5G 電信云網(wǎng)絡(luò)的三級(jí)布式架構(gòu)，以更加高效承載各種類的 5G 垂直行業(yè)應(yīng)用而 SDN（Software Defined Network，軟件定義絡(luò)）/NFV（Network Functions Virtualization，網(wǎng)絡(luò)功能虛號(hào)山化網(wǎng)絡(luò)云化在大提升資源用率的同時(shí)提供了業(yè)務(wù)動(dòng)化開通和能化運(yùn)維功，實(shí)現(xiàn)了業(yè)的快速上線靈活調(diào)整。于 5G 電信云優(yōu)勢(shì)顯，目前運(yùn)營正在積極推網(wǎng)絡(luò)的云化造。網(wǎng)絡(luò)不云化演進(jìn)的時(shí)，安全問備受關(guān)注。全是電信網(wǎng)的基本需求一，也是網(wǎng)建設(shè)的重中重。那么，此靈活開放 5G 電信云網(wǎng)絡(luò)真的全嗎？NFV 帶來的風(fēng)險(xiǎn)NFV 是一把雙刃劍，來開放性的時(shí)，也帶來安全風(fēng)險(xiǎn)。NFV 以運(yùn)行在 x86 服務(wù)器上的元功能軟件的方式實(shí)現(xiàn)軟硬件解耦以硬件資源化的方式使網(wǎng)絡(luò)架構(gòu)更開放，業(yè)務(wù)署更加靈活但是在 NFV 架構(gòu)下，為實(shí)現(xiàn)各層的互操作性NFV 組件之間必須具開放性，這帶來組件交的安全風(fēng)險(xiǎn)為了避免這安全風(fēng)險(xiǎn)，障虛擬化電云網(wǎng)絡(luò)系統(tǒng)全運(yùn)行，必采取有效的全措施。5G 電信云網(wǎng)絡(luò)安全肥蜰施5G 電信云組網(wǎng)對(duì)安全性龍山非常嚴(yán)格，物理組網(wǎng)層到業(yè)務(wù)網(wǎng)絡(luò)面都有限制在之前講的5G 電信云數(shù)據(jù)中心的輯組網(wǎng)”中我們提到了據(jù)接入服務(wù)的不同功能物理網(wǎng)絡(luò)（Underlay 網(wǎng)絡(luò)）劃分為計(jì)算域存儲(chǔ)域和管域，通過將三個(gè)域各自立部署并結(jié)防火墻技術(shù)來保證網(wǎng)絡(luò)安全性。這實(shí)就是物理網(wǎng)層面的安措施。一般說，物理組要進(jìn)行嚴(yán)格組網(wǎng)隔離，分運(yùn)營商甚要求多層級(jí)隔離。這也以看出，安性在電信云地位顯著。際應(yīng)用時(shí)， 5G 電信云系統(tǒng)中會(huì)照不同的安風(fēng)險(xiǎn)等級(jí)，設(shè)備劃分到同的安全域，不同的安域邊界如果訪，需要穿防火墻。類的，業(yè)務(wù)網(wǎng)也會(huì)通過劃不同的安全，再在不同域之間通過同類型的防墻實(shí)現(xiàn)等級(jí)護(hù)。下面我就來看看安域是如何劃的，以及如通過分域管來保證網(wǎng)絡(luò)安全。分域理對(duì)于安全的概念，有常細(xì)致的區(qū)，我們把安域劃分為不的層級(jí)。第層級(jí)，整網(wǎng)分為計(jì)算（務(wù)）域、存域和管理域這三個(gè)域物隔離，實(shí)現(xiàn)務(wù)網(wǎng)絡(luò)、存網(wǎng)絡(luò)和管理絡(luò)的隔離，使用防火墻跨越不同網(wǎng)的通信進(jìn)行護(hù)。第二層，在業(yè)務(wù)網(wǎng)內(nèi)部，又劃為暴露域、暴露域、核域和管理域看到這里，能細(xì)心的同會(huì)產(chǎn)生疑問: 怎么又有一個(gè)管倫山域？急，此處的理域與第一級(jí)中的管理是不同的。一層級(jí)中的理域管理的整個(gè)網(wǎng)絡(luò)，必要的。而務(wù)網(wǎng)絡(luò)內(nèi)的理域管理的業(yè)務(wù)，有時(shí)據(jù)客戶的實(shí)需求，可能有管理域，就是非必要。業(yè)務(wù)網(wǎng)絡(luò)不同的區(qū)域間通過不同型的防火墻現(xiàn)等級(jí)保護(hù)其中不同的全域中包含同的網(wǎng)元。外部黑客攻業(yè)務(wù)網(wǎng)絡(luò)的露域時(shí)，不影響到非暴域、核心域管理域的數(shù)安全。即使破了非暴露，由于非暴域和核心域管理域之間防火墻與被破防火墻是構(gòu)的，最大能地將網(wǎng)絡(luò)脅終止在非露域和核心、管理域之的防火墻，證了核心域管理域的安。即使整個(gè)務(wù)網(wǎng)絡(luò)受到脅，但是存域和管理域有一層存儲(chǔ) / 管理防火墻的保護(hù)峚山大可能網(wǎng)絡(luò)脅只影響運(yùn)業(yè)務(wù)，而不讓整個(gè)基礎(chǔ)施架構(gòu)受到擊。另外，理域和存儲(chǔ)又劃分不同邏輯網(wǎng)絡(luò)平，嚴(yán)格禁止同網(wǎng)絡(luò)平面互訪。不同角色設(shè)置不的權(quán)限，分分域。其實(shí)電信云中各域的劃分比類似于古代池的建造，過區(qū)別不同功能區(qū)域和置風(fēng)險(xiǎn)等級(jí)方便管理，且通過建造門來有效控不同區(qū)域的員流動(dòng)，以到安全可控目的。通過域管理，我能夠精準(zhǔn)、捷地對(duì)電信中的每個(gè)區(qū)模塊進(jìn)行有部署和控制這就像我們面所講的城建造一樣，個(gè)人管理城那么多的百是很困難的但是，通過分不同的區(qū)，再給每個(gè)域安排專人責(zé)就可以輕達(dá)到全局可的目的了。火墻部署理了分域管理概念，我們著上面的例來講下防火。通常在古，一個(gè)國家每個(gè)城門都一種界限的征。當(dāng)沒有門的時(shí)候，姓可以在各中隨意出入容易產(chǎn)生各矛盾和糾紛并且不方便調(diào)和管理，此我們?cè)O(shè)置城門來對(duì)其行控制，這每個(gè)城中的只能在有限范圍內(nèi)流動(dòng)既提升了管效率，又避了各種問題這里的“城”就類似于火墻的概念在電信云層，防火墻的途主要用于全域邊界的離。DC（Data Center，數(shù)據(jù)中心）業(yè)網(wǎng)和外部網(wǎng)之間的隔離一般使用南向防火墻。DC 內(nèi)不同安全域之間互的隔離，一使用跨域東向防火墻。中在東西方，流量安全用分布式防墻（安全組進(jìn)行隔離。一個(gè)安全組 VM（Virtual Machine，虛機(jī)）可以互訪，不安全組 VM 間默認(rèn)是不能互相訪問。安全組是狀態(tài)的，租可以設(shè)置某 VM 能夠主動(dòng)訪問燭光外網(wǎng)資源，是拒絕外部主動(dòng)訪問。北向流量安防護(hù)，采用置硬件防火進(jìn)行安全隔。安全域間署的東西向火墻掛接在關(guān)上，跨安域的流量要過防火墻進(jìn)互通。講到里，我們可看出，5G 電信云的分管理和防火部署相互結(jié)，可以為 5G 電信云構(gòu)建層層安全障。這種措切實(shí)保證了絡(luò)的通暢和全。網(wǎng)絡(luò)發(fā)，安全隨行未來，隨著 5G 電信云網(wǎng)絡(luò)規(guī)模的斷擴(kuò)大，安策略也將越越完善。文涉及的縮略：SDN（Software Defined Network，軟件定義網(wǎng)）NFV（Network Functions Virtualization，網(wǎng)絡(luò)功能虛擬乘厘）EPC（Evolved Packet Core，演進(jìn)的分組核心）MANO（Management and Orchestration，管理和編排）VNFM（Virtualized Network Function Manager 虛擬化網(wǎng)絡(luò)功管理）EMS（Element Management System，網(wǎng)元管理系統(tǒng)）DC（Data Center，數(shù)據(jù)中心VM（Virtual Machine，虛機(jī)）本來自微信公號(hào)：中興文 （ID：ztedoc）