Budowa sieci: szkielet / agregacja / dostęp. Marcin Aronowski maaronow@cisco.com

Transkrypt

1 Budowa sieci: szkielet / agregacja / dostęp Marcin Aronowski maaronow@cisco.com Warszawa, marzec

2 Hierarchia w LAN 2

3 Hierarchiczny model sieci LAN Warstwa dostępowa Warstwa dystrybucji Szkielet DWDM Warstwa dystrybucji Warstwa dostępowa WAN INTERNET PSTN 3

4 Definicja rdzenia sieci Skalowalność, niezawodność, szybka zbieżność Rdzeń Dystrybucja Dostęp Szkielet dla całej sieci łączy poszczególne bloki funkcjonalne Wydajność i stabilność a złożoność Agregacja dla warstwy dystrybucji Dedykowany rdzeń pozwala na łatwiejszą rozbudowę sieci 4

5 Rdzeń sieci L3 Zasadniczo pomiędzy dystrybucją i rdzeniem oraz w ramach rdzenia sieci Szybka zmiana trasy w przypadku awarii Lepiej budować trójkąty niż czworokąty przewidywalna zbieżność Redundantne połączenia L3, aby uniknąć czarnych dziur Sumaryzacja w stronę rdzenia ogranicza zapytania EIGRP oraz propagację LSA OSPFa Tuning mechanizmów przesyłania (np. CEF) L3/L4 pozwala na pełne wykorzystanie łączy Warstwa 3 równe koszty WAN Data Center Warstwa 3 równe koszty Internet 5

6 Rdzeń sieci redundancja NSF/SSO W momencie wystąpienia awarii modułu zarządzającego ruch jest nadal przekazywany zapasowy Supervisor tylko odświeża a nie odbudowuje tablicę FIB Dostęp Dystrybucja Szkielet Węzły redundantne NSF = Non-Stop Forwarding Dystrybucja SSO = Stateful SwitchOver Dostęp WAN Data Center Internet 6

7 Definicja warstwy dystrybucyjnej Zbieżność, QoS i duża niezawodność Dystrybucja Dostęp Niezawodność, równoważenie ruchu, QoS Agregacja ruchu z warstwy dostępowej i połączenie do rdzenia Przełączanie w warstwie 3 Chroni rdzeń przed problemami warstwy dostępowej Spanning Tree: Tylko wówczas, gdy konieczne: ustawić STP Root, Root Guard Rapid PVST+ Per VLAN 802.1w Sumaryzacja, szybka zbieżność, redundantne ścieżki, równoważenie ruchu HSRP lub GLBP dla zapewnienia redundancji 7

8 Definicja warstwy dostępowej Wiele funkcjonalności to nie tylko łączność Do rdzenia Dystrybucja Dostęp Agreguje urządzenia Funkcjonalności warstwy 2 i 3; zbieżność, niezawodność, bezpieczeństwo, QoS, IP multicast,... Inteligentne usługi: QoS, granica zaufania, ograniczanie broadcastów, IGMP snooping Inteligentne usługi sieciowe: PVST+, Rapid PVST+, DTP, PAgP/LACP, UDLD,... Catalyst - zintegrowane bezpieczeństwo IBNS (802.1x), (CISF): port security, DHCP snooping, DAI, IPSG,... Wykrywanie telefonów IP, zasilanie poprzez Ethernet, prywatne VLANy,... Spanning Tree: Portfast, UplinkFast, BackboneFast, LoopGuard, BPDUGuard, BPDUFilter, RootGuard,... 8

9 Warstwa dostępowa Spanning Tree TYLKO jeśli to konieczne! REP, FLEXLink, vpc są lepsze Wymagane by uniknąć pętli po stronie użytkownika Rapid PVST+ zapewnia lepszą zbieżność Należy wykorzystać wszystkie możliwe narzędzia Spanning Tree również bezpieczeństwa! Warstwa 3 Równe koszty VLAN 10 VLAN 10 VLAN 10 Pętla - L2 Warstwa 3 Równe koszty WAN Data Center Internet 9

10 Warstwa dostępowa redundancja Zawsze osiągalny adres bramy domyślnej HSRP, VRRP lub GLBP Redundancja VRRP, gdy kilku producentów GLBP gwarantuje możliwość równoważenia ruchu Warstwa 3 Równe koszty Warstwa 3 Równe koszty WAN Data Center Internet 10

11 eć kampusowa Wysoka dostępność - narzędzia poziom aplikacji Global Server Load Balancing, Stateful NAT, Stateful IPSec, DNS, DHCP, IP SLA, Netflow protokoły warstw wyższych NSF/SSO, HSRP, VRRP, GLBP, Graceful Restart (GR): BGP, ISIS, OSPF, EIGRP, OER, BGP Multipath, Fast Polling, BFD, Incremental SPF warstwa łącza SONET APS, RPR, DWDM, Etherchannel, 802.1d, 802.1w, 802.1s, PVST+, Portfast, BPDU Guard, PagP, LacP, UDLD, Stackwise, mppp poziom sprzętowy Redundantne Procesory (RP), Switch Fabric, karty (LC), Porty, Zasilanie, CoPP, ISSU, Config Rollback 12

12 A jak to zrobić głębiej w sieci? 13

13 Skalowanie sieci all-ip Dostęp RAN Ethernet Agregacja RAN IP/MPLS 10/100GE lub DWDM Szkielet IP IP/MPLS DWDM 20 Mbps x50 1Gbps x20 20 Gbps x Tbps 14

14 eć operatorska All-IP Użytkownicy domowi Dostęp Agregacja Brzeg sieci Dostawcy treści STB Business Węzeł dostępowy Ethernet VoD TV SIP Business Pierścień dostępowy eć agregacyjna IP/MPLS eć szkieletowa IP / MPLS Użytkownicy domowi DSLAM Węzeł Agregacyjny Węzeł dystrybucyjny STB 15

15 Przykładowa analiza - Bezpieczeństwo L2 16

16 Kompromitacja Warstwy niższe OSI wpływają na wyższe Kompromitacja warstwy niższej otwiera wyższe na atak nie są tego świadome Bezpieczeństwo jest tak dobre, jak najsłabsze ogniwo architektury Warstwa 2 może być bardzo słabym ogniwem Host A Aplikacji Prezentacji Strumień danych POP3, IMAP, IM, SSL, SSH Host B Aplikacji Prezentacji Sesji Transportu eci Łącza danych Fizyczna Protokoły/Porty Adresy IP Początkowa MAC Addresses kompromitacja Łącze fizyczne Sesji Transportu eci Łącza danych Fizyczna 17

17 Obrona przed atakami na tablicę CAM Port Security ogranicza ilość adresów MAC na interfejsie 00:0e:00:aa:aa:aa 00:0e:00:bb:bb:bb Tylko jeden MAC dozwolony na porcie Akcja: shutdown tysiące fałszywych MAC Rozwiązanie: Mechanizm Port security ogranicza atak MAC flood, wysyła wiadomość SNMP i wyłącza port 18

18 Ataki na ARP ARP snooping ARP ma MAC C Is This Is My ARP Binding NO! Nie pasują Table? Odrzucam! MAC A Włączony DHCP Snooping Włączony Dynamic ARP Inspection Wykorzystuje tablicę dowiązań DHCP snooping Dynamiczna Inspekcja ARP: Wszyskie wiadomości ARP muszą pasować do tablicy dowiązań IP/MAC Jeżeli nie pasują, są odrzucane MAC C ARP ma MAC C MAC B 19

19 Ataki na DHCP DHCP snooping Klient Niezaufany DHCP Snooping Zaufany Fałszywy serwer DHCP ZŁE odpowiedzi: offer, ack, nak Niezaufany Polecenia globalne IOS DOBRE odpowiedzi: : offer, ack, nak ip dhcp snooping vlan 4,104 no ip dhcp snooping information option ip dhcp snooping Serwer DHCP DHCP Snooping port niezaufany Polecenia na porcie niezaufanym no ip dhcp snooping trust (Default) ip dhcp snooping limit rate 10 (pps) DHCP Snooping uplink lub serwer Polecenia na porcie zaufanym ip dhcp snooping trust Domyśnie wszystkie porty w VLANie są niezaufane 20

20 Ataki na sieć - IP Source Guard Ruch wysyłany z adresem źródłowym IP i MAC B Pasuje do Nie pasuje, tablicy odrzucam! dowiązań? MAC A Włączone DHCP Snooping Włączone Dynamic ARP Inspection Włączone IP Source Guard Wykorzystuje tablicę dowiązań DHCP snooping IP Source Guard Działa tak jak DAI, ale bada cały ruch, nie tylko wiadomości ARP MAC C Odebrany ruch IP MAC B Ruch wysyłany z adresem źródłowym IP MAC C MAC B 21

21 Atak na Spanning Tree Świadoma budowa i zabezpieczenie sieci Należy zdefiniować przełącznik Root Root Podstawowy/Zapasowy Root zawsze tam, gdzie został zdefiniowany: Rootguard Loopguard UplinkFast UDLD Na przełączniku dostępowym tylko ruch od klientów: BPDU Guard Root Guard PortFast Port-Security DAI/IP Source Guard STP Root Rootguard Loopguard UplinkFast Loopguard BPDU Guard i PortFast 22

22 Dynamiczne pozycjonowanie użytkowników Użytkownik przydzielany do VLANu VLAN mapowany na VRF połączenie pomiędzy VRFami Usługi zcentralizowane na brzegu sieci dostawcy Współdzielone dla grup: Internet Szkielet Serwer 10.2/16 Brama internet Serwer wideo Partnerzy Gość 10.2/16 Firewall i NAT Zawartość Goście Zasoby Partner 10.2/16 Gość 10.3/16 DHCP Brama IPsec Kwarantanna 23

23 Separacja ruchu Identyfikajca (per Port lub 802.1x) Role per-użytkownik VLANy (L2) VRFy (L3) WAN 802.1Q + VRFy MPLS, GRE (PBR/VRF), L2TPv3 Zwirtualizowane usługi Serwery Farmy serwerów podzielone na VLANy 24

24 Podsumowanie 25

25 Podsumowanie Hierarchizacja nie rozwiązuje wszystkich problemów sieciowych, ale Pozwala dokładnie dopasować urządzenia do ich funkcji w sieci Ułatwia planowanie rozwoju Ułatwia utrzymanie sieci 26

26 27