【正文】 接入。本方案建議根據(jù)情況，進(jìn)行客戶端安全檢查結(jié)果進(jìn)行相應(yīng)應(yīng)用訪問權(quán)限的準(zhǔn)入和授權(quán)，同時通過SSL VPN成功接入到內(nèi)網(wǎng)中后，則自動斷開其他的Internet線路，只保留SSL VPN的通道，防止黑客通過Internet控制接入。事后追查：整體保障XX系統(tǒng)安全運(yùn)維管理在訪問過程的進(jìn)行日記記錄，提供管理日志和服務(wù)日志等日志。管理日志可提供管理員訪問、操作日志，服務(wù)日志提供信息、告警、調(diào)試、錯誤日志，方便管理員對系統(tǒng)進(jìn)行診斷。用戶訪問日志則提供用戶訪問時信息（登錄IP、訪問資源、時間、認(rèn)證方式）、用戶活躍程度、用戶/用戶組流量排行及查詢、用戶/用戶組流速趨勢及查詢。告警日志提供（暴破登錄攻擊記錄、CPU長時間占用過高記錄、設(shè)備內(nèi)存不足）、用戶暴破登錄、主從用戶名非法訪問記錄等。l 在租戶傳統(tǒng)數(shù)據(jù)中心的安全互聯(lián)方面，我們的設(shè)計思路是從低價值流量削減、應(yīng)用優(yōu)化、網(wǎng)絡(luò)質(zhì)量改善、流量整形幾個方面來做：（1）大幅削減低價值流量，降低帶寬負(fù)荷，實(shí)現(xiàn)帶寬增值采用動態(tài)流壓縮、基于碼流特征數(shù)據(jù)優(yōu)化對云數(shù)據(jù)中心傳統(tǒng)數(shù)據(jù)中心的傳輸網(wǎng)絡(luò)中的低價值流量進(jìn)行大幅削減。對與數(shù)據(jù)中心同步無關(guān)的流量進(jìn)行削減后，約可實(shí)現(xiàn)30%50%以上的削減。通過流量削減，可以保障云數(shù)據(jù)中心傳統(tǒng)數(shù)據(jù)中心的專線帶寬占有率在一個較為健康的范圍之內(nèi)，即使在高峰期同樣可以順暢的進(jìn)行數(shù)據(jù)同步。（2）應(yīng)用優(yōu)化針對數(shù)據(jù)備份軟件、數(shù)據(jù)庫同步、FTP文件傳輸?shù)葢?yīng)用，通過應(yīng)用優(yōu)化策略，可進(jìn)行進(jìn)一步的優(yōu)化，減少數(shù)據(jù)小包交互，提升訪問速度，提高工作效率。（3）改善網(wǎng)絡(luò)質(zhì)量通過快速重傳、選擇性重傳、改善擁塞機(jī)制、增大滑動窗口大小等幾個方面對傳統(tǒng)的TCP傳輸協(xié)議做改進(jìn)，提升鏈路在丟包、延遲、抖動環(huán)境下的傳輸質(zhì)量和應(yīng)用訪問速度。（4）流量整形，合理規(guī)劃帶寬資源通過應(yīng)用流量可視化了解各應(yīng)用的流量分布情況后，現(xiàn)可根據(jù)業(yè)務(wù)關(guān)鍵程度進(jìn)行流量整形。針對數(shù)據(jù)庫同步、數(shù)據(jù)備份軟件等核心業(yè)務(wù)系統(tǒng)及應(yīng)用進(jìn)行單獨(dú)的高優(yōu)先級帶寬保障，設(shè)置最小保障帶寬保證使用。當(dāng)數(shù)據(jù)庫同步未啟用、數(shù)據(jù)備份軟件等應(yīng)用流量不很是多未占滿保障帶寬時，剩余帶寬將借用出來提供給其他應(yīng)用使用。針對其余應(yīng)用、各主機(jī)，可根據(jù)其關(guān)鍵程度進(jìn)行相應(yīng)的帶寬保障、帶寬限制策略設(shè)置。（5）智能報表反饋，不斷調(diào)優(yōu)效果 在完成上述優(yōu)化后，還可通過智能報表功能對優(yōu)化后的網(wǎng)絡(luò)流量分布及流量削減效果進(jìn)行查看，并進(jìn)一步調(diào)整流量分配及優(yōu)化策略，做到動態(tài)調(diào)整，層層深入。根據(jù)各個集團(tuán)子公司租戶在云平臺的應(yīng)用場景，可以劃分為：網(wǎng)站/應(yīng)用的托管部署n 應(yīng)用需求：將單個應(yīng)用，完全部署在云平臺環(huán)境中，對公眾、橫向兄弟單位提供接入訪問n 建議部署組件：采用vAF提供租戶間、對外南北流量的安全防護(hù)；vAD提供虛擬機(jī)的服務(wù)器負(fù)載均衡，提升應(yīng)用的可靠性應(yīng)用混合云部署n 應(yīng)用需求：在云平臺部署了部分應(yīng)用系統(tǒng)，或者單個應(yīng)用的系統(tǒng)的部分組件（如僅部署Web服務(wù)器，DB還在傳統(tǒng)數(shù)據(jù)中心），這些虛擬機(jī)依然需要與租戶的傳統(tǒng)數(shù)據(jù)中心（租戶DC）進(jìn)行數(shù)據(jù)訪問；同時，為了提升對外訪問的安全性，需要進(jìn)行加密傳輸和認(rèn)證加固。n 建議部署組件：除了部署vAF、vAD外，還需要部署vVPN，針對訪客提供SSL VPN安全接入，針對租戶數(shù)據(jù)中心提供IPSec VPN接入。多應(yīng)用系統(tǒng)托管部署：n 應(yīng)用需求：租戶在虛擬網(wǎng)絡(luò)中部署了多個應(yīng)用系統(tǒng)，需要針對不同應(yīng)用系統(tǒng)虛擬機(jī)之間的訪問流量進(jìn)行安全防護(hù)控制，滿足安全合規(guī)要求。n 建議部署組件：除了部署vAF、vAD以外，還需要部署插件版AF，它可以通過VMware的VMsafe接口，從服務(wù)器虛擬化底層針對不同的虛擬機(jī)的流量進(jìn)行精細(xì)的安全訪問控制和虛擬補(bǔ)丁等服務(wù)。 NFV安全組件部署方式深信服虛擬化軟件安全、優(yōu)化產(chǎn)品的NFV部署方式是以虛機(jī)的形式存在于在虛擬化平臺中，可以快速部署于VMware、KVM、XEN、華三等服務(wù)器虛擬化平臺。vAD、vAF、vSSL VPN、vWOC以虛擬化軟件形式部署，將設(shè)備以路由、單臂等部署方式在虛擬化平臺上，針對不同租戶開啟一個對應(yīng)的虛機(jī)鏡像，然后配置vSwitch連通網(wǎng)絡(luò)，數(shù)據(jù)流量經(jīng)過設(shè)備安全檢測與防護(hù)后到達(dá)業(yè)務(wù)系統(tǒng)，從而保障業(yè)務(wù)系統(tǒng)的安全。這種部署方式更關(guān)注南北向流量安全防護(hù)。216。 路由部署： vAF、vWOC216。 單臂旁掛： vAD、vSSL VPN虛擬機(jī)方式部署簡單4步，快速部署上線：216。 導(dǎo)入鏡像：將設(shè)備鏡像拷貝進(jìn)入虛擬化環(huán)境216。 注冊開通：在授權(quán)服務(wù)器上開通216。 策略配置：配置AD、AF、SSL等虛擬設(shè)備的相關(guān)策略216。 vSwitch配置：配置虛擬交換機(jī)實(shí)現(xiàn)業(yè)務(wù)的互通 管理運(yùn)維設(shè)計方案 平臺運(yùn)維云管理是整個云平臺后臺的管理、調(diào)度、運(yùn)維中心?；贠penstack平臺的商業(yè)化云服務(wù)平臺，在繼承原有架構(gòu)靈活、擴(kuò)展性強(qiáng)、開放性和兼容度高的基礎(chǔ)上，產(chǎn)品穩(wěn)定性和可靠性大大增強(qiáng)?；谧鈶舻綉?yīng)用的端到端的云服務(wù)配置和管理，將用戶申請的服務(wù)組裝成服務(wù)鏈，統(tǒng)一管理和配置。通過對租戶的分級管理，實(shí)現(xiàn)了私有云多級資源分配的要求，通過定制個性化的審批流程，使得服務(wù)的申請更符合某些特殊業(yè)務(wù)的多級審批要求。通過對服務(wù)鏈的健康狀態(tài)的整體監(jiān)控和評分，對每個租戶的總體服務(wù)質(zhì)量有全面的把握和管理。云安全管理平臺應(yīng)實(shí)現(xiàn)對多種IT資產(chǎn)進(jìn)行統(tǒng)一的管理，包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)等設(shè)備。深信服SC集中管理平臺能夠?qū)υ破脚_網(wǎng)絡(luò)中全部的深信服設(shè)備進(jìn)行集中管理。SC集中平臺可以統(tǒng)一查看各個設(shè)備的實(shí)時信息，包括最近事件，cpu、內(nèi)存、磁盤使用信息，內(nèi)置庫版本信息等；并能進(jìn)行安全策略統(tǒng)一管理下發(fā)和軟件規(guī)則庫自動升級管理。還可以與平臺進(jìn)行深度合作，以實(shí)現(xiàn)云平臺的統(tǒng)一集中管理。 租戶運(yùn)維建設(shè)云平臺的最終目標(biāo)是要實(shí)現(xiàn)系統(tǒng)的按需運(yùn)營，多種服務(wù)的開通，而這依賴于對計算、存儲、網(wǎng)絡(luò)資源的調(diào)度和分配，同時提供用戶管理、組織管理、工作流管理、自助界面等。從用戶資源的申請、審批到分配部署的智能化。管理系統(tǒng)不僅要實(shí)現(xiàn)對傳統(tǒng)的物理資源和新的虛擬資源進(jìn)行管理，還要從全局而非割裂地管理資源，因此統(tǒng)一管理平臺與自動化服務(wù)交付是提升服務(wù)效率的重要因素。我們?yōu)樽鈶籼峁┑倪\(yùn)維界面清晰、完整、簡單、自助化，從而可以使租戶管理員非常便捷的就能夠加載其需要的安全組件、優(yōu)化組件、計算組件等。 平臺服務(wù)商合作運(yùn)維為了實(shí)現(xiàn)IaaS架構(gòu)的統(tǒng)一管理及統(tǒng)一調(diào)度，我們支持夠通過OpenStack北向接口與第三方云管理平臺實(shí)現(xiàn)互通，通過與第三方合作開發(fā)，提供云平臺安全監(jiān)控日志、平臺訪問審計、租戶安全、優(yōu)化組件的策略自動化配置、基于業(yè)務(wù)的定期風(fēng)險報表及租戶安全監(jiān)控平臺。從而將資源的調(diào)度管理更加集約化、易用化。深信服的AD、NGAF等產(chǎn)品的硬件設(shè)備、軟件虛擬化版本均開放了北向的OpenStack接口，通過開放的統(tǒng)一接口，能夠更好的實(shí)現(xiàn)和第三方平臺的融合，并實(shí)現(xiàn)功能服務(wù)的創(chuàng)建及關(guān)閉、功能模塊的策略配置。下面以vAD為例，通過在第三方的OpenStack平臺上安裝插件，可以第三方的OpenStack管理平臺，對深信服AD應(yīng)用交付產(chǎn)品進(jìn)行服務(wù)器負(fù)載均衡的網(wǎng)絡(luò)策略配置。第五章 解決方案價值云平臺的搭建將有助于信息化建設(shè)模式向集約化、整體化的可持續(xù)發(fā)展模式轉(zhuǎn)變，使跨部門跨區(qū)域的協(xié)同互動和資源共享成為現(xiàn)實(shí)的同時還能帶來如下好處： 高安全：提供專業(yè)、可靠的服務(wù)整個解決方案分別從平臺、租戶、管理運(yùn)維三個角度，平臺安全性、租戶安全性、業(yè)務(wù)系統(tǒng)安全性、業(yè)務(wù)數(shù)據(jù)安全性、業(yè)務(wù)接入安全性等方面考慮整個云平臺的安全，從平臺穩(wěn)定性、業(yè)務(wù)穩(wěn)定性、用戶訪問體驗(yàn)優(yōu)化、遠(yuǎn)程接入體驗(yàn)優(yōu)化等角度來保障云平臺上各租戶的業(yè)務(wù)系統(tǒng)高效、可靠、穩(wěn)定、安全的運(yùn)行的同時，還解決了因用戶網(wǎng)絡(luò)環(huán)境不佳、出口流量擁塞、鏈路故障、虛擬故障、應(yīng)用假死等情況引起的用戶使用體驗(yàn)不佳的問題。同時vAD、vAF、vSSL VPN、vWOC除了保持與硬件產(chǎn)品一致的專業(yè)功能，還具備各種產(chǎn)品的合規(guī)資質(zhì)；而且產(chǎn)品類別完整，不需多廠家產(chǎn)品拼湊，就可以滿足用戶將應(yīng)用遷移到云環(huán)境中的各種業(yè)務(wù)系統(tǒng)的安全、優(yōu)化需求。 高性價比：降低IT建設(shè)成本在云平臺上，所有的安全、優(yōu)化等組件均按需擴(kuò)展。平臺為租戶提供組件選擇，租戶可以根據(jù)自身的需要選擇相應(yīng)的服務(wù)。這帶來了三大好處：一是不需要投資建立數(shù)據(jù)中心和大型機(jī)房，購買服務(wù)器和存儲設(shè)備等，從而節(jié)省建設(shè)費(fèi)用；二是信息軟硬件資源交給專業(yè)的云服務(wù)商管理，不再負(fù)擔(dān)信息系統(tǒng)維護(hù)和升級，節(jié)省了運(yùn)維費(fèi)用。三是租戶選擇度高，可根據(jù)業(yè)務(wù)系統(tǒng)的需要隨時調(diào)整自身的安全體系建設(shè)，避免資源的浪費(fèi)。同時，云中心管理員可以根據(jù)租戶的業(yè)務(wù)發(fā)展，增加虛機(jī)資源，按需擴(kuò)展虛擬設(shè)備功能、性能。不用擔(dān)心過去由于租戶增多，硬件設(shè)備性能不足，而要淘汰、更換設(shè)備的情況，保護(hù)投資 高效率：業(yè)務(wù)系統(tǒng)部署速度快云平臺具有較高的靈活性，實(shí)施新的業(yè)務(wù)系統(tǒng)時，不必購買額外的軟硬件，而是利用已有云基礎(chǔ)設(shè)施，快速部署系統(tǒng)，提高應(yīng)用系統(tǒng)部署速度。開發(fā)者在一個平臺上構(gòu)建和部署應(yīng)用程序，大大提高了信息系統(tǒng)的部署效率。本解決方案中涉及的云安全、優(yōu)化組件只需簡單4步，就能快速部署上線，無需機(jī)房連線操作，設(shè)備的配置界面保持了與硬件設(shè)備一致的風(fēng)格，讓云中心/租戶管理員只需要數(shù)分鐘時間，就可以快速完成業(yè)務(wù)的上線部署 高協(xié)同：降低信息共享和業(yè)務(wù)協(xié)同難度長期以來，IT系統(tǒng)的建設(shè)普遍存在資源分散、安全管控難等問題。云計算能從技術(shù)上降低信息共享和業(yè)務(wù)協(xié)同的難度。通過云平臺，多個部門可以共用相應(yīng)的基礎(chǔ)架構(gòu)，實(shí)現(xiàn)各應(yīng)用系統(tǒng)之間的軟硬件共享，提高信息共享的效率，擴(kuò)大信息共享范圍；軟硬件資源和信息資源的共享將有利于促進(jìn)各部門內(nèi)部與部門之間的業(yè)務(wù)系統(tǒng)的整合，為各部門業(yè)務(wù)協(xié)同創(chuàng)造條件。同時集中化的安全部署考慮能夠解決以前面臨的各種“安全信息孤島”問題。云平臺將實(shí)現(xiàn)軟硬件資源所有權(quán)與使用權(quán)的分離，使用部門將在不擁有軟硬件資源的情況下享受信息服務(wù)。因此，使用部門能夠集中人力物力進(jìn)行本部門的業(yè)務(wù)運(yùn)轉(zhuǎn)，從而減輕行政負(fù)擔(dān)與運(yùn)轉(zhuǎn)效率，使對外業(yè)務(wù)部門能有更多的精力專注于面向公眾的公共服務(wù)，提高服務(wù)效率。最后，在部署了以云計算為技術(shù)支撐的云平臺以后，后臺信息的煙囪式部署方式的壁壘將被打破，從而實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)數(shù)據(jù)的統(tǒng)一共享，這對前臺服務(wù)界面的統(tǒng)一打通有著重要意義，將使得業(yè)務(wù)系統(tǒng)的統(tǒng)一化、整合化不再停留在前臺展示層面，大大提高了服務(wù)質(zhì)量，效率，以及用戶的使用感知。38 /