云计算作为信息化发展方向，为大数据应用、智能制造、人工智能、智慧城市等提供计算、网络、存储资源，已经广泛深入到我国政务、交通、能源等各个领域，出现了政务云、交通云、能源云等。 云计算安全直接关系到我国关键信息基础设施的安全，因此，必须充分发挥密码在云计算安全中的核 心支撑作用，从整体保障角度，构建以密码为核心的云安全保障体系，指导密码应用和云计算应用场景的深度融合，从技术体系角度，打造密码应用技术支撑框架，促进密码技术产品更好适应云计算应用场景。从而在云计算时代，科学、全面、合规的使用密码，体系化发挥密码整体保障效能，护航数字中国。

从网络空间的多个维度看网络安全

在信息化进入云计算和大数据时代，云计算、大数据、移动互联网的发展应用，促进了 信息系统、自动化控制系统、各种网络的融合发展，过去相对独立分散的网络已经融合为深度关联、相互依赖的整体，形成了万物互联、 人机交互、天地一体的网络空间。在这个空间中，网络之间、系统之间的边界日趋模糊，管理、 运行以及拥有者、用户等主体间的责任难以完全划清。面对新形势、新问题，要按照总体布局、统筹各方的要求，以体系化保障网络空间的思维和理念开展网络安全工作。

党和政府高度重视网络空间安全问题，习近平总书记指出，要加强关键信息基础设施安 全保护，强化国家关键数据资源保护能力。密 码是互联网安全的核心支撑，推动互联网安全互联需要发挥密码的基础支撑作用。互联网安 全发展，客观需要密码技术，来实现可用且可控的互联互通。云计算是网络空间构建的支撑 技术之一，云计算中资源虚拟化、数据集中化、 应用服务化的特点，使得传统密码应用模式不 能完全解决新的安全威胁，为积极应对解决云计算时代的安全问题，国家密码管理局也成立 了云计算和大数据工作组，从云计算相关密码 标准、密码技术、密码应用、密码产业角度， 体系化解决云计算时代的安全问题。为了有效 应对云计算时代的安全挑战，从“构建一个保 障体系、打造一个支撑框架”的角度，体系化 发挥密码在云计算安全中整体保障效能。

云计算安全威胁

随着云计算越来越广泛的应用，其高性能、 低成本为用户带来便利的同时，为实现用户信 息资产安全与隐私保护带来极大的冲击与挑战， 安全成为云计算领域亟待突破的重要问题。由于虚拟化、资源共享、分布式等核心技术特点， 决定了它在安全性上面临很多威胁，既包括以病毒、木马、恶意攻击、网络入侵为主的传统安全威胁，又包括以云平台中计算虚拟化、网络边界模糊化带来的新威胁。

资源隔离安全威胁。云平台中资源虚拟化， 运行了大量虚拟机，多个租户共享云计算资源， 虚拟机之间资源隔离以及虚拟机逃逸是虚拟机 面临的重大威胁，资源隔离是云计算环境安全 的关键。租户使用虚拟机运行应用程序，不同虚拟机之间必须建立资源隔离措施，防止资源非授权使用、数据非授权访问、权限非授权获取。 在未建立资源隔离的环境中，云计算安全面临巨大威胁，一个虚拟机系统崩溃，可能导致其 他虚拟机系统崩溃;一个虚拟机被病毒感染，可能导致其他虚拟机感染，严重威胁云计算安 全。虚拟机逃逸中，攻击者突破虚拟机限制， 获取宿主机管理权限并控制其他虚拟机，或在获取宿主机管理权限后，能够随意更改宿主机安全配置、资源配置、权限管理等，严重威胁 云计算平台安全。

边界防护安全威胁。在云平台中，网络边界模糊化，而在传统网络结构中，网络边界清晰。传统的网络边界通常会部署安全网关、防火墙、 防毒墙、入侵检测、网闸等边界防护设备，构成安全防护体系，有效保护网络安全，但是在 云计算环境中，虚拟化、软件自定义等导致网络边界正在逐渐模糊化，在虚拟网络中，同一台物理设备或者同一数据中心中的虚拟机之间通信，不会与外部网络发生数据交换，在这台物理机内部或者数据中心内部就能完成，数据不会通过传统边界防护设备，导致传统边界防护设备对这部分数据所面临的威胁失去作用。

身份管理安全威胁。云计算环境中，大量应用部署在云平台，用户身份信息需要实现共 享，才能保证应用正确获取资源和权限，但是云计算多租户特点，导致用户身份信息的数量极其庞大，实现身份信息认证和共享的难度大、 风险高，安全面临极大挑战。

数据安全威胁。在云计算环境中，大量用 户数据保存在云端，一旦攻击者集中攻击云端应用，获得数据控制权，将会对云上所有用户产生影响，所有用户信息和数据面临被窃取、 篡改、删除等安全威胁。

终端安全威胁。云计算环境中终端多种多样，既有传统 PC 终端，又有以手机主的移动终端， 终端操作系统主要有 Windows、Linux、MacOS、 Android、IOS 等，各操作系统又有不同的版本。 各终端自身面临系统漏洞、软件漏洞、病毒、木马等众多安全威胁，如此多的终端融入云计 算环境后，攻击者可以通过任意终端对其发起 攻击。

在企业云计算平台（以下简称云平台）的建设过程中，IaaS平台(基础设施即服务，Infrastructure as a Service)是IaaS和Paas建设的前提和基础，其规划设计和具体实施是至关重要的。

那么，当企业进行IaaS平台建设时，如何去有效评估既有的IT基础设施架构？基于实际评估结果，如何设定IaaS平台建设的各个渐进阶段？对这些渐进阶段又如何去进行客观评估？这些问题，企业用户和相关的云计算服务提供商必须面对并作出契合实际的准确回答。

IaaS平台规划：务实和细节

目前，云计算的主流公司都有各自的云平台参考模型，这些模型的底层原理和相关组件大同小异，对云平台的框架性结构进行了规划和定义。研究这些参考模型，对理解云平台的各组件固然是大有裨益的，但是，在企业的云平台建设中，需要解决的关键问题不仅仅是整体结构的规划和定义，更为重要和现实的问题是进行具体而微的细节设计。

作为云平台基础的IaaS平台建设，其路线图规划绝不是大而化之的务虚工作，而是建立在全面掌握实际情况基础上的核心设计工作，可以说“处处需务实、步步要落实”。这些工作包括：对现有IT基础设施的“云化”程度进行评估，在此基础上，对构建IaaS平台所需的具体模块进行技术细节规划，进而设定建设相应模块的先后次序，最终，完成具备完善云计算服务能力的IaaS平台。

Iaas平台成熟度模型和CCRA

在业界具有相当知名度的Iaas平台成熟度模型和CCRA（Cloud Computing Reference Architecture，云计算参考框架），是建立在云计算领域的实际服务经验之上的云平台建设标准。这些经验包括：为企业用户提供云计算平台咨询服务、主导云平台规划设计工作、主持云平台的具体技术实施工作。正因为来源于实践，IaaS平台成熟度模型和CCRA才具有极其重要的现实意义，才能被被广泛地应用于IaaS平台构建的实践活动中。

事实上，业界公认，IaaS平台成熟度模型是衡量企业IaaS建设水平的标尺，而CCRA则定义了用于具体实现IaaS平台的Adoption Pattern（即“采用模式”，可理解为用于具体实现的架构、模式和方法。实际上，CCRA还定义了PaaS平台和SaaS平台等其他5类Adoption Pattern，但本文只讨论IaaS平台相关内容），是对企业IaaS整体架构进行设计时的基础框架，是规划IaaS建设路线图时所依据的纲领，而且，从服务的角度看，也是IaaS平台建成后能为企业提供的一个整体服务目录。

下面两图是IaaS平台成熟度模型的5个等级与CCRA IaaS平台采用模式的6个渐进建设阶段之间的对应关系。为了方便读者阅读，提供了两个版本的图，第一个图适用于在手机等移动终端查看，第二个图适合于在PC端查看。

上图中，右边是CCRA IaaS采用模式的6个渐进式建设阶段，是IaaS的规划设计，是基础架构；左边是IaaS平台成熟度模型所有5个级别的成熟度，是对规划设计的成熟度评估，是技术标尺。

在纵向层次，从下往上的方向上，云计算能力在不断增长，右边的6个渐进式建设阶段是企业建设IaaS平台的必由历程，从低级阶段向高级阶段进化，而左边的IaaS成熟度模型则用于衡量企业IaaS建设的成熟度，也是从底层次逐渐往高层次演进；

在两者相互对应的层次关系上：

（1）在大体层次上，CCRA IaaS采用模式0～4级的建设阶段对应于IaaS成熟度模型1～4级的成熟度。也就是说，对CCRA IaaS采用模式0～4级的建设阶段，如果以IaaS成熟度模型去衡量，成熟度在1～4级别之间（具体的IaaS平台的单个建设阶段所对应的成熟度，如图中所示）。在纵向上，这两者都属于企业内部的云化数据中心的建设范畴。

（2）CCRA IaaS采用模式第5级的建设阶段对应于IaaS成熟度模型第5级成熟度。也就是说，对CCRA IaaS采用模式第5级的建设阶段，如果以IaaS成熟度模型去衡量，成熟度为第5级。在纵向上，这两者都已经超越了企业内部云化数据中心的范畴，站在了云服务提供商的高度。

实践证明，基于这两个重要的标尺和框架，逐步地、分阶段地推进IaaS平台的建设是扎实的、可行的，其渐进式建设过程是目标明确的，也是和缓的，这使得企业的IT基础设施在极低的风险下得以平稳提升至IaaS平台水平。

砌墙与Iaas平台建设的类比

其实，这两项标准和框架的配合，正如手工砌墙的过程。在砌墙之前，设计人员要先到实地勘测，根据以往的墙体设计经验（相当于CCRA的Adoption Pattern），结合实际勘测所得情况，进行墙体的各项规格参数设计，完成设计图纸后，工人再按图纸去砌墙。在砌墙的过程中，要用拉水平线和放置铅直线等方式保证质量，还要用建筑业的各项既定标准去衡量墙的质量（相当于用Iaas平台成熟度模型去衡量企业的IaaS建设水平），一旦出现问题就及时修正和整改，就这样，“一边砌墙，一边衡量”，直到墙体完工并通过验收。

如上所述，IaaS平台的建设对应于砌墙，IaaS平台成熟度模型相当于水平线、铅直线和各项建筑业标准，CCRA的IaaS Adoption Pattern类似于由以往所积累的墙体设计经验而形成的通用设计模式和方法，而具体的企业IaaS规划设计则类比于墙的各项具体规格参数和设计图纸。

具体来说，就是在构建云平台的时候，结合企业的实际情况，将Iaas平台成熟度模型用于衡量IaaS现状和具体建设成效，将CCRA的IaaS Adoption Pattern用于具体的IaaS平台框架设计和阶段性建设目标的设定。也就是说，在企业进行云平台建设时，先采用Iaas平台成熟度模型去衡量企业的IT基础设施现状，基于具体的衡量和评估结果，依据CCRA的IaaS Adoption Pattern所对应的IaaS平台基础框架，规划企业的IaaS平台建设路线图。此后，当IaaS建设推进到一定阶段时，再用Iaas平台成熟度模型去衡量建设的具体成效，根据客观的衡量和评估结果，进行总结和归纳，并依据CCRA对下一阶段的建设内容和目标进行修正。随后，继续推行IaaS建设，同样遵循上述过程，如此循环往复，直到IaaS平台实现了预先规划的建设目标，当然，用于作出这一判断的技术标尺也正是Iaas平台成熟度模型。

至此，本文对Iaas平台成熟度模型和CCRA的基础知识进行了简要的介绍。企业IaaS平台的规划设计人员必须在思想上充分地认识到，正确理解并熟练运用IaaS平台建设的技术标尺和基础框架，就可以成功地分析企业的IT基础设施建设现状，进而有效地为企业构建出务实的IaaS平台。

《企业云计算IaaS平台的技术标尺和基础框架》系列文章的下一篇，将重点对Iaas平台成熟度模型和CCRA的各层次内容分别进行较为详尽的分析和梳理。

更多深度文章，请关注云计算频道：https://yq.aliyun/cloud

摘要：从传统IT部署到云，人肉运维已经是过去式，云上运维该怎么开展？人工智能对于运维“威胁论”也随之袭来，如何去做更智能的活，当下很多运维人在不断思考和探寻答案。在2017云栖社区运维/DevOps在线技术峰会上，阿里云专家云登就为大家分享了云计算网络基础架构的实践和演进，精彩不容错过。

以下内容根据演讲视频以及PPT整理而成。

众所周知，云计算是以计算、存储和网络作为基础的。网络作为云计算的重要基石之一，其架构设计和演进是云计算发展的重要一环，而网络架构涉及可靠性、性能、可扩展性等多方面内容。架构是从理论设计开始的，理论设计和实践碰撞到一起，能否经得住考验，是否能够符合预期呢？厂商所提供的网络设备的高级特性真的是解决问题的银弹么？如何通过经典网络和VPC构建混合云，打通云上和云下呢？阿里云在以往的实践以及与用户的交互碰撞中遇到的问题又是如何解决的呢？本次分享中将与大家一起进行探讨。

本次分享的目录

一、常见的云计算网络架构

二、云计算网络的可靠性和故障定界

三、专有云网络的模块化

四、混合云构建的并网案例

五、云网络架构的演进趋势

下图所展示是一种常见的云计算网络集群架构。传统情况下云计算网络架构会分为三层：接入层、汇聚层和核心层。如下图所示，在接入层下面的两台交换机会进行堆叠，再下面会连接服务器，服务器一般会选择使用两个网卡进行bond之后以双上连的方式连接到2台接入交换机。在接入交换机和汇聚交换机之间也会有多条线路的连接，一般而言会存在二层或者三层的接入。对于带宽收敛比的设计而言，对于千兆集群可以采用1:1无收敛的方式，而对于万兆集群则可以使用收敛比为1:3或者1:2的方案，也可能使用无收敛的设计。从汇聚层再向上连接到核心层，一般情况会使用三层连接。

下图是另外一种比较常见的云计算网络集群架构，在Spine节点和Leaf节点之间可能会存在三层连接，而Spine节点和Core节点之间也可能会存在三层连接，这种网络架构相比于前面提到的架构而言，其扩展粒度要更细，可以细化到一组或者多组进行接入。

想必大家对于Overlay以及Underlay网络都有所了解，物理网络被称为Underlay网络，物理网络搭建完成之后应该尽量保证网络拓扑是固定的；而对于Overlay的网络而言，可以基于VXLAN技术构建VPC网络，通过软件定义和控制器的方式可以动态地构建虚拟的网络。所构建的网络可以是一个或多个虚拟的网络，可以通过云上不同的租户去定义地址规划以及路由的规划，甚至还可以提供类似于高速通道这样跨VPC之间的互通。Underlay网络的设计基本上就是前面所提到的接入-汇聚-核心架构以及Spine-Leaf架构，而对于Overlay的网络则描述的是虚拟的层面，提供的实际上是虚拟的路由器和虚拟的交换机，包括其构建出来的可以接入像SLB、RDS、ECS、OCS等云产品的VPC容器。为什么叫做Overlay呢？其实因为Overlay网络是通过VXLAN隧道的封装运行在Underlay物理网络之上的。通过Overlay逻辑网关去组织业务进行资源编排就可以构建出非常丰富的基于Overlay网络的产品。

前面主要介绍了云计算网络的一些基础概念，接下来将会针对云计算网络的可靠性以及故障定位的方式进行分享。

对于云计算平台的物理网络而言，其可靠性可以分为以下的几类：

多线路，常见二层的LACP，也就是链路聚合，对于三层则使用等价路由。设备HA，从体系结构来讲，分布式的多框、多插槽的设备能够提供多主控、多接口板这样的方式，还可以提供类似于堆叠技术和多机之间的双机热备以及多机的备份或者多机堆叠的方式，还可以提供VRRP的链路切换。探测和切换机制，实际上在网络配置交付之后，如果远端出现了问题，为了解决链路上的负载均衡以及主备切换的问题，可以引入比如NQA+Track这样的探测技术，这样可以针对静态路由的配置通过不同的优先级和NQA探测方式发现远端节点不可达的时候进行路由切换。除此之外，在探索到某台设备出现故障的时候就可以进行故障隔离，可以实现端口级或者设备级的故障隔离，保证流量可以走备份或者冗余链路进而避免流量中断，当然，这种情况下可能对于流量带宽造成一定的损失。巡检和监测，针对于Overlay和Underlay的网络会提供主动探测的机制，还有对于设备的日常日志告警的分析。设备在运行中往往会报很多的日志和告警，将这些信息收集起来之后结合云平台的业务流量可以挖掘出很多故障的可能性、已经出现的故障还有对于未来可能出现故障的预判。还可以进行流量分析，并且基于此判断云平台的网络是否出现了一些问题。

如下图所示的是常见的网络集群故障点分布图，云计算平台的网络故障点主要集中在下图中标号的几个位置：

标号1：线路故障，比如服务器上连到TOR交换机，也就是服务器上的接入网卡接入到交换机上时出现了网卡、线路或者是接入端口损坏导致线路上出现故障。同样的，从接入层到汇聚层，从汇聚层到核心层也会出现这样的线路故障。标号2：核心设备的故障，核心设备的故障可能导致跨网络端口之间的流量损失，由此造成的影响范围往往比较大。对图中所示的网络架构而言，如果流量需要跨端口进行传输，就一定需要从接入层到汇聚层再到核心层再转入另外一个POD的汇聚层。标号3：汇聚交换机的故障，一般情况下汇聚交换机采用堆叠的方式，可能会出现堆叠的分裂以及单台设备的故障，也可能出现整个端口流量上行的带宽减半或者是分裂以后导致等一些不可预期的后果，因此需要及时检测出一些故障并且及时进行隔离以及对于设备进行下线维修从而排除此类故障。标号4：接入交换机的故障，接入交换机也会发生类似于汇聚交换机的故障，堆叠分裂或者单机故障则会导致下面连接的服务器出现问题。标号5：服务器故障。标号6和7：像上述提到的堆叠出现问题造成的故障，这样的故障需要通过日常的巡检以及网络设备自身报告故障的日志告警来发现问题并及时去进行相应的处理。

以下是对于常见的网络集群故障点的详细描述：

线路故障。体现为带宽的损失，一般通过多条线路保障，三层网络设备间通常用ECMP等价路由，二层网络设备间通常采用聚合LACP，提高可靠性。在实际情况下，在公有云环境中会发现：一旦网络集群规模大了之后，堆叠出现问题的概率就会变大，与此同时，二层的广播风暴和环路出现的概率也会变大，阿里云目前在逐步地考虑去掉堆叠并且去掉二层，这也可能是未来的发展方向。这样的目的是为了简化网络并提高网络集群的可靠性。DSW故障。DSW是对于核心设备的称呼，由于所有的DSW之间不直接互联，它本身的可靠性只能依靠硬件框式分布式，多主控板（主备HA）、多接口板（上面说的多线路跨板连接）来保证单点可靠性，使用多台DSW，平时负载均衡，单台故障时互为备份链路。如果是单台DSW故障，将会影响带宽损失。PSW故障。也就是汇聚设备的故障，拓扑中有PSW堆叠和去堆叠两种情况，如果是堆叠的，单台故障，上下连线依靠跨堆叠设备的LACP或者ECMP实现业务不中断（但带宽有损失），如果不是堆叠的，参考（2）的场景。如果是单台PSW故障，影响的是下连的多组ASW带宽损失一半。ASW故障。线上很多的ASW都是堆叠的，目前阿里云也开始去堆叠，如果是堆叠的，ASW下连服务器，服务器双网卡bond接入（LACP），如果是去堆叠的ASW，服务器双网卡等价路由负载均衡。如果单台ASW故障，影响的是下连的48台服务器的带宽损失一半。未来，阿里云新构建的集群会逐渐减少对于堆叠的使用，进而提高网络设备的可靠性。其实对于网络厂商而言，他们也会对于堆叠特性进行大量的测试，但是实际上由于堆叠特性十分复杂，因为其涉及到硬件、软件、内部检测以及协议的传输备份，也就是会涉及到很多跨框、跨设备的同步以及选举机制。由于堆叠特性实现本身就非常复杂，就会导致出现问题的可能性比像路由转发这样其他简单特性更高。而在云计算场景下海量的网络设备同时运行，就进一步提升了堆叠特性出现问题的可能性，基本上就会导致出现存在堆叠的场景下可能经常会出现问题。为了解决这样的问题就需要逐步地去除堆叠和二层。服务器故障。可能体现在服务器网卡或者本身内部的应用系统的问题，服务器故障一般只会影响自己，范围比较小。PSW堆叠分裂。各自认为自己是主设备，为了减小影响，一般会配置DAD双主检测，禁掉一边，影响为整个pod的上联带宽和跨asw之间转发带宽损失一半。如果PSW堆叠整体故障，整个pod挂掉（各组ASW下的48台服务器之间仍可互通），上连不通，跨asw的互连不通。ASW堆叠分裂。类似于（6），影响为一组ASW下挂的48台服务器的互联或者上联带宽损失一半。如果ASW堆叠整体故障，该组ASW下连的48台服务器全部不通。对于（6）（7）的堆叠故障，由于厂商堆叠技术本身复杂，导致故障概率提升，再加上公共云使用的网络设备规模大，基数上去了就进一步放大出故障的概率，且影响范围大。因此网络本身的可靠性和故障位置，对于云产品来说影响的范围也是不同的，ecs之类的云产品能够打散到不同的ASW、POD甚至AZ（跨网络集群），其可靠性指标也是不同的。基本上是打散的网络设备之间的层级越高，可靠性保证越高，但同样的网络延迟也越高。

那么怎样才能够及早地发现这些故障呢？其实可以使用故障主动探测的模型。在网络集群里面，可能会选择特定的接入设备比如像服务器，将其作为主动探测的机器，其探测的目标就是网络设备下面的其他服务器。

建立的第一个简单故障主动探测的模型如下：

一个TOR下面所有物理服务器（例如48台）都同时出现大量丢包-->TOR交换机故障。个别物理服务器出现丢包-->服务器负载问题/TOR交换机端口队列打满。到某个机房的大量物理服务器同时出现大量丢包-->汇聚交换机/核心交换机故障。到某个机房的大量物理服务器出现少量概率丢包->汇聚交换机/核心交换机的个别端口问题。每个机房最少只需要1台机器作为探测源，部署对业务网络影响小，ICMPping之类的只能做Layer3的探测。

依照上述的故障主动探测模型就可以简单地判断网络出现故障的范围。

建立的第二个简单故障主动探测的模型如下：

通过选择不同位置的服务器作为探测源或者探测目标，发现不同层次的故障位置，多轮次组合。要求每台服务器运行agent，并接受外部控制器指令，动态调整探测策略，可建立TCP连接并测试。可以针对overlay和underlay网络进行探测，更容易模拟实际应用的业务流量特征，支持Layer4探测、时延计算。

第二个故障主动探测模型在服务器内部会增加一些代理Agent，安装代理之后可以做到对于4到7层的探测，可以探测出TCP连接的情况以及其延迟和性能速率。同样的，探测模型也可以组合出不同的探测方式，在了解网络架构的拓扑之后就可以探测位于同一组接入交换机下面的两台或者多台服务器，也可以探测位于不同的核心交换机或者汇聚交换机下面的多台服务器。通过这种建模方式就可以知道当前延迟高或者丢包的场景下，网络的问题到底出现在什么位置。

上述提到的是网络体现在本身体系结构上的可靠性，比如分布式设备、支持主备HA、支持双机热备或者多机堆叠以及其他一些高级特性，这些都是从网络设备本身的角度而言的。除此之外，通过线路带宽的设计保证收敛比以及负载均衡，以此来保证云计算网络的可靠性。而通过日常的巡检和探测能够及时地发现故障，并在故障发生之后及时了解故障发生的具体原因并提供故障定位的方式，进而提高云平台网络的可靠性。

上述这些都是在公有云网络上的实践，对于专有云而言，又会存在什么样的差别呢？其实对于专有云而言，更多地会对其进行模块化的设计。公有云一般而言是可规划的，可以对于未来集群的规模、建设的地域以及网络架构的选择等进行规划。而对于专有云而言，客户的需求往往不能够规划出来，不同的客户所需要的业务的场景和诉求往往是不同的，这些在网络设备的选型、已有设备的利旧使用以及对于云平台功能的裁剪上都会有所体现，所以专有云与公有云上的的网络设计就存在较大的差别。

下图是专有云网络架构图，一个很明显的特点就是专有云网络会分成几个区域，最上面的是外部接入区，外部接入区包含了阿里云和ISP或者用户骨干网出口的链接以及在其上进行安全防护的云盾。专有云网络架构图中间的DSW和下部的PSW则属于DC区，也就是网络架构的核心区域。图中右面的综合接入区分为了两个部分，一部分是阿里云所提供的负载均衡、VPC网关以及OPS相关的接入，另外一部分则是CSW，实际上就是客户的VPC专线接入区，阿里云的专有云客户会有一些原来的物理网络需要与云上的VPC进行网络打通，一般会通过VPC的专线接入交换机的综合交换机接入进来。也就是说专有云网络的每一个模块都有一个相对独立的设计，所有的模�...

一、技术是云计算发展的基础

首先是云计算自身核心技术的发展，如硬件技术、虚拟化技术（计算虚拟化、网络虚拟化、存储虚拟化、桌面虚拟化、应用虚拟化）、海量存储技术、分布式并行计算、多租户架构、自动管理与部署；其次是云计算赖以存在的移动互联网技术的发展，如高速、大容量的网络，无处不在的接入，灵活多样的终端，集约化的数据中心，Web技术。

二、云计算可以理解为8个字“按需即用、按需应变”

云计算的定义：云计算是基于网络的、可配置的共享计算资源池能够方便放的随机访问的一种模式。这些可配置的共享资源计算池包括网络、服务器、存储、应用和服务。并且这些资源池以最小化的管理或者通过与服务提供商的交互可以快速地提供和释放。

三、云计算不是新技术，而是一种全新的交付模式

云计算是一种颠覆性的交付模式，一体化的共享服务平台。从技术的角度来说，是将企业所有的服务器、存储等基础设施以及网络整合到统一的云平台上。在“云的世界”里，将技术和业务结合起来交付给用户使用。企业的运营管理、决策分析都将基于云平台展开，人们将会过起一种“云上的日子”。它是一个系统、总体的概念、业务与技术融合的一体化概念，这一点对认识云很重要。

四、云由云计算平台和云服务应用两个层面组成

企业可以将基础设施包括传统的服务器、操作系统、存储运维等都统一部署在一个平台上，这是一个技术的层面，企业可以不必过多地关注这个平台本身，而只关注应用。其二，政府、企业和个人可以根据不同的需求部署成不同的应用，形成个性化的交付模式，形成一种云服务。一个是云技术层面、一个是云服务层面。

五、从用户体验的角度来讲，云计算可以分为3种服务模式

1、以基础设施作为服务（IaaS）

2、以开发平台作为服务（PaaS）

3、以软件应用作为服务（SaaS）。

六、4种部署配置模式

主要包括公有云、私有云、混合云、社区云。

云计算具备的5个基本特征：

虚拟化的资源池，基于网络的访问，按需自助式服务，快速、弹性，使用成本可计量等。

文/在前线 老凉

开发者，云时代蓝图的工程师；只有构建开发者平台，才可能为用户的数字化转型带来变革。

近日，腾讯云+未来峰会在广州召开，在开发者专场上腾讯云正式发布了开发者“鸿鹄计划”。据悉，该计划主要包括百校计划、千万菁英、万众创业三大板块，旨在通过腾讯云技术、能力的输出，全方位培养开发者，全链路助力开发者的成长和创业扶持。

在前线认为，在数字化时代，产业中的每个企业之间都不再是简单的合作或服务关系，而是相互影响、相互融合、相互赋能。开发者，是云计算和数字时代最重要的群体，还是这个时代的工程师，他们不但可以通过技术让梦想成真，更可以推动产业变革。

云计算作为推动数字时代发展的重要直撑，已经进入深层次竞争，通过构建平台能力输出，是数字化转型的重中之重。腾讯云此次通过一系列举措构建开发者平台，不但为其云计算战略的推进提供了坚强后盾，也进一步夯实了其“数字化转型助手”战略。

云计算竞争：腾讯云欲抢下一波先机

云计算的未来，可谓是方兴未艾。研究公司Gartner去年发布的报告称，到2020年时，全球云计算市场的规模将达到4110亿美元。

云计算、大数据、物联网、人工智能等技术的快速发展，推动着各行各业迎来了数字化转型的大潮，全球也由此进入了数字经济时代。

对于云计算和数字化转型，腾讯董事会主席兼首席执行官马化腾有着深刻的洞察，他表示，“数字经济发展的重要指标是云化程度。工业时代，衡量一个地方经济发展指标就是用电量、耗电量，工业用多少电、民用多少电。未来数字经济时代，大家通过计算云的数量，来衡量发展程度。”

在本次2018腾讯“云+未来”峰会上，腾讯研究院与腾讯云携手，以云计算IaaS、PaaS、SaaS三大基础结构为标准，结合多种云服务项目，发布了《用云量与数字经济发展报告（2018）》。简单来说，就是以“用云量”为定义，以城市为单位，精确地反应当地市场主体在云端的活动状况。

该报告显示，国内云计算市场处于爆发增长期。2017年下半年全国“用云量”总量较上半年环比增长66.5%，年化增长率133.1%。2018一季度增速再上台阶，较去年同期同比增长138.6%。

在用云量日趋攀升的背后，我们不能忽视开发者的力量。

在此次大会上，腾讯云重磅推出了面向开发者的“鸿鹄计划”，以更广阔的技术、服务覆盖面来推动云产业的不断发展。

在前线认为，腾讯云此举唤起了业界对开发者的重视，开发者本就是IT、科技产业发展的中坚，但是在云计算时代，开发者的光环被很多营销模式所掩盖。如今，随着云计算的深入，企业、行业用户正在迎来入云、上云高峰，在这场复杂的大战中，没有开发者的参与和助力肯定不行。

腾讯云在这个时间节点发布开发者“鸿鹄计划”，通过与教育、职场、企业等多个领域对接，坚定自我，有望在这场大混战中把握先机。

产业拐点：构建开发者平台

云计算等先进技术带来的数字化热潮摧枯拉朽，各行各业都卷入其中，但是对于那些想要助力企业、行业客户数字化转型的业者而言，数字化转型是一个系统工程，没有谁能够“独善其身”。

开发者，是数字化转型战场上的主力军。

对于开发者，其实我们都不陌生，这个群体可谓是推动数字化时代不断向前演进的“工程师”。无论是在PC时代，还是在移动互联网时代，开发者对于企业的重要性都是毋庸置疑，任何一个存在于想象中的应用，都需要开发者通过一行行代码来实现。

数字化转型惊天动地，却离不开开发者的助力。有了数字化转型助手这样的目标，腾讯云推出开发者计划，让人大吃一惊。

具体来看，腾讯云提出的开发者鸿鹄计划，并不是一个简单的口号，而是一个涉及一系列实实在在举措的集合。

腾讯云开发者“鸿鹄计划”主要包括百校计划、千万菁英、万众创业三大板块，旨在通过腾讯云技术、能力的输出，全方位培养开发者，全链路助力开发者的成长和创业扶持。

百校计划是通过与教育行业的合作，共建符合高校特点的互联网+时代企业需求的教学新模式，为数字化经济培养人才；

千万菁英针对开发者，通过一个集合腾讯云线上和线下能力的全新平台，为开发者提供持续不断的学习机会并提高其职场竞争力；

万众创业针对创业者，通过各种资源、技术的支持，腾讯云将给予处于孵化阶段、起飞阶段、腾飞阶段中不同阶段创业者全面的帮助。

以“百校计划”来说，腾讯目前已经与清华大学、北京航空航天大学、天津大学、中国人民大学、深圳大学等国内20多所高校签订和实施新工科项目，通过创新工程教育方式与手段，孵化新经济形势下校企合作人才培养的新模式；“千万菁英”计划中，腾讯云已有的云+课程和开发者实验室已经为30万+的开发者提供了持续学习的机会；“万众创业”计划中，近两年来，腾讯云已经提供超过1亿的免费扶持资源，通过100多个VC、孵化器、大赛组织合作伙伴，扶持1万多家初创企业上云、长大。

在前线认为，在云时代，技术、产品创新至关重要，但是如果没有平台组织支撑的产业，只会是空中楼阁。腾讯云开发者“鸿鹄计划”，是腾讯在观察云市场的沉浮中，结合自身而制定的具有时代意义的战略性发展目标。

同时，“鸿鹄计划”也是腾讯在人工智能、IoT等其他几大技术领域的催化剂。人工智能的发展为业务带来更多的应用场景，让各种生于云、长于云、爆发于云的应用出现。而通过助力全链路开发者的成长，腾讯也将进一步推动人工智能技术的成熟与落地，实现业务上的成长与革新。

开发者：数字化转型的核心

马化腾在大会上指出，对于助力企业、行业客户的数字化转型，腾讯有着自己的定位。业界流行用“赋能”这个说法，但是腾讯认为这个词太霸道了，而且也不够准确，毕竟科技企业并不身处客户经营的行业，赋能不准确，助手意味着帮一把，这个词的诠释更加贴切。

在开发者专场，腾讯云副总裁王龙发表了以《探索未来腾讯云与你同在》的演讲，全面阐述了云计算、人工智能、开发者的重要关系，以及腾讯云构建的开发者体系，并且呼吁开发者共建超级大脑，推动行业快速发展。

王龙表示，无论是在PC时代，还是在移动互联网时代，开发者对于企业的重要性毋庸置疑，任何一个天才的idea，最后都需要开发者通过一行行代码实现。但是，随着数据的增长、企业规模的扩大，企业的开发者也面临着资源成本高、运维效率低以及技术迭代周期长的问题。

云计算由于具备自服务、按需付费、多租户、弹性、免运维等5大特点，可以助力企业的开发者低门槛起步，实现快速创新。云计算已经成为开发者手中的利器。

如今，在人工智能大潮来袭，为各行各业的数字化转型带来了全新变化。在这种背景下，云计算不但为开发者提供了成功的捷径，还给开发者提供了更广阔的舞台。

据悉，通过将云、边、端联动，腾讯云可以为开发者提供全面的支持。在云方面，腾讯云将开放100+智能服务，开发者可随需取用；在边方面，腾讯云会通过数据优化与智能增强，为云边端提供一体化服务；在端方面，腾讯云的软硬件开放平台可以覆盖9大场景，为开发者的应用落地提供保障。

在前线认为，相比业界的很多业者，腾讯云这样的口号和定位，显得十分低调，让人感觉这种做法和口吻与它的江湖地位一点都不匹配。不过，这恰恰显示了腾讯云的“专业”和“高明”所在。

与此同时，腾讯云推出一系列对于开发者的成长和发展有益的计划和战略，说明其坚守着云计算和数字化转型的根本所在，团结更多的开发者，才能在云计算圈子里走得长久，也才更配得上数字化转型助手的称谓和身份，也才可能推动加速“智能+”时代的到来。

如今的IT人员不仅仅是提供专业服务或标准体系结构，他们还需要进行创新。这意味着过去适用于IT人员工作的相同规则可能不会对其职业生涯提供更多的帮助。作为云计算架构师，IT人员可以经由做培训和实施来提升技能，为自己的职业生涯增加价值，并帮助所在的公司取得进步。

1. 从技术镜头谈论商业语言

现在想像一下Snapchat或Messenger过滤器这样的技术可以做什么，他们为原始图层添加一层。从某种意义上说，云计算架构师必须考虑业务挑战，并知道如何使用适用于该情况的技术过滤器。在那里，人们必须能够讨论这些，以及他们如何改变业务流程。这意味着云计算架构师能够围绕业务需求不断应用技术架构。

2. 沉浸在安全的世界

云计算架构师的商业智慧必须与对安全需求的深入理解结合起来。IDC的信息图表为弥补IT安全技能差距，描述了日益增长的风险，以及对熟练和合格的网络安全专家的需求，具体如下：

75%的企业遇到某种类型的安全事件。

33%受到网络犯罪影响。

63%的组织不准备作出回应。

3. 尽可能多地进行交叉训练

作为一个云计算架构师，需要了解并行的相关技术。如果正在创建公共云架构，请了解像OpenStack这样的平台如何帮助管理。人们永远不知道未来会怎样，组织有一天可能需要混合方法。如果可以实现规模管理，则可以帮助企业利用强大的云计算技术。云计算架构师经常关注特定的技术。例如，DevOps、虚拟化，或者只是打包和配置体系结构。

如果云计算架构师具有特定的云端重点，请确保扩大云端架构。了解云服务管理(ITSM/ITOM)、自动化、集成以改进用户管理，甚至了解如何优化WAN连接。作为云计算架构师，可以有特定的关注点。但是，了解云服务的DNA使云计算架构师能够交叉训练，并为企业和其他IT团队提供有价值的反馈。

4. 使用社交媒体这种强大的沟通工具

云计算架构师使用社交媒体(像Twitter这样的社交媒体工具)可以帮助其了解更多的信息，并与志同道合的架构师建立联系，拓宽对云计算设计的思路和看法。云计算架构师需要在社交媒体上提高自己的学习能力，并在市场中提升品牌。云计算架构师建议在LinkedIn上撰写博客或Facebook帖子，回复评论或者结交新朋友。

5. 了解风险、设计和企业影响

云计算架构是业务的关键部分。过去，云计算架构师专注于挑战并立即尝试解决方案。那么现在的云计算架构师必须学习一个新概念：客户对风险的偏好。云计算架构师可以设计出令人惊叹的架构，但如果它不支持客户真正需要的风险模型呢?云计算架构师必须开始向客户提出一个新问题：“你有什么风险承受力?在设计此应用程序或虚拟工作负载之前，请告诉这对贵公司的影响。”

云计算是一种能够通过网络以便利的、按需付费的方式获取IT资源（包括网络、服务器（虚机、容器）、存储、平台、应用和服务等）并提高其可用性的模式，这些资源来自一个共享的、可配置的资源池，并能够以最省力和无人干预的方式获取和释放。

云计算技术与服务架构

SaaS是一种新型软件发布模式，应用软件安装在 厂商或者服务供应商那里，用户通过网络使用。Salesforce、NetSuite、Google Apps、微软Office365是典型案例。

软件开发者可以在PaaS之上直接开发新的应用，不需要购买和部署服务器和OS、数据库和中间件软件而直接部署代码即可。

运行客户自己的应用。Salesforce的Force、Google AppEngine和微软 Azure都是PaaS模式的典型代表。

IaaS（Infrastructure as a Service，基础架构即服务）通过互联网提供数据中心、基础架构硬件和软件资源。典型

IaaS的代表产品是亚马逊的AWS（Elastic Compute Cloud）、Google的CloudEngine。

云计算基础设施服务

基础设施：机房和带宽

硬件：服务器、存储、数据中心网络

软件：操作系统、虚拟化软件等

基础架构管理：抽象、池化、服务/实例/接口

云计算应用开发和执行环境

将云计算应用开发和执行环境以PaaS形式提供给外部开发者。

基于云计算基础架构提供各种OS和运行环境（数据库、开发语言运行环境、文件系统），支持多开发语言库为开发人员提供云计算应用开发工具（开发环境插件、本地仿真环境等）

基于多租户架构为开发者开发的应用提供执行环境

应用的监控和管理根据应用负载提供良好的资源伸缩性，同时保证应用的可靠性等

云计算应用软件

各类利用云计算基础架构或之上的应用执行环境平台开发的应用，以SaaS的形式提供给外部用户。

利用了云计算基础架构和多租户架构的执行环境，因此可以保证应用具有良好的可伸缩性以及多租户共享。

提供商将这些云计算应用按多租户方式提供给客户，典型的如CRM、企业邮件、办公文档、企业协同系统等

云计算技术体系

随着网络安全事件的日益频发，越来越多的人立志投身于网络安全事业中。但是，网络安全怎么学，学什么，无疑是让无数初学者头疼之事。

学习云计算网络安全必须（时刻）意识到你是在学习一门可以说是最难的课程，是网络专业领域的顶尖课程，不是什么人、随随便便就能学好的。不然，大家都是黑客，也就没有黑客和网络安全的概念了。很多朋友抱着学一门课程、读好一本书就可以掌握网络安全的知识和技能。不幸的是，网络安全技术决不是几本书、几个月就可以速成的。

你需要参考大量的参考书。另一方面，在学校接受的传统教育观念使我们习惯由老师来指定教材、参考书。遗憾的是走向了社会，走到工作岗位，没有人给你指定解决这个安全问题需要什么参考书，你得自己研究，自己解决问题。网络安全涉及的知识面广、术语多、理论知识多。

正给学习这门课程带来很多困难。也需要我们投入比其它课程多的时间和精力来学习它。概括来说，网络安全课程的主要内容包括：安全基本知识、应用加密学、协议层安全、Windows安全（攻击与防御）、Unix/Linux安全（攻击与防御）、防火墙技术、入侵监测系统、审计和日志分。

最后加密学是现代计算机（网络）安全的基础，没有加密技术，任何网络安全都是一纸空谈。加密技术的应用决不简单地停留在对数据的加密、解密上。密码学除了可以实现数据保密性外、它还可以完成数据完整性校验、用户身份认证、数字签名等功能。

以加密学为基础的PKI（公钥基础设施）是信息安全基础设施的一个重要组成部分，是一种普遍适用的网络安全基础设施。授权管理基础设施、可信时间戳服务系统、安全保密管理系统、统一的安全电子政务平台等的构筑都离不开它的支持。可以说，加密学的应用贯穿了整个网络安全的学习过程中。因为之前大多数人没有接触过在这方面的内容，这是个弱项、软肋，所以需要花费比其它部分更多的时间和精力来学习。

云计算是是一种服务的使用和交付模式，通常涉及经过网络来提供动态易扩展且经常是虚拟化的资源。以前的网络拓扑图中往往用云来表示ISP网络，后来也用来表示网络和底层基础设施的抽象。因此，云计算甚至可以让你体验每秒数万次的运算能力，拥有这么强大的计算能力可以进行试验模拟、大数据分析和市场发展趋势。用户用自己的电脑就能享用到这些资源（前提是给多少钱用多少资源）。

云计算是一种按使用量付费的模式，这种模式提供可用的、快捷的、按需的网络访问， 进入可配置的计算资源共享池（资源包括网络，服务器，存储，应用服务），这些资源能够被迅速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。

现在的云计算由于技术的跟进已经得到很大发展，金融行业，政府行业、互联网行业等等数据量比较大的行业都已经部署云或是使用公有云。云计算公司就是提供云服务的，用户按需付费，就像现在的电信运营商，给多少钱用多大的带宽。由于这种技术不断发展，以后的家用电脑很可能发生翻天复地的变化，以后家用电脑也许只用一个显示器一根网线就能满足上网需求（不用单独的购买电脑）网费和云服务费用一起交，能上网就能使用云服务（比如8G内存，4核CPU，500G硬盘等）用户只按需付费，这确实也方便了很多用户。

云计算入门课程十大阶段的课程为由浅入深、循序渐进的完整课程体系，包括结合Linux的网络基础实战、Linux系统配置及服务深度解析、Shell脚本自动化运维项目开发、开源数据库MySQL DBA架构及优化、主流Web 服务器Nginx架构优化、大型网站高并发项目LVS实战方案、高可用集群技术、分布式存储技术Ceph、安全防御技术、性能优化方案、Python自动化运维开发技术、私有云平台技术KVM 、Openstack、容器技术Docker等。

很多朋友看到了云计算的热度，心中跃跃欲试，但却又有所顾忌：“云计算工程师入门难吗？”其实学云计算，不是容易不容易的问题，而是要不要学的问题。事实上，云计算已然渗透到人们生活的方方面面：我们的个人资料被存入了云盘，比如邮件、音乐、照片等，我们还可依靠手机、电脑等终端来实现对上述内容的便捷管理。

云计算慢慢发展成为大多数行业组织机构的关键技术支撑，智能生活领域行业也不例外，它因得到云计算技术的支撑而获得蓬勃发展。总之，云计算就是智能生活的技术支撑。以智能家居为例，其中的每一个智能设备都有自己的识别标志，都需要后台系统进行逻辑处理，各行各业的数据、各个级别的数据都离不开强大的系统后盾支撑，都得依靠云计算来实现。

云计算可以整合所有的储存资源、计算资源，处理所有的智能生活业务请求，并有效配置计算资源、储存资源，为所有智能设备正常运行保驾护航。企业要想在智能生活和蓝海中满载而归，就需要积极主动地促进智能设备与云计算有机结合，才能在未来为用户打造出高效、低成本、便捷的智能生活。

目前我们的云计算的课程为由浅入深、循序渐进的完整课程体系，包括结合Linux的网络基础实战、Linux系统配置及服务深度解析、Shell脚本自动化运维项目开发、开源数据库MySQL DBA架构及优化、主流Web 服务器Nginx架构优化、大型网站高并发项目LVS实战方案、高可用集群技术、分布式存储技术Ceph、安全防御技术、性能优化方案、Python自动化运维开发技术、私有云平台技术KVM 、Openstack、容器技术Docker等。

学习云计算的整套课程中的项目均是以当前主流技术，结合新浪、金山、链家、搜狐畅游等多家公司的生产环境设置。因此，能够确保课程的实用性和前瞻性，真正使学员学即所用。整个课程体系同时为学员提供了运维以及云计算相关技术的广度和深度，使学员能够建立起一套完整的知识体系，为之后职业生涯中的新技术学习能力打下坚实的基础。学员依靠掌握的Linux技术能够向企业实际生产环境平滑过渡。