ວິທີແກ້ໄຂທີ່ທັນສະໄຫມສໍາລັບການກໍ່ສ້າງລະບົບຄວາມປອດໄພຂໍ້ມູນ - ນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍ (Network Packet Broker)

ຄວາມປອດໄພຂອງຂໍ້ມູນຂ່າວສານໄດ້ແຍກອອກຈາກໂທລະຄົມນາຄົມເຂົ້າໄປໃນອຸດສາຫະກໍາເອກະລາດທີ່ມີສະເພາະຂອງຕົນເອງແລະອຸປະກອນຂອງຕົນເອງ. ແຕ່​ມີ​ອຸ​ປະ​ກອນ​ທີ່​ຮູ້​ຈັກ​ພຽງ​ເລັກ​ນ້ອຍ​ທີ່​ຢືນ​ຢູ່​ໃນ​ຈຸດ​ເຊື່ອມ​ຕໍ່​ໂທລະ​ຄົມ​ແລະ infobez - ນາຍໜ້າແພັກເກັດເຄືອຂ່າຍ (Network Packet Broker), ພວກເຂົາຍັງເປັນຕົວດຸ່ນດ່ຽງການໂຫຼດ, ສະຫວິດພິເສດ / ຕິດຕາມກວດກາ, ຕົວລວບລວມການຈະລາຈອນ, ເວທີການຈັດສົ່ງຄວາມປອດໄພ, ການເບິ່ງເຫັນເຄືອຂ່າຍແລະອື່ນໆ. ແລະພວກເຮົາ, ເປັນນັກພັດທະນາລັດເຊຍແລະຜູ້ຜະລິດອຸປະກອນດັ່ງກ່າວ, ກໍ່ຕ້ອງການບອກທ່ານເພີ່ມເຕີມກ່ຽວກັບພວກມັນ.

ຂອບເຂດແລະວຽກງານທີ່ຈະແກ້ໄຂ

ນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍແມ່ນອຸປະກອນພິເສດທີ່ພົບເຫັນການນໍາໃຊ້ທີ່ຍິ່ງໃຫຍ່ທີ່ສຸດໃນລະບົບຄວາມປອດໄພຂອງຂໍ້ມູນ. ດັ່ງນັ້ນ, ຫ້ອງຮຽນອຸປະກອນແມ່ນຂ້ອນຂ້າງໃຫມ່ແລະມີຈໍານວນຫນ້ອຍໃນໂຄງສ້າງເຄືອຂ່າຍທົ່ວໄປເມື່ອທຽບກັບສະວິດ, routers, ແລະອື່ນໆ. ຜູ້ບຸກເບີກໃນການພັດທະນາອຸປະກອນປະເພດນີ້ແມ່ນບໍລິສັດອາເມລິກາ Gigamon. ໃນປັດຈຸບັນ, ມີຜູ້ນຫຼາຍໃນຕະຫຼາດນີ້ (ລວມທັງການແກ້ໄຂທີ່ຄ້າຍຄືກັນຈາກຜູ້ຜະລິດທີ່ມີຊື່ສຽງຂອງລະບົບການທົດສອບ - IXIA), ແຕ່ວ່າພຽງແຕ່ວົງແຄບຂອງຜູ້ຊ່ຽວຊານຍັງຮູ້ກ່ຽວກັບການມີຢູ່ຂອງອຸປະກອນດັ່ງກ່າວ. ດັ່ງທີ່ໄດ້ກ່າວໄວ້ຂ້າງເທິງ, ເຖິງແມ່ນວ່າຄໍາສັບຕ່າງໆບໍ່ມີຄວາມແນ່ນອນທີ່ບໍ່ແນ່ນອນ: ຊື່ຕ່າງໆແມ່ນຕັ້ງແຕ່ "ລະບົບຄວາມໂປ່ງໃສຂອງເຄືອຂ່າຍ" ໄປຫາ "ຜູ້ດຸ່ນດ່ຽງ".

ໃນຂະນະທີ່ພັດທະນານາຍຫນ້າແພັກເກັດເຄືອຂ່າຍ, ພວກເຮົາໄດ້ປະເຊີນກັບຄວາມຈິງທີ່ວ່າ, ນອກເຫນືອຈາກການວິເຄາະທິດທາງການພັດທະນາການເຮັດວຽກແລະການທົດສອບໃນຫ້ອງທົດລອງ / ເຂດທົດສອບ, ມັນຈໍາເປັນຕ້ອງໄດ້ພ້ອມກັນອະທິບາຍໃຫ້ຜູ້ບໍລິໂພກທີ່ມີທ່າແຮງກ່ຽວກັບການມີຢູ່ຂອງອຸປະກອນປະເພດນີ້. , ເນື່ອງຈາກວ່າບໍ່ແມ່ນທຸກຄົນຮູ້ກ່ຽວກັບມັນ.

ເຖິງແມ່ນວ່າ 15-20 ປີກ່ອນຫນ້ານີ້, ມີການຈະລາຈອນຫນ້ອຍໃນເຄືອຂ່າຍ, ແລະມັນສ່ວນໃຫຍ່ແມ່ນຂໍ້ມູນທີ່ບໍ່ສໍາຄັນ. ແຕ່ ກົດໝາຍຂອງ Nielsen ປະຕິບັດຊໍ້າຄືນ ກົດໝາຍຂອງ Moore: ຄວາມໄວໃນການເຊື່ອມຕໍ່ອິນເຕີເນັດເພີ່ມຂຶ້ນ 50% ຕໍ່ປີ. ປະລິມານການຈາລະຈອນຍັງເພີ່ມຂຶ້ນຢ່າງຕໍ່ເນື່ອງ (ກາຟສະແດງໃຫ້ເຫັນການຄາດຄະເນ 2017 ຈາກ Cisco, ແຫຼ່ງ Cisco Visual Networking Index: Forecast and Trends, 2017-2022):

ຄຽງຄູ່ກັບຄວາມໄວ, ຄວາມສໍາຄັນຂອງຂໍ້ມູນການແຜ່ກະຈາຍ (ນີ້ແມ່ນທັງຄວາມລັບທາງດ້ານການຄ້າແລະຂໍ້ມູນສ່ວນບຸກຄົນທີ່ຫນ້າປະຫລາດໃຈ) ແລະການປະຕິບັດໂດຍລວມຂອງໂຄງສ້າງພື້ນຖານແມ່ນເພີ່ມຂຶ້ນ.

ຕາມ​ນັ້ນ​ແລ້ວ, ອຸດສາຫະກຳ​ຄວາມ​ປອດ​ໄພ​ດ້ານ​ຂໍ້​ມູນ​ຂ່າວສານ​ກໍ່​ໄດ້​ຮັບ​ການ​ຜັນ​ຂະຫຍາຍ. ອຸດສາຫະກໍາໄດ້ຕອບສະຫນອງຕໍ່ເລື່ອງນີ້ດ້ວຍອຸປະກອນການວິເຄາະການຈະລາຈອນ (DPI) ທັງຫມົດ, ຈາກລະບົບປ້ອງກັນການໂຈມຕີ DDOS ກັບລະບົບການຄຸ້ມຄອງເຫດການຄວາມປອດໄພຂອງຂໍ້ມູນ, ລວມທັງ IDS, IPS, DLP, NBA, SIEM, Antimailware ແລະອື່ນໆ. ໂດຍປົກກະຕິ, ແຕ່ລະເຄື່ອງມືເຫຼົ່ານີ້ແມ່ນຊອບແວທີ່ຕິດຕັ້ງຢູ່ໃນເວທີເຊີຟເວີ. ຍິ່ງໄປກວ່ານັ້ນ, ແຕ່ລະໂຄງການ (ເຄື່ອງມືການວິເຄາະ) ໄດ້ຖືກຕິດຕັ້ງຢູ່ໃນເວທີເຊີຟເວີຂອງຕົນເອງ: ຜູ້ຜະລິດຊອບແວແມ່ນແຕກຕ່າງກັນ, ແລະຊັບພະຍາກອນຄອມພິວເຕີ້ຈໍານວນຫລາຍແມ່ນຕ້ອງການສໍາລັບການວິເຄາະ L7.

ເມື່ອສ້າງລະບົບຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ, ມັນຈໍາເປັນຕ້ອງແກ້ໄຂບັນຫາຕົ້ນຕໍຈໍານວນຫນຶ່ງ:

• ວິທີການໂອນການຈະລາຈອນຈາກໂຄງສ້າງພື້ນຖານໄປສູ່ລະບົບການວິເຄາະ? (ພອດ SPAN ທີ່ພັດທະນາໃນເບື້ອງຕົ້ນສໍາລັບການນີ້ໃນໂຄງສ້າງພື້ນຖານທີ່ທັນສະໄຫມແມ່ນບໍ່ພຽງພໍໃນປະລິມານຫຼືໃນການປະຕິບັດ)
• ວິທີການແຈກຢາຍການຈະລາຈອນລະຫວ່າງລະບົບການວິເຄາະທີ່ແຕກຕ່າງກັນ?
• ວິທີການຂະຫນາດລະບົບໃນເວລາທີ່ບໍ່ມີການປະຕິບັດພຽງພໍຂອງຫນຶ່ງຕົວຢ່າງຂອງການວິເຄາະເພື່ອປະມວນຜົນປະລິມານທັງຫມົດຂອງການຈະລາຈອນທີ່ເຂົ້າມາມັນ?
• ວິ​ທີ​ການ​ຕິດ​ຕາມ​ກວດ​ກາ​ການ​ໂຕ້​ຕອບ 40G / 100G (ແລະ​ໃນ​ອະ​ນາ​ຄົດ​ອັນ​ໃກ້​ນີ້​ຍັງ 200G / 400G​)​, ເນື່ອງ​ຈາກ​ວ່າ​ປັດ​ຈຸ​ບັນ​ເຄື່ອງ​ມື​ການ​ວິ​ເຄາະ​ສະ​ຫນັບ​ສະ​ຫນູນ​ພຽງ​ແຕ່ 1G / 10G / 25G interfaces​?

ແລະ​ວຽກ​ງານ​ທີ່​ກ່ຽວ​ຂ້ອງ​ດັ່ງ​ຕໍ່​ໄປ​ນີ້​:

• ວິທີການຫຼຸດຜ່ອນການຈາລະຈອນທີ່ບໍ່ເຫມາະສົມທີ່ບໍ່ຈໍາເປັນຕ້ອງດໍາເນີນການ, ແຕ່ໄດ້ຮັບເຄື່ອງມືການວິເຄາະແລະບໍລິໂພກຊັບພະຍາກອນຂອງພວກເຂົາບໍ?
• ວິທີການປຸງແຕ່ງແພັກເກັດແລະແພັກເກັດທີ່ຖືກຫຸ້ມຫໍ່ດ້ວຍເຄື່ອງຫມາຍການບໍລິການຮາດແວ, ການກະກຽມສໍາລັບການວິເຄາະທີ່ຈະກາຍເປັນຊັບພະຍາກອນຫຼາຍຫຼືບໍ່ສາມາດປະຕິບັດໄດ້ທັງຫມົດ?
• ວິທີການຍົກເວັ້ນຈາກສ່ວນການວິເຄາະຂອງການຈະລາຈອນທີ່ບໍ່ໄດ້ຖືກຄວບຄຸມໂດຍນະໂຍບາຍຄວາມປອດໄພ (ຕົວຢ່າງ, ການຈະລາຈອນຂອງຫົວ).

ດັ່ງທີ່ທຸກຄົນຮູ້, ຄວາມຕ້ອງການສ້າງການສະຫນອງ, ເພື່ອຕອບສະຫນອງຄວາມຕ້ອງການເຫຼົ່ານີ້, ນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍເລີ່ມພັດທະນາ.

ລາຍລະອຽດທົ່ວໄປຂອງ Network Packet Brokers

ນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍເຮັດວຽກຢູ່ໃນລະດັບແພັກເກັດ, ແລະໃນນີ້ພວກມັນຄ້າຍຄືກັບສະວິດທໍາມະດາ. ຄວາມແຕກຕ່າງຕົ້ນຕໍຈາກສະວິດແມ່ນວ່າກົດລະບຽບການແຈກຢາຍແລະການລວບລວມການຈະລາຈອນໃນນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍແມ່ນຖືກກໍານົດຢ່າງສົມບູນໂດຍການຕັ້ງຄ່າ. ນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍບໍ່ມີມາດຕະຖານການກໍ່ສ້າງຕາຕະລາງການສົ່ງຕໍ່ (ຕາຕະລາງ MAC) ແລະການແລກປ່ຽນໂປໂຕຄອນກັບສະວິດອື່ນ (ເຊັ່ນ: STP), ແລະດັ່ງນັ້ນ, ຂອບເຂດຂອງການຕັ້ງຄ່າທີ່ເປັນໄປໄດ້ແລະຂົງເຂດທີ່ເຂົ້າໃຈໃນພວກມັນແມ່ນກວ້າງກວ່າ. ນາຍໜ້າສາມາດແຈກຢາຍການຈາລະຈອນຈາກໜຶ່ງ ຫຼືຫຼາຍຜອດປ້ອນເຂົ້າໄດ້ຢ່າງເທົ່າທຽມກັບໄລຍະທີ່ສະໜອງໃຫ້ຂອງຜອດຜົນຜະລິດດ້ວຍຄຸນສົມບັດການດຸ່ນດ່ຽງການໂຫຼດຜົນຜະລິດ. ທ່ານ​ສາ​ມາດ​ກໍາ​ນົດ​ກົດ​ລະ​ບຽບ​ສໍາ​ລັບ​ການ​ສໍາ​ເນົາ​, ການ​ກັ່ນ​ຕອງ​, ການ​ຈັດ​ປະ​ເພດ​, deplicating ແລະ​ການ​ປັບ​ປຸງ​ການ​ຈະ​ລາ​ຈອນ​. ກົດລະບຽບເຫຼົ່ານີ້ສາມາດນໍາໃຊ້ກັບກຸ່ມທີ່ແຕກຕ່າງກັນຂອງຜອດຂາເຂົ້າຂອງນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍ, ເຊັ່ນດຽວກັນກັບການນໍາໃຊ້ຕາມລໍາດັບຫນຶ່ງຫຼັງຈາກອື່ນໆໃນອຸປະກອນຕົວມັນເອງ. ປະໂຫຍດທີ່ສໍາຄັນຂອງນາຍຫນ້າແພັກເກັດແມ່ນຄວາມສາມາດໃນການປຸງແຕ່ງການຈະລາຈອນໃນອັດຕາການໄຫຼຢ່າງເຕັມທີ່ແລະຮັກສາຄວາມສົມບູນຂອງກອງປະຊຸມ (ໃນກໍລະນີຂອງການດຸ່ນດ່ຽງການຈະລາຈອນກັບລະບົບ DPI ຫຼາຍປະເພດດຽວກັນ).

ການຮັກສາຄວາມສົມບູນຂອງເຊດຊັນແມ່ນການໂອນແພັກເກັດທັງຫມົດຂອງເຊດຊັນຂອງຊັ້ນການຂົນສົ່ງ (TCP / UDP / SCTP) ໄປຫາຫນຶ່ງພອດ. ນີ້ແມ່ນສິ່ງສໍາຄັນເພາະວ່າລະບົບ DPI (ປົກກະຕິແລ້ວຊອບແວທີ່ເຮັດວຽກຢູ່ໃນເຄື່ອງແມ່ຂ່າຍທີ່ເຊື່ອມຕໍ່ກັບຜອດຜົນຜະລິດຂອງນາຍຫນ້າແພັກເກັດ) ວິເຄາະເນື້ອຫາຂອງການຈະລາຈອນໃນລະດັບຄໍາຮ້ອງສະຫມັກ, ແລະທຸກແພັກເກັດທີ່ສົ່ງ / ຮັບໂດຍແອັບພລິເຄຊັນດຽວຕ້ອງມາຮອດຕົວຢ່າງດຽວກັນຂອງ. ເຄື່ອງວິເຄາະ. ຖ້າຊຸດຂອງກອງປະຊຸມຫນຶ່ງສູນເສຍຫຼືແຈກຢາຍໃນບັນດາອຸປະກອນ DPI ທີ່ແຕກຕ່າງກັນ, ຫຼັງຈາກນັ້ນແຕ່ລະອຸປະກອນ DPI ແຕ່ລະຄົນຈະຢູ່ໃນສະຖານະການທີ່ຄ້າຍຄືກັນກັບການອ່ານຂໍ້ຄວາມທັງຫມົດ, ແຕ່ຄໍາສັບຕ່າງໆຈາກມັນ. ແລະ, ສ່ວນຫຼາຍອາດຈະ, ຂໍ້ຄວາມຈະບໍ່ເຂົ້າໃຈ.

ດັ່ງນັ້ນ, ກໍາລັງສຸມໃສ່ລະບົບຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ, ນາຍຫນ້າ packet ເຄືອຂ່າຍມີຫນ້າທີ່ຊ່ວຍເຊື່ອມຕໍ່ລະບົບຊອບແວ DPI ກັບເຄືອຂ່າຍໂທລະຄົມນາຄົມຄວາມໄວສູງແລະຫຼຸດຜ່ອນການໂຫຼດຂອງພວກມັນ: ພວກເຂົາ pre-filter, ຈັດປະເພດແລະກະກຽມການຈະລາຈອນເພື່ອເຮັດໃຫ້ການປຸງແຕ່ງຕໍ່ມາງ່າຍດາຍ.

ນອກຈາກນັ້ນ, ນັບຕັ້ງແຕ່ນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍຜະລິດສະຖິຕິທີ່ກວ້າງຂວາງແລະມັກຈະເຊື່ອມຕໍ່ກັບຈຸດຕ່າງໆໃນເຄືອຂ່າຍ, ພວກເຂົາຍັງຊອກຫາສະຖານທີ່ຂອງພວກເຂົາໃນເວລາທີ່ການວິນິດໄສບັນຫາກ່ຽວກັບການປະຕິບັດຂອງໂຄງສ້າງພື້ນຖານຂອງເຄືອຂ່າຍຂອງມັນເອງ.

ຫນ້າທີ່ພື້ນຖານຂອງ Network Packet Brokers

ຊື່ "ສະວິດທີ່ອຸທິດຕົນ / ຕິດຕາມກວດກາ" ເກີດຂື້ນຈາກຈຸດປະສົງພື້ນຖານ: ເພື່ອເກັບກໍາການຈະລາຈອນຈາກໂຄງສ້າງພື້ນຖານ (ໂດຍປົກກະຕິໃຊ້ທໍ່ TAP optical passive ແລະ / ຫຼື SPAN ports) ແລະແຈກຢາຍມັນໃນບັນດາເຄື່ອງມືການວິເຄາະ. ການຈະລາຈອນຖືກສະທ້ອນ (ຊ້ໍາກັນ) ລະຫວ່າງລະບົບຂອງປະເພດຕ່າງໆ, ແລະມີຄວາມສົມດູນລະຫວ່າງລະບົບຂອງປະເພດດຽວກັນ. ຫນ້າທີ່ພື້ນຖານມັກຈະປະກອບມີການກັ່ນຕອງໂດຍຊ່ອງຂໍ້ມູນເຖິງ L4 (MAC, IP, TCP / UDP port, ແລະອື່ນໆ) ແລະການລວບລວມຊ່ອງຫວ່າງຫຼາຍຊ່ອງໃສ່ໃນຫນຶ່ງ (ຕົວຢ່າງ, ສໍາລັບການປຸງແຕ່ງຢູ່ໃນລະບົບ DPI ຫນຶ່ງ).

ຫນ້າທີ່ນີ້ສະຫນອງການແກ້ໄຂວຽກງານພື້ນຖານ - ການເຊື່ອມຕໍ່ລະບົບ DPI ກັບໂຄງສ້າງເຄືອຂ່າຍ. ນາຍຫນ້າຈາກຜູ້ຜະລິດຕ່າງໆ, ຈໍາກັດການທໍາງານພື້ນຖານ, ສະຫນອງການປຸງແຕ່ງເຖິງ 32 ການໂຕ້ຕອບ 100G ຕໍ່ 1U (ການໂຕ້ຕອບຫຼາຍບໍ່ເຫມາະທາງດ້ານຮ່າງກາຍຢູ່ໃນກະດານດ້ານຫນ້າ 1U). ຢ່າງໃດກໍ່ຕາມ, ພວກມັນບໍ່ອະນຸຍາດໃຫ້ຫຼຸດຜ່ອນການໂຫຼດຂອງເຄື່ອງມືການວິເຄາະ, ແລະສໍາລັບໂຄງສ້າງພື້ນຖານທີ່ສັບສົນພວກເຂົາບໍ່ສາມາດສະຫນອງຄວາມຕ້ອງການສໍາລັບຫນ້າທີ່ພື້ນຖານ: ກອງປະຊຸມທີ່ແຈກຢາຍຢູ່ໃນຫຼາຍອຸໂມງ (ຫຼືມີແທັກ MPLS) ແມ່ນບໍ່ສົມດຸນສໍາລັບກໍລະນີທີ່ແຕກຕ່າງກັນ. ການວິເຄາະແລະໂດຍທົ່ວໄປແລ້ວຕົກອອກຈາກການວິເຄາະ.

ນອກເຫນືອຈາກການເພີ່ມການໂຕ້ຕອບ 40/100G ແລະ, ດັ່ງນັ້ນ, ການປັບປຸງການປະຕິບັດ, ນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍກໍາລັງພັດທະນາຢ່າງຈິງຈັງໃນການສະຫນອງລັກສະນະໃຫມ່ໂດຍພື້ນຖານ: ຈາກການດຸ່ນດ່ຽງໃສ່ຫົວອຸໂມງທີ່ວາງໄວ້ກັບການຖອດລະຫັດການຈະລາຈອນ. ແຕ່ຫນ້າເສຍດາຍ, ຮູບແບບດັ່ງກ່າວບໍ່ສາມາດເວົ້າໂອ້ອວດປະສິດທິພາບໃນ terabits, ແຕ່ພວກເຂົາເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະສ້າງລະບົບຄວາມປອດໄພຂໍ້ມູນ "ງາມ" ທີ່ມີຄຸນນະພາບສູງແລະດ້ານວິຊາການ, ເຊິ່ງແຕ່ລະເຄື່ອງມືການວິເຄາະແມ່ນຮັບປະກັນວ່າຈະໄດ້ຮັບຂໍ້ມູນທີ່ຕ້ອງການໃນຮູບແບບທີ່ເຫມາະສົມທີ່ສຸດ. ສໍາລັບການວິເຄາະ.

ຫນ້າທີ່ຂັ້ນສູງຂອງນາຍຫນ້າແພັກເກັດເຄືອຂ່າຍ

1. ທີ່ໄດ້ກ່າວມາຂ້າງເທິງ nested header balancing ໃນການຈະລາຈອນ tunneled.

ເປັນຫຍັງມັນຈຶ່ງສໍາຄັນ? ພິຈາລະນາ 3 ດ້ານທີ່ສາມາດສໍາຄັນຮ່ວມກັນຫຼືແຍກຕ່າງຫາກ:

• ຮັບປະກັນການດຸ່ນດ່ຽງທີ່ເປັນເອກະພາບໃນທີ່ປະທັບຂອງອຸໂມງຈໍານວນຫນ້ອຍ. ໃນກໍລະນີທີ່ມີພຽງແຕ່ 2 tunnels ຢູ່ໃນຈຸດເຊື່ອມຕໍ່ຂອງລະບົບຄວາມປອດໄພຂໍ້ມູນ, ຫຼັງຈາກນັ້ນມັນຈະບໍ່ສາມາດ unbalance ໃຫ້ເຂົາເຈົ້າໂດຍ headers ພາຍນອກໃນ 3 ເວທີເຊີຟເວີໃນຂະນະທີ່ຮັກສາກອງປະຊຸມ. ໃນຂະນະດຽວກັນ, ການຈະລາຈອນໃນເຄືອຂ່າຍໄດ້ຖືກຖ່າຍທອດບໍ່ສະຫມໍ່າສະເຫມີ, ແລະທິດທາງຂອງແຕ່ລະອຸໂມງໄປຫາສະຖານທີ່ປຸງແຕ່ງແຍກຕ່າງຫາກຈະຮຽກຮ້ອງໃຫ້ມີການປະຕິບັດຫຼາຍເກີນໄປຂອງໄລຍະຫລັງ;
• ການຮັບປະກັນຄວາມສົມບູນຂອງກອງປະຊຸມແລະການໄຫຼເຂົ້າຂອງໂປໂຕຄອນ multisession (ຕົວຢ່າງເຊັ່ນ FTP ແລະ VoIP), ຊຸດທີ່ສິ້ນສຸດລົງໃນອຸໂມງທີ່ແຕກຕ່າງກັນ. ຄວາມສັບສົນຂອງໂຄງສ້າງເຄືອຂ່າຍແມ່ນເພີ່ມຂຶ້ນຢ່າງຕໍ່ເນື່ອງ: ການຊ້ໍາຊ້ອນ, virtualization, ຄວາມງ່າຍຂອງການບໍລິຫານ, ແລະອື່ນໆ. ໃນອີກດ້ານຫນຶ່ງ, ນີ້ເພີ່ມຄວາມຫນ້າເຊື່ອຖືໃນການສົ່ງຂໍ້ມູນ, ໃນອີກດ້ານຫນຶ່ງ, ມັນ complicates ການດໍາເນີນງານຂອງລະບົບຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ. ເຖິງແມ່ນວ່ານັກວິເຄາະມີການປະຕິບັດພຽງພໍເພື່ອປະມວນຜົນຊ່ອງທາງທີ່ອຸທິດຕົນທີ່ມີອຸໂມງ, ບັນຫາກໍ່ບໍ່ສາມາດແກ້ໄຂໄດ້, ເພາະວ່າບາງຊຸດຂອງກອງປະຊຸມຜູ້ໃຊ້ຖືກສົ່ງຜ່ານຊ່ອງທາງອື່ນ. ຍິ່ງໄປກວ່ານັ້ນ, ໃນຂະນະທີ່ບາງໂຄງສ້າງພື້ນຖານຍັງພະຍາຍາມຮັກສາຄວາມສົມບູນຂອງກອງປະຊຸມ, ອະນຸສັນຍາ multisession ສາມາດໄປສູ່ເສັ້ນທາງທີ່ແຕກຕ່າງກັນຫມົດ;
• ການດຸ່ນດ່ຽງຢູ່ໃນທີ່ປະທັບຂອງ MPLS, VLAN, tags ອຸປະກອນສ່ວນບຸກຄົນ, ແລະອື່ນໆ. ບໍ່ແມ່ນອຸໂມງຢ່າງແທ້ຈິງ, ແຕ່ຢ່າງໃດກໍ່ຕາມ, ອຸປະກອນທີ່ມີຫນ້າທີ່ພື້ນຖານສາມາດເຂົ້າໃຈການຈະລາຈອນນີ້ບໍ່ແມ່ນ IP ແລະການດຸ່ນດ່ຽງໂດຍທີ່ຢູ່ MAC, ອີກເທື່ອຫນຶ່ງການລະເມີດຄວາມສອດຄ່ອງຂອງການດຸ່ນດ່ຽງຫຼືຄວາມສົມບູນຂອງກອງປະຊຸມ.

ນາຍໜ້າແພັກເກັດເຄືອຂ່າຍຈະວິເຄາະສ່ວນຫົວດ້ານນອກ ແລະຕິດຕາມຕົວຊີ້ຕາມລຳດັບໄປຫາສ່ວນຫົວ IP ທີ່ຕັ້ງໄວ້ແລ້ວ ແລະຍອດເງິນຢູ່ໃນນັ້ນ. ດັ່ງນັ້ນ, ມີສາຍນ້ໍາຫຼາຍຢ່າງຫຼວງຫຼາຍ (ຕາມລໍາດັບ, ມັນສາມາດບໍ່ສົມດຸນກັນຫຼາຍຂື້ນແລະຢູ່ໃນຈໍານວນແພລະຕະຟອມທີ່ໃຫຍ່ກວ່າ), ແລະລະບົບ DPI ໄດ້ຮັບຊຸດຂອງກອງປະຊຸມແລະທຸກກອງປະຊຸມທີ່ກ່ຽວຂ້ອງຂອງໂປໂຕຄອນ multisession.

2. ການແກ້ໄຂການຈະລາຈອນ.
ຫນຶ່ງໃນຫນ້າທີ່ກວ້າງທີ່ສຸດກ່ຽວກັບຄວາມສາມາດຂອງມັນ, ຈໍານວນຂອງຫນ້າທີ່ຍ່ອຍແລະທາງເລືອກສໍາລັບການນໍາໃຊ້ຂອງພວກເຂົາແມ່ນມີຫຼາຍ:

• ການເອົາ payload ອອກ, ໃນກໍລະນີດັ່ງກ່າວນີ້, ມີພຽງແຕ່ສ່ວນຫົວຂອງແພັກເກັດຖືກສົ່ງກັບເຄື່ອງວິເຄາະ. ນີ້ມີຄວາມກ່ຽວຂ້ອງສໍາລັບເຄື່ອງມືການວິເຄາະຫຼືສໍາລັບປະເພດການຈະລາຈອນທີ່ເນື້ອໃນຂອງແພັກເກັດບໍ່ມີບົດບາດຫຼືບໍ່ສາມາດວິເຄາະໄດ້. ຕົວຢ່າງ, ສໍາລັບການເຂົ້າລະຫັດ, ຂໍ້ມູນການແລກປ່ຽນ parametric (ໃຜ, ກັບໃຜ, ເວລາ, ແລະຫຼາຍປານໃດ) ອາດຈະມີຄວາມສົນໃຈ, ໃນຂະນະທີ່ payload ຕົວຈິງແລ້ວແມ່ນຂີ້ເຫຍື້ອທີ່ຄອບຄອງຊ່ອງທາງແລະຊັບພະຍາກອນຄອມພິວເຕີ້ຂອງນັກວິເຄາະ. ການປ່ຽນແປງແມ່ນເປັນໄປໄດ້ເມື່ອ payload ຖືກຕັດອອກໂດຍເລີ່ມຕົ້ນຈາກການຊົດເຊີຍທີ່ໃຫ້ - ນີ້ສະຫນອງຂອບເຂດເພີ່ມເຕີມສໍາລັບເຄື່ອງມືການວິເຄາະ;
• detunneling, ຄືການໂຍກຍ້າຍຂອງ headers ທີ່ກໍານົດແລະກໍານົດ tunnels. ເປົ້າຫມາຍແມ່ນເພື່ອຫຼຸດຜ່ອນການໂຫຼດຂອງເຄື່ອງມືການວິເຄາະແລະເພີ່ມປະສິດທິພາບຂອງພວກເຂົາ. Detunneling ສາມາດອີງໃສ່ການຊົດເຊີຍຄົງທີ່ຫຼືການວິເຄາະຫົວແບບເຄື່ອນໄຫວແລະການກໍານົດການຊົດເຊີຍສໍາລັບແຕ່ລະຊຸດ;
• ການໂຍກຍ້າຍບາງສ່ວນຫົວຂອງແພັກເກັດ: MPLS tags, VLAN, ຂົງເຂດສະເພາະຂອງອຸປະກອນພາກສ່ວນທີສາມ;
• masking ສ່ວນຫນຶ່ງຂອງ headers, ສໍາລັບການຍົກຕົວຢ່າງ, masking ທີ່ຢູ່ IP ເພື່ອຮັບປະກັນການປິດບັງການຈະລາຈອນ;
• ການເພີ່ມຂໍ້ມູນການບໍລິການໃສ່ແພັກເກັດ: ເວລາ, ຜອດປ້ອນຂໍ້ມູນ, ປ້າຍປະເພດການຈະລາຈອນ, ແລະອື່ນໆ.

3. ຊໍ້າຊ້ອນ - ການ​ທໍາ​ຄວາມ​ສະ​ອາດ​ຂອງ​ຊອງ​ຈະ​ລາ​ຈອນ​ຊ​້​ໍາ​ຕິດ​ຕໍ່​ກັບ​ເຄື່ອງ​ມື​ການ​ວິ​ເຄາະ​. ການຫຸ້ມຫໍ່ທີ່ຊ້ໍາກັນສ່ວນຫຼາຍແມ່ນເກີດຂື້ນຍ້ອນຄວາມແປກປະຫລາດຂອງການເຊື່ອມຕໍ່ກັບໂຄງສ້າງພື້ນຖານ - ການຈະລາຈອນສາມາດຜ່ານການວິເຄາະຫຼາຍຈຸດແລະຖືກສະທ້ອນຈາກແຕ່ລະຄົນ. ຍັງມີການສົ່ງຄືນແພັກເກັດ TCP ທີ່ບໍ່ຄົບຖ້ວນ, ແຕ່ຖ້າມີຈໍານວນຫລາຍ, ຫຼັງຈາກນັ້ນ, ເຫຼົ່ານີ້ແມ່ນຄໍາຖາມເພີ່ມເຕີມສໍາລັບການກວດສອບຄຸນນະພາບຂອງເຄືອຂ່າຍ, ແລະບໍ່ແມ່ນຄວາມປອດໄພຂອງຂໍ້ມູນໃນມັນ.

4. ຄຸນນະສົມບັດການກັ່ນຕອງແບບພິເສດ – ຈາກການຊອກຫາຄ່າສະເພາະຢູ່ທີ່ການຊົດເຊີຍທີ່ໃຫ້ໄປເຖິງການວິເຄາະລາຍເຊັນຕະຫຼອດຊຸດທັງໝົດ.

5. ການຜະລິດ NetFlow/IPFIX – ການ​ເກັບ​ກໍາ​ຂໍ້​ມູນ​ສະ​ຖິ​ຕິ​ທີ່​ຫຼາກ​ຫຼາຍ​ກ່ຽວ​ກັບ​ການ​ຈະ​ລາ​ຈອນ​ຜ່ານ​ແລະ​ການ​ຍົກ​ຍ້າຍ​ຂອງ​ຕົນ​ກັບ​ເຄື່ອງ​ມື​ການ​ວິ​ເຄາະ​.

6. ການຖອດລະຫັດການຈາລະຈອນ SSL, ເຮັດວຽກໃຫ້ວ່າໃບຢັ້ງຢືນແລະກະແຈຖືກໂຫລດໃສ່ໃນເຄືອຂ່າຍນາຍຫນ້າແພັກເກັດທໍາອິດ. ຢ່າງໃດກໍຕາມ, ນີ້ອະນຸຍາດໃຫ້ທ່ານສາມາດບັນເທົາເຄື່ອງມືການວິເຄາະຢ່າງຫຼວງຫຼາຍ.

ມີຫຼາຍຫນ້າທີ່, ທີ່ເປັນປະໂຫຍດແລະການຕະຫຼາດ, ແຕ່ຕົ້ນຕໍ, ບາງທີ, ໄດ້ຖືກລະບຸໄວ້.

ການພັດທະນາລະບົບການຊອກຄົ້ນຫາ (ການບຸກລຸກ, ການໂຈມຕີ DDOS) ເຂົ້າໄປໃນລະບົບເພື່ອປ້ອງກັນຂອງເຂົາເຈົ້າ, ເຊັ່ນດຽວກັນກັບການນໍາສະເຫນີເຄື່ອງມື DPI ທີ່ມີການເຄື່ອນໄຫວ, ຮຽກຮ້ອງໃຫ້ມີການປ່ຽນແປງໃນໂຄງການສະຫຼັບຈາກ passive (ຜ່ານ TAP ຫຼື SPAN ports) ເປັນການເຄື່ອນໄຫວ ("ໃນ break" ). ສະຖານະການນີ້ໄດ້ເພີ່ມຄວາມຕ້ອງການສໍາລັບຄວາມຫນ້າເຊື່ອຖື (ເນື່ອງຈາກວ່າຄວາມລົ້ມເຫຼວໃນກໍລະນີນີ້ນໍາໄປສູ່ການລົບກວນຂອງເຄືອຂ່າຍທັງຫມົດ, ແລະບໍ່ພຽງແຕ່ການສູນເສຍການຄວບຄຸມຄວາມປອດໄພຂອງຂໍ້ມູນ) ແລະນໍາໄປສູ່ການທົດແທນຂອງ couplers optical ກັບ bypasses optical (ເພື່ອ ແກ້ໄຂບັນຫາການເອື່ອຍອີງຂອງການປະຕິບັດຂອງເຄືອຂ່າຍໃນການປະຕິບັດຄວາມປອດໄພຂອງຂໍ້ມູນລະບົບ), ແຕ່ຫນ້າທີ່ຕົ້ນຕໍແລະຄວາມຕ້ອງການສໍາລັບມັນຍັງຄົງຢູ່ຄືກັນ.

ພວກເຮົາໄດ້ພັດທະນາ DS Integrity Network Packet Brokers ທີ່ມີການໂຕ້ຕອບ 100G, 40G ແລະ 10G ຈາກການອອກແບບແລະການອອກແບບວົງຈອນກັບເຟີມແວ. ຍິ່ງໄປກວ່ານັ້ນ, ບໍ່ເຫມືອນກັບນາຍຫນ້າແພັກເກັດອື່ນໆ, ຫນ້າທີ່ດັດແປງແລະການດຸ່ນດ່ຽງຂອງຫົວ tunnel ຮັງໄດ້ຖືກປະຕິບັດຢູ່ໃນຮາດແວ, ດ້ວຍຄວາມໄວເຕັມທີ່.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com