EN
首页 / 全部资讯 / SD-WAN / SD-WAN组网方案如何通过CPE内置安全能力来提供安全保证(上)

SD-WAN组网方案如何通过CPE内置安全能力来提供安全保证(上)

时间:2021-09-04 13:01:57发布:http://www.vecloud.com 阅读量:283

对于业务层面的安全,主要关注的是SD-WAN解决方案上所承载业务的安全,防范来自Internet的各种攻击和入侵行为,保证业务正常运行。SD-WAN引入混合WAN链路后,分支站点可以直接访问Internet,相当于向Internet打开了大门,可以随意访问各种网站,面临各种安全风险。

SD-WAN解决方案通过CPE内置的安全能力来提供业务安全保证,包括ACL过滤、防火墙、IPS以及URL过滤,满足不同场景下的业务安全需求。

SD-WAN解决方案还支持旁挂部署物理防火墙设备,当用户需要更高级的安全增值服务时,可以选择部署物理防火墙,提供高级安全防护功能。

此外,SD-WAN解决方案还支持对接第三方云安全网关(Zscaler、Forcepoint),第 三方云安全网关实现“安全即服务”,对企业站点访问公有云、SaaS的流量进行安全检测,提供安全防护功能。

1、ACL过滤

当用户希望对进入CPE设备的流量进行控制时,可以配置ACL规则,据报文的源IP地址、目的IP地址、源端口号、目的端口号、应用等信息对报文进行分类,进而对匹配的报文执行过滤动作。

在SD-WAN解决方案中,ACL过滤功能通过ACL策略的形式实现。目前支持将ACL策略部署到CPE的WAN侧接口或LAN侧接口上,对进入CPE的流量进行控制。可以定义每个ACL策略的优先级,以及过滤动作(permit/deny)、生效时间段等参数。

ACL过滤的典型应用场景如下图所示。

图1ACL过滤应用场景

2、802.1X认证

NAC(Network Admission Control)称为网络接入控制,通过对接入网络的客户端和 用户的认证保证网络的安全,是一种“端到端”的安全技术。802.1X认证是NAC认证方式的一种,CPE对接入设备进行802.1X认证以保证用户身份的合法性。当接入设备向CPE发起认证请求时,CPE可以将认证请求发送给RADIUS服务器对接入用户账号进行认证,授权。为了保证认证可靠性,建议配置主备Radius服务器。在SD-WAN的组网场景中,Radius服务器也可以部署在HUB的LAN侧,CPE通过overlay与Radius服务器互通。

3、防火墙

CPE提供的防火墙(Firewall)功能是一种隔离技术,在逻辑上将内部网络和外部网络隔离开,保护内部网络免受外部非法用户的侵入。

防火墙功能实现内外网隔离主要涉及如下两个概念:安全区域

安全区域(Security Zone),简称为区域(Zone),是一个或多个接口的组合,这些接口所连接的网络具有相同的安全属性。每个安全区域具有全局唯一的安全优先级。

安全域间

任何两个安全区域都构成一个安全域间(Interzone),报文在两个安全区域之间流动时具有方向性:报文由低优先级的安全区域向高优先级的安全区域流动时为入方向(Inbound);报文由高优先级的安全区域向低优先级的安全区域流动时为出方向(Outbound)。

防火墙功能应用在Site to Internet场景,对内网访问Internet的业务进行安全防护,如下图所示。

图2防火墙功能应用场景

集中上网场景

该场景中,所有站点的上网流量都绕行至集中上网的站点后访问Internet。在集中上网的站点部署防火墙功能,对访问Internet的业务进行安全防护。

本地上网场景

该场景中,站点的上网流量从本地CPE直接访问Internet。在本地CPE上部署防火墙功能,对访问Internet的业务进行安全防护。

说明

当某一站点只有MPLS链路,既用于上网,又用于传统网络互访时,为了避免防火墙功能影响传统网络互访,系统优先保障传统网络互访的互通性,此时防火墙功能不生效。

防火墙功能通过安全策略的形式实现,安全策略会应用到安全域间,iMaster NCE会根据CPE的实际情况对安全区域和安全策略进行自动编排,如下图所示。

图3防火墙安全策略自动化编排示意图

安全区域具体的编排原则以及域间安全策略的应用原则如下表所示。

表1防火墙策略编排项目

说明

从防火墙安全策略应用的安全域间可以看出,防火墙功能只针对Site to Internet的流量生效。

通过总部 LAN侧防火墙集中控制站点互访流量

有些企业为了提升网络安全能力,要求分支之间互访的流量也要绕行总部站点,经过总部站点LAN侧防火墙做访问控制,控制分支和分支之间互访以及分支和传统站点之间访问。

如下图所示,在总部LAN侧部署防火墙,通过在流量入方向配置重定向功能,将分支和分支之间互访、分支和传统站点之间互访的流量引入到LAN侧的防火墙,经过防火墙的控制处理后,再转发到目的站点。

图4通过重定向使流量绕行LAN侧防火墙

4、IPS

IPS(Intrusion Prevention System)是一种安全机制,通过分析网络流量特征来检测 入侵行为(包括缓冲区溢出攻击、木马、蠕虫等),并通过一定的响应方式对其进行实时中止,从而保护企业信息系统和网络架构免受侵害。

CPE中预置了IPS特征库,对各种常见的入侵行为进行了定义。IPS将报文的特征与特征库中的特征进行对比,如果匹配则认定发生入侵行为,进而采取相应的防御措施。

IPS功能应用在Site to Internet场景,对内网访问Internet的业务进行安全防护,如下 图所示。

图5 IPS功能应用场景

集中上网场景

该场景中,所有站点的上网流量都绕行至集中上网的站点后访问Internet,在集中上网的站点部署IPS功能,对访问Internet的业务进行安全防护,阻断来自Internet的各种入侵行为。

本地上网场景

该场景中,站点的上网流量从本地CPE直接访问Internet。在本地CPE上部署IPS功能,对访问Internet的业务进行安全防护,阻断来自Internet的各种入侵行为,

IPS功能通过安全策略的形式实现,安全策略会应用到安全域间, iMaster NCE会根据CPE的实际情况对安全区域和安全策略进行自动编排,如下图所示。

图6 IPS安全策略自动化编排示意图

安全区域具体的编排原则以及域间安全策略的应用原则如下表所示。

表2IPS策略编排

说明

从IPS安全策略应用的安全域间可以看出, IPS功能只针对Site to Internet的流量生效。开启IPS功能后,对CPE设备性能影响较大,请根据实际业务需求选择是否开启。

控制器支持通过业务开放编程配置方式对IPS特征库进行升级。

以上就是SD-WAN组网方案如何通过CPE内置安全能力来提供安全保证(上)的介绍。如果你还有其他问题,欢迎进行咨询探讨,希望Vecloud的专业的解决方案,可以解决你目前遇到的问题。Vecloud提供全球主机托管、服务器租用、mpls专线接入、SD-WAN组网等方面的专业服务,资源覆盖全球。欢迎咨询。

400-028-9798
vecloud-微云