এই নিবন্ধটি "কিভাবে আপনার নেটওয়ার্ক পরিকাঠামো নিয়ন্ত্রণ করতে হবে" সিরিজের চতুর্থ। সিরিজের সমস্ত নিবন্ধের বিষয়বস্তু এবং লিঙ্কগুলি পাওয়া যাবে এখানে.

В প্রথম অংশ এই অধ্যায়ে, আমরা ডেটা সেন্টার সেগমেন্টে নেটওয়ার্ক নিরাপত্তার কিছু দিক দেখেছি। এই অংশটি "ইন্টারনেট অ্যাক্সেস" বিভাগে নিবেদিত হবে।

ইন্টারনেট সুবিধা

নিরাপত্তার বিষয়টি নিঃসন্দেহে ডেটা নেটওয়ার্কের জগতে সবচেয়ে জটিল বিষয়গুলির মধ্যে একটি। পূর্ববর্তী ক্ষেত্রেগুলির মতো, গভীরতা এবং সম্পূর্ণতা দাবি না করে, আমি এখানে বেশ সহজ বিবেচনা করব, তবে, আমার মতে, গুরুত্বপূর্ণ প্রশ্ন, যার উত্তর, আমি আশা করি, আপনার নেটওয়ার্কের নিরাপত্তার স্তর বাড়াতে সাহায্য করবে।

এই বিভাগে অডিট করার সময়, নিম্নলিখিত দিকগুলিতে মনোযোগ দিন:

• নকশা
• BGP সেটিংস
• DOS/DDOS সুরক্ষা
• ফায়ারওয়ালে ট্রাফিক ফিল্টারিং

নকশা

একটি এন্টারপ্রাইজ নেটওয়ার্কের জন্য এই বিভাগের ডিজাইনের উদাহরণ হিসাবে, আমি সুপারিশ করব নেতৃত্ব মধ্যে সিসকো থেকে নিরাপদ মডেল.

অবশ্যই, সম্ভবত অন্যান্য বিক্রেতাদের সমাধান আপনার কাছে আরও আকর্ষণীয় বলে মনে হবে (দেখুন। গার্টনার কোয়াড্রেন্ট 2018), কিন্তু এই ডিজাইনটি বিস্তারিতভাবে অনুসরণ করার জন্য আপনাকে উৎসাহিত না করে, আমি এখনও এটির পিছনের নীতি এবং ধারণাগুলি বুঝতে এটি দরকারী বলে মনে করি।

মন্তব্য

SAFE-তে, "রিমোট অ্যাক্সেস" সেগমেন্টটি "ইন্টারনেট অ্যাক্সেস" সেগমেন্টের অংশ। তবে নিবন্ধের এই সিরিজে আমরা এটি আলাদাভাবে বিবেচনা করব।

একটি এন্টারপ্রাইজ নেটওয়ার্কের জন্য এই সেগমেন্টে সরঞ্জামের মান সেট

• সীমান্ত রাউটার
• ফায়ারওয়াল

মন্তব্য 1

নিবন্ধের এই সিরিজে, আমি যখন ফায়ারওয়াল সম্পর্কে কথা বলি, মানে NGFW.

মন্তব্য 2

আমি L2/L1 সংযোগ নিশ্চিত করার জন্য প্রয়োজনীয় L2 সমাধানগুলির উপর L3/L1 বা ওভারলে L2-এর বিভিন্ন ধরণের বিবেচনা বাদ দিই এবং শুধুমাত্র L3 স্তর এবং তার উপরে সমস্যাগুলির মধ্যে নিজেকে সীমাবদ্ধ রাখি। আংশিকভাবে, L1/L2 বিষয়গুলো অধ্যায়ে আলোচনা করা হয়েছে।পরিষ্কার এবং ডকুমেন্টেশন"।

আপনি যদি এই বিভাগে একটি ফায়ারওয়াল খুঁজে না পান, তাহলে আপনার সিদ্ধান্তে তাড়াহুড়ো করা উচিত নয়।

এর মধ্যে হিসাবে একই কাজ করা যাক পূর্ববর্তী অংশআসুন প্রশ্নটি দিয়ে শুরু করা যাক: আপনার ক্ষেত্রে এই বিভাগে ফায়ারওয়াল ব্যবহার করা কি প্রয়োজনীয়?

আমি বলতে পারি যে ফায়ারওয়াল ব্যবহার করার এবং জটিল ট্রাফিক ফিল্টারিং অ্যালগরিদম প্রয়োগ করার জন্য এটি সবচেয়ে ন্যায়সঙ্গত জায়গা বলে মনে হচ্ছে। ভিতরে অংশ 1 আমরা 4টি কারণ উল্লেখ করেছি যা ডেটা সেন্টার সেগমেন্টে ফায়ারওয়াল ব্যবহারে হস্তক্ষেপ করতে পারে। কিন্তু এখানে তারা আর তেমন উল্লেখযোগ্য নয়।

উদাহরণ 1 বিলম্ব

যতদূর ইন্টারনেট উদ্বিগ্ন, প্রায় 1 মিলিসেকেন্ডের বিলম্ব সম্পর্কে কথা বলার কোন মানে নেই। অতএব, এই বিভাগে বিলম্ব ফায়ারওয়ালের ব্যবহার সীমিত করার কারণ হতে পারে না।

উদাহরণ 2 উৎপাদনশীলতা

কিছু ক্ষেত্রে এই ফ্যাক্টর এখনও তাৎপর্যপূর্ণ হতে পারে. অতএব, ফায়ারওয়াল বাইপাস করার জন্য আপনাকে কিছু ট্রাফিক (উদাহরণস্বরূপ, লোড ব্যালেন্সার থেকে ট্রাফিক) অনুমতি দিতে হতে পারে।

উদাহরণ 3 বিশ্বাসযোগ্যতা

এই ফ্যাক্টরটি এখনও বিবেচনায় নেওয়া দরকার, তবে এখনও, ইন্টারনেটের অবিশ্বস্ততার কারণে, এই বিভাগের জন্য এর গুরুত্ব ডেটা সেন্টারের মতো গুরুত্বপূর্ণ নয়।

সুতরাং, ধরে নেওয়া যাক যে আপনার পরিষেবাটি http/https (সংক্ষিপ্ত সেশন সহ) এর উপরে থাকে। এই ক্ষেত্রে, আপনি দুটি স্বাধীন বাক্স ব্যবহার করতে পারেন (HA ব্যতীত) এবং যদি তাদের মধ্যে একটিতে রাউটিং সমস্যা থাকে তবে সমস্ত ট্র্যাফিক দ্বিতীয়টিতে স্থানান্তর করুন।

অথবা আপনি স্বচ্ছ মোডে ফায়ারওয়াল ব্যবহার করতে পারেন এবং যদি তারা ব্যর্থ হয়, সমস্যা সমাধান করার সময় ট্রাফিককে ফায়ারওয়াল বাইপাস করার অনুমতি দিন।

অতএব, সম্ভবত শুধু মূল্য এই সেগমেন্টে ফায়ারওয়ালের ব্যবহার পরিত্যাগ করতে আপনাকে বাধ্য করবে এমন একটি কারণ হতে পারে।

গুরুত্বপূর্ণ!

এই ফায়ারওয়ালটিকে ডেটা সেন্টার ফায়ারওয়ালের সাথে একত্রিত করার প্রলোভন রয়েছে (এই অংশগুলির জন্য একটি ফায়ারওয়াল ব্যবহার করুন)। সমাধান, নীতিগতভাবে, সম্ভব, কিন্তু আপনি যে কারণ বুঝতে হবে একটি ইন্টারনেট অ্যাক্সেস ফায়ারওয়াল আসলে আপনার প্রতিরক্ষার অগ্রভাগে থাকে এবং অন্তত কিছু দূষিত ট্র্যাফিককে "গ্রহণ করে", তারপরে, অবশ্যই, আপনাকে এই ফায়ারওয়ালটি নিষ্ক্রিয় হওয়ার বর্ধিত ঝুঁকি বিবেচনা করতে হবে। অর্থাৎ, এই দুটি বিভাগে একই ডিভাইস ব্যবহার করে, আপনি উল্লেখযোগ্যভাবে আপনার ডেটা সেন্টার সেগমেন্টের প্রাপ্যতা হ্রাস করবেন।

সর্বদা হিসাবে, আপনাকে বুঝতে হবে যে সংস্থাটি যে পরিষেবা প্রদান করে তার উপর নির্ভর করে, এই বিভাগের নকশা ব্যাপকভাবে পরিবর্তিত হতে পারে। সর্বদা হিসাবে, আপনি আপনার প্রয়োজনীয়তার উপর নির্ভর করে বিভিন্ন পদ্ধতি বেছে নিতে পারেন।

উদাহরণ

আপনি যদি একটি বিষয়বস্তু প্রদানকারী হন, একটি CDN নেটওয়ার্ক সহ (দেখুন, উদাহরণস্বরূপ, নিবন্ধের সিরিজ), তাহলে আপনি ট্র্যাফিক রাউটিং এবং ফিল্টার করার জন্য পৃথক ডিভাইস ব্যবহার করে ডজন ডজন বা এমনকি শত শত উপস্থিতি পয়েন্ট জুড়ে অবকাঠামো তৈরি করতে চাইবেন না। এটি ব্যয়বহুল হবে, এবং এটি কেবল অপ্রয়োজনীয় হতে পারে।

BGP এর জন্য আপনার ডেডিকেটেড রাউটার থাকতে হবে না, আপনি ওপেন সোর্স টুল ব্যবহার করতে পারেন যেমন কোয়াগ্গা. তাই সম্ভবত আপনার যা দরকার তা হল একটি সার্ভার বা একাধিক সার্ভার, একটি সুইচ এবং BGP।

এই ক্ষেত্রে, আপনার সার্ভার বা একাধিক সার্ভার শুধুমাত্র একটি CDN সার্ভার নয়, একটি রাউটারের ভূমিকা পালন করতে পারে। অবশ্যই, এখনও অনেক বিশদ বিবরণ রয়েছে (যেমন কীভাবে ভারসাম্য নিশ্চিত করা যায়), তবে এটি সম্ভব, এবং এটি এমন একটি পদ্ধতি যা আমরা সফলভাবে আমাদের অংশীদারদের একজনের জন্য ব্যবহার করেছি।

আপনার কাছে সম্পূর্ণ সুরক্ষা (ফায়ারওয়াল, আপনার ইন্টারনেট প্রদানকারীদের দ্বারা প্রদত্ত DDOS সুরক্ষা পরিষেবাগুলি) এবং শুধুমাত্র L2 সুইচ এবং সার্ভার সহ কয়েক ডজন বা শত শত "সরলীকৃত" উপস্থিতি পয়েন্ট সহ বেশ কয়েকটি ডেটা সেন্টার থাকতে পারে।

কিন্তু এই ক্ষেত্রে সুরক্ষার কী হবে?

উদাহরণস্বরূপ, সাম্প্রতিক জনপ্রিয় তাকান DNS পরিবর্ধন DDOS আক্রমণ. এটির বিপদ হল যে প্রচুর পরিমাণে ট্র্যাফিক তৈরি হয়, যা আপনার সমস্ত আপলিংকের 100% "ক্লগ" করে।

আমাদের ডিজাইনের ক্ষেত্রে কী কী আছে।

• আপনি যদি AnyCast ব্যবহার করেন, তাহলে আপনার উপস্থিতির পয়েন্টগুলির মধ্যে ট্র্যাফিক বিতরণ করা হয়। যদি আপনার মোট ব্যান্ডউইথ টেরাবিট হয়, তবে এটি আসলেই (তবে, সম্প্রতি টেরাবিটের অর্ডারে দূষিত ট্র্যাফিকের সাথে বেশ কয়েকটি আক্রমণ হয়েছে) আপনাকে "অতিপ্রবাহিত" আপলিংক থেকে রক্ষা করে
• যাইহোক, যদি কিছু আপলিংক আটকে যায়, তাহলে আপনি এই সাইটটিকে পরিষেবা থেকে সরিয়ে দিন (প্রিফিক্সের বিজ্ঞাপন বন্ধ করুন)
• আপনি আপনার "পূর্ণ" (এবং, সেই অনুযায়ী, সুরক্ষিত) ডেটা সেন্টারগুলি থেকে প্রেরিত ট্র্যাফিকের ভাগও বাড়াতে পারেন, এইভাবে উপস্থিতির অরক্ষিত পয়েন্টগুলি থেকে দূষিত ট্র্যাফিকের একটি উল্লেখযোগ্য অংশ সরিয়ে ফেলতে পারেন

এবং এই উদাহরণে আরও একটি ছোট নোট। আপনি যদি IX এর মাধ্যমে পর্যাপ্ত ট্র্যাফিক পাঠান, তাহলে এটি এই ধরনের আক্রমণে আপনার দুর্বলতাও কমিয়ে দেয়

বিজিপি স্থাপন

এখানে দুটি বিষয় আছে।

• কানেক্টিভিটি
• বিজিপি স্থাপন

আমরা ইতিমধ্যে সংযোগ সম্পর্কে একটু কথা বলেছি অংশ 1. পয়েন্ট হল আপনার গ্রাহকদের ট্র্যাফিক সর্বোত্তম পথ অনুসরণ করে তা নিশ্চিত করা। যদিও সর্বদা অপ্টিম্যালিটি শুধুমাত্র বিলম্বের বিষয়ে নয়, কম লেটেন্সি সাধারণত অপ্টিম্যালিটির প্রধান সূচক। কিছু কোম্পানির জন্য এটি আরও গুরুত্বপূর্ণ, অন্যদের জন্য এটি কম। এটা সব আপনার প্রদান করা সেবা উপর নির্ভর করে.

উদাহরণস্বরূপ 1

যদি আপনি একটি বিনিময় হন, এবং আপনার ক্লায়েন্টদের জন্য মিলিসেকেন্ডের কম সময়ের ব্যবধান গুরুত্বপূর্ণ হয়, তাহলে অবশ্যই, ইন্টারনেটের কোনো ধরনের কথা বলা যাবে না।

উদাহরণস্বরূপ 2

আপনি যদি একটি গেমিং কোম্পানি হন এবং আপনার জন্য দশ মিলিসেকেন্ড গুরুত্বপূর্ণ, তাহলে অবশ্যই, সংযোগ আপনার জন্য খুবই গুরুত্বপূর্ণ।

উদাহরণস্বরূপ 3

আপনাকে আরও বুঝতে হবে যে, TCP প্রোটোকলের বৈশিষ্ট্যগুলির কারণে, একটি TCP সেশনের মধ্যে ডেটা স্থানান্তরের হারও RTT (রাউন্ড ট্রিপ টাইম) এর উপর নির্ভর করে। বিষয়বস্তু বিতরণ সার্ভারগুলিকে এই বিষয়বস্তুর ভোক্তার কাছাকাছি নিয়ে গিয়ে এই সমস্যা সমাধানের জন্য CDN নেটওয়ার্কগুলিও তৈরি করা হচ্ছে৷

সংযোগের অধ্যয়ন তার নিজের অধিকারে একটি আকর্ষণীয় বিষয়, এটির নিজস্ব নিবন্ধ বা নিবন্ধগুলির সিরিজের যোগ্য, এবং ইন্টারনেট কীভাবে "কাজ করে" সে সম্পর্কে ভাল বোঝার প্রয়োজন৷

দরকারী সম্পদ:

ripe.net
bgp.he.net

উদাহরণ

আমি শুধু একটি ছোট উদাহরণ দেব।

ধরা যাক যে আপনার ডেটা সেন্টার মস্কোতে অবস্থিত, এবং আপনার একটি একক আপলিঙ্ক আছে - Rostelecom (AS12389)। এই ক্ষেত্রে (একক বাড়িতে) আপনার BGP প্রয়োজন নেই, এবং আপনি সম্ভবত সর্বজনীন ঠিকানা হিসাবে Rostelecom এর ঠিকানা পুল ব্যবহার করেন।

আসুন ধরে নিই যে আপনি একটি নির্দিষ্ট পরিষেবা প্রদান করেন এবং আপনার কাছে ইউক্রেন থেকে যথেষ্ট সংখ্যক ক্লায়েন্ট রয়েছে এবং তারা দীর্ঘ বিলম্বের বিষয়ে অভিযোগ করে। আপনার গবেষণার সময়, আপনি খুঁজে পেয়েছেন যে তাদের কিছু আইপি ঠিকানা 37.52.0.0/21 গ্রিডে রয়েছে।

একটি ট্রেসাররুট চালানোর মাধ্যমে, আপনি দেখেছেন যে ট্রাফিক AS1299 (Telia) এর মধ্য দিয়ে যাচ্ছে এবং একটি পিং চালানোর মাধ্যমে, আপনি গড়ে 70 - 80 মিলিসেকেন্ডের RTT পেয়েছেন৷ এছাড়াও আপনি এটি দেখতে পারেন লুকিং গ্লাস Rostelecom.

whois ইউটিলিটি ব্যবহার করে (ripe.net বা স্থানীয় ইউটিলিটিতে), আপনি সহজেই নির্ধারণ করতে পারেন যে ব্লক 37.52.0.0/21 AS6849 (Ukrtelecom) এর অন্তর্গত।

পরবর্তী, গিয়ে bgp.he.net আপনি দেখতে পাচ্ছেন যে AS6849-এর সাথে AS12389-এর কোনও সম্পর্ক নেই (তারা ক্লায়েন্ট বা একে অপরের সাথে আপলিংকও নয়, তাদের পিয়ারিংও নেই)। কিন্তু আপনি যদি তাকান সহকর্মীদের তালিকা AS6849-এর জন্য, আপনি দেখতে পাবেন, উদাহরণস্বরূপ, AS29226 (Mastertel) এবং AS31133 (Megafon)।

একবার আপনি এই প্রদানকারীদের লুকিং গ্লাস খুঁজে পেলে, আপনি পাথ এবং RTT তুলনা করতে পারেন। উদাহরণস্বরূপ, Mastertel RTT এর জন্য প্রায় 30 মিলিসেকেন্ড হবে।

সুতরাং, যদি 80 এবং 30 মিলিসেকেন্ডের মধ্যে পার্থক্য আপনার পরিষেবার জন্য তাৎপর্যপূর্ণ হয়, তাহলে সম্ভবত আপনাকে সংযোগ সম্পর্কে চিন্তা করতে হবে, আপনার AS নম্বর পেতে হবে, RIPE থেকে আপনার ঠিকানা পুল এবং অতিরিক্ত আপলিংকগুলি সংযুক্ত করতে হবে এবং/অথবা IXs-এ উপস্থিতির পয়েন্ট তৈরি করতে হবে৷

আপনি যখন BGP ব্যবহার করেন, তখন আপনার কেবল সংযোগ উন্নত করার সুযোগই থাকে না, আপনি অপ্রয়োজনীয়ভাবে আপনার ইন্টারনেট সংযোগ বজায় রাখেন।

এই নথীটি বিজিপি কনফিগার করার জন্য সুপারিশ রয়েছে। যদিও এই সুপারিশগুলি প্রদানকারীদের "সর্বোত্তম অনুশীলন" এর উপর ভিত্তি করে তৈরি করা হয়েছিল, তবুও (যদি আপনার BGP সেটিংস পুরোপুরি মৌলিক না হয়) সেগুলি নিঃসন্দেহে কার্যকর এবং প্রকৃতপক্ষে আমরা আলোচনা করা কঠোরতার অংশ হওয়া উচিত প্রথম অংশ.

DOS/DDOS সুরক্ষা

এখন DOS/DDOS আক্রমণ অনেক কোম্পানির জন্য একটি দৈনন্দিন বাস্তবতা হয়ে উঠেছে। প্রকৃতপক্ষে, আপনি প্রায়ই এক বা অন্য ফর্ম আক্রমণ করা হয়. আপনি এখনও এটি লক্ষ্য করেননি তার মানে হল যে আপনার বিরুদ্ধে একটি লক্ষ্যযুক্ত আক্রমণ এখনও সংগঠিত হয়নি, এবং আপনি যে সুরক্ষা ব্যবস্থাগুলি ব্যবহার করেন, এমনকি সম্ভবত এটি না জেনেও (অপারেটিং সিস্টেমের বিভিন্ন অন্তর্নির্মিত সুরক্ষা), যথেষ্ট নিশ্চিত করুন যে প্রদত্ত পরিষেবার অবনতি আপনার এবং আপনার গ্রাহকদের জন্য কম করা হয়েছে।

এমন ইন্টারনেট সংস্থান রয়েছে যা সরঞ্জাম লগের উপর ভিত্তি করে, রিয়েল টাইমে সুন্দর আক্রমণ মানচিত্র আঁকে।

এটা হল আপনি তাদের লিঙ্ক খুঁজে পেতে পারেন.

আমার প্রিয় মানচিত্র চেকপয়েন্ট থেকে।

DDOS/DOS এর বিরুদ্ধে সুরক্ষা সাধারণত স্তরযুক্ত। কেন বোঝার জন্য, আপনাকে বুঝতে হবে কি ধরনের DOS/DDOS আক্রমণ বিদ্যমান (দেখুন, উদাহরণস্বরূপ, এখানে বা এখানে)

অর্থাৎ, আমাদের তিন ধরনের আক্রমণ রয়েছে:

• ভলিউম্যাট্রিক আক্রমণ
• প্রোটোকল আক্রমণ
• অ্যাপ্লিকেশন আক্রমণ

আপনি যদি শেষ দুই ধরনের আক্রমণ থেকে নিজেকে রক্ষা করতে পারেন, উদাহরণস্বরূপ, ফায়ারওয়াল ব্যবহার করে, তাহলে আপনি আপনার আপলিঙ্কগুলিকে "অপ্রতিরোধ্য" করার লক্ষ্যে আক্রমণ থেকে নিজেকে রক্ষা করতে পারবেন না (অবশ্যই, যদি আপনার ইন্টারনেট চ্যানেলগুলির মোট ক্ষমতা টেরাবিটে গণনা করা না হয়, বা আরও ভাল, দশ টেরাবিটে)।

অতএব, প্রতিরক্ষার প্রথম লাইন হল "ভলিউমেট্রিক" আক্রমণের বিরুদ্ধে সুরক্ষা, এবং আপনার প্রদানকারী বা প্রদানকারীদের অবশ্যই আপনাকে এই সুরক্ষা প্রদান করতে হবে। আপনি যদি এখনও এটি উপলব্ধি না করে থাকেন, তাহলে আপনি আপাতত ভাগ্যবান।

উদাহরণ

ধরা যাক আপনার বেশ কয়েকটি আপলিংক আছে, কিন্তু শুধুমাত্র একজন প্রদানকারী আপনাকে এই সুরক্ষা প্রদান করতে পারে। কিন্তু যদি সমস্ত ট্র্যাফিক একটি প্রদানকারীর মাধ্যমে যায়, তাহলে আমরা সংক্ষিপ্তভাবে যে সংযোগটি একটু আগে আলোচনা করেছি তার কী হবে?

এই ক্ষেত্রে, আক্রমণের সময় আপনাকে আংশিকভাবে সংযোগ বিসর্জন দিতে হবে। কিন্তু

• এটি শুধুমাত্র আক্রমণের সময়কালের জন্য। আক্রমণের ক্ষেত্রে, আপনি ম্যানুয়ালি বা স্বয়ংক্রিয়ভাবে BGP পুনরায় কনফিগার করতে পারেন যাতে ট্র্যাফিক শুধুমাত্র সেই প্রদানকারীর মাধ্যমে যায় যেটি আপনাকে "ছাতা" প্রদান করে। আক্রমণ শেষ হওয়ার পরে, আপনি রাউটিংটিকে আগের অবস্থায় ফিরিয়ে দিতে পারেন
• সমস্ত ট্র্যাফিক স্থানান্তর করার প্রয়োজন নেই। উদাহরণস্বরূপ, আপনি যদি দেখেন যে কিছু আপলিংক বা পিয়ারিংয়ের মাধ্যমে কোনও আক্রমণ নেই (বা ট্র্যাফিক উল্লেখযোগ্য নয়), আপনি এই BGP প্রতিবেশীদের প্রতি প্রতিযোগিতামূলক গুণাবলী সহ প্রিফিক্সের বিজ্ঞাপন চালিয়ে যেতে পারেন।

আপনি "প্রটোকল আক্রমণ" এবং "অ্যাপ্লিকেশন আক্রমণ" থেকে আপনার অংশীদারদের সুরক্ষা অর্পণ করতে পারেন।
এখানে এখানে আপনি একটি ভাল অধ্যয়ন পড়তে পারেন (অনুবাদ) সত্য, নিবন্ধটি দুই বছরের পুরানো, তবে এটি আপনাকে কীভাবে DDOS আক্রমণ থেকে নিজেকে রক্ষা করতে পারে তার পদ্ধতির একটি ধারণা দেবে।

নীতিগতভাবে, আপনি সম্পূর্ণরূপে আপনার সুরক্ষা আউটসোর্সিং এর মধ্যে নিজেকে সীমাবদ্ধ করতে পারেন। এই সিদ্ধান্তের সুবিধা আছে, কিন্তু একটি সুস্পষ্ট অসুবিধাও আছে। আসল বিষয়টি হল আমরা ব্যবসার বেঁচে থাকার বিষয়ে কথা বলতে পারি (আবার, আপনার কোম্পানি কী করে তার উপর নির্ভর করে)। এবং তৃতীয় পক্ষের কাছে এই জাতীয় জিনিসগুলি বিশ্বাস করুন ...

অতএব, আসুন প্রতিরক্ষার দ্বিতীয় এবং তৃতীয় লাইনগুলি কীভাবে সংগঠিত করবেন তা দেখুন (প্রদানকারীর কাছ থেকে সুরক্ষার সংযোজন হিসাবে)।

সুতরাং, প্রতিরক্ষার দ্বিতীয় লাইন হল আপনার নেটওয়ার্কের প্রবেশপথে ফিল্টারিং এবং ট্রাফিক লিমিটার (পুলিশার্স)।

উদাহরণস্বরূপ 1

আসুন ধরে নিই যে আপনি একজন সরবরাহকারীর সাহায্যে DDOS এর বিরুদ্ধে একটি ছাতা দিয়ে নিজেকে আবৃত করেছেন। ধরা যাক যে এই প্রদানকারী তার নেটওয়ার্কের প্রান্তে ট্র্যাফিক এবং ফিল্টার ফিল্টার করতে Arbor ব্যবহার করে।

আর্বার যে ব্যান্ডউইথ "প্রক্রিয়া" করতে পারে তা সীমিত, এবং প্রদানকারী অবশ্যই তার সমস্ত অংশীদারদের ট্র্যাফিক ক্রমাগত পাস করতে পারে না যারা ফিল্টারিং সরঞ্জামের মাধ্যমে এই পরিষেবাটি অর্ডার করে। অতএব, স্বাভাবিক অবস্থায়, ট্রাফিক ফিল্টার করা হয় না।

ধরা যাক একটি SYN বন্যা আক্রমণ আছে। এমনকি আপনি যদি এমন একটি পরিষেবা অর্ডার করেন যা স্বয়ংক্রিয়ভাবে আক্রমণের ক্ষেত্রে ট্র্যাফিককে ফিল্টারিংয়ে পরিবর্তন করে, এটি তাত্ক্ষণিকভাবে ঘটে না। এক মিনিট বা তার বেশি সময় ধরে আপনি আক্রমণের মধ্যে থাকবেন। এবং এটি আপনার সরঞ্জামের ব্যর্থতা বা পরিষেবার অবনতি ঘটাতে পারে। এই ক্ষেত্রে, প্রান্ত রাউটিং এ ট্র্যাফিক সীমিত করা, যদিও এটি এই সত্যের দিকে পরিচালিত করবে যে এই সময়ের মধ্যে কিছু TCP সেশন প্রতিষ্ঠিত হবে না, এটি আপনার পরিকাঠামোকে বৃহত্তর সমস্যা থেকে রক্ষা করবে।

উদাহরণস্বরূপ 2

একটি অস্বাভাবিক সংখ্যক SYN প্যাকেট শুধুমাত্র একটি SYN বন্যা আক্রমণের ফলাফল হতে পারে না। ধরা যাক আপনি এমন একটি পরিষেবা প্রদান করেন যেখানে আপনি একই সাথে প্রায় 100 হাজার টিসিপি সংযোগ থাকতে পারেন (একটি ডেটা সেন্টারে)।

ধরা যাক যে আপনার প্রধান প্রদানকারীর সাথে একটি স্বল্পমেয়াদী সমস্যার ফলে, আপনার অর্ধেক সেশন লাথি দেওয়া হয়েছে। যদি আপনার অ্যাপ্লিকেশনটি এমনভাবে ডিজাইন করা হয় যে, দুবার চিন্তা না করে, এটি অবিলম্বে (অথবা কিছু সময়ের ব্যবধানের পরে যা সমস্ত সেশনের জন্য একই) সংযোগটি পুনরায় স্থাপন করার চেষ্টা করে, তাহলে আপনি প্রায় 50 হাজার SYN প্যাকেট পাবেন একই সাথে

উদাহরণস্বরূপ, যদি আপনাকে এই সেশনগুলির উপরে ssl/tls হ্যান্ডশেক চালাতে হয়, যার মধ্যে সার্টিফিকেট বিনিময় জড়িত, তাহলে আপনার লোড ব্যালেন্সারের জন্য সম্পদ হ্রাস করার দৃষ্টিকোণ থেকে, এটি একটি সাধারণের চেয়ে অনেক বেশি শক্তিশালী "DDOS" হবে। SYN বন্যা। এটা মনে হয় যে ব্যালেন্সারদের এই ধরনের ঘটনাগুলি পরিচালনা করা উচিত, কিন্তু... দুর্ভাগ্যবশত, আমরা এই ধরনের সমস্যার সম্মুখীন হয়েছি।

এবং, অবশ্যই, প্রান্ত রাউটারে একজন পুলিশ এই ক্ষেত্রেও আপনার সরঞ্জামগুলি সংরক্ষণ করবে।

DDOS/DOS-এর বিরুদ্ধে সুরক্ষার তৃতীয় স্তর হল আপনার ফায়ারওয়াল সেটিংস।

এখানে আপনি দ্বিতীয় এবং তৃতীয় ধরনের উভয় আক্রমণ বন্ধ করতে পারেন। সাধারণভাবে, ফায়ারওয়ালে পৌঁছানো সবকিছুই এখানে ফিল্টার করা যায়।

কাউন্সিল

ফায়ারওয়ালকে যতটা সম্ভব কম কাজ দেওয়ার চেষ্টা করুন, প্রতিরক্ষার প্রথম দুটি লাইনে যতটা সম্ভব ফিল্টার করে। আর এই কারণে.

আপনার সাথে কি কখনো এমন হয়েছে যে, ট্রাফিক জেনারেট করার সময়, উদাহরণস্বরূপ, আপনার সার্ভারের অপারেটিং সিস্টেমটি DDOS আক্রমণের জন্য কতটা প্রতিরোধী, আপনি আপনার ফায়ারওয়ালকে "হত্যা" করেছেন, 100 শতাংশে লোড করছেন, স্বাভাবিক তীব্রতার সাথে ট্রাফিক ? যদি না হয়, সম্ভবত এটি শুধুমাত্র কারণ আপনি চেষ্টা করেননি?

সাধারণভাবে, একটি ফায়ারওয়াল, যেমনটি আমি বলেছি, একটি জটিল জিনিস, এবং এটি পরিচিত দুর্বলতা এবং পরীক্ষিত সমাধানগুলির সাথে ভাল কাজ করে, তবে আপনি যদি অস্বাভাবিক কিছু পাঠান, শুধুমাত্র কিছু আবর্জনা বা ভুল শিরোনাম সহ প্যাকেট, তাহলে আপনি কিছুর সাথে আছেন, সাথে নয় যেমন একটি ছোট সম্ভাবনা (আমার অভিজ্ঞতার উপর ভিত্তি করে), আপনি এমনকি টপ-এন্ড সরঞ্জাম স্তব্ধ করতে পারেন। অতএব, পর্যায় 2-এ, নিয়মিত ACL ব্যবহার করে (L3/L4 স্তরে), শুধুমাত্র আপনার নেটওয়ার্কে ট্রাফিকের অনুমতি দিন যা সেখানে প্রবেশ করা উচিত।

ফায়ারওয়ালে ট্রাফিক ফিল্টার করা

ফায়ারওয়াল সম্পর্কে কথোপকথন চালিয়ে যাওয়া যাক। আপনাকে বুঝতে হবে যে DOS/DDOS আক্রমণগুলি শুধুমাত্র এক ধরনের সাইবার আক্রমণ।

DOS/DDOS সুরক্ষা ছাড়াও, আমাদের নিম্নলিখিত বৈশিষ্ট্যগুলির তালিকার মতো কিছু থাকতে পারে:

• অ্যাপ্লিকেশন ফায়ারওয়ালিং
• হুমকি প্রতিরোধ (অ্যান্টিভাইরাস, অ্যান্টি-স্পাইওয়্যার, এবং দুর্বলতা)
• ইউআরএল ফিল্টারিং
• ডেটা ফিল্টারিং (কন্টেন্ট ফিল্টারিং)
• ফাইল ব্লকিং (ফাইলের প্রকার ব্লকিং)

এই তালিকা থেকে আপনার কী প্রয়োজন তা সিদ্ধান্ত নেওয়া আপনার উপর নির্ভর করে।

অবিরত করা

উত্স: www.habr.com