老生常谈,由一个考试题引发的思考
  

adds 3520

{{ttag.title}}
先来看看我这次遇到的考题(客户真实需求):

1.在同一套服务器环境中,搭建出研发使用环境和展厅展示环境

2.研发编程开发的数据信息都在虚拟机环境中运行,同时,由于研发需要上网搜索资料,所以研发使用PC电脑接入虚拟机环境。要求虚拟机环境中的数据(直接拷贝或网络传输)不能到本地,但是从PC电脑上能够将数据传输到虚拟机。

3.展厅考虑到展示信息都相同,同时为了避免误操作导致其他问题,要求虚拟机重启不保留已经进行了的操作,使用adesk接入;并且由于展厅没有专人使用,要求开机后自动进入虚拟机,关闭虚拟机即关闭adesk;可以考虑用一个闸统一管理展区的adesk。

一、一个VDC如何解决
1、VDC单臂部署

   (1)VDC的LAN口中连接内网,研发、某公司虚拟机桥接到虚拟交换机(桥接到VDC的LAN口对应的物理网口)。
    其中按照研发、某公司的地址规划,还有三种可能:第一种是研发、某公司处于同一个网段,如同是192.168.1.0/24这种网段,这种最不安全,本身就是同网段,没有任何安全可言;第二种是研发、某公司处于不同的子网,即研发为192.168.1.128/25,演示为192.168.1.0/24,网关同为192.168.1.1254。这种情况研发和演示使用相同的网关,但不能互访,相对安全;第三种是研发、某公司处于不同网段,即研发为192.168.1.0/24,演示为192.168.2.0/24,网关为各自网段最后一个可用的IP地址,此时,需要在LAN口配置第二IP地址。
    缺点:需要配置前置防火墙或者出口设备,在三层设备对研发和某公司的IP地址配置不同的上网策略,其中只SNAT某公司的IP地址;不管IP地址如何规则,研发、某公司总是处于一个相同的二层网络,存在安全漏洞;研发与内网可以通信,存在安全漏洞。

   (2)VDC的DMZ口连接内网,研发、某公司的虚拟机桥接到虚拟交换机(VDC的LAN口对应的虚拟交换机)。
    此处,需要在VDC上配置防火墙规则,放通某公司地址到内网的数据,SNAT规则可以在VDC上做,也可以放到前置防火墙或出口三层设备上。
    缺点:虽然研发、某公司的IP地址规划有多种方案,但依然存在漏洞,一旦有人获悉研发IP,即可以修改某公司虚拟机的IP,不需要通过跳转,就可以对研发虚拟机发起攻击。

2、VDC网关部署
  
   (1)VDC的WAN连接内网,研发、某公司的虚拟机桥接到VDC的LAN口桥接的虚拟机交换机。
    缺点:依旧是无法解决研发平台的安全问题。

综上所述,在1个VDC的场景下,有数十种不同的解决方案,但没有一种解决方案能解决研发网络的安全问题,不管是逻辑上还是物理上。

二、两个VDC如何解决
1、两个VDC均单臂部署
    (1)两个VDC的LAN口分别接内网,研发、某公司的虚拟机分别桥接到虚拟交换机(对应VDC的LAN口桥接的虚拟交换机)。
     缺点:这种方案将研发和某公司的虚拟机进行了物理隔离,但是研发虚拟机没有与内网进行隔离。

    (2)两个VDC的DMZ口分别接内网,研发、某公司的虚报分别桥接到虚拟交换机(对应VDC的LAN口桥接的虚拟交换机)。
    研发虚拟机和演示虚拟机进行了物理隔离,研发虚拟机与内网进行了逻辑隔离。
   
    (3)一个VDC的DMZ口接内网,某公司虚拟机接虚拟交换机(对应VDC的LAN口桥接的虚拟交换机);另一个VDC的DMZ口接虚拟交换机(前一个VDC的LAN口桥接的虚拟交换机),研发平台的虚拟机桥虚拟交换机(对应VDC的LAN桥接的虚拟交换机)。
    研发虚拟机和演示虚拟机进行逻辑隔离,研发虚拟机和内网进行了逻辑隔离。

综上所述,在2个VDC的场景下,亦有数十种解决方案,而且可以完美解决研发虚拟机的隔离问题。


   

结后语:
在5月底培训结束后,就有想法去写这篇文章,总结一下。但因为种种原因,种种原因归结起来就是懒,一直拖到今天,才草草写完。
饶妹妹在6月16日就写完她的分享,而我竟一拖拖了3个月之久,惭愧。
本文仅仅简单写了几种解题的方法,但肯定还有更多的解题思路,希望能对大家在今后的虚拟化测试和实施中有所帮助。

本文盗用了饶妹妹帖子的开头语,即试题的说明部分,希望饶妹妹不要介意。
具体解题步骤可以参照本链接:http://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=17739

打赏鼓励作者,期待更多好文!

打赏
1人已打赏

Burt 发表于 2016-8-8 02:30
  
脑补拓扑  ,不知道对不对 关于这类的总结我想应该结合拓扑说明比较清楚明了。



1-1

1-2
1-3
2-1
2-2
2-3
Sangfor_闪电回_朱丽 发表于 2016-8-16 09:28
  
先为adds哥点个赞~
之前看过饶妹纸的精彩分享,再加上此文,让爱好技术的小伙伴们再次脑洞大开,解题方法原来有这么多!
Burt哥的图更是点精之笔,非常感谢~
平凡的小网工 发表于 2020-1-8 17:26
  
整个技术文章还是架构清晰的,解决思路也是提供了,但是美中不足的就是缺少拓扑。建议来几张美图。:奸笑:
新手276056 发表于 2023-3-3 11:04
  
妙呀妙呀
发表新帖
热门标签
全部标签>
西北区每日一问
技术盲盒
安全效果
每日一问
干货满满
【 社区to talk】
新版本体验
技术笔记
功能体验
产品连连看
技术咨询
GIF动图学习
标准化排查
2023技术争霸赛专题
每周精选
通用技术
信服课堂视频
秒懂零信任
自助服务平台操作指引
安装部署配置
排障笔记本
答题自测
原创分享
升级&主动服务
社区新周刊
POC测试案例
畅聊IT
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
技术晨报
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高手请过招
高频问题集锦
全能先锋系列
云化安全能力

本版版主

468
227
32

发帖

粉丝

关注

7
11
24

发帖

粉丝

关注

5
7
7

发帖

粉丝

关注

31
34
45

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

YangZhe...

本周分享达人

runner

本周提问达人