Công tắc bỏ qua vòi mạng Mylinking™ ML-BYPASS-200
Thiết kế mô-đun 2*Bypass cộng với 1*Màn hình, Liên kết 10/40/100GE, Tối đa 640Gbps
1-Tổng quan
Bằng cách triển khai Công tắc bỏ qua thông minh Mylinking™:
- Người dùng có thể linh hoạt cài đặt/gỡ cài đặt thiết bị an ninh mà không ảnh hưởng đến mạng hiện tại và gây gián đoạn;
- Công tắc bỏ qua Mylinking™ Network Tap với chức năng phát hiện tình trạng hoạt động thông minh để theo dõi thời gian thực trạng thái hoạt động bình thường của thiết bị bảo mật nối tiếp, khi thiết bị bảo mật nối tiếp hoạt động bất thường, chế độ bảo vệ sẽ tự động bỏ qua để duy trì kết nối mạng bình thường;
- Công nghệ bảo vệ giao thông chọn lọc có thể được sử dụng để triển khai thiết bị an ninh làm sạch giao thông cụ thể, công nghệ mã hóa dựa trên thiết bị kiểm toán. Thực hiện hiệu quả việc bảo vệ truy cập tuần tự cho loại giao thông cụ thể, giảm tải áp lực xử lý lưu lượng của thiết bị tuần tự;
- Công nghệ Bảo vệ lưu lượng cân bằng tải có thể được sử dụng để triển khai theo cụm các thiết bị nối tiếp an toàn nhằm đáp ứng nhu cầu bảo mật nối tiếp trong môi trường băng thông cao.
Với sự phát triển nhanh chóng của Internet, mối đe dọa về an ninh thông tin mạng ngày càng trở nên nghiêm trọng hơn, do đó, nhiều ứng dụng bảo vệ an ninh thông tin được sử dụng ngày càng rộng rãi. Cho dù đó là thiết bị kiểm soát truy cập truyền thống (tường lửa) hay một loại phương tiện bảo vệ mới tiên tiến hơn như hệ thống ngăn chặn xâm nhập (IPS), nền tảng quản lý mối đe dọa hợp nhất (UTM), hệ thống chống tấn công từ chối dịch vụ (Anti-DDoS), Cổng chống mở rộng, Hệ thống nhận dạng và kiểm soát lưu lượng DPI hợp nhất và nhiều thiết bị bảo mật được triển khai nối tiếp trong các nút chính của mạng, việc thực hiện chính sách bảo mật dữ liệu tương ứng để xác định và xử lý lưu lượng hợp pháp / bất hợp pháp. Tuy nhiên, đồng thời, mạng máy tính sẽ tạo ra độ trễ mạng lớn hoặc thậm chí gián đoạn mạng trong trường hợp chuyển đổi dự phòng, bảo trì, nâng cấp, thay thế thiết bị, v.v. trong môi trường ứng dụng mạng sản xuất có độ tin cậy cao, người dùng không thể chịu đựng được.
Công tắc bỏ qua 2 mạng Tap Tính năng và công nghệ nâng cao
Công nghệ chế độ bảo vệ “SpecFlow” và chế độ bảo vệ “FullLink” của Mylinking™
Công nghệ bảo vệ chuyển mạch bỏ qua nhanh Mylinking™
Công nghệ Mylinking™ “LinkSafeSwitch”
Công nghệ chuyển tiếp/phát hành chiến lược động “WebService” của Mylinking™
Công nghệ phát hiện tin nhắn nhịp tim thông minh Mylinking™
Công nghệ tin nhắn nhịp tim có thể xác định Mylinking™
Công nghệ cân bằng tải đa liên kết Mylinking™
Công nghệ phân phối giao thông thông minh Mylinking™
Công nghệ cân bằng tải động Mylinking™
Công nghệ quản lý từ xa Mylinking™ (HTTP/WEB, TELNET/SSH, Đặc điểm “EasyConfig/AdvanceConfig”)
Hướng dẫn cấu hình chuyển mạch bỏ qua 3 mạng
ĐƯỜNG VÒNGKhe cắm mô-đun cổng bảo vệ:
Khe cắm này có thể được lắp vào mô-đun cổng bảo vệ BYPASS với tốc độ/số cổng khác nhau. Bằng cách thay thế các loại mô-đun khác nhau, nó có thể hỗ trợ bảo vệ BYPASS cho nhiều liên kết 10G/40G/100G.
MÀN HÌNHKhe cắm mô-đun cổng;
Khe cắm này có thể được lắp vào mô-đun cổng MONITOR với nhiều tốc độ/cổng khác nhau. Nó có thể hỗ trợ triển khai nhiều thiết bị giám sát nối tiếp trực tuyến 10G/40G/100G bằng cách thay thế các model khác nhau.
Quy tắc lựa chọn mô-đun
Dựa trên các liên kết triển khai khác nhau và yêu cầu triển khai thiết bị giám sát, bạn có thể linh hoạt lựa chọn các cấu hình mô-đun khác nhau để đáp ứng nhu cầu môi trường thực tế của mình; vui lòng tuân theo các quy tắc sau khi lựa chọn:
1. Các thành phần khung máy là bắt buộc và bạn phải chọn các thành phần khung máy trước khi chọn bất kỳ mô-đun nào khác. Đồng thời, vui lòng chọn các phương thức cấp nguồn khác nhau (AC/DC) tùy theo nhu cầu của bạn.
2. Toàn bộ máy hỗ trợ tối đa 2 khe cắm mô-đun BYPASS và 1 khe cắm mô-đun MONITOR; bạn không thể chọn nhiều hơn số khe cắm để cấu hình. Dựa trên sự kết hợp giữa số khe cắm và model mô-đun, thiết bị có thể hỗ trợ tối đa bốn liên kết bảo vệ 10GE; hoặc tối đa bốn liên kết 40GE; hoặc tối đa một liên kết 100GE.
3. Mô-đun "BYP-MOD-L1CG" chỉ có thể được lắp vào SLOT1 để hoạt động bình thường.
4. Mô-đun loại "BYP-MOD-XXX" chỉ có thể được lắp vào khe cắm mô-đun BYPASS; mô-đun loại "MON-MOD-XXX" chỉ có thể được lắp vào khe cắm mô-đun MONITOR để hoạt động bình thường.
| Mô hình sản phẩm | Tham số chức năng |
| Khung gầm (Máy chủ) | |
| ML-BYPASS-M200 | Giá đỡ tiêu chuẩn 1U 19 inch; mức tiêu thụ điện năng tối đa 250W; máy chủ bảo vệ BYPASS dạng mô-đun; 2 khe cắm mô-đun BYPASS; 1 khe cắm mô-đun MONITOR; tùy chọn AC và DC; |
| MÔ-ĐUN BỎ QUA | |
| BYP-MOD-L2XG(LM/SM) | Hỗ trợ bảo vệ nối tiếp liên kết 10GE 2 chiều, giao diện 4*10GE, đầu nối LC; bộ thu phát quang tích hợp; tùy chọn liên kết quang đơn/đa chế độ, hỗ trợ 10GBASE-SR/ LR; |
| BYP-MOD-L2QXG(LM/SM) | Hỗ trợ bảo vệ nối tiếp liên kết 40GE 2 chiều, giao diện 4*40GE, đầu nối LC; bộ thu phát quang tích hợp; tùy chọn liên kết quang đơn/đa chế độ, hỗ trợ 40GBASE-SR4/ LR4; |
| BYP-MOD-L1CG (LM/SM) | Hỗ trợ bảo vệ nối tiếp liên kết 1 kênh 100GE, giao diện 2*100GE, đầu nối LC; bộ thu phát quang tích hợp; tùy chọn liên kết quang đơn đa chế độ, hỗ trợ 100GBASE-SR4/LR4; |
| MÔ-ĐUN GIÁM SÁT | |
| MON-MOD-L16XG | Mô-đun cổng giám sát 16*10GE SFP+; không có mô-đun thu phát quang; |
| MON-MOD-L8XG | Mô-đun cổng giám sát 8*10GE SFP+; không có mô-đun thu phát quang; |
| MON-MOD-L2CG | 2 mô-đun cổng giám sát 100GE QSFP28; không có mô-đun thu phát quang; |
| MON-MOD-L8QXG | Mô-đun cổng giám sát 8* 40GE QSFP+; không có mô-đun thu phát quang; |
Thông số kỹ thuật của công tắc bỏ qua TAP 4 mạng
| Phương thức sản phẩm | Công tắc bỏ qua nối tiếp ML-BYPASS-M200 | |
| Loại giao diện | Giao diện MGT | 1*10/100/1000BASE-T Giao diện quản lý thích ứng; Hỗ trợ quản lý HTTP/IP từ xa |
| Khe cắm mô-đun | 2 khe cắm mô-đun BYPASS；1 khe cắm mô-đun MONITOR； | |
| Liên kết hỗ trợ tối đa | Thiết bị hỗ trợ tối đa 4 liên kết 10GE hoặc 4 liên kết 40GE hoặc 1 liên kết 100GE | |
| Màn hình | Thiết bị hỗ trợ tối đa 16 cổng giám sát 10GE hoặc 8 cổng giám sát 40GE hoặc 2 cổng giám sát 100GE | |
| Chức năng | Khả năng xử lý song công hoàn toàn | 640Gbps |
| Dựa trên IP/giao thức/cổng năm tầng lưu lượng cụ thể bảo vệ | Ủng hộ | |
| Bảo vệ theo tầng dựa trên lưu lượng truy cập đầy đủ | Ủng hộ | |
| Cân bằng tải nhiều | Ủng hộ | |
| Chức năng phát hiện nhịp tim tùy chỉnh | Ủng hộ | |
| Hỗ trợ tính độc lập của gói Ethernet | Ủng hộ | |
| CÔNG TẮC BỎ QUA | Ủng hộ | |
| Công tắc BYPASS không có đèn flash | Ủng hộ | |
| CONSOLE MGT | Ủng hộ | |
| Quản lý IP/WEB | Ủng hộ | |
| SNMP V1/V2C MGT | Ủng hộ | |
| Quản lý TELNET/SSH | Ủng hộ | |
| Giao thức SYSLOG | Ủng hộ | |
| Quyền người dùng | Dựa trên ủy quyền mật khẩu/AAA/TACACS+ | |
| Điện | Điện áp cung cấp định mức | AC-220V/DC-48V【Tùy chọn】 |
| Tần số công suất định mức | 50HZ | |
| Dòng điện đầu vào định mức | AC-3A / DC-10A | |
| Công suất định mức | 100W | |
| Môi trường | Nhiệt độ làm việc | 0-50℃ |
| Nhiệt độ lưu trữ | -20-70℃ | |
| Độ ẩm làm việc | 10%-95%, Không ngưng tụ | |
| Cấu hình người dùng | Cấu hình bảng điều khiển | Giao diện RS232, 115200, 8, N, 1 |
| Giao diện MGT ngoài băng tần | 1*Giao diện Ethernet 10/100/1000M | |
| Xác thực mật khẩu | Ủng hộ | |
| Chiều cao khung gầm | Không gian khung gầm (U) | 1U 19 inch, 485mm*44,5mm*350mm |
Ứng dụng chuyển mạch bỏ qua TAP mạng 5 (như sau)
Sau đây là chế độ triển khai IPS (Hệ thống phòng chống xâm nhập), FW (Tường lửa) điển hình, IPS/FW được triển khai nối tiếp tới các thiết bị mạng (bộ định tuyến, bộ chuyển mạch, v.v.) giữa lưu lượng thông qua việc thực hiện kiểm tra bảo mật, theo chính sách bảo mật tương ứng để xác định việc phát hành hoặc chặn lưu lượng tương ứng, nhằm đạt được hiệu quả phòng thủ bảo mật.
Đồng thời, chúng ta có thể quan sát IPS/FW như một thiết bị triển khai nối tiếp, thường được triển khai tại vị trí quan trọng của mạng doanh nghiệp để thực hiện bảo mật nối tiếp, độ tin cậy của các thiết bị được kết nối ảnh hưởng trực tiếp đến tính khả dụng của toàn bộ mạng doanh nghiệp. Một khi các thiết bị nối tiếp quá tải, sự cố, cập nhật phần mềm, cập nhật chính sách, v.v., tính khả dụng của toàn bộ mạng doanh nghiệp sẽ bị ảnh hưởng rất lớn. Lúc này, chỉ có thể khôi phục mạng thông qua việc cắt mạng, jumper bypass vật lý, ảnh hưởng nghiêm trọng đến độ tin cậy của mạng. IPS/FW và các thiết bị nối tiếp khác một mặt cải thiện việc triển khai bảo mật mạng doanh nghiệp, mặt khác cũng làm giảm độ tin cậy của mạng doanh nghiệp, làm tăng nguy cơ mạng không khả dụng.
5.2 Bảo vệ thiết bị nối tiếp liên kết nội tuyến
Mylinking™ "Bypass Switch" được triển khai nối tiếp giữa các thiết bị mạng (bộ định tuyến, bộ chuyển mạch, v.v.) và luồng dữ liệu giữa các thiết bị mạng không còn dẫn trực tiếp đến IPS/FW, "Bypass Switch" đến IPS/FW, khi IPS/FW quá tải, sập, cập nhật phần mềm, cập nhật chính sách và các điều kiện lỗi khác, "Bypass Switch" thông qua chức năng phát hiện tin nhắn heartbeat thông minh để phát hiện kịp thời và do đó bỏ qua thiết bị lỗi mà không làm gián đoạn tiền đề của mạng, thiết bị mạng nhanh chóng được kết nối trực tiếp để bảo vệ mạng truyền thông bình thường; khi IPS/FW phục hồi lỗi, cũng thông qua chức năng phát hiện kịp thời các gói heartbeat thông minh, khôi phục liên kết ban đầu để kiểm tra bảo mật mạng doanh nghiệp.
Mylinking™ "Bypass Switch" có chức năng phát hiện tin nhắn nhịp tim thông minh mạnh mẽ, người dùng có thể tùy chỉnh khoảng thời gian nhịp tim và số lần thử lại tối đa, thông qua tin nhắn nhịp tim tùy chỉnh trên IPS/FW để kiểm tra tình trạng hoạt động, chẳng hạn như gửi tin nhắn kiểm tra nhịp tim đến cổng thượng nguồn/hạ nguồn của IPS/FW, sau đó nhận tin nhắn từ cổng thượng nguồn/hạ nguồn của IPS/FW và đánh giá xem IPS/FW có hoạt động bình thường hay không bằng cách gửi và nhận tin nhắn nhịp tim.
5.3 Chính sách “SpecFlow” Bảo vệ dòng kéo nội tuyến
Khi thiết bị mạng bảo mật chỉ cần xử lý lưu lượng cụ thể trong chế độ bảo vệ an ninh nối tiếp, thông qua chức năng xử lý lưu lượng "Bypass Switch" của Mylinking™, lưu lượng "Liên quan" được kết nối trực tiếp đến liên kết mạng thông qua chiến lược sàng lọc lưu lượng của thiết bị bảo mật, và "phần lưu lượng liên quan" được chuyển đến thiết bị an toàn nội tuyến để thực hiện kiểm tra an toàn. Điều này không chỉ duy trì chức năng phát hiện an toàn của thiết bị an toàn hoạt động bình thường mà còn giảm thiểu lưu lượng không hiệu quả của thiết bị an toàn khi xử lý áp lực; đồng thời, "Bypass Switch" có thể phát hiện tình trạng hoạt động của thiết bị an toàn theo thời gian thực. Thiết bị an toàn sẽ bỏ qua lưu lượng dữ liệu ngay lập tức khi hoạt động bất thường, tránh gián đoạn dịch vụ mạng.
Thiết bị Mylinking™ Traffic Bypass Protector có thể xác định lưu lượng dựa trên định danh tiêu đề lớp L2-L4, chẳng hạn như thẻ VLAN, địa chỉ MAC nguồn/đích, địa chỉ IP nguồn, loại gói tin IP, cổng giao thức lớp vận chuyển, thẻ khóa tiêu đề giao thức, v.v. Nhiều điều kiện kết hợp linh hoạt có thể được xác định để xác định các loại lưu lượng cụ thể mà một thiết bị bảo mật cụ thể quan tâm và có thể được sử dụng rộng rãi để triển khai các thiết bị kiểm tra bảo mật đặc biệt (RDP, SSH, kiểm tra cơ sở dữ liệu, v.v.).
5.4 Bảo vệ nối tiếp cân bằng tải
Bộ chuyển mạch "Bypass" Mylinking™ được triển khai nối tiếp giữa các thiết bị mạng (router, switch, v.v.). Khi hiệu suất xử lý của một IPS/FW đơn lẻ không đủ để xử lý lưu lượng đỉnh của liên kết mạng, chức năng cân bằng tải lưu lượng của bộ bảo vệ, tức là "gộp" nhiều cụm IPS/FW xử lý lưu lượng liên kết mạng, có thể giảm hiệu quả áp lực xử lý của một IPS/FW đơn lẻ, cải thiện hiệu suất xử lý tổng thể để đáp ứng yêu cầu băng thông cao của môi trường triển khai.
Mylinking™ "Bypass Switch" có chức năng cân bằng tải mạnh mẽ, theo thẻ VLAN khung, thông tin MAC, thông tin IP, số cổng, giao thức và các thông tin khác trên phân phối cân bằng tải Hash của lưu lượng để đảm bảo rằng mỗi IPS / FW nhận được luồng dữ liệu Tính toàn vẹn của phiên.
5.5 Bảo vệ lực kéo dòng thiết bị nội tuyến đa chuỗi (Thay đổi kết nối nối tiếp thành kết nối song song)
Tại một số liên kết quan trọng (như ổ cắm Internet, liên kết trao đổi khu vực máy chủ), vị trí thường được xác định do nhu cầu bảo mật và việc triển khai nhiều thiết bị kiểm tra bảo mật nội tuyến (như tường lửa, thiết bị chống tấn công DDOS, tường lửa ứng dụng web, thiết bị phòng chống xâm nhập, v.v.), nhiều thiết bị phát hiện bảo mật được đặt đồng thời trên liên kết, làm tăng nguy cơ xảy ra lỗi liên kết, làm giảm độ tin cậy tổng thể của mạng. Trong quá trình triển khai thiết bị bảo mật trực tuyến, việc nâng cấp, thay thế thiết bị và các hoạt động khác đã đề cập ở trên, sẽ khiến mạng bị gián đoạn dịch vụ trong thời gian dài và cần phải cắt giảm quy mô dự án lớn hơn để hoàn thành thành công các dự án đó.
Bằng cách triển khai "Công tắc bỏ qua" theo cách thống nhất, chế độ triển khai nhiều thiết bị bảo mật được kết nối nối tiếp trên cùng một liên kết có thể được thay đổi từ "chế độ nối vật lý" thành "chế độ nối vật lý, nối logic". Liên kết trên liên kết của một điểm lỗi duy nhất để cải thiện độ tin cậy của liên kết, trong khi "công tắc bỏ qua" trên liên kết luồng theo lực kéo theo yêu cầu, để đạt được cùng một luồng với chế độ ban đầu của hiệu ứng xử lý an toàn.
Sơ đồ triển khai nhiều thiết bị bảo mật cùng lúc trong chuỗi:
Sơ đồ triển khai công tắc bỏ qua TAP mạng Mylinking™:
5.6 Dựa trên Chiến lược Động của Bảo vệ Phát hiện An ninh Lực kéo Giao thông
"Chuyển mạch bỏ qua" Một kịch bản ứng dụng nâng cao khác dựa trên chiến lược động của các ứng dụng bảo vệ phát hiện an ninh lực kéo giao thông, cách triển khai như minh họa bên dưới:
Lấy ví dụ về thiết bị kiểm tra bảo mật "Bảo vệ và phát hiện tấn công chống DDoS", thông qua việc triển khai front-end của "Bypass Switch" và sau đó là thiết bị bảo vệ chống DDOS, rồi kết nối với "Bypass Switch", trong "Traction Protector" thông thường, toàn bộ lưu lượng được chuyển tiếp với tốc độ đường truyền, đồng thời luồng phản chiếu được đưa ra cho "Thiết bị bảo vệ chống DDOS". Sau khi phát hiện IP máy chủ (hoặc phân đoạn mạng IP) bị tấn công, "Thiết bị bảo vệ chống DDOS" sẽ tạo ra các quy tắc khớp luồng lưu lượng mục tiêu và gửi chúng đến "Bypass Switch" thông qua giao diện phân phối chính sách động. "Bypass Switch" có thể cập nhật "Traffic Traction Dynamic" sau khi nhận được nhóm quy tắc chính sách động "Routing Rule Pool" và ngay lập tức "rule" được áp dụng cho luồng lưu lượng máy chủ bị tấn công "Traffic Traction" để thiết bị "Anti-DDoS Attack Protection and Detection" xử lý, để luồng tấn công có hiệu lực sau đó được đưa trở lại mạng.
Sơ đồ ứng dụng dựa trên "Chuyển mạch bỏ qua" dễ triển khai hơn so với phương pháp chèn tuyến BGP truyền thống hoặc sơ đồ kéo lưu lượng khác, môi trường ít phụ thuộc vào mạng và độ tin cậy cao hơn.
"Bypass Switch" có các đặc điểm sau để hỗ trợ bảo vệ phát hiện bảo mật chính sách động:
1, " Công tắc bỏ qua " cung cấp các quy tắc bên ngoài dựa trên giao diện WEBSERIVCE, dễ dàng tích hợp với các thiết bị bảo mật của bên thứ ba.
2, "Chuyển mạch bỏ qua" dựa trên chip ASIC phần cứng thuần túy chuyển tiếp các gói tin tốc độ dây lên đến 10Gbps mà không chặn chuyển tiếp chuyển mạch và "thư viện quy tắc động về lực kéo lưu lượng" bất kể số lượng.
3, "Công tắc bỏ qua" tích hợp chức năng BỎ QUA chuyên nghiệp, ngay cả khi bộ bảo vệ bị hỏng, cũng có thể bỏ qua liên kết nối tiếp ban đầu ngay lập tức, không ảnh hưởng đến liên kết ban đầu của giao tiếp bình thường.
