电子政务云安全解决方案

业务背景

随着云计算、大数据的兴起，虚拟化、数据大集中、数据挖掘与分析渐渐成为数据中心建设的方向和目标。云计算数据中心的建设无论从趋势上还是实际需求上，都将在政府数据中心建设、政务应用系统建设、政府门户网站建设等领域得到广泛应用。

政府部门目前政务数据中心建设特点如下：

◆随着政府门户网站的数量快速增长,用户量日益增加,内容日趋多媒体化,政府门户网站需要处理海量,数据，传统数据中心性能瓶颈凸显，需要云计算平台作为支撑。

◆随着政务信息资源开发利用的深入，数据大集中之后的数据分析、数据挖掘，以及政务信息交互，要求数据中心具备很高的计算能力。传统政府数据中心的建设和运行的成本（包括电力成本、空间成本、维护成本等）不断上升，需要利用云计算模式来提高政府数据中心的运行效率，降低政府数据中心的建设成本。

◆移动终端的普及，物联网通信技术的应用，会有越来越多的终端进入政务应用系统，政务应用系统处理数据面临爆炸式增长，也需要云计算平台帮助政务应用系统提高处理性能，减少响应时间。

安全挑战

云计算的虚拟化、多租户和动态性不仅需要进一步强化传统的安全问题，同时也引入了新的安全问题。

电子政务云建设主要有两种模式：各单位自建私有云数据中心、行业云模式。

一、政务私有云

自建政务私有云以虚拟化为核心，将应用从传统的物理服务器迁移至云中，也将应用的部署从物理服务器改为虚拟主机。这样可以使应用的部署和迁移时间从几个小时缩短到几分钟，并且显著的提高了服务器的资源利用率，降低运行维护的复杂性和成本。由于政务网业务的保密性和可用性，相对于其他云计算数据中心，政务私有云对于安全合规性、资源弹性、应用级可靠性有更加严格的要求。

◆满足安全防护与等保合规

云计算的出现模糊了安全的边界，使得传统的信息安全防护手段不再适用。事实上，信息安全问题已经成为用户使用云资源的主要障碍。对于电子政务系统，即使自建私有云，在满足国家信息安全等级保护制度，以及行业安全要求方面，安全要求没有任何降低，而实现方式和难度却大幅度上升。政务网因为涉及到业务安全性和保密性问题，部分业务的等级保护要求至少四级，自建政务私有云必须在安全性上考虑更全面。

◆资源弹性

云计算的主要特点是虚拟化、动态的可扩展性、灵活性。云计算平台使用的物理结点是分布的，每一个应用部署的环境和物理平台是没有关系的。通过虚拟平台进行管理达到对应用进行扩展、迁移、备份。多个应用共享硬件资源时，当部分应用性能不足时，通过虚拟机的复制、迁移，可以达到资源的最大化利用，一定程度上提供应用所需要的资源弹性。

◆应用级可靠性

私有云数据中心出于灾备或者其他方面考虑，以及资源的充分利用，可能会采用多数据中心模式，多数据中心采用主―备方式提供可靠性备份或者采用主－主方式既提供备份也提高资源利用率。此时需要保证所有数据中心之间可以进行二次互通，同时多中心的分布式架构下如何保证虚机迁移的可靠性，都是私有云数据中心建设过程中需要客虑的问题。

二、行业云

自建私有云具有刚性的IT投资，在进行资源规划时，如果按照所需的峰值资源来规划，则意味着平时的资源闲置，这不符合通过云计算提高资源利用率节约成本的初衷。因此，自建私有云无法提供应用所需要的弹性。自建私有云结合在公有云／行业云中租用资源组建的行业云，是未来的趋势。政务云需要额外考虑与政务网对接、租户自组网以及安全合规等需求。

◆政务网对接

政务行业云是电子政务网的核心组成部分之一，必须与电子政务网很好的对接。电子政务网为每个租用单位分配

了一个MPLS、VPN作为专网，但政务行业云为接入单位提供资源弹性时，必须考虑与MPLSVPN的对接，对接必须解决三个问题：

第一、由于各租用单位是专网VPN，地址存在重叠现象，政务云必须能够识别和区分可能存在的“IP地址相同，接入单位不同”的业务。

第二、租用单位在建设私有云数据中心满足日常弹性的同时，会通过向行业云寻求弹性满足高峰时需求，这样其虚拟机迁移将跨越政务网实现，所以，政务行业云必须为租用单位动态调整网络，分配MPLSVPN，实现租用单位自建私有云与行业云的弹性扩展。

第三、为了实现租户间隔离、政务行业云数据中心需支持端到端的隔离，从虚拟机到数据中心入口，网络中每个节点都需要支持针对多租户的识别和隔离需求。

◆多租户自组网需求

与传统数据中心相比，行业云是为多租户服务的，多租户环境为云数据中心带来了新的挑战。目前，云数据中心基本只能提供给租户单个或者多个虚拟机的管理，而不能提供租户虚拟的网络管理，对租户来说通信过程是一个黑盒子，安全性可想而知。

政务行业云为各租用单位提供业务弹性的同时，为了保证业务可用性和安全性，必须同时提供给租户自组网能力。通过租户自组网，租户可以将私有云与行业云二层互通，并可以实现：1.可管理通信路径上所有节点的网络设备；2.根据需要调整网络节点配置以及安全策略；3.通过自组网后台管理所有虚拟机，以及虚拟机上的应用。

◆安全合规

按照等保定级指南进行评估，一般的云数据中心至少应该达到等保三级的要求，而政务行业云给各政务应用提供弹性资源，根据等级保护规定，其安全性必须向最高等级靠拢，至少满足等保四级的要求。对于行业云数据中心，一方面要提供IaaS基础架构安全防护，同时要给租户提供安全合规的记录，保证租户将应用迁移到行业云时，仍然能满足安全合规的需求。

解决方案

凭借自身的技术积累以及对于政务云应用的理解，捷普政务云数据中心解决方案立足于对电子政务的理解，为用户提供可靠的政务云安全解决方案。

政务自建私有云一般为扁平化大二层组网方式，针对单位内多个应用提供弹性，基础框架如下图：

该方案通过政务云出口安全能力建设，确保了基础架构的安全，同时做到了租户的自我防护及租户间的安全防护还符合政府行业等保合规的建设要求，特点如下：

◆具备虚机识别能力

在私有政务云数据中心中，各个虚机由于业务需要，经常会进行业务迁移，比如目前政务中心有两个应用A和B并且每个应用均各有5台虚机服务器，并且这十台虚机分别出于VLANA和VLANB且运行正常。由于B业务量激增，

在一段时间内服务器负载过大，需要增加3台服务器支撑应用，此时管理人员就会将应用A的3台虚机快速迁移VLANB中增援，那么随着业务的迁移使用，迁移的虚机安全策略也该同时改变。于是对于安全设备来说，首先要识别有虚机在迁移，其次才能随之做出策略变更。

捷普安全设备已经具备虚机识别能力，能够及时发现虚机的网络变更。

◆租户的安全防护

对于私有政务云的租户来说，数据的安全性尤为重要，由于该方案出口处部署了防火墙(FW)、入侵防御(IPS)抗拒绝服务攻击、WEB应用防火墙（WAF）、漏洞扫描等安全设备，于是租户在相应虚机上访问应用时就能够确保据的安全性。

◆多应用多租户的隔离和互访

为了保证私有政务云内部数据的安全，可以通过划分VIAN或者虚拟PW实现虚拟租户网，区分和隔离不同的应及租户，防止数据泄露，实现多租户自己的数据隐私。同时租户还可以自定义和部署自己的安全策略，实现灵活控制。租户和应用间的互访也可以通过虚拟防火墙的控制策略实现。

◆等保合规

为了给租户提供安全的应用使用环境，政务云需要确保基础架构的安全，比如需要在不同的物理安全域间部署。全设备，同时整个私有政务云需要能够对安全策略统一管理统一部署，降低维护复杂度。

在政务自建私有云基础上，向各行业云寻求弹性是一个趋势，部分单位没有自建数据中心，所有业务通过向行业云租用资源，从而开展政务业务，行业云数据中心基础架构如下图：

行业云数据中心通过MPLSVPN与政务网对接，同时通过MPLS实现云数据中心内租户隔离。给每个租户提供的网络中，不但保证了IaaS基础架构的安全，并提供虚拟FN、虚拟IPS等功能，实现租户自组网，在安全合规性方面也能让租户方便地提供合规性自检报告。

特别的，对于自建私有云的单位，行业云提供的资源弹性也是很好的备份，能够更好地为电子政务业务的可靠性提供帮助。

客户价值
   ◆政务云自身、租户应用及多租户间都实现了安全防护。
    ◆灵活的租户安全自定义能力。
    ◆一体化管理系统实现统一管理、安全协同，最大程度发挥各个安全系统的价值。

    ◆设备具备双电源、关键器件冗余等高可靠性设计，保护政务云的可靠应用。