การรักษาความปลอดภัยระหว่างตะวันออกและตะวันตกใน EVPN Symmetric IRB: การแบ่งส่วนย่อยและการทำงานของ DGW

สำหรับวิศวกรเครือข่ายศูนย์ข้อมูลและสถาปนิกด้านไอที สถาปัตยกรรม EVPN-VXLAN ที่ใช้ Symmetric Integrated Routing and Bridging (IRB) และ Distributed Anycast Gateways (DGW) มอบความสามารถในการขยายขนาดอย่างมหาศาล ความหน่วงต่ำมาก และประสิทธิภาพในการใช้งานหลายผู้เช่า อย่างไรก็ตาม เกตเวย์แบบกระจายเหล่านี้ก่อให้เกิดความท้าทายด้านความปลอดภัยขั้นพื้นฐาน นั่นคือ วิธีการบังคับใช้การตรวจสอบการรับส่งข้อมูลระหว่างฝั่งตะวันออกและตะวันตกโดยไม่ทำให้ประสิทธิภาพของ DGW ลดลง

บทความนี้จะสำรวจความเสี่ยง วิธีแก้ปัญหาทางเทคนิค และแนวทางปฏิบัติที่ดีที่สุดสำหรับการใช้งานไมโครเซกเมนต์โดยใช้ VXLAN Group-Based Policy (GBP) นอกจากนี้ยังเน้นถึงวิธีการต่างๆ อีกด้วย เราเตอร์-สวิตช์ ช่วยให้องค์กรต่างๆ เข้าถึงฮาร์ดแวร์ที่เหมาะสม การจัดส่งที่รวดเร็วทั่วโลก และการสนับสนุนจากผู้เชี่ยวชาญ CCIE เพื่อการใช้งาน EVPN ที่ปลอดภัยและมีประสิทธิภาพสูง

สารบัญ

• ส่วนที่ 1: ทำความเข้าใจความเสี่ยง
• ส่วนที่ 2: การแบ่งส่วนย่อยด้วย VXLAN GBP
• ส่วนที่ 3: แนวทางปฏิบัติที่ดีที่สุดในการปรับใช้
• ส่วนที่ 4: คำแนะนำเกี่ยวกับฮาร์ดแวร์
• ส่วนที่ 5: กรณีศึกษาและผลลัพธ์
• ส่วนที่ 6: คำถามที่พบบ่อย

ส่วนที่ 1: ทำความเข้าใจความเสี่ยง

ในศูนย์ข้อมูลแบบดั้งเดิม การรับส่งข้อมูลระหว่างเครือข่ายตะวันออกและตะวันตกสามารถรักษาความปลอดภัยได้โดยการกำหนดเส้นทางการรับส่งข้อมูลระหว่างซับเน็ตผ่านไฟร์วอลล์ส่วนกลาง แต่ใน EVPN Symmetric IRB:

• การสูญเสียประสิทธิภาพของ DGW: การส่งข้อมูลระหว่างทิศตะวันออกและทิศตะวันตกออกนอกโครงข่ายเพื่อตรวจสอบ จะทำให้เกิดปรากฏการณ์ทรอมโบนิ่ง ซึ่งจะทำให้ข้อดีเรื่องความหน่วงต่ำของเกตเวย์แบบกระจายศูนย์หมดไป
• ความเสี่ยงต่อการเคลื่อนที่ด้านข้าง: การรับส่งข้อมูลระหว่างซับเน็ตที่ไม่ได้รับการตรวจสอบจะทำให้เครื่องเสมือน (VM) ที่ถูกโจมตีสามารถแพร่กระจายการโจมตีไปทั่วศูนย์ข้อมูลได้
• ความซับซ้อนของนโยบาย: การกำหนดค่า ACL ด้วยตนเองบนสวิตช์ Leaf จำนวนมากก่อให้เกิดความเสี่ยงต่อการตั้งค่าที่ไม่ถูกต้อง การละเมิด SLA และการหยุดชะงักทางธุรกิจที่อาจเกิดขึ้นได้

ทีมงานศูนย์ข้อมูลที่กำลังมองหา “การตรวจสอบการรับส่งข้อมูลระหว่างตะวันออกและตะวันตกใน EVPN Symmetric IRB” มักมองหาโซลูชันที่สร้างสมดุลระหว่างประสิทธิภาพสูงและนโยบายความปลอดภัยแบบ Zero Trust

ส่วนที่ 2: การแบ่งส่วนย่อยด้วย VXLAN GBP

การแบ่งส่วนย่อยระดับไมโครช่วยเสริมความปลอดภัยที่ขอบเครือข่าย รักษาคุณประโยชน์ของ DGW ไว้ได้ นโยบายแบบกลุ่ม (Group-Based Policies หรือ GBP) จะจัดประเภทปลายทาง—VM, คอนเทนเนอร์ หรือเซิร์ฟเวอร์—ให้อยู่ในกลุ่มปลายทางเชิงตรรกะ (Logical Endpoint Groups หรือ EPGs) ทำให้สามารถติดตามนโยบายความปลอดภัยไปตามทราฟฟิกได้ แทนที่จะพึ่งพาไฟร์วอลล์แบบรวมศูนย์

ขั้นตอนสำคัญในการใช้งาน VXLAN GBP:

• การติดแท็กที่ขอบ: สวิตช์ขาเข้าแบบ Leaf จะกำหนด Scalable Group Tag (SGT) ขนาด 16 บิต โดยอิงจาก EPG และฝังไว้ในส่วนหัว VXLAN
• รักษาการกำหนดเส้นทางแบบสมมาตร: การรับส่งข้อมูลไหลผ่าน VNI ทรานสิตระดับ Layer 3 ไปยังลีฟปลายทางขาออกโดยไม่เกิดการวนซ้ำ
• การบังคับใช้กฎระเบียบทางออกฉุกเฉิน: ชิป ASIC ขาออกจะอ่าน SGT ต้นทางและบังคับใช้นโยบายอนุญาต/ปฏิเสธ/บันทึก ก่อนที่จะส่งแพ็กเก็ตออกไป

สิ่งนี้ช่วยให้มั่นใจได้ว่าการรักษาความปลอดภัยระหว่างตะวันออกและตะวันตกจะถูกบังคับใช้ด้วยความเร็วสูงสุด รักษาความหน่วงต่ำเป็นพิเศษสำหรับเกตเวย์แบบกระจาย องค์กรที่ปรับปรุงให้เหมาะสมสำหรับ "แนวปฏิบัติที่ดีที่สุดด้านไมโครเซกเมนต์" จะได้รับประโยชน์จากการบังคับใช้นโยบายตามฮาร์ดแวร์ซึ่งช่วยหลีกเลี่ยงปัญหาคอขวดแบบรวมศูนย์

ส่วนที่ 3: แนวทางปฏิบัติที่ดีที่สุดในการปรับใช้

1. กำหนดมาตรฐานนโยบายความปลอดภัย: กำหนดกฎ GBP ให้สอดคล้องกันในสวิตช์ปลายทางทั้งหมด
2. ตรวจสอบความถูกต้องด้วยการจำลอง: ทดสอบนโยบายในสภาพแวดล้อมจำลองก่อนนำไปใช้งานจริง
3. การย้ายถิ่นฐานแบบเป็นระยะ: ค่อยๆ ถ่ายโอนภาระงานไปยังสภาพแวดล้อมแบบแบ่งส่วนย่อย โดยเริ่มจาก VM ที่สำคัญก่อน
4. ตรวจสอบอย่างต่อเนื่อง: ใช้ข้อมูลการวัดระยะทางเครือข่ายเพื่อให้แน่ใจว่ามีการบังคับใช้นโยบายและตรวจจับความผิดปกติของปริมาณการรับส่งข้อมูลได้แบบเรียลไทม์

การปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดเหล่านี้จะช่วยลดความเสี่ยงต่อการหยุดชะงักของการดำเนินงาน ในขณะเดียวกันก็บังคับใช้หลักนโยบายความปลอดภัยแบบ Zero Trust

ส่วนที่ 4: คำแนะนำเกี่ยวกับฮาร์ดแวร์

การแบ่งส่วนย่อยระดับไมโคร (Micro-segmentation) จำเป็นต้องใช้สวิตช์ที่รองรับ VXLAN GBP, ACL ขั้นสูง และ Symmetric IRB แพลตฟอร์มมาตรฐานอุตสาหกรรม ได้แก่:

• ซีรีส์ Cisco Nexus 9000
• ซีรีส์ Cisco Catalyst 9000
• จูนิเปอร์ คิวเอฟเอ็กซ์ ซีรีส์

Router-Switch.com ความได้เปรียบ:

• คลังสินค้าขนาดใหญ่ทั่วโลก: การตรวจสอบสต็อกสวิตช์ Cisco และ Juniper แบบเรียลไทม์ ช่วยให้การติดตั้งเป็นไปตามกำหนดเวลา
• การจัดส่งที่รวดเร็ว: จัดส่งทั่วโลกภายใน 1-5 วัน ด้วยบริการ DDP (Demand Delivery and Delivery) รวมค่าดำเนินการด้านศุลกากรและภาษีนำเข้าแล้ว
• การสนับสนุนจากผู้เชี่ยวชาญ: คำแนะนำระดับ CCIE ฟรี 100% สำหรับการกำหนดค่า EVPN และการตรวจสอบความถูกต้องของนโยบาย
• การจัดซื้อจัดจ้างที่ยืดหยุ่น: รับชำระเงินด้วยสกุลเงินท้องถิ่นกว่า 120 สกุล พร้อมใบเสนอราคาแบบกำหนดเอง และตัวเลือกที่ประหยัดงบประมาณ
• การรับประกันเพิ่มเติม: บริการ RS Care ขยายการคุ้มครองเหนือกว่าการรับประกันมาตรฐานของผู้ผลิต ช่วยให้มั่นใจได้ถึงเสถียรภาพของเครือข่ายในระยะยาว

การจัดซื้อฮาร์ดแวร์ผ่าน Router-Switch ช่วยให้องค์กรต่างๆ ลดความเสี่ยงในการติดตั้งและเร่งการใช้งาน EVPN ที่ปลอดภัยได้

ส่วนที่ 5: กรณีศึกษาและผลลัพธ์

สถานการณ์ของลูกค้า: องค์กรระดับโลกแห่งหนึ่งได้นำ EVPN Symmetric IRB มาใช้งานในศูนย์ข้อมูลสามแห่งที่มีเซิร์ฟเวอร์มากกว่า 2,000 เครื่อง ความท้าทายที่พบ ได้แก่:

• การรักษาความปลอดภัยการจราจรระหว่างทิศตะวันออกและทิศตะวันตก
• การรักษาประสิทธิภาพของเกตเวย์แบบกระจาย
• การรับรองความสอดคล้องของนโยบายในทุกไซต์

วิธีการแก้: ใช้ประโยชน์จากไมโครเซ็กเมนต์ VXLAN GBP กับสวิตช์ Cisco Nexus 9000 ที่จัดหามาจาก Router-Switch

ผลการศึกษา:

• การบังคับใช้นโยบายตะวันออก-ตะวันตกด้วยความเร็วสูงสุดโดยไม่มีความล่าช้าแบบแฮร์พินนิ่ง
• การจัดการ ACL ที่ง่ายขึ้นด้วยคำจำกัดความ GBP แบบรวมศูนย์
• ระยะเวลาในการติดตั้งใช้งานลดลง 40% เนื่องจากการจัดส่งที่รวดเร็วทั่วโลกและฮาร์ดแวร์ที่ผ่านการตรวจสอบล่วงหน้า
• ประหยัดต้นทุนการดำเนินงานด้วยการลดปัญหาการแก้ไขและการตั้งค่าที่ไม่ถูกต้อง

ส่วนที่ 6: คำถามที่พบบ่อย

ในระบบ EVPN ความแตกต่างระหว่าง IRB แบบไม่สมมาตรและแบบสมมาตรคืออะไร?

ใน IRB แบบไม่สมมาตร VTEP ขาเข้าจะทำหน้าที่กำหนดเส้นทางและเชื่อมต่อ ในขณะที่ VTEP ขาออกจะทำหน้าที่เชื่อมต่อเท่านั้น ส่วน IRB แบบสมมาตรจะทำหน้าที่กำหนดเส้นทางและเชื่อมต่อทั้งขาเข้าและขาออก โดยใช้ VNI ทรานซิตระดับเลเยอร์ 3 เฉพาะ ซึ่งสามารถรองรับการใช้งานในสภาพแวดล้อมที่มีผู้เช่าหลายรายได้ดีกว่า

การแบ่งส่วนย่อยจะทำให้การจราจรระหว่างตะวันออกและตะวันตกช้าลงหรือไม่?

ไม่ แท็กนโยบายแบบกลุ่ม (Group-Based Policy หรือ GBP) จะถูกประมวลผลที่ ASIC ของลีฟขาออก ทำให้สามารถบังคับใช้นโยบายได้ที่ความเร็วสายส่งโดยไม่เสียเวลาเพิ่มขึ้นจากไฟร์วอลล์ภายนอก

ฉันจะมั่นใจได้อย่างไรว่านโยบายความปลอดภัยมีความสอดคล้องกันในศูนย์ข้อมูลหลายแห่ง?

BGP EVPN (เส้นทางประเภท 5) เมื่อรวมกับ GBP จะกระจายแท็กปลายทางไปทั่วเครือข่าย ทำให้สวิตช์ขาออกสามารถบังคับใช้นโยบายได้อย่างสม่ำเสมอโดยไม่คำนึงถึงตำแหน่งของ VM

สำหรับองค์กรที่วางแผนจะใช้งาน EVPN Symmetric IRB พร้อมการรับส่งข้อมูล East-West ที่ปลอดภัย โปรดติดต่อ Router-Switch เพื่อรับการสนับสนุนจากผู้เชี่ยวชาญ CCIE และการจัดส่งฮาร์ดแวร์ที่รวดเร็ว