ネットワーク可視化製品ご紹介 ~キーサイト テクノロジー社~ SCSK株式会社 2019年2月 Rev.1-6-web

Transcription

1 ネットワーク可視化製品ご紹介 ~キーサイト テクノロジー社~ SCSK株式会社 2019年2月 Rev.1-6-web

2 IXIA製品カバレッジ クラウド/ストレージ テストソリューション Wi-Fi端末テスト WiFi GWテスト モバイルアクセス テスト ネットワークエラー エミュレーション モバイルコア テスト セキュリティテスト 仮想化 / SDN / NFV テスト ネットワーク可視化 インターネットコア テストソリューション テスター IxLoad/IxNetwork/IxBreakingPointではなく 可視化製品ご紹介 -1-

3 Ixia製品ネットワーク可視化製品群 TAP NPB ネットワークを可視化する手段としてパケットを取り出す方法として SW-HUBの持つSPAN/RSPANが一般的 に利用されています しかし SW-HUBそのものの処理能力低下を招いたり パケットロスが発生したりします また エラーフレーム発生を確認することはSPANではできません キーサイト テクノロジー社のTAP製品を利用し 物理レイヤでトラフィックを取り出すことでネットワーク機器 への性能低下やボトルネックにならず エラーフレームを含めて安全に取り出すことができます SPAN や TAP を利用すると入力ポート数が増えますが NPB ネットワークパケットブローカー 製品を利用し ポートの集約を行うことで パケットを解析するモニター製品 セキュリティ製品の利用数もまとめることができ ます NPB 1/10/40/100G対応 ロードバランス パケット加工 Visionシリーズ フィルタリング ロードバランス トラフィックの合成 集約 TAPインサイド SPAN ポートアグリゲーター ネットワークからのトラフィック取り出し TAP Copper TAP Fiber TAP -2-

4 Ciscoサイトの情報について 下記サイトにSPANについての技術的な説明があり後半部分 にCatalyst 6500の仕様でのリスク表記がございましたので ご参考までにご連絡させて頂きます Catalyst 6500 シリーズでは 出力 SPAN はスーパーバイザで行われることに 注意することが重要です この場合 出力SPAN の対象になるすべてのトラフィック がファブリック上でスーパーバイザに送信されてから SPAN 宛先ポートに送信される のが許可されます これにより 相当のシステム リソースが使用され ユーザ トラフィックに影響が及ぶ可能性があります 入力 SPAN は入力モジュールで行われるため SPAN のパフォーマンスはすべての 構成しているレプリケーション エンジンの合計になります SPAN 機能のパフォーマンスは レプリケーション エンジンで利用可能 な ASIC のパケット サイズおよび種類によって異なります -3-

5 Network Tap / Port Aggregator ネットワークタップ TP-1, 100 / TPX-10シリーズ TP-CU3-ST / TP-CU3-ZD TPX VHD-シリーズ ネットワークの物理回線上にインラインで設置 安全に上り下りのトラフィックをそれぞれ出力 TX SW-HUB SW-HUB RX LANアナライザ IDS フォレンジックなどパッシブにデータを収集する製品と利用 TX 単一リンク用 マルチリンク用モデル有 モニタ製品 ポートアグリゲーター TPA2-CU3 ネットワークタップとは異なり 上り下りトラフィックを合成し出力 専用バッファでバースト時もパケットロス防止 TX SW-HUB SW-HUB RX 1ポートで収集するLANアナライザ IDS フォレンジックなどパッシブにデータを 収集する製品と利用 単一リンク用 マルチリンク用モデル有 モニタ製品 モニタ製品 -4-

6 Regeneration Tap リジェネレーションタップ RG-CU3 TX SW-HUB SW-HUB RX ネットワークの物理回線上にインラインで設置 安全に上り下りのトラフィックをそれぞれ出力 TX LANアナライザ IDS フォレンジックなどパッシブにデータを収集する製品と利用 モニタ製品 モニタ製品 モニタ製品 モニタ製品 モニタ製品 モニタ製品 モニタ製品 モニタ製品 TAPと同様の設置方法で トラフィックは上り下りそれぞれ8出力可能 -5-

7 Bypass Switch I3BP-CU3 IBPVHD-CH-AC 1G/10G 4ライン用 ｘ最大3モジュール Bypass TAP Regeneration Aggregation設定可能 バイパススイッチ 通常時 SW-HUB SW-HUB ネットワークの物理回線上にインラインで設置 インライン製品 インライン製品と接続 インライン製品の リンクダウン 時や ハートビート の応答が確認できない場合 インライン製品をバイパスしネットワークダウンを回避 バイパススイッチ 作動時 SW-HUB 透過型インライン製品となるFirewall WAF IPS サンドボックスと利用 SW-HUB リンクダウン インライン製品 1回線用 多回線用モデル有 ハートビート 無応答 スローレスポンス -6-

8 Copper Tap TP-CU3-ZD 10/100/1000Base-Tをサポート ゼロディレイ機能 (ZDモデル) による電源喪失時のネットワーク断の回避 低遅延 (1G:0.75マイクロ秒 100M:1.4マイクロ秒 10M:10マイクロ秒 ) リンクフォールト ディテクト機能によるモニタ側へのリンク切れとリンクスピードの連携 背面のディップスイッチにより 各種設定やリンク固定が可能 前面のLED 表示による電源 ON/OFF リンクスピードの確認が可能 専用ラックマウントで1Uに最大 3ラインのタップを搭載可能 ( オプション ) 標準電源冗長 - 7 -

9 Fiber Tap 入力光と分光方向 Flex Tap シリーズ 業界最大クラスのポート密度 1U に最大 24 ラインのタップを搭載可能 1G (SX/LX)/10G(SR/LR) /40G(SR/LR)/100G(SR/LR) をサポート 分光比率 50:50 / 60:40 / 70:30 / 80:20 / 90:10 より選択 40G-SR のコネクタは MTP ( 最大 12 個搭載 ) 分光比率は 50:50 または 70:30 のみ 100G-SR のコネクタは MTP( 最大 12 個搭載 ) 分光比率は 50:50 または 70:30 のみ 前面のファイバ保護用構造によりファイバの損傷を防止 専用工具なしでタップの増設が可能 電源無し ポートに対する光の向き - 8 -

10 ネットワークパケットブローカー 主要機能 タギング 切り替え VLANタグ IP Header Payload AFM機能 フィルタリング Advanced Feature Modules フィルタ 重複排除 重複排除後 コピー コピー 集約 合成 FabricPATH対応 集約/合成 IF変換 メディア変換 ストリッピング VLAN/MPLS/GTP トリミング IP Header タイムスタンプ IP Header NTO 全シリーズ対応 ロードバランス 1Gバースト プロテクション ロードバランス IP Header Payload Payload Payload P P P P P PP P P P P P P P P P P バッファリング パケットロスを極力解消するために バッファリングする Vision 5236 / 5288 / Vision ONE / 7300対応 重複判定条件 1) パケット全体(ヘッダー含む) 2) IPヘッダー以降 3) IPペイロードのみ IPヘッダー 以下は除く -9- Timestamp

11 Visionシリーズ 自動ルールエンジンとGUI 2. どのように設定するのか 1. 何をしたいのか SPANポート1つを3つのツールポートにそれぞれの条件で出力 Network Tool Control Panel で簡単な3つのフィルタ作成 Tool Port #1 TCP Tool Port #2 Network SPAN ポート 入力ポート 4. なぜこれがすごいのか 自動的に重複条件を検査し ルールを作成 No. VLAN 1-3 TCP 出力ポート Tool Port #3 3. どのようにルールを自動コンパイルするのか VLAN 3-6 ダイナミック フィルタ Criteria Action 0 VLAN 3 + TCP Tool 1, 2 & 3 1 VLAN TCP Tool 1 & 2 2 VLAN TCP Tool 2 & 3 3 VLAN 3 Tool 1 & 3 4 VLAN 1-2 Tool 1 5 VLAN 4-6 Tool 3 6 TCP Tool 2 7 Null Drop 自動的に重複条件を解決 必要な条件を簡素化 変更の影響無し パケットロス無し マルチアクセスで設定変更可能 Web API であるRESTful APIを使用し 外部システムとの 連携による自動フィルター等の設定変更が可能

12 次世代NPB ネットワークパケットブローカー Vision ONE 最新製品 Vision ONE 高集積ポート SFP/SFP+ QSFP 1/10G ｘ 48ポート 40G ｘ 4ポート 40Gはブレークアウトケーブル利用で10Gｘ4ポートに変換可能 特長 Visionシリーズの全機能を搭載 PacketStack(AFM)機能をライセンスとして160Gbps 10Gｘ16ポート まで任意のポートに設定可能 インラインバイパス LinkDown検知 HeartBeart検知 性能低下を検知可能 Inline HA 高可用性 ATI Application and Threat Intelligence プロセッサーで以下の技術を実現 DPIモニタおよびDPIフィルタ IxFlowでxFlowエージェント機能 コレクター10台までサポート NetFlow v9 10とIPFIX対応 SSL/TLS復号機能 RSA ECDH対応 で 復号パケットを任意ポートに出力可能 データマスク機能 クレジットカード番号 など柔軟に対応 で 加工済みデータを任意ポート に出力可能 データマスキング IP Header Payload XXXX

13 ATI Application and Threat Intelligence プロセッサー機能 ①DPIでL7フィルタリングとリアルタイム表示 アプリケーション アプリケーションイベント 端末OS ブラウザ種別 ジオロケーション Amazon AOL Facebook Gmail Google Hulu itunes LINE ニ コニコ動画 Yahoo など180種類以上 ②NetFlow / IPFIX ジェネレーション ③SSL/TLS復号 IxFlowメタデータ デバイス OS ブラウザタイプ キャリア BGP AS# ジオロケーション 復号したSSL暗号タイプ キー長さ モニタリングツールに復号データを送信 サーバー証明書とキーをセット ④データマスキング カード番号や任意パターン

14 Vision Edge 10s / 40 / 100 Vision Edge モニタリング ファブリックを構成する高密度ポート搭載 1G 100G Vision E10s Vision E40 Vision E100 1G / 10G 1G /10G /40G対応 10G/25G/50G/100G対応 1G 48ポート 48ポート 10G 48ポート 48ポート or 72ポート ファンアウトケーブル利用 時 128ポート 6ポート 32ポート インターフェース タイプ 40G 25G 128ポート 50G 64ポート 100G 32ポート PacketStack(AFM) 接続方法 〇 4ポート ー SPAN SPAN / In-Line 寸法cm RU 重量 4.4 x 44.5 x U 13.6Kg 4.4 x 44.2 x U 8.7Kg 4.4 x 43.9 x 51.6(1U) 10.4Kg 電源 二重化 ホットスワップ対応 90 to Hz 90 to Hz 90 to Hz IFC機能による Vision ONE / 7300 とのクラスタリングシス テムが可能 フィルタリング アグリゲーション リジェネレーション ロードバランスが可能 VisionE40/100はIFC機能で VisionONE / 7300 よりEdge装置を一元操作 制御が可能

15 Vision シリーズ機器諸元 シリーズ Vision ONE VisionE10s Vision E40 Vision E100 RU 1RU 1RU 1RU 1RU 最大ポート数 64port 48port 72port 128port インターフェース 1G SFP 48ポート 48ポート 48ポート ー 10G SFP+ 48 ポート追加 16 ポート (4x4 ブレイクアウト ) 48 ポート 48 ポート or 72 ポート ( ファンアウトケーブル利用時 ) ー 1/10G SFP/SFP+ 48ポート 48ポート 48ポート ー 40G QSFP+ 4ポート ー 6ポート ー 100G CFP ー ー ー ー 10G QSFP28 ー ー ー 128ポート 25G QSFP28 ー ー ー 128ポート 40G QSFP28 ー ー ー 32ポート 50G QSFP28 ー ー ー 64ポート 100G QSFP28 ー ー ー 32ポート AFM 160Gbps 40Gbps ー ー 電源冗長 寸法 ( 高さx 幅 x 奥行 )cm 4.5 x 44.5 x x 44.5 x x 44.2 x x 43.9 x 51.6 重量 16.5 kg 13.6 kg 8.7 kg 10.4 kg 動作温度 5 ~40 0 ~50 0 ~40 0 ~45 動作湿度 5%~85%( 結露なきこと ) 5%~95%( 結露なきこと ) 電源 100VAC 90 to 260 VAC 90 to 264 VAC 90 to 264 VAC

16 サンプルネットワークに IXIA 製品を当てはめる L3 利用監視製品 セキュリティチェック NGFW IPS/SandBox 1GBASE-SX SSL Visibility を利用し HTTPS 内も検査 IPS L3SW インライン WAF SPAN IPS SSL L2 IPS 追加予定 セキュリティチェック SandBox 追加 (Web 用 Mail 用 ) フォレンジックツール SPAN L2 L2 L2 ネットワーク可視化ツール 検討 ネットワークの冗長化

17 IXIA製品設置ポイント① 利用監視製品 セキュリティチェック NGFW IPS/SandBox 1GBASE-SX L3 TAPとVisionで集約 合成 Bypassスイッチ IBP-8000 Monitoring DBM-200 TAPとVisionで集約 合成 Visionシリーズ L3SW Bypassスイッチ SSL インライン WAF Forensic IBP-8000 IPS DBM-200 SSL Visibilityを利用し HTTPS内も検査 IPS 追加予定 セキュリティチェック SandBox追加 Web用 Mail用 フォレンジックツール TAPとVisionで集約 合成 ツールの最適化 ネットワーク可視化ツール L3 L2 L2 TAPとVisionで集約 合成 常時モニターとトラブルシューティン グを実現 L2 検討 ネットワークの冗長化 Bypassスイッチで冗長化 FlexTAP TPX-10-SR

18 IXIA製品設置ポイント② 1GBASE-SX L3 利用監視製品 セキュリティチェック NGFW IPS/SandBox Bypassスイッチを Bypassスイッチで 設置 TAPとVisionで集約 合成 SSL Visibilityを利用し HTTPS内も検査 IPS VisionEdge40/ VisionONE インライン Bypassスイッチ Bypass スイッチ TAPとVisionで集約 合成 IBP-8000 DBM-200 Bypass WAF SSL スイッチ Monitoring L3 IPS TAPとVisionで集約 合成 ツールの最適化 Forensic L2 L2 追加予定 セキュリティチェック SandBox追加 Web用 Mail用 フォレンジックツール ネットワーク可視化ツール L2 TAPとVisionで集約 合成 常時モニターとトラブルシューティングを実現 検討 ネットワークの冗長化 FlexTAP TPX-10-SR Bypassスイッチで冗長化 VisionEdge/ONEのBypassスイッチは 処理能力低下もハートビートで検知

19 事例１ 止めないネットワーク構築 課題 止めないネットワーク 障害時 メンテナンス時もネットワークは止めない 遠隔からでもメンテナンスができる 対応 Bypassスイッチによるインライン製品の冗長化 BypassSwith I3BP-CU3でPaloalto PA-3020を接続 効果 Paloalto保守対応時はBypassスイッチで迂回させ ることでネットワーク無停止 遠隔から迂回操作を行えるので 保守拠点から操作 可能 Internet Router 追加効果 機器障害時以外で インライン製品の性能低下時も バイパスすることでネットワーク性能を確保できた Paloato処理能力を超えるセキュリティアタック 有 上位モデルへの検討 I3BP-CU3 SW-HUB

20 事例 2 ネットワーク可視化と障害対応 損害保険ジャパン日本興亜株式会社社員数 :26,380 名国内拠点数 :1000 拠点以上 ビジネスを支える大規模ネットワーク営業系 情報系のクラウドサービス (SaaS) 利用や拠点のシンクライアント化で通信量が激増 安定的な通信の維持とパフォーマンス管理がより重要になった ネットワークの可視化 解析システムの利用 運用開始課題 : 効率的なモニタリングポイント設計多数のモニタリング回線のモニタリング障害解析のためパケットロスゼロの仕組み

21 事例2 ネットワーク可視化と障害対応 データセンター データセンター 対応 TAPによるパケロスゼロ環境の準備とモニター ポイントの集約 回線にTAP TP-CU3-ZDを接続し SPANによるパ ケロスを排除 SPANを止め SW-HUB性能確保 TAPをVision5236で集約 Vision5236にnGenius InfiniStream2900を接続 Visionのポート切替で自由にモニタポイント変更 集約することでキャプチャツール台数を最小化 コ ストダウン メインデータ センター Vision5236 TAP TP-CU3-ZD 効果 ngeniusシリーズでネットワーク管理の実現 TAP Vision導入で特定回線のモニタが迅速 容易 TAP導入で障害解析のためのSW-HUB設定変更か らの開放で運用者負荷低減 固定モニタポイントに影響なく追加ポイント設定 InfiniStream ngenius ONE 追加効果 TAP Visionで集約し 見たいポイントを 遠隔から操作可能 センターへの移動 入館手続き等の負荷低減 Visionは操作が容易で時短トレーニングで習得可能 全 国 店 舗

22 事例3 ネットワーク可視化とパケット加工 某銀行 業務系ネットワーク モニタリングはNexus6000シリーズのSPANポート運用 Nexus6000シリーズでSPANポート設定はできない システムA システムB SPANの集約はNexus5000シリーズで行い 10G 8ポートで出力 10G-SR VLAN A ネットワークの可視化 解析システムの利用 課題 既設モニタリングポイントと重複パケット設計 Core SW-HUBは システムごとにVLAN付与 VLANヘッダが 異なる同じパケットが大量に流れる 重複データが再送と判断し 十分な解析が発揮できない 高負荷ポートをSPANするとパケットロスが心配 TX RXそれぞ れでSPAN設定を行うと全てをSPANできない 設定の問題 40GではSPAN設定できない 設定の問題 100GでSPAN設定は性能上心配 性能低下 パケロス NexusでSPANポートのバグがいくつか発生 仕様上の問題 FabricPATHヘッダ MPLS VLANなど複数ヘッダーへの対応 モニターツールは対応可能だが その他ツールは未対応 システムC VLAN B VLAN C 10G-SR Cisco Core SW-HUB ASA Nexus6000 各システム通信はワンアー ム接続のASA経由 システムごとにVLAN_ID 有 Aggregation SW-HUB Nexus5000 パケットモニターツール

23 事例3 ネットワーク可視化とパケット加工 対応 SPANの集約とヘッダーストリッピングによる重複排除 SPANの集約 Vision筐体ポート数まで入力 出力OK FabricPATHストリッピング MPLSストリッピングにも対応済み Vision VLANヘッダストリッピング システムA システムC システムB 10G-SR 効果 FabricPATH削除により解析可能 VLANストリッピング TCP/UDP重複排除でパケット削減効果大 複数セッションに見えていたが 1セッション解析 見やすい Vision導入でCore SW-HUB設定変更から開放 運用者負荷低減 追加効果 Visionでキャプチャポイント 特定パケットを簡単に変更できる VLANストリッピング レイヤ4重複排除で キャプチャパケット減少 複数セッションが1セッション解析 になりシステム全体に余裕ができ 更なポート集約が可能なった コアスイッチの設定変更作業減で システム導入時間削減 検証準備削減と作業ミス低減 高負荷ポート 40G/100G回線はTAPを検討 離線はネックだ が することで 既存SPANポートもTAP利用の検討を開始 集約後のパケットロスをVisionで確認できる VLAN A FlexTAP Cisco Core SW-HUB ASA Nexus6000 FlexTAP 40G LR 各システム通信はワンアー ム接続のASA経由 システムごとにVLAN_ID 有 集約 ヘッダ削除 重複排除 フィルタリング Vision5236 パケットモニターツール

24 事例 4 複数セキュリティ製品とパケット転送 某政府系ネットワーク関西データセンターにセキュリティ基盤に東京拠点の全トラフィックを転送し センターで各種セキュリティ検査を行う IDS IPS 振る舞い検知 Forensic 課題 : 全トラフィックの集約と大量パケットの遠隔転送複数ビルのトラフィックの集約大量の重複パケットの効率的な排除方法どのように大量パケットをパケロス無しに遠隔転送セキュリティツールごとの分配と性能

25 事例 4 複数セキュリティ製品とパケット転送 拠点ビル 10GBASE-LR 50 個 10GBASE-SR 24 個 in 48line out 12line 5288 重複排除 in 36line in4/out4 out 4line Cisco ASR L2TP in 48line out 12line 5288 ネットワーク TAP in 52line out 12line ロードバランス出力 L2 3 重複パケット排除 拠点ビル Vision5288 Vision5288-AFM16MOD 5288 in 4line out?line データセンター Vision5288-AFM16MOD 侵入防御システム Sensor Sensor Sensor 5236 ネットワークフォレンジック

26 事例 4 複数セキュリティ製品とパケット転送 某政府系ネットワーク関西データセンターにセキュリティ基盤に東京拠点の全トラフィックを転送し センターで各種セキュリティ検査を行う IDS IPS 振る舞い検知 Forensic 課題 : 全トラフィックの集約と大量パケットの遠隔転送複数ビル内のトラフィック集約大量の重複パケットの効率的な排除方法どのように大量パケットをパケロス無しに遠隔転送セキュリティツールごとの分配と性能 対応 : 集約 + ロードバランスで重複排除ビルごとの TAP を集約 or 集約 + 重複排除重複排除は 16 ポートロードバランス振分け + 重複排除ロードバランス分散後 再集約 遠隔転送は餅屋 (SW-HUB による L2TP) に任せて安全 + 性能 + 拡張を確保 効果 : ビル間を跨るトラフィックは思った以上に流れており 重複排除効果が高く 転送量が減少 追加効果 : TAP の変更 SPAN 接続 回線スピードの変更など発生するが 操作が簡単機器の性能確保はハードウェア処理 (FPGA) が安心 安全 性能確保 ( ソフトウェアは機能追加や柔軟性は高いけど )

27 完全な可視化ソリューション I X I A S E C U R I T Y F A B R I C ソフトウエアデファインアーキテクチャ 目的に応じたハイパフォーマンステラビット / 秒処理 パテント取得フィルタ容易な GUI IFC SDN ファブリックコントローラ分散構成 & 回復性スケ ラブル 最適な拡張性 仮想環境に完全対応 CloudLens Public コンテナベース センサ事前フィルタによる最適化クラウドネイティブのスケールアウト CloudLens Private ゲストへ瞬時に接続オーケストレーション対応 プライベートパブリッククラウド 高信頼性なセキュリテ監視アーキテクチャ 高信頼性インラインスタンドアロン Bypass 高耐久性 MTBF (A-S) NPB ( アクティブ - アクティブ ) 追加可能な簡単なインライン構成とデプロイ 高パフォーマンス, 高信頼性セキュリティ 高パフォーマンスラットフォーム プ Vision Edge ソフトウエア - デファイン NPB Vision ONE フル HA インライン,AFM / ATIP Vision U 高密度 100G -10/1G 対応 G ポート Bypass HA インライン Bypass VHD, HD 物理データセンタブランチ 物理 TAP 仮想 TAP 生データの分岐高密度 Tap プライベート / パブリック ブランチ サイト データセンタ プライベートアクセス

28 キーサイト テクノロジー社 NetScout 社製品ご支援窓口 プラットフォームソリューション事業部門 IT プロダクト & サービス事業本部ネットワーク部 製品担当営業まで SCSK 株式会社 東京都江東区豊洲 豊洲フロント電話 :