云计算数据中心网络安全的实现原理

　　1 基本概念

　　1.1云计算

　　云计算是网格计算、分布式计算、并行计算、效用计算、网络存储、虚拟、负载均衡等传统计算机技术和网络技术

发展融合的产物。它旨在通过网络把多个成本相对较低的计算实体整合成一个具强大计算能力的完美系统，并借助SaaS

、PaaS、IaaS、MSP等先进的商业模式把这强大的计算能力分布到终端用户手中。

　　1.2云服务

　　云服务提供商通过自己的基础设置直接向外部用户提供服务。提供的服务主要分为2种，一种是将软件或者应用部署

到自己的服务器集群上，通过Internet提供给用户访问。还有一种是将自己的设备以租用形式提供给用户，给用户提供

独立的机房和相对独立的局域网络。

　　1.3 VLAN

　　VLAN(Virtual Local Area Network)的中文名为“虚拟局域网”。VLAN是一种将局域网设备从逻辑上划分成一个个

网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换

机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第三层以上交换机才具有此功能，这一点可以查看相应交

换机的说明书即可得知。

　　1.4 VSX

　　VSX(Virtual System Extension)是一种网络安全和VPN的解决方案，基于大规模的场景下保证网络的安全。VSX为多

重网络或者混合的基础架构中的VLAN提供全面的保护。VSX技术将它们安全地连接起来并共享资源给互联网和/或DMZ区，

并允许它们彼此安全的交互。

　　2网络实现原理

　　2.1传统数据中心的网络拓扑

　　在图1中我们可以看到，传统的网络环境中，数据中心需要为每个用户分配一个单独的网络，每个网络需要有单独的

网络安全设备，防火墙和交换机等。同一个用户的所有的服务器都部署在单独的物理网络中，以达到数据安全隔离的效

果。

　　图1传统数据中心的网络拓扑图

　　2.2云服务数据中心的网络拓扑

　　在图2中我们可以看到，新的数据中心架构使用了VSX Gateway取代的传统的VPN和网络安全设备，并且核心交换机和

二级交换机全部启用的VLAN，二级交换机与核心交换机通过Trunk口连接。

　　2.3 VSX系统的通信流

　　VSX系统网关是通过以下几个步骤来执行的：

　　(1)ContextID的定义。每个Virtual System都通过定义一个Context ID作为唯一标识符。

　　(2)安全策略实施。每一个虚拟系统可作为一个独立的安全网关的功能，它能够通过其自己独特的安全政策来保护整

个网络。可指定虚拟系统允许或阻止所有交通等，其基本规则都包含在自己独立的安全政策里。

　　(3)转发到目的地。每台虚拟系统保持其独特的结构处理和转发通信规则使其到达最终的目的地。这个配置规则还包

括定义NAT，VPN，还有其他高级特性。