Распространение MongoDB по регионам EC2

Question

Я хочу распределить защищенную / реплицированную установку MongoDB по нескольким регионам Amazon EC2.Этот трафик уже зашифрован MongoDB, или я могу дополнительно настроить это?Или Amazon предлагает специальное VPN-соединение между своими центрами обработки данных?

Answer 1

Вчера я ответил на аналогичный вопрос о Apache Cassandra: Защита связи Cassandra с TLS / SSL .

Мой опыт был, в частности, с Amazon, если вы можете настроить VPN-сеть между вашими экземплярами, чтобы гарантировать, что все в безопасности.Интересный факт, с которым мы столкнулись при реализации нашей VPN-сети поверх EC2, заключается в том, что она ускорила время отклика ... Мы выбрали Vyatta и до сих пор были очень довольны,Он может быть полностью виртуализирован ... и позволяет нам соединять зоны, регионы и центры обработки данных (amazon, а не amazon)

Другой вариант - использовать Amazon Virtual Private Cloud :

• Создайте виртуальное частное облако Amazon на масштабируемой инфраструктуре AWS и укажите диапазон его частных IP-адресов из любого выбранного вами диапазона.
• Разделите диапазон частных IP-адресов вашего VPC на один или несколько общедоступных иличастные подсети для облегчения работы приложений и сервисов в вашем VPC.
• Управление входящим и исходящим доступом к отдельным подсетям и из них с помощью списков управления доступом к сети.
• Храните данные в Amazon S3 и устанавливайте разрешения таким образом, чтобыдоступ к данным возможен только из вашего Amazon VPC.
• Прикрепите IP-адрес Amazon Elastic к любому экземпляру в вашем VPC, чтобы к нему можно было обращаться напрямую из Интернета.
• Соедините свой VPC иваша локальная ИТ-инфраструктура с зашифрованным соединением VPN, расширяясуществующие политики безопасности и управления для ваших экземпляров VPC, как если бы они работали в вашей инфраструктуре.

Vyatta имеет хороший график, показывающий, как VPC и Vyatta (или любое другое корпоративное VPN-решение) могут соединяться вместе (какпо последнему пункту выше):

• http://www.vyatta.com/sites/vyatta.com/files/images/Vyatta_Amazon.png

• http://www.vyatta.com/solutions/amazon

Iне работайте на Вятту ... просто как хорошо, что нам удалось заставить все работать без покупки мега-дорогого оборудования cisco

Answer 2

Согласно [mongo docs] возможно, что Mongo использует SSL.Можно было бы либо скомпилировать монго с флагом --ssl, либо использовать коммерческое издание.Благодаря SSL-монго вся связь между БД и клиентом, а также связь между наборами реплик и арбитром защищена (см. faq ).

Кто-нибудь на самом деле пробовал этот подход?Есть ли недостатки?

Answer 3

Монго связь через реплики не зашифрована.Таким образом, вы на вашем.Вы можете создавать реплики по зонам доступности в регионе

Answer 4

Если вы не используете EC2, эти решения на самом деле не подходят.Есть и другой способ - настроить собственный независимый VPC-провайдер IaaS.У vCider есть решение для этого, которое хорошо работает как с Mongo, так и с Cassandra.Для Cassandra защита трафика клиент / БД особенно болезненна, поскольку нет встроенного шифрования.

Хороший пример того, как все это работает здесь:

http://www.vcider.com/vpc-deployments/secure-saas

Что касается Cassandra, здесь есть некоторая информация о тестах.

http://blog.vcider.com/2011/09/virtual-networks-can-run-cassandra-up-to-60-faster/

С собственным шифрованием в ядре вы можете работать намного быстрее.

Answer 5

Вы сами по себе с шифрованием данных, передаваемых между регионами EC2. Amazon не гарантирует, что они будут подключены к частным каналам, поэтому вы должны предположить, что они работают в общедоступных сетях.