基于VPN技術(shù)的數(shù)據(jù)中心系統(tǒng)管理模式和安全策略設(shè)計*

門 華

(重慶工商大學(xué)信息化辦公室，重慶400067)

隨著信息化的不斷發(fā)展，各類管理系統(tǒng)及數(shù)據(jù)急劇增加，數(shù)據(jù)中心實(shí)現(xiàn)了全面、集中、有效的管理，保障了各項業(yè)務(wù)的順利運(yùn)行和服務(wù)的及時提供.近年來，云平臺和虛擬化技術(shù)加入，使得數(shù)據(jù)中心朝著集成化和專業(yè)化的方向快速發(fā)展，隨之帶來的網(wǎng)絡(luò)安全問題也日益突出，成為亟待解決的熱點(diǎn)問題。數(shù)據(jù)中心一般提供兩類人群的訪問:普通用戶，訪問數(shù)據(jù)中心提供的通用服務(wù)和資源;系統(tǒng)管理員，負(fù)責(zé)進(jìn)行相關(guān)的信息系統(tǒng)日常管理和軟硬件維護(hù).通常情況下，數(shù)據(jù)中心的安全防護(hù)主要針對普通用戶的訪問方式，然而，系統(tǒng)管理員擁有比普通用戶更多的訪問權(quán)限，因此其訪問方式的安全性更值得關(guān)注和研究.

傳統(tǒng)的數(shù)據(jù)中心系統(tǒng)管理方式存在以下問題:使用顯示器、鍵盤或者KVM系統(tǒng)進(jìn)行管理的方式，系統(tǒng)管理員必須進(jìn)入機(jī)房在服務(wù)器硬件上進(jìn)行操作，安全性高但缺乏便捷性，網(wǎng)絡(luò)服務(wù)具有24小時不間斷的特點(diǎn)，要求管理員365天24小時及時響應(yīng)，這種方式往往難以達(dá)到;單純使用telnet、遠(yuǎn)程桌面、ssh等管理方式，雖然解決了遠(yuǎn)程管理的問題，但個別管理方式如telnet甚至沒有使用加密技術(shù)，安全性極低，其他使用了加密技術(shù)的管理方式，安全性只能依賴管理軟件自身，也存在著很大的安全隱患［1］，無法對系統(tǒng)管理員進(jìn)行統(tǒng)一管理和審計［2］，只能針對每一臺服務(wù)器進(jìn)行用戶權(quán)限的分配和審核，不能進(jìn)行整個數(shù)據(jù)中心系統(tǒng)管理權(quán)限的規(guī)劃和全局設(shè)計，導(dǎo)致權(quán)限管理混亂.

針對以上問題，提出一種基于VPN的數(shù)據(jù)中心系統(tǒng)管理模式，并在此基礎(chǔ)上進(jìn)行基于角色的安全策略設(shè)計.VPN能夠利用加密通訊協(xié)議在公共網(wǎng)絡(luò)中建立安全可靠的數(shù)據(jù)傳輸通道，通過對VPN進(jìn)行合理的架設(shè)，有效規(guī)避系統(tǒng)管理員遠(yuǎn)程管理時帶來的安全問題，同時設(shè)計更合理的安全策略，降低安全風(fēng)險［3］.

1 VPN技術(shù)

VPN又名虛擬專用網(wǎng)絡(luò)，是一種在開放的、不安全的internet上，建立安全的數(shù)據(jù)通道，將每一個用戶的通信分離開傳輸?shù)募夹g(shù)［4］.VPN采用復(fù)雜的算法，結(jié)合認(rèn)證技術(shù)、隧道技術(shù)、加密技術(shù)和網(wǎng)絡(luò)技術(shù)傳輸數(shù)據(jù)，使得數(shù)據(jù)不被竊取和篡改，保證數(shù)據(jù)的真實(shí)性.VPN通道從VPN設(shè)備或VPN終端開始，橫跨internet，到達(dá)其他VPN設(shè)備，非常適合系統(tǒng)管理遠(yuǎn)程訪問的需要和安全性的要求［5］.

當(dāng)前主流的VPN技術(shù)有L2TP/IPSEC VPN，SSLVPN等，各種VPN的工作原理類似，以SSLVPN為例，它的工作原理如圖1所示.

圖1 SSL VPN的工作原理

VPN是在Internet的兩端通過訪問控制、報文加解密、報文認(rèn)證、報文封裝及解封裝等技術(shù)建立起一條安全隧道，使得傳輸?shù)臄?shù)據(jù)不被竊聽、篡改，保證報文的完整性和機(jī)密性.

2 系統(tǒng)管理模式的建立和安全策略設(shè)計

與普通用戶不同，系統(tǒng)管理員擁有配置后臺、管理數(shù)據(jù)庫、管理操作系統(tǒng)等高級權(quán)限，因此對他進(jìn)行系統(tǒng)操作的管控必須更加嚴(yán)格.研究提出一種基于VPN的系統(tǒng)管理模式，并在此基礎(chǔ)上設(shè)計基于角色的安全策略，來加強(qiáng)系統(tǒng)管理的控制能力，降低安全風(fēng)險.

2.1 基于VPN的系統(tǒng)管理模式的建立

合理搭建VPN設(shè)備是基于VPN的系統(tǒng)管理模式的關(guān)鍵，首先在數(shù)據(jù)中心出口部署一臺防火墻設(shè)備，使系統(tǒng)管理員從內(nèi)網(wǎng)到外網(wǎng)都不允許直接對服務(wù)器進(jìn)行管理;其次在防火墻內(nèi)側(cè)搭建VPN設(shè)備，允許系統(tǒng)管理員通過VPN進(jìn)行管理.

通過合理架設(shè)VPN實(shí)現(xiàn)對數(shù)據(jù)中心系統(tǒng)管理的三重安全防范:①防火墻過濾及防護(hù)［7］.將VPN設(shè)備架設(shè)在數(shù)據(jù)中心防火墻內(nèi)側(cè)，可以發(fā)揮防火墻的安全防范優(yōu)勢，第一層過濾ddos，flood洪泛等攻擊，進(jìn)行包過濾、內(nèi)容過濾、訪問控制等安全防范;②數(shù)據(jù)流的封裝和加密.系統(tǒng)管理員在終端到VPN設(shè)備之間建立隧道，將傳輸?shù)臄?shù)據(jù)流進(jìn)行封裝和加密，防止數(shù)據(jù)被篡改和竊取;③身份認(rèn)證和權(quán)限分配.通過身份認(rèn)證和權(quán)限分配，只有合法的系統(tǒng)管理員身份才能獲得相應(yīng)的系統(tǒng)訪問權(quán)限，訪問相應(yīng)的資源.

系統(tǒng)管理員需通過防火墻和VPN共同實(shí)現(xiàn)的三重安全防范后，才能對數(shù)據(jù)中心的相應(yīng)服務(wù)器進(jìn)行系統(tǒng)管理，系統(tǒng)管理員訪問路徑如圖2所示.基于VPN的系統(tǒng)管理模式解決了系統(tǒng)管理的遠(yuǎn)程管理和安全性問題.

圖2 系統(tǒng)管理員訪問路徑圖

2.2 基于角色的安全策略設(shè)計

VPN技術(shù)是系統(tǒng)管理安全性的前提，在此基礎(chǔ)之上，制定相應(yīng)的安全認(rèn)證策略是保障系統(tǒng)管理安全的關(guān)鍵.數(shù)據(jù)中心通常擁有眾多服務(wù)器區(qū)域，包括數(shù)據(jù)庫服務(wù)器區(qū)、核心應(yīng)用服務(wù)器區(qū)、普通應(yīng)用服務(wù)器區(qū)、托管區(qū)等.每個區(qū)域的管理權(quán)限分為多個級別，如硬件資源級、操作系統(tǒng)級、應(yīng)用系統(tǒng)級等，不同級別又能夠繼續(xù)細(xì)分.權(quán)限的劃分龐大而復(fù)雜，因此以科學(xué)合理的方式管理和使用這些權(quán)限成為系統(tǒng)安全策略的重點(diǎn).基于角色的訪問控制是安全策略中一種有效的權(quán)限管理方式，研究采用基于角色的訪問控制作為安全策略的基本方法.

基于角色的訪問控制(Role-Base Access Control，簡稱RBAC)主要由用戶、角色和權(quán)限3個實(shí)體組成.角色根據(jù)組織內(nèi)工作性質(zhì)的不同來設(shè)定，用戶根據(jù)所擔(dān)負(fù)的責(zé)任被賦予某種角色.用戶可以通過賦予不同的角色而擁有不同的權(quán)限.如果有新的功能加入，角色相應(yīng)地就被賦予新的權(quán)限.角色的權(quán)限既能被賦予也能被撤銷.權(quán)限和角色是多對多的關(guān)系，角色和用戶也是多對多的關(guān)系，用戶跟權(quán)限之間沒有直接的關(guān)系.

在基于VPN的數(shù)據(jù)中心系統(tǒng)管理安全策略中，用戶指系統(tǒng)管理員，分為組織外和組織內(nèi).組織外的系統(tǒng)管理員為廠商、集成商及技術(shù)服務(wù)商等技術(shù)人員，組織內(nèi)的系統(tǒng)管理員為數(shù)據(jù)中心技術(shù)管理人員，其他部門的系統(tǒng)后臺管理人員等.角色指具有某些共性的系統(tǒng)管理員組成的集合，包括超級管理員、應(yīng)用軟件管理員、網(wǎng)站管理員等.權(quán)限指規(guī)定了的一系列數(shù)據(jù)中心服務(wù)器訪問規(guī)則，具體表示為服務(wù)器ip地址+端口的訪問權(quán)限.

數(shù)據(jù)中心系統(tǒng)管理安全策略的具體設(shè)計:

權(quán)限設(shè)計.權(quán)限根據(jù)服務(wù)器(包括虛擬服務(wù)器)提供的服務(wù)進(jìn)行設(shè)計，每一種權(quán)限的基本元素是服務(wù)器ip地址、開放端口、動作(允許或拒絕).對每一臺服務(wù)器提供的所有服務(wù)進(jìn)行權(quán)限的細(xì)分.

角色分級.第一級為超級管理員，可以管理所有區(qū)域的服務(wù)器;第二級為區(qū)域管理員，按照數(shù)據(jù)中心區(qū)域來劃分，可以管理本區(qū)域的服務(wù)器，如數(shù)據(jù)庫區(qū)管理員;第三級為應(yīng)用系統(tǒng)管理員，按照應(yīng)用關(guān)系來劃分，如教務(wù)系統(tǒng)管理員，他可以管理教務(wù)系統(tǒng)數(shù)據(jù)庫、應(yīng)用服務(wù)器等;第四級為應(yīng)用系統(tǒng)操作員，只需對應(yīng)用系統(tǒng)后臺進(jìn)行管理，如網(wǎng)站后臺管理員等.

用戶定義.一個系統(tǒng)管理員，可能身兼多職，既要負(fù)責(zé)教務(wù)系統(tǒng)的管理，也要負(fù)責(zé)教務(wù)處網(wǎng)站的管理，就要對這個用戶定義多個角色.

系統(tǒng)管理員使用終端首先連接到VPN上建立隧道，通過隧道進(jìn)行數(shù)據(jù)的加密傳輸，然后在VPN上進(jìn)行用戶認(rèn)證，合法用戶認(rèn)證成功后，獲取已經(jīng)定義好的角色，再根據(jù)角色加載已配置好的權(quán)限，就可以進(jìn)行相應(yīng)的系統(tǒng)管理操作.

基于角色的安全策略解決了系統(tǒng)管理的統(tǒng)一設(shè)計、統(tǒng)一管理的問題.

3 重慶工商大學(xué)數(shù)字中心平臺的部署實(shí)施

3.1 實(shí)施環(huán)境

重慶工商大學(xué)數(shù)據(jù)中心現(xiàn)有服務(wù)器、存儲器100余臺，分為統(tǒng)一存儲區(qū)、核心應(yīng)用區(qū)、普通應(yīng)用區(qū)、托管區(qū)、專網(wǎng)區(qū)，提供數(shù)字校園的各種應(yīng)用服務(wù).數(shù)據(jù)中心出口架設(shè)阿姆瑞特防火墻AS-F5500一臺，該防火墻集成VPN功能.

3.2 部署概述

為驗(yàn)證本研究的安全合理性，有效解決重慶工商大學(xué)數(shù)據(jù)中心系統(tǒng)管理的安全性問題，現(xiàn)將VPN及本研究的安全策略部署于防火墻上，并開啟防火墻的訪問控制功能，不允許系統(tǒng)管理員直接訪問服務(wù)器，只能通過VPN來訪問.為解決系統(tǒng)管理員外網(wǎng)連接內(nèi)網(wǎng)VPN問題，對VPN的撥入私有地址做外網(wǎng)公有地址映射，并做內(nèi)外網(wǎng)統(tǒng)一域名解析，方便系統(tǒng)管理員連接VPN.系統(tǒng)管理員在終端進(jìn)行相應(yīng)配置，連接VPN統(tǒng)一域名，認(rèn)證成功后就可得到對應(yīng)權(quán)限訪問相應(yīng)服務(wù)器.重慶工商大學(xué)數(shù)據(jù)中心拓?fù)浣Y(jié)構(gòu)圖如圖3所示.

圖3 重慶工商大學(xué)數(shù)據(jù)中心拓?fù)浣Y(jié)構(gòu)圖

3.3 運(yùn)行結(jié)果

基于VPN技術(shù)的系統(tǒng)管理模式和安全策略在重慶工商大學(xué)數(shù)據(jù)中心成功部署，經(jīng)過幾個月的試運(yùn)行，取得了良好的效果.成果如下:實(shí)現(xiàn)內(nèi)外網(wǎng)無差別管理和遠(yuǎn)程管理.無論是在校園網(wǎng)內(nèi)網(wǎng)或外網(wǎng)，都撥同樣的VPN域名，系統(tǒng)管理員在邏輯上無差別.安全性更高.首先系統(tǒng)管理員不能直接訪問服務(wù)器進(jìn)行管理，其次通過VPN的數(shù)據(jù)都進(jìn)行了封裝和加密，保證了其安全性.統(tǒng)一的管理日志.VPN設(shè)備會記錄所有系統(tǒng)管理員的連接日志，便于管理和事件記錄跟蹤.統(tǒng)一的權(quán)限設(shè)計和細(xì)粒度的權(quán)限管理.建立了全局的基于角色的安全策略，對權(quán)限的管理更加細(xì)致和嚴(yán)格.

4 結(jié)束語

數(shù)據(jù)中心的管理者已經(jīng)逐漸意識到系統(tǒng)管理安全的重要性，基于VPN技術(shù)的系統(tǒng)管理模式能夠提高傳統(tǒng)系統(tǒng)管理的安全性，而在此基礎(chǔ)上設(shè)計出來的基于角色的安全策略，能夠更加嚴(yán)格、細(xì)致地進(jìn)行權(quán)限劃分和規(guī)范，避免權(quán)限劃分過粗導(dǎo)致的權(quán)限安全問題.VPN生成的統(tǒng)一日志管理允許快速查找、跟蹤系統(tǒng)管理員的操作情況，便于故障排查，問題回溯.因此，有效地避免了系統(tǒng)管理員遠(yuǎn)程管理時帶來的安全問題，保障了網(wǎng)絡(luò)安全性.隨著數(shù)據(jù)中心的應(yīng)用不斷增多，相關(guān)權(quán)限也在不斷變化，基于角色的安全策略也需不斷地修改以適應(yīng)新的系統(tǒng)管理需求.

［1］應(yīng)國良，田京波.基于SSL VPN的核心機(jī)房遠(yuǎn)程管理系統(tǒng)的設(shè)計與實(shí)現(xiàn)［J］.網(wǎng)絡(luò)教育與遠(yuǎn)程教育，2007(8):39-42

［2］劉勝國，徐志根，劉雁林，等.基于審計與訪問控制的授權(quán)策略研究［J］.計算機(jī)工程與設(shè)計，2006，27(22):4268-4270

［3］SINGH A K，SAMADDAR SG，MISRA A K.Enhancing VPN Security Through Security Policy Management［C］∥International Conference on Recent Advances in Information Technology.2012

［4］魏廣科.VPN 技術(shù)及其應(yīng)用的研究［J］.計算機(jī)工程與設(shè)計，2005，26(3):714-715;724

［5］秦鴻.利用VPN技術(shù)實(shí)現(xiàn)遠(yuǎn)程訪問的研究與實(shí)踐［J］.圖書情報工作，2007，51(3):117-120

［6］CH F，WU K H，CH W，et al.The Research and Implementation of the VPN Gateway Based on SSL［J］.Computational and Information Sciences(ICCIS)，2013，364:1376-1379

［7］宿潔，袁軍鵬.防火墻技術(shù)及其進(jìn)展［J］.計算機(jī)工程及應(yīng)用，2004(9):147-149;160