Schutzzonen beim Software-defined Networking

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Die SDN-Umsetzung bei VMware

VMware hat zwei Sicherheitspakete im Portfolio. Das erste namens vShield Zones sorgt in virtuellen Rechenzentren für einen Schutz vor Bedrohungen aus dem Netzwerk. vShield Zones bietet grundlegenden Firewall-Schutz für den Datenverkehr zwischen virtuellen Maschinen und ermöglicht das Filtern und Gruppieren von Verbindungen, hat aber nichts mit SDN zu tun.

Für SDN ist das zweite Produkt „VMware vCloud Networking and Security (vCNS)“ zuständig. vCNS ist eine software-definierte Netzwerk- und Sicherheitslösung, die eine virtuelle Firewall, VPN, Lastausgleich und das Protokoll VXLAN (Virtual Extensible LAN) umfasst.

Virtuelle Workloads lassen sich damit ohne Einschränkungen durch das physische Netzwerk oder die Sicherheitsservices und ohne spezielle Appliances skalieren und verschieben. Die Integration von Netzwerk- und Sicherheitslösungen von Drittanbietern ist über die offene Architektur und Standard-APIs realisierbar.

„Mit dem Virtual Distributed Switch (vDS) von VMware wird der Virtuellen Maschine ein software-definierter Netzwerkzugang bereitgestellt“, erläutert Martin Niemer, Senior Product Manager bei VMware Deutschland. „Hierzu werden die Netzwerkkarten des Servers mit dem vDS gekloppelt und den VMs über Port-Groups auf dem vDS die Anbindung der vNICs ans Netzwerk ermöglicht.“

Diese Konfiguration erfolge ausschließlich Software-definiert. Da der vDS nicht an einen bestimmten Server gebunden sei, sondern über mehrere Server konfiguriert werde, entstehe ein SDN-Netzwerk. Die vDS sind untereinander durch das VMware-spezifische Protokoll VXLAN (Virtual Extensible LAN ) verbunden, das VMware zum IETF-Standard erklärt haben möchte ((http://tools.ietf.org/html/draft-mahalingam-dutt-dcops-vxlan-02)).

Netzwerksegmentierung mit VXLAN

VXLAN bietet Vorteile, die sich Niemer zufolge aus seiner speziellen Funktionsweise ergeben: „VXLAN erstellt logische Layer-2-Netzwerke, die in Layer-3-Standard-IP-Paketen gekapselt werden“, erklärt Niemer. Durch diese Kapselung entstehen logische VXLAN-Netzwerke. „Sie unterscheiden sich voneinander anhand einer 'Segment-Identität' in jedem Frame, sodass keine VLAN-Tags erforderlich sind.“

Dies ermögliche die Koexistenz einer sehr großen Anzahl von isolierten Layer-2-VXLAN-Netzwerken in einer gemeinsamen Layer-3-Infrastruktur. Konkret handelt sich bei dieser „sehr großen Anzahl“ um 16,7 Mio. logische Netzwerke, die ein MSP einrichten könnte - eine ganze Menge Mandanten, die ein MSP verwalten könnte.

(ID:39834010)