多云混合云安全组网实践

需求背景

随着企业数字化转型需求日益增多，“上云、用数、赋智”让更多分布式企业采用多云和混合云架构，云上业务的互联互通方式各异。云网融合的趋势和需求带来了新的挑战，即分布式复杂网络如何统一运维和管理。

场景实例

现状描述

碎片化企业网络

某大型互联网企业拥有近两万员工，设有国内总部、国内分公司和海外分公司。

主要的内部业务资源部署在数据中心A和数据中心B，对外开放业务部署在公有云A和公有云B上。

数据中心与公有云之间用专线打通，数据中心之间也用专线互联，确保业务带宽稳定性和安全性。

总部员工接入

总部办公区分别与两个数据中心用专线互联，办公区员工通过专线访问数据中心的业务资源。

总部办公区划分多个办公区安全域，正式员工根据接入方式和部门归属，接入到不同的安全域中。

外包员工归属于单独的安全域，设置单独的安全策略。

渠道合作伙伴接入

渠道合作伙伴办公区通过IPSec VPN接入数据中心访问业务资源。

分公司办公区接入

国内分公司办公区员工通过专线访问数据中心A上的业务资源；海外分公司办公区通过SSL VPN接入到总部办公区，通过总部VPN跳转访问数据中心的业务资源。

移动办公接入

移动办公人员通过SSL VPN接入到总部办公区的VPN专区，然后跳转访问数据中心的资源。

网络拓扑

需求分析

1、减少专线带宽成本

目前总部和国内分公司都是通过专线接入数据中心，并且所有员工通过VPN访问时都需要先接入到总部办公区的VPN网关，随后跳转访问数据中心业务资源。这样导致接入总部的专线带宽耗用高，成本高。

2、提高终端用户体验

居家办公、移动办公、渠道合作伙伴远程接入都是通过SSL VPN先接入到总部办公区，然后从总部VPN接入区跳转到数据中心业务资源，会导致访问延时以及稳定性的单点失效风险。海外员工通过总部VPN接入总部后跳转访问数据中心业务，跨境链路延时导致页面响应时间长，用户体验差。内部业务系统多，员工记不住大量的业务系统帐号密码，需要用单点登录系统对业务系统的登录认证进行统一接管，提高用户体验。渠道合作伙伴仅需访问少量业务资源，但同样用VPN接入在网络层面就是接入整个内网，引入新的安全风险。

3、提高安全管控效率

数据中心、公有云、总部和分支办公区域的异构组网使得物理网络结构复杂，外加内外用户数量多角色杂，业务资源数量多变化快，授权和访问控制策略管理起来时效性低且非常复杂，需要业务部门、安全部门和网络管理部门通力协作，管理成本高。因此，企业亟需能简化的全网访问策略管理方式，减少管理复杂度，降低出错率，提高行营效率。

实现效果

减少带宽成本

远程办公员工、海外分公司员工无需通过VPN接入公司总部作为跳转后再访问数据中心的业务，大量减少公司总部的出口带宽耗用，降低成本。

国内分公司员工、渠道合作伙伴无需使用专线和VPN接入数据中心资源，减少了专线和VPN的带宽成本。