สวิตช์บายพาส Network Tap Mylinking™ รุ่น ML-BYPASS-100

ภาพรวม

สวิตช์บายพาส Network Tap ของ Mylinking™ ได้รับการวิจัยและพัฒนาขึ้นเพื่อการใช้งานที่ยืดหยุ่นสำหรับอุปกรณ์รักษาความปลอดภัยแบบอินไลน์ประเภทต่างๆ พร้อมทั้งให้ความน่าเชื่อถือของเครือข่ายในระดับสูง
โดยการติดตั้ง Mylinking™ Smart Bypass Switch Tap:

• ผู้ใช้สามารถติดตั้ง/ถอดถอนอุปกรณ์/เครื่องมือรักษาความปลอดภัยได้อย่างยืดหยุ่นโดยไม่ส่งผลกระทบหรือรบกวนเครือข่ายปัจจุบัน
• สวิตช์บายพาส Mylinking™ Network Tap มาพร้อมฟังก์ชันตรวจจับสถานะอัจฉริยะเพื่อตรวจสอบสถานะการทำงานปกติของอุปกรณ์รักษาความปลอดภัยแบบอินไลน์แบบเรียลไทม์ เมื่ออุปกรณ์รักษาความปลอดภัยแบบอินไลน์ทำงานผิดปกติ ฟังก์ชันป้องกันจะทำการบายพาสโดยอัตโนมัติเพื่อรักษาการสื่อสารเครือข่ายให้เป็นปกติ
• เทคโนโลยีการป้องกันการจราจรแบบเลือกสรร สามารถนำมาใช้ในการติดตั้งอุปกรณ์รักษาความปลอดภัยการตรวจสอบการจราจรเฉพาะประเภท และเทคโนโลยีการเข้ารหัสโดยอิงจากอุปกรณ์ตรวจสอบ เพื่อดำเนินการป้องกันการเข้าถึงแบบเรียลไทม์สำหรับประเภทการจราจรเฉพาะได้อย่างมีประสิทธิภาพ และลดภาระการจัดการการไหลของอุปกรณ์แบบเรียลไทม์
• เทคโนโลยีการป้องกันการรับส่งข้อมูลแบบกระจายโหลด (Load Balanced Traffic Protection) สามารถนำมาใช้ในการติดตั้งอุปกรณ์รักษาความปลอดภัยแบบอนุกรมแบบอินไลน์ในรูปแบบคลัสเตอร์ เพื่อตอบสนองความต้องการด้านความปลอดภัยแบบอินไลน์ในสภาพแวดล้อมที่มีแบนด์วิดท์สูง

คุณสมบัติและเทคโนโลยีขั้นสูงของ Network Tap Bypass Switch

โหมดป้องกัน “SpecFlow” และโหมดป้องกัน “FullLink” ของ Mylinking™
ระบบป้องกันการสลับบายพาสเร็ว Mylinking™
Mylinking™ “LinkSafeSwitch”
Mylinking™ “WebService” กลยุทธ์การส่งต่อ/การออกปัญหาแบบไดนามิก
Mylinking™ ระบบตรวจจับข้อความการเต้นของหัวใจอัจฉริยะ
ข้อความแสดงสถานะการเต้นของหัวใจ (แพ็กเก็ตแสดงสถานะการเต้นของหัวใจ) ที่กำหนดเองได้ของ Mylinking™
Mylinking™ ระบบกระจายโหลดแบบหลายลิงก์
Mylinking™ ระบบกระจายปริมาณการใช้งานอัจฉริยะ
Mylinking™ การปรับสมดุลโหลดแบบไดนามิก
เทคโนโลยีการจัดการระยะไกล Mylinking™ (HTTP/WEB, TELNET/SSH, คุณลักษณะ “EasyConfig/AdvanceConfig”)

คู่มือการกำหนดค่าเพิ่มเติมสำหรับสวิตช์บายพาส Network Tap

โมดูลบายพาสช่องเสียบโมดูลพอร์ตป้องกัน:
ช่องเสียบนี้สามารถเสียบเข้ากับโมดูลพอร์ตป้องกัน BYPASS ที่มีความเร็ว/จำนวนพอร์ตต่างกันได้ โดยการเปลี่ยนโมดูลประเภทต่างๆ จะสามารถรองรับการป้องกัน BYPASS สำหรับลิงก์ 10G/40G/100G หลายลิงก์ได้

โมดูลมอนิเตอร์ช่องเสียบโมดูลพอร์ต;
ช่องนี้สามารถเสียบโมดูล MONITOR ที่มีความเร็ว/พอร์ตต่างกันได้ รองรับการเชื่อมต่อหลายลิงก์ 10G/40G/100G สำหรับการใช้งานอุปกรณ์ตรวจสอบแบบอนุกรมแบบอินไลน์ โดยการเปลี่ยนโมดูลต่างๆ

กฎการเลือกโมดูล
คุณสามารถเลือกการกำหนดค่าโมดูลที่หลากหลายได้อย่างยืดหยุ่น เพื่อให้ตรงกับความต้องการของสภาพแวดล้อมจริง โดยขึ้นอยู่กับลิงก์ที่ใช้งานและข้อกำหนดในการติดตั้งอุปกรณ์ตรวจสอบ โปรดปฏิบัติตามกฎต่อไปนี้ในระหว่างการเลือกโมดูล:
1. ส่วนประกอบของตัวเครื่องเป็นสิ่งที่จำเป็น และคุณต้องเลือกส่วนประกอบของตัวเครื่องก่อนที่จะเลือกโมดูลอื่นๆ ในขณะเดียวกัน โปรดเลือกวิธีการจ่ายไฟ (AC/DC) ที่แตกต่างกันตามความต้องการของคุณ
2. อุปกรณ์ทั้งหมดรองรับช่องเสียบโมดูล BYPASS ได้สูงสุด 2 ช่อง และช่องเสียบโมดูล MONITOR 1 ช่อง คุณไม่สามารถเลือกช่องเสียบมากกว่าจำนวนช่องที่กำหนดไว้ได้ ขึ้นอยู่กับการผสมผสานระหว่างจำนวนช่องเสียบและรุ่นของโมดูล อุปกรณ์สามารถรองรับการป้องกันลิงก์ 10GE ได้สูงสุดสี่ลิงก์ หรือสามารถรองรับลิงก์ 40GE ได้สูงสุดสี่ลิงก์ หรือสามารถรองรับลิงก์ 100GE ได้สูงสุดหนึ่งลิงก์
3. โมดูลรุ่น "BYP-MOD-L1CG" ต้องเสียบลงในช่อง SLOT1 เท่านั้นจึงจะใช้งานได้อย่างถูกต้อง
4. โมดูลชนิด "BYP-MOD-XXX" สามารถเสียบได้เฉพาะในช่องเสียบโมดูล BYPASS เท่านั้น ส่วนโมดูลชนิด "MON-MOD-XXX" สามารถเสียบได้เฉพาะในช่องเสียบโมดูล MONITOR เพื่อการทำงานปกติ

ข้อมูลจำเพาะของสวิตช์บายพาส Network TAP

การใช้งานสวิตช์บายพาส Network TAP (ดังต่อไปนี้)

5.1 ความเสี่ยงของอุปกรณ์รักษาความปลอดภัยแบบอินไลน์ (IPS / FW)
ต่อไปนี้เป็นโหมดการติดตั้งระบบป้องกันการบุกรุก (IPS) และไฟร์วอลล์ (FW) ทั่วไป โดย IPS/FW จะถูกติดตั้งแบบอินไลน์ระหว่างอุปกรณ์เครือข่าย (เช่น เราเตอร์ สวิตช์ ฯลฯ) เพื่อตรวจสอบความปลอดภัยระหว่างการรับส่งข้อมูล และตามนโยบายความปลอดภัยที่เกี่ยวข้อง จะพิจารณาอนุญาตหรือบล็อกการรับส่งข้อมูลนั้น เพื่อให้บรรลุผลในการป้องกันความปลอดภัย

ในขณะเดียวกัน เราสามารถสังเกตเห็นว่า IPS (ระบบป้องกันการบุกรุก) / FW (ไฟร์วอลล์) เป็นอุปกรณ์ที่ติดตั้งแบบอินไลน์ ซึ่งมักติดตั้งในตำแหน่งสำคัญของเครือข่ายองค์กรเพื่อเพิ่มประสิทธิภาพการรักษาความปลอดภัยแบบอินไลน์ ความน่าเชื่อถือของอุปกรณ์ที่เชื่อมต่ออยู่นั้นส่งผลโดยตรงต่อความพร้อมใช้งานของเครือข่ายองค์กรโดยรวม เมื่ออุปกรณ์รักษาความปลอดภัยแบบอินไลน์ทำงานหนักเกินไป ขัดข้อง การอัปเดตซอฟต์แวร์ การอัปเดตนโยบาย ฯลฯ ความพร้อมใช้งานของเครือข่ายองค์กรทั้งหมดจะได้รับผลกระทบอย่างมาก ในจุดนี้ เราทำได้เพียงตัดการเชื่อมต่อเครือข่ายหรือใช้สายเชื่อมต่อแบบบายพาสเพื่อกู้คืนเครือข่าย แต่จะส่งผลกระทบอย่างร้ายแรงต่อความน่าเชื่อถือของเครือข่าย IPS (ระบบป้องกันการบุกรุก) / FW (ไฟร์วอลล์) และอุปกรณ์อินไลน์อื่นๆ ในด้านหนึ่งช่วยปรับปรุงการรักษาความปลอดภัยเครือข่ายองค์กร ในอีกด้านหนึ่งก็ลดความน่าเชื่อถือของเครือข่ายองค์กรลง ทำให้ความเสี่ยงที่เครือข่ายจะไม่สามารถใช้งานได้เพิ่มขึ้น

5.2 การป้องกันอุปกรณ์ซีรี่ส์ Inline Link

Mylinking™ "Bypass Switch" ถูกติดตั้งเป็นตัวกลางระหว่างอุปกรณ์เครือข่าย (เราเตอร์ สวิตช์ ฯลฯ) เพื่อให้การไหลของข้อมูลระหว่างอุปกรณ์เครือข่ายไม่ผ่าน IPS (ระบบป้องกันการบุกรุก) / FW (ไฟร์วอลล์) โดยตรงอีกต่อไป เมื่อ IPS / FW เกิดความล้มเหลวเนื่องจากโอเวอร์โหลด ขัดข้อง การอัปเดตซอฟต์แวร์ การอัปเดตนโยบาย หรือสภาวะอื่นๆ "Bypass Switch" จะตรวจจับข้อความ Heartbeat อัจฉริยะเพื่อตรวจจับได้อย่างทันท่วงที และข้ามอุปกรณ์ที่ผิดพลาดไปโดยไม่ขัดจังหวะเครือข่าย ทำให้สามารถเชื่อมต่ออุปกรณ์เครือข่ายโดยตรงเพื่อปกป้องการสื่อสารของเครือข่ายตามปกติได้อย่างรวดเร็ว นอกจากนี้ เมื่อ IPS / FW ล้มเหลวและกำลังกู้คืน ระบบก็จะตรวจจับได้อย่างทันท่วงทีผ่านฟังก์ชันตรวจจับแพ็กเก็ต Heartbeat อัจฉริยะ เพื่อกู้คืนการเชื่อมต่อเดิมและตรวจสอบความปลอดภัยของเครือข่ายองค์กร

Mylinking™ "Bypass Switch" มีฟังก์ชันตรวจจับข้อความ Heartbeat อัจฉริยะที่มีประสิทธิภาพ ผู้ใช้สามารถปรับแต่งช่วงเวลา Heartbeat และจำนวนครั้งการลองใหม่สูงสุดได้ ผ่านข้อความ Heartbeat ที่กำหนดเองบน IPS/FW สำหรับการทดสอบสถานะ เช่น ส่งข้อความตรวจสอบ Heartbeat ไปยังพอร์ตอัปสตรีม/ดาวน์สตรีมของ IPS/FW จากนั้นรับข้อความจากพอร์ตอัปสตรีม/ดาวน์สตรีมของ IPS/FW และตัดสินว่า IPS/FW ทำงานปกติหรือไม่โดยการส่งและรับข้อความ Heartbeat

5.3 นโยบาย “SpecFlow” การไหลของระบบป้องกันการลื่นไถลแบบอินไลน์

เมื่ออุปกรณ์รักษาความปลอดภัยเครือข่ายต้องการจัดการเฉพาะทราฟฟิกเฉพาะในระบบป้องกันความปลอดภัยแบบอนุกรมเท่านั้น ฟังก์ชันการประมวลผลทราฟฟิกก่อนการทำงานของ Mylinking™ "Network Tap Bypass Switch" จะใช้กลยุทธ์การคัดกรองทราฟฟิกเพื่อส่งทราฟฟิก "ที่เกี่ยวข้อง" ของอุปกรณ์รักษาความปลอดภัยกลับไปยังลิงก์เครือข่ายโดยตรง และ "ส่วนของทราฟฟิกที่เกี่ยวข้อง" จะถูกส่งต่อไปยังอุปกรณ์ความปลอดภัยแบบอินไลน์เพื่อทำการตรวจสอบความปลอดภัย วิธีนี้ไม่เพียงแต่จะช่วยรักษาการทำงานปกติของฟังก์ชันการตรวจจับความปลอดภัยของอุปกรณ์ความปลอดภัยเท่านั้น แต่ยังช่วยลดภาระการทำงานที่ไม่เกิดประสิทธิภาพของอุปกรณ์ความปลอดภัยอีกด้วย ในขณะเดียวกัน "Network Tap Bypass Switch" ยังสามารถตรวจจับสภาพการทำงานของอุปกรณ์ความปลอดภัยแบบเรียลไทม์ได้ หากอุปกรณ์ความปลอดภัยทำงานผิดปกติ ระบบจะบายพาสทราฟฟิกข้อมูลโดยตรงเพื่อหลีกเลี่ยงการหยุดชะงักของบริการเครือข่าย

อุปกรณ์ Mylinking™ Inline Traffic Bypass Tap สามารถระบุทราฟฟิกโดยอิงจากตัวระบุส่วนหัวของเลเยอร์ L2-L4 เช่น แท็ก VLAN, ที่อยู่ MAC ต้นทาง/ปลายทาง, ที่อยู่ IP ต้นทาง, ประเภทแพ็กเก็ต IP, พอร์ตโปรโตคอลเลเยอร์การขนส่ง, แท็กคีย์ส่วนหัวโปรโตคอล และอื่นๆ สามารถกำหนดเงื่อนไขการจับคู่ที่หลากหลายได้อย่างยืดหยุ่น เพื่อกำหนดประเภททราฟฟิกเฉพาะที่อุปกรณ์รักษาความปลอดภัยนั้นๆ สนใจ และสามารถใช้งานได้อย่างกว้างขวางสำหรับการติดตั้งอุปกรณ์ตรวจสอบความปลอดภัยพิเศษ (RDP, SSH, การตรวจสอบฐานข้อมูล ฯลฯ)

5.4 การป้องกันแบบอนุกรมที่สมดุลโหลด

สวิตช์บายพาส Network Tap ของ Mylinking™ ถูกติดตั้งแบบอินไลน์ระหว่างอุปกรณ์เครือข่าย (เราเตอร์ สวิตช์ ฯลฯ) เมื่อประสิทธิภาพการประมวลผลของ IPS/FW ตัวเดียวไม่เพียงพอต่อปริมาณการรับส่งข้อมูลสูงสุดของลิงก์เครือข่าย ฟังก์ชันการกระจายโหลดการรับส่งข้อมูลของตัวป้องกันจะ "รวมกลุ่ม" การประมวลผลลิงก์เครือข่ายของ IPS/FW หลายตัวเข้าด้วยกัน ซึ่งจะช่วยลดภาระการประมวลผลของ IPS/FW ตัวเดียวได้อย่างมีประสิทธิภาพ และปรับปรุงประสิทธิภาพการประมวลผลโดยรวมให้ตรงตามข้อกำหนดของสภาพแวดล้อมการใช้งานที่มีแบนด์วิดท์สูง

Mylinking™ "Network Tap Bypass Switch" มีฟังก์ชันการกระจายโหลดที่มีประสิทธิภาพ โดยจะทำการแฮชข้อมูลตามแท็ก VLAN ของเฟรม ข้อมูล MAC ข้อมูล IP หมายเลขพอร์ต โปรโตคอล และข้อมูลอื่นๆ เพื่อกระจายการรับส่งข้อมูล เพื่อให้มั่นใจได้ว่าข้อมูลที่แต่ละ IPS/FW ได้รับนั้นมีความสมบูรณ์

5.5 การป้องกันการไหลของอุปกรณ์แบบอินไลน์หลายอนุกรม (เปลี่ยนการเชื่อมต่อแบบอนุกรมเป็นการเชื่อมต่อแบบขนาน)
ในการเชื่อมต่อที่สำคัญบางส่วน (เช่น จุดเชื่อมต่ออินเทอร์เน็ต จุดเชื่อมต่อแลกเปลี่ยนข้อมูลเซิร์ฟเวอร์) ตำแหน่งที่ตั้งมักถูกกำหนดขึ้นเนื่องจากความต้องการด้านความปลอดภัยและการติดตั้งอุปกรณ์ทดสอบความปลอดภัยแบบอินไลน์หลายตัว (เช่น ไฟร์วอลล์ (FW), อุปกรณ์ป้องกันการโจมตี DDOS, เว็บแอปพลิเคชันไฟร์วอลล์ (WAF), ระบบป้องกันการบุกรุก (IPS) เป็นต้น) การติดตั้งอุปกรณ์ตรวจจับความปลอดภัยหลายตัวพร้อมกันแบบอนุกรมบนการเชื่อมต่อจะเพิ่มจุดอ่อนของการเชื่อมต่อ ลดความน่าเชื่อถือโดยรวมของเครือข่าย และในการติดตั้งอุปกรณ์รักษาความปลอดภัยดังกล่าว การอัปเกรดอุปกรณ์ การเปลี่ยนอุปกรณ์ และการดำเนินการอื่นๆ จะทำให้เครือข่ายหยุดชะงักเป็นเวลานาน และต้องมีการตัดโครงการขนาดใหญ่เพื่อให้การดำเนินโครงการสำเร็จลุล่วงไปด้วยดี

ด้วยการติดตั้ง "สวิตช์บายพาส Network Tap" ในลักษณะที่เป็นเอกภาพ โหมดการใช้งานของอุปกรณ์รักษาความปลอดภัยหลายตัวที่เชื่อมต่อแบบอนุกรมบนลิงก์เดียวกันสามารถเปลี่ยนจาก "โหมดการเชื่อมต่อทางกายภาพ" เป็น "โหมดการเชื่อมต่อทางกายภาพและตรรกะ" เพื่อเพิ่มความน่าเชื่อถือของลิงก์ที่มีจุดล้มเหลวเพียงจุดเดียว ในขณะที่ "สวิตช์บายพาส" บนลิงก์จะดึงการไหลของข้อมูลตามความต้องการ เพื่อให้ได้ผลลัพธ์การประมวลผลที่ปลอดภัยเช่นเดียวกับโหมดเดิม

แผนภาพการติดตั้งอุปกรณ์รักษาความปลอดภัยแบบอินไลน์ที่แสดงการใช้งานอุปกรณ์รักษาความปลอดภัยมากกว่าหนึ่งตัวพร้อมกัน:

แผนภาพการติดตั้งสวิตช์บายพาส Network TAP ของ Mylinking™:

5.6 อิงตามกลยุทธ์เชิงพลวัตของการตรวจจับและป้องกันความปลอดภัยในการขับเคลื่อนการจราจร
"สวิตช์บายพาสการดักฟังเครือข่าย" อีกหนึ่งสถานการณ์การใช้งานขั้นสูงนั้นอยู่บนพื้นฐานของกลยุทธ์แบบไดนามิกในการตรวจจับและป้องกันความปลอดภัยของการรับส่งข้อมูล โดยมีวิธีการใช้งานดังแสดงด้านล่าง:

ยกตัวอย่างเช่น อุปกรณ์ทดสอบความปลอดภัย "การป้องกันและตรวจจับการโจมตี DDoS" โดยการติดตั้ง "สวิตช์บายพาส Network Tap" ไว้ที่ส่วนหน้า จากนั้นเชื่อมต่ออุปกรณ์ป้องกัน DDoS เข้ากับ "สวิตช์บายพาส Network Tap" โดยปกติแล้ว "ตัวป้องกันการดึงข้อมูล" จะส่งต่อปริมาณการรับส่งข้อมูลทั้งหมดด้วยความเร็วระดับสายเคเบิล ในขณะเดียวกันก็ส่งการรับส่งข้อมูลแบบมิเรอร์ไปยัง "อุปกรณ์ป้องกันการโจมตี DDoS" เมื่อตรวจพบ IP เซิร์ฟเวอร์ (หรือส่วนเครือข่าย IP) ที่ถูกโจมตี "อุปกรณ์ป้องกันการโจมตี DDoS" จะสร้างกฎการจับคู่การรับส่งข้อมูลเป้าหมายและส่งไปยัง "สวิตช์บายพาส Network Tap" ผ่านอินเทอร์เฟซการส่งนโยบายแบบไดนามิก "สวิตช์บายพาส Network Tap" สามารถอัปเดต "กลุ่มกฎการดึงข้อมูลแบบไดนามิก" หลังจากได้รับกฎนโยบายแบบไดนามิกแล้ว และ "ดึง" กฎเหล่านั้นไปยังการรับส่งข้อมูลของเซิร์ฟเวอร์ที่ถูกโจมตีทันที เพื่อประมวลผลให้มีประสิทธิภาพหลังจากการโจมตีสิ้นสุดลง แล้วจึงส่งกลับเข้าสู่เครือข่ายอีกครั้ง

รูปแบบการใช้งานที่อิงตาม "สวิตช์บายพาส Network Tap" นั้นง่ายต่อการใช้งานมากกว่าการฉีดเส้นทาง BGP แบบดั้งเดิมหรือรูปแบบการดึงทราฟฟิกอื่นๆ และสภาพแวดล้อมนั้นพึ่งพาเครือข่ายน้อยกว่าและมีความน่าเชื่อถือสูงกว่า

"สวิตช์บายพาสการดักฟังเครือข่าย" มีคุณลักษณะดังต่อไปนี้เพื่อรองรับการตรวจจับและป้องกันความปลอดภัยตามนโยบายแบบไดนามิก:
1. "สวิตช์บายพาส Network Tap" เพื่อให้สามารถใช้งานได้นอกเหนือขอบเขตของอินเทอร์เฟซ WEBSERIVCE และสามารถผสานรวมกับอุปกรณ์รักษาความปลอดภัยของบริษัทอื่นได้อย่างง่ายดาย
2. "สวิตช์บายพาส BNetwork Tap" ที่ใช้ชิป ASIC บริสุทธิ์ สามารถส่งต่อแพ็กเก็ตความเร็วสูงสุด 10Gbps โดยไม่ปิดกั้นการส่งต่อของสวิตช์ และมี "ไลบรารีของกฎการดึงทราฟฟิกแบบไดนามิก" โดยไม่คำนึงถึงจำนวน
3. "สวิตช์บายพาส Network Tap" มีฟังก์ชัน BYPASS ระดับมืออาชีพในตัว แม้ว่าตัวป้องกันเองจะล้มเหลว ก็สามารถบายพาสการเชื่อมต่อแบบอนุกรมเดิมได้ทันที โดยไม่ส่งผลกระทบต่อการสื่อสารปกติของการเชื่อมต่อเดิม