Cisco Cisco Prime Network Services Controller 3.0 Livre blanc

 

 

© 2014 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 

Page 13 of 24 

Zones are divided into types. The zone type defines the connectivity characteristics (where it is connected to) and 
the security level provided for the zone’s networks (which services apply to that zone). It is common to define a 

dynamically constructed VDC with four zone types: 

● 

Public zone: Connected directly to the public Internet, no restrictions by default, communication can be 

blocked by compute firewall rules 

● 

Public protected zone: Connected to the public Internet through a firewall, communication restricted by 

default, can be allowed by edge or compute firewall rules 

● 

Private zone: Connected directly to a private network accessed through tenant premises, no restrictions by 

default, communication can be blocked by compute firewall rules 

● 

Private protected zone: Connected to the private network through a firewall, communication restricted by 

default, can be allowed by edge or compute firewall rules 

Intrazone traffic is allowed by default but can be protected by compute firewall like VSG. 

Interzone traffic is blocked by default but can be allowed through a firewall device. 

Users are divided into public users and private users and are made a point of reference for firewall rules. 

Zone isolation rules: 

Public zone: Can only connect to public users and to public protected zone 

Private zone: Can only connect to private users and to private protected zone 

Public protected: Can connect to public users, public zone, and private protected zone 

Private protected: Can connect to private users, private zone, and public protected zone 

Public zone and private zone are then kept isolated. Load-balancing and IP services are provided per zone. 

Those zone definitions can define multitier and multihierarchy networking automation for building up to 45 different 

VDC topologies for each tenant with the different services variances per zone and across zones. 

Shared zone: Mostly in service provider environment a fifth zone type might be introduced; this zone type defines 

an area where multiple tenants share the same routed networks. 

A VR is an IaaS atomic object that defines an isolated per tenant private router. The VR should provide routing 

services for different networks in the same zone. A VR can be created using the VM form factor; physical appliance 

form factor or hypervisor kernel based (hypervisor distributed routing using overlay networks) or network based 

(like MPLS/VPN). In all cases it needs to be assigned to a certain zone for a certain tenant. 

A virtual firewall (VFW) is an IaaS atomic object that defines an isolated per tenant firewall instance that facilitates 

security policies for a certain zone type. Cisco uses compute or edge firewall types (see appliance types). An edge 

virtual firewall instance can connect to multiple zones and isolate them by default, allowing only specific defined 

application flows across different zones. Firewall rules defined on the VFW will specify how traffic is handled based 

on originating application attributes (compute-based attributes like name of the host, name of the application, and 

so on), traffic type, or source and destination flow details (IP TCP/User Datagram Protocol [UDP]).