網(wǎng)絡(luò)暨安全虛擬化的使用情境Colin

JaoVMware網(wǎng)絡(luò)暨安全部門技術(shù)顧問(wèn)A

lot

happened

in

a

year…We

blew

ourgoals

away

in

2015NSX

customer

and

business

momentum1,250

NSX

customers250+

production

deployments(adding

25-50

per

quarter)100+

organizations

haveinvested

$1M+

in

NSX3Going

beyond

servervirtualization4Going

beyond

servervirtualization5將整個(gè)數(shù)據(jù)中心都進(jìn)行虛擬化的時(shí)機(jī)已經(jīng)到了！效率安全為了快速開發(fā)與布署任何企業(yè)應(yīng)用而設(shè)計(jì)，并提供最安全的防護(hù)定義數(shù)據(jù)中心靈活采用網(wǎng)絡(luò)虛擬化是關(guān)鍵！6數(shù)據(jù)中心虛擬化定義數(shù)據(jù)中心？硬件需提求供功運(yùn)能算于建、

提硬、與供設(shè)

硬容件量資源無(wú)關(guān)與資必須源作池采用架擬構(gòu)指定，相不廠商指的定與型廠運(yùn)商號(hào)的與式型硬號(hào)件、與高專屬CP架值構(gòu)自手穩(wěn)動(dòng)定進(jìn)且行僅組需態(tài)要與第管一理次的設(shè)定，無(wú)需時(shí)常變動(dòng)7常見的數(shù)據(jù)中心網(wǎng)絡(luò)暨主要備援負(fù)載平衡器L2交換器提供高密度的網(wǎng)絡(luò)端口提供硬設(shè)備接取提供硬設(shè)備間的Ethernet網(wǎng)絡(luò)封包傳送交換器（L3交換器）提供機(jī)柜間、高帶寬的主干網(wǎng)絡(luò)傳輸具備資料中心內(nèi)不同IP網(wǎng)段之切分，以及網(wǎng)段間L3路由功能網(wǎng)絡(luò)提供進(jìn)出設(shè)備網(wǎng)絡(luò)聯(lián)機(jī)的

與進(jìn)出控制L4

針對(duì)MAC/IP/Protocol/Port進(jìn)行進(jìn)出防護(hù)L7

可針對(duì)封包內(nèi)容、應(yīng)用程序型態(tài)進(jìn)行檢查可能包

侵防護(hù)、防毒檢查等不同功能負(fù)載平衡器（L4

or

L7交換器）又稱Application

SwitchL4

Switch提供應(yīng)用程序TCP/UDP負(fù)載平衡、網(wǎng)絡(luò)位置轉(zhuǎn)換（NAT）等功能L7

Switch提供應(yīng)用程序HTTP/HTTPS/others之負(fù)載均衡、WebApplication

Firewall/Web

Cache/WebOptimization等功能邊界路由器提供接取進(jìn)出數(shù)據(jù)中心的不同型態(tài)廣域網(wǎng)設(shè)備接口提供L3路由功能交換器交換器/L3交換器8專屬的運(yùn)算專屬的專屬的網(wǎng)絡(luò)現(xiàn)行的企業(yè)數(shù)據(jù)中心企業(yè)重要應(yīng)用安全負(fù)載平衡路由網(wǎng)絡(luò)服務(wù)9開放的運(yùn)算開放的開放的網(wǎng)絡(luò)適應(yīng)公有云架構(gòu)的分布式云端運(yùn)算客制化應(yīng)用(安全、應(yīng)用負(fù)載平衡、路由、高可靠度…)目前公有云廠商的做法自動(dòng)部署達(dá)成靈活性與速度需求網(wǎng)絡(luò)服務(wù)

分散至應(yīng)用提供架構(gòu)簡(jiǎn)化增加穩(wěn)定度與可靠度較低廉的采購(gòu)與

成本10開放的運(yùn)算開放的開放的網(wǎng)絡(luò)適應(yīng)公有云架構(gòu)的分布式云端運(yùn)算客制化應(yīng)用(安全、應(yīng)用負(fù)載平衡、路由、高可靠度…)目前公有云廠商的做法開放的運(yùn)算開放的開放的網(wǎng)絡(luò)企業(yè)現(xiàn)有的重要業(yè)務(wù)應(yīng)用企業(yè)信息單位定義數(shù)據(jù)中心層11開放的運(yùn)算開放的開放的網(wǎng)絡(luò)適應(yīng)公有云架構(gòu)的分布式云端運(yùn)算客制化應(yīng)用(安全、應(yīng)用負(fù)載平衡、路由、高可靠度…)目前公有云廠商的做法開放的運(yùn)算開放的開放的網(wǎng)絡(luò)企業(yè)現(xiàn)有的重要業(yè)務(wù)應(yīng)用企業(yè)信息單位定義數(shù)據(jù)中心層12開放的運(yùn)算開放的開放的網(wǎng)絡(luò)企業(yè)現(xiàn)有的重要業(yè)務(wù)應(yīng)用企業(yè)信息單位定義數(shù)據(jù)中心層如同虛擬機(jī)于現(xiàn)有數(shù)據(jù)中心內(nèi)的維運(yùn)模式程序化或手動(dòng)來(lái)建立快照遷移刪除回復(fù)13網(wǎng)絡(luò)虛擬化是建立定義數(shù)據(jù)中心的最 構(gòu)件網(wǎng)絡(luò)、運(yùn)算、與硬件資源池運(yùn)算虛擬層14不中斷的服務(wù)與布署網(wǎng)絡(luò)、運(yùn)算、與硬件資源池虛擬數(shù)據(jù)中心網(wǎng)絡(luò)虛擬層運(yùn)算虛擬層網(wǎng)絡(luò)虛擬化是建立定義數(shù)據(jù)中心的最 構(gòu)件不中斷的服務(wù)與布署15VMware

定義數(shù)據(jù)中心架構(gòu)：把系統(tǒng)所需求的功能與硬設(shè)備脫鉤，在 內(nèi)建立并執(zhí)行虛擬機(jī)虛擬網(wǎng)絡(luò)及安全虛擬不限定采用硬件與布署位置運(yùn)算容量網(wǎng)絡(luò)容量容量定義數(shù)據(jù)中心業(yè)務(wù)系統(tǒng)數(shù)據(jù)中心虛擬化16網(wǎng)絡(luò)與安全功能于vSphereHypervisor內(nèi)L2

SwitchingL3

RoutingFirewallingLoad

BalancingVMware

NSX將數(shù)據(jù)中心所需求的網(wǎng)絡(luò)與安全功能直接于vSphereKernel內(nèi)提供硬件17綜上所述，網(wǎng)絡(luò)虛擬化環(huán)境內(nèi)，網(wǎng)絡(luò)與安全功能無(wú)需再與實(shí)體設(shè)備綁定主要備援負(fù)載平衡器ConvergedCompute網(wǎng)絡(luò)功能于最接近業(yè)務(wù)的地點(diǎn)VMWeb

Tier/24VLANRoutingLBFirewallNAT18利用網(wǎng)絡(luò)虛擬化技術(shù)建立

定義數(shù)據(jù)中心，取得業(yè)務(wù)系統(tǒng)的布署速度、靈活性、持續(xù)性與安全的效益Multi-tenantInfrastructureDeveloper

CloudDMZ

AnywhereSecure

End

UserMetro

PoolingHybrid

CloudNetworking快速部署完整信息系統(tǒng)，由數(shù)周到數(shù)分鐘以低廉的成本取得最完善的數(shù)據(jù)中心東西向防護(hù)藉由簡(jiǎn)化之邏輯網(wǎng)絡(luò)大幅減少RTO(Recovery

TimeObjective)價(jià)值其他相關(guān)情境IT

Automating

ITMicro-segmentationDisaster

Recovery安全：虛擬環(huán)境的完善保護(hù)自動(dòng)化：IT支持快速部署業(yè)務(wù)業(yè)務(wù)持續(xù)性：任意地點(diǎn)的數(shù)據(jù)中心主要情境情境NSX

Network

VirtualizationConcept

and

Use

Cases進(jìn)一步解釋：虛擬網(wǎng)絡(luò)？21進(jìn)一步解釋：虛擬網(wǎng)絡(luò)？22進(jìn)一步解釋：虛擬網(wǎng)絡(luò)？23藉由云平臺(tái)，用戶可手動(dòng)或是以程序自動(dòng)化方式布署所需的網(wǎng)絡(luò)環(huán)境24邏輯層的網(wǎng)絡(luò)與安全功能直接分散至各臺(tái)vSphere

Host內(nèi) ，實(shí)體網(wǎng)絡(luò)提供高速底層IP網(wǎng)絡(luò)傳輸25邏輯層可直接做到不同租戶或業(yè)務(wù)間的網(wǎng)絡(luò)阻隔001126虛擬化后的邏輯網(wǎng)絡(luò)當(dāng)然也可與實(shí)體的信息設(shè)備及網(wǎng)絡(luò)進(jìn)行接取27即將也會(huì)與各網(wǎng)絡(luò)大廠整合，于硬件提供邏輯與實(shí)體網(wǎng)絡(luò)間的接取28NSX可以協(xié)助IT達(dá)成數(shù)據(jù)中心的完整自動(dòng)化IT管理者終端用戶(預(yù)先定義服務(wù))云用戶(預(yù)先定義服務(wù)或用戶自定義環(huán)境)終端用戶(自定義環(huán)境)Templates企業(yè)數(shù)據(jù)中心/私有云公有云NSX

ManagervRealize

Automation29OpenstackCloud

ManagementPlatform并大幅加速業(yè)務(wù)的Time-to-MarketCMP(vRealize

or

OpenStack)APISelf

ServiceCloudHybrid

CloudPublic

CloudWorkloads30IT

自動(dòng)化效益：依據(jù)業(yè)務(wù)需求彈性建立網(wǎng)絡(luò)與安全架構(gòu)，減少Infrastructure的布署時(shí)間，由數(shù)周到僅需數(shù)分鐘。WebAppDatabase將產(chǎn)出的虛機(jī)放置到指定的網(wǎng)絡(luò)，或動(dòng)態(tài)建立出邏輯網(wǎng)絡(luò)，并進(jìn)行各網(wǎng)絡(luò)間的連接（路由）部署產(chǎn)出虛機(jī)間的安全政策關(guān)聯(lián)，可能包括

、防毒、

防護(hù)等自動(dòng)建立并設(shè)定需求之LoadBalancer，進(jìn)行本地服務(wù)負(fù)載平衡與安全檢查VMVMVMVMVMVMVM自動(dòng)進(jìn)行信息系統(tǒng)內(nèi)網(wǎng)絡(luò)及安全部署不同的雙中心情境32Disaster

RecoveryAPP

APP

APPAPP

APP

APPCompute

Network

StorageCompute

Netwok

StorageRecoverAlways

SynchronizedLocalStorage

ge/v

Local

Storage3.

Disaster

Recovery

–

NSX

+

SRMDCI/Internet/Apps

Data

Store

Operations

Policiess,

L2,

Other s,

L2,

OtherSite-A

Site-BApplication

?

ApplicationData

?

DataNetworking

?

NetworkingPolicies

?

Policies1.

Workload

Mobility

and

Migration

–

X-vC

vMotion,

LD

vMotion,

Cold

Migration,

L22.

Multisite

Networking

and

Security

–

Metro,

X-vC

NSX利用網(wǎng)絡(luò)虛擬化強(qiáng)化業(yè)務(wù)持續(xù)性，并達(dá)成應(yīng)用程序與工作負(fù)載的快速移轉(zhuǎn)數(shù)據(jù)中心

2數(shù)據(jù)中心

1即使在災(zāi)難發(fā)生時(shí)，于最短時(shí)間內(nèi)回復(fù)應(yīng)用程序之可用性邏輯網(wǎng)絡(luò)延伸無(wú)需更動(dòng)IP地址下，不斷線轉(zhuǎn)移工作負(fù)載至另一個(gè)數(shù)據(jù)中心減少

RTO

達(dá)80%33結(jié)論：網(wǎng)絡(luò)虛擬化能協(xié)助客戶達(dá)成的效益搭配CMP，達(dá)成業(yè)務(wù)

自動(dòng)化與程序化達(dá)成多租戶的網(wǎng)絡(luò)與安全需求無(wú)停機(jī)狀況下移動(dòng)業(yè)務(wù)虛機(jī)至不同數(shù)據(jù)中心整合SRM，減少數(shù)據(jù)中心業(yè)務(wù)與架構(gòu)異動(dòng)時(shí)之網(wǎng)絡(luò)

更新動(dòng)態(tài)地在虛擬環(huán)境內(nèi)建立需求網(wǎng)絡(luò)功能無(wú)需更動(dòng)底層環(huán)境及組態(tài)變更建立云數(shù)據(jù)中心快速建立業(yè)務(wù)所需的網(wǎng)絡(luò)架構(gòu)

延展業(yè)務(wù)網(wǎng)絡(luò)至不同數(shù)據(jù)中心于硬件資源池容量允許下不受限的建立需求的網(wǎng)絡(luò)設(shè)備不鎖定及限制網(wǎng)絡(luò)廠商硬件成本的降低34NSX

Micro-SegmentationConcept

and

Use

Cases虛擬環(huán)境及云架構(gòu)的特性：數(shù)據(jù)中心內(nèi)之虛擬機(jī)數(shù)量大幅增加，遠(yuǎn)超過(guò)原先實(shí)體環(huán)境規(guī)模#

of

VMs#

of

TenantsVM

VM

VMVM

VM

VML3L2安全政策的維運(yùn)

性大幅增加36虛擬環(huán)境及云架構(gòu)的特性：數(shù)據(jù)中心內(nèi)之虛擬機(jī)數(shù)量大幅增加，遠(yuǎn)超過(guò)原先實(shí)體環(huán)境規(guī)模CloudManagementSystem環(huán)境變動(dòng)快速，機(jī)器的產(chǎn)出與變更隨時(shí)發(fā)生虛擬機(jī)數(shù)目多，且網(wǎng)絡(luò)地址動(dòng)態(tài)配置不同租戶極可能會(huì)有重復(fù)的IP或網(wǎng)段安全政策難以進(jìn)行手動(dòng)組態(tài)設(shè)定37為什么？安全政策的設(shè)定必須與底層網(wǎng)絡(luò)設(shè)定結(jié)合，難以動(dòng)態(tài)地快速、依據(jù)資安及系統(tǒng)需求進(jìn)現(xiàn)況系統(tǒng)內(nèi)的虛擬機(jī)的布署時(shí)間遠(yuǎn)遠(yuǎn)快于網(wǎng)絡(luò)系統(tǒng)布署時(shí)，安全的設(shè)定遠(yuǎn)遠(yuǎn)超過(guò)虛擬機(jī)所部署花費(fèi)的時(shí)間簡(jiǎn)與單安全架構(gòu)的設(shè)定時(shí)間彈性動(dòng)態(tài)

自動(dòng)化復(fù)行雜設(shè)定死板的靜態(tài)

手動(dòng)VM

37

秒虛擬機(jī)的平均部署時(shí)間386~8

周安全設(shè)定所需求的平均時(shí)間業(yè)務(wù)系統(tǒng)能夠快速地進(jìn)行部署，但安全政策的設(shè)定與組態(tài)需要花費(fèi)極大時(shí)間才能完成部署網(wǎng)絡(luò)架構(gòu)確認(rèn)安全政策與網(wǎng)絡(luò)地址的關(guān)聯(lián)手動(dòng)進(jìn)行安全防護(hù)政策設(shè)定系統(tǒng)部署完成系統(tǒng)進(jìn)行變更定義安全政策需求新系統(tǒng)部署虛擬機(jī)39為什么？現(xiàn)實(shí)狀況內(nèi)，資安需求與網(wǎng)絡(luò)架構(gòu)與實(shí)體無(wú)關(guān)，但設(shè)定上大部份的時(shí)間都需要確認(rèn)防護(hù)目標(biāo)的網(wǎng)絡(luò)位置，或是無(wú)法執(zhí)行資安需求：將不同的信息系統(tǒng)，比如停車場(chǎng)系統(tǒng)與校務(wù)系統(tǒng)間網(wǎng)絡(luò)阻斷資安需求：使用者依據(jù)

，僅能夠連接到被

使用的系統(tǒng)與網(wǎng)絡(luò)環(huán)境

資安需求：所有EoS操作系統(tǒng)如Windows

Server

2003不得在生產(chǎn)環(huán)境使用結(jié)果去進(jìn)行的設(shè)定是:找尋系統(tǒng)的Source/Destination

為44/24FE80::250:56FF:FE8D:8D2600:50:56:8D:CF:93應(yīng)該要做的是:能以安全群組直接對(duì)應(yīng)資安政策并進(jìn)行防護(hù)：停車場(chǎng)系統(tǒng)群組機(jī)器不可聯(lián)機(jī)至校務(wù)系統(tǒng)群組機(jī)器學(xué)生登入的桌面機(jī)器，僅能聯(lián)機(jī)到選課或評(píng)鑒系統(tǒng)，而非停車場(chǎng)系統(tǒng)或校務(wù)系統(tǒng)自動(dòng)挑出所有Windows

Server

2003的虛機(jī)40結(jié)果是：冗長(zhǎng)且難以閱讀、不易

的規(guī)則41現(xiàn)行資料中心內(nèi)著重南北向防護(hù)，但東西向防護(hù)的機(jī)制極度欠缺Denter東西向：數(shù)據(jù)中心內(nèi)網(wǎng)絡(luò)流InternetBranchOffice南北向：出入數(shù)據(jù)中心Cisco

Global

Cloud

Index對(duì)于數(shù)據(jù)中心網(wǎng)絡(luò)流統(tǒng)計(jì)信息:東西向網(wǎng)絡(luò)流:76.7%南北向網(wǎng)絡(luò)流:16.7%數(shù)據(jù)中心間之網(wǎng)絡(luò)流:6.6%數(shù)據(jù)中心內(nèi)之東西向安全防護(hù)刻不容緩42南北向?qū)嶓w的功能如此強(qiáng)大，為何數(shù)據(jù)中心還是會(huì)？設(shè)備數(shù)據(jù)中心前端由強(qiáng)大的進(jìn)行防護(hù)但 仍然時(shí)常由低重要性系統(tǒng)、或是合法的系統(tǒng)或應(yīng)用程序后通常不會(huì)聲張，僅會(huì)潛伏于現(xiàn)有系統(tǒng)內(nèi)，或默默進(jìn)行環(huán)境偵測(cè)可藉由

或

重要系統(tǒng)，進(jìn)而竊取重要

數(shù)據(jù)1011010011001001010000111001010因?yàn)閿?shù)據(jù)中心安全防護(hù)極弱，容易于 環(huán)境進(jìn)一步東西向Traffic遠(yuǎn)大于南北向Traffic，且一般未被完整43若需要達(dá)成完善的虛擬環(huán)境防護(hù)，需要能夠在數(shù)據(jù)中心內(nèi)的每一個(gè)節(jié)點(diǎn)都有辦法進(jìn)行安全防護(hù)控制4InternetNow:

e:Internet必須能夠在每一個(gè)機(jī)器前都提供安全防護(hù)，才能達(dá)成數(shù)據(jù)中心內(nèi)完整防護(hù)機(jī)制每一個(gè)虛擬機(jī)成為自己的安全防護(hù)區(qū)，每個(gè)封包都能夠得到檢查每一個(gè)虛擬機(jī)前均能進(jìn)行安全控制，無(wú)論兩個(gè)虛擬機(jī)是位于同一網(wǎng)段或同一vSphere

HostAppDMZServicesDBPerimeterfirewallADNTPDHCPDNSCERTInsidefirewallFinanceEngineeringHR45傳統(tǒng)實(shí)體防護(hù)架構(gòu)：集中于邊界實(shí)體進(jìn)行防護(hù)InternetPerimeterFirewalls46微切分安全防護(hù)技術(shù)：封包檢查直接分散到每一臺(tái)vSphere

HostKernel內(nèi) ，于每臺(tái)虛擬機(jī)前直接提供防護(hù)InternetSecurity

PolicyPerimeterFirewalls47防護(hù)，可同時(shí)搭配VMware

NSX不僅是提供基本的L4

Stateful頂尖的安全廠商，提供最精細(xì)且強(qiáng)大的完整保護(hù)Built-inServicesFirewallData

SecurityServer

Activity

Monitoring(IPSEC,

SSL)Third-party

ServicesAntiFirewallIntrusionPreventionSecurity

PolicyManagementVulnerabilityManagementIdentity

and

AccessMgmt…and

more

in

progressNSX48在vSphere

Host

Kernel內(nèi)進(jìn)行安全防護(hù)的另一層意義：安全防護(hù)可以與網(wǎng)絡(luò)脫鉤，直接與業(yè)務(wù)應(yīng)用或信息系統(tǒng)進(jìn)行對(duì)應(yīng)49IT單位能夠直接將要保護(hù)的目標(biāo)以自動(dòng)化的安全群組形式進(jìn)行定義，無(wú)需再用網(wǎng)絡(luò)地址的方式進(jìn)行指定AppDBDMZFinanceEngineering50NSX架構(gòu)內(nèi)，管理者可以用多樣性的動(dòng)態(tài)條件來(lái)建立自動(dòng)化安全群組操作系統(tǒng)機(jī)器名稱虛擬機(jī)屬性安全登入用戶所屬應(yīng)用程序51藉由將業(yè)務(wù)與信息系統(tǒng)以自動(dòng)化安全群組建立關(guān)聯(lián)，可直接指定對(duì)應(yīng)此業(yè)務(wù)/信息系統(tǒng)的安全防護(hù)政策，與網(wǎng)絡(luò)完全脫鉤Security

Group：哪些業(yè)務(wù)與系統(tǒng)需要被保護(hù)？Security

Policy：

針對(duì)此群組，要提供什么的安全保護(hù)機(jī)制？所有名稱以ERP為開頭的虛擬機(jī)所有操作系統(tǒng)為Win2003的虛機(jī)所有設(shè)定卷標(biāo)為人事系統(tǒng)的虛機(jī)登入用戶為IT管理者的Windows虛機(jī)“Standard

Web”?

Firewall

–

allow

inbound

HTTP/S,

allow

outbound

ANY?

IPS

–

prevent

DOS

attacks,

enforce

acceptable

use此安全群組的標(biāo)準(zhǔn)防火墻防護(hù)規(guī)則？此安全群組要采用哪種防毒與系統(tǒng)保護(hù)方案？此安全群組要采用哪種防御或應(yīng)用程序網(wǎng)絡(luò)防護(hù)方案？52VMware

NSX微切分技術(shù)于客戶端實(shí)際應(yīng)用場(chǎng)景：以集中管理、分散防護(hù)方式，達(dá)成信息業(yè)務(wù)間、及同網(wǎng)段機(jī)器間的阻隔App

VLANServices

VLANDB

VLANPerimeterfirewallDMZ

VLANInsidefirewallFinanceFinanceFinanceHRHRHRITITITADNTPDHCPDNSCERT弱點(diǎn)掃描工具53于客戶端實(shí)際驗(yàn)證：以VMware

NSX完整設(shè)定系統(tǒng)網(wǎng)絡(luò)流白證防護(hù)功能，透過(guò)標(biāo)準(zhǔn)弱點(diǎn)掃描工具驗(yàn)NSX防護(hù)后NSX防護(hù)前54VMware

NSX

微切分技術(shù)于客戶端實(shí)際應(yīng)用場(chǎng)景：業(yè)務(wù)系統(tǒng)擴(kuò)充時(shí)，新的虛擬機(jī)自動(dòng)加入安全群組Finance-SystemHR-SystemFin-Web-01Fin-Web-02HR-Web-01HR-Web-02Fin-AP-01HR-AP-01Fin-DB-