虚拟防火墙技术在数据中心的应用

1、虚拟防火墙技术在数据中心的应用一、概述运营商作为网络的承建者和效劳提供者，不仅为用户提供各类业务，还要对数据 中心的网络和信息平安进行完全的监控和治理保护等。数据中心作为网络数据的核心，常常会受到来自外界的解决入侵，平安问题是极 为重要的一环。互联网每一年都有大量数据中心效劳器蒙受解决的事件发生，对 用户造成庞大的损失，数据中心平安在其建设进展中愈来愈受到重视。为数据中 心内部网络与效劳器提供网络平安功能，通常会部署防火墙产品作为解决防范和 平安过滤的设备，同时为内网效劳器间互访提供平安操纵。防火墙是数据中心必不可少的平安防御组件，可为后端效劳器提供解决防范、内 网平安、流量监控、邮件过滤、网

2、页过滤、应用层过滤等功能。随着数据中心虚 拟化技术的不断进展，防火墙虚拟化做为其中关键技术之一日趋兴起。二、虚拟防火墙技术的产生初期的互联网时期，当企业需要为用户提供互联网效劳时，为了节省治理本钱与 加速互联网用户访问速度，很多企业将其效劳器放置到运营商数据中心(IDC， Internet Data Center)内，由运营商朝维代管，并直接提供互联网接入，这种 形式也被称为运营商的主机托管业务。随着互联网的飞速进展，运营商数据中心 业务已经成为其盈利的重点核心业务。同时，平安要求日趋严格，需要在大规模部署的多企业用户效劳器间的进行访问 操纵，如存在相关业务企业间的受控访问，无关企业间的绝对隔

3、离等。因此，对 运营商数据中心治理人员来讲，如何灵活方便的实现各企业平安区域划分和平安 区域之间有操纵的互访成为其超级关注的问题。这也对提供平安区域隔离功能的 防火墙设备提出了更高的要求。针对以上要求，传统防火墙的部署模式存在着以下缺点：较多的企业用户使得运营商要部署治理多台独立防火墙，致使拥有和保护本钱 增高；集中放置的多个独立防火墙会占用较多的物理空间，并加大布线的复杂度；物理防火墙的增加将增加网络治理的复杂度；当企业用户发生新的转变后，需要在物理组网上对传统防火墙做改动，对整个 网络造成阻碍较大。为了适应新的业务模式需求，虚拟防火墙技术应运而生。虚拟防火墙通过在同一 台物理设备上划分多个

4、逻辑的防火墙实例来实现对多个业务部门的独立平安策 略部署，利用其部署的灵活性可实现企业网络的对新业务的适应性。三、虚拟防火墙技术虚拟防火墙是一个逻辑概念，该技术能够在一个单一的硬件平台上提供多个防火 墙实体，即把一台防火墙设备在逻辑上划分成多台虚拟防火墙，每台虚拟防火墙 都能够被看成是一台完全独立的防火墙设备，可拥有独立的治理员、平安策略、 用户认证数据库等。每一个虚拟防火墙能够实现防火墙的大部份特性，而且虚拟 防火墙之间彼此独立，一样情形下不许诺彼此通信。虚拟防火墙具有如下技术特点：每一个虚拟防火墙独立保护一组平安区域；每一个虚拟防火墙独立保护一组资源对象（地址/地址组，效劳/效劳组等）；每

5、一个虚拟防火墙独立保护自己的包过滤策略；每一个虚拟防火墙独立保护自己的ASPF策略、NAT策略、ALG策略；可限制每一个虚拟防火墙占用资源数，如防火墙Session和ASPF Session数量。每一个虚拟防火墙都是VPN实例和平安实例的综合体，能够为虚拟防火墙用户提 供私有的路由转发业务和平安效劳。每一个虚拟防火墙中能够包括三层接口、二 层物理接口、三层VLAN子接口和二层Trunk接口 +VLAN。VPN实例与虚拟防火墙是一一对应的，它为虚拟防火墙提供彼此隔离的VPN路由， 与虚拟防火墙相关的信息要紧包括：VPN路由和与VPN实例绑定的接口。VPN路 由将为转发来自与VPN实例绑定的接口的

6、报文提供路由支持。平安实例为虚拟防火墙提供彼此隔离的平安效劳，一样与虚拟防火墙一一对应。 平安实例具有私有的ACL规那么组和NAT地址池；平安实例能够为虚拟防火墙提 供地址转换、包过滤、ASPF和NAT ALG等私有的平安效劳。虚拟防火墙一方面解决了业务多实例的问题，更要紧的是，通过它可将一个物理 防火墙划分为多个逻辑防火墙来用。多个逻辑防火墙能够单独配置不同的平安策 略，同时默许情形下，不同的虚拟防火墙之间是默许隔离的。关于防火墙系统接收到的数据流，系统依照数据的Vlan ID、入接口、源地址确 信数据流所属的系统。在各个虚拟防火墙系统中，数据流将依照各自系统的路由 完成转发。四、虚拟防火墙

7、技术在数据中心应用1、虚拟防火墙与数据中心虚拟化数据中心虚拟化分为网络、计算和存储三个虚拟化资源，与虚拟防火墙紧密相关 的是网络虚拟化。数据中心网络虚拟化功能之一是在网络设备上对多业务之间进 行隔离访问操纵，每组业务利用独立的VPN、VLAN、接口、路由表及转发表，将 一台物理网络设备逻辑上分割成多台虚拟设备。网络虚拟化的要紧目的是为了提 高网络设备资源的利用率，并增强对计算资源的平安访问隔离操纵能力。网络设备虚拟化的同时，数据中心对平安组件提出了一样的虚拟化需求。虚拟防 火墙实现了网络与平安虚拟一体化的功能，先对防火墙的路由转发进行VPN隔离 划分，再设置解决防御与平安过滤规那么与划分的VP

8、N相对应，将一台物理的防火墙设备虚拟为多台独立运行的逻辑防火墙，简化网络，便于治理并提升了设备 的利用率。图1虚拟防火墙在数据中心的应用二、虚拟防火墙应付数据中心高靠得住需求在数据中心环境中，高靠得住性往往是重要的部署需求，虚拟防火墙部署时需要 考虑双机环境下的流量途径冗余切换问题。如图2所示。图2虚拟防火墙双机的应用数据中心双机组网模型下，虚拟防火墙能够应用路由模式或透明模式两种方式转 发流量报文。透明模式下，防火墙采纳INLINE转发方式，对进出防火墙的Vlan 接口进行两个一组的一一对应，需要注意的是透明模式下网络中不能显现二层环 路；而路由模式那么是在不同VPN下部署不同的三层路由转发，VLAN三层接口 一样做到每组一一对应，要注意的是路由模式下VRRP等路由冗余协议的应用， 要在汇聚层互换机上成立两台防火墙设备能够通信的二层通道。五、终止语虚拟防火墙组网模式极大的减少了用户拥有本钱。随着业务的进展，当用户业务 划分发生转变或产生新的业务部门时，能够通过添加或减少防火墙实例的方式十 分灵活的解决后续网络扩展问题，在必然程度上降低了网络平安数署的复杂度。 另一方面，由于以逻辑的形式取代了网络中的多个物理防火墙，减少了运维中需 要治理保护的网络设备，简化了网络治理的复杂度，减少了误操作的可能性。虚拟防火墙技术的显现弥补了防火墙产品在数据中心虚拟化应用中的局限性