C114讯 11月2日消息（张海龙）云技术在各行各业的快速落地，无疑帮助传统企业提高了企业信息化能力，降低IT部署成本，提升了企业运行效率。但云的出现却给企业数据安全带来了全新挑战。
据杭州迪普科技有限公司安全产品部技术总监朱晓康介绍，传统的安全防护体系中，安全都是以边界为核心的防护模型，如部署防火墙、UTM、入侵防御、上网行为管理等一系列安全产品。在这种场景下，防护的对象十分清楚，都是独立的物理服务器。但云环境下的应用场景发生了很大的变化。由于云计算最关键的技术就是虚拟化，当虚拟机替代了以往的物理服务器，传统的安全防护模式便难以为继了。
朱晓康举例称，云环境下，一个物理服务器中可能有几个不同租户的虚拟机，而同一租户的虚拟机又有可能分布在不同的物理服务器中。这就造成了无法用传统的安全区域划分方法来定义边界。
为此，迪普科技创新性的提出了“云安全、硬实力”解决方案，全面实现了云环境下的安全防护需求。
独立安全硬件更能满足私有云需求
近年来，随着云应用越来越多，在方便人们工作生活的同时也带来了越来越多的安全威胁。
而目前通常采取的云安全措施是通过NFV技术实现，由于其可以比较灵活快速的进行安全虚拟化和业务自定义，得到了各大公有云服务提供商的支持。不过，这一模式并不适用于对云安全要求更加严格的私有云市场。
朱晓康表示，NFV存在应用场景的适应性问题，并不是所有的场景都适合部署NFV。由于NFV占用了服务器CPU资源来处理安全业务，尤其在NFV处理内容层安全业务时会导致服务器计算性能大幅下降。此外，NFV的实现方式也会造成计算与安全的管理界面不清晰问题。因此NFV对于在研发或者运维能力都无法与实力雄厚的互联网企业相比的私有云用户而言并不是最好的解决方案。私有云用户对于云安全产品的独立性、功能、管理有着更个性化的要求。
朱晓康表示，与主流的NFV模式不同，迪普科技推出的“云安全 硬实力”解决方案，具有专业高性能的安全设备，VXLAN组网能力，一虚多和多虚一技术，安全业务流定义，OpenStack云管理能力，通过独立硬件的方式解决云安全问题，将云计算与安全资源无缝融合，在以高性能保障网络安全。方案更加适合对于云安全产品的独立性、功能、管理有更个性化要求的私有云用户。
在云安全、安全云、云管理三方面解决安全威胁
为了给企业提供更为安全、灵活的云安全解决方案，迪普科技将该解决方案分为云安全、安全云，云管理三部分。
其中，云安全是相对窄义的概念，主要是为了解决多租户的安全防护问题；安全云，则是针对云计算自身的安全需求提出的解决方案；云管理，则为用户提供了简单快捷的管理模式，用户只需登录一个管理界面即可对所有安全功能模块进行管理，而无需像以往一样登录到各个安全产品中进行配置和管理。
在云安全方面，迪普科技的解决方案通过将安全网关与VXLAN技术的结合实现了虚机感知和安全隔离的目标。VXLAN(Virtual eXtensible Local Area Network)是一种Overlay技术，对二层报文使用MAC in UDP的方法进行封装，从而实现二层报文在三层网络中转发。VXLAN采用24bit的网络标识，因此最多可以使用1600万个隔离的VXLAN，远远超过了VLAN所能支持的4K。
迪普科技云安全方案中，更主要的是提供三层网关功能。三层网关实现了VXLAN之间的互通，当报文需要跨VXLAN访问时，三层网关将VXLAN报文头进行重新封装后进行三层转发。一般VXLAN解决方案在网关上只处理到了网络这一层，支持VXLAN的也是以网络设备为主，而迪普科技则在安全设备上实现了对VXLAN的支持。VTEP（VXLAN Tunnel End Point）用于对VXLAN报文进行封装和解封装，虚拟交换机作为VTEP将虚拟机的二层报文进行封装后通过隧道向另一端VTEP发送封装报文，另一端VTEP接收到封装的报文解封装后根据封装的MAC地址进行转发。迪普科技VXLAN安全网关可以作为VTEP，进行跨VXLAN的三层报文转发。在虚拟机和安全网关中，形成一个完整的VXLAN网络，处于不同VXLAN的虚拟机之间互访必须经过迪普科技安全网关进行转发和控制，从而实现了对于多租户之间的安全隔离。
据朱晓康介绍，迪普科技的VXLAN安全网关为独立的安全设备，安全与计算完全分离，不会对计算资源造成影响。同时，独立的专业安全设备也提供了一体化的集中式管理，用户只需登录一个管理界面即可对云计算中所有的安全功能进行配置，大大简化了管理难度。
在安全云上，迪普科技通过多虚一和一虚多技术，可以实现安全网关的快速扩展和细粒度的多租户安全资源分配能力。
据朱晓康介绍，多虚一指的是将多个物理安全网关或业务板卡虚拟成为一个逻辑上的虚拟设备，形成一个大的安全资源池。在这个安全资源池中，安全的性能和功能都可以按需扩展，性能不够可以增加一块同类型板卡，功能不够可以增加一块其他业务板卡，甚至可以整台设备进行扩展。针对此安全资源池，还可继续进行一虚多虚拟化。一虚多虚拟化可以针对不同的租户划分出不同的VSA（虚拟安全设备），可以从VNID、CPU、内存、吞吐量、并发连接数、新建连接数、路由协议等维度进行划分，从而实现1个租户、1个VSA、1个配置界面、N个VNID的目标。
目前，迪普科技采用了分布式架构的DPX19000、DPX8000系列产品来做安全网关， 是目前业界性能最高的云安全平台，单台设备最大安全性能可达3.2Tbps，并且通过多虚一技术还可以再次扩展，安全产品不会成为云计算中的性能瓶颈。
在云管理方面，迪普科技云安全网关自身即已提供了非常方便的管理方式：用户只需登录一个管理界面即可对所有安全功能模块进行管理，而无需像以往一样登录到各个安全产品中进行配置和管理。在云计算中，越来越多的用户采用了专门的云管理平台来对云计算中的网络、存储、计算资源进行管理。OpenStack是目前最主流的云管理标准技术，迪普科技的云安全网关全面支持基于OpenStack的云管理，用户可以像管理计算、存储、网络资源一样管理迪普的安全设备，实现真正意义上的资源自动配置管理。 
