Der Begriff Science DMZ bezeichnet ein Computer- Subnetzwerk , das zwar sicher strukturiert ist, aber nicht die Leistungseinschränkungen aufweist, die sich sonst durch die Datenübertragung über eine Stateful Firewall ergeben würden . [ 1 ] [ 2 ] Die Science DMZ ist für die Verarbeitung großer Datenmengen, wie sie typischerweise bei wissenschaftlichen Anwendungen und im Hochleistungsrechnen auftreten , ausgelegt. Dazu wird eine spezielle DMZ eingerichtet , die diese Übertragungen ermöglicht. [ 3 ] Sie wird üblicherweise am oder in der Nähe des lokalen Netzwerkperimeters implementiert und ist für eine moderate Anzahl von Hochgeschwindigkeits-Datenströmen optimiert, nicht jedoch für allgemeine Geschäftssysteme oder Enterprise-Computing . [ 4 ]

Der Begriff „Science DMZ“ wurde 2010 von Mitarbeitern des ESnet-Netzwerks des US-Energieministeriums geprägt. [ 5 ] Zahlreiche Universitäten und Forschungseinrichtungen haben bereits Science DMZs eingerichtet oder sind dabei, diese einzurichten. Im Jahr 2012 förderte die National Science Foundation die Einrichtung und Verbesserung von Science DMZs an mehreren Universitätsstandorten in den Vereinigten Staaten. [ 6 ] [ 7 ] [ 8 ]

Die Science DMZ [ 9 ] ist eine Netzwerkarchitektur zur Unterstützung von Big Data . Die sogenannte Informationsexplosion wird seit Mitte der 1960er-Jahre diskutiert, und in jüngerer Zeit wird der Begriff Datenflut [ 10 ] verwendet, um das exponentielle Wachstum vieler Arten von Datensätzen zu beschreiben. Diese riesigen Datensätze müssen oft über das Internet von einem Ort zum anderen kopiert werden. Die Übertragung von Datenmengen dieser Größenordnung in angemessener Zeit sollte in modernen Netzwerken möglich sein. Beispielsweise sollte die Übertragung von 10 Terabyte Daten über einen 10-Gigabit-Ethernet -Netzwerkpfad bei ausreichender Festplattenleistung [ 11 ] weniger als 4 Stunden dauern. Das Problem besteht darin, dass dies Netzwerke erfordert, die frei von Paketverlusten und Zwischengeräten wie Traffic Shapern oder Firewalls sind , welche die Netzwerkleistung beeinträchtigen.

Stateful Firewalls

Die meisten Unternehmen und Institutionen nutzen eine Firewall, um ihr internes Netzwerk vor Angriffen von außen zu schützen. Der gesamte Datenverkehr zwischen dem internen Netzwerk und dem externen Internet muss eine Firewall passieren, die potenziell schädlichen Datenverkehr herausfiltert.

Eine zustandsbehaftete Firewall überwacht den Zustand jeder logischen Verbindung, die sie durchläuft, und verwirft Datenpakete, die nicht zum Verbindungszustand passen. Beispielsweise darf eine Website keine Seite an einen Computer im internen Netzwerk senden, es sei denn, dieser Computer hat sie angefordert. Daher muss die Firewall die zuletzt angeforderten Seiten protokollieren und Anfragen mit Antworten abgleichen.

Eine Firewall muss den Netzwerkverkehr wesentlich detaillierter analysieren als andere Netzwerkkomponenten wie Router und Switches. Router müssen sich lediglich mit der Netzwerkschicht befassen , Firewalls hingegen verarbeiten zusätzlich die Transport- und Anwendungsschicht . Diese zusätzliche Verarbeitung ist zeitaufwendig und begrenzt den Netzwerkdurchsatz. Während Router und die meisten anderen Netzwerkkomponenten Geschwindigkeiten von 100 Milliarden Bit pro Sekunde (Gbit/s) verarbeiten können, begrenzen Firewalls den Datenverkehr auf etwa 1 Gbit/s [ 12 ] , was für die Übertragung großer Mengen wissenschaftlicher Daten unzureichend ist.

Moderne Firewalls können kundenspezifische Hardware ( ASICs ) nutzen, um den Datenverkehr und die Überprüfung zu beschleunigen und so einen höheren Durchsatz zu erzielen. Dies stellt eine Alternative zu Science DMZs dar und ermöglicht die Überprüfung direkt durch bestehende Firewalls, sofern die UTM-Überprüfung ( Unified Threat Management ) deaktiviert ist.

Während eine Stateful Firewall für kritische Geschäftsdaten wie Finanzdaten, Kreditkarteninformationen, Personaldaten, Studentennoten, Geschäftsgeheimnisse usw. erforderlich sein kann, benötigen wissenschaftliche Daten weniger Schutz, da Kopien üblicherweise an mehreren Orten vorhanden sind und der wirtschaftliche Anreiz zur Manipulation geringer ist. [ 4 ]

DMZ

Diagramm einer herkömmlichen DMZ, wie sie in Unternehmen eingesetzt wird. Der gesamte Datenverkehr zur DMZ muss eine Firewall passieren, was den Durchsatz begrenzt.

Eine Firewall muss den Zugriff auf das interne Netzwerk einschränken, aber externen Zugriff auf öffentlich zugängliche Dienste wie Webserver im internen Netzwerk ermöglichen. Dies wird üblicherweise durch die Einrichtung eines separaten internen Netzwerks, der sogenannten DMZ (Demilitarisierte Zone), erreicht. Externe Geräte dürfen auf Geräte in der DMZ zugreifen. Geräte in der DMZ werden in der Regel sorgfältiger gewartet, um ihre Anfälligkeit für Schadsoftware zu reduzieren. Gehärtete Geräte werden auch als Bastion-Hosts bezeichnet .

Die Science DMZ geht noch einen Schritt weiter, indem sie Hochleistungsrechner in eine eigene DMZ verlagert. [ 13 ] Speziell konfigurierte Router leiten wissenschaftliche Daten direkt an oder von designierten Geräten in einem internen Netzwerk weiter und schaffen so eine virtuelle DMZ. Die Sicherheit wird durch Zugriffskontrolllisten ( ACLs) in den Routern gewährleistet, die den Datenverkehr nur zu/von bestimmten Quellen und Zielen zulassen. Zusätzlich wird die Sicherheit durch ein Intrusion-Detection-System (IDS) erhöht, das den Datenverkehr überwacht und nach Anzeichen für Angriffe sucht. Wird ein Angriff erkannt, kann das IDS die Router-Tabellen automatisch aktualisieren, was zu einem sogenannten Remotely Triggered Black Hole (RTBH) führt. [ 1 ]

Rechtfertigung

Die Science DMZ bietet einen optimal konfigurierten Standort für die Netzwerk-, System- und Sicherheitsinfrastruktur, die einen reibungslosen Datenaustausch ermöglicht. In datenintensiven wissenschaftlichen Umgebungen sind die Datensätze so groß, dass mobile Speichermedien nicht mehr ausreichen, und die Standardkonfigurationen vieler Geräte- und Softwarehersteller sind für Hochleistungsanwendungen unzureichend. Die Komponenten der Science DMZ sind speziell für die Unterstützung von Hochleistungsanwendungen und die schnelle Diagnose von Leistungsproblemen konfiguriert. Ohne den Einsatz einer dedizierten Infrastruktur ist eine akzeptable Leistung oft nicht zu erreichen. Eine einfache Erhöhung der Netzwerkbandbreite reicht in der Regel nicht aus, da Leistungsprobleme durch viele Faktoren verursacht werden, von zu schwachen Firewalls über verschmutzte Glasfaserkabel bis hin zu nicht optimal konfigurierten Betriebssystemen.

Die Science DMZ ist die Kodifizierung bewährter Verfahren – Konzepte, die sich über Jahre in der wissenschaftlichen Netzwerk- und Systemgemeinschaft entwickelt haben. Das Science-DMZ-Modell beschreibt die wesentlichen Komponenten einer leistungsstarken Datenübertragungsinfrastruktur so, dass es auch für Nicht-Experten verständlich und für Institutionen und Experimente jeder Größe skalierbar ist.

Komponenten

Die Hauptbestandteile einer Science DMZ sind:

  • Ein leistungsstarker Datentransferknoten (DTN) [ 14 ], der parallele Datentransferwerkzeuge wie GridFTP ausführt.
  • Ein Host zur Überwachung der Netzwerkleistung, wie z. B. perfSONAR
  • Ein leistungsstarker Router/Switch

Zu den optionalen Komponenten der Science DMZ gehören:

Siehe auch

Referenzen

  1. ^ a b Dan Goodin (26. Juni 2012). „Wissenschaftler erleben das Leben jenseits der Firewall mit „Science DMZs“." . Abgerufen am 12.05.2013 .
  2. ^ Eli Dart; Brian Tierney; Eric Pouyoul; Joe Breen (Januar 2012). „Die Verwirklichung der wissenschaftlichen DMZ“ (PDF) . Abgerufen am 31.12.2015 .
  3. ^ Dart, E.; Rotman, L.; Tierney, B.; Hester, M.; Zurawski, J. (2013). „The Science DMZ“. Proceedings of the International Conference for High Performance Computing, Networking, Storage and Analysis on - SC '13 . S. 1. doi : 10.1145/2503210.2503245 . ISBN 978-1-4503-2378-9S2CID  52861484 .​
  4. ^ a b „Warum Science DMZ?“ . Abgerufen am 12.05.2013 .
  5. ^ Dart, Eli; Metzger, Joe (13. Juni 2011). „Die Science DMZ“ . CERN LHCOPN/LHCONE Workshop . Abgerufen am 26. Mai 2013. Dies ist die früheste zitierfähige Erwähnung der Science DMZ. Die Arbeiten an dem Konzept liefen bereits mehrere Jahre zuvor.
  6. ^ „Implementierung einer Science DMZ an der San Diego State University zur Erleichterung des Hochleistungsdatentransfers für wissenschaftliche Anwendungen“ . National Science Foundation. 10. September 2012. Abgerufen am 13. Mai 2013 .
  7. ^ „SDNX – Ermöglichung einer durchgängigen dynamischen wissenschaftlichen DMZ“ . National Science Foundation. 7. September 2012. Abgerufen am 13. Mai 2013 .
  8. ^ „Verbesserung einer bestehenden wissenschaftlichen DMZ“ . National Science Foundation. 12. September 2012. Abgerufen am 13. Mai 2013 .
  9. ^ Dart, Eli; Rotman, Lauren (Aug 2012). „The Science DMZ: A Network Architecture for Big Data“ . LBNL-Bericht.
  10. ^ Brett Ryder (25. Februar 2010). „Die Datenflut“ . The Economist.
  11. ^ . "Netzwerkanforderungen und -erwartungen" . Lawrence Berkeley National Laboratory.
  12. ^ „Firewall-Leistungsvergleich“ (PDF) .
  13. ^ pmoyer (13. Dez. 2012). „Architektur des Forschungs- und Bildungsnetzwerks (REN): Science-DMZ“ . Abgerufen am 12. Mai 2013 .
  14. ^ „Science DMZ: Data Transfer Nodes“ . Lawrence Berkeley Laboratory. 04.04.2013 . Abgerufen am 13.05.2013 .