云計算數據中心網絡安全的實現原理

　　1 基本概念

　　1.1云計算

　　云計算是網格計算、分布式計算、并行計算、效用計算、網絡存儲、虛擬、負載均衡等傳統計算機技術和網絡技術發展融合的產物。它旨在通過網絡把多個成本相對較低的計算實體整合成一個具強大計算能力的完美系統，并借助SaaS、PaaS、IaaS、MSP等先進的商業模式把這強大的計算能力分布到終端用戶手中。

　　1.2云服務

　　云服務提供商通過自己的基礎設置直接向外部用戶提供服務。提供的服務主要分為2種，一種是將軟件或者應用部署到自己的服務器集群上，通過Internet提供給用戶訪問。還有一種是將自己的設備以租用形式提供給用戶，給用戶提供獨立的機房和相對獨立的局域網絡。

　　1.3 VLAN

　　VLAN(Virtual Local Area Network)的中文名為“虛擬局域網”。VLAN是一種將局域網設備從邏輯上劃分成一個個網段，從而實現虛擬工作組的新興數據交換技術。這一新興技術主要應用于交換機和路由器中，但主流應用還是在交換機之中。但又不是所有交換機都具有此功能，只有VLAN協議的第三層以上交換機才具有此功能，這一點可以查看相應交換機的說明書即可得知。

　　1.4 VSX

　　VSX(Virtual System Extension)是一種網絡安全和VPN的解決方案，基于大規模的場景下保證網絡的安全。VSX為多重網絡或者混合的基礎架構中的VLAN提供全面的保護。VSX技術將它們安全地連接起來并共享資源給互聯網和/或DMZ區，并允許它們彼此安全的交互。

　　2網絡實現原理

　　2.1傳統數據中心的網絡拓撲

　　在圖1中我們可以看到，傳統的網絡環境中，數據中心需要為每個用戶分配一個單獨的網絡，每個網絡需要有單獨的網絡安全設備，防火墻和交換機等。同一個用戶的所有的服務器都部署在單獨的物理網絡中，以達到數據安全隔離的效果。

　　圖1傳統數據中心的網絡拓撲圖

　　2.2云服務數據中心的網絡拓撲

　　在圖2中我們可以看到，新的數據中心架構使用了VSX Gateway取代的傳統的VPN和網絡安全設備，并且核心交換機和二級交換機全部啟用的VLAN，二級交換機與核心交換機通過Trunk口連接。

　　2.3 VSX系統的通信流

　　VSX系統網關是通過以下幾個步驟來執行的：

　　(1)ContextID的定義。每個Virtual System都通過定義一個Context ID作為唯一標識符。

　　(2)安全策略實施。每一個虛擬系統可作為一個獨立的安全網關的功能，它能夠通過其自己獨特的安全政策來保護整個網絡。可指定虛擬系統允許或阻止所有交通等，其基本規則都包含在自己獨立的安全政策里。

　　(3)轉發到目的地。每臺虛擬系統保持其獨特的結構處理和轉發通信規則使其到達最終的目的地。這個配置規則還包括定義NAT，VPN，還有其他高級特性。