В новом релизе Basis SDN 1.3 мы сосредоточились на улучшении модели сетевой безопасности: появились динамические группы безопасности, расписания правил и политик, версионирование изменений и зеркалирование трафика. Изменения затронули и сетевой слой — виртуальная машина теперь переносится между гипервизорами, не теряя установленных соединений.
Миграция без разрыва соединений
Basis SDN 1.3 позволяет сохранять сетевые соединения при переносе виртуальной машины с одного гипервизора на другой, если включен контроль состояния сессий в правилах безопасности (stateful access lists). При этом правила изоляции приложений и сервисов продолжают действовать. Администратор может обслуживать вычислительные узлы, не ослабляя сетевую защиту и не нарушая работу сервисов для пользователей.
Также добавлена поддержка расширенных опций протоколов DHCPv4 и DHCPv6, которые автоматически раздают виртуальным машинам сетевые настройки при запуске.
Сегменты и иерархии в модели безопасности
Сетевой сегмент в Basis SDN 1.3 стал полноценным объектом модели безопасности, при его создании автоматически формируется связанная группа безопасности. Группа повторяет состав логических портов сегмента — виртуальных точек подключения, к которым привязываются сетевые интерфейсы виртуальных машин, — и недоступна для редактирования. Это защищает конфигурацию от расхождения с реальным составом сети и избавляет администратора от ручной работы — сегмент готов к использованию в правилах, политиках и сессиях зеркалирования сразу после создания. В ряде зарубежных решений жизненные циклы сегмента и группы безопасности разделены, поэтому после удаления сегмента в системе остаются пустые «осиротевшие» группы, которые администратору необходимо удалять вручную.
Группа безопасности в Basis SDN
Группы сервисов и группы безопасности получили иерархическую организацию с пятью уровнями вложенности по умолчанию. Одна группа может входить в несколько родительских без дублирования записей, а навигация работает в обе стороны: администратор видит и состав группы, и все группы, где она используется, то есть может оценить масштаб влияния изменений до их применения. Для каждого логического порта система показывает, из какой вложенной группы он унаследован.
Динамические группы безопасности
Состав группы безопасности может формироваться автоматически по условиям отбора. Конструктор состоит из трех уровней: условие — группа условий — набор условий. Условия и группы условий объединяются логическими «И» и «ИЛИ», а любое отдельное условие можно пометить как исключение в том же окне. Отбор ведется по атрибутам логических портов и сегментов, а также по именам виртуальных машин, поэтому в одном наборе можно задействовать несколько независимых критериев. Поддерживаются строковые сравнения и регулярные выражения — шаблоны для гибкого поиска по маске.
Набор условий и исключений в группе безопасности
Расписания, история изменений и зеркалирование трафика
Правилам и политикам безопасности можно назначить расписание их действия, в основе которого лежат интервалы, настраиваемыми в отдельном конструкторе. Работать с расписанием удобно даже администратору, не знакомому с синтаксисом cron: временная зона задается явно, а пересекающиеся интервалы система не дает объединять в рамках одного расписания. Логика расписания инвертируется одним переключателем, а расписание, назначенное на политику, наследуется всеми входящими в нее правилами.
Настройки расписания в Basis SDN
Каждое изменение правил и политик попадает в общую хронологию с фиксацией автора и времени. При сохранении администратор может добавить название и комментарий, например, номер заявки в системе Service Desk. Версии сравниваются в табличном виде «было — стало» или в JSON-представлении с выделением изменений.
Сравнение изменений в табличном виде
Сессии зеркалирования направляют копию трафика виртуальных машин на логический порт внутри инфраструктуры Basis SDN либо на внешнее устройство (через протоколы GRE или ERSPAN). Это упрощает подключение систем обнаружения вторжений (IDS) к растущей инфраструктуре для последующего анализа трафика. Источником может быть не только отдельный логический порт, но и группа безопасности, в том числе динамическая. В связке с динамическими группами настройка выполняется один раз: новые виртуальные машины попадают в зеркалирование автоматически, по условиям отбора.
Детали сессии зеркалирования трафика
Источник: habr.com