1. Check Point Maestro Hyperscale Network Security — uus skaleeritav turbeplatvorm

Ettevõte Check Point alustas 2019. aastat üsna aktiivselt, tehes mitmeid kuulutusi. Rääkida kõigest ühes artiklis ei õnnestu, seega alustame kõige olulisemast — Check Point Maestro hübriidvõrgu turvalisus. Maestro on uus skaleeritav platvorm, mis võimaldab suurendada turvagæti "võimsust" "uskumatutesse" numbristesse ja praktiliselt lineaarselt. See saavutatakse loomulikult koormuse tasakaalustamise kaudu eraldi turvagætide vahel, mis töötavad klastris nagu üks olend. Keegi võib öelda — "Oli! Juba on olemas blade-platvormid 44000/64000". Kuid Maestro on hoopis midagi muud. Käesolevas artiklis püüan lühidalt selgitada, mis see on, kuidas see toimib ja kuidas see tehnoloogia aitab säästa võrgu perimeetri kaitsmisel.

Oli — Sai

Kõige lihtsam on mõista, kuidas uus skaleeritav platvorm erineb vanadest headest 44000/64000 platvormidest, vaadata allolevat pilti:

Erinevus on ilmne.

Vana platvorm Check Point 44000/64000

Nagu näha ülalolevalt pildilt, esindab esimene variant fikseeritud platvormi (šassi), kuhu saab paigutada piiratud hulga spetsiaalseid "blade-mooduleid" (Check Point SGM). Kõik see on ühendatud Security Switch Module (SSM), mis tasakaalustab liiklust turvagætide vahel. Alloleval pildil on selle platvormi koostisosad esitatud üksikasjalikumalt:

See on suurepärane platvorm, kui te täpselt teate, milline jõudlus on teil praegu vajalik ja millistes piirides see võib kasvada. Kuid fikseeritud vormifaktori (12 või 6 lülitit) tõttu olete edaspidises skaleerimises piiratud. Lisaks peate kasutama ainult SGM lüliteid, ilma tavapäraste apilainigate, millel on palju laiem mudelivalik. Koos Maestro Hyperscale Network Security muutub olukord kardinaalselt.

Uus platvorm Check Point Maestro Hyperscale Network Security

Check Point Maestro esitati esmakordselt 22. jaanuaril konverentsil CPX Bangkokis. Peamised omadused on nähtavad alloleval pildil:

Nagu võib näha, on Check Point Maestro peamine eelis võimalus kasutada koormuse tasakaalustamiseks tavalisi väravaid (appliance). See tähendab, et me ei ole enam piiratud SGM lõikes. Koormust saab jaotada mistahes seadmete vahel, alustades mudelist 5600 (SMB mudelid ja šassii 44000/64000 ei ole toetatud). Ülaltoodud pildil on toodud peamised näitajad, mida saab saavutada uue platvormi kasutamisel. Saame ühendada üheks arvutusressursiks. kuni 31! väravat. Nüüd võib teie "tulekahju sein" välja näha järgmiselt:

Maestro Hyperscale Orkestrator

Olen kindel, et paljusid huvitab juba küsimus: “Mis asi on see Orkestrator?” Noh, tutvuge. Maestro Hyperscale Orkestrator — just see seade vastutab koormuse tasakaalustamise eest. Selle seadme peal on installitud operatsioonisüsteem Gaia R80.20 SP. Praegusel hetkel on olemas kaks mudelit Orkestratoreid — MHO-140 ja MHO-170. Spetsifikatsioonid on toodud alloleval pildil:

Esmapilgul võib tunduda, et see on tavaline lüliti. Tegelikult on tegemist “lülik+ koormuse tasakaalustaja + ressursside haldussüsteemiga”. Kõik ühes kastis.
Nendele Orkestratoritele on ühendatud väravad. Kui koormuse tasakaalustajad on ebaõnnestumise kestuses, siis on iga värav ühendatud iga orkestratoriga. Ühendamiseks võib kasutada “optikat” (sfp+ / qsfp+ / qsfp28+) või DAC kaablit (Otsekaabelduse vask). Samuti peab orkestratorite vahel olema loomulikult sünkroonimislink:

Alloleval pildil on näha, kuidas jaotatakse nende orkestratorite porte:

Turvagrupped

Selleks, et koormus saaks jaotuda väravate vahel, peavad need väravad kuuluma ühte Turvagruppi. Turgrupp see on loogiline seadmete rühm, mis toimib nagu active/active klaster. See rühm toimib sõltumatult teistest Turvagruppidest. Halduse seisukohalt näeb turvaserver Turvagruppi nagu ühte seadet ühe IP-aadressiga.
Vajadusel saame viia ühe või mitu väravat eraldi Turvagruppi ja kasutada seda rühma teiste eesmärkide jaoks, nagu eraldi tulekahju sein halduse seisukohalt. Kasutuse näide on toodud alloleval pildil:

Oluline piirang, ühes Security Groupis võivad olla kasutusel ainult sama mudeli väravad. See tähendab, et kui soovite oma turvavärava (mis koosneb mitmest seadmest) võimsust järk-järgult suurendada, peate lisama täpselt samad väravad. Tulevastes tarkvaraväljaannetes see piirang kaob.

Allolevas videos on näha Security Groupi loomise protsess. Protseduur on intuitiivselt arusaadav.

Jällegi, kui võrrelda Maestro komponente šassiiplatvormiga, saame umbes järgmise pildi "oli-on":

Milline on uue platvormi kasu?

Plussid on tegelikult palju, nii tehnilisest kui ka majanduslikust vaatenurgast. Kirjeldan lühidalt kõige olulisemaid:

1. Me ei ole praktiliselt piiratud skaleeritavuses. Kuni 31 väravat ühes Security Groupis.
2. Saame väravaid vajadusel lisada. Minimaalne komplekt ostmisel – üks orkestrator + kaks väravat. Ei ole vaja mudeleid “kasvu jaoks” planeerida.
3. Eelmises punktis tuleneb veel üks pluss. Me ei pea enam vahetama väravaid, mis ei suuda koormust taluda. Varem lahendati see probleem trade-in protseduuriga – andsid vana “raua” tagasi ja said uue soodushinnaga. Selle skeemi puhul on vältimatud rahalised “kahjud”. Uus skaleerimise protseduur kõrvaldab selle teguri. Mitte midagi pole vaja tagasi anda, saab lihtsalt jätkata tootlikkuse suurendamist täiendava “raua” abil.
4. Võimalus ühendada juba olemasolevaid ressursse koormuse jaotamiseks. Näiteks saab “üle tuua” kõik oma klastrid Maestro platvormile ja luua mitu Security Groupi, sõltuvalt koormusest.

Maestro Hyperscale Network Security paketid

Praegu on saadaval mitu valikut nii-öelda bändlite ostmiseks Maestro platvormiga. Lahendus väravate põhjal 23800, 6800 ja 6500:

Samuti on võimalik valida kahe standardse konfiguratsiooni vahel:

1. Üks orkestrator ja kaks väravat;
2. Üks orkestrator ja kolm väravat.

Siin saab vaadata suuniseid hindu. Loomulikult saab lisaks liita veel ühe orkestratori ja nii palju väravaid kui soovite. Täiendavat teavet spetsifikatsioonide kohta saab küsida. siin.
Seadmed 6500 ja 6800 need on uusimad mudelid, mis esitati samuti selle aasta alguses. Kuid neist räägime üksikasjalikumalt juba järgmises artiklis.

Millal on võimalik osta?

Siin pole ühte määratud vastust. Praegu puudub teave nende lahenduste sissetoomise kohta meie riiki. Kui teave tähtaegade kohta ilmub, teeme kohe väljakuulutuse meie kanalites (vk, telegram, facebook). Lisaks on lähitulevikus plaanis veebiseminar, mis on pühendatud Check Point Maestro lahendusele, kus käsitletakse kõiki tehnilisi üksikasju. Muidugi saab esitata ka huvipakkuvaid küsimusi. Jälgige uuendusi!

Kokkuvõte

Ilmselt on uus platvorm Maestro Hyperscale Network Security suurepärane täiendus Check Pointi riistvaralahendustele. Sisuliselt avab see toode uue segmendi, mille jaoks kaugeltki mitte igal küberturbe müüjal ei ole sarnast lahendust. Veelgi enam, tänaseks Check Point Maestro'l praktiliselt ei ole alternatiive, kui räägime sellise pretsedendituks jõudluse tagamisest. Kuid Maestro Hyperscale Network Security on huvitav mitte ainult andmekeskuste omanikele, vaid ka tavalistele ettevõtetele. „Maestro'le vaatamine” peaks olema aktuaalne juba neile, kes omavad või kavandavad seadmete ostmist alates mudelist 5600. Mõnel juhul võib Maestro Hyperscale Network Security osutuda äärmiselt kasulikuks lahenduseks nii majanduslikult kui ka tehniliselt.

P.S. Artikkel on koostatud Anatoli Masoveri — skaala kaasaegsete platvormide ekspert, Check Point Software Technologies.

Allikas: habr.com