100G Firewalling Architektur und Praxis. Sven Rutsch Senior Systems Engineer CISA, CISM, CISSP

Transkript

1 100G Firewalling Architektur und Praxis 1 Sven Rutsch Senior Systems Engineer CISA, CISM, CISSP

2 Unternehmensübersicht $615M Gegründet 2000, erste Produkte 2002, IPO 2009 Zentrale: Sunnyvale, Kalifornien Mitarbeiter: weltweit Revenue Vorteil durch 3 Schlüsselfaktoren Führende Thread Research Task Force Hochintegriertes Netzwerk + Security OS Eigenentwickelte ASIC basierte Architektur $13M $843M Rang Unternehmen Marktanteil (%) Cash 1 Cisco/SourceFire Check Point Palo Alto Networks Juniper 6.0 Marktvolumen $ $16M

3 Große und stark wachsende Kundenbasis 200,000+ Kunden 1.6 Million+ Appliances ausgeliefert 9 der Top 10 Global der Top 10 Global 100 Computer Services 9 der Top 10 Global 100 Aerospace & Defense 7 der Top 10 Global 100 Major Banks 3

4 FortiGate High Performance Integrated Network Security Platform Security Deep Application Inspection + Networking High Performance SECURITY PERFORMANCE ASIC Based Architecture INTEGRATED MANAGEMENT Advanced Threat Protection ASIC Based Architecture Flexible Network Operating System Multi-Platform Orchestration FortiGuard FortiASIC FortiOS FortiManager FortiAnalyzer 4

5 Die Grundlagen ASICs und Pfade 5

6 FortiASIC Evolution CP4 CP5 CP6 CP7 CP9 NP1 NP2 NP4 SOC1 SOC2 SOC3 TP1 TP

7 FortiASIC Überblick Einheitliche IPv4 and IPv6 Performance. Doppelte Kapazität gegenüber dem Vorgänger (NP4) Fastpath support: IPv4 FW IPv6 FW VPN CAPWAP Multicast FW Vdom link IP Tunnel SCTP QoS Support mit Priorisierung und Queuing Session Setup Rate Verbesserungen mit erweitertem Host Interface Direkter Support für neueste Intel CPU Features IPSEC SHA2-256/SHA2-512 Support Tunneling und Translation v4->v6, v6->v4, v4->v4, v6->v6 7 Fortinet Confidential

8 FortiASIC Überblick 2 x High Speed Host Interfaces zur CPU 2 I/O Konfigurationen: - 4 x 10G interfaces - 3 x 10G + 16 x 1G interfaces Doppelte I/O Bandbreite und Connectivity zur CPU verglichen zum NP4 8 Fortinet Confidential

9 FortiASIC Überblick Proxy/Flow based UTM performance Optimizer und Cryptographic accelerator Performance Enhancement: IPS, Application Control AV IPSEC and SSL/TLS CPU Offload für Pattern Pre-match High Performance VPN Bulk Data Engine High Performance IKE und RSA Berechnungen 9

10 UTM Beschleunigung IPS, application Control & AV L3/L4 PARSING SESSION ENGINE TCP ASSEMBLY PROTOCOL DECODING PRE-MATCH PATTERN MATCHING Content Processor Optimierungen Offload CPU für Pattern pre-matching Performance Verbesserung zwischen 30% und 50%, je nach CPU Unabhängigkeit von Signatur-Größe und Anzahl 10

11 Optimale Pfade Content Processor FortiASIC-CP» Beschleunigt berechnungsintensive contentund applikations-bezogene Aufgaben (SSL, IPS, AV) Network Processor FortiASIC-NP» Beschleunigt netzwerkspezifische Aufgaben (Firewall, VPN) FortiASIC Content Processor General Purpose CPU FortiASIC Network Processor ISF Network Interfaces 11

12 Traffic Off-load Neue Sessions Off-load Sessions Memory CPU Memory CPU Interfaces 1GE 1GE Interfaces FortiASIC NP Low Latency Wire-Speed throughput 1GE 1GE Packet Flow 12

13 Die Praxis Performance Test 13

14 Testaufbau 80G UDP mit 1024 byte Paketgröße 27G traffic mix (80K CPS) 300K CPS (2G of traffic) CPS FW APP MIX RFC 2544 latency and jitter 14 Fortinet In Confidence - Internal Only

15 Application Mix Per functions Per protocols 15 Fortinet In Confidence - Internal Only

16 Ergebnis pro Tester 106G traffic 430K cps 15M sessions Latenz von drei Mikrosekunden Monitoring / SNMP aktiviert 16 Fortinet In Confidence - Internal Only

17 Die Praxis Data Center Produkte 17

18 Data Center Firewall Performance & Scalability FortiGate-3700D 160GB FortiGate-3810D FortiGate-3800D 320GB NP4 FortiGate-3240C B Fortinet Confidential

19 FortiGate-3800D und FortiGate-3810D High End Security Gateway mit E oder 100GE ports FortiGate 3800D - Specs LAN FortiASIC Storage 12 x QSFP+ 4 x 10G SFP+ 8 x 8 x 2 x 480GB, internal storage FortiGate 3810D - Specs LAN FortiASIC Storage 6 x 100GE LR4/SR10 8 x 8 x 2 x 480GB, internal storage 19 Fortinet Confidential

20 FortiGate-3800D/3810D Blockschaltbild AC or DC Supply PSU PSU STORAGE 480 STORAGE GB 480 GB 10 Core CPU RAM 128 GB Quad Core CPU Flash 10 Core CPU Integrated Switch Fabric USB USB Ser 1G 1G SFP+ SFP+ SFP+ SFP+ USB A Mini USB Console Management 12 x QSFP+ 4 x 10G SFP+ 20 Fortinet Confidential

21 FortiGate-3800D/3810D Blockschaltbild AC or DC Supply PSU PSU STORAGE 480 STORAGE GB 480 GB 10 Core CPU RAM 128 GB Quad Core CPU Flash 10 Core CPU Integrated Switch Fabric USB USB Ser 1G 1G 100G 100G 100G 100G 100G 100G USB A Mini USB Console Management 6 x 100G CFP2 LR4/SR10 21 Fortinet Confidential

22 FortiGate 100G Support Interface CFP2 Slot Optical signaling: 10x10G, 4x25G Transceivers Optionen:» SR10 Transceiver (Multimode, 100m)» LR4 Transceiver (Single-mode, 10 Km) Default 1x 100G SR-10 Fan-out 10 Pairs LC cable 22 Fortinet Confidential

23 Fortinet GmbH Sven Rutsch DANKE Haben Sie Fragen? Senior Systems Engineer Mail: 23