F5 VELOS로 안전한 멀티테넌트 아키텍처 구축

소개

기업들은 증가하는 콘텐츠 전송 수요를 지원하는 동시에 엔터프라이즈 데이터 센터의 비용을 억제하는 데 주력하고 있습니다. 이러한 조직들이 기존 인프라의 활용률을 극대화하고자 함에 따라 데이터 보안과 규정 준수를 보장하는 것이 최우선 과제로 떠올랐습니다. 많은 조직의 워크로드가 온프레미스, 코로케이션 및 멀티 클라우드 환경에 분산되어 있으므로 모든 배포 환경에 일관되게 적용할 수 있는 데이터 보안 전략이 필요합니다. F5의 새로운 최신 아키텍처를 통해 조직은 기존 하드웨어 가속 기능을 유지하면서 프라이빗 클라우드와 퍼블릭 클라우드 모두에 F5 소프트웨어를 모듈식으로 배포하여 디지털 혁신 계획을 가속화할 수 있습니다. F5의 마이크로서비스 기반 인프라는 테넌트를 격리하는 포괄적인 보안과 함께 애플리케이션 전송 및 멀티테넌시 기능을 지원하며, 이 모든 것은 F5의 Adaptive Apps 비전을 뒷받침하는 핵심 요소입니다.

데이터 보안 문제는 서비스 제공업체 3곳 중 1곳에 영향을 미칩니다. 데이터 유출과 규제 및 규정 준수 문제로 인한 벌금이 증가함에 따라, 관리형 서비스 제공업체는 동일한 물리적 장치에서 호스팅되는 다른 고객이 자사 고객의 네트워크 트래픽을 보거나 조작할 수 없음을 보장하고자 합니다.

F5의 현대적인 아키텍처는 최고정보책임자(CIO)가 요구하는 고성능 특성과 최고(정보)보안책임자(CSO/CISO)가 요구하는 강력하고 높은 수준의 보안 태세를 결합합니다.

구성 요소

정의

CMP

F5® 클러스터형 멀티프로세싱^TM(CMP) 분산 아키텍처를 통해 CPU, 코어 및 블레이드 확장

VELOS

클라우드 규모의 아키텍처를 기반으로 구축된 차세대 애플리케이션 딜리버리 컨트롤러(ADC) 솔루션으로, 온프레미스 또는 코로케이션 환경에서 섀시 기반 시스템을 통해 트래픽 관리 앱을 실행할 수 있습니다.

어플라이언스

포트 수와 CPU 코어 수가 고정되어 있으며 테넌트 인스턴스도 배포할 수 있는 비모듈형 하드웨어 플랫폼

F5OS

F5OS는 VELOS와 함께 도입된 새로운 플랫폼 계층 소프트웨어입니다. F5OS는 관리자에게 내부 구현이 노출되지 않는 마이크로서비스 아키텍처를 활용합니다. 플랫폼 계층에는 기본 시스템 설정, 섀시 라이선스 관리, 네트워킹 및 섀시 파티션 구성이 포함됩니다.

섀시 파티션

섀시 파티션은 VELOS 섀시 내의 블레이드를 그룹화한 것입니다. 이는 VIPRION에서는 제공되지 않는 새로운 개념입니다. 섀시 내의 블레이드 그룹을 완전히 분리하고 격리할 수 있습니다. 테넌트는 섀시 파티션 내에 생성되며 격리 기능도 제공합니다. 섀시 파티션은 TMOS 관리 파티션과 어떠한 관련도 없습니다.

테넌트

VIPRION과 같은 이전 세대 BIG-IP 플랫폼은 F5® Virtual Clustered Multiprocessing^TM(vCMP) 기술을 통해 가상화 및 멀티테넌시를 지원했습니다. VELOS도 가상화 및 멀티테넌시를 지원하지만 vCMP는 사용하지 않습니다. VELOS는 보다 현대적인 마이크로서비스 기반 접근 방식을 사용하며, 멀티테넌시가 기본적으로 내장되어 있습니다. vCMP와 마찬가지로 개별 테넌트를 프로비저닝할 수 있으며, 각 테넌트는 서로 다른 소프트웨어 버전을 실행할 수 있습니다.

SuperVIP/베어 메탈

SuperVIP는 VIPRION의 베어 메탈 유형 구성을 의미하며, 블레이드를 추가하면 컴퓨팅 용량이 증가합니다. CMP 기술은 수신 부하를 사용 가능한 모든 프로세서에 분산하는 데 사용됩니다. VELOS는 기본적으로 멀티테넌트 방식이며, 블레이드가 추가될 때 동적으로 확장할 수 있는(VIPRION과 동일한 방식) 하나의 대규모 테넌트를 구성하여 유사한 사용 사례를 구현합니다.

F5의 최신 아키텍처

VIPRION과 같은 이전 세대 시스템은 vCMP 기술을 통해 가상화 솔루션을 제공했습니다. vCMP에는 멀티테넌시를 지원하는 두 가지 구성 요소, 즉 vCMP 호스트 계층과 vCMP 게스트 계층이 있었습니다. vCMP 호스트 기능은 기본적으로 F5 플랫폼에서 게스트라고 하는 BIG-IP 가상 인스턴스를 실행할 수 있도록 해주는 맞춤형 하이퍼바이저였습니다.

VELOS는 구성 및 배포 관점에서 vCMP와 유사한 모델을 제공하지만, 서로 다른 기술을 사용합니다. VELOS는 섀시 내의 가상화 기능을 설명하기 위해 “테넌트” 또는 “테넌시”라는 용어를 사용합니다. VELOS의 F5OS 플랫폼 계층은 하이퍼바이저가 아니라, 관리를 위한 기반 Kubernetes 프레임워크를 갖춘 실제 마이크로서비스 계층입니다. F5OS는 KubeVirt 기술을 사용하여 BIG-IP 인스턴스가 마이크로서비스 계층 위에서 가상 머신(VM)으로 실행될 수 있도록 함으로써 멀티테넌시를 구현합니다. 이를 통해 고객은 테넌트 관리 방식을 변경하지 않고도 기존 BIG-IP 인스턴스 또는 게스트를 VELOS 테넌트로 마이그레이션할 수 있습니다.

VELOS 아키텍처는 차세대 BIG-IP 소프트웨어인 BIG-IP Next도 지원합니다. 컨테이너화된 환경 위에서 BIG-IP 인스턴스를 VM으로 실행하는 대신, BIG-IP Next는 네이티브 컨테이너 환경 내에서 컨테이너 모음으로 실행됩니다. VELOS 섀시에서 지원되는 테넌트로는 TMOS 기반 BIG-IP와 F5OS의 컨테이너에서 실행되는 BIG-IP Next가 있으며, 동일한 플랫폼에서 원활하게 테스트하고 버전을 마이그레이션할 수 있습니다.

VELOS에서 테넌트를 구성하는 과정은 vCMP 게스트를 프로비저닝하는 과정과 거의 동일합니다. 관리자는 테넌트에 이름을 지정하고, 실행할 소프트웨어 버전을 선택한 다음, vCPU 및 메모리 리소스를 할당합니다. VELOS 테넌트는 vCMP 게스트와 마찬가지로 전용 CPU 및 메모리 리소스를 사용합니다.

섀시 파티셔닝

VELOS는 관리자가 블레이드를 그룹화하고 서로 격리할 수 있는 섀시 파티셔닝 기능을 통해 추가적인 격리 계층을 제공합니다. 각 블레이드는 자체적으로 격리된 섀시 파티션이 될 수도 있고, 다른 블레이드와 그룹화되어 섀시 내 최대 블레이드 수까지 더 큰 섀시 파티션을 구성할 수도 있습니다. 섀시 파티셔닝은 물리적 네트워킹을 포함하는 추가적인 격리 계층을 제공합니다. vCMP에서는 VLAN 멤버십을 통해 제한할 수 있었지만, 호스트 계층의 물리적 네트워킹에 모든 게스트가 액세스할 수 있었습니다. VELOS 멀티테넌시 및 섀시 파티션을 사용하면 섀시 파티션 내의 테넌트는 자신이 호스팅된 섀시 파티션 내의 물리적 네트워킹에만 액세스할 수 있습니다. 다른 섀시 파티션 내의 네트워킹에는 액세스할 수 없습니다. vCMP와 마찬가지로 여전히 VLAN에 의해 제한되지만, 섀시 파티션은 하위 계층에서 추가적인 분리를 제공합니다. 또한 VELOS는 관리자 액세스를 분리하여 각 섀시 파티션이 자체 사용자 액세스 및 인증을 관리하도록 함으로써 섀시 파티션을 더욱 격리합니다.

섀시 관리자 역할

섀시 관리자는 시스템 컨트롤러의 대역 외 관리 인터페이스에 액세스할 수 있습니다. 또한 섀시 파티션을 구성하고 해당 파티션에 액세스할 수 있도록 사용자 권한을 할당할 수 있습니다.

섀시 파티션 관리자 역할

섀시 파티션 관리자는 파티션 내 블레이드의 인터페이스, 링크 집계 그룹 및 VLAN을 포함한 인밴드 네트워킹 인프라를 구성합니다. 또한 할당된 섀시 파티션 내에서 테넌트를 배포하고 해당 수명 주기를 관리할 수 있습니다. 섀시 파티션 관리자는 시스템의 다른 섀시 파티션에 액세스할 수 없으므로 테넌트 계층뿐만 아니라 하위 네트워킹 계층에서도 안전하게 격리됩니다.

테넌트 관리자 역할

테넌트 관리자는 테넌트 내 서비스 구성을 담당합니다. 테넌트 관리자는 BIG-IP 테넌트에서 제공하는 모든 관리 기능에 액세스할 수 있습니다. 이는 vCMP 게스트에 대한 액세스와 유사합니다. 이러한 액세스는 하위 플랫폼 계층에 대한 액세스와는 별개이며 TMOS 인스턴스(또는 테넌트) 내에서 제어됩니다.

현대적 아키텍처를 통한 보안 및 애플리케이션 확장

마이크로서비스 기반의 현대적 아키텍처는 데이터 센터의 디지털 혁신을 추진하려는 조직에 도움이 됩니다. 디지털 혁신과 데이터 센터 현대화의 목표는 신속하게 혁신하고 대응할 수 있는 역량을 확보하는 것입니다. 증가하는 애플리케이션 제공 요구 사항을 충족하기 위해 온프레미스, 코로케이션 및 멀티 클라우드 모델 전반에 워크로드를 배포하는 서비스 제공업체와 엔터프라이즈 데이터 센터 운영자가 늘어남에 따라, 활용률 향상과 데이터 보안 강화가 갈수록 중요해지고 있습니다. F5의 마이크로서비스 기반 아키텍처는 데이터 보안 표준 준수를 보장하는 동시에 기업이 자본 지출(CapEx)을 더욱 효율적으로 활용할 수 있도록 지원합니다.

배포 시간 지연, 용량 확장의 제약, 데이터 보안 침해는 기업이 직면한 주요 문제입니다. 인적 오류를 줄이기 위해 자동화 및 원격 모니터링 기술에 대한 투자가 꾸준히 이루어지고 있습니다.

서비스 제공업체에게는 5G 준비와 가입자 및 네트워크 성능 개선이 최우선 과제입니다. 또한 현재뿐만 아니라 3G 또는 4G LTE에서 5G 엣지로 마이그레이션하는 동안에도 증가하는 부하를 처리하는 동시에 애플리케이션과 리소스의 격리를 보장할 수 있도록 리소스 확장성이 필요합니다.

F5는 기업이 애플리케이션 성능, 내결함성 및 API 관리 역량을 향상할 수 있도록 VELOS 섀시 시스템을 개발했습니다.

F5OS는 VELOS 플랫폼과 함께 리소스 활용도 향상, 자동화 기능 및 심층 방어 보안을 제공합니다. 리소스 활용도를 높이기 위해 VELOS는 단일 디바이스에서 여러 테넌트 클러스터를 지원합니다. 새로운 섀시 파티셔닝 방식과 세분화된 리소스 할당을 통해 운영 모델이 더욱 간소화됩니다. API 우선 아키텍처를 통해 고객은 BIG-IP 시스템 배포를 자동화하여 애플리케이션 관리 및 자동화 작업을 간소화할 수 있습니다. VELOS는 익스플로잇의 영향을 제한하기 위해 여러 계층의 애플리케이션 보안을 지원합니다. 또한 VELOS는 물리적 및 소프트웨어 기반 심층 방어 보안 메커니즘을 결합하여 프로세스를 보호하고, 액세스 제어를 강화하며, 네트워크를 격리합니다.

관리형 서비스 제공업체는 테넌트 보안을 통해 하위 고객이 자체 서비스의 격리된 세그먼트를 독립적으로 관리할 수 있다는 점도 확인했습니다. 예를 들어, 한 하위 고객은 동일한 파티션에서 실행되는 다른 테넌트 인스턴스의 F5 Advanced Web Application FirewallTM(WAF) 또는 BIG-IP® Advanced Firewall ManagerTM(AFM)을 사용하여 애플리케이션을 보호할 수 있으며, 다른 고객은 F5 BIG-IP Access Policy Manager (APM)를 사용하여 네트워크 서비스에 대한 액세스 제어 및 인증을 제공할 수 있습니다.

VELOS 시스템 보안

VELOS는 모든 측면에 보안이 내재되어 있습니다. VELOS의 설계 및 개발 과정에서 F5 제품 개발팀과 보안팀은 모든 공격 표면을 검토하고 위협 모델링을 수행했으며, 이는 F5 역사상 가장 포괄적인 보안 평가였습니다.

플랫폼 보안

섀시 파티셔닝은 F5가 제공하는 멀티테넌시 솔루션 중 하나입니다. 고객은 섀시 파티셔닝을 통해 개별 블레이드 수준에서 파티션을 생성하고 여러 블레이드를 그룹화하여 하나의 관리 엔터티로 구성할 수 있습니다. 각 섀시 파티션에는 자체 관리 스택과 데이터 네트워크 연결이 있으므로 서로 다른 파티션에서 호스팅되는 테넌트가 서로 격리됩니다.

F5OS 플랫폼 계층은 보안 컨텍스트 제약 조건(SCC) 프로파일과 보안 컴퓨팅(seccomp) 모드를 활용하여 섀시 파티션 내에서 실행되는 애플리케이션과 기본 하드웨어를 격리합니다. 또한 기본 Security-Enhanced Linux(SELinux) 설정은 테넌트 서비스의 호스트 리소스 접근을 제한합니다. 인증 및 사용자 관리는 섀시 관리자, 파티션 관리자, 테넌트 관리자 역할을 각각 별도로 생성하여 애플리케이션 접근을 제한합니다. 읽기 전용 파일 시스템을 기반으로 구축된 호스트 계층은 테넌트가 격리 환경을 벗어나는 것을 추가로 방지합니다.

신뢰할 수 있는 플랫폼 모듈

신뢰할 수 있는 플랫폼 모듈(TPM)(ISO/IEC 11889)은 통합 암호화 키를 통해 하드웨어를 보호하도록 설계된 전용 마이크로컨트롤러인 보안 암호화 프로세서에 관한 국제 표준입니다. F5는 TPM 2.0 칩셋, Linux Trusted Boot(tboot) 및 Intel TXT 기술을 사용하여 TPM 관리 연속성 및 증명을 구현합니다. TPM 칩은 시스템이 시작될 때마다 특정 측정을 수행합니다. 이러한 측정에는 대부분의 BIOS 코드, BIOS 설정, TPM 설정, tboot, Linux 초기 RAM 디스크(initrd) 및 Linux 커널의 해시 생성이 포함됩니다(초기 VELOS 릴리스에서는 BIOS만 검증). 따라서 측정된 모듈의 대체 버전을 쉽게 생성할 수 없으며, 해시를 통해 동일한 측정값을 얻을 수 있습니다. 이러한 측정값을 알려진 정상 값과 비교하여 검증할 수 있습니다.

두 시스템 컨트롤러와 모든 블레이드(BX110)에는 TPM 2.0 칩셋이 탑재되어 있습니다. 초기 VELOS 릴리스에서는 부팅 시 로컬 증명이 자동으로 수행되며, 명령줄 인터페이스(CLI)에서 그 결과를 확인할 수 있습니다. 향후 F5는 원격 증명과 Linux 커널 및 initrd에 대한 증명 기능을 추가할 예정입니다.

어플라이언스 모드

관리자는 어플라이언스 모드를 활성화하여 VELOS 시스템의 보안을 더욱 강화할 수 있습니다. 어플라이언스 모드는 연방 기관 및 금융 부문의 보안 요구 사항을 충족하도록 특별히 설계된 보안 모델입니다. 어플라이언스 모드에서는 기본 시스템 셸에 대한 액세스가 차단되므로 스크립트 실행이 훨씬 더 어려워집니다. 또한 기본 시스템의 루트 계정에 대한 액세스도 차단되어 모든 사용자가 인증 시스템을 거치도록 합니다. VELOS에서는 F5OS 플랫폼 계층뿐만 아니라 프로비저닝된 각 테넌트에서도 어플라이언스 모드를 활성화할 수 있습니다. 관리자는 시스템 컨트롤러 수준, 각 섀시 파티션 및 각 테넌트에서 어플라이언스 모드를 활성화할 수 있습니다. 일부 VIPRION 환경과 달리 이 모드는 라이선스가 아니라 각 수준의 구성 옵션을 통해 제어됩니다.

요약하면, 가장 주요한 플랫폼 보안 기능은 다음과 같습니다:

• 섀시 파티션을 사용한 섀시 내부의 분리 및 격리
• 섀시 파티션을 격리하여 특정 사용자 그룹만 액세스할 수 있도록 제한
• 신뢰할 수 있는 플랫폼 모듈(TPM)을 통한 하드웨어 보안
• 스크립트 실행 및 루트 권한 악용을 방지하는 어플라이언스 모드
• 서명 검증을 통해 F5가 서명한 소프트웨어 이미지만 허용

이러한 기능은 외부 위협 벡터로부터 플랫폼 계층을 보호합니다. 테넌트 자체에도 별도의 보안 하위 시스템이 있습니다.

멀티테넌트 환경의 보안

멀티테넌시 기능을 사용할 때는 테넌트 간 격리를 보장하는 것이 가장 중요한 고려 사항입니다. 동일한 디바이스에서 여러 테넌트를 호스팅하는 서비스 제공업체와 엔터프라이즈 고객 모두 서로 다른 테넌트가 소유한 리소스 간의 격리가 필요합니다. F5는 여러 계층의 보안 구성을 제공하여 테넌트 간 보안을 보장합니다.

BIG-IP Local Traffic ManagerTM (LTM), BIG-IP DNS (GTM), BIG-IP Advanced WAF와 같이 F5에서 신뢰하는 테넌트 서비스만 배포할 수 있으므로 위협 표면이 최소화됩니다. 서명 검증을 통해 F5 서비스 이미지의 다운로드 및 설치를 승인할 수 있습니다. 서명 검증에 실패하면 소프트웨어 설치가 중단되어 리소스를 잘못 구성하려는 악의적인 활동의 위험을 방지합니다.

테넌트와 프로세스, 네트워크, 파일 시스템 등의 호스트 계층 리소스 간 격리는 SCC 프로파일 및 seccomp 모드와 같은 다양한 보안 메커니즘을 활용하여 제공됩니다. 각 테넌트에는 트래픽 격리를 위한 고유한 테넌트 ID가 있습니다. 테넌트 주소 지정, IP 테이블 구성 및 브로드캐스트 도메인 격리가 함께 작동하여 테넌트 격리를 적용합니다.

각 테넌트는 역할 기반 액세스 제어(RBAC) 시스템을 제공하여 키, 애플리케이션, 보안 정책, 감사 로그, 방화벽 규칙 등에 대한 사용자 액세스를 제어합니다. 즉, 특정 테넌트를 서로 다른 하위 고객이나 사업부에 할당할 수 있으며, 각 고객이나 사업부의 자격 증명도 서로 분리된 상태로 유지됩니다. 이러한 방식으로 테넌트를 배포하면 사용자 계정이 침해되더라도 그 영향은 특정 단일 테넌트로 제한됩니다. 각 테넌트는 컨테이너화된 환경에서 TMOS 운영 체제 인스턴스를 실행하므로 보안 측면에서 vCMP 게스트보다 우수합니다. 주요 사항은 다음과 같습니다.

• 서명 검증을 통해 F5가 서명한 소프트웨어 이미지만 허용됩니다
• MACVLAN 인터페이스는 블레이드 간 테넌트 트래픽을 캡슐화하여 동일한 블레이드에 있는 서로 다른 테넌트 간의 트래픽 가시성을 제한합니다.
• 테넌트를 격리하는 플랫폼 계층을 통해 파티션 관리자와 테넌트 관리자에게 서로 구분된 액세스 권한 제공
• Seccomp 컨테이너 보안
• 모든 애플리케이션 서비스에 SELinux 정책 적용

이러한 보안 제어 기능이 결합되어 테넌트 보안을 여러 계층으로 제공합니다.

네트워크 보안 및 격리

플랫폼 계층 격리

새로운 F5OS 플랫폼 계층은 인밴드 트래픽 네트워크 및 VLAN과 완전히 격리되어 있습니다. 아웃오브밴드 관리 네트워크를 통해서만 액세스할 수 있도록 의도적으로 격리한 것입니다. 실제로 시스템 컨트롤러와 섀시 파티션에는 인밴드 IP 주소가 할당되지 않으며, 테넌트에만 인밴드 관리 IP 주소와 액세스 권한이 부여됩니다.

이를 통해 고객은 액세스가 엄격하게 제한된 안전하고 철저히 통제되는 대역 외 관리 네트워크를 운영할 수 있습니다. 아래 다이어그램은 대역 외 관리 액세스가 시스템 컨트롤러를 통해 섀시로 들어오고, 시스템 컨트롤러가 섀시 파티션과 테넌트에 연결을 제공하는 방식을 보여 줍니다. 그런 다음 이 대역 외 네트워크는 관리 목적으로 섀시 내부까지 확장됩니다. 모든 대역 내 주소는 F5OS 플랫폼 계층이 아니라 테넌트 자체에 구성된다는 점에 유의하십시오.

섀시 파티션 격리

각 섀시 파티션은 고유한 엔터티로서 자체 (로컬/원격) 사용자 집합과 인증 체계를 갖습니다. 또한 자체 CLI, GUI 및 API 액세스를 제공하는 전용 대역 외 IP 주소를 통해 관리됩니다. 섀시 파티션을 특정 그룹 전용으로 지정할 수 있으며, 해당 그룹의 구성원은 자신에게 할당된 파티션에만 액세스할 수 있습니다. 시스템의 다른 섀시 파티션에는 액세스할 수 없습니다. 이는 VIPRION에서는 제공되지 않았던 수준의 격리입니다. 아래에 몇 가지 예가 나와 있습니다. 서로 다른 섀시 파티션 간에 서비스 체이닝을 구성할 수 있지만, 섀시 내에서 파티션이 철저히 격리되어 있으므로 서로 연결하려면 외부 연결을 제공해야 합니다.

관리 액세스가 완전히 격리되어 고유하게 제공될 뿐만 아니라, 인밴드 네트워킹도 섀시 파티션 내에서 구성되고 완전히 분리됩니다. 각 섀시 파티션에는 PortGroup, VLAN, 링크 집계 그룹(LAG), 인터페이스 등의 자체 네트워킹 구성 요소 세트가 있습니다. 따라서 한 섀시 파티션의 네트워크는 다른 섀시 파티션에서 액세스하거나 볼 수 없습니다.

네트워크 수준의 격리는 이중 시스템 컨트롤러에 있는 중앙 집중식 스위치 패브릭을 통해서도 적용됩니다. VELOS 시스템에서 각 블레이드는 이중화 및 대역폭 확장을 위해 중앙 집중식 스위치 패브릭에 여러 개의 연결을 갖습니다. 각 BX110 블레이드에는 2개의 100Gb 백플레인 연결(각 시스템 컨트롤러에 하나씩)이 있으며, 이 연결들은 하나의 LAG로 결합됩니다. 이러한 스타 배선 토폴로지는 모든 블레이드 간에 빠르고 안정적인 백플레인 연결을 제공하며 네트워킹 계층에서 완전한 격리가 가능하도록 합니다.

섀시 파티션을 생성할 때 관리자는 하나 이상의 블레이드를 할당하며, 할당된 블레이드는 섀시의 다른 모든 블레이드와 격리됩니다. 중앙 집중식 스위치 패브릭에는 포트 기반 VLAN과 VLAN 태깅이 자동으로 구성되어 섀시 파티션 간 격리를 적용합니다. 아래 다이어그램은 이러한 격리가 적용되는 방식을 시각적으로 보여 줍니다.

Network security 및 격리

섀시 파티션이 얼마나 철저히 격리되어 있는지 설명하기 위해, 아래 다이어그램에서는 각각 여러 개의 섀시 파티션이 구성된 두 대의 VELOS 섀시를 보여 줍니다. 인밴드 네트워크 리소스가 공유되지 않으므로 각 섀시 파티션에는 인밴드 네트워크 연결과 두 섀시 간 고가용성 상호 연결을 위한 자체 네트워크 연결이 필요합니다. 섀시 파티션 간에는 인터페이스, VLAN 또는 LAG에 액세스할 수 없습니다.

결론

조직이 리소스 활용도를 높이고 엔드투엔드 자동화 및 오케스트레이션을 구현하기 위해 마이크로서비스 기반 애플리케이션 배포 전략을 도입함에 따라, 이러한 전략을 멀티테넌시 요구사항과 어떻게 조화시킬지, 그리고 전반적인 보안을 어떻게 유지할지 평가해야 합니다. F5의 최신 아키텍처는 보안과 멀티테넌시 요구사항을 모두 충족하는 독보적인 고성능 마이크로서비스 기반 솔루션을 제공합니다.

------------------

보안 그룹

VELOS 보안 기능

플랫폼 계층 보안

• 섀시 파티션을 사용한 섀시 내부의 분리 및 격리
• 신뢰할 수 있는 플랫폼 모듈(TPM)을 통한 하드웨어 보안
• 어플라이언스 모드는 스크립트 실행 및 루트 권한 악용을 방지합니다
• 기본 SELinux 모드는 테넌트 서비스의 호스트 리소스 접근을 제한합니다
• 호스트 계층은 컨테이너 내부에서 VM으로 실행되어 테넌트가 호스트 계층으로 탈출하는 것을 제한합니다.

테넌트 보안

• 서명 검증을 통해 F5가 서명한 소프트웨어 이미지만 허용
• MACVLAN 인터페이스는 블레이드 간 테넌트 트래픽을 캡슐화하여 동일한 블레이드에 있는 서로 다른 테넌트 간의 트래픽 가시성을 제한합니다.
• 테넌트를 격리하는 플랫폼 계층을 통해 파티션 관리자와 테넌트 관리자의 액세스를 구분
• Seccomp 컨테이너 보안
• 모든 애플리케이션 서비스에 SELinux 정책 적용

Network security 및 격리

• 플랫폼 계층은 인밴드 트래픽과 격리되어 있으며, 아웃오브밴드 관리 네트워크를 통해서만 액세스할 수 있습니다.
• 섀시 파티션에는 사용자 기반 인증 시스템이 적용되어 있으며 전용 대역 외 IP 주소를 통해 관리됩니다.
• 섀시 파티션은 인밴드 네트워크에 연결되는 자체 네트워크 연결을 통해 격리됩니다.

------------------

F5는 마이크로서비스 기반 환경에서 보안이 얼마나 중요한지 잘 알고 있습니다. F5는 플랫폼 및 네트워크 연결에 대한 광범위한 위협 모델 평가를 바탕으로 심층 방어 전략과 선제적 보안 태세에 기반한 보안 모델을 구축했습니다. VELOS는 플랫폼 계층 격리, 섀시 파티셔닝 및 중앙 집중식 스위치 패브릭 방식을 결합하여 멀티테넌트 환경에서 애플리케이션 간 격리를 제공합니다.

2024년 4월 25일 게시