Công tắc bỏ qua mạng Mylinking™ ML-BYPASS-100
2*Bypass cộng với 1*Thiết kế mô-đun màn hình, Liên kết 10/40/100GE, Tối đa 640Gbps
Tổng quan
Mylinking™ Network Tap Bypass Switch được nghiên cứu và phát triển để sử dụng nhằm triển khai linh hoạt nhiều loại thiết bị bảo mật nội tuyến khác nhau đồng thời mang lại độ tin cậy mạng cao.
Bằng cách triển khai Mylinking™ Smart Bypass Switch Nhấn:
- Người dùng có thể linh hoạt cài đặt/gỡ bỏ các thiết bị/công cụ bảo mật mà không gây ảnh hưởng, gián đoạn mạng hiện tại;
- Mylinking™ Network Tap Bypass Switch với chức năng phát hiện tình trạng thông minh để theo dõi thời gian thực trạng thái hoạt động bình thường của các thiết bị bảo mật nội tuyến. Khi các thiết bị bảo mật nội tuyến hoạt động ngoại lệ, chức năng bảo vệ sẽ tự động bỏ qua để duy trì liên lạc mạng bình thường;
- Công nghệ bảo vệ giao thông chọn lọc có thể được sử dụng để triển khai thiết bị an ninh làm sạch giao thông cụ thể, công nghệ mã hóa dựa trên thiết bị kiểm tra. Thực hiện hiệu quả việc bảo vệ truy cập nội tuyến cho loại lưu lượng cụ thể, giảm bớt áp lực xử lý luồng của thiết bị nội tuyến;
- Công nghệ Bảo vệ lưu lượng cân bằng tải có thể được sử dụng để triển khai theo nhóm các thiết bị bảo mật nội tuyến nối tiếp an toàn nhằm đáp ứng bảo mật nội tuyến trong môi trường băng thông cao.
Tính năng & công nghệ nâng cao của Network Tap Bypass Switch
Chế độ bảo vệ Mylinking™ “SpecFlow” và Chế độ bảo vệ “FullLink”
Bảo vệ chuyển mạch nhanh Mylinking™
Mylinking™ “LinkSafeSwitch”
Vấn đề/chuyển tiếp chiến lược động “WebService” của Mylinking™
Phát hiện thông báo nhịp tim thông minh Mylinking™
Tin nhắn nhịp tim có thể xác định của Mylinking™ (Gói nhịp tim)
Cân bằng tải đa liên kết Mylinking™
Phân phối lưu lượng thông minh Mylinking™
Cân bằng tải động Mylinking™
Công nghệ quản lý từ xa Mylinking™(HTTP/WEB, TELNET/SSH, Đặc tính “EasyConfig/AdvanceConfig”)
Hướng dẫn cấu hình tùy chọn chuyển mạch bỏ qua mạng Tap
Mô-đun BỎ QUAKhe cắm mô-đun cổng bảo vệ:
Khe này có thể được lắp vào mô-đun cổng bảo vệ BYPASS với tốc độ/số cổng khác nhau. Bằng cách thay thế các loại mô-đun khác nhau, nó có thể hỗ trợ bảo vệ BYPASS cho nhiều yêu cầu liên kết 10G/40G/100G.
Mô-đun GIÁM SÁTKhe cắm mô-đun cổng;
Khe này có thể được lắp vào mô-đun MONITOR với các tốc độ/cổng khác nhau. Nó có thể hỗ trợ nhiều liên kết 10G/40G/100G để triển khai thiết bị giám sát nối tiếp nội tuyến bằng cách thay thế các mô-đun khác nhau.
Quy tắc lựa chọn mô-đun
Dựa trên các liên kết được triển khai khác nhau và yêu cầu triển khai thiết bị giám sát, bạn có thể linh hoạt chọn các cấu hình mô-đun khác nhau để đáp ứng yêu cầu môi trường thực tế của mình; vui lòng tuân theo các quy tắc sau trong quá trình lựa chọn mô-đun của bạn:
1. Các thành phần khung là bắt buộc và bạn phải chọn các thành phần khung trước khi chọn bất kỳ mô-đun nào khác. Đồng thời, vui lòng chọn các phương thức cấp nguồn khác nhau (AC/DC) tùy theo nhu cầu của bạn.
2. Toàn bộ thiết bị hỗ trợ tối đa 2 khe cắm mô-đun BYPASS và 1 khe cắm mô-đun MONITOR; bạn không thể chọn nhiều hơn số lượng vị trí để định cấu hình. Dựa trên sự kết hợp giữa số lượng khe cắm và kiểu mô-đun, thiết bị có thể hỗ trợ tối đa bốn biện pháp bảo vệ liên kết 10GE; hoặc nó có thể hỗ trợ tối đa bốn liên kết 40GE; hoặc nó có thể hỗ trợ tối đa một liên kết 100GE.
3. Chỉ có thể lắp mô-đun "BYP-MOD-L1CG" vào SLOT1 để hoạt động bình thường.
4. Chỉ có thể lắp loại mô-đun "BYP-MOD-XXX" vào khe cắm mô-đun BYPASS; loại mô-đun "MON-MOD-XXX" chỉ có thể được lắp vào khe cắm mô-đun MONITOR để hoạt động bình thường.
| Mẫu sản phẩm | Thông số chức năng |
| Khung gầm (Máy chủ) | |
| ML-BỎ QUA-M100 | Giá đỡ 19 inch tiêu chuẩn 1U; điện năng tiêu thụ tối đa 250W; máy chủ bảo vệ BYPASS mô-đun; 2 khe cắm mô-đun BYPASS; 1 khe cắm mô-đun MONITOR; AC và DC tùy chọn; |
| BỎ QUA MODULE | |
| BYP-MOD-L2XG(LM/SM) | Hỗ trợ bảo vệ nối tiếp liên kết 10GE 2 chiều, giao diện 4 * 10GE, đầu nối LC; bộ thu phát quang tích hợp; liên kết quang đơn/đa chế độ tùy chọn, hỗ trợ 10GBASE-SR/LR; |
| BYP-MOD-L2QXG(LM/SM) | Hỗ trợ bảo vệ nối tiếp liên kết 40GE 2 chiều, giao diện 4 * 40GE, đầu nối LC; bộ thu phát quang tích hợp; liên kết quang đơn/đa chế độ tùy chọn, hỗ trợ 40GBASE-SR4/ LR4; |
| BYP-MOD-L1CG (LM/SM) | Hỗ trợ bảo vệ nối tiếp liên kết 1 kênh 100GE, giao diện 2 * 100GE, đầu nối LC; bộ thu phát quang tích hợp; liên kết quang đơn đa chế độ tùy chọn, hỗ trợ 100GBASE-SR4/LR4; |
| MÔ-ĐUN THEO DÕI | |
| MON-MOD-L16XG | Mô-đun cổng giám sát 16*10GE SFP+; không có mô-đun thu phát quang; |
| MON-MOD-L8XG | Mô-đun cổng giám sát 8*10GE SFP+; không có mô-đun thu phát quang; |
| MON-MOD-L2CG | Mô-đun cổng giám sát 2 * 100GE QSFP28; không có mô-đun thu phát quang; |
| MON-MOD-L8QXG | Mô-đun cổng giám sát 8*40GE QSFP+; không có mô-đun thu phát quang; |
Thông số kỹ thuật chuyển mạch bỏ qua TAP mạng
| Phương thức sản phẩm | ML-BYPASS-M100 Công tắc bỏ qua mạng nội tuyến | |
| Loại giao diện | Giao diện MGT | Giao diện quản lý thích ứng 1*10/100/1000BASE-T; Hỗ trợ quản lý HTTP/IP từ xa |
| Khe cắm mô-đun | 2*Khe cắm mô-đun BYPASS; 1*Khe cắm mô-đun THEO DÕI; | |
| Link hỗ trợ tối đa | Thiết bị hỗ trợ tối đa liên kết 4*10GE hoặc liên kết 4*40GE hoặc liên kết 1*100GE | |
| Giám sát | Thiết bị hỗ trợ tối đa cổng giám sát 16 * 10GE hoặc cổng giám sát 8 * 40GE hoặc cổng giám sát 2 * 100GE; | |
| Chức năng | Khả năng xử lý song công hoàn toàn | 640Gbps |
| Dựa trên IP/giao thức/cổng bảo vệ tầng lưu lượng truy cập cụ thể năm bộ dữ liệu | Được hỗ trợ | |
| Bảo vệ tầng dựa trên lưu lượng truy cập đầy đủ | Được hỗ trợ | |
| Cân bằng tải đa dạng | Được hỗ trợ | |
| Chức năng phát hiện nhịp tim tùy chỉnh | Được hỗ trợ | |
| Hỗ trợ tính độc lập của gói Ethernet | Được hỗ trợ | |
| BỎ QUA CÔNG TẮC | Được hỗ trợ | |
| BỎ QUA Công tắc không có đèn flash | Được hỗ trợ | |
| CONSOLE MGT | Được hỗ trợ | |
| IP/WEB MGT | Được hỗ trợ | |
| SNMP V1/V2C MGT | Được hỗ trợ | |
| TELNET/SSH MGT | Được hỗ trợ | |
| Giao thức SYSLOG | Được hỗ trợ | |
| Ủy quyền người dùng | Dựa trên ủy quyền mật khẩu/AAA/TACACS+ | |
| Điện | Điện áp cung cấp định mức | AC-220V/DC-48V [Tùy chọn] |
| Tần số công suất định mức | 50HZ | |
| Dòng điện đầu vào định mức | AC-3A / DC-10A | |
| Công suất định mức | 100W | |
| Môi trường | Nhiệt độ làm việc | 0－50oC |
| Nhiệt độ bảo quản | -20-70oC | |
| Độ ẩm làm việc | 10%-95%, Không ngưng tụ | |
| Cấu hình người dùng | Cấu hình bảng điều khiển | Giao diện RS232, 115200,8,N,1 |
| Giao diện MGT ngoài băng tần | Giao diện Ethernet 1*10/100/1000M | |
| Ủy quyền mật khẩu | Được hỗ trợ | |
| Chiều cao khung gầm | Không gian khung gầm（U | 1U 19 inch,485mm*44.5mm*350mm |
Ứng dụng chuyển mạch bỏ qua mạng TAP (như sau)
5.1 Rủi ro của thiết bị bảo mật nội tuyến (IPS/FW)
Sau đây là chế độ triển khai IPS (Intrusion Prevention System), FW (Firewall) điển hình, IPS/FW được triển khai dưới dạng thiết bị mạng nội tuyến (như bộ định tuyến, bộ chuyển mạch, v.v.) giữa lưu lượng thông qua việc thực hiện kiểm tra bảo mật, theo chính sách bảo mật tương ứng để xác định việc giải phóng hoặc chặn lưu lượng truy cập tương ứng, để đạt được hiệu quả bảo vệ an ninh.
Đồng thời, chúng ta có thể quan sát IPS(Hệ thống ngăn chặn xâm nhập) / FW(Tường lửa) dưới dạng triển khai nội tuyến của thiết bị, thường được triển khai ở vị trí quan trọng của mạng doanh nghiệp để triển khai bảo mật nội tuyến, độ tin cậy của các thiết bị được kết nối của nó ảnh hưởng trực tiếp đến tính sẵn có của mạng doanh nghiệp tổng thể. Một khi các thiết bị bảo mật nội tuyến quá tải, gặp sự cố, cập nhật phần mềm, cập nhật chính sách, v.v., toàn bộ tính khả dụng của mạng doanh nghiệp sẽ bị ảnh hưởng lớn. Tại thời điểm này, chúng tôi chỉ thông qua việc cắt mạng, nhảy vòng vật lý có thể khiến mạng được khôi phục, nhưng nó ảnh hưởng nghiêm trọng đến độ tin cậy của mạng. IPS(Hệ thống ngăn chặn xâm nhập) / FW(Tường lửa) và các thiết bị nội tuyến khác một mặt cải thiện việc triển khai bảo mật mạng doanh nghiệp, mặt khác cũng làm giảm độ tin cậy của mạng doanh nghiệp, làm tăng nguy cơ mạng không khả dụng.
5.2 Bảo vệ thiết bị dòng liên kết nội tuyến
Mylinking™ " Bypass Switch " được triển khai nội tuyến giữa các thiết bị mạng (bộ định tuyến, bộ chuyển mạch, v.v.) và luồng dữ liệu giữa các thiết bị mạng không còn dẫn trực tiếp đến IPS(Hệ thống ngăn chặn xâm nhập) / FW(Tường lửa), " Bypass Switch " đến IPS / FW, khi IPS / FW do quá tải, gặp sự cố, cập nhật phần mềm, cập nhật chính sách và các tình trạng lỗi khác, "Bypass Switch" thông qua chức năng phát hiện thông báo nhịp tim thông minh để phát hiện kịp thời và do đó bỏ qua thiết bị bị lỗi, không làm gián đoạn tiền đề của mạng, thiết bị mạng nhanh chóng được kết nối trực tiếp để bảo vệ mạng truyền thông thông thường; khi khôi phục lỗi IPS / FW, mà còn thông qua Phát hiện gói nhịp tim thông minh để phát hiện kịp thời chức năng, liên kết ban đầu để khôi phục tính bảo mật của kiểm tra an ninh mạng doanh nghiệp.
Mylinking™ "Bypass Switch" có chức năng Phát hiện thông báo nhịp tim thông minh mạnh mẽ, người dùng có thể tùy chỉnh khoảng thời gian nhịp tim và số lần thử lại tối đa, thông qua thông báo nhịp tim tùy chỉnh trên IPS / FW để kiểm tra sức khỏe, chẳng hạn như gửi tin nhắn kiểm tra nhịp tim đến cổng ngược dòng / hạ lưu của IPS / FW, sau đó nhận từ cổng ngược dòng / hạ lưu của IPS / FW và đánh giá xem IPS / FW có hoạt động bình thường hay không bằng cách gửi và nhận tin nhắn nhịp tim.
5.3 Bảo vệ chuỗi chính sách “SpecFlow” Dòng lực kéo nội tuyến
Khi thiết bị mạng bảo mật chỉ cần xử lý lưu lượng truy cập cụ thể trong bảo vệ bảo mật nối tiếp, thông qua chức năng xử lý lưu lượng truy cập trên mỗi xử lý Mylinking™ " Network Tap Bypass Switch ", thông qua chiến lược sàng lọc lưu lượng để kết nối lưu lượng truy cập " Có liên quan " của thiết bị bảo mật được gửi quay lại trực tiếp liên kết mạng và "phần giao thông liên quan" được kéo đến thiết bị an toàn nội tuyến để thực hiện kiểm tra an toàn. Điều này sẽ không chỉ duy trì ứng dụng bình thường của chức năng phát hiện an toàn của thiết bị an toàn mà còn làm giảm dòng chảy không hiệu quả của thiết bị an toàn để xử lý áp suất; đồng thời, "Network Tap Bypass Switch" có thể phát hiện tình trạng hoạt động của thiết bị an toàn trong thời gian thực. Thiết bị an toàn hoạt động bất thường bỏ qua lưu lượng dữ liệu trực tiếp để tránh gián đoạn dịch vụ mạng.
Mylinking™ Inline Traffic Bypass Tap có thể xác định lưu lượng truy cập dựa trên mã định danh tiêu đề lớp L2-L4, chẳng hạn như thẻ Vlan, địa chỉ MAC nguồn / đích, địa chỉ IP nguồn, loại gói IP, cổng giao thức lớp vận chuyển, thẻ khóa tiêu đề giao thức và sớm. Một loạt các điều kiện phù hợp, sự kết hợp linh hoạt có thể được xác định một cách linh hoạt để xác định các loại lưu lượng cụ thể mà một thiết bị bảo mật cụ thể quan tâm và có thể được sử dụng rộng rãi để triển khai các thiết bị kiểm tra bảo mật đặc biệt (RDP, SSH, kiểm tra cơ sở dữ liệu, v.v.) .
5.4 Bảo vệ dòng cân bằng tải
Mylinking™ "Network Tap Bypass Switch" được triển khai dưới dạng nội tuyến giữa các thiết bị mạng (bộ định tuyến, bộ chuyển mạch, v.v.). Khi hiệu suất xử lý IPS / FW đơn lẻ không đủ để đối phó với lưu lượng truy cập cao nhất của liên kết mạng, Chức năng cân bằng tải lưu lượng của bộ bảo vệ, "gói" lưu lượng liên kết mạng xử lý nhiều cụm IPS / FW, có thể giảm một cách hiệu quả IPS / FW đơn lẻ áp lực xử lý, cải thiện hiệu suất xử lý tổng thể để đáp ứng yêu cầu băng thông cao của môi trường triển khai.
Mylinking™ "Network Tap Bypass Switch" có chức năng cân bằng tải mạnh mẽ, theo thẻ VLAN khung, thông tin MAC, thông tin IP, số cổng, giao thức và các thông tin khác về phân phối lưu lượng cân bằng tải Hash để đảm bảo rằng mỗi IPS / FW luồng dữ liệu nhận được Tính toàn vẹn của phiên.
5.5 Bảo vệ lực kéo dòng thiết bị nội tuyến nhiều dòng (Thay đổi kết nối nối tiếp thành kết nối song song)
Trong một số liên kết chính (chẳng hạn như các ổ cắm Internet, liên kết trao đổi khu vực máy chủ) vị trí thường do nhu cầu về tính năng bảo mật và việc triển khai nhiều thiết bị kiểm tra bảo mật nội tuyến (như tường lửa (FW), thiết bị chống tấn công DDOS, Tường lửa ứng dụng WEB(WAF), Hệ thống ngăn chặn xâm nhập(IPS), v.v.), nhiều thiết bị phát hiện bảo mật cùng lúc nối tiếp trên liên kết để tăng liên kết tại một điểm lỗi, làm giảm độ tin cậy tổng thể của mạng. Và trong việc triển khai trực tuyến thiết bị an ninh nêu trên, nâng cấp thiết bị, thay thế thiết bị và các hoạt động khác sẽ khiến mạng bị gián đoạn dịch vụ trong thời gian dài và phải thực hiện hành động cắt giảm dự án lớn hơn để hoàn thành việc thực hiện thành công các dự án đó.
Bằng cách triển khai "Network Tap Bypass Switch" một cách thống nhất, chế độ triển khai của nhiều thiết bị bảo mật được kết nối nối tiếp trên cùng một liên kết có thể được thay đổi từ "chế độ nối vật lý" thành "chế độ ghép nối vật lý, chế độ ghép nối logic" Liên kết trên liên kết của một điểm lỗi duy nhất để cải thiện độ tin cậy của liên kết, trong khi "công tắc bỏ qua" trên luồng liên kết theo lực kéo theo yêu cầu, để đạt được cùng một luồng với chế độ ban đầu có hiệu quả xử lý an toàn.
Nhiều thiết bị bảo mật cùng lúc như sơ đồ triển khai nội tuyến:
Sơ đồ triển khai Switch Bypass TAP của Mylinking™ Network:
5.6 Dựa trên Chiến lược năng động Bảo vệ phát hiện an ninh lực kéo giao thông
"Network Tap Bypass Switch" Một kịch bản ứng dụng nâng cao khác dựa trên chiến lược động của các ứng dụng bảo vệ phát hiện an ninh lực kéo giao thông, việc triển khai cách thức như dưới đây:
Lấy ví dụ như thiết bị kiểm tra bảo mật "Phát hiện và bảo vệ chống tấn công DDoS", thông qua việc triển khai giao diện người dùng của " Network Tap Bypass Switch " và sau đó là thiết bị bảo vệ chống DDOS, sau đó được kết nối với " Network Tap Bypass Switch ", trong " Bộ bảo vệ lực kéo " thông thường để chuyển tiếp toàn bộ tốc độ dây lưu lượng truy cập đồng thời, gương luồng xuất ra" thiết bị bảo vệ tấn công chống DDOS ", sau khi được phát hiện cho IP máy chủ (hoặc phân đoạn mạng IP) sau attack," thiết bị bảo vệ tấn công chống DDOS " sẽ tạo ra các quy tắc phù hợp với luồng lưu lượng truy cập mục tiêu và gửi chúng đến " Network Tap Bypass Switch " thông qua giao diện phân phối chính sách động. " Network Tap Bypass Switch " có thể cập nhật "động lực kéo lưu lượng truy cập" sau khi nhận được các quy tắc chính sách động Nhóm quy tắc "và ngay lập tức" quy tắc đánh vào "lực kéo" lưu lượng truy cập của máy chủ tấn công đến thiết bị "phát hiện và bảo vệ chống tấn công DDoS" để xử lý, có hiệu lực sau luồng tấn công và sau đó được đưa lại vào mạng.
Lược đồ ứng dụng dựa trên " Network Tap Bypass Switch " dễ thực hiện hơn so với việc chèn tuyến đường BGP truyền thống hoặc sơ đồ kéo giao thông khác, đồng thời môi trường ít phụ thuộc vào mạng hơn và độ tin cậy cao hơn.
"Network Tap Bypass Switch" có các đặc điểm sau để hỗ trợ bảo vệ phát hiện bảo mật chính sách động:
1, "Network Tap Bypass Switch" để cung cấp các quy tắc bên ngoài dựa trên giao diện WEBSERIVCE, tích hợp dễ dàng với các thiết bị bảo mật của bên thứ ba.
2, "BNetwork Tap Bypass Switch" dựa trên chip ASIC thuần phần cứng chuyển tiếp các gói tốc độ dây lên tới 10Gbps mà không chặn chuyển tiếp công tắc và "thư viện quy tắc động lực kéo lưu lượng" bất kể số lượng.
3, Chức năng BYPASS chuyên nghiệp được tích hợp sẵn "Network Tap Bypass Switch", ngay cả khi bộ bảo vệ bị lỗi, cũng có thể bỏ qua liên kết nối tiếp ban đầu ngay lập tức, không ảnh hưởng đến liên kết ban đầu của giao tiếp thông thường.
