Интеграция сервисов информационной безопасности в NFV-инфраструктуру

Интеграция сервисов информационной
безопасности в NFV инфраструктуру.
Как сделать из ИБ сервиса VNF?
Антоненко Виталий

План
• Что такое NFV инфраструктура?
• Что такое сетевая функция? Чем отличается от сервиса?
• Что такое vCPE?
• Как описать WAF для интеграции в NFV облако?
• Как оркестрировать сетевую функцию WAF в NFV облаке?
• Демонстрация текущих результатов
• Дальнейшие планы
ARCCN, Antonenko, PHDays 2017 224.05.17

Ключевые технологии
Software Defined
Networking
Network Function
Virtualization
Control Plane
Data Plane
Функциональность
Программная
Реализация
24.05.17 ARCCN, Antonenko, PHDays 2017 3

Что такое NFVI?
• Инфраструктура виртуализации сетевых функций (NFVI) —
совокупность аппаратного и программного обеспечения,
образующего окружение, в котором могут быть установлены
и работать виртуальные сетевые функции
• Основа для поддержки жизненного цикла виртуальных
сетевых функций
• Управление подобными инфраструктурами осуществляется
при помощи MANO платформ

Что такое сетевая функция?
Функции базовой настройки
– DHCP
L2 функции
– Firewall, IDS, learning switch
L3 функции
– NAT, DPI, LB
L4 – L7 функции
– Web-server, DB-server, VPN
* Сетевой сервис – последовательность сетевых функций
Зачем нужны сетевые
функции?
Обеспечивать
мониторинг состояния
функции
Масштабируемость Доступность

Что такое жизненный цикл сетевой
функции?
Шаблон(ы) Конфигурация
ФункционированиеДеинициализация
Инициализация
Масштабирование
Восстановление

Что такое MANO?
ARCCN, Antonenko, PHDays 2017 7
Уровень Оркестрации Сервисов (NFVO)
Уровень Управления Функциями (VNFM)
Уровень Управления Инфраструктурой (VIM)
24.05.17
С2 Платформа

Что такое С2?
Уровень Оркестрации Сервисов (NFVO)
Уровень Управления Функциями (VNFM)
Уровень Управления Инфраструктурой (VIM)
С2 Orchestrator
С2 Manager
С2 Core
(+ OpenStack Plugin)
С2
Monitoring
С2 GUI
С2
Network
24.05.17

Зачем это нужно?
Автоматизация
установки и настройки
• Компонент
инфраструктуры облака
• Компонент пользователя и
оператора
• Поддержка нескольких
поставщиков
инфраструктуры
Целостность облачных
приложений
• Поддержка жизненного
цикла (ЖЦ) сетевого
сервиса и ВМ
• Восстановление после
сбоев
• Интеграция облачной сети
с транспортной сетью
Безопасность
• Шифрование
пользовательского
трафика
• Безопасность периметра
• Безопасное окружение
приложений пользователя
• Безопасность на каналах
между распределенными
компонентами облака

Сервис ИБ
Безопасность облачной инфраструктуры
Безопасность на базе
облачной инфраструктуры

Что такое vCPE?
• virtual Customer Premises Equipment
• физические иили виртуальные устройства на стороне клиента и
виртуальная инфраструктура в ЦОД провайдера или в облаке
• «Облачная модель» или Cloud-модель – все виртуальные функции
размещаются на стороне провайдера ЦОД или облака
• Edge-модель – все виртуальные функции размещаются на стороне клиента
• Гибридная модель

CPE
DHCP FW NAT
ISP Интернет

CPE ISP Интернет
ISP
Cloud
vDHCP
vFW
vNAT

Сетевая функция PTAF
Application Firewall

Что значит описать функцию?
VNF
Образ
• Образ ОС
• Образ ОС + ПО
tosca_definitions_version: tosca_simple_yaml_1_0
description: >
Snort.
server:
type: tosca.nodes.Compute
attributes:
ports:
in: port1
out: port1
capabilities:
host:
properties:
disk_size: 10 GB
mem_size: 4096 MB
os:
properties:
architecture: x86_64 …
TOSCA Example • Описание параметров ВМ
• Описание внутренней топологии
• Описание параметров мониторинга
• Описание политик оркестрации
• Восстановление функции
• Масштабирование функции
• …
Скрипты
Шаблон
TOSCA yaml
24.05.17

Как описать PTAF для оркестрации в облаке?
Виртуальная Машина
ptaf:
type: tosca.nodes.C2Compute
attributes:
ports:
in: port1
out: port2
capabilities:
host:
properties:
disk_size: 40 GB
mem_size: 4 GB
num_cpus: 2
ptaf:
…
properties:
os_image: ptaf
initialization_system: false
Операционная система
24.05.17
Сервисный
порт 1
Служебный
Порт
Сервисный
порт 2

port1:
type:
tosca.nodes.network.C2Port
properties:
order: 1
Сервисный
порт 1
Служебный
Порт
Сервисный
порт 2
port2:
type:
properties:
order: 2
…

Управляющая сеть
ext_net:
type: tosca.nodes.network.Network
Управляющий порт
Маршрутизатор во внешнюю сеть
ext_router:
type: tosca.nodes.Router
properties:
external: true
Внешний порт
router_port:
type:
tosca.nodes.network.Port
requirements:
– binding: ext_router
– link: ext_net
24.05.17
web_int_port:
type:
properties:
need_ip: true
order: 0
requirements:
– binding: ptaf
– link: ext_net

ВМ
PTAF
Service_net Ext_net
ext_router
24.05.17
port1
port2
web_int
_port
router_port
Трафик сервисной цепочки

ВМ
PTAFService_net Ext_net
ext_router
24.05.17
port1
port2
web_int
_port
router_port
FW 1
IDS 2
3

Выходные параметры
outputs:
ip:
description: url
value: { concat: [get_attribute: [web_int_port, ip_address], ':8443'] }

Политика восстановления
icmp_policy:
type:
tosca.policies.Healing.Zabbix
properties:
triggers: [ICMP_60]
targets: [ptaf]
default_action: reboot
scaling_out_policy:
type:
tosca.policies.Scaling.Out.Zabbix
properties:
targets: [ptaf, ext_router,
ext_net]
triggers: [CPU_60sec_80perc]
Политика масштабирования вширь (out)
Политика
масштабирования
внутрь (in)
scaling_in_policy:
type:
tosca.policies.Scaling.In.Zabbix
properties:
triggers:
[CPU_60sec_20perc]
targets: [ptaf, ext_router,
ext_net]
24.05.17

Масштабирование PTAF в облаке
Service_net
24.05.17
Ext_net ext_router
router_port
ВМ
PTAF
port1
port2
web
_int_
port
Ext_net ext_router
router_port
ВМ
PTAF
port1
port2
web
_int_
port
С2-net
С2-net
С2-net
С2-net
Balancer

C2
Верхнеуровневая архитектура
18.10.16 24
CPE
Оркестратор
VNF 1
VNF
n
. . .
...
MPLS
VXLAN
IPSec
…
GATE
Tag to Network Segment rule
CPE контроллер
VXLAN tags
OSS/BSS
ARCCN Webinars, Antonenko Vitaly

IPSec tunnel
Физическая инфраструктура
CPE
DCRack SwitchIPSec
C2 Compute 1 C2 Compute 2
C2 Controller
Ext Gate
eth0
eth0 eth0
eth1 eth0
Внешняя
сеть
wlan eth1

IPSec tunnel
Виртуальная инфраструктура
CPE
DCRack SwitchIPSec
eth0
wlan eth1
C2 Controller
eth1 eth0
eth0 eth0
Ext Gate
br-lan
Внешняя
сеть
br-tun
br-int
vxlan1
vxlan
br-int
br-tunvxlan
br-gate-vlan
vlan
br-gate-vxlan
vxlan
С2 CUBE OpenFlowControl Plane OpenFlow
br-tun
br-intbr-lb
Control Plane
OpenFlow
br-lb
Control Plane
OpenFlow
exit_vlan
DHCP NAT PTAF

IPSec tunnel
Виртуальный сервис
CPE
DC
br-lan
Rack SwitchIPSec
eth0
vxlan1
wlan eth1
C2 Controller
eth1 eth0
br-gate-vlan
br-int
br-gate-vxlan
br-tun
eth0 eth0
Ext Gate
br-tun
br-int
br-tun
br-int
Внешняя
сеть
DHCP NAT PTAF
vxlan
vxlan
vlan vxlan
С2 CUBE OpenFlowControl Plane OpenFlow
br-lb br-lb
Control Plane
OpenFlow
Control Plane
OpenFlow
exit_vlan
SFC
to mac1
SFC
to mac2
SFC
to mac_ext
SFC
to gate

28
Видео
ARCCN, Antonenko, PHDays 201724.05.17

Дальнейшие планы
• Добавление новых функций и нагрузочное тестирование
разработанных функций
• Формирование списка рекомендаций для разработчиков VNF
• Пилотирование проекта в лабораториях разработчиков
функций и телеком операторов
• Разработка системы проверки функций (sandbox) перед
добавлением в облако
• Формирование E2E решения (от CPE до интеграции с OSS/BSS
потенциального заказчика)

SDN & NFV + Security = ♥️
ОЖИДАНИЯ VS …

Антоненко Виталий
vantonenko@arccn.ru
www.arccn.ru
Спасибо за внимание!
,спасибо за PTAF!

Интеграция сервисов информационной безопасности в NFV-инфраструктуру

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à Интеграция сервисов информационной безопасности в NFV-инфраструктуру

Similaire à Интеграция сервисов информационной безопасности в NFV-инфраструктуру (20)

Plus de Positive Hack Days

Plus de Positive Hack Days (20)

Интеграция сервисов информационной безопасности в NFV-инфраструктуру