Harry Ring Nösse Datentechnik Technical Consultant. Dipl.-Ing. Lutz Zeutzius IT-On.NET Technical Pre-Sales Consultant

Transkript

1

2 Harry Ring Nösse Datentechnik Technical Consultant Dipl.-Ing. Lutz Zeutzius IT-On.NT Technical Pre-Sales Consultant Thomas Wittke macmon secure ccount-manager Nord

3

4 efragung der Workshop-Teilnehmer nach den Tätigkeiten/ ufgaben in der etreuung ihrer LN-Infrastruktur inblick in ein aktuelles undenprojekt zum ufbau einer neuen Switch Infrastruktur inblick in ein aktuelles undenprojekt zur Netzwerksegmentierung mit VLN und NC urzer usblick in Software-defined Networking (SDN) Vorstellung Produkt macmon Network ccess Control

5

6 Dokumentation 0 0 QoS C- onfiguration MC-dressen für Port Security rocade Switch Switch J0 J00 Networking Use s only onfiguration von Trunks Status 00Switch Switch 00 Management Management J J Innovation Test Clear Mgmt lash Temp Chas DI Internal G H C D I J L s Pwr Spd LD iliary Port ault Locator onfiguration von ccess Control Listen + p v Mod J J0 Status 00R Management J lash State v Stby Dwn Test DI Chas Mgnt Spd : s Internal Temp C Clear System Shutdown G H D I J L Off = 0 / 00 Mbps, lash = Gbps, Spd Use Only v or later Management iliary Port /SP p Mod v J J0 + p Mod v J J0 + Integrated 0/00/000ase-T (-) uto-mdix -Integrated 0/00/000ase-T (-) are are I uto MDI/MDI-X C + p v Mod J J0 000ase-T / 0Gase-T Use only supported transceivers Integrated 0/00/000ase-T (-0) are uto-mdix -Integrated 0/00/000ase-T (-) are I uto MDI/MDI-X D 0 GbT v Mod J D + Integrated 0/00/000ase-T are uto-mdix -Integrated 0/00/000ase-T (-)(-) are I uto MDI/MDI-X G H ll ports are uto MDIX Use only supported transceivers C + Integrated 0/00/000ase-T (-) uto-mdix -Integrated 0/00/000ase-T (-) are are I uto MDI/MDI-X -Gb / 0-Gb SP+ p SP+ v Mod J s ault Locator On = > Gbps LD I J L 0R Switch J LN C T LN C T LN C T 0/00 a s e - T X P o rts ( - ) H P 0- H P 0- G ll RJ- ( - 0T) are uto-mdix Status LD * Test * J T 0 T Spd : Off = 0 Mbps Spd lash = 00 Mbps On = 000 Mbps Clear S 0 S o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S C lea r T T S S Dual-Personality : 0/00/000-T (T) or SP (S) ault Locator U s e O n ly S u p p o rte d T ra n c e iv e rs Use only SPs Us e o nly o ne ( T o r S ) for e a c h J VLNs irmware Updates Patchen von neuen Verbindungen rweiterung mit neuen Switchen

7 VLN Mietbereich Mietbereich Mietbereich IP: S UNT:...0 Gateway:... H P 0- G J C lea r o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S T T S S Us e o nly o ne ( T o r S ) for e a c h. OG J 0-G front 0 module 0 module X 0 Stacking J 0-G rear IP:... - S UNT:...0 Gateway:... o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX IP:... - S UNT:...0 Gateway:... H P 0- G D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S C lea r T T S S J C lea r o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S T T S S Us e o nly o ne ( T o r S ) for e a c h Us e o nly o ne ( T o r S ) for e a c h. OG H P 0- G J unde: Prüfungs- und eratungsgesellschaft J 0-G front J 0-G front 0 module X 0 Stacking 0 module J 0-G rear IP:... - S UNT:...0 Gateway:... H P 0- G J o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX IP:... - S UNT:...0 Gateway:... H P 0- G D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) X 0 Stacking T T S J S o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S Us e o nly o ne ( T o r S ) for e a c h Us e o nly o ne ( T o r S ) for e a c h. OG 0 module J 0-G rear Projektbeschreibung: ufbau einer neuen LN und VoIP Switch Infrastruktur C lea r T T S S C lea r J 0-G front module 0 module 0 module o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX 0 T T S S 0 module X 0 Stacking H P 0- G T T S S T T S S J o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX IP:... - S UNT:...0 Gateway:... H P 0- G D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S C lea r T T S S J C lea r o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX T T S S T T S S VLN D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) Us e o nly o ne ( T o r S ) for e a c h Us e o nly o ne ( T o r S ) for e a c h IP:... - S UNT:...0 Gateway:... D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) Us e o nly o ne ( T o r S ) for e a c h. OG C lea r J 0-G rear IP:... - S UNT:...0 Gateway:... H P 0- G J X 0 Stacking J 0-G rear J 0-G front J 0-G front J 0-G front 0 module 0 module X 0 module 0 module VLN SP+ X 0 module 0 module VLN G reen=0g bps, Y ellow =G bps SP+ QSP+ G reen=0g bps, Y ellow =0G bps 0 H P 00 S e rie s JG H P 00 S e rie s JG S YS S YS JG 00 0XG QSP+ front Member X 0 Stacking VLN QSP+ G reen=0g bps, Y ellow =0G bps 0 0 Stacking G reen=0g bps, Y ellow =G bps J 0-G front 0 Stacking abric IR abric IR 0 module HP SS eries w itc itc hh e rie s SS w J G JG JG 00 0XG QSP+ front Member HP SS eries w itc itc hh e rie s SS w J G JG Ziel des Projektes: Segmentierung und Optimierung der nbindung der tagen-verteiler Management CT LIN PWR Management CT LIN N PWR N PWR J 0-G rear J 0-G rear 0/00/000ase-T J 0-G rear N PWR 0/00/000ase-T JG 00 0XG QSP+ rear Default VLN Default VLN IP:... S UNT:...0 N JG 00 0XG QSP+ rear VLN VLN IP:... S UNT:...0 Core Switch - Virtual Switch abric mit 00er S witchen IP: S UNT:...0 Gateway:... VLN IP:... - S UNT:...0 Gateway:... IP:... - S UNT:...0 Gateway:... Herausforderungen: - Zwei unterschiedliche CLI-efehle auf Switchen (gleicher Hersteller) - omplexität durch eine Vielzahl von VLNs und Trunks o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX H P 0- G D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S T T S S J o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX T T S S T T S S J 0-G front 0 module J C lea r o f M ode: O ff = 0 M bps, fla s h = 00 M bps, 0 module 0 module T T S S T T S S X 0 Stacking 0 module o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX IP:... - S UNT:...0 Gateway:... H P 0- G D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S C lea r T T S S J 0-G front J C lea r o f M ode: O ff = 0 M bps, fla s h = 00 M bps, 0 module 0 Stacking on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S T T S S J 0-G front 0 module X 0 Stacking Us e o nly o ne ( T o r S ) for e a c h Us e o nly o ne ( T o r S ) for e a c h 0 module J 0-G rear IP:... - S UNT:...0 Gateway:... H P 0- G J D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) J 0-G front J 0-G rear. OG X J 0-G rear 0 module 0 module 0 Stacking X J 0-G rear IP:... - S UNT:...0 Gateway:... H P 0- G J C lea r o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S T T S S Us e o nly o ne ( T o r S ) for e a c h onferenz- bereich 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX X 0 Stacking J 0-G rear G on = 000+ M bps J 0-G front 0 module H P 0- G D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) C lea r Us e o nly o ne ( T o r S ) for e a c h C lea r Us e o nly o ne ( T o r S ) for e a c h Us e o nly o ne ( T o r S ) for e a c h. OG H P 0- G J J 0-G front 0 module 0 module 0 Stacking X J 0-G rear rstellt am.0.0 rstellt von Harry Ring, Nader Molla Nösse Datentechnik GmbH&Co.G

8 unde: SaaS Provider mit Rechenzentrum Projektbeschreibung: Segmentierung der bestehenden LN Infrastruktur Ziel des Projektes: Optimierung der Security und automatisierte VLN Zuordnung Herausforderungen: - Vielzahl von manuellen onfigurationsarbeiten (VLNs, irewallregeln, IP-dressen) - utomatisierung der VLN Zuordnung für die ndgeräte - Schnelle und unterbrechungsfreie Umsetzung

9 der LN 0 0 C- Sowohl Dokumentation onfiguration QoS in Projekten MC-dressenals auch bei der täglichen dministration für Port Security Infrastruktur gibt es die gleichen Probleme! Manuelle, fehleranfällige, herstellerspezifische und zeitaufwendige onfiguration onfigurationen von Trunks rocade Switch Switch J0 J00 Networking Status 00Switch Switch 00 Management Management J J Innovation Use s only Test Clear Mgmt lash Temp Chas DI Internal G H C D I J L s Pwr Spd LD iliary Port ault Locator onfiguration von ccess Control Listen + p v Mod J J0 Status 00R Management J State v Stby Dwn Spd : s Off = 0 / 00 Mbps, lash Internal G H Test DI Temp C D I J Chas Mgnt L Spd Clear System Shutdown lash = Gbps, Use Only v or later Management iliary Port Integrated 0/00/000ase-T (-) uto-mdix -Integrated 0/00/000ase-T (-) are are I uto MDI/MDI-X C + p v Mod J J0 000ase-T / 0Gase-T Use only supported transceivers /SP p Mod v J J0 + Integrated 0/00/000ase-T (-0) are uto-mdix -Integrated 0/00/000ase-T (-) are I uto MDI/MDI-X D 0 GbT v Mod J D + p Mod v J J0 + Integrated 0/00/000ase-T are uto-mdix -Integrated 0/00/000ase-T (-)(-) are I uto MDI/MDI-X G H ll ports are uto MDIX Use only supported transceivers C + Integrated 0/00/000ase-T (-) uto-mdix -Integrated 0/00/000ase-T (-) are are I uto MDI/MDI-X -Gb / 0-Gb SP+ p SP+ v Mod J s ault Locator On = > Gbps LD I J L 0R Switch J LN C T LN C T LN C T 0/00 a s e - T X P o rts ( - ) H P 0- H P 0- G ll RJ- ( - 0T) are uto-mdix J Dual-Personality : 0/00/000-T (T) or SP (S) ault Locator Status LD * Spd * T 0 T Spd : Off = 0 Mbps S 0 S o f M ode: O ff = 0 M bps, fla s h = 00 M bps, on = 000+ M bps 0/00/000 a s e- T s ( - T ) - s a re uto- MD IX D ua l- P ers ona lity s : 0/00/000- T ( T ) o r S P ( S ) T T S S lash = 00 Mbps Us e o nly o ne ( T o r S ) for e a c h J Ist Software-defined Networking (SDN) die Lösung? Test On = 000 Mbps Clear U s e O n ly S u p p o rte d T ra n c e iv e rs Use only SPs C lea r T T S S VLNs irmware Updates Patchen von neuen Verbindungen rweiterung mit neuen Switchen

10 onfiguration MC-dressen Software-defined für Port Security Dokumentation Networking (SDN) ist die Lösung und der nächste Schritt nach der Server-, Client- und StorageVirtualisierung! QoS onfiguration von utomatisierte, ccess Control Listen onfiguration von Trunks fehlerfreie, herstellerunabhängige und agile VLNs onfigurationen irmware Updates 0 0 rweiterung mit neuen Switchen rocade Switch Switch J0 J00 Networking Status 00 Switch Switch 00 Management Management J J Innovation Use s only C D I J L Test Clear Mgmt lash Chas DI Temp Internal G H s Pwr Spd LD iliary Port ault Locator State v Stby Dwn DI Temp Chas Mgnt Clear System Spd : s Internal lash Test Off = 0 / 00 Mbps, G H C D I J Spd Shutdown L lash = Gbps, Use Only v or later LD Management iliary Port 000ase-T / + p v Mod J J0 0Gase-T /SP p Mod v J J0 + p Mod v J J0 + Integrated 0/00/000ase-T (-) uto-mdix -Integrated 0/00/000ase-T (-) are are I uto MDI/MDI-X Use only supported transceivers Integrated 0/00/000ase-T (-0) are uto-mdix -Integrated 0/00/000ase-T (-) are I uto MDI/MDI-X D 0 GbT v Mod J D + Integrated 0/00/000ase-T (-) are uto-mdix -Integrated 0/00/000ase-T (-) are I uto MDI/MDI-X G H ll ports are uto MDIX Use only supported transceivers C + Integrated 0/00/000ase-T (-) uto-mdix -Integrated 0/00/000ase-T (-) are are I uto MDI/MDI-X C s -Gb / 0-Gb SP+ p SP+ v Mod J On = > Gbps ault Locator + p v Mod J J0 Status 00R Management J I J 0R Switch J LN L C T LN C T LN C T 0 / 0 0 a s e - T X P o rts ( - ) H P 0 - H P 0 - G ll RJ- ( - 0T) are uto-mdix Status LD * Test * T 0 T L o c a to r Spd : Off = 0 Mbps Spd lash = 00 Mbps On = 000 Mbps Clear S 0 S S ta tu s L D S ta tu s o f th e a c k Md l C md S ta c k in g S ta tu s S p d M o d e : O ff = 0 M b p s, fla s h = 0 0 M b p s, o n = M b p s 0 / 0 0 / a s e - T P o rts ( - T ) - P o rts a re u to - M D IX D u a l- P e rs o n a lity P o rts : 0 / 0 0 / T ( T ) o r S P ( S ) L in k L in k L in k L in k T T L in k S S L in k 0 L in k 0 L in k 0 L in k 0 T L in k S S Tes t C o n s o le a u lt Dual-Personality : 0/00/000-T (T) or SP (S) ault C o n s o le J J Locator U s e O n ly S u p p o rte d T ra n c e iv e rs Use only SPs C o n s o le u x P o rt Res et C le a r T Use o nly o ne (T o r S ) for e ach Patchen von neuen Verbindungen C- Ja.aber: noch braucht die ntwicklung etwas! Und bis dahin?

11 macmon vlan manager Dynamische VLNs VLN esucher VLN Produktion Gäste VLN Office-VLN Produktions-VLN Das VLN wird durch das ndgerät bestimmt (MC-dresse º VLN-ID). Die nwender haben immer den richtigen Zugang zum Netz, unabhängig vom physischen nschluss. infache Pflege, keine Nachkonfigurationen bei Umzügen oder mobilen Nutzern. ein Switch-nowhow bei den für die Pflege eingesetzten Mitarbeitern notwendig.

12 Network ccess Control NC Sie wissen bereits, was NC bedeutet! ein alter Hut, der nie richtig passte oder ein unverzichtbarer Sicherheitsbaustein, der einem nebenbei das Leben erleichtert? Zielsetzung NC: Im Netzwerk betriebene Geräte haben Zugriff auf LN-Ressourcen, ü wenn sie für diese zugelassen sind ü wenn sie den gültigen Sicherheitsstandards genügen NC Compliance Prüfen Sie die angebotene Lösung was erhalten Sie wirklich?

13 Spionageak>vitäten, die so nicht Schon fast amüsant: passiert wären WLN in der Tupperdose außerhalb des Gebäudes nicht erkannt jahrelang Getauschte Drucker angeblicher Servicepartner Drucker mit estplatte getauscht bzüge von allem, was gedruckt wurde über macmon sofort als Device sichtbar über macmon als neue MC ersichtlich und geblockt

14 ktuelle ngriffe, die so nicht passiert wären

15 Network ccess Control NC Die edeutung von NC in der Praxis in Großteil der Organisa>onen/Unternehmen haben bisher keine oder nur unzureichende Schutzmaßnahmen etabliert. Die edeutung von Netzwerkzugangs- ontrollsystemen (NC) nimmt gerade durch die ring- Your- Own- Device - Thema>k enorm zu. Die immer umfangreicher und komplexer werdenden Netzwerke sind ow ohne ein entsprechendes ontrollsystem nicht mehr überschaubar.

16 Network ccess Control NC Warum also wird NC so wenig genutzt? aufwändige Veränderungen der Infrastruktur hohe Inves>>onskosten hoher Pflegeaufwand geringer bzw. schwer festzustellender Mehrwert komplexe Thema>k hoher Schulungsaufwand Gefahr, falsche bzw. zugelassene Systeme auszusperren

17 macmon Network ccess Control NC Gerätelokalisierung und -steuerung am Switch-Port (SNMP, Telnet/SSH oder 0.X) keine genten oder Sensoren erforderlich keine Veränderungen der Netzwerkstruktur ußenstellen werden mit überwacht Herstellerunabhängigkeit Regelbasiertes ventmanagement Mischbetrieb mit & ohne 0.X Zeiteinsparungen durch utomatismen ngriffsabwehr & Netzwerktransparenz

18 macmon grafische Topologie effek>ve grafische Übersicht macmon hat im etrieb automatisch alle Informationen: utomatisches nordnen und rgänzen von neuen Devices. iltern anhand von igenschaften wie IP- dresse, Name, VLN, etc. Speichern, Laden und xportieren als.svg ehlkonfigurationen finden und manuell Uplinks pflegen

19 undenbeispiele Industrie Wichge aktoren Produk>onsnetze wachsen ow unkontrolliert, da proprietäre ommunika>onssysteme (eldbus, Interbus, Profibus, ) zunehmend durch thernet ersetzt werden Roboter und Maschinen können nicht mit üblichen Mibeln (Virenschutz, Patches, ) geschützt werden Dienstleister müssen für Störungsbesei>gungen und Wartungs- arbeiten Zugang zum Netz haben Sicherheitsvorfälle können Sach- und Personenschäden bewirken

20 undenbeispiele Gesundheitswesen Handbuch Umsetzung DIN N 000- mit macmon NC verfügbar!!! Wichge aktoren das IT- Netzwerk wird durch die inbindung von Medizinprodukten zu einem medizinischen IT- Netzwerk und fällt somit in den Zuständigkeitsbereich des Medizinproduktegesetzes (MPG) medizinisches IT- Netzwerk und allgemeines IT- Netzwerk müssen getrennt werden (DIN N 000-, Risikomanagement für IT- Netzwerke mit Medizinprodukten) Schutz der rzt- Pa>entenbeziehung bzw. Wahrung des Pa>entengeheimnisses (ärztl. Schweigepflicht, Par. 0 StG) für private Träger: eim Ra>ng von asel II (künwig auch URO- SOX), ist die IT- Infrastruktur direkt an die rteilung von inanzmibeln durch anken gekoppelt; Defizite in der IT- Sicherheit führen i.d.r. zur ürzung der reditlinie

21 ontakt Wir freuen uns auf das persönliche Gespräch mit Ihnen! macmon secure GmbH Charlottenstrasse 0 erlin on ax vertrieb@macmon.eu