灵活准入、逻辑隔离、统一服务

一、概述

当前虚拟园区网1.0方案已广泛应用于政府、大企业、医疗等行业，它提出和实现了网络虚拟化所需的基本技术思路：在用户接入网络时，使用802.1x、Portal协议提供身份识别、权限控制服务，实现最优的访问控制策略；在用户接入网络后，通过MPLS VPN、VRF－VRF等多种逻辑隔离技术，能在保留当前园区网设计优势的同时，在一张物理网络上叠加多层逻辑分区，提供安全的虚拟化网络资源；共享服务和安全策略实施的集中化，大大减少了在园区网中维护不同群组的安全策略和服务所需的资本和运营开支，有助于进行统一的规划建设和运维管理。

二、虚拟园区网1.0精髓

在"虚拟园区网解决方案1.0"中，重点关注如何解决以下三个问题：

l 网络接入控制：确保接入用户的合法性和安全性，并能够根据用户身份动态授权；

l 业务逻辑隔离：确保用户组业务的安全隔离和可控互访，即VPN隔离和互访；

l 统一服务：确保每个用户组能够获得正确的服务，并进行集中的管理和策略控制。

这三方面是实现虚拟化园区网络建设中必须要面对和解决的问题，解决这些问题的思路和技术方案构成了"虚拟园区网解决方案1.0"的精髓。

网络接入控制

通过网络接入控制对接入网络的终端进行接入安全保障和基于身份的动态访问授权。

虚拟园区网使用逻辑隔离技术，在一张物理网络上虚拟出多套封闭的逻辑资源。在用户接入网络的时候，必须要考虑用户所属群组与逻辑网络资源之间的对应关系，以便于给用户分配正确的权限，并保证封闭逻辑资源的安全性。

这里，建议部署H3C的终端准入控制（EAD，End user Admission Domination）系统，该系统根据接入用户的身份信息，与网络设备配合对用户进行动态授权，控制不同群组用户能够访问到不同的逻辑资源；并能提供用户终端的安全性和法规遵从性检查，加强对用户的集中管理，提高网络终端的主动安全防御能力。

在使用EAD系统进行灵活准入控制的时候，根据应用场景不同，通常有两种控制方式：

l 802.1x方式

图1. 802.1x方式的网络接入控制典型组网

如图1所示，接入控制点在园区网络的接入层设备、认证协议使用802.1x。802.1x是端口安全的标准协议，能够在认证用户及其关联的VPN间形成连接，防止在未授权情况下访问禁止接入的资源。

初始情况下，未认证用户连接网络时，根据预配的策略，用户不能接入网络，或只能访问部分安全等级要求不高的公共资源，如公共资源VPN里的打印机、软件升级服务器、病毒库版本升级服务器、访问Internet服务等，无法访问其它安全等级较高的私有VPN资源。

用户使用EAD系统通过认证后，网管会根据认证用户名的群组归属属性，由策略服务器给接入层控制设备下发端口归属关系配置调整信息，建立用户接入端口与相应VPN的连接关系，提供用户对相应VPN内资源的访问通道。此时，用户只能访问所授权访问VPN内的资源，无法访问和查看其它用户VPN内的资源，从而实现对接入用户的资源访问权限控制和安全的逻辑隔离。并且同一物理端口在不同时刻可分别提供给多个用户使用，每次认证通过后策略服务器都会根据认证用户属性下发端口归属VPN的配置信息，使用户接入到不同的VPN中去。用户在未认证时，可能都能访问相同的公共资源，但用户认证后，就只能分别访问所归属VPN内的资源，同一台终端先后使用不同的用户名认证接入网络，能够访问到的资源也是不同的。这样大大提高了用户动态接入网络资源的灵活性。

802.1x方式在网络接入的最前端进行访问权限控制和安全检查，通过调整用户接入端口与VPN的映射关系来控制用户对相应VPN资源的访问，具有较高的安全性。同时，能够支持用户的位置移动性，无论用户从边缘的哪个接口接入，都能访问到相同的授权资源。

l Portal方式

对于无法在接入层设备进行接入访问控制的组网，还可以采用一种基于汇聚网关的Portal认证方案。

图2. Portal方式网络接入控制典型组网

在这个方案中，用户的接入身份认证和权限控制点不在接入层设备上，而是在位置较高的汇聚、核心层，这样可以兼容下层网络的异构性、对接入层设备的要求也较低。但是，这种部署方式要求虚拟化VPN资源的划分要在Portal认证点之上。

初始情况下，用户可以访问不需要认证的资源，如本地局域网内的部分资源、Internet服务等。当用户需要通过Portal网关访问受控资源的时候，就需要启动EAD客户端或通过认证网关推送的认证界面进行认证，服务器根据认证用户信息，下发控制策略给Portal网关，建立用户与相应VPN资源的访问通道、限制对其它VPN虚拟资源的访问。

基于Portal方式的接入控制简化方案也得到了广泛应用，如在某个大型园区网络中部署了虚拟化技术对办公业务和访问Internet业务进行逻辑隔离，采用Portal认证方式：用户接入网络后，无需认证即可访问Internet，此时用户无法访问办公业务资源；当用户需要访问办公VPN资源的时候，数据流触发Portal网关推送认证界面给用户，用户认证通过后即可访问办公VPN资源，但此时由于策略服务器给Portal网关下发了控制策略，用户无法再同时访问Internet，若需访问Internet，用户需要退出认证。这样，能够更加灵活、简化对网络虚拟资源的访问控制，更便于部署和使用。

网络接入控制包含两方面内容：一是对接入用户访问网络虚拟资源的权限控制，二是对接入用户的合法性和安全性检查。EAD系统充分支持这两方面功能，无论使用802.1x方式还是Portal方式的认证，都能对接入终端的安全性、合规性进行检查，并提供检查报告，对不满足要求的终端，限制其接入网络。对认证通过并进行了访问授权的用户，仍能提供实时的安全状态监测，以保障终端和网络的安全性。

业务逻辑隔离

目前，有多种技术能够支持网络虚拟化分区、实现用户组业务的逻辑隔离，包括GRE、VRF-VRF、MPLS L3/L2 VPN等。但是从虚拟园区网方案在行业应用的分析来看，VRF-VRF和MPLS L3 VPN是应用较多的技术，也相对于其它技术更有优势。

l 中小型园区

对于一些中小型园区，网络设备层次少、结构简单、业务划分关系固定，非常适合VRF-VRF方案。利用园区内设备的虚拟路由转发功能，为不同群组/业务划分固定的逻辑隔离通道，满足业务的横向隔离需求。一次配置完成后即可稳定地提供服务，支持通道间的地址重叠和控制策略不一致。

l 大型园区

对于大型复杂园区，更适合使用MPLS L3 VPN技术建立虚拟化园区网络。MPLS L3 VPN已在广域网应用多年，技术成熟、控制灵活，对于虚拟网络间的互访业务能够提供很好的支持。由于在大型园区内部，无论业务系统集中还是分布部署，都可能存在跨VPN的业务互访和资源共享，VRF-VRF、GRE等隔离技术无法很好地支撑这种业务访问模式。MPLS VPN依靠路由、接口VPN实例绑定关系建立VPN通道进行通信，通过路由的引入引出控制策略，实现VPN间灵活的互访，并且能够支持可靠性检测、多路径负载均衡等技术，所以更适合网络规模大、设备台数多的组网应用环境。

利用MPLS VPN把网络虚拟化从广域延伸到园区，需要园区交换机产品对MPLS VPN特性提供全面的支持，否则无法实现真正的网络虚拟化。以H3C为例，其路由器、交换机、安全等产品能够提供全面的网络虚拟化技术支持，实现跨广域、园区的端到端虚拟化部署方案。

图3. H3C端到端的虚拟化解决方案

统一服务

传统物理隔离网络带来的一个严重问题：应用服务器需要重复部署且数据同步困难、安全策略需要分别定义和配置、管理复杂度增加。园区虚拟化方案能够有效解决以上难题，为用户提供集中的数据中心服务、统一的Internet/广域网出口、统一的网络监控/管理软件，提高资源的利用率、降低管理复杂度：

l 集中的数据中心服务。数据中心的应用支持多VPN用户的共享或专用，通过云计算、服务器虚拟化等技术的应用，屏蔽数据中心内部硬件设备间的差异，根据虚拟网络用户组和业务的需求分配计算、存储资源，提供统一、集中的服务，以降低提供这些服务的资本和运营开支；

l 园区内所有用户共享统一的Internet/广域网接口。虚拟防火墙、NAT转换等技术的应用减少了网络、安全设备的部署数量，多VPN用户共享集中部署的防火墙和入侵检测设备。以H3C的网络、安全产品为例，是通过VPN感知功能，在一个设备上能够并发提供几百个虚拟防火墙，每个虚拟网络用户组都能在各自的虚拟防火墙实例上实施自己的策略，而整体上只需要拥有一台硬件防火墙设备；

l 统一的网络管理、监控软件。通过专门的管理VPN，实现对整网资源的配置管理和对各种业务流量的监控、规划。例如通过iMC统一管理平台、MPLS VPN Manager对全网设备、用户、VPN业务进行统一管理和监控，降低管理难度和运维成本。

三、结束语

实现园区甚至整个网络的虚拟化，需要考虑用户终端接入的安全检查、接入VPN的动态授权、MPLS VPN端到端的业务隔离、虚拟防火墙、NAT多实例、共享数据中心、统一的运维和管理平台等多种技术、产品的综合应用，从而达到理想的设计效果。

虚拟园区网解决方案1.0以灵活的接入控制、安全的业务逻辑隔离、统一服务能力为精髓，提供了一套完整的实现虚拟化的基础方案。之后2.0方案在此基础上，整合了IRF智能弹性架构、多业务插卡等亮点技术，更进一步提高了网络的可靠性、提升整体资源的利用率、降低用户投资、简化网络管理、增强应用提供能力，开始了向智能化信息网络架构的迁移。