在社区成长营网络与安全第一期分享中,SmartX 高级产品营销经理张涛介绍了网络安全的重要性,和虚拟化环境下东西向安全的指导思路(点击查看第一期图文总结)。

网络与安全第二期分享继续由张涛老师提供,以下为内容回顾。

 

SmartX 社区成长营

在 SmartX 用户社区,我们将通过系列成长营活动,持续分享技术干货内容与行业解决方案,与社区成员共同成长。

欢迎添加管理员,加入 SmartX 用户社区

0.png

 

大家晚上好,我是来自 SmartX 的张涛。我今天将围绕 SmartX 网络与安全产品 —— Everoute —— 是如何通过微分段技术实现 “零信任” 的安全理念来进行分享。分享内容主要包括以下五个部分:

  • 回顾:为什么需要微分段?
  • 市场上主流微分段解决方案概述
  • “安全微分段” 内生在超融合架构中的原理和优势。
  • Everoute 微分段安全策略举例。
  • 如何对可疑虚拟机进行 “一键式” 隔离?

 

回顾:为什么需要微分段?

虚拟化和云计算的发展促进了应用和数据的高度集约化部署。面向最终用户应用需求的爆炸式增长,推动了应用开发、部署和迭代模式的变化:从传统的 “高、大、全” 的单体架构转向 “小、快、灵” 的微服务架构。

应用网格化、敏捷性和移动性特点因此日益明显,云内和云间横向互访和数据交流的频度得以进一步提高,传统 “安全边界” 不再可靠。与此同时,“最小权限原则” 指导下的东-西向隔离的重要性却日益凸显。

产生这样的原因是因为虚拟化技术的诞生,让以往信息化系统的最小单位从“物理主机” 变为 “虚拟主机”。连带着,用于连接各个单元的不再是网线,而是虚拟接口,主机彼此间的安全边界也逐步消融到虚拟化集群内部。

基于物理主机为最小单位发展出来的安全体系,逐渐失去了防御的目标。容器化的普及,更是进一步加深了人们对不可见的边界及安全问题的忧虑。

面向虚拟化和容器的 “微分段”(Micro-Segmentation)因此应运而生,这也是在云内/云间对应用/数据进行 “微颗粒度隔离” 的具体技术方法。

SMTX OS 是由 SmartX 自主研发的超融合软件,提供计算虚拟化、分布式存储和网络与安全等功能。

SmartX 解决方案中的 Everoute 是基于云原生和 SMTX OS 虚拟化、面向云原生和 SMTX OS 虚拟化的网络与安全产品,可以为虚拟机和容器创建符合 “零信任” 要求的微隔离环境,并通过集中的策略管理平台,减轻虚拟化和安全管理员繁重的日常操作。

以下为超融合模式下的应用虚拟化和分布式架构示意图。

1.png

 

市场上主流微分段解决方案概述

目前市场上有三种主流的微分段解决方案。在基于虚拟化网络的微分段产品之前,常用的第一种是通过在每个虚拟机内部安装终端安全软件/插件,来实现微颗粒度的安全控制(如下图)。

2.png

但这种方式存在以下三个不足:

1)安装在客户虚拟机内部的安全产品仅能对单个虚拟机进行防护。

2)大量虚拟主机可能基于不同操作系统类型和版本,安装有不同应用和服务,对安全策略有不同要求,难以统一管理。

3)对大批量虚拟主机进行威胁库和补丁更新,在运维层面的操作难度大,对生产的影响大。

第二种,是网络设备厂商推出的基于硬件交换机的微分段解决方案(如下图)。

3.png

这种方案的原理是将同一子网的不同端点组(EPG)的虚拟机配置在隔离的 VLAN/PVLAN,从而使得虚拟机在虚拟交换机层面上无法互通。想要沟通,必须首先转发至 TOR 硬件交换机上,基于此实现 “安全服务链”。

但这种方式对用作 Leaf 节点的交换机型号和版本有严格要求,无论逻辑拓扑还是物理拓扑都很复杂,大量 “发卡弯” 流量的存在也将降低系统的可维护性。

 

“安全微分段” 内生在超融合架构中的原理和优势

基于虚拟化网络的微分段解决方案与以上方式不同,将 Hypervisor 管理的虚拟交换机 VDS,和容器网络接口 CNI 作为实施虚拟机和容器微分段的切入点,并通过在虚拟化和容器环境里,增加策略 “维度” 的方式,解决虚拟机和容器的数量、用途和位置不断变化的困境。

以 SmartX 网络与安全解决方案 —— Everoute 为例,SmartX 的安全微分段内生于超融合操作系统中(如下图)。

4.png

其通过在每台主机上运行专用进程,对虚拟机之间的通信流量进行直接管理。若要对一个或多个超融合集群启用安全微分段,仅需在集中管理器上将此功能与对应的虚拟交换机进行关联就可以。

开启后,虚拟机之间的数据包被 “允许” 或 “拒绝” 动作,其由集群上的每台主机分布式执行。

优势体现在四个方面:

  • 不装插件:不在虚拟机上安装任何代理或插件,虚拟机可以采用任何操作系统、运行任何应用程序。
  • 不动网络:无需变更任何网络线路,无需修改物理网络上路由器、交换机、防火墙的任何配置,面向物理硬件的网络连接,与应用之间将是松耦合关系,访问控制功能已经被抽象到虚拟化网络层,不再通过特定的硬件网络设备实现了。
  • 没有瓶颈:安全功能分布在所有主机上,不会由于少数主机性能消耗过大而形成瓶颈。与此对照的是,基于专用设备(如 TOR 交换机、硬件防火墙等)承担安全功能,导致网络结构僵化、缺乏面向敏捷应用的容量和弹性,限制了应用以虚拟化、容器化方式的快速迭代和扩展。 
  • 应用可移动:应用层与特定物理设备解耦之后,同一个应用,可能被分布在不同物理位置、甚至不同的云上,虚拟化网络应在这些位置上保持同样的逻辑拓扑和功能;Everoute 安全策略可以跟随虚机位置进行移动,这就确保应用实现了“位置无关”的无缝连接和平滑迁移。

此外,以上提到的虚拟机管理、标签管理、安全策略管理、虚拟机隔离等安全运维操作,都可以在 SmartX 超融合系统的 “管理中心”—— CloudTower ——上完成。

CloudTower 是 SmartX 自主研发的多集群管理软件,在同一个管理界面上即可对不同集群上的虚拟机、分布式存储和安全微分段进行配置。虚拟机即使发生了跨集群的迁移,也仍然在原有 CloudTower 管理范围内,虚拟机标签可以保持、与标签关联的安全策略也可以在不同集群上被执行。

通过 CloudTower, 可有效减轻虚拟化和安全管理员繁重的日常操作。而对于采用 “标签” 为条件的微分段安全策略后的实际效果,也可通过其进行查看和监控,评估现有策略的有效性和适用性,确保必要的应用流量没有被中断

因此,Everoute 采用的基于软件 SDN 的微分段方式,是对于整体架构影响最小的方式。

 

Everoute 微分段安全策略举例

通过以上对比可以了解到,实施微分段的最佳切入点,是虚拟交换机。这是启用虚拟化或容器化环境所必需的原生网络组件。在此基础上应用 “标签” 和安全策略,是原生且最直接的微隔离方法。这就是 “内生安全” 的含义。

微隔离如果不是内生于虚拟化和容器平台,将不可避免地成为业务敏捷性的累赘。

传统访问控制策略的基本要素是 IP 地址、协议和端口号,扩展的安全策略中还可能包含时间和 MAC 地址,最多可实现 “五维” 安全策略。

在 SMTX OS 环境中,可以设置 “标签(Tag 或 Label)”,并将标签作为一个新的安全控制要素,这就为安全规则的编写和维护带来了更多便利和可能性。制定包含六个 “维度” 的安全策略。

常见的一个 “Web-App-DB” 三层应用架构,如果每一层都由 3~4 个虚拟机或容器组成 (如下图)。

5.png

那么为这个应用编写基于 IP + Port 的安全策略,规则数量有可能多达十几条;当每一层中需要对虚拟机或容器进行增、删、改操作时,都必须调整与之关联的安全规则,甚至有可能需要调整 IP 网段设置。

与之对照的是,如果基于“ 标签” 这个维度在 Everoute 中制定安全策略,安全规则数量就可以减少到 3 条,而且对虚拟机或容器进行增、删、改操作,都不需要调整安全规则。

Everoute 的安全策略,以 “默认拒绝” 作为底线规则,这与 “零信任” 安全所要求的 “最小权限” 原则相一致。

 

如何对可疑虚拟机进行 “一键式” 隔离?

对于运维人员而言,没有什么安全措施是万全的保障,必须提前备好在突发安全状态下的紧急预案,才能对 “万一” 发生的安全事件进行快速响应。

Everoute 的微分段功能,也包含了对于虚拟机进行紧急隔离的技术方法。

具体来说,当管理员或安全运维中心(SOC)发现某个虚拟机的行为异常,比如某个用作文件服务器的虚拟机上的收/发流量突增,但所有普通用户都无法连接到这个服务器,此时就可以:

1)立刻通过超融合管理界面或 API 将这台虚拟机置于 “网络隔离” 状态。

2)被 “隔离” 的虚拟机与周边的通信被完全切断,不会再影响到同一环境内的其他虚拟机,为管理员排除安全威胁或系统故障争取了时间。

3)如果排查 / 修复过程中,管理员需要临时与虚拟机进行通信(比如需要通过运维跳板机上传补丁文件、运行远程诊断程序),则可以通过设置 “诊断隔离白名单”,允许被隔离虚拟机与特定目标之间的临时单点通信。

4)故障 / 安全漏洞修复后,还可以 “一键式” 恢复虚拟机的正常运行状态,隔离之前已经应用在这个虚拟机上的安全策略无需调整,重新生效。

以上是第二期的内容回顾。在下期分享中,张涛老师将介绍基于微分段技术实现东西向安全防护后,会给数据中心在虚拟化、网络、安全方面带来哪些思路和方法上的改变,并说明这些改变将如何影响和提升数据中心运维效率。

 

社区版 Everoute 下载

如果您想体验 Everoute 产品功能,可通过下载 SmartX 超融合套件社区版  5.0.1 来进行体验。

社区版 Everoute 支持通过使用 CloudTower 社区版 2.0.0 及以上版本进行管理,可为虚拟机提供分布式防火墙功能。

部署和使用方法可以从以下链接开始,参考官方文档:

http://docs.smartx.com/everoute-1.0.4/docs/user_guide/user_guide_01.html

点击下载 SmartX 超融合套件社区版,体验 Everoute 产品功能。也欢迎各位小伙伴添加管理员微信,加入 SmartX 用户社区,和我们一同成长~

6.png

 

继续阅读