【CSSP】安全资源池各类组件介绍和流量走向

一、使用场景

1、引流类组件，由核心交换机将需要引流的ip，将流量引到安全接入交换机上，安全接入交换机再引流到安全资源池内部

2、运维类组件，由VPC接入交换机和安全资源池内组件进行路由打通，并通过vlan隔离不同的vpc主机集群；

3、发布类组件，更换网络平面，由防火墙对安全资源池内部的ssl vpn等组件进行映射发布，防火墙和资源池内的发布ip进行打通；

二、各类组件介绍

引流类组件：

防火墙、waf、ips等设备。这些设备对租户透明，不与云主机发生通信，弹性ip与外网之间的流量会被核心交换机引流到资源池，在资源池内部流经这些设备，以进行安全处理

-----

数据流：

起点：流量从云主机发出 此时源地址为vpc内网ip--->

流量到达vpc边界 转换为弹性ip--->

到达核心交换机 通过策略路由引流给安全资源池的引流互联ip 进入安全资源池--->

流量在安全资源池内部经过安全设备--->

流量由安全资源池送回核心的引流互联ip--->

核心收到流量 将流量向北向发送--->终点：流量到达外网

运维类组件：

指杀软、日志审计、数据库审计、漏扫、堡垒机等设备。这些设备的特征是，需要与vpc内部通信，但与外网没有接触

-----

数据流：

起点：流量从云主机发出 源地址为vpc内网ip 目的ip为安全设备内网ip--->

流量到达vpc边界 进入专线 进入pop交换机--->

pop交换机将流量路由给安全资源池的专线互联ip--->终点：流量到达安全设备

连通类组件（发布类）：

（主要指vpn）

连通类组件的特点是，流量分为两段：第一段是接收从外网过来的流量；第二段是与vpc内部通信。起到了将物理网络和虚拟网络“连通”的作用

-----

数据流：

（以vpn为例）

起点：流量从外网上某用户的pc发出 流量目的地址为安全设备外网ip--->

流量进入本地网络 到达核心交换机 核心交换机写路由丢给安全资源池的引流互联ip--->

安全资源池将流量交给vpn设备--->

安全设备以自身的内网ip为源地址发出流量 目的地址为云主机的vpc内网ip--->

流量从安全资源池发送给pop交换机的专线互联ip--->

pop交换机将流量送入vpc--->终点：流量到达云主机

三、涉及的网络平面

（云平台的）弹性ip：-----物理网络

由云平台弹性绑定给云主机的ip，使得云主机可以和物理网络通信

vpc内网ip：-----虚拟网络

云主机的实际ip，其连通性仅限于vpc内部或跨vpc，无法与物理网络直接通信

引流互联ip：

作用于核心交换机和资源池之间，作用是将弹性ip与外网之间的流量从核心引流至安全资源池，以进行安全处理

专线互联ip：-----一对或多对，视实现方案而定

作用于pop交换机和资源池之间，作用是将vpc与安全资源池内的租户网络进行路由打通

应用互联ip池：-----方便起见，可称为安全设备内网ip

安全资源池内各组件互联时使用的ip，一般配置为私网地址

对外发布ip池：-----方便起见，可称为安全设备外网ip

安全资源池内的“连通类”组件会使用的ip，其作用和（云平台的）弹性ip类似，用于将组件发布到物理网络中，其作用主要是让组件能够与外网通信

四、流量走向图

ps：另一种方案是专线互联都使用同一个专线路由器，节省vlan，配置简单，但要求vpc地址不能重复