V neustále se zdokonalujícím prostředí síťové a serverové infrastruktury zároveň stále vzrůstají nároky na efektivitu a provozuschopnost, které hrají rozhodující úlohu v kvalitě poskytovaných služeb. Jak se digitální svět stává složitějším, musí s ním držet krok i mechanismy používané ke správě, distribuci a směrování síťového provozu. A zde hraje zásadní úlohu i způsob vyrovnávání zátěže jednotlivých segmentů sítě. Dva významné typy technik vyvažování zátěže, které byly vyvinuty za účelem optimalizace síťového provozu, jsou vyvažování zátěže při překladu síťových adres (Network Address Translation Load Balancing, dále NAT LB) a vyvažování zátěže poskytovatelů internetových služeb v rozsáhlé síti (Wide Area Network Internet Service Provider Load Balancing, dále jen WAN ISP LB). Přestože však i když slouží podobným koncepčním cílům, jsou určeny pro různé druhy síťového provozu a neměly by se zaměňovat. V této eseji se budu zabývat specifiky NAT LB i WAN ISP LB a zdůrazníme jejich jedinečné úlohy a funkce.

NAT Load Balancing (LB)

Pokud je k dispozici více serverů, které mohou splnit požadavky uživatelů, algoritmizace úkonů stanový, který server má konkrétní požadavek vyřídit. Směřování příchozího trafiku zabývá převážně řízením příchozího provozu a je možno ho definovat dle těchto základních parametrů:

1. Účel a mechanismus:

Funguje jako prostředník, který stojí mezi požadavky externích uživatelů a interní serverovou infrastrukturou.

Pomocí různých algoritmů rozděluje NAT LB příchozí provoz mezi více serverů, aby žádný z nich nebyl zahlcen.

2. Výhody:

Zálohováním či rozložením provozu mezi více serverů může v případě výpadku jednoho serveru být provoz přesměrován na zbývající funkční servery.

Pomocí optimalizace je zajištěno, že každý server sdílí spravedlivou část zátěže, a tím se zabrání tomu, aby se některý server stal úzkým místem.

Flexibilita provoze, s rostoucí poptávkou lze plynule přidávat další servery, aniž by došlo k narušení stávající infrastruktury.

3. Metody NAT Load Balancing:

• Round Robin Load Balancing 

Jedná se o nejjednodušší metodu. Každý server dostane cyklicky požadavek podle modelu, kdo dřív přijde, ten dříve mele. První požadavek jde na první server, druhý na druhý atd.

• Spojení dle zatížení

Další požadavek dostane server s nejmenším počtem aktivních připojení.

• IP Hash

Na základě IP adresy jsou požadavky odesílány na server podle deterministického algoritmu.

 

 

Vyrovnávání zátěže poskytovatele sítě WAN

Na druhém konci spektra máme WAN ISP LB, který se zaměřuje na vyrovnávání odchozího provozu mezi více poskytovateli internetových služeb.

1. Účel a mechanismus:

Organizace se často spoléhají na více než jednoho poskytovatele internetových služeb, aby zajistily nepřetržité připojení k internetu.

Vyrovnává se odchozí provoz mezi více poskytovateli internetových služeb, zajišťuje efektivní využití každého připojení a zajišťuje převzetí služeb při selhání v případě výpadku jednoho z nich.

2. Výhody:

Zálohování, pokud dojde k výpadku jednoho poskytovatele připojení k internetu, vyvažovač zátěže zajistí, že odchozí provoz může být stále směrován přes ostatní funkční poskytovatele připojení k internetu.

Optimální využití, různí poskytovatelé internetových služeb mohou nabízet různou šířku pásma a náklady. WAN ISP LB pomáhá optimalizovat využití jednotlivých linek ISP na základě požadavků organizace.

Výkon: Vyvážením odchozího provozu může služba WAN ISP LB pomoci snížit latenci a zlepšit uživatelský komfort aplikací zaměřených na externí uživatele.

3. Metody:

• Vážený kruhový přenos: Provoz je rozdělován mezi poskytovatele internetových služeb na základě vah přiřazených jednotlivým poskytovatelům.
• Nejmenší latence: Odchozí provoz obdrží poskytovatel, který v daném okamžiku vykazuje nejmenší latenci.
• Na základě šířky pásma: Poskytovatelé jsou vybíráni na základě dostupné šířky pásma.

 

Slovo závěrem

Přestože jsou NAT LB a WAN ISP LB klíčové pro udržení rovnováhy a plynulosti síťového provozu, plní v ekosystému správy sítě odlišné role. Zatímco NAT LB zajišťuje rozumné rozdělení příchozího provozu mezi servery organizace, WAN ISP LB se zaměřuje na efektivní směrování odchozího provozu mezi různými poskytovateli internetového připojení. Pochopení tohoto jasného rozdílu je pro síťové inženýry a IT profesionály zcela nezbytné. Ve stále se vyvíjející digitální éře je vybavení správnými nástroji a znalostmi klíčem k zajištění nepřetržitého, efektivního a optimalizovaného provozu sítě.

 

Zdroje:

NAT LB
https://avinetworks.com/glossary/round-robin-load-balancing/

https://www.nginx.com/resources/glossary/round-robin-load-balancing/

https://support.huawei.com/enterprise/en/doc/EDOC1100086965

https://kb.vmware.com/s/article/2006129

WAN ISP LB

https://community.cisco.com/t5/routing/lb-ecmp-of-internet-traffic-between-two-asr-routers-and-two-isp/td-p/4844091

https://help.ui.com/hc/en-us/articles/205145990-EdgeRouter-WAN-Load-Balancing

https://techdocs.f5.com/en-us/bigip-15-0-0/big-ip-local-traffic-manager-implementations/configuring-isp-load-balancing.html

https://docs.solace.com/API/Messaging-APIs/JavaScript-API/Web-Messaging-Concepts/Using-F5-Big-IP-as-a-Load.htm

S rostoucím propojením světa a jednotlivých sítí se koncept požadované bezpečnosti neustále vyvíjí a rozšiřuje. V tradičním pojetí se zabezpečení perimetru vztahovalo na fyzické hranice, jako jsou ploty či zdi, které chránily objekt před neoprávněným přístupem. V kontextu dnešního prostředí kybernetické bezpečnosti však představuje zabezpečení perimetru digitální hranici, které mají zabránit škodlivým subjektům ve vstupu do sítě jednotlivých organizací. Jak tedy začít, jak přiblížit problematiku perimetru? Na chvíli si představme středověký hrad. Tlusté, vysoké zdi hradu slouží jako první obranná linie proti jakýmkoli vetřelcům a chrání obyvatele a cenný majetek uvnitř.

Ve světě sítí je koncept velmi podobný. Síťový perimetr je definovaná hranice, která odděluje interní, důvěryhodnou síť (trusted), jako je například soukromá síť firmy od externí (public – open), nedůvěryhodné sítě (typicky veřejný internet). Na této hranici jsou zavedena mnohá důležitá bezpečnostní opatření, která zajišťují, že do sítě a ven z ní se dostanou pouze autorizovaná data a že potenciální hrozby jsou drženy mimo vnější zdi, perimetr organizace. Odtud tedy koncept zabezpečení perimetru.

Důležitost síťového perimetru se váže především k těmto třem základním otázkám:

1. Kontrolovaný přístup. Stejně jako stráže u hradních bran je síťový perimetr místem, kde se primárně monitoruje, kdo vstupuje do systému. Ať již pomocí nástrojů jako jsou různé firewally, které kontrolují, který provoz smí vstoupit nebo opustit vaši síť, tak například pomocí nastavení konkrétních síťových pravidel, jaký druh provozu je možný vpustit do chráněné zóny. Viz. například CISCO a access control lists. Nastavením konkrétních pravidel se zajistí, aby k síti měli přístup pouze legitimní uživatelé a legitimní data.
2. První obranná linie. Perimetr působí jako počáteční bariéra proti hrozbám, jako jsou kybernetické útoky. Monitorováním a filtrováním provozu na této úrovni lze mnoho hrozeb zastavit, než proniknou hlouběji do vaší sítě. Boj před hradbami je vždy z hlediska obránců výhodnější.
3. Viditelnost a monitorování. Bezpečnostní nástroje umístěné na síťovém perimetru, jako jsou systémy detekce narušení (IDS) a systémy prevence narušení (IPS), poskytují informace o typu provozu, který proudí dovnitř a ven. To je zásadní úloh pro identifikaci potenciálních hrozeb a případné reakci na ně.

 

 

Nicméně s vývojem technologií se mění i pojem síťového perimetru. S nástupem mobilních zařízení, cloudu či práce na dálku se tradiční představa o pevném, dobře definovaném perimetru stává stále více neohraničenou. Tento vývoj vedl k pojmům jako je bezpečnostní model “Zero Trust Policy”, kde důvěra nikdy není implicitně dána pouze na základě fyzického umístění, což naprosto zpochybňuje tradiční představu o „bezpečné“ interní síti. Ačkoli je síťový perimetr základním prvkem kybernetické bezpečnosti, je to pouze část širšího, vrstveného bezpečnostního přístupu. V dnešní komplexní digitální krajině není pouhá obrana perimetru dostatečná. Organizace potřebují celkový přístup k bezpečnosti, který zohledňuje jak hrozby založené na perimetru, tak potenciální zranitelnosti zevnitř.  Proto vzhledem k měnící se povaze digitálních hranic se myšlenka jediného statického perimetru naprosto rozplynula. Pozorujeme nyní trend „deperimetrizace“, kdy hranice nejsou jen na hranici sítě, ale také na úrovni koncových bodů, zařízení, aplikací a dat. Pro ukázku, jaké jsou hlavní primární nástroje při obraně perimetru:

• Firewally (Firewalls)

Firewally, hardwarové i softwarové, mají i nadále zásadní význam. Monitorují a řídí příchozí a odchozí provoz na základě předem definovaných bezpečnostních zásad a filtrují potenciálně škodlivé datové pakety.

• Systémy detekce a prevence narušení (IDPS – Intrusion Detection and Prevention System)

Řešení IDPS monitorují síťový provoz a hledají podezřelé aktivity. Po zjištění mohou provést předem definované akce, jako je blokování provozu nebo upozornění správců.

• Virtuální privátní sítě (VPN)

Sítě VPN vytvářejí šifrovaná spojení mezi zařízením a sítí. Tím je zajištěno, že data přenášená přes potenciálně nezabezpečené sítě, jako je internet, zůstanou důvěrná a chráněná proti neoprávněné manipulaci.

• Vícefaktorové ověřování (MFA – multi-factor authentication)

MFA zahrnuje použití dvou nebo více metod ověřování, které zajišťují, že i v případě, že záškodník získá přihlašovací údaje uživatele, nemůže získat přístup bez dalších ověřovacích faktorů. Kybernetické hrozby jsou stále sofistikovanější. Pokročilé trvalé hrozby (Advanced Persistent Threats, APT) například využívají vícestupňové útoky k prolomení sítí a zůstávají dlouho skryté.

Závěrem, stejně jako města, která rostou a vyvíjejí se, i digitální svět rozšiřuje a mění. I když jsou hranice našeho digitálního světa možná pohyblivější než dříve, podstata zabezpečení perimetru zůstává i nadále klíčová. Úkolem je zajistit, aby se s růstem a vývojem našeho digitálního světa vyvíjela i naše bezpečnostní opatření a abychom byli vždy o krok napřed před potenciálními hrozbami.

 

O významu fyzické vrstvy v kybernetickém zabezpečení nemá naprosto žádnou cenu vést dalekosáhlé úvahy. V rámci kybernetického zabezpečení je často kladen důraz na software a digitální mechanismy ochrany. Avšak stejně důležitou roli hraje i takzvaná “Physical Layer”, neboli fyzická vrstva zabezpečení. Tato vrstva se týká všech aspektů zabezpečení, které brání neoprávněným osobám ve fyzickém přístupu k zařízením, datovým úložištím a dalším kritickým prvkům infrastruktury. Když mluvíme o fyzické bezpečnosti, myslíme tím v první řadě opatření proti fyzickému narušení, krádeži a neoprávněné manipulaci.

Mezi základní nástroje fyzické vrstvy zabezpečení patří zámky, bezpečnostní kamery a biometrické systémy. Zámky – ať už klasické nebo elektronické – brání neautorizovaným osobám ve vstupu do chráněných prostor. Bezpečnostní kamery slouží k monitorování a zaznamenávání aktivity v okolí zabezpečovaných míst a mohou pomoci identifikovat pachatele v případě bezpečnostního incidentu. Biometrické systémy, jako jsou skenery otisků prstů, rozpoznávání obličeje či duhovky, představují vysoce sofistikovaný způsob ověřování identity jednotlivce a zabraňují přístupu na základě jedinečných biologických charakteristik.

 

I když moderní organizace často investují velké částky do digitálního zabezpečení, nesmí se opomenout ani fyzická vrstva. Ignorování tohoto aspektu může vést k vážným bezpečnostním rizikům. Představme si situaci, kdy útočník fyzicky získá přístup k serveru a přímo z něj stáhne citlivá data. Veškerá digitální ochrana v tomto případě selže. Proto je integrace fyzických opatření do celkové strategie kybernetického zabezpečení nezbytná a zajišťuje holistický přístup k ochraně citlivých informací a infrastruktury.