2020-05-18
01 什么是Maestro
關于大師(Maestro)的聯(lián)想,說到大師你會想到什么?我心目中的大師是歷史上如神一般的天才科學家尼古拉·特斯拉,文藝復興三杰之一的達芬奇,科學界的天才愛因斯坦,軍事天才霍去病,還有Check Point 推出的新產(chǎn)品Maestro。
面對黑客技術的高速革新,企業(yè)勢必得迎向更為快速的敏捷網(wǎng)絡平臺,Check Point Maestro 的誕生,可借由多臺布署完成群集,創(chuàng)造更強大的成效。
02 Maestro的起源
起源
在威脅防御上,Check Point公司推出了64000和44000超高端安全網(wǎng)關設備,其擁有世界上速度最快的威脅防護平臺,相應的,其價格也是相當昂貴。
64000設備組成圖示:
設備由1個機箱、若干SGM防火墻模塊和SSM交換機模塊組成。
演變
由于設備價格昂貴,使得客戶群有限,為了服務更多的客戶,Check Point公司設計新架構,推出全新設備Maestro。內(nèi)部鏈接方式的更改,使得Maestro設備具有很好的擴展性。
03 Maestro的優(yōu)勢
• 靈活部署&即插即用:
部署簡單,基本不改變現(xiàn)網(wǎng)架構。
• 按需擴展&平滑升級
當業(yè)務量增多時,只需擴展相應體量的安全設備疊加在舊設備之上即可。
• 降低成本
依據(jù)當前業(yè)務量選型,且業(yè)務量增多時舊設備依舊可用,無需考慮三到五年內(nèi)流量規(guī)模,節(jié)約成本。
• 超強冗余
設備之間互為冗余,為業(yè)務提供超強的可靠性。
• 云級彈性
基于HyperSync技術,通過高效的N + 1集群實現(xiàn)大規(guī)模部署,提升靈活性和彈性,最大可支持52臺防火墻堆疊。
• 風險可控
降低業(yè)務變更的風險,減少防火墻停機風險。
• 資源利用最大化
最大限度利用防火墻自身性能,減少資源閑置率。
04 Maestro不同常規(guī)防火墻的之處
1 部署架構
原來的部署架構,防火墻的放置數(shù)量是規(guī)劃好的,如果想增加防火墻的數(shù)量,需要重新規(guī)劃架構。
用上Maestro設備后,原本放防火墻的地方,現(xiàn)在全部放置為Maestro設備,至于防火墻設備則全部外置,這樣做的好處在于,可根據(jù)需求隨時增加防火墻的數(shù)量,且不影響業(yè)務。
2 連接示意圖
默認情況下:
標識2為Security Group Mgmt口,用于跟smartcenter通訊。
標識3為uplinks Interface(5-26),被指定作為security group業(yè)務通訊口。
表示4為downlinks Interface(27-47),作為通過DAC cables與Gateway互連接口。
標識5為40Gbps/100Gbps uplink Interface(49-56)。
標識7為Maestro Sync Interface(48)。
除了同步口,其他三種接口類型(uplink、downlink、management)可互為轉(zhuǎn)換,可根據(jù)實際情況合理分配接口類型。
3 安全組配置
4 性能演示
05 某企業(yè)的部署案例
全國首個Maestro方案在普惠數(shù)碼科技誕生,讓我們一起來觀摩觀摩。
拓撲架構說明:
該站點通過CheckPoint最新彈性安全架構設計Maestro+Gateway實現(xiàn)。該架構優(yōu)勢:
1 靈活部署&即插即用-部署簡單,基本不改變現(xiàn)網(wǎng)架構。
2 依據(jù)當前業(yè)務量選型,且業(yè)務量增多時舊設備依舊可用,無需考慮五年內(nèi)流量規(guī)模,節(jié)約成本。
3 按需擴展&平滑升級,當業(yè)務量增多時,只需擴展相應體量的安全設備疊加在舊設備之上即可。
4 超強冗余-設備之間互為冗余,為業(yè)務提供超強的可靠性。
5 風險可控-降低安全設備帶來的風險。
兩臺Maestro集群,兩臺Gateway作為資源池疊加,Maestro和Gateway通過DAC線進行互聯(lián),Gateway虛擬出5臺虛擬防火墻分別承載五個區(qū)域邊界安全防護。
Maestro開創(chuàng)了一個新的思路,讓防火墻虛擬化成為可能,同時在部署模式上也避免了過多的網(wǎng)絡變動,減少網(wǎng)絡中斷,大師之路,已經(jīng)啟航…