



全文预览已结束
下载本文档
版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
虚拟防火墙技术在数据中心的应用一、概述运营商作为网络的承建者和服务提供者,不仅为用户提供各种业务,还要对数据中心的网络和信息安全进行完全的监控和管理维护等。数据中心作为网络数据的核心,经常会受到来自外界的攻击入侵,安全问题是极其重要的一环。互联网每年都有大量数据中心服务器遭受攻击的事件发生,对用户造成巨大的损失,数据中心安全在其建设发展中越来越受到重视。为数据中心内部网络与服务器提供网络安全功能,通常会部署防火墙产品作为攻击防范和安全过滤的设备,同时为内网服务器间互访提供安全控制。防火墙是数据中心必不可少的安全防御组件,可为后端服务器提供攻击防范、内网安全、流量监控、邮件过滤、网页过滤、应用层过滤等功能。随着数据中心虚拟化技术的不断发展,防火墙虚拟化做为其中关键技术之一日益兴起。二、虚拟防火墙技术的产生早期的互联网时代,当企业需要为用户提供互联网服务时,为了节省管理成本与加快互联网用户访问速度,很多企业将其服务器放置到运营商数据中心(IDC,Internet Data Center)内,由运营商代维代管,并直接提供互联网接入,这种形式也被称为运营商的主机托管业务。随着互联网的飞速发展,运营商数据中心业务已经成为其盈利的重点核心业务。同时,安全要求日趋严格,需要在大规模部署的多企业用户服务器间的进行访问控制,如存在相关业务企业间的受控访问,无关企业间的绝对隔离等。因此,对运营商数据中心管理人员来说,如何灵活方便的实现各企业安全区域划分和安全区域之间有控制的互访成为其非常关注的问题。这也对提供安全区域隔离功能的防火墙设备提出了更高的要求。针对以上要求,传统防火墙的部署模式存在着以下缺陷:较多的企业用户使得运营商要部署管理多台独立防火墙,导致拥有和维护成本增高;集中放置的多个独立防火墙会占用较多的物理空间,并加大布线的复杂度;物理防火墙的增加将增加网络管理的复杂度;当企业用户发生新的变化后,需要在物理组网上对传统防火墙做改动,对整个网络造成影响较大。为了适应新的业务模式需求,虚拟防火墙技术应运而生。虚拟防火墙通过在同一台物理设备上划分多个逻辑的防火墙实例来实现对多个业务部门的独立安全策略部署,利用其部署的灵活性可实现企业网络的对新业务的适应性。三、虚拟防火墙技术虚拟防火墙是一个逻辑概念,该技术可以在一个单一的硬件平台上提供多个防火墙实体,即把一台防火墙设备在逻辑上划分成多台虚拟防火墙,每台虚拟防火墙都可以被看成是一台完全独立的防火墙设备,可拥有独立的管理员、安全策略、用户认证数据库等。每个虚拟防火墙能够实现防火墙的大部分特性,并且虚拟防火墙之间相互独立,一般情况下不允许相互通信。 虚拟防火墙具有如下技术特点:每个虚拟防火墙独立维护一组安全区域;每个虚拟防火墙独立维护一组资源对象(地址/地址组,服务/服务组等);每个虚拟防火墙独立维护自己的包过滤策略;每个虚拟防火墙独立维护自己的ASPF策略、NAT策略、ALG策略;可限制每个虚拟防火墙占用资源数,如防火墙Session以及ASPF Session数目。每个虚拟防火墙都是VPN实例和安全实例的综合体,能够为虚拟防火墙用户提供私有的路由转发业务和安全服务。每个虚拟防火墙中可以包含三层接口、二层物理接口、三层VLAN子接口和二层Trunk接口+VLAN。VPN实例与虚拟防火墙是一一对应的,它为虚拟防火墙提供相互隔离的VPN路由,与虚拟防火墙相关的信息主要包括:VPN路由以及与VPN实例绑定的接口。VPN路由将为转发来自与VPN实例绑定的接口的报文提供路由支持。安全实例为虚拟防火墙提供相互隔离的安全服务,同样与虚拟防火墙一一对应。安全实例具备私有的ACL规则组和NAT地址池;安全实例能够为虚拟防火墙提供地址转换、包过滤、ASPF和NAT ALG等私有的安全服务。虚拟防火墙一方面解决了业务多实例的问题,更主要的是,通过它可将一个物理防火墙划分为多个逻辑防火墙来用。多个逻辑防火墙可以单独配置不同的安全策略,同时默认情况下,不同的虚拟防火墙之间是默认隔离的。对于防火墙系统接收到的数据流,系统根据数据的Vlan ID、入接口、源地址确定数据流所属的系统。在各个虚拟防火墙系统中,数据流将根据各自系统的路由完成转发。四、虚拟防火墙技术在数据中心应用1、虚拟防火墙与数据中心虚拟化数据中心虚拟化分为网络、计算和存储三个虚拟化资源,与虚拟防火墙紧密相关的是网络虚拟化。数据中心网络虚拟化功能之一是在网络设备上对多业务之间进行隔离访问控制,每组业务使用独立的VPN、VLAN、接口、路由表及转发表,将一台物理网络设备逻辑上分割成多台虚拟设备。网络虚拟化的主要目的是为了提高网络设备资源的利用率,并增强对计算资源的安全访问隔离控制能力。网络设备虚拟化的同时,数据中心对安全组件提出了同样的虚拟化需求。虚拟防火墙实现了网络与安全虚拟一体化的功能,先对防火墙的路由转发进行VPN隔离划分,再设置攻击防御与安全过滤规则与划分的VPN相对应,将一台物理的防火墙设备虚拟为多台独立运行的逻辑防火墙,简化网络,便于管理并提升了设备的利用率。图1 虚拟防火墙在数据中心的应用2、虚拟防火墙应对数据中心高可靠需求在数据中心环境中,高可靠性往往是重要的部署需求,虚拟防火墙部署时需要考虑双机环境下的流量路径冗余切换问题。如图2所示。图2 虚拟防火墙双机的应用数据中心双机组网模型下,虚拟防火墙可以应用路由模式或透明模式两种方式转发流量报文。透明模式下,防火墙采用INLINE转发方式,对进出防火墙的Vlan接口进行两个一组的一一对应,需要注意的是透明模式下网络中不能出现二层环路;而路由模式则是在不同VPN下部署不同的三层路由转发,VLAN三层接口同样做到每组一一对应,要注意的是路由模式下VRRP等路由冗余协议的应用,要在汇聚层交换机上建立两台防火墙设备可以通信的二层通道。五、结束语虚拟防火墙组网模式极大的减少了用户拥有成本。随着业务的发展,当用户业务划分发生变化或者产生新的业务部门时,可以通过添加或者减少防火墙实例的方式十分灵活的解决后续网络扩展问题,在一定程度上降低了网络安全部署的复杂度。另一方面,由于以逻辑的形式取代了网络中的多个物理防火墙,减少了运维中需要管理维护的网络设备,简化了网络管理的复杂度,减少了误操作的可能性。虚拟防火墙技术的出现弥补了防火墙产品在数据中心虚拟化应用中的
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- 2025年食品杀菌设备合作协议书
- 心理健康课件存档方法
- 空乘说课课件视频大全
- 空中飞屋儿童课件视频
- 2025年消防装备生产与销售承包合同
- 二零二五年度二手电力设备买卖与检修合同
- 二零二五年度商业地产物业管理租赁合同
- 2025版银行定期存款提前支取合同模板
- 二零二五年度冷链食品运输质量保障合同
- 2025版旅游景区夜间守护更夫工作聘用合同样本
- 《食品质量安全信息化管理》第七章 可追溯体系建立
- 围棋定式辞典上卷
- 广西中南光电新能源有限公司高效智能光伏组件、铝边框、储能运维产业项目环评报告
- 不锈钢防指纹油-水滴角检测报告
- 胃癌腹膜转移诊治中国专家共识(2023版)解读
- 高速公路巡视旁站监理实施方案
- 培训资料-手术室毒麻药品管理课件
- GB/T 27693-2011工业车辆安全噪声辐射的测量方法
- FZ/T 92036-2017弹簧加压摇架
- 装修主要经济技术指标
- DB15-T 2787-2022河套食用葵花籽精选加工技术规程
评论
0/150
提交评论