INTEGRITY Документация

← Справочные архитектуры / reference-architecture / diagrams / network

Защита публичных сетей с помощью Cloudflare

Введение

Команды сетевой безопасности традиционно использовали различные сетевые файрволы или защитные устройства на периметре сети для защиты общедоступных сетей от внешних и внутренних угроз, таких как DDoS-атаки, вредоносное ПО, программы-вымогатели, фишинг и утечка конфиденциальной информации. Однако такие файрволы и защитные устройства часто дороги, сложны в настройке и обслуживании, плохо масштабируются для отражения крупных атак и не обладают гибкостью, необходимой для быстрого внедрения обновлений и патчей против новых угроз и уязвимостей.

Cloudflare Magic Transit, Cloudflare Network Firewall, а также Cloudflare Gateway сервисов, работающих нативно на Масштабная глобальная сеть Cloudflare ↗ решают все перечисленные выше проблемы и не только. Эти сервисы обеспечивают встроенную, автоматическую и масштабируемую защиту сети для всех ваших сетей, обращённых в интернет, без снижения производительности, независимо от того, где они развёрнуты: локально, в облаке или в комбинации того и другого, то есть в гибридной архитектуре.

Подробности о том, как работают Magic Transit, Cloudflare Network Firewall и Gateway и как эти продукты можно использовать в различных сценариях, приведены в связанных материалах в конце документа. В этом документе рассматриваются именно эталонные архитектуры использования сервисов Cloudflare Magic Transit, Cloudflare Network Firewall и Cloudflare Gateway для защиты публичной сетевой инфраструктуры, обращённой в интернет.

Чтобы показать архитектуру и принцип её работы, на следующих диаграммах представлена условная организация с набором внешних сетей. Эти сети развёрнуты в пяти разных локациях, как локальных, так и в нескольких публичных облаках.

AWS VPC: 192.0.2.0/24
GCP VPC: 198.51.100.0/24
Azure vNet: 203.0.113.0/26
On-premises data center 1: 203.0.113.64/26
On-premises data center 2: 203.0.113.128/25

Защита входящего сетевого трафика

Схема эталонной архитектуры ниже показывает, как Cloudflare Magic Transit и Cloudflare Network Firewall можно использовать для защиты общедоступных сетей от входящего трафика из интернета.

Рисунок 1: защита общедоступных сетей от входящего трафика из интернета.
Рисунок 1: защита общедоступных сетей от входящего трафика из интернета.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

  1. Используя Border Gateway Protocol (BGP ↗) и IP anycast ↗, Cloudflare анонсирует защищенные префиксы IP-адресов клиента в интернете из всех глобальных дата-центров Cloudflare. Интернет-трафик, предназначенный для этих защищенных префиксов, всегда будет направляться в дата-центр Cloudflare, ближайший к источнику трафика.

    При этом локальные сети и сети облачных провайдеров перестают анонсировать те же самые префиксы со своих локальных и облачных пограничных маршрутизаторов. Это гарантирует, что весь интернет-трафик, предназначенный для IP-префиксов, защищённых Magic Transit, будет направляться через сеть Cloudflare.

    Вместо этого можно анонсировать в интернет менее специфичные префиксы IP с пограничных маршрутизаторов. Тогда в маловероятном случае сбоя сервиса Magic Transit трафик можно будет быстро перенаправить напрямую к точкам сети из интернета.

  2. Трафик, поступающий из интернета и предназначенный для защищённых IP-префиксов, принимается глобальной сетью Cloudflare.

  3. Весь трафик DDoS-атак нейтрализуется на месте в каждом дата-центре Cloudflare с помощью передовых и автоматизированных Подавление DDoS-атак технологий.

  4. Трафик, прошедший защиту от DDoS, подвергается дополнительной фильтрации на сетевом межсетевом экране с помощью встроенного Cloudflare Network Firewall сервис.

  5. Очищенный, отфильтрованный трафик направляется в защищённые сети либо через частные Cloudflare Network Interconnect (CNI) соединения либо публичный интернет с туннелями GRE или IPsec. Более подробную информацию об IP туннелях Magic Transit можно найти в документация Magic Transit Tunnels and Encapsulation.

  6. Обратный трафик сервера маршрутизируется обратно через сеть Cloudflare для выхода в интернет с помощью Magic Transit Egress. Его можно направить в сеть Cloudflare через те же CNI, GRE- или IPsec-туннели, через которые проходил входящий трафик, используя на своих площадках такие методы маршрутизации, как policy-based routing (PBR).

  7. Исходящий трафик Magic Transit Egress проходит фильтрацию Cloudflare Network Firewall, прежде чем попасть в интернет к пользователям.

Защита исходящего сетевого трафика

Схема эталонной архитектуры ниже показывает, как сервисы Cloudflare, а именно Magic Transit (Egress), Cloudflare Network Firewall и Cloudflare Gateway, можно использовать для защиты исходящего интернет трафика из общедоступных сетей.

Рисунок 2: защита исходящего интернет-трафика из общедоступных сетей.
Рисунок 2: защита исходящего интернет-трафика из общедоступных сетей.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

  1. Сеть каждого сайта направляет исходящий интернет-трафик из публичных сетей в Cloudflare через те же CNI и IP-туннели, по которым проходит входящий трафик. На вашей стороне это можно реализовать любым удобным способом маршрутизации, например с помощью policy based routing (PBR).
  2. При попадании в сеть Cloudflare исходящий интернет-трафик сначала направляется через Cloudflare Network Firewall, где к нему применяются настроенные политики сетевого firewall.
  3. Исходящий интернет-трафик затем направляется в Cloudflare Gateway, наш сервис безопасного веб-шлюза, где различные политики применяют полный набор мер безопасности и контроля к исходящему трафику, обеспечивая максимальную защиту ваших сетей.
  4. После того как трафик проходит проверку, Gateway проксирует исходящий трафик к местам назначения в интернете. В качестве исходных IP-адресов исходящего трафика используются IP-адреса Cloudflare, связанные с сервисом Gateway.
  5. Обратный трафик из интернета, предназначенный для IP-адресов Cloudflare, связанных со службой Gateway, направляется в глобальную сеть Cloudflare.
  6. Трафик проверяется на соответствие политикам Gateway.
  7. Обратный трафик, прошедший проверку Gateway, направляется в Cloudflare Network Firewall для дальнейшей фильтрации пакетов, если она предусмотрена.
  8. Обратный трафик, прошедший фильтрацию Cloudflare Network Firewall, направляется из Cloudflare в ваши сетевые локации через CNI или IP-туннели по интернету.