Asiakasliikenteen salaus SDN-verkossa

Abstract

Opinnäytetyön tilaajana toimi Jyväskylän ammattikorkeakoulun Cyber Trust -projekti, joka on osallisena Digilen Cyber Trust -tutkimusohjelmaa. Tutkimusohjelman tarkoituksena on nostaa Suomi johtavaksi kyberturvallisuuden asiantuntijaksi ja edelläkävijäksi luomalla tietoturvasta digitaalisen luottamuksen perustan. Toimeksiantona opinnäytetyölle oli tutkia SDN-verkon välitystasolla kulkevan asiakasliikenteen salausmahdollisuuksia hyödyntäen verkon kontrollerin liikenteenohjausominaisuuksia ja avoimen lähdekoodin IPsec-ohjelmistoja. Toteutuksen perustana toimi neljän kytkimen muodostama verkkotopologia, jossa asiakaslaitteiden välistä liikennöintiä salattiin käyttämällä strongSwan-ohjelmistoa Docker-kontin sisällä. Liikenne ohjattiin ONOS-kontrollerilla salauskomponenteille, joista verkkoliikenne laitettiin salauskomponenttien välisiin IPsec-tunneleihin. Verkon skaalautuvuuden ja hallinnan parantamiseksi Ansiblella luotiin playbookkeja, joilla verkkoon kyettiin lisäämään uusia Open vSwitch-kytkimiä ja hallinnoimaan salauskomponenttien konfiguraatioita keskitetysti. Työn tavoitteena oli salata asiakasliikennettä ja siinä onnistuttiin kiitettävällä tasolla. Myös salauskomponenttien konfiguraatiohallinta onnistuttiin täysin automatisoimaan. Uuden kytkimen implementointi verkkoon onnistui hyvin, sillä prosessi automatisoitiin niin pitkälle kuin mahdollista. Sen sijaan koko salausprosessin automatisointia ei onnistuttu toteuttamaan, sillä verkon kontrollerilta ei haettu tarvittavia kytkimien tilatietoja liikenteenohjauksen toteuttamiseen automatisoidusti.

The thesis was assigned by a project called Cyber Trust within JAMK University of Applied sciences as a part of Digile’s Cyber Trust research program. The goal of the research program is to lift Finland to expert level in cyber security and to be a forerunner of digital trust and information security. The Assignment was to search for possibilities to encrypt customer data on the infrastructure layer of SDN-networks by using traffic forwarding and open source IPsec-softwares. The base of the network topology consisted of four Open vSwitches where the traffic be-tween customers were encrypted by IPsec-software called strongSwan running inside Docker containers. Traffic between customers was forwarded to encryption components by using ONOS’s forwarding capabilities, where the traffic was then encapsulated to IPsec tunnels. To improve network scalability and configuration management Ansible was used to managing configuration changes for each encryption component. Also another Ansible playbook was created to introduce new switches to the existing network. As a result, it was possible to encrypt traffic in the network and the process of configuration management supported the implementation satisfyingly. Also the automation of introducing new switches to the network was done to a point where minimal amount of manual configuration was needed. The automation of the whole process of introduction a fully functional entirety of IPsec tunnel and traffic forwarding was not carried out due to not getting the needed information of the network from the network controller.