云數(shù)據(jù)中心安全架構(gòu)

1、云數(shù)據(jù)中心安全架構(gòu)內(nèi)容云數(shù)據(jù)中心安全戰(zhàn)略云中心安全架構(gòu)云中心安全虛擬服務(wù)點(diǎn)云數(shù)據(jù)中心安全戰(zhàn)略PublicPrivateHybridCommunityWhere? Deployment ModelsVirtual PrivateWhat? Essential Characteristics (NIST)Measured ServicesRapid ElasticityResourcePoolingSelf ServiceBroad AccessHow? Service ModelsVMVMOSFRAMEWORKAPPLICATIONIaaSPaaSSaaS什么是云中心？單服務(wù)器單應(yīng)用靜態(tài)手工配置

2、單服務(wù)器多應(yīng)用移動(dòng)動(dòng)態(tài)配置單服務(wù)器多租戶彈性自動(dòng)擴(kuò)展HYPERVISORVDC-1VDC-2CONSISTENCY(一致性): 策略, 功能，安全，管理物理WORKLOAD虛擬化WORKLOAD云化WORKLOADNexus 1000V, VM-FEXVSG*, ASA 1000V*UCS for Virtualized WorkloadsNexus 7K/5K/3K/2KASA 5585, ASA SMUCS for Bare Metal * Virtual only, * AnnouncedSwitchingSecurityCompute數(shù)據(jù)中心變遷歷程：從物理傳統(tǒng)的數(shù)據(jù)中心到云數(shù)據(jù)中心安

3、全架構(gòu)要求邏輯隔離Logical separation策略一致性Policy CONSISTENCY(一致性)認(rèn)證和接入控制Authentication and access control擴(kuò)展和性能Scalability and performance自動(dòng)化管理AUTOMATION(自動(dòng)化)云中心安全架構(gòu)Security ManagementInfrastructure SecurityServicesServicesUCSVirtualAccessStorageAccessServicesAggregationCore基礎(chǔ)架構(gòu)安全保護(hù)數(shù)據(jù)中心控制和數(shù)據(jù)層面的安全。防止數(shù)據(jù)丟失，順從性，失敗

4、保護(hù)流量隔離以及認(rèn)證授權(quán)審計(jì)AD可視化要求日志，事件信息，集中認(rèn)證取證異常行為檢測順從性網(wǎng)絡(luò)入侵檢測和阻擋網(wǎng)絡(luò)監(jiān)控，分析，取證CSMACS數(shù)據(jù)中心進(jìn)出流量過濾虛擬防火墻，策略分離，應(yīng)對服務(wù)器之間過濾需求特殊的防火墻服務(wù)，保護(hù)服務(wù)器群負(fù)載均衡，隱藏服務(wù)和應(yīng)用。數(shù)據(jù)安全認(rèn)證訪問控制端口安全認(rèn)證QOS虛擬防火墻防火墻規(guī)則的實(shí)時(shí)監(jiān)控ACLs, Port Security, VN Tag, Netflow, ERSPAN, QoS, CoPP, DHCP snooping虛擬化數(shù)據(jù)中心安全控制框架云中心訪問控制及網(wǎng)絡(luò)隔離Isolation & Access-Control ModelIntra-Tena

5、ntIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerIntra-TenantIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerIntra-Laye

6、rIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerInter-APPInter-TenantIntra-Cloud DCIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMInter-LayerIntra-AP

7、PInter-APP物理平面化立體化架構(gòu)網(wǎng)絡(luò)安全計(jì)算VFWVRFVRFVRFVLANVN-LinkVMVDCVLANVLANVLANVMVMVMVMVMVMVDCVFWVFWVN-LinkVN-LinkVN-LinkVN-LinkVMDC邏輯層次化結(jié)構(gòu)資源大集中云中心隔離模型中小租戶:每個(gè)租戶一個(gè)VLAN/一個(gè)VRF。VLAN映射到VRF。不進(jìn)行業(yè)務(wù)/服務(wù)層區(qū)分。獨(dú)立VDC專供此用戶類型接入。核心VDC匯聚VDC中小租戶VMVMVlan物理機(jī)VMVMVlanVRFVRFTenantTenant無安全要求租戶VMVMVlan物理機(jī)VMVMVlani-VRFi-VRFTenantG-VRF大企業(yè)租

8、戶/私有業(yè)務(wù)VMVMVlan物理機(jī)VMVMVlanTenantVMVMVlanVMVMVlanWebAPPDB大企業(yè)租戶/私有業(yè)務(wù):租戶利用Global VRF區(qū)分。每個(gè)租戶多個(gè)Internal VRF。Internal VRF區(qū)分不同部門或者應(yīng)用。通過多VLAN實(shí)現(xiàn)多級應(yīng)用靈活Zone部署。獨(dú)立VDC專供此用戶類型接入。G-VRFGlobal VRFi-VRFInternal VRF匯聚VDCi-VRFi-VRFG-VRF匯聚VDCNexus 7K云中心業(yè)務(wù)保護(hù)模式 如果受到保護(hù)，流量經(jīng)過防火墻否則直接流向無保護(hù)的區(qū)域Zone。業(yè)務(wù)模型按照應(yīng)用特點(diǎn)來考慮服務(wù)集成：安全要求應(yīng)用 FW Only

9、 /FW+IPS 保護(hù)模式性能要求應(yīng)用 高吞吐/時(shí)延敏感無- 保護(hù)模式業(yè)務(wù)模型可以按照任意形式組合服務(wù)全功能服務(wù) 防火墻/負(fù)載均衡/應(yīng)用加速僅需防火墻防火墻和 負(fù)載均衡服務(wù)無保護(hù)，但負(fù)載均衡服務(wù)務(wù)無保護(hù)用戶訪問受保護(hù)無保護(hù)可選應(yīng)用服務(wù)- 負(fù)載均衡LB, IPS, Edge FW etc可選應(yīng)用服務(wù)- 負(fù)載均衡LB, IPS, Edge FW etc直接訪問模式A模式B模式C模式D共享防火墻虛擬防火墻模式EPOD大租戶安全服務(wù)池核心VDCVPCVPC匯聚VDC匯聚VDC共享安全服務(wù)池核心VDC匯聚VDC匯聚VDC大企業(yè)租戶/私有業(yè)務(wù)混合云安全架構(gòu)模型-二層安全結(jié)構(gòu)匯聚VDC匯聚VDC邊界防火墻高

10、并發(fā)連接高每秒新建連接DDOS攻擊防護(hù)IPS威脅防御地址轉(zhuǎn)換POD中小租戶POD私有業(yè)務(wù)/無安全要求Internet安全服務(wù)池 虛擬防火墻虛擬VPN接入虛墻IPS虛擬負(fù)載均衡虛擬鏈路加速虛擬流量分析虛墻獨(dú)立管理虛墻資源劃分軟件/硬件方案安全服務(wù)池出口路由器出口路由器 Internet 安全服務(wù)池InternetNexus7KNexus 7K匯聚VDC云中心隔離模型-防火墻核心VDC匯聚VDC中小租戶VMVMVlan物理機(jī)VMVMVlanVRFVRFTenantTenant大企業(yè)租戶VMVMVlan物理機(jī)VMVMVlani-VRFi-VRFTenantG-VRF大企業(yè)租戶/私有業(yè)務(wù)VMVMVla

11、n物理機(jī)VMVMVlani-VRFi-VRFTenantG-VRFVMVMVlanVMVMVlanWebAPPDBG-VRFGlobal VRFi-VRFInternal VRFShare FWVFWVFWVFWVFW匯聚VDC云中心防火墻的特點(diǎn) 多虛一技術(shù)多虛一，動(dòng)態(tài)擴(kuò)展防火墻處理能力，性能按需擴(kuò)展。保護(hù)投資。7k-2Core-VDCVPCVPC7k-2Agg-VDC7k-1Core-VDC7k-1Agg-VDCscECscEC高擴(kuò)展性。單點(diǎn)管理。群內(nèi)所有防火墻全部Active。有群內(nèi)負(fù)載均衡能力。群內(nèi)防火墻失敗，全群火墻幫助恢復(fù)會(huì)話。保證防火墻群內(nèi)無單點(diǎn)失敗/ 防火墻全冗余?？梢院吐酚山粨Q

12、多虛一結(jié)合實(shí)現(xiàn)全路徑多虛一，無Spanning Tree困擾。scEC: span-cluster ECVPC: Virtual PortChannel 需求特點(diǎn)：防火墻集群(多虛一)：ASAASA云中心防火墻的特點(diǎn) 一虛多技術(shù)一虛多，虛擬出多個(gè)防火墻，租戶邏輯隔離，資源限定防止租戶串?dāng)_。減少投資。虛墻獨(dú)立管理/獨(dú)立日志虛墻獨(dú)立路由層面（地址可重疊）虛墻獨(dú)立安全策略/NAT策略/應(yīng)用層策略。防火墻資源限定，徹底保護(hù)租戶不互相串?dāng)_。防火墻虛擬化需求特點(diǎn)：并發(fā)連接10萬新建速率100K/秒虛墻-1性能MAC表10萬在線主機(jī)數(shù)容量日志控制層面管理員安全策略配置NAT策略DPI策略數(shù)據(jù)層面NAT連接1

13、0萬管理連接虛墻-2虛墻-3虛墻-250路由租戶-2租戶-3租戶-2507k-2Core-VDCVPCVPC7k-2Agg-VDC17k-1Core-VDC7k-1Agg-VDC17k-2Agg-VDC27k-1Agg-VDC2VPN資源池N3KC29PODInternetISRTeleWorkerWAAS廣域網(wǎng)加速公司分部熱點(diǎn) ssL IPSec IPSecVFW接入方案VPN資源池(VPN集群+VLAN映射)N7N3用戶/N7C29用戶用戶接入容量10萬VPN吞吐60GbpsVFW+VPNN7N5（POD用戶）用接入容量1萬(單板)4萬(單框) 3Gbps(單板)12Gbps(單框)接入?yún)f(xié)

14、議及方式分支互聯(lián)（IPsec）軟硬件客戶端遠(yuǎn)程連接（IPSEC/SSL/DTLS)無客戶端遠(yuǎn)程連接（SSL）接入終端類型(PC/平板電腦/智能手機(jī))windows/MacOS/LinuxApple IPAD/IphoneAndroidSymbianBlackberry云中心安全接入共享安全服務(wù)池大租戶安全服務(wù)池云中心VPN特點(diǎn) 多虛一技術(shù).1.2.3.4.31.32.33.34Cluster Master10.10.1.X124.118.24.50群集 IP 地址客戶端要求與 124.118.24.50 建立連接虛擬群集以 124.118.24.33 響應(yīng)客戶端與 124.118.24.33

15、建立IPsec/SSL VPN 連接動(dòng)態(tài)性能擴(kuò)展并發(fā)VPN隧道數(shù)擴(kuò)展，VPN加密解密吞吐擴(kuò)展。動(dòng)態(tài)無縫擴(kuò)展新建VPN網(wǎng)關(guān)無縫集成到已有VPN網(wǎng)關(guān)中。動(dòng)態(tài)負(fù)載均衡保證設(shè)備利用率合理，健康狀態(tài)實(shí)時(shí)跟蹤。動(dòng)態(tài)接管提供高可用性 。保護(hù)投資/高兼容性 要求集群內(nèi)設(shè)備型號允許混雜。VPN集群技術(shù)特點(diǎn)多虛一，動(dòng)態(tài)擴(kuò)展Cloud DC的VPN處理能力，性能按需擴(kuò)展。保護(hù)投資。云中心VPN特點(diǎn) -一虛多技術(shù)Vlan MappingVRFAVRFBVRFCVlan-AVlan-BVlan-COutside IFG-AG-BG-CInside VlanVPN GatewayTunnel ATunnel BTunne

16、l C租戶內(nèi)內(nèi)部地址規(guī)劃獨(dú)立。租戶VPN會(huì)話 與VLAN綁定。所有租戶單公網(wǎng)IP接入。每租戶有獨(dú)立的定制界面。每租戶有獨(dú)立的認(rèn)證服務(wù)器組。每租戶有獨(dú)立訪問 控制. 設(shè)備支持租戶數(shù)較多，租戶數(shù)=VLAN數(shù)。性能要求低。免License，經(jīng)濟(jì)。VLAN鏡像技術(shù)特點(diǎn)每租戶獨(dú)立管理。租戶內(nèi)內(nèi)部地址規(guī)劃獨(dú)立。每租戶有獨(dú)立的公網(wǎng)IP接入。每租戶有獨(dú)立的定制界面。每租戶有獨(dú)立的認(rèn)證服務(wù)器組。每租戶有獨(dú)立訪問 控制. 租戶數(shù)支持有限。性能要求相對較高。需要License。虛擬站點(diǎn)=技術(shù)特點(diǎn)VContext-AVirtual PortalVContext-BVContext-COutside IF=AOutsi

17、de IF=BOutside IF=CInside IF=AInside IF=AInside IF=AShare InterfaceTunnel ATunnel BTunnel C一虛多，虛擬出多個(gè)VPN 網(wǎng)關(guān)從而實(shí)現(xiàn)動(dòng)態(tài)擴(kuò)展，租戶邏輯隔離，減少投資。云中心安全虛擬服務(wù)點(diǎn)SecurityAdminNetworkAdminPort GroupvMotion 在不同物理端口遷移虛擬機(jī)網(wǎng)絡(luò)策略必須跟隨vMotion2. 必須查看和應(yīng)用本地交換的網(wǎng)絡(luò)和安全策略3. 需要不間斷維護(hù)來確保租戶/業(yè)務(wù)隔離ServerAdmin服務(wù)器虛擬化潛在問題虛擬化和云需求推動(dòng)數(shù)據(jù)中新需求傳統(tǒng)數(shù)據(jù)中心虛擬數(shù)據(jù)中心FWW

18、AASWANOpt 服務(wù)于特有應(yīng)用 組成:專用設(shè)備交換模塊虛擬設(shè)備動(dòng)態(tài)實(shí)施配置服務(wù)對VM移動(dòng)透明可擴(kuò)展適合大規(guī)模多租戶操作虛擬服務(wù)點(diǎn)APPOSHypervisorVDC-1VDC-2ACE/SLB設(shè)備虛擬化資源限定可擴(kuò)展性能可靠適合特定租戶操作傳統(tǒng)服務(wù)點(diǎn)Nexus 1000 V 軟件交換機(jī) VSM + VEMs = Nexus 1000 Virtual ChassisVSM: Virtual Supervisor ModuleVEM: Virtual Ethernet Module 每個(gè)VEM支持200+ vEth ports(虛擬網(wǎng)口) 每個(gè)N1K（VSM)支持64 VEMs (VEM通過L

19、2 或者 L3連接VSM)每個(gè)N1K（VSM)支持 2K vEths VSM運(yùn)行NX-OSSwitching:L2 Switching, 802.1Q Tagging, VLAN Segmentation, Rate Limiting (TX), IGMP Snooping, QoS Marking (COS & DSCP), Class-based WFQSecurity:Policy Mobility, Private VLANs w/ local PVLAN EnforcementAccess Control Lists (L24 w/ Redirect), Port SecurityD

20、ynamic ARP inspection, IP Source Guard, DHCP SnoopingSuppress broadcast storm HypervisorHypervisorHypervisorVEM-NVEM-2L2 ModeL3 ModeVSM1VSM2Virtual ApplianceNexus1000V VEMVMVMVMVMLinecard-NSupervisor-1 (Active)Supervisor-2 (StandBy)Linecard-1Linecard-2Back Plane虛擬安全網(wǎng)關(guān)(VSG)基于內(nèi)容, 虛擬感知, 多容器，工作分離Nexus 1

21、000VDistributed Virtual Switch分布式虛擬交換機(jī) VMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMvPathVNMCLog/Audit日志/審計(jì)VSG(主用)安全隔離(VLAN agnostic)高效部署(secure multiple hosts)透明接入(topology agnostic)高可靠性(HA)動(dòng)態(tài)策略配置(Dynamic policy-based provisioning)VM移動(dòng)感知(policies follow vMotion)VSG(備用)VNMC: Virtual Network Management Center自動(dòng)設(shè)計(jì)(XML API, security profiles)通過物理CPU數(shù)量來限制License(不限制Core的數(shù)量) 虛擬服務(wù)點(diǎn)方式的Cloud安全ASR9K區(qū)域1VLAN 1-1000區(qū)