Planejando sua implantação do Check Point

Este tópico fornece uma visão geral do processo de provisionamento e descreve considerações de implantação para o Megaport Virtual Edge (MVE).

You Provide	Megaport Fornece
Conexão de internet da filial	Plataforma para hospedar instâncias virtuais de segurança
Check Point CloudGuard implantado na filial	Conexão completa de uma filial a qualquer destino na rede da Megaport e interoperabilidade com outros produtos e serviços da Megaport
Equipamento nas instalações do cliente (CPE) instalado na filial	Megaport Internet conexão para terminar o túnel entre MVE e o CPE na filial via internet
Licença de software Check Point CloudGuard para usar na SDN da Megaport	Acesso ao ecossistema da Megaport

Considerações de implantação

Esta seção apresenta uma visão geral das opções e funcionalidades de implantação do MVE.

Nota

A arquitetura da Check Point é diferente da de muitos outros fabricantes de firewall.

A Check Point usa um Security Management Server central (Policy Server) para gerenciar e configurar seus Security Gateways, incluindo MVEs. O Security Management Server define políticas de segurança e as distribui aos gateways, que então as aplicam.

Acesso e gerenciamento iniciais

Use vNIC 0 para a comunicação inicial com o dispositivo.
Configure vNIC 0 como untagged para permitir o primeiro login administrativo.
Os firewalls Check Point desabilitam o Internet Control Message Protocol (ICMP) por padrão. Você não pode usar ping ou outras ferramentas baseadas em ICMP para verificar a conectividade imediatamente após a implantação.
Depois que o MVE estiver ativo, faça login usando SSH ou HTTPS.

Política e configuração avançada

Use o Check Point Smart Console para configuração avançada e gerenciamento de políticas. Você deve configurar completamente o Smart Console antes de poder criar ou publicar políticas de firewall.
Implante um Management Gateway (Security Management Server) para definir e distribuir políticas de firewall. Você pode implantar o Management Gateway em qualquer ambiente CSP.

Para obter informações sobre como automatizar implantações do Check Point CloudGuard, consulte CloudGuard Network Security - How to configure cloud-init automation e How to provide user data in KVM with Configuration Drive.

Provedores de Rede e Segurança

MVE integra-se ao Check Point CloudGuard para oferecer prevenção avançada contra ameaças e roteamento de tráfego seguro e baseado em políticas entre sua rede e ambientes em cloud.

Para mais informações sobre NFVsO MVE é uma plataforma de Virtualização de Funções de Rede (NFV) sob demanda, agnóstica a fornecedores, que fornece infraestrutura virtual para serviços de rede na borda da rede global definida por software (SDN) da Megaport. Tecnologias de rede como SD-WAN e NGFW são hospedadas diretamente na rede global da Megaport via Megaport Virtual Edge.
compatíveis na plataforma MVE, consulte a Megaport Virtual Edge (MVE) product page.

Localizações do MVE

Para uma lista de localizações globais onde você pode se conectar a um MVE, consulte Megaport Virtual Edge Localizações.

Dimensionando sua instância MVE

O tamanho da instância determina os recursos do MVE, como quantas conexões simultâneas ela pode suportar.

Ao escolher um tamanho de instância do MVE, tenha em mente os seguintes pontos:

Qualquer aumento na carga do fluxo de dados da rede pode degradar o desempenho. Por exemplo, estabelecer túneis seguros com IPsec, adicionar path steering de tráfego ou usar inspeção profunda de pacotes (DPI) pode afetar a taxa máxima de throughput.
Planos futuros para escalar a rede.

Para verificar quais tamanhos de instância do MVE estão disponíveis para sua implantação, use o Megaport Portal durante o processo de configuração do MVE. A disponibilidade de tamanhos de instância depende tanto do fornecedor selecionado quanto da localização da implantação e pode variar de acordo. O Megaport Portal exibe os tamanhos que estão disponíveis para o fornecedor e a localização selecionados.

Para verificar os tamanhos de instância do MVE no Megaport Portal

No Megaport Portal, vá para a página Services (Serviços).
Clique em Create MVE (Criar MVE).
Selecione Check Point CloudGuard Network.
Selecione a versão do software.
Clique em Next (Próximo).
Selecione uma localização do MVE.

Selecione uma localização geograficamente próxima à sua filial de destino e/ou às localizações on-premises.

Você pode usar o campo Search (Pesquisar) para encontrar o nome do Port, o país, a cidade metropolitana ou o endereço do seu Port de destino. Você também pode filtrar por zona de diversidade.
Uma lista de tamanhos de instância disponíveis aparece com base na localização selecionada. Os tamanhos disponíveis são destacados em verde e rotulados como Available (Disponível). Os tamanhos suportam números variados de conexões simultâneas, e as métricas dos produtos dos parceiros variam ligeiramente.

Nota

Se o tamanho de MVE que você deseja não estiver na lista, então não há capacidade suficiente na localização selecionada. Você pode selecionar outra localização com capacidade suficiente ou entrar em contato com seu Gerente de Conta para discutir os requisitos.

E se eu precisar de mais capacidade do MVE no futuro?

Para aumentar a capacidade do seu MVE, você tem estas opções:

Você pode provisionar outra instância MVE, adicioná-la à sua rede overlay , e dividir a carga de trabalho entre as duas MVEs.
Você pode provisionar uma instância MVE maior, adicioná-la à sua rede overlay , migrar conexões da antiga MVE para a nova MVE maior e, em seguida, aposentar a antiga MVE.

Você pode ajustar a largura de banda do Megaport Internet a qualquer momento sem precisar desprovisionar a máquina virtual.

Segurança

MVE fornece conectividade segura entre suas filiais e destinos em cloud ou data center por meio da SDN da Megaport. Instâncias Check Point CloudGuard hospedadas no MVE inspecionam, protegem e controlam o tráfego através do backbone de rede privado da Megaport. O tráfego permanece criptografado e com aplicação de políticas da borda ao destino.

Licenciamento

Antes de criar um MVE no Megaport Portal, garanta que sua conta de usuário tenha permissões de pedido. Para mais informações, consulte Criando uma conta.

Você também precisa de uma licença válida do Check Point CloudGuard. Para obter ou gerenciar uma licença Check Point CloudGuard, consulte o Check Point User Center.

Marcação de VLAN

Megaport usa Q-in-QO tunelamento 802.1Q (também conhecido como Q-in-Q ou 802.1ad) é uma técnica usada por provedores de Camada 2 do OSI para clientes. O 802.1ad prevê tanto uma tag interna quanto uma tag externa, na qual a externa (às vezes chamada de S-tag, de provedor de serviços) pode ser removida para expor as tags internas (C-tag, de cliente) que segmentam os dados.
para diferenciar VXCs e MVEs em um sistema de hardware host. O MVE do locatário recebe tráfego sem marcação para o link voltado à internet e tráfego 802.1Q com marcação simples para VXCs em direção a outros destinos na rede da Megaport (como CSP on-ramps ou outros MVEs). Para obter mais informações, consulte Configurando Q-in-Q.

vNICs

Um vNIC é suportado para integração do MVE com Check Point.