搜索 <book_title>...

NetBackup™ 安全和加密指南

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

具备客户端加密的多数据中心

具备客户端加密选件的多数据中心是一个中到大型主机组（超过 50 台主机）。这些主机可以跨越两个或更多地理区域，并且可以通过广域网 (WAN) 进行连接。在此示例中，一个数据中心位于伦敦，另一个数据中心位于东京。两个数据中心通过专用 WAN 连接进行连接。

示例多数据中心可以使用客户端加密来确保线路和磁带中的数据机密性。此加密有助于降低在组织内的被动窃听风险。将磁带移到场外时会产生数据泄露风险。此数据中心模型可保证中量到大量（大于 50）受控主机的安全。数据中心和 DMZ 中的客户端可具备用于确定主机和用户身份的集中命名服务的潜力。

具备客户端加密功能的多数据中心包括以下要点：

NetBackup 通过 WAN 跨越两个或更多地理区域
对于保护场数外数据很有用
已加密客户端中的数据，并消除了数据在线路上的被动截取风险
密钥管理是在客户端上分散进行的
原始 NetBackup Encryption Option
使用客户端 CPU 执行加密
必须有用于取回数据的密钥。丢失密钥就意味着丢失数据。
当需要在场外扫描磁带或需要保证线路中的机密性时非常有用

图：具备客户端加密的多数据中心显示了具备客户端加密功能的多数据中心示例。

图：具备客户端加密的多数据中心

下表介绍实现了客户端加密的多数据中心所使用的 NetBackup 部件。

表：实现了客户端加密的多数据中心所使用的 NetBackup 部件

部件	描述
伦敦数据中心	包含主服务器、介质服务器 1 以及客户端 4、5 和 6。伦敦数据中心还包含客户端 6 和 7 的加密数据磁带以及客户端 4 和 5 的未加密数据磁带。伦敦数据中心通过专用 WAN 连接连接到东京数据中心。
东京数据中心	包含介质服务器 2 以及客户端 7、10、11 和 12。东京数据中心还包含客户端 7 和 12 的加密数据磁带以及客户端 10 和 11 的未加密数据磁带。东京数据中心通过专用 WAN 连接连接到伦敦数据中心。
广域网 (WAN)	指定专用 WAN 链路将伦敦数据中心和东京数据中心连接起来。WAN 提供了伦敦的主服务器与东京的介质服务器 2（具有客户端 7、10、11 和 12）之间的连接。WAN 还提供伦敦的介质服务器 1 与东京的客户端 7 之间的连接。
主服务器	指定主服务器位于伦敦数据中心，且与介质服务器 1 以及客户端 4、5 和 6 进行通信。主服务器还使用 WAN 与东京的介质服务器 2 以及客户端 7、10、11 和 12 进行通信。
介质服务器	指定多数据中心使用两个介质服务器。介质服务器 1 位于伦敦数据中心，介质服务器 2 位于东京数据中心。在伦敦，介质服务器 1 与主服务器以及客户端 4、5 和 6 进行通信。介质服务器 1 针对客户端 4 和 5 将未加密数据写入磁带。介质服务器 1 针对客户端 6 和 7 将加密数据写入磁带。请注意，客户端 7 位于东京，但是其磁带备份位于伦敦。客户端 6 和 7 的加密磁带在场外传输到伦敦的保管库。在东京，介质服务器 2 通过 WAN 与伦敦的主服务器进行通信，并与东京的客户端 7、10、11 和 12 进行通信。介质服务器 2 针对客户端 10 和 11 将未加密数据写入磁带。介质服务器 2 还针对客户端 7 和 12 将加密数据写入磁带。请注意，尽管客户端 7 位于东京并在伦敦进行备份，它也会在东京进行备份。客户端 7 和 12 的加密磁带在场外传输到东京的保管库。
客户端加密	指定客户端加密（图中未显示）确保线路上和磁带上数据的机密性。
磁带	指定在伦敦数据中心和东京数据中心生成未加密和加密的数据磁带。加密磁带包含客户端加密备份数据。在伦敦，未加密磁带针对客户端 4 和 5 进行写入并在伦敦数据中心进行场内存储。加密磁带针对客户端 6 和 7 进行写入。加密磁带会场外传输到伦敦的保管库，从而实现灾难恢复保护。在东京，未加密磁带针对客户端 10 和 11 进行写入并在东京数据中心进行场内存储。加密磁带针对客户端 7 和 12 进行写入。请注意，尽管客户端 7 位于东京并在东京进行备份，它也会在伦敦进行备份。加密磁带会场外传输到东京的保管库，从而实现灾难恢复保护。注意: 要解密数据，用于加密数据的密钥必须可用。
运输	指定多数据中心使用两类运输。一类运输在伦敦，另一类运输在东京。伦敦的运输卡车将客户端 6 和 7 的加密磁带场外运送到安全的伦敦保管库设施。东京的运输卡车将客户端 7 和 12 的加密磁带场外运送到安全的东京保管库设施。请注意，客户端 7 的备份副本在伦敦和东京两地保管。注意: 即使路途很远，在运输过程中丢失了磁带，数据中心管理员也已潜在降低了数据泄露风险。通过使用客户端数据加密减少了此类泄露。
场外保管库	指定多数据中心使用两个场外保管库。一个保管库位于伦敦，另一个保管库位于东京。两个保管库均在不同于数据中心所在位置场外提供安全的加密磁带存储设施。注意: 将加密磁带存储在数据中心之外的位置可实现良好的灾难恢复保护。
客户端	指定客户端位于伦敦和东京数据中心。在伦敦，客户端 4 是标准 NetBackup 类型。客户端 5 是位于 DMZ 中的 Web 服务器类型。客户端 6 经过客户端加密，同时还位于 DMZ 中。所有客户端类型都可以由主服务器进行管理，并通过介质服务器 1 将其数据备份到磁带。客户端 5 和 6 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 进行通信。客户端 6 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 获得连接。在东京，客户端 7 经过客户端加密，但位于 DMZ 之外。客户端 10 是标准 NetBackup 类型。客户端 11 是位于 DMZ 中的 Web 服务器类型。客户端 12 经过客户端加密，同时还位于 DMZ 中。所有客户端类型都可由伦敦的主服务器进行管理。客户端 7 数据通过介质服务器 1 和 2 备份到磁带。客户端 10、11 和 12 数据通过介质服务器 2 备份到磁带。客户端 11 和 12 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 进行通信。客户端 12 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 获得连接。
内部防火墙	指定多数据中心使用两个内部防火墙。一个内部防火墙位于伦敦，另一个内部防火墙位于东京。在伦敦，内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 5 和经过客户端加密的客户端 6。在东京，内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 11 和经过客户端加密的客户端 12。仅为进出 DMZ 的数据通信启用了选定的 NetBackup 端口和可能的其他应用程序端口。在外部防火墙中打开的 HTTP 端口无法通过内部防火墙。
隔离区 (DMZ)	指定多数据中心使用两个 DMZ。一个 DMZ 位于伦敦，另一个 DMZ 位于东京。在伦敦，DMZ 为 Web 服务器客户端 5 和经过客户端加密的客户端 6 提供“安全”操作区域。客户端存在于内部防火墙与外部防火墙之间。DMZ 中的 Web 服务器客户端 5 和经过客户端加密的客户端 6 可以与 NetBackup 进行通信。两个客户端使用指定的 NetBackup 端口通过内部防火墙进行通信。Web 服务器客户端 5 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。在东京，DMZ 为 Web 服务器客户端 11 和经过客户端加密的客户端 12 提供“安全”操作区域。客户端 12 存在于内部防火墙与外部防火墙之间。DMZ 中的 Web 服务器客户端 11 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 11 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。
外部防火墙	指定多数据中心可以使用两个外部防火墙。一个外部防火墙位于伦敦，另一个外部防火墙位于东京。在伦敦，外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 5。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 5 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 5 的 HTTP 端口可以通过外部防火墙访问 Internet。无法从 Internet 访问经过客户端加密的客户端 6。在东京，外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 11。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 11 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 11 的 HTTP 端口可以通过外部防火墙访问 Internet。无法从 Internet 访问经过客户端加密的客户端 12。
Internet	指定只有一个 Internet，但是此多数据中心示例中有两个 Internet 连接。一个 Internet 连接位于伦敦，另一个 Internet 连接位于东京。Internet 是通过铜线、光纤电缆和无线连接链接到一起的互连计算机网络集合。在伦敦，Web 服务器客户端 5 可以通过外部防火墙使用 HTTP 端口在 Internet 上进行通信。在东京，Web 服务器客户端 11 可以通过外部防火墙使用 HTTP 端口在 Internet 上进行通信。