云安全解决方案

提纲12云计算发展趋势迪普公司介绍34迪普云安全技术典型部署及案例公司情况及全产品第一页，共39页。公司愿景——成为网络安全及应用交付领域领先的解决方案提供商公司简介第二页，共39页。用户管理(用户接入/准入控制/行为审计/认证计费)业务管理(安全/加速/可用/应用业务)UMC统一管理中心资源管理(网络/QoS/ACL/VLAN/配置/报表)应用即网络ApplicationAsNetwork应用安全应用交付IPS/防毒墙Probe/GuradWAF/Scanner/WebShield流控及审计应用交付平台基础安全应用防火墙UTMSRG基础网络DPXTAC商业/工业交换机全系列产品第三页，共39页。提纲12云计算发展趋势迪普公司介绍34迪普云安全技术典型部署及案例第四页，共39页。云计算的概念和分类云计算的核心思想是通过共享软硬件资源，可以按需的向用户提供IT服务。SaaSCPU资源池内存资源池存储资源池OAERPCRMMISIaaSPaaS★注：IaaS、PaaS、SaaS三者不是包含或者演进的关系，尽管三者的软硬件抽象层次不同，但是三者之间是完全并列的技术，互不统属和交叉。第五页，共39页。IT的演进和技术变革海量数据处理Scale-Out扩展中少量数据处理Scale-Up式扩展流程工具的IT架构以关系型数据库为核心组织数据B/S或C/S架构专用服务器专用存储设备网络分割，弱QoS协作工具的IT架构以关系型数据库为核心组织数据SOA架构X86服务器群集专用存储设备网络互通，弱QoS流程工具的IT架构以非关系型数据库为核心组织数据SOA架构超大X86服务器群集，无专用存储网络互通，强QoS第六页，共39页。IT模型的变化HardwareHardwareHardwareAPPV-OSAPPCloudHypervisor软硬件的彻底分离通过引入虚拟化层（Hypervisor），可实现操作系统与硬件的解耦，降低复杂度通过引入云层，可实现应用与操作系统的解耦，彻底实现应用与硬件的无关性APPAPPAPPAPPAPPAPPV-OSHardwareHardwareHardwareAPPOSHardwareAPPOSHardwareAPPOSHardwareAPPOSHardwareAPPOSHardwareAPPOSHardware第七页，共39页。IT硬件基础架构发展趋势IaaSPaaSSaaS计算廉价硬件Scale-Out虚拟化与云化的支持高性能的大数据处理去IOE!存储廉价硬件Scale-Out简单可靠的失效管理高性能的大数据存取通信数据中心大二层网络虚拟化互联与业务承载基于应用的业务支撑第八页，共39页。管新IT基础架构云IaaSPaaSSaaS公有混合私有视频会议终端PC/终端IP语音终端移动终端端局域网广域网数据中心智能管理智能调度虚拟化承载智能接入应用加速应用可控应用可用应用识别应用支持智能管道第九页，共39页。云计算的变与不变V.S.改变不变建设方式运维方式流量模型应用安全加速可用第十页，共39页。云计算对网络的影响InternetPod0Pod1Pod2Podn核心交换机核心交换机汇聚交换机汇聚交换机出口路由器出口路由器FCoE等带来的全以太网组网扁平组网引起三层集中部署全二层扁平化组网业务迁移业务迁移引起的接入动态化第十一页，共39页。虚拟化对安全的影响针对众多业务系统不同的安全需求，安全策略如何部署虚拟机迁移时，安全策略如何迁移如何隔离同一物理服务器上的虚拟机如何控制虚拟机之间的相互访问如何控制不同业务之间的调用虚拟化系统自身的漏洞会带来新的风险内存遗迹带来的风险新系统引入新威胁虚拟机之间的隔离与访问控制问题安全策略的部署与迁移如何在虚拟化环境中应用安全能力？12第十二页，共39页。提纲12云计算发展趋势迪普公司介绍34迪普云安全技术典型部署及案例第十三页，共39页。云安全技术分类PaaSSaaSIaaSSaaS层云安全主要集中在解决应用层安全★注：云安全涉及范围广，IaaS、PaaS、SaaS三者不是包含或者演进的关系，尽管三者的软硬件抽象层次不同，但是三者之间是完全并列的技术，互不统属和交叉。云杀毒邮件安全网页安全PaaS层云安全集中在解决平台层安全IaaS层云安全主要集中在解决基础架构层安全防火墙资源池IPS资源池应用交付资源池数据恢复/备份虚拟化安全存储安全AppAPPAPP第十四页，共39页。迪普科技的目标：成为“云”的一种能力FW池计算资源池存储资源池APP1APP2APP3APP4能力资源池IPS池流控池审计池AV池

抗DoS加速池LB池……优化策略流安全策略流APP5网络是支撑，L4~L7能力是云的一部分第十五页，共39页。运营商数据中心发展历程Internet互联网业务区对外业务区负载均衡负载均衡互联网业务对外业务1内部业务区负载均衡内部业务1负载均衡内部业务2负载均衡对外业务2IPSFWFWFWFWFWIPSIPS最初的数据中心具备一个大服务器区，所有应用都放置在同一个服务器区域，各业务没有隔离，统一部署边界安全措施；由于每个应用的安全级别不同，应用人员类型不同等因素，运营商业务系统都趋向于演进到边界清晰、安全域划分清晰的规范结构服务器区App2InternetAppN从服务器区融合的部署到安全域划分清晰的规范网络App1云计算中心应用从从物理主机迁移到虚拟化主机安全域划分清晰的数据中心虚拟化数据中心服务器大融合的数据中心第十六页，共39页。云安全核心思路：以不变的网关应万变二层归网络平台，三层以上归安全与应用交付平台。APP基于VLAN的安全分区VLAN1.1001VLAN2.1001VLANn.xVLAN自适应业务迁移APP1APP2APP3VLAN1001VLANxVLAN1VLAN2VLAN3VLANn网关及L4~7层策略流IP及MAC规划分布式网关部署第十七页，共39页。迪普向云演进的云计算中心安全解决方案云计算中心虚拟负载均衡互联网业务虚拟IPS虚拟FWInternet防火墙资源池入侵防御资源池负载均衡资源池流量清洗资源池网流分析/控制资源池DPX8000DPX8000对外业务对内业务1对内业务2根据不同应用需求分配不同性能的安全业务各虚拟安全业务拥有独立的管理、状态表，由各业务负责人管理虚拟负载均衡虚拟IPS虚拟FW虚拟负载均衡虚拟FW虚拟负载均衡虚拟FW防火墙资源池入侵防御资源池负载均衡资源池流量清洗资源池网流分析/控制资源池部署方案一：网关式边界防火墙第十八页，共39页。迪普向云演进的云计算中心安全解决方案数据中心DPtechDPX8000交换机路由器城域网DPtechDPX8000交换机路由器虚拟应用N虚拟应用1……防火墙资源池入侵防御资源池负载均衡资源池流量清洗资源池网流分析/控制资源池防火墙资源池入侵防御资源池负载均衡资源池流量清洗资源池网流分析/控制资源池旁挂、扁平、一体化的虚拟防火墙部署，极大简化网络部署，降低TCO成功应用：中国电信集团云计算中心上海电信节点、四川电信节点部署方案二：单臂式第十九页，共39页。核心思路：基于虚拟化网关的策略流APP2安全加速可用APP1安全加速可用APP3安全加速可用大二层以太网FCoE每个网关引导对应应用所需的策略流。应用间互访要通过网关进行。DPX是最适应此部署模式的平台，以虚拟防火墙形成分布式网关，通过自定义网络流量的流向，通过不同的功能板卡形成策略流。扩展应用：公有云服务中，提供安全和应用交付业务的租赁第二十页，共39页。应用即网络的技术演进能力云阶段虚拟化阶段网络化阶段..............................App-1App-2App-3App-4App-5Group-1Group-2Group-N多合一：物理设备性能聚合一分多：面向业务定制40~100GInternet从“ApplicationatNetwork”向“ApplicationasNetwork”的演进实现集成网络的安全与应用交付，不成为网络瓶颈；整机最大400G处理能力，5亿并发连接，1500万新建连接；实现安全与应用交付的全面虚拟化，颗粒化资源；能创建防火墙、IPS、应用交付、流量控制、行为审计、流量清洗等多业务资源池；实现虚拟化能力池的动态调度，为应用提供云化服务；21第二十一页，共39页。云安全的承载：DPX8000深度业务交换网关DPX8000-A3DPX8000-A5DPX8000-A12高性能：大交换容量，最多支持480*GE/80*10GE接口线速转发业务丰富：负载均衡、应用加速、防火墙、IPS、异常流量清洗、流量控制、行为审计等功能按需扩展，最大400G深度业务线速处理能力虚拟化：端到端的从网络层到应用层的虚拟化能力高可用性：丰富网络协议，支持48GE电/光、4*10GE/8*10GE光、2.5G/10G/40GPOS等高密接入交换板：48GE接口4*10GE/8*10GE接口4*2.5G/4*10GPOS接口，1*40GPOS接口全线速交换业务板：单板业务处理能力40G，整机最大400G单板并发连接数5000万，新建连接数150万/秒最大支持24端口聚合第二十二页，共39页。高性能APP-X硬件平台创新的控制、业务、数据的三平面结构数据平面：基于CLOS/CrossBar架构的分布式转发，基于SessionFPGA的应用层快转业务平面：基于多核CPU与内容FPGA的业务处理控制平面：基于多核CPU的高性能控制平面路由计算转发表管理……分布式转发业务快转……应用识别应用控制……NPNP交换芯片交换芯片SessionFPGASeesionFPGACore1Core2CorenBUSRAMMultiCoreCPURAMBUSFilterProcesserContentFPGACore1Core2CorenBUSRAMMultiCoreCPUCLOS/CrossBar第二十三页，共39页。ConPlat软件平台APP-XCore1Core2CorenBUSRAMMultiCoreCPURAMBUSFilterProcesserContentFPGACLOS/CrossBarSwitchNPFPGAConPlat硬件虚拟化管理进程调度内存管理磁盘管理总线控制控制平面业务管理业务管理业务管理CLITelnet/SSHWebUISNMP日志管理员鉴权控制平面控制平面IPv4路由IPv6路由MPLS转发平面转发平面转发平面路由转发Session转发二层转发业务平面业务平面业务平面应用识别应用加速异常管理应用控制应用审计应用可用性网流分析第二十四页，共39页。APP-ID应用特征库协议库特征库模式库特征采集特征分析特征生成业内独创三库合一，一次解析，多次匹配，效率最优。第二十五页，共39页。支持多框级联，灵活扩展端口密度和处理能力单框内部支持主备板倒换，VSM内部支持主备框倒换，同时支持跨框端口聚合，最大限度提高可靠性支持集中配置与管理，简化部署虚拟交换矩阵（VSM）第二十六页，共39页。板卡资源虚拟化资源化将多块板卡虚拟成一块板卡进行配置和使用，简化配置处理性能和端口密度同步扩展负载平均分担，出现故障时自动切换，实现N+1备份第二十七页，共39页。技术创新——N:M虚拟化VSM跨设备虚拟化

将多个机框虚拟成为为一个机框，可统一配置管理业务虚拟化聚合

业内唯一可将多个同类业务板卡虚拟成为一个业务板卡，结合VSM，可实现跨机框业务整合1：M业务虚拟化

业务板卡支持1：M虚拟化，可虚拟成

为多个同类型虚拟设备业务跨板卡虚拟化VSM跨机框虚拟化业务资源池…1：M虚拟化可控可用加速同类业务卡同类业务卡同类业务卡第二十八页，共39页。操作系统及虚拟化管理虚拟化协议虚拟化转发虚拟化资源虚拟化操作系统虚拟化每个虚拟系统由相应管理员自主管理，各个虚拟系统之间互不可见每个虚拟系统运行独立的协议进程，各进程间互不干扰每个虚拟系统单独享有系统管理员预先分配的相关资源，各个虚拟系统之间互不干扰每个虚拟系统拥有独立的转发表和会话表，地址空间完全独立第二十九页，共39页。系统高可靠性保障VRRPmasterVRRPbackup4.双机热备：主机和备机之间可以同步规则、路由和Session等信息。当主机出现问题后，互相可以平滑切换6.板间负载均衡及容错1.双主控、关键部件冗余设计2.接口卡、电源模块、风扇等关键部件热插拔7.业务模块的掉电保护和选择性二层回退5.操作系统和DigitalPatch的在线业务无间断升级分布式架构和多种容错设计，可以保证在各种复杂网络流量环境下的高可靠性和可用性3.N+M电源冗余第三十页，共39页。深度业务交换网关优势一体化高性能网络适用性虚拟化扩展性深度业务交换网关高可靠集业务交换、网络安全、应用交付三大功能于一体主控冗余、N+1电源、不间断重启、热补丁、数据/控制/监测平面分离等技术，确保99.999％的电信级可靠性纵向性能扩展。增加同类业务板卡可实现性能线性扩展；横向业务扩展。支持应用防火墙、IPS、流量控制、安全审计、应用交付、异常流量清洗/检测等深度业务功能的按需扩展1024G交换容量，满足现在及未来的网络性能要求支持IPv4/IPv6、三层/二层MPLSVPN等丰富的网络特性，提供各类千兆电口、千兆光口、万兆光口扩展，能满足各种部署环境要求多合一、一分多虚拟化，为不同业务动态分配不同的虚拟安全资源；VSM跨机框虚拟化，扩展网络冗余能力。第三十一页，共39页。Xware服务器虚拟化DptechXware提供的服务器虚拟化和桌面虚拟化，与迪普科技现有网络虚拟化、安全虚拟化和应用交付虚拟化结合，可为用户提供更加全面、灵活的“智能端到端虚拟化”，实现“应用即网络”的整网融合。虚拟化之前虚拟化之后服务器100050存储直连分层SAN和NAS网络3000线缆/端口300线缆/端口设施200机架400电缆线10机架20电缆线大大降低TCO提高运营效率提高服务水平旧硬件和操作系统的投资保护32第三十二页，共39页。提纲12云计算发展趋势迪普公司介绍34迪普云安全技术典型案例第三十三页，共39页。典型应用—中国电信云计算凭借高性能（吞吐量400Gbps、新建会话数1500万/秒、并发会话数5亿）、N:M虚拟化、高可靠等领先技术，迪普云安全防火墙成功应用于中国电信云计算三大节点中的上海节点、四川节点服务器群DPtech防火墙出口路由器汇聚交换机DPtech防火墙汇聚交换机上海节点四川节点城域网CN2DPtech防火墙DPtech防火墙34第三十四页，共39页。新疆电信云计算资源池项目中国移动中国教育网中国移动公网DCNCN2DPtechFW1000DPtechFW1000LB1LB2核心交换2核心交换1心跳HSRPDPtechFW1000下一代应用防火墙解决了用户多重网络隔离问题；解决用户单源地址同时对不同网络提供业务服务；在对不同网络提供业务服务的同时，通过安全策略控制访问权限，增强业务数据安全和可靠性；FW1000静默热备功能很好的解决了用户对于容易方面的需求。第三十五页，共39页。世博会-上海电信DPtech防毒墙为世博会IDC提供万兆性能的蠕虫、木马等病毒在线查杀DPtechWebShield确保世博会新闻网站不被篡改、网页挂马等DPtech万兆防毒墙DPtech万兆防毒墙新闻发布中心局域网Internet第三十六页，共39页。迪普科技运营商八大解决方案定制、融合、创新、领先高性能、虚拟化、一体化数据中心安全虚拟化大容量NAT异常流量清洗DNS防护DPI融合网关WLAN流控及审计安全运维管理及加固构建安全、快速、可用的高品质运营商网络数据中心应用交付400Gbps，5亿并发业内独有N:M虚拟化400Gbps，5亿并发精确溯源，无缝扩展400Gbps，3.2亿并发异常流量检测精确400Gbps，3.2亿并发高可靠，支持业务丰富2忆QPS，5000万缓存防护、优化一体化200Gbps，3.2亿并发定制化DPI，应用丰富十