IE-LAB网络实验室：Tempered Networks简化了安全的网络连接和微分段

Tempered Networks的身份定义网络平台使用主机身份协议将网络划分并隔离为可信微片，从而提供一种简单且经济高效的网络安全保护方式。

TCP / IP协议是互联网的基础，几乎每个网络都是如此。该协议是在45年前设计的，最初只是为连接而创建的。协议中没有任何安全性，移动性或可信身份验证。
TCP / IP的基本问题是协议中的IP地址代表设备位置和网络上的设备身份。地址的这种双重功能缺乏网络上设备的安全性和移动性的基本机制。
这是今天网络如此复杂的原因之一。要连接到网络或Internet上的内容，您需要VPN，防火墙，路由器，单元调制解调器等，并且您拥有ACL，VLAN，证书等附带的所有配置。当您考虑物联网（IoT）设备连接和安全性时，噩梦呈指数级增长。这在规模上都是不可持续的。
显然，我们需要一种更有效，更有效的方式来实现网络连接，移动性和安全性。
互联网工程任务组（IETF）使用主机标识协议（HIP）解决了这个问题。它提供了一种分离端点标识符和IP地址的定位器角色的方法。它引入了一个新的主机标识（HI）名称空间，基于公钥，从中获取端点标识符。HIP使用现有的IP寻址和转发定位器和数据包传送。该协议与IPv4和IPv6应用程序兼容，并利用定制的IPsec隧道模式来保护网络应用程序的机密性，身份验证和完整性。
HIP在2015年由IETF批准，代表OSI堆栈中的新安全网络层。将其视为第3.5层。它是信任模型的翻转，其中TCP / IP本质上是混杂的，并且将回答任何想要与该网络上的设备通信的内容。相反，HIP是一种信任协议，除非已根据其加密身份对该连接进行了身份验证和授权，否则该信任协议将无法应答网络上的任何内容。实际上，它是围绕特定网络资源的软件定义边界的一种形式。这也称为微分段。

Tempered Networks的IDN平台创建分段的加密网络
Tempered Networks创建了一个利用HIP和各种技术的平台，这些技术将网络划分为可信微片并将其隔离。Tempered Networks的身份定义网络（IDN）平台被部署为覆盖技术，可叠加在任何IP网络之上。HIP旨在向前和向后兼容任何IP网络，而无需对底层网络进行任何更改。覆盖网络在您要连接的两件事之间创建直接隧道。
IDN平台使用三个组件来创建分段和加密的网络：称为Conductor的编排引擎，基于HIPrelay身份的路由器和HIP服务执行点。
Conductor是一个集中式编排和智能引擎，通过单一窗格连接，保护和断开全局资源。Conductor用于定义和实施HIP服务的策略。策略配置以简单的点击方式完成。Conductor可用作物理或虚拟设备，也可用于Amazon Web Services（AWS）云。
HIP服务提供基于软件的策略实施，实现受IDN保护的设备之间的安全连接，以及隐藏真实内容，分段，基于身份的路由和IP移动性。它们可以部署在任何设备或系统上或串联，并采用HIPswitch硬件，HIPserver，HIPclient，Cloud HIPswitch或Virtual HIPswitch的形式。HIP服务还可以嵌入客户硬件或应用程序中。
将HIP开关置于任何连接的设备前面会使设备启用HIP并立即对流量进行微分段，从而隔离来自底层网络的入站和出站流量。部署在网络上的HIP开关使用其加密身份自动向Conductor注册。
HIPrelay与支持HIP服务的端点协同工作，为所有网络和传输选项中的任何设备或系统提供点对点连接。HIPrelay不是使用第3层或第4层规则集或传统路由协议，而是基于遍历现有基础架构的可证明加密身份来路由和连接加密通信。
这听起来很复杂，但事实并非如此。用例示例应证明此解决方案的易用性和强大功能。
使用案例：智能船舶
最近，国际邮轮公司安装了Tempered Networks的IDN解决方案，为其关键的海事系统提供更严格的安全保障。在部署之前，用于燃料，推进，导航，压载，天气和焚烧炉的系统位于平面的第2层网络上，基本上允许网络的授权用户看到所有内容。
鉴于不同海事系统的供应商可以访问他们自己的系统，缺乏微分段使他们也可以看到其他系统。邮轮公司需要一种简单的方法来分割对这些不同系统的访问 - 将它们彼此隔离 - 并且他们希望这样做而无需将船放在干船坞中进行网络重新配置。
原始配置如下所示：

该公司基于系统的功能实现了网络的微分段。这个孤立且分段的供应商只能访问他们自己的系统 - 其他一切都隐藏在他们身上。实施涉及在云中安装HIPrelay身份路由，在船上安装几个HIPswitch无线设备，以及在供应商和机组成员的设备上安装HIPclient软件。管理整个部署的Conductor设备已安装在AWS中。
所有这些都是在不影响底层网络的情况下完成的，并且部署不需要干坞时间。此外，邮轮公司还能够消除以前用于分段和远程访问的内部防火墙和VPN。生成的配置如下所示：

上图中的颜色编码表明现在哪些系统能够直接查看并与其相应的控制器和传感器通信。网络上的其他所有内容都隐藏在这些系统的视野之外。
Tempered Networks解决方案的购置成本仅为传统微分段解决方案的十分之一。每艘船的部署时间为2 FTE天，而传统解决方案需要40个FTE天。不需要额外的人员配置来支持解决方案，也没有对底层网络进行任何更改。
经过时间考验的微分段解决方案
这项技术来自波音公司，并在其制造工厂内部署了超过12年，直到2014年波音公司允许该技术实现商业化。Tempered Networks采用HIP并通过简单，集中的管理开发了完整的平台。它专门用于提供与网络的安全连接。该解决方案已成功部署在工业领域，如公用事业部门，石油和天然气，发电和飞机制造，以及企业领域和医疗保健领域。
文章节选自NETWORLDWORK：
https://www.networkworld.com/article/3405853/tempered-networks-simplifies-secure-network-connectivity-and-microsegmentation.html
ielab老师：赵韶磊