cisco 10g firewall...2008/05/21 · web 1.0 web 2.0 web 2.0 사용으로 tcp connection 이 10~50...

© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialPresentation_ID 1

Cisco Korea

(version 1.0)

Cisco 10G Firewall- ASA 5580-20/40

© 2007 Cisco Systems, Inc. All rights reserved.Product Standard Presentation 2

목 차

High-End Market Firewall 동향

시스코 10G Firewall ASA 5580-20/40

타사 대비 경쟁 우위성

활용 방안

결론


High-End Market Firewall 동향


주문형주문형비디오의비디오의활성화활성화

무선기반의무선기반의모빌리티모빌리티 환경환경

협업을협업을 위한위한다양한다양한인터넷기반인터넷기반S/WS/W의의 발전발전

웹웹 2.02.0

인터넷을인터넷을기반으로기반으로 한한

비즈니스비즈니스모델의모델의 발전발전 Rich Media

개인 블로그 및WiKi

온라인 트랜잭션

데이터와 음성의통합

Social Networking

인터넷을 통한 The Human Network의 도래Changing the Way We Live, Work, Play, and Learn


* Source: Cisco whitepaper on Global IP Traffic Forecast and Methodology, 2006-11

0

5000

10000

15000

20000

25000

30000

35000

2005 2006 2007 2008 2009 2010 2011

Global IP Traffic 량 예측(Petabytes/Month)*

Rich Media 기반의 상호대화형 Application 의 증가

단순한 High Bandwidth 가아닌 복합적인 성능이슈에제한 없는 유연한 설계요구

고속의 네트워크 환경 상의효율적인 보안 event

monitoring 및 auditing다양한 사용자의 활발한인터넷활동에 따른 높은Connection Rate 요구

접속 방법의 다양화에 따른 신규보안 장비 도입 및 증설에 대한요구

인터넷 트래픽의 증가에 따른 새로운 요구사항


Security event 와 audit monitoring 의어려움

대형 서비스에 대한 보안 조치 결여

–기존 장비의 성능적 이슈

Result: Security Takes a Back Seat to Business Requirements

비효율적이고 복잡한 보안 솔루션 구성–고성능 보장을 위한 Stat-less Firewall Load-Balancing 구성

–L4/L7 추가로 인한 비용 추가

High-End Market 의 당면 현실


High-End Market 에 대한 업계 동향

과거구성형태

•대당 1~2Gbps •Multi-Giga 방화벽 구성을 위한LB•LB Switch 성능의 한계 때문에더 이상의 확장 불가

L4

L4

But Now Still…

• 대당 4~10Gbps, Multi-Giga 구현

•단순한 BW 경쟁, 여전히 낮은Connection Rate 로 인한비효율적 LB 구조 지속

L4

L4

공급업체별 10G Firewall 출시

InternetInternet

BW만 고려한수평이동


시스코 10G Firewall ASA 5580-20/40


High PerformanceHigh Performance–업계 최고의 초당 Connection 성능 및Throughput–Data center 에 적합한 Ultra Low Latency

High speed High speed NetFlowNetFlow Security Security Event LoggingEvent Logging

–NetFlow 기반의 Security Event Monitoring

Highly scalable VPN remote Highly scalable VPN remote accessaccess

–동시 접속 10,000 users

Raising the Bar for Firewall and VPN Capabilities Raising the Bar for Firewall and VPN Capabilities

New

New

Cisco ASA 5580 Series OverviewHigh Performance Firewall and Highly Scalable Remote Access VPN


10Gbps, 15만 CPS 동종업계 최고 성능 현실화

현실화 된 동종업계 최고 성능

– 동시 최대 2,000,000 Connection 지원

– 초당 150,000 Connection 성능

– Small Packet 에서도 50ms Latency 유지

– 10Gbps 성능 (Real World Troughput)– 최대 20Gbps 성능 (Jumbo Frame Applications)– 750,000 개의 Policy 적용 가능

– 동시 10,000 User VPN 수용 (IPsec & SSLVPN)

검증된 안정적인 OS기반의 확장성

– Active/Standby, Active/Active 지원

– Redundant Power, Fan, Link 지원

– 50개의 가상 방화벽 생성 가능

– 최대 24개의 1Gbps Interface 수용

– 또는 최대 12개의 10Gbps Interface수용 1 50K 100K 250K 500K 750K

Firewall Rules

Thro

ughp

ut

최대 75만개의방화벽정책지원성능에전혀영향이없이적용가능

0K

25K

50K

75K

100K

125K

150K

Firewall Connections/Second

ASA 5580 Brand X Brand Y

타사대비 5~7배이상의높은Connection Rate 제공


Typical firewall syslog Cisco ASA 5580 Netflow event

= Flow creation event

syslog 302013 TCP connection creation

syslog 302015 UDP connection creation

syslog 302017 GRE connection creation

syslog 302020 ICMP connection creation

syslog 302013

syslog 302015

syslog 302017

syslog 302020

Event Logging 의 Traffic 감소

–Event 통합 기능을 통해 NetFlow collectors 로의Traffic 감소

Event 저장 스토리지 용량 감소

–작은 용량의 Binary Data 로 전송

–Syslog 의 Text 방식 전송에 비해 스토리지 용량 절감효과

향상된 Event 분석 및 침해 판단

–다량의 Event 에서 유효한 Event 분석 시간 절감 효과

10G 환경에 적합한 NetFlow 기반의 Logging 및모니터링

Netflow v9

CS-MARS 3rd PartyNetFlowCollector

CiscoASA 5500

Netflow v9

CS-MARS 3rd PartyNetFlowCollector

CiscoASA 5500


Transparent Firewall & QoS지원

Existing Network

Active

Active

Active-Active Failover 지원

가상 방화벽 기능을 이용한 확장 및 HA 구성


30개이상의엔진

3030개개이상의이상의엔진엔진

응용프로그램 또는 프로토콜의 동작 방식 완벽 이해 동적 서비스포트 사용 및 NAT 적용

응용프로그램 또는 포로토콜의 오용 및 허가되지 않은 명령어 사용을사전 차단

미디어 및 VoIP

SIPSCCP (Skinny)

H.323 v1–4GTP (3G Mobile Wireless

MGCPTRP/RTCP/RTSP

TAPI/JTAPI

특정 프로그램

Microsoft Windows MessengerMicrosoft NetMeeting

Real PlayerCisco IP PhonesCisco Softphones

핵심 인터넷 프로토콜

HTTPFTP

TFTPSMTP/ESMTP

DNS/EDNSICMPTCPUDP

데이타베이스 및 운영체계

ILS/LDAPOracle/SQL*Net (V1/V2)Microsoft RPC/DCE RPC

Microsoft NetworkingNFSRSH

SunRPC/NIS+X Windows (XDMCP)

보안서비스 프로토콜

IKEIPSecPPTP

다양한 Appliaction 에 대한 Deep Packet Inspection Engine


Any PolicyAny Application Any EndpointWindows, Mac OS,

Linux, 스마트폰(브라우징)Latency 등 속도에 민감한 음성 및

비디오 데이터 전송 최적화, 업계 최초의DTLS(신SSL VPN 기술) 적용

접속자의 소속에 따른 다양한 사용자및 그룹별 세밀한 보안 정책 적용

What’s New?• 시스템당 최대 10,000 동시 사용자 지원

• 클러스터링을 통한 최대 100,000 동시 사용자 확장 지원

SSLVPN and IPsec VPN 동시 사용 가능

대용량 Remote Access VPN(IPSec + SSL) 기능동시 지원


기업 소유 자산의 PC 자원들 :

• 충분히 검증된 상태의 소프트웨어 사용• 보안 상태와 시스템의 등급을 파악한 상태• 다양한 Application의 사용 허가• 원격지 환경에서도 회사의 LAN 환경 처럼 접속

기업 소유 자산의 PC 자원들 :

• 충분히 검증된 상태의 소프트웨어 사용• 보안 상태와 시스템의 등급을 파악한 상태• 다양한 Application의 사용 허가• 원격지 환경에서도 회사의 LAN 환경 처럼 접속

신뢰할 수 없는 PC 자원들 (Partner, Home PCs, Kiosk):

• 제어가 불가능한 PC 환경• 인지 할 수 없는 PC 상태와 시스템 등급• 회사 환경 처럼 사용할 수 있는 최소한의 환경 요구• 특정 포털 사이트만을 접속할 수 있는 환경 요구

신뢰할 수 없는 PC 자원들 (Partner, Home PCs, Kiosk):

• 제어가 불가능한 PC 환경• 인지 할 수 없는 PC 상태와 시스템 등급• 회사 환경 처럼 사용할 수 있는 최소한의 환경 요구• 특정 포털 사이트만을 접속할 수 있는 환경 요구

VPN 환경 기반의 침해 요소 제거:

• VPN 접속 유저는 묵시적으로 신뢰된 사용자라고 판단• VPN을 통한 원격 접속 사용자 PC 자원에 웜이나 바이러스, 악성 코드침투 가능성

• VPN 접속 유저의 데이터 보호와 보안 상태 점검

VPN 환경 기반의 침해 요소 제거:

• VPN 접속 유저는 묵시적으로 신뢰된 사용자라고 판단• VPN을 통한 원격 접속 사용자 PC 자원에 웜이나 바이러스, 악성 코드침투 가능성

• VPN 접속 유저의 데이터 보호와 보안 상태 점검

Full Network Access:

•Tunnel 모드의 SSL (AnyConnect) 및 IPSec VPN Client S/W 무상 제공•모든 Application 지원•회사 LAN 접속과 같은 접속 환경 제공

Clientless, Web-Based Access:

•지원 Application 최적화를 통한 성능 유지•Java, Active-X 지원•Terminal Service를 통한 특정 Application 지원•그룹 기반의 Web Portal Service 제공

VPN 사용자의 안전한 보호 기능:

•Endpoint: Cisco Secure Desktop을 통한 접속 전 Key Logger 및 접속 후 데이터의 안전한 보호, 접속 종료 후 캐쉬 삭제•Network: Full Firewall 서비스 및 다양한 Application 에 대한Deep Packet Inspection 지원

Remote Access IPSec/SSL VPN Service원격 접속자를 위한 다양한 보안 연결


설정: FW/VPN 설정, SSH, Telnet, XML/HTTPS, and ASDM실시간모니터링: Syslog, SNMP, HTTPS, and ASDMSoftware updates: Auto Update, SCP, HTTP, HTTPS, and TFTP

고성능의 독립형 디바이스로 등록된 모든 Netwokr 및 Security Device들의모든 이벤트 수집Cisco 외의 타 공급사 장비 및 한국 장비 및 솔루션 포함 가능발생되는 모든 이벤트 수집 연관관계분석 중요한 사건만 통지 해당공격의 경로 가시화 최적 방어 포인트 및 방법 제시

Cisco 의 모든 보안 솔루션을 통합 관리 하는 별도의 응용프로그램firewall, VPN, IPS/IDS, 네트워킹 통합 설정 및 프로비져닝보안 정책 및 설정 정책에 대해 그룹정책 적용으로 정책수립 및 적용 단순화정책요청자,입안자,적용자,검토자 등 역할 별로 보안정책 요청에서 부터적용까지의 업무프로세스를 시스템화하여 적용윈도우 버전 지원

CS-Manager – 통합 관리 솔루션(Optional)

CS-MARS – 통합 모니터링 솔루션(Optional)

ASDM – 독립, Web방식의 GUI (Built-in)

독립 또는 통합 관리 도구


총 8개의 Hard drive Bay총 8개의 Hard drive Bay

4RU Rack Mount Form Factor26.5” Chassis Depth


Mounted on Rails for EasyAccess to Front and BackMounted on Rails for EasyAccess to Front and Back

내부 Compact Flash- 소프트웨어와 config 저장


Processing Engine- 20~40개의 Upgrade Kit 계획


Power Button과 상태 LEDPower Button과 상태 LED총 8개의 Hard drive Bay총 8개의 Hard drive Bay총 8개의 Hard drive Bay총 8개의 Hard drive Bay총 8개의 Hard drive Bay총 8개의 Hard drive Bay



Mounted on Rails for EasyAccess to Front and BackMounted on Rails for EasyAccess to Front and Back





Mounted on Rails for EasyAccess to Front and BackMounted on Rails for EasyAccess to Front and BackMounted on Rails for EasyAccess to Front and BackMounted on Rails for EasyAccess to Front and Back













Power Button과 상태 LEDPower Button과 상태 LEDPower Button과 상태 LEDPower Button과 상태 LEDPower Button과 상태 LEDPower Button과 상태 LED

Cisco ASA 5580 H/W 사양


이중 AC Power Supplies- 20 Amp Circuit


2 GE, OOB Management Ports2 GE, OOB Management Ports

Console PortConsole Port

이중 USB v2.0 Port향후 사용 예정


여유 슬롯여유 슬롯

6개의 여유 슬롯- 24 GE or 12 10GE Ports








2 GE, OOB Management Ports2 GE, OOB Management Ports

Console PortConsole Port

2 GE, OOB Management Ports2 GE, OOB Management Ports2 GE, OOB Management Ports2 GE, OOB Management Ports

Console PortConsole PortConsole PortConsole Port



여유 슬롯여유 슬롯





여유 슬롯여유 슬롯여유 슬롯여유 슬롯







Cisco ASA 5580 H/W 사양(Cont’d)


• 카드 당 4개의 10/100/1000 Ethernet port• 시스템 당 최대 24개까지의 GE port 지원

세분화된 네트워크환경에 적합한 확장성 확보

완벽한 가상방화벽 환경 지원

4-Port 10/100/1000 Ethernet Card

4-Port Gigabit Ethernet Fiber SR LC Card • 카드 당 4개의 fiber G/E port-short range (SR) optics & LC connector

•시스템 당 최대 24개까지의 GE port 지원

세분화된 네트워크환경에 적합한 확장성 확보

완벽한 가상방화벽 환경 지원

2-Port 10 Gigabit Ethernet Fiber SR LC Card • 카드 당 2개의 fiber 10GE port-short range (SR) optics & LC connector

• 시스템 당 최대 12개까지의 10GE port 지원

최대 성능 및 확장성에 대한 완벽한 대비

Cisco ASA 5580 Series의 인터페이스 카드


네트워크 위치

성능최대 파이어월 (Real-world HTTP)최대 파이어월 (Jumbo-frame)최대 파이어월 UDP 1400)최대 IPSec VPN최대 IPSec/SSL VPN 동시 연결수

플랫폼별 상세최대 파이어월 동시연결수최대 초당 동시 연결수Packets/Second (64 byte)Base I/OMax I/O최대 지원 VLAN 수고가용성 기능최대 가상방화벽 수

CiscoASA 5550

Internet Edge /Campus

1 Gbps-

1.2 Gbps425 Mbps

5000 / 5000

650,00036,000

600,0008 GE + 1 FE8 GE + 1 FE

250A/A and A/S

50

CiscoASA 5580-20

Campus/ Data Center

5 Gbps10 Gbps6.5 Gbps1 Gbps

10,000 / 10,000

1,000,00090,000

2,500,0002 Mgmt

24 GE / 12 10GE100 (250*)

A/A and A/S50

CiscoASA 5580-40

Data Center

10 Gbps20 Gbps14 Gbps1Gbps

10,000 / 10,000

2,000,000150,000

4,000,0002 Mgmt

24 GE / 12 10GE100 (250*)

A/A and A/S50

New NewCisco

ASA 5540

Internet Edge

500 Mbps-

650 Mbps325 Mbps

5000 / 2500

400,00025,000

500,0004 GE + 1 FE8 GE + 1 FE

200A/A and A/S

50

* Supported in a future software release

인터넷 Edge 에서 데이터 센터까지 High-End Market 대상 Lineup의 완결


타사대비경쟁우위성


Web 1.0

Web 2.0

Web 2.0 사용으로TCP Connection 이

10~50 배증가

높은성능의CPS 및 Performance

비용절감효과

진정한 10G Firewall 솔루션Cisco Cisco

ASA 5580 SeriesASA 5580 Series

Web 2.0 시대에 맞는 고성능 Firewall 이란?

• 대당 4~10Gbps, Multi-Giga 구현

•단순 BW 성능만 향상

•여전히 낮은 Connection Rate 로 인한 비효율적 LB 구조 지속

L4

L4

Internet

경쟁사솔루션

Internet

VS


Datasheet 상의 타사 동급 장비 성능 비교

Juniper NS 5200 / 5400Cisco ASA 5580기준

4–30 Gbps10-20 GbpsThroughput

40,000750,000Max Policies

20,000150,000Connections/Sec

주요 Application 기준의 성능 비교표

Cisco ASA 5580 Series Juniper 5200 Series


Load-balancer

Load-balancer20k conn/sec Firewall

20k conn/sec FirewallCisco® ASA 5580

With Firewall, SSL and IPsec VPN vs.

Total Cost of Ownership

Dire

ct a

nd In

dire

ct

Cos

ts

Cisco ASA 5580 in High Availability Configuration

$1,600,000

$0

$400,000

$800,000

$1,200,000

Competitive Firewall/LBAppliances

Direct CostsIndirect Costs

20k conn/sec Firewall20k conn/sec Firewall

$388,815

$1,416,097

Current Deployments (best case) Adaptive Security Appliance

단일장비를통한빠른구축과효율적인운영관리

고성능 단일 장비 구축으로 비용 감소 효과


활용 방안


Data Center

Public Internet

Corporate LAN

Wireless LANDMZ

Business Partners

RemoteSite

Enterprise Network

High-End Enterprise 를 위한 ASA 5500 구성

원격 접속 사용자망Mobile Worker 의 증가로 인한다양한 VPN 접속 방식 제공 및보안정책 적용 기능 요구

본사 내부 사용자망기업의 인터넷 기반 비즈니스의확장에 따른 사용자 접근통제 및고성능 방화벽 기능 요구

Data Center공개된 대용량의 멀티미디어 사용및 대량 접속에 따른 서비스연속성 유지 및 고성능 방화벽기능 요구

익스트라넷인터넷 기반의 B2B 연결 증가로인한 유연하면서도 안전한 보안기능 요구

지사/지점 망본사망과의 안정적인 보안망 유지및 보안정책의 적용,독립된 인터넷 접속에 따른다양한 보안 위협 방어 기능 요구

높은 CPS 기반의 5~10G 환경에 맞는 고성능 Firewall 에서 효율적인통합보안을 제공할 수 있는 UTM까지 대규모 기업이 처한 다양한 환경별로요구되어 지는 맞춤형 보안 기능 적용이 가능

ASA 5580-20 Firewall + SSL/IPSec

VPNASA 5500FW+SSL/

IPSec VPN+IPS

ASA 5580-20A/S 5G Firewall

ASA 5580-40 A/A 10G Firewall

ASA 5500 FW+IPSe

c VPN +Anti-X


기업 IDC 를 위한 Cisco 10G Firewall 구성

Front End Network

•Security Net•Data Center Switch

N-Tier App•SLB network•Web,App,DB,MainFrame

Storage network

Layer

L4 L4

L4 L4

L4L4 L4 L4 L4

Typical Solution

10G

10G10G

10G

Cisco Solution Description

•DC의최종단관문방화벽Real 10G Firewall

ASA5580-40 •하단 Layer 와차별화된1차보안관문화•모든서비스에대한통제

•Application 별가상화네트워크구축

•C6K 기반의 FWSM, ACE를통한최후방어선•서비스영역별상세보안적용

•고효율의완벽한가상화

L4 L4

L4 L4

L4L4 L4 L4 L4

Typical Solution


Internet

WAN

Cisco ASA with VPN

Cisco ASA with

VPN

Cisco ASA 5580 (IPsec & SSLVPN)

Remote VPN Users (IPsec &

SSLVPN)

대용량 VPN Gateway Service


결론


현시대가 요구하는 진정한 10G Firewall!!

Why Cisco ASA5580-20/40?

Rich Media

온라인트랜잭션

데이터와음성의 통합

모빌리티환경

Cisco® ASA 5580With 10G Firewall, SSL/IPsec VPN

Adaptive Security Appliance

•동종업계 최고 초당 동시 15만Connection Rate 보장

•10G Network에 대한 완벽한 준비

•대용량 IPSec 및 SSL VPN 동시 지원

•고속 Network 환경에 적합한 NetFlow기반의 Logging & Audit

Cisco 10G FirewallThe Human

Network


Q and A

cisco 10g firewall...2008/05/21 · web 1.0 web 2.0 web 2.0 사용으로 tcp connection 이 10~50...

Documents