数据中心解决方案安全技术技术特色在这种咄咄逼人的安全形势下，数据中心需要一个全方位一体化的安全部署方式。
H3C数据中心安全解决方案秉承了H3C一贯倡导的“安全渗透理念”，将安全部署渗透到整个数据中心的设计、部署、运维中，为数据中心搭建起一个立体的、无缝的安全平台，真正做到了使安全贯穿数据链路层到网络应用层的目标，使安全保护无处不在。
H3C数据中心安全解决方案的技术特色可用十二个字概括：三重保护、多层防御；分区规划，分层部署。
2.1 三重保护，多层防御图3 数据中心三重安全保护以数据中心服务器资源为核心向外延伸有三重保护功能。
依拖具有丰富安全特性的交换机构成数据中心网络的第一重保护；以ASIC、FPGA和NP技术组成的具有高性能精确检测引擎的IPS提供对网络报文深度检测，构成对数据中心网络的第二重保护；第三重保护是凭借高性能硬件防火墙构成的数据中心网络边界。
用一个形象的比喻来说明数据的三重保护。
数据中心就像一个欣欣向荣的国家，来往的商客就像访问数据中心的报文；防火墙是驻守在国境线上的军队，一方面担负着守卫国土防御外族攻击（DDOS）的重任，另一方面负责检查来往商客的身份（访问控制）；IPS是国家的警察，随时准备捉拿虽然拥有合法身份，但仍在从事违法乱纪活动的商客（蠕虫病毒），以保卫社会秩序；具有各种安全特性的交换机就像商铺雇佣的保安，提供最基本的安全监管，时刻提防由内部人员造成的破坏（STP 攻击）。
图4 数据中心多层安全防御三重保护的同时为数据中心网络提供了从链路层到应用层的多层防御体系，如图。
交换机提供的安全特性构成安全数据中心的网络基础，提供数据链路层的攻击防御。
数据中心网络边界安全定位在传输层与网络层的安全上，通过状态防火墙可以把安全信任网络和非安全网络进行隔离，并提供对DDOS和多种畸形报文攻击的防御。
IPS可以针对应用流量做深度分析与检测能力，同时配合以精心研究的攻击特征知识库和用户规则，即可以有效检测并实时阻断隐藏在海量网络流量中的病毒、攻击与滥用行为，也可以对分布在网络中的各种流量进行有效管理，从而达到对网络应用层的保护。
2.2 分区规划，分层部署在网络中存在不同价值和易受攻击程度不同的设备，按照这些设备的情况制定不同的安全策略和信任模型，将网络划分为不同区域，这就是所谓的分区思想。
数据中心网络根据不同的信任级别可以划分为：远程接入区、园区网、Internet服务器区、Extranet服务器区、Intranet服务器区、管理区、核心区，如图。
图5 数据中心分区规划思想所谓多层思想（n-Tier）不仅体现在传统的网络三层部署（接入－汇聚－核心）上，更应该关注数据中心服务器区（Server Farm）的设计部署上。
服务器资源是数据中心的核心，多层架构把应用服务器分解成可管理的、安全的层次。
“多层”指数据中心可以有任意数据的层次，但通常是3层。
按照功能分层打破了将所有功能都驻留在单一服务器时带来的安全隐患，增强了扩展性和高可用性。
如图，第一层，Web服务器层，直接与接入设备相连，提供面向客户的应用；第二层，即应用层，用来粘合面向用户的应用程序、后端的数据库服务器或存储服务器；第三层，即数据库层，包含了所有的数据库、存储和被不同应用程序共享的原始数据。
图6 数据中心分层部署思想3 关键技术说明本节将按照“三重保护、多层防御”的思想，详细说明每种安全技术的应用模式。
本节的最后还将介绍另一个不容忽视的问题－“数据中心网络管理安全技术”。
3.1.1 数据中心网络架构安全技术网络基础架构的安全特性是数据中心中各部件产品基本安全特性的通称。
架构安全特性涉及服务器、接入交换机、负载均衡器、汇聚交换机、核心交换机等设备，部署点多、覆盖面大，是构成整个安全数据中心的基石。
H3C凭借基于COMWARE的具有丰富安全特性全系列智能交换机为数据中心打造坚实的基础构架。
COMWARE是由H3C推出的支持多种网络设备的网络操作系统，它以强大的IP转发引擎为核心，通过完善的体系结构设计，把实时操作系统和网络管理、网络应用、网络安全等技术完美的结合在一起。
作为一个不断发展、可持续升级的平台，它具有开放的接口，可灵活支持大量的网络协议和安全特性。
COMWARE可应用在分布式或集中式的网络设备构架之上，也就是说，不仅可以运行在高端的交换机/路由器上，而且也可以运行在中低端的交换机/路由器上，不向其它厂商，不同的软件运行在不同的设备上。
COMWARE的这一特性可使网络中各节点设备得到同一的安全特性，彻底避免了由于部件产品安全特性不一致、不统一造成的安全“短木板效应”。
图7 数据中心基础架构安全相关架构1. 基于VLAN的端口隔离交换机可以由硬件实现相同VLAN中的两个端口互相隔离。
隔离后这两个端口在本设备内不能实现二、三层互通。
当相同VLAN中的服务器之间完全没有互访要求时，可以设置各自连接的端口为隔离端口，如图。
这样可以更好的保证相同安全区域内的服务器之间的安全：O 即使非法用户利用后门控制了其中一台服务器，但也无法利用该服务器作为跳板攻击该安全区域内的其他服务器。
O 可以有效的隔离蠕虫病毒的传播，减小受感染服务器可能造成的危害。
比如：如果Web服务器遭到了Code-Red红色代码的破坏，即使其它Web服务器也在这个网段中，也不会被感染。
图8 交换机Isolated Vlan 技术2. STP Root/BPDU Guard基于Root/BPDU Guard方式的二层连接保护保证STP/RSTP稳定,防止攻击,保障可靠的二层连接。
如图。
图9 交换机Root Guard/BPDU Guard 技术BPDU Guard对于接入层设备，接入端口一般直接与用户终端（如PC机）或文件服务器相连，此时接入端口被设置为边缘端口以实现这些端口的快速迁移；当这些端口接受到配置消息（BPDU报文）时系统会自动将这些端口设置为非边缘端口，重新计算生成树，引起网络拓扑的震荡。
这些端口正常情况下应该不会收到生成树协议的配置消息的。
如果有人伪造配置消息恶意攻击交换机，就会引起网络震荡。
BPDU保护功能可以防止这种网络攻击。
交换机上启动了BPDU保护功能以后，如果边缘端口收到了配置消息，系统就将这些端口shutdown，同时通知网管。
被shutdown的端口只能由网络管理人员恢复。
推荐用户在配置了边缘端口的交换机上配置BPDU保护功能。
ROOT Guard由于维护人员的错误配置或网络中的恶意攻击，网络中的合法根交换机有可能会收到优先级更高的配置消息，这样当前根交换机会失去根交换机的地位，引起网络拓扑结构的错误变动。
这种不合法的变动，会导致原来应该通过高速链路的流量被牵引到低速链路上，导致网络拥塞。
Root保护功能可以防止这种情况的发生。
对于设置了Root保护功能的端口，端口角色只能保持为指定端口。
一旦这种端口上收到了优先级高的配置消息，即其将被选择为非指定端口时，这些端口的状态将被设置为侦听状态，不再转发报文（相当于将此端口相连的链路断开）。
当在足够长的时间内没有收到更优的配置消息时，端口会恢复原来的正常状态。
LOOP PROTECTION交换机的根端口和其他阻塞端口的状态依靠不断接收上游交换机发送的BPDU来维持的。
但是由于链路拥塞或者单向链路故障，这些端口会收不到上游交换机的BPDU。
此时交换机会重新选择根端口，根端口会转变为指定端口，而阻塞端口会迁移到转发状态，从而交换网络中会产生环路。
环路保护功能会抑制这种环路的产生。
在启动了环路保护功能后，根端口的角色如果发生变化就会设置它为Discarding状态，阻塞端口会一直保持在Discarding状态，不转发报文，从而不会在网络中形成环路。
TC PROTECTION根据IEEE 802.1w和IEEE 802.1s协议，交换机监测到拓扑变化或者接收到TC报文后会清空MAC表。
如果受到TC攻击(连续不断收到TC报文)交换机就会一直进行MAC删除操作，影响正常的转发业务。
使能TC PROTECTION功能后，将减少删除MAC的次数，保证业务的正常运行。
3. 端口安全端口安全（Port Security）的主要功能就是通过定义各种安全模式，让设备学习到合法的源MAC地址，以达到相应的网络管理效果。
对于不能通过安全模式学习到源MAC地址的报文或802.1x认证失败的0当发现非法报文后，系统将触发相应特性，并按照预先指定的方式自动进行处理，减少了用户的维护工作量，极大地提高了系统的安全性和可管理性。
端口安全的特性包括：NTK：NTK（Need To Know）特性通过检测从端口发出的数据帧的目的MAC地址，保证数据帧只能被发送到已经通过认证的设备上，从而防止非法设备窃听网络数据。
Intrusion Protection：该特性通过检测端口接收到的数据帧的源MAC地址或802.1x认证的用户名、密码，发现非法报文或非法事件，并采取相应的动作，包括暂时断开端口连接、永久断开端口连接或是过滤此MAC地址的报文，保证了端口的安全性。
Device Tracking：该特性是指当端口有特定的数据包（由非法入侵，用户不正常上下线等原因引起）传送时，设备将会发送Trap信息，便于网络管理员对这些特殊的行为进行监控。
表2 端口的安全模式：安全模式类型描述特性说明secure 禁止端口学习MAC地址，只有源MAC为端口上已经配置的静态MAC的报文，才能通过该端在左侧列出的模式下，当设备发现非法报文后，将触发NTK特性和Intrusion Protection口特性userlogin 对接入用户采用基于端口的802.1x认证此模式下NTK特性和Intrusion Protection特性不会被触发userlogin-secure 接入用户必须先通过802.1x认证，认证成功后端口开启，但也只允许认证成功的用户报文通过；此模式下，端口最多只允许接入一个经过802.1x认证的用户；当端口从正常模式进入此安全模式时，端口下原有的动态MAC地址表项和已认证的MAC地址表项将被自动删除在左侧列出的模式下，当设备发现非法报文后，将触发Need ToKnow特性和IntrusionProtection特性userlogin-withoui 与userlogin-secure类似，端口最多只允许一个802.1x认证用户，但同时，端口还允许一个oui地址的报文通过；当用户从端口的正常模式进入此模式时，端口下原有的动态MAC地址表项和已认证的MAC地址表项将被自动删除mac-authentication基于MAC地址对接入用户进行认证userlogin-secure-or-mac 表示mac-authentication和userlogin-secure模式下的认证可以同时进行，如果都认证通过的话，userlogin-secure 的优先级高于mac-authentication模式userlogin-secure-else-mac 表示先进行mac-authentication认证，如果成功则表明认证通过，如果失败则再进行userlogin-secure认证userlogin-secure-ext 与userlogin-secure类似，但端口下的802.1x 认证用户可以有多个userlogin-secure-or-mac-ext 与userlogin-secure-or-mac类似，但端口下的802.1x认证用户可以有多个userlogin-secure-else-mac-ext 与mac-else-userlogin-secure类似，但端口下的802.1x 认证用户可以有多个4. 防IP伪装病毒和非法用户很多情况会伪装IP来实现攻击。
