軟件定義的網(wǎng)絡與安全方案

軟件定義的網(wǎng)絡與安全方案軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第1頁。“我的公司及IT部門在面對鋪天蓋地的數(shù)字商機時表現(xiàn)得無所適從。我們無法及時作出回應，這會威脅到公司的成功以及IT部門的信譽?！盙artner2014年全球CIO調(diào)查軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第2頁。CIO面臨諸多挑戰(zhàn)：速度、創(chuàng)新、生產(chǎn)力、敏捷性、安全性和成本等等*資料來源：Gartner2014年全球CIO調(diào)查軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第3頁?？蛻舻腎T系統(tǒng)正在向軟件定義的數(shù)據(jù)中心和云計算架構(gòu)演進480%的服務器到2016年會被虛擬化

1

40%的數(shù)據(jù)到2020年會在云端存儲或處理3$5.4B到2018年軟件定義數(shù)據(jù)中心的市場規(guī)模243%的服務采用云架構(gòu)。包括公有云、私有云或混合云架構(gòu)。100101001011000101100110001010110110100110101軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第4頁。數(shù)據(jù)中心虛擬化層智能在軟件數(shù)據(jù)中心虛機的操作模式：自動配置和管理什么是軟件定義的數(shù)據(jù)中心(SDDC)?智能在硬件專用芯片、品牌綁定的架構(gòu)手工配置和管理軟件硬件計算、網(wǎng)絡和存儲資源池化，獨立于廠商，最佳性價比架構(gòu)，配置和管理簡單軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第5頁。構(gòu)建軟件定義的數(shù)據(jù)中心虛擬機虛擬網(wǎng)絡虛擬存儲計算資源網(wǎng)絡資源存儲資源應用位置無關(guān)數(shù)據(jù)中心虛擬化層(計算虛擬化、網(wǎng)絡虛擬化、存儲虛擬化)池化的計算、網(wǎng)絡和存儲資源獨立于廠商的最佳性能比架構(gòu)簡化的配置和管理軟件硬件自動化操作模式可編程的創(chuàng)建,快照,保存,遷移,刪除,恢復軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第6頁。軟件定義數(shù)據(jù)中心的互連互通7數(shù)據(jù)中心互連混合云軟件定義數(shù)據(jù)中心(SDDC)任意應用SDDC平臺任意x86任意存儲任意IP網(wǎng)絡數(shù)據(jù)中心虛擬化層任意x86任意存儲任意IP網(wǎng)絡任意x86任意存儲任意IP網(wǎng)絡任意應用任意應用軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第7頁。軟件定義的數(shù)據(jù)中心愿景TEXT自助化應用組裝應用藍圖應用發(fā)布標準化應用服務云自助服務門戶服務目錄無需管理員參與管理監(jiān)控自動化虛擬化主機與存儲軟件定義網(wǎng)絡應用服務基礎(chǔ)架構(gòu)服務軟件定義數(shù)據(jù)中心基礎(chǔ)架構(gòu)云軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第8頁。VMware為客戶打造面向未來的軟件定義的數(shù)據(jù)中心和新型IT體系架構(gòu)9可擴展性傳統(tǒng)應用現(xiàn)代云應用任何應用

私有云和混合云管理-vRealize

Suite/vCloud

Suite計算虛擬化-vSphere/vSOM網(wǎng)絡與安全虛擬化-NSX存儲虛擬化-VSAN一朵云自主構(gòu)建融合架構(gòu)超融合架構(gòu)

混合云私有

您的數(shù)據(jù)中心公有可管理任意設(shè)備業(yè)務移動性:應用|設(shè)備|內(nèi)容軟件定義的數(shù)據(jù)中心

終端用戶計算和企業(yè)移動化管理-Horizon

7,Airwatch,WorkSpaceONE雙活數(shù)據(jù)中心/容災/運維軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第9頁。客戶數(shù)據(jù)中心的變革：對網(wǎng)絡管理和安全意味著什么?10每分鐘新出現(xiàn)236

個新的威脅

(接近每秒鐘4個)數(shù)據(jù)丟失的平均每分鐘的成本:$7900—比2010年上升了41%580%+

的公司用戶在IT部門不知情的情況下使用云app40%

的攻擊目標是服務器僅有

50%

需要保護的數(shù)據(jù)得到了恰當?shù)陌踩Ｗo攻擊界面增加管理復雜度和安全風險顯著增加網(wǎng)絡割裂，導致資源池利用率及靈活性降低網(wǎng)絡架構(gòu)復雜，割接工作量大數(shù)據(jù)中心安全域的邊界防護難以運維已有業(yè)務變更響應緩慢，容易導致誤操作對新業(yè)務部署上線支持緩慢核心鏈路和節(jié)點帶寬被大量發(fā)夾流量消耗難以實現(xiàn)網(wǎng)絡及安全的L2-L7層自動化軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第10頁。網(wǎng)絡已經(jīng)成為通往云計算之路的壁壘

虛擬化挑戰(zhàn)傳統(tǒng)網(wǎng)絡設(shè)計和運行基礎(chǔ)架構(gòu)二層網(wǎng)絡的規(guī)模限制大二層技術(shù)的限制安全邊界打破，安全隔離成為難題業(yè)務部署計算和存儲資源已經(jīng)實現(xiàn)快速就緒網(wǎng)絡就緒成為業(yè)務部署的瓶頸運維排障安全策略跟隨虛擬機移動虛擬機的可視化管理命令行或GUI界面無法自動化部署Floor-1:VLAN1–10.x.x.xFloor-2:VLAN2–172.16.x.x軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第11頁。通用X86服務器資源服務器虛擬化層需求:x86服務器x86環(huán)境虛擬機應用分離硬件軟件虛擬機應用虛擬機應用通用網(wǎng)絡硬件網(wǎng)絡虛擬化層需求：IP承載網(wǎng)絡L2,L3,L4-7網(wǎng)絡服務虛擬網(wǎng)絡負載虛擬網(wǎng)絡負載虛擬網(wǎng)絡負載解決辦法：虛擬化您的網(wǎng)絡通過虛擬化層來映射虛擬與物理資源與傳統(tǒng)的計算虛擬化類似:實現(xiàn)物理資源池化并支持scale-out擴展實現(xiàn)集中管理與配置支持API可編程接口虛擬網(wǎng)絡之間完全隔離可移動性虛擬網(wǎng)絡為軟件容器,像虛擬機一樣支持snapshot,備份與恢復軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第12頁。VMwareNSX：專為云數(shù)據(jù)中心設(shè)計的軟件定義的網(wǎng)絡與安全管理平臺

基于NSX的網(wǎng)絡與安全虛擬化像管理虛擬機一樣，

管理虛擬化和云數(shù)據(jù)中心的網(wǎng)絡與安全硬件軟件二層交換三層路由防火墻負載均衡軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第13頁。通過NSX構(gòu)建的網(wǎng)絡虛擬化層，輕松調(diào)配虛擬機的網(wǎng)絡和安全Internet網(wǎng)絡虛擬化層虛擬網(wǎng)絡軟件容器，如虛機虛擬網(wǎng)絡拓撲PhysicalNetworkTopology軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第14頁。SwitchingRoutingFirewallingLoad

BalancingVPNConnectivitytoPhysicalNSX以軟件方式提供虛擬化和云數(shù)據(jù)中心的自動化網(wǎng)絡和安全服務15邏輯交換機,邏輯路由器,分布式防火墻,負載均衡,VPN(ESXi)虛擬化層(NSX)資源池任意IP網(wǎng)絡任意x86VMVMVM軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第15頁。實現(xiàn)按需/自動化部署虛擬網(wǎng)絡按需動態(tài)部署虛擬網(wǎng)絡，不受物理位置限制面向?qū)ο蟮腝oS以及安全策略配置集中控制，系統(tǒng)性的可視,監(jiān)控與管理邏輯區(qū)域完全隔離

(L2&L3)95+%減少物理網(wǎng)絡資源消耗（IP，VLAN，MAC地址等）智能邊界，分布式轉(zhuǎn)發(fā)VMware

NSX網(wǎng)絡和安全虛擬化的意義打破壁壘：使網(wǎng)絡及其相關(guān)服務部署不再受制于底層物理網(wǎng)絡硬件和物理位置的限制軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第16頁。VLAN1–10.x.x.xVLAN2–172.16.x.xVLAN2–192.168.x.x

虛擬網(wǎng)絡虛擬的Layer2–88.33.x.x(whatever)NSX網(wǎng)絡和安全虛擬化的收益

突破位置阻礙，靈活部署負載軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第17頁。使用情形：構(gòu)建雙活或容災數(shù)據(jù)中心，打通數(shù)據(jù)中心之間的資源池利用軟件定義數(shù)據(jù)中心的網(wǎng)絡和安全優(yōu)勢構(gòu)建跨數(shù)據(jù)中心的資源池打通，網(wǎng)絡和安全策略可以跟隨虛擬機在數(shù)據(jù)中心之間遷移。18軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第18頁。WebAppWebAppWAN

InternetL2overDarkFiberVPLSInstanceVPLSInstanceVPLSInstanceMPLSBackboneL2overL3OTVDBDBDBWebWAN

InternetWebAppDBDB改變應用的IP地址物理網(wǎng)絡L2-L3網(wǎng)絡分段

重寫防火墻策略(東/西,南/北)確認符合負載均衡策略其他物理網(wǎng)絡配置昂貴方案(基于硬件)配置復雜度高/廠商私有技術(shù)服務部署需要時間窗口運維難度高逐一設(shè)備配置缺乏靈活和自動化問題：新舊數(shù)據(jù)中心互連的挑戰(zhàn)軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第19頁。解決方案：NSX實現(xiàn)新舊數(shù)據(jù)中心之間的網(wǎng)絡和安全擴展VM1VM2VM3網(wǎng)頁虛擬交換機

/24舊數(shù)據(jù)中心新數(shù)據(jù)中心分布式虛擬路由器VM4VM5應用虛擬交換機

/24外部地址

外部地址A網(wǎng)段/29UplinkALIFB網(wǎng)段/29UplinkBLIFVM6VM7數(shù)據(jù)庫虛擬交換機

/24網(wǎng)關(guān).1使用場景軟件方式實現(xiàn)新舊數(shù)據(jù)中心的擴展互連無需更換硬件設(shè)備無需復雜配置和downtime時間安全策略和路由策略跟隨虛擬機在數(shù)據(jù)中心間遷移實現(xiàn)出流量的本地化軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第20頁。NSX網(wǎng)絡和安全虛擬化的收益

突破位置阻礙，提高資源利用率網(wǎng)絡虛擬化之前的資源利用率大約是60%網(wǎng)絡虛擬化之后的資源利用率能夠達到90%以上軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第21頁。NSX網(wǎng)絡和安全虛擬化的收益

分布式防火墻實現(xiàn)的安全微分段有效掃除了安全死角，打造一個更加安全的數(shù)據(jù)中心VMVMVMVMVMVMVMVMVMVMVMVMVMVMVM好處…虛擬機與AD域用戶感知面向?qū)ο蟮陌踩呗远ㄖ茮]有安全處理“瓶頸”線速轉(zhuǎn)發(fā)，水平擴展安全策略部署越靠近應用，體系就越安全集中式安全管理

軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第22頁。最近發(fā)生的攻擊事件：23絕大多數(shù)攻擊都有一個通性:攻擊包可以在數(shù)據(jù)中心內(nèi)部任意通行，而由于投資成本太高而且運維管理十分復雜，以至于數(shù)據(jù)中心Micro-segmentation難以實現(xiàn)，而NSX有效的解決了這個問題。NSX的安全微分段(MicroSegmentation)價值軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第23頁。NSX的安全微分段可以實現(xiàn)豐富的安全管理功能分區(qū)隔離高級服務ProductionTestDevNetwork相關(guān)安全組間依據(jù)安全策略通信可以集成第三方的L4–L7層安全解決方案不相關(guān)網(wǎng)絡完全隔離DBAppWebDBAppWeb24軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第24頁。25Micro-segmentation:實現(xiàn)虛擬化數(shù)據(jù)中心內(nèi)部不同應用的安全防護

WebVMVMDBVMVMDBVMVMMarketingGroupServicesVMVMMgmtServices/Management

Group/WebVMAppVMVMDBVMVMHRGroupApplicationsegmentation按部門、區(qū)域劃分隔離按應用邊界劃分按應用層劃分支持安全組內(nèi)部成員之間的邏輯隔離以虛機為單位隔離按需部署邏輯隔離支持現(xiàn)有網(wǎng)絡與應用靈活方便的安全對象管理安全管控與應用一致性部署好處控制一個網(wǎng)絡中的流量控制一個網(wǎng)絡中各組之間的流量基于邏輯分組而不是物理拓撲

保護流量安全靈活地創(chuàng)建網(wǎng)段–

甚至在同一虛擬局域網(wǎng)上的不同系統(tǒng)之間（這在傳統(tǒng)網(wǎng)絡中極難做到）軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第25頁。使用NSX的安全微分段功能保護VDI桌面虛擬化環(huán)境中的東西向流量側(cè)重于合規(guī)性和風險緩解的組織將實施

安全區(qū)以保護數(shù)據(jù)中心內(nèi)的東西向流量難以實施需要大量的物理基礎(chǔ)架構(gòu)管理復雜集中式虛擬桌面共享服務DMZ數(shù)據(jù)庫區(qū)遠程工作

員工區(qū)工程區(qū)開發(fā)區(qū)財務區(qū)公司區(qū)PCI

區(qū)管理區(qū)保密資料26軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第26頁。虛擬網(wǎng)絡連接：快速、簡單、可延展保密資料27Jennifer（財務）文件人力資源財務電子郵件SharePoint網(wǎng)絡Bob（人力資源）人力資源財務軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第27頁。NSX提供基于智能分組的安全策略按自定義標準定義的組操作系統(tǒng)計算機名稱應用層服務安全狀況法規(guī)要求軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第28頁。NSX提供可以編程的安全組和安全策略定義支持可編程部署網(wǎng)絡與安全拓撲滿足應用需求安全策略安全組邏輯交換、路由、防火墻、負載均衡Web應用數(shù)據(jù)庫Web“Web”

防火墻–入方向僅允許HTTP/S,出方向允許任意流量IPS–入侵監(jiān)測數(shù)據(jù)庫“數(shù)據(jù)庫”防火墻–入方向允許SQL，出方向允許漏洞管理–每周掃描應用“應用”防火墻–入方向允許TCP8443,出方向運行SQLVMVMVMVMVMVM“缺省”

防火墻–共享服務訪問(DNS,AD)

防病毒–每天掃描缺省29軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第29頁。情形操作系統(tǒng)在若干系統(tǒng)上已不再受支持這些系統(tǒng)需要用策略將訪問僅限制到電子郵件服務器不受支持的操作系統(tǒng)組示例：對不受支持的操作系統(tǒng)的智能分組30軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第30頁。示例：軟件定義的數(shù)據(jù)中心的自動化安全防護

隔離有漏洞的系統(tǒng)，直至將其修復軟件定義的數(shù)據(jù)中心安全組=隔離區(qū)域成員={標簽=‘ANTI_VIRUS.VirusFound’,L2隔離網(wǎng)絡}安全組=Web層ServiceComposer云計算管理虛擬網(wǎng)絡策略定義標準桌面虛擬機策略

防病毒-掃描隔離的虛擬機策略

防火墻-阻止除安全工具之外的所有工具防病毒-掃描并修復軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第31頁。NSX控制器示例：NSX高級安全(IDS/IPS)服務插入–比如PaloAltoNetworksNGFWInternet虛擬化管理程序物理主機VMVM虛擬交換機虛擬化管理程序物理主機虛擬交換機VMVM安全策略安全管理員流量轉(zhuǎn)向軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第32頁。虛擬網(wǎng)絡NSX網(wǎng)絡和安全虛擬化的收益

無需中斷業(yè)務：可編程的自動化部署網(wǎng)絡和安全服務33NSXvSwitchHypervisorVMVMVM物理網(wǎng)絡云管理平臺NSXvSwitchHypervisorVMUserSpaceVMVMNSXController分布式網(wǎng)絡服務分布式網(wǎng)絡服務軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第33頁。NSX助力云計算自動化和自助式IT

多機藍本云計算使用者云計算管理員SLA成本配置文件安全性網(wǎng)絡連接服務目錄服務請求網(wǎng)絡配置文件安全組安全策略網(wǎng)絡管理員負載均衡器管理員標準化模板邏輯負載均衡器安全管理員可用性安全性連接安全標記外部網(wǎng)絡保密資料34軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第34頁。動態(tài)配置和部署模板化應用程序（NSX和vRealizeAutomation）邏輯交換機邏輯路由器NSX邏輯防火墻邏輯負載均衡器NSX與vRealize

Automation云計算自動化平臺結(jié)合，實現(xiàn)包含網(wǎng)絡和安全策略的按需應用交付按需應用交付vRealizeAutomation資源預留多節(jié)點主機藍圖服務目錄CloudManagementPlatform網(wǎng)絡配置文件安全策略安全組Web應用數(shù)據(jù)庫VMVMVMVMVMVM保密資料35軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第35頁。集中化管理運維您的應用網(wǎng)絡軟件定義的網(wǎng)絡與安全方案全文共39頁，當前為第36頁。NSX架構(gòu)擴展性:廣泛的合作伙