← Referenční architektury / reference-architecture / architectures

Referenční architektura Magic Transit

Účelem tohoto dokumentu je popsat klíčovou architekturu, funkce a možnosti síťového nasazení Cloudflare Magic Transit : služba ochrany před DDoS útoky a akcelerace provozu založená na BGP pro síťovou infrastrukturu přístupnou z internetu.

Tato referenční architektura je určena pracovníkům IT nebo síťových týmů, kteří mají na starosti stávající síťovou infrastrukturu organizace nebo ji dobře znají. Užitečná je zkušenost s technologiemi a koncepty důležitými pro doručování obsahu, jako jsou routery, DNS a firewally.

Pro hlubší základní pochopení Cloudflare doporučujeme následující zdroje:

• Co je Cloudflare? | Web ↗ (čtení na 5 minut) nebo video ↗ (2 minuty)

• Blog: Magic Transit dělá vaši síť chytřejší, lepší, odolnější a levnější na provoz ↗ (čtení na 14 minut)

Čtenáři této referenční architektury se dozvědí:

• Jak Cloudflare Magic Transit chrání vaši síťovou infrastrukturu před útoky typu odepření služby (DDoS)
• Jak začlenit Magic Transit do stávající síťové infrastruktury

Ochrana síťové infrastruktury před útoky DDoS vyžaduje jedinečnou kombinaci síly a rychlosti. Objemové útoky dokážou snadno zahltit hardwarová zařízení i jejich internetová připojení s omezenou šířkou pásma. Většina cloudových řešení navíc přesměrovává provoz do centralizovaných scrubbingových center, což výkon sítě výrazně ovlivňuje.

Cloudflare Magic Transit poskytuje ochranu před útoky DDoS a akceleraci provozu pro on-premise, cloudové i hybridní sítě. Díky datacentrům rozmístěným ve stovky měst ↗ a stovky Tb/s kapacity pro zmírňování útoků dokáže Magic Transit detekovat a zmírnit útoky blízko jejich zdroje v průměru za méně než tři sekundy kdekoli na světě, a to při směrování provozu rychlejším než veřejný internet.

Na vysoké úrovni funguje Magic Transit následovně:

• Připojení: Díky inzerci tras protokolem Border Gateway Protocol (BGP) do internetu a anycast síti Cloudflare je zákaznický provoz přijímán v datovém centru Cloudflare nejbližším zdroji provozu.

• Ochrana a zpracování: Veškerý provoz zákazníků je kontrolován na přítomnost útoků. Po jeho odhalení se okamžitě nasazují pokročilé a automatizované techniky zmírnění. Jako služba jsou k dispozici i další funkce, například vyvažování zátěže, firewall nové generace, ukládání obsahu do mezipaměti a serverless výpočty.

• Akcelerace: Čistý provoz se směruje po síťových linkách Cloudflare s nízkou latencí pro optimální propustnost a předává se do origin sítě přes IP tunely (GRE nebo IPsec) nebo přes privátní síťová propojení (PNI). Magic Transit využívá pro tunelové koncové body Cloudflare adresy anycast, takže kterýkoli server v kterémkoli datovém centru dokáže pakety pro stejný tunel zapouzdřovat i rozbalovat. Podrobnosti o tunelech a zapouzdření najdete v Tunely GRE a IPsec.

Magic Transit používá anycastové IP adresy pro koncové body síťového tunelu na své straně, takže jediný tunel nakonfigurovaný ze sítě zákazníka do Cloudflare se připojí ke všem globálním datovým centrům Cloudflare (kromě China Network). To nezatěžuje router navíc, z pohledu routeru jde o jediný tunel k jedinému IP koncovému bodu.

Funguje to proto, že koncový bod tunelu je sice technicky vázán na IP adresu, nemusí ale být vázán na konkrétní zařízení. Jakékoli zařízení, které dokáže odstranit vnější hlavičky a poté směrovat vnitřní paket, dokáže zpracovat jakýkoli paket odeslaný přes tunel.

V případě výpadku sítě nebo jiných problémů se tunely automaticky přepnou na záložní, aniž by to ovlivnilo výkon sítě zákazníka.

Magic Transit standardně zpracovává provoz pouze ve směru dovnitř (z internetu do sítě zákazníka). Zpáteční provoz ze serveru ke klientům směruje hraniční router datového centra zákazníka přes svá uplinková připojení k internetu/ISP na základě výchozí směrovací tabulky tohoto routeru. Tento zpáteční provoz neprochází přes Cloudflare pomocí tunelů. Tento princip se označuje jako Direct Server Return (DSR).

Síťový diagram na obrázku 2 znázorňuje takové nasazení Magic Transit a kompletní tok paketů provozu chráněného pomocí Magic Transit. Tunel v tomto nastavení používá k zapouzdření GRE.

• Cloudflare poskytuje zákazníkovi anycast adresu IPv4 pro stranu Cloudflare koncových bodů tunelu. Jde o veřejně směrovatelnou IP adresu z adresního prostoru vlastněného Cloudflare. Cloudflare řeší výpadky ve své síti automaticky tím, že IP adresu koncového bodu inzeruje z více uzlů napříč mnoha globálně rozmístěnými datovými centry. Pro řešení výpadků v síti zákazníka nakonfigurujte dva tunely ze samostatných routerů. Zákazníci mohou o další anycast IP adresy požádat svůj account team. Výše uvedená konfigurace ukazuje jeden tunel, kde je adresa koncového bodu tunelu na straně Cloudflare 192.0.2.1.

• Konec anycast GRE tunelu na straně zákazníka musí mít veřejně směrovatelnou adresu. Obvykle jde o IP adresu rozhraní WAN na hraničním routeru zákazníka. V tomto příkladu je to 192.0.2.153.

• IP adresy rozhraní tunelu jsou privátní adresy podle RFC 1918. Tyto adresy mají význam pouze „lokálně“ v rámci konkrétní instance služby Magic Transit, jejíž jsou součástí. Zákazník si tak může zvolit libovolné adresy RFC 1918, pokud se nepřekrývají s adresami jiných tunelů nakonfigurovaných v téže instanci služby Magic Transit.

• Doporučeným postupem je, vzhledem k tomu, že tunely jsou spojení typu bod-bod, přidělit síť /31, která postačuje pro 2 IP adresy potřebné pro daný tunel. Ve výše uvedeném příkladu je zvolena síť 10.10.10.0/31, přičemž straně rozhraní tunelu na Cloudflare náleží 10.10.10.0/31 a straně hraničního routeru datacentra zákazníka náleží 10.10.10.1/31.

• Po nakonfigurování tunelu se v instanci služby Magic Transit nastaví trasa, která přesměruje provoz určený pro daný prefix zákazníka na správný tunel.

• Provoz směřující na prefix zákazníka 203.0.113.0/24 je směrován do tunelu, jehož vzdálený konec (tedy konec na straně zákazníka z pohledu sítě Cloudflare) rozhraní tunelu má adresu 10.10.10.1.

• Jelikož se jedná o konfiguraci Direct Server Return (DSR), zpětný provoz ze serveru se řídí výchozí trasou (ip route 0/0) nakonfigurovanou na hraničním routeru zákazníka a je odeslán k jeho uplink peeru (tedy routeru ISP zákazníka), odkud pokračuje zpět ke klientům přes internet. Tento zpětný provoz neprochází sítí Cloudflare.

Poznámka: Nejmenší velikost IP prefixu (tedy s nejdelší maskou podsítě), kterou si mezi sebou navzájem akceptuje většina ISP ve svých BGP inzercích, je /24. Například x.x.x.0/24 nebo y.y.y.0/23 jsou v pořádku, ale z.z.z.0/25 už ne. Nejmenší velikost IP prefixu, kterou může Cloudflare Magic Transit inzerovat jménem zákazníků, je proto rovněž /24.

Když je Magic Transit nasazen s povolenou možností Egress, přes síť Cloudflare prochází i odchozí provoz ze sítě zákazníka. Toto nastavení zajišťuje symetrii toku provozu, kdy sítí Cloudflare prochází jak provoz od klienta na server, tak zpětný provoz ze serveru. Díky tomu síť Cloudflare přináší zpětnému provozu ze serveru vyšší zabezpečení a spolehlivost.

Následující síťový diagram znázorňuje kompletní tok paketů mezi koncovým klientem a sítí zákazníka při zapnuté volbě Magic Transit Egress.

• Tok příchozího provozu je stejný jako v případě použití Default Configuration uvedeném výše.

• Aby mohl Magic Transit přijímat a zpracovávat odchozí provoz, musí zdrojové IP adresy tohoto provozu spadat do rozsahu IP prefixů chráněných službou Magic Transit a cílové IP adresy musí být veřejně směrovatelné na internetu, tedy nesmí jít o adresy dle RFC 1918.

Za zmínku stojí, že u zákazníků, kteří si přinášejí vlastní veřejné IP adresy (BYOIP) pro služby hostované v cloudu může možnost Magic Transit Egress přinést další hodnotu tím, že odstraní potřebu pořizovat a zavádět služby BYOIP u poskytovatelů cloudu, což snižuje náklady za cloud i provozní náklady.

Za tímto účelem se mezi VPC cloudových poskytovatelů a sítí Cloudflare konfigurují IP tunely, které navádějí provoz do Magic Transit. S možností Magic Transit Egress by těmito tunely procházel provoz mezi klientem a serverem v obou směrech. Adresy BYOIP v tunelovaných paketech jsou skryté za vnějšími IP adresami koncových bodů tunelu a hlavičkou tunelu, takže jsou pro síťové prvky cloudového poskytovatele mezi VPC a sítí Cloudflare „neviditelné“.

Cloudflare Network Interconnect (CNI) umožňuje zákazníkům připojit svou síťovou infrastrukturu přímo k Cloudflare, mimo veřejný internet, čímž získají spolehlivější, výkonnější a bezpečnější řešení.

• CNI poskytují poskytovatelé cross-connect jako sadu spojení vrstvy 2 a Cloudflare pro každé spojení přiděluje dvojici IP adres z vlastního bloku veřejně směrovatelných IP adres Cloudflare.

• Cloudflare spolupracuje se zákazníkem na konfiguraci těchto linek a na navázání peeringové relace BGP přes tyto linky během onboardingu CNI.

• Jakmile je navázána relace BGP mezi sítí Cloudflare a hraničním routerem zákazníka propojeným přes CNI, prefixy vlastněné Cloudflare se přes toto spojení CNI inzerují hraničnímu routeru zákazníka.

Obrázek 4 znázorňuje referenční konfiguraci Magic Transit přes CNI a související tok paketů.

Poznámka: Uvedený příklad se týká výchozí služby Magic Transit bez povolené možnosti Egress. Jak už bylo popsáno v předchozích částech, v režimu Magic Transit Direct Server Return (tedy pouze Ingress) směruje zpětný provoz ze serveru k zákaznickým klientům hraniční router zákazníka, a to přes jejich ISP a veřejný internet.

Když je povolena a využívána možnost Egress u Magic Transit, zpětný provoz ze serveru lze klientům odesílat přes síť Cloudflare pomocí IP tunelů nakonfigurovaných přes připojení CNI. Obrázek 5 ukazuje jeden takový příklad.

Magic Transit chrání služby hostované lokálně i v cloudu. Tento případ použití znázorňuje konfiguraci pro nasazení v cloudu.

• V tomto příkladu má daný zákazník dvě nasazení cloud VPC rozložená mezi dva různé poskytovatele cloudu ve dvou různých geografických regionech.

• V tomto příkladu je zákazníkův prefix /24 nebo větší rozdělen na několik menších prefixů (tedy s delší délkou masky podsítě, např. /26) a přiřazen jednotlivým VPC v různých lokalitách. Po vytvoření tunelů ze sítě Cloudflare ke každé VPC může zákazník centrálně nakonfigurovat trasy v konfiguraci Magic Transit tak, aby směrovaly provoz do příslušných VPC. Tuto konfiguraci lze provést přes API nebo přes dashboard.

Díky možnosti Magic Transit Egress se zákazník může vyhnout službám BYOIP jednotlivých cloudových poskytovatelů, s nimi spojeným poplatkům i složitosti konfigurace a provozu, a to tak, že odchozí provoz, tedy návratový provoz serveru nebo provoz ze serveru na internet z chráněného prefixu, odesílá přes globální síť Cloudflare prostřednictvím tunelů Magic Transit.

Kromě ochrany a směrování provozu pro externě dostupné služby podniku (tedy provozu typu sever-jih směrovatelného přes internet) pomocí služby Cloudflare Magic Transit mohou zákazníci chránit i interní provoz typu východ-západ "uvnitř podniku" (například privátní adresy podle RFC 1918), který propojuje všechny lokality podniku, a to pomocí Cloudflare WAN (dříve Magic WAN).

Cloudflare WAN nahrazuje starší architektury WAN sítí Cloudflare a poskytuje globální konektivitu, cloudové zabezpečení, výkon a správu prostřednictvím jednoho jednoduchého uživatelského rozhraní.

Služby Cloudflare Magic Transit a Cloudflare WAN dohromady poskytují ucelené, bezpečné, spolehlivé a výkonné řešení typu network-as-a-service pro celý podnik, které chrání a zrychluje provoz jak sever-jih, tak východ-západ.

Obě služby lze nasadit ve stejné instanci, nebo, pokud zákazníci preferují úplné oddělení správy a toku provozu mezi externími sítěmi přístupnými z internetu a interními firemními sítěmi, lze pro Magic Transit a Cloudflare WAN nasadit samostatné instance služby.

Obrázek 7 znázorňuje příklad nasazení služeb Magic Transit a Cloudflare WAN v oddělených instancích služby.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

• V tomto příkladu se tunely GRE používají k propojení jednotlivých lokalit zákazníka přes globální anycast síť Cloudflare. Anycast IP adresa Cloudflare pro instanci služby Magic Transit je 192.0.2.1, zatímco pro instanci služby Cloudflare WAN je to 192.0.2.2. Služba Magic Transit je povolena s možností Egress.

• Služba Magic Transit chrání a směruje veřejně přístupný provoz mezi klientem a serverem na frontendu. Služba Cloudflare WAN chrání a směruje interní podnikový provoz, jako je provoz interních aplikací, synchronizace backendových databází a provoz mezi pobočkou a datovým centrem nebo mezi pobočkami navzájem.

Magic Transit sice chrání služby zákazníků před útoky DDoS, řada správců sítí ale chce mít možnost kontrolovat a blokovat i další nežádoucí nebo potenciálně škodlivý provoz. Cloudflare Network Firewall prosazuje jednotné zásady zabezpečení sítě v celé WAN síti zákazníka, včetně centrály, poboček i virtuálních privátních cloudů, a umožňuje zákazníkům během několika sekund nasadit podrobná pravidla filtrování globálně, to vše z jediného dashboardu.

Cloudflare Network Firewall se nasazuje a konfiguruje jako součást Magic Transit. Veškerý příchozí provoz procházející přes edge datacentra Cloudflare, jehož cílové prefixy jsou chráněny službou Magic Transit, lze pomocí Cloudflare Network Firewall filtrovat.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

V pravidlech Cloudflare Network Firewall mohou administrátoři porovnávat a filtrovat síťový provoz nejen na základě typické 5tice (zdrojová/cílová IP, zdrojový/cílový port, protokol) obsažené v hlavičce IP paketu, ale i podle dalších informací o paketu, jako je délka IP paketu, délka hlavičky IP, TTL a podobně. Kromě toho lze při konfiguraci pravidel Network Firewall (geoblokování) využít i geografické informace, například název datacentra/colo Cloudflare, region a zemi, ve které se dané datacentrum nachází.

Další podrobnosti o Cloudflare Network Firewall a jeho konfiguraci najdete v Představujeme Magic Firewall ↗ a Dokumentace Cloudflare Network Firewall.

Poskytovatel cloudové služby pro zmírnění DDoS útoků může provoz monitorovat na hrozby nepřetržitě (model always-on) nebo provoz přesměrovat pouze při zjištění útoku (on-demand). Tato volba ovlivňuje dobu odezvy a čas potřebný ke zmírnění útoku a v některých případech se promítá i do latence.

V modelu nasazení na vyžádání se příchozí provoz na okraji sítě sleduje a měří, aby bylo možné odhalit objemové útoky. Za běžného provozu, tedy v takzvaném „mírovém režimu“, veškerý provoz přistupuje k aplikacím a infrastruktuře přímo, bez jakéhokoli zpoždění nebo přesměrování. K poskytovateli cloudového čištění provozu se provoz přesměrovává pouze při aktivním DDoS útoku. V mnoha případech musí zákazník poskytovateli služby zavolat, aby provoz přesměroval, což prodlužuje dobu odezvy.

Režim always-on je bezobslužný přístup ke zmírňování útoků DDoS, který po zákazníkovi při útoku nevyžaduje žádný zásah. Provoz organizace je vždy směrován přes datová centra poskytovatele cloudu ke kontrole hrozeb, a to i mimo dobu útoku. Tím se minimalizuje doba mezi detekcí a zmírněním útoku a nedochází k žádnému přerušení služby.

Ze všech přístupů a možností nasazení nabízí metoda always-on nejucelenější ochranu.

V závislosti na poskytovateli však může směrování veškerého provozu přes cloud poskytovatele ochrany před DDoS útoky přidat latenci, která pro byznysově kritické aplikace není optimální. Cloudflare je navržen tak, aby zákazníkům v důsledku útoků latence nenarůstala, a to i při trvale aktivní ochraně. Analýza provozu na okraji sítě je jediný způsob, jak útoky zmírňovat ve velkém měřítku bez dopadu na výkon.

Je to dáno tím, že příjem provozu přes anycast zajišťuje, že provoz ke kontrole vždy směřuje pouze do nejbližšího datacentra Cloudflare. S datacentry v stovky měst po celém světě ↗, je pravděpodobné, že půjde o krátkou vzdálenost. Tím se eliminuje takzvaný trombonový efekt.

V mnoha případech provoz směrovaný přes Cloudflare je rychlejší ↗ než přes veřejný internet. Jsme přesvědčeni, že zákazníci by kvůli komplexnímu zabezpečení neměli muset obětovat výkon.

Cloudflare nabízí komplexní síťové služby pro propojení a ochranu on-premise, cloudově hostovaných i hybridních firemních sítí. Cloudflare poskytuje různé možnosti konektivity a nasazení, které vyhovují jedinečným architekturám jednotlivých zákazníků.

• Cloudflare Magic Transit je cloud-native řešení zabezpečení sítě, které využívá sílu globální sítě Cloudflare k ochraně organizací před útoky DDoS.

• Magic Transit obsahuje vestavěný síťový firewall, který zákazníkům pomáhá postupně opustit lokální firewally a nasadit škálovatelnou síťovou bezpečnost jako službu.

• Kromě ochrany a směrování provozu pro externě dostupné služby podniku (tedy provozu typu sever-jih směrovatelného přes internet) mohou zákazníci propojovat a chránit i interní provoz typu východ-západ „uvnitř podniku“ pomocí Cloudflare WAN.

Pokud se chcete dozvědět více o Magic Transit, Cloudflare WAN nebo Cloudflare Network Firewall, kontaktujte nás a domluvte si ukázku ↗.