雲計算數據中心可以爲不同的用戶羣提供不同的服務,用戶羣之間,用戶羣內用戶彼此之間已經沒有了明確的物理邊界,而是基於虛擬化技術實現必要的安全隔離,這種隔離是否具備足夠的安全性,用戶數據是否具有足夠的隱私保護和訪問可控性,這些虛擬化安全問題已經成爲雲計算是否能夠取得廣泛應用突破的關鍵。
如何讓雲中各種類型的用戶儘可能安全地使用網絡,如何讓用戶無縫地接入和使用雲計算服務,如何通過虛擬化網絡技術提高數據中心網絡構建靈活性,擴展性的同時,解決好網絡安全問題,已經成爲採用虛擬化技術構建雲計算數據中心所必須要解決的問題。當前主流廠商有基於VLAN安全區化、防火牆虛擬化等網絡安全技術對雲計算數據中心所採用的虛擬化網絡進行保護,但仍然未能解決好用戶訪問的可信以及數據交互的機密性,可控性等問題。
文中在研究基於虛擬化網絡的雲計算數據中心典型架構與訪問應用模式的基礎上,從用戶安全接入,通信隔離與機密性保護等方面分析了數據中心虛擬化網絡安全需求,提出了虛擬化網絡安全技術框架,重點針對基於密碼技術強化虛擬化網絡安全,保障虛擬機之間的通信保護、信息隔離與安全交換等安全機制進行了分析與設計,提出了一種可供參考的解決方案。
雲計算的基礎架構主要包含計算(服務器),網絡和存儲。對於網絡,從雲計算整個生態環境上來說,可以分爲3個層面,數據中心網絡,跨數據中心網絡以及泛在的雲接入網絡。
其中數據中心網絡包括連接計算主機,存儲和4到7層服務器(如防火牆,負載均衡,應用服務器,IDS / IPS等)的數據中心局域網,以及邊緣虛擬網絡,即主機虛擬化之後,虛擬機之間的多虛擬網絡交換網絡,包括分佈式虛擬交換機,虛擬橋接和I / O虛擬化等。
跨數據中心網絡主要解決數據中心間的網絡連接,實現數據中心間的數據備份,數據遷移,多數據中心間的資源優化以及多數據中心混合業務提供等;泛在的雲接入網絡用於數據中心與終端用戶互聯,爲公衆用戶或企業用戶提供雲服務。
在此,主要探討使用虛擬化網絡技術實現的數據中心網絡技術架構及其訪問應用方式。因爲,數據中心大量的虛擬機通過虛擬化網絡訪問計算資源的安全可控問題,是解決雲計算虛擬化網絡安全問題的關鍵。數據中心網絡包括核心層交換機,接入層交換機和虛擬交換機。
在使用雲計算後,數據中心的網絡需要解決數據中心內部的數據同步傳送的大流量,備份大流量,虛擬機遷移大流量問題,因此要求核心層網絡具備超大規模的數據交換能力以及足夠的萬兆接入能力。接入層交換機要求能夠支持各種靈活的部署方式和新的以太網技術,包括無損以太網技術等。
虛擬交換機是在物理服務器內部通過虛擬機管理器(Hypervisor)層虛擬出相應的交換機和網卡功能並實施管理,提供了服務器內多個虛擬主機虛擬網卡(vNIC)的互聯以及爲不同的虛擬網卡流量設定不同的VLAN標籤功能,使得服務器內部如同存在一臺交換機,可以方便地將不同的網卡連接到不同的端口。
管理程序爲每個VM(虛擬主機)創建一個或者多個vnic,聯接Hypervisor中的虛擬交換機,從而支持VM間的通信.Hypervisor還允許虛擬交換機和物理網絡接口的通信、以及和外部網絡的高效通信,典型的虛擬交換機如開源的OpenvSwitch。
以目前應用較成熟的Ctrix基於Xen的虛擬化系統爲研究對象(與其他VmwareESX,KVM,hyper - v等有所不同,可參考思路),分析用戶聯接虛擬化用戶終端,並進一步訪問數據中心計算資源的典型框架如圖2所示。
首先遠程用戶基於瘦客戶端,基於ICA等遠程桌面協議(Vmware用PCoIP)訪問數據中心服務器上的用戶虛擬終端.ICA協議是基於Xen的Ctrix虛擬化系統的專有協議,將顯示器,鍵盤,鼠標操作信息與服務器端管理域交互,可以在管理程序上創建,中止相應的虛擬化終端系統,獲得與本地化計算機終端操作相同的使用體驗。同時,管理域操作系統上還運行了所有外設的實際驅動程序,通過後端驅動模塊與系列客戶終端虛擬機OS上運行的前端驅動模塊進行交互,實現對各客戶終端虛擬機設備驅動的支持。
其次,用戶虛擬終端機之間通過虛擬網卡,虛擬化交換機(包括跨物理服務器的分佈式虛擬化交換機),實現虛擬終端之間以及用戶虛擬終端與虛擬應用服務器之間的高速網絡數據交互,實現基於虛擬化的數據集中應用,並訪問各種應用服務器,或進行用戶虛擬機的遷移等。
其中分佈式虛擬交換機採用使底層服務器架構更透明的方法,支持不同物理服務器上虛擬交換機的跨服務器橋接,使一個服務器中的虛擬交換機能夠透明地和其他服務器中的虛擬交換機連接,使服務器間(以及它們的虛擬接口)的VM遷移更簡單。
沒有留言:
張貼留言