Традиционная сеть строится на базе физических коммутаторов и маршрутизаторов. Чтобы логически разделить потоки данных, используется технология VLAN (Virtual Local Area Network). В нашей метафоре это напоминает огромный многоквартирный дом, который разделен на этажи. Один этаж — это один VLAN, один логический сегмент сети. Внутри него виртуальные машины находятся в одном L2-домене, а значит, могут взаимодействовать напрямую, без посредников.

Для перемещения между «этажами» используется маршрутизатор (L3-уровень). Это своего рода «лифт», который проверяет политики доступа и решает, можно ли попасть из одного VLAN в другой. Внутри же «этажа» никакой маршрутизации нет — все виртуальные машины находятся в общем пространстве и могут «видеть» друг друга, как соседи с общим коридором. При этом каждая виртуальная машина имеет свой IP-адрес, как каждая квартира — свой номер.

Проблема такой архитектуры в отсутствии гибкости. Если дом уже построен, невозможно увеличить количество квартир без перестройки этажей или сделать из одного этажа несколько. Традиционная сеть создает несколько значительных проблем:

• Лимит в 4096 «этажей»

Сетевой стандарт IEEE 802.1Q ограничивает количество VLAN числом 4096. Кажется, что это много, но на самом деле нет. У Orion soft есть заказчики из банковского и нефтегазового сектора, которые уже превысили этот лимит, их инфраструктура насчитывает уже десятки тысяч виртуальных машин. «Этажи» в доме заканчиваются, а количество приложений и задач, под которые необходимо выделять сети только растет. В результате ИТ-команда вынуждена «ужимать» разные приложения в один VLAN или «отбирать» сети у тех, кто в меньшем приоритете. Это замедляет бизнес-процессы и перегружает инфраструктуру.

• Проблема адресного пространства

На одном этаже в многоквартирном доме находится определенное количество квартир, и достроить еще одну, не разрушая остальные, проблематично. Так же и в традиционной сети: для определенного сегмента сети выделяют ограниченное количество адресов, то при росте инфраструктуры свободные IP заканчиваются. Это также приводит к трудозатратному пересмотру адресных планов и «отбиранию» номеров у менее приоритетных систем.

• Проблемы безопасности

Как уже упоминалось, внутри одного «этажа» жители могут свободно взаимодействовать — виртуальные машины не изолированы друг от друга. Это делает уязвимыми виртуальные машины, в которых работают системы с чувствительными данными, создает возможности для перехвата ценного трафика между виртуальными машинами, создает избыточную нагрузку на сеть в случае соседства с «шумными соседями» — виртуальными машинами, которые агрессивно используют трафик. Кроме того, из-за отсутствия изоляции такая сеть открыта для горизонтального перемещения хакеров: если злоумышленник взломал одну машину, он может беспрепятственно сканировать соседние, проверять их порты на прочность и распространять вредоносное ПО по всему «этажу».

Противодействовать такому нарушителю могут лишь сами виртуальные машины, в условиях прямой связи полагаясь только на собственный межсетевой экран ОС, который который должен быть правильно сконфигурирован и не иметь незакрытых уязвимостей. Все это требует высокой квалификации администратора каждой виртуальной машины или полного сквозного контроля всех конфигураций со стороны департамента безопасности.

Управление традиционной сетью при современных масштабах бизнеса стало тяжелым ручным трудом. Сетевые инженеры должны настроить каждый коммутатор и узел так, чтобы конфигурации не конфликтовали, а ошибка в одной строчке может привести к падению крупных сегментов сети. Из-за этого такие тривиальные операции, как создание новой подсети (VLAN), превращаются в трудозатратный процесс, который из-за системы заявок может занимать от нескольких дней до трех недель.

Если традиционная сеть — это статичный бетонный дом, то SDN можно сравнить с частным поселком с таунхаусами. У компании-хозяина есть огромный участок земли, который можно «нарезать» на любое количество участков нужного размера под задачи конкретных жильцов.

Программно-определяемая сеть позволяет:

• Создавать неограниченное количество изолированных сегментов;
• Мгновенно пересобирать топологию сети под задачи бизнеса;
• Автоматизировать выдачу ресурсов через API.

Важное отличие программно-определяемой сети в том, что управление «застройкой» переходит от сетевиков к команде виртуализации. Инженер виртуализации может, например, самостоятельно запустить сегмент сети на два дня для тестирования обновлений или работы с внешним подрядчиком, а потом удалить его. Нет необходимости ждать, пока сетевая команда согласует и настроит новый сегмент — сеть создается программно, мгновенно, в любом количестве и объеме. Единственное, что по-прежнему согласовывается с сетевиками — это глобальная маршрутизация, «выезд с территории поселка» во внешний мир. Такой переход от согласований «на лету» к согласованиям «на берегу» значительно сокращает время выдачи ресурсов и повышает гибкость сети.

Еще одно технологическое отличие, ради которого внедряют SDN — микросегментация. Это технология, которая позволяет разбить сеть на множество изолированных сегментов и фильтровать трафика на уровне каждой виртуальной машины, как если бы перед каждой квартирой в доме поставили «умную камеру» и охранника, проверяющего документы.

Это дает несколько важных преимуществ с точки зрения безопасности:

Независимость защиты

Поскольку «камера» (фильтр) находится на уровне гипервизора, администратор виртуальной машины не может ее отключить. Даже если злоумышленник получит права root внутри системы, он не сможет отключить изоляцию, так как сетевые правила находятся «снаружи» виртуальной машины.

Строгое соблюдение политик безопасности

Даже если две виртуальные машины находятся в одной сети, они не увидят друг друга, если это прямо не разрешено политикой безопасности.

Блокировка развития атаки

Даже если хакер скомпрометирует одну виртуальную машину, он окажется заперт в ней и не сможет перемещаться между сегментами. Любая попытка просканировать соседние узлы будет мгновенно заблокирована и зафиксирована системой мониторинга.

Минимальные накладные расходы на проверку

Поскольку проверка происходит на том же гипервизоре, где расположена виртуальная машина, нет нужды пересылать трафик на удаленный узел для проверки. В резльтате пакеты проходят без задержек, а избыточная производительность гипервизора позволяет не волноваться о проблемах масштабирования.

Внедрение SDN позволяет сократить количество ручных операций и согласований, при этом за счет централизации и автоматизации управления сохранить неконфликтность настроек. Внедрение микросегментации позволяет реализовать стратегию Zero Trust, где безопасность данных обеспечивается для всего флота виртуальных машин на архитектурном уровне. В результате переход на SDN превращает сеть из тормозящего фактора и источника рисков в инструмент ускорения и защиты бизнеса.