4. Security

De security in het datacenternetwerk bestaat uit een meerlaagen model, waar in het netwerk een aantal compartimenten gecreeerd zijn door middel van een tenant construct. Deze tenants zijn in het hoofdstuk 3. Logische netwerk opbouw (L2 + L3) beschreven. met betrekking tot security hebben deze tenants alleen een eigen uitgang naar de backbone die beveiligd wordt door middel van een virtuele firewall op het ODC firewall platform (Noord-Zuid firewall).

Aan de zuidkant van de firewall kunnen binnen een tenant meerdere compartimenten gemaakt worden als daar vanuit de eindklant behoefte aan is of als er nieuwe platformen gebouwd worden die een verschillende manier van segmenteren hebben. Meerdere compartimenten binnen een tenant resulteert in meerdere route tabellen (VRFs) waardoor verkeer tussen deze VRFs altijd door een firewall geforceerd wordt.

Cisco Application Centric Infrastructure heeft als doel om mee te bewegen met applicaties, om de structuur van de applicatie in netwerk constructen vast te leggen en daarmee te waarborgen dat er niet meer communicatie mogelijkheden zijn dan dat wat de applicatie structuur nodig heeft. Bij RWS zijn hiervoor op dit moment meerdere oplossingen voor handen, daarom wordt op dit moment alleen gebruik gemaakt van klassieke netwerk constructen zoals een Endpoint group met 1-op-1 mapping naar Bridgedomain zodat een klassieke VLAN + Subnet structuur ontstaat. Deze pagina legt uit wat Endpointgroups en Application profiles zijn.

Noord-Zuid

Noordzuid verkeer is verkeer dat een compartiment in of uit gaat, dus:

• van buiten het datacenter naar een compartiment
• van een compartiment naar buiten
• van een compartiment naar een ander compartiment

Dit verkeer wordt in de tenant firewall instance op de ODC firewall geïnspecteerd (vooralsnog tot OSI laag 4).

Het ontwerp van deze firewall policies moet nog uitgewerkt worden zodra duidelijk is of dat bij Quanza of RWS belegd wordt

Oost-West

Oost-west verkeer tussen endpoints  dat binnen een compartiment blijft. In de verschillende beveiligings concepten wordt hiet anders mee omgegaan:

• DC1.0: een structuur met een gelaagdheid op basis van routerende endpoint met meerdere interfaces, Geen filtering binnen een subnet.
• DC1.5: een structuur met een beperkt aantal subnetten waarin een mix van applicaties gescheiden worden op basis van Broadcom VMware NSX-t.
• RedHat Openshift: Is in ontwikkeling, maar de verwachting is dat ook hier een vorm van microsegmentering opgenomen zal worden.
• Overigen: standaard VLAN/ Subnet structuur die zonder maarregelen open met elkaar kunnen communiceren.

Application Profiles

Zoals hierboven beschreven is Cisco ACI gemaakt om zich aan te passen aan applicatie structuren, de eerste stap daarvoor is om een "folder" te maken waarin Endpoint groups verzameld kunnen worden die bij een enkele applicatie horen, een "Application Profile" (AP). Een AP heeft naast de folder functie ook een functie in de security scope van contracten (zie Contracten), waardoor specifieke filters binnen het AP gebruikt kunnen worden.

Endpoint Groups

Binnen een AP worden EndPoint Groups (EPG) aangemaakt, dit is het object waaraan de fysieke en virtuele endpoints (MAC + IP) gekoppeld worden en waarop security regels gehandhaaft worden. Een EPG zorgt voor de koppeling met een BridgeDomain dat een Laag2 en Laag3 broacast domain en gateway verzorgt.

Aan het EPG worden vervolgens contracten gekoppeld in een provided of consumed richting

Contracten