Сетевая безопасность

Платформы Mini-ITX для сетевой безопасности: брандмауэры и шлюзы

Наши платформы Mini-ITX с поддержкой нескольких сетей LAN обеспечивают работу устройств, таких как брандмауэры, VPN, SD-WAN, безопасные шлюзы, средства сегментации сети и устройства обеспечения безопасности на периферии, для которых необходимо проводить комплексную проверку топологии Ethernet, вычислительной нагрузки, прошивки, питания, теплового режима и жизненного цикла.

Ознакомьтесь с сетевыми платформами Предложение по сетевой безопасности для платформы Mini-ITX
Платформа Mini-ITX для обеспечения сетевой безопасности, предназначенная для установки брандмауэров и шлюзов

Безопасность в масштабе начинается с контроля на уровне совета директоров

Постройте аппаратное обеспечение на основе архитектуры устройств безопасности

Аппаратное обеспечение брандмауэра и шлюза следует выбирать с учетом всего пути прохождения трафика, а не исходя исключительно из количества локальных сетей. Перед фиксацией спецификации платы необходимо определить каналы связи с верхним уровнем, зоны безопасности, целевое программное обеспечение, зашифрованные рабочие нагрузки, системы хранения данных, средства управления микропрограммой, источник питания, тепловые ограничения и ожидаемый срок службы.

Центры обработки данных и виртуализация → Облачные вычисления → Инженерная валидация →

Разработано для реальных устройств безопасности

Где находят применение платформы Mini-ITX с поддержкой нескольких сетей LAN

Сетевые платформы формата Mini-ITX пригодятся в тех случаях, когда компактному устройству требуется наличие нескольких независимых интерфейсов, локальных вычислительных ресурсов, контролируемого поведения микропрограммы, хранилища данных, а также определённой схемы питания и теплового режима.

Брандмауэр и устройство UTM

Используйте отдельные интерфейсы для сетей WAN, доверенной локальной сети (LAN), зоны DMZ, сетей управления, мониторинга или сервисных сетей при проверке контроллера сетевой карты, драйверов, маршрутизации, нагрузки, связанной с проверкой трафика, и теплового бюджета.

VPN и шлюз SD-WAN

Системы с несколькими каналами восходящей связи могут объединять основные и резервные несущие, защищенные туннели, политики маршрутизации, локальные службы и удаленное управление, если ресурсы ЦП, памяти, сетевых карт, хранилища и алгоритмы восстановления подбираются комплексно.

Шлюз сегментации сети

При развертывании в промышленных, корпоративных и периферийных средах можно использовать физические границы сети Ethernet для оборудования, пользователей, сетей обслуживания, управления и мониторинга, если определены полные программные политики и состояния сбоев.

Большее количество портов не всегда означает повышенную безопасность

Технические требования перед выбором платы

Количество физических портов Ethernet — это лишь одна из составляющих проекта. Пропускная способность, нагрузка от VPN или проверки данных, архитектура контроллера, ресурсы PCIe, трафик систем хранения данных, программная поддержка, питание, охлаждение и жизненный цикл — все эти факторы могут ограничивать возможности готового устройства.

Требование Технические аспекты Проверьте перед выбором
Топология сети Ethernet Количество портов не раскрывает информацию о группировке контроллеров, распределении интерфейсов PCIe, идентификаторах устройств, поддерживаемых режимах связи или возможности обхода. Роли WAN/LAN/DMZ, схема контроллеров, скорость канала, поддержка драйверов, именование интерфейсов и поведение при отказе.
Рабочая нагрузка в сфере безопасности Маршрутизация, шифрование VPN, системы обнаружения и предотвращения вторжений (IDS/IPS), ведение журналов, перехват пакетов и виртуализация совместно потребляют ресурсы процессора, памяти, хранилища и сети. Характеристики трафика, размер пакетов, количество одновременных потоков, шифрование, правила проверки, запись в хранилище и устойчивая нагрузка на ЦП.
Безопасность платформы TPM 2.0, функция «Безопасная загрузка», сторожевой таймер, политика BIOS/UEFI и доступ к прошивке зависят от конкретной конфигурации материнской платы и программного обеспечения. Цепочка загрузки, реализация TPM, настройки микропрограммы, политика восстановления, метод обновления и образ целевой ОС.
Надежность развертывания На долгосрочную стабильность работы сетевых устройств влияют перепады напряжения, температура в корпусе, охлаждение, изменения в конструкции компонентов и риск прекращения производства. Входная мощность, средства защиты, тепловой контур, ресурс хранения, утвержденный перечень компонентов, контроль версий и план жизненного цикла.

Архитектура системы

Составьте схему всего маршрута трафика перед замораживанием платы

Материнская плата брандмауэра обеспечивает физические интерфейсы и вычислительную платформу, однако политика безопасности, туннели, маршрутизация, проверка, мониторинг и восстановление по-прежнему зависят от операционной системы и стека приложений.

  1. WAN / Канал связи с сетью верхнего уровняИнтернет, оператор связи, вышестоящий коммутатор, оптоволоконная линия или резервное соединение
  2. Контроллеры EthernetКонтроллер NIC, PHY, канал PCIe, драйвер, идентификатор порта
  3. Узел безопасности Mini-ITXБрандмауэр, VPN, маршрутизация, проверка, ведение журналов, локальные службы
  4. LAN / DMZ / Зоны обслуживанияДоверенные, изолированные, гостевые, промышленные, служебные или мониторинговые сети
  5. Управление и восстановлениеНастройка, диагностика, обновления, контроль работоспособности, переключение на резервный сервер, удаленная поддержка

Поддержка нескольких сетей LAN · 2,5 Гбит/с · 10 Гбит/с / SFP+ · TPM · Хранение данных

Сетевые и системные интерфейсы должны соответствовать роли устройства

Начните с необходимых сетевых интерфейсов, а затем распределите функции вычислений, хранения данных, расширения, безопасности, управления и энергоснабжения в соответствии с этой сетевой архитектурой.

Локальная сеть 2,5 Гбит/с
Подходит для компактных систем брандмауэров, маршрутизаторов и шлюзов, если контроллер, драйвер и устойчивая рабочая нагрузка обеспечивают поддержку целевой конфигурации канала связи.
10 Гбит/с / SFP+
Для высокоскоростных каналов передачи данных в восходящем направлении необходимо комплексно проверять пропускную способность PCIe, сертифицированные оптические модули или цифро-аналоговые преобразователи (DAC), программную поддержку, систему терморегулирования и доступ к корпусу.
TPM / Безопасная загрузка
Параметры идентификации платформы и управления цепочкой загрузки следует проверять с учетом конкретной версии платы, настроек BIOS/UEFI и целевой операционной системы.
M.2 / NVMe / SATA
Загрузочные носители, журналы, телеметрия, перехват пакетов, локальные службы или виртуализированные рабочие нагрузки могут приводить к нехватке ресурсов хранения и PCIe.
PCIe / Расширение
Дополнительные сетевые адаптеры, сотовые модули, ускорители или сервисные интерфейсы должны обеспечивать совместимость по шинам, источникам питания, драйверам и механическим параметрам.
Питание постоянного тока
Следует согласовать диапазон входных параметров, запас мощности блока питания, поведение при запуске, защиту от переходных процессов, восстановление после сбоя питания и тепловой расчет корпуса.

Несколько портов 10G Ethernet → Несколько входов питания →

Руководство по выбору платформы

Выберите платформу с учётом ограничений по трафику, вычислительной мощности, энергопотреблению и тепловыделению

Выбор семейства процессоров — это лишь одно из решений, принимаемых при разработке устройства. Выберите исходную платформу с учетом нагрузки трафика, количества интерфейсов, требований к памяти и хранилищу, программного стека, энергопотребления, способа охлаждения, возможностей расширения и требований к жизненному циклу.

Направление развития системыОтправная точкаПримечание по выбору
Компактный брандмауэр / VPN-шлюзПлатформы IntelОбщая отправная точка для устройств, поддерживающих несколько локальных сетей, в которых приоритетными факторами являются поддержка сетевых карт, энергоэффективность и совместимость программного обеспечения.
Повышенная вычислительная нагрузка / нагрузка на систему виртуализацииПлатформы AMDУчтите, в каких случаях устройству требуется иной баланс между количеством ядер, объемом памяти, графическими возможностями или соотношением производительности и энергопотребления.
Определённая архитектура устройстваЭталонные платформыЭто полезно при планировании комплексной взаимосвязи между платой, сетевыми компонентами, системой хранения данных, корпусом, системой питания, системой охлаждения и программным обеспечением.
Герметичная система, не требующая частого обслуживанияБезвентиляторная конструкцияПроверить стабильные показатели нагрева NIC и ЦП, теплоотдачу корпуса, температуру окружающей среды и ограничение производительности при типичной нагрузке.

Техническая поддержка

Определение блокировки Network Appliance перед запуском в производственную эксплуатацию

Отправьте на рассмотрение платформы необходимые данные о сопоставлении портов, профиле трафика, программном обеспечении брандмауэра или SD-WAN, целевом процессоре, памяти, хранилище, модуле TPM и требованиях к прошивке, потребляемой мощности, корпусе, способе охлаждения, рабочей температуре, количестве и целевом сроке службы.

Связаться с инженерным отделом

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

Вопросы по аппаратному обеспечению сетевой безопасности

Сколько портов Ethernet должна иметь материнская плата брандмауэра?

Начните с определения физических ролей, которые устройство должно разделять: WAN, доверенная LAN, DMZ, управление, мониторинг, сервис или отработка отказа. Дополнительные порты повышают гибкость, но при этом увеличивают сложность контроллера, интерфейса PCIe, системы охлаждения, системы питания, программного обеспечения и корпуса.

Гарантирует ли большее количество LAN-портов более высокую пропускную способность брандмауэра?

Нет. Пропускная способность приложения зависит от контроллера сетевой карты, ресурсов PCIe, процессора, памяти, размера пакетов, маршрутизации, шифрования VPN, правил проверки, активности систем хранения данных, драйверов, программных накладных расходов, системы охлаждения, а также от того, как интерфейсы используются в комплексе.

В каких случаях сетевому устройству следует использовать 10GbE или SFP+?

Используйте 10GbE или SFP+, если для реальных рабочих нагрузок, связанных с каналом связи, агрегацией, хранением данных, маршрутизацией или обеспечением безопасности, требуется соответствующая пропускная способность. Проверьте ресурсы контроллера и интерфейса PCIe, совместимость оптических модулей или DAC, нагрузку на ЦП, поддержку программного обеспечения, питание, тепловые характеристики и доступ к корпусу.

Какие средства защиты следует проверять на уровне платы?

К типичным параметрам относятся TPM 2.0, безопасная загрузка (Secure Boot), политика BIOS/UEFI, поведение сторожевого таймера, автоматическое восстановление, доступ к прошивке, метод обновления, конфигурация хранилища и настройки контролируемой загрузки. Совместимость необходимо подтвердить именно для данной платы и данного образа программного обеспечения.

Что необходимо проверить перед вводом в эксплуатацию брандмауэра или платы SD-WAN?

Проверить соответствие настроек сопоставления портов, драйверов сетевых карт, целевой ОС, маршрутизации и нагрузки на системы безопасности, переключения на резервный ресурс, восстановления, записи на носители, входного питания, постоянных температур, совместимости с корпусом, настроек микропрограммы, контроля версий и плана жизненного цикла в типичных условиях эксплуатации.

Ресурсы, связанные с сетевой безопасностью

Безопасность - это не только технические характеристики. Речь идет о доверии, времени работы и долгосрочной устойчивости. Эти ресурсы помогут вам встроить все эти три составляющие в вашу следующую плату.