0前言
云数据中心（SDDC）的实现离不开成熟的虚拟化技术支持，云数据中心物理资源抽象化、资源池化的实现也得益于计算虚拟化、网络虚拟化、存储虚拟化，云数据中心服务因此具备弹性、敏捷性以及高效性优势。而为了最大发挥这种优势、推动我国云数据中心实现进一步发展，正是本文围绕云数据中心网络安全服务架构开展具体研究的原因所在。
1云数据中心网络安全服务需求分析
云数据中心具备的弹性、敏捷性以及高效性优势使得其对网络安全存在较高需求，这就使得云数据中心的安全服务必须统一到管理平台上，因此其网络安全服务需求可以概括为以下两个方面。
1.1特性需求
由于安全服务必须统一到云数据中心管理平台上，这就使得云数据中心的弹性、敏捷性以及高效性将对安全服务提出一定需求，这种需求的具体表现如下所示：
（1）敏捷性。安全服务需要灵活部署于云数据中心，整个数据中心、具体业务应用均需要纳入安全服务保障，且安全服务需保证自身启停不对中心日常业务运行造成影响，因此敏捷性需求必须得到关注。
（2）弹性。安全服务需具备动态调整能力以满足业务变化需要，这一动态调整应脱离管理员干涉、基于具体服务规则开展。
（3）高效性。需保证安全服务可由所有用户分享，以此实现统一管理、资源高效利用[1]。
1.2具体需求
除特性需求外，云数据中心网络安全服务的具体需求也应得到关注，这类需求的主要内容如下所示：
（1）业务跟随。需保证安全服务随用户虚拟机迁移而迁移，以此实现安全防护、业务流量的全过程跟随。
（2）服务扩展。安全服务需结合攻击演变随时扩展与调整，能否在现有基础上更新、扩展将直接影响安全服务效用发挥。
（3）支持多类型数据中心。安全服务需满足不同云数据中心需要，这使得其需要独立于管理平台，必要时舍弃Hypervisor技术支持，不同云数据中的相同安全保障将由此实现。
2云数据中心网络安全服务架构思路
简单了解云数据中心网络安全服务需求后，本文提出了分布式网络安全虚拟化架构思路，而结合该思路明确的云数据中心网络安全服务架构具体组成同样具备较高参考意义。
2.1基本思路
部署于用户虚拟网络的边界、在所有需要安全服务的物理机上启动虚拟化安全设备属于现阶段存在的两种虚拟化安全设备网络部署方式，前者本质上属于个体物理安全设备的虚拟化，后者则属于多台设备管理器与网络设备的虚拟化，但考虑到两种方式均无法较好满足云数据中心网络安全服务架构需要，因此本文提出了一种分布式网络安全虚拟化架构思路。该架构主要由数据中心管理平台、安全服务控制平面、安全服务平面、物理服务器集群组成，由此即可实现流量可视化、微隔离、安全服务、支持业务迁移、全网行为分析等安全服务[2]。云数据中心分布式网络安全虚拟化架构的具体组成如下所示：
（1）安全服务控制平面。主要由NBI、生命周期管理、用户资产轮询、安全管理界面、安全策略管理、日志监控、扩展服务管理组成，其中NBI负责对外提供北向接口，而通过这些功能即可实现实时的用户资产配置获取，管理员也能够由此开展高质量的安全服务管理。
（2）安全服务平面。主要由安全服务虚机、扩展服务虚机、虚拟机、虚拟网络、Hypervisor组成，虚拟机在其中负责集成复杂功能、扩展服务模块以形成服务链，而Hypervisor则能够为全服务虚拟机的运行提供支持。
2.2具体组成
结合更深入分析，确定了由引流平面和安全服务平面分离组成并运行于虚拟机的控制平面（支持高可用性）、采用分布式部署并运行在虚拟机上的安全服务平面、应用SDN引流和虚拟交换机的引流平面，而服务模块的扩展则通过启动虚拟机实现，这一云数据中心网络安全服务架构思路不仅满足了上文提及的全部需求，安全服务更被赋予了统一管理和开放接口特性。流量可视化、微隔离、安全服务、支持业务迁移、全网行为分析属于该架构具备的主要服务能力，如安全服务能够提供L2到L7的安全服务，防火墙、应用识别、攻击防护、URL过滤等均属于安全服务的具体组成，可见该架构的完善性[3]。
3云数据中心网络安全服务架构应用实例
为提升研究实践价值，本文围绕上述云数据中心网络安全服务架构在不同类型云数据中心的应用进行了详细论述，该架构在不同云数据中心基于不同安全需求开展的灵活适配具备较高借鉴价值。
3.1VMware数据中心
在VMware数据中心的网络安全服务架构应用中，该架构实现了与vCenter的协调管理，vCenter、安全服务控制平面、物理服务器集群、安全服务平面属于架构的具体应用，而在VSS/VDS（虚拟交换机）的引流支持下，该网络安全服务架构可支持ESXiHypervisor，L2至L7的安全服务也将由此实现。结合VMware数据中心特点，网络安全服务架构特别准备了扩展日志分析模块，该模块主要负责流量日志的分析处理，而分析处理的结果将自动送至数据中心日志服务器。
3.2OpenStack数据中心
对于应用网络安全服务架构的OpenStack数据中心来说，OpenStack、安全服务控制平面、安全服务平面、物理服务器集群属于该架构的主要构成，其中OpenStack主要由FWaaSplugin、Neutron、Cinder、Nova组成，由此即可实现用户网络信息的获取和生命周期管理。在OpenStack数据中心的网络安全服务架构应用中，使用OpenSwitch引流、支持KVMhypervisor属于该部署的主要特点，由此实现的多租户场景支持、在线部署、L2至L7安全服务提供也应得到关注。
3.3自主开发云平台
自主云平台开发同样属于本文研究分布式网络安全虚拟化架构的典型应用，自主开发管理平台、安全服务控制平面、SDN控制器、物理服务器集群、安全服务平面属于该应用的具体组成，而在管理API支持下，该架构可实现用户和网络信息的获取、高水平生命周期管理。通过调用SDN控制器QPI实现镜像引流、支持ZENhypervisor与KVM，则使得整个架构能够在检测到虚拟机攻击行为后在最短时间内实现虚拟机隔离，整个平台的安全性能自然将由此实现大幅提升。
4结论
综上所述，本文研究的云数据中心网络安全服务架构具备较高推广潜力，而在此基础上，文中涉及的分布式网络安全虚拟化架构在VMware数据中心、OpenStack数据中心、自主开发云平台中的实际应用，则证明了设计思想的可行性。因此本文建议相关业内人士关注本文渗透的设计思想，并由此推动我国云数据中心的更好发展。
参考文献：
[1]张小梅,马铮,朱安南等.云数据中心安全防护解决方案[J].邮电设计技术，2016.
[2]姚帅,陆蓓.基于SDN技术的云数据中心演进方案研究及试点[J].电信技术，2015.
[3]张旭辉.运营商云数据中心网络安全技术研究综述[J].中国新通信，2015.
