虚拟防火墙 安全网络新概念

    对于一些网络环境较复杂的企业来说，通常在数据机房中会放置多台工作服务器；但出于对成本的考虑，很多时候不可能为每台服务器都通过硬件防火墙来实施安全保护，因此多数情况下所有服务器都是在一台防火墙的保护之下来共享资源的。但这对于多台服务器的安全保护、系统资源的利用等方面来说，都是有影响的；而虚拟防火墙的概念，则可较好的解决这一问题。

　　传统防火墙是一个物理的实体,而虚拟防火墙是在这个物理实体里面可以划分多个虚拟的防火墙。虚拟防火墙的某些功能甚至比传统防火墙做的还要好。其简单的运行机制是：将资源分别独立分配给各个虚拟的系统，彼此之间互不干扰，因此当一个虚拟系统因抵御黑客攻击耗费大量资源的时候，另一个虚拟系统的资源却不受任何影响，从而有效保证网络其它应用的正常运行；其网络结构如图1所示。

　　
图1 虚拟防火墙网络结构图

　　一、虚拟防火墙方案应用

　　目前通过虚拟化实现网络存储、共享等方面的应用案例很多，比如虚拟存储、虚拟VPN等等；由于在虚拟系统里面需要部署很多的应用系统，需要对各个应用系统之间的安全进行防护和访问控制，同时需要监控和限制各个应用系统之间的流量，而虚拟防火墙正是服务于这些虚拟应用最好的安全保护方法。

　　需要明确的是，虚拟防火墙只是融合在现有硬件防火墙中的一种功能、或是一种单独的软件。目前看来，带有虚拟防火墙功能的硬件防火墙设备（如图2所示）是最好的应用方向。即是说管理员可以根据产品应用手册或自带的管理软件，将一台传统防火墙在逻辑上划分成多台虚拟的防火墙，每个虚拟防火墙系统都可以被看成是一台完全独立的防火墙设备，可拥有独立的系统资源、管理员、安全策略、用户认证数据库等，以此来实现对不同网段或不同设备的安全防护。

　　
图2 思科虚拟防火墙产品

　　硬件防火墙与交换机连接后，再通过交换机连接不同类别的PC终端，这样虚拟防火墙功能将转嫁应用在每台交换机上，使得每台交换机都成了逻辑上的防火墙设备，以此来实现PC终端或多台服务器的虚拟防火墙保护。不难看出，这样的布置不仅增加了各终端的安全保护级别，而且也可实现对虚拟VPN的间接防护；另外，它也类似于一组独立的物理防火墙，但是更加便于管理。因为它们是虚拟设备，所以组织可以轻松地根据用户的增长情况添加或者删除此种安全结构。