나는 우리 네트워크를 오버 홀링하는 과정에 있으며, 계속해서 문제는 중앙 집중식 방화벽을 유지하면서 레이어 3을 코어로 가져 오는 것입니다.
여기서 내가 본 문제는 내가 본 "미니 코어"스위치는 하드웨어 내 ACL 제한이 항상 낮다는 것입니다. 현재 크기에서도 빠르게 도달 할 수 있습니다. 저는 현재 코어 용으로 EX4300-32F 쌍을 구매하려고하지만 주니퍼와 브로케이드의 ICX 범위에서 다른 모델과 다른 옵션을 살펴 보았습니다. 그들은 모두 같은 낮은 ACL 한계를 가지고있는 것 같습니다.
코어 스위치가 유선 속도 라우팅을 유지 관리 할 수 있어야하므로 ACL 처리를 통해 너무 많은 것을 희생하고 싶지는 않습니다. 따라서 핵심 스위치 자체에서 모든 방화벽을 수행 할 수는 없습니다.
그러나 우리는 대부분 완벽하게 관리되는 서버를 수행하며 중앙 집중식 방화벽은 고객이 서로 직접 대화 할 수 없기 때문에 해당 관리에 많은 도움이됩니다. 가능한 한 그렇게 유지하고 싶지만 대부분의 ISP 네트워크가 이런 종류의 작업을 수행하지 않는 것처럼 느껴지므로 대부분의 경우 코어에서 라우팅을 수행하는 것이 가장 쉬운 이유는 무엇입니까?
참고로, 이상적으로 수행하고 싶은 토폴로지가 있습니다 (그러나 FW를 어디에 정확히 맞출지는 확실하지 않습니다).
커런트 솔루션
지금, 우리는 라우터-온-스틱 구성을 가지고 있습니다. 이를 통해 NAT, 상태 저장 방화벽 및 VLAN 라우팅을 모두 한 곳에서 수행 할 수 있습니다. 매우 간단합니다.
L2를 네트워크의 "맨 위"(경계 라우터)까지 확장하여 동일한 솔루션을 계속 사용할 수 있습니다. 그러나 코어가 제공 할 수있는 유선 속도 라우팅의 모든 이점을 잃습니다.
IIRC 코어 스위치는 464 Gbps의 라우팅을 수행 할 수 있지만 운이 좋으면 내 경계 라우터가 10 또는 20 Gbps를 제공 할 수 있습니다. 이것은 현재 기술적으로 문제가 아니지만 더 많은 성장 문제입니다. 코어 라우팅 용량을 활용하도록 아키텍처를 설계하지 않는 것처럼 느껴지면 용량이 커지고 용량을 활용해야 할 때 모든 것을 다시 실행하는 것이 고통 스러울 것입니다. 차라리 처음부터 제대로하고 싶습니다.
가능한 해결책
액세스 할 레이어 3
L3를 액세스 스위치로 확장하여 방화벽 규칙을 더 작은 세그먼트로 분할 한 다음 액세스 스위치 ACL의 하드웨어 제한에 맞출 수 있다고 생각했습니다. 그러나:
- 내가 아는 한, 이것은 상태 저장 ACL이 아닙니다.
- L3 to Access는 나에게 훨씬 융통성이 없어 보입니다. 다른 캐비닛으로의 서버 이동 또는 VM 마이그레이션이 더 어려울 수 있습니다.
- 각 랙 상단에서 방화벽을 관리하려면 (그 중 6 개만) 어쨌든 자동화를 원할 것입니다. 따라서이 시점에서 호스트 수준에서 방화벽 관리를 자동화하는 것은 큰 도약이 아닙니다. 따라서 전체 문제를 피하십시오.
액세스 / 코어 사이의 각 업 링크에서 브리지 / 투명 방화벽
이를 위해서는 여러 개의 방화벽 상자가 필요하며 필요한 하드웨어를 크게 늘려야합니다. 그리고 일반 구형 Linux 박스를 방화벽으로 사용하더라도 대형 코어 라우터를 구입하는 것보다 비용이 많이들 수 있습니다.
거대한 코어 라우터
필요한 방화벽을 수행 할 수 있고 훨씬 더 큰 라우팅 용량을 가진 더 큰 장치를 구입할 수 있습니다. 그러나 실제로는 예산이 없으며 장치가 의도하지 않은 작업을 수행하려고하면 훨씬 더 높은 사양으로 가야 할 것입니다. 그렇지 않으면 것보다.
중앙 집중식 방화벽 없음
나는 농구를 뛰어 넘기 때문에 노력할 가치가 없을 것입니다. "하드웨어"방화벽을 원하는 고객에게는 항상 좋은 일이었고 때로는 판매 지점이었습니다.
그러나 "전체"네트워크를위한 중앙 집중식 방화벽을 갖는 것은 불가능한 것 같습니다. 그렇다면 수백 또는 수천 개의 호스트가있을 때 더 큰 ISP가 전용 서버를 보유한 고객에게 어떻게 하드웨어 방화벽 솔루션을 제공 할 수 있는지 궁금합니다.
누구나이 문제를 해결하는 방법을 생각할 수 있습니까? 내가 완전히 놓친 것이거나 위의 아이디어 중 하나에 변형이 있습니까?
2014-06-16 업데이트 :
@Ron의 제안을 바탕으로, 내가 직면 한 문제를 잘 설명하고 문제를 해결하는 좋은 방법을 설명하는이 기사를 우연히 발견했습니다.
다른 제안이 없다면, 이것이 현재 제품 추천 유형의 문제라고 말하고 싶습니다. 이것이 끝이라고 생각합니다.
http://it20.info/2011/03/the-93-000-firewall-rules-problem-and-why-cloud-is-not-just-orchestration/