一、園區網的技術發展驅動力
隨著云計算、物聯網、移動互聯網的大規模應用，企業信息化也發生了很大變化。一方面，應用種類飛速增加。IT在企業信息化中發揮的作用越來越大，從辦公應用IT化，再到多媒體、生產等應用IT化，園區網所承載的應用種類極大豐富。
不同類型應用對網絡和安全的要求不同，面對眾多應用，如果為不同應用建設不同的網絡(如傳統的內外網分離的建設模式)，則需要建設多套網絡，這帶來重復投資、用戶體驗差、設備利用率低等問題。隨著應用的不斷增加，這些問題會越來越突出。如果將所有應用都承載在一張物理網絡上，又難以滿足不同種類的應用對于安全和服務質量要求不同的需求，同時網絡規模也變得十分龐大，網絡建設和運維管理復雜。因此，未來的園區網應該能在一張物理網絡上承載所有應用，又可實現類似于多張物理網絡實現的隔離，同時簡化網絡結構，簡化運維管理。
另一方面，安全防護更加精細。隨著攻擊手段的日漸豐富，網絡面臨的安全威脅越來越多，任意一臺終端發起的攻擊都可能造成嚴重的后果。此外，不同應用面臨的安全威脅存在差異，需要的安全防護也不同。因此，未來的園區網應該根據不同應用提供針對性的安全防護、防護粒度更加細化，同時降低訪問時延、提高可靠性。
此外，隨著無線終端的普及，未來的園區網應該提供有線無線一體化的靈活接入，并在此基礎上，提供無縫漫游、安全認證、服務質量保障等功能，提升用戶體驗。
二、安全虛擬園區網需求要點
安全虛擬園區網的需求要點有如下三點：
■ 簡化網絡結構
采用一張物理網絡承載所有應用的建設模式，會使園區網的規模變得龐大，需要簡化。主要包括以下方面：
1) 簡化拓撲結構。最主要的是減少網絡的邏輯節點，簡化網絡的邏輯拓撲結構。同時，避免STP、VRRP等協議收斂時引發的網絡震蕩。
2) 簡化運維管理。網絡設備，尤其是接入層設備的配置、管理、維護消耗IT管理員大量的精力，需要簡化。
3) 提高可靠性。園區網承載的核心應用、實時性應用要求不間斷運行，這需要網絡網絡具備高可靠性。
■ 一張物理網絡承載多張虛擬業務網
采用一張物理網絡承載所有應用的建設模式，需要滿足不同應用對網絡和安全要求的差異，這需要在一張物理網絡上虛擬出多張虛擬業務網，每張虛擬業務網承載一類應用。具體來說，包括以下幾方面：
1) 虛擬業務網的構建。應能對整網的網絡、安全資源進行劃分，形成各自獨立的虛擬業務網。
2) 彈性擴展。虛擬業務網應能根據應用的變化做出及時調整，具備彈性擴展的能力。
■ 安全防護與等保合規
虛擬業務網在相互隔離的同時，也需要信息的互連互通，因此要對不同虛擬業務網間的流量進行訪問控制和安全防護，保障信息安全的互聯。在業務網內，也面臨著眾多安全需求，包括訪問控制、入侵防御、病毒防范、流量控制、行為審計、終端準入等等。因此，需要對應用進行L2~7層的安全防護。
不同虛擬業務網面臨的安全威脅不同，同一虛擬業務網內的不同應用面臨的安全威脅也不同，這要求根據應用提供針對性的安全防護。在一張物理網絡承載所有應用的建設模式下，需要一套安全防護產品可以提供多種安全功能組合。
同時，信息安全等級保護制度作為我國信息安全建設的基本國策，是必須要滿足的。因此，在進行園區網建設時，需要考慮等保的合規問題。
綜上所述，如何建設等保合規、滿足應用要求、按需防護、防護粒度精細的安全防護體系，是園區網面臨的問題。
三、DP xCampus安全虛擬園區網解決方案
迪普科技憑借自身的技術積累以及對于應用的理解，推出了DP xCampus安全虛擬園區網解決方案。DP xCampus安全虛擬園區網解決方案立足于園區網的建設目標和建設需求，結合迪普科技領先的“應用即網絡”技術理念和技術實現，為用戶提供簡單、智能、可靠的安全虛擬園區網建設方案。
DP xCampus安全虛擬園區網解決方案框架如下圖所示：
▲
DP xCampus安全虛擬園區網解決方案框架
DP xCampus安全虛擬園區網解決方案提供虛擬化基礎架構，通過VSM虛擬交換矩陣技術和VEM虛擬擴展矩陣技術將每個二層域簡化為一臺邏輯設備，整網簡化為幾臺邏輯設備，從而簡化管理。通過OVC操作系統級虛擬化技術構建虛擬業務網，實現一張物理網絡承載所有應用，并能按需提供精細化的網絡策略。通過在核心和匯聚設備上部署的安全業務板卡以及L2~7融合和L2~7虛擬化，可以為應用提供一體化安全防護，并可以通過智能流定義，按需提供精細化的安全策略。
3.1 虛擬化基礎架構
如前所述，一張物理網絡上承載所有應用的建設模式存在網絡規模龐大、建設復雜的問題，虛擬化基礎架構是十分有效的解決方法。迪普科技虛擬化基礎架構由VSM(Virtual Switching Matrix)虛擬交換矩陣技術和VEM(Virtual Extension Matrix)虛擬擴展矩陣技術實現。
通過VSM技術，可以將多臺核心設備虛擬成一臺邏輯設備，實現控制平面的統一。迪普科技VSM技術是L2~7全面的虛擬化技術，不僅可以實現網絡資源的虛擬化，還創新地實現安全和應用交付資源的虛擬化。通過VSM技術虛擬化后，園區網的核心設備虛擬成一臺邏輯設備，每個二層域的匯聚交換機分別虛擬成一臺邏輯設備。通過VSM虛擬化后，實現了接入層設備上行鏈路的跨設備鏈路聚合,消除了二層環路，STP對網絡的影響降到最低，同時三層也無需運行VRRP協議。此外，在運行VSM技術的虛擬化組內，多臺設備性能可以負載分擔，與傳統主備模式相比，設備的利用率大大提升，節省用戶投資。
VSM技術在很大程度上簡化網絡，但對數量龐大、地理位置分散的接入層設備而言，IT管理員仍需一臺臺地配置、調試、管理，這些重復性的工作消耗大量了的精力，極大降低了工作效率。同時接入層設備的功能沒有核心、匯聚層設備功能豐富，這也影響了整網的業務處理能力。
▲
迪普科技創新的VEM虛擬擴展矩陣技術，可以很好的解決以上問題。VEM技術可以將匯聚、接入層設備虛擬化為一臺邏輯設備。虛擬化后，匯聚層設備成為虛擬化組的主設備，接入層設備成為虛擬化組的擴展設備。主設備對多臺下聯的擴展設備進行統一的控制管理，所有的數據轉發也由主設備完成。擴展設備則相當于主設備的接口板。通過VEM技術，擴展設備的配置維護均在主設備上操作，接入層設備無需一臺一臺分別配置維護，極大簡化了網絡的運維管理。
對于大型園區網，核心層通過VSM技術虛擬化成一臺邏輯設備;匯聚層、接入層通過VSM+VEM技術，每個二層域虛擬化成一臺邏輯設備，整網簡化成幾臺邏輯設備的連接。對于中小型園區網，核心層、接入層通過VSM+VEM技術，整網虛擬化成一臺邏輯設備，實現1-Tier組網。
綜上所述，通過虛擬化基礎架構，網絡結構極大簡化，運維管理成本大大降低。
3.2 虛擬業務網
虛擬化基礎架構極大地簡化了網絡，但面對不同應用的不同需求，還需要建立不同的虛擬業務網?？梢愿鶕玫陌踩蟆⒐δ軐傩浴⒂脩羧后w等因素，將應用分為幾類，每一類應用通過單獨的虛擬業務網進行承載。每張虛擬業務網類似于單獨的一張物理網絡，與其他網絡之間完全獨立。在虛擬業務網內，根據應用的需求部署網絡策略和安全策略，包括VLAN、路由、QoS、組播策略、訪問控制策略、安全功能組合等等。這樣，就可以在一張物理網絡上承載所有應用，并且滿足不同應用對安全和網絡策略的不同要求。
虛擬業務網的實現是通過迪普科技創新的OVC(OS-level Virtual Context)操作系統級虛擬化技術，結合認證、訪問控制等技術來實現的。其中的關鍵技術包括：
▲
1) OVC。OVC技術可以將一臺設備虛擬成多臺邏輯設備(虛擬系統)。每個虛擬系統擁有獨立的硬件、軟件、管理資源，包括轉發表項、控制進程、內存、CPU資源等等。管理上，每個虛擬系統擁有獨立的管理員、管理界面。不同虛擬系統間實現操作系統級的隔離。迪普科技OVC技術是L2~7全面的虛擬化技術，不僅可以實現網絡資源的虛擬化，還創新地實現安全和應用交付資源的虛擬化。通過OVC技術，可以實現網絡核心層、匯聚層以及安全資源的劃分。
2) 端口劃分。運行VEM技術后，接入層設備作為主設備的網絡資源(接口板)存在，由主設備進行控制和管理。因此，當通過OVC技術將一臺設備虛擬化成不同虛擬業務網的設備時，可以對主設備的資源，包括接入層設備進行劃分，可以將接入層設備的不同接口劃分給不同的虛擬系統，進而實現接入層的端口隔離。通過VEM+OVC技術，可以將接入層的每個端口分配到相應的虛擬業務網內，并且隔離級別是操作系統級，從而創新地實現了接入層資源的劃分，應用的安全性更加有保障。
3) 用戶劃分。通過迪普科技TAC終端接入控制，可識別不同用戶的身份，根據用戶身份選擇對應的虛擬業務網。當用戶的物理位置變化后，TAC會確保用戶仍然選擇到相同的虛擬業務網，并且網絡策略不變。因此，通過TAC終端接入控制，實現不同虛擬業務網的用戶劃分。
綜上所述，在虛擬化基礎架構之上，通過OVC操作系統級虛擬化技術，結合認證、訪問控制等技術，不僅可以將一張物理網絡的網絡資源劃分給不同的虛擬業務網，也可以對安全資源進行劃分。不同虛擬業務網從核心、匯聚、接入層到安全資源完全獨立，從硬件、軟件到管理完全獨立，從而滿足不同應用的不同網絡和安全要求。
DP xCampus安全虛擬園區網解決方案不僅可以承載多個虛擬業務網，而且能根據應用的變化，實現虛擬業務網的動態擴展，更好地滿足應用不斷增加和變化的發展趨勢。當要新增一套虛擬業務網時，可通過OVC技術，在現有的資源池中，為新的應用劃分出獨立的核心層、匯聚層、接入層的網絡資源，以及安全資源。當應用需要的網絡、安全資源增加時，可將更多的資源劃分給虛擬業務網，實現虛擬業務網的擴容;當應用所需的資源減少時，可將虛擬業務網的部分資源釋放;當應用廢棄時，可將對應的虛擬業務網刪除;這樣，便可在一套物理網絡上，根據應用的變化及時作出調整，網絡具備很強的適應能力。
綜上所述，通過迪普科技的VSM+VEM+OVC+TAC技術，可在一套物理網絡上虛擬出多套虛擬業務網，進行不同應用的承載，虛擬業務網間實現類似多套物理網絡的隔離。在此基礎上，能進一步實現網絡的動態擴展，很好地應對應用增加的發展趨勢。
3.3 安全體系架構
如前所述，園區網的安全防護體系應該根據應用需要提供針對性的防護，防護粒度更加細致，同時滿足等保要求。
▲
迪普科技可以提供訪問控制、入侵防御、病毒防范、流量控制、行為審計在內完善的安全防護，既保障虛擬業務網內應用的安全，又保障虛擬業務網間安全的互連，同時滿足等保的相關要求。
迪普科技的核心層、匯聚層產品支持多種類型的安全業務板卡，在與網絡融合的基礎上，這些板卡可以提供豐富的安全功能。通過迪普科技創新的智能流定義技術，可以指定特定的數據流通過特定的業務板卡，業務板卡的通過順序也可自行定義。這樣就可以針對不同應用提供不同的安全防護。同時，智能流定義通過圖形化配置，配置過程十分簡單，極大地簡化安全策略的部署。
通過L2~7的VSM虛擬化技術，同類型的業務板卡可以虛擬成為一塊邏輯板卡，從而簡化管理，提高性能和可靠性。而VEM技術可以將流量從接入層牽引至核心層，再結合智能流定義技術，就可以對所有端口間的訪問流量進行安全防護。與傳統安全防護體系主要對VLAN間流量防護相比，迪普科技通過VEM+VSM，以及多種類型的安全業務板卡，可以將防護粒度從VLAN間提升至VLAN內，大大增強了網絡的安全性。
無論是針對不同應用進行針對性防護，還是防護細粒度的提升，都對安全防護體系的性能提出了很高的要求。迪普科技通過創新的產品設計，提供整機最大3.2Tbps(64字節)業務處理性能、32億并發連接和1.28億每秒新建連接的業務處理能力，領先業界平均水平10倍以上，讓安全防護體系無性能之憂。
綜上所述，迪普科技通過L2~7融合、L2~7虛擬化、智能流定義、VEM技術，對園區網中所有流量都可以提供L2~7全面的安全防護，防護功能按需定義，防護粒度達到VLAN內，同時滿足信息等保的相關要求。
四、安全虛擬園區網方案設計
■ 中小型園區網方案設計
中小型園區網的方案設計較為簡單，采用“核心-接入”的扁平化組網模式，整網為一個二層域。通過部署無線AP、AC提供靈活的無線接入，并實現有線無線一體化。通過在核心部署業務板卡實現安全防護所需的功能。
方案拓撲如下圖所示：
▲
中小型園區網方案的設計要點如下：
√ 1-Tier組網，整網虛擬化為一臺邏輯設備
√ 虛擬業務網，不同應用通過不同的虛擬業務網承載
√ L2~7層安全防護，按需提供安全防護，實現VLAN內防護
■ 大型園區網方案設計
大型園區網的方案是在中小型園區網方案的基礎上，增加二層域的數量，二層域與核心層通過路由互通，并實現有線無線一體化。通過在核心部署業務板卡實現安全防護所需的功能。方案拓撲如下圖所示：
▲
大型園區網方案的設計要點如下：
√ 虛擬化組網，整網虛擬化為一臺核心層設備與幾臺匯聚設備的相連
√ 虛擬業務網，實現不同應用的操作系統級隔離，隔離到邊
√ 安全體系架構，建立安全資源池，提供自定義的安全防護
■ 演進方案
對于非新建園區，迪普科技提供演進性的解決方案。在演進的第一階段，部署一體化的安全核心，通過在安全核心上部署的多種安全業務板卡實現安全防護的功能。在實際部署時，可以通過OVC技術將安全核心一分為二，分別為內網和外網提供安全防護，網絡核心與安全核心分離。
當后續網絡擴容時，可以在安全核心上增加交換板卡，新建網絡采用VEM技術，實現網絡核心與安全核心的融合。有網絡達到使用年限以后，再行替換。從而最大程度減少對網絡的改動，保護投資，實現網絡的平滑演進。
演進方案的設計要點如下：
√ 安全防護，提供L2~7層安全防護，滿足等保要求
√ 按需防護，根據應用需要提供針對性的防護
√ 平滑演進，滿足網絡擴容需求，對現網改動最小
總之，DP xCampus安全虛擬園區網解決方案不但能夠滿足園區網需要的極大簡化、虛擬隔離、安全防護等需求，而且能夠提供網絡安全融合的部署方案，以及靈活的租戶自組網能力。DP xCampus安全虛擬園區網解決方案能夠給客戶提供不可替代的價值。
京公網安備 11010502049343號