為阻止網(wǎng)絡(luò)攻擊在云數(shù)據(jù)中心網(wǎng)絡(luò)的擴散，將可能受到的攻擊的影響最小化，需要對網(wǎng)絡(luò)進行安全區(qū)域劃分和隔離。參考ITU E.408通信安全區(qū)域的劃分原則，根據(jù)安全目標將公有云網(wǎng)絡(luò)分割成DMZ、公共服務(wù)區(qū)、運維區(qū)、POD 區(qū)、UDS 區(qū)五個安全區(qū)域。安全區(qū)域內(nèi)部的節(jié)點具有相同的安全等級和相互的信任關(guān)系。承載網(wǎng)可使用不同物理網(wǎng)絡(luò)、VLAN和路由區(qū)將不同的安全區(qū)域的業(yè)務(wù)流進行安全隔離。
為保證租戶業(yè)務(wù)不影響管理操作，確保設(shè)備不會脫管，我們將公有云的網(wǎng)絡(luò)通信平面劃分租戶業(yè)務(wù)平面、業(yè)務(wù)控制平面、運維平面、BMC管理面。BMC平面與其他網(wǎng)絡(luò)平面物理隔離，其他平面間通過VLAN邏輯隔離。在每個安全域內(nèi)，根據(jù)所承載業(yè)務(wù)的隔離要求劃分不同網(wǎng)絡(luò)平面，如POD區(qū)有租戶平面、運維平面、業(yè)務(wù)控制平面、BMC平面，而運維區(qū)只有運維平面和BMC平面。
猜你喜歡
