安全、提效、易维护一个不能少，某信息中心如何一箭三雕？

众所周知，基于网络安全合规要求以及保障用户数据和系统安全实际需求，越来越多的网站使用加密技术保护数据传输安全，据谷歌统计，目前在互联网上使用HTTPS加密流量已经超过九成。而数字化程度越高的企业，加密流量占比往往越高。

奇安信在对信息中心进行风险分析过程中发现，中心内有超过60%的系统采用HTTPS访问，互联网出口流量有30%~40%是加密流量，并且这一比例还将不断增长。可以看出，通过SSL或TLS加密技术用于保护数据在网络中安全传输成为广泛共识，但是加密后的数据，却增加了威胁检测的难度，加密技术在保护用户数据的同时，也为黑客攻击提供了“隐蔽”通道，导致网络监控实际处于半盲状态。因此，黑客对加密网站的攻击将无法在网络侧进行监测，这是网络安全重要风险。

目前信息中心已经拥有多厂商、多型号的老旧安全产品，如果全部用新的安全产品替换，无疑会带来很大的成本压力。而且安全产品利用率低，当两台硬件设备做了HA之后，只有一台设备正常工作，等于另一台的性能被白白浪费。如何充分提升新旧安全设备的利用率，成为该信息中心的最紧迫课题。

数据中心的建设过程是长期过程，而不是一蹴而就的。信息中心新建业务流量编排区域，未来会新增不同的安全产品，就会需要新设备的割接。然而网络割接可以被视为一项相对复杂且具有挑战性的任务，尤其是当涉及到数据中心的核心网络时。每个割接动作都必须极其谨慎，因为如果操作失败，可能会带来严重后果。因此，该信息中心希望减少新设备上线的割接时间，将对业务的影响降低到最低。

该解决方案通过多台安全设备构建安全资源池，提升设备利用率。安全资源池设备基于旁挂部署，不影响接入网络，并支持厂商异构，支持不同性能规格型号,支持带宽、权重等负载方式，方便实现设备利旧。并且，安全资源池设备互为备份，设备异常自动移除下线，流量负载至其余存活设备。

新设备上下线不影响当前业务，出现异常会自动bypass，日常运维与割接随时处理，真正实现“零打扰”，运维利旧、扩展升级简单便利。据介绍，在故障排查或割接时，传统网络部署方式，往往可能需要断网，继而导致业务中断。该信息中心最新采用的三层旁路引流方式，由于会话保持在编排器上，被编排的网元可以通过配置实现bypass，之后所有业务流量流经编排器时，只是路由多一跳；当出现故障需要旁路掉流量解密编排器时，只需在核心交换机上通过简单操作，就可以将编排器进行旁路，整个过程对业务基本不造成影响，最大程度保证了业务的平稳进行。