¶ Общая информация
Устройство МКСЗ «Diamond Next» поддерживает возможность установления защищенного соединения в режиме точка-точка для защиты канала передачи данных между удаленными объектами. Устройства необходимо подбирать с учетном требуемой пропускной способности.
В качестве защищенного соединения используется проприетарный протокол, который обеспечивает заданные скоростные и временные характеристики, при передачи сетевого трафика. Защищенное соединение устанавливается на 4-м уровне стандартной сетевой модели по протоколу UDP. Такой подход с одной стороны позволяет решать практические задачи, например, передача мультикаст трафика через защищенное соединение без дополнительной инкапсуляции, с другой стороны позволяет гибко регулировать временные и скоростные параметры защищенного соединения. Настройка временных таймеров позволяет организовывать защищенное соединение даже в средах с высокими вносимыми задержками.
Защищенное соединение между устройствами можно условно разделить на две составляющие: служебный канал и канал для передачи полезной нагрузки. В зависимости от необходимости можно использовать один из двух сценариев:
* служебный трафик и полезная нагрузка передаются через один и тот же канала передачи данных или один и тот же сетевой интерфейс;
* служебный трафик и полезная нагрузка передаются по независимым каналам передачи данных, разные сетевые интерфейсы.
В основе построения защищенного соединения используется клиент-серверная архитектура. Одно из устройств выступает в качестве сервера и ожидается подключения, второе устройство выступает в качестве клиента и инициирует подключение. После того, как защищенное соединение было установлено, с точки зрения передачи сетевого трафика неважно какое из устройств является серверов, а какое клиентом.
¶ Различные типы инкапсуляции
При настройке защищенного соединения можно выбрать один из доступных типов инкапсуляции: L2, L3 или L4.
При шифровании к исходному сетевому пакету добавляется дополнительный заголовок, который включает в себя служебную часть (24 байта) и стандартные сетевые заголовки L2, L3 или L4 в зависимости от типа инкапсуляции. За счет выбора верного типа инкапсуляции можно сократить заголовок в сетевом пакете и увеличить производительность. Ниже представлена схема для инкапсуляции L4.
- Инкапсуляция L2: данный тип инкапсуляции подходит для случаев, когда устройства соединены темной оптикой или любой из технологий L2VPN.
- Инкапсуляция L3: данный тип инкапсуляции подходит для случаев, когда устройства соединены темной оптикой, любой из технологий L2VPN и маршрутизируемой сетью за исключением устройств, на которых настроена трансляция сетевых адресов
- Инкапсуляция L4: данный тип инкапсуляции подходит для случаев, когда устройства соединены темной оптикой, любой из технологий L2VPN, маршрутизируемой сетью, в том числе с устройствами, на которых настроена трансляция сетевых адресов, сеть Интернет.
¶ Различные типы VPN туннелей L2overVPN/TransparentVPN
После настройки защищенного соединения, с помощью дополнительных опций можно организовать один из следующих типов связности между сегментами сети.
- L2overVPN: Данный тип связности можно использовать для подключения двух и более сегментов сети между собой при необходимости прямой видимости устройств. Для настройки данного механизма необходимо перевести целевые интерфейсы и интерфейсы VPN в режим работы L2 (Bridge). Такая конфигурация позволяет передавать любой тип трафика за исключением некоторых протоколов, например, LACP (link aggregation control protocol) или PAGP (Port Aggregation Protocol). При такой конфигурации весь сетевой трафик, который приходит на входящий сетевой порт, полностью попадает в защищенное соединение и передается в пункт назначения.
- TransparentVPN: Данный тип связности можно использовать для подключения двух и более сегментов сети между собой, при необходимости прямой видимости устройств. Для настройки данного механизма необходимо перевести целевые интерфейс и интерфейсы VPN в прозрачный режим работы (прозрачный мост). Такая конфигурация позволяет передавать любой тип трафика без исключений, в том числе протокол LACP (link aggregation control protocol) или PAGP (Port Aggregation Protocol). При такой конфигурации весь сетевой трафик, который приходит на входящий сетевой порт, полностью попадает в защищенное соединение и передается в пункт назначения.
- Стандартный VPN: Данный тип связности можно использовать для объединения двух и более сегментов сети между собой. После настройки защищенного соединения между устройствами необходимо с использованием механизма статической или динамической маршрутизации перенаправить нужный тип сетевого трафика в нужный туннель в зависимости от адреса назначения.
¶ Защищенное соединение в режиме точка-точка (point-to-point)
Устройства МКСЗ «Diamond Next» могут установить между собой защищенное соединение в режиме точка-точка для защиты канала передачи данных. Устройства могут быть разных моделей. Необходимо учитывать, что каждая модель в зависимости от аппаратных характеристик обладает разными скоростными параметрами. Такой тип соединения подходит для объединения двух офисов или аналогичных объектов.
В зависимости от поставленных задач, устройства могут соединяться разными типами туннелей: "L2overVPN" или "Стандартный VPN". Для случая "Стандартного VPN" для направления сетевого трафика через защищенное соединение можно использовать либо статическую маршрутизацию, либо один из протоколов динамической маршрутизации. Для случая "L2overVPN" можно использовать механизм стандартного или прозрачного бриджа.
Доступна возможность построение нескольких защищенных соединений между двумя устройствами для обеспечения сетевой связности каждого из сегментов через свое защищенное соединение. Также доступна возможность одновременного построения между устройствами защищенных соединений двух разных типов: "L2overVPN" и "Стандартного VPN".
На рисунке ниже представлен пример схемы подключения двух объектов: главный офис и дополнительный офис.
¶ Защищенное соединение в режиме точка-точка (point-to-multipoint)
Устройства МКСЗ «Diamond Next» могут установить между собой защищенное соединение в режиме точка-точка для защиты канала передачи данных. Устройства могут быть разных моделей. Необходимо учитывать, что каждая модель в зависимости от аппаратных характеристик обладает разными скоростными параметрами. Такой тип соединения подходит для объединения двух и более объектов между собой. При этом подразумевается, что одно устройство является главным (основным), а все остальные устройства дополнительными. Классическая топология для такого режима - звезда.
В зависимости от поставленных задач, устройства могут соединяться разными типами туннелей: "L2overVPN" или "Стандартный VPN". Для случая "Стандартного VPN" для направления сетевого трафика через защищенное соединение можно использовать либо статическую маршрутизацию, либо один из протоколов динамической маршрутизации. Для случая "L2overVPN" можно использовать механизм стандартного или прозрачного бриджа.
Доступна возможность построение нескольких защищенных соединений между двумя устройствами для обеспечения сетевой связности каждого из сегментов через свое защищенное соединение. Также доступна возможность одновременного построения между устройствами защищенных соединений двух разных типов: "L2overVPN" и "Стандартного VPN".
На рисунке ниже представлен пример схемы подключения двух объектов: главный офис и несколько дополнительных офисов.
¶ Защищенное соединение в полносвязаном режиме (fullmesh, partial-mesh)
Устройства МКСЗ «Diamond Next» могут установить между собой защищенное соединение в режиме полносвязной и частично-связной топологиях для защиты канала передачи данных. Устройства могут быть разных моделей. Необходимо учитывать, что каждая модель в зависимости от аппаратных характеристик обладает разными скоростными параметрами. Такой тип соединения подходит для объединения трех и более объектов между собой. При этом роли устройств могут быть распределены произвольным образом.
Для полносвязаной топологии рекомендуется использовать соединения тип туннеля - "Стандартный VPN".Для направления сетевого трафика через защищенное соединение можно использовать либо статическую маршрутизацию, либо один из протоколов динамической маршрутизации.
Для схемы с полносвязной топологией подразумевается, что каждое устройство связано с остальными через независимые защищенные соединения. Такой подход позволяет оптимизировать движение сетевого трафика через защищенный сегмент сети. Использование протоколов динамической маршрутизации позволяет добавить в схему элементы отказоустойчивости и балансировки нагрузки.
Для схемы с частично связанной топологией подразумевается, что каждое устройство имеет защищенные соединения не со всеми участниками сети, а только с частью из них (согласно схеме). Такой подход позволяет оптимизировать аппаратные ресурсы и снизить избыточность каналов связи, сохраняя при этом высокую степень защищенности передаваемых данных.
В отличие от полносвязной схемы, где каждый узел соединен с каждым, частично связанная топология требует более тщательного планирования маршрутов. Это связано с тем, что для передачи данных между устройствами, не имеющими прямого защищенного канала, трафик должен проходить через промежуточные узлы (транзитом).
Для организации такой схемы рекомендуется использовать соединения типа туннеля — «Стандартный VPN». Поскольку прямое соединение между некоторыми узлами отсутствует, для направления сетевого трафика через промежуточные устройства критически важно использовать протоколы динамической маршрутизации. Они позволят автоматически строить маршруты до удаленных подсетей через доступные защищенные каналы, а также обеспечат отказоустойчивость: при выходе из строя одного из каналов трафик будет автоматически перенаправлен по альтернативному пути, если такой предусмотрен топологией.
¶ Защищенное соединение в режиме точка-точка (ЦОД-ЦОД)
Для схемы соединения «точка-точка» (ЦОД-ЦОД) подразумевается установление прямого защищенного туннеля между двумя пограничными устройствами МКСЗ «Diamond Next», расположенными в разных центрах обработки данных. В данной топологии каждое устройство выступает в роли шлюза безопасности, инкапсулируя весь трафик, поступающий от локальной инфраструктуры (серверов и коммутаторов), в защищенный канал.
Такой подход идеально подходит для организации высокопроизводительной магистрали между площадками на скоростях 10–100 Гбит/с. Поскольку соединение является прямым и выделенным, оно обеспечивает минимальную задержку и максимальную пропускную способность. Для направления трафика в данном случае достаточно настроить статическую маршрутизацию, так как маршрут между двумя точками всегда один и не требует динамического перестроения.