemal VRF。3、Intemal VRF區(qū)分不同部門或者應(yīng)用。云中心業(yè)務(wù)保護(hù)模式。如果受到保護(hù)，流量經(jīng)過(guò)防火墻否則直接流向無(wú)保護(hù)的區(qū)域Zone。業(yè)務(wù)末新按照應(yīng)用特點(diǎn)來(lái)考慮服務(wù)集成，安全要求應(yīng)用—FW Only/FW+IPS—保護(hù)模式，性能要求應(yīng)用—高吞吐。這是混合云安全架構(gòu)模型，我們堅(jiān)持兩層安全架構(gòu)，這里面的安全服務(wù)就是虛擬數(shù)據(jù)中心的安全架構(gòu)中心里的服務(wù)層面概念。如果僅僅是防火墻，對(duì)于中小租戶的話，可能作為共享。云中心防火墻的特點(diǎn)，多虛，技術(shù)。需求特點(diǎn)：多虛一，動(dòng)態(tài)擴(kuò)展防火墻處理能力，性能按需擴(kuò)展。保護(hù)投資。防火墻集群：高擴(kuò)展性，單點(diǎn)管理，群內(nèi)所有防火墻全部Aclive，有群內(nèi)負(fù)責(zé)均衡能力，群內(nèi)防火墻失敗，全群火墻幫助恢復(fù)繪畫，保證防火墻群內(nèi)無(wú)單點(diǎn)失敗。云中心防火墻的特點(diǎn)，虛多技術(shù)。需求特點(diǎn)：一虛多，虛擬出多個(gè)防火墻，租戶邏輯隔離，資源限定防治租戶串?dāng)_，減少投資。防火墻虛擬化，虛墻獨(dú)立管理/獨(dú)立日志，虛墻獨(dú)立路由層面，虛墻獨(dú)立安全策略/NAT策略/應(yīng)用層策略。防火墻資源限定，徹底保護(hù)租戶不互相串?dāng)_。在云數(shù)據(jù)中心當(dāng)我們把網(wǎng)絡(luò)隔離好的話，在云數(shù)據(jù)中心安全接入。一虛多技術(shù)，VLAN鏡像技術(shù)特點(diǎn)：1、租戶內(nèi)內(nèi)部地址規(guī)劃獨(dú)立。2、租戶VPN會(huì)話與VLAN綁定。3、所有租戶單公網(wǎng)IP接入。4、每租戶有獨(dú)立的定制界面。5、每租戶有獨(dú)立的認(rèn)證服務(wù)器組。

　　云中心安全虛擬服務(wù)電。服務(wù)器虛擬化潛在問(wèn)題，1、vMotion在不物理端口遷移虛擬機(jī)一網(wǎng)絡(luò)策略必須跟隨vMotion。2、必須察看和應(yīng)用本地交換的網(wǎng)絡(luò)和安全策略。虛擬化和云需求推動(dòng)數(shù)據(jù)中心需求，傳統(tǒng)數(shù)據(jù)中心：服務(wù)于特有應(yīng)用。組成：專用設(shè)備，交換模塊。虛擬數(shù)據(jù)中心：虛擬設(shè)備，動(dòng)態(tài)實(shí)施配置，服務(wù)隊(duì)VM移動(dòng)透明，可擴(kuò)展，適合大規(guī)模多租戶操作。設(shè)備虛擬化，資源限定，可擴(kuò)展，性能可靠，適合特定租戶操作。這是我們思科的Nexus1000V軟件交換機(jī)，每個(gè)VEM支持200+vEth ports(虛擬網(wǎng)口)。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]