Mikrosegmentasyon Nedir?

Klasik segmentasyonda politika sınırı ağ topolojisiyle çizilir. Sunucular bir VLAN’da, kullanıcılar başka bir VLAN’da durur ve aradaki geçiş bir cihazdan geçer. Sınırın çözünürlüğü alt ağ kadardır.

Mikrosegmentasyon çözünürlüğü tek iş yüküne indirir. Aynı alt ağdaki iki sunucu birbiriyle konuşurken bile araya bir karar girer.

Kuralın Neye Bağlandığı

Asıl fark çözünürlükte değil, kuralın neye tutunduğundadır. Klasik kural bir adres bloğuna bağlıdır ve sunucu taşındığında ya da adres değiştiğinde kural anlamını yitirir.

Mikrosegmentasyonda kural, sunucunun kimliğine ya da etiketine bağlanır: “veritabanı katmanı yalnız uygulama katmanından 5432 portunda bağlantı kabul eder” gibi. Sunucu başka bir ana makineye taşınsa da, adresi değişse de kural geçerli kalır.

Bu, uygulamanın sık değiştiği ortamlarda belirleyici olur.

Nasıl Zorlanır

Zorlama üç yerden birinde yapılır ve seçim mimariyi belirler:

• Ana makine üzerinde. Her sunucuda çalışan bir aracı, kendi trafiğine politikayı uygular. En yüksek çözünürlüğü verir; her makineye kurulum ve işletim yükü getirir.
• Sanallaştırma katmanında. Politika sanal anahtar seviyesinde uygulanır. Sunucu içine bir şey kurulmaz, ama kapsam o platformla sınırlıdır.
• Ağ üzerinde. Trafik bir güvenlik cihazından geçmeye zorlanır. Fiziksel sunucular ve platform dışı sistemler de kapsanır; buna karşılık trafiğin cihaza uğraması için yönlendirme tasarımı gerekir.

Başlarken Karşılaşılan Güçlük

En zor kısım kural yazmak değildir. Uygulamaların gerçekte hangi bağlantıları kurduğunu bilmek zordur ve dokümantasyon çoğunlukla eksiktir.

Bu yüzden uygulama sırası genellikle şöyle olur: önce izleme modunda mevcut trafik kaydedilir, sonra o kayıttan kural taslağı çıkarılır, en son zorlama açılır. İzleme aşaması atlandığında ortaya çıkan şey, ilk gün geri alınan bir politika olur.