حفر الأنفاق ونقل الحركة إلى أنظمة المراقبة وأمن المعلومات
GTP و GRE و L2TP و PPPoE و VXLAN ومختصرات النفق الأخرى مألوفة لأي مهندس شبكات. تسمح لك حركة المرور عبر الأنفاق بما يلي:
- توفير التحكم في تدفق البيانات من خلال بناء شبكة على المستوى الثالث من نموذج OSI
- ربط المكاتب البعيدة بشبكة واحدة ذات موارد مشتركة
- تبسيط إدارة الشبكة عن طريق فصل البنية التحتية وطبقات المستخدم
- بناء شبكات موحدة تعتمد على تقنيات مختلفة
- توفير تنقل المستخدم (شبكات المحمول ، ترحيل الأجهزة الافتراضية في مراكز البيانات)
لكن استخدام الأنفاق يفرض متطلبات إضافية من حيث ضمان أمن المعلومات.
تعمل معظم أنظمة أمن المعلومات وأنظمة المراقبة بنسخة من حركة المرور. في هذه الحالة ، يتم توفير نقل البيانات من البنية التحتية بإحدى الطرق الثلاث:
- يتم تكرار الحزم بواسطة وظائف إضافية لمعدات الشبكة وإرسالها إلى منافذ (SPAN) مخصصة
- يتم تثبيت حنفيات المرور السلبية (TAP) في الخط البصري ، وتقسم الطاقة الضوئية إلى سطرين - المستلم الأصلي ونظام DPI
- تمت إضافة وسيط حزم الشبكة إلى البنية التحتية ، والذي يؤدي وظيفة انعكاس الحزمة ، كما هو الحال في TAP - المستلم الأصلي ونظام DPI
كما كتبنا سابقًا ، في البنية التحتية الحديثة ، لا تُستخدم منافذ SPAN عمليًا: فهي لا توفر النطاق الترددي المطلوب أو ضمانًا لنقل البيانات. تؤدي الأنفاق إلى تفاقم المشكلة فقط: يمكن أن تكون معايير الإرسال إلى منفذ المراقبة فقط حقول الرأس الخارجية (رأس النفق) ، وبالتالي يصبح التصفية المسبقة بواسطة حقول حزمة المستخدم (الرؤوس المتداخلة) مستحيلة.
المجموعة الأكثر استخدامًا من أدوات التوصيل الضوئية المنفعلة ووسطاء حزم الشبكة.
تضمن TAPs الحفاظ على موثوقية الشبكة ، بينما يضمن وسطاء حزم الشبكة نقل البيانات الصحيح إلى أنظمة DPI وتحسين استخدامها. ومع ذلك ، عند استخدام النفق ، يكون هذا ممكنًا في حالة واحدة فقط - إذا كان وسيط حزم الشبكة يدعم تحليل هياكل النفق ويمكنه توزيع حركة المرور استنادًا إلى الرؤوس المتداخلة لحزم المرور النفقية.
تصفية وتصنيف حركة المرور النفقية
بدون قدرة الوسيط على تحليل الرؤوس المتداخلة للحزم النفقية بواسطة الوسيط ، فلا معنى للحديث عن تحسين DPI. يجب أن تعمل التصفية والتصنيف ، التي تسمح بتقليل الحمل على أنظمة DPI وتقليل عددها ، بدقة على مجالات حركة مرور المستخدم (الرؤوس المتداخلة). خلاف ذلك ، من المستحيل فصل عناوين IP لمستخدمين محددين أو البروتوكولات المطلوبة أو حركة المرور المشفرة - سيكون مجرد نفق بواسطة الحقول الخارجية. ستؤدي محاولة تنظيف حركة المرور إلى أنظمة DPI من حركة المرور غير المستهدفة في الحقول الخارجية إلى إنشاء "فجوة أمنية" - حيث "ستتخطى" حركة المرور المستهدفة أمن المعلومات والمراقبة في النفق.
نتيجة لذلك ، في حالة عدم وجود وظيفة التحليل بواسطة الرؤوس المتداخلة ، لضمان الأمن أو مراقبة الجودة ، يجب توجيه كل حركة المرور إلى أنظمة التحليل. قم بشراء خوادم وتراخيص جديدة للحصول على أداء إضافي ، واستأجر مساحة لغرف الخوادم وتوظيف موظفين إضافيين يخدمون هذه الحديقة.
موازنة حركة المرور النفقية
تعد مشكلة موازنة حركة المرور عبر الأنفاق متعددة الأوجه. أولاً ، عند توزيع حزم المستخدم بين الأنفاق المختلفة (في شبكات الهاتف المحمول ، عندما تكون زائدة عن الحاجة مع موازنة الحمل ، أو ببساطة عند إرسال تدفق أمامي وعكسي عبر أنفاق مختلفة) ، من المستحيل ضمان سلامة جلسات تبادل المستخدم دون تحليل الرؤوس المتداخلة.
لنأخذ جلستين (AB-VA و CD-DC) وننقلهما عبر القنوات النفقية T1 و T2 و T3. لنفترض أننا نتحدث عن مشتركي شركة اتصالات متنقلة يسيرون بين المحطات الأساسية. ستكون حزم هذه الجلسات في أنفاق مختلفة وعندما تصل حركة المرور النفقية إلى وسيط حزم الشبكة ، هناك خياران لموازنتها مع الحفاظ على تكامل الجلسات:
- الموازنة برؤوس خارجية. DPI: 1 3 DPI 1, 2 DPI 2. (AB) AB-BA, 1 2 , DPI, (BA) 2 3, , DPI 1 DPI 2. CD-DC. DPI . , DPI «» , ( ) . ( ), .
- الموازنة على رؤوس متداخلة. يتجاهل وسيط حزم الشبكة من أجل الموازنة الرؤوس الخارجية ويوزع الحزم بين أنظمة DPI مع الحفاظ على تكامل جلسات AB-BA و CD-DC. في الوقت نفسه ، يمكن تكوين التصفية حسب الرؤوس الخارجية لمراقبة حالة الأقسام الفردية للبنية التحتية. وبالتالي ، سيتلقى كل محرك DPI دفقًا كاملاً من حركة مرور المستخدم ، وستتلقى أدوات المراقبة جميع حزم النفق المحدد.
المشكلة الثانية في موازنة حركة المرور عبر الأنفاق هي التحميل غير المتكافئ للأنفاق. عند مراقبة القنوات المحملة بشكل كبير مع عدد صغير من الأنفاق ، هناك مشكلة في التحميل غير المتساوي وفقدان الحزمة بسبب زيادة أداء منفذ الإخراج.
أي ، إذا تم تغليف الجلسات AB و CD بمعدل 10 جيجابت / ثانية في نفق T1 ، فسيتم الحصول على حركة مرور 20 جيجابت / ثانية (والتي يمكن نقلها عبر واجهة 40 جيجابت إي / 100 جيجابت إي أو من خلال روابط مجمعة 10 جيجابت LAG). بعد نسخ هذا الدفق والحصول عليه في وسيط حزم الشبكة ، يصبح من الضروري عدم توازن حركة المرور هذه للعديد من أنظمة DPI عبر واجهات 10 جيجابت. من المستحيل القيام بذلك مع الحفاظ على سلامة الجلسات باستخدام رؤوس خارجية - سيتجاوز التدفق عرض النطاق الترددي لواجهة الإخراج وسيبدأ فقدان الحزم.
توفر الموازنة على الرؤوس المتداخلة القدرة على تقسيم الدفق إلى رؤوس أصغر دون المساس بسلامة تبادل المعلومات وجودة أنظمة DPI.
موازنة حركة المرور المجزأة النفق
مشكلة الموازنة المنفصلة هي تجزئة حركة المرور الناتجة عن النفق: تؤدي إضافة رؤوس النفق إلى تجاوز MTU وتجزئة الحزم.
عندما تصل حزمة بحجم يساوي MTU إلى مدخلات جهاز النفق ، ثم بعد إضافة رؤوس النفق ، تبدأ الحزمة في تجاوز MTU (بعدد بايتات رأس النفق) وتنقسم إلى أجزاء. علاوة على ذلك ، يتم احتواء الرأس المتداخل في الجزء الأول فقط. نتيجة لذلك ، تتحول حزمتان من نفس الجلسة (AB1 و AB2) دخلت إلى أنفاق مختلفة (T1 مع رأس XY و T2 مع رأس XZ) إلى أربع حزم:
- مع رأس XY خارجي ورأس AB متداخل
- مع رأس XY خارجي بدون علامات الأنفاق
- مع رأس XZ خارجي ورأس AB متداخل
- مع رأس XZ خارجي بدون علامات الأنفاق
في هذه الحالة ، بدون وظيفة تتبع الأجزاء ، سيكون الاختيار بين انتهاك سلامة تدفق المعلومات بسبب توزيع الأنفاق المختلفة بين أنظمة DPI المختلفة وانتهاك سلامة تدفق المعلومات بسبب توزيع الأجزاء المختلفة بين أنظمة DPI المختلفة. يضمن تتبع القطع المتوازنة ضد الرؤوس المتداخلة الحفاظ على التكامل حتى في مثل هذه الحالات.
أولئك الذين واجهوا هذه المشاكل في جزء كبير من حركة المرور يفهمونها ويحلونها. كالعادة ، أسوأ شيء هو عندما تؤثر المشكلة على أقل من 10٪ من حركة المرور - يمكن أن تكون غير مرئية ويتم خلق الوهم بأن كل شيء آمن. وتحت الأمن النفق.