Entre connectivité et isolement : obtenez une sécurité optimale des centres de données avec Cisco ACI

Dans tout centre de données opérationnel, les deux possibilités de résultats de haut niveau dans le réseau sont la connectivité et l'isolement. Si chaque appareil peut se connecter à tous les autres appareils en activant une connectivité complète, la mise en réseau est relativement facile à créer, mais intrinsèquement non sécurisée.

Si un réseau isole complètement toutes les formes de trafic, il est inutilisable. Entre ces deux extrêmes de connectivité et d'isolement existe un équilibre optimal pour toute organisation.

Dans cet article, nous expliquons comment atteindre cette approche de sécurité optimale dans le centre de données avec Cisco Application Centric Architecture, ou ACI.

ACI Tenants

Le principal composant logique de Cisco ACI pour créer une connectivité ou une isolation pour le trafic de données de production dans un centre de données Cisco ACI est un locataire. Un locataire (tenant) est purement une construction logique dans le logiciel et il est appliqué à toutes les épines et feuilles. Un locataire est facile à créer et peut représenter votre entreprise, une autre entreprise, une unité commerciale unique ou même un laboratoire ou pour des tests de logiciels. Par défaut, tous les locataires sont complètement isolés de tous les autres locataires, et ainsi différents ordinateurs dans différents locataires peuvent partager le même adressage IP sans aucun souci d'erreurs IP en double.

Blacklist vs Whitelist Security Model

La mise en réseau Cisco traditionnelle avant ACI utilisait un modèle de liste noire, ce qui signifie que si vous connectez un périphérique final tel qu'un serveur à un commutateur, il dispose d'une connectivité complète à partir du commutateur. Si vous souhaitez refuser le trafic dans le modèle de liste noire, vous devez effectuer une action comme ajouter une liste de contrôle d'accès (ACL) à un périphérique réseau.

Blacklist signifie "faire quelque chose" pour isoler le trafic alors qu'autrement, cela serait autorisé.

Cisco ACI est toujours basé sur un modèle de sécurité de liste blanche. Dans un modèle de liste blanche, si vous connectez un terminal à une feuille ACI, il n'y a pas de connectivité par défaut. Même un simple test ping d'un serveur vers un autre serveur échouera par défaut jusqu'à ce que sa connectivité soit activée.

A "whitelist model" est plus sécurisé qu'un modèle de liste noire dans la mesure où tout problème oublié sera mémorisé par ACI et bloqué. On peut dire que dans Cisco ACI, "le refus implicite est toujours partout".

La liste blanche signifie "faire quelque chose" pour autoriser le trafic alors qu'autrement, il serait isolé.

Création d'une "Whitelist model"

Si aucune liste blanche n'est créée dans une nouvelle installation ACI, aucun trafic réseau ne sera autorisé pour tout périphérique connecté à une feuille. L'ensemble du centre de données serait inutilisable.

La première tâche pour créer une liste blanche consiste à créer un locataire. Plusieurs locataires peuvent exister au sein d'une structure ACI. Par défaut, tous les locataires sont totalement isolés des autres locataires.

Dans le locataire, créez un profil d'application. Plusieurs profils d'application peuvent exister dans n'importe quel locataire. Un profil d'application doit représenter des applications réelles qui communiquent entre elles dans le centre de données. Un exemple d'application à trois niveaux courant est celui des serveurs Web, des serveurs d'applications et des bases de données. Les serveurs Web doivent souvent communiquer avec les serveurs d'applications et les serveurs d'applications doivent communiquer avec les bases de données.

Pour chaque type d'application, un groupe de points de terminaison, ou EPG, peut être créé dans le profil d'application. Par défaut, tous les nouveaux points d'extrémité connectés à la feuille ou aux feuilles auront une connectivité complète entre eux s'ils se trouvent dans le même EPG.

Tous les appareils d'un EPG seront totalement isolés des autres EPG par défaut, sauf s'il existe un contrat entre les EPG. Un contrat est comme un « câble virtuel » dans la mesure où il est toujours connecté aux deux extrémités à deux objets ACI différents comme et EPG.

Un contrat est alors logiquement connecté à un filtre. Un filtre est très proche d'une liste d'accès étendue traditionnelle, sauf sans adressage IP. L'intégralité de la liste blanche ACI n'est pas basée sur l'adressage IP.

Micro-segmentation

La liste blanche la plus simple possible dans ACI serait de créer un seul locataire, de créer un profil d'application et de créer un EPG à l'intérieur. Ensuite, placez chaque serveur du centre de données dans cet EPG unique. Toute cette configuration peut être créée en quelques minutes seulement. Bien que cela soit facile à configurer, ce serait la configuration la moins sécurisée possible car tous les appareils ont une connectivité complète à tous les appareils. À l'opposé du spectre de la sécurité, il faudrait mettre en œuvre une micro-segmentation complète. Cela nécessiterait que chaque serveur d'applications soit dans son propre EPG.

Ensuite, la seule connectivité autorisée entre les EPG se situerait dans les filtres des contrats entre les EPG choisis. Cette approche peut devenir très complexe dans un grand centre de données, mais serait exceptionnellement sécurisée. Il serait juste de dire que « facile » et « sécurisé » sont opposés dans un modèle de liste blanche comme ACI. La plupart des architectes ACI choisissent une position idéale et réalisable entre ces deux extrêmes.

Conclusion

La sécurité d'accès à n'importe quel réseau de données augmente considérablement lorsque Cisco ACI est déployé avec une liste blanche bien structurée.

Ces formations Cisco offrent une vue complète de Cisco ACI :

• DCACI - Implementing Cisco Application Centric Infrastructure
• DCAUI - Implementing Automation for Cisco Data Center Solutions

Découvrez le parcours complet des formations Cisco Data Center.