道里云毛文波：正解租户防火墙的边界控制

道里云CEO毛文波在第五届中国云计算大会的现场做客ZDNet采访间，毛文波表示，道里推出云虚拟化云防火墙，通过网络虚拟化技术设施NVI技术通过解决云计算环境所需的租户逻辑网络软件可编程需求。

这一技术解决云计算环境中逻辑网络与物理网络彻底去耦合，使物理网络资源彻底池化，使租户网络的各种QoS增值编程任务所需的解决手段与底层物理网络构造完全彻底无关。

以下是访谈实录：

记者：各位ZDNet的网友大家好，这里是第五届中国云计算大会的现场，我们现在很有幸请到道里云的创始人毛文波博士。其实毛博士可能大家也很熟悉，他以前的身份是EMC中国实验室的首席科学家，其实我们是今天给大家谈一下云安全的一个问题，我们知道云安全问题涉及到很多，比如说云端的应用安全问题，比如说可信云安全防控制以及加密隐私安全等等，在您看来云计算安全面临的安全的迫切问题有哪些?

嘉宾：云计算是一个好东西，云计算是把东西放到数据中心，网络都联上了，我干什么要在自己面前算，这是一个生活方式的改变，以前我们自己在家里，一个组织，它一定是有一个大楼，他会有防火墙的，云计算的情况那就在大楼外面能上网了，到那边我的数据都在那边，我的计算也都在那边，都在作为服务提供的。那么数据中心作为服务提供商他不会只给一家做提供，他给多家提供，所以大家都在里面，这个叫做多租赁数据中心。一个直接的一个安全问题，就是防火墙在哪里，在大楼里面，在大楼外面，我说这个大楼，是指数据云服务提供商，以前我自己的东西，我买回来在我的大楼里面，现在不在我的大楼里面，在你的大楼里面，但是以前我的大楼是我一家的，我哪怕不是大楼，我是一个大楼里面租的一个办公室，那个办公室有墙的，我买一个盒子，这和盒子里面插着网，盒子里面是防火墙，大楼往盒子的另一头都是我的机器，盒子还有一头是外面，这个盒子控制着，那叫防火墙。到了云上面，没有这个东西了，它那个大楼里面各家都在都虚拟化的，所以防火墙也要虚拟化。再用盒子来做防火墙，做不出云的防火墙来的，所以防火墙要虚拟化是云安全的一个最起码的问题，云安全里面有很多很多问题，云防火墙必须是虚拟的，必须是当前把我租用的资源给盖上，不能让别人混进来，我的资源不论在大楼的哪个部位，在哪个服务器上，因为云很重要一件事情就是它会跑，服务器，这个服务器快冒烟了，这个虚拟机就要跑到另一个比较冷的服务器上去，它服务提供商他也要提高资源利用率。防火墙是租户的防火墙，不是大楼的防火墙，大楼如果防了我就进不去了我还用什么云计算，必须大楼没有防火墙，必须要大楼让我进，大楼让大家都进，而我在哪里面要有一个虚的防火墙，把我给盖上。最好更多的还有一个安全，不光是防火墙，应该就是可靠性了，我是不是光用一云数据中心，既然网络联通了，光联通一个不叫网络，一定联通全世界才叫网络，才叫因特网，所以你也叫我光用从一而终，我不会从一而终的，我是看谁服务得好我就跟谁，所以这个防火墙还要跨数据中心的，我在您这来一点，我在他这来一点，我不把我的鸡蛋放在一个篮子里，这个叫很具体的云安全的问题，所以你看首先云防火墙要防大楼内部的其他的租户，这是一，把我给保上，而且我不能断，我不同的业务部门都要通的。第二，我还不跟着你完全跟着你，也有可能我还自己家里还有叫私有云，我用的叫混合云，要跨数据中心的，这个防火墙也要跨数据中心，保护我的，我想这是云安全和地上的IT，作为资产拥有的IT作为最大不同之处，一定还有别的，我挂一漏万，云的虚拟化的防火墙，可分布式的，那是和地上的防火墙的最大不同之处，也是云安全和传统的IT作为资产安全最大不同之处。

记者：我们说到防火墙，可能是我们提到比如数据中心的防火墙，可能就是，您刚才说的一栋大楼可能就在外围有防火墙来部署，防护整个大楼的一个安全，那么现在随着云计算、虚拟化的兴起，可能就是说我们这个云它是动的，而且是虚拟化的多租户的环境，其实在这种环境下，您觉得它需要有一个什么样的产品来对应多租户的环境的安全呢?

嘉宾：实际上防火墙，说到防火墙它是一个网络，它是一个，我刚才说当IT作为资产拥有的时候，是自己去买一些盒子，这些盒子是一些著名的网络公司，著名的网络设备提供商，不是网络公司，不是互联网，著名的设备网络提供商，我可以数出来几家，思科、华为等等，我还可以数好多家，他们卖这些盒子，一头很多网线插上是内网，这一头公网，一个因特网出去，过去靠这个盒子来做私有网络，那个时候的网络插好了也不动的，IT作为资产拥有的时候，盒子再一个地方呆上插好了，顶多再配置一下，用命令行配置，雇一些专业人士，它就不再变了，所以那个时候是在IT作为地上的时候，是不动，不会没有弹性，不可召之即来、麾之即去，都有它的局限性。而作为服务的时候它就可以动了，这个时候你也可以看到，以前的虚拟化叫做CPU的虚拟化，就是做成一个逻辑的CPU，物理的CPU变成池化了，很多的CPU也放在那，我一个问题要多少个CPU我就有多少CPU，而我的问题是逻辑问题，处理问题那。而物理的CPU就不重要了，就去除耦合了，这个叫CPU的虚拟化。同样，网络、存储都要虚拟化，防火墙就是刚才这么一个例子，因为它动了，那么网线就不重要了，网线是拽起一个网线我动到这里我插上它能通，它该不通的我在那边该不通的仍然不通，该通的在那边和在这里情况是一样的，安全的策略要跟着你虚拟机走的，跟着你虚拟机走这件事，现在有一个很热门的词，叫SDN，因为网络实际上是一个，就是这件事最好在云上容易动，要很快的可以用软件来用。我可以举一个简单的例子，你像12306购票网站，你想它如果可以是软件定义监控到流量大了，它可以弹出去，它可以有弹性把流量分流掉，他就不会崩溃，我猜想它目前网络没有虚拟化。

记者：还是自己来做的。

嘉宾：它没有，缺乏弹性，刚才我虽然举了防火墙的例子，动态的防火墙，可分布的，跟着跑的时候也跟着你包着，这种防火墙，实际深底层的支撑技术叫做网络虚拟化，先要把网络就像CPU的硬件的CPU，我刚才说了，硬件CPU没有逻辑的，不重要，软的CPU有我各种各样的数据，有我各种各样的状态，那个东西重要，叫做业务非常重要的，对于我的业务非常重要，他是执行业务的，网络也一样，网络应该是网线不重要，召之即来、麾之即去，插上就通，拔掉就不通，插上通也是按照规定的策略，所以它要有一种感知，不管您这个虚拟机，您的组织租户是一个组织，到了哪里他把网线拽起来插上，租户的策略就在网线上已经反应出来了，这件事要做好它，只有用软件来做，硬件做不好的，你想想看，如果还是按以前的盒子来做防火墙的，一个一个盒子，就像思科、H3C他们都做这种盒子为著称的，当然华为、中兴都做的，那云既然在跑，盒子不会跑的，如果你把安全定义用盒子来定义，用这个网关这个防火墙这个盒子交换机等等，月它来定义，那等你跑了以后，而且还有一个组织一般要超过一个盒子的大小，你有很多盒子，每个盒子里面哪怕就用了软件在里面可以编程，这个组织要超过这个盒子，你怎么可以在这里编程，你应该在全局范围内编程。所以按照盒子的办法已经在云上已经不适用了，盒子还要用不用，实际上还要用的，云计算一定要用硬件的，没有硬件不可能虚无缥渺的。你也可以这样说，过去安全网络控制等等都用盒子来做，而且各家都在盒子里边有他私有的一些专利保护的，用硬件它也是这样保护。这些盒子都有一些很精到的很厉害的一些网络控制的一些东西，它必须在盒子里面做，虚拟化，云虚拟化以后，如果能把网络虚拟化做好，那么不同厂家生产这些盒子，他有一个是共通的，其他他控制很有，可能他有一些自己发明的这些控制技术，但是有一条，他不可以发明的，必须通，要不通的话它的盒子不会有用的，所以我们可以说把各家的盒子都可以用，只用它最低的通的这一条，而网络虚拟化把那些控制全部搬到hypervisor那个地方去做，hypervisor是虚拟机监控器，虚拟机在那个软件上面跑，它是一个软件，它是一个大脑。这个时候，那个虚拟监控器可以控制它的网络，要通的网络，需要通的我和你讲的话要通的，才发给盒子让他专发给你，要不通的发都不发给他，所以控制这个行话叫做控制平面和数据平面就分开来了。

我再用一个更简单的俗话来说，最早电话被商用化了，像AT&T很典型的，它那个时候就会兴起一门行业，尤其更多的一些妇女门、小姐们，他们被ATNT这样的公司顾了，顾到他的大楼里面去，每个家庭拿起电话不用拨号，那时候还没有发展到拨号，就已经通到哪里去了，小姐就问他你要谁，他说我要某某某，303波士顿几号，小姐就给他插上，您可以看到，小姐还有资格听3秒钟，这个是策略规定的，多余3秒是违规，他那个3秒是为了插好了没有，她要监控，她没有插好的话服务质量就没有了。这叫数据平面控制平面都在小姐手里都走那个地方，也就是数据和控制都在那个地方，我们过去的那个盒子只要是做网络安全的盒子也是这样的，数据也走它，陈先生，我跟你要是交流，我跟你打电话，我不可能我的手机直接打到你的手机，一定是移动、联通，只有他们，基站最起码，基站通到他们，他们再通回基站，我们在一个基站底下都是这样，不可能我和你，也就是数据平面和控制平面都在哪，网络虚拟化要做到的，如果能编程，你可不要去编数据，数据一大堆，没法编程的，你只编控制，一定要把控制平面和数据平面行话，他们叫平面，因为是一层一层往上的，彻底分开来。云技术、虚拟化技术可以做到这一条，因为我们现在，我们以前必须找小姐到中央去把数据丢给她，她听3秒她再把控制完成叫她做，是过去我们在必然世界，我们站在地上没有办法，我们身上有一个水晶头插上，插一个网线过去云计算是虚拟化的结果，CPU虚拟化以后，我们不站在地上，就是虚拟机不站在地上了，在hypervisor上，就是一种分布式的那些虚拟机监控管理软件上，那个软件它知道我们的身份，他就直接，我在一个hypervisor上，我在北京，你可能在波士顿，他给我们插上一根单波的线，直接的线，实际上我打电话直接打给你，云上可以这样做，控制，数据我们短路，不通过它了，控制，它让我的hypervisor让你的hypervisor和数据库协调工作，控制在数据库是高级语言，不是网络，不在网络包里所控制，我不知道说清楚没有，这叫网络虚拟化。

记者：刚才您提到其实SDN就是数据层面和控制层面的一个解耦合。

嘉宾：一定要分开来。

记者：对对是，那就是说一旦就是说你不通过就是刚才说的简单理解一下，不通过中转站来说，这个数据流量的分析，这个是怎么来做的。

嘉宾：同样可以分布，也就是把那群小姐们，在中央的，我说了稍微俗话一点，把她们抱到您身边，给您做贴身服务，她可以插线，这样这个hypervisor是一个软件，比小姐厉害多了，我用这个是为了说得大家能听懂，它能做，如果在那个地方她分析很麻，她要把您发给他的，发给我的，都要分开来她才能分析，在您身边她给你插网线，她就能给你分析，都能分析，雕虫小技。

记者：OK，行，明白。

嘉宾：个性化服务一定比集中的服务一定质量更高。

记者：也其实我们也知道，道里云提出一个新的概念或者产品，叫虚拟化的云防火墙，其实刚才您也提到这个产品其实就利用了您刚才说那些原理，能不能具体说一下，这款产品它到底是解决了云安全的是哪些问题，然后它的技术或者是原理到底有什么，你能详细跟我们说一下。

嘉宾：首先道里云是一家创业公司，创业公司一定要做一点新的东西，一定要观察生活方式发生改变了以后，很多现有的东西它没有注意到生活方式的改变，它还用原来的生活方式，也就是已经可以把小姐抱到家门口，不让她进家的，家里红旗不倒，她在你家门整个墙外面，紧密真空包装彩旗飘飘，她给你做服务，这个生活方式是变了，但是工业界实际上没有意识到，道里云看到生活方式变了，我们就在这个地方，因为我们不可能去和vmware，和他们以后做完的，和华为他们去拼的，思科，不可能的，市场部在我们手里，用户不会听我们做他们的东西的，我也不可以告诉他，我的成本很低，我经常听到一个，说中国的东西，中国的成本低，实际上我不相信，美国的成本低，他们有规模，他们有传承，他们想压价你要压不过他的，他们质量也真不错，我可以反过来说小公司做的一定是质量差、成本高，我不会相信说我创业公司我就做成本低的东西，不可能的。

那么好，我们只能做新的东西，我们只能观察哪些生活方式变了，工业届没有注意到，那么举例说这个，刚才我们说为了做一些网络控制的时候，发现一定要先要虚拟化，一定先要把在交换机那边一群小姐，把她抱到服务，就是虚拟机身边，虚拟机身上网看很多的虚拟网卡，不是过去只有一根网线插一个水晶头，不是那个样的，所以可以一群小姐抱到你身边做个性化服务，为什么我跟你交流可以单拨网线，就是我们的，我给你打电话就是跟您这样，不是到那边去。那这个样呢，我们做这个工作有两方面，一个这个叫做去除耦合，也就是我刚才说的像CPU虚拟化就是去除耦合，耦合去掉了，网络呢，虚拟化其实水晶头没有用了，拿起来插上用过就丢掉了，这个上面的一种应用，我们做了一个在这里演示的，在这里场景演出的叫做网络虚拟化的上面的一个应用叫SDN，你以为虚拟化完了就可以用软件便成了，叫SDN软件编程的定义的网络，防火墙就是一种网络，租户的防火墙，我们就可以在全球，我们实际上展示的是北京、上海、伦敦、悉尼我们做了这么一个，然后前面有一个控制台，他们如果再一个安全组里面，他们就可以互相ping就通的，我们做了一个网页，这个网页是一个软件，可以让租户自己去编辑这个情况，网络情况，他的防火墙状态就会发生变化，那这就是一个SDN的一个产品。

那么这是一个防火墙，只是SDN的一个，就是网络的一种服务，网络上面有许多服务，具体我刚才举到的例子像12306它网络由于没有虚拟化，由于没有去除耦合，如果发现流量太高了怎么办，它赶紧要去搬一台服务器过来，赶紧把地上的网线，赶紧把命令行打开，来不及，已经崩溃了。一定要快速的用软件的方法，所以像SDN的涵盖面应该很广，比如像人人网对于我们的动很感兴趣，在他们全国的数据中心部署了我们的系统，他们不是防火墙的用途，他们是像流量计费，他们收购了很多公司，他们互相的业务部门有人人网统一来服务的时候，不同的流量计费，因为一群小姐在你边上为你贴身服务，把你的流量摸得干干净净、清清楚楚，一个比特都不差，它可以计费计得干干净净、清清楚楚，不像原来在中央电，一笔糊涂帐，不好记，也就是网络虚拟化以后，在上面可以做很多SDN的工作。我们在这个地方展示的是一个防火墙，这是中国可信云社区的，因为这个是一个安全的一个，网络虚拟化比安全更大，安全是网络虚拟化的防火墙是安全，是网络虚拟化的一个很好的应用，中国可信云社区是英特尔组织，中国好多工业界、学术界一起参加的，我们接受中国科信云社区的邀请，在可信云社区我们就演示一个云防火墙，云的防火墙就是虚的，它把一个组织租的资源，紧密的随着它流动随着它分布随着它跑动，始终把它给包上，其他的租户不能进来，多租赁数据中心其他租户都是假定都是外人，我都非请莫入这种东西。

记者：那我觉得如果是您刚才说的这个防火墙，它不是一个盒子，如果不是一个盒子用软件来做，性能怎么来保障。

嘉宾：传统一般的人，我们过去我们站在地上它不是一个大脑，它不能给我做个性化服务，我们只好插上一个网线，你也插上网线，我的网线不是直接通到你的，我直接通到你很难做的，都是到了中央，那个地方坐满了小姐，全都由她来转发的，都是这样的，那个时候只有把它做成硬件性能才好。那久而久之大家都养成习惯硬件才好，硬件性能好，实际上叫计算机专业毕业的或教计算机的教授等等叫他们去考虑，他不会这样想问题的，什么东西能分布，它的性能就好，软和硬都没有关系。业界有一个很有名的叫BT，它是一个P2P的，它是一个分布式下载，你有一个很大的文件，有CDN可以把文件分布到各地，你可以这里下载一点，那里下载一点，还有情况如果这个东西很热门，是一个当前热门的一个视频，你的小区它那个地方就已经下载过了，因为隔壁邻居已经看过了，所以它都可以算出来，这个就是分布式的厉害，它的就快，而不是集中式的才叫快。也就是软件快还是硬件快，根据我所受过的教育，因为软件更容易做成分布式的，就是如果你有到马路上去问，一般他们，如果他们听懂，你当然要问那些能听懂硬件软件的人，你不能到菜市场问，你到中学去问，他们一般会，我会猜想他们会说硬件快，因为硬件是逻辑电路，我觉得如果是这样比的话，如果硬件可以分布，我也会同意逻辑电路比if else那种软件要快，但是如果硬件没有很动态的可以分布、可以很召之即来、麾之即去那个样的话，我只能用软件的话，我可以分布，也就是现在的虚拟机实际上都是分布的，hypervisor都是软件都是分布的，你只要，而且它都可以自己做任务调度，他给自己多调度一点CPU的时间，如果是这个样的话，软件远比硬件快，原因是分布式计算快。也就是说，你把小姐集中在一个房子里面她一定慢，你用液态氮把她泡起来，把她冻僵她还是慢，你把她全抱到你身边，这些小姐多了去了，软件拷贝不值钱的，软件做一份就可以复制的，硬件复制不一样的，这是卖冰棍和卖软件不一样的地方。软件复制是没有成本、零成本，如果是这样的话，绝对你相信我，软件快、硬件慢，我不再骗你我不再忽悠，受过教育的一定会认同我。

记者：其实刚才我们也说到，有很多，这是一个开源的项目，其他的比如我们合作伙伴或者这些人，他们参与的工作是什么，道里云又是做的是什么工作?

嘉宾：就是昨天很有意思，作我也参加了一个，昨天下午有一个开源论坛，因为我们这个工作，在说开源论坛这个话题之前，我先说一下，我们这个工作开放源代码了，我们刚才说的网络虚拟化这个SDN这个工作，SDN上面虚拟化以后在上面编程，而在底下的这个叫NVI，叫Network Virtualization Infrastructure是一群hypervisor干的事情，CPU的Virtualization可以是一个hypervisor干的，它是一虚多，通常行业里面的俗话叫一虚多，一个服务器虚成多个云主机，Network Virtualization是必须是集群，甚至于必须是全球范围的，它网络必须是通信，你不可能再一个hypervisor上干，这个事情很大，特别大，我们道里云创业公司，虽然我们看到了这个生活方式的改变，我们来做这个事情，但是这个事情由于那么大，我们不相信这一条，我们对于自己的技术能力很相信，但是我们不相信作为一个产业把它做起来，IBM审查了我们东西以后，他说你这个有颠覆性的创新，所以我们最后经过仔细考虑，我们决定开源，我们没有参加一个开源项目，我稍微说一下，我不是一个开源项目，我们下一步我希望社区会主义，我们会进入某一个开源项目。道里云在这一方面的工作是开放源代码的，开放源代码的原因，是我们太弱，我们撑不主工业界，我们希望整个工业界、学术界，整个开源社区一起来用我们的原代码进一步创新，大家一起把工作做好，最后把这个东西做成一个推向标准，我希望它是，这是IBM我自己不这样评论，我希望它是IBM说这个是未来的标准，它认同，它说这个切入点非常好。那么我们呢最终做出一个决定，我们开源了，我刚才讲到昨天我参加了开源论坛，有位法国欧盟的项目，他来说鼓动开源，底下就有人问，说中国的老板们不开源怎么办，他也不好回答，他没有什么，后来旁边有一个人回答了，我觉得挺有意思的，因为我自己做了开源，我也是一个中国老板，可以这么说。我当然用不到他说中国老板不开源是一个比较典型的，因为中国更典型的听起来，就是我也用不到叙述，我只用实际行动，但是有一个人在回答他的时候，是这样说的，对于开源有两个老板可能会有两个担心，一个是担心别人山寨我的，因为它如果说我们目前不争的事实，我们处于一种山寨的文化之下。

记者：这也是我的疑问。

嘉宾：我相信中国，我个人不认同这件事，我不认同，我也开源，我必须要不认同我们是山寨文化我才敢开元，他说这只是硬币的一个面，硬币的另一个面，你开什么，什么东西是你的，你创了什么新，你去开，你开完了让老板一看，你小子还是过家家，怎么可以开源，这是我的东西你开什么源，这个地方他担心，他不愿意开源，没有他的创新点他不能开源，这些老板们他有这么一个起码的判断。他说我拿过来用就行了，我开什么源，没有我的东西我开什么源，人家老美开源有它的东西他开源，这不是我，我就参加一些这种东西，听听别人各家之言，很有意思，这个目前是这么一个状态，我们开源呢，我不怕山寨，因为我觉得越山寨它越成标准越好。我呢，道里云的感觉，老美看了，这是新的，这也是有用的，IBM已经发话了，这是有用，这是新的，这是中国人的创新，我是央视网最近关注到了我们，他知道我们要开源以后，他找到我们说你们让我们判断你们是一个诚信企业，所以他们跟我们结成了一个诚信企业合作伙伴，来帮我们提升诚信的文化，那么他跟我们有一个发布，道里云的合作伙伴，所以他对我们很佩服，他说他为什么找到我们，他说这个是难得的，难得有这么一家公司做出来东西，我们花了两年时间，居然把它开放源代码，那我个人认为，中央网这样是它的判断，是它认为中国像我这样少有。

我想我个人是这样看的，就是中国的发展的大背景，中国的经济向上，必然会形成这么一个结局，必然会创新会往上，也就是目前中国，也许是昨天我受了那番领教，说是到目前你开什么源，不是我要自己自私我封闭，我小农经济的心理，我不开放，是我开了闹玩笑的，我开了要闹玩笑的，我没有东西开，我认为这是过去，我不认为这是中国的未来。我认为，中国是有资格做梦那个国家，中国会创新的，中国人会创新，道里云全是中国原创，我本人从里到外祖宗八代中国人，我们会创新，我们能颠覆，随着中国的经济上去，随着中国的创新上去，开源时间问题，我们只不过是参加了这一个，随着中国的经济上升，中国变成强国，中国人可以做梦，中国人就会创新，等到中国人会创新的那一天，这个是逐步逐步，不是我们有一个乔布斯工程，不是这样的，创新不是这样。好，等到逐渐逐渐中国创新，中国开源是水到渠成的，我绝对认同昨天开会上人家评论，现在开源不是中国人自私，是中国人没有创新，我觉得像淘宝，它不是把淘宝数据库开源了，我觉得马云底下的创新，中国有，逐渐逐渐会上去的，所以中国人开源会随着中国的创新往上走，开源是今后我们会，我很欣慰会看到有两个大国，在做梦，在创新，在开源。

记者：其实您也谈到自己对于开源这么一个观点，其实也是对于自己这么一个产品的自信，就是说我们有拿得出手的一个东西，其实我们知道，经过今天的访谈我们知道，道里云做的这个虚拟化云防火墙，它是一个创新的一个产品，是一个颠覆SDN，颠覆产业和SDN一个相关的这么一个虚拟化的一个产品，那么其实我们也希望，就是不管是安全的同行，还有学术界的同行，然后一起来关注这么一个产品，谢谢大家的观看，谢谢，谢谢毛博士。

嘉宾：谢谢大家，我最后加上一句，我先说一下，有关于它有它的颠覆性这件事我还暂且不表，这是IBM的技术同事他的评论，他们感觉这是具有颠覆性的，他们邀请我7月11、12去参加他们的技术峰会，把这个好好的讲一下，这个是我第一个评论，有没有颠覆还要时间检验。我大概更有相信讲一下，我更愿意说的，我们也用实际行动来做，中国人的血液里，流淌着高贵的基因，这些基因会传承下来，还会发扬光大的，中国人是高贵的。

记者：好，谢谢毛博士您精彩的补充，谢谢，谢谢大家。

嘉宾：谢谢。