← Referenční architektury / reference-architecture / diagrams / sase

Možnosti nasazení Cloudflare One Appliance

Cloudflare pomáhá organizacím transformovat jejich sítě tím, že poskytuje zabezpečenou a vysoce výkonnou konektivitu pro on-premises sítě, virtuální cloudové sítě a přístup k SaaS aplikacím. S tím, jak se aplikace přesouvají do cloudu, SASE Cloudflare ↗ umožňuje firmám nahradit tradiční řešení provozovaná lokálně a zajišťuje zabezpečený přístup, nízkou latenci a automatickou škálovatelnost napříč distribuovanými prostředími. Tento přístup snižuje závislost na zastaralém hardwaru, zjednodušuje správu IT a zlepšuje uživatelský komfort cloudových služeb.

Cloudflare One Appliance (dříve Magic WAN Connector) je fyzické nebo virtuální zařízení (nasazené jako VM na hypervisoru), které pomocí Zero Touch Provisioning ↗, automaticky přivádí provoz lokální sítě do Cloudflare (on-ramp) a nahrazuje stávající, obtížně spravovatelný hardware na okraji sítě.

Každá organizace a síť je jiná, a proto neexistuje univerzální řešení pro nasazení Cloudflare One Appliance. Účelem tohoto dokumentu je proto na obecné úrovni vysvětlit možnosti nasazení, které dávají smysl ve většině prostředí, a zároveň popsat podporu několika pokročilých případů užití.

Prvním rozhodnutím při nasazování Cloudflare One Appliance je jeho umístění v síti, což souvisí s tím, zda si organizace chce ponechat stávající zařízení CPE (Customer Premises Equipment, hraniční router nebo firewall na dané lokalitě), a pokud ano, z jakého důvodu. Zkušenosti ukazují, že toto rozhodnutí obvykle vede ke třem různým topologiím:

• Konektor nahrazující CPE (obrázek 1a): Linka je internetové připojení a organizace nemá pro stávající zařízení skutečné využití, protože Connector podporuje všechny potřebné síťové funkce, jako je DHCP, DNS, NAT, trunking (801.1Q), seznamy pro řízení přístupu k IP nebo breakout provoz. Příklady mohou být tyto:

  • Přechod z MPLS na konektivitu založenou na internetu, kde router MPLS už v daném nasazení pravděpodobně nepřináší žádnou hodnotu.
  • Zařízení CPE přístupné z internetu, které se blíží konci životnosti nebo ho již překročilo.
  • Zařízení CPE přístupné z internetu, které je redundantní vůči Cloudflare One Appliance a lze ho pro zjednodušení odstranit.

• Konektor severně od CPE (obrázek 1b): Tato možnost se hodí, pokud je stávající CPE firewall a organizace si ho chce ponechat kvůli:

  • Další ochrana LAN díky přístupu defense-in-depth.
  • Pokročilé požadavky na segmentaci, například povolení nebo blokování provozu mezi segmenty na základě různých pravidel vrstev 3 až 7, protože Cloudflare One Appliance podporuje segmentaci pouze na vrstvách 3 a 4 modelu OSI.

• Konektor jižně od CPE (obrázek 1c): Důvody pro instalaci Cloudflare One Appliance za stávající CPE směrem k internetu mohou být tyto:

  • CPE nelze nahradit, protože se připojuje ke širokopásmové službě s rozhraním (například RJ-11) nebo protokolem (například PPPoE), které Cloudflare One Appliance nepodporuje.
  • CPE nelze nahradit, protože je součástí optické služby, která funguje pouze s konkrétním hardwarem, jako je ONT (Optical Network Terminal) dodaný poskytovatelem.
  • CPE (zatím) nelze nahradit, protože je součástí aktivní spravované služby.
  • CPE nelze nahradit, protože se jedná o firewall, který si organizace chce z jiných důvodů (technických nebo smluvních) ponechat.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

V prostředích rozlehlých sítí (WAN), kde jsou vzájemně propojeny vzdálené pobočky, datacentra a cloudové služby, může jakýkoli výpadek vést ke ztrátě přístupu ke klíčovým aplikacím, narušení komunikace a poklesu produktivity. Aby se těmto výpadkům předešlo, navrhují se WAN sítě většinou s ohledem na principy vysoké dostupnosti (HA). Nasazení redundantního hardwaru a uplinkových okruhů spolu s mechanismy pro převzetí funkce při selhání zajišťuje, že pokud jedna komponenta selže, okamžitě ji nahradí jiná. Tato odolnost je klíčová pro udržení plynulé konektivity, spolehlivosti a nepřerušené dostupnosti služeb v distribuovaných sítích.

Cloudflare One Appliance může pro uplinky využívat dva nebo více portů WAN, takže se pro zajištění odolnosti okruhů může připojit k více různým ISP. Jednou z možností základní úrovně HA je nasadit jediné zařízení Cloudflare One Appliance se dvěma uplinky, mezi nimiž se provoz rozkládá zátěží (obrázek 2 níže). Tento přístup lze použít pro nekritické pobočky, malé kanceláře a další podobné lokality, případně jako mezikrok na cestě k plnému nasazení HA.

V tomto typu nastavení je redundantní zařízení nakonfigurováno tak, aby v případě selhání primárního zařízení převzalo jeho funkci, což umožňuje plynulé přepnutí provozu a nepřerušený přístup k aplikacím, datům a službám. Tento přístup zvyšuje odolnost sítě, zlepšuje spolehlivost služeb a pomáhá udržet produktivitu snížením rizika jednotlivých bodů selhání.

Obrázek 3 níže znázorňuje topologii nasazení, kde Cloudflare One Appliance podporuje plnou vysokou dostupnost (HA). Pomocí volebního procesu se jedno zařízení stane aktivním a druhé pasivním. Aby to bylo možné, musí být oba konektory připojeny ke stejnému přepínači LAN ve stejné doméně vrstvy 2 (například VLAN), aby si mezi sebou mohly posílat zprávy heartbeat. Aktivní/pasivní znamená, že provoz v danou chvíli šíří pouze aktivní konektor.

Každé zařízení Cloudflare One Appliance se připojuje ke stejným dvěma ISP pomocí duálních uplinků a automaticky vytváří jeden tunel IPsec na každý WAN port. To vyžaduje, aby každý ISP podporoval více portů na své lokální síťové koncové jednotce (Network Termination Unit), případně na CPE, pokud je k dispozici. V tomto nasazení s vysokou dostupností (HA) existují celkem čtyři tunely, dva na každý Connector, přičemž provoz lze rozložit mezi oba tunely na aktivním zařízení. Když aktivní Connector nebo jeho tunely IPsec vypadnou, druhý Connector převezme roli a začne provoz přeposílat; v aktivní roli zůstává, dokud sám neselže (preemption se nepoužívá, aby nedocházelo ke zbytečným zpožděním při failoveru).

Tato část popisuje, jak lze nasadit Cloudflare One Appliance pro podporu několika pokročilých případů použití, tedy případů nad rámec typických scénářů, kdy Connector funguje jako jednoduché zařízení CPE směřující provoz do Cloudflare pro připojení a ochranu typu site-to-site nebo site-to-Internet.

Hlavní případ použití tohoto typu nasazení vychází z toho, že mnoho organizací dnes potřebuje lokální výstup do internetu (local Internet breakout) kvůli lepší výkonnosti cloudových a SaaS aplikací, přitom ale pro vlastní hostované aplikace nebo propojení mezi lokalitami zatím nadále využívá privátní připojení MPLS, dokud se v pozdější fázi nerozhodnou svou architekturu dál modernizovat. Důvody pro takové rozhodnutí mohou být:

• Služba MPLS je stále v rámci platné smlouvy, ale po jejím vypršení se počítá s jejím nahrazením internetovým připojením všude
• Self-hosted aplikace mohou vyžadovat nízkou latenci v rámci dohodnutých SLA, a proto může být potřeba hybridní architektura MPLS/Internet

Tento typ hybridní architektury vyžaduje, aby router MPLS Customer Edge (CE) nebo jiné zařízení L3 v síti LAN směrovalo provoz přes různá rozhraní podle cíle. Tok provozu v tomto scénáři vypadá takto:

1. Zařízení v lokální síti používají jako výchozí bránu MPLS CE (nebo jiné lokální L3 zařízení)
2. Privátní provoz se posílá směrem k síti MPLS. Zařízení MPLS CE tyto pakety dokáže směrovat například proto, že přes BGP dostává ze sítě MPLS rozsahy RFC1918.
3. Provoz do internetu z LAN sítě se přesměrovává na zařízení Cloudflare One Appliance (brána MPLS CE/L3 směruje statickou výchozí trasu na Connector)

Veškerý provoz směřující do interních lokalit a k samostatně hostovaným aplikacím prochází přes MPLS, zatímco provoz do cloudových a SaaS aplikací prochází místním internetovým výstupem chráněným bezpečnostními službami Cloudflare.

V některých nasazeních mohou zákazníci chtít chránit jen konkrétní protokoly pomocí bezpečnostních služeb Cloudflare, jako je naše zabezpečená webová brána, zatímco zbylý provoz se směruje přes stávající hraniční zařízení (router nebo firewall). Takový případ užití znázorňuje obrázek 5.

V tomto příkladu chce organizace, aby Cloudflare chránil veškerý webový internetový provoz (HTTP/HTTPS), zatímco zbylý provoz odchází přes stávající firewall. Může jít o provoz směřující do stávajících VPN nebo o neweb provoz opouštějící lokalitu, ale chráněný lokálním firewallem. Tato metoda může využívat funkce směrování na základě zásad (PBR) na lokálním zařízení, například:

1. Lokální zařízení používají jako výchozí bránu on-premises firewall
2. Firewall používá PBR ke směrování odpovídajícího provozu do správného cíle
3. Webový provoz (TCP 80/443) je směrován ke Cloudflare prostřednictvím zařízení Cloudflare One Appliance
4. Veškerý ostatní provoz odchází přes lokální (on-premises) firewall

Pokud je lokálně k dispozici funkce PBR a ISP organizaci poskytuje alespoň dvě veřejné IP adresy, možnosti rozdělení provozu směrem k Cloudflare One Appliance jsou prakticky neomezené a závisí především na konkrétním prostředí a případech užití dané organizace.

Další pokročilou skupinou případů užití, které Cloudflare One Appliance podporuje, je lokální segmentace a ochrana konkrétních místních sítí. Toho lze dosáhnout, v závislosti na současné architektuře organizace, oboru podnikání, bezpečnostních zásadách a požadavcích na compliance, instalací Cloudflare One Appliance na jakékoli místo za hraničním zařízením lokality, čímž se zajistí granulárnější zabezpečení sítě, jak ukazuje obrázek 6 a jak popisují následující odstavce.

V tomto příkladu vytvoří Cloudflare One Appliance tunel IPsec do Cloudflare přes lokální firewall a místní internetové připojení. Podsítě A a B jsou obě připojené k Cloudflare One Appliance, ale nemají mezi sebou přímé spojení. To umožňuje několik případů použití:

• Zabezpečení internetu: Segment 1 dodržuje bezpečnostní zásady Cloudflare a obchází přitom místní zásady firewallu.
• Konektivita site-to-site: Segment 1 se může podle zásad organizace připojit k místním segmentům v jiných lokalitách (nebo k celým pobočkám, například Site 2).

Příklad zároveň ukazuje, jak lze Cloudflare One Appliance použít k zajištění dvou typů segmentace lokální sítě:

• V rámci segmentu: Provoz mezi porty LAN na stejném Connectoru je ve výchozím nastavení blokován, takže podsíť A a podsíť B v segmentu 1 spolu nemohou komunikovat. Administrátor musí tento provoz explicitně povolit pomocí konfigurační logiky podobné seznamům povolených IP adres. Tato možnost směrovat lokální provoz zpět přes porty LAN Connectoru (hairpinning) zabraňuje tomu, aby provoz zbytečně putoval přes platformu Cloudflare (tedy aby cestoval ven a zpět přes tunel IPsec/GRE), což by mohlo vést ke ztrátě propojení mezi těmito segmenty při výpadku internetového okruhu. Tato schopnost proto umožňuje, aby lokální uzly, které nemusí mít přístup k internetu, zůstaly funkční a dostupné pro lokální hostitele v různých segmentech i během výpadků internetu. Týká se to například tiskáren, souborových serverů, síťových úložišť (NAS) a různých zařízení internetu věcí (IoT).
• Mezi segmenty: Zařízení Cloudflare One Appliance nepovoluje na svých portech WAN žádný příchozí provoz. Segmenty 1 a 2 proto spolu nemohou komunikovat.

Shrnuto, Cloudflare One Appliance je zařízení s bezobslužným zřizováním (Zero-Touch Provisioning, ZTP), které organizacím umožňuje připojit se k Cloudflare a využívat pokročilé služby zabezpečení a konektivity při zachování nízkých provozních nákladů.

• Cloudflare WAN: podnikové sítě dodávané z cloudu ↗
• Představujeme Cloudflare One Appliance: nejsnazší způsob, jak se připojit k síti nové generace ↗
• Konfigurace Cloudflare One Appliance