2. Check Point Maestro의 일반적인 사용 사례

가장 최근에 Check Point는 새로운 확장 가능한 플랫폼을 선보였습니다. 마에스트로. 우리는 이미에 대한 전체 기사를 게시했습니다. 그것은 무엇이며 어떻게 작동합니까?. 즉, 여러 장치를 결합하고 장치 간의 로드 균형을 조정하여 보안 게이트웨이의 성능을 거의 선형적으로 향상시킬 수 있습니다. 놀랍게도 이 확장 가능한 플랫폼은 대규모 데이터 센터나 대규모 네트워크에만 적합하다는 신화가 여전히 존재합니다. 이것은 절대 사실이 아닙니다.

Check Point Maestro는 중간 규모 기업을 포함하여 여러 범주의 사용자를 동시에(조금 나중에 살펴보겠습니다) 위해 개발되었습니다. 이 짧은 기사 시리즈에서 나는 반영하려고 노력할 것입니다 중간 규모 조직(사용자 500명 이상)을 위한 Check Point Maestro의 기술 및 경제적 이점과 이 옵션이 클래식 클러스터보다 나은 이유.

체크포인트 마에스트로 타겟층

먼저 Check Point Maestro가 설계된 사용자 세그먼트를 살펴보겠습니다. 그 중 4개만 있습니다:

1. 섀시 역량이 부족한 기업. Check Point Maestro는 Check Point의 첫 번째 확장 가능한 플랫폼이 아닙니다. 우리는 이전에 64000 및 44000과 같은 모델이 있었다고 이미 썼습니다. 비록 성능이 훌륭했지만 이것이 충분하지 않은 회사가 여전히 있었습니다. Maestro는 이러한 단점을 제거합니다. 왜냐하면... 최대 31개의 장치를 하나의 고성능 클러스터로 조립할 수 있습니다. 동시에 최고급 장치(23900, 26000)에서 클러스터를 조립하여 엄청난 처리량을 달성할 수 있습니다.

실제로 보안 게이트웨이 분야에서 Check Point는 현재 이러한 기능을 구현하는 유일한 회사입니다.

2. 하드웨어를 선택할 수 있기를 원하는 기업. 기존의 확장 가능한 플랫폼의 단점 중 하나는 엄격하게 정의된 "블레이드 모듈"(Check Point SGM)을 사용해야 한다는 것입니다. 새로운 Check Point Maestro 플랫폼을 사용하면 수많은 다양한 장치를 사용할 수 있습니다. 중간 세그먼트(5600, 5800, 5900, 6500, 6800)와 하이엔드 세그먼트(15000 시리즈, 23000 시리즈, 26000 시리즈)에서 두 모델을 모두 선택할 수 있습니다. 또한 작업에 따라 이들을 결합할 수도 있습니다.

이는 자원의 최적 사용 측면에서 매우 편리합니다. 적합한 모델을 선택하면 필요한 성능만 구입할 수 있습니다.

3. 섀시가 과하지만 확장성이 필요한 기업. 기존 확장 가능한 플랫폼(64000, 44000)의 또 다른 "단점"은 (경제적인 관점에서) 높은 진입 문턱이었습니다. 오랫동안 확장 가능한 플랫폼은 IT 예산이 "좋은" 대기업에서만 사용할 수 있었습니다. Check Point Maestro의 등장으로 모든 것이 바뀌었습니다. 최소 번들(오케스트레이터 + 게이트웨이 XNUMX개)의 비용은 클래식 활성/대기 클러스터와 비슷하며 경우에 따라 더 낮습니다. 저것들. 진입 문턱이 많이 낮아졌습니다. 솔루션을 선택할 때 회사는 향후 요구 사항 증가에 대해 초과 비용을 지불하지 않고 즉시 확장 가능한 아키텍처를 구축할 수 있습니다. 체크포인트 마에스트로 도입 후 XNUMX년이 지나면 사용자가 더 많아졌나요? 기존 게이트웨이를 교체하지 않고 게이트웨이를 한두 개만 추가하면 됩니다. 토폴로지를 변경할 필요도 없습니다. 몇 번의 클릭만으로 새 게이트웨이를 오케스트레이터에 연결하고 설정을 적용하기만 하면 됩니다.

4. 기존 장비를 최대한 활용하고 싶은 기업. 많은 분들이 Trade-In 절차에 대해 잘 알고 계시리라 생각합니다. 기존 장치의 성능이 더 이상 충분하지 않고 현재 요구 사항을 충족하기 위해 하드웨어를 업데이트해야 하는 경우. 꽤 비싼 절차입니다. 또한 고객이 다양한 작업을 위해 여러 Check Point 클러스터를 보유하는 경우가 종종 있습니다. 예를 들어 경계 보호용 클러스터, 원격 액세스용 클러스터(RA VPN), VSX용 클러스터 등이 있습니다. 또한 한 클러스터에는 리소스가 충분하지 않은 반면 다른 클러스터에는 리소스가 풍부할 수 있습니다. Check Maestro는 리소스 간에 로드를 동적으로 분산하여 이러한 리소스의 사용을 최적화할 수 있는 훌륭한 기회입니다.

저것들. 다음과 같은 이점을 얻을 수 있습니다:

• 기존 하드웨어를 "폐기"할 필요가 없습니다. 하나 또는 두 개의 추가 게이트웨이를 구입하거나...
• 보다 최적의 리소스 사용을 위해 다른 기존 게이트웨이 간의 동적 로드 밸런싱을 구성합니다. 경계 게이트웨이의 로드가 급격히 증가하면 오케스트레이터는 원격 액세스 게이트웨이의 "지루한" 리소스를 사용할 수 있으며 그 반대의 경우도 마찬가지입니다. 이는 계절적(또는 일시적) 로드 피크를 완화하는 데 도움이 됩니다.

아시다시피 마지막 두 세그먼트는 특히 확장 가능한 보안 플랫폼을 사용할 여유가 있는 중소 기업과 관련이 있습니다. 그러나 다음과 같은 합리적인 질문이 발생할 수 있습니다.Check Point Maestro가 일반 클러스터보다 나은 이유는 무엇입니까?“우리는 이 질문에 답하려고 노력할 것입니다.

클래식 클러스터와 Check Point Maestro

클래식 Check Point 클러스터에 대해 이야기하면 고가용성(예: 활성/대기) 및 로드 공유(예: 활성/활성)의 두 가지 작동 모드가 지원됩니다. 일의 의미와 장단점을 간략하게 설명하겠습니다.

고가용성(활성/대기)

이름에서 알 수 있듯이 이 작동 모드에서는 한 노드가 모든 트래픽을 자신을 통해 전달하고, 두 번째 노드는 대기 모드에 있으며 활성 노드에 문제가 발생하기 시작하면 트래픽을 선택합니다.
장점 :

• 가장 안정적인 모드;
• 트래픽 처리 속도를 높이기 위해 독점 SecureXL 메커니즘이 지원됩니다.
• 활성 노드에 장애가 발생하면 두 번째 노드가 모든 트래픽을 "다이제스트"할 수 있다는 것이 보장됩니다(정확히 동일하기 때문입니다).

단점 :
실제로 마이너스는 단 하나뿐입니다. 하나의 노드가 완전히 유휴 상태입니다. 결과적으로 우리는 트래픽을 단독으로 처리할 수 있도록 더 강력한 하드웨어를 구입해야 합니다.

물론 HA 모드는 로드 공유보다 더 안정적이지만 리소스 최적화에는 아쉬운 점이 많습니다.

부하 공유(활성/활성)

이 모드에서는 클러스터의 모든 노드가 트래픽을 처리합니다. 최대 8개의 장치를 하나의 클러스터로 결합할 수 있습니다(4개 이상). 권장되지).
장점 :

• 덜 강력한 장치가 필요한 노드 간에 로드를 분산할 수 있습니다.
• 원활한 확장 가능성(클러스터에 최대 8개 노드 추가)

단점 :

• 이상하게도 장점은 즉시 단점으로 변합니다. 회사에 노드가 두 개뿐인 경우에도 로드 공유 모드를 사용하는 것을 좋아합니다. 돈을 절약하기 위해 그들은 각각 40-50%로 로드되는 장치를 구입합니다. 그리고 모든 것이 괜찮은 것 같습니다. 그러나 한 노드에 장애가 발생하면 전체 부하가 나머지 노드로 이전되어 대처할 수 없는 상황이 발생합니다. 결과적으로 이러한 체계에는 내결함성이 없습니다.
  
• 여기에 여러 가지 로드 공유 제한 사항을 추가합니다(sk101539). 그리고 가장 중요한 제한은 트래픽 처리 속도를 크게 높이는 메커니즘인 SecureXL이 지원되지 않는다는 것입니다.
• 클러스터에 새 노드를 추가하여 확장하는 경우 불행히도 로드 공유는 여기서 이상적이지 않습니다. 클러스터에 4개 이상의 장치가 추가되면 성능이 시작됩니다. 급격히 떨어지다.

처음 두 가지 단점을 고려하면 두 개의 노드를 사용할 때 내결함성을 구현하기 위해 중요한 상황에서 트래픽을 "다이제스트"할 수 있도록 보다 생산적인 하드웨어를 구입해야 합니다. 결과적으로 경제적 이익은 없지만 큰 금액을 얻게 됩니다. 제한. 또한 R80.20 버전부터 로드 공유 모드가 지원되지 않는다는 점도 주목할 만합니다. 이는 사용자의 필수 업데이트를 제한합니다. 최신 릴리스에서 로드 공유가 지원되는지 여부는 아직 알려지지 않았습니다.

대안으로 포인트 마에스트로(Point Maestro)를 확인하세요

클러스터 관점에서 Check Point Maestro는 고가용성 및 로드 공유 모드의 주요 이점을 활용했습니다.

• 오케스트레이터에 연결된 게이트웨이는 최대 트래픽 처리 속도를 보장하는 SecureXL을 사용할 수 있습니다. 로드 공유에는 다른 제한 사항이 없습니다.
• 트래픽은 하나의 보안 그룹(여러 물리적 게이트웨이로 구성된 논리적 게이트웨이)의 게이트웨이 간에 분산됩니다. 덕분에 고가용성 모드에서와 같이 더 이상 유휴 게이트웨이가 없기 때문에 생산성이 낮은 장치를 설치할 수 있습니다. 동시에 부하 공유 모드에서처럼 심각한 손실 없이 전력을 거의 선형적으로 증가시킬 수 있습니다(자세한 내용은 나중에 설명).

모두 훌륭하지만 두 가지 구체적인 예를 살펴보겠습니다.

예 #1

X 회사가 네트워크 경계에 게이트웨이 클러스터를 설치하려고 한다고 가정합니다. 이들은 이미 로드 공유의 모든 제한 사항(허용할 수 없음)을 잘 알고 있으며 고가용성 모드만 고려하고 있습니다. 크기를 조정한 후에는 6800 게이트웨이가 이에 적합한 것으로 나타났습니다. 이는 50% 이상 로드되어서는 안 됩니다(적어도 일부 성능 예비를 확보하기 위해). 이는 클러스터가 되기 때문에 대기 모드에서 공기를 "연기"하는 두 번째 장치를 구입해야 합니다. 아주 비싼 훈제장이에요.
그러나 대안이 있습니다. 오케스트레이터와 6500개의 6500 게이트웨이에서 번들을 가져옵니다. 이 경우 트래픽은 세 장치 모두에 분산됩니다. 두 모델의 스펙을 살펴보면 6800 게이트웨이 XNUMX개가 XNUMX XNUMX개보다 더 강력하다는 것을 알 수 있다.

따라서 Check Point Maestro를 선택하면 X 회사는 다음과 같은 이점을 얻습니다.

• 회사는 즉시 확장 가능한 플랫폼을 마련했습니다. 후속 성능 향상은 간단히 하드웨어 6500개를 추가하는 것으로 귀결됩니다. 이보다 더 간단한 것은 무엇일까요?
• 솔루션은 여전히 ​​내결함성이 있습니다. 한 노드에 장애가 발생하면 나머지 두 노드가 부하를 감당할 수 있습니다.
• 똑같이 중요하고 놀라운 장점은 가격이 저렴하다는 것입니다! 안타깝게도 가격을 공개적으로 게시할 수는 없지만 관심이 있으시면 계산을 위해 저희에게 연락하세요

예 #2

Y 회사에 이미 6500개 모델로 구성된 HA 클러스터가 있다고 가정해 보겠습니다. 활성 노드는 85%로 로드되어 피크 로드 중에는 생산적인 트래픽 손실이 발생합니다. 문제에 대한 논리적인 해결책은 하드웨어를 업데이트하는 것 같습니다. 다음 모델은 6800입니다. 회사는 보상 판매 프로그램을 통해 게이트웨이를 반환하고 두 개의 새(더 비싼) 장치를 구입해야 합니다.
그러나 대체 옵션이 있습니다. 오케스트레이터와 정확히 동일한 노드(6500)를 구입하세요. 85개의 장치로 구성된 클러스터를 조립하고 이 30%의 부하를 45개의 게이트웨이에 "분산"합니다. 결과적으로 엄청난 성능 마진을 얻을 수 있습니다(6500개의 장치는 평균 6800%만 로드됩니다). 세 노드 중 하나가 죽더라도 나머지 두 노드는 여전히 평균 부하 6500%의 트래픽을 처리합니다. 또한 최대 부하의 경우 XNUMX개의 활성 XNUMX 게이트웨이로 구성된 클러스터는 HA 클러스터(예: 활성/대기)에 있는 XNUMX개의 XNUMX 게이트웨이보다 더 강력합니다. 게다가 XNUMX~XNUMX년 후에 Y 기업의 수요가 다시 증가한다면 XNUMX 노드를 XNUMX~XNUMX개 더 추가하기만 하면 됩니다. 여기서 경제적 이점은 분명하다고 생각합니다.

결론

예, Check Point Maestro는 SMB를 위한 솔루션이 아닙니다. 하지만 중견 기업이라도 이미 이 플랫폼에 대해 생각하고 최소한 경제적 효율성을 계산해 볼 수는 있습니다. 확장 가능한 플랫폼이 기존 클러스터보다 수익성이 더 높을 수 있다는 사실에 놀랄 것입니다. 동시에 경제적 이점뿐만 아니라 기술적 이점도 있습니다. 그러나 다음 기사에서는 기술적 요령 외에도 몇 가지 일반적인 사례(토폴로지, 시나리오)를 보여 주려고 노력할 것입니다.

공개 페이지(텔레그램, 페이스북, VK, TS 솔루션 블로그)에서는 Check Point 및 기타 보안 제품에 대한 새로운 자료의 출현을 확인할 수 있습니다.

출처 : habr.com