O que é balanceamento de carga de firewall (FWLB)

Nos data centers atuais, a segurança da rede, dos servidores e dos aplicativos é fundamental. Um componente chave desta infra-estrutura de segurança é o firewall, que protege contra acessos maliciosos ou não autorizados. No entanto, como as atividades empresariais dependem cada vez mais de conectividade ininterrupta à Internet, é crucial uma infraestrutura de firewall robusta, escalável e altamente disponível. É aqui que o Firewall Load Balancing (FWLB) entra em ação.

O que é balanceamento de carga de firewall? #

Firewall Load Balancing é uma arquitetura de implantação onde vários sistemas de firewall são estrategicamente posicionados atrás de Server Load Balancers. O tráfego de rede é distribuído por um grupo de firewalls, criando uma infraestrutura de segurança escalonável e altamente disponível. Essa configuração garante que, se um firewall falhar, outros possam assumir o controle sem problemas, mantendo a continuidade dos negócios.

Importância do balanceamento de carga do firewall #

Global #

Os firewalls lidam com o trabalho pesado de inspeção, análise e modificação de pacotes com base em políticas de segurança. À medida que o tráfego aumenta, as demandas computacionais dos firewalls aumentam, necessitando de recursos adicionais. Com o FWLB, novos firewalls podem ser adicionados dinamicamente, aumentando a capacidade sem interromper os sistemas existentes. Essa escalabilidade é essencial para acomodar cargas de tráfego crescentes e garantir um desempenho consistente.

Confiabilidade #

A alta disponibilidade é crítica para qualquer infraestrutura de segurança. O FWLB aumenta a confiabilidade distribuindo o tráfego por vários firewalls. Se um firewall falhar, o balanceador de carga detectará a falha e redirecionará o tráfego para outros firewalls em funcionamento. Essa redundância minimiza o tempo de inatividade e garante proteção contínua.

Manageability #

A manutenção de firewalls pode ser desafiadora, principalmente ao atualizar políticas de segurança ou realizar atualizações de software. O FWLB simplifica o gerenciamento, permitindo que firewalls individuais sejam retirados de serviço para manutenção sem interromper o tráfego do usuário. Essa abordagem permite atualizações contínuas e reduz o risco de problemas imprevistos.

Implementando balanceamento de carga de firewall #

Em uma configuração típica de FWLB, os firewalls ficam imprensados entre Server Load Balancers. O tráfego da Internet e de redes internas é direcionado para o firewall menos carregado. As sessões de rede estabelecidas são roteadas consistentemente através do mesmo firewall para manter a inspeção de pacotes e a análise de segurança.

Visão geral do estudo de caso #

Considere uma implantação em que um Módulo de comutação de conteúdo (CSM) é usado para balancear a carga de firewalls em três segmentos seguros: Internet (INET), Zona Desmilitarizada (DMZ) e Rede Local (LAN). O objetivo é garantir alta disponibilidade, gerenciamento contínuo e segurança robusta em todos esses segmentos.

Requisitos de servidor e aplicativo #

Os servidores na DMZ precisam de gerenciamento direto das estações LAN.
Os servidores devem iniciar sessões para atualizações e patches.
Os aplicativos primários na DMZ são baseados em HTTP e HTTPS, exigindo conexões persistentes.

Requisitos de segurança #

Fluxos de balanceamento de carga de todos os segmentos para os firewalls.
Cada caminho de rede através do firewall deve ser verificado antes do uso.
Alta disponibilidade e capacidade de lidar com aplicativos de múltiplas conexões, como FTP.

Requisitos de infraestrutura #

Interrupção mínima nos protocolos de rede existentes.
Integração perfeita de CSMs na infraestrutura atual.
Mecanismos robustos de failover para lidar com falhas de firewall.

Considerações sobre design #

Use sondagens ICMP para monitorar caminhos de firewall.
Configure canais de porta para VLANs de servidor e cliente para evitar pontos únicos de falha.
Certifique-se de que os IPs virtuais (VIPs) na configuração do servidor virtual estejam corretamente sub-redes para evitar loops de roteamento.

Sondas FWLB #

As sondagens ICMP são cruciais para verificar a disponibilidade de caminhos através de firewalls. Essas sondagens são configuradas para monitorar todos os links de firewall, garantindo disponibilidade contínua de caminhos. O intervalo, as novas tentativas e os limites de falha das sondagens podem ser ajustados para atender a requisitos específicos, garantindo detecção e resposta oportunas a falhas de firewall.

Como implementar FWLB com RELIANOID Balanceador de carga #

Implementando FWLB (Firewall Load Balancing) com RELIANOID O Load Balancer envolve configurá-lo como um balanceador de carga externo que roteia o tráfego para um pool de firewalls, garantindo que as conexões sejam roteadas de forma consistente para o mesmo firewall durante a sessão. Aqui está um guia detalhado sobre como conseguir essa configuração:

Visão geral da arquitetura de rede #

Balanceador de carga externo (RELIANOID): Isso tratará o tráfego de entrada e o distribuirá para um pool de firewalls.
Firewalls: Filtrarão e encaminharão o tráfego internamente após ser processado pelo balanceador de carga externo.
Balanceadores de carga internos: opcionalmente, os balanceadores de carga internos da rede interna podem distribuir ainda mais o tráfego após passar pelos firewalls.

configurar RELIANOID Balanceador de carga (balanceador de carga externo) #

Criar Fazendas da Camada 4

Faça o login no RELIANOID interface web.
Navegue até a seção Fazenda ou similar.
Crie Farms de Camada 4 correspondentes aos tipos de tráfego que você precisa gerenciar (por exemplo, TCP, UDP).

Defina os endereços IP e portas de escuta para cada farm.
Especifique os servidores (neste caso, os firewalls) que receberão o tráfego de cada farm.
Configure verificações de integridade para monitorar a disponibilidade de cada firewall.

Definir Persistência (Afinidade)

Habilite a persistência (às vezes chamada de sessões de afinidade ou fixas) para garantir que as conexões do mesmo IP do cliente sejam direcionadas de forma consistente para o mesmo firewall. Isto é crucial para manter a continuidade da sessão, especialmente para protocolos como HTTP/HTTPS, onde as sessões podem abranger múltiplas conexões.

Configurar pool de firewalls
Defina um conjunto de firewalls no RELIANOID configuração do balanceador de carga.

Este pool representa o conjunto de firewalls que processarão o tráfego de entrada.
Certifique-se de que os firewalls estejam configurados corretamente para lidar com o tráfego encaminhado pelo RELIANOID balanceador de carga.

Fluxo de Tráfego #

Tratamento de tráfego externo

O tráfego de entrada chega ao RELIANOID balanceador de carga.
Com base nas configurações do farm da Camada 4, o balanceador de carga encaminha o tráfego para o firewall apropriado com base no endereço IP, porta ou sub-rede de destino.

Mecanismo de Persistência

O balanceador de carga usa mecanismos de persistência (normalmente afinidade de IP de origem) para garantir que as conexões do mesmo IP do cliente sejam direcionadas para o mesmo firewall.
Isto é essencial para manter o estado da sessão em múltiplas conexões do mesmo cliente.

Processamento de firewall

Cada firewall no pool recebe tráfego do balanceador de carga.
Os firewalls inspecionam e filtram o tráfego com base em regras configuradas (por exemplo, permitindo/negando tráfego com base em IP de origem/destino, portas, protocolos).

Balanceadores de carga internos (opcional) #

Opcionalmente, dentro da sua rede interna, você pode usar balanceadores de carga adicionais para distribuir ainda mais o tráfego depois que ele passar pelos firewalls.
Esses balanceadores de carga internos podem operar no nível do aplicativo ou da rede, dependendo dos seus requisitos específicos.

Teste e Validação #

Teste a configuração para garantir que:

O tráfego é roteado corretamente do balanceador de carga externo para os firewalls.
Os mecanismos de persistência (sessões de afinidade/fixas) estão funcionando conforme o esperado.
Os firewalls estão filtrando e encaminhando corretamente o tráfego para a rede interna.

Monitoramento e Manutenção #

Monitore regularmente o desempenho do RELIANOID balanceador de carga, firewalls e componentes de rede internos.
Certifique-se de que as configurações sejam atualizadas à medida que os requisitos de rede e aplicativos evoluem.

Considerações Adicionais #

Total: certifique-se de que as regras de firewall estejam configuradas corretamente para proteger sua rede contra acesso não autorizado.
Global: planeje o dimensionamento do balanceador de carga e da infraestrutura de firewall à medida que a demanda de tráfego aumenta.
Documentação: mantenha documentação detalhada de sua configuração, incluindo diagramas de rede e definições de configuração para facilitar a solução de problemas e referência futura.

Conclusão #

O balanceamento de carga do firewall é essencial para a construção de uma infraestrutura de segurança escalonável, confiável e gerenciável. Ao distribuir o tráfego entre vários firewalls e garantir alta disponibilidade, o FWLB protege contra falhas de rede e aumenta a segurança geral. A implementação do FWLB requer planejamento e configuração cuidadosos, mas os benefícios de maior escalabilidade, confiabilidade e capacidade de gerenciamento fazem dele um investimento valioso para qualquer organização focada na manutenção de uma segurança cibernética robusta.

Seguindo essas etapas, você pode implementar efetivamente o FWLB com RELIANOID Load Balancer como um balanceador de carga externo e interno, garantindo que o tráfego seja roteado com eficiência para firewalls e gerenciado de acordo com suas políticas de segurança de rede antes de ser encaminhado para a rede interna.