一、用戶概況

上海地面通信息網絡有限公司是專業從事互聯網Internet接入、云計算IDC服務器托管及電信數據通信業務等技術服務的高新技術企業。 公司以領先的服務理念、靈活的經營機制、服務眾多國內外客戶。 公司自有品牌DMT互聯網平臺，利用三網合一技術實現了電信、聯通、移動三大運營商網絡的互聯互通功能，為用戶節省了費用且解決了相關運行問題。公司根據市場需求建立了上海首家自有數據機房(IDC云計算機房)，是頗具規模的電信運營商之一，并榮獲2010 年中國上海世博會專用網絡運營商。

二、項目背景

云計算(CloudComputing)是網格計算(GridComputing)、分布式計算(DistributedComputing)、并行計算(ParallelComputing)、效用計算(Utility Computing)、網絡存儲(Network StorageTechnologies)、虛擬化(Virtualization)、負載均衡(LoadBalance)等傳統計算機技術和網絡技術發展融合的產物。它旨在通過網絡把多個成本相對較低的計算實體整合成一個具有強大計算能力的完美系統，并借助SaaS、PaaS、IaaS、MSP等先進的商業模式把這強大的計算能力分布到終端用戶手中。云計算的一個核心理念就是通過不斷提高“云”的處理能力，進而減少用戶終端的處理負擔，最終使用戶終端簡化成一個單純的輸入輸出設備，并能按需享受“云”的強大計算處理能力!

云計算的核心思想，是將大量用網絡連接的計算資源統一管理和調度，構成一個計算資源池向用戶按需服務。地面通為了更好的為用戶提供高效、高性能、高可管理性的服務，專門搭建了以惠普服務器和VMWare為平臺的云計算中心，并提供多種服務。如虛擬化主機、SaaS等。然而，云計算中心也同時面臨新的安全威脅。總體來說，云計算應用主要面臨如下安全威脅。

(1)服務可用性威脅 用戶的數據和業務應用處于云計算系統中，其業務流程將依賴于云計算服務提供商所提供的服務，這對服務商的云平臺服務連續性、SLA和IT流程、安全 策略、事件處理和分析等提出了挑戰。另外當發生系統故障時，如何保證用戶數 據的快速恢復也成為一個重要問題。

(2)云計算用戶信息濫用與泄露風險 用戶的資料存儲、處理、網絡傳輸等都與云計算系統有關。如果發生關鍵或私隱信息丟失、竊取，對用戶來說無疑是致命的。如何保證云服務提供商內部的安全管理和訪問控制機制符合客戶的安全需求;如何實施有效的安全審計，對數 據操作進行安全監控;如何避免云計算環境中多用戶共存帶來的潛在風險都成為 云計算環境下所面臨的安全挑戰。

(3)拒絕服務攻擊威脅云計算應用由于其用戶、信息資源的高度集中，容易成為黑客攻擊的目標，同時由于拒絕服務攻擊造成的后果和破壞性將會明顯超過傳統的企業網應用環境。

(4)法律風險云計算應用地域性弱、信息流動性大，信息服務或用戶數據可能分布在不同地區甚至國家，在政府信息安全監管等方面可能存在法律差異與糾紛;同時由于 虛擬化等技術引起的用戶間物理界限模糊而可能導致的司法取證問題也不容忽視。

三、建設目標

地面通云計算中心在信息安全上主要有兩個目標：

1. 保障云計算中心的可用性和數據安全性。

2. 通過為用戶提供安全服務，來實現云計算中心的新利潤增長點。

同時，地面通還需要迎接如下挑戰：

1. 隨著帶寬和用戶數的增加，要求安全系統具備高性能

2. 在可以預見的將來，云的規模會越來越大，要求安全系統具備高擴展性

3. 基于虛擬化的服務成為云計算的趨勢，要求安全系統具備全功能的虛擬 化

通過云計算中心的安全系統建設，地面通可以提供給用戶服務器和存儲產品 的同時，還能夠提供安全的服務。傳統的IDC中心通常要求每一位客戶自己配 備獨立的網絡安全系統，比如防火墻、入侵防御系統(IPS)等。通常為客戶自己購買并托管在IDC機房。這種傳統方式有較明顯的弊端：

1. IDC機房負擔了繁重的管理工作，并為管理額外的設備不斷投資

2. 安全設備占用機架空間和能源

3. IDC的管理方很難從中盈利

4. 用戶自己的先期采購成本高

采用了云安全方案后，地面通推出了安全管理服務，為所有托管在其云計算 中心的客戶提供可選的虛擬安全服務，客戶可以根據需要選擇功能以及支付相應的月租費。計算下來，地面通在安全設備的管理支出下降了一半，提高了地面通 的盈利能力，同時降低了客戶的總擁有成本和先期投入。

四、建設方案

針對這些威脅和挑戰，多功能防火墻(UTM)可以在一個設備上防護各種安全威脅，并提供高穩定性，高性能，高可擴展性和完全虛擬化功能。

下圖為Fortinet針對上海地面通信息網絡有限公司的云計算系統而設計的防護方案：

網絡中心

在這個設計中，我們選用FortiGate型號的UTM，FortiGate是具備40Gbps 吞吐量、400 萬并發會話數的高性能全冗余設計的產品。 FortiGate具備8個萬兆SFP+接口和10個千兆SFP接口，可以提供性能的擴展。FortiGate最多支持250個虛擬設備，每個虛擬設備具備全功能(防火墻，VPN，防DDoS，IPS，防病毒，反垃圾郵件，網頁過濾等)。具體參數請見產品描述。

將FortiGate以透明模式部署在核心交換機上，內部接口和外部接口都分別與核心交換機相連，通過核心交換機的VLAN的劃分，將流量導入到FortiGate中進行安全規則的強化。這樣部署的好處在于設置非常靈活。通過交換機上VLAN的設置，可以將需要進行安全防護和過濾的部分客戶資源通過FortiGate，不需要的客戶可以直接通向互聯網。管理員可以動態的根據業務的需求在核心交換機以及FortiGate上進行方便的調整。同時，當需要性能擴展時，也可以通過端口捆綁(LinkAggregation)的方式成倍的擴展安全過濾帶寬，FortiGate最多支持8個端口為一組的捆綁。 通過防火墻策略，FortiGate可以保護內部資源不受到非授權的訪問;當DDoS攻擊發生時，FortiGate可以主動的檢測網絡流量中哪些是攻擊， 哪些是正常訪問，并阻擋攻擊而放行正常訪問;通過實時在線更新的入侵防護功 能，FortiGate可以抵御超過4300中針對服務漏洞的攻擊;通過實時在 線更新的超過40萬個病毒列表的防病毒庫，FortiGate可以防護最新的 病毒和蠕蟲的傳播;通過高精確度的反垃圾郵件技術，FortiGate提供97%以上的垃圾郵件過濾率和低于0.1%的誤報率;通過虛擬化技術， FortiGate可以被劃分為最多250個虛擬設備，為不同用戶提供不同的安 全管理策略和界面，在虛擬設備中，所有以上的安全功能都是能夠自定義的。這 些功能為用戶提供了全方位的安全保障和業務擴展能力。

FortiGate還支持IPv6，支持IPv6/IPv4雙棧，,支持IPV6的DNS，IPV6的靜態與動態路由協議：RIPng、OSPF6等，支持IPv6overIPv4和IPv4Over IPv6，能很好地支持IPV6的流媒體，未來網絡可以很好地過渡到IPv6網絡。