2020-05-18
01 什么是Maestro
關于大師(Maestro)的聯(lián)想，說到大師你會想到什么？我心目中的大師是歷史上如神一般的天才科學家尼古拉·特斯拉，文藝復興三杰之一的達芬奇，科學界的天才愛因斯坦，軍事天才霍去病，還有Check Point 推出的新產(chǎn)品Maestro。
面對黑客技術的高速革新，企業(yè)勢必得迎向更為快速的敏捷網(wǎng)絡平臺，Check Point Maestro 的誕生，可借由多臺布署完成群集，創(chuàng)造更強大的成效。
02 Maestro的起源
起源
在威脅防御上，Check Point公司推出了64000和44000超高端安全網(wǎng)關設備，其擁有世界上速度最快的威脅防護平臺，相應的，其價格也是相當昂貴。
64000設備組成圖示：
設備由1個機箱、若干SGM防火墻模塊和SSM交換機模塊組成。
演變
由于設備價格昂貴，使得客戶群有限，為了服務更多的客戶，Check Point公司設計新架構，推出全新設備Maestro。內(nèi)部鏈接方式的更改，使得Maestro設備具有很好的擴展性。
03 Maestro的優(yōu)勢
• 靈活部署&即插即用：
部署簡單，基本不改變現(xiàn)網(wǎng)架構。
• 按需擴展&平滑升級
當業(yè)務量增多時，只需擴展相應體量的安全設備疊加在舊設備之上即可。
• 降低成本
依據(jù)當前業(yè)務量選型，且業(yè)務量增多時舊設備依舊可用，無需考慮三到五年內(nèi)流量規(guī)模，節(jié)約成本。
• 超強冗余
設備之間互為冗余，為業(yè)務提供超強的可靠性。
• 云級彈性
基于HyperSync技術，通過高效的N + 1集群實現(xiàn)大規(guī)模部署，提升靈活性和彈性，最大可支持52臺防火墻堆疊。
• 風險可控
降低業(yè)務變更的風險，減少防火墻停機風險。
• 資源利用最大化
最大限度利用防火墻自身性能，減少資源閑置率。
04 Maestro不同常規(guī)防火墻的之處
1 部署架構
原來的部署架構，防火墻的放置數(shù)量是規(guī)劃好的，如果想增加防火墻的數(shù)量，需要重新規(guī)劃架構。
用上Maestro設備后，原本放防火墻的地方，現(xiàn)在全部放置為Maestro設備，至于防火墻設備則全部外置，這樣做的好處在于，可根據(jù)需求隨時增加防火墻的數(shù)量，且不影響業(yè)務。
2 連接示意圖
默認情況下：
標識2為Security Group Mgmt口，用于跟smartcenter通訊。
標識3為uplinks Interface（5-26），被指定作為security group業(yè)務通訊口。
表示4為downlinks Interface（27-47），作為通過DAC cables與Gateway互連接口。
標識5為40Gbps/100Gbps uplink Interface（49-56）。
標識7為Maestro Sync Interface（48）。
除了同步口，其他三種接口類型（uplink、downlink、management）可互為轉(zhuǎn)換，可根據(jù)實際情況合理分配接口類型。
3 安全組配置
4 性能演示
05 某企業(yè)的部署案例
全國首個Maestro方案在普惠數(shù)碼科技誕生，讓我們一起來觀摩觀摩。
拓撲架構說明：
該站點通過CheckPoint最新彈性安全架構設計Maestro+Gateway實現(xiàn)。該架構優(yōu)勢：
1 靈活部署&即插即用-部署簡單，基本不改變現(xiàn)網(wǎng)架構。
2 依據(jù)當前業(yè)務量選型，且業(yè)務量增多時舊設備依舊可用，無需考慮五年內(nèi)流量規(guī)模，節(jié)約成本。
3 按需擴展&平滑升級，當業(yè)務量增多時，只需擴展相應體量的安全設備疊加在舊設備之上即可。
4 超強冗余-設備之間互為冗余，為業(yè)務提供超強的可靠性。
5 風險可控-降低安全設備帶來的風險。
兩臺Maestro集群，兩臺Gateway作為資源池疊加，Maestro和Gateway通過DAC線進行互聯(lián)，Gateway虛擬出5臺虛擬防火墻分別承載五個區(qū)域邊界安全防護。
Maestro開創(chuàng)了一個新的思路，讓防火墻虛擬化成為可能，同時在部署模式上也避免了過多的網(wǎng)絡變動，減少網(wǎng)絡中斷，大師之路，已經(jīng)啟航…