Пункт 6.5 приложения 3 к ПТКЗИ: резервирование сетевого оборудования по схеме N+1

Смысл требования

Пункт 6.5 приложения 3 к ПТКЗИ – практический разбор требования «резервирование N+1». Пункт 6.5 требует резервировать сетевое оборудование, обеспечивающее работу виртуальной инфраструктуры, по схеме N+1. Отказ одного критичного сетевого элемента не должен прекращать взаимодействие виртуальных машин, управление гипервизорами, доступ к хранилищам и другие значимые функции ИС.

N обозначает минимальное количество элементов, необходимое для выполнения функции. Дополнительный элемент должен быть включён в архитектуру и готов принять нагрузку, а не просто находиться на складе.

Схема N+1 означает наличие одного дополнительного работоспособного элемента сверх минимально необходимого количества. Если для выполнения функции достаточно одного коммутатора, должны существовать два независимых устройства, а отказ любого одного не должен прекращать сетевое взаимодействие виртуальной инфраструктуры.

Оценивать нужно не количество устройств, а сохранение функции. Два коммутатора с общим питанием, одной линией или одним вышестоящим узлом могут отказать одновременно и не образуют полноценное резервирование.

Формулировка требования

Приложение 3 к Положению, раздел «Дополнительные требования по обеспечению защиты информации в виртуальной инфраструктуре», пункт 6.5: «обеспечение резервирования сетевого оборудования по схеме N+1».

Обязательность применения

Требование является обязательным для классов 3-юл и 3-дсп. Для классов 4-ин, 4-спец, 4-бг, 4-юл, 4-дсп, 3-ин, 3-спец и 3-бг оно является рекомендуемым.

Применимость оценивается для сетевого оборудования, от которого зависит функционирование виртуальной среды. При отсутствии виртуализации соответствующая технология отсутствует и это отражается в ТЗ.

Что означает N+1 на практике

• Два независимых коммутатора доступа для хостов виртуализации.
• Резервирование шлюза или маршрутизатора для межсегментного взаимодействия.
• Дублированные uplink-подключения без общей одиночной точки отказа.
• Резервирование storage-, management-, backup- и migration-сетей.
• Отказоустойчивые виртуальные маршрутизаторы, межсетевые экраны и балансировщики, если они обязательны для работы ИС.

Наличие двух устройств не доказывает N+1, если оба зависят от одного uplink, одной управляющей плоскости или общей ошибки конфигурации.

Резервный элемент должен участвовать в рабочей схеме, иметь актуальную конфигурацию, совместимую версию ПО и проверенный порядок переключения. Устройство на складе является запасной частью, но не всегда обеспечивает требуемую доступность.

Допустимы активный и резервный режимы либо распределение нагрузки между несколькими устройствами. После отказа оставшаяся ёмкость должна быть достаточной и не вызывать перегрузку каналов, процессоров или таблиц коммутации.

Какое оборудование учитывать

• коммутаторы подключения физических хостов;
• ядровые и агрегационные коммутаторы;
• маршрутизаторы и L3-коммутаторы, выполняющие функции шлюзов;
• оборудование management-, storage-, backup- и migration-сетей;
• межсетевые экраны и балансировщики, если их отказ прекращает работу виртуальных сервисов;
• сетевые адаптеры и физические порты хостов в части формирования независимых путей;
• виртуальные сетевые устройства, являющиеся обязательной частью маршрута.

Граница анализа определяется структурной и логической схемами. Меры внешнего ЦОД или IaaS-провайдера учитываются через договор и подтверждающие материалы.

Анализируется весь сетевой путь виртуальной инфраструктуры: коммутаторы гипервизоров, агрегация, подключения системы хранения, управляющая сеть, балансировщики, межсетевые экраны и VPN-шлюзы, если от них зависит работа виртуальных машин.

Если одно физическое устройство обслуживает несколько функций, его отказ может одновременно нарушить пользовательский трафик, управление и доступ к хранилищу. Резервирование только одного уровня не устраняет общую точку отказа.

Один кластер и несколько площадок

Для одного кластера обычно проверяют два коммутатора, независимые подключения хостов, резервный шлюз и доступность storage-сети при отказе одного элемента.

Для двух кластеров или площадок дополнительно оценивают межплощадочные маршруты, пограничные устройства и зависимость от общих каналов. Сам пункт 6.5 не требует обязательного создания второй площадки.

В одном кластере обычно используются два независимых коммутатора, дублированные интерфейсы хостов, агрегированные каналы и проверенное переключение. Устройства должны иметь раздельные пути питания и управления.

Для нескольких площадок учитываются межплощадочные каналы, маршрутизация и устройства завершения связи. Резервная площадка не повышает устойчивость, если обе зависят от одного оператора, общей трассы или единого узла.

Оборудование, подключения и логические пути

• Оборудование: наличие дополнительного коммутатора, маршрутизатора или иного элемента.
• Подключения: независимые физические интерфейсы и линии связи.
• Логический путь: корректная работа bonding, LACP, MLAG, VRRP, ECMP, multipath или другого выбранного механизма.
• Питание: отсутствие общей незащищённой точки питания в пределах проектных границ.
• Конфигурация: резервное устройство содержит необходимые VLAN, маршруты и параметры.

Конкретная технология не предписана. Выбранная схема должна фактически сохранять функцию.

Физическое дублирование должно сопровождаться логической корректностью. STP, MLAG, LACP и динамическая маршрутизация не должны создавать петлю, длительную сходимость или асимметричный обход средств защиты.

Резервный путь обязан сохранять те же требования безопасности. При переключении трафик не должен идти в обход межсетевого экрана, IDS/IPS или сети управления.

Что следует подтвердить при проверке

• структурную схему с резервными устройствами и линиями связи;
• логическую схему с VLAN, маршрутами и назначением сетей;
• перечень критичных функций и элементов;
• конфигурации механизмов резервирования и мониторинга;
• подключение хостов к независимым устройствам;
• отсутствие одиночной точки отказа в служебных сетях;
• результаты безопасного теста переключения или иного подтверждения;
• достаточность производительности оставшихся элементов;
• SLA и договорное распределение ответственности провайдера.

Метод проверки должен быть предусмотрен программой и методикой и не создавать неконтролируемого риска для продуктивной ИС.

На схемах показываются пары устройств, интерфейсы, кабельные подключения, питание и вышестоящие зависимости. По одной логической линии невозможно доказать отсутствие общей точки отказа.

Ключевое доказательство – контролируемый тест отказа. Следует отключить выбранное устройство или канал, зафиксировать время переключения, доступность ВМ, состояние маршрутов и восстановление исходной схемы.

Отдельно проверяется синхронность конфигураций. Если резервный коммутатор долго не участвовал в работе, его версия ПО, VLAN, маршруты, правила и ключи аутентификации могут отстать от основного устройства.

После теста необходимо проверить не только доступность пользовательских сервисов, но и сеть управления, журналы, резервное копирование и доступ к хранилищу. Иногда основной трафик переключается успешно, а вспомогательные функции остаются недоступными.

Результат испытания следует оформлять протоколом с указанием отключённого элемента, времени переключения, состояния сервисов, обнаруженных отклонений и срока их устранения. Это позволяет сравнивать последующие испытания и подтверждать реальную готовность резервной схемы.

Что закрепить в ТЗ, ЛПА и ОРД

• состав оборудования, на которое распространяется N+1;
• критичные функции и потоки виртуальной инфраструктуры;
• выбранную схему и допустимые режимы переключения;
• требования к независимости физических подключений;
• порядок мониторинга основного и резервного оборудования;
• резервное копирование и восстановление конфигураций;
• периодичность и безопасную методику проверки failover;
• действия при временной утрате резервной ёмкости;
• обязанности провайдера.

Документы должны определять допустимое время переключения, ответственных, периодичность испытаний, порядок обновления резервного устройства и действия при рассинхронизации конфигураций.

После модернизации сети испытание N+1 следует повторять. Новый VLAN, маршрут или хост может быть добавлен только на одном устройстве, из-за чего резервирование формально сохраняется, но перестаёт работать.

Типичные ошибки

• резервное устройство хранится на складе и не настроено;
• два коммутатора используют один uplink;
• хосты фактически подключены только к одному устройству;
• storage- или management-сеть остаётся одиночной точкой отказа;
• переключение никогда не проверялось;
• производительность одного оставшегося устройства недостаточна;
• конфигурации резервной пары различаются;
• состояние резервных портов не контролируется;
• провайдер заявляет N+1, но договор не определяет подтверждения.

Связанные материалы

• Пункт 6.2: защита виртуальной инфраструктуры от НСД и сетевых атак.
• Пункт 6.3: безопасное перемещение виртуальных машин.
• Пункт 6.4: резервное копирование виртуальных машин.

Вывод

Пункт 6.5 требует доказуемой отказоустойчивости сетевого слоя виртуальной инфраструктуры. Дополнительный коммутатор сам по себе не закрывает требование, если сохраняется один физический или логический путь.

Качественная реализация включает независимые подключения, настроенное переключение, мониторинг и периодическую проверку. Для внешней площадки условия закрепляются договором.

Нормативная основа

• Приказ ОАЦ № 66 от 20.02.2020 в редакции приказа ОАЦ № 259 от 10.12.2024 – приложение 3, пункт 6.5. Официальный источник.
• Положение о порядке технической и криптографической защиты информации – пункты 12 и 15. Официальный источник.