一、用戶概況

上海地面通信息網(wǎng)絡(luò)有限公司是專業(yè)從事互聯(lián)網(wǎng)Internet接入、云計(jì)算IDC服務(wù)器托管及電信數(shù)據(jù)通信業(yè)務(wù)等技術(shù)服務(wù)的高新技術(shù)企業(yè)。 公司以領(lǐng)先的服務(wù)理念、靈活的經(jīng)營(yíng)機(jī)制、服務(wù)眾多國(guó)內(nèi)外客戶。 公司自有品牌DMT互聯(lián)網(wǎng)平臺(tái)，利用三網(wǎng)合一技術(shù)實(shí)現(xiàn)了電信、聯(lián)通、移動(dòng)三大運(yùn)營(yíng)商網(wǎng)絡(luò)的互聯(lián)互通功能，為用戶節(jié)省了費(fèi)用且解決了相關(guān)運(yùn)行問(wèn)題。公司根據(jù)市場(chǎng)需求建立了上海首家自有數(shù)據(jù)機(jī)房(IDC云計(jì)算機(jī)房)，是頗具規(guī)模的電信運(yùn)營(yíng)商之一，并榮獲2010 年中國(guó)上海世博會(huì)專用網(wǎng)絡(luò)運(yùn)營(yíng)商。

二、項(xiàng)目背景

云計(jì)算(CloudComputing)是網(wǎng)格計(jì)算(GridComputing)、分布式計(jì)算(DistributedComputing)、并行計(jì)算(ParallelComputing)、效用計(jì)算(Utility Computing)、網(wǎng)絡(luò)存儲(chǔ)(Network StorageTechnologies)、虛擬化(Virtualization)、負(fù)載均衡(LoadBalance)等傳統(tǒng)計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)發(fā)展融合的產(chǎn)物。它旨在通過(guò)網(wǎng)絡(luò)把多個(gè)成本相對(duì)較低的計(jì)算實(shí)體整合成一個(gè)具有強(qiáng)大計(jì)算能力的完美系統(tǒng)，并借助SaaS、PaaS、IaaS、MSP等先進(jìn)的商業(yè)模式把這強(qiáng)大的計(jì)算能力分布到終端用戶手中。云計(jì)算的一個(gè)核心理念就是通過(guò)不斷提高“云”的處理能力，進(jìn)而減少用戶終端的處理負(fù)擔(dān)，最終使用戶終端簡(jiǎn)化成一個(gè)單純的輸入輸出設(shè)備，并能按需享受“云”的強(qiáng)大計(jì)算處理能力!

云計(jì)算的核心思想，是將大量用網(wǎng)絡(luò)連接的計(jì)算資源統(tǒng)一管理和調(diào)度，構(gòu)成一個(gè)計(jì)算資源池向用戶按需服務(wù)。地面通為了更好的為用戶提供高效、高性能、高可管理性的服務(wù)，專門(mén)搭建了以惠普服務(wù)器和VMWare為平臺(tái)的云計(jì)算中心，并提供多種服務(wù)。如虛擬化主機(jī)、SaaS等。然而，云計(jì)算中心也同時(shí)面臨新的安全威脅。總體來(lái)說(shuō)，云計(jì)算應(yīng)用主要面臨如下安全威脅。

(1)服務(wù)可用性威脅 用戶的數(shù)據(jù)和業(yè)務(wù)應(yīng)用處于云計(jì)算系統(tǒng)中，其業(yè)務(wù)流程將依賴于云計(jì)算服務(wù)提供商所提供的服務(wù)，這對(duì)服務(wù)商的云平臺(tái)服務(wù)連續(xù)性、SLA和IT流程、安全 策略、事件處理和分析等提出了挑戰(zhàn)。另外當(dāng)發(fā)生系統(tǒng)故障時(shí)，如何保證用戶數(shù) 據(jù)的快速恢復(fù)也成為一個(gè)重要問(wèn)題。

(2)云計(jì)算用戶信息濫用與泄露風(fēng)險(xiǎn) 用戶的資料存儲(chǔ)、處理、網(wǎng)絡(luò)傳輸?shù)榷寂c云計(jì)算系統(tǒng)有關(guān)。如果發(fā)生關(guān)鍵或私隱信息丟失、竊取，對(duì)用戶來(lái)說(shuō)無(wú)疑是致命的。如何保證云服務(wù)提供商內(nèi)部的安全管理和訪問(wèn)控制機(jī)制符合客戶的安全需求;如何實(shí)施有效的安全審計(jì)，對(duì)數(shù) 據(jù)操作進(jìn)行安全監(jiān)控;如何避免云計(jì)算環(huán)境中多用戶共存帶來(lái)的潛在風(fēng)險(xiǎn)都成為 云計(jì)算環(huán)境下所面臨的安全挑戰(zhàn)。

(3)拒絕服務(wù)攻擊威脅云計(jì)算應(yīng)用由于其用戶、信息資源的高度集中，容易成為黑客攻擊的目標(biāo)，同時(shí)由于拒絕服務(wù)攻擊造成的后果和破壞性將會(huì)明顯超過(guò)傳統(tǒng)的企業(yè)網(wǎng)應(yīng)用環(huán)境。

(4)法律風(fēng)險(xiǎn)云計(jì)算應(yīng)用地域性弱、信息流動(dòng)性大，信息服務(wù)或用戶數(shù)據(jù)可能分布在不同地區(qū)甚至國(guó)家，在政府信息安全監(jiān)管等方面可能存在法律差異與糾紛;同時(shí)由于 虛擬化等技術(shù)引起的用戶間物理界限模糊而可能導(dǎo)致的司法取證問(wèn)題也不容忽視。

三、建設(shè)目標(biāo)

地面通云計(jì)算中心在信息安全上主要有兩個(gè)目標(biāo)：

1. 保障云計(jì)算中心的可用性和數(shù)據(jù)安全性。

2. 通過(guò)為用戶提供安全服務(wù)，來(lái)實(shí)現(xiàn)云計(jì)算中心的新利潤(rùn)增長(zhǎng)點(diǎn)。

同時(shí)，地面通還需要迎接如下挑戰(zhàn)：

1. 隨著帶寬和用戶數(shù)的增加，要求安全系統(tǒng)具備高性能

2. 在可以預(yù)見(jiàn)的將來(lái)，云的規(guī)模會(huì)越來(lái)越大，要求安全系統(tǒng)具備高擴(kuò)展性

3. 基于虛擬化的服務(wù)成為云計(jì)算的趨勢(shì)，要求安全系統(tǒng)具備全功能的虛擬 化

通過(guò)云計(jì)算中心的安全系統(tǒng)建設(shè)，地面通可以提供給用戶服務(wù)器和存儲(chǔ)產(chǎn)品 的同時(shí)，還能夠提供安全的服務(wù)。傳統(tǒng)的IDC中心通常要求每一位客戶自己配 備獨(dú)立的網(wǎng)絡(luò)安全系統(tǒng)，比如防火墻、入侵防御系統(tǒng)(IPS)等。通常為客戶自己購(gòu)買(mǎi)并托管在IDC機(jī)房。這種傳統(tǒng)方式有較明顯的弊端：

1. IDC機(jī)房負(fù)擔(dān)了繁重的管理工作，并為管理額外的設(shè)備不斷投資

2. 安全設(shè)備占用機(jī)架空間和能源

3. IDC的管理方很難從中盈利

4. 用戶自己的先期采購(gòu)成本高

采用了云安全方案后，地面通推出了安全管理服務(wù)，為所有托管在其云計(jì)算 中心的客戶提供可選的虛擬安全服務(wù)，客戶可以根據(jù)需要選擇功能以及支付相應(yīng)的月租費(fèi)。計(jì)算下來(lái)，地面通在安全設(shè)備的管理支出下降了一半，提高了地面通 的盈利能力，同時(shí)降低了客戶的總擁有成本和先期投入。

四、建設(shè)方案

針對(duì)這些威脅和挑戰(zhàn)，多功能防火墻(UTM)可以在一個(gè)設(shè)備上防護(hù)各種安全威脅，并提供高穩(wěn)定性，高性能，高可擴(kuò)展性和完全虛擬化功能。

下圖為Fortinet針對(duì)上海地面通信息網(wǎng)絡(luò)有限公司的云計(jì)算系統(tǒng)而設(shè)計(jì)的防護(hù)方案：

網(wǎng)絡(luò)中心

在這個(gè)設(shè)計(jì)中，我們選用FortiGate型號(hào)的UTM，F(xiàn)ortiGate是具備40Gbps 吞吐量、400 萬(wàn)并發(fā)會(huì)話數(shù)的高性能全冗余設(shè)計(jì)的產(chǎn)品。 FortiGate具備8個(gè)萬(wàn)兆SFP+接口和10個(gè)千兆SFP接口，可以提供性能的擴(kuò)展。FortiGate最多支持250個(gè)虛擬設(shè)備，每個(gè)虛擬設(shè)備具備全功能(防火墻，VPN，防DDoS，IPS，防病毒，反垃圾郵件，網(wǎng)頁(yè)過(guò)濾等)。具體參數(shù)請(qǐng)見(jiàn)產(chǎn)品描述。

將FortiGate以透明模式部署在核心交換機(jī)上，內(nèi)部接口和外部接口都分別與核心交換機(jī)相連，通過(guò)核心交換機(jī)的VLAN的劃分，將流量導(dǎo)入到FortiGate中進(jìn)行安全規(guī)則的強(qiáng)化。這樣部署的好處在于設(shè)置非常靈活。通過(guò)交換機(jī)上VLAN的設(shè)置，可以將需要進(jìn)行安全防護(hù)和過(guò)濾的部分客戶資源通過(guò)FortiGate，不需要的客戶可以直接通向互聯(lián)網(wǎng)。管理員可以動(dòng)態(tài)的根據(jù)業(yè)務(wù)的需求在核心交換機(jī)以及FortiGate上進(jìn)行方便的調(diào)整。同時(shí)，當(dāng)需要性能擴(kuò)展時(shí)，也可以通過(guò)端口捆綁(LinkAggregation)的方式成倍的擴(kuò)展安全過(guò)濾帶寬，F(xiàn)ortiGate最多支持8個(gè)端口為一組的捆綁。 通過(guò)防火墻策略，F(xiàn)ortiGate可以保護(hù)內(nèi)部資源不受到非授權(quán)的訪問(wèn);當(dāng)DDoS攻擊發(fā)生時(shí)，F(xiàn)ortiGate可以主動(dòng)的檢測(cè)網(wǎng)絡(luò)流量中哪些是攻擊， 哪些是正常訪問(wèn)，并阻擋攻擊而放行正常訪問(wèn);通過(guò)實(shí)時(shí)在線更新的入侵防護(hù)功 能，F(xiàn)ortiGate可以抵御超過(guò)4300中針對(duì)服務(wù)漏洞的攻擊;通過(guò)實(shí)時(shí)在 線更新的超過(guò)40萬(wàn)個(gè)病毒列表的防病毒庫(kù)，F(xiàn)ortiGate可以防護(hù)最新的 病毒和蠕蟲(chóng)的傳播;通過(guò)高精確度的反垃圾郵件技術(shù)，F(xiàn)ortiGate提供97%以上的垃圾郵件過(guò)濾率和低于0.1%的誤報(bào)率;通過(guò)虛擬化技術(shù)， FortiGate可以被劃分為最多250個(gè)虛擬設(shè)備，為不同用戶提供不同的安 全管理策略和界面，在虛擬設(shè)備中，所有以上的安全功能都是能夠自定義的。這 些功能為用戶提供了全方位的安全保障和業(yè)務(wù)擴(kuò)展能力。

FortiGate還支持IPv6，支持IPv6/IPv4雙棧，,支持IPV6的DNS，IPV6的靜態(tài)與動(dòng)態(tài)路由協(xié)議：RIPng、OSPF6等，支持IPv6overIPv4和IPv4Over IPv6，能很好地支持IPV6的流媒體，未來(lái)網(wǎng)絡(luò)可以很好地過(guò)渡到IPv6網(wǎng)絡(luò)。