UNIVERZA V MARIBORU FAKULTETA ZA ELEKTROTEHNIKO, RAČUNALNIŠTVO IN INFORMATIKO Jernej Gabrič UPORABA PROGRAMSKE POŽARNE PREGRADE V PODATKOVNEM CENTRU Diplomsko delo Maribor, avgust 2016 UNIVERZA V MARIBORU FAKULTETA ZA ELEKTROTEHNIKO, RAČUNALNIŠTVO IN INFORMATIKO Jernej Gabrič UPORABA PROGRAMSKE POŽARNE PREGRADE V PODATKOVNEM CENTRU Diplomsko delo Maribor, avgust 2016 UPORABA PROGRAMSKE POŽARNE PREGRADE V PODATKOVNEM CENTRU Diplomsko delo Študent: Jernej Gabrič Študijski program: univerzitetni študijski program Telekomunikacije Mentorica: red. prof. dr. Tatjana Kapus Lektorica: Bojana Lekše, prof. slovenščine i ii ZAHVALA Zahvaljujem se mentorici red. prof. dr. Tatjani Kapus za pomoč in vodenje pri izdelavi diplomske naloge. Posebej se zahvaljujem svojim staršem, ki so mi omogočili študij in mi vsa leta stali ob strani. Hvala. iii iv Uporaba programske požarne pregrade v podatkovnem centru Ključne besede: filtriranje prometa, prevajanje omrežnih naslovov, navidezna zasebna omrežja, propustnost UDK: 004.72.056.52(043.2). Povzetek V diplomski nalogi smo pregledali izbor brezplačnih izdaj programskih požarnih pregrad, primernih za namestitev v virtualizirano okolje podatkovnega centra. Izvedli smo preizkus zmogljivosti delovanja najprimernejše izdaje programske požarne pregrade in jo primerjali z zmogljivostjo strojne požarne pregrade. Pri preizkušanju smo uporabili omrežne naprave proizvajalca Cisco, strežnike IBM, programski produkt VMware vSphere in klasične namizne računalnike. Prišli smo do ugotovitve, da je uporaba programske požarne pregrade v takšnem okolju stroškovno upravičena in da je ob izbiri primerne strežniške opreme za virtualizacijo v podatkovnem centru programska požarna pregrada zmogljivejša od strojne. v Using a software firewall in a data centre Key words: traffic filtering, virtualization, network address translation, virtual private network, throughput UDK: 004.72.056.52(043.2). Abstract In this diploma thesis we reviewed the selection of free software-based firewall appliances which are capable of running in a virtualized environment of a data centre. We conducted various performance tests on the most suitable appliance and compared the results to those of a hardware firewall. The testing was done by using Cisco network devices, IBM servers, VMware vSphere software and desktop computers. The conclusion of our study was that using a software based firewall appliance in such an environment is economically feasible and provides better performance compared to a hardware firewall if the server equipment for virtualization in the data centre is correctly chosen. vi KAZALO VSEBINE 1 UVOD .............................................................................................................. 1 2 ZNAČILNOSTI POŽARNIH PREGRAD ........................................................... 3 2.1 Filtriranje prometa ......................................................................................... 4 2.2 Prevajanje omrežnih naslovov ...................................................................... 8 2.3 Navidezna lokalna omrežja......................................................................... 10 2.4 Navidezna zasebna omrežja ...................................................................... 11 3 VIRTUALIZACIJA V PODATKOVNEM CENTRU .......................................... 17 3.1 Načini virtualizacije ..................................................................................... 18 3.2 Glavni predstavniki hipervizorjev tipa 1 ...................................................... 19 3.3 Glavni predstavniki hipervizorjev tipa 2 ...................................................... 20 4 PREGLED PROGRAMSKIH POŽARNIH PREGRAD .................................... 22 4.1 ClearOS ...................................................................................................... 22 4.2 Endian ........................................................................................................ 23 4.3 IPCop ......................................................................................................... 23 4.4 IPFire .......................................................................................................... 23 4.5 pfSense ...................................................................................................... 24 4.6 Smoothwall ................................................................................................. 24 4.7 Sophos ....................................................................................................... 25 4.8 Untangle ..................................................................................................... 25 4.9 VyOS .......................................................................................................... 26 4.10 Zeroshell ..................................................................................................... 26 4.11 Izbira najprimernejše izdaje programske požarne pregrade ....................... 27 5 POSTAVITEV RAZVOJNEGA OKOLJA ........................................................ 28 5.1 Opis in specifikacija strojne opreme ........................................................... 28 vii 5.2 Nastavitev lokalnega stikala........................................................................ 29 5.3 Namestitev in nastavitev okolja ESXi .......................................................... 30 6 NAMESTITEV IZBRANE POŽARNE PREGRADE ........................................ 36 6.1 Tvorjenje navideznega računalnika ............................................................ 36 6.2 Nastavitev dostopa do spletnega vmesnika in interneta ............................. 39 6.3 Tvorjenje vmesnikov VLAN ......................................................................... 42 6.4 Nastavitev filtriranja prometa ...................................................................... 44 6.5 Primer prevajanja omrežnih naslovov ......................................................... 47 6.6 Konfiguriranje strežnika VPN za daljinski dostop ........................................ 52 7 PREIZKUŠANJE ZMOGLJIVOSTI ................................................................. 58 7.1 Propustnost WAN–LAN .............................................................................. 60 7.2 Propustnost med omrežji VLAN .................................................................. 62 7.3 Propustnost VPN-jev .................................................................................. 65 8 SKLEP ........................................................................................................... 69 LITERATURA IN VIRI ........................................................................................... 70 viii KAZALO SLIK Slika 1.1: Klasična postavitev strojne požarne pregrade v podatkovnem centru. ... 1 Slika 1.2: Postavitev programske požarne pregrade v podatkovnem centru. ......... 2 Slika 2.1: Klasična razdelitev razpršitvene domene. ............................................ 10 Slika 2.2: Zgradba okvirja IEEE 802.1Q. .............................................................. 10 Slika 2.3 Tipa omrežnih vmesnikov VLAN. ........................................................... 11 Slika 2.4: Poenostavljen prikaz povezave pri šifriranju AES. ................................ 15 Slika 2.5: Poenostavljen prikaz povezave SSL/TLS. ............................................ 15 Slika 3.1: Predstavitev virtualizacije. .................................................................... 17 Slika 3.2: Hipervizor tipa 1 in tipa 2. ..................................................................... 19 Slika 5.1: Shema začetne postavitve omrežja. ..................................................... 28 Slika 5.2: Tvorjenje VLAN-ov na stikalu. .............................................................. 30 Slika 5.3: Glavni meni ESXi. ................................................................................. 31 Slika 5.4: Konfiguriranje nadzornega omrežja ESXi. ............................................ 31 Slika 5.5: Nastavitev naslova IP ESXi. ................................................................. 32 Slika 5.6: Glavno okno odjemalca vSphere ESXi. ................................................ 33 Slika 5.7: Začetno stanje omrežnih nastavitev ESXi. ........................................... 33 Slika 5.8: Končna postavitev omrežja strežnika ESXi. ......................................... 34 Slika 6.1: Datotečni sistem strežnika ESXi. .......................................................... 36 Slika 6.2: Tvorjenje novega navideznega računalnika. ......................................... 37 Slika 6.3: Nastavitev omrežja navideznega računalnika. ...................................... 37 Slika 6.4: Nastavitve strojne opreme navideznega računalnika............................ 38 Slika 6.5: Zagonski meni pfSense. ....................................................................... 39 Slika 6.6: Glavni konzolni meni pfSense. ............................................................. 40 Slika 6.7: Glavni spletni meni pfSense. ................................................................ 41 Slika 6.8: Tvorjenje VLAN-a na pfSense. ............................................................. 42 Slika 6.9: Nastavitev omrežnih vmesnikov pfSense. ............................................ 42 Slika 6.10: Nastavitev posameznega omrežnega vmesnika pfSense. ................. 43 Slika 6.11: Končna postavitev vmesnikov pfSense. ............................................