云數(shù)據(jù)中心安全架構(gòu)

1、云數(shù)據(jù)中心安全架構(gòu)云數(shù)據(jù)中心安全架構(gòu)內(nèi)容云數(shù)據(jù)中心安全戰(zhàn)略云中心安全架構(gòu)云中心安全虛擬服務(wù)點第2頁，共25頁幻燈片。內(nèi)容云數(shù)據(jù)中心安全戰(zhàn)略第2頁，共25頁幻燈片。云數(shù)據(jù)中心安全戰(zhàn)略第3頁，共25頁幻燈片。云數(shù)據(jù)中心安全戰(zhàn)略第3頁，共25頁幻燈片。PublicPrivateHybridCommunityWhere? Deployment ModelsVirtual PrivateWhat? Essential Characteristics (NIST)Measured ServicesRapid ElasticityResourcePoolingSelf ServiceBroad Access

2、How? Service ModelsVMVMOSFRAMEWORKAPPLICATIONIaaSPaaSSaaS什么是云中心？第4頁，共25頁幻燈片。PublicPrivateHybridCommunityWh單服務(wù)器單應(yīng)用靜態(tài)手工配置單服務(wù)器多應(yīng)用移動動態(tài)配置單服務(wù)器多租戶彈性自動擴(kuò)展HYPERVISORVDC-1VDC-2CONSISTENCY(一致性): 策略, 功能，安全，管理物理WORKLOAD虛擬化WORKLOAD云化WORKLOADNexus 1000V, VM-FEXVSG*, ASA 1000V*UCS for Virtualized WorkloadsNexus 7K/5

3、K/3K/2KASA 5585, ASA SMUCS for Bare Metal * Virtual only, * AnnouncedSwitchingSecurityCompute數(shù)據(jù)中心變遷歷程：從物理傳統(tǒng)的數(shù)據(jù)中心到云數(shù)據(jù)中心第5頁，共25頁幻燈片。單服務(wù)器單應(yīng)用單服務(wù)器多應(yīng)用單服務(wù)器多租戶HYPERVISO安全架構(gòu)要求邏輯隔離Logical separation策略一致性Policy CONSISTENCY(一致性)認(rèn)證和接入控制Authentication and access control擴(kuò)展和性能Scalability and performance自動化管理AUTOMAT

4、ION(自動化)第6頁，共25頁幻燈片。安全架構(gòu)要求邏輯隔離Logical separation第6云中心安全架構(gòu)第7頁，共25頁幻燈片。云中心安全架構(gòu)第7頁，共25頁幻燈片。Security ManagementInfrastructure SecurityServicesServicesUCSVirtualAccessStorageAccessServicesAggregationCore基礎(chǔ)架構(gòu)安全保護(hù)數(shù)據(jù)中心控制和數(shù)據(jù)層面的安全。防止數(shù)據(jù)丟失，順從性，失敗保護(hù)流量隔離以及認(rèn)證授權(quán)審計AD可視化要求日志，事件信息，集中認(rèn)證取證異常行為檢測順從性網(wǎng)絡(luò)入侵檢測和阻擋網(wǎng)絡(luò)監(jiān)控，分析，取證CSM

5、ACS數(shù)據(jù)中心進(jìn)出流量過濾虛擬防火墻，策略分離，應(yīng)對服務(wù)器之間過濾需求特殊的防火墻服務(wù)，保護(hù)服務(wù)器群負(fù)載均衡，隱藏服務(wù)和應(yīng)用。數(shù)據(jù)安全認(rèn)證訪問控制端口安全認(rèn)證QOS虛擬防火墻防火墻規(guī)則的實時監(jiān)控ACLs, Port Security, VN Tag, Netflow, ERSPAN, QoS, CoPP, DHCP snooping虛擬化數(shù)據(jù)中心安全控制框架第8頁，共25頁幻燈片。Security ManagementInfrastruct云中心訪問控制及網(wǎng)絡(luò)隔離Isolation & Access-Control ModelIntra-TenantIntra-LayerIntra-Serve

6、rVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerIntra-TenantIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerIntra-LayerIntra-ServerVMVMInter-V

7、MIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerInter-APPInter-TenantIntra-Cloud DCIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMInter-LayerIntra-APPInter-APP物理平面化立體化架構(gòu)網(wǎng)絡(luò)安全

8、計算VFWVRFVRFVRFVLANVN-LinkVMVDCVLANVLANVLANVMVMVMVMVMVMVDCVFWVFWVN-LinkVN-LinkVN-LinkVN-LinkVMDC邏輯層次化結(jié)構(gòu)資源大集中第9頁，共25頁幻燈片。云中心訪問控制及網(wǎng)絡(luò)隔離Isolation & Access云中心隔離模型中小租戶:每個租戶一個VLAN/一個VRF。VLAN映射到VRF。不進(jìn)行業(yè)務(wù)/服務(wù)層區(qū)分。獨立VDC專供此用戶類型接入。核心VDC匯聚VDC中小租戶VMVMVlan物理機(jī)VMVMVlanVRFVRFTenantTenant無安全要求租戶VMVMVlan物理機(jī)VMVMVlani-VRFi-

9、VRFTenantG-VRF大企業(yè)租戶/私有業(yè)務(wù)VMVMVlan物理機(jī)VMVMVlanTenantVMVMVlanVMVMVlanWebAPPDB大企業(yè)租戶/私有業(yè)務(wù):租戶利用Global VRF區(qū)分。每個租戶多個Internal VRF。Internal VRF區(qū)分不同部門或者應(yīng)用。通過多VLAN實現(xiàn)多級應(yīng)用靈活Zone部署。獨立VDC專供此用戶類型接入。G-VRFGlobal VRFi-VRFInternal VRF匯聚VDCi-VRFi-VRFG-VRF匯聚VDCNexus 7K第10頁，共25頁幻燈片。云中心隔離模型中小租戶:核心VDC匯聚中小租戶VMVMVla云中心業(yè)務(wù)保護(hù)模式 如果

10、受到保護(hù)，流量經(jīng)過防火墻否則直接流向無保護(hù)的區(qū)域Zone。業(yè)務(wù)模型按照應(yīng)用特點來考慮服務(wù)集成：安全要求應(yīng)用 FW Only /FW+IPS 保護(hù)模式性能要求應(yīng)用 高吞吐/時延敏感無- 保護(hù)模式業(yè)務(wù)模型可以按照任意形式組合服務(wù)全功能服務(wù) 防火墻/負(fù)載均衡/應(yīng)用加速僅需防火墻防火墻和 負(fù)載均衡服務(wù)無保護(hù)，但負(fù)載均衡服務(wù)務(wù)無保護(hù)用戶訪問受保護(hù)無保護(hù)可選應(yīng)用服務(wù)- 負(fù)載均衡LB, IPS, Edge FW etc可選應(yīng)用服務(wù)- 負(fù)載均衡LB, IPS, Edge FW etc直接訪問模式A模式B模式C模式D共享防火墻虛擬防火墻模式E第11頁，共25頁幻燈片。云中心業(yè)務(wù)保護(hù)模式 如果受到保護(hù)，流量經(jīng)過防

11、火墻否則直接流向POD大租戶安全服務(wù)池核心VDCVPCVPC匯聚VDC匯聚VDC共享安全服務(wù)池核心VDC匯聚VDC匯聚VDC大企業(yè)租戶/私有業(yè)務(wù)混合云安全架構(gòu)模型-二層安全結(jié)構(gòu)匯聚VDC匯聚VDC邊界防火墻高并發(fā)連接高每秒新建連接DDOS攻擊防護(hù)IPS威脅防御地址轉(zhuǎn)換POD中小租戶POD私有業(yè)務(wù)/無安全要求Internet安全服務(wù)池 虛擬防火墻虛擬VPN接入虛墻IPS虛擬負(fù)載均衡虛擬鏈路加速虛擬流量分析虛墻獨立管理虛墻資源劃分軟件/硬件方案安全服務(wù)池出口路由器出口路由器 Internet 安全服務(wù)池InternetNexus7KNexus 7K第12頁，共25頁幻燈片。POD大租戶安全服務(wù)池核

12、心VDCVPCVPC匯聚匯聚VDC共匯聚VDC云中心隔離模型-防火墻核心VDC匯聚VDC中小租戶VMVMVlan物理機(jī)VMVMVlanVRFVRFTenantTenant大企業(yè)租戶VMVMVlan物理機(jī)VMVMVlani-VRFi-VRFTenantG-VRF大企業(yè)租戶/私有業(yè)務(wù)VMVMVlan物理機(jī)VMVMVlani-VRFi-VRFTenantG-VRFVMVMVlanVMVMVlanWebAPPDBG-VRFGlobal VRFi-VRFInternal VRFShare FWVFWVFWVFWVFW匯聚VDC第13頁，共25頁幻燈片。匯聚VDC云中心隔離模型-防火墻核心VDC匯聚中小租

13、戶VMV云中心防火墻的特點 多虛一技術(shù)多虛一，動態(tài)擴(kuò)展防火墻處理能力，性能按需擴(kuò)展。保護(hù)投資。7k-2Core-VDCVPCVPC7k-2Agg-VDC7k-1Core-VDC7k-1Agg-VDCscECscEC高擴(kuò)展性。單點管理。群內(nèi)所有防火墻全部Active。有群內(nèi)負(fù)載均衡能力。群內(nèi)防火墻失敗，全群火墻幫助恢復(fù)會話。保證防火墻群內(nèi)無單點失敗/ 防火墻全冗余?？梢院吐酚山粨Q多虛一結(jié)合實現(xiàn)全路徑多虛一，無Spanning Tree困擾。scEC: span-cluster ECVPC: Virtual PortChannel 需求特點：防火墻集群(多虛一)：ASAASA第14頁，共25頁幻燈

14、片。云中心防火墻的特點 多虛一技術(shù)7k-2VPCVPC7k云中心防火墻的特點 一虛多技術(shù)一虛多，虛擬出多個防火墻，租戶邏輯隔離，資源限定防止租戶串?dāng)_。減少投資。虛墻獨立管理/獨立日志虛墻獨立路由層面（地址可重疊）虛墻獨立安全策略/NAT策略/應(yīng)用層策略。防火墻資源限定，徹底保護(hù)租戶不互相串?dāng)_。防火墻虛擬化需求特點：并發(fā)連接10萬新建速率100K/秒虛墻-1性能MAC表10萬在線主機(jī)數(shù)容量日志控制層面管理員安全策略配置NAT策略DPI策略數(shù)據(jù)層面NAT連接10萬管理連接虛墻-2虛墻-3虛墻-250路由租戶-2租戶-3租戶-250第15頁，共25頁幻燈片。云中心防火墻的特點 一虛多技術(shù)一虛多，虛擬

15、出多個防火墻，租7k-2Core-VDCVPCVPC7k-2Agg-VDC17k-1Core-VDC7k-1Agg-VDC17k-2Agg-VDC27k-1Agg-VDC2VPN資源池N3KC29PODInternetISRTeleWorkerWAAS廣域網(wǎng)加速公司分部熱點 ssL IPSec IPSecVFW接入方案VPN資源池(VPN集群+VLAN映射)N7N3用戶/N7C29用戶用戶接入容量10萬VPN吞吐60GbpsVFW+VPNN7N5（POD用戶）用接入容量1萬(單板)4萬(單框) 3Gbps(單板)12Gbps(單框)接入?yún)f(xié)議及方式分支互聯(lián)（IPsec）軟硬件客戶端遠(yuǎn)程連接（IP

16、SEC/SSL/DTLS)無客戶端遠(yuǎn)程連接（SSL）接入終端類型(PC/平板電腦/智能手機(jī))windows/MacOS/LinuxApple IPAD/IphoneAndroidSymbianBlackberry云中心安全接入共享安全服務(wù)池大租戶安全服務(wù)池第16頁，共25頁幻燈片。7k-2VPCVPC7k-27k-17k-17k-27k-1云中心VPN特點 多虛一技術(shù).1.2.3.4.31.32.33.34Cluster Master10.10.1.X124.118.24.50群集 IP 地址客戶端要求與 124.118.24.50 建立連接虛擬群集以 124.118.24.33 響應(yīng)客戶端與

17、 124.118.24.33 建立IPsec/SSL VPN 連接動態(tài)性能擴(kuò)展并發(fā)VPN隧道數(shù)擴(kuò)展，VPN加密解密吞吐擴(kuò)展。動態(tài)無縫擴(kuò)展新建VPN網(wǎng)關(guān)無縫集成到已有VPN網(wǎng)關(guān)中。動態(tài)負(fù)載均衡保證設(shè)備利用率合理，健康狀態(tài)實時跟蹤。動態(tài)接管提供高可用性 。保護(hù)投資/高兼容性 要求集群內(nèi)設(shè)備型號允許混雜。VPN集群技術(shù)特點多虛一，動態(tài)擴(kuò)展Cloud DC的VPN處理能力，性能按需擴(kuò)展。保護(hù)投資。第17頁，共25頁幻燈片。云中心VPN特點 多虛一技術(shù).1.2.3.4.31.32.云中心VPN特點 -一虛多技術(shù)Vlan MappingVRFAVRFBVRFCVlan-AVlan-BVlan-COutsi

18、de IFG-AG-BG-CInside VlanVPN GatewayTunnel ATunnel BTunnel C租戶內(nèi)內(nèi)部地址規(guī)劃獨立。租戶VPN會話 與VLAN綁定。所有租戶單公網(wǎng)IP接入。每租戶有獨立的定制界面。每租戶有獨立的認(rèn)證服務(wù)器組。每租戶有獨立訪問 控制. 設(shè)備支持租戶數(shù)較多，租戶數(shù)=VLAN數(shù)。性能要求低。免License，經(jīng)濟(jì)。VLAN鏡像技術(shù)特點每租戶獨立管理。租戶內(nèi)內(nèi)部地址規(guī)劃獨立。每租戶有獨立的公網(wǎng)IP接入。每租戶有獨立的定制界面。每租戶有獨立的認(rèn)證服務(wù)器組。每租戶有獨立訪問 控制. 租戶數(shù)支持有限。性能要求相對較高。需要License。虛擬站點=技術(shù)特點VCon

19、text-AVirtual PortalVContext-BVContext-COutside IF=AOutside IF=BOutside IF=CInside IF=AInside IF=AInside IF=AShare InterfaceTunnel ATunnel BTunnel C一虛多，虛擬出多個VPN 網(wǎng)關(guān)從而實現(xiàn)動態(tài)擴(kuò)展，租戶邏輯隔離，減少投資。第18頁，共25頁幻燈片。云中心VPN特點 -一虛多技術(shù)Vlan MappingVRF云中心安全虛擬服務(wù)點第19頁，共25頁幻燈片。云中心安全虛擬服務(wù)點第19頁，共25頁幻燈片。SecurityAdminNetworkAdminPo

20、rt GroupvMotion 在不同物理端口遷移虛擬機(jī)網(wǎng)絡(luò)策略必須跟隨vMotion2. 必須查看和應(yīng)用本地交換的網(wǎng)絡(luò)和安全策略3. 需要不間斷維護(hù)來確保租戶/業(yè)務(wù)隔離ServerAdmin服務(wù)器虛擬化潛在問題第20頁，共25頁幻燈片。SecurityNetworkPort GroupvMot虛擬化和云需求推動數(shù)據(jù)中新需求傳統(tǒng)數(shù)據(jù)中心虛擬數(shù)據(jù)中心FWWAASWANOpt 服務(wù)于特有應(yīng)用 組成:專用設(shè)備交換模塊虛擬設(shè)備動態(tài)實施配置服務(wù)對VM移動透明可擴(kuò)展適合大規(guī)模多租戶操作虛擬服務(wù)點APPOSHypervisorVDC-1VDC-2ACE/SLB設(shè)備虛擬化資源限定可擴(kuò)展性能可靠適合特定租戶操作

21、傳統(tǒng)服務(wù)點第21頁，共25頁幻燈片。虛擬化和云需求推動數(shù)據(jù)中新需求傳統(tǒng)數(shù)據(jù)中心虛擬數(shù)據(jù)中心FWWNexus 1000 V 軟件交換機(jī) VSM + VEMs = Nexus 1000 Virtual ChassisVSM: Virtual Supervisor ModuleVEM: Virtual Ethernet Module 每個VEM支持200+ vEth ports(虛擬網(wǎng)口) 每個N1K（VSM)支持64 VEMs (VEM通過L2 或者 L3連接VSM)每個N1K（VSM)支持 2K vEths VSM運行NX-OSSwitching:L2 Switching, 802.1Q Tag

22、ging, VLAN Segmentation, Rate Limiting (TX), IGMP Snooping, QoS Marking (COS & DSCP), Class-based WFQSecurity:Policy Mobility, Private VLANs w/ local PVLAN EnforcementAccess Control Lists (L24 w/ Redirect), Port SecurityDynamic ARP inspection, IP Source Guard, DHCP SnoopingSuppress broadcast storm H

23、ypervisorHypervisorHypervisorVEM-NVEM-2L2 ModeL3 ModeVSM1VSM2Virtual ApplianceNexus1000V VEMVMVMVMVMLinecard-NSupervisor-1 (Active)Supervisor-2 (StandBy)Linecard-1Linecard-2Back Plane第22頁，共25頁幻燈片。Nexus 1000 V 軟件交換機(jī) VSM + VEMs虛擬安全網(wǎng)關(guān)(VSG)基于內(nèi)容, 虛擬感知, 多容器，工作分離Nexus 1000VDistributed Virtual Switch分布式虛擬交換

24、機(jī) VMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMvPathVNMCLog/Audit日志/審計VSG(主用)安全隔離(VLAN agnostic)高效部署(secure multiple hosts)透明接入(topology agnostic)高可靠性(HA)動態(tài)策略配置(Dynamic policy-based provisioning)VM移動感知(policies follow vMotion)VSG(備用)VNMC: Virtual Network Management Center自動設(shè)計(XML API, security profiles)通過物理CPU數(shù)量來限制License(不限制Core的數(shù)量)第23頁，共25頁幻燈片。虛擬安全網(wǎng)關(guān)(VSG)基于內(nèi)容, 虛擬感知, 多容器，工作 虛擬服務(wù)點方式的Cloud安全ASR9K區(qū)