Expresná doprava do
Kontaktujte nás
Sledovať objednávku
Hľadať
Populárne vyhľadávanie
dotaz
Nákupný vozík
Login

Kupón
Citujte teraz,
ušetrite až 8 %.

dotaz
Kontakt

spätná väzba
Tvoja spätná väzba
Ako by ste nás ohodnotili?
Jednoduchosť použitia:
Spätná väzba k nákupu:
Podrobnosti o produkte:

Distribuovaná architektúra firewallu pre hybridné podniky

Distribuovaná architektúra firewallu pre hybridné podniky
  • Úvod
  • Výzvy
  • Odporúčané produkty
  • POROVNAŤ
  • Prípady použitia
Získajte odbornú pomoc

Prehodnotenie hybridného perimetra

Prehodnotenie hybridného perimetra

  • Hybridné podniky presúvajú aplikácie a dáta medzi dátovými centrami, kampusmi, pobočkami a viacerými cloudmi, zatiaľ čo používatelia sa pripájajú odkiaľkoľvek prostredníctvom heterogénnych spojení. V tomto prostredí už jeden perimetrický firewall nedokáže zabezpečiť konzistentnú segmentáciu ani obmedzenie hrozieb. Bezpečnostné tímy musia vyvážiť viditeľnosť medzi východom a západom, konzistentnosť politík a laterálnu kontrolu pohybu bez zvýšenia latencie alebo nadmerného komplikovania operácií.

    Tento článok popisuje, ako navrhnúť distribuovanú architektúru firewallu, ktorá zosúlaďuje zabezpečenie dátového centra, okraja kampusu a pobočiek s virtuálnou segmentáciou v hybridných prostrediach. Zameriavame sa na to, kde ukotviť ovládacie prvky, ako kombinovať hardvérové ​​firewally a virtuálne inštancie a ako škálovať politiky naprieč lokalitami. Cieľom je usmerniť rozhodnutia o rolách zariadení, bránach pobočiek a licenciách na virtuálny firewall v ucelenom a na budúcnosť pripravenom dizajne.

Kľúčové bariéry v návrhu distribuovaných firewallov

Navrhovanie distribuovaných firewallov v dátových centrách, kampusoch a pobočkách je obmedzené rozsahom, latenciou, integráciou starších systémov a fragmentovanými operáciami.

Kľúčové bariéry v návrhu distribuovaných firewallov

  • Konzistentná politika v hybridných topológiách

    Vynucovanie jednej bezpečnostnej politiky nastavenej naprieč fyzickými firewallmi, virtuálnymi inštanciami a pobočkami je náročné, čo spôsobuje medzery a rozširovanie pravidiel.

  • Škálovanie výkonu bez predimenzovania

    Vyváženie priepustnosti, kapacity relácií a inšpekcie východ-západ s nákladmi na hardvér a úrovňami licencií je ťažké predvídať a správne dimenzovať.

  • Prevádzková zložitosť a nedostatky v nástrojoch

    Heterogénne zariadenia, virtuálne systémy a licencie VSYS vytvárajú fragmentované pracovné postupy monitorovania, riešenia problémov a zmien.

Distribuované vs. centralizované podnikové firewally

Porovnajte centralizované firewally, pobočkové brány a virtuálnu segmentáciu a navrhnite správnu distribuovanú architektúru pre hybridné podniky.

Vlastnosti Centralizované firewally dátových centier Firewally pre pobočky a zabezpečené okrajové brány
Licencie pre virtuálny firewall a segmentáciu (horúce)
 Prevádzkový vplyv
Vhodnosť nasadenia Najlepšie pre dátové centrá s jedným alebo dvoma jadrami a agregačné body kampusov s použitím klastrov USG6630E, USG6712E-AC, SRX4200, FPR2120-FTD. Ideálne pre distribuované pobočky, okraje SD-WAN a vzdialené lokality s použitím SRX300/340/345, USG6306, USG6110E. Rozširuje politiky a mikrosegmentáciu do prostredí s viacerými nájomníkmi, cloudových a virtualizovaných prostredí pomocou škálovateľných licencií VSYS. Objasňuje, ktorá vrstva hostí dôveryhodné kotvy: jadro, okraj alebo virtuálna infraštruktúra – znižuje nadmerné alebo nedostatočné inžinierstvo architektúry.
Model riadenia dopravy Primárne inšpekcia sever-juh, segmentácia medzi VLAN a medzi zónami pre toky dátových centier a jadra kampusov. Lokálny prielom, riadenie prístupu k WAN, politiky zamerané na používateľov a zariadenia v blízkosti koncových bodov a IoT. Jemnozrnná segmentácia východ-západ naprieč virtuálnymi sieťami, nájomníkmi a aplikačnými vrstvami bez dodatočného hardvéru. Pomáha vám rozhodnúť sa, kde kontrolovať ktoré toky, čím sa vyhnete úzkym miestam a slepým miestam v hybridných dopravných trasách.
Škálovateľnosť a elasticita Vysokokapacitné škálovanie prostredníctvom väčších šasi alebo párov HA; rast kapacity si vyžaduje obnovu hardvéru a priestor v racku. Horizontálne škálovateľné pridávaním ďalších pobočkových brán s rastom lokalít; každé zariadenie má veľkosť zodpovedajúcu šírke pásma lokality. Elastické škálovanie inštancií VSYS a virtuálnych firewallov; kapacita rastie prostredníctvom dodatočných licencií, nie zariadení. Poskytuje plán škálovania z niekoľkých lokalít na stovky a z fyzických lokalít na viacero cloudov bez redizajnu.
Hĺbka segmentácie zabezpečenia Silná zónová segmentácia medzi základnými sieťami, DMZ a úrovňami dátových centier; hrubá až stredná granularita. Vynucuje segmentáciu podľa lokality, zóny pre hostí/firemné siete/Wi-Fi a oddelenie pracovných staníc/kancelárií na každej lokalite. Umožňuje mikrosegmentáciu na nájomníka, aplikáciu alebo pracovnú záťaž; tisíce VSYS pre granulárnu izoláciu v prípade potreby. Ukazuje, ako hlboko môže siahať vaša segmentácia a kde implementovať hranice nulovej dôveryhodnosti pre kritické pracovné zaťaženia.
Hybridné a cloudové zarovnanie Pripája lokálne dátové centrá ku cloudovým okrajom; funguje ako primárny bod presadzovania lokálnych predpisov, ale menej cloudovo orientovaný. Vhodné pre hybridný prístup k SaaS/IaaS z pobočiek; podporuje zabezpečené tunely do dátových centier a cloudových uzlov. Navrhnuté na rozšírenie rovnakého rámca politík do súkromného cloudu, verejného cloudu a virtuálnych dátových centier. Označuje, ako ľahko dokáže váš bezpečnostný model sledovať aplikácie pri ich prechode do cloudu alebo virtualizovaných platforiem.
Prevádzková zložitosť Centralizované politiky a menej zariadení zjednodušujú kontrolu, ale časové okná zmien sú vysoko rizikové a úzko prepojené. Je potrebné spravovať veľa zariadení, ale vplyv lokálnych zmien je obmedzený na jednotlivé lokality; vhodné pre správu založenú na šablónach. Centrálna abstrakcia politík: jedna virtuálna platforma s viacerými doménami VSYS znižuje rozrastanie hardvéru a zjednodušuje operácie s viacerými nájomníkmi. Pomáha pri výbere centralizácie, distribúcie alebo virtualizácie operácií tak, aby zodpovedali zručnostiam vášho tímu a vyspelosti nástrojov.
Profil nákladov Vyššie počiatočné kapitálové výdavky na špičkové spotrebiče, napájanie a stojany; silná dlhodobá hodnota tam, kde je koncentrovaná prevádzka. Predvídateľné kapitálové výdavky na jednotlivé lokality; jednoduchšie postupné zavádzanie, ale náklady na životný cyklus a podporu sa škálujú s počtom lokalít. Model prevádzkových nákladov riadený licenciami; vysoká účinnosť, kde mnoho logických firewallov alebo nájomníkov zdieľa spoločný hardvérový fond. Pomáha vyvážiť kapitálové a prevádzkové náklady a rozhodnúť sa, kde by mali licencie, a nie krabice, riadiť vašu stratégiu škálovania.
Najvhodnejšia rola v distribuovanej architektúre Zabezpečenie kotiev pre dátové centrá, jadro kampusu a medzistátne siete; ukončenie veľkých VPN uzlov. Zabezpečte okraje internetu/WAN v pobočkách; presadzujte pravidlá pre používateľov a zariadenia najbližšie k zdrojom prenosu. Pôsobí ako štruktúra politík a segmentačná vrstva naprieč fyzickými, virtuálnymi a cloudovými doménami v jednotnom dizajne. Objasňuje, že najsilnejší hybridný dizajn kombinuje všetky tri s virtuálnou segmentáciou ako strategickou riadiacou rovinou.

Potrebujete pomoc? Technickí experti sú k dispozícii.

  • +1-626-655-0998 (USA)
    UTC 15:00-00:00
  • +852-2592-5389 (Hoongkong)
    UTC 00:00-09:00
  • +852-2592-5411 (Hoongkong)
    UTC 06:00-15:00
Získajte ponuku
Chat
Potrebujete pomoc? Technickí experti sú k dispozícii.

Prípady použitia distribuovaného firewallu

Navrhnuté pre hybridné podniky, ktoré potrebujú konzistentné a podrobné presadzovanie bezpečnostných politík od dátového centra cez pobočku až po viaccloudové pracovné záťaže.

Segmentácia hybridných dátových centier východ-západ

Segmentácia hybridných dátových centier východ-západ

  • Nasaďte zariadenia USG6630E, USG6712E-AC a FPR2120 na agregačných a základných vrstvách dátových centier, aby ste vynútili mikrosegmentáciu medzi aplikačnými vrstvami a zónami nájomníkov.
  • Na izoláciu vývojových, testovacích a produkčných segmentov na zdieľaných výpočtových klastroch bez nutnosti prepracovania podkladovej siete použite licencie virtuálneho firewallu, ako napríklad LIC-VSYS-20-NGFWM alebo LIC-VSYS-20-USG6000.
  • Implementujte konzistentné presadzovanie politík typu východ-západ pre pracovné zaťaženia virtuálnych počítačov, kontajnerov a holých počítačov v primárnych a záložných dátových centrách s centralizovanou orchestráciou pravidiel a lokálnym presadzovaním v každej zóne dôveryhodnosti.
Segmentácia jadra kampusu a podnikovej siete LAN

Segmentácia jadra kampusu a podnikovej siete LAN

  • Umiestnite zariadenia USG6503E-C-AC a SRX4200 na jadro kampusu a distribučné vrstvy, aby ste segmentovali siete VLAN pre používateľov, IoT, hosťov a OT pomocou distribuovaných politík firewallu.
  • Aplikujte pravidlá zohľadňujúce identitu a zariadenia v blízkosti prístupových prepínačov na akademickej pôde, čím obmedzíte laterálny pohyb medzi oddeleniami, laboratóriami a zdieľanými službami a zároveň zachováte nezmenený dizajn smerovania.
  • Na logické oddelenie obchodných jednotiek a vlastníkov služieb a zároveň zdieľanie toho istého vysokovýkonného hardvérového klastra firewall použite licencie VSYS, ako napríklad LIC-VSYS-200-NGFWM alebo LIC-VSYS-4000-E8KE.
Bezpečné pripojenie pobočiek a vzdialených lokalít

Bezpečné pripojenie pobočiek a vzdialených lokalít

  • Nasaďte SRX300, SRX340, SRX345, USG6306 a HW:USG6110E-AC v pobočkách na zabezpečenie lokálneho vynucovania firewallu, ukončenia VPN a prerušenia pre SaaS aplikácie.
  • Rozšírte centrálne bezpečnostné politiky na maloobchodné predajne, vzdialené kancelárie a malé sklady a zároveň umožnite pravidlá špecifické pre dané miesto pre lokálne služby a požiadavky na dodržiavanie predpisov.
  • Použite HW:USG6303E-AC alebo USG6306-AC ako zabezpečené okrajové brány vo vysokoprevádzkových pobočkách na segmentáciu POS, hosťovskej Wi-Fi a firemnej LAN s konzistentnými distribuovanými politikami firewallu.
Ochrana viacerých cloudov a virtualizovaných pracovných záťaží

Ochrana viacerých cloudov a virtualizovaných pracovných záťaží

  • Využite licencie VSYS, ako napríklad LFWEVSYS02 a SWP-E8000-LIC-VSYS-5, na spustenie virtuálnych inštancií firewallu, ktoré segmentujú aplikácie v rámci súkromného cloudu, platforiem NFV a virtualizovaných okrajových uzlov.
  • Vytvorte špecializované virtuálne systémy pre rôznych nájomníkov, projekty alebo servisné linky, aby každý tím mohol spravovať svoje vlastné politiky a zároveň zdieľať rovnaké fyzické alebo virtuálne prostriedky firewallu.
  • Používajte distribuované politiky brány firewall na zabezpečenie prevádzky medzi lokálnymi úlohami a verejnými cloudovými prostrediami, čím vynucujete jednotné kontroly pre volania API, mikroslužby a hybridné toky aplikácií.
Prevádzková technológia a ochrana kritických lokalít

Prevádzková technológia a ochrana kritických lokalít

  • Nasaďte firewally pre pobočky a kampusy, ako napríklad SRX340, USG6306 a HW:USG6110E-AC, v továrňach, energetických spoločnostiach a logistických centrách, aby ste oddelili siete OT od IT a zároveň zachovali deterministické prenosové cesty.
  • Implementujte distribuované zóny firewallu pre siete SCADA, PLC a senzorov pomocou základných zariadení, ako sú USG6712E-AC a SRX4200, na prísnu kontrolu prístupu firemných a vzdialených používateľov.
  • Využite segmenty virtuálneho firewallu a licencie VSYS na vytvorenie izolovaných bezpečnostných domén pre integrátorov, dodávateľov údržby a monitorovacie nástroje bez vystavenia produkčného prostredia OT.

Často kladené otázky

Ako sa mám rozhodnúť medzi firewallmi dátového centra a firewallmi pobočiek pre distribuovanú architektúru?

  • V hybridnom distribuovanom firewalle je segmentácia dátových centier a kampusov zvyčajne riešená vysokovýkonnými zariadeniami, ako sú USG6630E, USG6712E-AC, CIS:FPR2120-FTD-HA-BUN, SRX4200-SYS-JB-AC, SRX4200-SYS-JE-AC a HW:USG6503E-C-AC, zatiaľ čo pripojenie pobočiek a lokálne vynucovanie sú presunuté na SRX300, SRX340, SRX345, sériu USG6306, HW:USG6110E-AC alebo HW:USG6303E-AC.
  • Ako pravidlo rozhodovania nastavte veľkosť firewallov vášho jadra/dátového centra na základe celkového počtu súbežných relácií, potrieb segmentácie východ-západ a licenčných plánov virtuálnych systémov (VSYS) a veľkosť firewallov vašich pobočiek na základe šírky pásma WAN na lokalitu a počtu používateľov. Ak si nie ste istí, do ktorej úrovne každá lokalita patrí, môžete si vyžiadať poradenstvo s návrhom prostredníctvom našich... bezplatná podpora CCIE pred finalizáciou kusovníka.

Môžu tieto modely firewallov spolupracovať v rovnakej distribuovanej štruktúre firewallov?

  • Hybridné podniky často používajú zmiešaných dodávateľov a modely, napríklad Cisco Firepower (CIS:FPR2120-FTD-HA-BUN) na okraji dátového centra, Juniper SRX4200 v jadre a SRX300/SRX340/SRX345 alebo USG6306/USG6110E-AC na pobočkách, ale musíte naplánovať jasné hranice riadiacej roviny: nezdieľajú jednu natívnu štruktúru riadenia od dodávateľa naprieč značkami.
  • Aby ste predišli posunu politík a konfliktom smerovania, vopred sa rozhodnite, ktorá platforma je zdrojom pravdivých informácií o bezpečnostných politikách, a zabezpečte štandardizáciu návrhov dynamického smerovania, IPsec a segmentácie. Ak potrebujete rýchle preskúmanie interoperability s použitím vašich presných modelov a verzií softvéru, naši inžinieri vám môžu pomôcť prostredníctvom... bezplatná podpora CCIE.

Čo by som mal zvážiť pri plánovaní kapacity virtuálneho firewallu a licencií VSYS pre hybridné rozšírenie?

  • Pre prostredia s viacerými nájomníkmi alebo segmentované hybridné prostredia by mali byť licencie virtuálneho firewallu a VSYS, ako napríklad LIC-VSYS-20-NGFWM, LFWEVSYS02, SWP-E8000-LIC-VSYS-5, LIC-VSYS-20-USG6000, LIC-VSYS-200-NGFWM a LIC-VSYS-4000-E8KE, dimenzované na základe počtu izolovaných bezpečnostných domén, ktoré plánujete na nasledujúce 3 – 5 rokov, nielen na základe aktuálnych potrieb.
  • Bežným rizikom je vyčerpanie inštancií VSYS alebo virtuálneho firewallu pri pridávaní nových obchodných jednotiek alebo cloudových segmentov, čo si vynúti núdzové nákupy a opätovné vyváženie; počas návrhu namapujte každé prostredie (DMZ, partnerské zóny, cloudové VPC, segmenty OT) na VSYS alebo nájomníka a ponechajte rezervu (zvyčajne 20 – 30 % licencií), aby ste sa vyhli neskoršej rušivej zmene architektúry.

Ako sa riadia dodacie lehoty, zásoby a doprava pre distribuované zavádzanie firewallov vo viacerých regiónoch?

  • V prípade distribuovaných nasadení na viacerých miestach vo všeobecnosti odporúčame najskôr nasadiť kritické zariadenia chrbticovej siete (USG6630E, USG6712E-AC, séria SRX4200, CIS:FPR2120-FTD-HA-BUN, HW:USG6503E-C-AC) a potom fázovať pobočkové jednotky (SRX300/SRX340/SRX345, séria USG6306, HW:USG6110E-AC, HW:USG6303E-AC) podľa regiónu, keď je pripojenie a správa jadra online.
  • Skutočná dodacia lehota a časové rámce sa môžu líšiť v závislosti od dostupnosti produktu, licenčných požiadaviek a miesta určenia; v prípade skladových položiek a v závislosti od regiónu sú možnosti dopravy podrobne popísané na našej spôsoby prepravy stránku, ale konečné harmonogramy by ste si mali vždy overiť so svojím obchodným zástupcom predtým, ako sa zaviažete k dátumu prechodu.

Ako ovplyvňujú záručné a životné riziká moje voľby hardvéru distribuovaného firewallu?

  • Pri budovaní distribuovanej architektúry môže kombinácia starších a nových platforiem firewallov predstavovať riziko životného cyklu: staršie SKU môžu byť bližšie k dátumu ukončenia platnosti/koncu platnosti u dodávateľa, čo ovplyvní dlhodobú podporu, aktualizácie softvéru a stratégiu náhradných dielov na úrovni dátových centier a pobočiek.
  • Pred zakúpením modelov ako SRX4200 alebo špecifických variantov USG/Firepower odporúčame skontrolovať stav životného cyklu každej skladovej jednotky (SKU) u našich... Kontrola EOL / EOSL a potvrdenie možností záruky a akéhokoľvek rozšíreného krytia pre všetky úrovne vášho návrhu; podrobnosti o našom riešení záruky sú k dispozícii na záručná politika strana. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Aké riziká pri nasadení, colných postupoch a podpore by mali globálne tímy očakávať?

  • V prípade globálne distribuovaných projektov firewallov patria medzi kľúčové netechnické riziká dovozné clá, regionálne dokumenty týkajúce sa dodržiavania predpisov a pripravenosť zdrojov na mieste. Aby ste sa vyhli oneskoreniam pri colnom odbavení alebo neočakávaným nákladom na zásielky zariadení, ako sú SRX4200, USG6630E alebo pobočkové jednotky SRX/USG, mal by si váš logistický tím preštudovať naše usmernenia týkajúce sa dane a clá dávno pred prvou zásielkou.
  • Z prevádzkového hľadiska naplánujte podporu vzdialeného nasadenia a jasné postupy vrátenia zmien; naši vedúci inžinieri vám môžu pomôcť s kontrolou návrhu na vysokej úrovni a kontrolnými zoznamami pred nasadením prostredníctvom bezplatná podpora CCIEa ak sa vyskytnú problémy s hardvérom, mali by ste postupovať podľa zdokumentovaných pokynov pokyny na vrátenie aby sa minimalizovali prestoje a komplikácie s colným konaním. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Viac riešení

Enterprise SASE Security Architecture Guide

Sprievodca architektúrou zabezpečenia podniku SASE

Zistite, ako SASE spája SD-WAN a cloudové zabezpečenie, aby znížila prevádzkové náklady o 40 – 60 % a poskytla jednotný prístup s nulovou dôverou pre distribuované podniky.

SIX
Campus Network Solutions for Enterprises

Riešenia kampusových sietí pre podniky

Vybudujte si spoľahlivú, škálovateľnú a vysoko výkonnú kampusovú sieť s našimi komplexnými riešeniami – určenými pre podniky.

Campus Network
Cisco Enterprise Networking Solutions

Riešenia podnikových sietí Cisco

Objavte sieťové riešenia Cisco, ktoré vám pomôžu pri inováciách, zvýšia bezpečnosť a znížia náklady – bez kompromisov.

networking
Prihlásiť sa
Registrácia