INTEGRITY Dokumentace

← Referenční architektury / reference-architecture / diagrams / network

Ochrana veřejných sítí pomocí Cloudflare

Úvod

Týmy zabývající se síťovým zabezpečením tradičně na perimetru své sítě nasazovaly různé síťové firewally nebo bezpečnostní appliance, aby ochránily své veřejně dostupné sítě před externími i interními hrozbami, jako jsou útoky DDoS, malware, ransomware, phishing nebo únik citlivých informací. Tyto firewally a bezpečnostní appliance jsou však často nákladné, složité na konfiguraci a správu, obtížně se škálují při velkých útocích a chybí jim flexibilita pro rychlé nasazení aktualizací a záplat proti nově objeveným hrozbám a zranitelnostem.

Cloudflare Magic Transit, Cloudflare Network Firewall, a Cloudflare Gateway služeb běžících nativně na Rozsáhlá globální síť Cloudflare ↗ poskytují řešení všech výše popsaných nedostatků i dalších problémů. Tyto služby nabízejí přímou, automatickou a škálovatelnou ochranu sítě pro všechny vaše sítě přístupné z internetu, aniž by zpomalovaly výkon, bez ohledu na to, kde jsou nasazeny, ať už lokálně, v cloudu, nebo v kombinaci obojího (tedy v hybridní architektuře).

Podrobnosti o tom, jak fungují Magic Transit, Cloudflare Network Firewall a Gateway a jak lze tyto produkty navrhnout pro různé případy použití, najdete v odkazovaných zdrojích na konci dokumentu. Tento dokument se zaměří konkrétně na referenční architektury využití služeb Cloudflare Magic Transit, Cloudflare Network Firewall a Cloudflare Gateway k ochraně veřejné síťové infrastruktury přístupné z internetu.

Pro znázornění architektury a jejího fungování zobrazují následující diagramy příklad firmy s několika veřejně přístupnými sítěmi. Tyto sítě jsou nasazeny v 5 různých lokalitách, jak lokálně, tak napříč několika veřejnými cloudy.

AWS VPC: 192.0.2.0/24
GCP VPC: 198.51.100.0/24
Azure vNet: 203.0.113.0/26
On-premises data center 1: 203.0.113.64/26
On-premises data center 2: 203.0.113.128/25

Ochrana příchozího síťového provozu

Diagram referenční architektury níže znázorňuje, jak lze pomocí Cloudflare Magic Transit a Cloudflare Network Firewall chránit veřejné sítě před příchozím provozem z internetu.

Obrázek 1: Ochrana veřejných sítí před příchozím provozem z internetu.
Obrázek 1: Ochrana veřejných sítí před příchozím provozem z internetu.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

  1. Pomocí Border Gateway Protocol (BGP ↗) a IP anycast ↗, Cloudflare inzeruje chráněné IP prefixy zákazníka do internetu ze všech globálních datových center Cloudflare. Internetový provoz směřující na tyto chráněné IP prefixy je vždy směrován do datového centra Cloudflare, které je nejblíže zdroji provozu.

    Zároveň by síť (sítě) on-premises a síť (sítě) cloudového poskytovatele přestaly ze svých hraničních routerů on-premises a cloudových hraničních routerů inzerovat tytéž prefixy. Tím se zajistí, že veškerý internetový provoz směřující na IP prefixy chráněné službou Magic Transit bude směrován přes síť Cloudflare.

    Místo toho můžete z hraničních routerů do internetu inzerovat méně specifické prefixy IP adres. Díky tomu lze v nepravděpodobném případě výpadku služby Magic Transit provoz rychle přesměrovat přímo k síťovým lokalitám z internetu.

  2. Provoz pocházející z internetu a směřující na chráněné IP prefixy je přijímán do globální sítě Cloudflare.

  3. Veškerý provoz útoku DDoS je zmírňován přímo v datové cestě, v každém datovém centru Cloudflare, pomocí pokročilých a automatizovaných Zmírnění útoků DDoS technologií.

  4. Provoz, který projde zmírněním DDoS útoků, dále prochází dodatečným filtrováním síťového firewallu pomocí zahrnutého Cloudflare Network Firewall služba.

  5. Čistý, filtrovaný provoz je do chráněných sítí směrován buď prostřednictvím privátních Cloudflare Network Interconnect (CNI), nebo přes veřejný internet pomocí tunelů GRE nebo IPsec. Podrobnější informace o IP tunelech Magic Transit najdete v Dokumentace k tunelům a zapouzdření Magic Transit.

  6. Zpětný provoz serveru se k internetu směruje zpět přes síť Cloudflare pomocí Magic Transit Egress. Do sítě Cloudflare jej lze směrovat přes stejná CNI nebo tunely GRE či IPsec, kterými procházel příchozí (ingress) provoz, a to pomocí směrovacích technik, jako je policy-based routing (PBR), na vašich lokalitách.

  7. Odchozí provoz (egress) Magic Transit prochází filtrováním přes Cloudflare Network Firewall, než je směrován dál na internet k uživatelům.

Ochrana odchozího síťového provozu

Diagram referenční architektury níže znázorňuje, jak lze pomocí služeb Cloudflare, konkrétně Magic Transit (Egress), Cloudflare Network Firewall a Cloudflare Gateway, chránit odchozí internetový provoz z veřejných sítí.

Obrázek 2: Ochrana odchozího internetového provozu pocházejícího z veřejných sítí.
Obrázek 2: Ochrana odchozího internetového provozu pocházejícího z veřejných sítí.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

  1. Síť každé lokality směruje odchozí internetový provoz z veřejných sítí do Cloudflare přes stejná CNI a IP tunely, kterými prochází i příchozí provoz. Ve vaší lokalitě to můžete zajistit libovolnou technikou směrování dle vlastní volby, například pomocí policy based routing (PBR).
  2. Po vstupu do sítě Cloudflare je odchozí internetový provoz nejprve směrován přes Cloudflare Network Firewall, kde podléhá všem nakonfigurovaným zásadám síťového firewallu.
  3. Odchozí internetový provoz je následně odesílán do Cloudflare Gateway, naší služby secure web gateway, kde různé zásady prosazují komplexní sadu bezpečnostních a kontrolních opatření pro odchozí provoz a zajišťují tak maximální ochranu vašich sítí.
  4. Jakmile provoz projde kontrolou, Gateway ho jako proxy přesměruje k cílům na internetu. Zdrojové IP adresy odchozího provozu jsou adresy IP vlastněné Cloudflare a přidružené ke službě Gateway.
  5. Zpětný provoz z internetu směřující na IP adresy Cloudflare spojené se službou Gateway je směrován do globální sítě Cloudflare.
  6. Provoz je kontrolován podle zásad Gateway.
  7. Zpětný provoz, který projde kontrolou Gateway, je případně dále směrován na Cloudflare Network Firewall k filtrování paketů.
  8. Zpětný provoz, který projde filtrováním Cloudflare Network Firewall, je z Cloudflare směrován do vašich síťových lokalit přes internet pomocí CNI nebo IP Tunnels.