Firewalling jetzt auch im Switch: Ciscos neues Release für Nexus-Smart-Modelle

Was geschehen ist: Firewalling direkt im Switch

Cisco hat mit der Veröffentlichung des neuen Software-Releases NX-OS 10.6(3s)F eine signifikante Erweiterung für seine Nexus 9000 Smart Switches eingeführt. Die Kerninnovation besteht in der Implementierung des sogenannten DPU Security Modus. Diese Funktion ermöglicht es, Layer 4 Stateful Firewalling direkt auf den integrierten Data Processing Units (DPUs) der Switches auszuführen. Durch diesen technologischen Fortschritt entfällt die Notwendigkeit des sogenannten Hairpinnings, bei dem Datenpakete für Sicherheitsüberprüfungen umständlich an eine externe Firewall weitergeleitet werden müssen. Stattdessen können die Switches nun einen Durchsatz von bis zu 800 Gbit/s direkt auf der Hardware-Ebene verarbeiten. Damit reagiert der Netzwerkausrüster auf die steigenden Anforderungen an die Sicherheit in modernen Rechenzentren, in denen eine hohe Performance bei gleichzeitigem Schutz des Datenverkehrs unerlässlich ist. Die neue Funktionalität ist ab sofort für entsprechende Hardware-Modelle verfügbar und markiert einen strategischen Schritt, um die Sicherheitsarchitektur näher an die Netzwerkinfrastruktur zu rücken.

Die Einzelheiten: Technik, Modelle und Performance

Im Zentrum der Neuerung stehen die Nexus 9000 Smart Switches, insbesondere die Modelle N9348Y2C6D-SE1U und N9324C-SE1U. Diese Geräte sind als Top-of-Rack-Switches konzipiert und verfügen über dedizierte DPUs. Das neue Release NX-OS 10.6(3s)F schaltet nun die Kapazitäten frei, die für das Stateful Firewalling auf Layer 4 erforderlich sind. Damit die Datenpakete effektiv auf die DPU umgeleitet werden können, stellt Cisco verschiedene Methoden bereit: Dazu zählen die Layer-2-Mikrosegmentierung mittels Service-VLAN, eine Receive-Only-VLAN-Zuordnung sowie Enhanced Proxy-ARP. Alternativ besteht die Möglichkeit, ein gesamtes VLAN oder eine VRF-Instanz direkt auf die DPU umzuleiten. Besonders hervorzuheben ist die Unterstützung für VRF-übergreifende Überprüfungen sowie Sicherheitschecks innerhalb von EVPN/VXLAN-Overlay-Lösungen. Um die Komplexität der Datenpfade zwischen der Network Processing Unit (NPU) und der DPU für Administratoren transparent zu machen, hat Cisco zudem einen speziellen Packet Tracer integriert, der den genauen Weg eines Pakets innerhalb des Switches visualisiert. Auch Hochverfügbarkeits-Funktionen wurden implementiert, um den Datenfluss bei Ausfällen einzelner Komponenten zu gewährleisten.

Hintergrund: Der Weg zur DPU-basierten Sicherheit

Die Einführung des DPU-basierten Firewallings ist die logische Konsequenz aus der vorangegangenen Markteinführung der Nexus 9000 Smart Switches. Zwar hatte Cisco diese Geräte bereits als leistungsfähige Top-of-Rack-Lösung positioniert, doch fehlte bisher das entscheidende Sicherheitsfeature, um den vollen Nutzen der eingebauten DPUs auszuschöpfen. Mit dem neuen Release schließt Cisco nun eine Lücke, die den Einsatz dieser Switches in sicherheitskritischen Umgebungen bisher einschränkte. Der Wettbewerb hat hier bereits vorgelegt: Mitbewerber wie HPE bieten mit ihrer CX 10000 Serie bereits seit geraumer Zeit vergleichbare Funktionen an. Während HPE dabei auf den AMD Pensando Policy and Services Manager für die Verwaltung der Sicherheitsrichtlinien setzt, geht Cisco einen eigenen Weg. Das Unternehmen nutzt zwar ebenfalls AMD-Hardware für die DPUs, integriert die Verwaltung der Firewall-Richtlinien jedoch in das hauseigene System namens Hypershield. Mit der Bereitstellung von Hypershield als On-Premises-Controller ermöglicht Cisco nun eine lokale Steuerung der Sicherheitsregeln, was für viele Rechenzentrumsbetreiber eine Grundvoraussetzung für den Einsatz solcher Lösungen darstellt.

Die Beteiligten: Cisco, AMD und die Anwender

Die technologische Basis der neuen Lösung beruht auf einer engen Zusammenarbeit zwischen Cisco und AMD. Obwohl die DPUs der Nexus-Switches von AMD stammen, liegt die Verantwortung für die Software-Integration und die Management-Plattform vollständig bei Cisco. Die Entscheidung, Hypershield als zentrale Verwaltungseinheit für die Firewall-Richtlinien zu positionieren, unterstreicht Ciscos Bestreben, ein geschlossenes Ökosystem anzubieten. Für die Kunden, also Rechenzentrumsbetreiber und IT-Infrastrukturverantwortliche, bedeutet dies eine stärkere Bindung an die Cisco-Produktwelt. Die Entscheidung über die Implementierung der neuen Sicherheitsfunktionen liegt bei den IT-Architekten, die nun abwägen müssen, ob die Migration auf das neue NX-OS-Release und die damit verbundene Lizenzierung den Anforderungen ihrer spezifischen Netzwerktopologie entspricht. Da die Hardware bereits in vielen Unternehmen vorhanden ist, stellt sich vor allem die Frage nach der Erweiterung der bestehenden Lizenzverträge, um die neuen Sicherheitsfeatures freizuschalten.

Einordnung: Was der neue Modus bedeutet

Einzuordnen ist diese Entwicklung als Reaktion auf den Trend zur softwaredefinierten Sicherheit. Die Verlagerung von Firewall-Funktionen direkt auf die Netzwerk-Hardware (In-Switch-Firewalling) ist ein entscheidender Schritt, um Latenzen zu minimieren und die Skalierbarkeit zu erhöhen. Den Berichten zufolge ermöglicht der DPU Security Modus eine signifikante Entlastung der zentralen Sicherheits-Appliances. Dass Cisco hierbei auf eine eigene Management-Lösung setzt, statt auf Drittanbieter-Tools zurückzugreifen, ist als Versuch zu werten, die Kontrolle über die gesamte Sicherheitskette im Rechenzentrum zu behalten. Die Tatsache, dass nun auch VRF-übergreifende Überprüfungen und EVPN/VXLAN-Sicherheit unterstützt werden, zeigt, dass Cisco das System für hochkomplexe, mandantenfähige Umgebungen rüstet. Kritisch zu betrachten ist jedoch die Lizenzpolitik: Die Notwendigkeit der DCN-Premier-Lizenz in Kombination mit einer zusätzlichen Hypershield-Lizenz macht die Lösung zu einer hochpreisigen Investition, die sich primär an große Unternehmen mit entsprechendem Budget und komplexen Sicherheitsanforderungen richtet.

Offene Fragen: Was noch unklar bleibt

Der Quelltext lässt einige Aspekte der neuen Lösung unbeantwortet. So bleibt unklar, wie sich die Performance bei maximaler Auslastung der DPU verhält, wenn neben dem Firewalling gleichzeitig andere Aufgaben auf der Einheit ausgeführt werden. Auch zur genauen Granularität der Firewall-Regeln, die über Hypershield definiert werden können, macht der Text keine detaillierten Angaben. Zudem wird nicht explizit thematisiert, welche spezifischen Hardware-Revisionen der Nexus 9000-Serie neben den genannten Modellen eventuell in Zukunft unterstützt werden könnten. Auch die Frage, ob eine Migration von bestehenden, nicht-DPU-basierten Firewall-Konzepten auf die neue DPU-Lösung ohne größere Unterbrechungen möglich ist, bleibt unbeantwortet. Ebenso fehlen Informationen darüber, ob Cisco plant, die Hypershield-Verwaltung in Zukunft auch für hybride Cloud-Szenarien zu öffnen, die über das lokale Rechenzentrum hinausgehen. Die genauen Kostenstrukturen der Lizenzen werden ebenfalls nicht im Detail aufgeführt, was eine betriebswirtschaftliche Bewertung für potenzielle Anwender erschwert.

Wie es weitergeht: Ausblick auf die Implementierung

Für interessierte Unternehmen beginnt nun die Phase der Evaluierung. Kunden, die bereits Nexus 9000 Smart Switches einsetzen, müssen prüfen, ob ihre aktuelle Infrastruktur die Voraussetzungen für das Release NX-OS 10.6(3s)F erfüllt. Da die Nutzung der neuen Sicherheitsfunktionen an die DCN-Premier-Lizenz und die Hypershield-Lizenz gebunden ist, steht für viele IT-Abteilungen zunächst eine vertragliche Klärung mit dem Vertriebspartner an. Sobald die Lizenzen vorliegen, kann das Update auf das neue Betriebssystem erfolgen. Die Implementierung der Richtlinien über den Hypershield-Controller stellt den nächsten Schritt dar, um die Mikrosegmentierung und die VLAN-Umleitungen in der Praxis zu konfigurieren. Es ist davon auszugehen, dass Cisco in den kommenden Monaten weitere Anwendungsbeispiele und Best-Practice-Guides veröffentlichen wird, um die Integration in bestehende EVPN/VXLAN-Umgebungen zu erleichtern. Die technologische Entwicklung im Bereich der DPU-gestützten Sicherheit dürfte zudem ein zentrales Thema auf künftigen Fachkonferenzen und bei der weiteren Produktentwicklung im Cisco-Portfolio bleiben.