NSX案例与使用场景

• “Fortinet has a well-articulated strategy regarding
virtualization, public cloud and SDN, and has a promising partnership with VMware NSX.”
保密资料
9
议程
1 2 3
• “Gartner believes that Check Point's strategy to
support VMware NSX”…”is a good signal for clients considering Check Point security solutions when they evaluate software-defined network (SDN) projects.”
涉税业务数据库
数据库域 安全支撑域 互联网服务数据 库 身份认证 安全管理
网络支撑域
带外管理域
运维监控
运维管理 带外管理
15
某地税安全微分段实施方案
业务服务域 运行保障域 安全保障域
说明：
• 在虚拟数据中心内部网络边界发
生变化，从物理边界变为虚拟边 界，传统物理防火墙方式配置复 杂，已不再适用 布式防火墙实现颗粒度最小 、 最靠近虚拟机网卡、按照业务逻 辑隔离的虚机安全策略 。 软件定义、灵活地部署方式
核心交换域
• 使用NSX网络虚拟化中的软件分
互联网
好处：
•
前置支撑域
外联网 安全支撑域 行政办公域
•
• •
化繁为简，把复杂的网络与安 全配置分拆到各个逻辑分区
节省投资，在x86服务器上软件 定义应用所需的网络服务 自动化部署
业务处理域
网络虚拟化： 安全组策略带来安全域定义的灵活性
1
选取组定义元素识别 安全组划分
DB Zone
Database Network
L2 L3
S T
Storage vCenter vMotion FC
vCe nter
vMoti on
F C
Manager Network
ManagerZone
L2
BeiJing Data Center Architectures and Secure Layering
2
使用定义的元素特性创 建安全组
ABC DEF 内网门户
3
将策略下发到安全 组
策略 1 “虚拟机的IPS检测” “虚拟机防火墙检测”
可选定义关键字元素 静态 动态 Data center VM name Virtual net OS type Virtual User ID machine Security tag vNIC
NSX displays strong leadership toward solving clients' future problems. Palo Alto shifted focus correctly to east-west segmentation rather than whole data center firewall virtualization. “
传统防火墙实现非常困难 虚拟桌面服务器，全部是虚拟化环境，采用传统防火墙技术实现几乎不可能： 1、传统防火墙只能提供跨VLAN的安全防护，对同一VLAN内部的虚拟机毫无办法 2、由于所有虚拟桌面服务器都是采用的DHCP动态地址分配方式，传统的基于IP地址的传统 防火墙更是无能为力
传统防火墙策略运维的复杂性 虚拟桌面服务器根据项目情况把虚拟机分为多个资源池，每个资源池内的服务器根据 业务情况经常会有增加或减少的情况，如果是基于传统的基于IP的防火墙，每次都会导致 防火墙策略重新调整，带来相当大的运维复杂性
✔ ✔
开发测试服务器资源池1
虚拟桌面资源池1
Resource-poolNdesk Resource-poolN-server
✔
虚拟桌面资源池2
2、同一资源内部多台虚拟机以Security group 为单位进行安全控制（目前主要以主机名称， 还可以操作系统类型、虚拟机标签等其它方式动态定义）
源 Resource-poolXdesk:SG1 Resource-poolXdesk:SG2 目的 Resource-poolXserver:SG1 Resource-poolXserver:SG2 ✔ ✔
Inter net
MPL S
DDN
L3
CRM DBI TMS BMS VA PAD CCC OPW MediaCenter
DBI
TM S
BM S
L3
Application Network L2
AppZone
DBI CR M TM S BM S
L3
CRM DBI TMS BMS VA PAD CCC OPW MediaCenter
horizon infrastructure
(AV) desktops
CONFIDENTIAL
Horizon Infra
18
华夏银行现有桌面虚拟化总体架构
CONFIDENTIAL
19
华夏银行现有桌面虚拟化环境面临的安全挑战
后台服务器不断增加的安全隐患 服务器后台服务器资源池规模越来越大，虚拟桌面资源池和后台的服务器资源池的安全隐患 越来越大。主要因为虚拟桌面各资源池到后台服务器各资源池之间的访问无安全防护； 虚拟桌面资源内部各资源池之间没有安全防护；后台服务器资源池内部各资源池之间也没有 安全防护。因为对于华夏银行来说制定精细化的后台服务器安全防护策略迫在眉睫
开发测试服务器资源池2
虚拟桌面资源池N
开发测试服务器资源池3
Virtual Network Environment
Generalized Resource Pool of Physical Capacity
某地税互联网区网络拓扑
区 功能域 互联域 功能子域 互联网接入 互联网交换 门户WEB服务 单点登录、统一 DMZ域 身份认证 网报WEB服务 DNS服务 涉税WEB应用 互联网区 涉税业务域 统一用户、统一 权限 网报应用
NSX市场成绩 NSX应用场景 销售经验分享
保密资料
10
NSX Use Case | 构建下一代数据中心
数据中心安全
数据中心应用安全 隔离 虚拟桌面安全隔离
IT自动化
多租户云服务
业务连续性
双活数据中心 容灾中心 混合云服务
软件定义 边界网关
负载均衡
防火墙/VPN
IT自动化
开发测试云
路由网关/NAT
3
NSX 的第一年|2014 年的预订量和客户采用情况
90 Bookings in $ Millions
450
60
300
30
150
0
9
Q1'14
30 Q2'14
35 Q3'14
86
Q4'14
0
Customers
保密资料
保密资料
4
4
NSX 2014 年的客户和业务发展势头
400 +
NSX 客户
81
•
SW Port OUT IN
vlan1
CRM AP DBI AP TMS AP BMS AP VA AP PAD AP CCC AP OPW AP MediaCenter AP
vlan2
CRM DB DBI DB TMS DB BMS DB VA DB PAD DB CCC DB OPW DB MediaCenter DB
CONFIDENTIAL
20
基于NSX的分布式防火墙安全解决方案
CONFIDENTIAL
21
虚拟桌面和后台服务器资源池之间的安全防护
虚拟桌面资源池
虚拟桌面资源池到后台服务器资源池的安全 控制根据安全需要主要采用两种方式 1、同一个资源池采用一致的安全策略
源 目的 Resource-pool1desk Resource-pool1-server Resource-pool2desk Resource-pool2-server
数据中心应用安全隔离
Marketing Group HR Group Web /Web DB Ap p
安全边界
• Department/Zone Boundary • Application boundary • Application tier • Within a Tier • Per VM
DB
vlan3
CRM AD DBI AD BK BIZ vCenter 等
vlan4
vMotion Compellent FC UAT 等
• •
•
微分段隔离应用系统
所有访问、所有系统都有自己独 立的防火墙
Inter net MPL S
DD N
Access Zone
Access Network
L2
CR M
DB
方案优势
Mgmt
Services/Management Group
Services
应用系统 安全隔离
• Works with existing networks and workloads • Flexible grouping allowing selective enforcement and adoption • Streamline security controls with application development
App control
– Quarantine infected
and agility to spin up/down new pools or expand existing using logical switching, routing and firewalling