Виртуальный NGFW в качестве ядра сети в тенанте заказчика в «Виртуальный ЦОД»
Чтобы обойти ограничение количества виртуальных интерфейсов на аплаинс, информационная безопасность виртуальной инфраструктуры Заказчика реализуется на основании паттерна виртуального NGFW в качестве ядра сети в тенанте Заказчика в Виртуальный ЦОД на базе VMware.
Возможна организация более 10 виртуальных интерфейсов на аплаинс.
Паттерн виртуального NGFW в качестве ядра сети в тенанте заказчика в Виртуальный ЦОД на базе VMware имеет следующие преимущества и риски:
Преимущества паттерна |
Риски |
---|---|
|
Для реализации паттерна Заказчику необходимо развернуть дополнительную инфраструктуру в облаке Enterprise. |
Общая схема
Описание паттерна
Предварительные требования:
Наличие у Заказчика Виртуальный ЦОД на базе VMware в облаке Enterprise.
Реализация
- Single node:
Заказчику выделяется пул белых адресов для внешнего интерфейса NGFW.
Заказчик разворачивает виртуальный NGFW на виртуальной инфраструктуре размещенной в Виртуальный ЦОД на базе VMware.
Команда Cloud.ru настраивает bridge необходимых сегментов виртуальной инфраструктуры Заказчика.
Внешний интерфейс аплаинса подключается к T1 для маршрутизации в интернет, остальные интерфейсы создаются как isolated и подключатся к NGFW.
На NGFW Заказчик настраивает 0.0.0.0 в сторону T1.
На T1 Заказчика настраивается редистрибуция маршрутов для сегмента с белыми адресами в сторону T0.
Интерфейсы Заказчика настраиваются как isolated и подключатся к аплаинсу.
- Cluster:
Заказчику выделяется пул белых адресов для внешнего интерфейса NGFW.
Заказчик разворачивает виртуальный NGFW на виртуальной инфраструктуре размещенной в Виртуальный ЦОД на базе VMware.
Команда Cloud.ru настраивает bridge необходимых сегментов виртуальной инфраструктуры Заказчика.
Внешний интерфейс аплаинса подключается к T1 для маршрутизации в интернет, остальные интерфейсы создаются как isolated и подключатся к NGFW.
На NGFW Заказчик настраивает 0.0.0.0 в сторону T1.
На T1 Заказчика настраивается редистрибуция маршрутов для сегмента с белыми адресами в сторону T0.
На аплаинсах выделяется отдельный интерфейс для сборки кластера.
Интерфейсы заказчика настраиваются как isolated и подключатся к аплаинсу.