Решения HP для построения сетевой инфраструктуры Алексей Григорьев Технический консультант, Сетевое подразделение ProCurve Networking by HP, Россия

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

HP представляет работу мини- компьютеров в сети: mini-computer networking (1972) HP изобретает технологию 10Base-T ( ) HP начинает отгрузки первого в индустрии сетевого принтера (1990) HP начинает отгрузки первого в индустрии стекируемого концентратора (1990) HP изобретает сервер печати (print server) (1992) HP представляет Fast IR для мобильных устройств (1994) HP представляет завершённые разработки Gigabit Ethernet physical layer (1996) HP демонстрирует прототип физического уровня 10 Гигабит (10Gig physical layer) (1998) HP EtherTwist HP AdvanceStack Большой вклад в развитие сетевой истории HP ProCurve Hubs & Switches ( с марта 1998 г. ) ProCurve проходит ценовой барьер в $100/порт для коммутаторов 10/100 (1998) ProCurve отгружает первый Gigabit UTP (1999) HP запускает одну из первых в мире сетей Интранет, используя TCP/IP (1979) Основана штаб- квартира ProCurve в г.Розвиль, Калифорния, США (1979) ProCurve завершает разработку стандарта 802.1X Port Access Control (1998) ProCurve завершает разработку стандарта 10GbE Copper (2003) ProCurve представляет архитектуру ProVision ASIC ProCurve завершает разработку LLDP & LLDP-MED (2005) ProCurve Networking by HP

Открытые стандарты В настоящее время ProCurve Networking участвует в более чем 100 рабочих группах по разработке стандартов Лидер Активный участник Наблюдатель Ведущая роль и активный вклад включает в себя участие в IETF, IEEE, TIA, TCG и других форумах Инвестиции ProCurve в стандарты дают нашим клиентам Больше выбора, свободу Увереность в качестве Функциональная совместимость во всех средах

standards leadership IEEE 802.1X Протокол аутентификации портов (Port Authentication Protocol) Trusted Computing Group Авторизация целостности конечного устройства - End Device Compliance Authorization IEEE 802.1AB Project Director, Co-editor Обнаружение устройств и управление IETF Radius Extensions Атрибуты для управления личностно-ориентированным характеристиками - Identity Driven Manager (IDM) Internet-Draft Editor, Technical Advisor Лидерство в разработке открытых стандартов Initiated standard, Key Technical Contributor Initiated standard, Trusted Network Connect Chair IEEE 802.3ak 10Гигабит по меди (10 Gbps Ethernet over Copper) Task Group Chair, Key Technical Contributor IEEE Стандарты коммутируемых сетей Ethernet (Ethernet Switching Standards) Working Group Vice-Chair TIA TR41.4 LLDP-MED Initiated standard, Co-editor Автоматическое обнаружение IP-телефонов и согласование параметров IEEE Стандарты беспроводных сетей (Wireless LAN) Voting member

Series Коммутатор на чипе 4000 Series Шасси по цене стекируемых коммутаторов HP Advancestack Switch 2000 Строим «мост в будущее» #5 in 1999 #4 in 2000 #3 in 2001 HP изобретает 10Base-T 1985 # #11 in 1998 based on Dell Oros worldwide total switched 10/100 Ethernet 4100 Series Технология «Fast path» 5300 Series Коммутато ры 3/4 уровня по цене 2-го уровня ProVision ASIC Скорости носителя Интеллект 5400 Series 3500 Series 6200 Switch Инновации в технологиях ProCurve разработал ProVision ASICs высокоинтегрированная архитектура Разрушение рыночных стереотипов Доступные по цене решения PoE для широкого круга приложений масштабируемое семейство продуктов 8212 Switch NEW ProVision ASIC Отказоустойчивость ProCurve Switch 8212zl ProVision ASIC

Автомобиль - 55 лет Телефон – 35 лет Компьютер - 15 лет Моб. телефон - 13 лет Интернет - 7 лет Количество лет развития продукта, чтобы быть востребованным у 25% населения Инновации ускоряют темпы развития

Скорость изменений увеличивается Конкуренция ужесточается и эволюция становится решающим фактором Бизнес должен построить новое основание для Использования лучших бизнес-процессов Внедрения новых приложений Управления стоимостью и сложностью

Adaptive - Адаптивный - Приспособленный: 1. Используемый в различных условиях: приспособленный для использования в различных условиях 2. Обладающий способностью изменяться, для того чтобы соответствовать различным условиям.

Адаптивня сеть должна быть: Адаптивной к пользователям Адаптивной к приложениям Адаптивной к потребностям компании

Что такое адаптивная сеть? Это целостная и в то же время гибкая сетевая инфраструктура, которая позволяет Вашей организации: Повысить безопасность Увеличить производительность Снизить сложность

Знакомая эволюция … Centralized Distributed Smart Provisioning - ProCurve Adaptive EDGE Architecture Client/Server Computing Distributed Computing Mainframe Computing Hybrid Network Essential Intelligence Intelligence 2 Next Gen Network Optimal Intelligence Fabri c 3 No Intelligence Traditional Core Intelligence 1

Сети сосредоточенные на ядре Каждый коммутатор добавленный на границе увеличивает загрузку «принятием решений» на ядре – вынужденное наращивание мощности Цена/производительность для коммутаторов ядра не линейная – дорогая и неизбежная модернизация Многие решаемые задачи НЕ МОГУТ перепоручаться ядру – не отвечает требованиям критичным ко времени приложений

Adaptive EDGE сети Каждый EDGE-коммутатор добавляет частицу принятия решений – линейное масштабирование и соответствие критичным ко времени приложениям EDGE-коммутаторы границы сети основаны на стандартизованных компонентах – недорогое расширение Коммутаторы ядра становятся проще (layer 2) и отвечают только за гарантию полосы пропускания и управление – снижение цены и сложности

The ProVision ASIC Следующий шаг в технологии ProCurve ACLs/IPv6/BMPL3/L4 FlowsProgrammableHard coded L2Data Path 691 Gbps76.8 Gbps3.8 Gbps120 MbpsThroughput 5400/ Product Family 24 10/ GbE & 16 1GbE 2.5 Million μ 3 th 8 10/100 1 GbE ? μ 2 th /100 ? ? ? μ 1st 24 10/100/ GbE Ports 6 Million μ 4 th Gates Die Size (mm2) Process ASIC Specs Switch On-a-Chip L3/L4 FlowsProgrammableHard coded L2Data Path 76.8 Gbps3.8 Gbps120 MbpsThroughput Product Family 24 10/ GbE & 16 1GbE 2.5 Million μ 3 th 8 10/100 1 GbE ? μ 2 th /100 ? ? ? μ 1st Ports Gates Die Size (mm2) Process ASIC Specs ProgrammableHard coded L2Data Path 3.8 Gbps120 MbpsThroughput Product Family 8 10/100 1 GbE 0.4 Million μ 2 th /100 ? ? ? μ 1st Ports Gates Die Size (mm2) Process ASIC Specs Hard coded L2Data Path 1 GbpsThroughput 2000Product Family / Million μ 1st Ports Gates Die Size (mm2) Process ASIC Specs

ProVision ASIC Cisco 4506 vs ProVision 48 port 10/100/1000

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

Alternative to competitors stackables 10/100 and Gigabit optimized Traditional Edge services Redundant high availability High network scalability Programmable ASIC 10/100 and Gigabit optimized Intelligent Edge services Multi-protocol routing (IP, IPX, AT) Gigabit optimized Wirespeed Layer 4 services Fast Path Technology 10/100 optimized Layer 2 + IP static routes ProVision ASIC, Versatile Intelligent Port Gigabit PoE w/10G uplink optimized Wirespeed Intelligent Edge services 5400 Модульные коммутаторы ProCurve 8200 Resilient high availability Gig/10G balanced L2-L4 features Core-to-Edge Unified Функциональность Цена / производительность

Функциональность Цена / производительность PWR Стекируемые коммутаторы ProCurve для граничного уровня сети PWR

Работа в тишине... БЕСШУМНЫЕ КОММУТАТОРЫ ProCurve Коммутаторы ProCurve серии 1400, 1700, 1800, 2510 и 2810

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

Модуль предоставления беспроводных услуг ProCurve Wireless Edge Services для подключения радио портов Основные возможности: Подключение Plug-and-play Централизованное управление частотными радиоканалами Гостевой доступ Быстрый роуминг клиентов Самовосстановление Встроенная отказоустойчивость Простая масштабируемость Готовность к передаче голосовых данных по WLAN (VoWLAN) Пожизненная гарантия Модуль беспроводных услуг Wireless Edge Services xl Module Интегрированные высокоэффективные проводные и беспроводные услуги, идеально подходящие для корпоративных сетей Радиопорты Коммутатор 5300xl Коммутатор ProCurve Радиопорты

Security IDM policy enforcement –Per user ACLs –VLAN assignment IEEE i, WPA, WPA2 4 BSSIDs / security configurations 802.1X RADIUS auth RADIUS based MAC-auth Web authentication SSH, SSL, Secure FTP for management access Neighboring (rogue) AP detection Management VLAN Network Resiliency Network self-healing –Dynamic channel, power and data rate adjustment Module redundancy VoWLAN Ready - QoS e WMM SpectraLink SVP 802.1p Fast Layer 2 client roaming, load balancing Connectivity Choice of radio deployments –802.11g single radio with integrated antenna –Simultaneous 80211a g dual band with integrated antennas –Simultaneous 80211a g dual band with external antenna option, plenum rated Physical characteristics 802.3af Power over Ethernet For Switch 5300xl Series ProCurve Wireless Edge Services Key Features

Радиопорты для решения ProCurve Wireless Edge Services в рамках решения беспроводного коммутатора ProCurve Радио порты ProCurve Выбор оборудования для различных моделей проектирования беспроводных сетей Radio Port 210 – J9004A Один радиодиаппазон g Встроенная антенна Radio Port 230 – J9006A Два радиодиапазона (802.11a g) Встроенная антенна Radio Port 220 – J9005A Два радиодиапазона (802.11a g) Подвесная установка Требует внешние антенны Для экономичного, стандартного офисного использования, где нет потребности в поддержке клиентов a Для стандартного офисного использования с поддержкой беспроводных клиентов в двух радиостандартах Лучше всего подходит для специфического использования, требующего внешние антенны, или подвесное размещение

Точка доступа ProCurve Access Point новое поколение интеллектуальных продуктов для работы на граничном уровне Интеллектуальная точка доступа ProCurve Intelligent Edge Access Point 530 Основные возможности: Централизованное управление сетью Встроенный RADIUS –Для локальной идентификации и/или –Перехват управления при отказе удаленного объекта QoS и готовность к передаче голосовых данных (VoWLAN) Максимальная гибкость при развертывании –Интегрированные антенны на 2,4 ГГц и 5 ГГц –Возможность подключения внешних антенн Пожизненная гарантия Высокоинтеллектуальная автономная точка доступа, идеально подходящая для распределенных объектов

Security IDM policy enforcement –Per user ACLs –VLAN assignment –Rate limiting IEEE i, WPA, WPA2 16 SSIDs / security configurations Secure, local RADIUS authentication for standalone or fallback authentication support 802.1X RADIUS auth RADIUS and local MAC-auth SSH, SSL, Secure FTP for management access Neighboring (rogue) AP detection Management VLAN QoS e WMM SpectraLink SVP 802.1p Connectivity Dual radio design –Simultaneous a + g or dual 2.4GHz operation Integrated antenna design plus per radio external antenna connectors Wireless bridging; a or b/g modes Physical characteristics 802.3af Power over Ethernet, local AC to DC power Intelligent Edge Access Point ProCurve Access Point 530 Key Features

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

Обычные вопросы системного администратора? Что творится в моей сети? Почему сеть так медленно работает? Кто «занял» всю полосу пропускания? Какие приложения используют пользователи? Как я узнаю что мою сеть атакуют? Как я могу предугадать где и когда будет проблема?

Управление сетью без полной информации процессах в сети, «в слепую» догадки Network productivity impacted by slow response to network problems Reactive network changes can cause significant business impact Labor intensive resolutions requiring CLI expertise = high cost Принятие решения «на угад» «Беготня» вокруг с анализатором протоколов при возникновении проблем Принятие решения основано на частичных данных эксперементы

Ответ – мониторинг трафика и его контроль ! Полная информация о поведении сети –Производительность приложений –Использование полосы пропускания –Приоритезация и контроль трафика Осведомлённость о тенденциях на сети и её проблемах

RMON RMON II SMON EASE / XRMON Netflow / IETF IPFIX sFlow Технологии мониторинга трафика

Промышленный стандарт для мониторинга траффика в сложных, многоуровневых сетях с коммутацией и маршрутизацией Уровень доступа Дистрибуция Ядро ЦОД Централизо- ванное Управление Интранет Интернет Измерения доступны на каждом порту, всё время = сеть видна целиком и «прозрачна» sFlow

sFlow vs Cisco NetFlow NetFlow gives partial visibility Monitors routed L3 traffic only Insufficient detail for effective management or security analysis NetFlow significantly impacts switch performance –Cisco recommends monitoring of key interfaces only Complex configuration sFlow can and should be enabled everywhere sFlow monitors all traffic L2-L7, switched and routed, at the edge Detailed data supports many applications Negligible switch and network performance impact Simple configuration with sFlow MIB

Switching ASIC 1 in N sampling sFlow в действии packet headersrc/dst i/fsampling parmsforwardinguser IDURLi/f counters Агент sFlow forwarding tables interface counters sFlow Datagram eg 128Brate pool src 802.1p/Q dst 802.1p/Q next hop src/dst mask AS path communities localPref src/dst Radius TACACS Коллектор и анализатор sFlow Коммутатор / Маршрутизатор

«Прозрачная сеть» с с данными на каждом порту коммутатора, поступающими всё время Коллектор / Анализатор sFlow sFlow Сервер Wired PC sFlow Сервер

PCM+: Traffic monitor

VLAN Legend PCM+: Traffic monitor

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

Проблемы безопасности Мне нужно предотвратить доступ неавторизированных пользователей Я бы не хотел подключать к сети компьютеры с вирусами Мне нужно оперативно знать когда атакуется наша сеть Мне нужно динамически управлять правами доступа и полосой пропускания Мне нужно защитить конфиденциальный трафик сети Сложность управления и конфигурирования больших сетей Безопасность удаленного доступа и пользователей Сложность ручного обновления рабочих станций У меня много мобильных пользователей. Как защитить ресурсы

Безопасность сети 14 Проактивная защита Архитектура Adaptive EDGE Контроль Доступа Иммунитет Сети Защищенная Инфраструктура

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

802.1X Supplic ant 802.1X Authenticator Policy Enforcement Point (PEP) Switch or Access Point RADIUS Server IDM Agent PCM / IDM Server Authentication Directory Active Directory LDAP Authentication Server Network Mgmt Server ProCurve owned MAC-Auth Web-Auth MAC Address HTTP Request 3 rd Party Software Решение по безопасности х

Identity Driven Manager Динамическая установка параметров безопасности, доступа и производительности на основании пользователя, местоположения, времени, и теперь статуса «целостности» клиента Простое создание и управление группами пользовательских правил (политик доступа) для оптимизации производительности сети и повышения продуктивности пользователей, а также повышения общей эффективности (соответствующий доступ каждому) На основании прописанных правил будут установлены параметры сети для обеспечения желаемой функциональности VLAN Bandwidth Limit Time Location QoS Device ID Client Integrity Status Установка значений => На основании => ACLs User ID

Интернет Гость Сотрудник Ненадежный сотрудник Доступ только к Интернет Корпоративная сеть Доступ к Интернет и корпоративным серверам Доступ только кисправительно му Anti-Virus Server Граничный коммутатор исправительный Anti-Virus Server Корпоративный сервер Сервер Политик доступа Conference Room Администратор сети 1. Управляет группами политик доступа и задает правила и профайлы: Задает правила Время Местоположение ID устройства Client integrity status Для корректировки каждого профайла ACL VLAN QoS BW limit 2. Вносит пользователей в соответствующую группу политик доступа New Identity Driven Manager Как это работает

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

Мощнейшее решение самой острой и наболевшей проблемы всех CIO и системных администраторов в мире: Больше защиты, обнаружения и мгновенное реагирование с интегрированным решением Virus Throttling Больше защиты в локальной сети (LAN)

ProCurve 5300xl Software Release 3 The Virus Problem … Антивирусные программы служат для защиты от вирусов Это помогает, но они не могут опознать day zero угрозы Day zero, вирусы типа «червь» размножаются очень быстро и наносят массу вреда Множество инфицированных компьютеров Перегрузка и блокировка сети Примеры вирусов SQLSlammer Sasser 05:29 Jan 25 – 0 infected 06:00 Jan 25 – infected

ProCurve интегрированный Virus Throttling КАК это работает Вирус распространяется от зараженной машины быстро контактируя с другими машинами (SQLSlammer: >800/sec) Здоровые машины подключаются к меньшему количеству машин и значительно реже (1/sec) Решение: ограничитель частоты на контакты с другими машинами Как только червь попытается распространиться, 5300 обнаружит аномальное поведение «Удушение» трафика от инфицированной машины на границы VLAN позволяет значительно замедлить распространение вируса… или … Предотвращение маршрутизации всего трафика от инфицированной машины на другие части сети Virus Throttling Built In ProCurve 5300xl Switch Virus Immediate machine speed response limits spread of virus until human action can be taken Anomalous behavior detection

© Adapted from 1995–2005 statistics by Carnegie Mellon University Note: Incidents are no longer counted by CERT because they have become commonplace. Source: David Moore, Caida.org Ежегодное увеличение обнаруженных уязвимостей и инцедентов

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

Внутренние угрозы Это до 80% всех угроз 98% компаний используют Firewall для защиты периметра сети Внешние и внутренние угрозы

Network Immunity – Архитектура Решения Suspect Traffic Sampled traffic (sFlow) / Virus Throttle Alerts Security Alerts First Response External Security Devices ProCurve NI Manager Security Activity Dashboard Location based Policy Enforcement Built-in Network Behavior Anomaly Detection (NBAD) Alert Suppression Offender Tracking Security Heat Map Threat Mitigation Reporting Inline Prevention Passive Detection UTM Quarantine Bandwidth Rate limiting Attacker MAC lockout Attacker Port Shutdown Copy suspicious traffic to IDS Alert Notification ProCurve Network Edge Second Response Edge Defense

Network Immunity Dashboard

NI Heat Map Mapping by Severity Total Security Alerts by Severity: Critical Major Minor Warning

NI Security Activity Tab Offenders

Типы атак от которых Network Immunity Manager защищает Zero-day virus or worm attacks –For example, similar to: –SQL Slammer –Code Red –Sasser –MS Blaster Protocol Anomalies –For example, similar to: –Land attack –UDP Flood –UDP Bomb Reconnaissance before an attack –For example, similar to: –Port scanning –fPing –Superscan –Nmap Network Based attacks –For example, similar to: –DNS Tunneling –Smurf –IP Spoofing Anomalous Packet Size –For example, similar to: –Ping-of-death –Nmap –Netcat

Аналогия: безопасность при авиаперелётах Проверка личности Сканирование на соответствие Мониторинг поведения Изолирование подозритель- ных субъектов Контроль Доступа GATE 37 Pilot Co-Pilot

Управление доступом Защита инфраструктуры GATE 37 Определение Пользователей Динамическое Применение VLAN, ACLs на основании политик Оценка целостности Мониторинг Состояния Сети Предупреждения Аномалии Анализ трафика Автоматически изолировать угрозы на основании политик Карантин Снижение полосы пропускания Pilot Co-Pilot ProCurve - Решение по безопасности

План О сетевом подразделении ProCurve Networking by HP Широкая линейка сетевых продуктов ProCurve Решения для беспроводных сетей Технологии мониторинга трафика: sFlow Технологии защиты сети: ProActive Defense Access control: IDM Virus Throttling Network Immunity Заключение

Преимущества НР Бесплатные обновления программного обеспечения (firmware) для всех коммутаторов Бесплатное программное обеспечение для управления сетью HP ProCurve Manager Интуитивный, лёгкий в использовании пользовательский интерфейс Авто-обнаружение устройств, карты топологии, запуск веб-агента Автопредупреждения и рекомендации по устранению неполадок Пожизненная гарантия Бесплатная пожизненная гарантия* на весь срок владения оборудованием с заменой на следующий рабочий день! Без «подводных камней» - на весь период владения устройством, распространяется в т.ч. на все модули, вентиляторы, источники питания Высочайший показатель времени наработки на отказ (MTBF от до часов(>36 лет!)) *Все продукты – кроме серий 8100fl, 9300m, и 700wl

Преимущества HP ProCurve: Самая низкая стоимость владения (TCO) HP ProCurve 5300xl series 3Com switch 4005 Cisco Catalyst 3750 switch

ProCurve Networking by HP Григорьев Алексей Технический консультант, Сетевое подразделение ProCurve Networking by HP, Россия Хьюлетт-Паккард Россия, Москва Космодамианская наб., 52, строение 1 Тел.(495) Эл.