文/孙松儿

一、 安全需求变化

1. 云交付模型下的高性能高可靠性需求

传统的企业流量模型相对比较简单，各种应用基准流量及突发流量有规律可循，即使面对较大型的数据中心，仍然可以根据Web应用服务器的重要程度、细粒度的安全防护边界的划分进行安全部署，这种分而治之的方式，客观上减少了对安全设备的性能压力，也可以减少单设备故障对整个网络造成的负面影响，尽管这种分布式部署模型下的多设备管理的复杂性有所增加。

在云计算环境下，网络计算存储等资源的池化是非常重要的技术特征；成千上万的服务器资源被基于统一基础架构的网络进行承载，服务器资源需要灵活可调整，安全的边界不再清晰固定，安全资源池的部署位置相对固定，此时，如何建设超高性能的安全资源池，使之不成为大容量交换的瓶颈，对安全设备的高性能提出了要求。同时，超大容量安全设备的任何细微的故障都可能导致大面积的用户应用无法交付，如何在提供超高性能的同时，实现HA高可靠性的、快速的故障切换和数据备份，是云计算安全建设需要面对的基本需求。

2. 多租户环境的需求

多租户作为云计算的重要特征之一，在IaaS/PaaS/SaaS等云计算服务模型中都有不同的体现。通过多租户技术可以让多个租户共用一个应用程序或运算环境，共享利用云计算基础设施及存储计算等资源，提升基础设施的利用效率，减少服务商的运行维护的成本。而对于客户来说可以用较低成本或价格来获取足够满足自身IT应用的资源，相比较自身建设IT基础设施来说更有吸引力。在这个过程中，不同用户对于服务商的存储计算和网络等资源的灵活分配、独立管理和安全隔离提出了需求。在云计算环境中，多租户的环境不但意味着不同租户之间的数据安全隔离，还需要云计算服务商充分考虑不同租户对于自身资源的独立配置和管理的能力，租户本身需要根据自身IT的应用情况随时调整各种配置和策略，云计算服务商也需要针对不同租户定义差异化的安全服务策略，实现精细化的安全服务运维，在这个过程中，安全如何满足多租户环境下的这些需求？

3. 安全资源池虚拟化需求

资源池化是云计算的关键特征，在存储计算网络资源池化之后，安全设备的部署也需要考虑资源池化的需求。同时为了避免安全不再成为整个应用交付的瓶颈，性能超高、容量充足的安全资源池可以保证租户在面对业务流量高峰时刻，通过资源的动态调整来满足对安全防护高性能的要求。因此容量充足，平滑扩展，实施动态调整是资源池的主要特征，也是安全按需而动的基础；对于用户而言，需要让用户感知到其正在使用的安全资源池分片和传统的独立完整的安全设备没有差别，无论是在用户配置管理的方式，还是在可靠性保证方面。要想实现这个目标，需要安全设备支持完整的虚拟化特性，以保证资源池化的进行。

4. 防护功能多样化可扩展需求

新形势下的安全风险包含的种类很多，除了需要应对传统的安全攻击形式（如异常访问、端口扫描和DDOS攻击等），还需要针对流行的Web应用层攻击进行防护；同时在建设IPv4安全防护的基础上，也需要未雨绸缪，充分考虑到IPv6的安全需求。因此在安全建设过程中服务商需要针对多样化的安全风险进行综合部署。另一方面，随着用户的规模增加，可能出现一些新的安全业务需求，导致服务商需要安全资源池进行平滑的性能扩容和业务升级。在这种情况下，建设安全业务多样化且可扩展的资源池，客观上对于安全网关的功能性能可扩展提出了要求

5. 安全管理自动化需求

安全管理作为增强用户安全风险感知，提升运维管理效率的重要手段，是安全整体解决方案中重要的一环.一方面，在安全产品规模部署的情况下，它通过对多个设备统一的策略配置和设备管理，实现简易化的部署方式，节省维护成本；另一方面，安全管理平台是整个安全解决方案的窗口，通过对安全设备产生的各种安全日志的收集分析，生成清晰全面的多种TOP N的攻击报表，便于管理员及时了解整网的安全状况，增强了整网安全的可视性。

但是，现阶段安全设备的管理大多数是点状的管理状态，由于网络中部署的安全设备的种类不同，安全设备的供应商不同，导致整网的安全管理更多的是针对局部设备或设备类型的分散管理，无法实现对差异化安全设备的综合管理、及整网安全状态和安全事件的统一分析。安全管理如何实现从点状管理到“云化”管理的转变，在实现统一安全管理的基础上，配合云计算统一管理的平台实现对安全资源的灵活调度和安全策略的自动化编排，这是安全管理需要解决的问题，

二、 新一代安全产品技术发展方向

面对云计算形势下的安全新需求和新问题，结合安全产品在技术发展上的进步，新一代的安全平台需要在以下几个方面进行重点发展和改进，以提升云计算环境下安全防护的新需求满足度。

1. 硬件性能高，硬件设计先进

为了应对云计算环境下的流量模型的变化，安全防护体系的部署需要朝着高性能的方向调整；超高性能的安全网关成为必备的要求，真实环境下小包性能超过100Gbps，混合流量情况下性能达到或超过100Gbps、单业务线卡并发连接数达到数千万的安全网关成为云计

算安全资源池建设的最佳选择。同时面对现阶段汇聚层数据中心交换机高密度10G端口的接入，安全网关具备高密度的万兆端口接入能力，上行甚至可以提供40G端口的形态成为必备的需求。在硬件架构设计方面，交换架构采用CLOS多级交换架构，将控制平面和转发平面做了物理区分的设计模式，可以提升系统的交换容量和可扩展性。单机框内各个安全业务线卡之间的流量负载分担，保证机框线卡增加可以线性提升性能。在业务的永续性方面，安全网关需要提供多种措施保证HA可靠性指标，如双主控配置，框内或跨机框的双机热备及配置同步、交换网板电源和风扇的冗余备份、链路捆绑聚合等；确保系统可以在故障切换时实现毫秒级，不影响用户的正常应用

2. 软件架构领先，适配安全业务的处理流程

为了更好的适应安全业务的处理流程，将业务处理从基础的L4转到L7层实现深度的报文分析，同时提升整体业务系统的深度报文处理的性能，安全的软件平台在系统架构上对性能优化、虚拟化、多核硬件架构匹配、IPv6、HTTP协议全代理等方面进行了针对性的处理。新的软件平台基于先进的多核技术架构，其数据核充分利用了多核硬件平台的多线程，并且对报文转发和安全业务进行并行化处理，实现了转发和业务处理性能的最大化；同时考虑到安全应用层的业务多样化及处理流程的差异性系统优化了SMP对称多处理模型，使得多种安全业务能够并行处理运行在用户态，并实现对操作系统相关资源的调度的同等权限，避免了传统安全网关针对多安全业务的串行处理流程；。针对一些需要进行代理转发的业务处理，典型如HTTP的优化压缩等，系统实现了TCP应用的全代理模型。应用网关可以完全截获客户端和服务端的应用流量，并根据需要对其报文的任何层次的协议字段进行解析和优化相比较传统安全网关来说在报文深度解析上有质的飞跃，在兼顾软件平台运行效率的基础上，实现了对多业务的高效处理和灵活可扩展，也可以满了用户在资源池建设过程中的功能多样性和可持续性发展的需要。

3. 独特的虚拟化技术，满足多租户云计算环境

传统防火墙的虚拟化技术，更多的是一种基于虚拟路由的虚拟化，通过在数据平台将路由转发表项进行逻辑的划分，形成多个相互独立的逻辑转发表，借助于VRF或相关的技术实现报文的转发隔离。这种类似于多实例技术的安全虚拟化改造，并没有很好的解决用户管理平面的完全独立，也缺乏针对部分特性资源及系统硬件资源限制的虚拟化改造，并不能满足云计算时代多租户资源池虚拟化划分的要求。

新一代的安全网关在虚拟化技术实现方面以MDC为基础，并结合VFW的业务特点进行了增强；通过这种MDC-LIKE技术可以实现一个物理防火墙划分成多个独立的虚拟防火墙。每个独立的虚拟防火墙，一方面可以共享物理防火墙的接口、CPU、内存、存储、硬件引擎等资源，并可以根据需要对部分硬件资源进行虚拟化划分，每个VFW都可以有自身对应的CPU、内存等资源的限制，虚拟防火墙之间的转发完全隔离，每个虚拟防火墙实例对用户而言都可以是一个完整的防火墙设备，其有自身的CPU和内存等资源限制，有自身的独立的虚拟实例的管理员、独立的日志系统、安全策略，也可以针对专有安全业务如VPN、NAT等进行虚拟实例的部署。这种新型的虚拟化技术实现，使得每个独立的虚拟防火墙有自身相对独立的管理平面、控制平面、数据平面，具备完整的业务功能，很好的适应多租户环境的要求。

4. 多线卡功能性能动态可扩展

在构建安全功能资源池化的过程中，除了要求安全资源池具备高达数百Gbps的超大容量之外，对于资源池的可扩展性也有明确的要求。一方面需要根据用户的需求进行按需资源配置；另一方面，当资源池因为用户规模增大导致容量不足时，资源池需要具备动态扩容的能力；在安全即服务的运营模式的环境下，资源池还需要具备安全业务的扩展能力，及时满足用户出现的新的安全业务需求，典型如安全VPN接入、DPI深度报文能力检测、流量负载均衡以及IPv6网络支持能力等。

新一代安全网关的模块紧密耦合交换平台的设计方案，使得机框式设备交换机配合安全业务插卡，都具备随着线卡数目增加线性提升容量的能力，多线卡之间的流量自动实现负载分担提升线卡的利用率；整个资源池的网络管理仍然保证了单一节点的管理。同时基于新一代的安全软件平台可以实现对深度报文检测等增强型业务的扩展支持。结合IRF虚拟化技术，可以构建系统容量大、可扩展性强、HA可靠性高的安全资源池。

5. 建设统一的管理平台，实现自动化的云安全管理

针对安全多业务的统一的配置管理能力、集中的策略下发模板以及统一的安全事件分析，是安全管理平台的基础功能。在这个过程中，多种安全设备形态、不同安全供应商的差异化支持，是其区别于传统安全管理的重要特点。

要做到这一点，安全管理平台的框架设计需要足够的开放，完整支持多种安全业务典型配置的API接口定义，向下需要考虑和安全设备的配置管理方式的封装，实现对不同厂商设备的支持；向上需要实现和第三方云管理平台的对接，为统一的云管理平台在对安全资源进行调整分配时提供API接口。

除了实现基础的统一管理功能，安全管理平台还需要增强对业务的自动化编排管理能力：一方面，其需要紧密结合安全业务的管理要求，实时监控安全业务的运行状态，根据预先定义的安全知识库，及时发现网络中的安全风险，并基于预配置模板实现对安全策略的自动化调整；另一方面，安全管理作为整个云管理平台的组成部分，还需要加强和周边管理系统的协同配合，如感知虚拟机增加删除消息，并根据预配置的业务部署策略，动态调整受影响的虚拟机的安全策略，或者和认证系统相结合，根据预定义安全策略实现基于用户的安全策略实时下发或删除，提升整个管理平台的自动化调整能力。

集成、开放、协同的安全管理平台，将成为云计算统一管理平台的重要组成部分，实现简易化、自动化的安全管理。

三、 结束语

安全作为互联网的永恒的主题，无论是私有云还是公有云或者混合云的建设过程中，都将持续的存在。随着云计算的逐步发展，新业务模式的出现也会衍生出很多差异化的安全需求，安全的技术发展，需要及时跟进这些差异化的用户需求，随需而动，打造安全的云计算环境，保障用户的数据安全。