2. Типични случаи за употреба за Check Point Maestro

Неодамна, Check Point претстави нова скалабилна платформа Наставникот. Веќе објавивме цела статија за што е тоа и како функционира. Накратко, ви овозможува речиси линеарно да ги зголемите перформансите на безбедносната порта со комбинирање на повеќе уреди и балансирање на оптоварувањето меѓу нив. Изненадувачки, сè уште постои мит дека оваа скалабилна платформа е погодна само за големи центри за податоци или гигантски мрежи. Ова апсолутно не е точно.

Check Point Maestro беше развиен за неколку категории корисници одеднаш (ќе ги разгледаме малку подоцна), вклучувајќи ги и средните бизниси. Во оваа кратка серија написи ќе се обидам да размислувам технички и економски предности на Check Point Maestro за средни организации (од 500 корисници) и зошто оваа опција можеби е подобра од класичен кластер.

Целната публика на Check Point Maestro

Прво, да ги погледнеме корисничките сегменти за кои е дизајниран Check Point Maestro. Има само 4 од нив:

1. Компании кои немаа можности за шасија. Check Point Maestro не е првата скалабилна платформа на Check Point. Веќе пишувавме дека претходно постоеја модели како 64000 и 44000. Иако имаа ОДЛИЧНИ перформанси, сепак имаше компании на кои ова НЕ им беше ДОВОЛНО. Маестро го елиминира овој недостаток, бидејќи ... ви овозможува да соберете до 31 уред во еден кластер со високи перформанси. Во исто време, можете да соберете кластер од уреди со врвен крај (23900, 26000), со што ќе постигнете колосална пропусност.

Всушност, во областа на безбедносните порти, Check Point моментално е единствената која имплементира таква можност.

2. Компании кои сакаат да можат да го изберат својот хардвер. Еден од недостатоците на постарите скалабилни платформи е потребата да се користат строго дефинирани „блајд модули“ (Check Point SGM). Новата Check Point Maestro платформа ви овозможува да користите огромен број различни уреди. Можете да ги изберете двата модели од средниот сегмент (5600, 5800, 5900, 6500, 6800) и од сегментот High End (серија 15000, серија 23000, серија 26000). Покрај тоа, можете да ги комбинирате, во зависност од задачите.

Ова е многу погодно од гледна точка на оптимално користење на ресурсите. Можете да ги купите само перформансите што ви се потребни со избирање на вистинскиот модел.

3. Компании за кои шасијата е премногу, но сепак е потребна приспособливост. Друг „недостаток“ на старите скалабилни платформи (64000, 44000) беше високиот влезен праг (од економска гледна точка). Долго време, скалабилните платформи беа достапни само за големите бизниси со „добри“ ИТ буџети. Со доаѓањето на Check Point Maestro, сè се промени. Цената на минималниот пакет (оркестратор + два порти) е споредлива (а понекогаш и помала) со класичен активен/силен кластер. Оние. прагот за влез значително се намали. При изборот на решение, компанијата може веднаш да постави скалабилна архитектура, без да плаќа премногу за евентуално последователно зголемување на потребите. Има ли повеќе корисници една година по воведувањето на Check Point Maestro? Вие само додавате една или две порти, без никаква замена на постоечките. Не мора ни да ја менувате топологијата. Едноставно поврзете нови порти со оркестраторот и применете ги поставките за нив со само неколку кликања.

4. Компании кои сакаат оптимално да ги користат постоечките уреди. Мислам дека многу луѓе се запознаени со постапката за тргување. Кога перформансите на постоечките уреди веќе не се доволни и хардверот треба да се ажурира за да ги задоволи тековните потреби. Доста скапа процедура. Плус, доста често постои ситуација кога клиентот има неколку Check Point кластери за различни задачи. На пример, кластер за заштита на периметарот, кластер за далечински пристап (RA VPN), кластер за VSX, итн. Покрај тоа, еден кластер можеби нема доволно ресурси, додека друг има изобилство од нив. Check Maestro е одлична можност за оптимизирање на користењето на овие ресурси со динамично распределување на оптоварувањето меѓу нив.

Оние. ги добивате следните придобивки:

• Нема потреба да се „фрла“ постоечкиот хардвер. Можете да купите еден или два дополнителни порти, или...
• Конфигурирајте динамичко балансирање на оптоварување помеѓу други постоечки портали за пооптимално користење на ресурсите. Ако оптоварувањето на периметарската порта нагло се зголеми, тогаш оркестраторот ќе може да ги користи „досадните“ ресурси на портите за далечински пристап и обратно. Ова помага да се изедначат сезонските (или привремените) врвови на оптоварување.

Како што веројатно разбирате, последните два сегменти се однесуваат конкретно на средни бизниси, кои сега можат да си дозволат да користат скалабилни безбедносни платформи. Сепак, може да се појави разумно прашање: „Зошто Check Point Maestro е подобар од обичен кластер?„Ќе се обидеме да одговориме на ова прашање.

Класичен кластер наспроти Check Point Maestro

Ако зборуваме за класичниот кластер за проверка на точките, тогаш се поддржани два режима на работа: висока достапност (т.е. Активно/Стандби) и Споделување на оптоварување (т.е. Активно/Активно). Накратко ќе го опишеме нивното значење на работата, како и нивните добрите и лошите страни.

Висока достапност (Активно/Во мирување)

Како што сугерира името, во овој режим на работа, еден јазол го поминува целиот сообраќај низ себе, а вториот е во режим на подготвеност и го зема сообраќајот ако активниот јазол почне да има какви било проблеми.
Позитивни:

• Најстабилен режим;
• Комерцијалниот механизам SecureXL е поддржан за да се забрза обработката на сообраќајот;
• Ако активниот јазол не успее, вториот е загарантиран дека ќе може да го „свари“ целиот сообраќај (бидејќи е сосема ист).

Конс:
Всушност, има само еден минус - еден јазол е целосно неактивен. За возврат, поради ова, ние сме принудени да купиме помоќен хардвер за да може сам да се справи со сообраќајот.

Се разбира, HA режимот е посигурен од Load Sharing, но оптимизацијата на ресурси остава многу да се посакува.

Споделување на вчитување (активно/активно)

Во овој режим, сите јазли во кластерот го обработуваат сообраќајот. Можете да комбинирате до 8 уреди во таков кластер (повеќе од 4 не се препорачува).
Позитивни:

• Можете да го дистрибуирате товарот помеѓу јазлите, за што се потребни помалку моќни уреди;
• Можност за непречено скалирање (додавање до 8 јазли во кластерот).

Конс:

• Доволно чудно, добрите веднаш се претвораат во лошите страни. Тие сакаат да го користат режимот за споделување на оптоварување дури и кога компанијата има само два јазли. Сакајќи да заштедат пари, тие купуваат уреди, од кои секоја е натоварена на 40-50%. И се чини дека сè е во ред. Но, ако еден јазол не успее, добиваме ситуација кога целиот товар се пренесува на преостанатиот, кој едноставно не може да се справи. Како резултат на тоа, не постои толеранција на грешки како таква во таква шема.
  
• Додајте на ова еден куп ограничувања за споделување товари (sk101539). И најважното ограничување е што не е поддржан SecureXL, механизам кој значително ја забрзува обработката на сообраќајот;
• Што се однесува до скалирањето со додавање нови јазли во кластерот, за жал, Load Sharing е далеку од идеален овде. Ако во кластерот се додадат повеќе од 4 уреди, тогаш перформансите започнуваат драматично паѓаат.

Имајќи ги предвид првите две недостатоци, за да се имплементира толеранција на грешки при користење на два јазли, ние сме принудени да купиме попродуктивен хардвер за да може да го „свари“ сообраќајот во критична ситуација. Како резултат на тоа немаме никаква економска корист, но добиваме голема сума ограничувања. Покрај тоа, вреди да се напомене дека почнувајќи од верзијата R80.20, режимот за споделување товари не е поддржан. Ова ги ограничува корисниците од потребните ажурирања. Сè уште не е познато дали Load Sharing ќе биде поддржано во поновите изданија.

Проверете го Point Maestro како алтернатива

Од гледна точка на кластерот, Check Point Maestro ги искористи главните предности на режимите за висока достапност и споделување на оптоварување:

• Портите поврзани со оркестраторот може да користат SecureXL, што обезбедува максимална брзина на обработка на сообраќајот. Нема други ограничувања својствени за споделување товари;
• Сообраќајот се дистрибуира помеѓу портите во една група за безбедност (логичка порта која се состои од неколку физички). Благодарение на ова, можеме да инсталираме помалку продуктивни уреди, бидејќи веќе немаме неактивни порти, како во режимот на висока достапност. Во исто време, моќноста може да се зголеми речиси линеарно, без такви сериозни загуби како во режимот Load Sharing (повеќе детали подоцна).

Сето ова е одлично, но ајде да погледнеме два конкретни примери.

Пример # 1

Дозволете компанијата X да има намера да инсталира кластер на портали на мрежниот периметар. Тие веќе се запознаа со сите ограничувања на Load Sharing (кои се неприфатливи за нив) и го разгледуваат исклучиво режимот High Availability. По димензионирањето, излегува дека за нив е погоден портата 6800, која не треба да се вчита повеќе од 50% (за да има барем малку резерва за перформанси). Бидејќи ова ќе биде кластер, треба да купите втор уред, кој едноставно ќе „пуши“ воздух во режим на подготвеност. Тоа е многу скапа димница.
Но, постои алтернатива. Земете пакет од оркестраторот и три порти 6500. Во овој случај, сообраќајот ќе биде распределен помеѓу сите три уреди. Ако ги погледнете спецификациите на двата модели, ќе видите дека три порти 6500 се помоќни од еден 6800.

Така, при изборот на Check Point Maestro, компанијата X ги добива следните предности:

• Компанијата веднаш поставува скалабилна платформа. Последователно зголемување на перформансите ќе се сведе на едноставно додавање на уште 6500 парчиња хардвер. Што може да биде поедноставно?
• Решението е сè уште толерантно на грешки, бидејќи Ако еден јазол не успее, преостанатите два ќе можат да се справат со товарот.
• Подеднакво важна и изненадувачка предност е тоа што е поевтино! За жал, не можам да објавувам цени јавно, но ако сте заинтересирани, можете контактирајте не за пресметки

Пример # 2

Нека компанијата Y веќе има HA кластер од 6500 модели. Активниот јазол е натоварен со 85%, што при максимални оптоварувања доведува до загуби во продуктивниот сообраќај. Се чини дека логичното решение на проблемот е ажурирање на хардверот. Следниот модел е 6800. Тоа е. компанијата ќе треба да ги врати портите преку програмата Trade-In и да купи два нови (поскапи) уреди.
Но, постои алтернативна опција. Купете оркестратор и друг точно ист јазол (6500). Соберете кластер од три уреди и „раширете“ го овој 85% од товарот низ три порти. Како резултат на тоа, ќе добиете огромна маржа на перформанси (три уреди ќе се вчитаат со само 30% во просек). Дури и ако еден од трите јазли умре, преостанатите два сепак ќе се справат со сообраќајот со просечно оптоварување од 45%. Покрај тоа, за врвни оптоварувања, кластерот од три активни 6500 порти ќе биде помоќен од една порта 6800, која се наоѓа во кластерот HA (т.е. активен/подготвен). Дополнително, ако за година или две потребите на компанијата Y повторно се зголемат, тогаш сè што ќе треба да направат е да додадат уште еден или два јазли од 6500. Мислам дека економскиот бенефит овде е очигледен.

Заклучок

Да, Check Point Maestro не е решение за SMB. Но, дури и средниот бизнис веќе може да размислува за оваа платформа и барем да се обиде да ја пресмета економската ефикасност. Ќе се изненадите кога ќе откриете дека скалабилните платформи можат да бидат попрофитабилни од класичен кластер. Во исто време, постојат предности не само економски, туку и технички. Сепак, за нив ќе зборуваме во следната статија, каде покрај техничките трикови, ќе се обидам да прикажам неколку типични случаи (топологија, сценарија).

Можете исто така да се претплатите на нашите јавни страници (Телеграма, Facebook, VK, Блог за TS Solution), каде што можете да го следите појавувањето на нови материјали на Check Point и други безбедносни производи.

Извор: www.habr.com