云思路 | 云服务的安全（1）网络安全组

和朋友商量了下，回顾过去3～4年的客户关系管理平台项目经历，其实不知不觉的我们已经很依赖于云服务带来的便捷以及高效。朋友更多在国内的阿里云上而我主要在国外的AWS上。后面的文章里我们将会一点点的写下我们在做群脉SCRM开发使用云服务过程中的一些经验和教训，当作对自己一种总结的同时也希望能给大家一些借鉴。

 

让我们从最简单的服务器开始，既然使用云服务基本都会用到云服务器，在阿里云上是ECS，在Amazon上叫EC2.基本上只要账号里有钱，新建服务器的步骤已经简化到和在线买东西一样方便了。

 

我看到不少开发或者IT运维人员上来就直接开始新建服务器了，盯着一堆服务器秒秒钟创建出来是有点变态爽.但这个时候有多少人关注过这么一个问题，我的网络拓扑呢？我的访问策略呢？云服务的确能很快的让你从零开始搭建起你的服务器环境，毕竟平台的初衷是让尽可能多的不具备IT运维能力的人或组织来使用它的服务。

 

在Cloud还不是那么红火的年代，当我们要规划一个项目服务器的时候，通常我们会做以下几件事：

 

·预估系统的吞吐量并适当增加一年左右的增长

·根据预估，以及HA方案制定需要的服务器数量以及配置

·规划网络拓扑结构，分割网段，内网访问策略，公网访问策略

·配置防火墙，防止DDOS，DOS攻击

 

 

那这些在云服务平台上还存在吗，作为使用者还需要去考虑吗？答案是肯定的，只不过云服务提供商帮你做了其中的一部分，从本文开始就让我来帮大家梳理下我遇见过的云服务上的安全考虑，在开始说本文的重点的前，我觉得有必要梳理下几个基本概念：

 

云服务网络
不论是Amazon，阿里云，还是Azuru，对网络都有2个基本概念。

 

 

·经典网络

统一部署在云服务提供商的公共基础网络内，网络的规划和管理由云服务提供商负责，这类网络更适合对网络易用性要求比较高的客户。

 

 

·VPC网络

专有网络，是指用户在云服务提供商的基础网络内建立一个可以自定义的专有隔离网络，用户可以自定义这个专有网络的网络拓扑和IP地址分段

 

对大部分用户，除非有自己专职的IT网络团队，基本上都是使用经典网络。但有个概念要清楚的，经典网络的网络结构是扁平的，你可以想成所有你买的服务器在一个大的内网局域网（当然实际情况要复杂的多）。

 

区域概念

大型云服务提供商都是划分区域机房的（在AWS