2. מקרי שימוש אופייניים עבור צ'ק פוינט מאסטרו

לאחרונה הציגה צ'ק פוינט פלטפורמה חדשה להרחבה מָאֵסטרוֹ. כבר פרסמנו מאמר שלם בנושא מה זה ואיך זה עובד. בקיצור, הוא מאפשר להגדיל באופן כמעט ליניארי את הביצועים של שער האבטחה על ידי שילוב של מספר מכשירים ואיזון העומס ביניהם. באופן מפתיע, עדיין קיים מיתוס לפיו הפלטפורמה הניתנת להרחבה זו מתאימה רק למרכזי נתונים גדולים או רשתות ענק. זה ממש לא נכון.

צ'ק פוינט מאסטרו פותחה עבור מספר קטגוריות של משתמשים בו-זמנית (נסתכל עליהן מעט בהמשך), כולל עסקים בינוניים. בסדרת המאמרים הקצרה הזו אנסה לשקף יתרונות טכניים וכלכליים של צ'ק פוינט מאסטרו עבור ארגונים בינוניים (מ-500 משתמשים) ומדוע אפשרות זו עשויה להיות טובה יותר מאשכול קלאסי.

קהל היעד של צ'ק פוינט מאסטרו

ראשית, בואו נסתכל על מקטעי המשתמשים שעבורם תוכננה צ'ק פוינט מאסטרו. יש רק 4 מהם:

1. חברות חסרות יכולות שלדה. צ'ק פוינט מאסטרו אינה הפלטפורמה הניתנת להרחבה הראשונה של צ'ק פוינט. כבר כתבנו שבעבר היו דגמים כמו 64000 ו-44000. למרות שהיו להם ביצועים מעולים, עדיין היו חברות שזה לא הספיק להן. מאסטרו מבטל את החיסרון הזה, כי... מאפשר לך להרכיב עד 31 מכשירים לאשכול אחד בעל ביצועים גבוהים. במקביל, אתה יכול להרכיב אשכול ממכשירים מובילים (23900, 26000), ובכך להשיג תפוקה אדירה.

למעשה, בתחום שערי האבטחה, צ'ק פוינט היא כיום היחידה שמיישמת יכולת כזו.

2. חברות שרוצות להיות מסוגלות לבחור את החומרה שלהן. אחד החסרונות של פלטפורמות מדרגיות ישנות יותר הוא הצורך להשתמש ב"מודולי להב" מוגדרים בקפדנות (Check Point SGM). פלטפורמת צ'ק פוינט מאסטרו החדשה מאפשרת לך להשתמש במספר עצום של מכשירים שונים. ניתן לבחור בשני הדגמים מהסגמנט האמצעי (5600, 5800, 5900, 6500, 6800) ומגזרת ה-High End (סדרות 15000, סדרות 23000, סדרות 26000). יתר על כן, ניתן לשלב אותם, בהתאם למשימות.

זה מאוד נוח מנקודת מבט של שימוש מיטבי במשאבים. אתה יכול לרכוש רק את הביצועים שאתה צריך על ידי בחירת הדגם הנכון.

3. חברות שעבורן המרכב יותר מדי, אבל עדיין דרושה מדרגיות. "חיסרון" נוסף של הפלטפורמות הניתנות להרחבה הישנות (64000, 44000) היה סף הכניסה הגבוה (מנקודת מבט כלכלית). במשך זמן רב, פלטפורמות ניתנות להרחבה היו זמינות רק לעסקים גדולים עם תקציבי IT "טובים". עם כניסתו של צ'ק פוינט מאסטרו, הכל השתנה. העלות של החבילה המינימלית (מתזמר + שני שערים) דומה (ולפעמים נמוכה יותר) עם אשכול אקטיבי/המתנה קלאסי. הָהֵן. סף הכניסה ירד משמעותית. בעת בחירת פתרון, חברה יכולה להניח מיד ארכיטקטורה ניתנת להרחבה, מבלי לשלם יותר מדי עבור עלייה אפשרית בהמשך בצרכים. האם יש יותר משתמשים שנה לאחר הצגת צ'ק פוינט מאסטרו? אתה פשוט מוסיף שער אחד או שניים, ללא כל החלפה של הקיימים. אתה אפילו לא צריך לשנות את הטופולוגיה. פשוט חבר שערים חדשים למתזמר והחל עליהם הגדרות בכמה לחיצות בלבד.

4. חברות שרוצות לעשות שימוש מיטבי במכשירים קיימים. אני חושב שאנשים רבים מכירים את הליך הטרייד אין. כאשר הביצועים של המכשירים הקיימים אינם מספיקים עוד ויש לעדכן את החומרה כדי לענות על הצרכים הנוכחיים. הליך די יקר. בנוסף, לעיתים קרובות יש מצב שללקוח יש מספר אשכולות של צ'ק פוינט עבור משימות שונות. למשל, אשכול להגנה היקפית, אשכול לגישה מרחוק (RA VPN), אשכול ל-VSX וכו'. יתרה מכך, לאשכול אחד אין מספיק משאבים, בעוד שלאחר יש שפע מהם. Check Maestro היא הזדמנות מצוינת לייעל את השימוש במשאבים אלה על ידי חלוקה דינמית של העומס ביניהם.

הָהֵן. אתה מקבל את ההטבות הבאות:

• אין צורך "לזרוק" חומרה קיימת. אתה יכול לקנות שער נוסף אחד או שניים, או...
• הגדר איזון עומסים דינמי בין שערים קיימים אחרים לשימוש מיטבי יותר במשאבים. אם העומס על השער ההיקפי גדל בחדות, אז המתזמר יוכל להשתמש במשאבים "משועממים" של שערי הגישה מרחוק ולהיפך. זה עוזר להחליק שיאי עומס עונתיים (או זמניים).

כפי שוודאי הבנתם, שני הסגמנטים האחרונים מתייחסים במיוחד לעסקים בינוניים, אשר יכולים כעת להרשות לעצמם גם להשתמש בפלטפורמות אבטחה ניתנות להרחבה. עם זאת, עשויה להתעורר שאלה סבירה: "מדוע צ'ק פוינט מאסטרו עדיף על אשכול רגיל?"ננסה לענות על השאלה הזו.

אשכול קלאסי מול צ'ק פוינט מאסטרו

אם אנחנו מדברים על אשכול צ'ק פוינט הקלאסי, אז שני מצבי הפעלה נתמכים: זמינות גבוהה (כלומר פעיל/המתנה) ושיתוף עומסים (כלומר פעיל/פעיל). נתאר בקצרה את משמעות העבודה שלהם, כמו גם את היתרונות והחסרונות שלהם.

זמינות גבוהה (פעיל/המתנה)

כפי שהשם מרמז, במצב הפעלה זה, צומת אחד מעביר את כל התעבורה דרכו, והשני נמצא במצב המתנה וקולט תעבורה אם הצומת הפעיל מתחיל להיתקל בבעיות כלשהן.
יתרונות:

• המצב היציב ביותר;
• מנגנון SecureXL הקנייני נתמך כדי להאיץ את עיבוד התעבורה;
• אם הצומת הפעיל נכשל, מובטח שהשני יוכל "לעכל" את כל התעבורה (כי זה בדיוק אותו הדבר).

חסרונות:
למעשה, יש רק מינוס אחד - צומת אחד סרק לחלוטין. בתורו, בגלל זה, אנו נאלצים לקנות חומרה חזקה יותר כדי שתוכל להתמודד לבד עם התעבורה.

כמובן, מצב HA אמין יותר משיתוף עומסים, אבל אופטימיזציה של משאבים משאירה הרבה מה לרצוי.

שיתוף עומסים (פעיל/פעיל)

במצב זה, כל הצמתים באשכול מעבדים תעבורה. ניתן לשלב עד 8 מכשירים לאשכול כזה (יותר מ-4 לא מומלץ).
יתרונות:

• אתה יכול לחלק את העומס בין צמתים, מה שדורש התקנים פחות חזקים;
• אפשרות לשינוי קנה מידה חלק (הוספת עד 8 צמתים לאשכול).

חסרונות:

• באופן מוזר, היתרונות הופכים מיד לחסרונות. הם אוהבים להשתמש במצב Load Sharing גם כאשר לחברה יש רק שני צמתים. מתוך רצון לחסוך כסף, הם קונים מכשירים שכל אחד מהם נטען ב-40-50%. ונראה שהכל בסדר. אבל אם צומת אחד נכשל, אנחנו מקבלים מצב שבו כל העומס מועבר לאחד הנותר, שפשוט לא יכול להתמודד. כתוצאה מכך, אין סובלנות תקלות ככזו בתכנית כזו.
  
• הוסף לזה חבורה של הגבלות שיתוף עומסים (sk101539). והמגבלה החשובה ביותר היא ש-SecureXL אינו נתמך, מנגנון שמאיץ משמעותית את עיבוד התעבורה;
• לגבי קנה מידה על ידי הוספת צמתים חדשים לאשכול, למרבה הצער Load Sharing רחוק מלהיות אידיאלי כאן. אם נוספים לאשכול יותר מ-4 מכשירים, הביצועים מתחילים ליפול בצורה דרמטית.

בהתחשב בשני החסרונות הראשונים, על מנת ליישם סובלנות תקלות בעת שימוש בשני צמתים, אנו גם נאלצים לרכוש חומרה פרודוקטיבית יותר כדי שהיא תוכל "לעכל" תעבורה במצב קריטי. כתוצאה מכך אין לנו שום תועלת כלכלית, אבל אנחנו מקבלים סכום גדול הגבלות. יתרה מכך, ראוי לציין שהחל מגרסה R80.20, מצב Load Sharing אינו נתמך. זה מגביל את המשתמשים מהעדכונים הנדרשים. עדיין לא ידוע אם שיתוף עומסים ייתמך במהדורות חדשות יותר.

צ'ק פוינט מאסטרו כחלופה

מנקודת מבט של אשכול, צ'ק פוינט מאסטרו לקחה את היתרונות העיקריים של מצבי זמינות גבוהה ושיתוף עומסים:

• שערים המחוברים למתזמר יכולים להשתמש ב-SecureXL, המבטיח מהירות עיבוד תנועה מקסימלית. אין הגבלות אחרות הגלומות בשיתוף עומסים;
• התעבורה מפוזרת בין שערים בקבוצת אבטחה אחת (שער לוגי המורכב ממספר פיסיות). הודות לכך, אנו יכולים להתקין התקנים פחות פרודוקטיביים, מכיוון שאין לנו יותר שערים סרק, כמו במצב זמינות גבוהה. יחד עם זאת, ניתן להגדיל את ההספק כמעט באופן לינארי, ללא הפסדים רציניים כמו במצב Load Sharing (פרטים נוספים בהמשך).

כל זה נהדר, אבל בואו נסתכל על שתי דוגמאות ספציפיות.

דוגמא №1

תן לחברה X להתכוון להתקין אשכול שערים על היקף הרשת. הם כבר הכירו את כל ההגבלות של Load Sharing (שאינן מקובלות עליהם) ושוקלים באופן בלעדי את מצב High Availability. לאחר שינוי גודל, מסתבר ש-gateway 6800 מתאים להם, שאסור להעמיס עליו יותר מ-50% (על מנת שיהיה לו לפחות רזרבת ביצועים כלשהי). מכיוון שזה יהיה אשכול, אתה צריך לקנות מכשיר שני, שפשוט "יעשן" אוויר במצב המתנה. זו מעשנה מאוד יקרה.
אבל יש אלטרנטיבה. קח צרור מהמתזמר ושלושה שערים 6500. במקרה זה, התעבורה תחולק בין שלושת המכשירים. אם תסתכל על המפרט של שני הדגמים, תראה ששלושה שערים 6500 חזקים יותר מ-6800 אחד.

לפיכך, בבחירת צ'ק פוינט מאסטרו, חברת X זוכה ליתרונות הבאים:

• החברה מניחה מיד פלטפורמה ניתנת להרחבה. עלייה שלאחר מכן בביצועים תסתכם בהוספת חומרה נוספת של 6500. מה יכול להיות יותר פשוט?
• הפתרון עדיין סובלני לתקלות, כי אם צומת אחד נכשל, השניים הנותרים יוכלו להתמודד עם העומס.
• יתרון לא פחות חשוב ומפתיע הוא שזה יותר זול! לצערי, אני לא יכול לפרסם מחירים בפומבי, אבל אם אתה מעוניין, אתה יכול צור איתנו קשר לחישובים

דוגמא №2

תן לחברה Y כבר מקבץ HA של 6500 דגמים. הצומת הפעיל נטען ב-85%, מה שבזמן עומסי שיא מוביל לאובדן תעבורה פרודוקטיבית. נראה שהפתרון ההגיוני לבעיה הוא עדכון החומרה. הדגם הבא הוא 6800. כלומר. החברה תצטרך להחזיר את השערים דרך תוכנית הטרייד-אין ולרכוש שני מכשירים חדשים (יקרים יותר).
אבל יש אפשרות חלופית. קנה מתזמר ועוד אחד בדיוק אותו צומת (6500). הרכיבו מקבץ של שלושה מכשירים ו"פזרו" את 85% העומס הללו על פני שלושה שערים. כתוצאה מכך, תקבלו מרווח ביצועים עצום (שלושה מכשירים ייטענו ב-30% בלבד בממוצע). גם אם אחד משלושת הצמתים ימות, השניים הנותרים עדיין יתמודדו עם תעבורה עם עומס ממוצע של 45%. יתרה מכך, עבור עומסי שיא, אשכול של שלושה שערים פעילים 6500 יהיה חזק יותר משער 6800 אחד, הממוקם באשכול HA (כלומר פעיל/המתנה). בנוסף, אם בעוד שנה או שנתיים הצרכים של חברת Y יגדלו שוב, אז כל מה שהם יצטרכו לעשות הוא להוסיף עוד צמתים אחד או שניים של 6500. אני חושב שהתועלת הכלכלית כאן ברורה.

מסקנה

כן, צ'ק פוינט מאסטרו אינו פתרון עבור SMB. אבל גם עסק בינוני כבר יכול לחשוב על הפלטפורמה הזו ולפחות לנסות לחשב את היעילות הכלכלית. תופתעו לגלות שפלטפורמות ניתנות להרחבה יכולות להיות רווחיות יותר מאשכול קלאסי. יחד עם זאת, ישנם יתרונות לא רק כלכליים, אלא גם טכניים. עם זאת, נדבר עליהם במאמר הבא, שבו, בנוסף לטריקים טכניים, אנסה להציג מספר מקרים אופייניים (טופולוגיה, תרחישים).

אתה יכול גם להירשם לדפים הציבוריים שלנו (מברק, פייסבוק, VK, בלוג פתרונות TS), שם תוכל לעקוב אחר הופעת חומרים חדשים בצ'ק פוינט ומוצרי אבטחה אחרים.

מקור: www.habr.com