技術特色

在這種咄咄逼人的安全形勢下，數據中心需要一個全方位一體化的安全部署方式。數據中心安全解決方案秉承了一貫倡導的“安全滲透理念”，將安全部署滲透到整個數據中心的設計、部署、運維中，為數據中心搭建起一個立體的、無縫的安全平臺，真正做到了使安全貫穿數據鏈路層到網絡應用層的目標，使安全保護無處不在。

數據中心安全解決方案的技術特色可用十二個字概括：三重保護、多層防御；分區規劃，分層部署。

2.1         三重保護，多層防御

圖3 數據中心三重安全保護

以數據中心服務器資源為核心向外延伸有三重保護功能。依拖具有豐富安全特性的交換機構成數據中心網絡的第一重保護；以ASIC、FPGA和NP技術組成的具有高性能精確檢測引擎的IPS提供對網絡報文深度檢測，構成對數據中心網絡的第二重保護；第三重保護是憑借高性能硬件防火墻構成的數據中心網絡邊界。

用一個形象的比喻來說明數據的三重保護。數據中心就像一個欣欣向榮的國家，來往的商客就像訪問數據中心的報文；防火墻是駐守在國境線上的軍隊，一方面擔負著守衛國土防御外族攻擊（DDOS）的重任，另一方面負責檢查來往商客的身份（訪問控制）；IPS是國家的警察，隨時準備捉拿雖然擁有合法身份，但仍在從事違法亂紀活動的商客（蠕蟲病毒），以保衛社會秩序；具有各種安全特性的交換機就像商鋪雇傭的保安，提供最基本的安全監管，時刻提防由內部人員造成的破壞（STP 攻擊）。

 

圖4 數據中心多層安全防御

三重保護的同時為數據中心網絡提供了從鏈路層到應用層的多層防御體系，如圖。交換機提供的安全特性構成安全數據中心的網絡基礎，提供數據鏈路層的攻擊防御。數據中心網絡邊界安全定位在傳輸層與網絡層的安全上，通過狀態防火墻可以把安全信任網絡和非安全網絡進行隔離，并提供對DDOS和多種畸形報文攻擊的防御。IPS可以針對應用流量做深度分析與檢測能力，同時配合以精心研究的攻擊特征知識庫和用戶規則，即可以有效檢測并實時阻斷隱藏在海量網絡流量中的病毒、攻擊與濫用行為，也可以對分布在網絡中的各種流量進行有效管理，從而達到對網絡應用層的保護。

2.2         分區規劃，分層部署

在網絡中存在不同價值和易受攻擊程度不同的設備，按照這些設備的情況制定不同的安全策略和信任模型，將網絡劃分為不同區域，這就是所謂的分區思想。數據中心網絡根據不同的信任級別可以劃分為：遠程接入區、園區網、Internet服務器區、Extranet服務器區、Intranet服務器區、管理區、核心區，如圖。

圖5 數據中心分區規劃思想

所謂多層思想（n-Tier）不僅體現在傳統的網絡三層部署（接入－匯聚－核心）上，更應該關注數據中心服務器區（Server Farm）的設計部署上。服務器資源是數據中心的核心，多層架構把應用服務器分解成可管理的、安全的層次?！岸鄬印敝笖祿行目梢杂腥我鈹祿膶哟?，但通常是3層。按照功能分層打破了將所有功能都駐留在單一服務器時帶來的安全隱患，增強了擴展性和高可用性。

如圖，第一層，Web服務器層，直接與接入設備相連，提供面向客戶的應用；第二層，即應用層，用來粘合面向用戶的應用程序、后端的數據庫服務器或存儲服務器；第三層，即數據庫層，包含了所有的數據庫、存儲和被不同應用程序共享的原始數據。

圖6 數據中心分層部署思想

 

3           關鍵技術說明

本節將按照“三重保護、多層防御”的思想，詳細說明每種安全技術的應用模式。本節的最后還將介紹另一個不容忽視的問題－“數據中心網絡管理安全技術”。

3.1.1       數據中心網絡架構安全技術

網絡基礎架構的安全特性是數據中心中各部件產品基本安全特性的通稱。架構安全特性涉及服務器、接入交換機、負載均衡器、匯聚交換機、核心交換機等設備，部署點多、覆蓋面大，是構成整個安全數據中心的基石。

憑借基于COMWARE的具有豐富安全特性全系列智能交換機為數據中心打造堅實的基礎構架。它以強大的IP轉發引擎為核心，通過完善的體系結構設計，把實時操作系統和網絡管理、網絡應用、網絡安全等技術完美的結合在一起。作為一個不斷發展、可持續升級的平臺，它具有開放的接口，可靈活支持大量的網絡協議和安全特性。COMWARE可應用在分布式或集中式的網絡設備構架之上，也就是說，不僅可以運行在高端的交換機/路由器上，而且也可以運行在中低端的交換機/路由器上，不向其它廠商，不同的軟件運行在不同的設備上。COMWARE的這一特性可使網絡中各節點設備得到同一的安全特性，徹底避免了由于部件產品安全特性不一致、不統一造成的安全“短木板效應”。

 

圖7 數據中心基礎架構安全相關架構

1.    基于VLAN的端口隔離

交換機可以由硬件實現相同VLAN中的兩個端口互相隔離。隔離后這兩個端口在本設備內不能實現二、三層互通。當相同VLAN中的服務器之間完全沒有互訪要求時，可以設置各自連接的端口為隔離端口，如圖。這樣可以更好的保證相同安全區域內的服務器之間的安全：

?          即使非法用戶利用后門控制了其中一臺服務器，但也無法利用該服務器作為跳板攻擊該安全區域內的其他服務器。

?          可以有效的隔離蠕蟲病毒的傳播，減小受感染服務器可能造成的危害。比如：如果Web服務器遭到了Code-Red紅色代碼的破壞，即使其它Web服務器也在這個網段中，也不會被感染。

圖8 交換機Isolated Vlan 技術

2.    STP Root/BPDU Guard

基于Root/BPDU Guard方式的二層連接保護保證STP/RSTP穩定,防止攻擊,保障可靠的二層連接。如圖。

圖9 交換機Root Guard/BPDU Guard 技術

       BPDU Guard

對于接入層設備，接入端口一般直接與用戶終端（如PC機）或文件服務器相連，此時接入端口被設置為邊緣端口以實現這些端口的快速遷移；當這些端口接受到配置消息（BPDU報文）時系統會自動將這些端口設置為非邊緣端口，重新計算生成樹，引起網絡拓撲的震蕩。這些端口正常情況下應該不會收到生成樹協議的配置消息的。如果有人偽造配置消息惡意攻擊交換機，就會引起網絡震蕩。BPDU保護功能可以防止這種網絡攻擊。

交換機上啟動了BPDU保護功能以后，如果邊緣端口收到了配置消息，系統就將這些端口shutdown，同時通知網管。被shutdown的端口只能由網絡管理人員恢復。推薦用戶在配置了邊緣端口的交換機上配置BPDU保護功能。

     ROOT Guard

由于維護人員的錯誤配置或網絡中的惡意攻擊，網絡中的合法根交換機有可能會收到優先級更高的配置消息，這樣當前根交換機會失去根交換機的地位，引起網絡拓撲結構的錯誤變動。這種不合法的變動，會導致原來應該通過高速鏈路的流量被牽引到低速鏈路上，導致網絡擁塞。Root保護功能可以防止這種情況的發生。

對于設置了Root保護功能的端口，端口角色只能保持為指定端口。一旦這種端口上收到了優先級高的配置消息，即其將被選擇為非指定端口時，這些端口的狀態將被設置為偵聽狀態，不再轉發報文（相當于將此端口相連的鏈路斷開）。當在足夠長的時間內沒有收到更優的配置消息時，端口會恢復原來的正常狀態。

    LOOP PROTECTION

交換機的根端口和其他阻塞端口的狀態依靠不斷接收上游交換機發送的BPDU來維持的。但是由于鏈路擁塞或者單向鏈路故障，這些端口會收不到上游交換機的BPDU。此時交換機會重新選擇根端口，根端口會轉變為指定端口，而阻塞端口會遷移到轉發狀態，從而交換網絡中會產生環路。環路保護功能會抑制這種環路的產生。在啟動了環路保護功能后，根端口的角色如果發生變化就會設置它為Discarding狀態，阻塞端口會一直保持在Discarding狀態，不轉發報文，從而不會在網絡中形成環路。

   TC PROTECTION

根據IEEE 802.1w和IEEE 802.1s協議，交換機監測到拓撲變化或者接收到TC報文后會清空MAC表。如果受到TC攻擊(連續不斷收到TC報文)交換機就會一直進行MAC刪除操作，影響正常的轉發業務。使能TC PROTECTION功能后，將減少刪除MAC的次數，保證業務的正常運行。

 

3.    端口安全

端口安全（Port Security）的主要功能就是通過定義各種安全模式，讓設備學習到合法的源MAC地址，以達到相應的網絡管理效果。對于不能通過安全模式學習到源MAC地址的報文或802.1x認證失敗的0

當發現非法報文后，系統將觸發相應特性，并按照預先指定的方式自動進行處理，減少了用戶的維護工作量，極大地提高了系統的安全性和可管理性。

端口安全的特性包括：

NTK：NTK（Need To Know）特性通過檢測從端口發出的數據幀的目的MAC地址，保證數據幀只能被發送到已經通過認證的設備上，從而防止非法設備竊聽網絡數據。

Intrusion Protection：該特性通過檢測端口接收到的數據幀的源MAC地址或802.1x認證的用戶名、密碼，發現非法報文或非法事件，并采取相應的動作，包括暫時斷開端口連接、永久斷開端口連接或是過濾此MAC地址的報文，保證了端口的安全性。

Device Tracking：該特性是指當端口有特定的數據包（由非法入侵，用戶不正常上下線等原因引起）傳送時，設備將會發送Trap信息，便于網絡管理員對這些特殊的行為進行監控。

表2 端口的安全模式：

 

4.    防IP偽裝

病毒和非法用戶很多情況會偽裝IP來實現攻擊。偽裝IP有三個用處：

?          本身就是攻擊的直接功能體。比如smurf攻擊。

?          麻痹網絡中的安全設施。比如繞過利用源IP做的接入控制。

?          隱藏攻擊源

設備防止IP偽裝的關鍵在于如何判定設備接收到的報文的源IP是經過偽裝的。這種判定的方式有三種。分別在內網和內外網的邊界使用。

      在internet出口處過濾RFC3330和RFC1918所描述的不可能在內外網之間互訪的IP地址。

由于現今internet上的大多數攻擊者都不具備很高的網絡技術水平，其攻擊手段僅僅是比較機械利用現有的攻擊工具。同時一些攻擊工具雖然做到了使用方便，但其攻擊方法設計也相對簡單，沒有辦法根據網絡實際狀況進行調整。因此，網絡中大多數的攻擊方式是帶有盲目性的。局域網在其internet出入口處過濾掉不可能出現的IP地址，可以緩解非法用戶簡單的隨機偽裝IP所帶來的危害。

     利用IP和MAC的綁定關系

?          網關防御

利用DHCP relay特性，網關可以形成本網段下主機的IP、MAC映射表。當網關收到一個ARP報文時，會先在映射表中查找是否匹配現有的映射關系。如果找到則正常學習，否則不學習該ARP。這樣偽裝IP的設備沒有辦法進行正常的跨網段通信。

?          接入設備防御

利用DHCP SNOOPING特性，接入設備通過監控其端口接收到的DHCP request、ACK、release報文，也可以形成一張端口下IP、MAC的映射表。設備可以根據IP、MAC、端口的對應關系，下發ACL規則限制從該端口通過的報文源IP必須為其從DHCP 服務器獲取的IP地址。

     UPRF

UPRF會檢測接收到的報文中的源地址是否和其接收報文的接口相匹配。其實現機制如下：設備接收到報文后，UPRF會比較該報文的源地址在路由表中對應的出接口是否和接收該報文的接口一致。如果兩者不一致，則將報文丟棄。

 

5.    路由協議認證

攻擊者也可以向網絡中的設備發送錯誤的路由更新報文，使路由表中出現錯誤的路由，從而引導用戶的流量流向攻擊者的設備。為了防止這種攻擊最有效的方法就是使用局域網常用路由協議時，必須啟用路由協議的認證。

?          OSPF協議，支持鄰居路由器之間的明文/MD5認證和OSPF區域內的明文/MD5認證；

?          RIPv2協議，支持鄰居路由器之間的明文/MD5認證

另外，在不應該出現路由信息的端口過濾掉所有路由報文也是解決方法之一。但這種方法會消耗掉許多ACL資源。

 

3.1.2       數據中心網絡邊界安全技術

邊界安全的一項主要功能是實現網絡隔離，通過防火墻可以把安全信任網絡和非安全網絡進行隔離。防火墻以其高效可靠的防攻擊手段，和靈活多變的安全區域配置策略擔負起是守護數據中心邊界安全的的重任。

1.    狀態防火墻

實現網絡隔離的基本技術是IP包過濾，ACL是一種簡單可靠的技術，應用在路由器或交換機上可實現最基本的IP包過濾，但單純的ACL包過濾缺乏一定的靈活性。對于類似于應用FTP協議進行通信的多通道協議來說，配置ACL則是困難的。FTP包含一個預知端口的TCP控制通道和一個動態協商的TCP數據通道，對于一般的ACL來說，配置安全策略時無法預知數據通道的端口號，因此無法確定數據通道的入口。

狀態防火墻設備將狀態檢測技術應用在ACL技術上，通過對連接狀態的狀態的檢測，動態的發現應該打開的端口，保證在通信的過程中動態的決定哪些數據包可以通過防火墻。狀態防火墻還采用基于流的狀態檢測技術可以提供更高的轉發性能，因為基于ACL的包過濾技術是逐包檢測的，這樣當規則非常多的時候包過濾防火墻的性能會變得比較低下，而基于流的狀態防火墻可以根據流的信息決定數據包是否可以通過防火墻，這樣就可以利用流的狀態信息決定對數據包的處理結果加快了轉發性能。

2.    防火墻安全區域管理

邊界安全的一項主要功能是網絡隔離，并且這種網絡隔離技術不是簡單的依靠網絡接口來劃分的，因為網絡的實際拓撲是千差萬別的，使用固定接口來進行網絡隔離不能適應網絡的實際要求。SecPath防火墻提供了基于安全區域的隔離模型，每個安全區域可以按照網絡的實際組網加入任意的接口，因此SecPath的安全管理模型是不會受到網絡拓撲的影響。

業界很多防火墻一般都提供受信安全區域（trust）、非受信安全區域（untrust）、非軍事化區域（DMZ）三個獨立的安全區域，這樣的保護模型可以適應大部分的組網要求，但是在一些安全策略要求較高的場合，這樣的保護模型還是不能滿足要求。

SecPath防火墻默認提供四個安全區域：trust、untrust、DMZ、local，在提供三個最常用的安全邏輯區域的基礎上還新增加了本地邏輯安全區域，本地安全區域可以定義到防火墻本身的報文，保證了防火墻本身的安全防護，使得對防火墻本身的安全保護得到加強。例如，通過對本地安全區域的報文控制，可以很容易的防止不安全區域對防火墻本身的Telnet、ftp等訪問。SecPath防火墻還提供自定義安全區域，可以最大定義16個安全區域，每個安全區域都可以加入獨立的接口。

SecPath系列防火墻支持根據不同的安全區域之間的訪問設計不同的安全策略組，每條安全策略組支持若干個獨立的規則。這樣的規則體系使得防火墻的策略十分容易管理，方面用戶對各種邏輯安全區域的獨立管理。部分防火墻還是采用基于接口的安全策略管理機制，如圖。

圖10 防火墻安全區域管理

兩個接口：trust接口和DMZ接口共享untrust接口訪問internet，如果在接口上使用安全策略進行控制，則會導致策略混亂。因為在untrust接口流量中，即有從DMZ和internet之間的流量，也有從trust和internet之間的流量。這樣的策略控制模型不適合用戶進行策略配置。而基于安全區域的策略控制模型，可以清晰的分別定義從trust到untrust、從DMZ到untrust之間的各種訪問，這樣的策略控制模型使得SecPath防火墻的網絡隔離功能具有很好的管理能力。

 

3.    防火墻DOS/DDOS防御

Dos（Deny of service）是一類攻擊方式的統稱（DDos也是Dos的一種），其攻擊的基本原理就是通過發送各種垃圾報文導致網絡的阻塞、服務的癱瘓。Dos攻擊方式其利用IP無連接的特點，可以制造各種不同的攻擊手段，而且攻擊方式非常簡單。

在Internet上非常流行，對企業網、甚至骨干網都造成了非常嚴重的影響，引發很大的

網絡事故，因此優秀的Dos攻擊防范功能是防火墻的必備功能?，F在幾乎所有的防火墻設備都宣傳具有Dos攻擊防御功能，但是那么為什么Dos攻擊導致網絡癱瘓的攻擊事件為什么還是層出不窮呢？一個優秀的Dos攻擊防御體系，應該具有如下最基本的特征：

    防御手段的健全和豐富。因為Dos攻擊手段種類比較多，因此必須具有豐富的防御手段，才可以保證真正的抵御Dos攻擊。

   優秀的處理性能。因為Dos攻擊伴隨這一個重要特征就是網絡流量突然增大，如果防火墻本身不具有優秀的處理能力，則防火墻在處理Dos攻擊的同時本身就成為了網絡的瓶頸，根本就不可能抵御Dos攻擊。因為Dos攻擊的一個重要目的就是使得網絡癱瘓，網絡上的關鍵設備點發生了阻塞，則Dos攻擊的目的就達到了。防火墻設備不但要注重轉發性能，同時一定要保證對業務的處理能力。在進行Dos攻擊防御的過程中，防火墻的每秒新建能力就成為保證網絡通暢的一個重要指標，Dos攻擊的過程中，攻擊者都是在隨機變化源地址因此所有的連接都是新建連接。

   準確的識別攻擊能力。很多防火墻在處理Dos攻擊的時候，僅僅能保證防火墻后端的流量趨于網絡可以接受的范圍，但是不能保證準確的識別攻擊報文。這樣處理雖然可以保證網絡流量的正常，可以保證服務器不會癱瘓，但是這樣處理還是會阻擋正常用戶上網、訪問等的報文，因此雖然網絡層面是正常的，但是真正的服務還是被拒絕了，因此還是不能達到真正的Dos攻擊防御的目的。SecPath系列防火墻產品，在對上述各個方面都做了詳盡的考慮，因此Dos防御的綜合性能、功能等方面在同類防火墻產品中都具有很強的優勢。

 

4.    防火墻TCP代理

Tcp代理是SecPath系列防火墻為防止SYN Flood類的Dos攻擊，而專門開發的一個安全特性。

SYN Flood攻擊可以很快的消耗服務器資源，導致服務器崩潰。在一般的Dos防范技術中，在攻擊發生的時候不能準確的識別哪些是合法用戶，哪些是攻擊報文。Eudemon防火墻采用了TCP透明代理的方式實現了對這種攻擊的防范，Eudemon防火墻通過精確的驗證可以準確的發現攻擊報文，對正常報文依然可以通過允許這些報文訪問防火墻資源，而攻擊報文則被Eudemon防火墻丟棄。有些攻擊是建立一個完整的TCP連接用來消耗服務器的資源。Eudemon系列防火墻可以實現增強代理的功能，在客戶端與防火墻建立連接以后察看客戶是否有數據報文發送，如果有數據報文發送防火墻再與服務器端建立連接否則丟棄客戶端的報文。這樣可以保證即使采用完成TCP三次握手的方式消耗服務器資源，也可以被Eudemon防火墻發現。

圖11 防火墻TCP代理

5.    防火墻在數據中心的部署點

1） ServerFarm 網絡邊界上的狀態防火墻

園區網絡通常包括園區核心網、邊界網絡、內部網絡、分支結構網絡、數據中心(ServerFarm)網絡。核心網絡是所有網絡區域的中心，內部網絡、數據中心、邊界網絡以星狀連接在核心周圍，邊界網的另一端還與Internet相連，可以為園區提供Internet出口，并且作為分支網絡的接入點，如圖所示。

圖12 防火墻在數據中心的部署點

防火墻應該部署在信任與非信任網絡的鄰接點上，避免不安全因素的擴散。上述園區網絡模型中存在兩個這樣的鄰接點，一是邊界網絡與Internet的接入點上，這個位置部署放火墻可以隔離來自Internet或外部網絡的有害數據；另一個在數據中心（ServerFarm）匯聚交換機與核心網交換機的接的接入點上，在此部署防火墻可避免來自內部網絡的威脅，這種威脅可能是內網員工惡意攻擊造成的，也可能是一些不恰當的操作對網絡造成的。

2） 多層服務器區內部的狀態防火墻

在ServerFarm內部多層服務器區的各層之間也可以部署防火墻以增強不同層次之間的安全性，如圖。由于web服務器直接面對訪問者，通常來說是網絡中的薄弱環節，使用分層防御可以將重要的服務器通過防火墻進行保護，即使web服務器被攻陷，也不會造成應用服務器與數據庫服務器的進一步破壞。

 

3.1.3       數據中心應用防護技術

IPS可以針對應用流量做深度分析與檢測能力，同時配合以精心研究的攻擊特征知識庫和用戶規則，即可以有效檢測并實時阻斷隱藏在海量網絡流量中的病毒、攻擊與濫用行為，也可以對分布在網絡中的各種流量進行有效管理，從而達到對網絡上應用的保護、網絡基礎設施的保護和網絡性能的保護。

以下介紹IPS應用防護功能的幾項關鍵技術：

1.    IPS in-line 部署方式

IPS可以被“in-line”地部署到網絡當中去，對所有流經的流量進行深度分析與檢測，從而具備了實時阻斷攻擊的能力，同時對正常流量不產生任何影響?；谄涓咚俸涂蓴U展的硬件平臺，IPS不斷優化檢測性能，使其能夠達到與交換機同等級別的高吞吐量和低延時，同時可以對所有主要網絡應用進行分析，精確鑒別和阻斷攻擊。IPS的出現使得應用層威脅問題迎刃而解。

2.    硬件引擎

基于ASIC、FPGA和NP技術開發的威脅抑制引擎（TSE，Threat Suppression Engine）是高性能和精確檢測的基礎。TSE的核心架構由以下部件有機融合而成：

圖13 IPS 的基于硬件的威脅抑止引擎

定制的ASIC

FPGA(現場可編程門陣列)

20G高帶寬背板

高性能網絡處理器

該核心架構提供的大規模并行處理機制，使得IPS對一個報文從2層到7層所有信息的檢測可以在215微秒內完成，并且保證處理時間與檢測特征數量無線性關系。采用流水線與大規模并行處理融合技術的TSE可以對一個報文同時進行幾千種檢測，從而將整體的處理性能提高到空前水平。

在具備高速檢測功能的同時，TSE還提供增值的流量分類、流量管理和流量整形功能。TSE可以自動統計和計算正常狀況下網絡內各種應用流量的分布，并且基于該統計形成流量框架模型；當短時間內大規模爆發的病毒導致網絡內流量發生異常時，TSE將根據已經建立的流量框架模型限制或者丟棄異常流量，保證關鍵業務的可達性和通暢性。此外，為防止大量的P2P、IM流量侵占帶寬，TSE還支持對100多種點到點應用的限速功能，保證關鍵應用所需的帶寬。

3.    應用防護能力

IPS在跟蹤流狀態的基礎上，對報文進應用層信息的深度檢測，可以在蠕蟲、病毒、木馬、DoS/DDoS、后門、Walk-in蠕蟲、連接劫持、帶寬濫用等威脅發生前成功地檢測并阻斷。

圖14 IPS 的應用防護能力

IPS還支持以下檢測機制：

基于訪問控制列表（ACL）的檢測

基于統計的檢測

基于協議跟蹤的檢測

基于應用異常的檢測

報文規范檢測（Normalization）

IP報文重組

TCP流恢復

以上機制協同工作，IPS可以對應用流量進行細微粒度的識別與控制，有效檢測流量激增、緩沖區溢出、漏洞探測、IPS規避等一些已知的、甚至未知的攻擊。

圖15 IPS的數字疫苗系統

3.1.4       數據中心網絡管理安全技術

1.    SSH

由于Telnet沒有提供安全的認證方式，且通過TCP傳輸的通信內容都是明文的，即使啟用了AAA認證，輸入的用戶名和密碼也可以通過抓包分析來獲得；由于系統對Telnet用戶不進行復雜的驗證，DoS攻擊、主機IP欺騙、路由欺騙等攻擊都可能給服務器帶來致命威脅，因此存在著相當大的安全隱患。

圖16 基于SSH管理交換機

SSH（Secure Shell）是在Telnet基礎上發展起來的一種安全的遠程登錄協議，協議號22，它支持password和RSA認證，對數據進行DES和3DES等加密（由于DES的安全性不高，SSH2中已不支持DES），有效防止了對密碼的竊聽，保護了數據的完整性和可靠性，保證了數據的安全傳輸。特別是對于RSA認證的支持，對稱加密和非對稱加密的混合應用，密鑰的安全交換，最終實現了安全的會話過程。

在不安全的網絡上直接進行遠程登陸和文件傳輸是不安全的，用戶名、密碼、數據都可能被非法人員截獲。

SSH使用認證和加密來保護不安全的網絡上的通信，SSH分為客戶端和服務端，服務端的知名端口號為22。SSH是Secure Shell的簡稱，中文可叫做安全外殼，目前有stelnet(secure telnet)和SFTP(Secure FTP)兩種應用。Stelnet完成遠程登陸，SFTP完成文件傳輸，與telnet和FTP的功能相同，但是協議的處理完全不同。

 

2.    SNMPV3

由于SNMP承載于UDP之上，因而SNMP很容易被非法用戶利用偽裝IP進行攻擊。特別是當攻擊者先捕獲到合法SNMP流量后，SNMP對其幾乎不設防。也正因為如此，SNMP一直未能得到大規模的使用。在這種前提下。SNMP V3應運而生。SNMP V3支持MD5或SHA認證和DES或AES加密。從而為SNMP協議提供了合理的安全特性。

 

3.    常見協議的信任源控制

設備支持對SNMP、TELNET/SSH設定軟件ACL，來限定只有合法的網段或者IP才能訪問設備的這些協議。

 

4.    端口鏡像

由于現階段網絡對人們的工作、生活都有極其深遠的影響。高可用的網絡也越來越受到關注。高可用包含兩層含義：一是網絡本身不出現異常；二是網絡出現異常后能夠迅速恢復。因此，現階段對網絡管理維護人員迅速定位問題的能力提出了很高的要求。端口鏡像作為網絡管理維護人員很好的網絡狀況監控手段成為網絡管理維護人員定位問題的一個重要組成部分。端口鏡像有兩類：遠程端口鏡像和本地鏡像。

本地鏡像是指將交換機的1個或多個端口的報文復制到本交換機的一個監控端口，用于報文的分析和監視。例如：可以將Ethernet0/1端口上的報文復制到指定監控口Ethernet0/2，通過監控口Ethernet0/2上連接的協議分析儀進行測試和記錄。目前我司所有的可管理交換機都實現了這個功能。

但本地鏡像在實際應用中存在一定的缺陷，例如：當交換機不是集中放置在一個中心機房中時，為了檢測分散在不同地域的交換機上的端口需要維護人員跑到現場進行鏡像觀測。為了降低維護人員的維護工作量，遠程鏡像的功能隨即在一些廠商的交換機上產生了。遠程鏡像突破了被鏡像端口和鏡像端口必須在同一臺交換機上的限制，使被鏡像端口和鏡像端口間可以跨越多個網絡設備，這樣維護人員就可以坐在中心機房以通過分析儀觀測遠端被鏡像端口的數據報文了。

圖17 交換機的端口鏡像

理想狀態下被鏡像的數據報文應該能夠穿越三層網絡到達遠端的鏡像端口，但由于目前被鏡像的端口所在的交換機多為低端二層交換機，出于成本和實現難度的考慮，目前廠家實現的遠程鏡像功能都無法穿越三層網絡。

遠程鏡像功能簡稱為RSPAN。RSPAN實現的功能為將所有的被鏡像報文通過一個特殊的RSPAN VLAN傳遞到遠端的鏡像端口。

圖18 交換機遠程鏡像技術

在整個功能實現上主要由以下設備來參與完成：

Source switch

需要被監測的端口所在的交換機，在該交換機上存在三種端口：

Source port

被檢測的用戶端口，通過在ASIC中設置鏡像bit屬性將用戶數據報文復制到指定的Reflector port。source port可以有多個，對于低端交換機只能實現入方向報文的鏡像，對于復雜的交換機可以實現端口雙向報文的鏡像。

Reflector port

該端口的Pvid為專用的RSPAN vlan id，且為untag端口，同時該端口處于內部自環狀態。從source port鏡像來的TAG報文從該端口輸出時tag被剝離，同時由于該端口自環，因此所有報文又被重新從該端口輸入，由于該端口的Pvid為RSPAN vlan id，因此所有的鏡像報文會以新的RSPAN vlan在所有vlan trunk端口上進行廣播（目的MAC永遠學習不到，所以永遠為所有端口廣播）。

Trunk端口

 將鏡像報文發送到中間交換機或者目的交換機。

Intermediate switch

該設備上只存在Trunk端口，是中間交換機專為RSPAN vlan開辟的一條通路。

在所有的vlan trunk端口上廣播RSPAN vlan的報文，為了減少不必要的垃圾廣播，需要在中間交換機上對于vlan trunk端口進行RSPAN vlan的裁減，使中間交換機和接監測設備的交換機相連的vlan trunk端口才具備RSPAN vlan的通過的能力。

Destination switch

連接監測設備的交換機，在該交換機上存在兩種端口：

Destination port

遠程鏡像報文的監控端口。源端口的報文經過RSPAN vlan的巧妙轉發，最終可以在Destination port上接收到。

Trunk端口

接收遠程鏡像報文。

Remote-probe VLAN

即上文所說的RSPAN vlan。為了實現遠程端口管理功能，在三類交換機上需要定義一個特殊的VLAN，這個VLAN稱之為Remote-probe VLAN。所有的被鏡像的報文通過該VLAN從源交換機傳遞到目的交換機的鏡像端口，實現從目的交換機對源交換機的遠程端口的報文進行監控。Remote-probe VLAN具有以下特點：

該VLAN內的所有端口的PVID（Port VLAN ID）都不能為Remote-probe VLAN ID；

該VLAN中的所有端口都必須是Trunk端口或Fabric端口，不能包含Access端口和Hybrid端口；

對于缺省VLAN、管理VLAN 、Fabric VLAN、協議VLAN不能配成Remote-probe VLAN；

該VLAN中不能包含遠程鏡像源端口。

 

5.    用戶的分級管理

對登錄用戶采取分級機制，權限從低到高分為四級，依次為：訪問級、監視級、系統級、管理級。對用戶密碼采用加密算法進行保存，并限制一次連接登錄不成功的次數來防止口令被窮舉得到，并在設備上設置警示性的登錄提示。

6.    用戶視圖保護

當管理員有事走開時可以鎖定當前用戶視圖。防止非法人員乘機盜用管理員的權限。同時設備還提供超時鎖定功能。

 

4           典型組網方案

4.1         數據中心綜合組網圖

 

圖19 數據中心綜合組網圖

4.2         Server farm 組網圖

圖20 服務器區（Server Farm）典型組網圖

5           綜述

數據中心安全解決方案為數據中心提供了建立在全線速網絡基礎上的防護攻擊所需的邊界安全、深度防御及構架安全解決之道。它可保護數據中心中關鍵應用和保密數據；增強數據中心的運營效率，并迅速創建新的安全應用環境來支持新的業務流程。

通過擁有一個高度永續、有效、可調整的數據中心網絡，企業可緩解競爭壓力、拓展市場范圍、加速新服務的面世，面向未來提供一條高效安全的可持續發展之路。