电子政务云安全解决方案

业务背景

随着云计算、大数据的兴起，虚拟化、数据大集中、数据挖掘与分析渐渐成为数据中心建设的方向和目标。云计算数据中心的建设无论从趋势上还是实际需求上，都将在政府数据中心建设、政务应用系统建设、政府门户网站建设等领域得到广泛应用。

政府部门目前政务数据中心建设特点如下：

• 政府部门随着政府门户网站的数量快速增长，用户量日益增加，内容日趋多媒体化，政府门户网站需要处理海量数据，传统数据中心性能瓶颈凸显，需要云计算平台作为支撑。

• 政府部门随着政务信息资源开发利用的深入，数据大集中之后的数据分析、数据挖掘，以及政务信息交互，要求数据中心具备很高的计算能力。传统政府数据中心的建设和运行的成本（包括电力成本、空间成本、维护成本等）不断上升，需要利用云计算模式来提高政府数据中心的运行效率，降低政府数据中心的建设成本。

• 移动终端的普及，物联网通信技术的应用，会有越来越多的终端进入政务应用系统，政务应用系统处理数据面临爆炸式增长，也需要云计算平台帮助政务应用系统提高处理性能，减少响应时间。

安全挑战云计算的虚拟化、多租户和动态性不仅需要进一步强化传统的安全问题，同时也引入了新的安全问题。

电子政务云建设主要有两种模式：各单位自建私有云数据中心、行业云模式。

一、政务私有云

自建政务私有云以虚拟化为核心，将应用从传统的物理服务器迁移至云中，也将应用的部署从物理服务器改为虚拟主机。这样可以使应用的部署和迁移时间从几个小时缩短到几分钟，并且显著的提高了服务器的资源利用率，降低运行维护的复杂性和成本。由于政务网业务的保密性和可用性，相对于其他云计算数据中心，政务私有云对于安全合规性、资源弹性、应用级可靠性有更加严格的要求。

1.满足安全防护与等保合规

云计算的出现模糊了安全的边界，使得传统的信息安全防护手段不再适用。事实上，信息安全问题已经成为用户使用云资源的主要障碍。对于电子政务系统，即使自建私有云，在满足国家信息安全等级保护制度，以及行业安全要求方面，安全要求没有任何降低，而实现方式和难度却大幅度上升。政务网因为涉及到业务安全性和保密性问题，部分业务的等级保护要求至少四级，自建政务私有云必须在安全性上考虑更全面。

2.资源弹性

云计算的主要特点是虚拟化、动态的可扩展性、灵活性。云计算平台使用的物理结点是分布的，每一个应用部署的环境和物理平台是没有关系的。通过虚拟平台进行管理达到对应用进行扩展、迁移、备份。多个应用共享硬件资源时，当部分应用性能不足时，通过虚拟机的复制、迁移，可以达到资源的充分利用，一定程度上提供应用所需要的资源弹性。

3.应用级可靠性

私有云数据中心出于灾备或者其他方面考虑，以及资源的充分利用，可能会采用多数据中心模式，多数据中心采用主-备方式提供可靠性备份或者采用主-主方式既提供备份也提高资源利用率。此时需要保证所有数据中心之间可以进行二次互通，同时多中心的分布式架构下如何保证虚机迁移的可靠性，都是私有云数据中心建设过程中需要考虑的问题。

二、行业云

自建私有云具有刚性的IT投资，在进行资源规划时，如果按照所需的峰值资源来规划，则意味着平时的资源闲置，这不符合通过云计算提高资源利用率节约成本的初衷。因此，自建私有云无法提供应用所需要的弹性。自建私有云结合在公有云/行业云中租用资源组建的行业云，是未来的趋势。政务云需要额外考虑与政务网对接、租户自组网以及安全合规等需求。

1.政务网对接

政务行业云是电子政务网的核心组成部分之一，必须与电子政务网很好的对接。电子政务网为每个租用单位分配了一个MPLS VPN作为专网，但政务行业云为接入单位提供资源弹性时，必须考虑与MPLS VPN的对接，对接必须解决三个问题：

第一、由于各租用单位是专网VPN，地址存在重叠现象，政务云必须能够识别和区分可能存在的“IP地址相同，接入单位不同”的业务。

第二、租用单位在建设私有云数据中心满足日常弹性的同时，会通过向行业云寻求弹性满足高峰时需求，这样其虚拟机迁移将跨越政务网实现，所以，政务行业云必须为租用单位动态调整网络，分配MPLS VPN，实现租用单位自建私有云与行业云的弹性扩展。

第三、为了实现租户间隔离，政务行业云数据中心需支持端到端的隔离，从虚拟机到数据中心入口，网络中每个节点都需要支持针对多租户的识别和隔离需求。

2.多租户自组网需求

与传统数据中心相比，行业云是为多租户服务的，多租户环境为云数据中心带来了新的挑战。目前，云数据中心基本只能提供给租户单个或者多个虚拟机的管理，而不能提供租户虚拟的网络管理，对租户来说通信过程是一个黑盒子，安全性可想而知。

政务行业云为各租用单位提供业务弹性的同时，为了保证业务可用性和安全性，必须同时提供给租户自组网能力。通过租户自组网，租户可以将私有云与行业云二层互通，并可以实现：1.可管理通信路径上所有节点的网络设备；2.根据需要调整网络节点配置以及安全策略；3.通过自组网后台管理所有虚拟机，以及虚拟机上的应用。

3.安全合规

按照等保定级指南进行评估，一般的云数据中心至少应该达到等保三级的要求，而政务行业云给各政务应用提供弹性资源，根据等级保护规定，其安全性必须像高等级靠拢，至少满足等保四级的要求。对于行业云数据中心，一方面要提供IaaS基础架构安全防护，同时要给租户提供安全合规的记录，保证租户将应用迁移到行业云时，仍然能满足安全合规的需求。

解决方案

凭借自身的技术积累以及对于政务云应用的理解，捷普政务云数据中心解决方案立足于对电子政务的理解，为用户提供可靠的政务云安全解决方案。

政务自建私有云一般为扁平化大二层组网方式，针对单位内多个应用提供弹性，基础框架如下图：

该方案通过政务云出口安全能力建设，确保了基础架构的安全，同时做到了租户的自我防护及租户间的安全防护，还符合政府行业等保合规的建设要求，特点如下：

1.具备虚机识别能力

在私有政务云数据中心中，各个虚机由于业务需要，经常会进行业务迁移，比如目前政务中心有两个应用A和B，并且每个应用均各有5台虚机服务器，并且这十台虚机分别出于VLAN A和VLAN B且运行正常。由于B业务量激增，在一段时间内服务器负载过大，需要增加3台服务器支撑应用，此时管理人员就会将应用A的3台虚机快速迁移到VLAN B中增援，那么随着业务的迁移使用，迁移的虚机安全策略也该同时改变。于是对于安全设备来说，首先要能识别有虚机在迁移，其次才能随之做出策略变更。

捷普安全设备已经具备虚机识别能力，能够及时发现虚机的网络变更。

2.租户的安全防护

对于私有政务云的租户来说，数据的安全性尤为重要，由于该方案出口处部署了FW、IPS、流量清洗、WAF、漏洞扫描等安全设备，于是租户在相应虚机上访问应用时就能够确保数据的安全性。

3.多应用多租户的隔离和互访

为了保证私有政务云内部数据的安全，可以通过划分VLAN或者虚拟FW实现虚拟租户网，区分和隔离不同的应用及租户，防止数据泄露，实现多租户自己的数据隐私。同时租户还可以自定义和部署自己的安全策略，实现灵活控制。

租户和应用间的互访也可以通过虚拟FW的控制策略实现。

4.等保合规

为了给租户提供安全的应用使用环境，政务云需要确保基础架构的安全，比如需要在不同的物理安全域间部署安全设备，同时整个私有政务云需要能够对安全策略统一管理统一部署，降低维护复杂度。

在政务自建私有云基础上，向各行业云寻求弹性是一个趋势，部分单位没有自建数据中心，所有业务通过向行业云租用资源，从而开展政务业务，行业云数据中心基础架构如下图：

行业云数据中心通过MPLS VPN与政务网对接，同时通过MPLS实现云数据中心内租户隔离。给每个租户提供的网络中，不但保证了IaaS基础架构的安全，并提供虚拟FW、虚拟IPS等功能，实现租户自组网，在安全合规性方面也能让租户方便地提供合规性自检报告。

特别的，对于自建私有云的单位，行业云提供的资源弹性也是很好的备份，能够更好地为电子政务业务的可靠性提供帮助。

客户价值

1.政务云自身、租户应用及多租户间都实现了安全防护。

2.灵活的租户安全自定义能力。

3.一体化管理系统实现统一管理、安全协同，发挥各个安全系统的价值。

4.设备具备双电源、关键器件冗余等高可靠性设计，保护政务云的可靠应用。