1. Check Point Maestro Hyperscale Network Security — die neue skalierbare Sicherheitsplattform

Das Unternehmen Check Point hat 2019 mit mehreren Ankündigungen an Schwung gewonnen. Alles in einem Artikel zu erzählen, ist nicht möglich, daher beginnen wir mit dem Wichtigsten — Check Point Maestro Hyperscale Netzwerksicherheit. Maestro ist eine neue skalierbare Plattform, die es ermöglicht, die "Leistung" des Sicherheitsgateways auf "unverhältnismäßige" Zahlen zu steigern, und das nahezu linear. Dies wird natürlich durch die Lastverteilung zwischen einzelnen Gateways erreicht, die in einem Cluster wie eine Einheit arbeiten. Jemand könnte sagen — „Gab's! Die Blade-Plattformen 44000/64000 sind bereits verfügbar.Aber Maestro ist etwas ganz anderes. In diesem Artikel werde ich kurz erklären, was es ist, wie es funktioniert und wie diese Technologie helfen kann, die Netzwerksicherheitskosten zu senken..

Früher — Heute

Am einfachsten zu verstehen, inwiefern sich die neue skalierbare Plattform von den alten 44000/64000 unterscheidet, ist ein Blick auf das Bild unten:

Der Unterschied ist offensichtlich.

Die alte Check Point Plattform 44000/64000

Wie aus dem obigen Bild zu erkennen ist, handelt es sich beim ersten Modell um eine feste Plattform (Chassis), in die eine begrenzte Anzahl spezieller "Modul-Klingen" eingesetzt werden kann (Check Point SGM). All dies wird an Security Switch Module (SSM) angeschlossen, das den Datenverkehr zwischen den Gateways balanciert. Im folgenden Bild sind die Komponenten dieser Plattform detaillierter dargestellt:

Dies ist eine hervorragende Plattform, wenn Sie genau wissen, welche Leistung Sie derzeit benötigen und in welchem Umfang diese steigen kann. Aufgrund des festen Formfaktors (12 oder 6 Klingen) sind Sie jedoch in der weiteren Skalierung eingeschränkt. Zudem sind Sie gezwungen, ausschließlich SGM-Klingen zu verwenden, ohne die Möglichkeit, herkömmliche Appliances anzuschließen, die ein wesentlich breiteres Modellportfolio bieten. Mit der Einführung von Maestro Hyperscale Network Security ändert sich die Situation grundlegend.

Die neue Plattform Check Point Maestro Hyperscale Network Security

wurde erstmals am 22. Januar auf der CPX-Konferenz in Bangkok vorgestellt. Die Hauptmerkmale sind im folgenden Bild zu sehen:

Wie bereits erwähnt, ist der Hauptvorteil von Check Point Maestro die Möglichkeit, normale Gateways (Appliances) für das Load Balancing zu verwenden. Das bedeutet, dass wir nicht mehr auf die SGM-Blades beschränkt sind. Die Last kann zwischen beliebigen Geräten verteilt werden, beginnend mit dem Modell 5600 (SMB-Modelle und Chassis 44000/64000 werden nicht unterstützt). Auf dem obigen Bild sind die wichtigsten Kennzahlen dargestellt, die mit der neuen Plattform erreicht werden können. Wir können Ressourcen zu einem einzigen Rechenressourc bündeln. bis zu 31! Gateways. So könnte Ihre „Firewall“ jetzt aussehen:

Maestro Hyperscale Orchestrator

Ich bin sicher, viele von Ihnen haben sich bereits die Frage gestellt: „Was ist dieser Orchestrator?“ Nun, lernen Sie ihn kennen. Maestro Hyperscale Orchestrator — dieses Gerät ist verantwortlich für das Load Balancing. Auf diesem Gerät läuft das Betriebssystem Gaia R80.20 SP. Derzeit gibt es zwei Modelle von Orchestratoren — MHO-140 und MHO-170. Die Spezifikationen sind im Bild unten:

Auf den ersten Blick mag es wie ein normaler Switch erscheinen. In Wirklichkeit handelt es sich jedoch um einen „Switch + Load Balancer + Ressourcenverwaltungssystem“. Alles in einer Box.
Zu diesen Orchestratoren werden Gateways verbunden. Falls die Lastverteiler in einer ausfallsicheren Ausführung vorhanden sind, wird jedes Gateway mit jedem Orchestrator verbunden. Für die Verbindung kann „Optik“ (SFP+ / QSFP+ / QSFP28+) oder ein DAC-Kabel (Direct Attach Copper) verwendet werden. Dabei muss zwischen den Orchestratoren selbstverständlich ein Synchronisierungslink vorhanden sein:

Im Bild unten kann man sehen, wie die Ports dieser Orchestratoren verteilt sind:

Sicherheitsgruppen

Damit die Last zwischen den Gateways verteilt werden kann, müssen diese Gateways in derselben Sicherheitsgruppe sein. Sicherheitsgruppe Dies ist eine logische Gruppe von Geräten, die als aktives/aktives Cluster funktioniert. Diese Gruppe arbeitet unabhängig von anderen Sicherheitsgruppen. Aus Sicht des Management-Servers wirkt die Sicherheitsgruppe wie ein einzelnes Gerät mit einer IP-Adresse.
Bei Bedarf können wir eines oder mehrere Gateways in eine separate Sicherheitsgruppe bringen und diese Gruppe für andere Zwecke nutzen, ähnlich wie eine separate Firewall aus Management-Perspektive. Ein Beispiel für die Nutzung ist im Bild unten dargestellt:

Wichtige Einschränkung, in einer Security Group können ausschließlich identische Gateways (Modelle) verwendet werden. Das bedeutet, wenn Sie die Leistung Ihres Sicherheitsgateways (das ein Cluster aus mehreren Geräten ist) linear steigern möchten, müssen Sie exakt dieselben Gateways hinzufügen. In den kommenden Software-Versionen sollte dieses Einschränkung verschwinden.

Im folgenden Video kann der Prozess der Erstellung einer Security Group gesehen werden. Das Verfahren ist intuitiv verständlich.

Vergleicht man die Komponenten von Maestro mit der Chassis-Plattform, ergibt sich etwa folgendes Bild 'früher-später':

Was sind die Vorteile der neuen Plattform?

Es gibt in der Tat viele Vorteile, sowohl aus technischer Sicht als auch aus wirtschaftlicher Sicht. Hier sind die wichtigsten Punkte kurz zusammengefasst:

1. Wir sind im Grunde genommen nicht in der Skalierung eingeschränkt. Bis zu 31 Gateways innerhalb einer Security Group.
2. Wir können Gateways nach Bedarf hinzufügen. Das minimale Set bei der Anschaffung besteht aus einem Orchestrator + zwei Gateways. Es ist nicht notwendig, Modelle 'für die Zukunft' einzuplanen.
3. Aus dem vorherigen Punkt ergibt sich ein weiterer Vorteil. Wir müssen die Gateways, die der Last nicht mehr gewachsen sind, nicht mehr wechseln. Früher wurde dieses Problem durch ein Trade-in-Verfahren gelöst – man gab die alte Hardware ab und erhielt neue mit einem Rabatt. Bei dieser Vorgehensweise sind finanzielle „Verluste“ unvermeidlich. Das neue Verfahren mit der Skalierung beseitigt diesen Faktor. Es ist nichts abzugeben, man kann einfach die Leistung mit zusätzlicher Hardware weiter steigern.
4. Die Möglichkeit, bereits vorhandene Ressourcen für die Lastverteilung zu kombinieren. Beispielsweise können alle eigenen Cluster auf die Maestro-Plattform „gezogen“ und mehrere Security Groups gebildet werden, je nach Last.

Bundles der Maestro Hyperscale Network Security

Derzeit gibt es mehrere Optionen zur Anschaffung der sogenannten Bundles mit der Maestro-Plattform. Lösungen basierend auf den Gateways 23800, 6800 und 6500:

Dabei kann man aus zwei Standard-Konfigurationen wählen:

1. Ein Orchestrator und zwei Gateways;
2. Ein Orchestrator und drei Gateways.

Hier Die ungefähren Preise können eingesehen werden. Natürlich kann zusätzlich ein weiterer Orchestrator und beliebig viele Gateways eingeplant werden. Weitere Informationen zu den Spezifikationen können angefragt werden. hier.
Geräte 6500 und 6800 Das sind die neuesten Modelle, die ebenfalls zu Beginn dieses Jahres vorgestellt wurden. Detailliertere Informationen dazu erhalten Sie in unserem nächsten Artikel.

Wann kann man kaufen?

Darauf gibt es keine eindeutige Antwort. Derzeit gibt es keine Benachrichtigung über die Einfuhr dieser Lösungen in unser Land. Sobald Informationen zu den Fristen vorliegen, werden wir umgehend eine Ankündigung in unseren Publikationen machen (vk, telegram, facebook). Außerdem ist in naher Zukunft ein Webinar zum Check Point Maestro geplant, in dem alle technischen Besonderheiten behandelt werden. Selbstverständlich können auch Fragen gestellt werden. Halten Sie sich auf dem Laufenden!

Fazit

Die neue Plattform ist zweifellos Maestro Hyperscale Network Security ist eine hervorragende Ergänzung zu den Hardwarelösungen von Check Point. Dieses Produkt eröffnet im Wesentlichen ein neues Segment, für das nicht jeder Cybersecurity-Anbieter eine ähnliche Lösung hat. Darüber hinaus gibt es derzeit praktisch keine Alternativen zu Check Point Maestro, wenn es um die Bereitstellung solcher beispiellosen „Sicherheitsleistungen“ geht. Maestro Hyperscale Network Security wird jedoch nicht nur für Rechenzentrumsbetreiber von Interesse sein, sondern auch für gewöhnliche Unternehmen. Bereits jetzt sollten sich diejenigen, die Geräte ab Modell 5600 besitzen oder erwerben möchten, mit Maestro auseinandersetzen. In einigen Fällen kann der Einsatz von Maestro Hyperscale Network Security sowohl aus wirtschaftlicher als auch aus technischer Sicht eine äußerst lohnenswerte Lösung sein.

P.S. Der Artikel wurde mit Unterstützung von Anatoly Masovera — Experte für skalierbare Plattformen, Check Point Software Technologies.

Quelle: habr.com