В данной статье приведён пример построения распределённой опорной IP сети уровня небольшого предприятия. Я не претендую на истину в последней инстанции, а лишь пытаюсь показать каким образом можно обобщить те знания которые уже есть и увидеть способы интеграции технологий в единый живой, так сказать, организм.
Надеюсь, будет полезно подрастающему поколению сетевиков.
Формат: High Level Network/Security Design
Без лишних слов, к делу.
Layer 1 ядро

-
Ядро строится на базе двух пар MLAG коммутаторов с поддержкой L3 маршрутизации
-
Периметр сети (ровно как и зонирование) осуществляется при помощи двух кластеров NGFW
-
Опорная сеть представляет собой физическое кольцо с двумя IP каналами от двух независимых операторов связи
-
Внешняя связность обеспечивается при помощи 4х IP каналов от двух независимых операторов связи (по два на каждый ЦОД)
Layer 1 инфраструктура

-
Инфраструктурные каналы строятся на базе двух независимых облачных операторов
Layer 2 ядро

-
Избыточность ядра сети достигается средствами агрегации на базе LACP
-
Все интерфейсы работают в режиме 802.1Q транков
-
L2 QoS обеспечивает гарантированую доставку Control Plane протоколов
-
Неиспользуемые порты логически выключены и переведены в изолированный VLAN
Layer 2 инфраструктура

-
Отказоустойчивость достигается средствами агрегации на базе LACP
MLAG

-
В целях обеспечения L2/L3 отказоустойчивости, коммутаторы ядра представлены парой логических MLAG коммутаторов
-
L3 интерфейсы строятся на базе SVI + VRRP + BFD
-
L3 пирлинки - на базе SVI
STP ядро

-
В целях обеспечения стабильности сети, топология представлена двумя изолироваными STP доменами
-
BDPU фильтры включены на всех внешних портах
-
Используются фильтры предотвращения штормов
STP инфраструктура

-
Топология идентична топологии ядра
Backhaul Underlay

-
Backhaul underlay строится на базе единого OSPF Area 0. MP-BGP в данном случае не используется в силу отсутствия необходимости динамической коммутации кадров
-
Контроль потоков достигается при помощи OSPF приоритетов
-
Сходимость обеспечивается при помощи BFD
-
Безопасность - при помощи аутентификации и списков контроля доступа к IP интерфейсам
Backhaul VXLAN

-
Данная топология представленна парой логических VTEP позволяющих расширить широковещательный домен на два ЦОД. Достигается средствами инкапсуляции в IP
Private VRF BGP

-
Внутренний VRF представлен тремя BGP ASN обьединенными в логическое кольцо
-
Одной, расширенной средствами VXLAN и iBGP, между двумя NGFW кластерами и двумя изолированными iBGP ASN на базе L3 коммутаторов (по одной на каждый ЦОД). Архитектурное решение базируется на минимизации пирлинков в ядре при отсутствии BGP RR
-
Контроль потоков достигается средствами MED метрики
-
Сходимость - при помощи BFD
-
Безопасность - при помощи аутентификации и списков контроля доступа к IP интерфейсам
Public VRF BGP

-
Внешний VRF, так же, представлен тремя BGP ASN обьединенными в логическое кольцо
-
Внешняя связность обеспечивается средствами 4х каналов от двух независимых операторов связи
-
Контроль периметра сети достигается средствами NGFW. В силу отсутствия транзитного трафика, внешнее адресное пространство изучается средствами 0.0.0.0/0 префикса. Остальные префиксы (за исключением локального диапазона) отфильтровываются в целях повышения стабильности NGFW
-
Контроль потоков достигается средствами MED метрики
-
Сходимость - при помощи BFD
-
Безопасность - при помощи аутентификации и списков контроля доступа к IP интерфейсам
Private VRF сегментация

-
Внутренняя сеть представленна 5ю изолированными сегментами (минимально необходимое колличество) Каждый сегмент подвергается инспекции, идентификации, фильтрации IP потоков и идентификации пользователей.
-
Private EDGE дополнительно выполняет следующие функции: (G)SLB и TLS терминация; WAF
-
Private DMZ: WAF, а так же размещает сетевые и front end сервисы такие как Proxy, DNS, SIEM, Web, RADIUS/ISE
-
Back End: (G)SLB, а так же размещает базы данных такие как LDAP, SQL и прочее
-
Util: размещает сервисы поддержки такие как Netflow, Monitoring probes, Syslog и прочее
-
RDS: размещает сервисы администрирования такие как RDS
Public VRF сегментация

-
Внешняя сеть представленна 2мя изолированными сегментами (минимально необходимое колличество). Каждый сегмент подвергается инспекции, идентификации, фильтрации IP потоков и идентификации пользователей.
-
Public EDGE дополнительно выполняет следующие функции: (G)SLB и TLS терминация; WAF и VPN терминация
-
Public DMZ: WAF, а так же размещает сетевые и front end сервисы такие как Proxy, DNS, Web
Zero Trust
-
Zero Trust архитектура позволяет управлять доступом на уровне отдельно взятых серверов и портов коммутатора, тем самым позволяя предотвратить несанкционированный доступ и потенциальные утечки внутри широковещательного домена
В заключении
Спасибо всем кто дочитал до конца! И заглядывайте иногда сюда <Project Null>
Автор: igorv126