|
新聞中心
當(dāng)前位置：網(wǎng)站首頁 > 新聞中心
云計(jì)算虛擬化結(jié)構(gòu)與訪問應(yīng)用模式
通過不同層次的計(jì)算資源、存儲(chǔ)資源和網(wǎng)絡(luò)通信資源的虛擬化實(shí)現(xiàn)資源池化，使云計(jì)算能夠在基礎(chǔ)設(shè)施層面實(shí)現(xiàn)平臺(tái)化服務(wù)(IaaS)。使用云計(jì)算數(shù)據(jù)中心服務(wù)的用戶，需要基于客戶端、移動(dòng)云終端等設(shè)備完成接入，訪問其虛擬化計(jì)算資源，并進(jìn)一步使用各種云計(jì)算服務(wù)。
云計(jì)算數(shù)據(jù)中心可以為不同的用戶群提供不同的服務(wù)，用戶群之間、用戶群內(nèi)用戶彼此之間已經(jīng)沒有了明確的物理邊界，而是基于虛擬化技術(shù)實(shí)現(xiàn)必要的安全隔離，這種隔離是否具備足夠的安全性，用戶數(shù)據(jù)是否具有足夠的隱私保護(hù)和訪問可控性，這些虛擬化安全問題已經(jīng)成為云計(jì)算是否能夠取得廣泛應(yīng)用突破的關(guān)鍵。如何讓云中各種類型的用戶盡可能安全地使用網(wǎng)絡(luò)，如何讓用戶無縫地接入和使用云計(jì)算服務(wù)，如何通過虛擬化網(wǎng)絡(luò)技術(shù)提高數(shù)據(jù)中心網(wǎng)絡(luò)構(gòu)建靈活性、擴(kuò)展性的同時(shí)，解決好網(wǎng)絡(luò)安全問題，已經(jīng)成為采用虛擬化技術(shù)構(gòu)建云計(jì)算數(shù)據(jù)中心所必須要解決的問題。當(dāng)前主流廠商有基于VLAN安全區(qū)化、防火墻虛擬化等網(wǎng)絡(luò)安全技術(shù)對(duì)云計(jì)算數(shù)據(jù)中心所采用的虛擬化網(wǎng)絡(luò)進(jìn)行保護(hù)，但仍然未能解決好用戶訪問的可信以及數(shù)據(jù)交互的機(jī)密性、可控性等問題。
文中在研究基于虛擬化網(wǎng)絡(luò)的云計(jì)算數(shù)據(jù)中心典型架構(gòu)與訪問應(yīng)用模式的基礎(chǔ)上，從用戶安全接入、通信隔離與機(jī)密性保護(hù)等方面分析了數(shù)據(jù)中心虛擬化網(wǎng)絡(luò)安全需求，提出了虛擬化網(wǎng)絡(luò)安全技術(shù)框架，對(duì)基于密碼技術(shù)強(qiáng)化虛擬化網(wǎng)絡(luò)安全，保障虛擬機(jī)之間的通信保護(hù)、信息隔離與安全交換等安全機(jī)制進(jìn)行了分析與設(shè)計(jì)，提出了一種可供參考的解決方案。
云計(jì)算基礎(chǔ)架構(gòu)
云計(jì)算的基礎(chǔ)架構(gòu)主要包含計(jì)算(服務(wù)器)、網(wǎng)絡(luò)和存儲(chǔ)。對(duì)于網(wǎng)絡(luò)，從云計(jì)算整個(gè)生態(tài)環(huán)境上來說，可以分為3個(gè)層面：數(shù)據(jù)中心網(wǎng)絡(luò)、跨數(shù)據(jù)中心網(wǎng)絡(luò)以及泛在的云接入網(wǎng)絡(luò)。
其中，數(shù)據(jù)中心網(wǎng)絡(luò)包括連接計(jì)算主機(jī)、存儲(chǔ)和4到7層服務(wù)器(如防火墻、負(fù)載均衡、應(yīng)用服務(wù)器、IDS/IPS等)的數(shù)據(jù)中心局域網(wǎng)，以及邊緣虛擬網(wǎng)絡(luò)，即主機(jī)虛擬化之后，虛擬機(jī)之間的多虛擬網(wǎng)絡(luò)交換網(wǎng)絡(luò)，包括分布式虛擬交換機(jī)、虛擬橋接和I/O虛擬化等；跨數(shù)據(jù)中心網(wǎng)絡(luò)主要解決數(shù)據(jù)中心間的網(wǎng)絡(luò)連接，實(shí)現(xiàn)數(shù)據(jù)中心間的數(shù)據(jù)備份、數(shù)據(jù)遷移、多數(shù)據(jù)中心間的資源優(yōu)化以及多數(shù)據(jù)中心混合業(yè)務(wù)提供等；泛在的云接入網(wǎng)絡(luò)用于數(shù)據(jù)中心與終端用戶互聯(lián)，為公眾用戶或企業(yè)用戶提供云服務(wù)。
在此，主要探討使用虛擬化網(wǎng)絡(luò)技術(shù)實(shí)現(xiàn)的數(shù)據(jù)中心網(wǎng)絡(luò)技術(shù)架構(gòu)及其訪問應(yīng)用方式。因?yàn)?，?shù)據(jù)中心大量的虛擬機(jī)通過虛擬化網(wǎng)絡(luò)訪問計(jì)算資源的安全可控問題，是解決云計(jì)算虛擬化網(wǎng)絡(luò)安全問題的關(guān)鍵。
虛擬化技術(shù)及其訪問應(yīng)用方式
數(shù)據(jù)中心網(wǎng)絡(luò)包括核心層交換機(jī)、接入層交換機(jī)和虛擬交換機(jī)。在使用云計(jì)算后，數(shù)據(jù)中心的網(wǎng)絡(luò)需要解決數(shù)據(jù)中心內(nèi)部的數(shù)據(jù)同步傳送的大流量、備份大流量、虛擬機(jī)遷移大流量問題，因此要求核心層網(wǎng)絡(luò)具備超大規(guī)模的數(shù)據(jù)交換能力以及足夠的萬兆接入能力。接入層交換機(jī)要求能夠支持各種靈活的部署方式和新的以太網(wǎng)技術(shù)，包括無損以太網(wǎng)技術(shù)等。
虛擬交換機(jī)是在物理服務(wù)器內(nèi)部通過虛擬機(jī)管理器(Hypervisor)層虛擬出相應(yīng)的交換機(jī)和網(wǎng)卡功能并實(shí)施管理，提供了服務(wù)器內(nèi)多個(gè)虛擬主機(jī)虛擬網(wǎng)卡(vNIC)的互聯(lián)以及為不同的虛擬網(wǎng)卡流量設(shè)定不同的VLAN標(biāo)簽功能，使得服務(wù)器內(nèi)部如同存在一臺(tái)交換機(jī)，可以方便地將不同的網(wǎng)卡連接到不同的端口。
Hypervisor為每個(gè)VM創(chuàng)建一個(gè)或者多個(gè)vNICs，聯(lián)接Hypervisor中的虛擬交換機(jī)，從而支持VM間的通信。Hypervisor還允許虛擬交換機(jī)和物理網(wǎng)絡(luò)接口的通信，以及和外部網(wǎng)絡(luò)的高效通信?；贗CA等遠(yuǎn)程桌面協(xié)議訪問數(shù)據(jù)中心服務(wù)器上的用戶虛擬終端?？梢栽贖ypervisor上創(chuàng)建、中止相應(yīng)的虛擬化終端系統(tǒng)，獲得與本地化計(jì)算機(jī)終端操作相同的使用體驗(yàn)。
同時(shí)，管理域OS上還運(yùn)行了所有外設(shè)的實(shí)際驅(qū)動(dòng)程序，通過后端驅(qū)動(dòng)模塊與系列客戶終端虛擬機(jī)OS上運(yùn)行的前端驅(qū)動(dòng)模塊進(jìn)行交互，實(shí)現(xiàn)對(duì)各客戶終端虛擬機(jī)設(shè)備驅(qū)動(dòng)的支持。其次，用戶虛擬終端機(jī)之間通過虛擬網(wǎng)卡、虛擬化交換機(jī)(包括跨物理服務(wù)器的分布式虛擬化交換機(jī))，實(shí)現(xiàn)虛擬終端之間以及用戶虛擬終端與虛擬應(yīng)用服務(wù)器之間的高速網(wǎng)絡(luò)數(shù)據(jù)交互，實(shí)現(xiàn)基于虛擬化的數(shù)據(jù)集中應(yīng)用，并訪問各種應(yīng)用服務(wù)器，或進(jìn)行用戶虛擬機(jī)的遷移等。
其中分布式虛擬交換機(jī)采用使底層服務(wù)器架構(gòu)更透明的方法，支持不同物理服務(wù)器上虛擬交換機(jī)的跨服務(wù)器橋接，使一個(gè)服務(wù)器中的虛擬交換機(jī)能夠透明地和其他服務(wù)器中的虛擬交換機(jī)連接，使服務(wù)器間(以及它們的虛擬接口)的VM遷移更簡單。
|
