云上Landing Zone的主要组成部分 >网络规划

公网出口及南北向网络安全管控

• 解决的问题

  随着企业业务云化进程逐渐进入深水区，简单地使用云上资源出公网已经无法满足业务的诉求，安全、成本、权限、监控等诉求的迭代，需要企业有系统性的视角来考虑如何做好公网出口的规划设计：

  • 安全：统一DMZ-VPC设计，对于企业/集团内的公网出入访问有严格的访问策略加以控制，同时具备可监管能力。
  • 成本：所有公网IP需具备共享一份或多份带宽的能力，提升带宽利用率，满足业务诉求的情况下做到成本最优。
  • 权限：由于组织架构及智能原因，在安全部门的要求下，IT/架构团队需要统一管控公网准入/出权限。各业务方需向IT申请才能开通公网访问权限。
  • 监控：统一监控，内网/外网访问情况做到可视可追溯，便于及时排查异常流量原因。
• 架构图
  • 架构演进

    在企业安全、成本、权限、监控等诉求的迭代下，云上公网出口方案逐渐从原来的分布式公网出口演进为统一公网出口。前者适合企业上云初期，各部门/业务团队可按需使用EIP/NATGW/SLB进行各自的公网出口部署，自动度和灵活性较高，同时也带来了企业的云上安全和管理隐患问题；后者将公网出口进行统一部署、统一管理、统一监控、统一安全策略部署，更能满足企业云上的整体监管要求。

  • 简单场景统一公网出口架构设计
    • WAN区域设计
      • DMZ-VPC设计：将企业云上整体的WAN能力均放在共享服务的DMZ-VPC，该VPC内可按需部署NATGW、Proxy、FW、行为管理等公网产品。
      • 安全设计：联动DDos、WAF、云防火墙等原生安全产品，保障公网出口安全，并结合NACL实现安全访问策略。
      • 成本优化：启用共享带宽，并将所有EIP加入其中，节约成本。
      • 权限划分：利用将公网能力统一收口至IT部门，部署DNAT+SNAT，业务VPC均通过CEN实现跨VPC访问公网。
      • 监控管理：使用NATGW+Flowlog组合能力，监控公网出入口流量信息，并根据异动排查原因。
    • 统一公网出向设计

      统一公网出：使用增强型NATGW，并开启跨VPC访问NATGW能力。

    • 统一公网入向设计（可选）
      • 统一公网入：使用DNAT+SLB（私）的方式。
      • 独立公网入：适用个别业务独立性较强、一定规模的Web/APP服务，可在所属的业务VPC中结合大规格SLB/ALB独立部署公网入口。
  • 复杂场景统一公网出口架构设计

    随着企业云上业务的发展，对于公网访问的场景和功能的丰富度也会增加，包含基础公网能力、第三方供应商 API接口调用、指定域名访问出口等能力实现。

• 方案描述

  本方案设计3个设计点，默认公网出口、第三方供应商API接口调用的特殊公网出口，以及指定域名访问出口，均部署在统一出口区域DMZ-VPC。

  • 默认公网出口

    在DMZ-VPC内部署增强型NATGW，并申请“统一网络出口”权限开通跨VPC访问功能DMZ-VPC公网能力，实现统一公网出口。

    账号-1和账号-2的APP-VPC均可通过DMZ-VPC的默认NATGW的SNAT策略出局访问公网，同时并通过DNAT策略实现跨VPC的公网入口效果。

  • 第三方供应商API接口调用的特殊公网出口

    在VPC已有默认NATGW的情况下，由于第三方供应商API接口调用时需要双方互相针对IP地址加白名单，且出口独立性较强，不能影响其他业务或被其他业务影响，需于DMZ-VPC再部署一个特殊的NATGW，将三方目标网段路由给此NATGW，实现特殊出口。

    账号-2 VPC中的ECS访问常规公网时从默认NATGW出口出局，调用第三方供应商API时从特殊公网出口出局。

  • 指定域名访问出口

    使用SLB+EIP（ECS）+PrivateZone方式实现特殊域名出口，将需要指定出口访问的域名部署在PrivateZone中并应用于本VPC。

    当业务访问指定域名时，会被PrivateZone自动解析为DMZ-VPC的特殊域名出口的SLB私网IP，通过代理的方式从后端服务器的公网出口出局。

东西向网络安全设计

东西向网络是指连通企业内部资源之间的网络，这部分网络流量保持在企业内部基础设施之间，并与公网隔离。东西向网络安全是指对这部分的网络部署的安全机制，用于进行业务系统间的隔离、流量审计、日志、防病毒等安全机制。

云防火墙帮助企业实现内网东西向流量的安全审计。分为以下几个功能：

1. 将全部东西向流量或其中的关键部分汇聚到统一的安全VPC。
2. 在安全VPC中配置云防火墙或第三方防火墙。其中，云防火墙阿里云云防火墙（Cloud Firewall）是业界首款公共云环境下的SaaS化防火墙，可统一管理南北向和东西向的流量，提供流量监控、精准访问控制、实时入侵防御等功能。云防火墙更多信息，请参见云防火墙。您也可以通过云市场购买第三方防火墙，例如：飞塔系列产品或Palo Alto系列产品。
3. 通过防火墙对流量进行规则过滤、流量清洗和威胁监控等动作。通过云网络的路由引流能力，将东西向流量引入云防火墙ENI或第三方防火墙所部署的ECS中，实现流量统一审计。

• 架构图
• 方案描述

  网络架构如上图所示，各模块分别是：HK业务VPC-1用于承载业务1的资源，HK业务VPC-2用于承载业务2的资源，以上两个业务部署在中国香港地域，BJ业务VPC用于承载北京业务资源，本业务部署在北京地域。在中国香港部署一个安全VPC用于放置第三方防火墙，中国香港和北京地域各使用转发路由器（Transit Router）来将本地域内的所有VPC连接起来，两个转发路由器通过云企业网进行连接。

  需要实现的功能点：HK业务VPC-1、HK业务VPC-2和BJ业务VPC之间互通的流量全部流经安全VPC进行安全审计，然后再传输到目标VPC。