{"id":41051,"date":"2020-02-05T21:28:58","date_gmt":"2020-02-05T18:28:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/consul-iptables-3"},"modified":"2020-02-05T21:28:58","modified_gmt":"2020-02-05T18:28:58","slug":"consul-iptables-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/consul-iptables-3","title":{"rendered":"Consul + iptables = :3","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Jahr 2010 hatte das Unternehmen Wargaming<\/a><\/noindex> 50 Server und ein einfaches Netzwerkmodell: Backend, Frontend und Firewall. Die Anzahl der Server wuchs, das Modell wurde komplexer: Staging, isolierte VLAN mit ACL, dann VPN mit VRF, VLAN mit ACL auf L2, VRF mit ACL auf L3. Schwindelig geworden? Es wird noch spannender.<\/p>\n

Als die Anzahl der Server auf 16.000 anstieg, wurde es unm\u00f6glich, ohne Tr\u00e4nen mit einer solchen Menge an heterogenen Segmenten zu arbeiten. Daher kam eine andere L\u00f6sung auf. Wir verwendeten den Netfilter-Stack, f\u00fcgten ihm Consul als Datenquelle hinzu, und erhielten eine schnelle verteilte Firewall. Diese ersetzte ACL auf den Routern und wurde sowohl als externe als auch interne Firewall genutzt. F\u00fcr die dynamische Verwaltung des Tools entwickelten wir das BEFW-System, das wir \u00fcberall anwendeten: von der Benutzerzugangsverwaltung im Produktivnetzwerk bis zur Isolation von Netzwerkssegmenten voneinander.<\/p>\n

\"Consul
\n
\nWie das alles funktioniert und warum Sie diesem System Aufmerksamkeit schenken sollten, erkl\u00e4rt Iwan Agarokov<\/strong> (annmuor<\/a><\/noindex>) \u2013 Leiter der Gruppe f\u00fcr Infrastruktur-Sicherheit der Maintenance-Abteilung im Entwicklungszentrum in Minsk des Unternehmens. Iwan ist ein Fan von SELinux, liebt Perl und schreibt Code. Als Leiter der IT-Sicherheitsgruppe arbeitet er regelm\u00e4\u00dfig mit Logs, Backups und R&D, um Wargaming vor Hackern zu sch\u00fctzen und den Betrieb aller Spieleserver im Unternehmen sicherzustellen.
\n<\/a><\/noindex>
\n

\r\n \"Video\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Historisches Nachschlagewerk<\/h2>\n

\nBevor ich erkl\u00e4re, wie wir das gemacht haben, erz\u00e4hle ich, wie wir \u00fcberhaupt dazu gekommen sind und warum es notwendig war. Daf\u00fcr reisen wir 9 Jahre zur\u00fcck: Jahr 2010, World of Tanks just erschienen. Wargaming hatte etwa 50 Server.<\/p>\n

\"Consul
\nGrafik des Serverwachstums des Unternehmens.<\/em><\/p>\n

Wir hatten ein Netzwerkmodell. Zu der Zeit war es optimal.<\/p>\n

\"Consul
\nDas Netzwerkmodell im Jahr 2010.<\/em><\/p>\n

Im Frontend leben die B\u00f6sewichte, die uns kaputt machen wollen, aber es gibt eine Firewall. Im Backend gibt es keine Firewall, aber dort sind 50 Server, die wir alle kennen. Alles funktioniert gut.<\/p>\n

In 4 Jahren wuchs der Serverpark auf das 100-fache, auf 5000. Die ersten isolierten Netzwerke - Staging - wurden eingef\u00fchrt: sie k\u00f6nnen nicht in die Produktion gehen, dort drehte sich oft etwas, das gef\u00e4hrlich sein konnte.<\/p>\n

\"Consul
\nDas Netzwerkmodell im Jahr 2014.<\/em><\/p>\n

Wir verwendeten aus Gewohnheit die gleichen Ger\u00e4te, und die gesamte Arbeit wurde auf isolierten VLAN durchgef\u00fchrt: zu den VLAN wurden ACL geschrieben, die eine Verbindung erlauben oder verweigern.<\/p>\n

Im Jahr 2016 erreichte die Anzahl der Server 8000. Wargaming \u00fcbernahm andere Studios, und es entstanden zus\u00e4tzliche Partnernetzwerke. Sie scheinen unsere zu sein, sind es aber nicht ganz: F\u00fcr Partner funktioniert VLAN oft nicht, es muss ein VPN mit VRF verwendet werden, die Isolierungen werden komplizierter. Eine Mischung aus Isolierungen von ACL nahm zu.<\/p>\n

\"Consul
\nDas Netzwerkmodell im Jahr 2016.<\/em><\/p>\n

Anfang 2018 wuchs der Maschinenpark auf 16.000. Es gab 6 Segmente, die anderen haben wir nicht gez\u00e4hlt, einschlie\u00dflich der geschlossenen, in denen Finanzdaten gespeichert waren. Es entstanden Containernetzwerke (Kubernetes), DevOps, Cloud-Netzwerke, die per VPN verbunden waren, beispielsweise aus IWS. Es gab sehr viele Regeln \u2014 es war schmerzhaft.<\/p>\n

\"Consul
\nDas Netzwerkmodell und die Isolationsmethoden im Jahr 2018.<\/em><\/p>\n

F\u00fcr die Isolierung verwendeten wir: VLAN mit ACL auf L2, VRF mit ACL auf L3, VPN und vieles andere. Viel zu viel.<\/p>\n

Probleme<\/h2>\n

\nAlle leben mit ACL und VLAN. Was ist \u00fcberhaupt das Problem? Auf diese Frage wird Harold antworten, der den Schmerz verbirgt.<\/p>\n

\"Consul
\n
\nEs gab viele Probleme, aber die massiven \u2014 f\u00fcnf.<\/p>\n