ネットワークパケットブローカー「Niagara Networksソリューション 3808E/4248-6C」
特長
NIAGARA製品にPacketronを搭載することで、下記のようなOpen Visibility Platformの機能を利用することが出来ます。
- 暗号化通信の復号
- データマスキング
- 3G/4Gモバイル加入者の相関フィルタリングと負荷分散
- NetFlow生成
- 重複排除
- ヘッダストリッピング
※ERSPAN, FabricPath, GENEVE, GRE, NVGRE, VXLAN, VLAN, VN Tag, PPPoE, GTP, MPLS, MPLS (GRE), MPLS (IP), MPLS (L2), MPLS (UDP)
Network Packet Broker
アグリゲーション
複数のミラーポート、TAPからのトラフィックを集約することができます。キャプチャ装置などのモニタリング装置と組み合わせることで、複数拠点の一括監視などが可能となります。
複製
NPBに入力されたトラフィックをコピーして複数ポートから出力できます。複数のモニタリング装置やセキュリティ機器をNPBと接続する際に有用です。
フィルター
NPBに入力されたトラフィックにフィルターをかけて取り出すことが出来ます。
以下のフィルターや任意に定義したパターンとオフセットによるフィルターでフィルター可能です。
- Source/Destination MAC/IPv4/IPv6/MASK/L4 Port
- VLAN ID, VLAN Priority
- TOS, IP fragment, Protocol Type（Any, ICMP, OSPF, TCP, UDP, PIM, SCTPなど）
- GTP（version, Inner Source/Destination IPv4/IPv6/MASK）
ロードバランス
拡張ハッシュモード
任意の複数ポートでチャネルを作成して送信元MACアドレス等のポリシーを設定することで、ポリシーに合わせてチャネル内でパケットがロードバランスされます。ただし、セッションごとにポートは固定されます。
ダイナミックロードバランシングモード
ポートチャネルの全メンバー間でよりバランスの取れた負荷分散を実現します。拡張ハッシュモードとは異なり、ネットワークセッションまたは現在のトラフィック負荷に基づいて、トラフィックを最適な出力ポートにロードバランスされます。
Open Visibility Platform（OVP）
重複排除
ハッシュアルゴリズムの計算でネットワークパケットを一意に識別して処理します。この計算の対象をパケット全体とするか、ヘッダベース（L3/L4）とするか、どちらかを選択することができます。
パケットスライス
流れているパケットのうち、任意のデータは切り捨てられ、分析に必要な部分のみを取り出すことが出来ます。これにより、トラフィックを受信するネットワークツールがペイロード全体を分析する必要が無い場合や、ヘッダまたはパケットの一部だけで十分な場合に役立ちます。
GTP相関分析
コントロールプレーンとユーザープレーンを相関分析することにより、以下のような、特定のユーザーのトラフィックを識別しての解析・セキュリティ対策が可能となります。
- IMSI、IMEI、位置情報などの情報でGTP-Cトラフィックをフィルタリング
- フィルターされたトラフィックに関連するIPアドレスを持つGTP-Uトラフィックを任意のポートグループに負荷分散
この機能によって出力される情報が膨大である場合は、対象となるサブスクライバをランダムで選別するサンプリング機能により、出力するトラフィックを削減してより効率的な解析が可能。
TLS復号
Inline Decryption Modes
● Passive-Inline mode
クライアントとサーバー間の双方向で流れるパケットが復号化され、そのコピーが外部のツールに送信されます。それとほぼ同時に復号化されたトラフィックは再暗号化されて本来の宛先に転送されます。
● Active-Inline mode
クライアントとサーバー間の双方向で流れるパケットが復号化され、同じくインラインで展開されているセキュリティ機器などに送信されます。トラフィックが最後のインラインアプライアンスを通過した後、復号化されたトラフィックはNIAGARAで再度暗号化されて本来の宛先に転送されます。
Tap Decryption
暗号化されたトラフィックはコピー/復号化され、この復号化されたパケットはIPSやアナライザなどの外部のツールに送信されます。
※ この機能で復号化可能な暗号は、静的キーが使用される一部のTLS 1.2もしくはより古いバージョンの暗号のみです。
ヘッダストリッピング
パケットから特定の種類のプロトコルヘッダを削除できます。これにより、ヘッダが含まれている状態では処理できない外部ツールにも対応することが出来ます。
- サポートされているヘッダとトンネル：
VNTag, FabricPath, VLAN, MPLS, PPPoE, GRE, NVGRE, VXLAN, GENEVE, ERSPAN I, II, III, GTPv0U, GTPv1U, GTPC
データマスキング
パケット内のデータを任意の値に上書きすることで、監視ツール等で解析される前に機密情報を隠蔽することができます。
設定ではマスキングするデータのオフセットと長さ、上書きする値を指定できます。ただし、パケットサイズが予想よりも短い場合の処理方法や、誤った箇所がマスクされないように前後の値を解析するなどの設定が可能です。
アプリケーションフィルター
GoogleやYouTubeなど特定のアプリケーションや、電子メールやメディアなどのカテゴリごとにトラフィックを制御（制限・許可）することができます。
また、トラフィックの脅威レベルごとのトラフィック制御も可能なため、ネットワーク全体のトラフィックセキュリティの監視および実装に有効です。
Neflow
スイッチやルーターなどのネットワーク機器の代わりにフローを生成するため、ネットワークの品質を落とすリスクを除くことが出来ます。
- v5、v9、v10（IPFIX）を含む複数のバージョンのNetFlowをサポートしています。
Niagara Visibility Controller（NVC）
NVCのダッシュボードから、パケットブローカー、バイパススイッチ、TAPなど、様々な機器のトポロジーを確認でき、管理をサポート。
- 単一の画面から複数機器のファームウェア更新、バックアップ、構成更新を簡単に実行
- 全体のSyslog管理
- デバイス、グループ、ポートの統計とトラフィック状況の可視化
- 接続されたデバイスのヘルスチェックステータスの表示
- REST API対応
システム要件
| ホスト側 | Hypervisor: | Vmware ESXi / vSphere, Oracle Virtualbox |
|---|---|---|
| CPU: | 64-bit x86 CPU with virtualized acceleration enabled *minimum of 3.5 Ghz, 4 cores, 8 threads) | |
| RAM: | Minimum of 64GB min | |
| Storage: | Minimum of 46G, recommended 1TB | |
| Network: | 1Gbps | |
| NVC側 | Virtual CPU: | Minimum of 3 |
| RAM: | 8GB | |
| vNIC: | 1 vNIC (bridge mode) | |
| Browsers: | Google Chrome |
Cloud Intelligence Platform（CIP）
GCPやAWS、Azure環境上でパケットブローカーやTAPを実装します。これにより、クラウド環境の運用を効率化するだけでなく、ハイブリッド環境においても統合的な監視、運用が可能となります。
※対応機能
| Packet Broker | Packet Filtering IPv4 and IPv6 supported Packet Replication Traffic Mirroring GRE / VXLAN / NVGRE / GENEVE /ERSPAN termination, tunnel-in-tunnel GENEVE /ERSPAN and stacked tunnels GRE / VXLAN initiation VLAN tag manipulation |
|---|---|
| vPacketron | Deduplication Packet slicing Flow slicing Application filtering Data masking Generic header stripping Netflow / IPfix generation Regular Expression (RegExp) filtering |
ラインアップ
| Product model | 1/10G | 25G | 40G | 100G | 400G | NPB | OVP | Bypass | TAP |
|---|---|---|---|---|---|---|---|---|---|
3225 |
■ | ■ | ■ | ■ | ■ | ■ | |||
3299 |
■ | ■ | ■ | ■ | |||||
3808E |
■ | ■ | ■ | ■ | □ | ■ | ■ | ■ | ■ |
4248-6C |
■ | ■ | ■ | ■ | ■ | ■ | □ | ||
4540 |
■ | ■ | ■ | ■ | ■ | ■ | □ | ||
4220-6BP |
■ | ■ | ■ | ■ | ■ | ■ | ■ | ■ | |
5432 |
■ | ■ | ■ | ■ | ■ | ■ | ■ | ||
| CIP | ■ | □ | □ | □ | ■ | ■ | □ | ■ |