5G 電信云網(wǎng)絡(luò)的級(jí)分布式構(gòu)，可以加高效地載各種類的 5G 垂直行業(yè)用。而 SDN（Software Defined Network，軟件定義網(wǎng)絡(luò)/NFV（Network Functions Virtualization，網(wǎng)絡(luò)功能虛擬）網(wǎng)絡(luò)云在極大提資源利用的同時(shí)，供了業(yè)務(wù)動(dòng)化開通智能化運(yùn)功能，實(shí)了業(yè)務(wù)的速上線和活調(diào)整。于 5G 電信云優(yōu)顯著，目運(yùn)營商正積極推進(jìn)絡(luò)的云化造。網(wǎng)絡(luò)斷云化演的同時(shí)，全問題備關(guān)注。安是電信網(wǎng)的基本需之一，也網(wǎng)絡(luò)建設(shè)重中之重那么，如靈活開放 5G 電信云網(wǎng)絡(luò)的安全嗎NFV 帶來的風(fēng)險(xiǎn)NFV 是一把雙刃劍帶來開放的同時(shí)，帶來了安風(fēng)險(xiǎn)。NFV 以運(yùn)行在 x86 服務(wù)器上的網(wǎng)鬼國功軟件化的式實(shí)現(xiàn)了硬件解耦以硬件資池化的方使得網(wǎng)絡(luò)構(gòu)更加開，業(yè)務(wù)部更加靈活但是在 NFV 架構(gòu)下，為實(shí)各層面的操作性，NFV 組件之間必須備開放性這會(huì)帶來件交互的全風(fēng)險(xiǎn)。了避免這安全風(fēng)險(xiǎn)保障虛擬電信云網(wǎng)系統(tǒng)安全行，必須取有效的全措施。5G 電信云網(wǎng)絡(luò)安全施5G 電信云組網(wǎng)安全性要非常嚴(yán)格從物理組層面到業(yè)網(wǎng)絡(luò)層面有限制。之前講的5G 電信云數(shù)據(jù)中的邏輯組”中，我提到了根接入服務(wù)的不同功，物理網(wǎng)（Underlay 網(wǎng)絡(luò)）劃為計(jì)算域存儲(chǔ)域和理域，通將這三個(gè)各自獨(dú)立署并結(jié)合火墻技術(shù)來保證網(wǎng)的安全性這其實(shí)就物理組網(wǎng)面的安全施。一般說，物理網(wǎng)要進(jìn)行格的組網(wǎng)離，部分營商甚至求多層級(jí)隔離。這可以看出安全性在信云中地顯著。實(shí)應(yīng)用時(shí)， 5G 電信云系統(tǒng)會(huì)按照不的安全風(fēng)等級(jí)，把備劃分到同的安全中，不同安全域邊如果互訪需要穿過火墻。類的，業(yè)務(wù)絡(luò)也會(huì)通劃分不同安全域，在不同區(qū)之間通過同類型的火墻實(shí)現(xiàn)級(jí)保護(hù)。面我們就看看安全是如何劃的，以及何通過分管理來保網(wǎng)絡(luò)的安。分域管對(duì)于安全的概念，非常細(xì)致區(qū)分，我把安全域分為不同層級(jí)。第層級(jí)，整劃分為計(jì)（業(yè)務(wù)）、存儲(chǔ)域管理域，三個(gè)域物隔離，實(shí)業(yè)務(wù)網(wǎng)絡(luò)存儲(chǔ)網(wǎng)絡(luò)管理網(wǎng)絡(luò)隔離，并用防火墻跨越不同絡(luò)的通信行防護(hù)。二層級(jí)，業(yè)務(wù)網(wǎng)絡(luò)部，又劃為暴露域非暴露域核心域和理域?？?這里，可細(xì)心的同會(huì)產(chǎn)生疑: 怎么又有一個(gè)管域？別急此處的管域與第一級(jí)中的管域是不同。第一層中的管理管理的是個(gè)網(wǎng)絡(luò)，必要的。業(yè)務(wù)網(wǎng)絡(luò)的管理域理的是業(yè)，有時(shí)根客戶的實(shí)需求，可沒有管理，也就是必要的。務(wù)網(wǎng)絡(luò)內(nèi)同的區(qū)域間通過不類型的防墻實(shí)現(xiàn)等保護(hù)。其不同的安域中包含同的網(wǎng)元在外部黑攻破業(yè)務(wù)絡(luò)的暴露時(shí)，不會(huì)響到非暴域、核心和管理域數(shù)據(jù)安全即使攻破非暴露域由于非暴域和核心、管理域間的防火與被攻破火墻是異的，最大能地將網(wǎng)威脅終止非暴露域核心域、理域之間防火墻，證了核心和管理域安全。即整個(gè)業(yè)務(wù)絡(luò)受到威，但是存域和管理還有一層儲(chǔ) / 管理防火墻保護(hù)，很可能網(wǎng)絡(luò)脅只影響行業(yè)務(wù)，不是讓整基礎(chǔ)設(shè)施構(gòu)受到攻。另外，理域和存域又劃分同的邏輯絡(luò)平面，格禁止不網(wǎng)絡(luò)平面互訪。不的角色設(shè)不同的權(quán)，分權(quán)分。其實(shí)，信云中各域的劃分較類似于代城池的造，通過別不同的能區(qū)域和置風(fēng)險(xiǎn)等來方便管，并且通建造城門有效控制同區(qū)域的員流動(dòng)，達(dá)到安全控的目的通過分域理，我們夠精準(zhǔn)、捷地對(duì)電云中的每區(qū)域模塊行有效部和控制。就像我們面所講的池建造一，一個(gè)人理城中那多的百姓很困難的但是，通劃分不同區(qū)域，再每個(gè)區(qū)域排專人負(fù)就可以輕達(dá)到全局控的目的。防火墻署理解了域管理的念，我們著上面的子來講下火墻。通在古代，個(gè)國家的個(gè)城門都一種界限象征。當(dāng)有城門的候，百姓以在各城隨意出入容易產(chǎn)生種矛盾和紛，并且方便協(xié)調(diào)管理，因我們?cè)O(shè)置城門來對(duì)進(jìn)行控制這樣每個(gè)中的人只在有限的圍內(nèi)流動(dòng)既提升了理效率，避免了各問題。這的“城門就類似于火墻的概。在電信層面，防墻的用途要用于安域邊界的離。DC（Data Center，數(shù)據(jù)中心）業(yè)務(wù)和外部網(wǎng)之間的隔，一般使南北向防墻。DC 內(nèi)不同安域之間互的隔離，般使用跨東西向防墻。其中東西方向流量安全用分布式火墻（安組）進(jìn)行離。同一安全組的 VM（Virtual Machine，虛機(jī)）可以訪，不同全組 VM 間默認(rèn)是不能互相問的。安組是有狀的，租戶以設(shè)置某 VM 能夠主動(dòng)訪其它外網(wǎng)源，但是絕外部的動(dòng)訪問。北向流量全防護(hù)，用外置硬防火墻進(jìn)安全隔離安全域間署的東西防火墻掛在網(wǎng)關(guān)上跨安全域流量要經(jīng)防火墻進(jìn)互通。講這里，我可以看出5G 電信云的分域理和防火部署相互合，可以 5G 電信云構(gòu)建層安全屏。這種措切實(shí)保證網(wǎng)絡(luò)的通和安全。絡(luò)發(fā)展，全隨行。來，隨著 5G 電信云網(wǎng)絡(luò)規(guī)的不斷擴(kuò)，安全策也將越來完善。文涉及的縮語：SDN（Software Defined Network，軟件定網(wǎng)絡(luò)）NFV（Network Functions Virtualization，網(wǎng)絡(luò)功能擬化）EPC（Evolved Packet Core，演進(jìn)的分組核心）MANO（Management and Orchestration，管理和編）VNFM（Virtualized Network Function Manager 虛擬化網(wǎng)絡(luò)功管理）EMS（Element Management System，網(wǎng)元管理系統(tǒng)DC（Data Center，數(shù)據(jù)中心VM（Virtual Machine，虛機(jī)）本文自微信公號(hào)：中興檔 （ID：ztedoc）