1. Check Point Maestro Hyperscale Network Security — uus skaleeritav turbeplatvorm

Check Point alustas 2019. aastat tõeliselt jõuliselt, tehes mitu olulist teadet. Kõike ühes artiklis käsitleda ei õnnestu, seega alustame kõige tähtsamast — Check Point Maestro Hyperscale Network Security. Maestro on uus skaleeritav platvorm, mis võimaldab turvarežiimi "võimsuse" suurendamist "ebaviisakate" numbriteni ja peaaegu lineaarselt. See saavutatakse loomulikult koormuse jaotamise kaudu eraldi väravate vahel, mis töötavad klastrina kui üks tervik. Keegi võib öelda — "Oli! Juba olemas bлейд-platvormid 44000/64000". Kuid Maestro on hoopis midagi muud. Käesolevas artiklis püüan lühidalt selgitada, mis see on, kuidas see töötab ja kuidas see tehnoloogia aitab säästa võrgu perimeetri kaitsmisel.

Oli — On

Uue skaleeritava platvormi erinevuse selgemini mõistmiseks võrreldes vanade head 44000/64000-ga, vaadake allolevat pilti:

Erinevus on ilmne.

Vana platvorm Check Point 44000/64000

Like seen in the image above, the first option is a fixed platform (chassis), into which a limited number of special “blade modules” can be inserted (Check Point SGM). All this connects to the Security Switch Module (SSM), which handles load balancing between the gateways. The image below shows the components of this platform in more detail:

This is an excellent platform if you know exactly what performance you need now and within what limits it can grow. However, due to the fixed form factor (12 or 6 blades), you are limited in future scaling. Moreover, you are forced to use only SGM blades, with no option to connect regular appliances that have a much wider model range. With the emergence of Maestro Hyperscale Network Security , the situation changes dramatically.

The new Check Point Maestro Hyperscale Network Security

Check Point Maestro was first introduced on January 22 at the CPX conference in Bangkok. The main features can be seen in the image below:

Nagu võib märkida, on Check Point Maestro peamine eelis võimalus kasutada tavalisi väravaid (appliance) koormuse tasakaalustamiseks. See tähendab, et me ei ole enam piiratud SGM teradega. Koormust saab jaotada mis tahes seadmete vahel alates mudelist 5600 (SMB mudelid ja Šassii 44000/64000 ei ole toetatud). Ülaltoodud pildil on esitatud peamised näitajad, mida uue platvormi kasutamisega saavutada saab. Saame ühendada üheks arvutusressursiks kuni 31! väravat. Nüüd võib teie "tulekindel sein" välja näha järgmiselt:

Maestro Hyperscale Orchestrator

Olen kindel, et paljusid huvitab juba küsimus: “Mis asi on see Orkestator?” Tutvustame siis. Maestro Hyperscale Orchestrator — just see seade vastutab koormuse tasakaalustamise eest. Sellel seadmel on installitud operatsioonisüsteem Gaia R80.20 SP. Hetkel on kaks mudelit Orkestatoreid — MHO-140 ja MHO-170. Omadused on esitatud alloleval pildil:

Esmapilgul võib tunduda, et see on tavaline lüliti. Tegelikult on see “lüliti + tasakaalustaja + ressursihalduse süsteem.” Kõik ühes kastis.
Orkestreeridele ühendatakse väravad. Kui tasakaalustajad on usaldusväärsetes seadmetes, siis iga värav on ühendatud iga orkestreerijaga. Ühendamiseks võib kasutada 'optikat' (sfp+ / qsfp+ / qsfp28+) või DAC kaablit (Direct Attach Copper). Samas peab orkestreerijate vahel olema loomulikult sünkroniseerimise link:

Alloleval pildil on näha, kuidas jaotatakse nende orkestreerijate porte:

Turvagrupp

Kuna koormus peab olema jaotatud väravate vahel, peavad need väravad olema samas Turvagrupis. Turvagrupp see on seadmete loogiline rühm, mis funktsioneerib nagu active/active klaster. See rühm toimib sõltumatult muudest Turvagruppidest. Juhtimisserveri vaatenurgast näeb Turvagrupp välja nagu üks seade ühe IP-aadressiga.
Vajadusel saame välja tuua ühe või mitu väravat eraldi Turvagrupis ja kasutada seda gruppi teiste eesmärkide saavutamiseks kui eraldi tulemüüri juhtimise vaatenurgast. Näide kasutamisest on esitatud alloleval pildil:

Oluline piirang, ühes Security Group saavad kasutada ainult sama tüüpi väravad (mudel). See tähendab, et kui soovite oma turvavärava jõudlust lineaarselt suurendada (mis on mitmete seadmete klaster), peate lisama täpselt samasid väravaid. Tulevastes tarkvaraväljaannetes peaks see piirang kaduma.

Alloleval videol on näha Security Groupi loomise protsessi. Protseduur on intuitiivne.

Igal juhul, kui võrrelda Maestro komponente šassiiplatvormiga, tuleb välja ligikaudu järgmine pilt "oli - on":

Milline on uue platvormi eelis?

Eeliseid on tegelikult palju, nii tehnilisest kui ka majanduslikust vaatenurgast. Kirjeldan lühidalt kõige olulisemaid:

1. Me ei ole praktiliselt piiratud skaleerimise osas. Kuni 31 väravat ühe Security Groupi raames.
2. Saame lisada väravaid vastavalt vajadusele. Minimaalne komplekt ostmisel — üks orkestritor + kaks väravat. Ei ole vaja arvestada mudelite „kasvuks“.
3. Eelnevatest punktidest tuleneb veel üks eelis. Me ei pea enam vahetama väravaid, mis enam koormusega hakkama ei saa. Varem lahendati see probleem trade-in protseduuri kaudu — vana „rauda“ anti üle ja saadi uus soodustusega. Selle skeemi puhul on finantsilised „kaotused“ paratamatud. Uus skaleerimise protseduur kõrvaldab selle faktori. Mitte midagi ei pea üle andma, saab lihtsalt jätkata jõudluse suurendamist täiendava „rauda“ abil.
4. Võimalus liita juba olemasolevaid ressursse koormuse jaotamiseks. Näiteks saab kõik oma klastrid platvormile Maestro “tõmmata” ja luua mitu Security Groupi, sõltuvalt koormusest.

Maestro Hyperscale Network Security bändlid

Hetkel on saadaval mitu võimalust nn bändlite soetamiseks platvormiga Maestro. Lahendus väravate põhjal 23800, 6800 ja 6500:

Selle juures saab valida kahe standardse komplekteerimistüübi vahel:

1. Üks orkestrator ja kaks väravat;
2. Üks orkestrator ja kolm väravat.

Siit siit saad vaadata suuniseid hindade kohta. Loomulikult saab lisada ka teise orkestratori ja palju väravaid. Täiendavat teavet spetsifikatsioonide kohta saab küsida siit.
Seadmed 6500 ja 6800 Need on uusimad mudelid, mis tutvustati ka selle aasta alguses. Räägime neist juba põhjalikumalt järgmises artiklis.

Millal saab osta?

Siin pole ühtset vastust. Praegu puudub teade nende lahenduste riiki toomise kohta. Nii pea kui teave tähtaegade kohta ilmub, teeme kohe oma sotsiaalmeediakanalites teate (vk, telegram, facebook). Lisaks toimub varsti veebiseminar, mis on pühendatud Check Point Maestro lahendusele, kus käsitletakse kõiki tehnilisi nüansse. Ja loomulikult saab esitada huvitavaid küsimusi. Jälgige uuendusi!

Kokkuvõte

Muidugi, uus platvorm Maestro Hyperscale Network Security on suurepärane täiendus Check Pointi riistvaralahendustes. Tegelikult avab see toode uue segmendi, kus kaugel mitte igal küberturbe tarnijal pole sarnast lahendust. Veelgi enam, tänaseks on Check Point Maestro jaoks praktiliselt mitte ühtegi alternatiivi, kui jutt käib niivõrd enneolematu „turvavõimsuse“ tagamisest. Siiski huvitab Maestro Hyperscale Network Security mitte ainult andmekeskuste omanikke, vaid ka tavalisi ettevõtteid. Need, kes omavad või plaanivad soetada seadmeid alates 5600 mudelist, saavad juba Maestro vastu huvi tunda. Teatud olukordades võib Maestro Hyperscale Network Security osutuda väga kasulikuks lahenduseks nii majanduslikult kui ka tehniliselt.

P.S. Artikkel on koostatud Anatoli Masoveriga — Skaalautuvate platvormide ekspert, Check Point Software Technologies.

Allikas: habr.com