Обеспечение безопасности сетевой фабрики уровня Enterprise строится на двух фундаментальных принципах: жесткая изоляция трафика данных между клиентами/службами и защита плоскости управления (Control Plane) самого коммутатора от компрометации. Обладая гибридной архитектурой VPI, коммутатор Mellanox SX6036 под управлением MLNX-OS требует специфического подхода к безопасности как в режиме Ethernet, так и в режиме InfiniBand.

В этой статье мы разберем, как изолировать трафик с помощью VLAN и механизмов Partition Keys (P_Key), а также защитить операционную систему коммутатора от внешних угроз.

В зависимости от текущего режима работы портов коммутатора SX6036, механизмы изоляции различаются, но преследуют одну цель — не допустить смешивания разных типов трафика на уровне L2.

Для защиты плоскости данных неиспользуемые порты коммутатора должны быть отключены, а трафик по умолчанию (VLAN 1) — заблокирован на магистральных (Trunk) портах.

Входим в режим конфигурации

Switch > enable
Switch # configure terminal

Пример полной изоляции порта управления от клиентского трафика

Switch (config) # interface ethernet 1/5
Switch (config interface ethernet 1/5) # switchport mode access
Switch (config interface ethernet 1/5) # switchport access vlan 10
Switch (config interface ethernet 1/5) # exit

Отключаем неиспользуемые физические интерфейсы

Switch (config) # interface ethernet 1/6-1/12
Switch (config interface ethernet 1/6-1/12) # shutdown
Switch (config interface ethernet 1/6-1/12) # exit

Если часть фабрики или отдельные порты работают в режиме InfiniBand, аналогом VLAN здесь выступает P_Key (Partition Key). За распределение ключей отвечает Subnet Manager (SM). Ключи бывают двух типов: с частичным членством (Partial) и полным (Full).

Настроим встроенный Subnet Manager на коммутаторе для изоляции отдельной группы хостов (например, тестового кластера):

Включаем и переходим в конфигурацию Subnet Manager

Switch (config) # ib sm
Switch (config-ib-sm) # enable

Создаем новую партицию с ключом 0x100 (например, для изолированной сети СХД)
По умолчанию используется дефолтная партиция 0x7fff

Switch (config-ib-sm) # partition 0x100
Switch (config-ib-sm-part-0x100) # name storage_partition

Добавляем GUID портов хостов в эту партицию (полное членство — 'full')

Switch (config-ib-sm-part-0x100) # member guid 00:02:c9:03:00:21:a1:b0 full
Switch (config-ib-sm-part-0x100) # exit
Switch (config-ib-sm) # exit

Для предотвращения несанкционированного доступа к управлению коммутатором SX6036 необходимо отключить устаревшие протоколы (HTTP, Telnet) и настроить централизованную авторизацию.

По умолчанию в старых версиях MLNX-OS могут быть активны протоколы, передающие данные в открытом виде. Отключаем их в пользу SSH и HTTPS.

Отключаем Telnet-сервер

Switch (config) # no cli telnet server enable

Отключаем незащищенный веб-интерфейс HTTP (оставляем только HTTPS)

Switch (config) # no web http server enable
Switch (config) # web https server enable

Защитим порт управления (Management), разрешив подключение к CLI и Web-интерфейсу коммутатора только из доверенной подсети администраторов (например, 192.168.10.0/24).

Создаем список контроля доступа (ACL) для управления

Switch (config) # ssh host-allow 192.168.10.0/24
Switch (config) # web host-allow 192.168.10.0/24

Если требуется ограничить доступ по SNMP (мониторинг)

Switch (config) # snmp-server host-allow 192.168.10.10

Использование локальных учетных записей на каждом коммутаторе — угроза безопасности. Настроим интеграцию с корпоративным сервером аутентификации (например, TACACS+):

Добавляем сервер TACACS+

Switch (config) # tacacs-server host 192.168.10.150 key secret_key_123

Задаем порядок аутентификации: сначала TACACS+, если недоступен — локальная база

Switch (config) # aaa authentication login default tacacs local

Перед вводом коммутатора в постоянную эксплуатацию убеждаемся, что все защитные механизмы активны:

• [X] Проверка доступности протоколов: Попытка подключения по Telnet или HTTP свитчем должна сбрасываться. Доступны только SSH и HTTPS.
• [X] Проверка работы ACL: Доступ на чтение/запись параметров коммутатора из недоверенных VLAN или внешних подсетей полностью должны быть заблокированы.
• [X] Проверка статуса Subnet Manager (для InfiniBand): Ключи P_Key успешно применились, хосты из разных партиций не должны видеть друг друга на уровне фабрики:
  

Проверка состояния партиций в SM

Switch # show ib sm partitions

• [X] Конфигурация сохранена: Все изменения записаны в память устройства.

Switch # configuration write