数据中心的构成是怎么样的数据中心系统总体设计思想是以数据为中心按照数据中心系统内在的关系来划分数据中心系统的总体结构由基础设施层、信息资源层、应用支撑层、应用层和支撑体系五大部分构成。数据中心总体架构数据中心系统总体架构数据中心从顶层上规划总体技术架构、设计技术路线和方法保证网络、数据资源、应用系统、安全系统等各要素之间构成一个有机的整体实现企业(机构)数据资源管理的联动和信息的及时监测、汇总与分析。具体各层介绍如下(1)基础设施层基础设施层是指支持整个系统的底层支撑包括机房、主机、存储、网络通信环境、各种硬件和系统软件。(2)信息资源层信息资源层包括数据中心的各类数据、数据库、数据仓库负责整个数据中心数据信息的存储和规划涵盖了信息资源层的规划和数据流程的定义为数据中心提供统一的数据交换平台。(3)应用支撑层应用支撑层构建应用层所需要的各种组件是基于组件化设计思想和重用的要求提出并设计的也包括采购的第三方组件。(4)应用层应用层是指为数据中心定制开发的应用系统他包括标准建设类应用、采集整合类应用、数据服务类应用和管理运维类应用以及服务于不同对象的企业信息门户(包括内网门户和外网门户)。 (5)支撑体系支撑体系包括标准规范体系、运维管理体系、安全保障体系和容灾备份体系。容灾备份体系在传统的数据中心系统中隶属于安全保障体系随着数据地位的提高容灾备份已自成体系。安全保障体系侧重于数据中心的立体安全防护容灾备份体系专注于数据中心的数据和灾难恢复。在部署数据中心时需要规划以下哪些安全解决方案1. 数据中心设计原则依据数据中心网络安全建设和改造需求数据中心方案设计将遵循以下原则1.1 网络适应云环境原则网络的设计要在业务需求的基础上屏蔽基础网络差异实现网络资源的池化根据业务自动按需分配网络资源有效增强业务系统的灵活性、安全性降低业务系统部署实施周期和运维成本。1.2 高安全强度原则安全系统应基于等保要求和实际业务需求部署较为完备的安全防护策略防止对核心业务系统的非法访问保护数据的安全传输与存储设计完善的面向全网的统一安全防护体系。同时应充分考虑访问流量大、业务丰富、面向公众及虚拟化环境下的安全防护需求合理设计云计算环境内安全隔离、监测和审计的方案提出云计算环境安全解决思路。1.3 追求架构先进可靠性强原则设计中所采用的网络技术架构需要放眼长远采用先进的网络技术顺应当前云网络发展方向使系统建设具有较长的生命周期顺应业务的长远发展。同时保证网络系统的可靠性实现关键业务的双活需求。同时应为设备和链路提供冗余备份有效降低故障率缩短故障修复时间。1.4 兼容性和开放性原则设计中所采用的网络技术遵守先进性、兼容性、开放性以保证网络系统的互操作性、可维护性、可扩展性。采用标准网络协议保证在异构网络中的系统兼容性网络架构提供标准化接口便于整体网络的管理对接实现对网络资源的统一管理。2. 云计算环境下的安全设计随着目前大量服务区虚拟化技术的应用和云计算技术的普及在云计算环境下的安全部署日益成为关注的重点问题也关系到未来数据中心发展趋势。在本设计方案中建议采用高性能网络安全设备和灵活的虚拟软件安全网关NFV 网络功能虚拟化产品组合来进行数据中心云安全设计。在满足多业务的安全需求时一方面可以通过建设高性能、高可靠、虚拟化的硬件安全资源池同时集成FW/IPS/LB等多种业务引擎每个业务可以灵活定义其需要的安全服务类型并通过云管理员分配相应的安全资源实现对业务流量的安全隔离和防护另一方面针对业务主机侧的安全问题可以通过虚拟软件安全网关实现对主机的安全防护每个业务可以针对自身拥有的服务器计算资源进行相应的安全防护和加固的工作。其部署示意图如下所示2.1 南北向流量安全防护规划在云计算数据中心中针对出入数据中心的流量我们称之为“南北向流量”。针对南北向流量的安全防护建议采用基于虚拟化技术的高性能安全网关来实现。虚拟化技术是实现基于多业务业务隔离的重要方式。和传统厂商的虚拟化实现方式不同H3C的安全虚拟化是一种基于容器的完全虚拟化技术每个安全引擎通过唯一的OS内核对系统硬件资源进行管理每个虚拟防火墙作为一个容器实例运行在同一个内核之上多台虚拟防火墙相互独立每个虚拟防火墙实例对外呈现为一个完整的防火墙系统该虚拟防火墙业务功能完整、管理独立、具备精细化的资源限制能力典型示意图如下所示虚拟防火墙具备多业务的支持能力虚拟防火墙有自己独立的运行空间各个实例之间的运行空间完全隔离天然具备了虚拟化特性。每个实例运行的防火墙业务系统包括管理平面、控制平面、数据平面具备完整的业务功能。因此从功能的角度看虚拟化后的系统和非虚拟化的系统功能一致。这也意味着每个虚拟防火墙内部可以使能多种安全业务诸如路由协议NAT状态检测IPSEC VPN攻击防范等都可以独立开启。虚拟防火墙安全资源精确定义能力通过统一的OS内核可以细粒度的控制每个虚拟防火墙容器对的CPU、内存、存储的硬件资源的利用率也可以管理每个VFW能使用的物理接口、VLAN等资源有完善的虚拟化资源管理能力。通过统一的调度接口每个容器的所能使用的资源支持动态的调整比如可以根据业务情况在不中断VFW业务的情况下在线动态增加某个VFW的内存资源。多层次分级分角色的独立管理能力基于分级的多角色虚拟化管理方法可以对每个管理设备的用户都会被分配特定的级别和角色从而确定了该用户能够执行的操作权限。一方面通过分级管理员的定义可以将整个安全资源划分为系统级别和虚拟防火墙级别。系统级别的管理员可以对整个防火墙的资源进行全局的配置管理虚拟防火墙管理员只关注自身的虚拟防火墙配置管理。另一方面通过定义多角色管理员诸如在每个虚拟防火墙内部定义管理员、操作员、审计员等不同角色可以精确定义每个管理员的配置管理权限满足虚拟防火墙内部多角色分权的管理。2.2 东西向流量安全防护规划数据中心中虚机VM间的交互流量我们称之为“东西向流量”。针对东西两流量采用虚拟软件安全网关产品来实现安全防护。对于普通的云计算VPC模型的业务既可以将NFV安全业务安装在业务服务器内也可以部署独立的安全业务网关服务器。可采用部署独立的安全业务网关服务器此时安装了NFV的独立的服务器资源逻辑上被认为是单一管理节点对外提供高性能的VFW业务。考虑到在虚拟化之后服务器内部的多个VM之间可能存在流量交换在这种情况下外部的安全资源池无法对其流量进行必要的安全检查在这种情况下基于SDN架构模式的虚拟化软件安全网关vFW产品应运而生在安全功能方面为用户提供了全面的安全防范体系和远程安全接入能力支持攻击检测和防御、NAT、ALG、ACL、安全域策略能够有效的保证网络的安全采用ASPFApplication Specific Packet Filter应用状态检测技术可对连接状态过程和异常命令进行检测提供多种智能分析和管理手段支持多种日志提供网络管理监控协助网络管理员完成网络的安全管理支持多种VPN业务如L2TP VPN、GRE VPN、IPSec VPN等丰富业务功能。vFW技术带来如下优势• 部署简单无需改变网络即可对虚拟机提供保护• 安全策略自动跟随虚拟机迁移确保虚拟机安全性• 新增虚拟机能够自动接受已有安全策略的保护• 细粒度的安全策略确保虚拟机避免内外部安全威胁vFW解决方案能够监控和保护虚拟环境的安全以避免虚拟化环境与外部网络遭受内外部威胁的侵害从而为虚拟化数据中心和云计算网络带来全面的安全防护帮助企业构建完善的数据中心和云计算网络安全解决方案。3. 云计算环境下数据安全防护手段建议基于以上云计算环境下的数据安全风险分析在云计算安全的建设过程中需要针对这些安全风险采取有针对性的措施进行防护。3.1 用户自助服务管理平台的访问安全用户需要登录到云服务管理平台进行自身的管理操作设置如基础的安全防护策略设置针对关键服务器的访问权限控制设置用户身份认证加密协议配置虚拟机的资源配置、管理员权限配置及日志配置的自动化等等。这些部署流程应该被迁移到自服务模型并为用户所利用。在这种情况下云服务管理者本身需要对租户的这种自服务操作进行用户身份认证确认用户策略的保密、不同租户之间的配置安全隔离以及用户关键安全事件的日志记录以便后续可以进行问题跟踪溯源。3.2 服务器虚拟化的安全在服务器虚拟化的过程中单台的物理服务器本身可能被虚化成多个虚拟机并提供给多个不同的租户这些虚拟机可以认为是共享的基础设施部分组件如CPU、缓存等对于该系统的使用者而言并不是完全隔离的。此时任何一个租户的虚拟机漏洞被黑客利用将导致整个物理服务器的全部虚拟机不能正常工作同时针对全部虚拟机的管理平台一旦管理软件的安全漏洞被利用将可能导致整个云计算的服务器资源被攻击从而造成云计算环境的瘫痪。针对这类型公用基础设施的安全需要部署防护。在此背景下不同的租户可以选择差异化的安全模型此时需要安全资源池的设备可以通过虚拟化技术提供基于用户的专有安全服务。如针对防火墙安全业务的租户为了将不同租户的流量在传输过程中进行安全隔离需要在防火墙上使能虚拟防火墙技术不同的租户流量对应到不同的虚拟防火墙实例此时每个租户可以在自身的虚拟防火墙实例中配置属于自己的访问控制安全策略同时要求设备记录所有安全事件的日志创建基于用户的安全事件分析报告一方面可以为用户的网络安全策略调整提供技术支撑另一方面一旦发生安全事件可以基于这些日志进行事后的安全审计并追踪问题发生的原因。其它的安全服务类型如IPS和LB负载均衡等也需要通过虚拟化技术将流量引入到设备并进行特定的业务处理。3.3 内部人员的安全培训和行为审计为了保证用户的数据安全云服务管理者必须要对用户的数据安全进行相应的SLA保证。同时必须在技术和制度两个角度对内部数据操作人员进行安全培训。一方面通过制定严格的安全制度要求内部人员恪守用户数据安全另一方面需要通过技术手段将内部人员的安全操作日志、安全事件日志、修改管理日志、用户授权访问日志等进行持续的安全监控确保安全事件发生后可以做到有迹可寻。3.4 管理平台的安全支持云服务管理者需要建设统一的云管理平台实现对整个云计算基础设施资源的管理和监控统一的云管理平台应在安全管理功能的完整性以及接口API的开放性两个方面有所考虑。前者要求管理平台需要切实承担起对全部安全资源池设备的集中设备管理、安全策略部署以及整网安全事件的监控分析和基于用户的报表展示后者的考虑是为了适配云计算环境中可能存在的多种安全设备类型或多厂商设备也需要在API接口的开放性和统一性上进行规范和要求以实现对下挂安全资源池设备的配置管理和日志格式转换等需求。也只有这样才能实现设备和管理平台的无缝对接提升云管理平台的安全管理能力。