MACsec và nguồn dự phòng trên Juniper EX4400: thiết kế cho tầng quan trọng
Hai tính năng khiến EX4400 phù hợp cho tầng quan trọng là MACsec AES-256 mã hoá lớp 2 và nguồn AC tháo lắp nóng dự phòng 1+1. Bài viết giải thích MACsec bảo vệ gì, khi nào cần, cách thiết kế nguồn dự phòng cho tủ và các điểm cần chuẩn bị khi triển khai.
Nội dung bài viết
Tầng quan trọng là nơi mất mạng vài phút đã gây thiệt hại: phòng giao dịch, khu sản xuất, phòng mổ, trung tâm điều hành. Hai thông số của EX4400 phục vụ trực tiếp nhóm này: MACsec AES-256 và nguồn tháo lắp nóng dự phòng 1+1.
MACsec bảo vệ điều gì
MACsec (IEEE 802.1AE) mã hoá khung Ethernet giữa hai thiết bị kề nhau ở lớp 2. Khác với VPN hay TLS (mã hoá ở lớp cao hơn, chỉ bảo vệ một số ứng dụng), MACsec bảo vệ toàn bộ lưu lượng trên đoạn cáp, kể cả các giao thức điều khiển. Trên EX4400, MACsec dùng AES-256 và là giấy phép tuỳ chọn.
| Tiêu chí | MACsec | VPN/TLS |
|---|---|---|
| Phạm vi bảo vệ | Toàn bộ khung Ethernet trên đoạn cáp | Một số ứng dụng hoặc đường hầm |
| Lớp hoạt động | Lớp 2, giữa hai thiết bị kề nhau | Lớp 3 trở lên |
| Ảnh hưởng hiệu năng | Xử lý bằng phần cứng trên switch hỗ trợ | Tuỳ thiết bị và thuật toán |
| Trường hợp dùng | Cáp qua khu vực không kiểm soát | Kết nối qua Internet, truy cập từ xa |
| Trên EX4400 | AES-256, giấy phép tuỳ chọn | Không thuộc phạm vi switch |
Khi nào cần MACsec
- Cáp chạy qua khu vực dùng chung, hạ tầng đi thuê, giữa hai toà nhà không kiểm soát được đường đi.
- Quy định nội bộ hoặc ngành yêu cầu mã hoá dữ liệu trên đường truyền, kể cả trong mạng nội bộ.
- Kết nối giữa tầng và phòng máy đi qua khu vực có người ngoài ra vào.
- Đường liên kết giữa các site qua hạ tầng của bên thứ ba.
Không cần MACsec khi toàn bộ tuyến nằm trong khu vực kiểm soát chặt và không có yêu cầu tuân thủ riêng; khi đó ưu tiên ngân sách cho dự phòng nguồn và đường lên.
Nguồn dự phòng 1+1
| Đặc điểm | Nội dung |
|---|---|
| Thay nguồn khi đang chạy | Tháo lắp nóng, không phải tắt switch |
| Cấu hình | Dự phòng 1+1 |
| Lợi ích | Mất một nguồn hoặc một nhánh điện, switch vẫn chạy |
| Yêu cầu đi kèm | Hai nhánh điện độc lập, ít nhất một qua UPS |
| Cần giám sát | Cảnh báo khi mất một nguồn để xử lý kịp |
Thiết kế tầng quan trọng
- Hai nguồn điện độc lập: mỗi bộ nguồn switch cắm vào một nhánh khác nhau, ít nhất một nhánh qua UPS.
- Hai đường lên: uplink 100G hoặc 2 x 10G đi hai tuyến vật lý khác nhau, gộp LAG.
- Virtual Chassis: hai switch trở lên để thiết bị đầu cuối quan trọng cắm chia đều trên hai thành viên.
- Thiết bị đầu cuối hai card mạng: máy chủ và thiết bị quan trọng nối vào hai switch khác nhau.
- Giám sát: cảnh báo khi mất một nguồn, một uplink hoặc một thành viên stack — nếu không, hệ thống chạy ở trạng thái không còn dự phòng mà không ai biết.
Chuẩn bị khi triển khai MACsec
- Xác nhận giấy phép MACsec trong đơn hàng, vì đây là tuỳ chọn.
- Kiểm tra thiết bị đầu kia của liên kết cũng hỗ trợ MACsec và cùng bộ mã hoá.
- Lập kế hoạch quản lý khoá theo hướng dẫn của hãng.
- Kiểm thử trong phòng lab trước khi áp lên tuyến đang chạy, vì lỗi cấu hình có thể làm đứt liên kết.
Xem thêm thông số EX4400, Virtual Chassis và nhóm Juniper EX4400, tủ mạng.
