對云數據中心網絡安全服務架構的研究

◆陳鵬州

對云數據中心網絡安全服務架構的研究

◆陳鵬州

(中電科海洋信息技術研究院有限公司 海南 572427)

隨著虛擬化技術的快速發展，近年來互聯網領域實現了較為長足的進步，云數據中心的廣泛建設便屬于這種進步的直觀體現，這也使得近年來我國圍繞云數據中心開展的研究大量涌現。基于此，本文簡單分析了云數據中心網絡安全服務需求、云數據中心網絡安全服務架構思路，并詳細論述了云數據中心網絡安全服務架構應用實例，希望由此能夠為相關業內人士帶來一定啟發。

云數據中心；網絡安全服務；分布式網絡架構；虛擬化技術

0 前言

云數據中心（SDDC）的實現離不開成熟的虛擬化技術支持，云數據中心物理資源抽象化、資源池化的實現也得益于計算虛擬化、網絡虛擬化、存儲虛擬化，云數據中心服務因此具備彈性、敏捷性以及高效性優勢。而為了最大發揮這種優勢、推動我國云數據中心實現進一步發展，正是本文圍繞云數據中心網絡安全服務架構開展具體研究的原因所在。

1 云數據中心網絡安全服務需求分析

云數據中心具備的彈性、敏捷性以及高效性優勢使得其對網絡安全存在較高需求，這就使得云數據中心的安全服務必須統一到管理平臺上，因此其網絡安全服務需求可以概括為以下兩個方面。

1.1 特性需求

由于安全服務必須統一到云數據中心管理平臺上，這就使得云數據中心的彈性、敏捷性以及高效性將對安全服務提出一定需求，這種需求的具體表現如下所示：

（1）敏捷性。安全服務需要靈活部署于云數據中心，整個數據中心、具體業務應用均需要納入安全服務保障，且安全服務需保證自身啟停不對中心日常業務運行造成影響，因此敏捷性需求必須得到關注。

（2）彈性。安全服務需具備動態調整能力以滿足業務變化需要，這一動態調整應脫離管理員干涉、基于具體服務規則開展。

（3）高效性。需保證安全服務可由所有用戶分享，以此實現統一管理、資源高效利用[1]。

1.2 具體需求

除特性需求外，云數據中心網絡安全服務的具體需求也應得到關注，這類需求的主要內容如下所示：

（1）業務跟隨。需保證安全服務隨用戶虛擬機遷移而遷移，以此實現安全防護、業務流量的全過程跟隨。

（2）服務擴展。安全服務需結合攻擊演變隨時擴展與調整，能否在現有基礎上更新、擴展將直接影響安全服務效用發揮。

（3）支持多類型數據中心。安全服務需滿足不同云數據中心需要，這使得其需要獨立于管理平臺，必要時舍棄Hypervisor技術支持，不同云數據中的相同安全保障將由此實現。

2 云數據中心網絡安全服務架構思路

簡單了解云數據中心網絡安全服務需求后，本文提出了分布式網絡安全虛擬化架構思路，而結合該思路明確的云數據中心網絡安全服務架構具體組成同樣具備較高參考意義。

2.1 基本思路

部署于用戶虛擬網絡的邊界、在所有需要安全服務的物理機上啟動虛擬化安全設備屬于現階段存在的兩種虛擬化安全設備網絡部署方式，前者本質上屬于個體物理安全設備的虛擬化，后者則屬于多臺設備管理器與網絡設備的虛擬化，但考慮到兩種方式均無法較好滿足云數據中心網絡安全服務架構需要，因此本文提出了一種分布式網絡安全虛擬化架構思路。該架構主要由數據中心管理平臺、安全服務控制平面、安全服務平面、物理服務器集群組成，由此即可實現流量可視化、微隔離、安全服務、支持業務遷移、全網行為分析等安全服務[2]。

云數據中心分布式網絡安全虛擬化架構的具體組成如下所示：

（1）安全服務控制平面。主要由NBI、生命周期管理、用戶資產輪詢、安全管理界面、安全策略管理、日志監控、擴展服務管理組成，其中NBI負責對外提供北向接口，而通過這些功能即可實現實時的用戶資產配置獲取，管理員也能夠由此開展高質量的安全服務管理。

（2）安全服務平面。主要由安全服務虛機、擴展服務虛機、虛擬機、虛擬網絡、Hypervisor組成，虛擬機在其中負責集成復雜功能、擴展服務模塊以形成服務鏈，而Hypervisor則能夠為全服務虛擬機的運行提供支持。

2.2 具體組成

結合更深入分析，確定了由引流平面和安全服務平面分離組成并運行于虛擬機的控制平面（支持高可用性）、采用分布式部署并運行在虛擬機上的安全服務平面、應用SDN引流和虛擬交換機的引流平面，而服務模塊的擴展則通過啟動虛擬機實現，這一云數據中心網絡安全服務架構思路不僅滿足了上文提及的全部需求，安全服務更被賦予了統一管理和開放接口特性。流量可視化、微隔離、安全服務、支持業務遷移、全網行為分析屬于該架構具備的主要服務能力，如安全服務能夠提供L2到L7的安全服務，防火墻、應用識別、攻擊防護、URL過濾等均屬于安全服務的具體組成，可見該架構的完善性[3]。

3 云數據中心網絡安全服務架構應用實例

為提升研究實踐價值，本文圍繞上述云數據中心網絡安全服務架構在不同類型云數據中心的應用進行了詳細論述，該架構在不同云數據中心基于不同安全需求開展的靈活適配具備較高借鑒價值。

3.1 VMware數據中心

在VMware數據中心的網絡安全服務架構應用中，該架構實現了與vCenter的協調管理，vCenter、安全服務控制平面、物理服務器集群、安全服務平面屬于架構的具體應用，而在VSS/VDS（虛擬交換機）的引流支持下，該網絡安全服務架構可支持ESXi Hypervisor，L2至L7的安全服務也將由此實現。結合VMware數據中心特點，網絡安全服務架構特別準備了擴展日志分析模塊，該模塊主要負責流量日志的分析處理，而分析處理的結果將自動送至數據中心日志服務器。

3.2 Open Stack數據中心

對于應用網絡安全服務架構的Open Stack數據中心來說，Open Stack、安全服務控制平面、安全服務平面、物理服務器集群屬于該架構的主要構成，其中Open Stack主要由FWaaSplugin、Neutron、Cinder、Nova組成，由此即可實現用戶網絡信息的獲取和生命周期管理。在Open Stack數據中心的網絡安全服務架構應用中，使用Open Switch引流、支持KVM hypervisor屬于該部署的主要特點，由此實現的多租戶場景支持、在線部署、L2至L7安全服務提供也應得到關注。

3.3 自主開發云平臺

自主云平臺開發同樣屬于本文研究分布式網絡安全虛擬化架構的典型應用，自主開發管理平臺、安全服務控制平面、SDN控制器、物理服務器集群、安全服務平面屬于該應用的具體組成，而在管理API支持下，該架構可實現用戶和網絡信息的獲取、高水平生命周期管理。通過調用SDN控制器QPI實現鏡像引流、支持ZEN hypervisor與KVM，則使得整個架構能夠在檢測到虛擬機攻擊行為后在最短時間內實現虛擬機隔離，整個平臺的安全性能自然將由此實現大幅提升。

4 結論

綜上所述，本文研究的云數據中心網絡安全服務架構具備較高推廣潛力，而在此基礎上，文中涉及的分布式網絡安全虛擬化架構在VMware數據中心、Open Stack數據中心、自主開發云平臺中的實際應用，則證明了設計思想的可行性。因此本文建議相關業內人士關注本文滲透的設計思想，并由此推動我國云數據中心的更好發展。

[1]張小梅，馬錚，朱安南等.云數據中心安全防護解決方案[J].郵電設計技術，2016.

[2]姚帥，陸蓓.基于SDN技術的云數據中心演進方案研究及試點[J].電信技術，2015.

[3]張旭輝.運營商云數據中心網絡安全技術研究綜述[J].中國新通信，2015.