我們要如何應(yīng)對(duì)虛擬化安全

使用防火墻來(lái)保護(hù)數(shù)據(jù)中心網(wǎng)絡(luò)的物理服務(wù)器已經(jīng)很難了，把它用于保護(hù)虛擬服務(wù)器，或者私有云環(huán)境，那么難度會(huì)更大。畢竟，虛擬服務(wù)器會(huì)經(jīng)常遷移，所以防火墻不需要必須位于服務(wù)器物理邊界內(nèi)。有幾種策略可以為虛擬環(huán)境提供防火墻保護(hù)。

虛擬網(wǎng)絡(luò)安全

傳統(tǒng)數(shù)據(jù)中心架構(gòu)的網(wǎng)絡(luò)安全設(shè)計(jì)眾所周知：如果服務(wù)器的物理邊界屬于同一個(gè)安全域，那么防火墻通常位于聚合層。當(dāng)你開(kāi)始實(shí)現(xiàn)服務(wù)器虛擬化，使用VMware的vMotion和分布式資源調(diào)度（DistributedResourceScheduler）部署虛擬機(jī)移動(dòng)和自動(dòng)負(fù)載分發(fā)時(shí)，物理定界的方式就失去作用。在這種情況下，服務(wù)器與剩余的網(wǎng)絡(luò)之間的流量仍然必須通過(guò)防火墻，這樣就會(huì)造成嚴(yán)重的流量長(zhǎng)號(hào)，并且會(huì)增加數(shù)據(jù)中心的內(nèi)部負(fù)載。

虛擬網(wǎng)絡(luò)設(shè)備能夠讓你在網(wǎng)絡(luò)中任何地方快速部署防火墻、路由器或負(fù)載均衡器。但當(dāng)你開(kāi)始部署這樣的虛擬網(wǎng)絡(luò)設(shè)備時(shí)，上述問(wèn)題會(huì)越來(lái)越嚴(yán)重。這些虛擬化設(shè)備可以在物理服務(wù)器之間任意移動(dòng)，其結(jié)果就是造成更加復(fù)雜的流量流。VMware的vCloudDirector就遇到這樣的設(shè)計(jì)問(wèn)題。

使用DVFilter和虛擬防火墻

幾年前，VMware開(kāi)發(fā)了一個(gè)虛擬機(jī)管理程序DVFilterAPI，它允許第三方軟件檢查網(wǎng)絡(luò)和存儲(chǔ)并列虛擬機(jī)的流量。有一些防火墻和入侵檢測(cè)系統(tǒng)（IDS）供應(yīng)商很快意識(shí)到它的潛在市場(chǎng)，開(kāi)始發(fā)布不會(huì)出現(xiàn)過(guò)度行為的虛擬防火墻。VMware去年發(fā)布了vShieldZones和vShieldApp，也成為這類供應(yīng)商的一員。

基于DVFilter的網(wǎng)絡(luò)安全設(shè)備的工作方式與典型的防火墻不同。它不強(qiáng)迫流量必須通過(guò)基于IP路由規(guī)則的設(shè)備，而是明確地將防火墻插入到虛擬機(jī)的網(wǎng)卡（vNIC）和虛擬交換機(jī)（vSwitch）之間。這樣，不需要在虛擬機(jī)、虛擬交換機(jī)或物理網(wǎng)絡(luò)上進(jìn)行任何配置，防火墻就能夠檢測(cè)所有進(jìn)出vNIC的流量。vShield通過(guò)一個(gè)特別的配置層進(jìn)一步擴(kuò)充這個(gè)概念：你可以在數(shù)據(jù)中心、集群和端口組（安全域）等不同級(jí)別上配置防火墻規(guī)則，在創(chuàng)建每個(gè)vNIC的策略時(shí)防火墻會(huì)應(yīng)用相應(yīng)的規(guī)則。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]