MACsec và nguồn dự phòng trên Juniper EX4400: thiết kế cho tầng quan trọng

Tầng quan trọng là nơi mất mạng vài phút đã gây thiệt hại: phòng giao dịch, khu sản xuất, phòng mổ, trung tâm điều hành. Hai thông số của EX4400 phục vụ trực tiếp nhóm này: MACsec AES-256 và nguồn tháo lắp nóng dự phòng 1+1.

MACsec bảo vệ điều gì

MACsec (IEEE 802.1AE) mã hoá khung Ethernet giữa hai thiết bị kề nhau ở lớp 2. Khác với VPN hay TLS (mã hoá ở lớp cao hơn, chỉ bảo vệ một số ứng dụng), MACsec bảo vệ toàn bộ lưu lượng trên đoạn cáp, kể cả các giao thức điều khiển. Trên EX4400, MACsec dùng AES-256 và là giấy phép tuỳ chọn.

Khi nào cần MACsec

• Cáp chạy qua khu vực dùng chung, hạ tầng đi thuê, giữa hai toà nhà không kiểm soát được đường đi.
• Quy định nội bộ hoặc ngành yêu cầu mã hoá dữ liệu trên đường truyền, kể cả trong mạng nội bộ.
• Kết nối giữa tầng và phòng máy đi qua khu vực có người ngoài ra vào.
• Đường liên kết giữa các site qua hạ tầng của bên thứ ba.

Không cần MACsec khi toàn bộ tuyến nằm trong khu vực kiểm soát chặt và không có yêu cầu tuân thủ riêng; khi đó ưu tiên ngân sách cho dự phòng nguồn và đường lên.

Nguồn dự phòng 1+1

Thiết kế tầng quan trọng

1. Hai nguồn điện độc lập: mỗi bộ nguồn switch cắm vào một nhánh khác nhau, ít nhất một nhánh qua UPS.
2. Hai đường lên: uplink 100G hoặc 2 x 10G đi hai tuyến vật lý khác nhau, gộp LAG.
3. Virtual Chassis: hai switch trở lên để thiết bị đầu cuối quan trọng cắm chia đều trên hai thành viên.
4. Thiết bị đầu cuối hai card mạng: máy chủ và thiết bị quan trọng nối vào hai switch khác nhau.
5. Giám sát: cảnh báo khi mất một nguồn, một uplink hoặc một thành viên stack — nếu không, hệ thống chạy ở trạng thái không còn dự phòng mà không ai biết.

Chuẩn bị khi triển khai MACsec

• Xác nhận giấy phép MACsec trong đơn hàng, vì đây là tuỳ chọn.
• Kiểm tra thiết bị đầu kia của liên kết cũng hỗ trợ MACsec và cùng bộ mã hoá.
• Lập kế hoạch quản lý khoá theo hướng dẫn của hãng.
• Kiểm thử trong phòng lab trước khi áp lên tuyến đang chạy, vì lỗi cấu hình có thể làm đứt liên kết.

Xem thêm thông số EX4400, Virtual Chassis và nhóm Juniper EX4400, tủ mạng.