許多人都在問
設(shè)備內(nèi)置旁路功能還需要外部旁路交換機嗎?
在網(wǎng)絡(luò)中設(shè)計內(nèi)聯(lián)安全工具時，引入網(wǎng)絡(luò)旁路技術(shù)是避免昂貴的網(wǎng)絡(luò)停機時間的最佳方法。簡而言之，旁路交換機(也稱為“旁路TAP”)提供了管理內(nèi)聯(lián)工具可用性的能力，即在不斷開網(wǎng)絡(luò)可影響業(yè)務(wù)可用的情況下完成設(shè)備維護或升級。
在不能停機的時候，如果工具發(fā)生故障，旁路交換機可以快速解決問題，繞過故障工具，并保持網(wǎng)絡(luò)正常運行或故障轉(zhuǎn)移到高可用性(HA)解決方案。
管理停機風險：由于串聯(lián)式安全設(shè)備位于網(wǎng)絡(luò)段之間，因此管理停機時間的風險是部署安全設(shè)備時的重要考慮因素。安全團隊通常面臨：
?設(shè)備故障可能會導致網(wǎng)絡(luò)癱瘓
?收入損失
?客戶和公司信任度下降，聲譽受損
為什么要使用外部旁路交換機?
旁路交換機是專門為解決導致網(wǎng)絡(luò)中出現(xiàn)單點故障(SPOF)的“嵌入”式工具的問題而開發(fā)的。如果內(nèi)聯(lián)設(shè)備不可用，則會繞過該設(shè)備，并在發(fā)生故障的工具兩端自動轉(zhuǎn)發(fā)流量。
“研究發(fā)現(xiàn)，廣泛使用外部旁路設(shè)備是最佳實踐。” - EMA [企業(yè)管理協(xié)會]
設(shè)備可能具有內(nèi)部旁路功能，但是添加此功能的成本很高，并且仍然缺外部旁路交換機相關(guān)的關(guān)鍵功能，包括：
?管理隔離-無維護窗口
?操作隔離-加速停機的問題解決，而不會影響網(wǎng)絡(luò)連接
?工具沙箱-測試或部署新工具
?部署效率- 覆蓋多個網(wǎng)段
?網(wǎng)絡(luò)彈性-靈活旁路并保持網(wǎng)絡(luò)正常運行，或故障轉(zhuǎn)移到高可用性[HA]解決方案
?在線升級-在不中斷網(wǎng)絡(luò)的情況下進行設(shè)備的維護或者升級
心跳包監(jiān)視工具運行狀況
心跳數(shù)據(jù)包是一種軟檢測技術(shù)，用于監(jiān)控內(nèi)聯(lián)設(shè)備的運行狀況。旁路TAP無需依賴于網(wǎng)絡(luò)與工具的直接連接，而是經(jīng)過專門設(shè)計用于來回的傳遞心跳數(shù)據(jù)包來檢測所連接設(shè)備的問題。心跳包由旁路交換機添加到數(shù)據(jù)，并且都發(fā)送到串聯(lián)設(shè)備的輸入端口。內(nèi)聯(lián)設(shè)備執(zhí)行其任務(wù)，然后通過心跳將數(shù)據(jù)發(fā)送回旁路交換機。旁路交換機會從數(shù)據(jù)中剝離心跳數(shù)據(jù)，這些數(shù)據(jù)會從TAP中發(fā)送出去并返回到實時網(wǎng)絡(luò)中。
心跳數(shù)據(jù)永遠不會發(fā)送到真實網(wǎng)絡(luò)中。如果未收到從旁路交換機發(fā)送的心跳信號，表明設(shè)備由于某種原因處于脫機狀態(tài)，則交換機將自動旁路該設(shè)備，即使設(shè)備處于脫機狀態(tài)也可以保持網(wǎng)絡(luò)正常運行。這樣就沒有網(wǎng)絡(luò)停機時間也沒有單點故障。
內(nèi)聯(lián)生命周期管理
利用外部旁路交換機，而不依賴于內(nèi)聯(lián)工具中的旁路功能，可提供實現(xiàn)內(nèi)聯(lián)設(shè)備的生命周期管理的獨特功能。從沙箱部署新工具到輕松進行工具進行更新，安裝補丁，進行維護或故障排除以優(yōu)化和驗證，然后再推回內(nèi)聯(lián)，外部旁路交換機迅速成為任何內(nèi)聯(lián)工具的重要補充。
在不影響網(wǎng)絡(luò)可用性的情況下，使用實時數(shù)據(jù)包數(shù)據(jù)在實際環(huán)境中對新工具進行沙箱測試或試運行，從而能夠在將其實時部署到網(wǎng)絡(luò)中之前對其進行帶外評估和優(yōu)化。被測試的工具使用與生產(chǎn)環(huán)境相同的數(shù)據(jù)類型，而不是測試數(shù)據(jù)，從而增加了測試的真實性。
