Поделиться
117 хостов под защитой: лидер нефтегазовой отрасли развернул крупнейший кластер с микросегментацией на базе zVirt SDN
Российская промышленность продолжает переводить критическую ИТ-инфраструктуру на отечественные рельсы. Один из масштабных проектов такого рода реализовал разработчик инфраструктурного ПО Orion soft. Заказчик — крупнейшая нефтегазовая компания с большим парком инсталляций разного размера и постоянно растущими нагрузками. Компания полностью отказалась от программно-определяемых сетей VMware NSX, переведя инфраструктуру компании на платформу виртуализации zVirt с собственной реализацией SDN (англ. software-defined networking, программно-определяемой сети) и микросегментации.
Задачи проекта
Для нефтеперерабатывающей отрасли характерна строгая регламентация всех производственных процессов, что напрямую транслируется на требования к ИТ. К системе виртуализации заказчик предъявил около 150 критериев отбора, оценивая функциональность, опыт вендора, перспективы развития и стоимость.
Ранее задачи виртуализации сетей решал продукт VMware NSX. Ключевым требованием к российскому решению была возможность обеспечить аналогичные возможности контроля трафика. Ресурсы были изначально защищены через гранулярные политики трафика, и, учитывая масштаб ИТ-инфраструктуры и строгие требования информационной безопасности, для компании было критически важным наличие микросегментации. Эта технология позволяет разбить сеть на множество изолированных сегментов, доступ в которые регулируется строгими политиками безопасности на уровне каждой виртуальной машины. Такая изоляция позволяет остановить распространение атаки в случае взлома внешнего периметра инфраструктуры.
По итогам первой апробации выбор пал на zVirt при условии, что Orion soft доработает блок функциональности, связанный с микросегментацией и контролем сетевого трафика.
SDN для высоконагруженной инфраструктуры за три месяца
Команда Orion soft реализовала следующую функциональность:
- Механизм управления пакетной фильтрацией в формате групп и правил безопасности;
- Правила — разрешающие и запрещающие, различного приоритета и опций исполнения и журналирования;
- Средства группировки объектов — группы виртуальных машин, пулы адресов: раньше разрешенные адреса нужно было перечислять, а теперь можно разрешить все адреса из определенного объекта;
- Механизмы резервного копирования, восстановления и экспорта конфигурации экранирования;
- Развитый поисковый движок для работы с комплексными сценариями защиты всего флота виртуальных машин;
- Инструментарий отладки работы микросегментации, online-наблюдение за работой правил;
- Симулятор прохождения пакета — можно проводить холостые прогоны трафика, чтобы проверять корректность настроек.
Разработчикам удалось выпустить самые необходимые обновления за три месяца. Были проведены стресс-тесты на лимиты, возможности расширения и производительность средств отладки микросегментации в моменте. Система успешно прошла испытания, ограничения были сняты, и ее допустили к внедрению в продуктивную среду. Заказчик смог воспользоваться zVirt 4.0 уже в ноябре 2023 года.
Архитектурные вызовы и расширение лимитов микросегментации в 4 раза
Изначально увеличение лимита до 65 000 правил планировалось в следующем плановом релизе. Однако запрос компании заставил команду пересмотреть график разработки. Силы инженеров были сфокусированы на этой задаче, и обновление вышло на три месяца раньше срока в виде экстренного патча.
Результаты
На сегодняшний день суммарная база инсталляций zVirt у лидера нефтегазовой отрасли достигает 350 физических серверов. В том числе реализован крупнейший в России SDN-кластер на 117 хостов, развернутый в ЦОД в Санкт-Петербурге.
Заказчик сохранил все привычные бизнес-процессы, обеспечил требуемый уровень информационной безопасности через микросегментированные сети и перешел на стабильно работающее российское решение. В планах компании дальнейшее развитие инфраструктуры — внедрение защищенного частного облака на базе ПО Orion soft.
Короткая ссылка
