Zonering en verkeersstromen

Een cel heeft zones voor extern, ingang, afnemers per dienstprofiel, platform, beheer, opslag, herstel en het missiekritieke koppelvlak, met tijdens de migratie van AM2 een overgangszone naar het oude netwerk. Iedere zone heeft een eigen rol.

Scheiding en controle zijn per laag belegd. Een eigen routeringsdomein per zone scheidt de zones en de firewall handhaaft de overgang; binnen een zone scheidt het beheerdersbeleid in de clusters de afnemers. De externe verkeersverdeling publiceert en begrenst verbindingen, MetalLB levert de adressen in de clusters, en cert-manager en OpenBao leveren de certificaten. De API-server, de ingang of de toepassing sluit TLS af, en de ontvangende dienst beslist over de gegevensrechten.

Werkers bereiken hun besturing, de containerregistry, het geheimenbeheer, de aanmelding en de naam- en tijddienst langs vaste paden; de basisdienst controleert zelf de rechten van de afnemer. Een bereikbaar geheimenbeheer of een bereikbare objectopslag geeft geen toegang tot de geheimen of gegevens van een ander team, en een applicatienetwerk is geen vertrouwde beheerzone.

De herstelomgeving heeft een eigen routeringsdomein, dat ook bestaat zonder opgebouwde omgeving. Zij is bereikbaar vanaf de beheerwerkplek, met eigen aanmelding, en haalt bij een herstel kopieën op bij de back-upvoorziening van RWS. Er is geen route van of naar productie, behalve de vaste stromen naar de eigen deelreeks op het clusterbeheer en naar containerregistry, geheimenbeheer, naam en tijd.

Iedere zone is een eigen routeringsdomein (VRF) in het datacenternetwerk, met een eigen koppelvlak naar de firewall. De fabric routeert niet tussen routeringsdomeinen; de stromen tussen zones staan in de zonematrix.

De routeringsdomeinen van een cel, met hun L3-VNI, hun inhoud en hun overgangen. Het L3-VNI hoort bij het routeringsdomein, niet bij een afzonderlijk subnet.

De zonematrix staat als code in de opslagplaats Beleid: rijen met bron- en doelzone, protocol, poort en richting. De vaste stromen tussen de routeringsdomeinen zijn haar basislijn; gedeclareerde verbindingen uit dienstbeschrijvingen komen er per toepassing bij na zonecontrole, met bron, bestemming, richting, doel en einddatum. Iedere andere stroom weigert en logt de firewall.

De vaste stromen van en naar de routeringsdomeinen voor beheer en herstel, binnen een cel. Waar een poort niet is genoemd, legt het detailontwerp per cel haar vast.

De vaste stromen van en naar de routeringsdomeinen voor platform, ingang, afnemers en extern, met de onderlaag, het missiekritieke koppelvlak en de overgang, binnen een cel. De stromen tussen de cellen staan bij het verkeer tussen de cellen.

Richting en inrichting van ieder missiekritiek koppelvlak, zoals een datadiode of gecontroleerde tussenopslag, liggen vóór aansluiting vast met de eigenaar van het netwerk. Het koppelvlak sluit in een eigen routeringsdomein aan op de border leaves, met alleen de stromen uit het SAK MK-koppelvlakken, per richting. De zonecontrole wijst een verbinding naar een missiekritieke zone buiten een koppelvlak af, en de filterregels in het datacenter en de EgressFirewall-regels in de clusters weigeren de adresreeksen van die zones.

Een aansluiting over de grens van een beheerdomein wordt als één geheel geleverd, in de dienst Applicatieverkeer en ketenkoppelingen: netwerkbeheer zorgt voor bereikbaarheid en scheiding, de applicatieverbinding voor toegestaan verkeer en het gedrag bij vertraging, en de ontvangende dienst voor de toegestane gegevens en handelingen.

Een team voegt goedgekeurde verbindingen en netwerken zelf aan zijn dienst toe: het declareert in zijn dienstbeschrijving verbindingen, koppelingen, uitgaande bestemmingen en eventueel een eigen paar verkeersverdelers. Het kan zonematrix, regelset en TLS-profiel niet wijzigen, geen beheerinterface publiceren, geen lid van een paar beheren en geen missiekritieke zone bereiken. De gedeelde infrastructuur blijft onder netwerkbeheer.

De zonecontrole is een stap in de pijplijn van de opslagplaats Afnemers. Zij leidt de zones af uit de adresreeksen in NetBox en toetst bron, doel, poort en richting aan de geldende zonematrix, met drie uitkomsten: een combinatie uit de matrix wordt automatisch als standaardwijziging samengevoegd, een verbinding naar een missiekritieke zone buiten een voorgeschreven koppelvlak wordt afgewezen, en al het andere gaat ter beoordeling naar netwerkbeheer (‘In beoordeling’).

Netwerkbeheer beoordeelt een verbinding ‘In beoordeling’ binnen 2 werkdagen. Blijft zij langer liggen, dan geeft het leverpad een signaal aan netwerkbeheer. Een uitbreiding van de zonematrix is een apart wijzigingsvoorstel in de opslagplaats Beleid.

Iedere stroom tussen zones staat met bron, doel, poort, richting en einddatum in de zonematrix of in een beoordeeld besluit; ook een verruiming wordt vooraf getoetst. Een filterregel noemt als bron een clusterreeks of een adres naar achteren van de verkeersverdeling, nooit een hele zone.

Publicatie, zonematrix en regelset wijzigen alleen via een wijzigingsvoorstel: binnen de matrix als standaardwijziging, bij uitbreiding van de matrix met twee beoordelaars naast de auteur. De regelset gaat alleen met het draaiboek uit de opslagplaats Beleid naar de firewalls, na goedkeuring door een ander dan de aanvrager.

De zonematrix vertaalt het SAK Isolatie in toegestane stromen. Netwerkbeheer stelt haar vast in de opslagplaats Beleid en beoordeelt haar, samen met de gedeclareerde verbindingen, jaarlijks en bij iedere wijziging van het SAK Isolatie of van het dienstaanbod opnieuw. Na uitvoering wordt gecontroleerd of de inrichting de matrix naleeft.

De toegestane stromen uit de opslagplaats Beleid gaan met een draaiboek in Ansible Automation Platform en de Ansible-collectie van Check Point als regelset naar de firewalls, met een goedkeuringsstap voor productie. Iedere week worden de filterregels vergeleken met Beleid; een handmatige wijziging is een afwijking en wordt bij die vergelijking gemeld, dus niet direct.

Een netwerkwijziging wordt teruggedraaid via versiebeheer; daarna wordt gecontroleerd dat switches, firewalls en clusters werkelijk weer in de vorige toestand staan. Het beheerdersbeleid en het basisbeleid in de clusters blijven daarbij staan. Is versiebeheer door de wijziging onbereikbaar, dan loopt het terugdraaien via de noodroute. Zo wordt ook een fout in regelset of publicatie hersteld, waardoor stromen worden geweigerd of te ruim toegestaan.

Werkelijke en gedeclareerde stromen worden maandelijks per cluster vergeleken, met een verslag. Een niet-gedeclareerde stroom die niet is geweigerd, gaat binnen 24 uur naar platformbeheer en het SOC. Een gedeclareerde verbinding zonder verkeer gedurende 30 dagen leidt tot een wijzigingsvoorstel dat haar intrekt, ter goedkeuring door het team.

Netwerkverkeer is zichtbaar voor beheer en onderzoek. Geweigerde verbindingen worden vastgelegd: netwerkbeleid en EgressFirewall melden weigeringen via ACL-logging aan het SOC, en de firewalls leveren hun weigeringen en beheerwijzigingen. Vanaf groeipadstap 2 zijn de verkeersstromen per cluster 30 dagen beschikbaar in Network Observability in de eigen bewakingsvoorziening; tot dan geldt de netwerkweergave van Advanced Cluster Security, onder een uitzondering die de dienst beperkt tot het profiel ontwikkelen en beproeven.

Netwerkbeheer is eindverantwoordelijk voor zones, zonematrix, firewalls, adresplan en namen; platformbeheer voor de paren van de verkeersverdeling, de publicaties, het uitgaande verkeer in de clusters en de automatisering van koppelingen. De eigenaar van een bestaand systeem beslist over de rechten in de bron. Iedere taak heeft één eindverantwoordelijk beheerdomein; tot de overdracht voert het ontwikkelteam het werk van platformbeheer uit.