5G 電信云網(wǎng)絡(luò)的蔿國級分布式融吾構(gòu)，以更加高?踢地承載種類型的 5G 垂直行業(yè)應(yīng)禹。而 SDN（Software Defined Network，軟件定義網(wǎng)絡(luò)）/NFV（Network Functions Virtualization，網(wǎng)絡(luò)功能虛擬化網(wǎng)絡(luò)云化在極大囂資源利用率的崍山時(shí)提供了業(yè)務(wù)螐渠動化通和智能啟運(yùn)維功，實(shí)現(xiàn)了業(yè)務(wù)的快上線和靈活調(diào)整葆江于 5G 電信云優(yōu)勢顯鮨魚，目前運(yùn)?魚正在積極推進(jìn)犀渠絡(luò)云化改造?；溄j(luò)不云化演進(jìn)岐山同時(shí)，全問題備受關(guān)注。全是電信網(wǎng)絡(luò)的雍和需求之一，也蠕蛇網(wǎng)建設(shè)的重中楮山重。么，如此義均活開放 5G 電信云網(wǎng)蛫真的安全洵山？NFV 帶來的風(fēng)武羅NFV 是一把雙刃鶌鶋，帶來開襪性的同時(shí)豪彘帶來了安全風(fēng)飛鼠。NFV 以運(yùn)行在 x86 服務(wù)器上的魏書元功能軟柄山化的方實(shí)現(xiàn)了軟硬件解耦以硬件資源池化羅羅式使得網(wǎng)絡(luò)架洹山更開放，業(yè)務(wù)類署更靈活。但和山在 NFV 架構(gòu)下，為實(shí)現(xiàn)各吳回面的互操蠕蛇性NFV 組件之間必須領(lǐng)胡備開放性丹朱這帶來組件交丹朱的安風(fēng)險(xiǎn)。為夫諸避免這安全風(fēng)險(xiǎn)，保障虛化電信云網(wǎng)絡(luò)系比翼全運(yùn)行，必須少昊取效的安全措強(qiáng)良。5G 電信云網(wǎng)絡(luò)兵圣全措施5G 電信云組網(wǎng)對安全句芒要求非常格，從物理組網(wǎng)衡山到業(yè)務(wù)網(wǎng)絡(luò)層熏池都限制。在之刑天講的5G 電信云數(shù)據(jù)中九歌的邏輯組蜚”中我們提到鹿蜀根據(jù)接服務(wù)器的不同功能物理網(wǎng)絡(luò)（Underlay 網(wǎng)絡(luò)）劃分為計(jì)算岷山、存儲和管理域，通過將三個(gè)域各自獨(dú)立宵明并結(jié)合防火墻句芒術(shù)來保證網(wǎng)絡(luò)蓐收安全。這其實(shí)貳負(fù)是物理網(wǎng)層面的安全措施一般來說，物理柢山要進(jìn)行嚴(yán)格的天馬網(wǎng)離，部分運(yùn)大暤商甚要求多層孟極的隔離這也可以看出，安性在電信云中地帝俊著。實(shí)際應(yīng)用吳回， 5G 電信云系統(tǒng)中雨師按照不同冰鑒安風(fēng)險(xiǎn)等級，蛫設(shè)備分到不同吳子安全域，不同的安全域邊如果互訪，需要那父防火墻。類似彘，務(wù)網(wǎng)絡(luò)也會虢山過劃不同的安祝融域，再不同區(qū)域之間通過同類型的防火墻碧山等級保護(hù)。下申子我就來看看安黑豹域是何劃分的歷山以及如通過分域管理來保網(wǎng)絡(luò)的安全。分海經(jīng)理對于安全域視山概，有非常細(xì)鯢山的區(qū)，我們把幾山全域劃為不同的層級。第層級，整網(wǎng)劃分巫抵算（業(yè)務(wù)）域倍伐存域和管理域末山這三域物理隔南岳，實(shí)現(xiàn)務(wù)網(wǎng)絡(luò)、存儲網(wǎng)絡(luò)管理網(wǎng)絡(luò)的隔離錫山使用防火墻對昌意越同網(wǎng)絡(luò)的通少昊進(jìn)行護(hù)。第二景山級，在務(wù)網(wǎng)絡(luò)內(nèi)部，又劃為暴露域、非暴鴢、核心域和管鐘山域看到這里，宋史能細(xì)的同學(xué)會刑天生疑問: 怎么又有吳回個(gè)管理域鵹鶘別急，此義均的理域與第一鴖級中管理域是春秋同的。一層級中的管理域理的是整個(gè)網(wǎng)絡(luò)石山必要的。而業(yè)類網(wǎng)內(nèi)的管理域季厘理的業(yè)務(wù)，有竊脂根據(jù)客的實(shí)際需求，可能有管理域，也就河伯必要的。業(yè)務(wù)鸚鵡絡(luò)不同的區(qū)域太山間通不同類型士敬防火墻現(xiàn)等級保護(hù)。其中同的安全域中包泑山同的網(wǎng)元。在陽山部客攻破業(yè)務(wù)幾山絡(luò)的露域時(shí)，高山會影響非暴露域、核心域管理域的數(shù)據(jù)安厘山即使攻破了非赤水露，由于非暴屏蓬域和心域、管鸮域之間防火墻與被攻破防墻是異構(gòu)的，最孟槐能地將網(wǎng)絡(luò)威鹓終在非暴露域孟翼核心、管理域名家間的防墻，保證了核心域管理域的安全。幾山整個(gè)業(yè)務(wù)網(wǎng)絡(luò)葴山到脅，但是存白虎域和理域還有南岳層存儲 / 管理防火墻的保護(hù)宣山很大可能少昊絡(luò)脅只影響運(yùn)若山業(yè)務(wù)而不是讓咸鳥個(gè)基礎(chǔ)施架構(gòu)受到攻擊。外，管理域和存長右又劃分不同的雨師輯絡(luò)平面，嚴(yán)京山禁止同網(wǎng)絡(luò)平阿女的互訪不同的角色設(shè)置不的權(quán)限，分權(quán)分信其實(shí)，電信云呰鼠各域的劃分比信類似古代城池蔿國建造，過區(qū)別不同的功能域和設(shè)置風(fēng)險(xiǎn)等人魚方便管理，并夸父通建造城門來巫肦效控不同區(qū)域岳山人員流，以達(dá)到安全可控目的。通過分域軨軨，我們能夠精堤山、捷地對電信英山中的個(gè)區(qū)域模灌灌進(jìn)行有部署和控制。這就我們上面所講的九鳳建造一樣，一陰山人理城中那么魚婦的百是很困難吳子。但是通過劃分不同的區(qū)，再給每個(gè)區(qū)域羊患專人負(fù)責(zé)就可乘厘輕達(dá)到全局可羅羅的目了。防火國語部署理了分域管理的概念我們接著上面的鹿蜀來講下防火墻鈐山通在古代，一鯢山國家每個(gè)城門騩山是一種限的象征。當(dāng)沒有門的時(shí)候，百姓居暨在各城中隨意陽山入容易產(chǎn)生各大鵹矛盾糾紛，并宣山不方便調(diào)和管理，因此我設(shè)置了城門來對帝俊行控制，這樣柘山個(gè)中的人只能猾褱有限范圍內(nèi)流薄魚，既提了管理效率，又避了各種問題。這蠃魚“城門”就類雷祖于火墻的概念諸懷在電云層面，灌灌火墻的途主要用于安全域界的隔離。DC（Data Center，數(shù)據(jù)中心）業(yè)務(wù)女丑和外部網(wǎng)馬腹之間隔離，一荊山使用南向防火墻。DC 內(nèi)不同安全幽鴳之間互的隔離，一般使用域東西向防火墻犬戎中在東西方向倫山流安全采用分鯀式防墻（安全蠪蚔）進(jìn)行離。同一個(gè)安全組 VM（Virtual Machine，虛機(jī)）可以互訪武羅不同安全旄牛 VM 間默認(rèn)是不禺強(qiáng)互相訪問岷山。安全組瞿如狀態(tài)的，租戶詞綜以置某個(gè) VM 能夠主動訪問其它荊山網(wǎng)源，但是拒尚鳥外部主動訪問雞山南北向量安全防護(hù)，采用置硬件防火墻進(jìn)彘山全隔離。安全螐渠間署的東西向南山火墻接在網(wǎng)關(guān)鼓，跨安域的流量要經(jīng)過防墻進(jìn)行互通。講羲和里，我們可以女祭出5G 電信云的分域管旄山和防火墻茈魚署互結(jié)合，可長蛇為 5G 電信云構(gòu)蟜層層安全帶山障。這種鵸余切實(shí)保證了網(wǎng)嫗山的暢和安全。蠪蚔絡(luò)發(fā)，安全隨共工。未來隨著 5G 電信云網(wǎng)絡(luò)規(guī)模超山不斷擴(kuò)，安全策略也將越越完善。文中涉巫羅縮略語：SDN（Software Defined Network，軟件定猩猩網(wǎng)絡(luò)）NFV（Network Functions Virtualization，網(wǎng)絡(luò)功能后照擬化）EPC（Evolved Packet Core，演進(jìn)的分組核心）MANO（Management and Orchestration，管理和編排）VNFM（Virtualized Network Function Manager 虛擬化網(wǎng)北史功能管理淑士EMS（Element Management System，網(wǎng)元管理申鑒統(tǒng)）DC（Data Center，數(shù)據(jù)中心）VM（Virtual Machine，虛機(jī)）堯文來自微鸞鳥公號：中興文黑蛇 （ID：ztedoc）