{"id":41051,"date":"2020-02-05T21:28:58","date_gmt":"2020-02-05T18:28:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/consul-iptables-3"},"modified":"2020-02-05T21:28:58","modified_gmt":"2020-02-05T18:28:58","slug":"consul-iptables-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/consul-iptables-3","title":{"rendered":"Consul + iptables = :3","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Jahr 2010 hatte das Unternehmen Wargaming<\/a><\/noindex> 50 Server und ein einfaches Netzwerkmodell: Backend, Frontend und Firewall. Die Anzahl der Server wuchs, das Modell wurde komplexer: Staging, isolierte VLAN mit ACL, dann VPN mit VRF, VLAN mit ACL auf L2, VRF mit ACL auf L3. Verwirrend? Es wird noch spannender.<\/p>\n

Als die Anzahl der Server auf 16.000 anstieg, wurde es unm\u00f6glich, mit so vielen heterogenen Segmenten ohne Schwierigkeiten zu arbeiten. Daher wurde eine andere L\u00f6sung entwickelt. Der Netfilter-Stack wurde genutzt und mit Consul als Datenquelle kombiniert, was zu einer schnellen verteilten Firewall f\u00fchrte. Damit wurden ACLs an Routern ersetzt und als externe sowie interne Firewall eingesetzt. F\u00fcr das dynamische Management des Werkzeugs wurde das BEFW-System entwickelt, das \u00fcberall angewendet wurde: von der Benutzerzugriffsverwaltung im Produktnetzwerk bis zur Isolierung von Netzwerksegmenten voneinander.<\/p>\n

\"Consul
\n
\nWie das alles funktioniert und warum Sie dieses System in Betracht ziehen sollten, wird Ivan Agarov<\/strong> (annmuor<\/a><\/noindex>) \u2014 Leiter der Gruppe f\u00fcr Infrastruktur-Sicherheit bei der Maintenance-Abteilung im Entwicklungszentrum in Minsk. Ivan ist ein Fan von SELinux, liebt Perl und programmiert. Als Leiter der IS-Gruppe arbeitet er regelm\u00e4\u00dfig mit Logs, Backups und F&E, um Wargaming vor Hackern zu sch\u00fctzen und den Betrieb aller Spielserver im Unternehmen zu gew\u00e4hrleisten.
\n<\/a><\/noindex>
\n

\r\n \"Video\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Historischer Hintergrund<\/h2>\n

\nBevor ich erz\u00e4hle, wie wir das gemacht haben, m\u00f6chte ich erl\u00e4utern, wie wir \u00fcberhaupt dazu gekommen sind und warum das notwendig wurde. Dazu reisen wir 9 Jahre zur\u00fcck: ins Jahr 2010, als gerade World of Tanks aufkam. Wargaming hatte etwa 50 Server.<\/p>\n

\"Consul
\nWachstumskurve der Server des Unternehmens.<\/em><\/p>\n

Wir hatten ein Netzwerkmodell. F\u00fcr die damalige Zeit war es optimal.<\/p>\n

\"Consul
\nDas Netzwerkmodell im Jahr 2010.<\/em><\/p>\n

Frontend wird von b\u00f6sen Akteuren bewohnt, die uns besch\u00e4digen m\u00f6chten, aber es gibt eine Firewall. Im Backend gibt es keine Firewall, aber dort befinden sich 50 Server, die wir alle kennen. Alles funktioniert gut.<\/p>\n

Innerhalb von 4 Jahren hat sich der Serverpark auf das 100-fache vergr\u00f6\u00dfert, auf 5000. Es entstanden die ersten isolierten Netzwerke \u2013 Staging: sie d\u00fcrfen nicht ins Produktionsumfeld, da dort h\u00e4ufig potenziell gef\u00e4hrliche Dinge ablaufen.<\/p>\n

\"Consul
\nDas Netzwerkmodell im Jahr 2014.<\/em><\/p>\n

Wir haben aus Gewohnheit die gleichen Hardware-Ressourcen verwendet, und die gesamte Arbeit wurde auf isolierten VLANs durchgef\u00fchrt: F\u00fcr VLANs wurden ACLs geschrieben, die bestimmte Verbindungen erlauben oder verbieten.<\/p>\n

Im Jahr 2016 erreichte die Anzahl der Server 8000. Wargaming \u00fcbernahm andere Studios und es entstanden zus\u00e4tzliche Partnernetzwerke. Sie scheinen zwar zu uns zu geh\u00f6ren, funktionieren jedoch nicht immer: F\u00fcr Partner funktionieren die VLANs oft nicht, und es muss auf VPN mit VRF zur\u00fcckgegriffen werden, was die Isolierung komplizierter macht. Das Mischungsverh\u00e4ltnis der ACL-Isolierungen wuchs.<\/p>\n

\"Consul
\nNetzwerkmodell im Jahr 2016.<\/em><\/p>\n

Bis Anfang 2018 wuchs der Fuhrpark auf 16.000 Maschinen. Es gab 6 Segmente, die anderen z\u00e4hlten wir nicht, einschlie\u00dflich der gesch\u00fctzten, in denen Finanzdaten gespeichert waren. Container-Netzwerke (Kubernetes), DevOps, und cloudbasierte Netzwerke, die beispielsweise \u00fcber VPN aus dem Rechenzentrum verbunden sind, kamen hinzu. Es gab unz\u00e4hlige Regeln \u2013 es war schmerzhaft.<\/p>\n

\"Consul
\nNetzwerkmodell und Isolierungsmethoden im Jahr 2018.<\/em><\/p>\n

Zur Isolierung verwendeten wir: VLAN mit ACL auf L2, VRF mit ACL auf L3, VPN und vieles mehr. Viel zu viel.<\/p>\n

Die Probleme<\/h2>\n

\nAlle arbeiten mit ACL und VLAN. Was ist also das Problem? Diese Frage beantwortet Harold, der den Schmerz verbirgt.<\/p>\n

\"Consul
\n
\nEs gab viele Probleme, aber nur f\u00fcnf davon waren massenhaft.<\/p>\n