【51CTO.com綜合報道】一年多前還讓人霧里看花的云計算，如今已如潮水般涌入中國。去年底，我國確定了5個城市先行開展云計算服務創新發展試點工作，被視為從“云端”降落人間的一個信號。2011年，則是業界所期待的“落地”關鍵年，甚至在國家“十二五”經濟發展中，云計算將成為全新的推動引擎。在濟南，云計算已從“云端”悄然落地，生根發芽，目前云平臺已經聚合了150余臺服務器以及近500T的存儲，可提供基礎設施服務、平臺服務、軟件服務，面向企業或個人的云存儲服務以及面向軟件開發企業的在線開發、測試等服務。同時，云計算平臺面臨的來自互聯網的安全威脅，以及如何保障承租方重要的數據資產資源的安全問題也迫在眉睫。下面就給大家詳細講述一下，山東省計算中心使用網御星云公司安全解決方案為“云計算中心”保駕護航的典型應用情況。

一、背景與需求

2010年8月6日，作為國內首家實現跨區域資源整合的省級云計算中心，山東省云計算中心在濟南揭開面紗，云計算平臺也正式開通試運行。如今，該中心已聚合了省內14家軟件園區、科研院所、大專院校等多方IT資源，并與一批企業建立合作關系，共同拓展云計算產業鏈。

目前，山東云計算中心可提供基礎設施服務、平臺服務、軟件服務，面向企業或個人的云存儲服務以及面向軟件開發企業的在線開發、測試等服務，都是以公益性為主推出的。楊美紅告訴記者，云計算平臺給軟件企業帶來的好處顯而易見：企業不必再在重金購買各種設計、測試專業軟件和冒險使用盜版之間掙扎，不必費心費力維護、調試、建設，只需根據需求、支付低廉的租金，就可以獲取最先進的軟件開發環境的支持，即時享有所需的信息服務。這樣一來，企業大大降低了開發成本，可以把有限的資金更多地投入到招攬激勵人才、關鍵創新研發、市場營銷推廣等關鍵業務領域。

不難看出，云計算采用的技術和服務同樣可以被黑客利用發起針對下載、數據上傳統計、洪水攻擊、惡意代碼監測等更為高級的惡意程序攻擊。云計算改變了服務方式，但并沒有顛覆傳統的安全模式，所不同的是，在云計算時代，安全設備和安全措施的部署位置有所不同；安全責任的主體發生了變化。原來，用戶自己要保證服務的安全性，現在由云計算服務提供商來保證服務提供的安全性。和云計算安全問題同樣重要，云計算的可靠性和可用性值得高度關注。云計算提供給傳統安全廠商以極大的優勢來提高服務質量和水平。下面，重點講一下網御星云公司為山東省云計算中心提供安全解決方案，保障云計算平臺價值鏈提升的應用。

二、解決方案

網御星云公司根據山東省云計算中心的安全需求，結合山東省云計算中心的平臺架構，分別在架構服務層(IaaS)、平臺服務層（PaaS）、應用服務層（SaaS）、以及平臺管理系統層提出了分層的安全解決方案。本次，重點在架構服務層（IaaS）部署網御星云邊界安全設備對整個山東省云計算中心系統進行防護。特別強調的是，為了應對云平臺在處理速度、性能方面對于大并發、高吞吐數據處理的需求，作為網關型在線部署的產品，我們都提供基于多核架構的安全設備。

山東省云計算中心網絡安全拓撲圖

第一，在云平臺網絡最邊界部署網御星云異常流量管理系統Guard，主要用來實時發現并阻止異常流量，為正常的互聯網訪問請求提供高可靠的環境。

第二，在網絡邊界Guard之后部署網御星云多核防火墻Super V，主要用來實現基于IP地址、協議、端口的訪問控制。保障只要合法的應用才能通過防火墻。同時，對于重要應用提供帶寬保障功能，防火墻采用雙機熱備方式，實現高可靠性支持。

第三，在防火墻之后，部署網御星云多核Power V-IPS，主要實現在防火墻的訪問控制基礎之上，對于應用層存在的惡意攻擊、入侵和滲透，做深層檢測過濾。將一切的惡意行為扼殺在互聯網邊界。IPS采用單鏈路在線運行，保證鏈路的高可靠性。

第四，在核心交換機旁路部署SSL VPN 應用安全網關SAG，主要提供遠程訪問準入，實現用戶隔離、身份驗證和數據加密。部署SSL VPN主要兩個作用：1、為云平臺開發人員和管理人員提供遠程準接入，方便遠程開發和系統維護；2、為承租方管理人員提供遠程可信準入，方便遠程維護自己的系統。

第五，在核心交換機旁路部署網御星云數據庫審計系統，實現對云平臺中的數據庫的訪問、維護和管理提供日志記錄，便于事后審計。

第六，部署網御星云應用安全監控APM，由于應用系統的復雜性，一個網上應用往往涉及到多臺服務器的多個線程，因此出現問題的概率也越來越大，問題反饋的時間也越來越長，甚至發生故障后很長時間都無人知道。APM可實時監視整個系統中的每一個線程，一旦出現問題可迅速報警，從而保證在第一時間發現故障或超出性能的臨界狀態。

第七，對整個安全設備進行統一集中管理和日志歸檔、審計，部署網御星云安全管理平臺Leadsec Manager。

第八，為了避免云計算中心虛擬主機在不同安全域之間的相互訪問，網御星云向用戶提供基于虛擬主機的防火墻、UTM產品，保障云計算中心虛擬之間訪問的安全防護和過濾。

網御星云提供的電信級多核安全設備，以其出色的性能和完備的功能以及完整的解決方案從各競爭廠商中脫穎而出，為用戶節省投資，避免分布式部署，統一集中管理，保障用戶投資，系統更加穩定，使云計算系統價值鏈得到提升。

安全產品部署說明：

三、實施效果

目前山東省云計算中心云平臺運行正常，特別在部署網御星云安全設備后，在安全性得到大幅提升的同時，具體體現在如下：

1、限制來自互聯網對云平臺中服務資源的IP地址、協議和端口號的訪問控制，同時對云平臺中的重要關鍵應用服務提供帶寬保障。

2、抵御來自互聯網的DDOS攻擊，保證只有干凈流量才能進入云平臺系統。

3、可檢測掃描、緩沖區溢出、木馬、蠕蟲、間諜軟件、網絡釣魚、IP poofing等攻擊，并實時主動阻斷，使云平臺網絡系統免受惡意滲透和攻擊。

4、提供遠程準接入服務，隔離用戶，為云平臺系統維護人員和承租方系統維護人員提供可信接入。

5、實現對數據庫訪問和管理的審計，全方位的提升對數據庫安全的審計。

四、特色描述

當前，云計算正在如火如荼的進行，針對云計算的安全問題，也是仁者見仁，智者見智。但真正落地的針對云計算的安全少之又少。對于云時代的安全解決方案提供商能夠拿下此項目，對我司在云計算時代、云安全時代安全項目的操作提供了參考價值和樣板案例。

多核高性能提供SAAS（Security as a Service）安全及服務

網御星云產品高性能的吞吐處理能力是保障山東云計算中心的基礎。在此基礎上，網御星云的產品還具備高性能虛擬化，每臺高性能硬件防火墻可以虛擬4096個虛擬防火墻，在用戶網絡出口形成一個龐大的海量處理的防火墻云，為租戶提供SAAS的防火墻服務。除了防火墻以外，網御星云的Guard、IPS、UTM、AVG等全線網絡產品都實現了虛擬化，可以隨時隨地為租戶提供各種SAAS安全及服務的防護。

全線產品支持IPv6，滿足用戶未來發展需要

憑借全線產品支持IPv6功能實現用戶網絡未來升級的保障，網御星云憑借多年對網絡安全的深刻理解和技術沉淀，率先在業內將所有安全產品支持IPv6協議，可以實現對IPv6網絡的狀態檢測，包過濾，病毒過濾，抗IPv6的synflood、udpflood等多種DDOS攻擊，還可以實現基于IPv6網絡的入侵防護功能。最后，網御星云以其產品的前瞻性和更貼近用戶需求的特色功能，得到云計算用戶和云計算行業的認可。

基于云計算的虛擬防火墻和虛擬UTM產品

網御星云率先在業內開發出來了基于云計算的虛擬防火墻和虛擬UTM產品，用于云計算內部虛擬服務器之間的網絡控制和安全過濾，網御星云將繼續引領技術新思想，開拓網絡安全行業新領域。