傳統 VLAN+物理防火牆隔離虛擬機，犧牲虛擬化彈性（vMotion、動態資源調度）。新一代虛擬化安全方案（Juniper Altor、Cisco VSG、HP TippingPoint vController）實現不改變拓撲、無代理、線速檢測的 VM 間流量防護。

痛點：虛擬機間流量「盲區」

• VM 間通訊僅在虛擬交換器（vSwitch）內部流轉，不上行至物理網路設備，傳統 IPS/防火牆完全不可見。
• 攻擊者攻陷一台 VM，可橫向掃描、滲透同宿主機甚至跨宿主機其他 VM（ARP 欺騙、VLAN Hopping、共享存儲攻擊）。
• 合規要求（PCI-DSS、等保 2.0）強制要求東西向流量可視與入侵防禦。

TippingPoint vController 方案架構

• vController Agent：安裝於每台 ESXi 宿主（VIB 封裝），透過 VMware vPath/NSX 將需檢測流量導向物理/虛擬 TippingPoint IPS 設備（S660N 等）。
• 集中管理：TippingPoint SMS（Security Management System）統一下發策略、查看警報、生成報表。
• 透明部署：無需修改 VM IP/網關、無需安裝 Agent 於 VM 內部，業務零中斷上線。

PrimeLending 實戰案例

• 25 台 ESXi 宿主，數百 VM，部署 2 對 S660N IPS + 2 個 vController 實例。
• 部署前：僅能監控南北向流量，VM 間東西向流量完全盲區。
• 部署後：
  — 精細可視 VM 間實際流量（應用、用戶、威脅）。
  — 成功攔截攜帶惡意碼的文檔從外部帶入內網，嘗試連接 C&C（東部集團 IP），IPS 即時阻斷並告警。
  — 整合 Cisco 邊界防火牆、RSA DLP、RSA enVision SIEM，構建多層防禦體系。

流量增長與擴容規劃

vController 導流流量隨虛擬化規模線性增長。PrimeLending 觀察到流量超預期，規劃升級更高性能 IPS 設備（S1400N/S2800N），並評估分散式 vController 部署避免單點瓶頸。

廠商陣營對比

廠商/方案	核心技術	優勢	考量
HP TippingPoint vController	vPath/NSX 導流 + 物理 IPS 硬體加速	效能強、特徵庫豐富、DVLabs 威脅情報、企業級成熟度	需採購硬體 IPS、授權成本高
Cisco VSG (Virtual Security Gateway)	VNMC 管理、vPath 整合、Policy-based	與 Nexus 1000V/ACI 深度整合、Cisco 生態	功能側重存取控制，IPS 深度較弱
Juniper Altor Networks (VFI)	虛擬機級防火牆、無代理、動態策略	輕量、隨 VM 遷移、支援 OpenStack/KVM	被 Juniper 收購後整合進 Contrail/SRX
VMware NSX Distributed Firewall / IDS/IPS	Kernel 模組分散式執行、微分段	原生整合、無硬體依賴、支援 L7 應用識別	效能依賴宿主 CPU、企業版授權昂貴

選型建議

1. 已有 TippingPoint 硬體投資 → 直接擴充 vController，保護投資、統一管理。
2. 全 Cisco 網絡、推行 ACI/微分段 → Cisco VSG/NSX DFW。
3. 多雲/異構虛擬化（VMware+KVM+OpenStack）→ 尋求跨平台虛擬防火牆（Palo Alto VM-Series、FortiGate-VM、Check Point CloudGuard）。
4. 預算有限、開源優先 → Suricata/Snort + Open vSwitch 導流 + 自建管理平台（需較強研發運維能力）。