中國移動黃璐：數據中心技術發展及安全問題探討
由中國通信企業協會增值服務專業委員會主辦，C114中國通信網與中國IDC產業聯盟網承辦的“2010中國數據中心網絡與信息安全論壇”于7月29日在北京京都信苑飯店隆重召開。結合行業所面臨的全新挑戰和機遇，中國通信企業協會特此舉辦2101數據中心網絡與信息安全論壇。希望能夠匯集產業鏈的各方群策群力，進一步提高數據中心信息安全水平，使我國的信息安全提升到一個新的高度。C114中國通信網對本次會議作全程直播。
以下為中國移動研究院網絡研究所項目經理黃璐的演講全文，主題為“數據中心技術發展及安全問題探討”。
黃璐：大家下午好！我是中國移動研究院的黃璐，非常感謝主辦方提供這個平臺能夠跟大家交流，同時我也很高興與大家分享一下中國移動在數據中心的技術引入與安全方面的思路和規劃。
我這部分講解包括三個部分，一是數據中心業務發展背景；二是數據中心技術發展規劃；三是數據中心安全架構。
第一，數據中心業務發展背景
IDC業務的發展背景來看，中國的網民數量在迅速增長，截至2009年6月，最新統計中國網民已經達到4.2億，而且中國網民使用互聯網的行為也在不斷的豐富，從傳統的獲取信息，網絡通信到現在的電子商務等等，所使用的業務越來越豐富。從企業網的需求來看，目前中國的企業數量最龐大的是中小企業，但是中小企業目前信息化程度是比較初步的，具有巨大的發展潛力。
同時對于重要的行業用戶來說，行業用戶對于數據中心的需求也不斷的進入更深的層次。因此，數據中心的發展，面對企業用戶也有巨大的需求。
從市場方面來看，目前海外的數據中心市場發展比較健全，以北美為例，北美一年數據中心的輸入規模是100億美元，而且增長的非常迅速。國內的數據中心規模目前相對還比較弱，而且在收入方面與海外也還有一定差距。但是從我們本身的逐年增長來看，市場潛力也是非常巨大的。
從IDC推向市場的業務來看，目前還是以基礎業務為主。對于運營商來說，在基礎業務方面是具有一定優勢的，包括可以提供網絡帶寬，包括我們可以提供的一些機房資源、硬件資源，數據中心的業務，從基礎業務方面來看，對運營商來說有非常重要的意義。
技術發展與應用，一方面，云計算逐漸在數據中心應用，使得數據中心能提供低成本、多業務的形式。對運營商來說，通過建設云計算數據中心，對內可以建設低成本、高度集中的IT支撐系統，對外可以對用戶提供低成本、形式多樣的業務。其他的，包括企業和政府信息化的應用，包括行業融合的應用，包括移動互聯網的迅猛發展，都使得數據中心成為對運營商來說具有重大意義的業務。
因此，從前面的，包括用戶規模，包括市場潛力，包括技術應用發展等各方面，我們都能看到IDC業務對運營商來說是一個具有重要戰略意義的建設。
第二，數據中心技術規劃
可以分為三個方向：一是建設基于云計算的數據中心，主要帶來成本和技術優勢；二是通過引入新技術，包括CDN，包括P2P，來提高業務能力；最后是通過建設節能綠色的數據中心，降低運營成本，同時也是響應節能減排的理念。
具體看一下中國移動在幾個技術的具體引入思路。云計算對于運營商來說是一個降低成本和業務創新的必然選擇。其中的驅動力，包括動態部署的特性，包括低成本，包括業務創新和標準化架構的本身特征。右邊這個圖是預計的云計算數據中心的系統架構，其中包括虛擬化的資源，虛擬化資源又包括服務器資源，包括存儲資源，還有網絡資源，都以虛擬化的形式來提供資源的整合以及對外服務的形式。通過這種虛擬化的資源，我們可以提供的服務包括彈性計算，包括存儲，包括資源監控等等。另外，數據中心的架構還包括遠程維護、運維管理等等這些部分。
具體在數據中心的建設里面，我們會有兩大關鍵的技術，一個是服務器的虛擬化，主要是通過將物理資源的虛擬化，來實現PCU內存、接口等等各方面資源的整合和合理的應用。另外一個是分布式的文件和對象存儲系統，這個主要是以集成的分布式的方式來提供一個高效的，可以支撐虛擬化業務的系統。
CDN技術方面，主要的引入目的是為了實現數據中心“一點接入，全網服務”的目的，CDN主要將資源分布到網絡距離用戶最近的點，一方面可以改善用戶的體驗，方面可以為我的網絡多內部帶寬提供高效的利用，對于云運營商來說，在數據中心里面引用CDN，可以合理的規劃資源分布。一方面可以相對于單點服務和全鏡像的方式來說，可以由一個更高效的對于熱點內容的分發。
下面這個圖是一個IDC中利用CDN系統來提供Web托管應用的示意圖，主要是將CDN部署到各個數據中心，通過統一的調度平臺，來實現一個統一的CDN服務。
下一步，還會在IDC中引入P2P的技術。P2P的技術主要以中國移動提出的分布式業務網為平臺，來提供包括各種服務的API，也包括一些軟件的應用服務。通過P2P服務，它所帶來的優勢一方面包括合理的引導網間流量，因為現在對中國移動來說，互聯互通的流量成為我們互聯網發展的一個瓶頸。另一方面，也可以結合云計算的資源，虛擬化的服務，有效的整合運營商的資源，甚至是用戶的資源，因為通過P2P，一部分內容是可以通過用戶的存儲資源提供統一的服務。因此，通過P2P的引入，可以豐富IDC的業務類型，同時提升IDC的網絡業務能力。
綠色節能方面，我們的思路，一個是IDC的硬件資源合理布局，包括對通風的規劃，包括對機房設計的規劃。進一步使用節能的設備，引入新的節能技術，比如說高壓控電技術，還有精確制冷技術等等。最后還有一些其他的節能途徑，包括定制硬件，可以去掉一些不需要的功能，可以節省大量的資源。前面就是對數據中心引入一些新技術的具體內容。
最后總結一下中國移動在數據中心引入方面的規劃，在云計算前期主要是以提供基礎設施服務為主，后期會逐漸引入應用平臺和應用軟件的服務。在節能方面，前期主要通過一些實驗試點，來建設節能的數據中心，后期會制定一個標準規范的節能體系，來對數據中心的節能方面進行一個規范。最后還有一些其他的新技術，前期會以CDN的引入為主，后期逐漸最后P2P技術的成熟，逐步在數據中心引入P2P的方式。
第三，數據中心安全架構
首先數據中心安全是一個層次化的，這是一個傳統的數據中心的層次圖，先基于這個來說明一下我們在安全方面的考慮。包括互聯網接入層、匯聚層、業務接入層和運維管理層。針對不同的安全問題，不同的層次會也不同的安全策略。
對于互聯網接入層來說，我們認為主要的威脅是DDoS攻擊，DDoS攻擊主要的問題是將帶寬耗盡。針對這個問題的主要措施也比較成熟的技術，就是流量清洗，會在數據中心出口部署流量清洗。目前我們已經在骨干網的互聯出口，還有省網和骨干網的出口部署了流量清洗系統，下一步隨著數據中心的建設，在數據中心的出口也布局流量清洗系統。
匯聚層方面，一是訪問控制，針對可信不可信的訪問進行有效的隔離了防護，另一方面對入侵系統進行有效的補充，最后對網絡設備，也就是承載層面的設備進行安全加固，包括嚴格的控制訪問權限，包括對網絡設備本身的開放服務進行限制。
對于業務接入層的安全，主要是針對主機資源。一方面進行病毒防護，建立集中的病毒庫、病毒引擎，周期性的來對主機進行殺毒和清洗；另一方面進行周期的安全評估，根據安全評估的結果，需要不斷的更新防護手段。最后對主機本身進行安全加固。
運維管理層的安全，分為兩個層面，一個層面是對遠程接入的形式的安全防護，另一個層面是針對本地運維人員的安全防護。對于遠程接入方式的運維管理方面的防護，方面是通過設置安全控制網關，嚴格對用戶的接入權限、接入能力、接入帶寬進行控制；另一方面，對遠程的VPN的方式，包括SSL VPN，針對不同的需求有不同的形式。
暗物用戶終端管理，包括對終端安全方面的評估，包括根據安全評估結果允許他的接入。另外一方面對用戶的行為以及用戶的終端進行周期性的審計，根據一個長期的統計分析，需要對用戶的使用習慣做一個安全方面的分析，從而高安全防護的能力。
最后是對應前面引入的新技術，在安全方面的考慮。針對云計算，主要包括虛擬化的安全防護，針對存儲的安全防護，還有網絡方面的安全防護。針對CDN，主要是保護服務器避免受到DDoS攻擊，提高服務器的高可靠性。
在P2P方面，目前安全方面，因為P2P由于節點數量、用戶規模比較難以控制，在這方面我們也在逐步的進行探索。主要是要劃分可信、不可信節點，對不同的節點加入到P2P的服務域里面進行嚴格的控制，同時還會對它的行為以及能力進行一些評估。
綠色節能方面，主要是考慮物理方面的安全，包括高可靠的系統，包括一些安全要求。
前面就是在技術發展以及安全方面，跟大家分享一下中國移動的思路。謝謝大家，我的內容就到這里。