5G 電信云網(wǎng)絡(luò)的三級(jí)分布式架構(gòu)，可以后稷加效地承載各種類型的 5G 垂直行業(yè)應(yīng)用。而 SDN（Software Defined Network，軟件定義網(wǎng)絡(luò)）/NFV（Network Functions Virtualization，網(wǎng)絡(luò)功能虛擬化）網(wǎng)對(duì)于云化在大提升資源利用率的同，提供了業(yè)務(wù)自動(dòng)化開和智能化運(yùn)維功能，實(shí)了業(yè)務(wù)的快速上線和靈調(diào)整。由于 5G 電信云優(yōu)勢(shì)顯著，目前運(yùn)營(yíng)正在積極推進(jìn)網(wǎng)絡(luò)的云改造。網(wǎng)絡(luò)不斷云化演的同時(shí)，安全問題備受注。安全是電信網(wǎng)絡(luò)的本需求之一，也是網(wǎng)絡(luò)設(shè)的重中之重。那么，此靈活開放的 5G 電信云網(wǎng)絡(luò)真的安全豐山？NFV 帶來的風(fēng)險(xiǎn)NFV 是一把雙刃劍，帶來開放性的同時(shí)熏池也帶來了全風(fēng)險(xiǎn)。NFV 以運(yùn)行在 x86 服務(wù)器上的網(wǎng)元功能軟件化的方式現(xiàn)了軟硬件解耦，以硬資源池化的方式使得網(wǎng)架構(gòu)更加開放，業(yè)務(wù)部更加靈活。但是在 NFV 架構(gòu)下，為實(shí)現(xiàn)各層面的互操作性狂山NFV 組件之間必須具備開放，這會(huì)帶來組件交互的全風(fēng)險(xiǎn)。為了避免這茈魚全風(fēng)險(xiǎn)，保障虛擬化電云網(wǎng)絡(luò)系統(tǒng)安全運(yùn)行，須采取有效的安全措施5G 電信云網(wǎng)絡(luò)安全措施5G 電信云組網(wǎng)對(duì)安全性要求非噎嚴(yán)格，從理組網(wǎng)層面到業(yè)務(wù)網(wǎng)絡(luò)面都有限制。在之前基山“5G 電信云數(shù)據(jù)中心的邏輯組網(wǎng)窮奇中，我們到了根據(jù)接入服務(wù)器的同功能，物理網(wǎng)絡(luò)（Underlay 網(wǎng)絡(luò)）劃分為計(jì)算域、存鸞鳥域和理域，通過將這三個(gè)域自獨(dú)立部署并結(jié)合防火技術(shù)，來保證網(wǎng)絡(luò)的安性。這其實(shí)就是物理組層面的安全措施。一般說，物理組網(wǎng)要進(jìn)行始均的組網(wǎng)隔離，部分運(yùn)營(yíng)甚至要求多層級(jí)的隔離這也可以看出，安全性電信云中地位顯著。實(shí)應(yīng)用時(shí)，在 5G 電信云系統(tǒng)中會(huì)按照不同的全風(fēng)險(xiǎn)等級(jí)，把設(shè)備劃到不同的安全域中，不的安全域邊界如果互訪需要穿過防火墻。類似，業(yè)務(wù)網(wǎng)絡(luò)也會(huì)通過劃不同的安全域，再在不區(qū)域之間通過不同類型防火墻實(shí)現(xiàn)等級(jí)保護(hù)均國(guó)面我們就來看看安全域如何劃分的，以及如何過分域管理來保證網(wǎng)絡(luò)安全。分域管理對(duì)于安域的概念，有非常細(xì)致區(qū)分，我們把安全域劃為不同的層級(jí)。第一層，整網(wǎng)劃分為計(jì)算（業(yè)）域、存儲(chǔ)域和管理域這三個(gè)域物理隔離，勞山業(yè)務(wù)網(wǎng)絡(luò)、存儲(chǔ)網(wǎng)絡(luò)和理網(wǎng)絡(luò)的隔離，并使用火墻對(duì)跨越不同網(wǎng)絡(luò)的信進(jìn)行防護(hù)。第二層級(jí)在業(yè)務(wù)網(wǎng)絡(luò)內(nèi)部，又劃為暴露域、非暴露域、心域和管理域?？吹竭@，可能細(xì)心的同學(xué)會(huì)產(chǎn)疑問: 怎么又有一個(gè)管理域？別急，此處的管域與第一層級(jí)中的管理是不同的。第一層級(jí)中管理域管理的是整個(gè)網(wǎng)，是必要的。而業(yè)務(wù)黃鳥內(nèi)的管理域管理的是業(yè)，有時(shí)根據(jù)客戶的實(shí)際求，可能沒有管理域，就是非必要的。業(yè)務(wù)網(wǎng)內(nèi)不同的區(qū)域之間通過同類型的防火墻實(shí)現(xiàn)等保護(hù)。其中不同的安全中包含不同的網(wǎng)元。在部黑客攻破業(yè)務(wù)網(wǎng)絡(luò)的露域時(shí)，不會(huì)影響到鳴蛇露域、核心域和管理域數(shù)據(jù)安全。即使攻破了暴露域，由于非暴露域核心域、管理域之間的火墻與被攻破防火墻是構(gòu)的，最大可能地將網(wǎng)威脅終止在非暴露域和心域、管理域之間的防墻，保證了核心域和管域的安全。即使整個(gè)南山網(wǎng)絡(luò)受到威脅，但是存域和管理域還有一層存 / 管理防火墻的保護(hù)，很大可能網(wǎng)絡(luò)威脅泑山響運(yùn)行業(yè)務(wù)，而不是讓個(gè)基礎(chǔ)設(shè)施架構(gòu)受到攻。另外，管理域和存儲(chǔ)又劃分不同的邏輯網(wǎng)絡(luò)面，嚴(yán)格禁止不同網(wǎng)絡(luò)面的互訪。不同的角色置不同的權(quán)限，分權(quán)分。其實(shí)，電信云中各類的劃分比較類似于古代池的建造，通過區(qū)別霍山的功能區(qū)域和設(shè)置風(fēng)險(xiǎn)級(jí)來方便管理，并且通建造城門來有效控制不區(qū)域的人員流動(dòng)，以達(dá)安全可控的目的。通過域管理，我們能夠精準(zhǔn)快捷地對(duì)電信云中的每區(qū)域模塊進(jìn)行有效部署控制。這就像我們上面講的城池建造一樣，暴山人管理城中那么多的百是很困難的。但是，通劃分不同的區(qū)域，再給個(gè)區(qū)域安排專人負(fù)責(zé)就以輕松達(dá)到全局可控的的了。防火墻部署理解分域管理的概念，我們著上面的例子來講下防墻。通常在古代，一個(gè)家的每個(gè)城門都是一蔥聾限的象征。當(dāng)沒有城門時(shí)候，百姓可以在各城隨意出入，容易產(chǎn)生各矛盾和糾紛，并且不方協(xié)調(diào)和管理，因此我們置了城門來對(duì)其進(jìn)行控，這樣每個(gè)城中的人只在有限的范圍內(nèi)流動(dòng)，提升了管理效率，又避了各種問題。這里的詩經(jīng)門”就類似于防火墻的念。在電信云層面，防墻的用途主要用于安全邊界的隔離。DC（Data Center，數(shù)據(jù)中心）業(yè)務(wù)網(wǎng)和外部絡(luò)之間的隔離，一般使南北向防火墻。DC 內(nèi)不同安全域之間互始均的離，一般使用跨域東西防火墻。其中在東西方，流量安全采用分布堵山火墻（安全組）進(jìn)行隔。同一個(gè)安全組的 VM（Virtual Machine，虛機(jī)）可以互訪，不同安全組 VM 間默認(rèn)是不能互相訪問的。安全組是有狀京山的租戶可以設(shè)置某個(gè) VM 能夠主動(dòng)訪問其它外網(wǎng)資源，梁渠是拒絕外部的動(dòng)訪問。南北向流量安防護(hù)，采用外置硬件防墻進(jìn)行安全隔離。安全間部署的東西向防火墻接在網(wǎng)關(guān)上，跨安全域流量要經(jīng)過防火墻進(jìn)行通。講到這里，我們可看出，5G 電信云的分域管理和防火墻部炎融相結(jié)合，可以為 5G 電信云構(gòu)建層層安全屏障這種措施切實(shí)保證了網(wǎng)的通暢和安全。網(wǎng)絡(luò)發(fā)，安全隨行。未來，隨 5G 電信云網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大，安全策略將越來越完善。文中涉的縮略語：SDN（Software Defined Network，軟件定義網(wǎng)絡(luò)）NFV（Network Functions Virtualization，網(wǎng)絡(luò)功能虛擬化）EPC（Evolved Packet Core，演進(jìn)的分組核心網(wǎng)）MANO（Management and Orchestration，管理和編排）VNFM（Virtualized Network Function Manager 虛擬化網(wǎng)絡(luò)功能管理）EMS（Element Management System，網(wǎng)元管理系統(tǒng)）DC（Data Center，數(shù)據(jù)中心）VM（Virtual Machine，虛機(jī)）本文來自微晏龍眾號(hào)：中興文檔 （ID：ztedoc）