一、
云计算面临的安全挑战云计算、虚拟化等新技术的发展，带来了新一轮的IT技术变革，赋予了应用灵活性、扩展性、快速交付，但同时也给网络与业务带来巨大的挑战，比如需要网络能够支持面向应用的二层环境，策略能够根据应用变化而调整，网络服务模式需要从传统的连接服务转向面向应用的网络交付，新型应用如社交网络、在线大流量视频以及创新的服务模式如物联网、、大数据的出现，对网络安全提出了更高的要求。传统的安全部署模式在管理性、伸缩性、业务快速升级等方面逐渐表现出对业务支撑能力的不足：
l
基于拓扑的局部安全部署，串联设备性能差异巨大，木桶效应明显；
l
分散的设备策略配置管理，对管理员安全技能高；
l
安全规则复杂，手工配置和维护困难；
l
安全能力无法动态复用，资源浪费明显；
l
物理安全设备容易成为“拥塞点”和性能瓶颈；
l
物理安全设备对虚拟机东西向流量不可见，无法实施有效安全策略管理；
l
物理安全设备特性开发部署周期长，不能随着应用需求的变化而快速调整；
l
物理安全设备大都是封闭、固化的，不能动态伸缩，部署初期资源浪费，后期网络拓展困难。
二、
SDN&NFV云安全体系架构针对云计算所带来的安全挑战，SDN和NFV作为新一代网络技术，既可通过独自层面去解决不同的网络问题、满足不同角度的业务需求，又能够紧密结合，实现网络灵活调度、动态扩展、按需快速交付，产生更大的价值，最大程度地满足用户对业务部署的要求。
根据ONF（Open Network Foundation）的SDN分层体系[1]，SDN Fabric网络实现了控制与转发分离、软硬件解耦，转发层面由支持OpenFlow及Overlay等核心技术的网络硬件设备组成，控制则由软件控制集群及硬件设备的操作系统完成。同时，H3C创新性的将NFV Manager[2]以APP的形式集成VCFC控制集群上，可实现SDN控制器集群对NFV的定义、NFV的自动化部署及NFV资源池的弹性伸缩等生命周期控制管理。
融合SDN及NFV技术的云安全体系如图1所示，基础硬件层和物理抽象层不仅包括运行NFV的物理服务器，还同时包括物理安全设备、嵌入安全的vSwitch物理服务器、支持虚拟化的安全物理设备等设施，对应SDN架构中的数据转发层面；NFV操作系统、设备的操作系统与上层应用组成业务控制层面。
图1.
基于SDN和NFV的云安全体系
该体系按功能区域可分为以下几个方面。
l 云计算接入安全：通过H3C首创的嵌入式安全vSwitch，形成基于状态的安全防护体系。
l 云计算出口安全：支持虚拟化的高性能安全物理设备、灵活的NFV技术等最大化满足公有云的安全防护及网络安全业务需求。
l 云计算互访安全：面对虚拟化、复杂的云计算东西向流量和南北向流量，云安全资源池可实现对不同租户计算、相同租户下不同计算互访的安全需求，例如防火墙、IPS、负载均衡、DPI等业务。通过SDN控制器集群实现安全业务的按需动态部署及自动化弹性伸缩，达到云计算安全业务的自动化交付、简化管理。
l 云计算VCFC控制器集群：作为云安全体系的控制大脑，VCFC控制器集群不仅负责基于SDN Fabric部署Overlay虚拟化网络创建、流量转发与维护等的管理，还要负责完成对云计算安全业务的动态部署、NFV生命周期管理等，并提供丰富的北向API，完成和云管理平台的无缝对接。
三、
云安全体系特点及价值SDN以控制和转发分离思想为基础，通过各种标准南北向开放接口为手段，实现网络灵活适配应用，NFV利用虚拟化技术，通过标准X86服务器运行防火墙、IPS、LB等网络安全业务，并形成资源池化，让网络不再依赖于专用硬件，从而使云安全体系的安全业务能够“弹性扩展”、“快速交付”、“统一部署”，并解决传统安全部署时的“拓扑依赖”问题。
1.
可定义、自适应的安全SDN通过控制和转发分离，将控制层面从转发设备上分离出来，从而使得网络具备软件灵活定义网络的能力基础。网络管理员可以方便的定义基于网络流的安全控制策略，并让这些安全策略应用到各种网络设备中，从而实现整个网络通讯的安全控制。
SDN网络可以实现基于流的调度，网络管理员可以静态配置或者动态生成引流规则，将报文牵引到不同的安全设备上进行处理。与传统的基于IP包的转发规则，基于流的调度使安全服务和管控更加细粒度，提升安全服务的防护效率和准确性。
基于控制器的软件编程能力，网络管理员通过安全APP方式或者安全模板的方式提供安全即服务SaaS，安全设备自动化配置运维管理，使得安全设备运行维护任务可以更有效、更低成本、更快速的自动化，从而降低安全运维和学习成本，同时提高安全防护的及时性和效率，如图2所示。
l NFV资源弹性部署
通过VCFC控制器集群不仅可创建并对服务器动态下发NFV资源节点，如vFW、vNAT、vIPS、vDPI、vLB等，同时针对支持虚拟化的安全设备，可动态创建虚拟FW、虚拟LB等，实现不同租户、同一租户不同应用的云安全业务部署。
l 嵌入式安全
VCFC控制器集群基于虚拟化技术抽象定义出VNF安全业务，下发至SDN Fabric网络的接入vSwitch及统一出口网关设备，满足不同租户、同一租户不同业务的云计算在接入层面、出口层面的安全业务需求。
嵌入VNF安全业务在云计算环境中，对同一服务器内部众多的东西向流量可提供有效的安全防护，这点极为重要，因为这些二层交换可以不经过外部的物理交换机，传统网络安全设备方案难以满足防护需求。同时，嵌入VNF安全业务是基于状态的，能够对东西向流量进行安全策略和TCP状态检查。
在虚拟环境中，VM的迁移非常常见，因此安全防护策略需要跟随VM迁移实现自动防护；当虚拟机迁移，VNF中对VM的引流策略以及相关的安全策略要能够自动迁移到新主机，确保VM安全防护策略不因迁移而发生变化
l 业务安全自动化
基于SDN Fabric的云安全体系，通过VCFC控制器集群部署的NFV资源、VNF安全业务自动关联至对应的租户或租户的业务流量，实现服务链的自动部署。
4.
南北向API的全面、兼容性SDN和NFV的技术设计是开放的，决定云安全体系也是一个开放的体系，易于形成集百家之长、开放融合的体系。SDN&NFV云安全体系各组件秉承标准、开放、端到端的理念，提供全面丰富、灵活的南向接口及北向接口，如图5所示。
