【正文】 立管理界面的專用設(shè)備。 使用軟件主導(dǎo)型網(wǎng)絡(luò)和安全服務(wù)，獲得云計(jì)算基礎(chǔ)架構(gòu)的全面敏捷性。 通過創(chuàng)建能夠適應(yīng)工作負(fù)載并隨工作負(fù)載移動(dòng)的網(wǎng)絡(luò)和安全結(jié)構(gòu)，根據(jù)業(yè)務(wù)需要快速部署、移動(dòng)、擴(kuò)展和保護(hù)應(yīng)用及數(shù)據(jù)。 vCloud Networking and Security 可使軟件主導(dǎo)型網(wǎng)絡(luò)和安全與緊密集成到虛擬數(shù)據(jù)中心管理中的基于策略的調(diào)配機(jī)制結(jié)合在一起。2) 通過提高效率和利用率降低運(yùn)營、采購成本，實(shí)現(xiàn)資源的按需增長(zhǎng)vCNS無需重新配置物理網(wǎng)絡(luò)，即可跨集群和單元彈性分配計(jì)算資源，用戶可以在初始階段，僅投入項(xiàng)目所必需的最少資源，在后續(xù)的生產(chǎn)實(shí)踐中，根據(jù)實(shí)際需要，可以再追加所需的資源，從而實(shí)現(xiàn)真正的隨需應(yīng)變與動(dòng)態(tài)增長(zhǎng)，并最終提高資源利用率。此外，vCNS提供了高度可擴(kuò)展的虛擬網(wǎng)絡(luò)，可簡(jiǎn)化調(diào)配，降低運(yùn)營成本，同時(shí)減少對(duì)專用設(shè)備的需求。 能夠跨集群和單元管理和分配計(jì)算資源 能夠減少對(duì)專用設(shè)備的需求 能夠受益于與 vCenter 或 vCloud Director 集成的優(yōu)勢(shì)3) 利用虛擬工作負(fù)載的敏捷性，適應(yīng)動(dòng)態(tài)業(yè)務(wù)需求可創(chuàng)建隨應(yīng)用擴(kuò)展的網(wǎng)絡(luò)并在需要的位置應(yīng)用安全服務(wù)，而無需升級(jí)硬件。 vCloud Networking and Security 可提高應(yīng)用可用性并增強(qiáng)網(wǎng)絡(luò)性能。 無需重新配置物理網(wǎng)絡(luò)，即可部署、移動(dòng)或擴(kuò)展虛擬工作負(fù)載 可自動(dòng)調(diào)配和橫向擴(kuò)展網(wǎng)絡(luò)連接和安全服務(wù) 能夠更全面地了解虛擬通信流量1) 在基礎(chǔ)架構(gòu)中全面使用高度集成并完整的網(wǎng)絡(luò)與安全解決方案可以讓用戶在充分利用現(xiàn)有的網(wǎng)絡(luò)連接和安全投資的同時(shí)，能夠受益于最新的第三方創(chuàng)新技術(shù)。 通過 REST API，用戶可以在虛擬網(wǎng)卡和虛擬邊緣插入服務(wù)，同時(shí)支持硬件和軟件解決方案。由于vCNS提供了一整套高度集成且完整的網(wǎng)絡(luò)與安全解決方案，因此，用戶不再需要四處尋找各種零散且相互獨(dú)立的網(wǎng)絡(luò)與安全方案，vCNS集成了常用的各種與網(wǎng)絡(luò)和安全相關(guān)的服務(wù)，部署一個(gè)vCNS就相當(dāng)于一次性地使用了用戶所需要的多種網(wǎng)絡(luò)與安全解決方案。 可充分利用開放式體系結(jié)構(gòu)和行業(yè)標(biāo)準(zhǔn) API 為基于硬件和軟件的解決方案提供一致的支持 可保護(hù)現(xiàn)有網(wǎng)絡(luò)連接和安全投資 工作原理正如vSphere對(duì)服務(wù)器硬件的計(jì)算容量進(jìn)行抽象化以創(chuàng)建能夠用作服務(wù)的虛擬資源池一樣，vCNS可將網(wǎng)絡(luò)連接和安全服務(wù)抽象成一個(gè)廣義的容量池，并使這些服務(wù)的使用與底層物理基礎(chǔ)架構(gòu)分離。該統(tǒng)一網(wǎng)絡(luò)容量池可通過最佳方式分割成多個(gè)邏輯網(wǎng)絡(luò)，以支持特定的應(yīng)用。當(dāng)網(wǎng)絡(luò)與應(yīng)用關(guān)聯(lián)時(shí)，它可以隨應(yīng)用一起移動(dòng)、擴(kuò)展或收縮。VXLAN網(wǎng)絡(luò)可以跨越物理邊界，從而跨不連續(xù)的集群和單元來優(yōu)化計(jì)算資源利用率。因?yàn)檫壿嬀W(wǎng)絡(luò)與物理拓?fù)湎嗷シ蛛x，所以無需重新配置底層物理硬件即可擴(kuò)展VXLAN網(wǎng)絡(luò)。正因如此，也就無需再花費(fèi)大量時(shí)間來規(guī)劃如何調(diào)配VLAN及管理VLAN數(shù)量劇增問題。隨著網(wǎng)絡(luò)實(shí)現(xiàn)虛擬化，安全性、負(fù)載平衡及其他網(wǎng)關(guān)服務(wù)會(huì)與新模式完全一致并與之完全集成，用戶可以跨集群和單元實(shí)現(xiàn)負(fù)載平衡。通信流量的可見性增強(qiáng)，安全保護(hù)功能也更加高效。當(dāng)應(yīng)用移動(dòng)或擴(kuò)展時(shí)，它可以保持有效的內(nèi)部隔離和邊界安全。vCNS將網(wǎng)絡(luò)和安全調(diào)配及運(yùn)營與虛擬數(shù)據(jù)中心管理集成在一起，從而降低了運(yùn)營費(fèi)用和復(fù)雜性。用戶可以通過一個(gè)中心控制點(diǎn)來管理、部署、報(bào)告、記錄并集成第三方服務(wù)。此外，用戶可以繼續(xù)使用現(xiàn)有基礎(chǔ)架構(gòu)來構(gòu)建虛擬網(wǎng)絡(luò)和安全服務(wù)。這樣可大幅簡(jiǎn)化運(yùn)營、提高資源利用率和改進(jìn)根據(jù)業(yè)務(wù)需要進(jìn)行擴(kuò)展時(shí)的敏捷性，所有這一切均通過一個(gè)集成式可擴(kuò)展平臺(tái)來實(shí)現(xiàn)。如下圖所示，VMware軟件定義的網(wǎng)絡(luò)與安全解決方案的工作原理可以分為如下四大部分。圖：軟件定義的網(wǎng)絡(luò)與安全之架構(gòu)1) 抽象化和池化創(chuàng)建虛擬網(wǎng)絡(luò)并確保安全的第一步是抽象化和池化資源。 正如 vSphere 通過對(duì)服務(wù)器硬件的計(jì)算容量進(jìn)行抽象化，創(chuàng)建了能夠用作服務(wù)的虛擬資源池一樣，vCloud Networking and Security 可將網(wǎng)絡(luò)連接和安全服務(wù)抽象成一個(gè)一般意義上的容量池，從而使用戶能夠脫離底層物理基礎(chǔ)架構(gòu)使用這些服務(wù)。 此池可以跨越物理邊界，從而跨集群和單元實(shí)現(xiàn)最佳的計(jì)算資源利用率。2) 創(chuàng)建邏輯網(wǎng)絡(luò)并提供網(wǎng)關(guān)服務(wù)在創(chuàng)建網(wǎng)絡(luò)和安全資源池之后，用戶可以將其細(xì)分成多個(gè)邏輯網(wǎng)絡(luò)，并將這些網(wǎng)絡(luò)與特定的應(yīng)用相連。 由于此類網(wǎng)絡(luò)現(xiàn)已連接至應(yīng)用，因此它們可以隨應(yīng)用移動(dòng)或者是伸縮。 而且，由于邏輯網(wǎng)絡(luò)從物理網(wǎng)絡(luò)拓?fù)渲忻撾x出來，因此無需重新配置底層物理硬件就可以擴(kuò)展這些網(wǎng)絡(luò)。 這解決了規(guī)劃 VLAN 調(diào)配的周期以及管理數(shù)量劇增的 VLAN 都非常耗時(shí)的問題。 簡(jiǎn)化了操作并極大地加快了應(yīng)用調(diào)配。 通過部署虛擬工作負(fù)載加快應(yīng)用調(diào)配，而無需重新配置物理網(wǎng)絡(luò) 根據(jù)需要擴(kuò)展應(yīng)用，而不會(huì)造成 VLAN 數(shù)量劇增 通過跨子網(wǎng)邊界和不相鄰的集群高效地管理計(jì)算資源，從而降低成本和復(fù)雜性此邏輯網(wǎng)絡(luò)不但可以連接任意網(wǎng)絡(luò)元素，而且還是一個(gè)可連接更高級(jí)別服務(wù)的框架，如防火墻、VPN 和負(fù)載平衡器。 現(xiàn)在，應(yīng)用將連同其邏輯網(wǎng)絡(luò)和安全網(wǎng)關(guān)服務(wù)一起移動(dòng)或擴(kuò)展。，客戶則受益于只需一個(gè)窗口即可管理所有這些服務(wù)，從而降低了數(shù)據(jù)中心的運(yùn)營成本和復(fù)雜性。 從單個(gè)窗口管理服務(wù) 提供針對(duì)您的需求優(yōu)化的網(wǎng)關(guān)服務(wù) 不再依賴于難以管理且無法隨數(shù)據(jù)中心的增長(zhǎng)而擴(kuò)展的設(shè)備3) 利用Ecosystem Framework引入第三方網(wǎng)絡(luò)與安全服務(wù)邏輯網(wǎng)絡(luò)既可以提供 VMware的服務(wù)，也可以集成第三方基于硬件或軟件的解決方案。 開放式體系結(jié)構(gòu)和標(biāo)準(zhǔn) API 使平臺(tái)能夠引入第三方創(chuàng)新技術(shù)，從而實(shí)現(xiàn)延展。這其中一個(gè)典型的例子就是無代理終端安全防護(hù)，Endpoint。通過Ecosystem Framework，系統(tǒng)可以引入第三方的安全服務(wù)，同時(shí)將病毒掃描活動(dòng)從各個(gè)虛擬機(jī)卸載到安全虛擬設(shè)備來提高性能。安全虛擬設(shè)備能夠持續(xù)更新防病毒特征碼，為主機(jī)上的虛擬機(jī)提供無中斷保護(hù)。4) 實(shí)現(xiàn)基于策略的自動(dòng)化vCNS 還可以實(shí)現(xiàn)增值，因?yàn)樗梢曰诓呗宰詣?dòng)實(shí)施和動(dòng)態(tài)擴(kuò)展網(wǎng)絡(luò)連接和安全服務(wù)，從而充分發(fā)揮虛擬數(shù)據(jù)中心蘊(yùn)藏的效益和敏捷性。vCNS可以與vCloud Director集成來完成多種網(wǎng)絡(luò)與安全服務(wù)的調(diào)配與交付。u 根據(jù)應(yīng)用程序元數(shù)據(jù)調(diào)配服務(wù)u 不再需要執(zhí)行手動(dòng)配置流程和重復(fù)管理任務(wù)u 自動(dòng)調(diào)配和橫向擴(kuò)展網(wǎng)絡(luò)連接和安全服務(wù) 應(yīng)用場(chǎng)景VMware軟件定義的網(wǎng)絡(luò)與安全解決方案主要應(yīng)用在如下三個(gè)方面。1) 高效、可靠地虛擬化關(guān)鍵業(yè)務(wù)應(yīng)用并為整個(gè)軟件定義的數(shù)據(jù)中心提供網(wǎng)絡(luò)與安全服務(wù) 使用支持虛擬化的防火墻和自適應(yīng)信任區(qū)域保護(hù)和隔離關(guān)鍵應(yīng)用 加強(qiáng)對(duì)內(nèi)部虛擬機(jī)通信的了解和控制 跨不相鄰的集群和單元優(yōu)化資源利用率 識(shí)別并保護(hù)敏感的業(yè)務(wù)信息 利用高度集成的一整完整的網(wǎng)絡(luò)與安全解決方案，為整個(gè)軟件定義的數(shù)據(jù)中心提供可靠的網(wǎng)絡(luò)與安全服務(wù)2) 構(gòu)建敏捷、可信賴的私有云基礎(chǔ)架構(gòu) 通過消除 VLAN 減少手動(dòng)網(wǎng)絡(luò)連接調(diào)配并簡(jiǎn)化部署 跨物理網(wǎng)絡(luò)邊界優(yōu)化計(jì)算資源的管理和使用 通過集成式防火墻和網(wǎng)關(guān)服務(wù)保護(hù)虛擬數(shù)據(jù)中心的邊緣安全 利用 Web 負(fù)載平衡功能跨虛擬機(jī)集群管理入站 Web 流量3) 保護(hù)虛擬桌面部署的安全 限制遠(yuǎn)程第三方用戶對(duì)授權(quán)應(yīng)用進(jìn)行網(wǎng)絡(luò)訪問 保護(hù)敏感數(shù)據(jù)以免未經(jīng)授權(quán)的員工或黑客訪問 簡(jiǎn)化安全管理流程并消除性能瓶頸 主要功能軟件定義的網(wǎng)絡(luò)與安全的主要功能有：虛擬網(wǎng)絡(luò)VXLAN，網(wǎng)關(guān)服務(wù)，分布式防火墻和高級(jí)特性，其中高級(jí)特性又包括如下特性：高可用High Availability，流量監(jiān)控與統(tǒng)計(jì)，數(shù)據(jù)安全保護(hù)，管理與報(bào)告，Ecosystem Framework。 虛擬網(wǎng)絡(luò)VXLANVXLAN 是創(chuàng)建彈性可移動(dòng)虛擬數(shù)據(jù)中心的基礎(chǔ)。 使用 VXLAN 技術(shù)可以跨不連續(xù)的集群或單元池化計(jì)算資源，然后將該資源池劃分到與應(yīng)用連接的邏輯網(wǎng)絡(luò)。 與 VLAN 不同，VXLAN 虛擬網(wǎng)絡(luò)可以跨虛擬資源池和物理邊界擴(kuò)展，因此具有更高效率、可擴(kuò)展性、彈性和可管理性。216。 概覽隨著 IT 組織向聚合基礎(chǔ)架構(gòu)和面向服務(wù)的模式轉(zhuǎn)移，很多人逐漸發(fā)現(xiàn)目前的數(shù)據(jù)中心網(wǎng)絡(luò)連接體系結(jié)構(gòu)是一個(gè)限制因素。 基于 VLAN 的交換模式由來已久，但它們?cè)跀?shù)據(jù)中心內(nèi)遭遇了以下難題：1) 缺乏靈活性VLAN和相應(yīng)的網(wǎng)絡(luò)服務(wù)既不靈活，也不易延展。隨著需求的增減，計(jì)算和存儲(chǔ)資源需要在無重大運(yùn)行開銷的情況下進(jìn)行分配。2) 容錯(cuò)操作效率低動(dòng)態(tài)資源調(diào)整、高可用性技術(shù)（例如 VMware Fault Tolerance，vMotion）在大二層網(wǎng)絡(luò)上最容易實(shí)現(xiàn)，但是創(chuàng)建和管理該二層網(wǎng)絡(luò)在運(yùn)維操作上卻十分困難，尤其是在大規(guī)模操作時(shí)更是如此。3) VLAN 和 IP 地址管理的局限性IP 地址的維護(hù)和 VLAN 限制成為數(shù)據(jù)中心擴(kuò)展的難題，特別是在要求強(qiáng)有力的隔離或處于服務(wù)提供商環(huán)境的時(shí)候。為了解決此難題，VMware 與領(lǐng)先的網(wǎng)絡(luò)連接和電子設(shè)備供應(yīng)商（包括Cisco Systems）合作，創(chuàng)建了 VXLAN 技術(shù)。 VXLAN 是一種在常用的網(wǎng)絡(luò)上通過Overlay技術(shù)建立虛擬網(wǎng)絡(luò)的方法。 通過利用行業(yè)標(biāo)準(zhǔn)的以太網(wǎng)技術(shù)，在現(xiàn)有網(wǎng)絡(luò)之上可以創(chuàng)建大量虛擬網(wǎng)絡(luò)，并且它們彼此之間以及與底層物理網(wǎng)絡(luò)之間完全隔離。圖：軟件定義的網(wǎng)絡(luò)與安全是解決之道VXLAN 的工作方式是創(chuàng)建第 2 層邏輯網(wǎng)絡(luò)，并將其封裝在標(biāo)準(zhǔn)第 3 層 IP 數(shù)據(jù)包中。 無需任何 VLAN 標(biāo)記，每個(gè)框架中的“分段 ID”即可將 VXLAN 邏輯網(wǎng)絡(luò)相互區(qū)分開來。 這樣，大量相互隔離的第 2 層 VXLAN 網(wǎng)絡(luò)可以在通用第 3 層基礎(chǔ)架構(gòu)中共存，而且在相互之間以及與底層網(wǎng)絡(luò)之間實(shí)現(xiàn)完全隔離。 通過支持跨物理邊界的“擴(kuò)展集群”優(yōu)化數(shù)據(jù)中心計(jì)算資源利用率 通過在標(biāo)準(zhǔn)第 3 層 IP 網(wǎng)絡(luò)上運(yùn)行 VXLAN 來優(yōu)化網(wǎng)絡(luò)操作，從而不再需要構(gòu)建和管理寵大的第 2 層基礎(chǔ)傳輸層 在標(biāo)準(zhǔn)交換硬件上運(yùn)行 VXLAN，交換機(jī)上無需進(jìn)行軟件升級(jí)，也無需具備特殊代碼版本。216。 VXLAN的技術(shù)優(yōu)勢(shì)：1) 靈活性通過支持跨交換機(jī)和單元邊界的“擴(kuò)展集群”，數(shù)據(jù)中心服務(wù)器與存儲(chǔ)的利用率和靈活性可實(shí)現(xiàn)最大化。2) 優(yōu)化的網(wǎng)絡(luò)操作VXLAN 在標(biāo)準(zhǔn)第 3 層 IP 網(wǎng)絡(luò)上運(yùn)行，不再需要構(gòu)建和管理龐大的第 2 層基礎(chǔ)傳輸層。3) 投資保護(hù)VXLAN 在標(biāo)準(zhǔn)交換機(jī)硬件上運(yùn)行，交換機(jī)上無需進(jìn)行軟件升級(jí)，也不必采用特殊的代碼版本。隨著 VMware 和其他供應(yīng)商推出基于 VXLAN 的解決方案，企業(yè)可以充分利用更高的數(shù)據(jù)中心自動(dòng)化程度、敏捷性和效率所帶來的優(yōu)勢(shì)。216。 利用 VXLAN構(gòu)建邏輯網(wǎng)絡(luò)VXLAN 提供跨數(shù)據(jù)中心結(jié)構(gòu)創(chuàng)建隔離式多租戶廣播域的功能，并且使客戶能夠創(chuàng)建可跨越物理網(wǎng)絡(luò)邊界的彈性邏輯網(wǎng)絡(luò)。創(chuàng)建邏輯網(wǎng)絡(luò)的第一步是抽象和池化網(wǎng)絡(luò)資源。 正如 vSphere 將計(jì)算容量從服務(wù)器硬件中抽象出來以創(chuàng)建能夠作為服務(wù)使用的虛擬資源池一樣，虛擬分布式交換機(jī) (VDS) 和 VXLAN 將網(wǎng)絡(luò)抽象成一般化的網(wǎng)絡(luò)容量池，并使這些服務(wù)的使用從底層物理基礎(chǔ)架構(gòu)中分離出來。 此池可以跨越物理邊界，從而跨集群和單元優(yōu)化計(jì)算資源利用率。 統(tǒng)一網(wǎng)絡(luò)容量池隨后可通過最佳方式分割成多個(gè)邏輯網(wǎng)絡(luò)，直接連接到特定的應(yīng)用。圖：利用VXLAN構(gòu)建邏輯網(wǎng)絡(luò) 網(wǎng)關(guān)服務(wù)vCNS網(wǎng)關(guān)服務(wù)Edge是專為虛擬數(shù)據(jù)中心提供的邊緣網(wǎng)絡(luò)安全解決方案。它可提供網(wǎng)絡(luò)安全網(wǎng)關(guān)服務(wù)和 Web 負(fù)載平衡等基本安全功能，以提高性能和可用性。此解決方案可利用容錯(cuò)和高可用性等功能獲得無可比擬的恢復(fù)能力。管理員可通過隨附的 vCNS Manager 控制臺(tái)集中管理 vCNS 網(wǎng)關(guān)服務(wù)，該控制臺(tái)與 vCenter Server 無縫集成以便對(duì)虛擬數(shù)據(jù)中心進(jìn)行統(tǒng)一的安全管理。此外，vCNS 網(wǎng)關(guān)服務(wù)也可與 VMware vCloud Director 協(xié)同使用，以便在多租戶云計(jì)算基礎(chǔ)架構(gòu)中自動(dòng)執(zhí)行和加快虛擬數(shù)據(jù)中心的安全調(diào)配速度。安全管理員和虛擬基礎(chǔ)架構(gòu)管理員的職責(zé)分離使他們只能訪問有限的授權(quán)資源。它的主要優(yōu)勢(shì)有：u 由于可以省去多種專用設(shè)備并可以快速調(diào)配網(wǎng)絡(luò)網(wǎng)關(guān)服務(wù)，因此可以降低成本和復(fù)雜性。u 利用內(nèi)置的邊緣網(wǎng)絡(luò)安全解決方案及服務(wù)，可以確保策略得到執(zhí)行。u 每個(gè)組織或租戶擁有一個(gè)邊緣，因而可以提高可擴(kuò)展性和性能。u 可通過詳細(xì)的日志記錄簡(jiǎn)化 IT 遵從性工作。u 利用與 VMware vCenter Server 及領(lǐng)先的企業(yè)安全解決方案集成的全功能界面，可以簡(jiǎn)化管理流程。u 不再需要使用集成了防火墻、負(fù)載平衡器、VPN 和 DHCP 的專用硬件。vCNS 網(wǎng)關(guān)服務(wù)的主要用途u 整合邊緣安全硬件 — 借助 vCNS 網(wǎng)關(guān)服務(wù)，客戶可以使用現(xiàn)有的 vSphere 資源來調(diào)配邊緣安全服務(wù)，因此不需要使用邊緣安全硬件在 vSphere 主機(jī)之間進(jìn)行物理隔離。u 快速安全地調(diào)配虛擬數(shù)據(jù)中心邊界 — 借助 vCNS 網(wǎng)關(guān)服務(wù)，組織可在虛擬數(shù)據(jù)中心環(huán)境周邊輕松創(chuàng)建安全、邏輯、獨(dú)立于硬件的邊界（即“邊緣” ） ，從而更為便捷地利用多租戶 IT 基礎(chǔ)架構(gòu)中的共享網(wǎng)絡(luò)資源。u 保護(hù)共享網(wǎng)絡(luò)中的數(shù)據(jù)機(jī)密性 — vCNS 網(wǎng)關(guān)服務(wù)可對(duì)站點(diǎn)間 VPN 提供 256 位加密，以保護(hù)在虛擬數(shù)據(jù)中心邊界內(nèi)傳輸?shù)乃袛?shù)據(jù)的機(jī)密性。u 確保 Web 服務(wù)的性能和可用性 — vCNS 網(wǎng)關(guān)服務(wù)可跨多個(gè)虛擬機(jī)集群高效管理入站 Web 流量，并且包含可供客戶與邊緣安全性功能一起部署或獨(dú)自部署的多種 Web 負(fù)載平衡功能。u 促進(jìn)遵從性管理 — vCNS 網(wǎng)關(guān)服務(wù)可為企業(yè)提供證明其遵從公司策略、行業(yè)和政府法規(guī)所需的事件詳細(xì)日志記錄以及流量統(tǒng)計(jì)信息等必要的控制措施。vCNS網(wǎng)關(guān)服務(wù)在全球范圍內(nèi)的主要案例如下圖所示。圖：vCNS網(wǎng)關(guān)服務(wù)全球主要案例vCNS網(wǎng)關(guān)服務(wù)主要包括：網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）、動(dòng)態(tài)主機(jī)配置協(xié)議（DHCP）、針對(duì)網(wǎng)絡(luò)邊緣的防火墻、VPN和負(fù)載平衡。216。 網(wǎng)絡(luò)地址轉(zhuǎn)換NATvCNS的網(wǎng)絡(luò)地址轉(zhuǎn)換功能可以為一臺(tái)或者一組計(jì)算機(jī)在專有網(wǎng)絡(luò)環(huán)境下指定一個(gè)公共的地址，通過這種方法可