![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/bc2e453fd7cd407db9eeb4896ef82266~tplv-k3u1fbpfcp-zoom-1.image)

隨著SSL/TLS協議更多地應用在web網站、郵件系統、FTP以及物聯網中，企業傳統的“糖葫蘆串”安全架構也遇到了挑戰：

■業務不可視：某些安全裝置可能無法解密和檢測SSL/TLS流量，成為企業的安全盲點。或者安全裝置做SSL解除安裝後，安全裝置的處理效能大幅降低，企業安全需求無法滿足。

■資源易浪費：在傳統安全架構下，眾多安全裝置糖葫蘆串部署模式下存在著多個故障點，整體穩定性低，很難適應網路結構的變化。同時使得安全裝置消耗了不必要的效能，帶來IT資源浪費。

■故障排查煩：傳統的網路資料中心往往採用大量不同的安全廠商裝置，當出現故障時經常需要協調不同的安全廠家同時進行協助排查，導致排查難度上升。

■裝置擴充套件難：在傳統安全架構下，FW、IPS、WAF等安全裝置一般是主備模式部署，很難實現橫向擴充套件。如果出現裝置效能不夠的情況，只能透過更換更高效能的硬體來實現縱向擴充套件。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/b5eb3ae6cc9f4a669e46d5ae5c219dad~tplv-k3u1fbpfcp-zoom-1.image)

↑ 傳統的安全架構

面對以上挑戰，深信服推出全新SSLO解決方案，透過重塑安全架構幫助使用者實現流量的智慧編排和管理。該方案具備SSL流量視覺化、安全裝置池化、服務鏈編排等特點，基於安全裝置接入方式和安全服務鏈的創新，實現了安全裝置效能可擴、裝置間可異構、資源利用率可提升以及流量的智慧編排。

**一、安全SSL流量可視**

入站SSL流量在經過SSLO裝置時，會集中解除安裝整體的流量：先解密，再進行流量智慧編排，接著傳給伺服器（可再加密）。這樣不僅能消除安全盲點，所有的SSL流量也都能清晰看到，同時節省安全裝置SSL加、解密消耗，規避利用SSL繞過安全裝置的安全風險。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/e0e4d3f04cc64be583ea865920d8b59c~tplv-k3u1fbpfcp-zoom-1.image)

**二、安全裝置池化**

深信服SSLO提供專業負載均衡技術，能夠實現安全裝置池化，避免資產閒置，支援平滑擴容以及品牌異構，增加網路架構彈性。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/ba932cf4eb77456b8982d220cdd655ea~tplv-k3u1fbpfcp-zoom-1.image)

**三、支援安全裝置多種方式接入**

深信服SSLO可支援接入執行在不同工作模式下的安全裝置。

1.安全裝置二層接入

二層方式接入類似於網線模式。為有效區分不同的二層安全裝置，需要每個二層安全裝置均獨佔兩個不同的鏈路(或者VLAN)，在SSLO裝置的第二條鏈路設定一個VIP（IP3）來進行，此VIP與鏈路1的IP1同網段，當IP3能夠接收到IP1的流量時，我們就認為二層的安全裝置處於正常工作的狀態，反之則是裝置不正常。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/30bc31a7b4be4d69a23f0ad398f93411~tplv-k3u1fbpfcp-zoom-1.image)

邏輯圖

2.安全裝置三層接入

三層裝置接入本身提供了IP地址。對SSLO裝置來說，流量發往安全裝置的出介面和從安全裝置收到流量的入介面此時並不需要完全獨立，有單臂方式，也有雙臂模式。

單臂模式：L3 安全裝置上只需要配置一條路由，將請求方向和應答方向的資料包均路由到 IP1，此種方式配置上更為簡單。

雙臂模式：L3 安全裝置需要配置多條路由，將請求方向資料包路由到 IP2，同時將應答方向的資料包路由到 IP1。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/47aaf8ff667f4fa58a9a03c63df90a54~tplv-k3u1fbpfcp-zoom-1.image)

3.TAP映象裝置接入

映象裝置本身只接收資料包，預設不需要配置監視器。SSLO 裝置需要給映象裝置分配一條鏈路(link1)，如果映象裝置上配置有 IP，且會響應 SSLO 的 ARP 請求，那麼 SSLO 上可以直接使用映象裝置的 IP 即可。如果鏡 像裝置上不響應 ARP 請求，那麼 SSLO上需要為映象裝置分配一個IP，同時為這個IP綁 定映象裝置的 MAC 地址。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/8ea7d8533a7c4ba491b567fb5d38bbb6~tplv-k3u1fbpfcp-zoom-1.image)

**四、會話分離技術**

深信服SSLO會話分離技術為流量智慧編排提供堅實的技術保障。

在Linux系統中，一般透過連線跟蹤的機制來記錄會話資訊，當五元組資訊相同時會命中相同會話，在流量經SSLO編排後從安全裝置迴流的流量一般不會改變五元組資訊，進而會無法將流量編排到不同的安全裝置中去。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/d8f0a997365243d397ad2e493719cfb6~tplv-k3u1fbpfcp-zoom-1.image)

為了能夠區分不同的會話，深信服進行了創新設計：

（1）保證各個安全裝置使用的是不同的鏈路，進而可以根據流量入介面來區分不同的安全裝置。

（2）將入介面鏈路資訊記錄到會話資訊中，流量從不同的入介面進入則可命中不同的會話，實現會話隔離。

（3）在會話隔離的基礎上，將流量經過的安全裝置按順序串聯起來，一方面用來確定流量流經安全裝置的順序，另一方面用來在安全裝置異常時能夠根據此資訊實現安全裝置bypass，保證流量的連續性。

**五、安全裝置健康檢查**

深信服SSLO能夠提供多種健康檢查方式，以保證將流量轉發到正常工作的安全裝置。比較常見的健康檢查方式是透過icmp協議來進行網路探測，除了icmp方式，也可以透過傳送四層/七層資料進行檢查。

**六、安全服務鏈排程**

深信服SSLO透過對安全服務鏈排程實現流量智慧編排，安全服務鏈排程是非常靈活的，可以滿足各種業務場景需求，包括虛擬服務引用安全服務鏈、前置策略引用安全服務鏈、ipro引用安全服務鏈等。

![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/c2d3b59e3ae44df5a36c38345bc05ac3~tplv-k3u1fbpfcp-zoom-1.image)

**七、雙模安全部署**

針對安全裝置運維和業務特點，制定靈活的部署策略，實現雙模安全部署。基於某個業務，採用灰度引流方式，指定不同的服務鏈。如穩態鏈和敏態鏈，穩態鏈注重的是業務穩定和可靠，而敏態鏈注重的是業務灰度上線、敏態調整。

**八、故障bypass（逃生）機制**

為保障業務正常執行，即使在極端情況下，某個安全資源池裡面的安全裝置全部故障，SSLO裝置依然可以透過流量靈活排程的能力，自動執行Bypass機制，主動繞過故障的安全裝置組，避免因安全裝置的故障問題影響整個業務。

以上就是關於深信服SSLO解決方案的介紹，關注“深信服科技”公眾號獲取更多技術乾貨。

自動、智慧、可視！深信服SSLO方案背後的八大設計

相關文章