Netzwerktechnik: Mit Batfish Fehlkonfigurationen im Netz frühzeitig vermeiden

Inhaltsverzeichnis

Admins müssen laufend neue Anwendungen im Netz freigeben und dadurch viele Anpassungen etwa bei VPN-Gateways und Firewalls vornehmen. Vor allem in heterogenen Netzen kann es dabei schnell zu Konfigurationsfehlern, Netzwerkausfällen und Sicherheitslücken kommen. Hilfreich wäre es, die Konfigurationsanpassungen vor einer Änderung zu prüfen und damit schwer nachvollziehbare Fehlkonfigurationen und Totalausfälle wie jüngst bei Facebook zu vermeiden.

Mehr zu Netzwerken

• LAN-Diagnose mit dem Network Multimeter
• Software-defined WAN – eine Marktübersicht
• SD-WAN-Standard: Grundlagen und Anwendungsfälle von MEF 70
• Überblick und Hintergrundwissen zum Routingprotokoll BGP4
• Netzwerk-Monitoring mit Nagios und NEMS-Linux aufbauen
• Netzwerkanalyse: NetBrain Version 10.0 im Test
• SD-WAN für kleine Netze: Routersteuerung mit FlexiWAN praktisch erproben
• Netzwerktechnik: Mit Batfish Fehlkonfigurationen im Netz frühzeitig vermeiden
• Compute Express Link: Der Interconnect erklärt
• Content Delivery Networks: Das unbekannte Rückgrat vieler Websites
• Wie die Flut im Westen die Kommunikation lahmgelegt hat
• 10-Gigabit-Ethernet: Windows-Treiber programmieren, Netzwerkkarten wählen
• Performancemanagement für Server: Marktübersicht Application-Delivery-Controller
• VDSL-Störungen: Powerline-Optimierung gegen DSL-Unterbrechungen
• Mobilfunkdaten bei Internetausfall begrenzen bei Windows, macOS, Linux und mobil, Teil 3
• Netzwerk: Erste Hilfe und Überbrückung bei Internetausfällen, Teil 2
• Netzwerk: Wie sich Internetausfälle überbrücken lassen, Teil 1
• Single-Pair-Ethernet: Ethernet über zwei Drähte im Praxis-Check
• Das Netzwerk virtueller Maschinen unter Linux individuell anpassen

Viele Testing-Frameworks für aktive Netzwerkkomponenten wie Router und Switches können Livetests erst nach den Changes an den Konfigurationen durchführen – also eigentlich zu spät. Dagegen konzentrieren sich die meisten Automatisierungstools auf das Konfigurationsmanagement und nicht auf das Validieren oder die Analyse der geplanten Changes. Dennoch möchte man etwa vor dem Ändern der Firewallrichtlinien die gewünschte Konfiguration mit den zu erlaubenden oder zu verbietenden Daten testen. Nach Möglichkeit sollten sich automatisierte Flows betriebskritischer Anwendungen, sei es ein CRM-, ein ERP-System oder ein Videokonferenzsystem, ebenso wie VDI-Plattformen (Virtual Desktop Infrastructure) zur Prüfung heranziehen lassen.

Man benötigt also ein Testing-Framework, das den Deployment- und Change-Prozess im Netz unter Beibehaltung der Qualität beschleunigen kann und vor dem eigentlichen Deployment ansetzt. Ein solches Werkzeug ist Batfish. Das Open-Source-Tool zur Analyse von Netzwerkkonfigurationen soll die Sicherheit, Verlässlichkeit und Compliance mit der Organisationsrichtlinie sicherstellen. Seine Entwicklung begann 2012 als Forschungsprojekt von Microsoft. Seit 2014 steht es unter der Apache-2.0-Lizenz. Es kommt vor allem zur Konfigurationsanalyse in der Pre-Deployment-Phase zum Einsatz.

Das war die Leseprobe unseres heise-Plus-Artikels "Netzwerktechnik: Mit Batfish Fehlkonfigurationen im Netz frühzeitig vermeiden". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.