Politiques basées sur les groupes dans les environnements VXLAN

Avantages de l’intégration GBP avec VXLAN

• Améliorez l’efficacité opérationnelle en simplifiant le processus de configuration et en vous permettant d’implémenter des politiques de sécurité cohérentes sur tous les domaines du réseau d’entreprise.

• Renforcez la sécurité du réseau en permettant un contrôle précis des accès basé sur des balises centrées sur l’entreprise, réduisant ainsi le risque associé aux accès non autorisés.

• Facilitez une gestion efficace du trafic grâce à la microsegmentation, qui isole les segments de réseau et contrôle les interactions entre les EPG distincts.

• Prenez en charge des ajustements dynamiques des stratégies pour vous adapter plus facilement à l’évolution des besoins de l’entreprise sans avoir à repenser la topologie du réseau.

• Flexibilité dans la gestion des balises grâce à divers identifiants, permettant une intégration transparente avec l’infrastructure existante et simplifiant la mise en œuvre des stratégies.

Présentation

Dans le contexte d’EVPN VXLAN, en particulier lors de la mise en œuvre de la microsegmentation, les termes suivants sont fondamentaux pour comprendre comment le trafic est classé, contrôlé et segmenté sur le réseau.

• Un groupe de points de terminaison (EPG) est un regroupement logique de points de terminaison (comme des machines virtuelles, des conteneurs ou des hôtes bare metal) qui partagent des exigences de stratégie communes. Ces groupes sont utilisés pour définir quels points de terminaison peuvent communiquer entre eux. en fonction d’attributs tels que le sous-réseau IP, le VLAN, le VNID VXLAN ou les balises. Ces groupes permettent d’appliquer des politiques de sécurité cohérentes à des charges de travail dynamiques.
• La GBP (Group-Based Policy) est un modèle de stratégie qui définit la manière dont le trafic circule entre les différents EPG. Ces politiques peuvent contrôler la communication entre les groupes de points de terminaison en fonction de l’identité, et pas seulement de l’adresse IP ou du port.
• Les balises de groupe évolutives (SGT) sont des identifiants de métadonnées 16 bits attribués aux points de terminaison, tels que les machines virtuelles, les conteneurs ou les hôtes, pour indiquer leur appartenance à un groupe. Le terme balise GBP fait référence plus largement à l’utilisation de ces identifiants pour appliquer des politiques basées sur des groupes sur le réseau. Dans ce document, nous utilisons le terme balises GBP pour désigner ces identifiants

Qu’est-ce que la microsegmentation avec GBP ?

La microsegmentation attribue les utilisateurs, les serveurs, les machines virtuelles et les appareils aux groupes de terminaisons et définit des politiques de groupe entre les groupes de terminaux pour gérer le contrôle du trafic entre les terminaux.

L’image suivante montre une partie de la topologie VXLAN.

Figure 1 : Microsegmentation à l’aide de groupes d’équipements

Dans cette illustration, le pare-feu SRX au niveau de la couche spine agit comme une sécurité centralisée et l’application des stratégies. Quatre hôtes (Hôte1, Hôte2, Hôte3, Hôte4) connectés aux commutateurs d’accès. Ces quatre hôtes appartiennent au même VLAN/sous-réseau. Par exemple, supposons que les exigences sont les suivantes :

• Hôte1 et Hôte4 peuvent communiquer,
• L’hôte2 et l’hôte3 peuvent communiquer.
• L’hôte1 et l’hôte4 ne doivent pas communiquer avec l’hôte2 et l’hôte3.

Pour répondre à cette exigence, les hôtes ont été regroupés en groupes de points de terminaison (EPG1 et EPG2) comme suit :

• L’hôte 1 (sur le commutateur 1) et l’hôte 4 (sur le commutateur 2) sont ajoutés au groupe de points de terminaison 1 (EPG1).
• L’hôte 2 (sur le commutateur 1) et l’hôte 3 (sur le commutateur 2) sont ajoutés au groupe de points de terminaison 2 (EPG2).

Une fois les points de terminaison regroupés, il est possible de définir un accès et une isolation intragroupe ou intergroupe. En d’autres termes, les deux commutateurs d’accès sont configurés avec une politique selon laquelle si le groupe source est EPG1 et le groupe de destination est EPG2, refusez le trafic et vice-versa. De même, un autre ensemble de stratégies est créé : si le groupe source et le groupe de destination sont identiques, autoriser le trafic. En conséquence :

• La communication entre Host2 et Host3 est autorisée car les deux font partie d’EPG2.
• La communication entre l’hôte1 et l’hôte4 est autorisée car les deux font partie de l’EPG1.
• La communication entre l’hôte 1 et l’hôte 2/hôte 4 n’est pas autorisée car les hôtes sont dans des EPG différents.
• La communication entre Hôte3 et Hôte4/Hôte 2 n’est pas autorisée car les hôtes sont dans des EPG différents.

Attribution de balises de groupe

Les politiques de groupes utilisent des balises pour marquer le trafic et appliquer les politiques. Le processus d’attribution consiste à mapper chaque point de terminaison à une balise spécifique en fonction de sa fonction métier, qui est ensuite utilisée dans le processus de recherche de stratégies pour appliquer les modèles de communication souhaités. Dans les réseaux de campus, les balises peuvent être affectées aux points de terminaison de l’une des méthodes suivantes.

• Balises GBP : balises basées sur diverses correspondances sur l’interface entrante, notamment :

  • adresse MAC
  • Port
  • VLAN
  • Port, VLAN
  • Adresse de sous-réseau/IP
• Balises affectées par serveur RADIUS : environnements réseau utilisant des serveurs RADIUS pour le contrôle d’accès réseau. Les points de terminaison sont placés dans les VLAN en fonction du type de point de terminaison ou de l’autorisation de l’utilisateur et du fingerprinting de l’appareil. Serveur RADIUS Envoyez la balise de groupe dans Juniper VSA. Le commutateur d’accès entrant peut associer la balise de groupe envoyée par le serveur RADIUS à tout le trafic généré par cette adresse MAC.
• Balises attribuées par contrôleur : dans les environnements réseau gérés par un contrôleur tel que Juniper Apstra Fabric Conductor, les balises sont attribuées aux ports de commutation ou aux points de terminaison connectés aux ports de commutateur. Switch peut associer la balise à tout le trafic provenant de ces points de terminaison.

Comment fonctionnent les balises GBP ?

• Une balise GBP est attribuée de manière dynamique à chaque point de terminaison, tel qu’une machine virtuelle, un conteneur ou un hôte, en fonction de son rôle ou de sa fonction (par exemple, serveur Web, serveur de base de données, poste de travail d’administration).
• La balise GBP est propagée avec le trafic, soit intégrée dans l’en-tête VXLAN, soit transportée sous forme de métadonnées, ce qui garantit que l’identité du groupe voyage avec le paquet.
• Les pare-feu SRX Series ou d’autres points d’application de stratégie inspectent la balise GBP pour déterminer comment le trafic doit être traité conformément aux politiques de groupe définies.
• Les politiques de sécurité sont appliquées en faisant correspondre les balises GBP source et les balises GBP de destination, ce qui permet de prendre des décisions d’application en fonction des relations de groupe plutôt que des adresses IP ou de la topologie du réseau

Cette approche permet aux organisations d’appliquer des stratégies qui reflètent la logique et la structure organisationnelles, plutôt que d’être contraintes par des structures de réseau statiques telles que les VLAN ou les sous-réseaux.

En-tête VXLAN pour GBP

VXLAN-GBP exploite les champs réservés dans l’en-tête VXLAN pour transporter les balises GBP affectées à la trame. La figure suivante est un exemple de champ ID de stratégie de groupe 16 bits .

Figure 2 : En-tête VXLAN pour GBP

Transfert de balises de groupe dans les réseaux inter-VXLAN

Dans un environnement VXLAN (VXLAN), le flux de trafic entre différents VXLAN (souvent appelés VNI ou identifiants de réseau virtuels) nécessite un traitement spécial car VXLAN est conçu pour étendre les réseaux de couche 2 sur une infrastructure de couche 3. Dans ce cas, l’ID du groupe source doit être conservé dans les tunnels VXLAN pour garantir le maintien des politiques ou des mesures de sécurité associées au groupe tout au long du flux de trafic.

L’illustration suivante illustre le processus de routage du trafic entre différents segments VXLAN (VNI) à l’aide d’une passerelle de couche 3 capable de gérer le trafic encapsulé VXLAN.

Figure 3 : Transfert de balises de groupe dans les réseaux inter-VXLAN

Présentation du scénario :

• Nécessité d’établir la communication entre l’hôte 1 et l’hôte 4.
• L’hôte 1 est situé dans un VXLAN identifié par VNI 1000.
• L’hôte 4 est situé dans un autre VXLAN identifié par VNI 2000.
• Host1 et Host4 font partie du même groupe de points de terminaison (EPG2).

Flux de trafic et routage inter-VXLAN pour la préservation des balises de groupe source :

1. Host1 envoie un paquet destiné à Host4. VTEP1 (point de terminaison de tunnel VXLAN 1), associé au VNI (1000) de Host1, reçoit ce paquet. Étant donné que Host4 se trouve dans un autre VXLAN (VNI 2000), VTEP1 transfère le paquet vers la passerelle par défaut pour VNI 1000, qui est la passerelle L3 (pare-feu SRX Series dans cet exemple). Ici, le pare-feu SRX Series peut agir comme un dispositif VTEP pour effectuer l’encapsulation et la désencapsulation.
   Remarque : Bien que les équipements SRX Series puissent terminer et réaffecter les tunnels VXLAN, ils n’insèrent pas de balises source GBP. L’insertion de balises GBP est effectuée uniquement par les équipements de branche. Les appareils SRX peuvent lire et évaluer les balises GBP dans les stratégies, mais ils ne peuvent ni les générer ni les affecter. Les filtres de micro-segmentation nécessaires à l’insertion de balises GBP ne sont pas pris en charge sur SRX. Par conséquent, bien que SRX puisse participer au traitement GBP, il ne peut pas fonctionner comme un équipement leaf pour l’attribution de balises GBP.
2. VTEP1 encapsule le paquet avec des en-têtes VXLAN, y compris l’ID de groupe EPG1 (groupe de terminaisons), qui est un identifiant de métadonnées utilisé pour l’application des stratégies. Le paquet encapsulé est envoyé à la passerelle de couche 3.
3. La passerelle de couche 3 reçoit le paquet encapsulé par le VXLAN. Il décapsulise le paquet pour examiner la charge utile interne et l’ID du groupe source. La passerelle est chargée d’acheminer le paquet entre différents VNI, dans ce cas, de VNI 1000 à VNI 2000.
4. La passerelle de couche 3 réencapsule le paquet avec des en-têtes VXLAN pour le transférer à VTEP2 (associé au VNI de Host4, 2000). Il garantit que l’ID de groupe source d’origine (EPG1) est conservé dans l’en-tête VXLAN pendant ce processus de réencapsulation.
5. Le VTEP2 reçoit le paquet encapsulé de la passerelle de couche 3. Il décapsule le paquet et le livre à Host4 dans VNI 2000.

Pour gérer efficacement le trafic inter-VXLAN avec préservation des balises de groupe, vous devez configurer les routeurs de passerelle pour qu’ils gèrent les processus d’encapsulation et de décapsulation sur les points de terminaison de tunnel (VTEP) VXLAN. Cette configuration est nécessaire pour préserver les balises de groupe source pendant le transit, permettant une application cohérente des stratégies sur les différents segments du réseau.

Communication inter-site ou externe

L’image suivante montre une topologie EVPN-VXLAN spine-and-leaf pour la comparaison entre deux datacenters.

Figure 4 : Communication inter-sites

Dans cette topologie, le pare-feu SRX Series agit comme une passerelle de couche 3 pour le trafic entre les segments VXLAN (c’est-à-dire entre différents sous-réseaux ou VNI). Il établit des tunnels IPsec pour le trafic entre datacenters, assurant ainsi une communication chiffrée entre les sites ou les réseaux externes.

Lorsque le trafic de l’hôte traverse la topologie spine-leaf, le système encapsule d’abord le paquet avec les en-têtes VXLAN. Ensuite, il détermine si une encapsulation supplémentaire (comme IPSec) est nécessaire. Si c’est le cas, le SRX prépare le paquet pour l’étape suivante du tunnel, garantissant ainsi une livraison sécurisée et conforme aux politiques.

Pour plus d’informations sur les GBP, consultez Micro et macro segmentation à l’aide d’une stratégie basée sur les groupes dans un VXLAN. Pour la configuration des pare-feu SRX Series dans EVPN-VXLAN, voir Inspection des tunnels EVPN-VXLAN par les équipements SRX Series.

Configuration des politiques basées sur les groupes

Pour implémenter efficacement une stratégie de groupe VXLAN, comprenez le processus de configuration des séquences et des options. Cette section présente la séquence de configuration et des exemples relatifs aux stratégies de groupe dans les déploiements EVPN-VXLAN. Assurez-vous que la base de référence EVPN-VXLAN, y compris les configurations underlay et overlay, est correctement configurée et opérationnelle.

• Séquences de configuration
• Exemples de configuration