在虚拟园区网2.0解决方案大规模部署的情况下，当网络资源通过IRF2技术横向整合和VPN技术纵向隔离，形成了分层分业务的虚拟化后，安全的资源化如何与网络的资源化相匹配，形成网络与安全的整体资源部署，是虚拟园区网设计中的重点。

FW、NAT、SSL VPN、IPS、NetStream、ACG（应用控制网关）等园区网内的安全技术和相关产品层出不穷，为了简化问题 ，从工作模式入手，安全产品大致可以分为两类：三层工作模式和二层工作模式的产品。另外，从可靠性等方面考虑，又有多种部署方式：Active-Active；Active-Standby。通过工作模式和部署方式的组合，我们挑选出一两种有代表性的组合方式及以H3C安全产品为例，讨论虚拟园区网2.0中的安全资源化部署的问题。

IRF2环境下防火墙部署

如图1所示是通常情况下园区网络汇聚层防火墙的逻辑部署方式，通过在汇聚层面的防火墙部署，可以用更简单的操作进行园区内部或者是每个虚拟网内部的访问控制。

H3C防火墙具备会话同步的热备份功能，使用专用的一条或两条带外线缆(双机热备专线)进行两台防火墙的会话信息进行同步，配合交换网络流量切换，可保证单台防火墙故障时应用流量不会中断。

图1中两个组网的物理连接方式相同，但是右图组网采用IRF2技术后却能够改变整网的逻辑部署，并在设计上只需要更简单的考虑。

图1 防火墙交换机基本组网结构

以下分别就防火墙的路由模式和透明模式来讨论，在IRF2的组网环境下，安全部署有哪些不同。

防火墙路由模式部署

传统的防火墙路由模式部署，当部署于园区网汇聚层的话，假设二层终结于汇聚层，汇聚和直到核心的网络处于同一个OSPF域内，其三层接口部署一般如图2所示。

采用Actice-Active方式部署，各防火墙作为独立路由运行节点与交换系统组成动态路由区域，完全由路由协议控制数据流经的防火墙，两台防火墙之间相互同步会话状态信息，支持非对称流量安全检测，这样全网可见12个路由节点，至少12条路由（不考虑网段路由等其他情况）。

采用Active-Standby方式部署，为了保证负载分担，需要采用多VRRP组的部署方式。鉴于核心汇聚交换机和FW连接接口均为三层接口，需要核心、汇聚、防火墙上分别起两组VRRP组，才能完成不同路径下流量的负载分担。

图2 传统防火墙路由模式+Active-Active部署

图3为采用IRF2技术之后的部署。通过IRF2部署，能够有效降低网络中三层接口数量和路由表大小，并将核心和核心之间、汇聚和汇聚之间的数据交互有效屏蔽在网络的二层，简化了网络设计和运维管理需要考虑的问题，从而使得网络设计更简单。

对于Active-Active组网模式下，如图3右图所示，汇聚和核心层面设备进行了横向整合，整网的三层接口缩减为7个，相应的网络内路由条数缩减为7条。

而对于Active-Standby部署模式，如图3左图所示，当整网IRF2整合之后，由于核心和汇聚设备横向整合在一起，不但三层接口和路由数目大为减少，并且只需要在防火墙上起2个VRRP组即可达到传统6个VRRP组才能实现的功能，虚拟化所带来的好处更加明显

图3 防火墙路由模式+交换网络IRF2

防火墙透明模式部署

如图4所示，为防火墙在透明模式下采用IRF2前后的对比。启用IRF2以后，可以实现跨链路聚合，从而以更简单的方式实现了链路的负载分担。

传统的防火墙在汇聚层面透明模式部署的时候（组网如图4左图），两组交换机与两台防火墙的互联接口配置两组连接网段，交换机对防火墙的端口均采用untagged方式，因此可以保证两台防火墙在VLAN的配置上达到一致，防火墙同时启动流路径非对称能力。两组交换系统之间可以运行动态路由协议(防火墙允许相应的协议数据通过)，所有数据流通过等价路由分担到两台防火墙所在的链路上，由于防火墙支持路径非对称功能，因此当某条数据流下行经过一台防火墙而上行经过另一台防火墙时，双机的状态会话仍能同步保持。

启用IRF2以后，如图4右图所示，利用防火墙inline转发方式，即防火墙端口配对转发而不进行MAC地址查表转发，将交换机IRF2系统中不同成员的端口与两台防火墙分别连接，只在交换机IRF2系统端进行两条链路的LACP捆绑，这样将网络流量分担到不同防火墙，而在交换机IRF2系统不需要使用等价路由。防火墙允许LACP协议报文通过，从而保证聚合链路的可靠性连接。数据流在防火墙往返路径不一致的情况仍由路径非对称功能解决。

图4 防火墙透明模式传统部署和IRF2环境部署对比

如何实现安全模块一分多虚拟化

虽然IRF2实现了安全的简单部署，然而安全资源还是不能实现按需部署的资源化。要达到这一点，需要安全设备支持一虚多的虚拟化功能，下面以在交换机上模块化部署来说明其实现原理。

图5 同一虚拟组内共享安全资源

如图5所示，通过IRF2整合，将多个机框式交换系统整合在一起，逻辑上形成一个大的交换系统，在这个系统中，无论安全模块部署在组内的任何一个框上，都能够被本组的其他框所共享，每个机框上行流量都能够基于本身的需求进行安全处理，而不必关心这个安全模块部署在哪个机框上。同时，在路由表项，安全策略等方面，基于不同的业务可以给予不同的保障，真正实现了按需分配，组内共享的安全资源化，俗称为"安全模块一拖N部署"。

图6 防火墙模块一虚多在交换系统中的部署

如图6所示，终端的网关设置在防火墙上，防火墙通过VRRP提供冗余，冗余备份组通过静态路由下一跳指向IRF2交换机三层接口，交换机之间通过IRF2消除了二层接入环路。在集成防火墙路由模式下，还可以将防火墙进行虚拟化，逻辑分割成多个虚拟防火墙实例提供网络安全服务，如图中对每块防火墙线卡划分了多个逻辑实例，每一对虚拟防火墙工作在A-S方式，可选择Active实例分布在两块物理线卡上，从而达到负载分担和冗余备份的能力，实现防火墙在一个虚拟组内如何实现资源化。

通过一分多的虚拟化技术，可以使不同业务或用户群在同一个IRF2组内共享相同的安全硬件，而在逻辑上达到资源动态分配的目的，降低了建设成本，提高了安全服务的动态调配能力，为业务的灵活部署提供了有效的支撑。

MPLS VPN环境中的防火墙部署

在MPLS VPN组网环境中，由于以下情况的存在，网络汇聚层需要进行访问控制和地址转换：

l 每个VPN内部可能存在多个不同的网段，为了有效控制网段间互访和服务器与终端间的访问，需要在汇聚层采用防火墙做单向访问控制；

l 两个或者多个VPN互访时，不同VPN内的IP地址可能存在地址冲突，所以需要在网络汇聚层进行地址转换。

如图7所示为比较常见的传统防火墙部署组网情况及其局限性。

图7 传统园区网防火墙部署示意图

此部署方式会对防火墙的接口类型、协议处理有较高要求。例如，当组网为汇聚和核心采用万兆链路并在汇聚和核心之间采用MPLS VPN组网的时候，就需要防火墙支持万兆链路并能够参与路由计算和处理MPLS报文。此部署方式会对防火墙的接口数量有较高要求。例如，当组网为接入和汇聚之间采用千兆光链路的时候，需要防火墙有较高的端口密度，并在汇聚层下挂多台防火墙才能满足部署要求，势必造成部署成本过高和管理节点过多的情况。

虚拟园区网下采用FW插卡部署，可解决传统部署模式带来的接口类型、协议处理、建设成本和运维管理等一系列的问题。如图8所示为在MPLS VPN环境中，防火墙的部署方式。将一块FW模块插入汇聚层交换机内，由交换机的接口板卡与接入以及核心设备连接，这样就无须考虑防火墙的接口类型等方面的要求；并且保证防火墙的处理在PE和CE之间，可以不必要求防火墙参与OSPF等动态路由协议计算和MPLS报文处理，大大简化了网络设计和运行维护。可见，模块化的安全部署方式在简化设计、降低总拥有成本等方面具有较大优势，是网络设计时需要考虑的常用设计方法之一。

图8 MPLS VPN环境下防火墙最佳部署示意图

互联网出口安全部署

互联网出口通常面临网络层和应用层的攻击，因此是控制安全威胁的最佳控制点之一。相应的，此处的安全设计和部署也通常是园区网中最复杂的场景之一。

针对不同场景的需求和保证网络边界的安全和完整性，在互联网出口通常需要部署访问控制、地址转换、应用层防护、流量控制、行为审计、链路负载均衡、DMZ区服务器负载均衡、SSL远程接入、DDoS攻击防护等多种技术手段。由于各种技术的侧重不同，催生出了多种组合的方案。下面将围绕其中的一种常用方案进行展开，描述在互联网出口处进行访问控制、地址转换、应用防护、行为审计、链路负载均衡多种技术混合部署的设计方式。

图9 虚拟园区网出口FW+IPS+ACG+LB板卡组网

如图9所示，业务板卡采用主备方式进行部署。具体的部署方式如下：

n 两台园区出口交换机（S9500E）作为IRF堆叠使用；

n 在互联网出口处，部署LB的情况下，应存在两个不同的互联网出口，连接到两台路由器上，这样LB才能够发挥作用；

n FW在转发路径上，使用路由模式，提供访问控制及攻击防御等功能，部署方式采用主备方式，采用VRRP部署，MASTER进行流量转发；

n IPS采用主备方式部署，在S9500E上通过MQC引流，转发到主IPS上，当主IPS失效后，通过MQC的下一跳备份功能，流量被引导到备份的IPS上，IPS与ACG部署的位置在S9500E与FW的三层转发路径上，将不会存在上下行不一致的问题。

n ACG采用主备方式部署，在S9500E上通过MQC引流，转发到主ACG上，当主ACG失效后，通过MQC的下一跳备份功能，流量被引导到备份的ACG上，IPS与ACG部署的位置在S9500E与FW的三层转发路径上，将不会存在上下行不一致的问题。

n LB作为连接出口路由器的设备，使用链路负载分担功能，并且使能NAT OUTBOUND功能让内网用户能够访问Internet，同时，两台LB之间使用VRRP进行主备，为提升两台设备故障的恢复能力，两台LB可以直接使用状态备份；

n S9500E作为三层转发设备。与FW之间为三层转发。

图10 虚拟园区网出口FW+IPS+ACG+LB板卡流量路径

如图10所示为流量路径，具体如下：

两条蓝色的虚线并不代表流量会同时从两套板卡上经过，而是说明在这一部署方式下，流量所流经的路径。

1. 园区网出方向：用户侧->外网侧（流量经过所有的多业务板卡）。用户侧数据按照交换机->ACG->IPS->防火墙->LB的顺序进行转发，在这个转发路径上，交换机进行一次三层转发（即将用户侧流量通过三层转发发送给防火墙），流量先被重定向到ACG，然后被重定向到IPS上。通过防火墙转发后，转发到LB上，LB通过链路负载分担并进行NAT转换后，转发到外网出口的路由器上。

2. 园区网入方向：外网侧->用户侧方向。外网方向的数据流根据不同的目的地址，到达不同的LB板卡上，LB进行NAT转换后，其下一跳是FW，在经过FW转发后，流量重定向到IPS、ACG进行处理，处理完成后，再由交换机转发给内网用户。

总结

虚拟园区网2.0解决方案，通过在园区中引入IRF2技术，不仅实现了网络的革命性突破，更对网络中的安全服务的部署带来了深远的影响。在当前网络和安全一体化的趋势下，模块化的部署方式、一分多的虚拟化技术、全虚拟化环境下的安全部署，使得网络安全服务的部署更为简化，并进一步实现了安全业务的资源化，从而为搭建资源化的园区网络平台提供坚实的基础。