云时代的来临，对各个行业都提出了更高的技术和管理要求。尤其是随着云应用的不断普及，信息安全问题越来越成为用户关注的重点。云环境下，对于各种数据的安全防护需求及方式都与传统的数据中心不同。针对这种现状，迪普科技创新性的提出了“云安全、硬实力”解决方案，全面实现了云环境下的安全防护需求。
云安全的本质是什么?
在近十几年的安全防护体系中，安全都是以边界为核心的防护模型。所谓边界即是不同信任级别安全区域间的分界点，通常会在边界部署防火墙、UTM、入侵防御、上网行为管理等一系列安全产品。在这种场景下，防护的对象十分清楚，都是独立的物理服务器。
而相比传统安全，云环境下的应用场景发生了很大的变化。在云计算中，最关键的技术就是虚拟化，当虚拟机替代了以往的物理服务器，会发现以往清晰的边界变得模糊了。因为可能在一个物理服务器中有几个不同租户的虚拟机，而同一租户的虚拟机又有可能分布在不同的物理服务器中。这就造成了无法用传统的安全区域划分方法来定义边界，这个时候安全应该如何部署?
现有的云安全解决方案是什么?
在当前的云架构中，可以清楚的看到，针对计算、网络、存储领域都有着较多的技术标准，如计算虚拟化中的VMware、KVM、XEN、Docker，网络虚拟化中的VEPA、VN-TAG、OpenFlow、VXLAN，存储虚拟化中的HDFS、Hbase等技术标准。但安全却一直未有比较明确的相关标准，这也造成在部署云安全时会有各种五花八门的解决方案。
目前在公有云环境下比较主流的一种云安全解决方案是NFV(Network Function Virtualization)技术，NFV采用了服务器以软件方式处理传统独立的网络服务，如虚拟路由器、虚拟防火墙、虚拟负载均衡等，可以比较灵活快速的进行安全虚拟化和业务自定义，得到了各大公有云服务提供商的支持。
但是，NFV存在应用场景的适应性问题，并不是所有的场景都适合部署NFV。由于NFV占用了服务器CPU资源来处理安全业务，尤其在NFV处理内容层安全业务时会导致服务器计算性能大幅下降。此外，NFV的实现方式也会造成计算与安全的管理界面不清晰问题。因此NFV对于在研发或者运维能力都无法与实力雄厚的互联网企业相比的私有云用户而言并不是最好的解决方案。私有云用户对于云安全产品的独立性、功能、管理有着更个性化的要求。
迪普科技云安全解决方案
针对上述现状，迪普科技创新的提出了以“云安全、硬实力”解决方案，其中主要理念是通过独立的硬件安全设备来解决云安全问题。“云安全、硬实力”解决方案主要包含云安全、安全云、云管理三个部分。
——云安全
在这里提到的云安全是相对窄义的概念，主要是为了解决多租户的安全防护问题。由于在云环境下，同一物理服务器下的多租户互访默认通过虚拟交换机就能转发，并不通过物理网络设备和安全设备。因此在云计算中租户之间的安全隔离，也就是常说的东西向安全是一个比较大的难题。业界以往有一些技术如VEPA、VN-TAG可以实现虚拟感知功能，但是或多或少都受到各种约束，实际效果并不理想。
迪普科技的解决方案通过将安全网关与VXLAN技术的结合实现了虚机感知和安全隔离的目标。VXLAN(Virtual eXtensible Local Area Network)是一种Overlay技术，对二层报文使用MAC in UDP的方法进行封装，从而实现二层报文在三层网络中转发。VXLAN采用24bit的网络标识，因此最多可以使用1600万个隔离的VXLAN，远远超过了VLAN所能支持的4K，因此VXLAN也满足了在大规模云计算环境中使用的要求。
VXLAN报文结构示意图
VXLAN技术中有两种网关类型，分别是二层网关(L2 GW)和三层网关(L3 GW)。其中二层网关主要实现VXLAN与标准以太网的互通，可支持VXLAN与VLAN的一对一转换，适合应用在标准以太网与VXLAN混合的网络中。而在迪普科技云安全方案中，更主要的是提供三层网关功能。三层网关实现了VXLAN之间的互通，当报文需要跨VXLAN访问时，三层网关将VXLAN报文头进行重新封装后进行三层转发。一般VXLAN解决方案在网关上只处理到了网络这一层，支持VXLAN的也是以网络设备为主，而迪普科技则在安全设备上实现了对VXLAN的支持。
三层网关工作原理图
VTEP(VXLAN Tunnel End Point)用于对VXLAN报文进行封装和解封装，虚拟交换机作为VTEP将虚拟机的二层报文进行封装后通过隧道向另一端VTEP发送封装报文，另一端VTEP接收到封装的报文解封装后根据封装的MAC地址进行转发。迪普科技VXLAN安全网关可以作为VTEP，进行跨VXLAN的三层报文转发。在虚拟机和安全网关中，形成一个完整的VXLAN网络，处于不同VXLAN的虚拟机之间互访必须经过迪普科技安全网关进行转发和控制，从而实现了对于多租户之间的安全隔离。
迪普科技的VXLAN安全网关为独立的安全设备，安全与计算完全分离，不会对计算资源造成影响。同时，独立的专业安全设备也提供了一体化的集中式管理，用户只需登录一个管理界面即可对云计算中所有的安全功能进行配置，大大简化了管理难度。
——安全云
所谓的安全云，则是针对云计算自身的安全需求提出的解决方案。在迪普科技的安全云方案中，通过多虚一和一虚多技术，可以实现安全网关的快速扩展和细粒度的多租户安全资源分配能力。
多虚一指的是将多个物理安全网关或业务板卡虚拟成为一个逻辑上的虚拟设备，形成一个大的安全资源池。在这个安全资源池中，安全的性能和功能都可以按需扩展，性能不够可以增加一块同类型板卡，功能不够可以增加一块其他业务板卡，甚至可以整台设备进行扩展。针对此安全资源池，还可继续进行一虚多虚拟化。一虚多虚拟化可以针对不同的租户划分出不同的VSA(虚拟安全设备)，可以从VNID、CPU、内存、吞吐量、并发连接数、新建连接数、路由协议等维度进行划分，从而实现1个租户、1个VSA、1个配置界面、N个VNID的目标。
由于大量租户之间的互访都通过了安全网关进行转发和控制，因此对于安全网关的性能要求会非常高，用户也非常关心性能问题。迪普科技采用了分布式架构的DPX19000、DPX8000系列产品来做安全网关， 是目前业界性能最高的云安全平台，单台设备最大安全性能可达3.2Tbps，并且通过多虚一技术还可以再次扩展，安全产品不会成为云计算中的性能瓶颈。
——云管理
迪普科技云安全网关自身即已提供了非常方便的管理方式：用户只需登录一个管理界面即可对所有安全功能模块进行管理，而无需像以往一样登录到各个安全产品中进行配置和管理。在云计算中，越来越多的用户采用了专门的云管理平台来对云计算中的网络、存储、计算资源进行管理。OpenStack是目前最主流的云管理标准技术，迪普科技的云安全网关全面支持基于OpenStack的云管理，用户可以像管理计算、存储、网络资源一样管理迪普的安全设备，实现真正意义上的资源自动配置管理。
综上所述，迪普科技“云安全、硬实力”解决方案与软件实现安全的方式不同，采用了专业的高性能硬件设备解决了云环境下的安全问题，将云计算与安全资源无缝融合，是一种令人耳目一新同时又拍案叫绝的全新理念，将会给云计算安全的发展带来深远的影响。
