一、用戶概況

上海地面通信息網(wǎng)絡(luò)有限公司是專業(yè)從事互聯(lián)網(wǎng)Internet接入、云計算IDC服務(wù)器托管及電信數(shù)據(jù)通信業(yè)務(wù)等技術(shù)服務(wù)的高新技術(shù)企業(yè)。 公司以領(lǐng)先的服務(wù)理念、靈活的經(jīng)營機制、服務(wù)眾多國內(nèi)外客戶。 公司自有品牌DMT互聯(lián)網(wǎng)平臺，利用三網(wǎng)合一技術(shù)實現(xiàn)了電信、聯(lián)通、移動三大運營商網(wǎng)絡(luò)的互聯(lián)互通功能，為用戶節(jié)省了費用且解決了相關(guān)運行問題。公司根據(jù)市場需求建立了上海首家自有數(shù)據(jù)機房(IDC云計算機房)，是頗具規(guī)模的電信運營商之一，并榮獲2010 年中國上海世博會專用網(wǎng)絡(luò)運營商。

二、項目背景

云計算(CloudComputing)是網(wǎng)格計算(GridComputing)、分布式計算(DistributedComputing)、并行計算(ParallelComputing)、效用計算(Utility Computing)、網(wǎng)絡(luò)存儲(Network StorageTechnologies)、虛擬化(Virtualization)、負載均衡(LoadBalance)等傳統(tǒng)計算機技術(shù)和網(wǎng)絡(luò)技術(shù)發(fā)展融合的產(chǎn)物。它旨在通過網(wǎng)絡(luò)把多個成本相對較低的計算實體整合成一個具有強大計算能力的完美系統(tǒng)，并借助SaaS、PaaS、IaaS、MSP等先進的商業(yè)模式把這強大的計算能力分布到終端用戶手中。云計算的一個核心理念就是通過不斷提高“云”的處理能力，進而減少用戶終端的處理負擔(dān)，最終使用戶終端簡化成一個單純的輸入輸出設(shè)備，并能按需享受“云”的強大計算處理能力!

云計算的核心思想，是將大量用網(wǎng)絡(luò)連接的計算資源統(tǒng)一管理和調(diào)度，構(gòu)成一個計算資源池向用戶按需服務(wù)。地面通為了更好的為用戶提供高效、高性能、高可管理性的服務(wù)，專門搭建了以惠普服務(wù)器和VMWare為平臺的云計算中心，并提供多種服務(wù)。如虛擬化主機、SaaS等。然而，云計算中心也同時面臨新的安全威脅。總體來說，云計算應(yīng)用主要面臨如下安全威脅。

(1)服務(wù)可用性威脅 用戶的數(shù)據(jù)和業(yè)務(wù)應(yīng)用處于云計算系統(tǒng)中，其業(yè)務(wù)流程將依賴于云計算服務(wù)提供商所提供的服務(wù)，這對服務(wù)商的云平臺服務(wù)連續(xù)性、SLA和IT流程、安全 策略、事件處理和分析等提出了挑戰(zhàn)。另外當(dāng)發(fā)生系統(tǒng)故障時，如何保證用戶數(shù) 據(jù)的快速恢復(fù)也成為一個重要問題。

(2)云計算用戶信息濫用與泄露風(fēng)險 用戶的資料存儲、處理、網(wǎng)絡(luò)傳輸?shù)榷寂c云計算系統(tǒng)有關(guān)。如果發(fā)生關(guān)鍵或私隱信息丟失、竊取，對用戶來說無疑是致命的。如何保證云服務(wù)提供商內(nèi)部的安全管理和訪問控制機制符合客戶的安全需求;如何實施有效的安全審計，對數(shù) 據(jù)操作進行安全監(jiān)控;如何避免云計算環(huán)境中多用戶共存帶來的潛在風(fēng)險都成為 云計算環(huán)境下所面臨的安全挑戰(zhàn)。

(3)拒絕服務(wù)攻擊威脅云計算應(yīng)用由于其用戶、信息資源的高度集中，容易成為黑客攻擊的目標，同時由于拒絕服務(wù)攻擊造成的后果和破壞性將會明顯超過傳統(tǒng)的企業(yè)網(wǎng)應(yīng)用環(huán)境。

(4)法律風(fēng)險云計算應(yīng)用地域性弱、信息流動性大，信息服務(wù)或用戶數(shù)據(jù)可能分布在不同地區(qū)甚至國家，在政府信息安全監(jiān)管等方面可能存在法律差異與糾紛;同時由于 虛擬化等技術(shù)引起的用戶間物理界限模糊而可能導(dǎo)致的司法取證問題也不容忽視。

三、建設(shè)目標

地面通云計算中心在信息安全上主要有兩個目標：

1. 保障云計算中心的可用性和數(shù)據(jù)安全性。

2. 通過為用戶提供安全服務(wù)，來實現(xiàn)云計算中心的新利潤增長點。

同時，地面通還需要迎接如下挑戰(zhàn)：

1. 隨著帶寬和用戶數(shù)的增加，要求安全系統(tǒng)具備高性能

2. 在可以預(yù)見的將來，云的規(guī)模會越來越大，要求安全系統(tǒng)具備高擴展性

3. 基于虛擬化的服務(wù)成為云計算的趨勢，要求安全系統(tǒng)具備全功能的虛擬 化

通過云計算中心的安全系統(tǒng)建設(shè)，地面通可以提供給用戶服務(wù)器和存儲產(chǎn)品 的同時，還能夠提供安全的服務(wù)。傳統(tǒng)的IDC中心通常要求每一位客戶自己配 備獨立的網(wǎng)絡(luò)安全系統(tǒng)，比如防火墻、入侵防御系統(tǒng)(IPS)等。通常為客戶自己購買并托管在IDC機房。這種傳統(tǒng)方式有較明顯的弊端：

1. IDC機房負擔(dān)了繁重的管理工作，并為管理額外的設(shè)備不斷投資

2. 安全設(shè)備占用機架空間和能源

3. IDC的管理方很難從中盈利

4. 用戶自己的先期采購成本高

采用了云安全方案后，地面通推出了安全管理服務(wù)，為所有托管在其云計算 中心的客戶提供可選的虛擬安全服務(wù)，客戶可以根據(jù)需要選擇功能以及支付相應(yīng)的月租費。計算下來，地面通在安全設(shè)備的管理支出下降了一半，提高了地面通 的盈利能力，同時降低了客戶的總擁有成本和先期投入。

四、建設(shè)方案

針對這些威脅和挑戰(zhàn)，多功能防火墻(UTM)可以在一個設(shè)備上防護各種安全威脅，并提供高穩(wěn)定性，高性能，高可擴展性和完全虛擬化功能。

下圖為Fortinet針對上海地面通信息網(wǎng)絡(luò)有限公司的云計算系統(tǒng)而設(shè)計的防護方案：

網(wǎng)絡(luò)中心

在這個設(shè)計中，我們選用FortiGate型號的UTM，F(xiàn)ortiGate是具備40Gbps 吞吐量、400 萬并發(fā)會話數(shù)的高性能全冗余設(shè)計的產(chǎn)品。 FortiGate具備8個萬兆SFP+接口和10個千兆SFP接口，可以提供性能的擴展。FortiGate最多支持250個虛擬設(shè)備，每個虛擬設(shè)備具備全功能(防火墻，VPN，防DDoS，IPS，防病毒，反垃圾郵件，網(wǎng)頁過濾等)。具體參數(shù)請見產(chǎn)品描述。

將FortiGate以透明模式部署在核心交換機上，內(nèi)部接口和外部接口都分別與核心交換機相連，通過核心交換機的VLAN的劃分，將流量導(dǎo)入到FortiGate中進行安全規(guī)則的強化。這樣部署的好處在于設(shè)置非常靈活。通過交換機上VLAN的設(shè)置，可以將需要進行安全防護和過濾的部分客戶資源通過FortiGate，不需要的客戶可以直接通向互聯(lián)網(wǎng)。管理員可以動態(tài)的根據(jù)業(yè)務(wù)的需求在核心交換機以及FortiGate上進行方便的調(diào)整。同時，當(dāng)需要性能擴展時，也可以通過端口捆綁(LinkAggregation)的方式成倍的擴展安全過濾帶寬，F(xiàn)ortiGate最多支持8個端口為一組的捆綁。 通過防火墻策略，F(xiàn)ortiGate可以保護內(nèi)部資源不受到非授權(quán)的訪問;當(dāng)DDoS攻擊發(fā)生時，F(xiàn)ortiGate可以主動的檢測網(wǎng)絡(luò)流量中哪些是攻擊， 哪些是正常訪問，并阻擋攻擊而放行正常訪問;通過實時在線更新的入侵防護功 能，F(xiàn)ortiGate可以抵御超過4300中針對服務(wù)漏洞的攻擊;通過實時在 線更新的超過40萬個病毒列表的防病毒庫，F(xiàn)ortiGate可以防護最新的 病毒和蠕蟲的傳播;通過高精確度的反垃圾郵件技術(shù)，F(xiàn)ortiGate提供97%以上的垃圾郵件過濾率和低于0.1%的誤報率;通過虛擬化技術(shù)， FortiGate可以被劃分為最多250個虛擬設(shè)備，為不同用戶提供不同的安 全管理策略和界面，在虛擬設(shè)備中，所有以上的安全功能都是能夠自定義的。這 些功能為用戶提供了全方位的安全保障和業(yè)務(wù)擴展能力。

FortiGate還支持IPv6，支持IPv6/IPv4雙棧，,支持IPV6的DNS，IPV6的靜態(tài)與動態(tài)路由協(xié)議：RIPng、OSPF6等，支持IPv6overIPv4和IPv4Over IPv6，能很好地支持IPV6的流媒體，未來網(wǎng)絡(luò)可以很好地過渡到IPv6網(wǎng)絡(luò)。