สวิตช์บายพาส Network Tap Mylinking™ รุ่น ML-BYPASS-200

1. ภาพรวม

โดยการติดตั้งสวิตช์บายพาสอัจฉริยะ Mylinking™:

• ผู้ใช้สามารถติดตั้ง/ถอดถอนอุปกรณ์รักษาความปลอดภัยได้อย่างยืดหยุ่นโดยไม่ส่งผลกระทบต่อเครือข่ายปัจจุบันและไม่ทำให้ระบบหยุดชะงัก
• สวิตช์บายพาส Network Tap Mylinking™ มาพร้อมฟังก์ชันตรวจจับสถานะอัจฉริยะเพื่อตรวจสอบสถานะการทำงานปกติของอุปกรณ์รักษาความปลอดภัยแบบอนุกรมแบบเรียลไทม์ เมื่ออุปกรณ์รักษาความปลอดภัยแบบอนุกรมทำงานผิดปกติ ระบบจะทำการบายพาสโดยอัตโนมัติเพื่อรักษาการสื่อสารเครือข่ายให้เป็นปกติ
• เทคโนโลยีการป้องกันการจราจรแบบเลือกสรร สามารถนำมาใช้ในการติดตั้งอุปกรณ์รักษาความปลอดภัยการตรวจสอบการจราจรเฉพาะประเภท และเทคโนโลยีการเข้ารหัสโดยอิงจากอุปกรณ์ตรวจสอบ เพื่อดำเนินการป้องกันการเข้าถึงแบบอนุกรมสำหรับประเภทการจราจรเฉพาะได้อย่างมีประสิทธิภาพ และลดภาระการจัดการการไหลของอุปกรณ์แบบอนุกรม
• เทคโนโลยีการป้องกันการรับส่งข้อมูลแบบกระจายโหลด (Load Balanced Traffic Protection) สามารถนำมาใช้ในการติดตั้งอุปกรณ์อนุกรมที่ปลอดภัยแบบคลัสเตอร์ เพื่อตอบสนองความต้องการด้านความปลอดภัยของข้อมูลอนุกรมในสภาพแวดล้อมที่มีแบนด์วิดท์สูง

ด้วยการพัฒนาอย่างรวดเร็วของอินเทอร์เน็ต ภัยคุกคามต่อความปลอดภัยของข้อมูลเครือข่ายจึงทวีความรุนแรงมากขึ้นเรื่อยๆ ดังนั้นจึงมีการนำแอปพลิเคชันป้องกันความปลอดภัยของข้อมูลหลากหลายประเภทมาใช้กันอย่างแพร่หลายมากขึ้น ไม่ว่าจะเป็นอุปกรณ์ควบคุมการเข้าถึงแบบดั้งเดิม (ไฟร์วอลล์) หรือวิธีการป้องกันขั้นสูงแบบใหม่ เช่น ระบบป้องกันการบุกรุก (IPS) แพลตฟอร์มการจัดการภัยคุกคามแบบครบวงจร (UTM) ระบบป้องกันการโจมตีแบบปฏิเสธการให้บริการ (Anti-DDoS) เกตเวย์ป้องกัน Span ระบบระบุและควบคุมการรับส่งข้อมูล DPI แบบครบวงจร และอุปกรณ์รักษาความปลอดภัยอื่นๆ อีกมากมายที่ถูกติดตั้งอย่างต่อเนื่องในโหนดสำคัญของเครือข่าย เพื่อดำเนินการตามนโยบายความปลอดภัยของข้อมูลที่เกี่ยวข้องในการระบุและจัดการกับการรับส่งข้อมูลที่ถูกกฎหมาย/ผิดกฎหมาย อย่างไรก็ตาม ในขณะเดียวกัน ในสภาพแวดล้อมการใช้งานเครือข่ายที่มีความน่าเชื่อถือสูง อาจเกิดความล่าช้าของเครือข่ายอย่างมาก หรือแม้แต่การหยุดชะงักของเครือข่ายในกรณีของการสลับระบบ การบำรุงรักษา การอัปเกรด การเปลี่ยนอุปกรณ์ และอื่นๆ ซึ่งผู้ใช้ไม่สามารถทนได้

2-สวิตช์บายพาส Network Tap คุณสมบัติและเทคโนโลยีขั้นสูง

เทคโนโลยีโหมดป้องกัน “SpecFlow” และโหมดป้องกัน “FullLink” ของ Mylinking™
เทคโนโลยีป้องกันการสลับบายพาสเร็ว Mylinking™
เทคโนโลยี “LinkSafeSwitch” ของ Mylinking™
เทคโนโลยีการส่งต่อ/ออกกลยุทธ์แบบไดนามิก “WebService” ของ Mylinking™
เทคโนโลยีตรวจจับข้อความการเต้นของหัวใจอัจฉริยะ Mylinking™
เทคโนโลยีข้อความแสดงจังหวะการเต้นของหัวใจที่กำหนดเองได้ Mylinking™
เทคโนโลยีการปรับสมดุลโหลดแบบหลายลิงก์ Mylinking™
เทคโนโลยีการกระจายปริมาณการใช้งานอัจฉริยะ Mylinking™
เทคโนโลยีการปรับสมดุลโหลดแบบไดนามิก Mylinking™
เทคโนโลยีการจัดการระยะไกล Mylinking™ (HTTP/WEB, TELNET/SSH, คุณลักษณะ “EasyConfig/AdvanceConfig”)

คู่มือการกำหนดค่าสวิตช์บายพาส Network Tap 3.

ทางเลี่ยงช่องเสียบโมดูลพอร์ตป้องกัน:
ช่องเสียบนี้สามารถเสียบเข้ากับโมดูลพอร์ตป้องกัน BYPASS ที่มีความเร็ว/จำนวนพอร์ตต่างกันได้ โดยการเปลี่ยนโมดูลประเภทต่างๆ จะสามารถรองรับการป้องกัน BYPASS สำหรับลิงก์ 10G/40G/100G หลายลิงก์ได้

เฝ้าสังเกตช่องเสียบโมดูลพอร์ต;
ช่องเสียบนี้สามารถเสียบเข้ากับโมดูลพอร์ต MONITOR ที่มีความเร็ว/พอร์ตต่างกันได้ สามารถรองรับการใช้งานอุปกรณ์ตรวจสอบแบบอนุกรมออนไลน์หลายตัวพร้อมกันด้วยการเชื่อมต่อ 10G/40G/100G โดยการเปลี่ยนรุ่นต่างๆ

กฎการเลือกโมดูล
คุณสามารถเลือกการกำหนดค่าโมดูลที่หลากหลายได้อย่างยืดหยุ่น เพื่อให้ตรงกับความต้องการของสภาพแวดล้อมจริง โดยขึ้นอยู่กับลิงก์ที่ใช้งานและข้อกำหนดในการติดตั้งอุปกรณ์ตรวจสอบ โปรดปฏิบัติตามกฎต่อไปนี้เมื่อทำการเลือก:
1. ส่วนประกอบของตัวเครื่องเป็นสิ่งที่จำเป็น และคุณต้องเลือกส่วนประกอบของตัวเครื่องก่อนที่จะเลือกโมดูลอื่นๆ ในขณะเดียวกัน โปรดเลือกวิธีการจ่ายไฟ (AC/DC) ที่แตกต่างกันตามความต้องการของคุณ
2. เครื่องทั้งหมดรองรับช่องเสียบโมดูล BYPASS ได้สูงสุด 2 ช่อง และช่องเสียบโมดูล MONITOR 1 ช่อง คุณไม่สามารถเลือกช่องเสียบมากกว่าจำนวนช่องที่กำหนดไว้ได้ ขึ้นอยู่กับการผสมผสานระหว่างจำนวนช่องเสียบและรุ่นของโมดูล อุปกรณ์สามารถรองรับการป้องกันลิงก์ 10GE ได้สูงสุดสี่ลิงก์ หรือสามารถรองรับลิงก์ 40GE ได้สูงสุดสี่ลิงก์ หรือสามารถรองรับลิงก์ 100GE ได้สูงสุดหนึ่งลิงก์
3. โมดูลรุ่น "BYP-MOD-L1CG" ต้องเสียบลงในช่อง SLOT1 เท่านั้นจึงจะใช้งานได้อย่างถูกต้อง
4. โมดูลชนิด "BYP-MOD-XXX" สามารถเสียบได้เฉพาะในช่องเสียบโมดูล BYPASS เท่านั้น ส่วนโมดูลชนิด "MON-MOD-XXX" สามารถเสียบได้เฉพาะในช่องเสียบโมดูล MONITOR เพื่อการทำงานปกติ

ข้อมูลจำเพาะของสวิตช์บายพาส TAP เครือข่าย 4 ตัว

5. การใช้งานสวิตช์บายพาส TAP เครือข่าย (ดังต่อไปนี้)

ต่อไปนี้เป็นโหมดการติดตั้งระบบป้องกันการบุกรุก (IPS) และไฟร์วอลล์ (FW) ทั่วไป โดย IPS/FW จะถูกติดตั้งแบบอนุกรมกับอุปกรณ์เครือข่าย (เราเตอร์ สวิตช์ ฯลฯ) เพื่อตรวจสอบความปลอดภัยของทราฟฟิกระหว่างกัน และตามนโยบายความปลอดภัยที่เกี่ยวข้อง จะพิจารณาอนุญาตหรือบล็อกทราฟฟิกที่เกี่ยวข้อง เพื่อให้บรรลุผลในการป้องกันความปลอดภัย

ในขณะเดียวกัน เราสามารถมองว่า IPS/FW เป็นอุปกรณ์ที่ติดตั้งแบบอนุกรม ซึ่งมักติดตั้งในตำแหน่งสำคัญของเครือข่ายองค์กร เพื่อใช้มาตรการรักษาความปลอดภัยแบบอนุกรม ความน่าเชื่อถือของอุปกรณ์ที่เชื่อมต่อจะส่งผลโดยตรงต่อความพร้อมใช้งานของเครือข่ายองค์กรโดยรวม เมื่ออุปกรณ์อนุกรมเหล่านี้ทำงานหนักเกินไป เกิดข้อผิดพลาด การอัปเดตซอฟต์แวร์ การอัปเดตนโยบาย ฯลฯ ความพร้อมใช้งานของเครือข่ายองค์กรทั้งหมดจะได้รับผลกระทบอย่างมาก ในจุดนี้ เราทำได้เพียงตัดการเชื่อมต่อเครือข่ายหรือใช้สายเชื่อมต่อแบบบายพาสเพื่อกู้คืนเครือข่าย ซึ่งส่งผลกระทบอย่างร้ายแรงต่อความน่าเชื่อถือของเครือข่าย IPS/FW และอุปกรณ์อนุกรมอื่นๆ ในด้านหนึ่งช่วยเพิ่มความปลอดภัยของเครือข่ายองค์กร ในอีกด้านหนึ่งก็ลดความน่าเชื่อถือของเครือข่ายองค์กรและเพิ่มความเสี่ยงที่เครือข่ายจะไม่สามารถใช้งานได้

5.2 การป้องกันอุปกรณ์ซีรี่ส์ Inline Link

Mylinking™ "Bypass Switch" ติดตั้งแบบอนุกรมระหว่างอุปกรณ์เครือข่าย (เราเตอร์ สวิตช์ ฯลฯ) เพื่อให้การไหลของข้อมูลระหว่างอุปกรณ์เครือข่ายไม่ผ่าน IPS/FW โดยตรงอีกต่อไป เมื่อ IPS/FW เกิดความล้มเหลวเนื่องจากโอเวอร์โหลด ขัดข้อง การอัปเดตซอฟต์แวร์ การอัปเดตนโยบาย หรือสภาวะอื่นๆ "Bypass Switch" จะตรวจจับข้อความ Heartbeat อัจฉริยะเพื่อตรวจจับได้อย่างทันท่วงที และข้ามอุปกรณ์ที่ผิดพลาดไปโดยไม่ขัดจังหวะเครือข่าย ทำให้สามารถเชื่อมต่ออุปกรณ์เครือข่ายโดยตรงได้อย่างรวดเร็วและปลอดภัย นอกจากนี้ เมื่อ IPS/FW ล้มเหลวและต้องการกู้คืน ระบบก็จะตรวจจับแพ็กเก็ต Heartbeat อัจฉริยะอย่างทันท่วงทีเช่นกัน เพื่อกู้คืนการเชื่อมต่อเดิมและตรวจสอบความปลอดภัยของเครือข่ายองค์กร

Mylinking™ "Bypass Switch" มีฟังก์ชันตรวจจับข้อความชีพจรอัจฉริยะที่มีประสิทธิภาพ ผู้ใช้สามารถปรับแต่งช่วงเวลาชีพจรและจำนวนครั้งการลองใหม่สูงสุดได้ ผ่านข้อความชีพจรที่กำหนดเองบน IPS/FW สำหรับการทดสอบสุขภาพ เช่น ส่งข้อความตรวจสอบชีพจรไปยังพอร์ตอัปสตรีม/ดาวน์สตรีมของ IPS/FW จากนั้นรับจากพอร์ตอัปสตรีม/ดาวน์สตรีมของ IPS/FW และตัดสินว่า IPS/FW ทำงานปกติหรือไม่โดยการส่งและรับข้อความชีพจร

5.3 นโยบาย “SpecFlow” การไหลของระบบป้องกันการลื่นไถลแบบอินไลน์

เมื่ออุปกรณ์เครือข่ายรักษาความปลอดภัยต้องการจัดการเฉพาะทราฟฟิกเฉพาะในระบบป้องกันความปลอดภัยแบบอนุกรมเท่านั้น ฟังก์ชันการประมวลผลทราฟฟิกก่อนของ Mylinking™ "Bypass Switch" จะใช้กลยุทธ์การคัดกรองทราฟฟิกเพื่อส่งทราฟฟิก "ที่เกี่ยวข้อง" ของอุปกรณ์รักษาความปลอดภัยกลับไปยังลิงก์เครือข่ายโดยตรง และ "ส่วนทราฟฟิกที่เกี่ยวข้อง" จะถูกส่งต่อไปยังอุปกรณ์ความปลอดภัยแบบอินไลน์เพื่อทำการตรวจสอบความปลอดภัย วิธีนี้ไม่เพียงแต่จะช่วยรักษาการทำงานปกติของฟังก์ชันการตรวจจับความปลอดภัยของอุปกรณ์ความปลอดภัยเท่านั้น แต่ยังช่วยลดภาระการทำงานที่ไม่เกิดประสิทธิภาพของอุปกรณ์ความปลอดภัยอีกด้วย ในขณะเดียวกัน "Bypass Switch" ยังสามารถตรวจจับสภาพการทำงานของอุปกรณ์ความปลอดภัยแบบเรียลไทม์ได้ หากอุปกรณ์ความปลอดภัยทำงานผิดปกติ จะทำการบายพาสทราฟฟิกข้อมูลโดยตรงเพื่อหลีกเลี่ยงการหยุดชะงักของบริการเครือข่าย

อุปกรณ์ป้องกันการบายพาสทราฟฟิก Mylinking™ สามารถระบุทราฟฟิกโดยอิงจากตัวระบุส่วนหัวของเลเยอร์ L2-L4 เช่น แท็ก VLAN, ที่อยู่ MAC ต้นทาง/ปลายทาง, ที่อยู่ IP ต้นทาง, ประเภทแพ็กเก็ต IP, พอร์ตโปรโตคอลเลเยอร์การขนส่ง, แท็กคีย์ส่วนหัวโปรโตคอล และอื่นๆ สามารถกำหนดเงื่อนไขการจับคู่ที่หลากหลายได้อย่างยืดหยุ่น เพื่อกำหนดประเภททราฟฟิกเฉพาะที่อุปกรณ์รักษาความปลอดภัยนั้นๆ สนใจ และสามารถใช้งานได้อย่างกว้างขวางสำหรับการติดตั้งอุปกรณ์ตรวจสอบความปลอดภัยพิเศษ (RDP, SSH, การตรวจสอบฐานข้อมูล ฯลฯ)

5.4 การป้องกันแบบอนุกรมที่สมดุลโหลด

สวิตช์บายพาส Mylinking™ ถูกติดตั้งแบบอนุกรมระหว่างอุปกรณ์เครือข่าย (เราเตอร์ สวิตช์ ฯลฯ) เมื่อประสิทธิภาพการประมวลผลของ IPS/FW ตัวเดียวไม่เพียงพอต่อปริมาณการรับส่งข้อมูลสูงสุดของลิงก์เครือข่าย ฟังก์ชันการกระจายโหลดการรับส่งข้อมูลของตัวป้องกัน จะทำการ "รวมกลุ่ม" การประมวลผลลิงก์เครือข่ายของ IPS/FW หลายตัวเข้าด้วยกัน ซึ่งจะช่วยลดภาระการประมวลผลของ IPS/FW ตัวเดียวได้อย่างมีประสิทธิภาพ และปรับปรุงประสิทธิภาพการประมวลผลโดยรวมให้ตรงตามข้อกำหนดของสภาพแวดล้อมการใช้งานที่มีแบนด์วิดท์สูง

Mylinking™ "Bypass Switch" มีฟังก์ชันการกระจายโหลดที่มีประสิทธิภาพ โดยจะกระจายการรับส่งข้อมูลแบบแฮชตามแท็ก VLAN ของเฟรม ข้อมูล MAC ข้อมูล IP หมายเลขพอร์ต โปรโตคอล และข้อมูลอื่นๆ เพื่อให้มั่นใจว่าการรับส่งข้อมูลของ IPS/FW แต่ละตัวมีความสมบูรณ์

5.5 การป้องกันการไหลของอุปกรณ์แบบอินไลน์หลายอนุกรม (เปลี่ยนการเชื่อมต่อแบบอนุกรมเป็นการเชื่อมต่อแบบขนาน)
ในการเชื่อมต่อที่สำคัญบางส่วน (เช่น จุดเชื่อมต่ออินเทอร์เน็ต จุดเชื่อมต่อแลกเปลี่ยนข้อมูลเซิร์ฟเวอร์) ตำแหน่งที่ตั้งมักถูกกำหนดขึ้นเนื่องจากความต้องการด้านความปลอดภัยและการติดตั้งอุปกรณ์ทดสอบความปลอดภัยแบบอินไลน์หลายตัว (เช่น ไฟร์วอลล์ อุปกรณ์ป้องกันการโจมตี DDOS ไฟร์วอลล์แอปพลิเคชันเว็บ อุปกรณ์ป้องกันการบุกรุก ฯลฯ) การติดตั้งอุปกรณ์ตรวจจับความปลอดภัยหลายตัวพร้อมกันแบบอนุกรมบนการเชื่อมต่อจะเพิ่มจุดอ่อนของการเชื่อมต่อ ลดความน่าเชื่อถือโดยรวมของเครือข่าย และในการติดตั้งอุปกรณ์รักษาความปลอดภัยดังกล่าว การอัปเกรดอุปกรณ์ การเปลี่ยนอุปกรณ์ และการดำเนินการอื่นๆ จะทำให้เครือข่ายหยุดชะงักเป็นเวลานาน และต้องมีการตัดโครงการขนาดใหญ่เพื่อให้การดำเนินโครงการสำเร็จลุล่วงไปด้วยดี

ด้วยการติดตั้ง "สวิตช์บายพาส" ในลักษณะที่เป็นเอกภาพ โหมดการใช้งานของอุปกรณ์รักษาความปลอดภัยหลายตัวที่เชื่อมต่อแบบอนุกรมบนลิงก์เดียวกันสามารถเปลี่ยนจาก "โหมดการเชื่อมต่อทางกายภาพ" เป็น "โหมดการเชื่อมต่อทางกายภาพและตรรกะ" เพื่อเพิ่มความน่าเชื่อถือของลิงก์ที่มีจุดล้มเหลวเพียงจุดเดียว ในขณะที่ "สวิตช์บายพาส" บนลิงก์จะดึงการไหลของข้อมูลตามความต้องการ เพื่อให้ได้ผลลัพธ์การประมวลผลที่ปลอดภัยเช่นเดียวกับโหมดเดิม

แผนภาพการติดตั้งอุปกรณ์รักษาความปลอดภัยแบบอนุกรมที่แสดงอุปกรณ์รักษาความปลอดภัยมากกว่าหนึ่งตัวพร้อมกัน:

แผนภาพการติดตั้งสวิตช์บายพาส Network TAP ของ Mylinking™:

5.6 อิงตามกลยุทธ์เชิงพลวัตของการตรวจจับและป้องกันความปลอดภัยในการขับเคลื่อนการจราจร
"สวิตช์บายพาส" สถานการณ์การใช้งานขั้นสูงอีกอย่างหนึ่งนั้นอิงตามกลยุทธ์แบบไดนามิกของการตรวจจับและป้องกันความปลอดภัยในการดึงการจราจร โดยมีวิธีการใช้งานดังแสดงด้านล่าง:

ยกตัวอย่างเช่น อุปกรณ์ทดสอบความปลอดภัย "การป้องกันและตรวจจับการโจมตี DDoS" โดยการติดตั้ง "สวิตช์บายพาส" ไว้ที่ส่วนหน้า จากนั้นเชื่อมต่ออุปกรณ์ป้องกัน DDoS เข้ากับ "สวิตช์บายพาส" โดยปกติแล้ว "ตัวป้องกันการดึงข้อมูล" จะส่งต่อปริมาณการรับส่งข้อมูลทั้งหมดด้วยความเร็วระดับสายเคเบิล ในขณะเดียวกันก็ส่งเอาต์พุตแบบมิเรอร์ไปยัง "อุปกรณ์ป้องกันการโจมตี DDoS" เมื่อตรวจพบ IP เซิร์ฟเวอร์ (หรือส่วนเครือข่าย IP) ที่ถูกโจมตี "อุปกรณ์ป้องกันการโจมตี DDoS" จะสร้างกฎการจับคู่การรับส่งข้อมูลเป้าหมายและส่งไปยัง "สวิตช์บายพาส" ผ่านอินเทอร์เฟซการส่งนโยบายแบบไดนามิก "สวิตช์บายพาส" สามารถอัปเดต "กลุ่มกฎการดึงข้อมูลแบบไดนามิก" หลังจากได้รับกฎนโยบายแบบไดนามิกแล้ว และ "ดึง" กฎเหล่านั้นไปยังการรับส่งข้อมูลของเซิร์ฟเวอร์ที่ถูกโจมตีทันที เพื่อ "ดึง" การรับส่งข้อมูลไปยังอุปกรณ์ป้องกันและตรวจจับการโจมตี DDoS เพื่อประมวลผล เพื่อให้มีประสิทธิภาพหลังจากกระแสการโจมตีถูกส่งกลับเข้าสู่เครือข่ายอีกครั้ง

รูปแบบการใช้งานที่อิงตาม "สวิตช์บายพาส" นั้นง่ายต่อการใช้งานมากกว่าการฉีดเส้นทาง BGP แบบดั้งเดิมหรือรูปแบบการดึงทราฟฟิกอื่นๆ และสภาพแวดล้อมนั้นพึ่งพาเครือข่ายน้อยกว่าและมีความน่าเชื่อถือสูงกว่า

"สวิตช์บายพาส" มีคุณลักษณะดังต่อไปนี้เพื่อรองรับการตรวจจับและป้องกันความปลอดภัยตามนโยบายแบบไดนามิก:
1. "สวิตช์บายพาส" เพื่อให้สามารถใช้งานได้นอกเหนือจากกฎที่กำหนดไว้บนอินเทอร์เฟซเว็บเซอร์วิส และสามารถผสานรวมกับอุปกรณ์รักษาความปลอดภัยของบริษัทอื่นได้อย่างง่ายดาย
2. "สวิตช์บายพาส" ที่ใช้ชิป ASIC บริสุทธิ์ทางฮาร์ดแวร์ สามารถส่งต่อแพ็กเก็ตความเร็วสูงสุด 10Gbps โดยไม่ปิดกั้นการส่งต่อของสวิตช์ และมี "ไลบรารีของกฎการดึงทราฟฟิกแบบไดนามิก" โดยไม่คำนึงถึงจำนวน
3. "สวิตช์บายพาส" มีฟังก์ชันบายพาสระดับมืออาชีพในตัว แม้ว่าตัวป้องกันเองจะล้มเหลว ก็สามารถบายพาสการเชื่อมต่อแบบอนุกรมเดิมได้ทันที โดยไม่ส่งผลกระทบต่อการสื่อสารปกติของการเชื่อมต่อเดิม