Что происходит, когда в сеть прилетают сотни гигабит трафика, один из узлов внезапно падает, а пользователи и бизнес даже не замечают проблем?

Инженеры «Инфосистемы Джет», Бифорком и команда PT NGFW решили не гадать — и собрали это в лаборатории.

Для исследования была выбрана следующая архитектура:
— четыре PT NGFW (по 100 Гбит/с в режиме IPS у каждого),
— два балансировщика Бифорком,
— active-active кластер,
— промышленная модель нагрузки с постепенным ростом трафика от 50 до 200 Гбит/с.

Причем тестировали не только «идеальный мир», где все работает красиво. Инженеры моделировали реальные аварийные сценарии: обрыв каналов, потерю BFD-сессий, перезагрузку устройств и перераспределение потоков между узлами под нагрузкой.

Спойлер: сеть выжила 🙂

Потери пакетов при переключении между PT NGFW оказались минимальны, восстановление во всех сценариях занимало доли секунды, а добавление нового устройства увеличивало пропускную способность кластера без замены имеющихся узлов.

Проблема большинства сетей не просто в объеме трафика. А в том, что NGFW должен одновременно фильтровать трафик, анализировать приложения, проверять IPS-сигнатуры, обрабатывать огромное количество сессий, поддерживать отказоустойчивость, и делать все это без превращения сети в «кирпич».

После интеграции с балансировщиком Бифорком трафик распределяется между PT NGFW с помощью симметричного хэширования. Это гарантирует, что вся сессия целиком всегда проходит через один и тот же межсетевой экран — а это критически важный момент для корректной работы. При отказе одного из узлов его нагрузка автоматически уходит на оставшиеся устройства. Причем уже существующие потоки продолжают жить дальше без болезненного пересобирания всей схемы.

Результат тестирования:
🔘минимальные потери пакетов при переключениях,
🔘восстановление за доли секунды,
🔘линейное масштабирование производительности,
🔘возможность наращивать кластер без замены уже существующих узлов.

Когда рынок уперся в очень практический вопрос: как строить действительно высокопроизводительные отечественные NGFW-инфраструктуры уровня крупных ЦОДов, банков, операторов связи и промышленных сетей, по результатам тестирования мы можем ответить, что речь уже идет не про один firewall, а про горизонтально масштабируемую систему, которая может вырастать до нескольких терабит производительности.

И, кажется, именно такие тесты лучше всего показывают зрелость продукта 😉

По итогам тестов «Инфосистемы Джет» получила статус аккредитованного партнера Positive Technologies по внедрению этой архитектуры с PT NGFW ⚡️

Изучить новость полностью можно по ссылке.

💬 Чат для общения | Попробовать тест-драйв