Защита каналов связи между территориально разнесенными ЦОДами

Введение

В условиях распределенной ИТ-инфраструктуры и роста объемов межцентрового трафика обеспечение защищенной и высокопроизводительной передачи данных между территориально разнесенными центрами обработки данных становится критически важной задачей. При этом решение должно не только соответствовать требованиям информационной безопасности, но и обеспечивать минимальные задержки, высокую пропускную способность и отказоустойчивость.

В данной статье представлено техническое решение по организации защищенных каналов связи между площадками ЦОД с применением сертифицированного средства криптографической защиты информации (СКЗИ) «Квазар». Рассмотрены архитектура подключения, особенности интеграции с существующим сетевым оборудованием, методика и результаты тестирования производительности, а также сравнительный анализ с альтернативными решениями уровня L3.

Предлагаемая схема обеспечивает шифрование трафика на скоростях до 10 Гбит/с с минимальным влиянием на задержку передачи данных, что делает решение применимым для построения защищенных высокоскоростных магистральных соединений между ЦОД.

Общие сведения

В качестве оборудования шифрования используется сертифицированное СКЗИ «Квазар» модели МШ-ТРfc-1U. Данное СКЗИ является транспондером, выполненным в виде моноблока, имеющего защитный корпус высотой 1U для монтажа в 19" телекоммуникационный шкаф. МШ-ТРfc-1U обеспечивает криптоимитозащиту и преобразование клиентского потока информации по интерфейсам: 10 Gbit Ethernet или 8 Gbit Fibre Channel. Предусмотрена возможность подключения к основной и резервной линиям связи с интерфейсом OTU2е, а также автоматическое переключение между ними, в случае пропадания сигнала по одной из линий.

МШ-ТРfc-1U имеет сертификат ФСБ и соответствует требованиям к средствам криптографической защиты информации, предназначенным для защиты информации, не содержащей сведений, составляющих государственную тайну, класса КС3, и могут использоваться для криптографической защиты (шифрование данных, вычисление имитовставки для данных, передаваемых по каналам связи в OTN-сетях) информации, не содержащей сведений, составляющих государственную тайну.

Для изготовления ключевых документов, используемых в модулях шифрования МШ-ТРfc, МШ-ТРfc-1U применяется автоматическое рабочее место изготовления ключевых документов (АРМ ИКД), также входящее в состав комплекса средств криптографической защиты информации для работы в OTN-сетях.

Основные технические характеристики МШ-ТРfc-1U:

В качестве клиентского оборудования на стороне центра обработки данных используется коммутатор MES5500-32 производства Eltex. Данная модель относится к линейке высокопроизводительных коммутаторов уровня агрегации/ядра сети и предназначена для эксплуатации в инфраструктуре ЦОД. Коммутатор обеспечивает передачу трафика на скоростях 10/40/100 Гбит/с и поддерживает работу с оптическими интерфейсами различного типа. Конструктивное исполнение предусматривает установку в стандартный 19” телекоммуникационный шкаф. Применение MES5500-32 в составе решения обеспечивает формирование и передачу клиентского трафика к средствам криптографической защиты информации.

Для подключения клиентских интерфейсов в составе решения используются сменные оптические трансиверы и кабельные сборки, соответствующие требованиям по скорости передачи данных 10 Гбит/с. В рамках испытаний и проверки совместимости оборудования применялись следующие типы клиентских интерфейсов:

оптические трансиверы стандарта SR

Перейти к товару

оптические трансиверы стандарта LR

Перейти к товару

медные кабельные сборки DAC

Перейти к товару

активные оптические кабели AOC

Используемые типы трансиверов обеспечивают корректную работу клиентских интерфейсов, совместимость с коммутационным и криптографическим оборудованием, а также позволяют применять различные варианты подключения в зависимости от условий размещения оборудования в ЦОД.

Схема связи

Схема организации связи между территориально-распределенными площадками ЦОД представлена на Рисунке 1.

В составе коммутаторов Eltex MES5500 есть два порта (XG1, XG2) со скоростью 10 Гбит/с. Подключение клиентских интерфейсов МШ-ТРfc-1U возможно, как с использованием данных портов, так и через переходник QSFP в SFP, установленного в один из портов 100/40 Гбит/с.

Для достижения производительности шифрования 40 Гбит/с физические порты коммутаторов на площадке объединяются в логическую группу с агрегированием каналов по протоколу LACP. Пропускная способность логического интерфейса составляет 20 Гбит/с full-duplex.

Производительность решения

Тестирование производительности решения производится по методике RFC 2544 с использованием поверенных измерительных приборов (анализаторов транспортных сетей). При выполнении теста измеряются:

1. Пропускная способность
2. Задержки
3. Потеря кадров
4. Колебание задержки (джиттер).

Тестирование проходит одним потоком на фреймах размером 64, 128, 256, 512, 1024, 1280, 1518, 9000 байт. По окончанию теста формируется отчет. При анализе отчетов пропускная способность измеряется для потока L1. Схема проведения измерений представлена на Рисунке 2.

Результаты тестирования пропускной способности, задержки, колебания задержки и потери кадров представлены на Рисунках 3-5.

Сравнение производительности с аналогичными L3-решениями 10 Гбит/c.

Результаты тестирования производительности (пропускная способность, задержка, джиттер) криптошлюза представлены на Рисунках 6-8.