← Referenční architektury / reference-architecture / diagrams / network
Ochrana hybridních cloudových sítí pomocí Cloudflare Magic Transit
Úvod
Ochrana síťové infrastruktury před útoky DDoS vyžaduje jedinečnou kombinaci síly a rychlosti. Objemové útoky dokážou snadno zahltit lokální hardwarová zařízení pro ochranu před DDoS i jejich internetová připojení s omezenou šířkou pásma.
Cloudová řešení ochrany proti DDoS jsou pružnější, efektivnější a lépe škálovatelná, ale většině řešení na trhu chybí globální síťové pokrytí a hustota scrubbing center potřebná k udržení dobrého výkonu sítě. Řešení s tímto nedostatkem musí přesměrovávat zákaznický provoz do málo rozmístěných scrubbing center, která jsou často tisíce mil od místa, kde provoz do sítě původně vstoupil, což přidává výraznou latenci a nevyhnutelně ovlivňuje celkový výkon a průchodnost sítě.
Cloudflare Magic Transit poskytuje cloud-native ochranu před DDoS útoky v reálném čase (in-line) a akceleraci provozu pro všechny vaše sítě přístupné z internetu, které obsluhují příchozí uživatelský provoz z internetu, bez ohledu na to, kde jsou nasazeny, ať už on-premise, v cloudu, nebo v kombinaci obou (tedy v hybridní architektuře). Díky datacentrům rozmístěným ve stovkách měst a kapacitě zmírňování útoků v řádu stovek Tb/s dokáže Magic Transit celosvětově odhalit a zmírnit útoky blízko jejich zdroje za méně než 3 sekundy.
Podrobnosti o tom, jak Magic Transit funguje a jak ho lze navrhnout pro různé případy použití, jsou popsány v souvisejících zdrojích na konci tohoto dokumentu: Cloudflare Magic Transit a Referenční architektura Magic Transit.
Tento dokument se na několika běžných scénářích zaměřuje na referenční architektury nasazení Magic Transit pro ochranu hybridní cloudové síťové infrastruktury.
Scénář 1: zákazník používá BYOIP jak pro on-premise, tak pro cloudová síťová nasazení
V tomto scénáři existuje více síťových prefixů o velikosti /24 nebo větší, které je třeba chránit pomocí Magic Transit. Tyto sítě jsou nasazeny jak v lokalitách on-premise, tak napříč regiony více poskytovatelů cloudu.
Pro ilustraci je níže uveden příklad seznamu lokalit sítí dostupných z internetu a jejich příslušných IP prefixů.
AWS VPC: 192.0.2.0/24
GCP VPC: 198.51.100.0/24
Azure vNet: 203.0.113.0/26
On-premise data center 1: 203.0.113.64/26
On-premise data center 2: 203.0.113.128/25
Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.
- Pomocí Border Gateway Protocol (BGP ↗), Cloudflare inzeruje chráněné IP prefixy zákazníka do internetu ze všech globálních datových center Cloudflare, což umožňuje IP Anycast ↗, aby internetový provoz směřující na tyto chráněné prefixy IP byl vždy směrován do datového centra Cloudflare nejbližšího zdroji provozu.
Zároveň by síť (sítě) on-premise a síť (sítě) cloudového poskytovatele přestaly ze svých hraničních routerů on-premise a cloudových hraničních routerů inzerovat tytéž prefixy. Tím se zajistí, že veškerý internetový provoz směřující na IP prefixy chráněné službou Magic Transit bude směrován přes síť Cloudflare.
Místo toho mohou ze svých hraničních routerů do internetu inzerovat méně specifické prefixy IP adres. Díky tomu lze v nepravděpodobném případě, kdy by služba Magic Transit selhala, provoz rychle přesměrovat přímo k síťovým lokalitám z internetu.
- Provoz pocházející z internetu a směřující na chráněné IP prefixy je globálně přijímán do sítě Cloudflare.
- Veškerý provoz je čištěn, tedy provoz útoku DDoS je odstraněn a zmírněn přímo v datové cestě v každém datovém centru Cloudflare pomocí pokročilých a automatizovaných Zmírnění útoků DDoS technologií.
- Provoz, který projde zmírněním DDoS útoků, dále prochází dodatečným filtrováním síťového firewallu pomocí zahrnutého Cloudflare Network Firewall služba.
- Čistý, filtrovaný provoz je do chráněných sítí směrován buď prostřednictvím privátních připojení nazývaných Cloudflare Network Interconnect (CNI), nebo přes veřejný internet pomocí standardních IP tunelů, jako jsou tunely GRE nebo IPsec. Podrobnější informace o IP tunelech Magic Transit najdete v Dokumentace k tunelům a zapouzdření Magic Transit.
- Zpětný provoz serveru z chráněných prefixů IP k uživatelům na internetu se z lokalit hybridního cloudu směruje přímo přes internet, mimo síť Cloudflare. Tomu se říká direct server return (DSR). Aby bylo možné DSR použít, musíte mít u svého poskytovatele cloudových služeb zavedeno BYOIP.
Díky tomu, že služba Magic Transit funguje jako jediné konsolidované cloudově nativní řešení ochrany sítě běžící globálně na síti Cloudflare, jsou vaše globální, hybridní cloudové sítě přístupné z internetu dobře chráněny před útoky DDoS a dalšími škodlivými útoky bez ohledu na to, kde a v jakých prostředích jsou nasazeny.
Další výhodou používání konsolidovaných, cloud native řešení pro ochranu sítě je možnost snadno migrovat nebo přesouvat sítě přístupné z internetu mezi jednotlivými hybridními cloudovými prostředími, aniž by tyto sítě kdy přišly o ochranu. Stačí k tomu jednoduše změnit trasy v konfiguraci Magic Transit tak, aby provoz směrovaly do nové lokality.
Scénář 2: zákazník si pronajímá IP adresu od Cloudflare jak pro on-premise, tak pro cloudová síťová nasazení
Pokud nevlastníte žádné síťové prefixy o velikosti /24 nebo větší, ale přesto chcete použít Magic Transit k ochraně svých sítí, můžete pronajmout si IP adresy od Cloudflare, které se přiřadí těmto menším sítím. Následující diagram znázorňuje architekturu takového nasazení. Podobně jako v předchozím scénáři jsou tyto zákaznické sítě nasazeny jak v lokálních prostředích, tak napříč regiony více poskytovatelů cloudu.
Pro ilustraci je níže uveden příklad seznamu lokalit sítí dostupných z internetu a jejich příslušných IP prefixů.
AWS VPC: 192.0.2.0/28
GCP VPC: 192.0.2.16/28
Azure vNet: 192.0.2.32/28
On-premise data center 1: 192.0.2.48/28
On-premise data center 2: 192.0.2.64/28
Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.
- Pomocí Border Gateway Protocol (BGP) Cloudflare inzeruje do internetu své vlastní IP prefixy, mezi něž patří i IP adresy, které si pronajímáte.
[Kroky 2 až 5 jsou stejné jako u scénáře 1 výše]
- Zpětný provoz serveru se zdrojovými IP adresami pronajatými od Cloudflare nelze k internetu směrovat přímo přes hraniční routery jednotlivých lokalit. Tento provoz musí být k internetu směrován zpět přes síť Cloudflare, a to pomocí Magic Transit Egress funkcionalitu. Do sítě Cloudflare je lze odeslat přes stejná CNI nebo IP tunely, kterými procházel příchozí (Ingress) provoz, pomocí směrovacích technik jako je směrování na základě zásad (policy-based routing, PBR) ve vašich lokalitách.
- Odchozí provoz (egress) Magic Transit prochází filtrováním přes Network Firewall, než je směrován dál na internet k uživatelům.
Scénář 3: zákazník používá BYOIP pro on-premise sítě a pronajímá si IP adresu od Cloudflare pro cloudová síťová nasazení
V tomto scénáři můžete nasadit větší sítě on-premise a menší sítě v cloudu. Sítím on-premise přiřadíte vlastní prefixy IP /24, zatímco pro sítě v cloudu si IP adresy pronajmete od Cloudflare.
Pro ilustraci je níže uveden příklad seznamu lokalit sítí dostupných z internetu a jejich příslušných IP prefixů.
AWS VPC: 192.0.2.0/28
GCP VPC: 192.0.2.16/28
Azure vNet: 192.0.2.32/28
On-premise data center 1: 198.51.100.0/24
On-premise data center 2: 203.0.113.0/24
Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.
- Pomocí Border Gateway Protocol (BGP) Cloudflare inzeruje do internetu jak IP prefixy vlastněné zákazníky, tak IP prefixy vlastněné Cloudflare.
[Kroky 2 až 5 jsou stejné jako u scénáře 1 výše]
- Zpětný provoz serveru z vašich cloudových sítí se k internetu směruje zpět přes síť Cloudflare pomocí funkce Magic Transit Egress. Do sítě Cloudflare jej lze odeslat stejnými rozhraními CNI nebo IP tunely, kterými procházel příchozí provoz, a to pomocí směrovacích technik, jako je policy-based routing (PBR), na vašich fyzických lokalitách.
- Tento výstupní provoz Magic Transit Egress prochází filtrováním přes Network Firewall ještě předtím, než je směrován do internetu k uživatelům.
- Zpětný provoz serveru z lokálních sítí (on-premises) k uživatelům na internetu se odesílá metodou direct server return (DSR), tedy mimo síť Cloudflare.
Poznámka: Zákazníci se také mohou alternativně rozhodnout směrovat zpětný provoz serverů z on-premise sítí přes Cloudflare pomocí směrování na základě zásad a funkce Magic Transit Egress. Tím se pro odchozí provoz přidává další vrstva zabezpečení a kontroly díky filtrování Network Firewall. Může tak například blokovat provoz směřující na podezřelé IP adresy a weby, zakázané cíle nebo země.