Expresná doprava do
Kontaktujte nás
Sledovať objednávku
Hľadať
Populárne vyhľadávanie
dotaz
Nákupný vozík
Login

Kupón
Citujte teraz,
ušetrite až 8 %.

dotaz
Kontakt

spätná väzba
Tvoja spätná väzba
Ako by ste nás ohodnotili?
Jednoduchosť použitia:
Spätná väzba k nákupu:
Podrobnosti o produkte:

Sprievodca návrhom vysokej dostupnosti brány Firewall: Aktívny, aktívny vs. aktívny, pasívny

Sprievodca návrhom vysokej dostupnosti brány Firewall: Aktívny, aktívny vs. aktívny, pasívny
  • Úvod
  • Výzvy
  • Odporúčané produkty
  • POROVNAŤ
  • Prípady použitia
Získajte odbornú pomoc

Zosúladenie dizajnu vysokej dostupnosti s rizikom

Zosúladenie dizajnu vysokej dostupnosti s rizikom

  • Navrhovanie vysokej dostupnosti firewallu už nie je len o predchádzaní prestojom. Okraje kampusov, internetové perimetre a jadrá dátových centier musia absorbovať neustále zmeny – nové aplikácie, rast prevádzky z východu na západ a vyvíjajúce sa hrozby – a zároveň zachovať predvídateľnú bezpečnosť a používateľskú skúsenosť. Výber medzi aktívno-aktívnou a aktívne-pasívnou vysokou dostupnosťou firewallu priamo ovplyvňuje dosah výpadkov, časové okná údržby, správanie pri zlyhaní a spôsob, akým v priebehu času škálujete bezpečnostnú kapacitu.

    Tento článok sa zameriava na to, ako preložiť obchodné riziká, aplikačné vzory a topológiu siete do konkrétnej stratégie vysokej dostupnosti: aktívny-aktívny vs. aktívny-pasívny alebo kombinácia naprieč rôznymi zónami. Preskúmame kompromisy v dizajne týkajúce sa synchronizácie relácií, asymetrického smerovania, domén zlyhania a prevádzkovej zložitosti s využitím praktických scenárov z okraja kampusu, perimetra dátového centra a virtualizovaných prostredí, ktoré nám pomôžu pri výbere architektúry a platformy.

Vyváženie aktívneho-aktívneho a aktívne-pasívneho HA

Výber medzi aktívnym-aktívnym a aktívne-pasívnym firewallom s vysokou dostupnosťou je obmedzený priepustnosťou, synchronizáciou stavu, doménami zlyhania, licenciami a plánmi životného cyklu.

Vyváženie aktívneho-aktívneho a aktívne-pasívneho HA

  • Dimenzovanie vysokej dostupnosti (HA) pre reálnu prevádzku a poruchové režimy

    Špičkové zaťaženia, asymetrické toky a špičky pri prepínaní pri zlyhaní sťažujú dimenzovanie firewallov a liniek bez nadmerného nákupu alebo rizika saturácie.

  • Zložitosť synchronizácie relácií a návrhu cesty

    Synchronizácia stavov, symetria smerovania a integrácia s virtuálnymi firewallmi komplikujú návrh v rámci kampusu, dátového centra a cloudových okrajov.

  • Kompromisy medzi nákladmi, licenciami a rozširovaním

    Licencovanie, obmedzenia klastrovania a budúce potreby škálovania sťažujú výber režimu vysokej dostupnosti (HA), ktorý zostane efektívny počas 3 – 5-ročných obnovovacích cyklov.

Stratégia vysokej dostupnosti firewallu vo veľkom meradle

Objasnite, kedy použiť aktívny-aktívny a aktívny-pasívny režim na vyváženie prevádzkyschopnosti, výkonu a nákladov v moderných návrhoch firewallov.

Vyberte si správny režim HA

Priraďte aktívny/aktívny alebo aktívny/pasívny režim k potrebám vášho kampusu, dátového centra a virtuálneho okraja.

Zosúladenie výkonu a rozpočtu

Prispôsobte párovanie a klastrovanie vysokej dostupnosti požadovanej priepustnosti bez nadmerného budovania bezpečnostnej kapacity.

Dizajn pre jednoduchú prevádzku

Štandardizujte správanie vysokej dostupnosti, záložné prepnutie a synchronizáciu politík naprieč hardvérom a virtuálnymi firewallmi.

Aktívno-aktívny vs. aktívne-pasívny firewall s vysokou dostupnosťou

Porovnajte návrhy vysokodostupných firewallov typu aktívne-aktívne a aktívne-pasívne a vyberte si ten správny model z hľadiska škálovateľnosti, prevádzkyschopnosti a jednoduchosti prevádzky.

Vlastnosti Aktívno-pasívna HA
Aktívna-aktívna HA (horúca)
 Prevádzkový vplyv
Vhodnosť nasadenia Najlepšie pre okrajové a perimetrické úrovne kampusu s predvídateľnou severojužnou prevádzkou a jednoduchšími doménami zlyhania. Najlepšie pre veľké dátové centrá a zóny s vysokou priepustnosťou, ktoré vyžadujú distribuovanú inšpekciu a škálovateľnosť východ-západ. Objasňuje, ktorý režim vysokej dostupnosti (HA) je v súlade s vašimi primárnymi vzormi prevádzky a plánmi rastu topológie.
Výkon a rozsah Preposiela dáta iba aktívny uzol; kapacita je obmedzená na jedno zariadenie a aktualizácie môžu vyžadovať častejšie obnovy. Oba uzly preposielajú prevádzku paralelne; agregovaná priepustnosť a kapacita relácie sa škálujú podľa návrhu klastra. Pomáha vám rozhodnúť sa, či teraz potrebujete maximálnu využiteľnú kapacitu alebo či môžete akceptovať nečinné pohotovostné zdroje.
Správanie pri zlyhaní a kontinuita relácie Jednoduché prepnutie pri zlyhaní s jasnými primárnymi/záložnými rolami; stále je možné zrušiť alebo obnoviť niektoré relácie v závislosti od návrhu synchronizácie stavu. Zložitejšie zdieľanie stavu; môže ponúknuť plynulejšie prepnutie pri zlyhaní vo veľkom meradle, ale vyžaduje starostlivé rozloženie prevádzky a kontroly stavu. Ukazuje kompromis medzi jednoduchosťou záložného prepnutia a bezproblémovou kontinuitou pri veľkom, distribuovanom zaťažení.
Zložitosť politík a smerovania Jednoduché pravidlá a smerovanie; minimálna potreba symetrických tokov alebo uvedomenia si viacerých ciest. Vyžaduje konzistentnú politiku na všetkých uzloch, pozornosť venovaná asymetrickému smerovaniu a potenciálnej závislosti od ECMP alebo klastrovacích funkcií. Označuje, akú mieru prevádzkovej sofistikovanosti musí váš tím udržiavať pri návrhu politík a smerovania.
Náklady a využitie zdrojov Nižšia efektivita využitia licencií a hardvéru, pretože pohotovostná kapacita je počas bežnej prevádzky nečinná. Vyššie využitie zakúpenej kapacity, pretože všetky uzly sú aktívne, ale zvyčajne vyššie náklady na návrh a prevádzku. Umožňuje vám vyvážiť efektívnosť kapitálových výdavkov s inžinierskym úsilím potrebným na návrh a prevádzku klastra vysokej dostupnosti.
Prevádzka a riešenie problémov Jednoduchšie uvažovanie o dopravných trasách a scenároch zlyhania; jednoduchšie postupy pre tímy v areáli a na perimetri. Viac pohyblivých častí (vyrovnávače záťaže, dynamické smerovanie, klastre); riešenie problémov si vyžaduje hlbšie zručnosti a lepšie nástroje. Určuje, či vaši súčasní zamestnanci a procesy dokážu podporovať pokročilú architektúru vysokej dostupnosti.
Typické prípady použitia Okraj kampusu, agregácia pobočiek, perimetr dátového centra, internetový prielom s voľnými pármi aktívny/záložný. Vysokovýkonné dátové centrá, prostredia s viacerými nájomníkmi, rozsiahle klastre vysokej dostupnosti a segmentované interné zóny. Mapuje typ vášho prostredia na model vysokej dostupnosti (HA), ktorý s najväčšou pravdepodobnosťou uspeje v produkčnom prostredí.
Pripravenosť na budúcnosť Vhodné pre stabilné prostredia s miernym rastom a obmedzenými požiadavkami na segmentáciu východ-západ. Navrhnuté pre prostredia, ktoré pridávajú pracovné zaťaženie umelou inteligenciou, mikrosegmentáciu a rýchlo rastúce interné toky prevádzky. Podporuje výhľadovú voľbu, ak očakávate agresívny rast priepustnosti a segmentácie.

Potrebujete pomoc? Technickí experti sú k dispozícii.

  • +1-626-655-0998 (USA)
    UTC 15:00-00:00
  • +852-2592-5389 (Hoongkong)
    UTC 00:00-09:00
  • +852-2592-5411 (Hoongkong)
    UTC 06:00-15:00
Získajte ponuku
Chat
Potrebujete pomoc? Technickí experti sú k dispozícii.

Prípady použitia vysokej dostupnosti firewallu

Kde aktívne-aktívne vs. aktívne-pasívne návrhy HA firewallov najlepšie vyhovujú reálnym sieťam a bezpečnostným operáciám.

Agregácia na okraji kampusu a pobočiek

Agregácia na okraji kampusu a pobočiek

  • Nasaďte aktívne-pasívne firewallové klastre na okrajoch internetového pripojenia v areáli univerzity, aby ste zabezpečili bezproblémové prepnutie na záložný systém pre tisíce používateľov bez zložitej synchronizácie stavov.
  • Používajte aktívne-pasívnu vysokú dostupnosť (HA) v agregačných uzloch WAN na ochranu spojení MPLS/SD-WAN a zároveň zjednodušte smerovanie a spracovanie relácií počas záložného prepnutia uzla.
  • Štandardizujte návrh HA firewallu v distribuovaných pobočkách, aby všetky lokality zdedili rovnakú politiku prepnutia pri zlyhaní, monitorovanie a runbook pre prípad výpadkov.
Ochrana perimetra dátového centra a DMZ

Ochrana perimetra dátového centra a DMZ

  • Navrhnite dvojice aktívne-pasívnych firewallov na hraniciach dátového centra medzi severom a juhom, aby ste zabezpečili prichádzajúcu a odchádzajúcu prevádzku s deterministickým správaním pri zlyhaní.
  • Segmentujte DMZ zóny pomocou párov HA firewallov, ktoré udržiavajú stabilné mapovanie verejných IP adries a zároveň umožňujú rýchle prepnutie na záložný systém počas údržby alebo opráv.
  • Integrujte klastre vysokej dostupnosti firewallov s vyrovnávačmi záťaže a okrajovými smerovačmi na ochranu internetových aplikácií bez narušenia existujúcich návrhov VIP a NAT.
Vysokokapacitná segmentácia východ-západ vo veľkých DC

Vysokokapacitná segmentácia východ-západ vo veľkých DC

  • Implementujte aktívne-aktívne firewallové klastre vo veľkých dátových centrách na rozdelenie kontroly prevádzky východ-západ medzi viaceré uzly a dosiahnutie vyššej agregovanej priepustnosti.
  • Vytvorte škálovateľné bezpečnostné zóny medzi aplikačnými vrstvami alebo POD-mi, kde aktívne firewally spracovávajú symetrické prenosové cesty a silné bočné toky.
  • Na ochranu chrbticových štruktúr (spine-leaf) použite HA s viacerými šasi a klastrovanie, čím zabezpečíte, že bezpečnostné politiky zostanú presadzované aj v prípade zlyhania jednotlivých členov firewallu.
Virtualizované a viacnájomnícke prostredia

Virtualizované a viacnájomnícke prostredia

  • Nasaďte virtuálne firewally v aktívnom režime naprieč viacerými hypervízormi, aby ste chránili virtuálne počítače nájomníkov s elastickým škálovaním a konzistenciou politík.
  • Na zabezpečenie kritických sietí pre správu, zálohovanie alebo databázy, kde je transparentnosť pri zlyhaní dôležitejšia ako priepustnosť, použite páry aktívneho a pasívneho virtuálneho firewallu.
  • Segmentujte prostredia s viacerými nájomníkmi priradením vyhradených virtuálnych systémov alebo kontextov každej obchodnej jednotke a zároveň centralizujte politiku vysokej dostupnosti, protokolovanie a aktualizácie.
Regulované odvetvia a kriticky dôležité služby

Regulované odvetvia a kriticky dôležité služby

  • Aplikujte aktívnu a pasívnu vysokú dostupnosť firewallu pre finančné, zdravotnícke alebo vládne služby, ktoré vyžadujú predvídateľné testovanie zlyhania a jasné dôkazy o kontrole zmien.
  • Spúšťajte aktívne-aktívne návrhy pre platformy citlivé na latenciu, ako je obchodovanie alebo analýza v reálnom čase, kde oba uzly firewallu musia preposielať prevádzku súčasne.
  • Zosúladiť architektúru vysokej dostupnosti firewallu s požiadavkami na dodržiavanie predpisov oddelením ciest riadenia, správy a protokolovania a zároveň zachovať nepretržitú ochranu počas zlyhaní.

Často kladené otázky

Ako sa mám v reálnom projekte rozhodnúť medzi aktívnou-aktívnou a aktívne-pasívnou vysokou dostupnosťou pre tieto firewally?

  • Ak je vaším hlavným cieľom vysoká dostupnosť s predvídateľným smerovaním a jednoduchšou prevádzkou, použite aktívno-pasívnu konfiguráciu na okraji kampusu alebo na perimetri internetového/dátového centra – typickými riešeniami sú Cisco FPR2120-FTD, Juniper SRX1500/SRX4100 a Huawei USG6500E/6600F v prvej skupine SKU.
  • Režim aktívne-aktívny zvoľte najmä v dátových centrách alebo veľkých jadrách kampusov, kde potrebujete využiť oba uzly na zabezpečenie priepustnosti alebo segmentácie viacerých nájomcov – lepšie zosúladené s vysokovýkonnými SRX4200, ASA 5585 a Huawei USG66xxE/65xxE, ako aj s virtuálnymi firewallovými SKU pre izoláciu východ-západ alebo nájomcov.
  • Ak má váš súčasný tím obmedzené skúsenosti s ladením HA (synchronizácia relácií, asymetria, ECMP, klastrovanie), začnite s aktívnym-pasívnym režimom a naplánujte si neskorší prechod na aktívny-aktívny režim, ak je to jasne odôvodnené rastom prevádzky alebo návrhom redundancie.

Ktoré SKU sú vhodnejšie pre aktívne-pasívnu vysokú dostupnosť na okraji kampusu oproti perimetru dátového centra?

  • Pre internetovú hranicu na kampusoch alebo pobočkách sa modely ako CIS:FPR2120-FTD-HA-BUN, SRX1500-SYS-JE-AC a HW:USG6502E-C-AC často vyberajú pre záložné prepínanie medzi dvoma poskytovateľmi internetových služieb alebo dvoma agregačnými smerovačmi v aktívno-pasívnom režime, čím sa zabezpečí jednoduchá konštrukcia smerovania a politík.
  • Pre konsolidáciu perimetra dátového centra a DMZ v aktívne-pasívnej vysokej dostupnosti poskytujú zariadenia s vyššou kapacitou, ako napríklad SRX4100-AC, HW:USG6615F-AC a HW:USG6710F-AC, viac relácií, škálovateľnosť VPN a priepustnosť a zároveň zostávajú v rámci relatívne jednoduchej topológie A/P.
  • Pri výbere medzi týmito možnosťami zvážte: maximálny počet súbežných relácií pri záložnom prepnutí (všetka prevádzka na jednom uzle), počet tunelov IPsec a akékoľvek dešifrovanie SSL – veľkosť pre najhorší prípad zaťaženia jedného uzla v aktívne-pasívnom nastavení.

Ako mám dimenzovať vysokovýkonné firewally pre aktívnu vysokú dostupnosť dátových centier bez toho, aby som ich kúpil nadhodnotene alebo podhodnotene?

  • Pri klastrovaní typu Active-Active so zariadeniami ako ASA5585S60-10K-K9, SRX4200-SYS-JE-AC, HW:USG6620E-K-AC, HW:USG6640E-K-AC, HW:USG6575E-B-AC alebo HW:USG6605E-B-AC nerozdeľujte aktuálnu špičkovú prevádzku jednoducho na dve – plánujte kapacitu za predpokladu aspoň N+1 alebo N+N, aby jeden uzol mohol udržať kritickú prevádzku počas údržby alebo poruchy.
  • Venujte pozornosť funkciám, ktoré môžu výrazne znížiť efektívnu priepustnosť (IPS, antivírus, kontrola SSL, uvedomenie si aplikácií, protokolovanie do vzdialených zberačov). Pri rozhodovaní o kúpe sa pýtajte na výkonnostné údaje jednotlivých funkcií, a nie len na údaje o maximálnej priepustnosti.
  • Ak potrebujete pomoc s premenou aplikačných tokov, šírky pásma východ-západ a budúcej prevádzky umelej inteligencie/analytiky na konkrétnu priepustnosť a veľkosť relácií pre tieto SKU, môžete požiadať o pomoc s návrhom prostredníctvom nášho bezplatná podpora CCIEUpozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Môžem v mojom návrhu HA kombinovať virtuálne firewally s fyzickými klastrami a na čo si mám dávať pozor?

  • Áno, mnoho zákazníkov prevádzkuje fyzické zariadenia pre perimetrickú vysokú dostupnosť a používa virtuálne firewally, ako napríklad HS:VM01-IN, HS:VM02-IN, HS:VM04-IN, HS:VM08-IN s licenciami VSYS (LIC-VS-10-NFM, LFWEVSYS02, LIC-VSYS-20-NGFWM, LIC-VSYS-4000-E8KE) na segmentáciu nájomníkov alebo aplikačných zón, ale mali by ste sa vyhnúť umiestneniu fyzického a virtuálneho firewallu do toho istého páru stavovej vysokej dostupnosti.
  • Udržujte fyzické páry alebo klastre vysokej dostupnosti (HA) vyhradené (napr. dátové centrum sever-juh) a virtuálnu HA bránu firewallu považujte za ďalšiu logickú vrstvu pre segmentáciu viacerých nájomníkov alebo aplikácií, často spustenú na samostatnej virtualizácii alebo cloudovej infraštruktúre.
  • Skontrolujte kompatibilitu medzi hypervízorom, obrazom virtuálneho firewallu a funkciami HA (typy vNIC, multicastové alebo unicastové HA signály, zdieľané úložisko, integrácia API). Zosúladenie verzií a licencovanie kapacity VSYS/VM musí byť overené pred obstaraním, aby sa predišlo oneskoreniam pri nasadení.

Čo by som mal vedieť o životnom cykle, riziku EOL/EOS a záruke pri výbere firewallov s vysokou dostupnosťou?

  • V prípade vysokej dostupnosti (HA) by ideálne mali byť oba uzly alebo všetci členovia klastra v podobnom životnom cykle; miešanie platforiem takmer na konci životného cyklu s novými môže vytvoriť asymetrické okná podpory a skomplikovať dlhodobý návrh.
  • Pred finalizáciou modelov ako ASA5585S60-10K-K9 alebo starších generácií USG/SRX odporúčame skontrolovať stav ich životného cyklu pomocou našich Kontrola EOL / EOSL aby ste pochopili zostávajúcu podporu dodávateľov a typické časové rámce dostupnosti náhradných dielov.
  • Informácie o výmene hardvéru, RMA a plánovaní servisného krytia vo vašom aktívnom alebo aktívno-pasívnom prostredí nájdete v našich záručná politika a zosúladiť ho s vašou internou SLA a rizikovým profilom. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Ako sa rieši doprava, colné poplatky a vrátenie tovaru pri nákupoch HA firewallov v rôznych regiónoch?

  • Dodacia lehota a možnosti dopravy pre balíky HA alebo viacuzlové klastre (napríklad duálne klastre FPR2120-FTD-HA-BUN alebo štvoruzlové klastre SRX4200) sa môžu líšiť v závislosti od dostupnosti na sklade, požiadaviek na konfiguráciu a miesta určenia; prehľad metód a podmienok nájdete v našich spôsoby prepravy informačnú stránku.
  • Dovozné dane, DPH a clá pre zásielky viaczariadených firewallov sa zvyčajne riadia miestnymi predpismi a Incoterms; typické dojednania a zodpovednosti si môžete pozrieť na našej dane a clá stránku a overte si podrobnosti s vaším logistickým alebo obstarávacím tímom.
  • V prostredí HA, ak dostanete chybnú jednotku alebo sa stretnete s chybou DOA na jednom členovi páru alebo klastra, odporúčame rýchlo iniciovať RMA, aby váš návrh nefungoval dlho v režime zníženej ochrany. Postupujte podľa krokov uvedených v našich pokyny na vrátenie a podľa toho koordinovať testy prestojov alebo záložných testov. Upozornenie: Konkrétne záručné podmienky a podporné služby sa môžu líšiť v závislosti od produktu a regiónu. Presné podrobnosti nájdete v oficiálnych informáciách. V prípade ďalších otázok kontaktujte: router-switch.com.

Viac riešení

Enterprise SASE Security Architecture Guide

Sprievodca architektúrou zabezpečenia podniku SASE

Zistite, ako SASE spája SD-WAN a cloudové zabezpečenie, aby znížila prevádzkové náklady o 40 – 60 % a poskytla jednotný prístup s nulovou dôverou pre distribuované podniky.

SIX
Campus Network Solutions for Enterprises

Riešenia kampusových sietí pre podniky

Vybudujte si spoľahlivú, škálovateľnú a vysoko výkonnú kampusovú sieť s našimi komplexnými riešeniami – určenými pre podniky.

Campus Network
Beyond Bandwidth: The 100G+ Data Center Architecture

Viac než len šírka pásma: Architektúra dátového centra s kapacitou 100 Gb/s

Nevyhnutný 100G základ – rast pripravený na umelú inteligenciu, výkon s nulovou latenciou

Dátové centrum
Prihlásiť sa
Registrácia