ITPub博客

首页博客专栏学院社区 IT新媒体评选

发博

首页 > IT基础架构 > 网络通信/物联网 > Tungsten Fabric架构解析丨TF基于应用程序的安全策略

Tungsten Fabric架构解析丨TF基于应用程序的安全策略

原创网络通信/物联网作者：TF中文社区时间：2020-02-13 19:02:58 0 删除编辑

Hi！这里是Tungsten Fabric架构解析内容的最后一篇，介绍TF基于应用程序的安全策略。Tungsten Fabric架构解析系列文章，由TF中文社区为你呈现，旨在帮助初入TF社区的朋友答疑解惑。我们将系统介绍TF有哪些特点、如何运作、如何收集/分析/部署、如何编排、如何连接到物理网络等话题。

常规防火墙策略包含基于单个IP地址或子网范围的规则。在任何规模的数据中心中，这都会导致防火墙规则的激增，这些规则在创建时难以管理，在故障排除时也难以理解。

这是因为服务器或VM的IP地址与应用程序、应用程序所有者、位置或任何其他属性无关。例如，考虑一个拥有两个数据中心并在开发和生产中部署三层应用程序的企业，如下图所示。

在该企业中，要求每层应用程序的每个实例只能与同一实例中的下一层实例通信。如图所示，这需要针对每个应用程序实例的单独的策略。

在解决问题时，管理员必须知道IP地址和应用程序实例之间的关系，并且每次部署新实例时，都必须编写新的防火墙规则。

应用标签

Tungsten Fabric控制器支持基于标签的安全策略，可应用于项目、网络、vRouters、VM和接口。

标签在对象模型中，传播到应用了标签的对象中包含的所有对象，并且在包含层次结构的较低级别应用的标签，优先于在较高级别应用的标签。标签具有名称和值。许多标签名称作为Tungsten Fabric发布版本的一部分。

下表显示了标签类型的典型用途：

如表中所示，除了Tungsten Fabric提供的标签类型之外，用户还可以根据需要创建自己的自定义标签名称，并且有一个_label _type标签，可用于更精细地调整数据流。

创建应用程序策略

应用程序策略包含基于标记值和服务组的规则，这些值是TCP或UDP端口号的集合。

首先，安全管理员为应用程序堆栈分配类型为_application _的标签，并为应用程序的每个软件组件分配类型为_tier _的标签。如下图所示。

在此示例中，应用程序被标记为FinancePortal _，层被标记为_web，app_和_db。 Service组已为进入应用程序堆栈以及每一层之间的流量创建。

然后，安全管理员创建一个名为_Portal-3-Tier _containing规则的应用程序策略，该策略将仅允许所需的流量。

接下来，应用程序策略集与应用程序标记_FinancePortal关联，并包含应用程序策略_Portal-3-Tier。

此时，可以启动应用程序堆栈，并将标签应用于Tungsten Fabric控制器中的各个VM。这会导致控制器计算需要将哪些路由发送到每个vRouter以强制执行应用程序策略集，并将这些路由发送到每个vRouter。

如果每个软件组件都有一个实例，则每个vRouter中的路由表如下：

网络和虚拟机在这里被命名为它们所在的层。实际上，实体名称和层之间的关系通常不会那么简单。

从表中可以看出，路由仅启用应用策略中指定的流量，但此处基于标签的规则已转换为vRouter能够应用的基于网络地址的防火墙规则。

控制部署之间的流量

成功创建应用程序堆栈之后，让我们看一下创建堆栈的另一个部署时会发生什么，如下所示。

原始策略中没有任何内容阻止流量在一个部署中的层之间流动到另一个部署中的层。

可以通过以下方式来修改此行为：使用_deployment _tag标记每个堆栈的每个组件，并在应用程序策略中添加_match _condition来允许流量仅在部署标签匹配时才在层之间流动。

更新后的政策如下所示：

现在，流量符合严格的要求，即流量仅在同一堆栈内的组件之间流动。

更高级的应用程序策略

通过应用不同类型的标签，可以将安全策略应用于多个维度，所有这些都可以在单个策略中应用。

例如，在下图中，单个策略可以根据站点对单个堆栈内的流量进行分段，但允许在站点内共享数据库层。

如果在相同的站点和部署组合中部署了多个堆栈，则可以创建实例名称的自定义标签，并且可以使用实例标签上的匹配条件来创建所需的限制，如下图所示。

Tungsten Fabric中的应用程序策略功能提供了一个非常强大的实施框架，同时可以显着简化策略并减少其数量。

·END·

至此，Tungsten Fabric Carbide 架构解析系列文章连载完毕，往期回顾——

第一篇： TF主要特点和用例

第二篇： TF怎么运作

第三篇：详解vRouter体系结构

第四篇： TF的服务链

第五篇： vRouter的部署选项

第六篇： TF如何收集、分析、部署？

第七篇： TF如何编排

第八篇： TF支持API一览

第九篇： TF如何连接到物理网络

关注微信：TF中文社区

来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/69957171/viewspace-2675500/ ，如需转载，请注明出处，否则将追究法律责任。

上一篇： Tungsten Fabric+K8s轻松上手丨通过Kubernetes网络策略进行应用程序微分段

下一篇：揭秘LOL背后的IT基础架构丨踏上部署多样性的征程

请登录后发表评论登录

全部评论

Tungsten Fabric项目是一个开源项目协议，它基于标准协议开发，并且提供网络虚拟化和网络安全所必需的所有组件。项目的组件包括：SDN控制器，虚拟路由器，分析引擎，北向API的发布，硬件集成功能，云编排软件和广泛的REST API。

注册时间：2019-12-11

博文量
102
访问量

74490

最新文章

北京盛拓优讯信息技术有限公司. 版权所有京ICP备16024965号-8 北京市公安局海淀分局网监中心备案编号：11010802021510 niuxiaotong@pcpop.com 17352615567 未成年人举报专区

广播电视节目制作经营许可证(京) 字第1234号中国互联网协会会员

违法和不良信息举报电话:18101376593