許多人都在問
設備內置旁路功能還需要外部旁路交換機嗎?
在網絡中設計內聯安全工具時，引入網絡旁路技術是避免昂貴的網絡停機時間的最佳方法。簡而言之，旁路交換機(也稱為“旁路TAP”)提供了管理內聯工具可用性的能力，即在不斷開網絡可影響業(yè)務可用的情況下完成設備維護或升級。
在不能停機的時候，如果工具發(fā)生故障，旁路交換機可以快速解決問題，繞過故障工具，并保持網絡正常運行或故障轉移到高可用性(HA)解決方案。
管理停機風險：由于串聯式安全設備位于網絡段之間，因此管理停機時間的風險是部署安全設備時的重要考慮因素。安全團隊通常面臨：
?設備故障可能會導致網絡癱瘓
?收入損失
?客戶和公司信任度下降，聲譽受損
為什么要使用外部旁路交換機?
旁路交換機是專門為解決導致網絡中出現單點故障(SPOF)的“嵌入”式工具的問題而開發(fā)的。如果內聯設備不可用，則會繞過該設備，并在發(fā)生故障的工具兩端自動轉發(fā)流量。
“研究發(fā)現，廣泛使用外部旁路設備是最佳實踐。” - EMA [企業(yè)管理協會]
設備可能具有內部旁路功能，但是添加此功能的成本很高，并且仍然缺外部旁路交換機相關的關鍵功能，包括：
?管理隔離-無維護窗口
?操作隔離-加速停機的問題解決，而不會影響網絡連接
?工具沙箱-測試或部署新工具
?部署效率- 覆蓋多個網段
?網絡彈性-靈活旁路并保持網絡正常運行，或故障轉移到高可用性[HA]解決方案
?在線升級-在不中斷網絡的情況下進行設備的維護或者升級
心跳包監(jiān)視工具運行狀況
心跳數據包是一種軟檢測技術，用于監(jiān)控內聯設備的運行狀況。旁路TAP無需依賴于網絡與工具的直接連接，而是經過專門設計用于來回的傳遞心跳數據包來檢測所連接設備的問題。心跳包由旁路交換機添加到數據，并且都發(fā)送到串聯設備的輸入端口。內聯設備執(zhí)行其任務，然后通過心跳將數據發(fā)送回旁路交換機。旁路交換機會從數據中剝離心跳數據，這些數據會從TAP中發(fā)送出去并返回到實時網絡中。
心跳數據永遠不會發(fā)送到真實網絡中。如果未收到從旁路交換機發(fā)送的心跳信號，表明設備由于某種原因處于脫機狀態(tài)，則交換機將自動旁路該設備，即使設備處于脫機狀態(tài)也可以保持網絡正常運行。這樣就沒有網絡停機時間也沒有單點故障。
內聯生命周期管理
利用外部旁路交換機，而不依賴于內聯工具中的旁路功能，可提供實現內聯設備的生命周期管理的獨特功能。從沙箱部署新工具到輕松進行工具進行更新，安裝補丁，進行維護或故障排除以優(yōu)化和驗證，然后再推回內聯，外部旁路交換機迅速成為任何內聯工具的重要補充。
在不影響網絡可用性的情況下，使用實時數據包數據在實際環(huán)境中對新工具進行沙箱測試或試運行，從而能夠在將其實時部署到網絡中之前對其進行帶外評估和優(yōu)化。被測試的工具使用與生產環(huán)境相同的數據類型，而不是測試數據，從而增加了測試的真實性。
