混合云防火墙

Network Edge与Equinix Fabric合作，提供虚拟云上游斜坡，可在几分钟内启动。这为各种应用程序提供了低延迟混合多云访问。如果应用程序是多层或对延迟敏感且需要访问企业资源，则可以使用部署在Network Edge上的单个控制点的虚拟安全设备来实施这些应用程序。

架构

此参考架构方案中的混合多云拓扑在一个云提供商中部署了一个Web层，在同一区域的另一个云提供商中部署了一个数据库层。应用程序的唯一可公开访问组件是Web层。所有其他组件都必须得到保护，包括企业基础设施，该基础设施还为应用程序提供服务，并且由于延迟要求，必须靠近其他组件。

此解决方案可减少已部署设备的数量，并在所有应用程序层之间创建单一安全控制点。对于企业而言，网络复杂性降低，从而降低云到云的连接成本并增强安全性。

应用层之间的网络通信由Equinix Fabric上的直接专用第2层互连提供，Network Edge设备提供第3层路由和安全服务。Network Edge设备是由Network Edge网络功能虚拟化(NFV)平台托管的虚拟网络功能(VNF)。

Equinix Fabric–Equinix Fabric是一个交换平台，可为作为光纤网络参与者的众多提供商提供专用连接。虚电路使用软件定义的网络在光纤网络上配置，以建立与连接到光纤网络的提供商的连接。可以使用客户门户或API创建虚拟连接。
Equinix Network Edge–Network Edge是一个符合ETSI标准的NFV平台，托管WAN来自思科，瞻博网络，帕洛阿尔托，Fortinet，反之亦然等各种供应商的VNF (路由器，防火墙和SD-VNF)阿鲁巴和检查站。VNF可以实时部署，一旦部署，您就可以开始与Fabric上的提供商建立虚拟连接。

专用互连–来自云服务提供商(CSP)的专用互连是连接到Equinix Fabric的第2层合作伙伴或托管连接。伙伴或托管连接在设备和与之对等的CSP路由器之间提供中间交换机。建立第2层专用互连后，您可以设置第3层对等与CSP网关。专用互连绕过互联网。
公共云Web层–公共云Web层托管公开在公共互联网上以供用户连接的Web服务器。此层还提供由公共云提供商或Fabric上的Internet服务提供商提供的Internet服务。
公有云数据库层–公有云数据库层托管与Web层互连的数据库PaaS服务。此层受虚拟安全设备保护，因为Web层和数据库层之间的流量必须遍历安全控制点。
企业基础设施–企业基础设施托管应用程序的专用服务。此基础设施可以托管在Equinix数据中心，由Equinix Metal提供，也可以托管在其他位置。唯一的要求是Equinix Fabric能够访问基础设施。

这些建议提供了一个起点。客户要求可能与此列表有所不同。

位置选择–此体系结构示例显示同一区域之间的连接。根据部署区域的不同，延迟会有所不同，这是设计具有严格延迟要求的应用程序时的一个重要考虑因素。但是，某些应用程序可能需要区域间连接。在这些情况下，请使用Equinix Fabric的全局覆盖来创建这些连接。
高可用性–此体系结构显示无容错功能的单线程部署。Equinix建议客户部署其业务需求所需的容错级别。Network Edge可以与冗余设备一起部署，对于某些供应商，设备可以部署为高可用性对。
网络寻址–对于通过专用虚拟接口到专用服务的连接，客户可以使用专用IP寻址。对于某些公共服务，Network Edge设备可能需要客户自己的公共IP地址和NAT。由于每个CSP在公共寻址要求方面都有所不同，因此在尝试创建公共连接之前需要进行研究。对于Web层，客户可以自带符合Internet广告要求的IP地址，也可以使用提供商分配的寻址。

在实施这种架构时，要考虑以下因素。

除了延迟之外，组件之间的带宽和设备吞吐量也很重要。虚电路的大小必须适当，并且设备必须支持所需的吞吐量。

Fabric与云提供商之间的专用互连未加密。需要加密的应用程序必须在应用层或网络层进行加密，在网络层可以在Network Edge设备和云网关之间构建IPsec隧道。IPSec隧道涉及开销，这也会影响设备选择。此解决方案在单个控制点部署虚拟安全设备，该控制点交叉应用程序层之间的所有通信流。

通过在Network Edge部署虚拟安全设备，客户可以在单个安全控制点整合混合多云连接，同时最大限度地提高应用程序性能并增强安全性。