VPN типа «сеть–сеть»

Рис.10.9

Сегментация виртуальной сети

Безопасностьдолжнабытьвстроенавпроектсетинезависимооттого,физиче- ская это сеть или виртуальная. В данном случае речь идет не о VLAN, которые изначально реализованы в физической сети, а о виртуализации. Давайте ис- пользуем приведенную ниже диаграмму в качестве нашей отправной точки

(рис. 10.10).

При планировании сегментации виртуальной сети сначала необходимо по- лучить доступ к платформе виртуализации, чтобы узнать, какие возможности доступны. Однако вы можете приступить к планированию базовой сегмен- тации, используя подход, не зависящий от поставщика, поскольку основные принципы одинаковы независимо от платформы, что в основном и отражает предыдущая диаграмма. Обратите внимание, что внутри виртуального ком- мутатора есть изоляция.Другими словами,трафик из одной виртуальной сети невидимдлядругой виртуальной сети.Укаждой виртуальной сети можетбыть своя подсеть, и все виртуальные машины в виртуальной сети смогут обмени- ваться данными между собой, но не с другой виртуальной сетью. Что, если вы хотите иметь связь между двумя или более виртуальными сетями? В этом слу- чае вам нужен маршрутизатор (это может быть виртуальная машина с вклю- ченной службой маршрутизации) с несколькими виртуальными сетевыми адаптерами, по одному для каждой виртуальной сети.

Каквидно,основныеконцепцииоченьпохожинафизическуюсреду,аедин- ственное отличие заключается в реализации, которая может варьироваться в зависимости от поставщика. Используя Microsoft Hyper-V (Windows Server 2012 и более поздние версии) в качестве примера,можно реализоватьна уров- не виртуального коммутатора проверки безопасности с использованием вир- туальных расширений.Вот несколько примеров,которые можно использовать для повышения безопасности своей сети:

проверка сетевых пакетов;обнаружение вторжения или брандмауэр;фильтр сетевых пакетов.

Преимущество использования этих типов расширений заключается в том, что вы проверяете пакет перед его передачей в другие сети, что может быть очень полезно для вашей общей стратегии сетевой безопасности.

На рис. 10.11 показан пример расположения этих расширений. Вы можете получитьдоступкэтомуокнуспомощьюдиспетчераHyper-Vивыборасвойств

Virtual Switch Manager for ARGOS.

Рис.10.11

Часто трафик, исходящий из одной виртуальной машины, может проходить в физическую сеть и достигать другого хоста, подключенного к корпоратив- ной сети.По этой причине всегда важно думать,что хотятрафик и изолирован внутри виртуальной сети,если сетевые маршруты кдругим сетям определены, пакет все равно будетдоставлен по месту назначения.

Убедитесь, что вы также включили следующие возможности в своем вирту- альном коммутаторе:

защиту от подмены MAC-адреса, которая предотвращает отправку вредоносного трафика с поддельного адреса;

защиту DHCP, которая не дает виртуальным машинам вести себя (или отвечать) как DHCP-сервер;

защиту маршрутизатора, которая не дает виртуальным машинам вы- давать сообщения объявления маршрутизатора и сообщения о перена- правлении;

Port ACL (список контроля доступа), позволяющий настраивать опреде- ленные списки контроля доступа на основе MACили IP-адресов.

Это лишь некоторые примеры того, что вы можете реализовать в виртуаль- ном коммутаторе. Имейте в виду, что обычно можно расширить эти функции, используя сторонний виртуальный коммутатор.

Например, коммутатор Cisco Nexus 1000V для Microsoft Hyper-V предлага-

ет более детальный контроль и безопасность. Для получения дополнительной информации см. https://www.cisco.com/c/en/us/products/switches/nexus-1000v- switch-microsoft-hyper-v/index.html.

Безопасность гибридной облачной сети

СогласноотчетуMcAfeeBuildingTrustinaCloudySky,опубликованномувапреле 2017 г.,внедрение гибридного облака выросло в 3 раза по сравнению с преды- дущим годом, а именно число организаций, которые были опрошены, возрос- ло с 19 до 57 %.Говоря кратко,реалистично утверждать,что у вашей компании рано или поздно будет возможность подключения к облаку, и в соответствии с обычной тенденцией миграции первым шагом будет внедрение гибридного облака.

При проектировании гибридной облачной сети необходимо учитывать все ранее объясненные моменты и планировать, как это новообразование будет интегрироваться в вашу среду. Многие компании примут подход с использо- ванием VPN типа «сеть–сеть», чтобы напрямую подключиться к облаку и изо- лировать сегмент, обладающий подключением к облаку. Хотя это и хороший подход, как правило, VPN типа «сеть–сеть» сопряжено с дополнительными затратами и требует дополнительного обслуживания. Еще один вариант – ис- пользовать прямой маршрут к облаку, например Azure ExpressRoute.

Хотя вы располагаете полным контролем над локальной сетью и конфигу- рацией,облачная виртуальная сеть станетдля вас чем-то новым,чем вам при- дется управлять. По этой причине важно ознакомиться с сетевыми возмож- ностями, доступными в IaaS облачного провайдера, и тем, как защитить эту сеть. Используя Azure в качестве примера, одним из способов быстрой оцен- ки конфигурации этой виртуальной сети можно считать Azure Security Center. Azure Security Center просканирует виртуальную сеть Azure в вашей подписке и предложит способы нейтрализации возможных проблем безопасности, как показано на приведенном ниже рис. 10.12.

Рис.10.12

Список рекомендаций может варьироваться в зависимости от вашей виртуальной сети Azure (VNET) и от того, как настроены ресурсы для использо- вания этой сети. Давайте используем второе оповещение в качестве приме- ра. Это оповещение среднего уровня, которое сообщает: Restrict access through internet-facing endpoint (Ограничить доступ через конечную точку с выходом в интернет). Когда вы щелкнете по нему мышью, то увидите подробное объ- яснение этой конфигурации и поймете, что необходимо предпринять, чтобы сделать ее более безопасной (рис. 10.13).