Kundenrouter im X-WiN Optimale Nutzung der neuen Angebote u. mehr Sicherheit für die Kundennetze

Transkript

1 Kundenrouter im X-WiN Optimale Nutzung der neuen Angebote u. mehr Sicherheit für die Kundennetze Henning Irgens, Dimension Data Berlin Steffen Göpel, Dimension Data München 43. DFN-Betriebstagung 18./19.Okt.2005

2 Die neuen Angebote (X-WiN-Tariftabelle I) 128k/ DSL 2M 6/10M Eth 10M Eth 50M/ 100E 100M Eth. 300M GE I 01 I 02 I 03 I 04 I 05 I 06 I 07 I 08 I 10 Flat flat Flat 5,5TB 9 TB 2M 2M 2M I 01 I 02 I 03 I 04 I 05 I 06 I 07 I 08 I 09 I 10 2

3 Die neuen Angebote (X-WiN-Tariftabelle I) 128k/ DSL 2M 6/10M Eth 10M Eth 50M/ 100E 100M Eth. 300M GE I 01 I 02 I 03 I 04 I 05 I 06 I 07 I 08 flat x5 x1,5 x4,5 I 10 Flat flat Flat 5,5TB 9 TB 2M 2M 2M I 01 I 02 I 03 I 04 I 05 I 06 I 07 I 08 I 09 I 10 3

4 Die neuen Angebote (X-WiN-Tariftabelle II) 300M GE 600M GE 1G GE 2,4G 5 G 10GE 10 G 10GE I 10 I 11 I 12 I 13 I 14 I 15 5,5 TB 9 TB 18 TB Flat 25 TB 37,5 TB 75 TB flat 150 TB 300 TB 622M 622M 622M 622M 2,4G 2,4G I 09 I 10 I 11 I 12 I 12a I 13 I 14 I 15 I 16 I 17 4

5 Die neuen Angebote (X-WiN-Tariftabelle II) 300M GE 600M GE 1G GE 2,4G 5 G 10GE 10 G 10GE I 10 I 11 I 12 I 13 I 14 I 15 x2 x6 x4 x15 5,5 TB 9 TB 18 TB Flat 25 TB 37,5 TB 75 TB flat 150 TB 300 TB 622M 622M 622M 622M 2,4G 2,4G I 09 I 10 I 11 I 12 I 12a I 13 I 14 I 15 I 16 I 17 5

6 X-WiN Kundenrouter: Referenzsysteme Übersicht Referenzmodelle CISCO Router 7609 CISCO Router 7204VXR z.b. Cisco 17xx/18xx/ 26xx/28xx ISR empf. z.b.cisco 26xx/28xx 36xx/38xx ISR empf. 2M 10M 100M 300M 1G 2,4G 10G 6

7 Cisco Router 7200VXR Serie π Referenzmodell seit G-WiN Einführung π Geeignet für 80% der G-WiN Kunden π 2 Chassis-Größen: 4 slot, 6 slot für PA π 3 versch. (aktuelle) Prozessoren: NPE225/400/G1 π 4-Slot Ausführung ausreichend! π Prozessor-Empfehlung X-WiN: π NPE 225 für (2M/10M) 100M π NPE 400 für 100M - POS π NPE-G1 (3ports GE) für 300M/600M π Security Features (IOS tm ) FW/IDS 7

8 X-WiN Kundenrouter für 1Gbps und höher π Catalyst 6500 bzw. CISCO 7600 Router Serie π X-WiN Anschluss z.b. über GE-Port der Supervisor Engine π Einsetzbar von <100Mbps (FE) bis n x 10GE bzw. OC192 π Aktuelle Supervisor Engine 720-3B enthält Switch Fabric 8

9 X-WiN Kundenrouter: CISCO 7600 vs. Catalyst 6500 π HW: Chassis und (die meisten) Module identisch π Catalyst 6500 ist optimiert als (L3) LAN-Switch π CISCO 7600 ist optimiert für (WAN-)Routerfunktionalität π Werden bei CISCO in unterschiedl. BU geführt u. entwickelt π Betriebssystem IOS unterscheidet sich in wesentlichen Punkten π Cat 6500: Typ. Core-Switch bestückt mit Eth. Switch-Modulen π CISCO 7600: High End Edge Router, Service Module, SIP/SPA 9

10 Cisco Router 7600 Serie π 4 verschiedene Chassis π Bis 40 Gbps / Slot 4-slot Anzahl Slots Höhe Bandbr. (fdx) Performance 10 Dimension Data 6-slot 9-slot 13-slot 4 (horizontal) 6 (horizontal) 9 (vertical) 13 (horizontal) 8.75 (5RU) (7RU) 33.5 (21RU) (19RU) 320 Gbps 480 Gbps 720 Gbps 720 Gbps 30+ Mpps 30+ Mpps 30+ Mpps 30+ Mpps version

11 Aktuelle Threat Defense System Technologies von Cisco Systems Firewall PIX Security Appliance, IOS FW, Catalyst FWSM Network IDS / IPS New IPS Capabilities Endpoint Security IDS Appliances, Catalyst IDS Module, Router IDS Module, IOS- IDS, Cisco Guard XT 5650, Anomaly Detector 5600 Cisco Security Agent Network Services IOS Security Services, Private VLANs, ACLs, QoS IOS Infrastructure Security Intelligent Investigation AutoSecure, Secure ACL, Control Plane Rate Limiting, CPU/Memory Thresholding Cisco Threat Response (CTR) Content Security Content Engines, Router Network Modules Security Management Device Managers, CiscoWorks VMS, Cisco Works SIMS 11 The Self-Defending Network and Solution: Threat Defense

12 Cisco 7600 Security Services Sicherheitsfunktionen im Accessbereich π Cisco 7600 schützt und sichert auf 3 Ebenen Schutz des Routers selbst Absicherung des Service Schutz des Netzwerkes durch eingebaute Funktionen zur Abwehr von Angriffen auf den Router Rate Limiters ACLs MD5 Authentication urpf, Strict & Loose CPP BGP TTL Sec. Check Integrierte Funktionen für Absicherung der Services im Netz Stateful Firewalls per-vrf IPSec per-vrf NAT Virtualized Firewalls SSL VPN Durch integrierte Funktionen zum Netzwerkschutz und Abfangen von day zero attacks Distributed Denial of Service Attack Protection (DDOS) with Guard & Detector Modules 12

13 Cisco 7600 Security Services Übersicht der Baugruppen Hardwarebasierte SecurityFunktionen auf der Sup720 ermöglichen System Protection Mechanismen Die Nutzung von Service Modulen wie VPNSM & FWSM Ermöglichen Service Protection für Ihre Anwendungen Sup720-3BXL FWSM Rate Limiters ACLs MD5 Authentication urpf, Strict & Loose CPP BGP TTL Sec. Check Stateful Firewalls per-vrf IPSec per-vrf NAT Virtualized Firewalls SSL VPN VPNSM Integrierte Wächter & Datenverkehrs-Anomalie Detektorboards Ermöglichen Network Protection und Day Zero Attack Prevention 13 Dimension Data version Guard & Detector Blades Distributed Denial of Service Attack Protection (DDOS) with Guard & Detector Modules

14 Cisco 7600 Firewall Services Firewall Services Module (FWSM) Overview Performance πpix Firewall Feature Set πhoher Durchsatz: 5.5 Gbps / 2.8 Million pps π1 Million gleichzeitige Verbindungen π neue Verbindungen/ Sekunde für HTTP, DNS und Enhanced SMTP π250 L2 or L3 Virtual Firewalls (Contexts) πresource Manager (Assign Service Classes and Resource Limits) πsupport for up to 4 blades per chassis: 22 Gbps Firewall Total π256 VLANs per Context with Maximum of 1000 VLANs per Blade πethernet Failover Active / Standby Both Intra and Inter Chassis) πdynamic Routing: OSPF and RIP 2 OSPF virtual routers π~80k access-lists enforced in hardware πjumbo Frame-ready (9022 bytes) FWSM 14

15 Cisco Denial of Service (DDoS) Solution Appliances and New Service Modules Guard XT 5650 Anomaly Detector XT 5600 Cisco Anomaly Guard Module π Erkennt und mindert Vielzahl von DDoS Angriffen π Integrierte Angriffsabschwächung durch verhaltensbasierte Anomalie-Erkennung π Hohhe Korrektheit der Erkennung um keinen Einfluss auf produktiven Datenverkehr auszuüben π Cisco Traffic Anomaly Detector Module 15 Dimension Data version Performance und Architektur passt für hohe Anforderungen

16 Integrierter DDoS Schutz z.b. gegen botnets π Anomaly Guard Angriffsanalyse und Schadensminderung Umleiten des Datenverkehrs für Reinigung Dynamische Filter und Abwehr von Spoofing Angriffen π Traffic Anomaly Detector Passives Monitoring für die Erkennung von Aktivitäten und Aktivierung des Guard für die Schadensbegrenzung π Servicemodule Vorteile Sicherheitsfunktionen in das Chassis integrierbar Infrastructure and services integration Skalierbar entsprechend Anford. 16 Und Verfügbarkeit Anomaly Guard Module Alert X/G-WIN Dynamic route diversion Traffic Anomaly Detector Module Cisco7609 Internal network Zone under attack Line Card Module Firewall Service Module Supervisor Engine 2 or 720 Line Card Module

17 Cisco 7600: Zusammenfassung Servicemodul Übersicht Catalyst 6500 Service Modules Portfolio Firewall 5.5 Gbps module 100 virtual contexts Routed or Transparent Coming: 250 contexts, M cast, IPv6 Anomaly Detection NEW! & Detect and Mitigae DDoS attacks Guard automatically 8 Gps performance Available NOW Content Switching &SSL Converged technologies 1MM CSM Concurrent connections 1500 SSL cps 30K SSL Clients Wireless LAN Converge wireless and wired infrastructure 300 APs & 6000 clients L3 mobility within 50ms SSL Offload from servers (OpEx) Deterministic performance for Web traffic 2-way trust Certificates HA using HSRP Intrusion Detection Simultaneously monitor multiple VLANs Unlimited VLAN support Transparent via passive promiscuous operation VPN Stateful HA with VRF-Aware IPSec SafeNet Client Interoperability CVDM support Coming: 16K IPSec tunnels per platform, NAC over IPSec tunnels Network Analysis L2-7 protocol visibility, analysis and decode Real-Time and historical statistics Coming: Server Farm Stats, App Response Time 17