Решения HP для построения сетевой инфраструктуры

Решения HP для
построения сетевой
инфраструктуры
Алексей Григорьев
Технический консультант,
Сетевое подразделение
ProCurve Networking by HP,
Россия
Совещание 2008
- контроль использования инфраструктуры (bit torrent,
одноклассники, видео….)
- требование к надежности оборудования
- дефицит человеческих ресурсов для эксплуатации
- ограниченные бюджеты требуют задуматься об
экономии
- экономия приведет к сокращению бюджета в будущем
План
• О сетевом подразделении ProCurve Networking by HP
• Широкая линейка сетевых продуктов ProCurve
• Решения для беспроводных сетей
• Технологии мониторинга трафика: sFlow
• Технологии защиты сети: ProActive Defense
 Access control: IDM
 Virus Throttling
 Network Immunity
• Заключение
Большой вклад в развитие сетевой
истории
ProCurve
представляет
ProCurve отгружает
архитектуру ProVision
первый Gigabit UTP
ASIC
(1999)
ProCurve завершает
разработку
ProCurve завершает
LLDP & LLDP-MED
разработку стандарта
(2005)
802.1X Port Access
Control (1998)
HP представляет
Fast IR для
мобильных
устройств
(1994)
HP изобретает
сервер печати
HP начинает (print server)
отгрузки
(1992)
первого в
(с марта 1998 г.)
индустрии
сетевого
принтера
ProCurve завершает
(1990)
разработку
стандарта 10GbE
Copper (2003)
ProCurve проходит
HP представляет
HP демонстрирует ценовой барьер в
HP начинает завершённые разработки
прототип
$100/порт
отгрузки первого в Gigabit Ethernet
физического
уровнядля коммутаторов
индустрии
physical layer
10 Гигабит (10Gig
10/100
стекируемого
(1996)
physical layer)
(1998)
концентратора
(1998)
(1990)
HP ProCurve
Hubs & Switches
ProCurve
Networking by HP
HP
AdvanceStack
HP
EtherTwist
HP изобретает
технологию 10Base-T
(1985-87)
Основана штабквартира ProCurve в
г.Розвиль,
Калифорния, США
(1979)
HP запускает одну из
первых в мире сетей
Интранет, используя
TCP/IP
(1979)
HP представляет
работу миникомпьютеров в сети:
mini-computer
networking (1972)
Лидерство в разработке открытых
стандартов
IEEE 802.1
Стандарты коммутиремых сетей Ethernet
(Ethernet Switching Standards)
standards leadership
IEEE 802.3ak
10Гигабит по меди
(10 Gbps Ethernet over Copper)
IEEE 802.1X
Протокол аутентификации портов
(Port Authentication Protocol)
Trusted Computing Group
Авторизация целостности конечного устройства
- End Device Compliance Authorization
IETF Radius Extensions
Атрибуты для управления личносто-ориентироваными
характеристиками - Identity Driven Manager (IDM)
IEEE 802.11
Working Group Vice-Chair
Task Group Chair, Key
Technical Contributor
Initiated standard, Key
Technical Contributor
Initiated standard, Trusted
Network Connect Chair
Internet-Draft Editor,
Technical Advisor
Voting member
Стандарты беспроводных сетей (Wireless LAN)
IEEE 802.1AB
Project Director, Co-editor
Обнаружение устройств и управление
TIA TR41.4 LLDP-MED
Автоматическое обнаружение IP-телефонов и
согласование параметров
Initiated standard, Co-editor
ProCurve Switch 8212zl
ProVision ASIC
ProVision ASIC
Скорости носителя
Интеллект
#3 in
2001
ProVision ASIC
Отказоустойчивость
#2
20032007
Коммутато
ры 3/4
уровня по
цене 2-го
уровня
NEW
5400 Series
Технология
«Fast path»
3500 Series
5300 Series
#4 in
2000
8212 Switch
6200 Switch
4100 Series
2500 Series
Инновации в технологиях
• ProCurve разработал ProVision ASICs
Коммутатор
на чипе
• высокоинтегрированная архитектура
Разрушение рыночных стереотипов
• Доступные по цене решения PoE для
широкого круга приложений
• масштабируемое семейство продуктов
#5 in
1999
#11
in
1998
Шасси по цене
стекируемых
коммутаторов
4000 Series
Строим
«мост в
будущее»
HP Advancestack
Switch 2000
HP
изобретает
10Base-T
1985
based on Dell Oro’s worldwide total switched 10/100 Ethernet
7
HP, игрок N2 на рынке управляемых
коммутаторов ЛВС
IN Q207:
HP is #2 vendor in revenue
HP is #2 vendor in ports shipment for the managed
segment with 15 % market share
# 2 in Modular
Switches (Chassis)
Managed ports shipments
Alcatel
2% ATI
D-Link
2%
Netgear 3%
Nortel 3%
5%
3Com
8%
Others
6%
5 x bigger than Nortel
# 2 in Layer 3
Switches
Cisco
55%
HP
15%
2.8 x bigger than # 3 3Com
IDC, 08/07
European figures (EMEA)
Ethernet switch market. Managed Ports shipments
8
Momentum for Procurve Networking
Q4 2006 position by country
16%
12%
8%
4%
06Q2
05Q3
04Q4
04Q1
0%
01Q1
MKT
share
45%
35%
32%
22%
21%
20%
20%
18%
16%
16%
16%
15%
15%
12%
12%
11%
11%
9%
8%
8%
7%
6%
15%
98Q1
Country
Finland
Norway
Denmark
Netherlands
Portugal
France
Turkey
SouthAfrica
Italy
Austria
Sweden
Grand Total
Germany
Switzerland
Russia
Poland
Spain
Israel
Belgium
CzechRepublic
UnitedKingdom
Hungary
Grand Total
ProCurve
rank
1
2
2
2
2
2
2
2
2
2
2
2
2
2
3
3
3
3
3
3
2
3
2
IDC, 03/07
European figures
Ethernet switch market
10
Некоторые заказчики
International Space Station (EADS)
SAP
Kodak
Hilton Hotels
Isbank (Turkish bank)
Microsoft (MTC)
Renault (REA Group)
CERN
Cambridgeshire County Council
The British Library
University of Bath
Sahlgrenska University Hospital
12
Крупнейшая в мире физическая
лаборатория
“CERN is continually evaluating
innovative technologies, such as the
new ProCurve 5400, to help facilitate
our research and productivity. We like
working with vendors such as ProCurve
Networking, who are flexible enough to
do this with us. We also like the idea of
having more ‘Intelligence at the Edge’
of the network, so the 5400, as part of
the Adaptive EDGE Architecture, is in
line with our campus strategy.”
David Foster, Communications,
Systems and Networking Group
Leader at CERN
ProCurve Networking by HP
строит ЛВС в космосе
“To put it simply,
ProCurve was the only
networking vendor whose
switches offered us the level
of reliability and performance
required to handle the
intense demands on board
Columbus.”
Rolf Schmidhuber
Columbus data management system
technology team leader for EADS ST
14
и еще один ...
Знакомая эволюция …
Mainframe
Computing
Client/Server
Computing
Distributed
Computing
Distributed
Centralized
Traditional Core
Hybrid Network
Intelligence
Essential
Intelligence
Next Gen Network
Fabri
c
1
No
Intelligence
2
Intelligence
3
Optimal
Intelligence
Smart Provisioning - ProCurve Adaptive EDGE Architecture
Сети сосредоточенные на ядре
Каждый коммутатор
добавленный на границе
увеличивает загрузку
«принятием решений» на
ядре – вынужденное
наращивание мощности
Цена/производительность
для коммутатров ядра не
линейная – дорогая и
неизбежная модернизация
Многие решаемые задачи
НЕ МОГУТ перепоручаться
ядру – не отвечает
требованиям критичным ко
времени приложений
Adaptive EDGE сети
Каждый EDGE-коммутатор
добавляет частицу “принятия
решений” – линейное
масштабирование и
соответствие критичным ко
времени приложениям
EDGE-коммутаторы границы
сети основаны на
стандартизованых
компонентах – недорогое
расширение
Коммутаторы ядра становятся
проще (layer 2) и отвечают
только за гарантию полосы
пропускания и управление –
снижение цены и сложности
The ProVision ASIC
Следующий шаг в технологии ProCurve
1996
1997
1998
1998
1999
2000
2001
2002
2003
2004
2005
2006
Switch
On-a-Chip
ASIC Specs
1st
2th
3th
4th
Product Family
2000
4000
5300
5400/3500
Process
0.5μ
?μ
0.35μ
0.25μ
0.13μ
88
?
105
272
273
0.08 Million
?
0.4 Million
?
2.5 Million
6 Million
Hard coded L2
Programmable
L3/L4 Flows
ACLs/IPv6/BMP
120
1 Gbps
Mbps
3.8 Gbps
76.8 Gbps
691 Gbps
4 10
8 10/100
24 10/100
24 10/100/1000
1 10/100
1 GbE
4 1GbE & 16 1GbE
4 10 GbE
Die Size (mm2)
Gates
Data Path
Throughput
Ports
ProVision ASIC
Competition
vs
ProVision
48 port 10/100/1000
26
План
• О сетевом подразделении ProCurve Networking by HP
• Широкая линейка сетевых продуктов ProCurve
• Решения для беспроводных сетей
• Технологии мониторинга трафика: sFlow
• Технологии защиты сети: ProActive Defense
 Access control: IDM
 Virus Throttling
 Network Immunity
• Заключение
Модульные коммутаторы ProCurve
9300
• Multi-protocol routing (IP, IPX, AT)
• Gigabit optimized
• Wirespeed Layer 4 services
8200 • Resilient high availability
Функциональность
• Gig/10G balanced
• L2-L4 features
• Core-to-Edge Unified
8100
5400
5300
4200
4100
• Redundant high availability
• High network scalability
• ProVision ASIC, Versatile Intelligent Port
• Gigabit PoE w/10G uplink optimized
• Wirespeed Intelligent Edge services
• Programmable ASIC
• 10/100 and Gigabit optimized
• Intelligent Edge services
• Alternative to competitors stackables
• 10/100 and Gigabit optimized
• Traditional Edge services
• Fast Path Technology
• 10/100 optimized
• Layer 2 + IP static routes
Цена / производительность
28
Стекируемые коммутаторы ProCurve
для граничного уровня сети
3500-PWR
2900
Функциональность
2800
2810
2600-PWR
2600
2500
2510
1800
1700
1400
Цена / производительность
БЕСШУМНЫЕ КОММУТАТОРЫ ProCurve
Коммутаторы ProCurve
серии 1400, 1700, 1800,
2510 и 2810
Работа в тишине...
План
• О сетевом подразделении ProCurve Networking by HP
• Широкая линейка сетевых продуктов ProCurve
• Решения для беспроводных сетей
• Технологии мониторинга трафика: sFlow
• Технологии защиты сети: ProActive Defense
 Access control: IDM
 Virus Throttling
 Network Immunity
• Заключение
Точка доступа ProCurve Access Point 530 новое поколение интеллектуальных продуктов для
работы на граничном уровне
Основные возможности:
• Централизованное управление сетью
• Встроенный RADIUS
– Для локальной идентификации и/или
– Перехват управления при отказе
удаленного объекта
• QoS и готовность к передаче голосовых данных
(VoWLAN)
• Максимальная гибкость при развертывании
– Интегрированные антенны на 2,4 ГГц и 5
ГГц
– Возможность подключения внешних
антенн
• Пожизненная гарантия
Интеллектуальная точка
доступа ProCurve
Intelligent Edge Access
Point 530
Высокоинтеллектуальная автономная точка доступа,
идеально подходящая для распределенных объектов
Модуль предоставления беспроводных
услуг ProCurve Wireless Edge Services для
подключения радиопортов
Основные возможности:
• Подключение Plug-and-play
• Централизованное управление
частотными радиоканалами
• Гостевой доступ
Модуль беспроводных услуг
Wireless Edge Services xl Module
• Быстрый роуминг клиентов
Коммутатор 5300xl
• Самовосстановление
• Встроенная отказоустойчивость
Радиопорты
• Простая масштабируемость Коммутатор ProCurve
• Готовность к передаче
голосовых данных по WLAN
(VoWLAN)
• Пожизненная гарантия
Радиопорты
Интегрированные высокоэффективные проводные и
беспроводные услуги, идеально подходящие для
корпоративных сетей
План
• О сетевом подразделении ProCurve Networking by HP
• Широкая линейка сетевых продуктов ProCurve
• Решения для беспроводных сетей
• Технологии мониторинга трафика: sFlow
• Технологии защиты сети: ProActive Defense
 Access control: IDM
 Virus Throttling
 Network Immunity
• Заключение
Обычные вопросы системного
администратора?
Что творится в моей сети?
Почему сеть так медленно
работает?
Кто «занял» всю полосу
пропускания?
Какие приложения используют
пользователи?
Как я узнаю что мою сеть
атакуют?
Как я могу предугадать где и
когда будет проблема?
Промышленный стандарт для мониторинга
траффика в сложных, многоуровневых сетях с
коммутацией и маршрутизацией
Измерения доступны на каждом порту, всё время =
сеть видна целиком и «прозрачна»
sFlow в действии
Коммутатор /
Маршрутизатор
forwarding
tables
Агент
sFlow
interface
counters
Switching
ASIC
1 in N
sampling
sFlow Datagram
packet header
eg 128B
src/dst i/f
sampling parms
rate
pool
forwarding
src 802.1p/Q
dst 802.1p/Q
next hop
src/dst mask
AS path
communities
localPref
user ID
URL
i/f counters
src/dst
Radius
TACACS
Коллектор и анализатор
sFlow
«Прозрачная сеть» с
с
данными на каждом порту
коммутатора, поступающими всё
sFlow
время
sFlow
sFlow
sFlow
sFlow
Сервер
Сервер
Wired PC
Коллектор /
Анализатор sFlow
www.sflow.org
План
• О сетевом подразделении ProCurve Networking by HP
• Широкая линейка сетевых продуктов ProCurve
• Решения для беспроводных сетей
• Технологии мониторинга трафика: sFlow
• Технологии защиты сети: ProActive Defense
 Access control: IDM
 Virus Throttling
 Network Immunity
• Заключение
Решение по безопасности 802.1х
Authentication
Server
HTTP Request
Web-Auth
MAC Address
MAC-Auth
802.1X
802.1X
Supplic
Supplicant
ant
Authentication
Directory
hp procurve
switch 5304xl
J4850A
Status
Reset
Console
1
2
Clear Self Fan Power
Test
A
B
C
D
E
Modules
F
G
H
Act FDx Max !
LED Mode Select
Use xl modules only
Power
Fault
A
B
C
D
802.1X Authenticator
RADIUS
Server
IDM Agent
Policy Enforcement Point (PEP)
Switch or Access Point
ProCurve
owned
3rd Party
Software
PCM / IDM
Server
Network Mgmt
Server
Active Directory
LDAP
Identity Driven Manager
Как это работает
Администратор
сети
Conference Room
Интернет
Доступ только к
Интернет
Доступ к
Интернет и
корпоративным
серверам
Доступ только к
“исправительно
му”
Anti-Virus
Server
Гость
Сотрудник
“Ненадежный”
сотрудник
Conference Room
1. Управляет группами
политик доступа и задает
правила и профайлы:
• Задает правила
Корпоративная
• Время
сеть
• Местоположение
• ID устройства
Корпоративный
• Client integrity status
сервер
• Для корректировки
каждого профайла
• ACL
• VLAN
• QoS
“исправительный”
• BW limit
Anti-Virus
2. Вносит пользователей в
Server
соответствующую группу
политик доступа
Граничный
коммутатор
Сервер
Политик
доступа
Identity Driven Manager
•
Динамическая установка параметров безопасности, доступа и
производительности на основании пользователя, местоположения,
времени, и теперь статуса «целостности» клиента
•
Простое создание и управление группами пользовательских правил
(политик доступа) для оптимизации производительности сети и
повышения продуктивности пользователей, а также повышения общей
эффективности (соответствующий доступ каждому)
•
На основании прописанных правил будут установлены параметры сети
для обеспечения желаемой функциональности
Установка
значений =>
VLAN
На основании =>
User
ID
Bandwidth
Limit
Device
ID
QoS
Time
ACLs
Location
Client
Integrity
Status
План
• О сетевом подразделении ProCurve Networking by HP
• Широкая линейка сетевых продуктов ProCurve
• Решения для беспроводных сетей
• Технологии мониторинга трафика: sFlow
• Технологии защиты сети: ProActive Defense
 Access control: IDM
 Virus Throttling
 Network Immunity
• Заключение
ProCurve 5300xl Software Release 3
The
Virus Problem …
Антивирусные программы
служат для защиты от вирусов
05:29 Jan 25 – 0 infected
• Это помогает, но они не могут
опознать “day zero” угрозы
Day zero, вирусы типа «червь»
размножаются очень быстро и
наносят массу вреда
• Множество инфицированных
компьютеров
• Перегрузка и блокировка сети
Примеры вирусов
• SQLSlammer
• Sasser
06:00 Jan 25 – 74855 infected
ProCurve интегрированный Virus Throttling
КАК это работает
Вирус распространяется от зараженной машины быстро
контактируя с другими машинами (SQLSlammer: >800/sec)
Здоровые машины подключаются к меньшему количеству машин и
значительно реже (1/sec)
Решение: ограничитель частоты на контакты с другими машинами
• Как только червь попытается распространиться, 5300 обнаружит
аномальное поведение
• «Удушение» трафика от инфицированной машины на границы VLAN
позволяет значительно замедлить распространение вируса… или …
• Предотвращение маршрутизации всего трафика от инфицированной
машины на другие части сети
ProCurve
5300xl Switch
Virus
Immediate machine speed
response limits spread of virus
until human action can be taken
Anomalous
behavior detection
Virus
Throttling
Built In
Ежегодное увеличение обнаруженных
уязвимостей и инцедентов
Зафиксированные инцеденты
Обнаруженные уязвимости
9000
160000
8000
8064
140000
7000
6000
5000
137529
120000
5990
100000
4129
82094
80000
4000
3780
60000
40000
20000
2412
2573
2134
3734
9859
20
05
20
04
20
03
19
99
0
19
98
5
4
3
2
1
0
9
8
7
6
6
20
0
20
0
20
0
20
0
20
0
20
0
20
0
19
9
19
9
19
9
19
9
19
9
5
0
21756
19
97
417
262
19
95
311
345
171
19
96
1090
1000
52658
20
01
2000
20
00
2437
20
02
3784
3000
Note: Incidents are no longer counted by CERT
because they have become commonplace.
© Adapted from 1995–2005 statistics by Carnegie Mellon University
Source: David Moore, Caida.org
План
• О сетевом подразделении ProCurve Networking by HP
• Широкая линейка сетевых продуктов ProCurve
• Решения для беспроводных сетей
• Технологии мониторинга трафика: sFlow
• Технологии защиты сети: ProActive Defense
 Access control: IDM
 Virus Throttling
 Network Immunity
• Заключение
Внешние и внутренние угрозы
98% компаний используют Firewall
для защиты периметра сети
Внутренние угрозы
Это до 80% всех угроз
Network Immunity – Архитектура Решения
ProCurve NI Manager
• Security Activity Dashboard
• Location based Policy Enforcement
• Built-in Network Behavior Anomaly
Detection (NBAD)
• Alert Suppression
• Offender Tracking
• Security Heat Map
• Threat Mitigation
• Reporting
Second Response
Edge Defense
•
•
•
•
•
•
•
Quarantine
Bandwidth Rate limiting
Attacker MAC lockout
Attacker Port Shutdown
Copy suspicious traffic to IDS
Email Alert
Notification
First Response
• Inline Prevention
• Passive Detection
• UTM
Suspect Traffic
ProCurve
Network Edge
External
Security Devices
Типы атак от которых Network
Immunity Manager защищает
• Zero-day virus or worm attacks
– For example, similar to:
• Network Based attacks
– For example, similar to:
– SQL Slammer
– DNS Tunneling
– Code Red
– Smurf
– Sasser
– IP Spoofing
– MS Blaster
• Anomalous Packet Size
• Protocol Anomalies
– For example, similar to:
– For example, similar to:
– Ping-of-death
– Land attack
– Nmap
– UDP Flood
– Netcat
– UDP Bomb
• Reconnaissance before an attack
– For example, similar to:
– Port scanning
– fPing
– Superscan
– Nmap
Аналогия: безопасность при
авиаперелётах
Проверка
личности
Сканирование
на
соответствие
Контроль
Доступа
GATE
37
Мониторинг Изолирование
поведения подозрительных субъектов
Pilot
Co-Pilot
ProCurve - Решение по безопасности
Управление доступом
Защита инфраструктуры
GATE
37
Pilot
Определение
Оценка
Пользователей целостности
Динамическое
Применение
VLAN, ACLs на
основании
политик
Co-Pilot
Мониторинг
Состояния
Сети
Автоматически
изолировать
угрозы на
основании
Предупреждения
политик
Аномалии
Анализ трафика
Карантин
Снижение полосы
пропускания
План
• О сетевом подразделении ProCurve Networking by HP
• Широкая линейка сетевых продуктов ProCurve
• Решения для беспроводных сетей
• Технологии мониторинга трафика: sFlow
• Технологии защиты сети: ProActive Defense
 Access control: IDM
 Virus Throttling
 Network Immunity
• Заключение
Преимущества НР
Бесплатные обновления программного обеспечения (firmware) для
всех коммутаторов
Бесплатное программное обеспечение для управления сетью
HP ProCurve Manager
• Интуитивный, лёгкий в использовании пользовательский интерфейс
• Авто-обнаружение устройств, карты топологии,
запуск веб-агента
• Автопредупреждения и рекомендации по устранению неполадок
Пожизненная гарантия
• Бесплатная пожизненная гарантия* на весь срок владения оборудованием с
заменой на следующий рабочий день!
• Без «подводных камней» - на весь период владения устройством, распространяется
в т.ч. на все модули, вентиляторы, источники питания
• Высочайший показатель времени наработки на отказ (MTBF от 79 000 до 319 000
часов(>36 лет!))
*Все продукты – кроме серий 8100fl, 9300m, и 700wl
Приверженность качеству и
надежности позволяет ProCurve
предлагать лучшую в индустрии
пожизненную гарантию
♦ For as long as you own the product, with next-business-day advance replacement
(available in most countries). For details, refer to the ProCurve Software Licence,
Warranty and Support booklet at www.procurve.eu/warranty
73
Совещание 2008
- контроль использования инфраструктуры (bit torrent,
одноклассники, видео….)
- требование к надежности оборудования
- дефицит человеческих ресурсов для эксплуатации
- ограниченные бюджеты требуют задуматься об
экономии
- экономия приведет к сокращению бюджета в будущем
www.procurve.com
www.hp.ru/network
Григорьев Алексей
Технический консультант,
Сетевое подразделение ProCurve Networking by HP, Россия
Хьюлетт-Паккард
115054 Россия, Москва
Космодамианская наб., 52, строение 1
Тел.
(495) 797-3500
Эл. почта
alexey.grigoriev@hp.com