ТЕХНИЧЕСКОЕ ОПИСАНИЕ

Keysight Ixia Fabric Controller (IFC) Clustering

Повышение эффективности сетевой видимости и гибкости проектирования распределённых пакетных брокеров

В современных сложных сетевых инфраструктурах требования к сетевой видимости и мониторингу безопасности могут существенно различаться у разных заказчиков. Одним требуется централизованное размещение средств безопасности, другим — размещение средств безопасности в различных точках распределённой инфраструктуры для повышения эксплуатационной эффективности и максимальной гибкости проектирования.

В распределённой среде управление всеми сетевыми пакетными брокерами через единое окно (Single Pane of Glass) критически важно для удобства эксплуатации. Работа и управление кластером NPB должны быть такими же простыми, как работа с одним устройством. Решение Keysight Ixia Fabric Controller Clustering обеспечивает именно такую модель.

Узел Keysight Ixia Fabric Controller

IFC Controller Node работает подобно SDN-контроллеру для пакетных брокеров сетевой видимости. Узел-контроллер в кластере IFC создаёт и поддерживает глобальную базу конфигурации для всех узлов кластера. В одном IFC-кластере возможно использование нескольких узлов-контроллеров, что обеспечивает резервирование конфигурации и отказоустойчивость. Кластеризация IFC основана на распределённой архитектуре, позволяющей администраторам сети получать доступ к трафику, направляемому средствам мониторинга и диагностики, в любой точке visibility-сети — через один или несколько переходов.

Основные преимущества

Рисунок 1. Пример топологии IFC-кластера

Единое окно (SPoG) для конфигурирования, управления и эксплуатации

Все порты и узлы IFC-кластера можно конфигурировать и управлять ими из одного пользовательского интерфейса, как показано на рисунке 2. Топология кластера показывает, как соединены узлы, какие межсоединения используются и какая полоса пропускания выделена. Цветовая индикация показывает нормальное состояние каналов, потерю пакетов либо полную недоступность канала. Ресурсы интеллектуальной обработки трафика Keysight — NetStack, PacketStack, SecureStack и AppStack — также могут использоваться во всей фабрике. Это упрощает эксплуатацию нескольких площадок и обеспечивает централизованное управление, необходимое сложной инфраструктуре сетевой видимости.

Гибкая поддержка топологии Any-to-Any

Заказчики, развёртывающие решения мониторинга, продолжают сталкиваться с задачей эффективной совместной работы распределённых пакетных брокеров. Например, при наличии 2–3 удалённых офисов может потребоваться гибко выбирать способ их соединения из-за стоимости каналов связи. Архитектура кластеризации IFC позволяет соединять пакетные брокеры в различных топологиях и выбирать вариант развёртывания, наиболее целесообразный с точки зрения бизнеса. Она также обеспечивает высокий уровень отказоустойчивости: при наличии нескольких узлов-контроллеров копия конфигурации хранится на каждом из них. Если часть узлов выходит из строя, оставшиеся исправные контроллеры остаются доступными и продолжают работу в соответствии с заданной конфигурацией.

Рисунок 2. Поддерживаемые топологии

Масштабный мониторинг с IFC Clustering

По мере расширения киберугроз и роста стоимости простоев компании всё чаще стремятся развёртывать крупномасштабные системы мониторинга. Поддержка кластеризации IFC на основных платформах Vision позволяет распространить преимущества сложной обработки пакетов, обеспечиваемой запатентованным компилятором фильтров Keysight, на значительно большее количество конечных точек распределённой сети. Интеграция IFC Clustering с IFC Centralized Manager предоставляет мощные функции NMS, включая автоматическое обнаружение, управление событиями и тревогами, а также массовое обновление программного обеспечения.

Многопереходная кластеризация IFC

Зеркалируемый трафик должен проходить через два или более межсоединения, чтобы достичь инструмента. Особые требования к многопереходной топологии включают:

Ключевые функции

Сценарии применения

Основные сценарии использования Keysight Ixia Fabric Controller Clustering включают агрегацию данных в корпоративных сетях и центрах обработки данных, фильтрацию трафика и применение интеллектуальных операций к контролируемому трафику — например дедупликации или удаления заголовков — для повышения эффективности работы средств безопасности. Наиболее востребованы следующие сценарии:

Крупномасштабный мониторинг. Современные крупные центры обработки данных и территориально распределённые сети требуют подключения большого количества контролируемых каналов, при этом трафик обычно направляется к централизованной ферме инструментов. Ixia Fabric Controller Clustering позволяет использовать множество недорогих NPB в качестве уровня агрегации и направлять отфильтрованный трафик более производительным NPB, размещённым рядом с центральной фермой инструментов. Такая архитектура легко масштабируется до тысяч портов при контролируемой стоимости, сохраняя единый интерфейс конфигурирования и управления.

Оперативный мониторинг. Для многих задач lawful intercept требуется возможность быстро организовать мониторинг даже в распределённой среде. При возникновении необходимости заказчик должен за считанные секунды создать новые правила и направить интересующий трафик специальным средствам безопасности для углублённого анализа, а не тратить на это часы или дни. Запатентованный компилятор фильтров Keysight обеспечивает такую возможность при автономном или централизованном мониторинге, а IFC Clustering распространяет её на распределённый кластер узлов.

Traffic engineering с защитой. Создание отказоустойчивой инфраструктуры сетевой видимости критически важно при проектировании крупных центров обработки данных. Агрегация неизбежна, поэтому необходимы гибкие возможности управления трафиком для работы с переподпиской. IFC-кластеры поддерживают топологию any-to-any, а не только hub-and-spoke, что обеспечивает возможность произвольных межсоединений. При перегрузке одного межсоединения избыточный трафик может быть перенаправлен на другие каналы. Балансировка нагрузки в группе межсоединений также повышает резервирование и отказоустойчивость зеркалируемого трафика, снижая вероятность потери видимости средствами мониторинга.

Гибкая топология сетевой видимости. Visibility-сети могут строиться как hub-and-spoke, spine-and-leaf, дерево, mesh или partial mesh, а также в любой комбинации этих вариантов — в зависимости от того, как заказчик проектирует инфраструктуру сетевой видимости и требуется ли резервирование. Ниже приведены примеры:

Spine-and-leaf агрегация с резервированием при отказе

Топология двойного кольца

Информация для заказа

Keysight Ixia Fabric Controller требует отдельную лицензию на каждом сетевом пакетном брокере Vision, который должен входить в SDN-архитектуру кластеризации. Возможности single-hop и multi-hop включены в одну и ту же лицензию.