9月15日消息，日前，山石網(wǎng)科發(fā)布了基于Openstack的FWaaS(Firewall as a Service)安全服務(wù)解決方案，為Openstack平臺(tái)構(gòu)建的公有云、私有云提供安全防護(hù)，以及為云環(huán)境中的獨(dú)立租戶提供專(zhuān)屬的安全隔離和策略保護(hù)。本方案非常適用于電信運(yùn)營(yíng)商、互聯(lián)網(wǎng)服務(wù)商、產(chǎn)業(yè)園區(qū)等需要部署云計(jì)算服務(wù)的網(wǎng)絡(luò)。

數(shù)據(jù)中心在云化過(guò)程中給傳統(tǒng)的安全防護(hù)帶來(lái)了很多挑戰(zhàn)。早前，山石網(wǎng)科發(fā)布的云數(shù)據(jù)中心安全解決方案，通過(guò)支持虛擬防火墻、安全資源動(dòng)態(tài)分配、安全設(shè)備彈性擴(kuò)展等特點(diǎn)，實(shí)現(xiàn)跨平臺(tái)支持多種虛擬主機(jī)。此次基于Openstack平臺(tái)發(fā)布的FWaaS安全服務(wù)解決方案，通過(guò)Openstack控制臺(tái)統(tǒng)一管理虛擬防火墻，資源簡(jiǎn)化管理流程，保護(hù)了云平臺(tái)的安全性與虛擬業(yè)務(wù)系統(tǒng)的連續(xù)性。

邊界消失 如何守護(hù)安全

傳統(tǒng)的數(shù)據(jù)中心一般提供的是物理主機(jī)托管服務(wù)，有清晰的物理邊界，如果用戶需要對(duì)自己的物理主機(jī)進(jìn)行安全防護(hù)，可以自行在自己的服務(wù)器前部署防火墻等網(wǎng)絡(luò)安全設(shè)備。而云計(jì)算數(shù)據(jù)中心提供的是虛擬主機(jī)租賃服務(wù)，物理邊界消失，租戶已經(jīng)不是物理設(shè)備的擁有者，無(wú)法再部署物理網(wǎng)絡(luò)安全設(shè)備。因此，像虛擬主機(jī)租賃服務(wù)一樣，云計(jì)算數(shù)據(jù)中心也需要為租戶提供FWaaS等網(wǎng)絡(luò)安全解決方案。

　　▲圖1 傳統(tǒng)網(wǎng)絡(luò)安全方案無(wú)法適應(yīng)數(shù)據(jù)中心虛擬化

Openstack 作為公有云、私有云管理平臺(tái)，幫助云數(shù)據(jù)中心構(gòu)建和管理IaaS。Openstack通過(guò)Neutron組件提供虛擬網(wǎng)絡(luò)功能。在虛擬網(wǎng)絡(luò)功能的幫助，物理安全設(shè)備可以通過(guò)Openstack平臺(tái)為租戶提供虛擬化的FWaaS服務(wù)。

構(gòu)建面向Openstack平臺(tái)的FWaaS服務(wù)

山石網(wǎng)科基于Openstack平臺(tái)的Neutron虛擬網(wǎng)絡(luò)技術(shù)，整合山石網(wǎng)科 X系列數(shù)據(jù)中心防火墻產(chǎn)品，提供FWaaS安全解決方案，幫助Openstack平臺(tái)用戶構(gòu)建FWaaS服務(wù)。解決方案組件安裝在Openstack控制節(jié)點(diǎn)中，代替了Neutron網(wǎng)絡(luò)中的虛擬路由器功能，當(dāng)租戶在Openstack的界面上操作創(chuàng)建虛擬路由器時(shí)，Openstack控制臺(tái)會(huì)自動(dòng)連接山石網(wǎng)科物理防火墻為用戶創(chuàng)建虛擬防火墻以及做相應(yīng)的配置。每個(gè)租戶可以擁有一個(gè)或多個(gè)VLAN，不同的租戶通過(guò)不同的虛擬防火墻隔離開(kāi)來(lái)，租戶的虛擬防火墻可以共享物理防火墻的外網(wǎng)接口，然后通過(guò)主機(jī)路由的方式進(jìn)入租戶的虛擬防火墻，租戶可以對(duì)自己的虛擬防火墻進(jìn)行業(yè)務(wù)管理。

山石網(wǎng)科的Vsys虛擬防火墻支持源地址轉(zhuǎn)換、目的地址轉(zhuǎn)換、服務(wù)器負(fù)載均衡、IPSec VPN、基于應(yīng)用的訪問(wèn)控制、拒絕服務(wù)攻擊防護(hù)、會(huì)話限制等網(wǎng)絡(luò)安全功能。

　　四大提升值得關(guān)注

本次發(fā)布的FWaaS解決方案在管理、安全、成本、使用率等方向做了多項(xiàng)改進(jìn)，將有助于用戶的部署和管理。如，所有虛擬防火墻可以由Openstack平臺(tái)統(tǒng)一配置和管理，與傳統(tǒng)數(shù)據(jù)中心每臺(tái)安全設(shè)備的單獨(dú)維護(hù)相比，管理上更加簡(jiǎn)便。圖形化呈現(xiàn)云數(shù)據(jù)中心的網(wǎng)絡(luò)拓?fù)?，管理員輕松掌握全網(wǎng)安全設(shè)備的運(yùn)行狀態(tài);Vsys虛擬防火墻技術(shù)，將一臺(tái)物理防火墻在邏輯上劃分成多個(gè)虛擬防火墻，能夠?qū)崿F(xiàn)不用租戶不同業(yè)務(wù)的專(zhuān)屬防護(hù)策略配置。

再有，虛擬化技術(shù)隔離虛擬防火墻之間的故障，保證了租戶業(yè)務(wù)系統(tǒng)的可用性和連續(xù)性。硬件安全設(shè)備單獨(dú)部署，不占用虛擬環(huán)境的計(jì)算資源，保證了每個(gè)虛擬防火墻都有高性能表現(xiàn)。對(duì)比傳統(tǒng)的安全方案，實(shí)際部署安全硬件的數(shù)量大幅減少;通過(guò)幫助云數(shù)據(jù)中心組建虛擬防火墻資源池，利用靈活可擴(kuò)展的特性，租戶可以根據(jù)業(yè)務(wù)單元的增減，動(dòng)態(tài)創(chuàng)建和移除相應(yīng)的虛擬防火墻，不需要添置更多的硬件安全設(shè)備，全面實(shí)現(xiàn)按需部署、動(dòng)態(tài)分配、彈性擴(kuò)展，提高了云數(shù)據(jù)中心的資源利用率，保護(hù)投資。