Какую роль выполняет proxy у каждой поды приложения

Обновлено: 23.01.2025

Прокси-сервера в наше время являются очень полезным и удобным средством защиты личной информации, которыми с каждым днём пользуется всё большее количество людей.

Прокси-сервер (от англ. proxy — «представитель», «уполномоченный») — промежуточный сервер (комплекс программ) в компьютерных сетях, выполняющий роль посредника между пользователем и целевым сервером (при этом о посредничестве могут как знать, так и не знать обе стороны), позволяющий клиентам как выполнять косвенные запросы (принимая и передавая их через прокси-сервер) к другим сетевым службам, так и получать ответы. Сначала клиент подключается к прокси-серверу и запрашивает какой-либо ресурс (например, e-mail), расположенный на другом сервере. Затем прокси-сервер либо подключается к указанному серверу и получает ресурс у него, либо возвращает ресурс из собственного кэша (в случаях, если прокси имеет свой кэш). В некоторых случаях запрос клиента или ответ сервера может быть изменён прокси-сервером в определённых целях. Прокси-сервер позволяет защищать компьютер клиента от некоторых сетевых атак и помогает сохранять анонимность клиента, но также может использоваться мошенниками, для скрытия адреса сайта, уличённого в мошенничестве, изменения содержимого целевого сайта (подмена), а также перехвата запросов самого пользователя.

2.Использование Proxy-серверов

Чаще всего прокси-серверы применяются для следующих целей:

-Обеспечение доступа компьютеров локальной сети к сети Интернет.

-Кэширование данных: если часто происходят обращения к одним и тем же внешним ресурсам, то можно держать их копию на прокси-сервере и выдавать по запросу, снижая тем самым нагрузку на канал во внешнюю сеть и ускоряя получение клиентом запрошенной информации. С развитием динамического контента кэширование утратило актуальность.

-Сжатие данных: прокси-сервер загружает информацию из Интернета и передаёт информацию конечному пользователю в сжатом виде. Такие прокси-серверы используются в основном с целью экономии внешнего сетевого трафика клиента или внутреннего — компании, в которой установлен прокси-сервер.

-Защита локальной сети от внешнего доступа: например, можно настроить прокси-сервер так, что локальные компьютеры будут обращаться к внешним ресурсам только через него, а внешние компьютеры не смогут обращаться к локальным вообще (они «видят» только прокси-сервер). См. также NAT.

-Ограничение доступа из локальной сети к внешней: например, можно запрещать доступ к определённым веб-сайтам, ограничивать использование интернета каким-то локальным пользователям, устанавливать квоты на трафик или полосу пропускания, фильтровать рекламу и вирусы.

-Анонимизация доступа к различным ресурсам. Прокси-сервер может скрывать сведения об источнике запроса или пользователе. В таком случае целевой сервер видит лишь информацию о прокси-сервере, например, IP-адрес, но не имеет возможности определить истинный источник запроса. Существуют также искажающие прокси-серверы, которые передают целевому серверу ложную информацию об истинном пользователе.

-Обход ограничений доступа. Прокси-серверы популярны среди пользователей стран, где доступ к некоторым ресурсам ограничен законодательно и фильтруется.

Прокси-сервер, к которому может получить доступ любой пользователь сети интернет, называется открытым.

3.Виды Proxy-серверов

Прозрачный прокси — схема связи, при которой трафик, или его часть, перенаправляется на прокси-сервер неявно (средствами маршрутизатора). При этом клиент может использовать все преимущества прокси-сервера без дополнительных настроек браузера (или другого приложения для работы с интернетом). Пример: route -p add 10.32.5.5 mask 255.255.255.255 10.32.1.14

Обратный прокси — прокси-сервер, который в отличие от прямого, ретранслирует запросы клиентов из внешней сети на один или несколько серверов, логически расположенных во внутренней сети. Часто используется для балансировки сетевой нагрузки между несколькими веб-серверами и повышения их безопасности, играя при этом роль межсетевого экрана на прикладном уровне.

Существуют различные виды прокси серверов, каждый из которых обладает своими преимуществами и особенностями. Несмотря на то, что их видов действительно очень много, основными и наиболее часто используемыми являются всего лишь несколько из них.

Принцип работы: программа или браузер посылает запрос прокси-серверу на открытие определенного URL ресурса. Прокси-сервер получает данные с запрашиваемого ресурса и отдает эти данные вашему браузеру.

-кешировать загруженные файлы (картинки, страницы) для увеличения скорости открытия веб-сайтов

-ограничивать доступ к определенным ресурсам (например, Youtube)

-фильтровать данные. Например, вместо баннеров с рекламой показывать прозрачные картинки, которые не будут нарушать дизайн сайта, но будут существенно экономить время загрузки страницы и трафик

-ограничивать скорость соединения

-вести логи, контролировать трафик по пользователям

-анонимные прокси уведомляют, что используется прокси, но при этом не передают реальный IP адрес пользователя. Анонимные прокси не могут гарантировать настоящей анонимности, так как заявляют, что прокси используется

-элитные прокси не уведомляют, что используется прокси и не передают реальный IP адрес пользователя. Только элитные прокси можно использовать для полной анонимности

HTTPS прокси - фактически это HTTP-прокси, буква "S" в данном случае означает "secure" (защищенный) с поддержкой защищенного SSL соединения. Эти прокси применяются, когда требуется передать секретную информацию (например, логины/пароли, номера пластиковых карт). Стандартные порты 80, 8080, 3128.

3.3. Socks

На сегодняшний день Socks прокси - самый прогрессивный протокол передачи информации. Иногда ошибочно называют Socs, Sox, Soks. Этот протокол разработан Дейвом Кобласом (Dave Koblas).

Протокол Socks разрабатывался для программ, которые не поддерживают использование прокси напрямую. Стандартные порты 1080, 1081.

Данный протокол пережил множество изменений и на данный момент используются две версии протокола:

-Socks 4 поддерживает только TCP соединения

-Socks 5 поддерживает TCP, UDP, авторизацию по логину и паролю и возможность удаленного DNS-запроса

Socks прокси не передает информацию о вашем IP адресе. Веб-сайт не сможет определить использование прокси. Соединение с веб-сайтом будет абсолютно прозрачным, также как если бы вы работали с ним напрямую. При этом веб-сайт будет видеть IP адрес прокси, а не ваш реальный IP адрес.

4.Принцип работы proxy-сервера

Любой запрос, который пользователь делает в Интернете через браузер своего компьютера, перехватывается прокси-сервером. Прокси-сервер считывает IP-адрес выходящего в сеть компьютера и перенаправляет его дальше по этапу, но используя уже свой IP-адрес, вместо полученного по внутренней сети. Получив в ответ из Интернета пакеты данных (допустим страницы сайта), прокси-сервер обрабатывает их и перенаправляет на IP-адрес пользователя, сделавшего данный запрос.
Если компьютер находится за пределами защищенной сети, то все запросы (страницы сайтов, файлы и т.д.) происходят от компьютера пользователя. Механизм применения частных адресов по внутренней сети и подключение сети Интернет через прокси-сервер с официальным IP-адресом именуют трансляцией Network Address Translation.

Внутренняя сеть, чаще всего, работает используя протокол TCP/IP, где любому компьютеру присвоен уникальный адрес. Эти внутренние IP-адреса, зачастую, могут помочь взломщикам проникнуть в закрытые для неавторизованного доступа зоны сети. Избежать этого можно используя прокси-сервера, в этом случае информация и запросы пользователей, которые передаются по протоколу TCP/IP, не будут выдавать действительные IP-адреса владельцев компьютера.

5.Технические подробности

Клиентский компьютер имеет настройку (конкретной программы или операционной системы), в соответствии с которой все сетевые соединения по некоторому протоколу совершаются не на IP-адрес сервера (ресурса), выделяемый из DNS-имени ресурса, или напрямую заданный, а на IP-адрес (и другой порт) прокси-сервера.

При необходимости обращения к любому ресурсу по этому протоколу, клиентский компьютер открывает сетевое соединение с прокси-сервером (на нужном порту) и совершает обычный запрос, как если бы он обращался непосредственно к ресурсу.

Таким образом прокси-сервер является полнофункциональным сервером и клиентом для каждого поддерживаемого протокола и имеет полный контроль над всеми деталями реализации этого протокола, имеет возможность применения заданных администратором политик доступа на каждом этапе работы протокола.

Прокси-серверы являются самым популярным способом выхода в Интернет из локальных сетей предприятий и организаций. Этому способствуют следующие обстоятельства:

-Поддержка прокси большинством браузеров и операционных систем;

-Контроль доступа и учёт трафика по пользователям;

-Фильтрация трафика (интеграция прокси с антивирусами);

-Прокси-сервер — может работать с минимальными правами на любой ОС с поддержкой сети (стека TCP/IP);

-Отсутствие доступа в Интернет по другим (нестандартным) протоколам может повысить безопасность в корпоративной сети.

В настоящее время, несмотря на возрастание роли других сетевых протоколов, переход к тарификации услуг сети Интернет по скорости доступа, а также появлением дешёвых аппаратных маршрутизаторов с функцией NAT, прокси-серверы продолжают широко использоваться на предприятиях, так как NAT не может обеспечить достаточный уровень контроля над использованием Интернета (аутентификацию пользователей, фильтрацию контента).

6.Наиболее распространенные proxy-серверы

1)3proxy (BSD, многоплатформенный)

2)CoolProxy (проприетарный, Windows)

3)Eserv (shareware, Windows)

4)HandyCache (shareware, Windows) бесплатен для домашнего использования

5)Kerio Control (проприетарный, Windows, Linux)

6)Microsoft Forefront Threat Management Gateway, ранее Microsoft ISA Server (proprietary, Windows)

7)Blue Coat Proxy SG (аппаратный/виртуальный appliance)

8)nginx (веб-сервер, имеющий режим работы в качестве reverse proxy и часто для этого использующийся)

9)Squid (GPL, многоплатформенный)

10)Traffic Inspector (проприетарный, Windows)

11)UserGate (проприетарный, Windows)

12)Интернет Контроль Сервер (shareware, FreeBSD)

13)Tor (BSD, многоплатформенный)

14)Ideco ICS (проприетарный, Linux)

15)WinGate (проприетарный, Windows)

16)Cntlm (с авторизацией)

17)Apache (веб-сервер, имеющий дополнительные модули для реализации прямого и реверсного прокси)

Service mesh (буквально «сетка для сервисов») – это слой инфраструктуры, который позволяет вам управлять связью между микросервисами вашего приложения. Service mesh появились по мере распространения микросервисов в разработке, чтобы упростить и повысить эффективность работы за счет объединения общих задач управления и администрирования в распределенной установке.

Использование микросервисного подхода к архитектуре приложений подразумевает разбиение приложения на набор слабо связанных сервисов. Такой подход дает определенные преимущества: разработчики могут быстро выполнять итерации дизайна и масштабировать проект, используя более широкий спектр инструментов и языков. С другой стороны, микросервисы ставят новые задачи, связанные со сложностью обработки операций, согласованностью данных и безопасностью.

Service mesh предназначены для решения некоторых из этих проблем через тонкий контроль над взаимодействием сервисов друг с другом. В частности, они предлагают разработчикам управление:

Обнаружением сервисов
Маршрутизацией и настройкой трафика
Шифрованием и аутентификацией/авторизацией
Метриками и мониторингом

Конечно, эти задачи можно выполнить при помощи встроенных функций систем оркестровки типа Kubernetes. Однако этот подход включает в себя больший объем принятия предварительных решений и администрирования по сравнению с тем, что предлагают решения service mesh, такие как Istio и Linkerd. В этом смысле service mesh могут упростить процесс работы с общими компонентами в микросервисной архитектуре. В некоторых случаях они могут даже расширить функциональность этих компонентов.

Зачем нужен service mesh?

Service mesh предназначен для решения некоторых проблем, присущих распределенным архитектурам приложений.

Эти архитектуры выросли из трехуровневой модели приложений, которая включает уровень клиента, логики и данных. В результате такая модель оказалась сложной для быстро растущих организаций. Кодовые базы монолитных приложений могут стать громоздкими, что создает проблемы в разработке и развертывании.

Чтобы решить эту проблему, такие организации, как Google, Netflix и Twitter, разработали внутренние библиотеки «толстых клиентов» для стандартизации операций в среде выполнения между сервисами. Эти библиотеки обеспечивали балансировку нагрузки, маршрутизацию и телеметрию – это предшественники service mesh. Однако они также наложили ограничения на языки, которые могли использовать разработчики, и требовали внесения изменений во все сервисы при собственном обновлении.

Микросервисный дизайн позволяет избежать некоторых из этих проблем. Вместо большой централизованной кодовой базы приложения у вас есть набор дискретно управляемых сервисов, которые представляют функцию вашего приложения. Преимущества микросервисного подхода:

Повышенная гибкость в разработке и развертывании (поскольку группы могут независимо работать и развертывать различные функции приложений).
Улучшенные функции CI/CD, поскольку отдельные микросервисы можно протестировать и перераспределить независимо.
Дополнительные параметры для языков и инструментов. Разработчики могут использовать лучшие инструменты для выполнения поставленных задач, а не ограничиваться определенным языком или набором инструментов.
Легкость в масштабировании.
Улучшения в среде выполнения и пользовательском опыте, стабильность.

Конечно, микросервисы также создали проблемы:

Распределенные системы требуют разных способов понимания задержки, маршрутизации, асинхронных рабочих процессов и сбоев.
Микросервисные установки не обязательно могут отвечать тем же требованиям к согласованности данных, что и монолитные установки.
Для более высоких уровней распределения требуются более сложные операционные схемы, особенно когда дело касается связи между сервисами.
Распределение сервисов увеличивает вероятность появления уязвимостей безопасности.

Service mesh предназначен для решения этих проблем, предлагая скоординированный и детальный контроль над взаимодействием сервисов. В следующих разделах мы расскажем, как service mesh облегчает обмен данными посредством обнаружения сервисов, маршрутизации и внутренней балансировки нагрузки, конфигурации трафика, шифрования, аутентификации и авторизации, а также метрик и мониторинга. Для примера мы будем использовать приложение Istio Bookinfo – четыре микросервиса, которые вместе отображают информацию о конкретных книгах.

Обнаружение сервисов

В распределенной среде необходимо знать, как подключаться к сервисам и доступны ли они. Расположение экземпляров сервиса в сети назначается динамически, и информация о них постоянно меняется по мере создания и уничтожения контейнеров в результате автоматического масштабирования, обновлений и сбоев.

Изначально существовало несколько инструментов для обнаружения сервисов в микросервисной инфраструктуре. Хранилища типа ключ-значение, такие как etcd, были объединены с другими инструментами, такими как Registrator, чтобы предложить средства для обнаружения сервисов. Такие инструменты, как Consul, объединили хранилище ключ-значение с интерфейсом DNS, который позволяет пользователям работать напрямую со своим DNS-сервером или нодой.

Используя подобный подход, Kubernetes предлагает обнаружение сервисов на основе DNS по умолчанию. С его помощью вы можете искать сервисы и сервисные порты, а также выполнять обратное преобразование IP, используя общие соглашения по именованию DNS. В общем случае запись A для сервиса Kubernetes соответствует такому шаблону:

Давайте посмотрим, как это работает в контексте приложения Bookinfo. Если, например, вам нужна информация о сервисе details приложения Bookinfo, вы можете посмотреть соответствующую запись в панели инструментов Kubernetes: Discovery and load balancing → Services → details.

Это даст вам соответствующую информацию о сервисе: его имя, пространство имен и ClusterIP, которое вы можете использовать для соединения с сервисом, даже если отдельные контейнеры будут уничтожены и созданы заново.

Service mesh типа Istio также предлагает возможности обнаружения сервисов. Для этого Istio использует связь между API Kubernetes, собственной плоскостью управления Istio (через компонент управления трафиком Pilot) и плоскостью данных, управляемой прокси-серверами Envoy. Pilot интерпретирует данные с сервера Kubernetes API для регистрации изменений в расположениях подов. Затем он переводит эти данные в каноническое представление Istio и перенаправляет их на сопровождающие прокси-серверы.

Это означает, что обнаружение сервисов в Istio не зависит от платформы, что мы можем увидеть, используя аддон Grafana для Istio.

Наше приложение работает в кластере Kubernetes, поэтому мы снова можем увидеть соответствующую информацию DNS о сервисе details, а также другие данные о производительности.

В распределенной архитектуре важно иметь актуальную, точную и удобную информацию о сервисах. И Kubernetes, и service mesh, такие как Istio, предлагают способы получения этой информации по соглашениям DNS.

Маршрутизация и настройка трафика

Управление трафиком в распределенной среде означает управление тем, как трафик попадает в ваш кластер и как он направляется на ваши сервисы. Чем больше контроля и специфики у вас есть при настройке внешнего и внутреннего трафика, тем тоньше вы сможете настроить эти процессы. Например, когда вы работаете с канареечными развертываниями, переносите приложения на новые версии или проводите стрессовое тестирование определенных сервисов с помощью внесения неисправностей, ключевым моментом для успешного проведения таких операций является возможность определить, какой объем трафика получают ваши сервисы и откуда он поступает.

Ingress Resource и Ingress Controller вместе обеспечивают большую степень гибкости и настраиваемости по сравнению с предыдущими средствами. Использование Ingress Controller с Ingress Resource позволяет направлять внешний трафик на сервисы и настраивать внутреннюю маршрутизацию и балансировку нагрузки. Чтобы использовать Ingress Resource, вам необходимо настроить ваши сервисы, Ingress Controller и LoadBalancer, а также сам Ingress Resource, который будет указывать желаемые маршруты для ваших сервисов. В настоящее время Kubernetes поддерживает собственный контроллер Nginx, но есть и другие варианты под управлением Nginx, Kong и др.

Istio выполняет итерацию по шаблону контроллер/ресурс Kubernetes с помощью шлюзов Istio и VirtualServices. Как и Ingress контроллеры, шлюз определяет, как должен обрабатываться входящий трафик, указывая используемые порты и протоколы. Он работает в сочетании с VirtualService, который определяет маршруты к сервисам внутри mesh. Оба этих ресурса передают информацию в Pilot, который затем передает ее на прокси Envoy. Хотя шлюзы и VirtualServices похожи на контроллеры и ресурсы Ingress, они предлагают другой уровень контроля над трафиком: вместо того чтобы объединять уровни и протоколы OSI, шлюзы и VirtualServices позволяют различать уровни OSI в ваших настройках. Например, используя VirtualServices, группы, работающие со спецификациями прикладного уровня, могут отделить задачи от групп безопасности, работающих со спецификациями другого уровня. VirtualServices позволяет разделить работу над отдельными функциями приложения или внутри разных доверенных доменов и может использоваться для таких вещей, как канареечное тестирование, постепенное развертывание, A/B-тестирование и т.п.

Чтобы визуализировать взаимосвязь между сервисами, вы можете использовать аддон Servicegraph от Istio. Оно создает динамическое представление взаимосвязей между сервисами с использованием данных трафика в реальном времени.

Также вы можете использовать инструмент визуализации, такой как Weave Scope, чтобы увидеть связь между сервисами в определенный момент времени.

Шифрование, аутентификация и авторизация

В распределенной структуре могут появиться уязвимости безопасности. Вместо связи через локальные внутренние вызовы, как это бывает в монолитной установке, сервисы в микросервисной архитектуре передают информацию, в том числе и конфиденциальную, по сети. В целом, это создает благоприятные условия для хакерских атак.

Защита кластеров Kubernetes включает в себя целый ряд процедур; мы сосредоточимся на аутентификации, авторизации и шифровании. Kubernetes предлагает нативные подходы к каждой процедуре.

Аутентификация: запросы API в Kubernetes привязаны к учетным записям пользователей или сервисов, которые необходимо аутентифицировать. Существует несколько различных способов управления учетными данными: статические токены, токены начальной загрузки, клиентские сертификаты X509 и внешние инструменты, такие как OpenID Connect.
Авторизация: Kubernetes имеет различные модули авторизации, которые позволяют определять доступ на основе ролей, атрибутов и других специализированных функций. Поскольку все запросы к серверу API по умолчанию отклоняются, каждая часть запроса API должна определяться политикой авторизации.
Шифрование может относиться к соединениям между конечными пользователями и сервисами, секретным данным, конечным точкам в плоскости управления Kubernetes и связь между компонентами рабочего кластера и главными компонентами. Kubernetes имеет различные решения:
Конфигурирование отдельных политик и протоколов безопасности в Kubernetes требует административных затрат. Service mesh типа Istio может объединить некоторые из этих задач.

Istio предназначен для автоматизации работ по обеспечению безопасности сервисов. Его плоскость управления включает в себя несколько компонентов, обеспечивающих безопасность:
- Citadel: управляет ключами и сертификатами.
- Pilot: контролирует политику аутентификации и именования и передает эту информацию прокси-агентам Envoy.
- Mixer: управляет авторизацией и аудитом.
Например, при создании сервиса Citadel получает эту информацию от kube-apiserver и создает для сервиса сертификаты и ключи SPIFFE. Затем он передает эту информацию в поды и сопровождающие контейнеры Envoy для облегчения связи между сервисами.

Вы также можете реализовать некоторые функции безопасности, включив взаимный TLS во время установки Istio. К ним относятся надежные сервисные идентификаторы для межкластерной связи, защищенного соединения между сервисами и пользователями и система управления ключами, которая может автоматизировать создание, распространение и ротацию ключей и сертификатов.

Итерируя методы Kubernetes для обработки аутентификации, авторизации и шифрования, service mesh типа Istio могут реализовать рекомендуемые условия работы защищенного кластера Kubernetes.

Метрики и мониторинг

Распределенные среды изменили требования к метрикам и мониторингу. Инструменты мониторинга должны быть адаптивными, учитывать частые изменения в сервисах и сетевых адресах и позволять учитывать объем и тип информации, передаваемой между сервисами.

Kubernetes включает в себя некоторые инструменты внутреннего мониторинга по умолчанию. Эти ресурсы принадлежат конвейеру метрик ресурсов, который обеспечивает работу кластера. Компонент cAdvisor собирает данные об использовании сети, памяти и ЦП из отдельных контейнеров и нод и передает эту информацию в kubelet; kubelet, в свою очередь, предоставляет эту информацию через REST API. Metrics Server получает эту информацию от API и затем передает ее в kube-aggregator для форматирования.

Вы можете расширить эти внутренние инструменты и возможности мониторинга с помощью полноценного средства для сбора метрик. Агрегатор метрик Prometheus можно установить прямо поверх конвейера метрик ресурсов Kubernetes. Prometheus напрямую интегрируется с cAdvisor через своих собственных агентов, расположенных на нодах. Его основной сервис агрегации собирает и хранит данные с нод и предоставляет данные через дашборды и API. Также доступны дополнительные опции хранения и визуализации (если вы решите интегрировать основной сервис агрегирования с такими внутренними инструментами хранения, логирования и визуализации, как InfluxDB, Grafana, ElasticSearch, Logstash, Kibana и другие).

В service mesh, таком как Istio, структура конвейера полной метрики является частью дизайна. Сопроводители Envoy, работающие на уровне подов, передают метрики в Mixer, который управляет политиками и телеметрией. Кроме того, сервисы Prometheus и Grafana включены по умолчанию (хотя, если вы устанавливаете Istio с Helm , вам нужно будет указать granafa.enabled=true во время установки). Вы также можете настроить другие сервисы и развертывания для логирования и просмотра параметров.

С помощью этих метрик и инструментов визуализации вы можете получить централизованный доступ к текущей информации о сервисах и рабочих нагрузках.

Реплицируя структуру конвейера метрик Kubernetes и упрощая доступ к некоторым из его компонентов, service mesh упрощает процесс сбора и визуализации данных при работе с кластером.

Заключение

Микросервисные архитектуры предназначены для быстрой и надежной разработки и развертывания приложений. Тем не менее, рост межсервисных коммуникаций изменил рекомендации для определенных административных задач. В этой статье мы рассмотрели некоторые из этих задач, их обработку в нативном для Kubernetes контексте и управление ими с помощью service mesh (в данном случае Istio).

Proxy-server - это программное обеспечение, которое устанавливается на определенной рабочей машине и позволяет обращаться некоторым компьютерам к другим компьютерам от своего имени. Если же говорить простыми словами, пользователю даются полномочия использовать возможности другого лица.

Proxy-сервер является посредником между пользователями и сетью интернет, так же как и VPN-сервисы, прокси изменяет ваш сетевой адрес. Приведем пример с отдыхом за пределами вашей страны. Допустим, вам требуется посмотреть прямую трансляцию той или иной передачи, но на трансляцию наложено ограничение на просмотр. Используя прокси-сервер вы можете сымитировать российский IP-адрес, тогда уже вы получите доступ к защищенной трансляции.

Нужно понимать, что прокси-сервер просто маскирует ваш IP-адрес, но никак не шифрует его, то есть, все данные, которые вы отправляете не являются анонимными.

SECURITY WEB GATEWAY (ШЛЮЗЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ)

SWG (Security Web Gateway) - является аппаратной и программной системой, которая выполняет безопасный вход в интернет, а также безопасно использовать некоторые веб-приложения.

Сотрудники компаний могут являться самой основной причиной успешных атак на ресурсы компании, если быть точнее, то использование ими различных ресурсов и передача их в сети интернет. Выделим несколько опасностей, на которые требуется обращать внимание при доступе во внешнюю сеть:
- Выполнение сетевых атак на ОС сотрудников
- Атаки на приложения, а также браузеры которые не защищены.
- Добавление вредоносного ПО.
Если вы будете использовать защищенные веб-шлюзы, тогда вы сможете защититься с помощью основных опций:
- Фильтрация вредоносного кода в интернет трафике.
- Выявление слива информации.
- Фильтрация данных.
Если вы решили выбрать класс защиты SWG , тогда вам стоит обратить внимание на следующие возможности:
- Обнаружение вредоносного ПО происходит за счет полного сканирования интернет-трафика.
- Выполняется сканирование SSL-трафика .
- Управление полосой пропускания списками пользователей или ресурсов.
Поскольку шлюз развертывается на границе внутренней и внешней сети компании, он позволяет защитить все ресурсы организации и нейтрализовать последствия возможных атак. Если на рабочем месте сотрудника отключен антивирус, шлюз может перехватить вирус или заблокировать соединение с вредоносным ресурсом.

В настоящее время ассортимент защищенных интернет-шлюзов на российском рынке представлен в основном зарубежными разработчиками. Однако среди отечественных производителей вы также можете найти оборудование, которое включает трафик, контролирует доступ и даже организует IP-телефонию.

Описанные выше возможности пересекаются с другим решением по сетевой безопасности, а именно с брандмауэрами следующего поколения (NGFW). Разница заключается в возможностях межсетевого экрана решения NGFW , в то время как Security Web Gateway имеет встроенный прокси-сервер. Поэтому, если брандмауэр уже установлен и настроен в компании, рекомендуется выбрать безопасный интернет-шлюз и наоборот в случае прокси-сервера.

ПОПУЛЯРНЫЕ ПРОКСИ-СЕРВЕРЫ

Ниже приведем список популярных прокси-серверов в настоящее время:

ЗАЧЕМ НУЖНО ИСПОЛЬЗОВАТЬ ПРОКСИ?

Istio- одна из реализацией концепии Service Mesh, позволяющая реализовать Service Discovery, Load Balancing, контроль над трафиком, canary rollouts и blue-green deployments, мониторить трафик между приложениями.

Мы будем использовать Istio в AWS Elastic Kubernetes Service для мониторинга трафика, в роли API gateway, разграничения трафика и, возможно, для реализации различных deployment strategies.

В этом посте рассмотрим что такое Service mesh вообще, общую архитектуру и компоненты Istio, его установку и настройку тестового приложения.

По сути, это менеджер прокси-сервисов, таких как NGINX, HAProxy или Envoy, система, работающая на Layer 7 модели OSI и позволяющая динамически управлять трафиком и настраивать коммуникацию между приложениями.

Service mesh занимается обнаружением новых сервисов/приложений, балансировкой нагрузки, аутентификацией и шифрованием трафика.

Вместе эти sidecar-контейнеры представляют собой Data Plane.

Для их конфигурирования и управления существует другая группа процессов или сервисов, называемых Control Plane. Они занимаются обнаружением новых приложений, обеспечивают управление ключами шифрования, сбором метрик и т.д.

Схематично сервис меш можно отобразить так:

Среди Service mesh решений можно выделить:

Почитать по теме:

В целом схема Istio выглядит так:

Или другая схема:

Control Plane

Istio включает в себя четыре основных компонента:

Data Plane

Состоит из sidecar-контейнеров, которые в Kubernetes запускаются внутри подов через kube-inject, см. Installing the Sidecar.

Контейнеры являются инстансами Envoy-прокси, которые позволяют:

Почитать по теме:

В AWS при настройках по-умолчанию Ingress Gateway создаёт AWS Classic LoadBalancer, т.к. Ingress Gateway является Kubernetes-объектом Ingress с типом LoadBalancer.

В свою очередь Gateway и VirtualService управляют конфигурацией Envoy, который является Ingress Gateway controller.

Т.е. в целом схема прохождения пакета выглядит так:
1. пакет попадает на порт внешнего LoadBalancer, который шлёт его на порт Kubernetes WorkerNode
2. там пакет попадает к Istio IngressGateway Service
3. перенаправляется на Istio IngressGateway Pod
4. этот под настраивается через Gateway и VirtualService
  1. Gateway описывает порты, протоколы, SSL-сертификаты
  2. VirtualService описывает роутинг пакета к нужному Kubernetes Service нашего приложения
  Почитать по теме:
  
  Istio поддерживает различные Deployment models. В нашем случае используется один EKS-кластер, а поды в нём работают в общей VPC сети.
  
  Пока выполним установку руками, а на Дев и Прод кластера Кубера скорее всего будем инсталить через Helm.
  
  /.kube/config , который можно переопределить с помощью --kubeconfig или указать нужный контекст через --context .
  aws eks update-kubeconfig --name bttrm-eks-test-1-18 --alias iam-bttrm-eks-root-role-kubectl@bttrm-eks-test-1-18 Added new context iam-bttrm-eks-root-role-kubectl@bttrm-eks-test-1-18 to /home/setevoy/.kube/config
  Устанавливаем Istio с профилем default:
  
  Проверяем версию ещё раз:
  
  Далее задеплоим тестовое приложение, и настроим роутинг через Istio Ingress Gateway.
  
  Тестовое приложение
  
  Манифест сейчас выглядит так:
  
  — Анонимность. Использование прокси-сервера обеспечивает анонимность в интернете. На данный момент эта функция прокси одна из самых популярных, так как всё больше корпораций втягивается в скандалы, которые связаны со слежкой за пользователями. Ближайший пример — «Фейсбук», который сливал данные о своих пользователях многим компаниям. Прокси-сервер подменяет IP-адрес пользователя на свой, благодаря чему исключается появление таргетированной контекстной рекламы и персональных предложений, связанных с поисковыми запросами и активностью в интернете. Отметим, что не все виды прокси-серверов дают полную анонимность.
  
  — Получение доступа к серверу, где IP был забанен. При подключении к интернету провайдер выдаёт пользователю свободный IP-адрес. Количество IP-адресов у провайдера ограничено, и поэтому может случиться так, что тебе выдадут адрес какого-нибудь читера, которого забанили на игровом сервере по IP. То же самое касается форумов и других ресурсов в интернете. А если провайдер выдаёт фиксированный IP, то обойти бан, кроме как с помощью прокси или VPN, вряд ли получится.
  
  — Защита от некоторых видов сетевых атак. Способы взлома по IP не будут работать, так как преступник видит IP прокси-сервера, а не пользователя.
  
  — Сжатие данных. Некоторые прокси-серверы, к примеру хорошо известная русскоязычным пользователям функция Opera Turbo в браузере Opera, сжимали пакетные данные и экономили трафик.
  
  Также прокси является полезным инструментом для веб-разработчиков и SEO-специалистов. Прокси позволяет производить кеширование данных, делает возможным ограничение доступа из локальной сети к внешней (к примеру, запрет на доступ к определённым ресурсам, что нередко практикуется в разных компаниях), а также помогает проверить, доступен ли ресурс из разных стран мира.
  
  Отметим, что прокси-сервер должен использоваться только для легальных целей.
  
  Какой прокси выбрать
  
  Более анонимный вариант — совместно используемые прокси с ограниченным доступом. Если публичными прокси может пользоваться сколько угодно людей, из-за чего снижается их стабильность и скорость работы, то к прокси с ограниченным доступом могут подключаться только те, кто имеет к нему платный доступ. Подключение к такому прокси-серверу осуществляется с помощью авторизации по логину и паролю или ограничено привязкой к определённому IP-адресу. Из достоинств отметим высокую стабильность и скорость работы благодаря меньшему количеству подключений, а также слежению прокси-сервиса, предоставившего данную прокси, за законностью действий (исключение использования прокси для противоправных действий). Кроме того, прокси с ограниченным доступом имеют фактически неограниченный срок действия, в отличие от публичных прокси, которые могут перестать работать в любой момент. Из недостатков — достаточно высокая стоимость, которая зависит от количества прокси в списке, ограничение некоторых функций (к примеру, рассылки почты для предотвращения использования прокси-сервера для спама), а также отсутствие возможности выбрать конкретный IP-адрес и возможность внезапной смены IP-адреса при использовании Backconnect прокси-сервисов. Оптимальный вариант для повседневного использования.
  
  Как пользоваться прокси
  
  Для того чтобы начать пользоваться прокси, нужно настроить встроенные инструменты или сторонние программы. Начнём с настройки прокси в стандартных инструментах на Windows. Для этого:
  
  1. Открой «Пуск», затем выбери пункт «Параметры», после — «Сеть и Интернет», затем — «Прокси».
  2. Найди подпункт «Настройка прокси вручную» и включи опцию «Использовать прокси вручную».
  3. Введи в полях «Адрес» и «Порт» IP-адрес и порт прокси-сервера.
  
  В поле ниже ты можешь указать исключения, для которых прокси использоваться не будет. После настройки данного встроенного инструмента все программы, использующие системные настройки подключения, будут работать через прокси-сервер.
  
  Отметим, что инструкция выше дана для Windows 8 и 10. Если у тебя Windows 7, то:
  
  1. Открой панель управления и зайди в пункт «Свойства браузера».
  2. Открой вкладку «Подключения» и нажми кнопку «Настройка».
  3. Поставь галочку на пункте «Использовать прокси-сервер для этого подключения» и введи IP-адрес и порт прокси-сервера.
  
  Если у тебя Mac, то:
  
  На Android во вкладке Wi-Fi выбери подключение, затем перейди в «Расширенные настройки», найди пункт «Прокси-сервер», перейди в ручной режим настройки, введи IP-адрес и порт. При подключении по Wi-Fi все приложения будут использовать прокси-сервер.
  
  В iOS всё примерно так же: зайди в настройки Wi-Fi, выбери подключение, нажми на «Настройку прокси», затем выбери пункт «Вручную» и введи IP-адрес и порт прокси-сервера.
  
  Теперь перейдём к настройке отдельных браузеров. Перечислим только два самых используемых — Google Chrome (и все производные на движке Chrome) и Mozilla Firefox. Чтобы активировать прокси в Google Chrome, открой настройки, нажми на меню «Дополнительно» в самом низу страницы, после чего найди пункт «Открыть настройки прокси-сервера для компьютера». Далее действуй по инструкции для Windows.
  
  Чтобы включить прокси в Mozilla Firefox, перейди в настройки, затем — на вкладку «Дополнительно». После открой вкладку «Сеть» и нажми кнопку «Настроить». В открывшемся окне нажми на «Параметры соединения», затем выбери «Ручную настройку сервиса прокси» и введи IP-адрес и порт прокси.
  
  Также ты можешь настроить прокси для отдельных приложений, к примеру торрентов или мессенджеров. После настройки ты можешь пользоваться интернетом так же, как и без прокси. Единственное отличие — в большей анонимности и защите от некоторых сетевых атак. На бесплатных прокси может наблюдаться снижение скорости, но это исправляется путём выбора совместно используемых прокси с ограниченным доступом или приватных прокси.
  
  Читайте также:

Тестовое приложение

Какой прокси выбрать

Как пользоваться прокси