云計(jì)算網(wǎng)絡(luò)安全PPT課件

1、云數(shù)據(jù)中心安全戰(zhàn)略第1頁/共25頁P(yáng)ublicPrivateHybridCommunityWhere? Deployment ModelsVirtual PrivateWhat? Essential Characteristics (NIST)Measured ServicesRapid ElasticityResourcePoolingSelf ServiceBroad AccessHow? Service ModelsVMVMOSFRAMEWORKAPPLICATIONIaaSPaaSSaaS第2頁/共25頁 單服務(wù)器單應(yīng)用 靜態(tài) 手工配置 單服務(wù)器多應(yīng)用 移動(dòng) 動(dòng)態(tài)配置 單服務(wù)器多租戶

2、彈性 自動(dòng)擴(kuò)展HYPERVISORVDC-1VDC-2CONSISTENCY(一致性): 策略, 功能，安全，管理物理WORKLOAD虛擬化WORKLOAD云化WORKLOADNexus 1000V, VM-FEXVSG*, ASA 1000V*UCS for Virtualized WorkloadsNexus 7K/5K/3K/2KASA 5585, ASA SMUCS for Bare Metal * Virtual only, * AnnouncedSwitchingSecurityCompute第3頁/共25頁安全架構(gòu)要求安全架構(gòu)要求 邏輯隔離Logical separation 策

3、略一致性Policy CONSISTENCY(一致性) 認(rèn)證和接入控制Authentication and access control 擴(kuò)展和性能Scalability and performance 自動(dòng)化管理AUTOMATION(自動(dòng)化)第4頁/共25頁云中心安全架構(gòu)第5頁/共25頁Security ManagementInfrastructure SecurityServicesServicesUCSVirtualAccessStorageAccessServicesAggregationCore基礎(chǔ)架構(gòu)安全保護(hù)數(shù)據(jù)中心控制和數(shù)據(jù)層面的安全。防止數(shù)據(jù)丟失，順從性，失敗保護(hù)流量隔離以及認(rèn)

4、證授權(quán)審計(jì)AD 可視化要求 日志，事件信息，集中認(rèn)證 取證 異常行為檢測 順從性網(wǎng)絡(luò)入侵檢測和阻擋網(wǎng)絡(luò)監(jiān)控，分析，取證CSM ACS數(shù)據(jù)中心進(jìn)出流量過濾虛擬防火墻，策略分離，應(yīng)對服務(wù)器之間過濾需求特殊的防火墻服務(wù)，保護(hù)服務(wù)器群負(fù)載均衡，隱藏服務(wù)和應(yīng)用。數(shù)據(jù)安全認(rèn)證訪問控制端口安全認(rèn)證QOS虛擬防火墻防火墻規(guī)則的實(shí)時(shí)監(jiān)控ACLs, Port Security, VN Tag, Netflow, ERSPAN, QoS, CoPP, DHCP snooping第6頁/共25頁Isolation & Access-Control ModelIntra-TenantIntra-LayerInt

5、ra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerIntra-TenantIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerIntra-LayerIntra-ServerVMV

6、MInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra APPInter-LayerInter-APPInter-TenantIntra-Cloud DCIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMIntra-LayerIntra-ServerVMVMInter-VMIntra-ServerVMVMInter-VMInter-LayerIntra-APPInter-APP物理平面化立

7、體化架構(gòu)網(wǎng)絡(luò)安全計(jì)算VFWVRFVRFVRFVLANVN-LinkVMVDCVLANVLANVLANVMVMVMVMVMVMVDCVFWVFWVN-LinkVN-LinkVN-LinkVN-LinkVMDC邏輯層次化結(jié)構(gòu)資源大集中第7頁/共25頁云中心隔離模型云中心隔離模型中小租戶中小租戶: :1.每個(gè)租戶一個(gè)VLAN/一個(gè)VRF。2.VLAN映射到VRF。3.不進(jìn)行業(yè)務(wù)/服務(wù)層區(qū)分。4.獨(dú)立VDC專供此用戶類型接入。核心VDC匯聚VDC中小租戶VMVMVlan物理機(jī)VMVMVlanVRFVRFTenantTenant無安全要求租戶VMVMVlan物理機(jī)VMVMVlani-VRFi-VRFTe

8、nantG-VRF大企業(yè)租戶/私有業(yè)務(wù)VMVMVlan物理機(jī)VMVMVlanTenantVMVMVlanVMVMVlanWebAPPDB大企業(yè)租戶大企業(yè)租戶/ /私有業(yè)務(wù)私有業(yè)務(wù): :1.租戶利用Global VRF區(qū)分。2.每個(gè)租戶多個(gè)Internal VRF。3.Internal VRF區(qū)分不同部門或者應(yīng)用。4.通過多VLAN實(shí)現(xiàn)多級應(yīng)用靈活Zone部署。5.獨(dú)立VDC專供此用戶類型接入。G-VRFGlobal VRFi-VRFInternal VRF匯聚VDCi-VRFi-VRFG-VRF匯聚VDCNexus 7K第8頁/共25頁 如果受到保護(hù)，流量經(jīng)過防火墻否則直接流向無保護(hù)的區(qū)域Zo

9、ne。業(yè)務(wù)模型按照應(yīng)用特點(diǎn)來考慮服務(wù)集成：安全要求應(yīng)用 FW Only /FW+IPS 保護(hù)模式性能要求應(yīng)用 高吞吐/時(shí)延敏感無- 保護(hù)模式業(yè)務(wù)模型可以按照任意形式組合服務(wù)全功能服務(wù) 防火墻/負(fù)載均衡/應(yīng)用加速僅需防火墻防火墻和 負(fù)載均衡服務(wù)無保護(hù)，但負(fù)載均衡服務(wù)務(wù)無保護(hù)用戶訪問受保護(hù)無保護(hù)可選應(yīng)用服務(wù)- 負(fù)載均衡LB, IPS, Edge FW etc可選應(yīng)用服務(wù)- 負(fù)載均衡LB, IPS, Edge FW etc直接訪問模式A模式B模式C模式D共享防火墻虛擬防火墻模式E第9頁/共25頁P(yáng)OD大租戶安全服務(wù)池核心VDCVPCVPC匯聚VDC匯聚VDC共享安全服務(wù)池核心VDC匯聚VDC匯聚VD

10、C大企業(yè)租戶/私有業(yè)務(wù)混合云安全架構(gòu)模型-二層安全結(jié)構(gòu)匯聚VDC匯聚VDC邊界防火墻高并發(fā)連接高每秒新建連接DDOS攻擊防護(hù)IPS威脅防御地址轉(zhuǎn)換POD中小租戶POD私有業(yè)務(wù)/無安全要求Internet安全服務(wù)池 虛擬防火墻虛擬VPN接入虛墻IPS虛擬負(fù)載均衡虛擬鏈路加速虛擬流量分析虛墻獨(dú)立管理虛墻資源劃分軟件/硬件方案安全服務(wù)池出口路由器出口路由器 Internet 安全服務(wù)池InternetNexus7KNexus 7K第10頁/共25頁匯聚VDC云中心隔離模型-防火墻核心VDC匯聚VDC中小租戶VMVMVlan物理機(jī)VMVMVlanVRFVRFTenantTenant大企業(yè)租戶VMVMV

11、lan物理機(jī)VMVMVlani-VRFi-VRFTenantG-VRF大企業(yè)租戶/私有業(yè)務(wù)VMVMVlan物理機(jī)VMVMVlani-VRFi-VRFTenantG-VRFVMVMVlanVMVMVlanWebAPPDBG-VRFGlobal VRFi-VRFInternal VRFShare FWVFWVFWVFWVFW匯聚VDC第11頁/共25頁 多虛一技術(shù)多虛一技術(shù)多虛一，動(dòng)態(tài)擴(kuò)展防火墻處理能力，性能按需擴(kuò)展。保護(hù)投資。7k-2Core-VDCVPCVPC7k-2Agg-VDC7k-1Core-VDC7k-1Agg-VDCscECscEC高擴(kuò)展性。單點(diǎn)管理。群內(nèi)所有防火墻全部Active。

12、有群內(nèi)負(fù)載均衡能力。群內(nèi)防火墻失敗，全群火墻幫助恢復(fù)會(huì)話。保證防火墻群內(nèi)無單點(diǎn)失敗/ 防火墻全冗余。可以和路由交換多虛一結(jié)合實(shí)現(xiàn)全路徑多虛一，無Spanning Tree困擾。scEC: span-cluster ECVPC: Virtual PortChannel 需求特點(diǎn)：防火墻集群(多虛一)：ASAASA第12頁/共25頁一虛多技術(shù)一虛多技術(shù)一虛多，虛擬出多個(gè)防火墻，租戶邏輯隔離，資源限定防止租戶串?dāng)_。減少投資。虛墻獨(dú)立管理/獨(dú)立日志虛墻獨(dú)立路由層面（地址可重疊）虛墻獨(dú)立安全策略/NAT策略/應(yīng)用層策略。防火墻資源限定，徹底保護(hù)租戶不互相串?dāng)_。防火墻虛擬化需求特點(diǎn)：并發(fā)連接10萬新建速率

13、100K/秒虛墻-1性能MAC表10萬在線主機(jī)數(shù)容量日志控制層面管理員安全策略配置NAT策略DPI策略數(shù)據(jù)層面NAT連接10萬管理連接虛墻-2虛墻-3虛墻-250路由租戶-2租戶-3租戶-250第13頁/共25頁7k-2Core-VDCVPCVPC7k-2Agg-VDC17k-1Core-VDC7k-1Agg-VDC17k-2Agg-VDC27k-1Agg-VDC2VPN資源池N3KC29PODInternetISRTeleWorkerWAAS廣域網(wǎng)加速公司分部熱點(diǎn) ssLssL IPSec IPSec IPSec IPSecVFW接入方案VPNVPN資源池資源池( (VPNVPN集群集群+

14、+VLANVLAN映射映射) )N7N3用戶/N7C29用戶用戶接入容量10萬VPN吞吐60GbpsVFW+VPNVFW+VPNN7N5（POD用戶）用接入容量1萬(單板)4萬(單框) 3Gbps(單板)12Gbps(單框)接入?yún)f(xié)議及方式分支互聯(lián)（IPsecIPsec）軟硬件客戶端遠(yuǎn)程連接（IPSEC/IPSEC/SSLSSL/ /DTLSDTLS)無客戶端遠(yuǎn)程連接（SSLSSL）接入終端類型(PC/PC/平板電腦平板電腦/ /智能手機(jī)智能手機(jī))windows/MacOS/LinuxApple IPAD/IphoneAndroidSymbianBlackberry共享安全服務(wù)池大租戶安全服務(wù)池

15、第14頁/共25頁多虛一技術(shù)多虛一技術(shù)...4.34Cluster MasterCluster Master10.10.1.X0群集 IP 地址客戶端要求與 0 建立連接虛擬群集以 3 響應(yīng)客戶端與 3 建立IPsec/SSL VPN 連接動(dòng)態(tài)性能擴(kuò)展并發(fā)VPN隧道數(shù)擴(kuò)展，VPN加密解密吞吐擴(kuò)展。動(dòng)態(tài)無縫擴(kuò)展新建VPN網(wǎng)關(guān)無縫集成到已有VPN網(wǎng)關(guān)中。動(dòng)態(tài)負(fù)載均衡保證設(shè)備利用率合理，健康狀態(tài)實(shí)時(shí)跟蹤。動(dòng)態(tài)接管提供高可用性 。保護(hù)投資/高

16、兼容性 要求集群內(nèi)設(shè)備型號允許混雜。VPN集群技術(shù)特點(diǎn)多虛一，動(dòng)態(tài)擴(kuò)展Cloud DC的VPN處理能力，性能按需擴(kuò)展。保護(hù)投資。第15頁/共25頁- -一虛多技術(shù)一虛多技術(shù)Vlan MappingVRFAVRFBVRFCVlan-AVlan-BVlan-COutside IFG-AG-BG-CInside VlanVPN GatewayTunnel ATunnel BTunnel C1. 租戶內(nèi)內(nèi)部地址規(guī)劃獨(dú)立。2. 租戶VPN會(huì)話 與VLAN綁定。3. 所有租戶單公網(wǎng)IP接入。4. 每租戶有獨(dú)立的定制界面。5. 每租戶有獨(dú)立的認(rèn)證服務(wù)器組。6. 每租戶有獨(dú)立訪問 控制. 7. 設(shè)備支持租戶數(shù)

17、較多，租戶數(shù)=VLAN數(shù)。8. 性能要求低。9. 免License，經(jīng)濟(jì)。VLAN鏡像技術(shù)特點(diǎn)1. 每租戶獨(dú)立管理。2. 租戶內(nèi)內(nèi)部地址規(guī)劃獨(dú)立。3. 每租戶有獨(dú)立的公網(wǎng)IP接入。4. 每租戶有獨(dú)立的定制界面。5. 每租戶有獨(dú)立的認(rèn)證服務(wù)器組。6. 每租戶有獨(dú)立訪問 控制. 7. 租戶數(shù)支持有限。8. 性能要求相對較高。9. 需要License。虛擬站點(diǎn)=技術(shù)特點(diǎn)VContext-AVirtual PortalVContext-BVContext-COutside IF=AOutside IF=BOutside IF=CInside IF=AInside IF=AInside IF=AShar

18、e InterfaceTunnel ATunnel BTunnel C一虛多，虛擬出多個(gè)VPN 網(wǎng)關(guān)從而實(shí)現(xiàn)動(dòng)態(tài)擴(kuò)展，租戶邏輯隔離，減少投資。第16頁/共25頁云中心安全虛擬服務(wù)點(diǎn)第17頁/共25頁SecurityAdminNetworkAdminPort Group1. vMotion 在不同物理端口遷移虛擬機(jī)網(wǎng)絡(luò)策略必須跟隨vMotion2. 必須查看和應(yīng)用本地交換的網(wǎng)絡(luò)和安全策略3. 需要不間斷維護(hù)來確保租戶/業(yè)務(wù)隔離ServerAdmin第18頁/共25頁傳統(tǒng)數(shù)據(jù)中心虛擬數(shù)據(jù)中心FWFWWAASWAASWANWANOptOpt 服務(wù)于特有應(yīng)用 組成:專用設(shè)備交換模塊 虛擬設(shè)備 動(dòng)態(tài)實(shí)施

19、配置 服務(wù)對VM移動(dòng)透明 可擴(kuò)展 適合大規(guī)模多租戶操作虛擬服務(wù)點(diǎn)APPOSHypervisorHypervisorVDC-1VDC-1VDC-2VDC-2ACE/ACE/SLBSLB 設(shè)備虛擬化 資源限定 可擴(kuò)展 性能可靠 適合特定租戶操作傳統(tǒng)服務(wù)點(diǎn)第19頁/共25頁 VSM + VEMs = Nexus 1000 Virtual ChassisVSM: Virtual Supervisor ModuleVEM: Virtual Ethernet Module 每個(gè)VEM支持200+ vEth ports(虛擬網(wǎng)口) 每個(gè)N1K（VSM)支持64 VEMs (VEM通過L2 或者 L3連接VS

20、M)每個(gè)N1K（VSM)支持 2K vEths VSM運(yùn)行NX-OSSwitching:L2 Switching, 802.1Q Tagging, VLAN Segmentation, Rate Limiting (TX), IGMP Snooping, QoS Marking (COS & DSCP), Class-based WFQSecurity:Policy Mobility, Private VLANs w/ local PVLAN EnforcementAccess Control Lists (L24 w/ Redirect), Port SecurityDynamic

21、ARP inspection, IP Source Guard, DHCP SnoopingSuppress broadcast storm HypervisorHypervisorHypervisorVEM-NVEM-2L2 ModeL3 ModeVSM1VSM2Virtual ApplianceNexus1000V VEMVMVMVMVMLinecard-NSupervisor-1 (Active)Supervisor-2 (StandBy)Linecard-1Linecard-2Back Plane第20頁/共25頁基于內(nèi)容基于內(nèi)容, , 虛擬感知虛擬感知, , 多容器，工作分離多容器，

22、工作分離Nexus 1000VDistributed Virtual Switch分布式虛擬交換機(jī) VMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMVMvPathVNMCLog/Audit日志/審計(jì)VSG(主用)安全隔離(VLAN agnostic)高效部署(secure multiple hosts)透明接入(topology agnostic)高可靠性(HA)動(dòng)態(tài)策略配置(Dynamic policy-based provisioning)VM移動(dòng)感知(policies follow vMotion)VSG(備用)VNMC: Virtual Network Management Center自動(dòng)設(shè)計(jì)(XML API, security profiles)通過物理CPU數(shù)量來限制License(不限制Core的數(shù)量)第21頁/共25頁 虛擬服務(wù)點(diǎn)方式的虛擬服務(wù)點(diǎn)方式的CloudCloud安全安全ASR9KASR9K區(qū)域1VLAN 1-1000區(qū)域2VLAN 1001-2000區(qū)域3VLAN 2001-3000應(yīng)用系統(tǒng)2VLANVLAN 3 3Nexus1000VVLANVLAN 1003 1003Nexus1000V