Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2017-11-16

Product(s): NetBackup & Alta Data Protection (8.1)

Data center multiple avec Media Server Encryption Option (MSEO)

Un data center multiple avec Media Server Encryption Option (MSEO) est défini comme support pour un grand groupe d'hôtes (plus de 50) couvrant deux régions géographiques ou plus. Les hôtes sont connectés par un réseau étendu (WAN). Dans l'exemple suivant, un data center se trouve à Londres et l'autre se trouve à Tokyo. Les deux data centers sont connectés par une connexion WAN dédiée.

Cet exemple de data center multiple peut en général inclure plus de 50 hôtes. Tous les hôtes orientés vers l'extérieur utilisent Media Server Encryption Option (MSEO). Dans cet exemple, les clients utilisent les deux sauvegardes chiffrées pour certains clients et l'option MSEO pour les autres hôtes. Certaines données qui sont trop sensibles pour être archivées hors site sont "laissées au repos" dans un format déchiffré.

Le data center multiple avec Media Server Encryption Option (MSEO) inclut :

NetBackup couvre deux régions géographiques ou plus par le biais d'un réseau étendu (WAN)
Une option récente de NetBackup
Utile pour protéger les données hors site
Les données sont toujours envoyées au client en clair, impliquant que l'interception passive de câble est un risque acceptable
La gestion des clés et le chiffrement sont gérés dans un emplacement central correspondant à un point de défaillance unique. Utiliser le cluster de haute disponibilité peut aider.
Le serveur de médias doit être assez solide pour prendre en charge plusieurs clients en même temps
Utile lorsque vous devez envoyer des bandes chiffrées hors site en épargnant la charge de chiffrement au client, qui accaparerait les ressources du processeur.
Vous devez disposer des clés pour récupérer les données. Si les clés sont perdues, les données sont perdues (voir les informations sur la sauvegarde de partage de clé dans le chapitre Chiffrement).

Figure : Data center multiple avec Media Server Encryption Option (MSEO) affiche un exemple de data center multiple avec Media Server Encryption Option (MSEO).

Figure : Data center multiple avec Media Server Encryption Option (MSEO)

Le tableau suivant décrit les composants de NetBackup qui sont utilisés pour un data center unique avec MSEO mis en application.

Tableau : Composants de NetBackup pour un data center multiple avec MSEO mis en application

Composant	Description
Data center de Londres	Le data center de Londres contient le serveur maître 1, le serveur de médias 1, MSEO 1, les clients 1, 2, 3 et 5 de serveur Web dans la zone démilitarisée. Le data center de Londres contient également la bande de données chiffrées pour les clients 1, 2, 3 et la bande de données déchiffrée pour le client 5. Le data center de Londres se connecte au data center de Tokyo par une connexion WAN dédiée.
Data center de Tokyo	Contient le serveur de médias 2, MSEO 2, clients 8, 9 et 11 de serveur Web dans la zone démilitarisée. Le data center de Tokyo contient également la bande de données chiffrées pour les clients 8, 9 et la bande de données déchiffrée pour le client 11. Le data center de Tokyo se connecte au data center de Londres par une connexion WAN dédiée.
Réseau étendu (WAN)	Spécifie le lien WAN dédié qui connecte le data center de Londres au data center de Tokyo. Le WAN fournit la connectivité entre le serveur maître à Londres et le serveur de médias 2 les clients 8, 9, 11 à Tokyo.
Serveur maître	Le serveur maître qui se trouve au data center de Londres, communique avec le serveur de médias 1 et les clients 1, 2, 3 et 5. Le serveur maître utilise également le WAN pour communiquer avec le serveur de médias 2 et les clients 8, 9 et 11 à Tokyo.
Serveurs de médias	Spécifie que ce data center multiple utilise deux serveurs de médias. Le serveur de médias 1 est situé dans le data center de Londres et le serveur de médias 2 est situé dans le data center de Tokyo. A Londres, le serveur de médias 1 communique avec le serveur maître, MSEO 1 et les clients 1, 2, 3 et 5. Le serveur de médias 1 enregistre des données non chiffrées sur bande pour le client 5. Le serveur de médias 1 utilise également MSEO 1 pour enregistrer des données chiffrées sur bande pour les clients 1, 2 et 3. La bande chiffrée est transportée hors site vers un centre de sauvegarde à Londres. A Tokyo, le serveur de médias 2 communique avec le serveur maître à Londres par le WAN et les clients 8, 9 et 11 à Tokyo. Le serveur de médias 2 enregistre des données non chiffrées sur bande pour le client 11. Le serveur de médias 2 utilise également MSEO 2 pour enregistrer des données chiffrées sur bande pour les clients 8 et 9. La bande chiffrée est transportée hors site vers un centre de sauvegarde à Tokyo.
MSEO	Les deux appliances de matériel MSEO déchargent le chiffrement des clients individuels. Les performances du processeur client sont améliorées (par rapport au chiffrement côté client) à l'aide de l'appliance de l'option de chiffrement de serveur de médias (MSEO). Le MSEO 1 se trouve au data center de Londres et le MSEO 2 se trouve au data center de Tokyo. Le MSEO 1 génère une bande de données chiffrées pour les clients 1, 2 et 3 qui peuvent être stockées hors site à Londres. Le MSEO 2 génère une bande de données chiffrées pour les clients 8 et 9 qui peuvent être stockées hors site à Tokyo.
Bandes	Des bandes de données déchiffrées et chiffrées sont produites au data center de Londres et au data center de Tokyo. A Londres, la bande chiffrée est enregistrée pour le client 5 et stockée hors site au data center de Londres. La bande chiffrée est enregistrée pour les clients 1, 2 et 3. La bande chiffrée pour les clients 1, 2 et 3 est transportée hors site vers un centre de sauvegarde à Londres pour la protection des données lors de reprises après incident. A Tokyo, la bande chiffrée est enregistrée pour le client 11 et stockée hors site au data center de Londres. La bande chiffrée est enregistrée pour les clients 8, 9 et 8. La bande chiffrée des clients 8 et 9 est transportée hors site vers un centre de sauvegarde situé à Tokyo pour la protection des données lors de reprises après incident. Remarque : Pour déchiffrer les données, les clés utilisées pour le chiffrement de données doivent être disponibles.
Transports	Spécifie qu'il y a deux transports. Un transport se trouve à Londres et l'autre à Tokyo. A Londres, le camion de transport déplace la bande chiffrée des clients 1, 2 et 3 hors site vers un centre de sauvegarde sécurisé hors site situé à Londres. A Tokyo, le camion de transport déplace la bande chiffrée des clients 8 et 9 hors site vers un centre de sauvegarde sécurisé hors site situé à Tokyo. Remarque : Si une bande est perdue pendant le transport, le responsable du data center a potentiellement réduit le risque d'une violation de données. Cette violation a été réduite grâce à l'utilisation du chiffrement des données.
Centres de sauvegarde hors site	Spécifie qu'il existe deux centres de sauvegarde situés hors site. Un centre de sauvegarde se trouve à Londres et l'autre à Tokyo. Les deux centres de sauvegarde fournissent des installations de stockage de bande chiffrée sécurisées hors site à des emplacements différents de ceux des data centers. Remarque : La bonne protection de récupération après incident encourage à avoir les bandes chiffrées enregistrées à des emplacements distincts des data centers.
Clients	Spécifie que les clients se trouvent dans les data centers de Londres et de Tokyo. A Londres, les clients 1, 2 et 3 sont du type MSEO et le client 5 est un type de serveur Web (n'utilisant pas MSEO) qui se trouve dans la zone démilitarisée. Les deux types de serveur peuvent être gérés par le serveur maître. Et leurs données chiffrées peuvent être sauvegardées sur bande par l'appliance rattachée au serveur de médias 1 MSEO. Le client 5 communique vers NetBackup à l'aide des ports réservés à NetBackup via le pare-feu interne. Le client 5 reçoit des connexions Internet en utilisant des ports réservés au HTTP via le pare-feu externe. Les clients 8 et 9 de Tokyo sont du type MSEO. Le client 11 est un type de serveur Web (n'utilisant pas MSEO) situé dans la zone démilitarisée. Les deux types de serveur peuvent être gérés par le serveur maître situé à Londres. Et leurs données chiffrées peuvent être sauvegardées sur bande par l'appliance rattachée au serveur de médias 2 MSEO. Le client 11 communique vers NetBackup à l'aide des ports réservés à NetBackup via le pare-feu interne. Le client 5 reçoit des connexions Internet en utilisant des ports réservés au HTTP via le pare-feu externe.
Pare-feux internes	Spécifie que le data center multiple peut utiliser les deux pare-feux internes. Un pare-feu interne se trouve à Londres et l'autre à Tokyo. A Londres, le pare-feu interne peut utiliser NetBackup pour accéder au client 5, au serveur Web, situé dans la zone démilitarisée. Le pare-feu interne de Tokyo peut utiliser NetBackup pour accéder au client 11, au serveur Web, dans la zone démilitarisée. Vous ne pouvez activer que les ports NetBackup sélectionnés et les ports de certaines applications pour transmettre des données depuis et vers la zone démilitarisée. Les ports HTTP peuvent être ouverts dans le pare-feu externe mais ne peuvent pas passer par le pare-feu interne.
Zones démilitarisées (DMZ)	Spécifie que le data center multiple peut utiliser deux zones démilitarisées. Une zone démilitarisée se trouve à Londres et l'autre à Tokyo. A Londres, la zone démilitarisée fournit une zone d'opérations "sécurisée" pour le client 5 de serveur Web entre le pare-feu interne et le pare-feu externe. Le client 5 de serveur Web de la zone démilitarisée peut échanger des données avec NetBackup via le pare-feu interne en utilisant les ports NetBackup affectés. Le client 5 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP. A Tokyo, la zone démilitarisée fournit une zone d'opérations "sécurisée" pour le client 11 de serveur Web entre le pare-feu interne et le pare-feu externe. Le client 11 de serveur Web de la zone démilitarisée peut échanger des données avec NetBackup via le pare-feu interne à l'aide des ports NetBackup affectés. Le client 11 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP.
Pare-feux externes	Spécifie que le data center multiple avec MSEO peut utiliser les deux pare-feux externes. Un pare-feu externe se trouve à Londres et l'autre à Tokyo. A Londres, le pare-feu externe permet aux utilisateurs externes d'accéder au client 5 de serveur Web situé dans la zone démilitarisée depuis Internet en passant par des ports HTTP. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 5 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet. A Tokyo le pare-feu externe permet aux utilisateurs externes d'accéder au client 11 de serveur Web situé dans la zone démilitarisée depuis Internet en passant par des ports HTTPS. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 11 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet.
Internet	Spécifie qu'il existe un seul Internet mais deux connexions Internet dans cet exemple de data center multiple. Une connexion Internet se trouve à Londres et l'autre à Tokyo. Internet est un ensemble de réseaux d'ordinateurs connectés entre eux par des câbles de cuivre, des câbles de fibre optique ou par des connexions sans fil. A Londres, le client 5 de serveur Web peut envoyer et recevoir des données sur Internet à l'aide des ports HTTP et en passant par le pare-feu externe. A Tokyo, le client 11 de serveur Web peut envoyer et recevoir des données sur Internet à l'aide des ports HTTP et en passant par le pare-feu externe.