Spoločnosť Check Point s neobyčajnou dynamikou začala rok 2019 a oznámila hneď niekoľko dôležitých noviniek. Nemáme možnosť pokryť všetko v jednom článku, preto začneme s tým najdôležitejším — . Maestro je nová škálovateľná platforma, ktorá umožňuje zvýšiť "výkon" bezpečnostného brány až na "neprístojné" čísla, pričom prakticky lineárne. Čoho sa dosahuje samozrejme pomocou vyvažovania záťaže medzi jednotlivými bránami, ktoré pracujú v klastre ako jedna entita. Niektorí môžu povedať — "Bolo! Už existujú bľadové platformy 44000/64000". Avšak Maestro je úplne iná vec. V rámci tohto článku sa pokúsim v skratke vysvetliť, čo to je, ako to funguje a ako táto technológia pomôže ušetriť na ochrane perimetra siete.
Bolo — Stalo sa
Najjednoduchšie pochopíte, čím sa nová škálovateľná platforma líši od starých dobrých 44000/64000, keď sa pozriete na obrázok nižšie:
Rozdiel je zrejmý.
Stará platforma Check Point 44000/64000
Ako je vidieť na obrázku vyššie, prvá možnosť predstavuje pevnú platformu (šasi), do ktorej je možné vložiť obmedzený počet špeciálnych "modulárnych čepeľí" (Check Point SGM). To všetko je pripojené k Security Switch Module (SSM), ktorý vykonáva vyvažovanie prevádzky medzi bránami. Na obrázku nižšie sú podrobnejšie zobrazené súčasti tejto platformy:
Je to výborná platforma v prípade, ak presne viete, aký výkon potrebujete teraz a v akých medziach môže narásť. Avšak v dôsledku pevného formátu (12 alebo 6 čepelí) ste obmedzení v ďalšom škálovaní. Navyše musíte používať výhradne SGM čepele, bez možnosti pripojenia bežných prídavných modulov, ktorých modelový rad je omnoho širší. S príchodom Maestro Hyperscale Network Security sa situácia radikálne mení.
Nová platforma Check Point Maestro Hyperscale Network Security
Check Point Maestro bol prvýkrát predstavený 22. januára na konferencii CPX v Bangkoku. Hlavné charakteristiky môžete vidieť na obrázku nižšie:
Ako si môžete všimnúť, hlavnou výhodou Check Point Maestro je možnosť používať na vyvažovanie bežné brány (appliance). T.j. už nie sme obmedzení SGM čepeľami. Rozloženie záťaže je možné medzi akékoľvek zariadenia, počnúc modelom 5600 (SMB modely a šasi 44000/64000 nie sú podporované). Na obrázku vyššie sú uvedené základné ukazovatele, ktorých je možné dosiahnuť pri použití novej platformy. Môžeme spojiť do jedného výpočtového zdroja až 31! brány. Teraz môže váš „firewall“ vyzerať nasledovne:
Maestro Hyperscale Orchestrator
Som si istý, že mnohých už napadla otázka: “Čo je to za orchester?” Nuž, zoznámte sa. Maestro Hyperscale Orchestrator — práve toto zariadenie zodpovedá za vyvažovanie záťaže. Na tomto zariadení je nainštalovaný operačný systém Gaia R80.20 SP. V súčasnosti existujú dva modely orchestrátorov — MHO-140 a MHO-170. Charakteristiky sú na obrázku nižšie:
Na prvý pohľad sa môže zdať, že ide o bežný prepínač. V skutočnosti je to „prepínač + vyvažovač + systém správy zdrojov“. Všetko v jednom zariadení.
Na tieto orchestrátory sa pripájajú brány. V prípade, že vyvažovače sú v redundantnom vykonaní, každá brána sa pripája ku každému orchestrátoru. Na pripojenie môže byť použitá „optika“ (sfp+ / qsfp+ / qsfp28+) alebo DAC kábel (Direct Attach Copper). Pri tom medzi orchestrátormi by samozrejme mala byť linka synchronizácie:
Na obrázku nižšie môžete vidieť, ako sa rozdeľujú porty týchto orchestrátorov:
Bezpečnostné skupiny
Aby sa záťaž mohla rozložiť medzi brány, tieto brány musia byť v jednej bezpečnostnej skupine. Bezpečnostná skupina je logická skupina zariadení, ktorá funguje ako klaster active/active. Táto skupina funguje nezávisle od iných bezpečnostných skupín. Z pohľadu správy servera sa bezpečnostná skupina zobrazuje ako jedno zariadenie s jednou IP adresou.
V prípade potreby môžeme vyčleniť jednu alebo viac brán do samostatnej bezpečnostnej skupiny a použiť túto skupinu na iné účely, ako samostatný firewall z pohľadu správy. Príklad použitia je uvedený na obrázku nižšie:
Dôležité obmedzenie, v jednej Security Group môžu byť použité iba rovnaké brány (model). T.j. ak chcete lineárne zvyšovať výkon vašej bezpečnostnej brány (ktorá je klastrom z niekoľkých zariadení), musíte pridávať presne také isté brány. V najbližších verziách softvéru by toto obmedzenie malo zmiznúť.
Na videu nižšie môžete vidieť proces vytvárania Security Group. Postup je intuitívny.
Opäť, ak porovnáte komponenty Maestro s šasi platformou, dostanete zhruba nasledujúci obrázok "bolo-stalo":
Aká je výhoda novej platformy?
Skutočne je mnoho výhod, ako z technického hľadiska, tak z ekonomického. V skratke opíšem najdôležitejšie:
- Sme prakticky neobmedzení v škálovaní. Až 31 brány v rámci jednej Security Group.
- Môžeme pridávať brány podľa potreby. Minimálna konfigurácia pri kúpe — jeden orchestrátor + dve brány. Nie je potrebné plánovať modely "na rast".
- Z predchádzajúceho bodu vyplýva ďalšia výhoda. Už nemusíme meniť brány, ktoré prestali zvládať záťaž. Predtým sa tento problém riešil prostredníctvom trade-in postupu — odovzdávali sme staré "železo" a získavali nové so zľavou. Pri tejto schéme sú nevyhnutné finančné "straty". Nový postup so škálovaním odstraňuje tento faktor. Nič nie je potrebné odovzdávať, môžete jednoducho pokračovať v zvyšovaní výkonu pomocou dodatočného "železa".
- Možnosť zjednotenia už existujúcich zdrojov na rozdelenie záťaže. Napríklad je možné "presunúť" všetky svoje klastry na platformu Maestro a zostaviť niekoľko Security Group v závislosti od záťaže.
Bundly Maestro Hyperscale Network Security
V súčasnosti existuje niekoľko možností zakúpenia takzvaných bundlov s platformou Maestro. Riešenie na báze brán 23800, 6800 a 6500:
Pri tom si môžete vybrať z dvoch štandardných typov výbavy:
- Jeden orchestrátor a dve brány;
- Jeden orchestrátor a tri brány.
môžete sa pozrieť na orientačné ceny. Samozrejme, môžeme dodatočne zahrnúť ešte jeden orchestrátor a koľko chcete brán. Dodatočné informácie o špecifikáciách si môžete požičať .
Zariadenia 6500 a 6800 to sú najnovšie modely, ktoré boli taktiež predstavené na začiatku tohto roku. Ale o nich budeme hovoriť podrobnejšie v ďalšom článku.
Kedy sa dá kúpiť?
Nie je tu jednoznačná odpoveď. V súčasnosti nie je notifikácia na dovoz týchto riešení k nám do krajiny. Akonáhle sa objavia informácie o termínoch, okamžite to oznámime na našich publikáciách (, , ). Okrem toho sa čoskoro plánuje webinár venovaný riešeniu Check Point Maestro, kde budú prebrané všetky technické detaily. A samozrejme, bude možné položiť zaujímavé otázky. Sledujte novinky!
Záver
Bezpochyby, nová platforma je výborným prírastkom do hardvérových riešení Check Point. V podstate tento produkt otvára nový segment, pre ktorý nemá každý dodávateľ IT bezpečnosti podobné riešenie. Navyše, v súčasnosti má Check Point Maestro prakticky žiadnu alternatívu, pokiaľ ide o zabezpečenie tak bezprecedentnej "security sily". Avšak Maestro Hyperscale Network Security bude zaujímavý nielen pre majiteľov dátových centier, ale aj pre bežné spoločnosti. "Zaujať" Maestro už môžu tí, ktorí vlastní alebo plánujú nadobudnúť zariadenia, počnúc modelom 5600. V niektorých prípadoch sa využitie Maestro Hyperscale Network Security môže ukázať ako veľmi výhodné riešenie, ako z ekonomického, tak i z technického hľadiska.
P.S. Článok bol pripravený za účasti Anatolija Masovera — Experta na škálovateľné platformy, Check Point Software Technologies.
Zdroj: habr.com
