← Referenční architektury / reference-architecture / diagrams / network

Ochrana sítí datových center

Týmy zabývající se síťovým zabezpečením tradičně na perimetru nasazovaly různé síťové firewally nebo bezpečnostní appliance, aby ochránily sítě svých datových center před externími i interními hrozbami, například útoky DDoS, malwarem, ransomwarem, phishingem nebo únikem citlivých informací. Stejné nebo další firewally či bezpečnostní appliance se navíc nasazují na DMZ ↗ nebo v jádrové vrstvě sítí datových center za účelem řízení a zabezpečení interního privátního síťového provozu směrovaného mezi jednotlivými lokalitami datových center v rámci jejich rozlehlé sítě (WAN).

Tyto firewally a bezpečnostní zařízení jsou však často drahé, složité na konfiguraci a správu, obtížně se škálují na zvládání velkých útoků a vyžadují průběžné aktualizace a záplaty, aby dokázaly čelit nově objeveným hrozbám a zranitelnostem.

Cloudflare Magic Transit, Cloudflare WAN (dříve Magic WAN), Cloudflare Network Firewall a Cloudflare Gateway služeb běžících nativně na Rozsáhlá globální síť Cloudflare ↗ poskytují řešení všech výše popsaných nedostatků i dalších problémů. Tyto služby nabízejí přímou, škálovatelnou a výkonnou globální ochranu pro sítě vašich datových center, a to vše z jediné cloudové síťové platformy.

• Magic Transit ↗ poskytuje okamžitou detekci a zmírňování útoků DDoS na síťové vrstvě proti vašim veřejným sítím přístupným z internetu.
• Cloudflare WAN ↗ poskytuje zabezpečené propojení typu any-to-any mezi vašimi privátními podnikovými sítěmi v hybridním nebo multicloudovém prostředí.
• Cloudflare Network Firewall je cloudově nativní síťová firewallová služba, kterou lze použít k filtrování provozu směřujícího do a z vašich sítí chráněných Magic Transit. Podporuje také funkce jako Detekce narušení (IDS) a zachytávání paketů.
• Gateway ↗ je služba typu secure web gateway (SWG), která umožňuje kontrolovat a řídit jak provoz směřující do internetu z vašich sítí, tak provoz mezi privátními sítěmi (tedy east-west), tím, že jej směruje přes globální síť Cloudflare a uplatňuje zásady na úrovni DNS, sítě a HTTP zásady.

Tento dokument se zaměřuje konkrétně na referenční architektury využívající služby Cloudflare Magic Transit, Cloudflare WAN, Cloudflare Network Firewall a Cloudflare Gateway k ochraně jak externí, tak interní komunikace se sítěmi vašich datacenter. Podrobnosti o tom, jak Magic Transit, Cloudflare WAN, Cloudflare Network Firewall a Cloudflare Gateway fungují a jak je lze navrhnout pro různé případy použití, najdete v odkazovaných zdrojích na konci dokumentu.

Pro znázornění architektury a jejího fungování zobrazují následující diagramy příklad firmy s několika sítěmi datových center, které jsou buď veřejně přístupné a připojují uživatele k internetu, nebo soukromé a interní, určené pro komunikaci uvnitř podniku. Tyto sítě jsou nasazeny ve dvou lokálních lokalitách. Prefixy veřejně přístupných sítí mají být chráněny pomocí Cloudflare Magic Transit.

Hraniční router(y) v každém datovém centru je připojen k síti Cloudflare přes dva Direct Cloudflare Network Interconnect (CNI), tedy přímá, soukromá připojení mezi vaší sítí a sítí Cloudflare. Jedno z přímých připojení CNI přenáší veřejně přístupný síťový provoz, zatímco druhé přenáší soukromý síťový provoz. Volitelně můžete vést veřejný i soukromý provoz přes jediné připojení CNI, řada organizací však z bezpečnostních důvodů preferuje oddělení externího a interního provozu na samostatná připojení.

• V datovém centru 1 se pro přenos veřejně dostupného síťového provozu používá připojení CNI 1 a pro přenos privátního síťového provozu připojení CNI 2.
• V datovém centru 2 se pro přenos veřejně dostupného síťového provozu používá připojení CNI 3 a pro přenos privátního síťového provozu připojení CNI 4.

Diagram referenční architektury níže znázorňuje, jak lze pomocí Cloudflare Magic Transit a Cloudflare Network Firewall chránit veřejně přístupné sítě datových center před příchozím provozem z internetu.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

1. Pomocí Border Gateway Protocol (BGP ↗) a IP anycast ↗, Cloudflare inzeruje chráněné IP prefixy zákazníka do internetu ze všech Globální datová centra Cloudflare ↗. Zároveň by on-premises síť (sítě) přestala z příslušných on-premises hraničních routerů propagovat stejné přesné prefixy. Tím se zajistí, že veškerý provoz projde přes Cloudflare, kde se uplatní ochrana DDoS a vynucení zásad v rámci Magic Transit, ještě než se doručí do datacentra zákazníka. Internetový provoz směřující na tyto chráněné prefixy IP se vždy nasměruje do datacentra Cloudflare, které je nejblíže zdroji provozu. Volitelně můžete z hraničních routerů do internetu propagovat i méně specifické prefixy IP. V nepravděpodobném případě výpadku služby Magic Transit tak lze provoz rychle přesměrovat přímo na síťové lokality z internetu.
2. Provoz pocházející z internetu a směřující na chráněné IP prefixy je přijímán do globální sítě Cloudflare.
3. Veškerý provoz útoku DDoS je zmírňován přímo v datové cestě, blízko zdrojů, v každém datovém centru Cloudflare, pomocí pokročilých a automatizovaných Zmírnění útoků DDoS technologií.
4. Provoz, který projde zmírněním DDoS útoků, dále prochází dodatečným filtrováním síťového firewallu pomocí Cloudflare Network Firewall.
5. Čistý, filtrovaný provoz je do chráněných sítí směrován prostřednictvím Direct Cloudflare Network Interconnect (CNI).
6. Zpětný provoz ze serveru ke klientům lze směrovat dvěma způsoby. Prvním je jeho nativní vysměrování z datacentra přímo do internetu, mimo síť Cloudflare. Tato metoda se nazývá Direct Server Return (DSR). Vede k asymetrickému směrování obousměrného provozu, což může v cestě sítě způsobit problémy se zabezpečením a filtrováním provozu, pokud se v ní nacházejí stavové firewally nebo zařízení NAT, ať už v jiných částech datacentra, nebo mezi datacentrem a internetem. Je třeba dbát na to, aby se takový problém ve vaší síti nevyskytoval. Druhým způsobem je symetrické směrování zpětného provozu ze serveru zpět přes síť Cloudflare, stejným spojením, kterým prochází provoz od klienta k serveru, pomocí Magic Transit Egress. Tato metoda je znázorněna na diagramu výše: zpětný provoz ze serveru se do sítě Cloudflare směruje přes stejná CNI, která přenášejí veřejný síťový provoz z Cloudflare do datacentra, a to pomocí technik jako směrování na základě zásad (PBR) ve vašich lokalitách.
7. Odchozí provoz (egress) Magic Transit prochází filtrováním přes Cloudflare Network Firewall, než je směrován dál na internet k uživatelům.

Diagram referenční architektury níže znázorňuje, jak lze pomocí služeb Cloudflare, konkrétně Magic Transit (Egress), Cloudflare Network Firewall a Cloudflare Gateway, chránit odchozí internetový provoz z veřejně přístupných sítí datových center (tedy serverů s veřejnými IP adresami).

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

1. Síť každé lokality směruje odchozí internetový provoz z veřejně přístupných sítí do Cloudflare přes stejná CNI, kterými prochází i příchozí provoz. Ve vaší lokalitě to můžete zajistit libovolnou technikou směrování dle vlastní volby, například pomocí policy based routing (PBR).
2. Po vstupu do sítě Cloudflare je odchozí internetový provoz nejprve směrován přes Cloudflare Network Firewall, kde podléhá všem nakonfigurovaným zásadám síťového firewallu.
3. Odchozí internetový provoz je následně odesílán do Cloudflare Gateway, naší služby secure web gateway, kde různé zásady prosazují komplexní sadu bezpečnostních a kontrolních opatření pro odchozí provoz a zajišťují tak maximální ochranu vašich sítí. Zásady Gateway DNS i HTTP lze například nastavit tak, aby serverům bránily připojovat se k pochybným internetovým stránkám a stahovat malware nebo jiný škodlivý obsah.
4. Jakmile provoz projde kontrolou, Gateway ho jako proxy přesměruje k cílům na internetu. Zdrojové IP adresy odchozího provozu jsou adresy IP vlastněné Cloudflare a přidružené ke službě Gateway, které si v případě zájmu můžete zakoupit a nastavit vlastní vlastní odchozí IP adresu
5. Zpětný provoz z internetu směřující na IP adresy Cloudflare spojené se službou Gateway je směrován do globální sítě Cloudflare.
6. Provoz je kontrolován podle zásad Gateway.
7. Zpětný provoz, který projde kontrolou Gateway, je dále směrován na Cloudflare Network Firewall k filtrování paketů.
8. Zpětný provoz, který projde filtrováním Cloudflare Network Firewall, je z Cloudflare směrován do vašich síťových lokalit pomocí CNI přenášejících provoz veřejně přístupné sítě.

Diagramy referenční architektury níže znázorňují, jak lze pomocí služeb Cloudflare, konkrétně Cloudflare WAN, Cloudflare Network Firewall a Cloudflare Gateway, chránit provoz mezi lokalitami a datovými centry ve vašich privátních sítích.

Konektivita provozu privátní sítě Site to Site

Nejprve se podívejme na případ užití, kdy nechcete provoz privátní sítě typu site-to-site podrobit proxy firewallové službě Cloudflare Gateway a chcete jej jednoduše směrovat pomocí služby Cloudflare WAN.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

1. Každá lokalita směruje provoz privátní sítě mezi lokalitami, určený pro druhé datové centrum, do Cloudflare WAN přes odpovídající připojení CNI. Ve vaší lokalitě to můžete zajistit libovolnou technikou směrování dle vlastní volby, například pomocí policy based routing (PBR).
2. Po vstupu do sítě Cloudflare je provoz směrován přes Cloudflare Network Firewall.
3. Cloudflare Network Firewall podřizuje provoz všem nakonfigurovaným zásadám síťového firewallu.
4. Provoz, který projde pravidly Cloudflare Network Firewall a nemá být dále proxován službou Cloudflare Gateway, je směrován zpět do cílové sítě přes odpovídající CNI.

Provoz privátní sítě Site to Site se zabezpečením na úrovni aplikace

Pro případ užití, kdy chcete na určitý provoz privátní sítě uplatnit zásady na úrovni aplikace kvůli jemnější kontrole a zabezpečení, můžete tento provoz směrovat a proxovat přes službu Cloudflare WAN a Cloudflare Gateway. Následující diagram znázorňuje architekturu a tok paketů pro takové případy užití.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

1. Každá lokalita směruje provoz privátní sítě určený pro druhé datové centrum do Cloudflare WAN přes odpovídající připojení CNI. Ve vaší lokalitě to můžete zajistit libovolnou technikou směrování dle vlastní volby, například pomocí policy based routing (PBR).
2. Po vstupu do sítě Cloudflare je provoz směrován přes Cloudflare Network Firewall, kde podléhá všem nakonfigurovaným zásadám síťového firewallu.
3. Po průchodu Cloudflare Network Firewall je provoz následně směrován do Cloudflare Gateway, naší služby secure web gateway.
4. Cloudflare Gateway podrobuje provoz libovolným nakonfigurovaným zásady které vynucují komplexní soubor bezpečnostních a kontrolních opatření a zajišťují tak maximální ochranu vašich sítí. Jakmile provoz projde kontrolou, Gateway ho přeposílá do cílové privátní sítě. Zdrojové IP adresy přeposílaného provozu tvoří IP adresy vlastněné společností Cloudflare, přidružené ke službě Gateway.
5. Proxovaný provoz je cestou do cílové privátní sítě znovu směrován přes Cloudflare Network Firewall, kde probíhá další filtrování paketů.
6. Provoz, který projde filtrováním Cloudflare Network Firewall, je z Cloudflare směrován do lokalit vaší sítě přes odpovídající CNI, jež přenášejí provoz soukromé sítě.

Diagram referenční architektury níže znázorňuje, jak lze pomocí služeb Cloudflare, konkrétně Cloudflare WAN, Cloudflare Network Firewall a Cloudflare Gateway, chránit odchozí internetový provoz z privátních sítí datových center. Případy použití a ochrana serverů v privátních sítích jsou velmi podobné těm, které popisuje předchozí část o ochraně přístupu k internetu z veřejně přístupných sítí. Rozdíl spočívá v tom, že servery mají privátní IP adresy a v této části se používá služba Cloudflare WAN, zatímco v předchozí části měly servery veřejné IP adresy a používal se Magic Transit.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

1. Každá lokalita směruje odchozí internetový provoz ze svých privátních sítí do Cloudflare WAN přes odpovídající připojení CNI. Ve vaší lokalitě to můžete zajistit libovolnou technikou směrování dle vlastní volby, například pomocí policy based routing (PBR).
2. Po vstupu do sítě Cloudflare je odchozí internetový provoz nejprve směrován přes Cloudflare Network Firewall, kde podléhá všem nakonfigurovaným zásadám síťového firewallu.
3. Provoz, který projde Cloudflare Network Firewall, je následně odeslán do Cloudflare Gateway, naší služby secure web gateway, kde jakýkoli nakonfigurovaný zásady prosazují komplexní sadu bezpečnostních a kontrolních opatření pro odchozí provoz a zajišťují tak maximální ochranu vašich sítí.
4. Jakmile provoz projde kontrolou, Gateway ho jako proxy přesměruje k cílům na internetu. Zdrojové IP adresy odchozího provozu jsou adresy IP vlastněné Cloudflare a přidružené ke službě Gateway.
5. Zpětný provoz z internetu směřující na IP adresy Cloudflare spojené se službou Gateway je směrován do globální sítě Cloudflare.
6. Provoz je kontrolován podle zásad Gateway.
7. Zpětný provoz, který projde kontrolou Gateway, je dále směrován na Cloudflare Network Firewall k filtrování paketů.
8. Zpětný provoz, který projde filtrováním Cloudflare Network Firewall, je z Cloudflare směrován do vašich síťových lokalit pomocí CNI přenášejících provoz soukromé sítě.

• Cloudflare Magic Transit
• Cloudflare DDoS Protection
• Referenční architektura Magic Transit
• Cloudflare Network Interconnect
• Cloudflare Cloudflare Network Firewall
• Cloudflare WAN
• Cloudflare Gateway
• Integrace služeb Cloudflare Magic a Cloudflare Gateway