文档介绍：H3C虚拟园区网解决方案
应用背景
随着网络规模的不断增大,其应用和复杂度也在不断增加。对一个大型园区来说,通常
包括很多不同的公司/部门/群组在同时使用网络,网络上承载着各种不同的复杂应用。很多
时候,需要对这些不同部门/群组用户的访问权限进行控制、不同业务间的网络传输也需要
安全隔离,这种隔离指的是访问、传输、应用端到端的隔离。
对于有业务和应用隔离需求的用户来说,传统的物理网络隔离方案已无法满足需求:网
络重复建设、分散管理、安全策略难部署、无法提供统一的应用服务等,都大大增加了用户
在网络投资、建设和运维、管理方面的负担。
在上世纪九十年代,L2交换是园区局域网的标志性特性,使用虚拟局域网(VLAN)技
术将同一网络上的不同群组用户进行二层隔离,这种方案简单、高效,但却无法很好地适应
网络扩展的需要:广播域占用带宽资源、收敛速度慢、需要配置较多的二层特性支持、故障
定位和管理困难。
核心、汇聚层L3交换技术的使用,在VLAN方式基础上对网络的可扩展性、性能和管理
复杂度进行了优化,但在网络分区和建立封闭用户组方面存在限制。访问控制列表(ACL)
的使用并未真正建立封闭的用户群组,而只是在某些关键的节点对部分访问进行了限制,这
种方式没有实现业务流量的安全隔离、配置管理复杂、限制了终端/应用系统的可移动性。
因此,我们需要一个便于扩展的解决方案,来保持用户群组的完全隔离,实现服务和安
全策略的集中,并保留原有设计的高可用性、安全性和可扩展性的优势。
H3C虚拟园区网解决方案很好地解决了这个问题。其把共用的一套物理网络、客户端、
服务器资源虚拟出多套逻辑资源,供不同的群组/部门、业务使用,虽然在物理上这些资源
是统一、集中的,但对不同的用户/业务来说,能够使用到的资源、配置的安全/管理策略可
能各不相同。
解决方案
H3C的虚拟园区网解决方案,集中解决了以下三个重要问题:
z 接入控制:确保接入用户的合法性和安全性,并能够控制用户的访问权限;
z 通道隔离:确保用户群组获得正确的资源和网络流量的安全隔离;
z 统一应用:能够为各群组提供正确的服务,并进行集中的管理和策略控制。

接入控制:通过网络接入控制来对接入网络的终端进行接入安全保障和资源访问授权。建议
采用H3C的EAD终端准入控制系统,对通过认证的用户动态下发VPN和对应的资源访问和
使用权限,加强对用户的集中管理,统一实施企业安全策略,提高网络终端的主动抵抗能力。
通过中央服务器和客户端的配合,还可以监控接入用户的安全状态,拒绝非法接入网络,防
止终端ARP欺骗和攻击,进一步加强了整网的稳定和安全。
通道隔离:通过VLAN/VRF/MPLS VPN技术对不同的应用、业务和群组用户进行安全隔离,
把不同用户、不同应用的数据横向隔离开来,保证数据传输的私密性和安全性。从业务隔离
的灵活性、配置/管理复杂度、扩展性、组网对设备的要求等多方面对比,建议大、中型园
区内应用MPLS L3VPN技术进行业务逻辑隔离。
统一应用:通过计算虚拟化、存储虚拟化、虚拟安全等技术,为整网的隔离用户提供统一的
安全策略部署、集中的数据中心服务、统一的网络监控/管理软