Weiter, schneller und trotzdem sicher!

Transkript

1 Weiter, schneller und trotzdem sicher! Data Center Connectivity, Netzwerkinfrastruktur und SDN Baden, 25. März 2015 Martin Stengel, CTO dacoso GmbH

2 IT Markt im Wandel Key Treiber Was sind die Key Treiber? 55% 38% 7% Körperhaltung, Gestik, Mimik Stimme Inhalt 2

3 IT Markt im Wandel Key Treiber Was sind die Key Treiber? 3

4 IT Markt im Wandel Key Treiber Was sind die Key Treiber? 4

5 IT Markt im Wandel Key Treiber Was sind die Key Treiber? Mobiler Datenverkehr und Cloud Applikationen wachsen massiv! Weltweiter mobiler Datenverkehr wuchs 2013 um 80 Prozent Ende 2013 flossen 1,5 Exabyte Daten über mobile Datenverbindungen sollen es zehnmal so viel sein. Amazon, Google, Facebook, Microsoft, SAP u.v.m 5

6 Data Center werden zu Kommunikationszentren Markt im Wandel Rechenzentren im Wandel Zentralisierung, Konsolidierung und Virtualisierung setzen sich in der IT durch Verfügbarkeitsanforderungen steigen auf 100% Auslastung der Data Center steigt Private und Hybrid Clouds erhöhen die Effektivität und Skalierbarkeit Anforderungen an die Sicherheit steigen enorm Outtasking treibt den Markt für Infrastructure as a Service (IaaS) Data Center sind keine Stand alone -Objekte, sondern müssen eng miteinander agieren, mit Clouds kommunizieren und sich jederzeit ersetzen können unabhängig von Distanzen. Moderne Data Center integrieren IT und Connectivity 6

7 Bandbreite, schneller, weiter und sicher! Anforderungen an Infrastruktur steigen enorm Schneller, weiter und sicher Globale Vernetzung über DWDM Glasfasernetze Weltweit jedes Jahr rund 300 Millionen km neue Glasfasernetze 7

8 Bandbreite, schneller, weiter und sicher! Anforderungen an Infrastruktur steigen enorm Schneller, weiter und sicher 8

9 Schneller, weiter mit 100G unterwegs Anforderungen an die Technik Individuell passende 100G Technik für Data Center und Core Netze Wo stehen wir heute? 100G Performance & cost per bit 9

10 24 Super Channels Cost per Bit 96 Channels Bandbreite mit 100G Anforderungen an die Technik Individuell passende 100G Technik für Data Center und Core Netze 9.6 Terabits über ein Glasfaserpaar Direct Detect Coherent Channel #01 100G 2.4 Tera 9.6 Tera 100G 9.6Tera 50GHz 100G Channel #96 10

11 Data Rate in Gb/s Es geht weiter und schneller.400g Anforderungen an die Technik Weiter und schneller QPSK (4QAM) 2 bits 16QAM 4 bits Shannon Limit Ultra-flexible 400G card solution Flexi-rate network 100/150/200G (QPSK/8QAM/16QAM) Cutting link cost by doubling DWDM port same optics One card for multiple configurations incl. single-card regenerator mode Full OTN support and OAM for 100GE and OTU4 services 10/40GE support via special fan-out pluggables BPSK -3 4-QAM Distance in km QAM 16-QAM Relative required OSNR in db 100GE/OTU4 100GE/OTU4 100GE/OTU4 100GE/OTU4 Extreme scalability Flexgrid support with up to 25.6Tb/s per fiber pair 4x QSFP28 clients (LR4, SR4, AOC) per card SW defined optics on DWDM network ports 100/150/200G 100/150/200G Single slot 400G card 11

12 Sicher! Was ist sicher? Sicherheit ist ein Key Treiber Mittlerweile haben auch Google-Ingenieure bestätigt, dass die veröffentlichten Unterlagen Datenstrukturen zeigen, die tatsächlich nur in der Kommunikation zwischen Googles Rechenzentren genutzt und öffentlich nicht dokumentiert wurden. Konkret erkennt Mike Hearn den Verkehr zur Replizierung von Datenbanken wieder, die zu einem Anti-Hacking-System gehören, das er entworfen hat. Er kommentiert die Lauschaktion mit einem deftigen "Fuck You" gerichtet an diejenigen, die diese Grafiken erstellt haben. Das bestätigt die Behauptung, dass die Geheimdienste wohl an den Glasfaserkabeln zwischen den über viele Länder verteilten Rechenzentren der Google Cloud gelauscht haben. Diese Kommunikation erfolgte jedoch nicht über öffentliche Internet-Infrastruktur sondern über Google-eigene oder zumindest angemietete Glasfaserleitungen (Dark Fiber). Das war auch der Grund, warum die Verschlüsselung dieser Kommunikation bisher keine hohe Priorität hatte. Dies hat sich mittlerweile geändert. Laut Hearn werden diese Daten mittlerweile alle verschlüsselt übertragen. 12

13 Sicher! Was ist wichtig? Was ist wirklich sicher und welche Anforderungen gibt es? Sicherheit ist ein Key Treiber Highest level of security Speed - Low Latency 100% Throughput No Jitter Role Based Management (Multi Tenant Management for Carriers) Encryption on the lowest possible layer 13

14 Sicherheit und Performance Niemand will Langsam Höchste Sicherheit bei gleichbleibender Performance 14

15 Sicher! Was ist sicher? Sicherheit ist ein Key Treiber Ist Random gleich Random? Random numbers are essential for encryption Random numbers are needed for secret private keys and initialization values Random numbers must be unpredictable Two classes of Random Number Generators are known: physical: physical effects, like noise or radioactive decay, are used for generating random number (TRNG) deterministic: the output is a pseudo-random sequence which is dependent on the internal state (PRNG) 15

16 Ist Random gleich Random? Was ist sicher? Sicherheit ist ein Key Treiber BAD Example Data sheet: " includes a pseudo-random number generator that provides a seed value for the user to generate a FIPS compliant random number. Upon application of VCCI, the internal RNG circuit is seeded using several natural sources of randomness. These are based upon amplified noise from the internal A/D converter " True Random Number Generator high-quality physical random numbers using natural phenomenon in CMOS using two independent white noise sources quality fulfills FIPS requirements statistical tests included "Recommendation for Random Number Generation Using Deterministic Random Bit Generators" ADVA uses an AES-based PRNG. (CTR_DRBG) Output is generated from the internal state using AES. The key for this operation is also constructed from the internal state and is erased after usage. => No way to guess the internal state from the output After every output, the internal state is updated using AES The internal state is periodically updated using a noise source. 16

17 AES Encryption 100G Layer 1 AES Verschlüsselung High Speed AES Verschlüsselung Erste High Speed AES Lösung für 10G, 16G, 40G & 100G Universal Enterprise Muxponder 100G AES256 encryption with 2048bit key Dynamic key exchange every 1 minute Up to 10 x any multi-service 10GE, FC8/10/16, 5G Infiniband 40GE/100GE by means of 4x/10x 10GbE via break out cable (SR4, LR4 and SR10) CWDM Grey SFP+ SFP+ SFP+ SFP+ SFP+ SFP+ SFP+ SFP+ SFP+ SFP+ Client 10x 10GbE (WAN/LAN) 10x 8G FC 8x 10G FC 7x 16G FC 10x STM-64/OC x 5G IB GMP ODUFlex Module Module ODU4 config. EFEC OTN PM OTU4 Network DWDM CFP 4x 28G DWDM (96ch C-band) 17

18 100G Layer 1 AES Verschlüsselung High Speed AES Verschlüsselung Integrierte Layer 1 AES Verschlüsselung Protection Building Blocks Authentication via initial authentication key to protect from man in the middle attacks AES256 encryption to offer maximum data security including RANDOM Generator New encryption key every 1min for additional security Key lifetime configurable Diffie Hellman key exchange for secure encryption key generation Lowest latency (100ns) 18

19 Zusammenfassung High Speed AES Verschlüsselung Wichtige Kriterien Compliance mit Standards AES-256, Random Generator Schlüsselaustauschverfahren Performance niedrige Latenzzeiten (Layer 1 Lösung) 100% Throuput (unabhängig von Blockgrößen) transparente Übertragung Data Center & Carrier Class Ready Unterstützung aller Data Center und Netzprotokolle (Ethernet, FC/FICON,SDH,IB) aller Speeds 1G, 2G, 4G, 5G, 8G, 10G, 16G, 40G, 100G Data Center Certified für Data Center Apps & Hersteller Management + Kosten Mandantenfähig, einfach, Geringer Aufpreis vs unverschlüsselt 19

20 Management: Mandantenfähigkeit Trennung Verschlüsselung & Betrieb

21 Auswirkungen auf den Betrieb Weiter, schnell, sicherer. Die Anforderungen an die IT Abteilungen der Unternehmen nehmen stetig zu Enorm wachsende Datenmengen Server, Storage, Netzinfrastruktur, Management, Platz, Strom, Kosten, u.v.m. Applikationen und Services die schnell bereitgestellt werden müssen für alle Kunden, weltweit performant und immer verfügbar sicher und konform nach vorgegebenen Richtlinien Alles ohne den laufenden Betrieb zu beeinträchtigen Immer mehr, möglichst mit weniger Personal Smarte Lösungen sind gefragt!

22 Schneller Abstraktion und Automatisierung Tenant / Application Request Templates Networking 00:01 Compute Request completed in Minutes Compute Management Controller Security/ Compliance Auto-instantiation IP address Policy Instantiation IP address 10.x.y.z Policy / Security Zones VLAN configuration WAN configuration WAN interconnect 00:01 Security / FW settings L2 /L3 Service AD QoS parameters Network Change Service chaining Completed automatically Service Geschwindigkeit ist nicht behindert durch manuellen Prozess

23 SDN Intelligent Data Center Networking Intelligent Data Center Networking: schnelle, automatische Bereitstellung der Netzwerkdienste Layer2 bis Layer4 Vernetzung im Rechenzentrum mandantenfähige Lösung mit vollständiger Abgrenzung über mehrere Rechenzentren hinweg möglich effektive Einbindung von Cloud Services Das Rechenzentrumsnetz wird so agil wie die virtualisierten Server

24 Weiter mit nuage networks Internet Policies VPN Domain Zones Cloud Service Management Plane Virtualized Services Directory Subnets Datacenter Control Plane Virtualized Services Controller Federation of controllers MP-BGP Virtualized Services Controller IP / MPLS Service Provider Control Plane DC WAN Router Hypervisor Hypervisor Hypervisor Hypervisor Nuage 7850 VSG Business VPN Service Hypervisor Hypervisor DC1 Zone 1 Datacenter Data Plane Hypervisor Hypervisor Hypervisor Hypervisor DC1 Zone 2 Hypervisor Hypervisor Datacenter 2` DC 2 Bare Metal Assets Private Datacenter Service Provider Data Plane

25 Trotzdem Sicher nuage schließt kritische Sicherheitslücken im Rechenzentrum Konsistente Sicherheit top down, konsistent, automatisch. Der Policyansatz eliminiert manuelle Fehler und verhindert, dass VM- und Applikationsmobilität die Sicherheit beeinträchtigt. Keine Sicherheitslücken Die Sicherheit wird schon beim Start der Applikation oder VM eingefordert. Sicherheit auch für kritischen Intra-RZ Verkehr (Ost-West). Keine Sicherheitslücken im RZ Netzwerk. Sicherheit für komplexe Applikationen Die SDN Architektur maximiert die Sicherheit auch für komplexe, mehrstufige Webapplikationen (z.b. mit eingebundenen Firewalls) und Container Überprüfung und Analyse nuage sammelt und speichert detaillierte Daten im Netzwerk. Diese Daten können zum Beseitigen von Sicherheitsproblemen verwendet werden.

26 Ein neuer Weg Freiheit & Sicherheit Any Cloud Management System EXISTING DATACENTER NETWORK Any Datacenter Network Infrastructure.... ESXi KVM Hyper-V BareMetal XEN Any Server or Hypervisor ANY APPLICATION, ANY CLOUD, EVERY TIME

27 Wir verbinden. Für neue Wege dacoso Dienstleistungen im Überblick IDCN L2/L3 WDM

28 Danke! dacoso GmbH Martin Stengel Robert-Bosch-Str. 25a D Langen