智慧型

Silicom IS40 1/10/40 G Bypass Switch 智慧型旁路交換器，免除inline設備因當機而造成的網路斷線風險。新一代架構新增內建黑白名單bypass與LAG功能。黑白名單可控制特定封包bypass或進入監控主機，減輕監控主機的流量負載；LAG功能可讓多segment的主機啟用port channel (LACP)架構，仍然能讓檢查封包(Heartbeat)正確通過，例如F5/Citrix WAF在LACP環境下亦可使用。全系列bypass switch智慧型旁路交換器皆具備Double Safe自我當機偵測設計，免除自己成蔚網路故障點的疑慮，port channel最低連線總數設定，IS40可讓用戶免於斷線風險之外，同時使用port channel擴充效能與線路備援，雙效兼得。

Inline資安設備，如NGFW、IPS、WAF、DDoS、SSL、DPI，是企業避免遭受駭客或蠕蟲入侵的守門神，需要對每個封包深度檢測，確認安全無虞後，才能讓封包通過。因此繁複的工作需要大量消耗設備的CPU效能，並且軟硬體都必須有良好的搭配，而資安設備的效能也與阻擋規則的種類與多寡息息相關，能夠處理的流量並非等同於介面速度，因此難免偶而的當機或更新軟體初期系統不穩定等，導致對外網路斷線，反而造成企業立即的災難，甚至營收的損失。旁路交換器的功能，能讓這種斷線的風險，降到最低。

旁路交換器(Bypass Switch)的功用，是用來免除透通模式（Inline）的資安監控設備或頻寬管理器，所引起的網路斷線疑慮，從防護的效用來看，一般可分為三種等級：

• 普通級：Inline主機與自身斷電bypass
• 進階級：普通級功能加上 Inline主機當機、斷線bypass
• 最高級：進階級功能加上 旁路交換器自身當機bypass

 
IS40 1/10G 旁路交換器(Bypass Switch)，皆屬於最高等級的防護力，具備主動與被動式旁路能力，能保護網路，不讓監控設備因維護、當機或斷電而導致網路中斷。除了可發送監控用的心跳封包（Heartbeat），監控資安主機進行旁路切換之外，也監控自己的健康狀態，自己當機或斷電也能進行旁路切換，而不會成為網路的故障點。
 

一般用戶的迷思，認為內聯（Inline）設備只要具備Bypass功能的網卡，發生故障時就不會造成網路中斷了，但殊不知IPS、WAF、DAM、頻寬管理器等內聯（Inline）模式設備故障，最常造成網路斷線的原因就是...當機，或者已經處於流量處理速度很慢，但卻又沒有斷線的"半死"狀態，造成用戶聯外失敗的問題；即使用了HA架構，但這種狀況發生時，卻仍需要手動切斷故障的內聯設備，才能讓全部流量順利進入HA備援機制的第二台監控設備中。此刻內聯設備內建的bypass網卡的作用，只是在設備切斷電源後，暫時讓網路流量可以通過。但如此一來，完全達不到自動化斷線防護目的，仍需要耗費人力，處理斷線的問題，且是在造成網路down time一段時間後，才能解決問題，因此越來越多用戶開始重視斷線防護等級的差異，並願意投資更有效的斷線防護方案。


Silicom IS40智慧旁路交換機採用1U標準機箱，擁有三個模組的擴充空間，可同時使用40G模組以及10G/1G模組；每個40G模組支援一對旁路端口（1 segment），每個10G/1G模組支援兩對旁路端口（2 segments）。
 
再介面選擇上，IS40智慧旁路交換機除了支援單模光纖（40GBase-LR4），也支援多模光纖（40GBase-SR4），每個旁路模組提供兩個MPO/LC規格的網路端口連接上下端網路，以及兩個QSFP+端口連接Inline模式的資安設備，也可支援10G/1G的單/多模光纖（10GBase-SR,1000Base-SX,10GBase-LR,1000Base-LX），每個10G/1G旁路模組提供四個LC Duplux規格的網路端口連接上下端網路，以及四個SFP+端口連接Inline模式的資安設備。


Silicom IS40智慧旁路交換機（Intelligent Bypass Switch）支援四種旁路模式：正常內聯（Normal inline）、旁路（Bypass）、分流（TAP）與斷線（Linkdrop）等模式。

1. 在正常內聯模式下（Normal），IBS引導網路流量至所連接的內聯網路設備。
2. 在旁路模式中（Bypass），IBS不會將流量引導到所連接的網絡監控設備（Inline appliance），而將流量直接導回到網絡中。
3. 在分流模式（TAP）中，流量直接透通NET埠，但被複製到MON埠，進入NET0端口的流量會被複製到MON0端口，進入NET1端口的流量被複製到MON1端口，網路實際流量在NET0與NET1之間傳送，不會導入連接MON0與MON1的網路設備，讓設備不會影響網路，卻又能有測試流量，以利工程師偵錯。
4. 在斷線模式（Linkdrop），IBS偵測到"當機"的內聯設備，則自動關閉網絡端口（NET0, NET1）的連接讓網路中斷，讓流量可以順利導入仍在HA模式中的正常監控設備，才能真正達到全時自動化監控的效用。

IS40 bypass模組可產生心跳封包（Heartbeat），心跳封包隨著網路流量到內聯式的網路監控設備的網路端口，讓心跳封包從網路端口進入設備內部，並與其他網路流量傳輸到其他端口（橋接心跳封包），送出心跳封包。IS40 bypass模組在預設時間內檢測到返回的心跳封包，則保持內聯模式。

 當IS40 bypass模組未從內聯設備端檢測到返回的心跳封包，則依據預先的設定，IS40自動會被切換成旁路（Bypass）、分流（TAP）或斷線（Linkdrop）模式。當內聯監控網絡設備恢復正常並讓心跳封包在預設時間內返回bypass模組，IS40偵測到返回心跳封包，則恢復成正常內聯模式。通常，bypass模式會在內聯設備電源故障、鏈路故障、內聯軟件應用程序系統當機，或使用者要求時啟動。 
 
IS40包含雙重旁路安全架構。Silicom雙重旁路安全架構基於兩個旁路路由電路：一個為主動旁路電路和被動旁路電路。如果內部偵測到主動旁路路由電路發生故障時，則啟動被動旁路路由。因此，IS40不僅監控內聯設備的健康狀態，也監控自我的旁路功能是否正常，讓用戶多一層保障。
 
IS40可以支援LAG （link aggregation）；在port channel (LACP)環境下，某些例如F5、Citrix的WAF設備，必須與上下行網路設備建立port channel通道，傳統的bypass Switch會發生heartbeat封包無法返回原來模組，而導致bypass switch誤判而切入bypass模式。IS40是新一代的旁路交換器，可以在這樣的port channel (LACP)環境下使用，而不會有誤判問題，並可偵測port channel群組內的連線數，若因斷線而使連線總數少於設定數量，則啟動bypass模式，讓用戶暨免於斷線風險，又可以兼顧線路備援，雙效兼得。

 

IS40能以最經濟方式，實現Service Chain：


IS40能以下列方式設定：

• 簡單的CLI指令設定介面，經由序列埠console、 Telnet 或 SSH.
• 網頁圖形GUI管理介面
• SNMP Write網管自動寫入

IS40是一款1U主機系統，最多可支援三個bypass模組，最多3個40G bypass segments、或6個10G/1G bypass Segments，主機包含兩個備援110 - 220 V AC電源或兩個備援-48直流電源。