网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


云计算对网络与安全的影响----转自迪普科技

2012-04-20 12:01 推荐: 浏览: 48 views 字号:

摘要: 由于数据中心在云计算的核心地位,针对云数据中心涌现出了非常多的新技术,网络结构也将发生巨大的变化。以IaaS的数据中心为例,IaaS主要向用户提供虚拟机的服务,在很多情况下,比如当用户需求出现变化(比如需要提高虚拟机的性能)时,或者物理设备出现故障时,必须将用...

由于数据中心在云计算的核心地位,针对云数据中心涌现出了非常多的新技术,网络结构也将发生巨大的变化。以IaaS的数据中心为例,IaaS主要向用户提供虚拟机的服务,在很多情况下,比如当用户需求出现变化(比如需要提高虚拟机的性能)时,或者物理设备出现故障时,必须将用户的虚拟机从一台物理设备迁移到另外一台物理设备上,随之而来的则是网络基本配置(如VLAN、IP等)的变化。显然,虚拟机的迁移会是经常性的和无规律的,因此通过管理员手工修改网络配置以满足虚拟机的迁移是不可行的,这就要求网络必须能够感知并且自适应虚拟机的迁移。

针对上述需求,数据中心在网络方面将发生巨大的变化。

一是从传统的三层组网(核心、汇聚采用路由组网,接入采用以太网。)转变为大二层扁平化组网,从核心到汇聚再到接入全部采用二层以太网,甚至取消汇聚层,采用多核心(四台以上核心设备)直连接入层的方式进行组网。

由于以太网不能成环的特性决定,采用大二层组网会带来了链路使用率的极大降低,因此传统STP技术将被抛弃,取而代之技术主要有两大类,一种是在中小型数据采用的多合一虚拟化技术,如Cisco的VSS技术和HP/H3C的IRF技术,通过将多个交换机虚拟成为一台逻辑交换机,提供了跨设备的链路捆绑能力,从而消除环路;另外一种是在大型/超大型数据中Trill(IETF主导)或者SPB(IEEE主导)技术,主要思路是通过路由技术来替代生成树技术,通过等价路由将多条链路的带宽充分利用起来。

大二层组网带来的另外一个问题是三层网关必然需要集中部署,而这对网关的性能和可靠性都带来了极大的挑战。

另外,为了感知虚拟机的迁移,需要引入能够让网络感知到虚拟机的方法。这方面目前主要有两个标准在竞争——VEPA和VN-TAG。

上述变化只是管中窥豹,云计算对数据中心带来的变化将是革命性的,从流量模型到基本协议,乃至网络配置和管理的方法都将发生天翻地覆的变化。可以说,云计算将成为网络技术发展的分水岭。

有一点需要特别指出,云计算虽然属于革命性的变革,但是IT应用本身并不会因此也发生革命性的变革。云计算的革命性更多的是体现在应用的基础架构和运维模式上。也正是这个原因,云计算环境下的基本安全需求相对现在而言,也不会有根本性的变化,依然体现在对现有安全威胁的防护上面。当然,技术架构的变化势必会影响安全的设计,这种影响主要体现在以下几个方面。

在安全设计方面,主要体现在传统安全分区分域的方法不再适用。传统的设计方法是通过防火墙隔离不同的安全分区,各个安全分区基本上都是静态的,防火墙是数据中心逻辑上的核心,所有的防护手段都部署在安全分区的边界。显然这不能满足云计算环境下虚拟机迁移等业务的要求,需要采用新的思路。

在流量模型方面,云数据中心内部流量激增,原本清晰的访问路径变的模糊和不确定。例如同一业务的流量将呈现分散性,由于业务所需的资源(计算、存储和网络资源)是在资源池中动态分配的,因此同一业务的流量将不定向的分散到不同的物理设备上。与此相对应,不同业务的流量由于可能用同一设备来实现,因此会出现一定的聚合性。这就给数据中心内部的流量管理带来了更高的要求。

在部署模式方面,由于流量模型的变化,传统的“VLAN+ACL”的数据中心内部隔离策略将不再适用。不同业务流量的聚合性,使得同一物理端口上的流量可能属于多个互不相关的业务,这使得传统的基于端口的VLAN部署模式将不再使用,必须采用进一步的基于虚拟化的VLAN部署策略,并进一步要求所有虚拟系统之间的相互访问必须采用白名单方式,这又使得传统的ACL策略由于缺少直观性和适应动态变化的原因而难以适用。在部署模式方面另外一个变化是,由于数据中心内部访问控制要求的增加,传统的将防火墙、IPS等安全设备部署在数据中心出口位置上的形式,将不能满足数据中心的需求。

联系站长租广告位!

中国首席信息安全官