微分段Microsegmentation简介

news2024/9/23 9:35:40

目录

  • 微分段Microsegmentation简介
    • 什么是微分段？
    • 微分段的防范措施
    • 微分段的防护层级
  • 基于网络的微分段
    • 微分段基本工作机制
      • 微分段的角色
      • VxLAN的额外字段
    • 业务链分组与传输策略
      • 场景1：三层报文本地转发场景
      • 场景2：三层报文跨设备转发场景
    • 微分段的约束：
    • 常见的微分段与其他技术的对比与关联
  • 配置指南

微分段Microsegmentation简介

微分段（Microsegmentation）是一种细粒度的安全策略，通过将数据中心网络中的工作负载细分为多个独立的安全区域，从而增强网络的安全性。每个区域内部的通信受到严格控制，以防止潜在威胁在网络中的横向移动（东西向流量）。

什么是微分段？

大型船舶的甲板下方通常被分成多个舱室，每个舱室都不透水，并且可以与其他舱室隔离开来。这样，即使一个舱室因漏水而被水填满，其余舱室仍保持干燥，船仍能漂浮。
在这里插入图片描述
网络微分段的概念与此类似：网络的一个部分可能会遭到入侵，但它可以很容易地与网络的其余部分隔离开来。

  • 传统的网络注重的是对外服务的流量（南北流量），一般使用防火墙的安全设备防护边界，默认认为内部均是安全的。
  • 而微分段则侧重于网络的内部安全，微分段将网络划分为较小网段或区域，并对每个网段使用精细的安全控制。这使企业能控制网络内的“东西向”横向流量，并在应用或工作负载层面减少潜在的攻击面

工作负载是在网络上运行的计算或处理单元，工作负载可以是应用、服务或进程

在这里插入图片描述

微分段的防范措施

  1. 基于网络虚拟化：
    • 以VxLAN网络，通过对报文进行分组，并结合分组间的策略来控制流量。其核心思想是将网络中的终端设备（如虚拟机、物理服务器等）划分为不同的安全组（Endpoint Group，EPG），并定义组间访问策略，从而实现细粒度的访问控制。本文主要介绍这种方式的微分段，以华为的方式为视角
    • 以NGFW，NGFW 具有应用程序感知能力，使它们能够在应用程序层分析网络流量。
  2. 基于软件/代理，在进入网络之前就进行微分段的配置，使得不用修改网络设备的配置。（例如VMWare NSX、Cisco Tertation Analytics）
  3. 基于云原生，利用云服务提供商中嵌入的功能（例如，Amazon 安全组、Azure 防火墙或 Google Cloud 防火墙）。

微分段的防护层级

  • 应用分段
    应用分段通过制定安全策略，控制对特定应用资源（如数据库、API 和 Web 服务器）的访问来保护各应用，从而防止未授权访问和数据泄露。应用分段还允许组织执行最低权限访问控制，确保用户和应用只能访问执行特定任务所需资源。
    在这里插入图片描述

  • 层级分段
    层级分段能保护 Web 层、应用层、数据库层等应用堆栈的不同层级，以防止攻击者在应用堆栈内横向移动并访问敏感数据或资源。

  • 环境分段
    保护网络中的不同环境或区域，如开发、测试和生产环境，使企业能够对这些环境实施严格的访问控制，并确保仅获授权用户和应用能访问敏感数据和资源。

  • 容器分段
    容器分段能保护容器化环境中的单个容器或容器组，从而减少攻击面，防止攻击者在容器环境中横向移动。如果没有适当分段，容器可能访问彼此的数据和配置文件，从而引起安全漏洞。

基于容器的微分段
这里主要介绍基于网络的微分段，以下是我认为还可以的介绍材料：
什么是微分段？- paloalto
零信任与微分段
这篇文章适合关联零信任、云、虚拟化、微分段等知识：
零信任安全，从微分段做起 - smartx
虚拟化平台的微分段
这篇文章以VMWARE虚拟化平台为视角，以不经由网络设置的微分段为内容，也很适合阅读：
云化环境安全微分段功能及实现 - vmware

基于网络的微分段

以华为的网络微分段为视角切入，其他方向请参考其他文章或本文其他链接。

微分段基本工作机制

微分段借鉴了安全设备Security Zone的概念，将数据中心业务单元按照一定的原则分组，然后通过分组间策略实现流量控制

微分段的角色

  • EP(End Point)：承载业务的实体，如虚拟机、裸金属、终端设备等，基于IP地址、MAC地址、VM名、应用等分组策略。
  • EPG（End Point Group）：对服务器、虚拟机等承载业务的EP实体进行的分组，按照所属EPG分组不同，服务器可以分成以下几类：
    • 未知EPG分组成员：不属于任何EPG分组的服务器（如VM5、VM6）。
    • EPG分组成员：属于任一EPG分组的服务器（如VM1、VM2、VM3、VM4）。
    • EPG分组的组内成员：属于同一个EPG分组的服务器（如VM1和VM2，或VM3和VM4）。
    • 不同EPG分组的成员：属于不同EPG分组的服务器（如VM1和VM3等）。
      在这里插入图片描述
  • GBP（Group Based Policy）：基于EPG分组的流量控制策略，可基于EPG分组+协议号+端口号配置，规定了EPG分组内部、EPG分组之间、以及EPG分组和未知分组之间的策略：
    • 默认策略1：未知EPG分组成员的默认访问所有，包括已知组和未知组
    • 默认策略2：EPG分组成员的默认访问控制策略为deny，组成员和组成员之间不能互访
      在这里插入图片描述

    组内成员之间互访策略不同型号存在差异，6881为none即使用策略2，组内成员也不能互访
    对于CE6857EI、CE6857E、CE6857F、CE6865EI、CE6865E、CE8861EI、CE8868EI，EPG分组的组内成员的默认访问控制策略固定为permit，且不可修改，也即相同EPG分组的成员可以相互访问。
    对于CE6881、CE6881K、CE6881E、CE6863、CE6863E、CE6863K、CE6820、CE5881，缺省情况下，EPG分组的组内成员的默认访问控制策略为none（可修改）

华为的微分段是在目的Leaf进行判断，VMware NSX的微分段则是在源Leaf进行判断（deny流量不进物理网络）

VxLAN的额外字段

华为的微分段目前仅支持应用在VxLAN网络中，是根据对报文进行分组后的组标识结合组标识间策略来控制流量。

在这里插入图片描述
在这里插入图片描述

  • G bit：该位默认为0，当此标志位为1时，表示VxLAN报文头中通过Group Policy ID字段携带EPG ID
  • Group Policy ID：当G标志位为1时，Group Policy ID字段值为EPG ID

业务链分组与传输策略

  1. 若源端Leaf存在源和目的分组信息以及组间策略，则在源端Leaf处理业务流量
  2. 若源端Leaf仅存在源IP分组信息，目的端存在目的IP分组信息、组间策略，则在目的Leaf处理业务流量
  3. 若源端Leaf不存在源IP分组信息，目的端存在分组信息、组间策略，则在目的Leaf匹配未知组策略
  4. 若源端Leaf存在源IP分组信息，目的端不存在目的IP分组信息、组间策略，则在目的Leaf匹配未知组策略
  5. 若源端Leaf存在源IP分组信息，目的端存在目的IP分组信息，不存在组间策略，则在目的Leaf丢弃业务报文

场景1：三层报文本地转发场景

在这里插入图片描述

  1. Leaf1收到VM1发送给VM2的报文后，从报文中获取源IP地址（192.168.10.1）和目的IP地址（192.168.10.2）。
  2. Leaf1根据源IP地址按照最长匹配原则查找TCAM（ternary content-addressable memory，三重内容寻址内存）表项，获取源端VM1所属的EPG组号（EPG1），根据目的IP地址查找路由表信息，发现目的端VM2也连接在Leaf1下面，报文只需进行本地转发。因此，Leaf1根据目的IP地址，按照最长匹配原则查找TCAM表项，获取目的端VM2所属的EPG组号（EPG2）。
  3. Leaf1根据源端VM1所属的组号（EPG1）和目的端VM2所属的组号（EPG2），查找TCAM表项，获取这两个组之间的GBP策略（GBP1），并按照GBP策略对报文进行流量控制。

在本例中，这两个组之间的GBP策略是deny，因此Leaf1将报文丢弃。

查询TCAM：
在这里插入图片描述

场景2：三层报文跨设备转发场景

在这里插入图片描述

  1. Leaf1收到VM1发送给VM3的报文后，从报文中获取源IP地址（192.168.10.1）和目的IP地址（192.168.30.3）。
  2. Leaf1根据源IP地址，按照最长匹配原则查找TCAM表项，获取源端VM1所属的EPG组号（EPG1）。
  3. Leaf1根据目的IP地址查找路由表信息，发现目的端VM3连接在对端Leaf2下面，报文需进行VXLAN封装后，经由VXLAN隧道进行跨设备转发。在进行VXLAN封装时，Leaf1将VXLAN报文头中的G标志位置1，并将源端VM1所属的EPG组号（EPG1）封装在VXLAN报文头的Group Policy ID字段中，然后把经过VXLAN封装的报文发送给对端Leaf2。
  4. Leaf2收到Leaf1发送的VXLAN报文后，对VXLAN报文进行解封装，发现其中的G标志位置1，则从Group Policy ID字段中获取源端VM1的EGP组号（EPG1）。Leaf2根据VXLAN报文的内层目的IP地址（192.168.30.3），按照最长匹配原则查找TCAM表项，获取目的端VM3所属的EPG组号（EPG3）。
  5. Leaf2根据源端VM1所属的组号（EPG1）和目的端VM3所属的组号（EPG3），查找TCAM表项，获取这两个组之间的GBP策略（GBP3），并按照GBP策略对报文进行流量控制。

在本例中，这两个组之间的GBP策略是deny，因此Leaf2将报文丢弃。

微分段的约束：

  • 仅支持在分布式VXLAN三层网关组网使用微分段特性。

    V200R019C10之前版本，微分段特性仅对VXLAN Overlay网络的、IPv4的三层已知单播流量有效。
    微分段特性对VXLAN Overlay网络的、IPv6的三层已知单播流量有效。

  • 微分段特性不支持编号为0的EPG分组，该值为无效的EPG分组编号:

  • 同一个成员仅能加入一个EPG分组。

    云上/虚拟化的组策略，则可以匹配多个，满足且的关系即可。（实际这两者是有区别的）

常见的微分段与其他技术的对比与关联

特性/概念网络分段微分段防火墙策略应用依赖性虚拟网络
网络划分较大网段，根据功能或位置较小网段，使用独特安全策略控制网段间流量影响微分段策略实施在物理网络内创建隔离环境
流量方向北南向（客户端到服务器）东西向，提供精细控制网络内外流量控制--
安全策略网络层面单个工作负载或应用层面预定规则过滤--
零信任不涉及强制实施不涉及--
实施前提-需映射应用依赖性---
硬件依赖传统物理网络模式---使用软件连接，无需硬件

配置指南

参考华为官方的微分段配置指南：
CloudEngine 8800, 7800, 6800, 5800 V200R019C10 配置指南-安全

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1932552.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

微信小程序与本地MySQL数据库通信

微信小程序与本地MySQL数据库通信

微信小程序与本地MySQL数据库通信 因为本地MySQL服务器没有域名，也没有进行相应的请求操作封装，因此微信小程序没办法和数据库通信。 但是对于开发人员来说，没有数据库，那还能干撒？虽然我尝试过用json-server&#x…
阅读更多...
Android音视频—OpenGL 与OpenGL ES简述，渲染视频到界面基本流程

Android音视频—OpenGL 与OpenGL ES简述，渲染视频到界面基本流程

文章目录 OpenGL 简述特点和功能主要组件OpenGL ES当前状态 OpenGL ES 在 Android 上进行视频帧渲染总体流程 OpenGL 简述 OpenGL（Open Graphics Library）是一个跨平台的、语言无关的应用程序编程接口（API），用于开发生…
阅读更多...
关于 Redis 中分布式锁

关于 Redis 中分布式锁

什么是分布式锁 在一个分布式系统中，也会涉及到多个节点访问同一个公共资源的情况。此时就需要通过锁来做互斥控制，避免出现类似于“线程安全”的问题。 而 Java 中的 synchronized 或者 C 中的 std::mutex，这样的锁都只能在当前进程中生效…
阅读更多...
allure_pytest：AttributeError: ‘str‘ object has no attribute ‘iter_parents‘

allure_pytest：AttributeError: ‘str‘ object has no attribute ‘iter_parents‘

踩坑记录 问题描述： 接口自动化测试时出现报错，报错文件是allure_pytest库 问题分析： 自动化测试框架是比较成熟的代码，报错也不是自己写的文件，而是第三方库，首先推测是allure_pytest和某些库有版本不兼…
阅读更多...
Hadoop3：RPC通信原理及简单案例实现

Hadoop3：RPC通信原理及简单案例实现

一、场景介绍 我们知道，Hadoop中存在多种服务，那么，服务之间是如何通信的了？ 比如，DN和NN之间如何通信？ 这里，实际上是通过RPC实现进程间通信的了。 RPC属于Java网络编程范畴 需要编写客户端和…
阅读更多...
Apache POI 使用Java处理Excel数据 进阶

Apache POI 使用Java处理Excel数据 进阶

1.POI入门教程链接 http://t.csdnimg.cn/Axn4Phttp://t.csdnimg.cn/Axn4P建议&#xff1a;从入门看起会更好理解POI对Excel数据的使用和处理 记得引入依赖&#xff1a; <dependency><groupId>org.apache.poi</groupId><artifactId>poi</artifactI…
阅读更多...
Java中锁的全面详解(深刻理解各种锁)

Java中锁的全面详解(深刻理解各种锁)

一.Monitor 1. Java对象头 以32位虚拟机位例 对于普通对象,其对象头的存储结构为 总长为64位,也就是8个字节, 存在两个部分 Kclass Word: 其实也就是表示我们这个对象属于什么类型,也就是哪个类的对象.而对于Mark Word.查看一下它的结构存储 64位虚拟机中 而对于数组对象,我…
阅读更多...
阿里云开源 Qwen2-Audio 音频聊天和预训练大型音频语言模型

阿里云开源 Qwen2-Audio 音频聊天和预训练大型音频语言模型

Qwen2-Audio由阿里巴巴集团Qwen团队开发&#xff0c;它能够接受各种音频信号输入&#xff0c;对语音指令进行音频分析或直接文本回复。与以往复杂的层次标签不同&#xff0c;Qwen2-Audio通过使用自然语言提示简化了预训练过程&#xff0c;并扩大了数据量。 喜好儿网 Qwen2-Au…
阅读更多...
六边形动态特效404单页HTML源码

六边形动态特效404单页HTML源码

源码介绍 动态悬浮的六边形，旁边404文字以及跳转按钮，整体看着像科技二次元画风，页面简约美观，可以做网站错误页或者丢失页面，将下面的代码放到空白的HTML里面，然后上传到服务器里面，设置好重定向即可 效果预览 完整源码 <!DOCTYPE html> <html><head…
阅读更多...
【VScode】安装【ESP-IDF】插件及相关工具链

【VScode】安装【ESP-IDF】插件及相关工具链

一、ESP-IDF简介 二、VScode安装ESP-IDF插件 三、安装ESP-IDF、ESP-IDF-Tools以及相关工具链 四、测试例程&编译烧录 一、ESP-IDF简介 二、VScode安装ESP-IDF插件 【VScode】安装配置、插件及远程SSH连接 【VSCode】自定义配置 打开VScode&#xff0c;在插件管理搜索esp…
阅读更多...
关于Linux的面试题（实时更新中~）

关于Linux的面试题（实时更新中~）

一、软连接和硬连接的区别&#xff1a; 软连接创建方式 ln -s 被链接文件 链接文件 &#xff08;1&#xff09;软链接是一个链接文件&#xff1b; &#xff08;2&#xff09;软链接有着自己的 inode 号&#xff08;文件编号&#xff09;&#xff1b; &#xff08;3&#…
阅读更多...
怎么压缩pdf文件大小？分享8款便捷的PDF压缩工具分享

怎么压缩pdf文件大小？分享8款便捷的PDF压缩工具分享

当用户上传PDF文件到网站时&#xff0c;常常会遇到文件大小的限制问题。尤其是当PDF文件包含大量图片、图形和丰富内容时&#xff0c;文件体积会变得很大。这时&#xff0c;为了符合网站的大小要求并成功上传&#xff0c;我们需要对PDF文件进行压缩。那么&#xff0c;如何将PDF…
阅读更多...
NXP i.MX8系列平台开发讲解 - 3.19 Linux TTY子系统(二)

NXP i.MX8系列平台开发讲解 - 3.19 Linux TTY子系统(二)

专栏文章目录传送门&#xff1a;返回专栏目录 Hi, 我是你们的老朋友&#xff0c;主要专注于嵌入式软件开发&#xff0c;有兴趣不要忘记点击关注【码思途远】 目录 1. Linux 串口驱动 1.1 Uart 驱动注册流程 1.2 uart 操作函数 1.3 line discipline 2. Linux tty应用层使用…
阅读更多...
持续集成07--Jenkins配置Allure测试报告

持续集成07--Jenkins配置Allure测试报告

前言 在持续集成&#xff08;CI&#xff09;流程中&#xff0c;自动化测试报告是评估软件质量和追踪问题的重要工具。Allure Framework作为一个轻量级且功能丰富的测试报告工具&#xff0c;能够生成详细的测试报告&#xff0c;帮助团队更好地理解测试结果。本章节“持续集成07-…
阅读更多...
Spring Boot集成kudu快速入门Demo

Spring Boot集成kudu快速入门Demo

1.什么是kudu 在Kudu出现前&#xff0c;由于传统存储系统的局限性&#xff0c;对于数据的快速输入和分析还没有一个完美的解决方案&#xff0c;要么以缓慢的数据输入为代价实现快速分析&#xff0c;要么以缓慢的分析为代价实现数据快速输入。随着快速输入和分析场景越来越多&a…
阅读更多...
06MFC之对话框--重绘元文件

06MFC之对话框--重绘元文件

文章目录 实现示例展示需要绘制的窗口/位置控件位置更新下一次示例粗细滑动部分更新重绘元文件（窗口变化内容消失）方法一：使用元文件方法二：兼容设备方法三：使用自定义类存储绘图数据除画笔外功能处理画笔功能处理保存前面画的线及色彩实现示例展示 需要绘制的窗口/位置 …
阅读更多...
Kafka Producer发送消息流程之消息异步发送和同步发送

Kafka Producer发送消息流程之消息异步发送和同步发送

文章目录 1. 异步发送2. 同步发送 1. 异步发送 Kafka默认就是异步发送&#xff0c;在Main线程中的多条消息&#xff0c;没有严格的先后顺序&#xff0c;Sender发送后就继续下一条&#xff0c;异步接受结果。 public class KafkaProducerCallbackTest {public static void mai…
阅读更多...
k8s集群 安装配置 Prometheus+grafana+alertmanager

k8s集群 安装配置 Prometheus+grafana+alertmanager

k8s集群 安装配置 Prometheusgrafanaalertmanager k8s环境如下&#xff1a;机器规划&#xff1a; node-exporter组件安装和配置安装node-exporter通过node-exporter采集数据显示192.168.40.180主机cpu的使用情况显示192.168.40.180主机负载使用情况 Prometheus server安装和配置…
阅读更多...
如何用AI交互数字人一体机，打造政务服务新名片？

如何用AI交互数字人一体机，打造政务服务新名片？

如今&#xff0c;将“高效办成一件事”作为优化政务服务、提升行政效能的重要抓手&#xff0c;各地方为了促进政务服务由传统模式向数字化、智能化方向转变&#xff0c;纷纷在政务服务场景融合了AI交互数字人&#xff0c;实现“无人化、智慧化”导办、帮办、代办等模式&#xf…
阅读更多...
深度学习程序环境配置

深度学习程序环境配置

深度学习环境配置 因为之前轻薄本没有显卡跑不起来&#xff0c;所以换了台电脑重新跑程序&#xff0c;故记录一下配置环境的步骤及常见错误 本人数学系&#xff0c;计算机部分知识比较匮乏&#xff0c;计算机专业同学可以略过部分内容 深度学习环境配置 深度学习环境配置 CUD…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023