Zabezpieczenie infrastruktury OVHcloud za pomocą Stormshield Network Security

Wprowadzenie

W dzisiejszym, nieustannie zmieniającym się krajobrazie cyfrowym, zabezpieczenie infrastruktury chmurowej stało się priorytetem dla firm każdej wielkości. Ponieważ firmy w coraz większym stopniu polegają na rozwiązaniach chmurowych w swojej działalności, zapewnienie ochrony wrażliwych danych i zachowanie integralności sieci jest krytycznym zadaniem. Stormshield SNS EVA (Stormshield Elastic Virtual Appliance) to kompleksowe rozwiązanie bezpieczeństwa zaprojektowane w celu ochrony środowisk chmurowych przed wieloma zagrożeniami.

Niniejszy przewodnik zawiera instrukcje krok po kroku dotyczące wdrażania i konfigurowania SNS EVA w Public Cloud OVHcloud za pomocą usługi vRack i publicznego routingu IP, obejmujące kluczowe funkcje, takie jak zapory sieciowe, VPN IPSec i VPN SSL/TLS. Postępując zgodnie z naszym przewodnikiem, zwiększasz bezpieczeństwo Twojej infrastruktury Public Cloud i zapewnisz bezpieczeństwo Twoich operacji.

Ten przewodnik wyjaśnia, jak zabezpieczyć Twoją infrastrukturę OVHcloud za pomocą Stormshield Network Security wdrożonego w Public Cloud.

Wymagania początkowe

• Jeden projekt Public Cloud na Twoim koncie OVHcloud.
• użytkownik OpenStack (opcjonalnie).
• Podstawowa znajomość sieci.
• Konto Stormshield utworzone w witrynie Stormshield.
• Upewnić się, że vRack jest włączony i skonfigurowany w taki sposób, aby umożliwić bezpieczną komunikację między komponentami infrastruktury.
• Blok adresów Additional IP (/29) umożliwiający failover i konfigurację wysokiej dostępności.
• Licencja Stormshield Elastic Virtual Appliance BYOL (Bring Your Own Licence) uzyskana od zewnętrznych partnerów lub resellerów, którą należy dostarczyć podczas instalacji i konfiguracji.

Dostęp do Panelu klienta OVHcloud

• Link bezpośredni: Public Cloud Projects
• Ścieżka nawigacji: Public Cloud > Wybierz projekt

W praktyce

Oprócz instalacji i konfiguracji Stormshield Network Security, ten tutorial prezentuje różne przypadki użycia w zależności od Twoich potrzeb:

• Instalacja i konfiguracja Stormshield Network Security w Twoim środowisku Public Cloud
• Przykład zastosowania 1: skonfiguruj Stormshield Network Security do użycia jako brama
• Przykład zastosowania 2: konfiguracja NAT (Network Address Translation) w celu uzyskania dostępu do prywatnej usługi HTTP z zewnątrz
• Przykład zastosowania 3: tunel IPsec (site-to-site)
• Przykład zastosowania 4: VPN SSL/TLS (klient-strona)

Instalacja i konfiguracja Stormshield Network Security w Twoim środowisku Public Cloud

Konfiguracja usługi vRack

Na tym etapie konfigurujemy usługę vRack - prywatną sieć wirtualną dostarczaną przez OVHcloud. Funkcja vRack pozwala na połączenie kilku instancji lub serwerów w ramach środowiska Public Cloud, dzięki czemu sieć jest odizolowana, a komunikacja pozostaje bezpieczna. Po dodaniu Twojego projektu Public Cloud i bloku Additional IP do tej samej sieci vRack możesz zapewnić bezpieczną komunikację instancji SNS EVA, zachowując jednocześnie pełną kontrolę nad zarządzaniem adresami IP. Prywatna sieć vRack umożliwia również zabezpieczenie serwerów Bare Metal Cloud lub wirtualnych maszyn Private Cloud za pomocą urządzeń bezpieczeństwa wdrożonych w chmurze publicznej.

Dodaj Twój projekt Public Cloud i blok Additional IP do tej samej sieci vRack.

Przykładowo, blok IP to 147.135.161.152/29.
Używamy pierwszego adresu IP 147.135.161.153 dla pierwszej instancji SNS EVA i tymczasowo używamy drugiego adresu IP 147.135.161.154 dla drugiego SNS EVA.
Adres bramy to 147.135.161.158.

Więcej informacji zawiera przewodnik "Konfiguracja bloku IP w sieci vRack".

Poniżej przedstawiamy architekturę, którą zamierzamy wprowadzić.

Skonfiguruj sieć OpenStack

Utwórz prywatną sieć dla zewnętrznych interfejsów SNS EVA:

openstack network create --provider-network-type vrack --provider-segment 0 --disable-port-security stormshield-ext

openstack subnet create --network stormshield-ext --subnet-range 192.168.1.0/29 --dhcp stormshield-ext

Utwórz prywatną sieć dla wewnętrznych interfejsów SNS EVA:

openstack network create --provider-network-type vrack --provider-segment 200 --disable-port-security stormshield-vlan200

openstack subnet create --network stormshield-vlan200 --subnet-range 10.200.0.0/16 --dhcp --dns-nameserver <dns_address_ip> stormshield-vlan200

Utwórz prywatną sieć dla interfejsów SNS EVA HA (High Availability):

openstack network create --provider-network-type vrack --provider-segment 199 --disable-port-security stormshield-ha

openstack subnet create --network stormshield-ha --subnet-range 192.168.2.0/29 --dhcp --gateway none stormshield-ha

Wdrażanie instancji SNS EVA

Przejdź do sekcji download na oficjalnej stronie Stormshield. Zaloguj się do konta Stormshield i postępuj zgodnie z instrukcjami, aby pobrać obraz Stormshield OpenStack.

Przejdź do katalogu, do którego załadowałeś obraz SNS EVA OpenStack i zaimportujesz obraz (w tym tutorialu używamy obrazu utm-SNS-EVA-4.8.3-openstack.qcow2):

openstack image create --disk-format raw --container-format bare --file ./utm-SNS-EVA-4.8.3-openstack.qcow2 stormshield-SNS-EVA-4.8.3

Utwórz instancje SNS EVA (w tym przykładzie nazwaliśmy je stormshield-1 i stormshield-2):

openstack server create --flavor b3-32 --image stormshield-SNS-EVA-4.8.3 --network stormshield-ext --network stormshield-vlan200 --network stormshield-ha stormshield-1

openstack server create --flavor b3-32 --image stormshield-SNS-EVA-4.8.3 --network stormshield-ext --network stormshield-vlan200 --network stormshield-ha stormshield-2

Konfiguracja instancji SNS EVA

W sekcji Public Cloud wybierz odpowiedni projekt. W menu po lewej stronie kliknij Instancje w zakładce Compute, następnie odnajdź Twoje dwie instancje SNS EVA.

Uzyskaj dostęp do konsoli VNC dla obu instancji SNS EVA i skonfiguruj układ klawiatury oraz hasło.

Skonfiguruj domyślną bramę w pierwszym serwerze SNS EVA za pomocą bramy bloku IP:

vi /usr/Firewall/ConfigFiles/object

[Host]
Firewall_out_router=147.135.161.158,resolve=static
...

Skonfiguruj zewnętrzny interfejs sieciowy na pierwszym serwerze SNS EVA z pierwszym możliwym do użycia adresem IP naszego bloku IP oraz wewnętrznym interfejsem sieciowym o adresie IP 10.200.0.1:

vi /usr/Firewall/ConfigFiles/network

...
[ethernet0]
...
Address=147.135.161.153
Mask=255.255.255.248

[ethernet1]
...
Address=10.200.0.1
Mask=255.255.0.0
...

Zastosuj nową konfigurację sieci:

ennetwork

Skonfiguruj drugi SNS EVA, ale z drugim adresem IP 147.135.161.154 naszego bloku IP dla interfejsu zewnętrznego zamiast 147.135.161.153.

Dodaj inną licencję do obu instancji SNS EVA, postępując zgodnie z oficjalną dokumentacją.

Utwórz regułę zapory podobną do tej w obu usługach SNS EVA w graficznym interfejsie sieciowym:

Na pierwszym serwerze SNS EVA utwórz grupę zapór sieciowych (Configuration > System > High Availability). W odniesieniu do adresu IP sprawdź, który adres IP został przypisany do interfejsu HA przez DHCP OpenStack.

Po zakończeniu konfiguracji HA na pierwszym serwerze SNS EVA dołącz do grupy zapory sieciowej na drugim:

Drugi zewnętrzny interfejs SNS EVA będzie odtąd korzystał z tego samego adresu IP co pierwszy. W związku z tym adres IP 147.135.161.154 może być od tej pory wykorzystywany do innych celów.

Jeśli wszystko jest skonfigurowane poprawnie, po ponownym uruchomieniu drugiego SNS EVA, powinieneś zobaczyć coś podobnego we wskaźnikach integralności linku HA:

Konfiguracja i zabezpieczenie zarządzania usługą SNS EVA

curl ipinfo.io/ip
<adresse_ip>

Ponowna synchronizacja konfiguracji HA

Synchronizacja między dwoma instancjami SNS EVA jest niezbędna, aby zapewnić aktualność obu zapór przy tej samej konfiguracji. Można to zrobić za pomocą wiersza poleceń SSH lub bezpośrednio w graficznym interfejsie użytkownika (GUI).

Na tym etapie obie instancje SNS EVA nie muszą być synchronizowane, ponieważ skonfigurowaliśmy dużą liczbę parametrów w pierwszej instancji, o której druga instancja nie wie.

Zaloguj się do aktywnej instancji SNS EVA przez SSH:

ssh admin@<adresse_ip>

Synchronizuj dwa SNS EVA:

hasync

Operacja ta jest konieczna przy każdej aktualizacji konfiguracji.

Konfiguracje przypadków użycia

Po wdrożeniu firewalla SNS EVA można go używać w kilku zaawansowanych scenariuszach bezpieczeństwa, takich jak VPN IPsec, VPN SSL/TLS, bramy sieciowe (IN lub OUT), jak opisano poniżej. Dzięki prywatnej sieci vRack wymienione sieci VLAN mogą być również używane poza środowiskiem Public Cloud: w przypadku produktów Bare Metal lub Private Cloud.

Przykład zastosowania nr 1: skonfiguruj Stormshield Network Security do użytku jako bramę

W tym przykładzie wirtualna zapora będzie działać jako bezpieczna brama dla prywatnych instancji (lub innego serwera) w ramach danej sieci vRack. Ten typ ruchu może być filtrowany przy użyciu adresów URL na zaporze.

• Utwórz obiekt sieciowy dla , postępując zgodnie z tą częścią oficjalnej dokumentacji Stormshield.

• Utwórz nową regułę filtrowania podobną do tej, aby umożliwić ruch z wychodzący:

• Utwórz podobną regułę NAT:

Synchronizuj dwie instancje HA SNS EVA:

ssh admin@<adresse_ip>
hasync

Sprawdzanie, czy instancja może dotrzeć do Internetu z poziomu

Importuj publiczny klucz SSH:

openstack keypair create --public-key ~/.ssh/id_rsa.pub <name>

Utwórz instancję na :

openstack server create --flavor b2-7 --image "Ubuntu 22.04" --network stormshield-vlan200 --key-name <name> ubuntu-webserver

Zaloguj się do instancji SNS EVA przez SSH:

ssh -A admin@<ip_instance>

Z instancji SNS EVA połącz się z serwerem www Ubuntu za pomocą SSH. Sprawdź, który adres IP został przypisany do instancji serwera WWW Ubuntu przez DHCP OpenStack:

ssh ubuntu@<adresse_ip>

Sprawdź, czy możesz wejść na publiczną stronę WWW:

curl -I https://www.ovh.com/manager/
HTTP/2 200

Przykłady zastosowania nr 2: konfiguruj NAT (Network Address Translation), aby uzyskać dostęp do prywatnej usługi HTTP z zewnątrz

W tym przykładzie Internet musi być w stanie dotrzeć do prywatnego serwera www zainstalowanego na . Celem tej konfiguracji jest ochrona serwera sieci Web przed zaporą sieciową.

sudo apt-get update
sudo apt-get install -y nginx

Sprawdź stronę www z zewnątrz:

curl -I http://<adresse_ip>
HTTP/1.1 200 OK

Synchronizuj dwie instancje HA SNS EVA:

ssh admin@<adresse_ip>
hasync

Przykłady zastosowania nr 3: tunel IPsec (od strony do strony)

W tym przykładzie tunel IPsec jest skonfigurowany tak, aby łączył dwa różne regiony PCI: SBG7 (sieć VLAN200) i GRA11 (sieć VLAN201), ale każda z tych lokalizacji może być lokalizacją zdalną, taką jak biuro lub centrum danych.

Powtórz wszystkie kroki w innym regionie, używając sieci VLAN 201 zamiast VLAN 200 i różnych zakresów adresów IP dla podsieci Stormshield-ext i Stormshield-ha.;

Skonfiguruj pierwszą stronę

• Dodaj obiekt hosta dla zdalnego serwera SNS EVA i dodaj obiekt sieciowy dla zdalnej sieci prywatnej .

• Utwórz standardowy tunel typu site-to-site.

Synchronizuj dwie instancje HA SNS EVA:

ssh admin@<adresse_ip>
hasync

Konfiguracja drugiej strony

Do exactly the same as for the first site, but use VLAN200 for the remote private network and the appropriate IP address for the OVH_REMOTE_FW.

Testuj tunel VPN IPsec

Z pierwszej instancji prywatnego serwera www strony:

ssh -A admin@<ip_address>
ssh ubuntu@<ip_address>
ping <ip_address>
PING <ip_address>(<ip_address>) 56(84) bytes of data.
64 bytes from <ip_address>: icmp_seq=1 ttl=64 time=15.2 ms
64 bytes from <ip_address>: icmp_seq=2 ttl=64 time=14.0 ms

Z drugiej instancji prywatnego serwera www strony:

ssh -A admin@<ip_address>
ssh ubuntu@<ip_address>
ping <ip_address>
PING <ip_address> (<ip_address>) 56(84) bytes of data.
64 bytes from <ip_address>: icmp_seq=2 ttl=64 time=16.9 ms
64 bytes from <ip_address>: icmp_seq=3 ttl=64 time=16.4 ms

Przykłady zastosowania nr 4: VPN SSL/TLS (klient-strona)

W tym przykładzie zdalny klient OpenVPN połączy się z siecią prywatną wewnątrz VLAN200.

Konfiguracja katalogu LDAP

• Utwórz wewnętrzny katalog LDAP, aby zarządzać użytkownikami VPN.

W scenariuszu produkcji ten protokół LDAP/AD musi być zdalny, a nie lokalny.

• Utwórz katalog użytkowników:

• Dodaj użytkownika do katalogu lokalnego:

• Wybierz hasło dla nowego użytkownika:

Konfiguracja obiektów sieci VPN

Utwórz dwa obiekty sieciowe dla klienta VPN SSL.

Sieć klienta UDP:

Sieć klienta TCP:

Konfiguracja serwera VPN SSL

Skonfiguruj serwer VPN SSL:

Zarządzanie uprawnieniami użytkowników

Dodaj do swojego użytkownika uprawnienie do korzystania z serwera VPN SSL (Configuration > Users > Access privileges > Detailed Access > Add)

Wyszukaj użytkownika:

Zezwalaj na VPN SSL:

Konfiguracja reguł filtrowania

Dodaj taką regułę filtrowania, aby umożliwić klientowi VPN dostęp do :

Synchronizacja instancji SNS

Synchronizuj dwie instancje HA SNS EVA:

ssh admin@<ip_address>
hasync

Przetestuj VPN SSL/TLS

Pobierz plik konfiguracyjny VPN (Configuration > VPN > SSL VPN > Advanced configuration > Export the configuration file).

Utwórz publiczną instancję klienta OpenVPN w wybranym regionie:

openstack server create --flavor b2-7 --image "Ubuntu 22.04" --network Ext-Net --key-name sguyenne ubuntu-vpn-client

Sprawdź adres IP przypisany do wystąpienia i skopiuj do niego plik konfiguracyjny:

scp ~/Download/openvpn_mobile_client.ovpn ubuntu@<ip_address>:~

Zaloguj się do instancji:

ssh ubuntu@<ip_address>

Zainstaluj klienta OpenVPN:

sudo apt-get update
sudo apt-get install -y openvpn

Zaloguj się do VPN:

sudo openvpn --config openvpn_mobile_client.ovpn 
Enter Auth Username: address@stormshield.ovh
🔐 Enter Auth Password: ******************

Test ping prywatnej instancji serwera www:

ssh ubuntu@<ip_address>
ping <ip_address>

PING <ip_address> (<ip_address>) 56(84) bytes of data.
64 bytes from <ip_address>: icmp_seq=1 ttl=64 time=14.1 ms
64 bytes from <ip_address>: icmp_seq=2 ttl=64 time=13.1 ms

Idź dalej

Jeśli potrzebujesz szkolenia lub pomocy technicznej w celu wdrożenia naszych rozwiązań, skontaktuj się z przedstawicielem handlowym lub kliknij ten link, aby uzyskać wycenę i poprosić o spersonalizowaną analizę projektu od naszych ekspertów z zespołu Professional Services.

Dołącz do grona naszych użytkowników.