← Справочные архитектуры / reference-architecture / diagrams / network

Защита сетей дата-центров

Команды сетевой безопасности традиционно использовали различные сетевые файрволы или защитные устройства на периметре для защиты сетей своих дата-центров от внешних и внутренних угроз, например DDoS-атак, вредоносного ПО, программ-вымогателей, фишинга, утечки конфиденциальной информации и так далее. Кроме того, такие же или дополнительные файрволы и защитные устройства развёрнуты на DMZ ↗ или уровне ядра сетей центров обработки данных для контроля и защиты внутреннего частного сетевого трафика, направляемого между несколькими площадками центров обработки данных через глобальную сеть (WAN).

Однако такие межсетевые экраны и защитные устройства часто оказываются дорогостоящими, сложными в настройке и управлении, трудно масштабируемыми для отражения крупных атак и требуют обновлений и патчей для защиты от новых обнаруженных угроз и уязвимостей.

Cloudflare Magic Transit, Cloudflare WAN (ранее Magic WAN), Cloudflare Network Firewall и Cloudflare Gateway сервисов, работающих нативно на Масштабная глобальная сеть Cloudflare ↗ решают все перечисленные выше проблемы и не только. Эти сервисы обеспечивают встроенную, масштабируемую и производительную глобальную защиту сетей ваших центров обработки данных, всё в рамках единой облачной сетевой платформы.

• Magic Transit ↗ обеспечивает мгновенное обнаружение и подавление DDoS атак на сетевом уровне для ваших публичных сетей, обращённых в интернет.
• Cloudflare WAN ↗ обеспечивает безопасное соединение по принципу «любой к любому» между вашими частными корпоративными сетями в гибридных и мультиоблачных средах.
• Cloudflare Network Firewall это облачный сетевой файрвол, который можно использовать для фильтрации трафика, направляемого в сети и из сетей, защищенных Magic Transit. Он также поддерживает такие функции, как Обнаружение вторжений (IDS) и захват пакетов.
• Gateway ↗ это сервис защищенного веб-шлюза (SWG), который позволяет проверять и контролировать как исходящий в интернет трафик из ваших сетей, так и трафик между частными сетями (то есть east-west), проксируя его через глобальную сеть Cloudflare и применяя политики на основе DNS, сети и HTTP политики.

Этот документ посвящен именно эталонным архитектурам использования служб Cloudflare Magic Transit, Cloudflare WAN, Cloudflare Network Firewall и Cloudflare Gateway для защиты как внешних, так и внутренних коммуникаций с сетями вашего дата-центра. Подробнее о том, как работают Magic Transit, Cloudflare WAN, Cloudflare Network Firewall и Cloudflare Gateway и как их можно спроектировать для различных сценариев использования, см. в связанных ресурсах в конце документа.

Чтобы показать архитектуру и принцип её работы, на следующих диаграммах представлена условная организация с сетями дата-центров, часть которых обращена вовне и подключает пользователей из интернета, а часть работает как внутренняя, обеспечивая связь внутри компании. Эти сети развёрнуты в двух локальных офисах. Префиксы внешних сетей защищаются с помощью Cloudflare Magic Transit.

Пограничный маршрутизатор (или маршрутизаторы) в каждом дата-центре подключён к сети Cloudflare через два Direct Cloudflare Network Interconnect (CNI) соединения, представляющие собой прямые частные соединения между вашей сетью и сетью Cloudflare. Одно из Direct CNI соединений предназначено для публичного трафика, а другое для частного сетевого трафика. При желании можно передавать и публичный, и частный трафик через одно CNI соединение, но многие организации в целях безопасности предпочитают передавать внешний и внутренний трафик по отдельным соединениям.

• В дата-центре 1 соединение CNI 1 используется для передачи общедоступного сетевого трафика, а соединение 2 используется для передачи приватного сетевого трафика.
• В дата-центре 2 соединение CNI 3 используется для передачи общедоступного сетевого трафика, а соединение 4 используется для передачи приватного сетевого трафика.

Схема эталонной архитектуры ниже показывает, как Cloudflare Magic Transit и Cloudflare Network Firewall можно использовать для защиты общедоступных сетей центров обработки данных от входящего трафика из интернета.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

1. Используя Border Gateway Protocol (BGP ↗) и IP anycast ↗, Cloudflare анонсирует защищенные префиксы IP-адресов клиента в интернете из всех Глобальные дата-центры Cloudflare ↗. При этом локальные сети перестают анонсировать те же самые префиксы со своих локальных пограничных маршрутизаторов. Это гарантирует, что весь трафик проходит через Cloudflare для защиты Magic Transit от DDoS-атак и применения политик, прежде чем попасть в дата-центр клиента. Интернет-трафик, предназначенный для этих защищенных IP-префиксов, всегда направляется в дата-центр Cloudflare, ближайший к источнику трафика. При желании можно анонсировать в интернет менее специфичные IP-префиксы с пограничных маршрутизаторов. Тогда в маловероятном случае сбоя сервиса Magic Transit трафик можно будет быстро перенаправить напрямую к сетевым узлам из интернета.
2. Трафик, поступающий из интернета и предназначенный для защищённых IP-префиксов, принимается глобальной сетью Cloudflare.
3. Весь трафик DDoS-атак нейтрализуется на месте, близко к источникам, в каждом дата-центре Cloudflare с помощью передовых и автоматизированных Подавление DDoS-атак технологий.
4. Трафик, прошедший защиту от DDoS, подвергается дополнительной фильтрации на сетевом межсетевом экране с помощью Cloudflare Network Firewall.
5. Очищенный, отфильтрованный трафик направляется в защищённые сети через Direct Cloudflare Network Interconnect (CNI) соединения.
6. Существует два способа маршрутизации обратного трафика от сервера к клиентам. Первый заключается в том, чтобы направлять его напрямую из дата-центра в интернет в обход сети Cloudflare. Этот метод называется прямым возвратом сервера (Direct Server Return, DSR). Он приводит к асимметричной маршрутизации двунаправленного трафика, что может создавать проблемы с сетевой безопасностью и фильтрацией трафика, если на пути следования, будь то в других частях дата-центра или между дата-центром и интернетом, находятся устройства с отслеживанием состояния, такие как межсетевые экраны или устройства NAT. Необходимо убедиться, что в вашей сети такой проблемы не возникает. Второй способ заключается в симметричной маршрутизации обратного трафика сервера через сеть Cloudflare по тому же соединению, что используется для трафика от клиента к серверу, с помощью Magic Transit Egress. Этот метод показан на диаграмме выше: обратный трафик серверов направляется в сеть Cloudflare через те же CNI, по которым публичный сетевой трафик передается от Cloudflare к дата-центру, с использованием таких методов маршрутизации, как policy-based routing (PBR) на ваших площадках.
7. Исходящий трафик Magic Transit Egress проходит фильтрацию Cloudflare Network Firewall, прежде чем попасть в интернет к пользователям.

Схема эталонной архитектуры ниже показывает, как сервисы Cloudflare, а именно Magic Transit (Egress), Cloudflare Network Firewall и Cloudflare Gateway, можно использовать для защиты исходящего интернет трафика из общедоступных сетей центров обработки данных, то есть серверов с публичными IP адресами.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

1. Сеть каждого сайта направляет исходящий интернет-трафик из публично доступных сетей в Cloudflare через те же CNI, по которым проходит входящий трафик. На вашей стороне это можно реализовать любым удобным способом маршрутизации, например с помощью policy based routing (PBR).
2. При попадании в сеть Cloudflare исходящий интернет-трафик сначала направляется через Cloudflare Network Firewall, где к нему применяются настроенные политики сетевого firewall.
3. Исходящий интернет-трафик затем направляется в Cloudflare Gateway, наш сервис безопасного веб-шлюза, где различные политики применяют полный набор мер безопасности и контроля к исходящему трафику, обеспечивая максимальную защиту ваших сетей. Например, политики Gateway DNS и HTTP можно настроить так, чтобы серверы не могли подключаться к сомнительным сайтам в интернете и загружать вредоносное или иное опасное содержимое.
4. После того как трафик проходит проверку, Gateway проксирует исходящий трафик к местам назначения в интернете. В качестве исходных IP-адресов исходящего трафика используются IP-адреса Cloudflare, связанные с сервисом Gateway; при желании вы можете приобрести и настроить свой собственный исходящий IP-адрес
5. Обратный трафик из интернета, предназначенный для IP-адресов Cloudflare, связанных со службой Gateway, направляется в глобальную сеть Cloudflare.
6. Трафик проверяется на соответствие политикам Gateway.
7. Обратный трафик, прошедший проверку Gateway, направляется в Cloudflare Network Firewall для дальнейшей фильтрации пакетов.
8. Обратный трафик, прошедший фильтрацию Cloudflare Network Firewall, направляется из Cloudflare в ваши сетевые локации через CNI, передающие трафик публичной сети.

Схемы эталонной архитектуры ниже показывают, как сервисы Cloudflare (Cloudflare WAN, Cloudflare Network Firewall и Cloudflare Gateway) можно использовать для защиты трафика между площадками и между центрами обработки данных в ваших частных сетях.

Связность приватного сетевого трафика между площадками

Сначала рассмотрим сценарий, в котором вы не планируете направлять межсайтовый приватный сетевой трафик через прокси-сервис межсетевого экрана Cloudflare Gateway, а просто маршрутизируете его через сервис Cloudflare WAN.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

1. Каждый сайт направляет трафик частной сети между сайтами, предназначенный для другого дата-центра, в Cloudflare WAN через соответствующие подключения CNI. На вашей стороне это можно реализовать любым удобным способом маршрутизации, например с помощью policy based routing (PBR).
2. При попадании в сеть Cloudflare трафик направляется через Cloudflare Network Firewall.
3. Cloudflare Network Firewall применяет к трафику все настроенные политики сетевого файрвола.
4. Трафик, прошедший правила Cloudflare Network Firewall и не предназначенный для дальнейшего проксирования сервисом Cloudflare Gateway, направляется обратно в целевую сеть через соответствующий CNI.

Приватный сетевой трафик между площадками с контролем безопасности на уровне приложений

Для сценария, где вы хотите применять политику уровня приложения для точного контроля и защиты определённого приватного сетевого трафика, можно маршрутизировать и проксировать такой трафик через сервисы Cloudflare WAN и Cloudflare Gateway. На следующей схеме показаны архитектура и путь пакетов для такого сценария.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

1. Каждый сайт направляет трафик частной сети, предназначенный для другого дата-центра, в Cloudflare WAN через соответствующие подключения CNI. На вашей стороне это можно реализовать любым удобным способом маршрутизации, например с помощью policy based routing (PBR).
2. При попадании в сеть Cloudflare трафик направляется через Cloudflare Network Firewall, где к нему применяются настроенные политики сетевого firewall.
3. После прохождения Cloudflare Network Firewall трафик далее направляется на Cloudflare Gateway, наш сервис безопасного веб-шлюза.
4. Cloudflare Gateway применяет к трафику все настроенные L3-7 политики которые применяют комплексный набор мер безопасности и контроля, обеспечивая максимальную защиту ваших сетей. После прохождения проверки Gateway проксирует трафик в целевую частную сеть. IP-адреса источника проксируемого трафика принадлежат Cloudflare и связаны с сервисом Gateway.
5. Проксируемый трафик на пути к целевой частной сети снова проходит через Cloudflare Network Firewall для дополнительной фильтрации пакетов.
6. Трафик, прошедший фильтрацию Cloudflare Network Firewall, направляется из Cloudflare в локации вашей сети через соответствующие CNI, которые передают трафик частной сети.

Схема эталонной архитектуры ниже показывает, как сервисы Cloudflare (Cloudflare WAN, Cloudflare Network Firewall и Cloudflare Gateway) можно использовать для защиты исходящего интернет трафика из частных сетей центров обработки данных. Сценарии использования и уровень защиты серверов в частных сетях очень похожи на описанные в предыдущем разделе о защите доступа в интернет из общедоступных сетей. Различие в том, что серверы имеют частные IP адреса и в этом разделе используется сервис Cloudflare WAN, тогда как в предыдущем разделе серверам назначены публичные IP адреса и используется сервис Magic Transit.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

1. Каждый сайт направляет исходящий интернет-трафик из своих частных сетей в Cloudflare WAN через соответствующие подключения CNI. На вашей стороне это можно реализовать любым удобным способом маршрутизации, например с помощью policy based routing (PBR).
2. При попадании в сеть Cloudflare исходящий интернет-трафик сначала направляется через Cloudflare Network Firewall, где к нему применяются настроенные политики сетевого firewall.
3. Трафик, прошедший Cloudflare Network Firewall, затем отправляется в Cloudflare Gateway, наш сервис безопасного веб-шлюза, где любой настроенный политики применяют полный набор мер безопасности и контроля к исходящему трафику, обеспечивая максимальную защиту ваших сетей.
4. После того как трафик проходит проверку, Gateway проксирует исходящий трафик к местам назначения в интернете. В качестве исходных IP-адресов исходящего трафика используются IP-адреса Cloudflare, связанные с сервисом Gateway.
5. Обратный трафик из интернета, предназначенный для IP-адресов Cloudflare, связанных со службой Gateway, направляется в глобальную сеть Cloudflare.
6. Трафик проверяется на соответствие политикам Gateway.
7. Обратный трафик, прошедший проверку Gateway, направляется в Cloudflare Network Firewall для дальнейшей фильтрации пакетов.
8. Обратный трафик, прошедший фильтрацию Cloudflare Network Firewall, направляется из Cloudflare в ваши сетевые локации через CNI, передающие трафик частной сети.

• Cloudflare Magic Transit
• Cloudflare DDoS Protection
• Эталонная архитектура Magic Transit
• Cloudflare Network Interconnect
• Cloudflare Cloudflare Network Firewall
• Cloudflare WAN
• Cloudflare Gateway
• Интеграция сервисов Cloudflare Magic и Cloudflare Gateway