Wat is Firewall Load Balancing (FWLB)

In de hedendaagse datacenters is de veiligheid van het netwerk, de servers en applicaties van het allergrootste belang. Een belangrijk onderdeel van deze beveiligingsinfrastructuur is de firewall, die beschermt tegen kwaadwillige of ongeautoriseerde toegang. Omdat bedrijfsactiviteiten echter steeds meer afhankelijk zijn van ononderbroken internetconnectiviteit, is een robuuste, schaalbare en goed beschikbare firewall-infrastructuur van cruciaal belang. Dit is waar Firewall Load Balancing (FWLB) in het spel komt.

Wat is firewall-taakverdeling? #

Firewall Load Balancing is een implementatiearchitectuur waarbij meerdere firewallsystemen strategisch zijn gepositioneerd achter Server Load Balancers. Netwerkverkeer wordt verdeeld over een groep firewalls, waardoor een schaalbare en zeer beschikbare beveiligingsinfrastructuur ontstaat. Deze opstelling zorgt ervoor dat als één firewall uitvalt, andere het naadloos kunnen overnemen, waardoor de bedrijfscontinuïteit behouden blijft.

Het belang van taakverdeling in de firewall #

Schaalbaarheid #

Firewalls verzorgen het zware werk van het inspecteren, analyseren en aanpassen van pakketten op basis van beveiligingsbeleid. Naarmate het verkeer toeneemt, nemen de rekeneisen aan firewalls toe, waardoor extra bronnen nodig zijn. Met FWLB kunnen nieuwe firewalls dynamisch worden toegevoegd, waardoor de capaciteit wordt vergroot zonder bestaande systemen te verstoren. Deze schaalbaarheid is essentieel om de groeiende verkeersbelasting op te vangen en consistente prestaties te garanderen.

Betrouwbaarheid: #

Hoge beschikbaarheid is van cruciaal belang voor elke beveiligingsinfrastructuur. FWLB verbetert de betrouwbaarheid door verkeer over meerdere firewalls te verdelen. Als een firewall faalt, detecteert de load balancer de fout en leidt het verkeer om naar andere functionerende firewalls. Deze redundantie minimaliseert de uitvaltijd en zorgt voor continue bescherming.

handelbaarheid #

Het onderhouden van firewalls kan een uitdaging zijn, vooral bij het bijwerken van beveiligingsbeleid of het uitvoeren van software-upgrades. FWLB vereenvoudigt het beheer doordat individuele firewalls buiten gebruik kunnen worden gesteld voor onderhoud zonder het gebruikersverkeer te verstoren. Deze aanpak maakt naadloze updates mogelijk en vermindert het risico op onvoorziene problemen.

Implementatie van firewall-taakverdeling #

In een typische FWLB-opstelling zijn firewalls ingeklemd tussen Server Load Balancers. Verkeer van internet en interne netwerken wordt naar de minst belaste firewall geleid. Gevestigde netwerksessies worden consistent door dezelfde firewall geleid om pakketinspectie en beveiligingsanalyse te behouden.

Case Study Overzicht #

Overweeg een implementatie waarbij een Content Switch Module (CSM) wordt gebruikt om firewalls over drie beveiligde segmenten te verdelen: internet (INET), gedemilitariseerde zone (DMZ) en Local Area Network (LAN). Het doel is om hoge beschikbaarheid, naadloos beheer en robuuste beveiliging in deze segmenten te garanderen.

Server- en applicatievereisten #

Servers in de DMZ hebben direct beheer vanaf LAN-stations nodig.
Servers moeten sessies starten voor updates en patches.
Primaire applicaties in de DMZ zijn gebaseerd op HTTP en HTTPS, waardoor permanente verbindingen nodig zijn.

Beveiligingsvereisten #

Load-balancing stroomt van alle segmenten naar de firewalls.
Elk netwerkpad door de firewall moet vóór gebruik worden geverifieerd.
Hoge beschikbaarheid en de mogelijkheid om toepassingen met meerdere verbindingen, zoals FTP, te verwerken.

Infrastructuurvereisten #

Minimale verstoring van bestaande netwerkprotocollen.
Naadloze integratie van CSM's in de huidige infrastructuur.
Robuuste failover-mechanismen om firewallfouten op te lossen.

Ontwerpoverwegingen #

Gebruik ICMP-tests om firewallpaden te bewaken.
Configureer poortkanalen voor server- en client-VLAN's om afzonderlijke storingspunten te voorkomen.
Zorg ervoor dat virtuele IP's (VIP's) binnen de virtuele serverconfiguratie correct in subnetten zijn geplaatst om routeringslussen te voorkomen.

FWLB-sondes #

ICMP-sondes zijn cruciaal voor het verifiëren van de beschikbaarheid van paden door firewalls. Deze tests zijn geconfigureerd om alle firewallverbindingen te bewaken, waardoor een continue padbeschikbaarheid wordt gegarandeerd. Het interval, de nieuwe pogingen en de foutdrempels voor tests kunnen worden aangepast om aan specifieke vereisten te voldoen, waardoor een tijdige detectie en reactie op firewallfouten wordt gegarandeerd.

Hoe FWLB te implementeren met RELIANOID Load Balancer #

Implementatie van FWLB (Firewall Load Balancing) met RELIANOID Bij Load Balancer wordt het geconfigureerd als een externe load balancer die verkeer naar een groep firewalls leidt, zodat verbindingen gedurende de sessie consistent naar dezelfde firewall worden geleid. Hier vindt u een gedetailleerde handleiding over hoe u deze configuratie kunt realiseren:

Overzicht netwerkarchitectuur #

Externe load-balancer (RELIANOID): Dit verwerkt binnenkomend verkeer en distribueert het naar een pool van firewalls.
Firewalls: deze filteren en sturen verkeer intern door nadat het door de externe load balancer is verwerkt.
Interne load balancers: Optioneel kunnen interne load balancers binnen het interne netwerk het verkeer verder distribueren nadat het door de firewalls is gegaan.

Configure RELIANOID Load Balancer (externe Load Balancer) #

Maak laag 4-boerderijen

Meld u aan bij de RELIANOID webinterface.
Navigeer naar de sectie Boerderij of iets dergelijks.
Maak Layer 4-farms die overeenkomen met de soorten verkeer die u moet verwerken (bijvoorbeeld TCP, UDP).

Definieer de luisterende IP-adressen en poorten voor elke farm.
Geef de servers op (in dit geval de firewalls) die verkeer van elke farm zullen ontvangen.
Configureer statuscontroles om de beschikbaarheid van elke firewall te controleren.

Persistentie instellen (affiniteit)

Schakel persistentie in (ook wel affiniteits- of sticky-sessies genoemd) om ervoor te zorgen dat verbindingen vanaf hetzelfde client-IP consistent naar dezelfde firewall worden geleid. Dit is van cruciaal belang voor het behoud van de sessiecontinuïteit, vooral voor protocollen zoals HTTP/HTTPS, waarbij sessies meerdere verbindingen kunnen omvatten.

Configureer de firewallpool
Definieer een pool van firewalls in het RELIANOID configuratie van de load balancer.

Deze groep vertegenwoordigt de set firewalls die binnenkomend verkeer verwerkt.
Zorg ervoor dat de firewalls correct zijn geconfigureerd om het verkeer te verwerken dat wordt doorgestuurd door de RELIANOID load-balancer.

Verkeersstroom #

Externe verkeersafhandeling

Inkomend verkeer bereikt de RELIANOID load-balancer.
Op basis van de Layer 4-farmconfiguraties stuurt de load balancer verkeer door naar de juiste firewall op basis van het doel-IP-adres, de poort of het subnet.

Persistentiemechanisme

De load balancer maakt gebruik van persistentiemechanismen (doorgaans bron-IP-affiniteit) om ervoor te zorgen dat verbindingen vanaf hetzelfde client-IP naar dezelfde firewall worden geleid.
Dit is essentieel om de sessiestatus over meerdere verbindingen van dezelfde client te behouden.

Firewall-verwerking

Elke firewall in de pool ontvangt verkeer van de load balancer.
Firewalls inspecteren en filteren verkeer op basis van geconfigureerde regels (bijvoorbeeld verkeer toestaan/weigeren op basis van bron-/bestemmings-IP, poorten, protocollen).

Interne load balancers (optioneel) #

Optioneel kunt u binnen uw interne netwerk extra load balancers gebruiken om het verkeer verder te verdelen nadat het door de firewalls is gegaan.
Deze interne load balancers kunnen afhankelijk van uw specifieke vereisten op applicatie- of netwerkniveau werken.

Testen en validatie #

Test de configuratie om er zeker van te zijn dat:

Verkeer wordt correct doorgestuurd van de externe load balancer naar de firewalls.
Persistentiemechanismen (affiniteit/sticky-sessies) functioneren zoals verwacht.
Firewalls filteren en sturen verkeer correct door naar het interne netwerk.

Bewaking en onderhoud #

Controleer regelmatig de prestaties van de RELIANOID load balancer, firewalls en interne netwerkcomponenten.
Zorg ervoor dat configuraties worden bijgewerkt naarmate de netwerk- en applicatievereisten evolueren.

Aanvullende overwegingen #

Security: Zorg ervoor dat de firewallregels correct zijn geconfigureerd om uw netwerk te beschermen tegen ongeautoriseerde toegang.
Schaalbaarheid: Plan voor het schalen van uw load balancer- en firewall-infrastructuur naarmate de verkeersvraag toeneemt.
Documentatie: Houd gedetailleerde documentatie bij van uw configuratie, inclusief netwerkdiagrammen en configuratie-instellingen voor eenvoudiger probleemoplossing en toekomstig gebruik.

Conclusie #

Firewall Load Balancing is essentieel voor het bouwen van een schaalbare, betrouwbare en beheerbare beveiligingsinfrastructuur. Door het verkeer over meerdere firewalls te verdelen en een hoge beschikbaarheid te garanderen, beschermt FWLB tegen netwerkstoringen en verbetert het de algehele beveiliging. Het implementeren van FWLB vereist een zorgvuldige planning en configuratie, maar de voordelen van verbeterde schaalbaarheid, betrouwbaarheid en beheerbaarheid maken het een waardevolle investering voor elke organisatie die zich richt op het handhaven van robuuste cyberbeveiliging.

Door deze stappen te volgen, kunt u FWLB effectief implementeren met RELIANOID Load Balancer als externe en interne load balancer, die ervoor zorgt dat verkeer efficiënt naar firewalls wordt gerouteerd en wordt beheerd volgens uw netwerkbeveiligingsbeleid voordat het wordt doorgestuurd naar het interne netwerk.