摘要：随着互联网的快速发展，使得用户获取应用软件的方式越来越依赖于网络资源，致使大量无法验证其来源的软件存在于当前系统中，这无疑给系统引入了许多潜在的不安全因素，系统安全问题已在设计中备受关注。而用户在设备上访问高级安全服务和敏感应用的交易已经越来越普遍，这样就需要设备能够安全访问、存储、操纵和传送有价值的金融信息和个人敏感信息。因此，如何保证终端设备及其上应用和服务的安全变得尤为重要。
关键词：虚拟化；安全隔离技术；电力信息；应用；分析
引言：在网络建设方面出现诸多问题。这些问题主要表现在：一是网络结构复杂，管理维护困难。安全设备众多，设备配置、策略管理均需要单独规划，维护难度大。二是网络可靠性低。网络节点多、故障点多、设备冗余性差，单点故障影响整个网络正常运作。三是多业务无法并存。每种业务都需占用一张物理网络，造成维护困难及资源利用率低。四是资源浪费。由于系统资源规模与业务需求不一致造成大部分资源无法完全利用。五是新增业务建设成本高且上线周期长。有新业务上线时需要对网络重新调整规划，通过增加新设备进行解决。电力对网络信息化建设的需求，以下提出了VSM（Virtual Switching Matrix，虚拟交换矩阵）融合OVC（OS-level Virtual Context，操作系统级虚拟化）的N：M虚拟化技术。
1.安全隔离技术概述
随着网络的广泛运用，系统中的恶意攻击已经越来越普遍，为此系统针对关键信息保护和系统安全检测防御引入了各种安全机制，包括访问控制、病毒检测及沙箱等。不幸的是，一方面现有各种不可信软件中隐藏的恶意代码已对这些安全机制造成很大的威胁；另一方面，如今庞大的商业操作系统，都因为功能丰富存在大量的漏洞，这些漏洞极易被攻击者利用，而系统中又缺少足够的保护措施来保护内核中设计的安全机制的安全。因此，为了限制不可信软件和不可避免的系统漏洞对系统可能造成的损害，研究者和企业都纷纷引入安全隔离机制，利用其提供的安全隔离运行环境来维护代码的完整性，保护各种安全机制，并检测和防护系统的安全。根据系统中隔离机制所实现的方式将其归纳为以下三类：硬件隔离技术、软件隔离技术及系统级隔离技术。如今，我们发现大量硬件隔离设计成为计算设备的一部分用来服务于安全敏感的操作和储存敏感信息．使用最广泛的是智能卡，它在移动网络中作为用户身份的标识，也作为信用卡的安全组件，并作为物理或网络访问时各种各样的认证需求。虽然安全隔离环境中的软件有访问ＲＯＳ资源的权限，然而这些软件在未经授权的情况下也不能随意改变普通执行环境下ＲＯＳ的运行状态。其次，该隔离环境的部署应该尽量不修改ＲＯＳ系统和应用程序代码，从而保证隔离环境具备较好的可移植性和适用性。
2.核心技术分析
2.1OVC技术定义
OVC是一种将一台设备虚拟成多台逻辑设备进行使用的虚拟化技术。划分出的每台逻辑设备是完全隔离的，设备运行互不影响。每台设备都有自己独立的硬件和软件资源，各自维护自身的路由表项和转发表项，每台设备有独立的管理页面和设备日志页面。
2.2 OVC的架构与实现原理
2.2.1管理平面虚拟化
OVC实现了一虚多虚拟化后，每个虚拟设备都可以看成是一台独立的设备，每个逻辑设备可以通过属于自己的网络接口管理本逻辑设备。每台逻辑设备有自己独立的Syslog/HTTP/SNMP/CLI等进程，每台逻辑设备可以通过单独存放的配置文件进行配置恢复；每台逻辑设备拥有独立的管理页面和日志文件，每个逻辑设备有自己的管理员自行管理，各个逻辑设备之间不可见。
2.2.2控制平面虚拟化
每个逻辑设备所拥有的系统资源通过各自的管理进程进行管理，自身的协议进程（如BGP、ISIS、OSPF等）各自维持运行。每个逻辑设备的协议进程独立运行，进程之间互不干扰。
期刊文章分类查询,尽在期刊图书馆例如，逻辑设备1启用了OSPF/RIP/BGP，逻辑设备2启用了OSPF/ISIS，逻辑设备3启用了OSPF/BGP，他们的进程独立运行，任何一个逻辑设备的进程出现异常都不会影响其他逻辑设备正常运行。控制平面虚拟化的好处是逻辑设备间的故障是相互隔离的。当逻辑设备2内的ISIS进程崩溃无法正常运行，不会影响到其他逻辑设备内ISIS进程正常运行。
2.3 OVC配置管理
2.3.1 OVC创建和删除
创建OVC时，需要进行虚拟管理系统的指定。公共OVC不属于任何虚拟管理系统。普通OVC通过开启管理服务，创建独立的Web服务进程，创建Web服务进程后可通过Web界面管理该OVC。公共OVC不可被删除。普通OVC删除时，其所拥有的资源回归到公共OVC。
2.3.2 OVC管理员配置管理
OVC系统管理员分为以下三个级别。系统最高权限管理员：该管理员可以查看所有配置和运行状态，对系统内的所有功能进行操作。只有本级管理员有权限开启、关闭、创建、删除OVC、为各逻辑设备创建管理员、划分系统资源等操作。普通OVC系统管理员：该管理员是各普通OVC的系统管理员。本级别管理员能够在由系统最高权限管理员指定的权限范围内管理本OVC的功能模块和操作本OVC的系统资源。普通OVC管理员：该级别管理员只能在前两级管理员为其指定的权限配置范围内进行配置管理或查看运行状态和配置。
2.3.3 OVC资源分配管理
CPU、物理或逻辑接口、磁盘、内存、新建会话速率、会话数、吞吐量等都为OVC可供分配的资源。普通OVC只有操作本OVC的权限，软硬件资源也只能使用公共OVC分配给它的资源。每个OVC的日志文件、配置文件、转发资源表、控制协议进程、安全策略都是独立的，每个普通OVC可以实现独立地配置、管理、转发、安全业务处理，相当于一台独立的物理设备。
2.4 VSM虚拟化技术简介
VSM是将多台网络设备虚拟化成一台设备进行使用，实现多台设备协同运行的一种技术。VSM技术简化了组网和管理，提升了性能和效率。同时，VSM支持在线扩容、在线升级和在不改变原有网络拓扑的情况下增加新的成员设备，增加更多的系统资源，具有更强大的处理能力。
2.5 VSM与OVC结合的虚拟化
通过VSM技术将资源池化后无法对企业中的二级单位进行安全隔离。因此需要通过OVC技术实现对各个二级部门的安全隔离。所以VSM与OVC结合的虚拟化技术应运而生。VSM将多台设备虚拟化实现了资源池化，而OVC将VSM虚拟化的资源池进行逻辑划分，虚拟出多台逻辑设备，实现N：M的虚拟化。VSM将两台部署了入侵检测、防火墙、上网行为管理板卡的物理设备虚拟成一台逻辑设备，同时使用OVC技术划分出多台具备虚拟入侵检测、虚拟防火墙、虚拟上网行为管理的可提供完全独立的2-7层业务处理能力的虚拟设备。
总结：VSM＋OVC虚拟化解决方案在电力网的应用，有效节约了网关扩容成本，为客户带来了实实在在的经济收益，同时给电力网络带来了高效的工作体验以及知识储备。
参考文献：
[1]王绪国.基于VT-x虚拟化的容器间资源硬隔离技术研究[D].兰州大学，2017.
[2]郑显义，史岗，孟丹.系统安全隔离技术研究综述[J].计算机学报，2017，40（05）：1057-1079.
[3]郑俊芳.虚拟机环境下层次化的进程隔离管理[D].河北大学，2016.
[4]胡志希.Xen虚拟机内存安全隔离技术研究与设计[D].中国舰船研究院，2016.
[5]刘青青.基于NFV网络资源安全防护技术研究[D].北京邮电大学，2016.
论文作者:乔金松
论文发表刊物:《电力设备》2018年第31期
论文发表时间:2019/5/5
标签：设备论文; 逻辑论文; 进程论文; 技术论文; 管理员论文; 系统论文; 独立论文; 《电力设备》2018年第31期论文;