Развертывание в нескольких ЦОД Kaspersky Symphony XDR с высокой доступностью

Развертывание в нескольких ЦОД с отказоустойчивой конфигурацией Kaspersky Symphony XDR обеспечивает отказоустойчивость за счет распределения узлов кластера Kubernetes по нескольким центрам обработки данных. Если центр обработки данных становится недоступным, рабочая нагрузка автоматически переносится на узлы кластера в другом центре обработки данных, что позволяет Kaspersky Symphony XDR продолжить работу с минимальными сбоями.

Для конфигурации в нескольких ЦОД требуется минимум три центра обработки данных. Развертывание Kaspersky Symphony XDR как минимум в трех центрах обработки данных гарантирует сохранение кворума Kubernetes, если один из центров обработки данных становится недоступным. В каждом центре обработки данных необходимо развернуть как минимум четыре узла кластера: один управляющий узел и три рабочих узла. Каждый центр обработки данных использует собственный шлюз кластера Kubernetes с выделенным IP-адресом. Целевые устройства и шлюз кластера Kubernetes должны находиться в одной подсети одного центра обработки данных.

В каждом центре обработки данных требуется хотя бы одно устройство Sandbox. Трафик должен распределяться между узлами кластера в разных центрах обработки данных с помощью управляемой заказчиком высокодоступной балансировщика нагрузки. Вы также должны установить СУБД в поддерживаемой конфигурации высокой доступности.

Например, в конфигурации в нескольких ЦОД с тремя центрами обработки данных должно быть не менее 15 узлов:

• 12 целевых устройств включены в кластер Kubernetes:
  • 3 управляющих узла (не менее 1 узла на каждый центр обработки данных).
  • 9 рабочих узлов (не менее 3 узлов на каждый центр обработки данных).
• 3 устройства Sandbox (не менее 1 узла на каждый центр обработки данных).

Также для развертывания требуются управляемый заказчиком отказоустойчивый балансировщик нагрузки и СУБД, развернутые в поддерживаемой конфигурации отказоустойчивости.

Ограничения развертывания в нескольких ЦОД

• Пропускная способность между узлами, расположенными в разных центрах обработки данных, должна быть не менее 10 Гбит/с, а задержка не должна превышать 20 мс.
• Максимальное расстояние между любыми двумя центрами обработки данных составляет 1200 км (исходя из требования к задержке 20 мс для синхронной репликации).
• Узлы кластера Kubernetes, расположенные в разных центрах обработки данных, должны иметь сетевое подключение по всем портам, используемым Kaspersky Symphony XDR.
• Все узлы кластера Kubernetes в одном центре обработки данных должны находиться в одном широковещательном домене.
• База данных должна быть развернута в отказоустойчивой конфигурации с синхронной репликацией, а узел кворума должен находиться в зоне доступности, отличной от узлов базы данных.

Известные проблемы при сбоях центров обработки данных

• Файлы, которые Anti-Malware Engine отправляет на проверку в Sandbox, могут быть потеряны в случае недоступности центра обработки данных, в котором размещается Sandbox. Кроме того, при автоматической проверке в Sandbox также могут возникать задержки.
• Могут быть потеряны задачи IRP, включая задачи проверки, которые выполнялись в центре обработки данных на момент наступления недоступности. Для этих задач не будут получены результаты обнаружения.
• В случае недоступности некоторых центров обработки данных, в которых размещается Sandbox, оставшиеся ЦОД могут испытывать повышенную нагрузку из-за заполнения очередей во внешних системах. В результате по мере роста числа запросов на обработку в Sandbox может происходить отбрасывание задач.
• Если файлы, отправленные на проверку в определенный центр обработки данных, не удается обработать из-за недоступности этого ЦОД, результаты проверки (обнаружения) по этим файлам утрачиваются, а сами файлы по умолчанию помечаются как "безопасные". Потеря файлов и обнаружений может продолжаться до 15 минут, если требования к масштабированию Sandbox удовлетворяются, и до 1 часа в противном случае.
• После восстановления центра обработки данных или его добавления для создания развертывания в нескольких ЦОД решению может потребоваться 30–60 минут, чтобы стать отказоустойчивым, пока данные кластера будут синхронизированы. В это время решение работает нормально, но может стать недоступным, если один из центров обработки данных перейдет в автономный режим. Синхронизация может занять больше времени, если объемы данных больше размера по умолчанию. Низкая пропускная способность или высокая задержка между центрами обработки данных также могут увеличить время синхронизации.

Этапы

Следуя этому сценарию, вы можете подготовить инфраструктуру к развертыванию Open Single Management Platform и всех необходимых компонентов для Kaspersky Symphony XDR в нескольких центрах обработки данных, подготовить конфигурационный файл, содержащий параметры установки, и развернуть решение с помощью утилиты Kaspersky Deployment Toolkit (далее также KDT).

Прежде чем приступить к развертыванию Open Single Management Platform и компонентов Kaspersky Symphony XDR, рекомендуется прочитать Руководство по усилению защиты.

Сценарий развертывания состоит из следующих этапов:

1. Загрузка дистрибутива с компонентами Kaspersky Symphony XDR

   В состав дистрибутива входят следующие компоненты:

   • Транспортный архив, который содержит компоненты Kaspersky Symphony XDR и Лицензионные соглашения Kaspersky Symphony XDR и KDT.

     Компоненты подписаны ключом RSA и ключом ГОСТ Р 34.11-2012. Вы можете проверить подлинность и целостность компонентов Kaspersky Symphony XDR.

   • Архив с утилитой KDT, а также шаблоны конфигурационного файла и файл инвентаря KUMA.
2. Установка системы управления базами данных (СУБД)

   Вручную установите СУБД на отдельные серверы в одной из поддерживаемых отказоустойчивых конфигураций СУБД: Отказоустойчивая конфигурация Kaspersky Symphony XDR.

   СУБД предоставляется и настраивается заказчиком.

3. Настройка отказоустойчивого балансировщика нагрузки

   Настройте отказоустойчивый балансировщик нагрузки для распределения входящего трафика между узлами кластера, расположенными в нескольких центрах обработки данных.

   Балансировщик нагрузки предоставляется и настраивается заказчиком.

   Пример файла конфигурации

   Например, вы можете использовать HAProxy с открытым исходным кодом в качестве балансировщика нагрузки. Укажите IP-адрес шлюза кластера Kubernetes (параметр ingress_ip в конфигурационном файле) для каждого центра обработки данных в конфигурации балансировщика нагрузки.

   global

   log /dev/log local0

   log /dev/log local1 notice

   chroot /var/lib/haproxy

   stats socket /run/haproxy/admin.sock mode 660 level admin

   stats timeout 30s

   user haproxy

   group haproxy

   daemon

   defaults

   log global

   mode http

   option httplog

   option dontlognull

   timeout connect 5000

   timeout client 50000

   timeout server 50000

   errorfile 400 /etc/haproxy/errors/400.http

   errorfile 403 /etc/haproxy/errors/403.http

   errorfile 408 /etc/haproxy/errors/408.http

   errorfile 500 /etc/haproxy/errors/500.http

   errorfile 502 /etc/haproxy/errors/502.http

   errorfile 503 /etc/haproxy/errors/503.http

   errorfile 504 /etc/haproxy/errors/504.http

   listen stats

   mode http

   bind *:8080

   stats enable

   stats uri /stats

   stats refresh 10s

   # stats admin if LOCALHOST

   frontend http

   mode tcp

   bind :80

   default_backend http_servers

   backend http_servers

   mode tcp

   balance first

   option tcp-check

   timeout queue 2s

   timeout connect 2s

   timeout check 1s

   server proxmox1 <ingress_ip_1>:80 check inter 5s # first data center - IP address of the Kubernetes cluster gateway

   server proxmox2 <ingress_ip_2>:80 check inter 5s # second data center - IP address of the Kubernetes cluster gateway

   server proxmox3 <ingress_ip_3>:80 check inter 5s # third data center - IP address of the Kubernetes cluster gateway

   frontend https

   mode tcp

   bind :443

   default_backend https_servers

   backend https_servers

   mode tcp

   balance first

   option tcp-check

   timeout queue 2s

   timeout connect 2s

   timeout check 1s

   server proxmox1 <ingress_ip_1>:443 check inter 5s # first data center - IP address of the Kubernetes cluster gateway

   server proxmox2 <ingress_ip_2>:443 check inter 5s # second data center - IP address of the Kubernetes cluster gateway

   server proxmox3 <ingress_ip_3>:443 check inter 5s # third data center - IP address of the Kubernetes cluster gateway

   frontend https9

   mode tcp

   bind :9443

   default_backend https9_servers

   backend https9_servers

   mode tcp

   balance first

   option tcp-check

   timeout queue 2s

   timeout connect 2s

   timeout check 1s

   server proxmox1 <ingress_ip_1>:9443 check inter 5s # first data center - IP address of the Kubernetes cluster gateway

   server proxmox2 <ingress_ip_2>:9443 check inter 5s # second data center - IP address of the Kubernetes cluster gateway

   server proxmox3 <ingress_ip_3>:9443 check inter 5s # third data center - IP address of the Kubernetes cluster gateway

   frontend https4

   mode tcp

   bind :4443

   default_backend https4_servers

   backend https4_servers

   mode tcp

   balance first

   option tcp-check

   timeout queue 2s

   timeout connect 2s

   timeout check 1s

   server proxmox1 <ingress_ip_1>:4443 check inter 5s # first data center - IP address of the Kubernetes cluster gateway

   server proxmox2 <ingress_ip_2>:4443 check inter 5s # second data center - IP address of the Kubernetes cluster gateway

   server proxmox3 <ingress_ip_3>:4443 check inter 5s # third data center - IP address of the Kubernetes cluster gateway

   frontend ksc13000

   mode tcp

   bind :13000

   default_backend ksc13000

   backend ksc13000

   mode tcp

   balance first

   option tcp-check

   timeout queue 2s

   timeout connect 2s

   timeout check 1s

   server proxmox1 <ingress_ip_1>:13000 check inter 5s # first data center - IP address of the Kubernetes cluster gateway

   server proxmox2 <ingress_ip_2>:13000 check inter 5s # second data center - IP address of the Kubernetes cluster gateway

   server proxmox3 <ingress_ip_3>:13000 check inter 5s # third data center - IP address of the Kubernetes cluster gateway

4. Подготовка устройства администратора и целевых устройств

   Определите количество целевых устройств, на которых будет развернут кластер Kubernetes и компоненты Kaspersky Symphony XDR, в каждом центре обработки данных, а затем подготовьте устройство администратора и целевые устрйоства для развертывания Kaspersky Symphony XDR.

   Если вы выполняете развертывание в нескольких ЦОД, вы также должны настроить записи DNS таким образом, чтобы FQDN служб разрешались в IP-адрес балансировщика нагрузки, управляемого заказчиком.

   Инструкция: Развертывание в нескольких ЦОД: подготовка устройства администратора и целевых устройств

5. Подготовка устройств KUMA для установки сервисов KUMA вне кластера Kubernetes (не обязательно)

   Сервисы KUMA (коллекторы, корреляторы и хранилища) могут быть установлены внутри кластера Kubernetes, на отдельных хостах вне кластера или частично в кластере и вне его.

   Если вы хотите полностью установить сервисы KUMA на отдельных устройствах вне кластера Kubernetes или частично в кластере и вне его, вам потребуется подготовить целевые устройства KUMA к установке сервисов KUMA.

   Инструкция: Подготовка устройств KUMA к установке сервисов KUMA вне кластера Kubernetes

6. Подготовка файла инвентаря KUMA для установки сервисов KUMA вне кластера Kubernetes (не обязательно)

   Если вы хотите полностью установить сервисы KUMA на отдельных устройствах вне кластера Kubernetes или частично в кластере и вне его, вам потребуется подготовить файл инвентаря KUMA в формате YAML. Файл инвентаря KUMA содержит параметры для установки сервисов KUMA вне кластера Kubernetes.

   Инструкция: Подготовка файла инвентаря KUMA для установки сервисов KUMA вне кластера Kubernetes

7. Подготовка конфигурационного файла

   Подготовьте конфигурационный файл в формате YAML. Конфигурационный файл содержит список целевых устройств для развертывания и набор параметров для установки компонентов Kaspersky Symphony XDR.

   Если вы выполняете развертывание в нескольких ЦОД, вы также должны указать параметры регионов инфраструктуры и центров обработки данных.

   Инструкция: Развертывание в нескольких ЦОД: параметры установки

8. Развертывание Kaspersky Symphony XDR

   Разверните Kaspersky Symphony XDR с помощью KDT. KDT автоматически разворачивает кластер Kubernetes, в котором установлены компоненты Kaspersky Symphony XDR и другие компоненты инфраструктуры.

   Инструкции: Установка Kaspersky Symphony XDR.

9. Установка сервисов KUMA

   Установите сервисы KUMA (коллекторы, корреляторы и хранилища).

   Сервисы KUMA можно установить полностью внутри кластера Kubernetes, полностью на отдельных узлах вне кластера или частично внутри и частично вне кластера Kubernetes.

   Инструкция: Установка сервисов KUMA вне кластера Kubernetes

   Инструкция: Установка сервисов KUMA внутри кластера Kubernetes

10. Добавление подчиненного Сервера администрирования

    Подчиненный Сервер администрирования требуется для дальнейшей интеграции с Endpoint Agent.

    Инструкции: Добавление подчиненного Сервера администрирования.

11. Установка и интеграция с Endpoint Agent

    Установите Endpoint Agent в соответствии с документацией к Endpoint Agent:

    • Kaspersky Endpoint Security для Windows
    • Kaspersky Endpoint Security для Linux
    • Kaspersky Endpoint Security для Mac

    Настройте интеграцию с Endpoint Agent.

12. Установка и интеграция с Sandbox

    Установите Sandbox, настройте Sandbox и установите виртуальные машины в Sandbox.

    Настройте интеграцию с Sandbox.