云計算虛擬化典型結構與訪(fǎng)問(wèn)應用模式

云計算技術(shù)是IT產(chǎn)業(yè)界的一場(chǎng)技術(shù)革命，已經(jīng)成為了IT行業(yè)未來(lái)發(fā)展的方向。無(wú)論是基于開(kāi)放網(wǎng)絡(luò )環(huán)境對公眾開(kāi)放云服務(wù)的公有云，還是為企業(yè)內部用戶(hù)提供服務(wù)的私有云，都需要通過(guò)構建不同規模的數據中心作為提供云服務(wù)的基礎設施支撐。而虛擬化技術(shù)已經(jīng)成為構建云計算數據中心的關(guān)鍵技術(shù)。

通過(guò)不同層次的計算資源、存儲資源和網(wǎng)絡(luò )通信資源的虛擬化實(shí)現資源池化，使云計算能夠在基礎設施層面實(shí)現平臺化服務(wù)(IaaS)，如AmazonEC2、IBMBlueCloud、CiscoUCS等典型的IaaS產(chǎn)品。

使用云計算數據中心服務(wù)的用戶(hù)，需要基于瘦客戶(hù)端、移動(dòng)云終端等設備完成接入，訪(fǎng)問(wèn)其虛擬化計算資源，并進(jìn)一步使用各種云計算服務(wù)。

云計算數據中心可以為不同的用戶(hù)群提供不同的服務(wù)，用戶(hù)群之間、用戶(hù)群內用戶(hù)彼此之間已經(jīng)沒(méi)有了明確的物理邊界，而是基于虛擬化技術(shù)實(shí)現必要的安全隔離，這種隔離是否具備足夠的安全性，用戶(hù)數據是否具有足夠的隱私保護和訪(fǎng)問(wèn)可控性，這些虛擬化安全問(wèn)題已經(jīng)成為云計算是否能夠取得廣泛應用突破的關(guān)鍵。

如何讓云中各種類(lèi)型的用戶(hù)盡可能安全地使用網(wǎng)絡(luò )，如何讓用戶(hù)無(wú)縫地接入和使用云計算服務(wù)，如何通過(guò)虛擬化網(wǎng)絡(luò )技術(shù)提高數據中心網(wǎng)絡(luò )構建靈活性、擴展性的同時(shí)，解決好網(wǎng)絡(luò )安全問(wèn)題，已經(jīng)成為采用虛擬化技術(shù)構建云計算數據中心所必須要解決的問(wèn)題。當前主流廠(chǎng)商有基于VLAN安全區化、防火墻虛擬化等網(wǎng)絡(luò )安全技術(shù)對云計算數據中心所采用的虛擬化網(wǎng)絡(luò )進(jìn)行保護，但仍然未能解決好用戶(hù)訪(fǎng)問(wèn)的可信以及數據交互的機密性、可控性等問(wèn)題。

文中在研究基于虛擬化網(wǎng)絡(luò )的云計算數據中心典型架構與訪(fǎng)問(wèn)應用模式的基礎上，從用戶(hù)安全接入、通信隔離與機密性保護等方面分析了數據中心虛擬化網(wǎng)絡(luò )安全需求，提出了虛擬化網(wǎng)絡(luò )安全技術(shù)框架，重點(diǎn)針對基于密碼技術(shù)強化虛擬化網(wǎng)絡(luò )安全，保障虛擬機之間的通信保護、信息隔離與安全交換等安全機制進(jìn)行了分析與設計，提出了一種可供參考的解決方案。

云計算虛擬化網(wǎng)絡(luò )典型結構與訪(fǎng)問(wèn)應用模式

云計算的基礎架構主要包含計算(服務(wù)器)、網(wǎng)絡(luò )和存儲。對于網(wǎng)絡(luò )，從云計算整個(gè)生態(tài)環(huán)境上來(lái)說(shuō)，可以分為3個(gè)層面，數據中心網(wǎng)絡(luò )、跨數據中心網(wǎng)絡(luò )以及泛在的云接入網(wǎng)絡(luò )。

其中數據中心網(wǎng)絡(luò )包括連接計算主機、存儲和4到7層服務(wù)器(如防火墻、負載均衡、應用服務(wù)器、IDS/IPS等)的數據中心局域網(wǎng)，以及邊緣虛擬網(wǎng)絡(luò )，即主機虛擬化之后，虛擬機之間的多虛擬網(wǎng)絡(luò )交換網(wǎng)絡(luò )，包括分布式虛擬交換機、虛擬橋接和I/O虛擬化等;跨數據中心網(wǎng)絡(luò )主要解決數據中心間的網(wǎng)絡(luò )連接，實(shí)現數據中心間的數據備份、數據遷移、多數據中心間的資源優(yōu)化以及多數據中心混合業(yè)務(wù)提供等;泛在的云接入網(wǎng)絡(luò )用于數據中心與終端用戶(hù)互聯(lián)，為公眾用戶(hù)或企業(yè)用戶(hù)提供云服務(wù)。

在此，主要探討使用虛擬化網(wǎng)絡(luò )技術(shù)實(shí)現的數據中心網(wǎng)絡(luò )技術(shù)架構及其訪(fǎng)問(wèn)應用方式。因為，數據中心大量的虛擬機通過(guò)虛擬化網(wǎng)絡(luò )訪(fǎng)問(wèn)計算資源的安全可控問(wèn)題，是解決云計算虛擬化網(wǎng)絡(luò )安全問(wèn)題的關(guān)鍵。數據中心網(wǎng)絡(luò )包括核心層交換機、接入層交換機和虛擬交換機。在使用云計算后，數據中心的網(wǎng)絡(luò )需要解決數據中心內部的數據同步傳送的大流量、備份大流量、虛擬機遷移大流量問(wèn)題，因此要求核心層網(wǎng)絡(luò )具備超大規模的數據交換能力以及足夠的萬(wàn)兆接入能力。接入層交換機要求能夠支持各種靈活的部署方式和新的以太網(wǎng)技術(shù)，包括無(wú)損以太網(wǎng)技術(shù)等。

虛擬交換機是在物理服務(wù)器內部通過(guò)虛擬機管理器(Hypervisor)層虛擬出相應的交換機和網(wǎng)卡功能并實(shí)施管理，提供了服務(wù)器內多個(gè)虛擬主機虛擬網(wǎng)卡(vNIC)的互聯(lián)以及為不同的虛擬網(wǎng)卡流量設定不同的VLAN標簽功能，使得服務(wù)器內部如同存在一臺交換機，可以方便地將不同的網(wǎng)卡連接到不同的端口。Hypervisor為每個(gè)VM(虛擬主機)創(chuàng )建一個(gè)或者多個(gè)vNICs，聯(lián)接Hypervisor中的虛擬交換機，從而支持VM間的通信。Hypervisor還允許虛擬交換機和物理網(wǎng)絡(luò )接口的通信，以及和外部網(wǎng)絡(luò )的高效通信，典型的虛擬交換機如開(kāi)源的OpenvSwitch。

以目前應用較成熟的Ctrix基于Xen的虛擬化系統為研究對象(與其他VmwareESX、KVM、Hyper-V等有所不同，可參考思路)，分析用戶(hù)聯(lián)接虛擬化用戶(hù)終端，并進(jìn)一步訪(fǎng)問(wèn)數據中心計算資源的典型框架如圖2所示。

首先遠程用戶(hù)基于瘦客戶(hù)端，基于ICA等遠程桌面協(xié)議(Vmware用PCoIP)訪(fǎng)問(wèn)數據中心服務(wù)器上的用戶(hù)虛擬終端。ICA協(xié)議是基于Xen的 Ctrix虛擬化系統的專(zhuān)有協(xié)議，將顯示器、鍵盤(pán)、鼠標操作信息與服務(wù)器端管理域交互，可以在Hypervisor上創(chuàng )建、中止相應的虛擬化終端系統，獲得與本地化計算機終端操作相同的使用體驗。同時(shí)，管理域OS上還運行了所有外設的實(shí)際驅動(dòng)程序，通過(guò)后端驅動(dòng)模塊與系列客戶(hù)終端虛擬機OS上運行的前端驅動(dòng)模塊進(jìn)行交互，實(shí)現對各客戶(hù)終端虛擬機設備驅動(dòng)的支持。

其次，用戶(hù)虛擬終端機之間通過(guò)虛擬網(wǎng)卡、虛擬化交換機(包括跨物理服務(wù)器的分布式虛擬化交換機)，實(shí)現虛擬終端之間以及用戶(hù)虛擬終端與虛擬應用服務(wù)器之間的高速網(wǎng)絡(luò )數據交互，實(shí)現基于虛擬化的數據集中應用，并訪(fǎng)問(wèn)各種應用服務(wù)器，或進(jìn)行用戶(hù)虛擬機的遷移等。其中分布式虛擬交換機采用使底層服務(wù)器架構更透明的方法，支持不同物理服務(wù)器上虛擬交換機的跨服務(wù)器橋接，使一個(gè)服務(wù)器中的虛擬交換機能夠透明地和其他服務(wù)器中的虛擬交換機連接，使服務(wù)器間(以及它們的虛擬接口)的VM遷移更簡(jiǎn)單。