零意外的面前 一道关乎北京冬奥的网络纵深防线

说起流量，此次北京冬奥会大家所熟知的“超级顶流”至少有两个：赛场之内，非滑雪静止员谷爱凌莫属，无论是勇夺两金一银的顶尖竞技水平，还是韭菜盒子、商品代言，都成为了人们茶余饭后津津有味的话题；赛场之外，那肯定是白白胖胖的冰墩墩了，其火爆水平使得“一户一墩”的美妙欲望和“一墩难求”的骨感理想构成了显明的对比。

除此之外，还有一样物品大家或许相对生疏一些，但也相对配得上“顶流”一词：它们承载着冬奥会相关消息系统的一切网络流量，并且还要尽或许把其中的恶意流量阻拦上去，阻拦时还不能影响冬奥相关业务的反常展开。

它们中有担任组网互联的，有担任恶意流量阻拦的，还有担任加密流量解密的，总之它们有一个独特的名字：网络边界设备。

48小时，300+SD-WAN设备组网上线

据统计，北京冬奥会设置了7个大项、15个分项、109个小项，吸引了来自91个国度和地域的超越2800名静止员参赛。

一切外籍静止员到来中国后都会遇到一个困境：没有相关的身份消息。因此，一切须要实名认证的事件如酒店入住等就会比拟费事。

但显而易见，一切静止员的身份消息都是在奥组委处注册报名过的，只不过冬奥的网络系统处于隔离网环境。想要处置这个疑问，就得把互联网和冬奥的网络衔接起来。

但是，一旦冬奥的网络接入了互联网，就会间接面对各种来自互联网的安保要挟，比如钓鱼网站、敲诈病毒、挖矿木马等等。

所以，组网打算肯定要和网络安保融合内生。那么，有没有这种打算呢？

2022年1月5日，小寒。刚刚完结元旦假期的奇安信副总裁、边界安保担任人吴亚东立马接到了一个极富应战性的义务：北京冬奥组委选择驳回奇安信安保SD-WAN成功组网。

望文生义，安保SD-WAN就是同时具有了组网和安保防护两个方面的才干。

作为时下最盛行的组网设备，SD-WAN的外围才干就是以软件定义的形式，将不同地域的企业网络、数据中心、云服务系统等衔接起来，并且成功网络流量的可视、可管。而奇安信安保SD-WAN则是在此基础上，内置了端到端安保防护才干，提供恶意流量防护、防病毒、上网行为治理等。

在第一时期与冬奥组委成功沟通后，奇安信边界安保团队失掉到组网业务需求如下：经过SD-WAN衔接冬奥场馆各个业务系统并成功数据交互，买通运维人员远程访问云平台后端业务系统的门路，结合双网络中心区域与机场、车站、酒店与医院启动人员数据调度。

这也就是说，主备数据中心、主备网络中心、各比赛场馆以及相关的机场、酒店、车站、医院等等凡是和冬奥相关联的中央，都要用SD-WAN把网络连起来。

满足冬奥组网和安保方面的需求，奇安信安保SD-WAN人造不在话下。第四代SecOS操作系统和异步并行处置的专利技术，为安保网关提供高性能的数据转发处置才干和高效安保的加密4G传输通路，最大限制保证冬奥相相关统的业务延续性和安保性。

但是，真正的应战并不在历经屡次打磨的产品上。

吴亚东初步预算了一下，面对如此多的网络节点，最少要部署300+台设备。即使立马开局执行，剩下时期最多就半个月。更辣手的是，为满足场馆设备进场进展要求，SD-WAN设备需从1月20日开局部署，23日正式上线运转，满打满算也就96个小时。

显然，这是一个渺小的工程。

持久思索之后，吴亚东就留下了一句话：“趁设备还没进场，抓紧搭建环境测试吧，这样现场部署调试的坑会少一点。”

接上去的十几天，边界安保团队办公区夜夜灯火透明，定制化性能、业务系统结合交互测试东倒西歪启动着。

1月20日，满载奇安信安保SD-WAN设备的货车，渐渐开到了西直门外南路26号院奇安信安保中心的楼下，进场部署的日子到了。

受益于前期启动的业务模拟测试与1:1环境搭建环境验证，交付徒弟们的装置调试环节十分顺利，于1月22日晚在48小时内上线了300+SD-WAN安保组网设备并启动交付运营。

“奇安信安保SD-WAN零性能上线的才干，大幅度节俭了一线交付团队的装置调试时期。”吴亚东自豪地引见到，4G上线的形式，使其能够智能注册安保网关并从管控平台失掉网络性能和安保战略性能，同时基于设备的角色和WAN/LAN接口属性，智能化构建Overlay网络。并且，当网络接口出现变卦时，整个Overlay网络会智能构成新的Overlay网络拓扑，从而降低了组网放开业务的复杂度，成功分钟级部署装置。

为保证网络接入的安保性，奇安信安保SD-WAN还经常使用了双向证书认证的SSL衔接，整特性能以及控制通道均驳回SSL加密通道，可以做到防止不受信任的CPE设备接入用户的SD-WAN网络、防止针对CPE设备和管控平台的两边人攻打以及加密管控平台与CPE设备之间的加密通讯。

流量防护，加解密的抗争

虽然奇安信安保SD-WAN天生就具有了安保才干，但其外围依然是组网，说到网络边界的流量防护主力，防火墙的才干依然无可比拟。

“咱们在数据中心主干网进口处，部署了近80台防火墙。”吴亚东说，奇安信新一代智慧防火墙集成了一体化要挟防护引擎，可对500余万盛行病毒、5000余种破绽应用攻打和1000余种特务软件行为等提供高性能防护。

在这样严密的防护下，不加任何伪装的明文攻打流量简直可乘之机。

但是，明文流量早已成为过去式。统计显示，在冬奥时期一切奇安信新一代智慧防火墙滤过的流量中，加密流量超越了80%。

和明文流量传输所不同的是，密文传输的关键目的是防止流量劫持、两边人攻打等手腕形成的消息暴露。但加密流量雷同让网络攻打暗藏在其中，Gartner的一项钻研数据显示，2019年以来就超越半数的恶意软件攻打经常使用了加密流量。

更令人担心的是，自从2020年世界迸发新冠疫情以来，加密流量的要挟参与了5倍。

有加密人造就有解密。理想上，在加密流量满天飞的当天，流量解密可以说是防火墙的必经课之一。

但是流量解密是一个技术活，并不是谁来都无能的。且不说解密的水平怎样样，单是解密的效率就够让人喝一壶的。

依据NSS试验室的一项测试结果显示，很少有安保设备能够在不重大影响网络性能的状况下审核加密数据。平均而言，深度包检测的性能损失为60%，衔接率平均降低了92%，照应时期则参与了高达672%。但是，一些须要被剖析的流量却基本没有被这些安保设备所处置。

这样的效率和性能损失关于普通企业而言都很难接受，更不要说对网络延续性要求近乎严苛的冬奥会了，毕竟电视机前的观众谁也不想把柔美的冰雪竞技，当成是幻灯片来看。

为了处置这个疑问，奇安信新一代智慧防火墙引入了高性能SSL流量解密卡，其内置的加解密引擎，能够将解密性能优化10倍。

这很大水平上得归功于异步伐度。说起异步伐度，那么它的同胞兄弟同步伐度就不得不提。

所谓同步伐度就是在程序继续执行之前须要期待同步方法执行终了前往结果，而异步伐度就是在被调用之后立刻前往以便同时执行其它操作。

举个繁难的例子。当储户去银行操持业务，叫号终了之后不时在大厅期待业务操持终了再起身分开的就是同步伐度；叫号终了之后出去吃个饭，等到差不到到自己号了再来柜台办业务的就是异步伐度。

显然，关于储户而言，异步伐度要比同步伐度效率高很多。那么同理，面对冬奥会时期高并发的流量，异步伐度能够把解密引擎和CPU的应用率优化到最高，从而降低网络拥挤出现的或许性。

这些经过解密的流量在经过防火墙初步过滤之后，还会以流量镜像的形式，借助明文旁路形式、SSL解密的明文隧道形式同步给旁路检测设备（如IDS/NTA），进一步启动深度包检测和元数据提取。

“这种防火墙解密+旁路检测明文旁路形式是奇安信的独创，大幅优化了流量侧要挟发现的效率和准确率。”吴亚东说。

一致编排，智能引流

与此同时，在网络边界执行防护义务的，还远远不止防火墙一种。

比如防毒墙，关键用于发现流量中混入的恶意软件；再比如Web运行防火墙，关键是针对Web运行层识别恶意攻打命令……

一切这些设备构成了网络边界的纵深进攻体系，黑客要想攻出去，就得打破一道有一道的防线。就像抗美援朝第五次战斗中的种子山阻击战，志愿军189师9000人一把芝麻撒在200个小阵地上，也得让“结合国军”拔五天。

图：电视剧《跨过鸭绿江》

但这么多的安保设备也带来一个疑问——一切设备都是串联接入到冬奥网络系统中的。学过物理的都知道，一旦串联电路中恣意一个元器件出现断路，整个电路也就断了。想要找出缺点点，就得一一元器件启动排查。

而且这么多的网络设备，肯定会消耗少量的带宽资源。试想一条网络进口上，假设设置了这么多的“安检机构”，其效率必需会大打折扣。

显然，这给冬奥网络延续性带来了很大的应战。

“这也是咱们防火墙的拙劣之处。”吴亚东说到，基于奇安信自主研发的鲲鹏网络操作平台，奇安信智慧防火墙具有了弱小的物理安保网元服务链编排才干。

深刻来说，奇安信智慧防火墙具有了“指挥流量”的才干，其好处是显而易见的。

首先，经过防火墙解密的流量在由操作系统引流之后，可以智能散发至串接的各个安保设备，这样一来后续的安保设备就不用再对加密流量启动独自解密，从而降低了网络资源消耗和负载。即使是抛开解密效率不谈，也大幅优化了整个链路的运转效率。

其次，整个链路的流量可以成功“按需调配”。假定某个网络进口的带宽是5G，链路中部署了两台IPS，其中一台的处置才干是2G，另一台是4G，那么在带宽满载的状况下，假设依照流量平均调配准则，其中一台WAF就超负载了，肯定会形成阻塞现象，而在智能流量调度下就不存在这个疑问，2G的IPS就处置2G的流量，剩下的交给4G那台就好了。

即使是某一台设备出现了缺点，奇安信智慧防火墙也会将流量智能牵引至没有出现缺点的设备中。

第三，经由编排的流量能够可视化展现，繁难运维人家启动集中管控和运维。一旦某点出现缺点，可以第一时期找出缺点点并启动修复。

“冬奥关于奇安信来说是一次性综合测试，防火墙、SD-WAN担任答的是网络边界局部。”吴亚东说，“经过数十年的开展，作为老三样的防火墙历久弥新，终于有了如今‘智慧’的面貌。不变的是，无论能否面对冬奥会，它一直是网络边界最值得信任的防卫尖兵，与其余设备一同组成了结实的纵深防线。”