Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2018-03-28

Product(s): NetBackup (8.1.1)

Data center unique avec Media Server Encryption Option (MSEO)

Cet unique data center avec l'exemple d'option de chiffrement de serveur de médias (MSEO) inclut généralement plus de 50 hôtes. Tous ces hôtes tournés vers l'extérieur se servent de Media Server Encryption Option (MSEO). Dans cet exemple, des client utilisent l'option MSEO pour tous les hôtes.

Le data center unique avec Media Server Encryption Option (MSEO) présente les caractéristiques suivantes :

MSEO est une option récente de NetBackup
Protège les données envoyées hors site
Des données sont encore envoyées du client en clair, impliquant un risque acceptable d'interception passive des données hors câble
La gestion des clés et le chiffrement sont gérés dans un emplacement central correspondant à un point de défaillance unique. Utiliser le cluster de haute disponibilité peut aider.
Le serveur de médias doit être robuste pour prendre en charge des clients immédiatement
Utile lorsque vous devez envoyer des bandes chiffrées hors site en épargnant la charge de chiffrement au client, opération consommatrice d'UC.
Vous devez disposer des clés pour récupérer les données. Si les clés sont perdues, les données sont perdues. (Voir les informations sur la sauvegarde de partage de clé dans le chapitre Chiffrement).

Figure : Data center unique avec MSEO présente un exemple de data center unique avec MSEO.

Figure : Data center unique avec MSEO

Le tableau suivant décrit les composants de NetBackup qui sont utilisés pour un unique data center avec MSEO.

Tableau : Composants NetBackup utilisés pour un unique data center avec MSEO

Composant	Description
Serveur maître	Communique avec le serveur de médias, les clients de MSEO 1, 2 et 3 et le client 5 de serveur Web de MSEO dans la zone démilitarisée.
Serveur de médias	Communique avec le serveur maître, les clients de MSEO 1, 2 et 3 et le client 5 de serveur Web de MSEO dans la zone démilitarisée. Le serveur de médias communique avec le périphérique MSEO qui permet à l'écriture des données cryptées sur bande pour les clients 1, 2, 3 et 5.
MSEO	Spécifie que le périphérique matériel MSEO décharge le chiffrement des clients individuels et génère des données cryptées pour les clients 1, 2, 3 et 5. Celles-ci sont ensuite enregistrées sur bande. Les performances du processeur client sont améliorées (par rapport au chiffrement côté client) à l'aide de l'appliance de l'option de chiffrement de serveur de médias (MSEO).
Bande	La bande contient les données de sauvegarde chiffrées MSEO qui sont enregistrées pour les clients 1, 2, 3 et 5. La bande chiffrée est transportée hors site dans un centre de sauvegarde pour la protection de reprise après incident. Remarque : Pour déchiffrer les données, les clés utilisées pour le chiffrement de données doivent être disponibles.
Transport	Les bandes chiffrées sont transportées par camion vers un centre de sauvegarde sécurisé hors site. Si une bande est perdue pendant le transport, le responsable du data center a potentiellement réduit le risque d'une violation de données. La violation des données a été réduite grâce au chiffrement des données.
Centre de sauvegarde hors site	Fournit un centre de stockage sécurisé à un emplacement différent du data center qui favorise la protection de reprise après incident.
Clients	Spécifie que les clients 1, 2 et 3 sont de type MSEO et le client 5 est de type serveur Web (utilisant également l'option MSEO). Les deux types peuvent être gérés par le serveur maître et leurs données chiffrées sauvegardées sur bande. La sauvegarde est exécutée par l'intermédiaire du périphérique matériel MSEO rattaché au serveur de médias. Les clients 1, 2 et 3 existent dans le data center. Le client 5 existe dans la zone démilitarisée. Le client 5 communique vers NetBackup à l'aide des ports réservés à NetBackup via le pare-feu interne. Le client 5 reçoit des connexions Internet en utilisant des ports réservés au HTTP via le pare-feu externe.
Pare-feu interne	Spécifie qu'il est utilisé par NetBackup pour accéder au client 5, serveur Web, dans la zone démilitarisée. Vous ne pouvez activer que les ports NetBackup sélectionnés et les ports de certaines applications pour transmettre des données depuis et vers la zone démilitarisée. Les ports HTTP ouverts dans le pare-feu externe ne peuvent pas passer à travers le pare-feu interne.
Zone démilitarisée (DMZ)	Fournit une zone d'opérations "sécurisée" pour le client 5 de serveur Web qui existe entre le pare-feu interne et le pare-feu externe. Le client 5 de serveur Web de la zone démilitarisée peut échanger des données avec NetBackup via le pare-feu interne en utilisant les ports NetBackup affectés. Le client 5 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP.
Pare-feu externe	Permet aux utilisateurs externes d'accéder au client 5 de serveur Web situé dans la zone démilitarisée depuis les ports Internet sur HTTP. Les ports NetBackup sont ouverts pour que le client 5 de serveur Web puisse communiquer via le pare-feu interne avec NetBackup. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 5 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet.
Internet	Internet est un ensemble de réseaux d'ordinateurs connectés entre eux par des câbles de cuivre, des câbles de fibre optique ou par des connexions sans fil. Le client 5 de serveur Web peut communiquer via Internet à l'aide de ports HTTP à travers le pare-feu externe.