Настройка зашифрованных сетей в SDN с помощью VMM

В этой статье объясняется, как шифровать сети виртуальных машин в программно-определяемой сети (SDN) с помощью System Center диспетчер виртуальных машин (VMM).

Сетевой трафик можно зашифровать гостевой ОС или приложение с помощью таких технологий, как IPSec и TLS. Однако эти технологии трудно реализовать из-за их присущей сложности и проблем, связанных с взаимодействием между системами из-за характера реализации.

Используя функцию зашифрованных сетей в VMM, сквозное шифрование можно легко настроить в сетях виртуальных машин с помощью сетевого контроллера (NC). Это шифрование предотвращает чтение и управление трафиком между двумя виртуальными машинами в одной сети виртуальной машины и одной подсети.

Управление шифрованием находится на уровне подсети, а шифрование можно включить или отключить для каждой подсети сети виртуальной машины.

Эта функция управляется с помощью сетевого контроллера SDN (NC). Если у вас еще нет инфраструктуры ПРОГРАММНО-определяемой сети (SDN) с NC, дополнительные сведения см. в статье о развертывании SDN.

Перед началом работы

Выполните указанные ниже предварительные требования.

• По крайней мере два узла для виртуальных машин клиента для проверки шифрования.
• Сеть виртуальных машин на основе HNV с включенным шифрованием и сертификатом, который можно создать и распространить администратором структуры.

  Примечание.

  Сертификат вместе с закрытым ключом должен храниться в локальном хранилище сертификатов всех узлов, где находятся виртуальные машины (из этой сети).

Настройка зашифрованных сетей

Чтобы настроить зашифрованные сети, выполните следующие действия.

1. Создайте сертификат, а затем поместите сертификат в локальное хранилище сертификатов всех узлов, в которых планируется разместить виртуальные машины клиента для этой проверки.

2. Вы можете создать самозаверяющий сертификат или получить сертификат из ЦС. Сведения о создании самозаверяющих сертификатов и их размещении в соответствующих расположениях каждого узла, который вы будете использовать, см. в разделе "Настройка шифрования для виртуальной подсети".

   Примечание.

   Запишите отпечаток создаваемого сертификата. В приведенной выше статье на шаге 2 вам не нужно выполнять действия, описанные в разделе "Создание учетных данных сертификата" и "Настройка виртуальной сети для шифрования". Эти параметры будут настроены с помощью VMM в следующих шагах.

3. Настройте сеть поставщика HNV для подключения к виртуальной машине клиента, которая будет управляться NC. Подробнее.

4. Создайте сеть виртуальной машины клиента и подсеть. При создании подсети выберите "Включить шифрование " в подсетях виртуальной машины. Подробнее.

   На следующем шаге вставьте отпечаток созданного сертификата.

   

   

5. Создайте две виртуальные машины на двух отдельных физических узлах и подключите их к приведенной выше подсети. Подробнее.

6. Подключите любое приложение для сниффинга пакетов к сетевым интерфейсам на двух узлах, где размещены виртуальные машины тенанта.

7. Отправьте трафик, пинг, HTTP или любые другие пакеты между двумя узлами и проверьте пакеты в приложении для сниффинга пакетов. Пакеты не должны иметь четкого обычного текста, например параметров HTTP-запроса.