Разширена Mesh VPN мрежа: Пълно ръководство за бизнеса

Информатек Дигитал » Ресурси » Разширена Mesh VPN мрежа: Пълно ръководство за бизнеса

Когато една компания расте и се разпространява в множество офиси, облачни сайтове и отдалечени работници , сигурното и бързо свързване на всичко престава да бъде опционално и става критично за бизнеса. Традиционните VPN технологии от точка до точка не са достатъчно гъвкави и отказоустойчиви и точно тук се намесва усъвършенстваната mesh VPN.

Този тип архитектура позволява на всеки сайт или източник на трафик да установи директни криптирани тунели с всички останали местоположения , избягвайки пречки в един хъб и предлагайки висока достъпност, подобрена производителност и безпроблемна интеграция със съвременни подходи като нулево доверие или хибридни среди (локални + облачни). В тази статия ще разгледаме как работят тези мрежи, техните технически изисквания (IPsec, IKE, BGP, рутери и защитни стени) и как се вписват в настоящите mesh Wi-Fi решения и управлявани услуги.

Какво е усъвършенствана mesh VPN мрежа и как се различава от другите модели?

Разширената mesh VPN е топология, при която всеки сайт установява VPN тунели с всеки друг сайт , така че комуникацията между две точки не зависи от наличието на трета страна или от това, че тя действа като посредник. Тази конфигурация е известна още като пълна mesh или децентрализирана VPN.

Вместо класически дизайн с хъб и спици (всички локации са свързани от централен хъб), усъвършенстваната мрежова архитектура избира разпределена архитектура , идеална, когато ресурсите са разпределени на няколко локации или когато са необходими устойчиви бизнес процеси, които продължават да функционират, дори ако една локация има проблеми със свързаността.

В типичен сценарий всяка защитна стена или устройство за сигурност – например Firebox на всеки обект – създава IPsec тунели към останалите. Ако корпоративният офис се повреди, клонът и дистрибуторският център продължават да комуникират директно през VPN, без да преминават през централата.

Този подход се вписва много добре в стратегиите за мрежа с нулево доверие , където сигурността е проектирана с допускането, че всяка част от мрежата може да се повреди или да бъде компрометирана, и където криптирането от край до край, сегментирането и устойчивостта са приоритет.

Примери за употреба: от многосайтово предприятие до хибридна среда с облака

Много често срещан случай на употреба на усъвършенствана mesh VPN е този на организация с множество локации: например, съоръжение за колокация (Colo), корпоративна централа (Corp), дистрибуторски център (Dist) и малък отдалечен офис (RMT). В този контекст всеки обект се нуждае от директен и сигурен достъп до ресурсите на останалите.

При този тип дизайн, в едно от местоположенията може да съществуват уникални ресурси (например, критична ERP система в централата или файлов сървър на предприятието ), така че надеждната свързаност между всички обекти е от съществено значение. Колкото повече отдалечени офиси се добавят, толкова по-важно става системата да поддържа добавянето на нови възли, без да се преконфигурира всичко.

Когато повечето ресурси са концентрирани на едно място, класическата централизирана архитектура все още може да има смисъл . Ако обаче данните и приложенията са разпределени или ако има бизнес процеси, които изискват директна комуникация между обектите (например постоянна синхронизация между логистични центрове), напълно интегрираната мрежа предлага по-голяма гъвкавост и отказоустойчивост.

Особено често срещан сценарий е комбинацията от локални мрежи и облака , например чрез свързване на локални мрежи към Azure чрез VPN Gateway, а също и чрез създаване на виртуални мрежи (VNet-to-VNet) връзки. В тези хибридни среди, mesh топологиите и усъвършенстваните механизми за резервиране са ключови за осигуряване на непрекъснатост на услугите.

Основни технически компоненти на усъвършенствана mesh VPN мрежа

Зад етикета „mesh VPN“ се крие серия от много специфични технически компоненти, които правят магията възможна. Най-общо казано, говорим за усъвършенствани функции за VPN сигурност, като IPsec за криптиране на данни и IKE (Internet Key Exchange) за обмен на ключове и договаряне на параметри за сигурност между крайни точки.

В типична конфигурация на Firebox или друга защитна стена от следващо поколение, всеки сайт дефинира клонови шлюзове и тунели , които се свързват с мрежите на другите сайтове. Например, в организация с четири локации, всеки сайт ще има три клонови VPN шлюза и три свързани тунела (по един към всеки от другите сайтове).

Конфигурацията обикновено се управлява чрез специфични инструменти (като Policy Manager във Fireware), където можете да преглеждате и настройвате както шлюзовете на клоновете , така и VPN тунелите на клоновете , както и маршрутите на тунелите, необходими за преминаване на трафика между локални и отдалечени подмрежи.

Много важен детайл в сценариите за mesh мрежи е използването на агрегирани подмрежи при дефинирането на тунелни маршрути, вместо да се изброява всяка локална мрежа поотделно. Например, тунелът „Colo to RMT“ може да бъде дефиниран така, че да използва подмрежата 172.16.0.0/16, за да представи всички вътрешни мрежи на Colo (напр. 172.16.1.0 и 172.16.2.0), така че една двойка тунелни маршрути да може да покрива множество сегменти, вместо да изисква множество тунели.

Това драстично намалява броя на необходимите тунелни маршрути, особено в малки офиси, които трябва да достигнат само до ограничен набор от отдалечени подмрежи. Ако обаче е необходим много прецизен контрол на трафика , могат да се дефинират отделни мрежи, но с цената на повече работа по конфигуриране и администриране.

Изисквания за инфраструктура: честотна лента, хардуер и надеждност

По дефиниция, една усъвършенствана mesh VPN мрежа е по-взискателна от обикновена настройка. Всеки тунел включва процеси на криптиране и капсулиране , така че използваемата честотна лента на VPN винаги ще бъде малко по-малка от физическата скорост на връзката.

Следователно, компаниите трябва да гарантират, че връзките между сайтовете (оптични кабели, MPLS, висококапацитетен интернет и др.) имат достатъчна честотна лента , за да поддържат криптирания трафик, който ще преминава през тунелите. Това е особено важно на места, където се намират уникални ресурси или които действат като комуникационни центрове.

Видът на устройството за сигурност, разположено във всяка точка (например, Firebox, подходящ за размера на обекта; вижте ръководствата и информационните листове на рутера ), е също толкова важен. Всеки модел предлага специфична максимална VPN скорост и едновременен капацитет на тунела, така че не е препоръчително да се използва по-малко оборудване, ако искате да се избегнат пречки.

На практика броят на VPN тунелите обикновено зависи от броя на локалните и отдалечените мрежи, които ще бъдат свързани (както е дефинирано в маршрутите на тунелите). В типичен офис изчислението е приблизително равно на броя на локалните мрежи, умножен по броя на отдалечените мрежи, освен ако не се използват агрегирани подмрежи.

Също така е важно да се осигури надеждна свързаност на сайтове, хостващи критични услуги. Въпреки че mesh архитектурата толерира повреди в изолиран възел, ако този възел съдържа важни приложения или данни, всеки проблем със свързаността в този момент ще доведе до прекъсвания на услугата за останалите сайтове.

IPsec, IKE и профили за сигурност: сърцето на VPN

На ниво протокол, една усъвършенствана mesh VPN мрежа разчита на комбинацията от IPsec за криптиране на данни и IKE (Internet Key Exchange) за обмен на ключове и договаряне на параметри за сигурност между крайните точки.

IKE е протоколът, който установява асоциация за сигурност (SA) между две точки; тоест, взаимното споразумение за това как трафикът ще бъде криптиран и удостоверяван. За да функционира надеждно една VPN мрежа, IKE политиките на двете страни трябва да съвпадат по всички съответни параметри (метод за удостоверяване, алгоритми за криптиране и удостоверяване, групи на Дифи-Хелман, време за живот и др.).

В рутери като Cisco RV110W е дефинирана IKE политика, която показва, наред с други неща, режима на обмен (първичен или агресивен), алгоритъма за криптиране (DES, 3DES, AES-128, AES-192, AES-256), алгоритъма за удостоверяване (MD5, SHA-1, SHA2-256), предварително споделения ключ и групата Diffie-Hellman (например, група 1 от 768 бита, група 2 от 1024 бита или група 5 от 1536 бита).

В допълнение към IKE политиката, се дефинират VPN политики , които определят какъв трафик е защитен през тунела, какви мрежови идентификатори се използват за локалните и отдалечените краища (единичен IP адрес или подмрежа) и дали политиката е автоматична (с IKE договаряне на ключове и параметри) или ръчна (всички ключове и SPI се конфигурират ръчно и от двата края).

Ръчните политики определят шестнадесетични стойности за входящи и изходящи SPI, ключове за криптиране (Key-In и Key-Out) и алгоритми за интегритет (MD5, SHA1, SHA2-256), като гарантират, че отдалеченото устройство използва абсолютно същите стойности, така че тунелът да може да бъде установен правилно.

Разширени профили: „IPsec е необходим“, „IPsec е по избор“ и изчистване на трафика

В по-сложни mesh мрежови среди, в допълнение към класическата конфигурация на тунели между сайтовете, често се създават разширени профили за свързване , които определят кога използването на IPsec е задължително и кога е разрешен чист трафик.

Например, могат да бъдат дефинирани три профила: един, където IPsec е задължителен (разрешен е само криптиран трафик), друг, където криптирането е по избор (приема се криптиран или некриптиран трафик в зависимост от дестинацията) и трети, който позволява само некриптиран трафик . В системи, базирани на ipsec.conf, тези профили са описани с блокове за свързване (conn), които определят типа на връзката (passthrough или transport), режима на удостоверяване (напр. rsasig със сертификати), параметрите за превключване в случай на повреда (drop или passthrough) и препратки към RSA сертификати и ключове.

Типичен пример е наличието на транзитна връзка без удостоверяване за профила „Без IPsec“, друга транспортна връзка с RSA удостоверяване с подпис и политики за прекратяване при неуспех за профила „Изисква се IPsec“ и трета транспортна връзка с RSA подписи, но с разрешително поведение (транзитна връзка) в случай на неуспех за профила „IPsec опционален“.

Комбинирането на тези профили с подходящите маршрути позволява прилагането на адаптивни стратегии за сигурност , при които определени критични потоци трябва винаги да бъдат криптирани, докато други могат да циркулират в обикновен текст във вътрешни мрежи с високо доверие или опортюнистично да използват IPsec, когато и двата края го позволяват.

Подробности за конфигурацията на VPN политиката

За всяка VPN политика, в допълнение към IKE параметрите, е необходимо да се посочи кой трафик ще бъде капсулиран в тунела . Изходните и целевите мрежи обикновено се избират с помощта на идентификатори като „Single“ (единичен хост) или „Subnet“.

Ако е избрано „Единичен“, политиката се прилага за конкретен IP адрес (например, конкретен сървър). Ако е дефинирана „Подмрежа“, политиката обхваща диапазон от адреси, определен от комбинацията от мрежов IP адрес и маска на подмрежата ; устройствата са защитени от VPN, когато техният IP адрес попада в този диапазон.

В случай на автоматизирани политики , в допълнение към времето на живот на Security Association (в секунди), се избират алгоритми за криптиране и интегритет, а Perfect Forward Secrecy (PFS) е по избор активирана с допълнителна група Diffie-Hellman. Това добавя слой сигурност чрез генериране на нови ключове за сесия, които не зависят единствено от главния ключ.

Във всеки сценарий трябва да се гарантира, че времето на живот, алгоритмите за криптиране, алгоритмите за интегритет, PFS групите и дори избраната IKE политика съвпадат в двата края на тунела. В противен случай договарянето ще се провали или тунелът ще се срине, когато SA изтече и се направи опит за предоговаряне.

Професионалните рутери често предлагат допълнителни функции, като например Dead Peer Detection (DPD) , която следи дали даден партньор е все още активен и премахва остарели записи, за да освободи ресурси. DPD обикновено ви позволява да регулирате честотата на проверките и времето за изчакване, преди да се счита даден партньор за „мъртъв“.

Висока достъпност в облака: Azure VPN Gateway в разширена mesh мрежа

Когато разширена mesh VPN свързва локални мрежи към инфраструктурата на Azure , Azure VPN Gateway и неговите различни опции за резервиране влизат в действие. По подразбиране всеки екземпляр на Azure VPN Gateway се състои от два екземпляра в конфигурация с активен режим на готовност.

В случай на планирана поддръжка или непредвидени инциденти, ако активният екземпляр стане недостъпен, резервният екземпляр поема контрола и тунелите от тип „сайт-сайт“ (S2S) или „виртуална мрежа-виртуална мрежа“ (V2N) се възстановяват автоматично. При планирани прекъсвания възстановяването обикновено отнема 10–15 секунди; при непланирани повреди може да отнеме 1–3 минути. При VPN клиентски връзки от тип „точка-сайт“ (P2S), сесиите се прекъсват и потребителите трябва да се свържат отново.

За да се подобри наличността на връзките между локалната мрежа и Azure, могат да се изберат няколко схеми: използване на множество локални VPN устройства (например, инсталиране на две VPN мрежи ), конфигуриране на VPN Gateway инстанции в режим active-active в Azure или комбиниране на двете за двойна резервираност, която се вписва идеално в mesh топология.

С множество локални VPN устройства, от всяко устройство към Azure gateway се създават няколко S2S връзки, определяйки отделен локален мрежов gateway за всяко устройство, всеки с уникален публичен IP адрес и BGP peer адрес . Използвайки BGP и Equal Cost Per Mechanism (ECMP), трафикът се разпределя паралелно през множество активни тунели.

В активен-активен режим на Azure VPN Gateway, всеки екземпляр на gateway има свой собствен публичен IP адрес и установява S2S IPsec/IKE тунел към локалното VPN устройство, образувайки два тунела, които всъщност принадлежат към една и съща връзка. От Azure и двата тунела се използват едновременно, което увеличава наличността и позволява по-добро разпределение на трафика.

Пълна мрежа между локалната среда и Azure: двойна резервираност

Най-надеждният вариант за усъвършенствана mesh VPN, която комбинира облачна и локална среда, е конфигурирането на двойна резервираност : активно-активни шлюзове в Azure и едновременно множество VPN устройства в локалната мрежа. Резултатът е един вид пълна mesh мрежа с четири IPsec тунела между виртуалната мрежа Azure и локалната среда.

В този дизайн всички шлюзове и тунели се поддържат активни от страната на Azure, а трафикът се разпределя между четирите връзки . Всеки TCP/UDP поток обикновено следва един и същ тунел от гледна точка на Azure, но комбинираните потоци се разпределят между четирите, което леко подобрява общата производителност и, най-важното, осигурява много висока отказоустойчивост.

За да се реализира тази топология, са необходими два локални мрежови шлюза и две различни връзки за двете локални VPN устройства, винаги подкрепени от BGP , за да се позволи едновременна свързаност към една и съща локална мрежа чрез множество връзки.

Същият подход може да се приложи и за свързаност между виртуални мрежи в Azure: във всяка виртуална мрежа се създават активно-активни шлюзове (gateways) и се свързват помежду си, за да се получат и четири активни тунела между виртуалните мрежи (VNets). В този случай BGP е по избор, освен ако транзитният трафик не е необходимо да се маршрутизира през тази връзка.

С този тип архитектура, облачните мрежи престават да бъдат просто сателити на локалната мрежа и се превръщат в пълноценни възли в VPN мрежата , осигурявайки голяма гъвкавост при преместване на работни натоварвания, балансиране на приложения и проектиране на планове за непрекъснатост на бизнеса.

Mesh Wi-Fi и VPN: перфектна комбинация в корпоративната мрежа

Концепцията за „mesh“ не се ограничава само до VPN мрежи. В сферата на Wi-Fi, решения като eero и неговата технология TrueMesh демонстрираха, че използването на множество взаимосвързани точки за достъп е високоефективен начин за елиминиране на мъртвите зони, минимизиране на прекъсванията и намаляване на ужасното буфериране в домашни и малки офис среди.

Вместо един Wi-Fi рутер, който се опитва да покрие цялата къща или офис, mesh Wi-Fi мрежата разпределя множество eero устройства в пространството, позволявайки на клиентите винаги да се свързват с най-близката и най-стабилна точка за достъп . TrueMesh интелигентно пренасочва трафика въз основа на фактори като физическото разположение на възлите, смущенията от съседни мрежи и натоварването на свързаните устройства.

В зависимост от използването на интернет, се препоръчват различни модели: eero 6+ като достъпна гигабитова система, eero Pro 6E за връзки до 2 Gbps и много едновременни устройства или eero Max 7 за напреднали потребители с Wi-Fi 7, стотици устройства и максимална производителност, както с кабел, така и безжично.

Всички тези устройства са съвместими с основните интернет доставчици и помежду си, което позволява постепенно разширяване или надграждане на Wi-Fi мрежата . Освен това, те получават автоматични софтуерни актуализации с корекции за сигурност и подобрения на функциите – ключов момент, когато Wi-Fi е основната точка за достъп за корпоративна VPN.

Дигитален дом, сигурност и централизирано управление с eero

Освен основната свързаност, съвременните eero системи интегрират функции за интелигентен дом благодарение на съвместимостта с Thread, Zigbee и Matter (използвайки Alexa като контролер). На практика това означава, че много устройства за интелигентен дом могат да се свързват директно към eero мрежата, без да са необходими допълнителни хъбове.

Приложението eero ви позволява да конфигурирате устройство Thread, например като активирате опцията в Мрежови настройки → Thread , или да използвате Zigbee hub, като интегрирате вашите eero и Amazon акаунти в секцията Amazon Connected Home. След като това е направено, можете да добавяте съвместими устройства, използвайки приложението Alexa или всеки Echo високоговорител в мрежата.

За ежедневно управление, eero улеснява администрирането на устройства: можете да присвоите устройства на отделни профили (например, за да групирате устройствата на всеки член на семейството), да приложите графици за пауза на Wi-Fi (много полезно за ограничаване на използването в определени моменти) и лесно да преименувате всяко устройство, за да го идентифицирате, без да се налага да правите промени.

Възможно е също така да се активират известия за получаване на сигнали, когато ново устройство се присъедини към мрежата, както и да се създаде отделна мрежа за гости със собствено име и парола, като по този начин основната мрежа се поддържа по-изолирана и контролирана.

В комбинация с VPN услуги – като VPN достъпа, включен чрез Guardian в абонамента на eero Plus – потребителят има допълнителен слой криптиране , когато се свързва от мобилния си телефон или таблет към външни мрежи, което перфектно допълва по-корпоративни mesh VPN мрежи.

Допълнителни услуги за сигурност: eero Plus и VPN за крайни потребители

Абонаментът eero Plus добавя набор от разширени функции за сигурност, насочени към крайните потребители и малките организации: подобрена защита, родителски контрол, резервно копие на интернет и интеграция с три добре познати приложения: 1Password (мениджър на пароли), Malwarebytes (защита от зловреден софтуер) и Guardian (VPN услуга).

С филтрите за съдържание родителите могат да дефинират ограничения по категории – пазаруване, социални медии, чатове и съобщения, стрийминг – така че само определени устройства да имат достъп до подходящо съдържание. Този тип контрол работи особено добре в среди, където Wi-Fi mesh мрежата и корпоративната VPN мрежа споделят една и съща домашна инфраструктура.

Функцията за резервно копие на интернет позволява на eero автоматично да се свързва с мобилна точка за достъп или друга налична мрежа, когато основният доставчик спре да работи, и можете да изберете кои устройства да останат свързани по време на прекъсването, за да оптимизирате наличната честотна лента.

В областта на личната сигурност, интеграцията с Malwarebytes предлага защита срещу онлайн заплахи на до три съвместими устройства, докато 1Password улеснява сигурното управление и съхранение на идентификационни данни , което е от съществено значение при работа с корпоративен VPN достъп, административни панели и облачни услуги.

И накрая, Guardian предлага VPN, ориентирана към крайния потребител , достъпна директно от приложението eero, която криптира трафика от устройството (мобилно или таблетно) към интернет, идеална за връзки от публични или ненадеждни Wi-Fi мрежи. Въпреки че този тип VPN не замества усъвършенствана корпоративна mesh мрежа, той допълва много добре защитата на крайния потребител.

VPN от сайт до сайт: стълбове за стабилен дизайн

В корпоративен контекст, всяка усъвършенствана mesh VPN мрежа е изградена фундаментално от множество VPN мрежи тип „сайт-сайт“ . За да бъдат тези връзки надеждни и лесни за работа в голям мащаб, е важно да се погрижим за пет ключови компонента.

Първото е технологичната сигурност в компаниите : използване на надеждни криптографски алгоритми (AES със 128/192/256-битови ключове, SHA-2), правилно управление на ключовете, PFS, DPD и добри практики за защита на периметърните устройства.

Вторият стълб е лекотата на работа : последователни политики в различните локации, шаблони за многократна употреба на конфигурация, централизирани инструменти за управление и наблюдение и ясни процеси за добавяне на нови локации или промяна на параметри.

Трето, това е проста и сигурна мащабируемост , което означава възможност за добавяне на местоположения без препроектиране на цялата топология, възползвайки се от техники като агрегиране на подмрежи, използване на BGP за динамично маршрутизиране и автоматизация на внедряването.

Последните два стълба са непрекъснатостта на бизнеса – гарантиране, че повреда на възел или връзка не оставя сайтовете изолирани – и гъвкаво внедряване , т.е. възможността за внедряване на VPN в различни среди (локална, публичен облак, множество облака), като същевременно се поддържат последователни политики за сигурност.

Управлявани VPN услуги и специализирани продукти за сигурност

За много организации, особено тези без голям вътрешен екип за мрежи и сигурност, използването на управлявани VPN услуги може да бъде много разумно решение. Тези услуги възлагат на външни изпълнители част от сложността: проектиране на топология, избор на хардуер, конфигуриране на IPsec/IKE политики, 24/7 наблюдение, реагиране при инциденти и текуща поддръжка.

Доставчици на решения за сигурност като Fortinet предлагат специализирани продукти и услуги за изграждане и управление на VPN мрежи тип „сайт-към-сайт“ и усъвършенствани mesh мрежи, интегрирайки защитни стени, SD-WAN, дълбока проверка на пакети, уеб филтриране и други слоеве на защита. По този начин VPN престава да бъде обикновен „криптиран тунел“ и се превръща в един от компонентите на многопластова архитектура за сигурност.

В големи мрежи с десетки или стотици сайтове, тези решения драстично намаляват оперативното натоварване: те ви позволяват да дефинирате глобални политики , да ги внедрявате на множество устройства, да управлявате сертификати, актуализации на фърмуера и промени в конфигурацията по оркестриран начин и да получите централизирана видимост на състоянието на всички тунели.

Независимо дали изберете вътрешнофирмено управление или аутсорсинг на услуга, ключовото е mesh VPN да е в крак с организацията: поддържа нови локации, нови облачни услуги, пикове на трафика и промени в нуждите от сигурност, без да се превръща в пречка за бизнеса.

Проектирането и експлоатацията на усъвършенствана mesh VPN мрежа включва комбиниране на разпределена архитектура в множество сайтове, внимателна IPsec/IKE конфигурация, стратегии за висока достъпност (както локално, така и в облака), надеждна mesh Wi-Fi основа и в много случаи допълнителни услуги за сигурност и управление. Чрез интегрирането на всички тези елементи – от профили „IPsec задължителен/опционален“ и активно-активна резервираност до BGP, решения като eero Plus и професионални платформи за защитни стени – организациите могат да изградят сигурни, мащабируеми и отказоустойчиви мрежи, които свързват офиси, домове и облаци, без да жертват производителността или гъвкавостта.