← Справочные архитектуры / reference-architecture / diagrams / sase

Варианты развертывания Cloudflare One Appliance

Cloudflare помогает организациям преобразовывать свои сети, обеспечивая защищенное высокопроизводительное подключение локальных сетей, виртуальных облачных сетей и доступ к SaaS-приложениям. По мере переноса приложений в облако SASE от Cloudflare ↗ платформа позволяет компаниям заменить традиционные локальные решения, обеспечивая безопасный доступ, низкую задержку и автоматическое масштабирование в распределённых средах. Такой подход снижает зависимость от устаревшего оборудования, упрощает управление ИТ и повышает удобство использования облачных сервисов.

Cloudflare One Appliance (ранее Magic WAN Connector) представляет собой физическое или виртуальное (развёрнутое в виде ВМ на гипервизоре) устройство, которое с помощью Zero Touch Provisioning ↗, автоматически подключает трафик локальной сети к Cloudflare и заменяет собой существующее периферийное оборудование, которым сложно управлять.

Каждая организация и сеть уникальны, поэтому единого универсального подхода к развертыванию Cloudflare One Appliance не существует. Цель этого документа: дать общее представление о вариантах развертывания, подходящих для большинства сред, а также описать поддержку нескольких продвинутых сценариев использования.

Первое решение при развёртывании Cloudflare One Appliance касается его расположения в сети и связано с тем, хочет ли организация сохранить существующее оборудование на стороне клиента (CPE: пограничный маршрутизатор или межсетевой экран на площадке) и, если да, по какой причине. Опыт показывает, что это решение обычно приводит к трём различным топологиям:

• Коннектор вместо CPE (Figure 1a): когда каналом служит интернет соединение и у организации нет реальной потребности в существующем оборудовании, поскольку Connector поддерживает все необходимые сетевые функции, такие как DHCP, DNS, NAT, транкинг (801.1Q), списки доступа IP, breakout трафик и так далее. Примеры:

  • Переход от MPLS к подключению на основе интернета, при котором маршрутизатор MPLS, вероятно, не приносит никакой пользы в развертывании.
  • Обращённое к интернету оборудование CPE, срок эксплуатации которого подходит к концу или уже истёк.
  • Обращённое к интернету оборудование CPE, дублирующее функции Cloudflare One Appliance, которое можно удалить для упрощения архитектуры.

• Коннектор к северу от CPE (Figure 1b): этот вариант может быть предпочтительным, если существующее устройство CPE является межсетевым экраном и организация хочет сохранить его для:

  • Дополнительная защита LAN благодаря подходу defense in depth (эшелонированная защита).
  • Требования к расширенной сегментации, например разрешение или блокировка трафика между сегментами на основе различных правил уровней с 3 по 7, поскольку Cloudflare One Appliance поддерживает сегментацию только на уровнях 3 и 4 модели OSI.

• Коннектор к югу от CPE (Figure 1c): причины для установки Cloudflare One Appliance после существующего интернет-обращённого CPE могут включать:

  • CPE нельзя заменить, так как оно подключается к широкополосной услуге с интерфейсом (например, RJ-11) или протоколом (например, PPPoE), которые не поддерживаются Cloudflare One Appliance.
  • CPE нельзя заменить, так как оно является частью оптоволоконной услуги, работающей только с определённым оборудованием, например с ONT (оптическим сетевым терминалом), предоставленным провайдером.
  • CPE пока нельзя заменить, так как оно является частью активной управляемой услуги.
  • CPE нельзя заменить, так как это межсетевой экран, который организация хочет оставить по другим причинам (техническим или контрактным).

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

В средах глобальных сетей (WAN), где удалённые офисы, дата-центры и облачные сервисы связаны между собой, любой простой может привести к потере доступа к критически важным приложениям, сбоям в коммуникации и падению продуктивности. Чтобы избежать таких простоев, сети WAN, как правило, проектируют с учётом принципов высокой доступности (HA). Развёртывание резервного оборудования и резервных каналов связи, а также механизмов отказоустойчивости обеспечивает мгновенное переключение на резервный компонент при отказе основного. Такая отказоустойчивость критически важна для непрерывного подключения, надёжности и бесперебойной работы сервисов в распределённых сетях.

Cloudflare One Appliance может использовать два или более WAN-портов для восходящих каналов, что позволяет подключаться к нескольким разным интернет-провайдерам для отказоустойчивости каналов связи. Один из вариантов базовой отказоустойчивости (HA): использовать одно устройство Cloudflare One Appliance с двумя восходящими каналами, между которыми распределяется трафик (см. рисунок 2 ниже). Такой подход подходит для некритичных филиалов, небольших офисов и подобных объектов, а также в качестве промежуточного шага на пути к полноценному развёртыванию HA.

В такой конфигурации резервное устройство настроено на подхват в случае отказа основного устройства, что обеспечивает бесшовное переключение трафика и непрерывный доступ к приложениям, данным и сервисам. Такой подход повышает отказоустойчивость сети, надёжность сервисов и помогает сохранить продуктивность, снижая риск единых точек отказа.

Рисунок 3 ниже показывает топологию развёртывания, при которой Cloudflare One Appliance поддерживает полную отказоустойчивость (HA). В результате процесса выбора одно устройство становится активным, а другое переходит в резервный режим. Для этого оба Connector должны подключаться к коммутатору LAN в одном домене уровня 2 (например, VLAN), чтобы между ними передавались сообщения heartbeat. Режим active/passive означает, что в каждый момент времени трафик передаёт только активный Connector.

Каждое устройство Cloudflare One Appliance подключается к одним и тем же двум интернет-провайдерам через два аплинка и автоматически создаёт по одному туннелю IPsec на каждый порт WAN. Для этого каждый провайдер должен поддерживать несколько портов на своём оконечном сетевом устройстве (Network Termination Unit) или CPE, если оно используется. В таком отказоустойчивом (HA) развёртывании всего четыре туннеля, по два на каждый Connector, а трафик можно распределять между двумя туннелями на активном устройстве. Если активный Connector или его туннели IPsec выходят из строя, второй Connector берёт на себя работу и продолжает передавать трафик, оставаясь активным до тех пор, пока сам не откажет (вытеснение, то есть preemption, не используется, чтобы избежать лишних задержек при переключении).

В этом разделе описано, как можно развернуть Cloudflare One Appliance для нескольких продвинутых сценариев использования, то есть сценариев за пределами типичных случаев, когда Connector выступает простым CPE-устройством, направляющим трафик в Cloudflare для соединения и защиты по схеме site-to-site или site-to-Internet.

Основной сценарий использования такого развертывания связан с тем, что многим организациям сегодня требуется локальный выход в интернет для повышения производительности облачных и SaaS приложений, при этом они, вероятно, продолжают использовать частное подключение MPLS для самостоятельно размещаемых приложений или связи между площадками, пока не решат дальше модернизировать архитектуру. Причины такого решения могут включать:

• Услуга MPLS пока действует по контракту, но после его окончания её планируется повсеместно заменить обычным интернет-подключением
• Для приложений, размещённых самостоятельно, может потребоваться низкая задержка в рамках согласованных SLA, поэтому может понадобиться гибридная архитектура MPLS и интернета

Такая гибридная архитектура требует, чтобы маршрутизатор Customer Edge (CE) MPLS или другое L3-устройство в локальной сети направляло трафик через разные интерфейсы в зависимости от назначения. В этом сценарии трафик проходит следующим образом:

1. Устройства в локальной сети используют MPLS CE (или другое локальное устройство уровня L3) в качестве шлюза по умолчанию
2. Приватный трафик направляется в сеть MPLS. Например, устройство MPLS CE знает, как маршрутизировать такой трафик, поскольку получает диапазоны RFC1918 через BGP из сети MPLS.
3. Трафик из локальной сети (LAN) в интернет перенаправляется на Cloudflare One Appliance (шлюз MPLS CE/L3 указывает статический маршрут по умолчанию на Connector)

Весь трафик к внутренним площадкам и самостоятельно размещённым приложениям идёт по пути MPLS, а трафик к облачным и SaaS-приложениям идёт по локальному пути выхода в интернет, защищённому сервисами безопасности Cloudflare.

В некоторых развёртываниях клиентам может понадобиться защищать только определённые протоколы с помощью таких сервисов безопасности Cloudflare, как наш защищённый веб-шлюз, в то время как остальной трафик идет через существующее пограничное устройство (маршрутизатор или файрвол). Такой сценарий показан на рисунке 5.

В этом примере организация хочет, чтобы Cloudflare защищала весь веб-трафик в интернет (HTTP/HTTPS), а остальной трафик выходил через существующий межсетевой экран. Это может быть трафик к уже настроенным VPN или трафик, не связанный с вебом, который покидает площадку, но при этом защищён локальным межсетевым экраном. Для этого можно использовать возможности локальной маршрутизации на основе политик (PBR) на устройстве, например:

1. Локальные устройства используют локальный межсетевой экран в качестве шлюза по умолчанию
2. Межсетевой экран использует PBR для направления нужного трафика по назначению
3. Веб-трафик (TCP 80/443) направляется в Cloudflare через Cloudflare One Appliance
4. Весь остальной трафик выходит через локальный межсетевой экран

Если на месте доступна функция PBR и интернет-провайдер выделяет организации как минимум два публичных IP-адреса, возможности разделения трафика в сторону Cloudflare One Appliance практически безграничны и зависят от особенностей инфраструктуры и сценариев использования конкретной организации.

Ещё одна группа сложных сценариев использования, которые поддерживает Cloudflare One Appliance, это локальная сегментация и защита конкретных локальных сетей. Для этого, в зависимости от текущей архитектуры организации, направления деятельности, политик безопасности и требований соответствия, Cloudflare One Appliance можно установить в любом месте за пограничным устройством площадки, чтобы обеспечить более детальную защиту сети, как показано на рисунке 6 и описано в следующих абзацах.

В этом примере Cloudflare One Appliance создаёт IPsec туннель к Cloudflare через локальный межсетевой экран и локальное подключение к интернету. Подсети A и B подключены к Cloudflare One Appliance, но не имеют прямого соединения друг с другом. Это открывает несколько сценариев использования:

• Безопасность интернета: Сегмент 1 подчиняется политикам безопасности Cloudflare, минуя локальную политику межсетевого экрана.
• Связность между площадками: Сегмент 1 может подключаться к локальным сегментам в других локациях (или к целым площадкам, например Site 2), в зависимости от политики организации.

Пример также показывает, как Cloudflare One Appliance можно использовать для реализации двух типов сегментации локальной сети:

• Внутрисегментный: По умолчанию трафик между портами LAN одного и того же Connector блокируется, поэтому Subnet A и Subnet B в Segment 1 не могут обмениваться данными друг с другом. Администратору нужно явно разрешить этот поток трафика с помощью конфигурации, аналогичной спискам доступа IP. Возможность разворота локального трафика через порты LAN Connector позволяет избежать его прохождения через платформу Cloudflare (то есть выхода и возврата через туннель IPsec/GRE), из-за которого эти сегменты могли бы терять связь друг с другом при отказе интернет-канала. Благодаря этому локальные узлы, которым не обязательно требуется доступ в интернет для работы, например принтеры, файловые серверы, устройства хранения данных в сети (NAS) и различные устройства интернета вещей (IoT), остаются доступны для локальных хостов в разных сегментах даже во время сбоев интернета.
• Межсегментный: Устройство Cloudflare One Appliance не пропускает входящий трафик на портах WAN, поэтому сегменты 1 и 2 не могут взаимодействовать друг с другом.

Подытожим: Cloudflare One Appliance представляет собой устройство с Zero-Touch Provisioning (ZTP), с помощью которого организации подключаются к Cloudflare и получают доступ к продвинутым сервисам безопасности и связности, сохраняя низкие операционные затраты.

• Cloudflare WAN: корпоративная сеть, предоставляемая из облака ↗
• Представляем Cloudflare One Appliance: простейший способ перехода к сети нового поколения ↗
• Настройка Cloudflare One Appliance