Společnost Check Point s velkým úspěchem zahájila rok 2019 a oznámila hned několik novinek. O všem se v jednom článku nedá říct, takže začneme tím nejdůležitějším — . Maestro je nová škálovatelná platforma, která umožňuje zvyšovat "výkon" bezpečnostní brány na "nepřístojné" hodnoty a prakticky lineárně. Toho je dosaženo přirozeně díky vyvažování zátěže mezi jednotlivými bránami, které pracují v clusteru jako jedna entita. Někdo může říct — "Bylo! Už existují blade platformy 44000/64000". Nicméně Maestro je úplně něco jiného. V rámci tohoto článku se pokusím stručně vysvětlit, co to je, jak to funguje a jak tato technologie pomůže ušetřit na ochraně síťového perimetru.
Bylo — Stalo se
Nejjednodušší způsob, jak pochopit, čím se nová škálovatelná platforma liší od starých dobrých 44000/64000, je podívat se na obrázek níže:
Rozdíl je zřejmý.
Starší platforma Check Point 44000/64000
Jak je vidět z obrázku výše, první varianta představuje pevnou platformu (šasi), do které lze vložit omezený počet specializovaných "modulových nožů" (Check Point SGM). Všechno to je připojeno do Security Switch Module (SSM), který provádí vyvažování provozu mezi bránami. Na obrázku níže jsou podrobněji znázorněny součásti této platformy:
To je skvělá platforma v případě, že přesně víte, jaký výkon potřebujete nyní a v jakých mezích může růst. Nicméně kvůli pevnému formátu (12 nebo 6 nožů) jste omezeni v dalším škálování. Navíc musíte používat výhradně SGM nože, bez možnosti připojení běžných uplinků, jejichž modelový sortiment je mnohem širší. S příchodem Maestro Hyperscale Network Security se situace zásadně mění.
Nová platforma Check Point Maestro Hyperscale Network Security
Check Point Maestro byl poprvé představen 22. ledna na konferenci CPX v Bangkoku. Hlavní charakteristiky lze vidět na obrázku níže:
Jak lze poznamenat, hlavní výhodou Check Point Maestro je možnost používat pro vyvažování běžné brány (appliance). Tj. už nejsme omezeni na SGM blade. Zátěž lze rozdělovat mezi jakákoliv zařízení od modelu 5600 (SMB modely a šasi 44000/64000 nepodporovány). Na obrázku výše jsou uvedeny hlavní ukazatele, kterých lze dosáhnout pomocí nové platformy. Můžeme spojit do jednoho výpočetního zdroje až 31! brán. Nyní může váš „firewall“ vypadat následovně:
Maestro Hyperscale Orchestrator
Jsem si jistý, že mnohé už napadla otázka: „Co to je Orchestrátor?“ No, seznamte se. Maestro Hyperscale Orchestrator — právě tato věc odpovídá za vyvažování zátěže. Na tomto zařízení je nainstalován operační systém Gaia R80.20 SP. V současnosti existují dva modely Orchestrátorů — MHO-140 a MHO-170. Vlastnosti jsou na obrázku níže:
Na první pohled se může zdát, že je to běžný switch. Ve skutečnosti je to „switch + vyvažovač + systém správy zdrojů“. Vše v jedné krabici.
K těmto Orchestrátorům se připojují brány. V případě, že jsou vyvažovače v redundantním provedení, každá brána se připojuje k každému orchestrátoru. Pro připojení se může použít „optika“ (sfp+/qsfp+/qsfp28+) nebo DAC kabel (Direct Attach Copper). Mezi orchestrátory by samozřejmě měl být link pro synchronizaci:
Na obrázku níže můžete vidět, jak jsou rozděleny porty těchto orchestrátorů:
Bezpečnostní skupiny
Aby bylo možné rozdělovat zátěž mezi brány, musí být tyto brány ve stejné skupině Security Group. Skupina zabezpečení to je logická skupina zařízení, která funguje jako cluster active/active. Tato skupina funguje nezávisle na ostatních Security Groups. Z pohledu správy serveru vypadá Security Group jako jedno zařízení s jednou ip adresou.
V případě potřeby můžeme vyvést jednu nebo více brán do samostatné Security Group a použít tuto skupinu pro jiné účely, jako samostatný firewall z hlediska správy. Příklad použití je uveden na obrázku níže:
Důležité omezení, v jeden Security Group mohou být používány pouze stejné brány (model). Tj. pokud chcete lineárně zvyšovat výkon vaší bezpečnostní brány (která je shluku několika zařízení), musíte přidávat přesně takové stejné brány. V nejbližších vydáních softwaru by toto omezení mělo zmizet.
Na videu níže můžete vidět proces vytváření Security Group. Postup je intuitivní.
Opět, pokud porovnáme komponenty Maestro s šasi platformou, ukáže se přibližně následující obrázek “bylo-stalo”:
Jaké jsou výhody nové platformy?
Ve skutečnosti je výhod mnoho, jak z technického pohledu, tak z ekonomického. Stručně vyjmenuji ty nejdůležitější:
- Jsme prakticky neomezeni v škálování. Až 31 bran v rámci jedné Security Group.
- Můžeme přidávat brány podle potřeby. Minimální soubor při nákupu – jeden orchestrátor + dvě brány. Není potřeba plánovat modely “na růst”.
- Z předchozího bodu vyplývá další výhoda. Už nemusíme měnit brány, které přestaly zvládat zátěž. Dříve se tento problém řešil pomocí procedury trade-in – odevzdali jsme staré “železo” a dostali nové se slevou. Při této schématu jsou nevyhnutelné finanční “ztráty”. Nový postup se škálováním eliminuje tento faktor. Nic se nemusí odevzdávat, stačí jen pokračovat ve zvyšování výkonu pomocí dalšího “železa”.
- Možnost spojení již existujících zdrojů pro rozdělení zátěže. Například můžete “přenést” všechny své clustery na platformu Maestro a sestavit několik Security Group, opět podle zátěže.
Bandy Maestro Hyperscale Network Security
V současné době existuje několik možností zakoupení takzvaných bandů s platformou Maestro. Řešení na bázi bran 23800, 6800 a 6500:
Přitom si můžete vybrat ze dvou standardních typů vybavení:
- Jeden orchestrátor a dvě brány;
- Jeden orchestrátor a tři brány.
můžete se podívat na orientační ceny. Pochopitelně si můžete také přidat další orchestrátor a tolik brán, kolik chcete. Další informace o specifikacích lze požadovat. .
Zařízení 6500 a 6800 to jsou nejnovější modely, které byly také představeny na začátku tohoto roku. Ale o nich budeme podrobněji hovořit až v dalším článku.
Kdy bude možné koupit?
Na tuto otázku neexistuje jednoznačná odpověď. V současné době není k dispozici oznámení o dovozu těchto řešení do naší země. Jakmile budou k dispozici informace o termínech, okamžitě to oznámíme na našich profilech (, , ). Kromě toho se v blízké době plánuje webinář věnovaný řešení Check Point Maestro, kde budou probrány všechny technické aspekty. A samozřejmě budete moci položit zajímavé dotazy. Sledujte novinky!
Závěr
Bezpochyby, nová platforma je vynikajícím přírůstkem do hardwarových řešení Check Point. V podstatě tento produkt otevírá nový segment, pro který nemá téměř žádný dodavatel kybernetické bezpečnosti podobné řešení. Navíc, v současné době má Check Point Maestro prakticky žádné alternativy, pokud jde o zajištění tak bezprecedentní "bezpečnostní síly". Nicméně Maestro Hyperscale Network Security bude zajímavé nejen pro majitele datacenter, ale i pro běžné společnosti. "Zaměřit se" na Maestro mohou již ti, kteří vlastní nebo plánují zakoupit zařízení počínaje modelem 5600. V některých případech se používání Maestro Hyperscale Network Security může ukázat jako velmi výhodné řešení z ekonomického i technického hlediska.
P.S. Článek byl připraven ve spolupráci s Anatolijem Masoverem — expertem na škálovatelné platformy, Check Point Software Technologies.
Zdroj: habr.com
