Producten van Juniper Networks

Juniper Networks is een fabrikant van netwerkapparatuur. Begonnen als een leverancier van backbone-routers voor internetproviders in 1995, is het inmiddels een leverancier van een breed assortiment routers, switches en beveiligingssystemen.

Kantoor van Juniper in Amsterdam

Kantoor van Juniper in Amsterdam

JUNOS

JUNOS is het centrale besturingssysteem van alle Juniper Networks appliences. Het is te vergelijken met Cisco's IOS of IOS-XR. JUNOS is een modulair besturingssysteem welke zorg draagt voor de werking van alle Juniper Networks-systemen. Via de command-line interface van JunOS kan men de netwerksystemen van Juniper configureren.

FreeBSD

JunOS is gebaseerd op FreeBSD: een Unix implementatie die ontwikkeld is op de University of California - Berkeley. De huidige JUNOS versie 8.5 is gebaseerd op FreeBSD versie 6.1.. Versies vroeger dan JUNOS 5.0 waren gebaseerd op FreeBSD version 2.2.6..

Eigenschappen

De belangrijkste eigenschappen van JunOS zijn:

1. De software is modulair en fout-tolerant van opzet. Dit sluit aan bij het ontwerp van de Juniper-hardware. JunOS is exclusief ontwikkeld om op Juniper-hardware te draaien en het is tevens de enige software die op Juniper-producten draait. Er zijn dus geen issues met compatibiliteit.
2. JunOS biedt een eenvoudige command-line interface om Juniperproducten te configureren en te beheren.
3. De meeste configuratie acties kunnen online doorgevoerd worden met een minimale impact op de data-flow tijdens de configuratie.
4. Naast routering en ethernet-switching biedt JunOS ook veel opties op het gebied van beveiliging zoals firewalls, IDP, encryptie enzovoort.
5. JunOS is zodanig opgezet dat veel menselijke fouten tijdens de configuratie van de systemen voorkomen kunnen worden.
6. JunOS kent een zeer streng versie beheer en nieuwe modules of versies worden zeer uitgebreid getest voordat het wordt vrijgegeven.
7. Junos was vanaf de eerste opzet al modulair en bood een aantal faciliteiten die het inherent stabieler en betrouwbaarder maakten dan de grote tegenhanger van Junos: Cisco's IOS. Cisco heeft voor haar backbone-core-routers een nieuw IOS ontwikkeld: IOS-XR. Deze laatste IOS gebruikt veel van dezelfde structuren zoals JunOS die kent.

Routers

Op het gebied van routers kent Juniper een aantal productlijnen:

M-series

De originele M-serie: de multiservice-Edge-routers voor toepassing aan de randen van de backbone. Startend met de M7i met een schakelcapaciteit van 10 Gbps tot aan de M320 met 320 Gbps totale switching-capaciteit. De originele M40 is nu opgevolgd door de M40e

MX-series

De MX serie zijn routers speciaal voor ethernet-switching en routering: ook deze lijn is bestemd voor de randen van een netwerk van een serviceprovider.

E-series

De E serie routers zijn routers voor breedbandinternetproviders. De E-120 en E-320 bieden 120 en 360 Gbps switch-capaciteit voor de PoP's van breedbandproviders. Daarnaast is er de ERX-serie met diverse modellen aggregatie routers in een breedbandnetwerk zodat het verkeer van bijvoorbeeld meerdere kabelnetwerken samengevoegd en geconcentreerd wordt via één router.

J-series

De J serie routers zijn bedoeld voor toepassing in bedrijfsnetwerken met zowel werkstations-, VOIP- als VPN-toepassingen. (Grote) Bedrijven die een eigen netwerk-infrastructuur hebben worden bediend met deze reeks. De J-series bieden naast routering functionaliteit ook firewall mogelijkheden en hardware VPN met encryptie. De serie begint met de J-2320 met 4 ethernet interfaces en 3 zogenaamde PIM slots en eindigt met de J-6350 die ook 4 ethernet interfaces 'on board' heeft en plaats biedt aan maximaal 6 PIM en 4 EPIM slots.

T-series

De zware T serie wordt toegepast in het hart van een backbone: de T-320 kan toegepast worden in datacentra waar gewoekerd moet worden met de ruimte. De T-320 neemt 1/3e 19" kast in. De T-640 biedt ruimte aan 8 sloten, en elk slot heeft een schakelcapaciteit tot 40 Gbps. De T-1600 is net als de 640 een 1/2e 19" kast groot, maar meerdere chassis samen kunnen een T-1600 vormen. Vervolgens is er in de T-serie de Matrix optie waarbij tot 4 T-640 samen een logische router vormen en biedt dan 32 sloten en een doorvoercapaciteit tot 2,5 Tbps. De top of the line vormt momenteel de T-Matrix plus welke tot 16 T-1600 routers kan combineren in een logische routerings-machine. Vervolgens kan dat systeem dan gepartioneerd worden met het het JCS1200 beheersysteem.

Niche markten

Voor speciale toepassingen zijn er nog routers zoals de LN1000 die 8 x 1Gbps ethernet interfaces biedt en routering, switching, firewall, VPN en een Intrusion detection systeem biedt in een zeer solide uitvoering. De LN1000 is erop gebouwd om bestand te zijn tegen trillingen, hoge vochtigheid, grote hoogtes etc. Router is bedoeld voor toepassing in mobiele buitenopstellingen, in vliegtuigen en andere voertuigen.

De BX7000 is bedoeld voor toepassing door een 3G/4G mobiele operators om het verkeer van vele sites te concentreren naar centrale punten. De BX7000 wordt gebruikt op de remote sites en ondersteunt o.a. straalverbindingen voor connectie met een centrale site.

Modules

Bijna alle routers van Juniper zijn modulair van opzet. Ofwel alleen met betrekking tot de interfacekaarten (al dan niet met on-board schakel processing) of een complete range aan beheer, processor en netwerkinterfaces kaarten. Afhankelijk van het gekozen routerplatform zijn er verschillende switching en interface-modules bruikbaar. J-series routers en de Secure Services Gateway (SSG) kennen de PIM en EPIM: Pjysical Interface Modules en Enhanced Interface Modules. Een PIM of EPIM module biedt ofwel WAN interfaces (E1,T1, ADSL, E3, ISDN BRI etc) als LAN of ethernet-interfaces. Een module kan 1 tot 4 ethernet interfaces bieden in koper of glas.

De E-series router gebruikt LM's waarbij het cijfer de schakelcapaciteit per kaart aangeeft LM-4 voor 4 Gbps en de LM10 voor 10 Gbps per module. De LM4 biedt POS en ATM interfaces met 1,2,4 of 8 interfaces per 1/2e kaart. Daarnaast zijn er 4 of 8 poorts Gigabit ethernet kaarten en 2 poorts 10Gb LM4's (waarbij 1 poort actief is en de ander standby). De LM10-U biedt 1 x 10Gb ethernet interface en de LM10-A biedt 20 Gb interfaces

De zware T-series biedt interface-modules met, bijvoorbeeld, 10 x 10Gb oversubscribed PIC of de 4 x OC192 optische interfaces (met DWDM of de multipoort STM1/STM4 POS interfaces. In een volledig uitgeruste Matrix plux-opstelling kunnen zo 2560 10Gb interfaces gebruikt worden die 50% van de lijnsnelheid aan switching capacitiet aankunnen.

Beveiligingssystemen

Juniper biedt een aantal producten die bedoeld zijn om netwerken te beschermen tegen ongeoorloofde toegang van buitenaf, aanvallen, ongewenst verkeer, voorkomen van aftappen van data etc. Voor elke deelmarkt levert het bedrijf dedicated apparaten; dus firewalls, VPN concentrators, WiFi secure access-punten enzovoort, maar ook zijn er een groot aantal combinatieproducten: een ethernetswitch met router-opties, VPN-SSL-encryptie en firewallfuncties ineen. Naast de verschillende apparaten is er ook een beheerplatform waarmee alle verschillende netwerk-systemen via een centraal platform beheerd kunnen worden.

IDP

Intrusion Detection and Prevention systeem. De meeste beveiligingsproducten zijn gemaakt om toe te passen op het koppelvlak tussen een bedrijfsnetwerk en een openbaar netwerk (lees:internet): een firewall houdt inkomend ongewenst verkeer tegen en voorkomt dat een interne gebruiker verbindingen maakt met een extern systeem wat niet gewenst is. En een VPN-access-concentrator maakt het mogelijk dat iemand van buitenaf toegang kan krijgen tot het bedrijfsnetwerk maar alleen via VPN waarbij het verkeer versleuteld wordt en de identiteit van de inlogger extra gecontroleerd wordt.

Een IDP systeem werkt echter anders: hij bewaakt het verkeer binnen een netwerk zelf: door het inzetten van IDP systemen op strategisch knooppunten in het netwerk kan het dataverkeer dat binnen het bedrijfsnetwerk blijft geanalyseerd worden en wordt er alarm gegeven als er verdacht dataverkeer plaatsvindt. Net als bij gewone inbraakalarmsystemen moet een IDP-systeem de juiste balans vinden tussen het voorkomen van valse alarmmeldingen, maar daadwerkelijke problemen niet missen.

Enkele principes of technieken die worden gebruikt zijn: het herkennen van ongewenst verkeer of aanvalspoging op basis van de handtekening van de verkeersstroom. Dit gaat onder andere via een database met signatures van verdachte datastromen. Indien er een nieuw datapatroon behorend bij een attack is onderkend dan wordt die dezelfde dag verstuurd naar alle IDP-systeem.

Een andere methodiek is het herkennen van sterk afwijkende verkeerspatronen: indien een bepaalde PC plots een geheel nieuw verkeerspatroon laat zien dan kan dit gerapporteerd worden aan de beheerder en/of kan dit verkeer worden tegengehouden.

Tenslotte is het mogelijk om zeer specifiek te configureren welke computer of gebruiker wat voor verkeer mag genereren en wanneer: zo kan de gebruiker bijvoorbeeld bepalen dat poort 80 verkeer naar e intranetserver en naar internet toegestaan is, maar dat er alarm wordt geslagen als die PC op poort 80 verbinding maakt met een ander werkstation binnen het LAN.

ISG

ISG: Intergrated Security Gateways: Een ISG is een volledig geïntergreerde firewall,VPN concentrator en IDP appliance ineen.De ISG1000 heeft een maximale doorvoersnelheid als firewall van 2 Gbps en voor VPNconcenrator met 3DES of AES de helft daarvan. Voor het ISG2000-model gelden dubbele doorvoersnelheden.

Netscreen

Via de modellen in de Netscreen reeks biedt Juniper de zakelijke en providermarkt een geïntegreerd platform voor firewall en VPN-access-concentrator met encryptie. De twee nog bestaande modellen kunnen als firewall een datastroom van 10 resp.30 Gbps aan en als VPN concentrator met encryptie 5 resp. 15 Gbps. Zowel de Netscreen 5200 als 5400 kennen maximaal 10 ethernet interfaces: 8 x mini-GBIC en 2 x XFP10Gbps.

Verder ondersteunt het platform 40.000 beleidsregels en verwerkt het maximaal 1 resp. 2 miljoen gelijktijdige sessies, tenminste 4096 VLANs en kan men er 3 tot ruim 1000 virtuele routers configureren.

Service Gateways

Bestand:Juniper srx210 front view.jpg

SRX200 security Service Gataway

De SRX-produktenserie zijn gecombineerde firewall en VPN concentrators en lopen vanaf de SRX100 (doorvoersnelheid firewall 650Mbps, Intrusion protection: 60 Mbps),3-DES VPN encryptie: 65 Mbps tot aan de SRX5800 (doorvoersnelheid firewall 120Gbps, Intrusion protection en 3-DES VPN: 30 Gbps)

De kleine modellen vanaf de SRX100 tot aan de SRX650 zijn ontworpen voor decentrale opstelling om (remote) locaties te koppelen aan het centrale netwerk op het hoofdkantoor of in een datacenter. Al deze modellen hebben een aantal vaste LAN interfaces: van 8 x Fastethernet voor de SRX100 tot 4 x 10/100/1000 Gigabit interfaces op de 650. Behalve de SRX100 hebben ze vervolgens een of meer WAN interfaces om de koppeling met de centrale apparatuur in het datacenter. Voor de modellen voor de (kleinere) remote lokaties (SRX2x0-modellen) zijn er de volgende WAN interfaces wordt o.a. aangeboden: T1/E1 2Mb PDH/huurlijnverbinding, ADSL, SDSL, VDSL, geïntegreerde DOCSIS-kabelmodem of optische groot-bereik-ethernet-interfaces. Hoewel de SRX650 officieel nog een remote Service Gateway is kan deze ook als kleine centrale gateway worden toegepast.

Voor centrale opstelling zijn er de SRX3x00 en SRX5x00: dit zijn modulaire systemen die het verkeer van vele remote locaties kunnen ontvangen om te koppelen met de centrale IT infrastructuur op het hoofdkantoor of in een speciaal datacentrum. Al deze systemen zijn modulair van opzet, zowel qua LAN en WAN interfaces alsook qua route-engine, firewall processor en VPN-module etc. Het zwaarste model, de SRX5800 ondersteunt een firewall doorvoercapaciteit tot 120 Gbps en een doorvoersnelheid als VPN concentrator met (bijvoorbeeld) 3-DES encryptie en ook als IPS tot 30 Gbps. Alle datacenter SRX modellen kunnen in een redundante clusteropstelling worden gebruikt. Hierbij kan je kiezen uit active-active (twee of meer apparaten verdelen het verkeer middels load-sharing. Als vervolgens een systeem buiten dienst gaat neemt de ander het over. Afhankelijk van de load op de overblijvende systemen zou de performance kunnen teruglopen als één van de apparaten uitvalt.

Een andere configuratieopstelling is active-passive: als er op enig moment slechts één systeem actief is en de ander is idle vindt er een fail-over plaats. Dit betekent dat de tot dan toe passieve node al het verkeer overneemt van het nu stoppende systeem.

Software

Identity and Policy control en Steel Belted Raius servers: Juniper biedt beheerders van bedrijfsnetwerken gereedschap om goede bewaking van authenticatie en security beleid af te dwingen. Zo is er de Steel Belted Radius server in een uitvoering als DHCP server in een bedrijfsnetwerkomgeving of in een ISP omgeving. Deze extra robuuste DHCP servers draaien op de Juniper servers. In combinatie met Odyssey Access Client biedt het een compleet platform voor veilige authenticatie op basis van Radius.

Switches

De Juniper EX-series ethernet switches beginnend bij non-modulaire 24 of 48 poorts ethernet switch (EX2200) tot een 8 of 16 slots modulaire switch waarbij elk slot ofwel 48 x (10/)100/1000 interfaces over koper of glas mogelijk maakt of 8 x 10Gbps. (EX8200).

De switches bieden layer-2 functies als VLAN tagging, spanning-tree protocol, port-monitoring etc. En ook IP layer 3 routerings opties zijn ondersteund zoals IPv4 en IPv6 route informatie, BGP-4 routing etc.

Draadloos

Juniper heeft de AX111 als Wi-Fi op afstand beheerde wifi access points. Daarnaast biedt Juniper de CX111 welke via mobiele netwerken verbindingen opzet: ofwel als standaard verbinding of als alternatieve bij uitval van de gewone (VPN based) backbone verbinding: bij uitval van de backbone via een bekabeld netwerk (prive netwerk of VPN tunnel over internet) kan de CX111 zorgdragen voor een alternatieve verbinding via UMTS/HSDPA. De CX111 kan als stand-alone apparaat ingezet worden of als 'add-on' voor een SSG platform of in combinatie met een SRX of J-series router.

Bronnen en referenties