SFC2.0智能安全资源池解决方案产生背景：

园区网络的公网出口、内网各区域出口通常会以“串糖葫芦”的方式串接部署各种安全防护设备，防护网络中的各种攻击。一方面，由于串接部署在很大程度上限制了网络出口的性能、增加了单点故障率，另一方面，随着等保2.0正式实施， 对“网络安全”要求提升到新的高度。面对这些新的挑战，星融SFC2.0 智能安全资源池解决方案应运而生，实现了出口安全资源进行了池化和服务化，具备流量按需调度、安全设备弹性扩展和网络高可靠等优点，可根据用户需求进行自动化的服务链编排，对业务流量进行灵活的调度和全面的安全防护。( 详细了解该方案，请点我)

SFC2.0智能安全资源池解决方案部署图

揭秘SFC2.0高可靠技术

SFC控制器可检查安全节点的状态，发现故障将智能地进行异常下线、主备切换和逻辑bypass等，避免网络中断，保证了安全服务能力的持续可用。另外，通过SDN交换机双机部署、安全设备集群部署、安全设备与交换机full-mesh连接等多种机制保障了整个解决方案的可靠性。

1、业务级高可靠-健康检查

健康检查是高可靠的基础，通过健康检查实时发现异常并采取相应措施，才能及时完成业务自动恢复。

针对被检查安全节点的部署模式，健康检查的分为两类：

1. 安全节点透明模式部署：物理接口的Link状态、LACP协商状态、LLDP协商状态等；
2. 安全节点在线转发模式部署：ARP、ICMP；（透明模式健康检查同样适用在线转发模式）

透明模式部署的健康检查手段同样适用于在线转发模式部署安全设备。

健康检查模块通过周期性向安全设备发送探测报文检测设备状态。如下图所示，以在线转发模式部署的ARP健康检查方式为例，SDN交换机周期性发送ARP探测报文，能够收到安全设备的应答，则表示该设备运作正常；如果指定次数没有收到安全设备的应答，则表示安全设备运作异常，如下图中WAF设备。

2、设备级高可靠

（1）主备高可靠：

组网结构

在主备模型中，两台SDN交换机主备部署，通过跨主机聚合与出口路由、核心交换互联，承接所有流量。主备模式是通过分配安全节点的权重值实现，默认将所有流量发送到主安全节点，备安全节点standby。激活状态的安全节点可以连接在二虚一系统的任意位置。安全节点支持full-mesh连接，如接口数量紧张，可以只连单台SDN交换机。

异常处理

主备切换：通过ICMP或者链路Link状态等健康检查手段判断安全节点是否正常运作，当主安全节点出现异常时，触发主、备切换，原本引导给主安全节点的流量将自动切换给备安全节点，并生成警告通知。

逻辑Bypass：当同一资源组内所有安全节点均出现异常，逻辑上将Bypass该资源组。有些情况Bypass某资源组后无法保持业务连续性，比如BypassNAT或其他被定义为“必须”资源组的情况，只能保持当前转发路径，并生成警告通知。

（2）双活/集群高可靠：

组网结构

双活/集群组网结构是最为常见的一种部署模式，两台SDN交换机和多台安全设备共同承担业务，同时具有超高的可靠性保障。在这种部署模式下两台SDN交换机双活部署，通过跨主机聚合技术MC-LAG承接所有流量，上行方向与出口路由互联，下行方向与核心交换互联。SDN交换机将流量按照服务链定义，依次负载至安全资源组，安全节点可以部署在两台SDN交换机的任意位置。

集群部署时的负载均衡方式可选，一致性HASH负载均衡方式（对称hash保证非NAT模式会话完整），支持权重分配；策略负载均衡方式（通过策略划分两个路径处理的流量），可以解决NAT前后会话完整性问题。路径中存在NAT节点的情况下，如果链路中的同一安全节点集群无法实现会话通过，那么无法通过HASH负载均衡保证同源同宿，需要通过规则将NAT前后的流量引导给同一个安全节点。

异常处理

SDN交换机将流量依次负载至安全资源组，通过icmp或链路状态检查安全节点的健康状态。

当资源组中一台出现异常时，通过一致性hash仅将异常节点的流量引导给其他成员，原负载至正常节点的流量并不受影响，最大限度保证了业务的连续性，减轻安全节点的工作负担。

一致性hash的工作原理：一致性 hash是hash负载均衡的一种，不同的是仅对异常安全节点的流量进行hash负载，正常节点的流量保持不变）。如图6：输入流量序号为1-7；出现异常前流量编号1、3、4负载给FW1，流量编号2、7负载FW2，流量编号5、6负载给FW3；出现异常后，流量编号2、5、6、7的出接口保持不变，仅将流量编号1、3、4负载给正常的安全节点FW2和FW3，最大限度保证会话完整，减小因重建会话导致的业务震荡。

当资源组中的所有节点出现异常时，通过逻辑bypass跳过该安全资源组。对于某些无法跳过的情形，如图7中的NAT节点跳过以后仍然无法恢复网络，可选保持原流量路径不变，业务中断同时会发出告警信息。

结语

SFC2.0智能安全资源池解决方案，通过以上多种机制保障了网络的高可靠，增强了整套安全防护系统的可靠性，解决了客户必须晚上上线新方案、设备上下线维护等的烦恼。目前在高校、医疗、金融等行业已经积累了广泛的成功案例，切实解决了客户的痛点，帮助用户告别了臃肿、难以扩展、难以运维、不堪重负的网络安全架构。