INFORME TÉCNICO Garantia de serviços de rede de nível empresarial para AWS O Infoblox DDI for AWS aumenta a agilidade na nuvem, oferece suporte a políticas de rede consistentes em implantações híbridas e amplia a visibilidade de cargas de trabalho em nuvens públicas e privadas.
Resumo Segundo a Gartner, até 2017, mais de 50% das empresas usarão uma nuvem híbrida, que normalmente abrange redes tradicionais, nuvem privada e/ou nuvem pública. Nos últimos anos, as empresas vêm transferindo rapidamente suas cargas de trabalho para nuvens públicas, como o Amazon Web Services (AWS), para reduzir o tempo de implantação de novos aplicativos, consolidar a infraestrutura de TI para gerar melhores ideias analíticas aos seus negócios ou baixar custos de infraestrutura com um modelo pay-for-use, entre outros motivos. Todavia, apesar de benefícios em termos de agilidade proporcionados pelas nuvens públicas, as empresas enfrentam grandes desafios para reduzir a complexidade da operacionalização da infraestrutura de rede da nuvem pública. Mais especificamente, os serviços de rede como DNS e gerenciamento de endereço IP tornam-se complicados, pois é preciso gerenciar várias ferramentas pontuais não integradas, o que provoca inconsistências entre políticas na empresa como um todo. A Infoblox estendeu sua solução de nível empresarial de DNS e gerenciamento de endereços IP para o Amazon Web Services EC2. Totalmente integrada à nossa tecnologia Infoblox Grid líder da indústria, a solução da Infoblox para AWS aumenta a agilidade na nuvem, oferece suporte a políticas de rede consistentes em implantações híbridas e aprimora a visibilidade das cargas de trabalho em nuvem pública. Desafios na implantação de nuvens públicas Frequentemente, serviços de nuvem pública são vistos como uma implantação isolada no mundo de hoje da TI invisível, onde as linhas de negócios implantam serviços no vácuo como forma de agilizar a implantação. No entanto, os arquitetos de rede em empresas que implantam nuvens públicas precisam criar uma rede consistente, automatizada e uniforme por toda a empresa e na qual a nuvem pública é apenas uma extensão de sua rede corporativa. Sem uma infraestrutura de rede consolidada, consistente e integrada com a nuvem pública, as organizações não terão acesso a todos os benefícios, entre eles, agilidade, visibilidade e segurança. Para fornecer uma infraestrutura de rede consistente no AWS ou em outras plataformas de nuvem públicas, vários desafios devem ser solucionados. Rede e gerenciamento de endereço IP Em grande parte das implantações de nuvem híbrida, administradores de rede e de nuvem usam ferramentas diferentes para gerenciar redes na nuvem pública e no local, pois não contam com uma rede centralizada e gerenciamento de endereço IP. Sendo assim, eles enfrentam desafios no planejamento e na implantação de redes e endereços IP uniformes, o que, por sua vez, acaba resultando em um aumento no tempo dedicado à configuração e à solução de problemas. Além disso, a falta de descoberta e monitoramento para recursos baseados na nuvem reduzem a visibilidade da rede em relação à infraestrutura. Tentar descobrir, monitorar e documentar as atribuições da rede e de endereços IP de instâncias do AWS é praticamente impossível com processos manuais. Somando-se a tudo isso a complexidade de encerrar as instâncias, é notório que a maioria das empresas de TI dispõe de um monitoramento desatualizado e incorreto dos recursos baseados na nuvem. 1 INFORME TÉCNICO Garantia de serviços de rede de nível empresarial para AWS
Visibilidade As empresas precisam de um alto nível de visibilidade nas configurações de rede, DNS e endereços IP de suas infraestruturas no local e no AWS. Muitas vezes, as equipes de TI são obrigadas a combinar de forma apressada ferramentas muito diferentes e não integradas para monitorar seus recursos de rede para fins de planejamento. Por conta de requisitos de conformidade e segurança, as empresas têm que auditar e relatar a utilização dos recursos da rede, tanto recursos atuais, como o monitoramento histórico de instâncias encerradas. Um auditor pode, por exemplo, perguntar quantas instâncias/aplicativos usavam um endereço IP no passado ou quando ocorreu um evento de segurança naquele endereço IP específico. Sem uma visibilidade completa, visualizações históricas e automação, a maioria das empresas não terá documentação suficiente para atender a essa solicitação. Serviços de rede de nível empresarial para AWS A Infoblox é líder em serviços de rede de nível empresarial, como DNS e gerenciamento de endereços IP. E, agora com o Infoblox DDI for AWS, as empresas podem utilizar a plataforma integrada para implantações em nuvem pública ou híbrida. O Infoblox DDI for AWS ajuda a resolver os descritos nas seções a seguir. DNS de nível empresarial A Infoblox estende o DNS empresarial na nuvem AWS para que as empresas tenham uma plataforma robusta e consolidada entre redes tradicionais e nuvens públicas/ híbridas. Como parte da plataforma da Infoblox, as empresas podem implantar os appliances da Infoblox na nuvem AWS utilizando a Amazon Machine Images (AMI) em suas nuvens privadas virtuais (VPC) do AWS. Esses appliances virtualizados podem unir um Infoblox Grid existente e residente em um local da empresa, estendendo assim funcionalidades do DNS por toda a empresa e até a nuvem AWS. DATA CENTER Instalações da empresa DNS PRIMÁRIO GRID MASTER (GM) Nuvem pública da AWS DNS SECUNDÁRIO CANDIDATO A GRID MASTER DNS SECUNDÁRIO Figura 1: Estender o Infoblox Grid for AWS 2
Provisionamento automatizado de rede, endereços IP e DNS A Infoblox introduziu uma funcionalidade do proxy da API para AWS com a qual as empresas podem controlar alocações de rede e de endereços IP para VPCs. As empresas podem garantir que esses recursos sejam alocados de forma prevista, permitindo planejamento, monitoramento e gerenciamento consistentes e eficientes de redes, endereços IP e registros de DNS por toda a empresa. Cliente de API da AWS (por exemplo, Ansible, Puppet, Chef scripts etc.) ID DA VPC Rede IP VPC-DEV 10.10.0.0/16 10.10.10.101 AWS Endpoint da API VPC ID DA VPC Rede IP Registro de DNS VPC-DEV 10.10.0.0/16 10.10.10.101 dev1.internal.com Fluxo de trabalho típico 1. API: crie instância do EC2 em VPC-Dev para a rede 10.10.0.0/16 2. O GM reserva o próximo IP disponível na rede 10.10.0.0/16 para o VPC-Dev e o insere na solicitação da API 3. API: crie instância do EC2 no VPC-Dev 4. A instância do EC2 recebe o IP 10.10.10.101 no VPC-Dev 5. Resposta de API: sucesso 6. O GM atualiza os registros de host da instância de EC2 7. Resposta de API: sucesso Figura 2: Provisionamento automatizado de rede, endereços IP e registros DNS Quando uma nova instância de VPC/sub-rede/EC2 é criada a partir de APIs do AWS, conforme mostrado na Figura 2, essas APIs são direcionadas ao software do proxy da API que está sendo executado em appliances da Infoblox. Essas VPCs/sub-redes são armazenadas no banco de dados da Infoblox. Na próxima vez em que um usuário fizer uma chamada de API para acelerar uma nova instância de EC2, o software do proxy da API injetará o próximo endereço IP disponível e assinará a chamada de API com as credenciais do AWS apropriadas antes de encaminhá-la ao endpoint do AWS. Se a chamada de API conseguir acelerar uma nova instância de EC2, um registro de DNS será criado automaticamente para que usuários finais tenham acesso à instância de EC2 com o FQDN (nome de domínio totalmente qualificado) recém-criado. Como o servidor Infoblox DNS é configurado como um servidor DNS autoritativo, os registros de DNS são criados com base nas zonas de intervalo configurados no servidor Infoblox DNS. Isso também permite que a empresa aplique a nomenclatura de DNS conforme a política de nomenclatura corporativa, uma vez que o Infoblox atende ao registro de DNS. A convenção de nomenclatura pode ser facilmente automatizada. Basta fornecer um prefixo baseado em alguns campos e adicionar incrementalmente um número como sufixo para cada nova instância criada. À medida que as instâncias de VPC, sub-redes e EC2 são eliminadas ou desaceleradas, a Infoblox elimina automaticamente os respectivos registros de DNS, endereços IP e redes associados a esses objetos. Portanto, ao usar o Infoblox Grid, é possível sempre obter as informações mais recentes sobre redes AWS, endereços IP, instâncias etc. Informações de valor agregado adicionais como históricos de concessão de IP e utilização de endereços IP específicos em VPCs e sub-redes também podem ser obtidos do Grid. 3 INFORME TÉCNICO Garantia de serviços de rede de nível empresarial para AWS
Empresa ganha maior visibilidade de rede Com a utilização do Infoblox vdiscovery, instâncias, redes e VPCs agora são visíveis na interface de usuário do Infoblox assim como outros recursos físicos e virtuais. As equipes de rede têm uma visibilidade do tipo single-pane-of-glass (em um só local) sobre as configurações de DNS e utilização de endereço IP no AWS, o que permite verificar a segurança e a conformidade de suas redes. Uma solução de descoberta para a rede AWS (regiões/vpc/ec2) é necessária periodicamente para atualizar qualquer solução de DNS/IPAM externa para que seu banco de dados interno seja constantemente atualizado a fim de garantir a consistência com a configuração do AWS em qualquer momento. A solução é implementada no Infoblox usando APIs do AWS com as credenciais de usuário fornecidas para obter VPCs, sub-redes, instâncias, endereços IP e informações sobre metadados associados. Figura 3: Interface de usuário da Infoblox para recursos de rede na nuvem Os usuários também obtêm informações adicionais (computadas), como históricos de concessão de endereços IP, para que tenham correlações históricas entre endereços IP e instâncias do AWS. Eles também podem verificar regras de conformidade de acesso à rede em relação a cargas de trabalho, como em que rede(s) um tipo específico de carga de trabalho costuma ser executado?. O modelo de implantação híbrido do Grid fornece aos usuários um modo de exibição único de sua nuvem privada e AWS em um painel de vidro. A Infoblox conta com um recurso de relatórios que pode ser usado para analisar dados descobertos na AWS. DNS seguro Abordagens tradicionais de servidor DNS para fins gerais geralmente envolvem grandes riscos de segurança, entre eles, patches extensivos e várias portas abertas. A prática recomendada para redes consiste em implantar servidores DNS protegidos para solucionar todas as vulnerabilidades de qualquer sistema operacional padrão em que servidores DNS são executados, além das vulnerabilidades do próprio protocolo DNS. O appliance da Infoblox é um sistema Linux protegido que expõe os serviços através de portas padrão, como https (443) e DNS (53), dependendo dos serviços habilitados pelo usuário final. O acesso à interface de linha de comando (CLI) remota é fornecido opcionalmente via ssh (22) para acessar uma CLI cativa. A CLI não fornece ao usuário final acesso a um shell padrão para Linux. Durante a operação, o sistema de arquivo raiz do appliance é montado como somente leitura para impedir a introdução de códigos arbitrários no sistema. Além disso, a Infoblox também implementou uma solução de segurança que protege contra malware, botnets e outros tipos de software maliciosos, e pode ser adicionada à solução Infoblox DDI for AWS. Modelos de implantação Há basicamente dois modelos para implantar o Infoblox DDI for AWS: híbrido ou totalmente público. Dentro desses dois modelos há uma série de considerações levadas em conta sobre como os usuários projetam suas implementações. As figuras a seguir explicam estes dois modelos de implantação mais comuns. 4
AWS REGIÃO DA AWS VPC 2 DATA CENTER NA INSTALAÇÃO GRID MASTER VPC 1 GRID MASTER VPC DE GERENCIAMENTO DE SERVIÇOS COMPARTILHADOS Figura 4: Implantação híbrida do Infoblox Grid A implantação híbrida significa que há um NIOS Grid na instalação corporativa e que a implantação será estendida à nuvem AWS. Em uma instalação corporativa, um appliance NIOS (físico ou virtual) funciona como Grid Master. Além disso, pode haver outros appliances NIOS na instalação corporativa vinculados como membros do Grid e fornecendo serviços diferentes, tais como DNS, IPAM e relatórios. A implantação de uma instância de vnios no AWS estende essas funções para uma determinada VPC. Este membro do Grid, quando implantado, conecta-se automaticamente ao Grid existente. É preciso ter uma conexão de VPN à VPC do AWS para fornecer a conectividade necessária entre esse membro e o Grid Master da instalação. Para que o Grid Master ou as instâncias de vnios descubram instâncias, VPCs e sub-redes existentes, configure o appliance para solicitar descobertas de um ponto final do AWS. AWS REGIÃO 1 VPC 2 REGIÃO 2 VPC 2 DNS PRIMÁRIO GM VPC 1 VPC 1 DNS SECUNDÁRIO Figura 5: Implantação de nuvem pública 5 INFORME TÉCNICO Garantia de serviços de rede de nível empresarial para AWS
O segundo modelo de implantação é uma implantação completa de nuvem pública. Conforme explicado, a implantação total do NIOS Grid será na nuvem AWS. Nesse modelo, a prática recomendada é usar um modelo de VPC de serviço compartilhado com outras VPCs equivalentes à VPC de serviço compartilhado. Nessa estrutura, a VPC de serviço compartilhado em que o Grid Master está localizado conta com conexões VPN para que seja possível gerenciá-las com segurança a partir do ambiente corporativo. Appliances adicionais são implantados por região para fornecer serviços com o objetivo de se obter desempenho superior. O vdiscovery é usado para descobrir VPCs, sub-redes e instâncias. Seus dados são preenchidos na interface de usuário do Grid Master. Infoblox DDI supera soluções tradicionais As empresas usam duas soluções para tentar solucionar os desafios de DNS e IPAM na nuvem AWS: AWS Route 53 e Microsoft DNS/DHCP. Essas soluções resolvem alguns desafios, mas nenhuma delas consegue solucionar todos eles. Route 53 O Route 53 fornece DNS escalável e altamente disponível na nuvem AWS. Além de conseguir rotear os usuários para vários serviços do AWS, como instâncias de EC2, o Route 53 também permite que clientes do AWS roteiem usuários a infraestruturas que não são do AWS. Os servidores do Route 53 estão distribuídos no mundo inteiro. Apesar de ser uma solução abrangente, ela não consegue solucionar todos os desafios enfrentados pela empresa para IPAM e DNS, entre eles: Serviço DNS apenas, não usado para IPAM Eficiente no caso de DNS externo, mas difícil de integrar a uma solução de DNS interno e atual da empresa Ainda é um desafio fornecer às equipes de rede uma visibilidade simples sobre o DNS e IPAM para garantir conformidade de forma contínua para proteger as redes Foco no AWS sem modos de exibição correlacionados de redes híbridas Microsoft DNS e DHCP Os serviços DNS e DHCP da Microsoft são amplamente usados por empresas em redes tradicionais e podem ser implantados como uma instância virtual no AWS. O gerenciamento desses serviços se torna mais desafiador à medida que o número de dispositivos adicionados à rede aumenta em um ritmo acelerado. As ferramentas disponíveis são complicadas de usar, o que acaba forçando a aplicação de processos manuais e potencialmente produzindo erros humanos. As empresas que optarem pelos serviços da Microsoft terão muita dificuldade para enfrentar os desafios da implantação de cargas de trabalho na nuvem pública. Os serviços Microsoft DNS e DHCP: Fornecem funções básicas, mas pecam pela falta de integração fácil entre uma empresa diversificada que tenha o Microsoft DNS e BIND Dependem demais da utilização do DHCP, que não está disponível no AWS Podem introduzir questões de latência e falta de sincronização durante a sincronização de bancos de dados entre a empresa e o AWS Não conseguem fornecer visibilidade do tipo single-pane-of-glass (em um só local) de toda a empresa e da nuvem AWS 6
Conclusão A automação do DNS, DHCP e IPAM para AWS é fundamental para uma solução completa de nuvem pública/híbrida para empresas. Totalmente integrada à nossa tecnologia Grid líder de indústria, a solução Infoblox for AWS aumenta a agilidade na nuvem, oferece suporte a políticas de rede consistentes em implantações híbridas e aprimora a visibilidade das cargas de trabalho de nuvem pública. O Infoblox DDI for AWS oferece appliances virtuais como imagens de AMI, que podem ser implantadas dentro de VPCs como appliances de membro do Grid. Esses membros são provisionados automaticamente e gerenciados centralmente a partir de um Grid Master que pode ser implantado em instalações locais ou na nuvem AWS da empresa. Portanto, essa solução oferece à empresa uma experiência simples, unificada e híbrida na nuvem. Ao estender o Infoblox DDI até a nuvem AWS, as empresas podem solucionar os desafios de fornecer um DNS empresarial em uma infraestrutura corporativa e na nuvem. Isso proporciona às equipes de rede uma visibilidade consistente e significativa dos ambientes de nuvem pública, além de garantir conformidade com a rede corporativa e alocação de endereços IP e políticas de DNS. Sobre a Infoblox A Infoblox (NYSE:BLOX) fornece serviços de rede essenciais para proteger a infraestrutura de DNS (Domain Name System), automatizar implantações na nuvem e aumentar a confiabilidade de redes empresariais e de provedores de serviços no mundo inteiro. Como líder de indústria em DNS, DHCP e gerenciamento de endereço IP, categoria conhecida como DDI, a Infoblox (www.infoblox.com) reduz os riscos e a complexidade das redes. 7 INFORME TÉCNICO Garantia de serviços de rede de nível empresarial para AWS
MATRIZ: +1.408.986.4000 +1.866.463.6256 (ligue gratuitamente dos EUA e Canadá) sales-latinamerica@infoblox.com www.infoblox.com.br/cloud MATRIZ EMEA: +32.3.259.04.30 info-emea@infoblox.com MATRIZ APAC: +852.3793.3428 sales-apac@infoblox.com 2016 Infoblox Inc. Todos os direitos reservados. Infoblox-WP-0079-00 Garantia de serviços de rede de nível empresarial para AWS Setembro de 2015