あるグローバル企業がデータセンターとプライベートクラウドのインフラストラクチャを近代化している。その環境は以下の通りである。
- 重要な東西アプリケーションワークロードをホストするNutanix AHVクラスタ
- 高スループットワークロード（>10 Gbps）をサポートする、マルチソケットホストを備えたVMware ESXiクラスタ
- 境界セキュリティを強化し、暗号化されたトラフィックの検査を大規模に処理するための新しいPA-5450ファイアウォール2台
南北方向と東西方向の両方のトラフィックフローに対して厳格なパフォーマンスサービスレベル契約（SLA）が適用され、TLS 1.3とIPSecに大きく依存している。
- KVM 上のネットワーク機能仮想化 (NFV) 環境は、パケット スループットを最大化し、レイテンシを最小化する高性能セキュリティ サービスを提供します。チーフ アーキテクトは、ファイアウォール設計がハイパーバイザの競合を回避し、非均一メモリ アクセス (NUMA) を最適化し、暗号化されたトラフィックにハードウェア機能を使用することを保証する責任を負います。
Nutanix AHV 上の VM シリーズ - リソース割り当て
Nutanixクラスタは既に高い負荷で使用されているため、アーキテクトの主な懸念事項は、仮想ファイアウォールのパフォーマンス低下を防ぐことです。シンプロビジョニングやバルーニングを行うと、レイテンシや予測不能性が発生する可能性があり、セキュリティに敏感なワークロードにとっては許容できません。
VMware ESXi 上の VM-Series - NUMA および vCPU の配置
VMware ESXi環境において、アーキテクトは10Gbpsを超えるワークロード向けにVM-Seriesを導入しています。NUMAノード間でvCPUを割り当てたり、コアを過剰に割り当てたりすると、ソケット間のメモリアクセスやスケジューリングの遅延によりレイテンシが発生します。同様に、論理ハイパースレッドを専用化しても、必要な決定論的なデータプレーンのパフォーマンスは得られません。
運用統合と高可用性
適切なハイパーバイザーとハードウェアのプロビジョニングによってパフォーマンスが保証されるだけでなく、アーキテクトは高可用性（HA）も考慮に入れています。VM-SeriesペアはNutanixおよびVMwareクラスタ全体でアクティブ/パッシブHA構成で展開され、PA-5450はデータセンターの南北方向のセキュアな境界を構成します。これにより、不要な東西方向の検査ボトルネックを発生させることなく、耐障害性が確保されます。
推奨事項は、企業のSLAおよびCISOの暗号化トラフィックに関する懸念事項に合致した、拡張性と高性能を備えたファイアウォール導入案でなければならない。
PAN-OSのどの機能が、CISOが求める南北方向のトラフィック検査のニーズを満たすでしょうか？