1 方案介绍

随着数据中心传输能力以及虚拟化技术的成熟，新一代云数据中心也在随着技术的发展而逐步成为了市场的主题，但随着40G传输能力和无界网络的出现，传统的基于链路防护的手段也受到了巨大的挑战，面对提供外部服务的南北向大流量和东西向虚拟主机的无边界访问，H3C创新的提出了新一代云数据中心安全解决方案。

新一代云数据中心安全解决方案是一种综合防护理念的呈现。在现有无边界网络的情况下，再造安全边界，实现数据中心分层分区的防护，同时将安全业务由复杂变得简单，安全策略调整可以更加灵活，各种安全业务或服务都可以由软件进行灵活的自定义和编排，安全资源可以更加多样，不再单纯依赖物理硬件设备，能够更加充分的利用现有的计算资源快速扩张业务能力，从而实现软件定义安全。

2 方案优势

2.1 分层分区

网络的合理设计是安全控制的基础。在建设阶段更多的考虑安全问题是控制安全风险的必要前提。第一个也是最根本的要求是建立一个多层次的网络架构。同时，将类似的价值和功能的资产被分段成安全域。通过在南北向链路的分层防护以及东西向的分区域防护，重构云数据中心的安全防护边界。

2.2 安全即服务

南北向流量主要通过在对内访问的主干链路部署高性能的防火墙、负载均衡和IPS产品实现大流量分层安全防护；安全域间防护通过在核心交换机旁挂一台高性能综合安全网关实现NFV功能，针对每个安全域的安全等级分配安全功能和安全策略；重要的安全域内虚拟主机间的东西向互访通过Vxlan+服务链+NFV的方式，实现云环境的流量安全合规。

2.3 统一安全管理

通过部署SOC和SDN控制器，可以实现数据中心统一部署、监控和管理。SOC对数据中心所有设备和服务器的海量安全事件进行采集、分析、关联、汇聚和统一处理，实时输出安全报告，协助管理员及时掌握数据中心的安全状态。

3 典型组网

4 核心产品

云平台：Cloud OS

管理平台：天机

SDN控制器：H3C VCF Controller

安全产品： H3C安全管理中心产品、H3C SecPath M9000综合多业务网关、H3C SecPath F50X0超万兆下一代防火墙产品系列、H3C SecPath L5000应用交付产品系列、H3C SecPath W2000 WEB应用防火墙产品系列、H3C SecPath D2000数据库审计产品系列、H3C A2000 运维审计产品产品系列、H3C云安全检测中心产品、H3C X-Scan漏洞扫描产品系列、H3C网页防篡改产品系列

vSwitch：H3C S1020V

NFV产品：H3C SecPath VMSG VFW1000、H3C SecPath VMSG VLB1000

5 客户价值

1、 采用经典的分区分域防护理论，重构数据中心的安全架构，除了在南北向实现了大流量的纵深防御外，还实现了区域间和云环境的安全防护。

2、 采用高性能、高冗余的安全防护设备，消除了网络中的环路，同时实现了网络功能虚拟化，将内部安全访问节点数量降至最低，极大减小了数据中心当中的故障节点。

3、 采用overlay+NFV的东西向安全防护手段，实现了云环境中东西向流量的安全防护。

4、 使用SDN控制器和SOC产品，极大简化了网络设备的统一部署和策略调整，同时做到了对全网安全事件的统一监控和风险挖掘。