{"id":31395,"date":"2019-10-31T21:41:01","date_gmt":"2019-10-31T18:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\/"},"modified":"2019-10-31T21:41:01","modified_gmt":"2019-10-31T18:41:01","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","title":{"rendered":"S\u00e5dan f\u00e5r du netv\u00e6rksinfrastrukturen under kontrol. Kapitel tre. Netv\u00e6rkssikkerhed. Tredje del.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Denne artikel er den femte i en serie af artikler om, hvordan man kan f\u00e5 netv\u00e6rksinfrastrukturen under kontrol. Indholdet af alle artikler i serien og links kan findes <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">her<\/a><\/noindex><\/i>.<\/p>\n<p>Denne del vil v\u00e6re dedikeret til Campus (Kontor) &amp; Remote access VPN-segmenterne. <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5dan f\u00e5r du netv\u00e6rksinfrastrukturen under kontrol. Kapitel tre. Netv\u00e6rkssikkerhed. Tredje del.\" src=\"\/wp-content\/uploads\/2019\/04\/c20ea5e670105b5bf9b655a97b82f62f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDet kan virke, som om designet af kontornetv\u00e6rket er simpelt. <\/p>\n<p>I virkeligheden tager vi L2\/L3 switche, forbinder dem med hinanden. Derefter foretager vi element\u00e6r konfiguration af VLANs, standard gateways, aktiverer simpel routing, tilslutter WiFi-controllere, adgangspunkter, installerer og konfigurerer ASA til fjernadgang og gl\u00e6der os over, at alt fungerer. I princippet, som jeg allerede har n\u00e6vnt i en af de tidligere <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">artikler<\/a><\/noindex> artikler i denne serie, kan n\u00e6sten enhver studerende, der har fulgt (og forst\u00e5et) to semestre af et telekommunikationskursus, designe og konfigurere et kontornetv\u00e6rk, s\u00e5 det 'bare fungerer'.<\/p>\n<p>Men jo mere du l\u00e6rer, jo mindre simpel begynder denne opgave at synes. For mig virker emnet kontornetv\u00e6rksdesign slet ikke simpelt, og i denne artikel vil jeg fors\u00f8ge at forklare, hvorfor.<\/p>\n<p>Kort sagt er der mange faktorer, du skal tage h\u00f8jde for. Disse faktorer er ofte i konflikt med hinanden, og man m\u00e5 finde en rimelig kompromis. <br \/>\nDenne usikkerhed er ogs\u00e5 den prim\u00e6re kompleksitet. N\u00e5r vi taler om sikkerhed, har vi en trekant med tre hj\u00f8rner: sikkerhed, medarbejderkomfort og pris. <br \/>\nOg hver gang m\u00e5 vi s\u00f8ge et kompromis mellem disse tre.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>Arkitektur<\/h2>\n<p>\nSom et eksempel p\u00e5 arkitektur for disse to segmenter vil jeg, ligesom i de tidligere artikler, anbefale <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> modellen: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap5.html#wpxref51616\">Enterprise Campus<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap6.html#wpxref74611\">Enterprise Internet Edge<\/a><\/noindex>.<\/p>\n<p>Dette er nogle for\u00e6ldede dokumenter. Jeg n\u00e6vner dem her, fordi de grundl\u00e6ggende skemaer og tilgange ikke har \u00e6ndret sig, men jeg kan bedre lide fremstillingen her end i <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">den nye dokumentation.<\/a><\/noindex>.<\/p>\n<p>Uden at opfordre jer til kun at bruge Cisco-l\u00f8sninger, mener jeg dog, det er nyttigt at studere dette design grundigt. <\/p>\n<p>Denne artikel er, som s\u00e6dvanligt, p\u00e5 ingen m\u00e5de udt\u00f8mmende og n\u00e6rmer sig snarere et supplement til den information, der er givet her. <\/p>\n<p>Mod slutningen af artiklen vil vi analysere Cisco SAFE-design til kontoret med hensyn til de begreber, der er pr\u00e6senteret her.<\/p>\n<h2>Generelle principper<\/h2>\n<p>\nDesignet af kontornetv\u00e6rket skal naturligvis opfylde de generelle krav, som er blevet dr\u00f8ftet. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">her<\/a><\/noindex> i kapitlet \"Kriterier for vurdering af designkvalitet.\" Udover pris og sikkerhed, som vi har til hensigt at diskutere i denne artikel, er der tre andre kriterier, vi skal overveje ved design eller \u00e6ndringer:<\/p>\n<ul>\n<li>skalerbarhed<\/li>\n<li>brugervenlighed<\/li>\n<li>tilg\u00e6ngelighed<\/li>\n<\/ul>\n<p>\nMeget af det, der er blevet diskuteret for <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">datacentre<\/a><\/noindex> g\u00e6lder ogs\u00e5 for kontoret. <\/p>\n<p>Men kontorsegmentet har stadig sin egen specifik, som er kritisk i forhold til sikkerhed. Kernen i denne specificitet er, at dette segment er skabt til at levere netv\u00e6rkstjenester til medarbejdere (samt partnere og g\u00e6ster) i virksomheden, og som f\u00f8lge heraf har vi p\u00e5 det h\u00f8jeste niveau af problemet to opgaver:<\/p>\n<ul>\n<li>at beskytte virksomhedens ressourcer mod skadelig adf\u00e6rd, der kan komme fra medarbejdere (g\u00e6ster, partnere) og det software, de bruger. Dette inkluderer ogs\u00e5 beskyttelse mod uautoriseret adgang til netv\u00e6rket. <\/li>\n<li>at beskytte systemerne og dataene for selve brugerne<\/li>\n<\/ul>\n<p>\nOg det er kun den ene side af problemet (eller mere pr\u00e6cist en spids af trekanten). P\u00e5 den anden side er der brugervenlighed og pris p\u00e5 de anvendte l\u00f8sninger.<\/p>\n<p>Lad os begynde med at se p\u00e5, hvad brugeren forventer af et moderne kontornetv\u00e6rk. <\/p>\n<h2>Brugervenlighed<\/h2>\n<p>\nHer er, hvordan jeg ser \"netv\u00e6rksbrugervenlighed\" for kontorbrugeren:<\/p>\n<ul>\n<li>Mobilitet<\/li>\n<li>Mulighed for at bruge hele spektret af kendte enheder og operativsystemer<\/li>\n<li>Let adgang til alle n\u00f8dvendige ressourcer i virksomheden <\/li>\n<li>Tilg\u00e6ngelighed af internetressourcer, herunder forskellige cloud-tjenester<\/li>\n<li>\"Hurtig netv\u00e6rksdrift\"<\/li>\n<\/ul>\n<p>\nAlt dette g\u00e6lder b\u00e5de for medarbejdere og g\u00e6ster (eller partnere), og det er allerede ingeni\u00f8rernes opgave at opdele adgangen for forskellige brugergrupper baseret p\u00e5 autorisation.<\/p>\n<p>Lad os se n\u00e6rmere p\u00e5 hver af disse aspekter.<\/p>\n<h3>Mobilitet<\/h3>\n<p>\nDet handler om muligheden for at arbejde og bruge alle n\u00f8dvendige ressourcer fra virksomheden hvor som helst i verden (naturligvis hvor der er internetadgang).<\/p>\n<p>Dette g\u00e6lder i h\u00f8j grad ogs\u00e5 kontoret. Det er praktisk, n\u00e5r du fra enhver del af kontoret kan forts\u00e6tte arbejdet, for eksempel hente e-mails, kommunikere i virksomhedens messaging-app, v\u00e6re tilg\u00e6ngelig til videoopkald, \u2026 Dermed kan du, p\u00e5 den ene side, l\u00f8se nogle opgaver gennem \u201clive\u201d kommunikation (for eksempel deltage i m\u00f8der), og p\u00e5 den anden side altid v\u00e6re online, holde fingeren p\u00e5 pulsen og hurtigt l\u00f8se presserende h\u00f8jprioriterede opgaver. Det er meget praktisk og forbedrer virkelig kvaliteten af kommunikationen.<\/p>\n<p>Dette opn\u00e5s ved en korrekt designet WiFi-netv\u00e6rk.<\/p>\n<blockquote><p><b>Bem\u00e6rkning<\/b><\/p>\n<p>Her opst\u00e5r der ofte sp\u00f8rgsm\u00e5let, om det er tilstr\u00e6kkeligt kun at bruge WiFi? Betyder det, at man kan droppe brugen af Ethernet-porte p\u00e5 kontoret? Hvis det kun drejer sig om brugerne, ikke om servere, som stadig b\u00f8r tilsluttes med en almindelig Ethernet-port, s\u00e5 er svaret generelt: ja, man kan n\u00f8jes med kun WiFi. Men der er nuancer.<\/p>\n<p>Der er vigtige brugergrupper, som kr\u00e6ver en s\u00e6rlig tilgang. Det er selvf\u00f8lgelig administratorerne. Generelt set er WiFi-forbindelsen mindre p\u00e5lidelig (med hensyn til tab af trafik) og langsommere end en almindelig Ethernet-port. Dette kan v\u00e6re v\u00e6sentligt for administratorerne. Desuden kan netv\u00e6rksadministratorer for eksempel have deres egen dedikerede Ethernet-netv\u00e6rk til out-of-band-forbindelse.<\/p>\n<p>Det er muligt, at der i din virksomhed findes andre grupper\/afdelinger, for hvilke disse faktorer ogs\u00e5 er vigtige.<\/p>\n<p>Der er ogs\u00e5 et vigtigt aspekt - telefoni. M\u00e5ske \u00f8nsker du af en eller anden grund ikke at bruge Wireless VoIP og vil hellere anvende IP-telefoner med almindelig Ethernet-forbindelse. <\/p>\n<p>Generelt set, i de virksomheder, hvor jeg har arbejdet, var der normalt mulighed for b\u00e5de WiFi-forbindelse og Ethernet-port.<\/p><\/blockquote>\n<p>\nJeg ville\u00f8nske, at mobiliteten ikke kun var begr\u00e6nset til kontoret.<\/p>\n<p>For at muligg\u00f8re muligheden for at arbejde hjemmefra (eller fra ethvert andet sted med internetadgang) anvendes VPN-forbindelse. Det er \u00f8nskeligt, at medarbejderne ikke m\u00e6rker nogen forskel mellem arbejdet hjemmefra og fjernarbejde, hvilket indeb\u00e6rer, at de har de samme adgange. Hvordan dette organiseres, vil vi diskutere lidt senere i kapitlet \"Unified Centralized Authentication and Authorization System.\"<\/p>\n<blockquote><p><b>Bem\u00e6rkning<\/b><\/p>\n<p>Det er usandsynligt, at du kan levere den samme kvalitet af fjernarbejdsservice som i kontoret. Lad os antage, at du bruger Cisco ASA 5520 som din VPN-gateway. I henhold til <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/asa-5500-series-next-generation-firewalls\/data_sheet_c78-345385.html\">datasheet<\/a><\/noindex> kan denne enhed kun h\u00e5ndtere 225 Mbit VPN-trafik. Med andre ord, set fra et b\u00e5ndbreddeperspektiv, adskiller VPN-forbindelsen sig betydeligt fra at arbejde fra kontoret. Hvis forsinkelse, tab, jitter (for eksempel hvis du \u00f8nsker at bruge virksomhedens IP-telefon) er betydelige faktorer for dine netv\u00e6rkstjenester, vil du heller ikke opn\u00e5 den samme kvalitet, som hvis du var i kontoret. Derfor, n\u00e5r vi taler om mobilitet, skal vi huske p\u00e5 de mulige begr\u00e6nsninger.<\/p><\/blockquote>\n<p><\/p>\n<h3>Let adgang til alle virksomhedens ressourcer<\/h3>\n<p>\nDenne opgave b\u00f8r l\u00f8ses i samarbejde med andre tekniske afdelinger.<br \/>\nDen ideelle situation er, n\u00e5r brugeren kun skal autentificere sig \u00e9n gang, og efterf\u00f8lgende f\u00e5r adgang til alle n\u00f8dvendige ressourcer.<br \/>\nAt give let adgang uden at g\u00e5 p\u00e5 kompromis med sikkerheden kan betydeligt \u00f8ge arbejdsproduktiviteten og mindske stressniveauet blandt dine kolleger.<\/p>\n<blockquote><p><b>Bem\u00e6rkning 1<\/b><\/p>\n<p>Brugervenlig adgang handler ikke kun om, hvor mange gange du skal indtaste din adgangskode. Hvis du if\u00f8lge din sikkerhedspolitik f\u00f8rst skal oprette forbindelse til VPN-gatewayen for at f\u00e5 adgang til datacentret, og samtidig mister adgangen til kontorressourcerne, er det ogs\u00e5 meget ubelejligt.\n<\/p><\/blockquote>\n<blockquote><p><b>Bem\u00e6rkning 2<\/b><\/p>\n<p>Der findes tjenester (for eksempel adgang til netv\u00e6rksudstyr), hvor vi normalt har vores egne dedikerede AAA-servere, og det er almindeligt at m\u00e5tte autentificere sig flere gange i s\u00e5danne tilf\u00e6lde.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Tilg\u00e6ngelighed af internetressourcer<\/h3>\n<p>\nInternettet er ikke kun underholdning, men ogs\u00e5 en r\u00e6kke tjenester, der kan v\u00e6re yderst nyttige for arbejde. Der er ogs\u00e5 de rent psykologiske faktorer. Det moderne menneske er via internettet forbundet til andre mennesker med mange virtuelle tr\u00e5de, og efter min mening er der ikke noget galt i, at de forts\u00e6tter med at f\u00f8le denne forbindelse, selv n\u00e5r de arbejder.<\/p>\n<p>Set fra et tidsperspektiv er der ikke noget galt i, at en medarbejder for eksempel har Skype \u00e5ben og bruger 5 minutter p\u00e5 at tale med en n\u00e6r ven, hvis det er n\u00f8dvendigt.<\/p>\n<p>Betyder det, at internettet altid skal v\u00e6re tilg\u00e6ngeligt, og betyder det, at medarbejderne kan f\u00e5 adgang til alle ressourcer uden kontrol?<\/p>\n<p>Nej, det betyder det ikke. Graden af \u00e5bne internetforbindelser kan variere fra virksomhed til virksomhed \u2013 fra total lukkethed til total \u00e5benhed. Vi vil diskutere m\u00e5der at overv\u00e5ge trafikken p\u00e5 senere i afsnit vedr\u00f8rende sikkerhedsmidler. <\/p>\n<h3>Muligheden for at bruge et komplet udvalg af velkendte enheder<\/h3>\n<p>\nDet er praktisk, n\u00e5r du for eksempel har mulighed for at forts\u00e6tte med at bruge alle de kommunikationsmidler, du er vant til, ogs\u00e5 p\u00e5 arbejdet. Det er teknisk set ikke sv\u00e6rt at implementere. Du har brug for WiFi og et g\u00e6stenetv\u00e6rk.<\/p>\n<p>Det er ogs\u00e5 godt, hvis du har mulighed for at bruge det operativsystem, du er vant til. Men efter min erfaring, tillades dette normalt kun for ledere, administratorer og udviklere. <\/p>\n<blockquote><p><b>Eksempel<\/b><\/p>\n<p>Man kan selvf\u00f8lgelig g\u00e5 den vej at p\u00e5l\u00e6gge restriktioner, forbyde fjernadgang, forbyde forbindelse fra mobile enheder, begr\u00e6nse alt til statiske Ethernet-forbindelser, begr\u00e6nse internetadgang, tvinge medarbejdere til at aflevere mobiltelefoner og gadgets ved indgangen\u2026 og nogle organisationer med strenge sikkerhedskrav f\u00f8lger faktisk denne tilgang, og i nogle tilf\u00e6lde kan det v\u00e6re berettiget, men\u2026 lad os v\u00e6re enige om, at det ligner et fors\u00f8g p\u00e5 at stoppe fremdrift i en given organisation. Selvf\u00f8lgelig ville man \u00f8nske at kombinere de muligheder, som moderne teknologi giver, med et tilstr\u00e6kkeligt sikkerhedsniveau.<\/p><\/blockquote>\n<p><\/p>\n<h3>\"Hurtig netv\u00e6rksdrift\"<\/h3>\n<p>\nDataoverf\u00f8ringshastighed afh\u00e6nger teknisk set af mange faktorer. Og hastigheden p\u00e5 din forbindelsesport er normalt ikke den vigtigste af dem. Det er ikke altid, at langsom drift af applikationen skyldes netv\u00e6rksproblemer, men vi fokuserer kun p\u00e5 netv\u00e6rksdelen. Det mest almindelige problem med 'nedsat' drift af det lokale netv\u00e6rk er relateret til pakketab. Dette sker typisk ved flaskehalse eller ved problemer p\u00e5 L1 (OSI) niveau. Sj\u00e6ldnere, ved visse designs, (for eksempel n\u00e5r din firewall fungerer som standardgateway i dine subnet, og dermed g\u00e5r al trafik igennem den), kan udstyrets ydeevne v\u00e6re utilstr\u00e6kkelig. <\/p>\n<p>Derfor, n\u00e5r du v\u00e6lger hardware og arkitektur, skal du sammenholde hastighederne for de endelige porte, trunkene og ydeevnen af udstyret.<\/p>\n<blockquote><p><b>Eksempel<\/b><\/p>\n<p>Antag, at du bruger switches med 1-gigabit porte som adgangsswitche. De er forbundet med hinanden via Etherchannel 2 x 10 gigabit. Som standard gateway bruger du en firewall med gigabit porte, som du forbinder til L2-netv\u00e6rket i kontoret ved at bruge 2 gigabit porte, der er bundtet i Etherchannel. <\/p>\n<p>Denne arkitektur er ret praktisk med hensyn til funktionalitet, da al trafik g\u00e5r gennem firewallen, og du kan komfortabelt administrere adgangspolitikkerne og anvende komplekse trafikkontrolalgoritmer og forhindre mulige angreb (se l\u00e6ngere fremme), men med hensyn til b\u00e5ndbredde og ydeevne har dette design selvf\u00f8lgelig potentielle problemer. For eksempel kan 2 v\u00e6rter, der downloader data (med en porthastighed p\u00e5 1 gigabit), helt udnytte det 2 gigabit forbindelse til firewallen og dermed f\u00f8re til serviceforringelse for hele kontorsegmentet.<\/p><\/blockquote>\n<p>\nVi har set p\u00e5 en spids af trekanter, lad os nu se p\u00e5, hvilke midler vi kan bruge til at sikre sikkerheden.<\/p>\n<h2>Sikkerhedsforanstaltninger<\/h2>\n<p>\nS\u00e5, selvf\u00f8lgelig, er vores \u00f8nske (eller rettere sagt \u00f8nsket fra vores ledelse) at opn\u00e5 det umulige, nemlig at tilbyde maksimal bekvemmelighed med maksimal sikkerhed og til minimal pris.<\/p>\n<p>Lad os tage et kig p\u00e5, hvilke metoder vi har til at tilbyde beskyttelse.<\/p>\n<p>For kontoret ville jeg fremh\u00e6ve f\u00f8lgende:<\/p>\n<ul>\n<li>Zero Trust tilgang i design<\/li>\n<li>h\u00f8jt beskyttelsesniveau <\/li>\n<li>netv\u00e6rkssyn<\/li>\n<li>centralt system til autentificering og autorisering<\/li>\n<li>host checking <\/li>\n<\/ul>\n<p>\nLad os nu se lidt n\u00e6rmere p\u00e5 hvert af disse aspekter.<\/p>\n<h3>Zero Trust<\/h3>\n<p>\nIT-verdenen \u00e6ndrer sig meget hurtigt. Faktisk har nye teknologier og produkter, der er kommet frem de seneste 10 \u00e5r, f\u00f8rt til en betydelig revision af sikkerhedskoncepter. For kun ti \u00e5r siden segmenterede vi netv\u00e6rket i trust, dmz og untrust zoner, og der blev anvendt s\u00e5kaldt \"perimeterbeskyttelse\", hvor der var 2 forsvarslinjer: untrust -&gt; dmz og dmz -&gt; trust. Beskyttelsen var ogs\u00e5 normalt begr\u00e6nset til adgangslister baseret p\u00e5 L3\/L4 (OSI) overskrifter (IP, TCP\/UDP porte, TCP flags). Alt, hvad der vedr\u00f8rte h\u00f8jere niveauer, inklusive L7, blev overladt til OS og beskyttelsesprodukter, der blev installeret p\u00e5 de endelige v\u00e6rter.<\/p>\n<p>Situationen er nu radikalt \u00e6ndret. Det moderne koncept <noindex><a rel=\"nofollow\" href=\"https:\/\/doubleoctopus.com\/security-wiki\/network-architecture\/zero-trust\/\">zero trust<\/a><\/noindex> g\u00e5r ud fra, at det ikke l\u00e6ngere er muligt at betragte interne systemer, alts\u00e5 dem der er inden for perimetret, som betroede, og selve konceptet om perimentret er blevet udvandet.<br \/>\nUdover internetforbindelser har vi ogs\u00e5<\/p>\n<ul>\n<li>remote access VPN for brugere<\/li>\n<li>forskellige personlige enheder, b\u00e6rbare computere, der bringes ind og tilsluttes via kontorets WiFi<\/li>\n<li>andre (branch) kontorer<\/li>\n<li>integration med skyinfrastruktur <\/li>\n<\/ul>\n<p>\nHvordan ser Zero Trust-tilgangen ud i praksis?<\/p>\n<p>Ideelt set skal kun den trafik v\u00e6re tilladt, som er n\u00f8dvendig, og hvis vi taler om idealet, skal kontrol ikke blot v\u00e6re p\u00e5 L3\/L4 niveauet, men ogs\u00e5 p\u00e5 applikationsniveau. <\/p>\n<p>Hvis du for eksempel har mulighed for at lade al trafik passere gennem en firewall, kan du fors\u00f8ge at n\u00e6rme dig idealet. Men denne tilgang kan v\u00e6sentligt reducere den samlede b\u00e5ndbredde i dit netv\u00e6rk, og filtrering p\u00e5 applikationsniveau fungerer ikke altid godt.<\/p>\n<p>N\u00e5r du kontrollerer trafik p\u00e5 en router eller L3-switch (brug af standard ACL), st\u00f8der du p\u00e5 andre problemer:<\/p>\n<ul>\n<li>det er kun L3\/L4 filtrering. Der er intet, der forhindrer en angriber i at bruge tilladte porte (for eksempel TCP 80) til deres applikation (ikke http)<\/li>\n<li>kompleks management af ACL (sv\u00e6rt at analysere ACL)<\/li>\n<li>det er ikke en stateful firewall, s\u00e5 du skal eksplicit tillade omvendt trafik<\/li>\n<li>i tilf\u00e6lde af switches er du normalt ret strengt begr\u00e6nset af st\u00f8rrelsen p\u00e5 TCAM, hvilket ved anvendelse af tilgangen \"tillad kun det, der er n\u00f8dvendigt\" hurtigt kan blive et problem<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Bem\u00e6rkning<\/b><\/p>\n<p>N\u00e5r vi taler om omvendt trafik, skal vi huske, at vi har f\u00f8lgende mulighed (Cisco) <\/p>\n<p>permit tcp any any established<\/p>\n<p>Men skal forst\u00e5, at denne linje svarer til to linjer:<br \/>\npermit tcp any any ack<br \/>\npermit tcp any any rst<\/p>\n<p>Det betyder, at selvom der ikke har v\u00e6ret et oprindeligt TCP-segment med SYN-flag (dvs. TCP-sessionen ikke engang er begyndt at blive etableret), vil denne ACL tillade en pakke med ACK-flaget, som en angriber kan udnytte til at overf\u00f8re data.<\/p>\n<p>S\u00e5 denne linje g\u00f8r p\u00e5 ingen m\u00e5de din router eller L3-switch til en stateful firewall.<\/p><\/blockquote>\n<p><\/p>\n<h3>H\u00f8jt beskyttelsesniveau<\/h3>\n<p>\nI <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">artikel<\/a><\/noindex> I afsnittet om datacentre diskuterede vi f\u00f8lgende metoder til beskyttelse.<\/p>\n<ul>\n<li>stateful firewalling (som standard)<\/li>\n<li>ddos\/dos-beskyttelse<\/li>\n<li>applikationsfirewalling<\/li>\n<li>trusselssikring (antivirus, antispyware og s\u00e5rbarhed)<\/li>\n<li>URL-filtrering<\/li>\n<li>datafiltrering (indholdsfiltrering)<\/li>\n<li>filblokering (blokering af filtyper)<\/li>\n<\/ul>\n<p>\nI tilf\u00e6lde af et kontor er situationen ens, men prioriteterne er lidt anderledes. Tilg\u00e6ngeligheden af kontoret (availability) er normalt ikke s\u00e5 kritisk, som i tilf\u00e6lde af et datacenter, mens sandsynligheden for 'internt' skadelig trafik er langt h\u00f8jere. <br \/>\nDerfor bliver f\u00f8lgende metoder til beskyttelse kritiske for dette segment:<\/p>\n<ul>\n<li>applikationsfirewalling<\/li>\n<li>trusselpr\u00e6vention (anti-virus, anti-spyware og s\u00e5rbarhed)<\/li>\n<li>URL-filtrering<\/li>\n<li>datafiltrering (indholdsfiltrering)<\/li>\n<li>filblokering (blokering af filtyper)<\/li>\n<\/ul>\n<p>\nSelvom alle disse beskyttelsesmetoder, undtagen application firewalling, traditionelt er blevet og forts\u00e6tter med at blive l\u00f8st p\u00e5 slutpunkter (f.eks. ved installation af antivirusprogrammer) og ved hj\u00e6lp af proxy, tilbyder moderne NGFW ogs\u00e5 disse tjenester. <\/p>\n<p>Leverand\u00f8rer af sikkerhedsudstyr sigter mod at skabe en omfattende beskyttelse, s\u00e5 der tilbydes forskellige cloud-teknologier og klientsoftware til v\u00e6rter (end point protection\/EPP) sammen med beskyttelse p\u00e5 den lokale enhed. For eksempel fra <noindex><a rel=\"nofollow\" href=\"https:\/\/www.fairline.com.tw\/data\/editor\/files\/01%20%20Gartner%20-%20Magic%20Quad%20-%20Endpoint%20Protection%20Platforms%201-2018.pdf\">Gartner Magic Quadrant for 2018<\/a><\/noindex> ser vi, at Palo Alto og Cisco har deres EPP (PA: Traps, Cisco: AMP), men de ligger ikke blandt de f\u00f8rende.<\/p>\n<p>Aktivering af disse beskyttelser (normalt ved k\u00f8b af licenser) p\u00e5 firewallen er selvf\u00f8lgelig ikke p\u00e5kr\u00e6vet (du kan v\u00e6lge den traditionelle vej), men giver nogle fordele:<\/p>\n<ul>\n<li>i dette tilf\u00e6lde f\u00e5r man et samlet punkt for anvendelse af beskyttelsesmetoder, hvilket forbedrer synligheden (se n\u00e6ste emne). <\/li>\n<li>hvis der er en ubeskyttet enhed i dit netv\u00e6rk, s\u00e5 falder den stadig under 'paraplyen' af firewalls beskyttelse.<\/li>\n<li> Ved at bruge beskyttelser p\u00e5 firewallen sammen med beskyttelser p\u00e5 slutpunkter \u00f8ger vi sandsynligheden for at opdage skadelig trafik. For eksempel \u00f8ger brugen af trusselpr\u00e6vention p\u00e5 lokale v\u00e6rter og p\u00e5 firewallen sandsynligheden for opdagelse (forudsat at disse l\u00f8sninger hviler p\u00e5 forskellige softwareprodukter).<\/li>\n<\/ul>\n<blockquote><p><b>Bem\u00e6rkning<\/b><\/p>\n<p>For example, if you use Kaspersky as antivirus both on the firewall and on the endpoint hosts, it is clear that this will not significantly increase your chances of preventing a virus attack in your network.<\/p><\/blockquote>\n<p><\/p>\n<h3>Netv\u00e6rkssynlighed<\/h3>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/blog.gigamon.com\/2017\/11\/01\/what-is-network-visibility\/\">Den grundl\u00e6ggende id\u00e9<\/a><\/noindex> enkelt \u2013 at \u201ese\u201d, hvad der sker i dit netv\u00e6rk, b\u00e5de i realtid og historiske data. <\/p>\n<p>Jeg ville opdele denne \u201esynlighed\u201d i to grupper:<\/p>\n<p><b>F\u00f8rste gruppe:<\/b> det, som din overv\u00e5gningssystem normalt giver dig.<\/p>\n<ul>\n<li>belastning af hardware<\/li>\n<li>belastning af kanaler<\/li>\n<li>hukommelsesbrug<\/li>\n<li>diskbrug<\/li>\n<li>\u00e6ndring af routingtabel <\/li>\n<li>status for forbindelser<\/li>\n<li>tilg\u00e6ngelighed af hardware (eller v\u00e6rter)<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p><b>Anden gruppe: <\/b>information relateret til sikkerhed.<\/p>\n<ul>\n<li>forskellig slags statistik (for eksempel om applikationer, om URL-bes\u00f8g, hvilke typer data der blev downloadet, brugerdata)<\/li>\n<li>hvad der blev blokeret af sikkerhedspolitikkerne, og hvorfor, nemlig\n<ul>\n<li>forbudt applikation<\/li>\n<li>forbudt baseret p\u00e5 ip\/protokol\/port\/flag\/zoner<\/li>\n<li>trussel forebyggelse<\/li>\n<li>URL filtrering<\/li>\n<li>data filtrering<\/li>\n<li>filblokering<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<\/li>\n<li>statistik om DOS\/DDOS angreb<\/li>\n<li>mislykkede identifikations- og autorisationsfors\u00f8g<\/li>\n<li>statistik om alle ovenn\u00e6vnte h\u00e6ndelser, der overtr\u00e6der sikkerhedspolitikker<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nI dette kapitel, der omhandler sikkerhed, er vi s\u00e6rlig interesserede i den anden del.<\/p>\n<p>Nogle moderne firewalls (ud fra min erfaring Palo Alto) giver et godt niveau af synlighed. Men naturligvis skal den trafik, du er interesseret i, g\u00e5 gennem denne firewall (i dette tilf\u00e6lde har du mulighed for at blokere trafikken) eller blive spejlet p\u00e5 firewallen (bruges kun til overv\u00e5gning og analyse), og du skal have licenser, der muligg\u00f8r aktivering af alle disse tjenester.<\/p>\n<p>Der er selvf\u00f8lgelig ogs\u00e5 en alternativ vej, eller rettere sagt, en traditionel vej, for eksempel<\/p>\n<ul>\n<li>statistik over sessioner kan samles via netflow og derefter bruges specielle v\u00e6rkt\u00f8jer til at analysere information og visualisere data<\/li>\n<li>trussel forebyggelse \u2013 specielle programmer (anti-virus, anti-spyware, firewall) p\u00e5 endpoints<\/li>\n<li>URL filtrering, data filtrering, filblokering \u2013 p\u00e5 proxy<\/li>\n<li>det er ogs\u00e5 muligt at analysere tcpdump ved hj\u00e6lp af for eksempel <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/268207\/\">snort<\/a><\/noindex><\/li>\n<\/ul>\n<p>\nDu kan kombinere disse to tilgange, ved at supplere manglende funktioner eller duplikerende dem for at \u00f8ge sandsynligheden for at opdage et angreb.<\/p>\n<p>Hvilken tilgang skal man v\u00e6lge?<br \/>\nDet afh\u00e6nger meget af kvalifikationen og pr\u00e6ferencerne i dit team.<br \/>\nDer er fordele og ulemper ved begge dele.<\/p>\n<h3>Centraliseret autentifikations- og autorisationssystem<br \/>\n<\/h3>\n<p>\nMed et godt design indeb\u00e6rer mobiliteten, vi har diskuteret i denne artikel, at du har samme adgange, uanset om du arbejder fra kontoret, hjemme, i lufthavnen, p\u00e5 caf\u00e9en eller fra et andet sted (med de begr\u00e6nsninger, vi har diskuteret ovenfor). Hvad kan problemet v\u00e6re? <br \/>\nFor bedre at forst\u00e5 kompleksiteten af denne opgave, lad os se p\u00e5 et typisk design.<\/p>\n<blockquote><p><b>Eksempel<\/b><\/p>\n<ul>\n<li>Du har opdelt alle medarbejdere i grupper. Du har besluttet at give adgang baseret p\u00e5 grupperne.<\/li>\n<li>Inden for kontoret kontrollerer du adgange p\u00e5 kontorets firewall.<\/li>\n<li>Traffiken fra kontoret til datacentret kontrollerer du p\u00e5 datacentrets firewall.<\/li>\n<li>Som VPN-gateway bruger du Cisco ASA, og til kontrol af traffiken, der kommer ind i dit netv\u00e6rk fra dedikerede kunder, anvender du lokale (p\u00e5 ASA) ACL.<\/li>\n<\/ul>\n<p>\nLad os nu antage, at nogen beder dig om at tilf\u00f8je en ekstra adgang til en bestemt medarbejder. Samtidig beder de om, at adgangen kun tilf\u00f8jes til denne medarbejder og ikke til nogen andre i hans gruppe.<\/p>\n<p>For at g\u00f8re dette skal vi oprette en separat gruppe til denne medarbejder, det vil sige,<\/p>\n<ul>\n<li>oprette et separat IP-pool p\u00e5 ASA til denne medarbejder.<\/li>\n<li>Tilf\u00f8je nye ACLs p\u00e5 ASA og knytte dem til denne fjernklient.<\/li>\n<li>Oprette nye sikkerhedspolitikker p\u00e5 kontorets og datacentrets firewalls.<\/li>\n<\/ul>\n<p>\nDet er fint, hvis denne h\u00e6ndelse er sj\u00e6lden. Men i min erfaring har der v\u00e6ret situationer, hvor medarbejdere deltager i forskellige projekter, og denne projektgruppe \u00e6ndrede sig ret ofte for nogle af dem, og det var ikke 1-2 personer, men titusinder. Selvf\u00f8lgelig m\u00e5tte der \u00e6ndres noget her.<\/p>\n<p>Dette blev l\u00f8st p\u00e5 f\u00f8lgende m\u00e5de.<\/p>\n<p>Vi besluttede, at den eneste sandhedskilde, der definerede alle de mulige adgange for en medarbejder, ville v\u00e6re LDAP. Vi oprettede alle mulige grupper, der definerer adgangs s\u00e6t, og vi knyttede hver bruger til en eller flere grupper. <\/p>\n<p>S\u00e5 for eksempel, lad os antage, at der var grupper: <\/p>\n<ul>\n<li>guest (internetadgang)<\/li>\n<li>common access (adgang til f\u00e6lles ressourcer: e-mail, vidensbase, \u2026)<\/li>\n<li>accounting<\/li>\n<li>project 1<\/li>\n<li>project 2<\/li>\n<li>database administrator<\/li>\n<li>linux administrator<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nOg hvis en medarbejder var involveret b\u00e5de i projekt 1 og projekt 2, og han havde brug for adgange n\u00f8dvendige for at arbejde i disse projekter, s\u00e5 blev denne medarbejder knyttet til de relevante grupper:<\/p>\n<ul>\n<li>guest <\/li>\n<li>common access<\/li>\n<li>project 1<\/li>\n<li>project 2<\/li>\n<\/ul>\n<p>\nHvordan skal vi nu omdanne denne information til adgange p\u00e5 netv\u00e6rksudstyret? <\/p>\n<p>Cisco ASA Dynamic Access Policy (DAP) (se. <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html\">www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html<\/a><\/noindex>) er l\u00f8sningen lige pr\u00e6cis til denne opgave.<\/p>\n<p>Kort sagt om vores implementering, under identificering\/autorisation, f\u00e5r ASA et s\u00e6t grupper fra LDAP, der svarer til den p\u00e5g\u00e6ldende bruger og \"samler\" et dynamisk ACL fra flere lokale ACL'er (hver svarende til en gruppe) med alle n\u00f8dvendige adgangsrettigheder, hvilket fuldt ud svarer til vores \u00f8nsker.<\/p>\n<p>Men det g\u00e6lder kun for VPN-forbindelser. For at skabe ensartede forhold for b\u00e5de medarbejdere, der opretter forbindelse via VPN, og dem der er p\u00e5 kontoret, blev der taget det n\u00e6ste skridt. <\/p>\n<p>Ved forbindelser fra kontoret blev brugerne via protokollen 802.1x placeret enten i et g\u00e6stenetv\u00e6rk (for g\u00e6ster) eller i et netv\u00e6rk med adgang for medarbejdere. Dern\u00e6st, for at f\u00e5 specifik adgang (f.eks. til projekter i datacenteret) skulle medarbejdere oprette forbindelse via VPN.<\/p>\n<p>For connections from the office and home, different tunnel groups were used on the ASA. This is necessary so that traffic to common resources (used by all employees, such as email, file servers, ticketing systems, DNS, \u2026) accessed by those connecting from the office does not go through ASA, but through the local network. In this way, we avoid overloading the ASA with unnecessary traffic, including high-intensity traffic.<\/p>\n<p>P\u00e5 den m\u00e5de blev opgaven l\u00f8st. <br \/>\nVi opn\u00e5ede <\/p>\n<ul>\n<li>et ensartet s\u00e6t adgangsrettigheder for b\u00e5de forbindelser fra kontoret og fjernforbindelse.<\/li>\n<li>ingen degradation af servicen ved arbejde fra kontoret relateret til overf\u00f8rsel af h\u00f8j-intensiv trafik gennem ASA.<\/li>\n<\/ul>\n<p>\nHvad er der ellers fordele ved denne tilgang?<br \/>\nI administrationen af adgangene. Adgangene kan nemt \u00e6ndres \u00e9t sted.<br \/>\nFor eksempel, hvis en medarbejder forlader virksomheden, fjerner du blot vedkommende fra LDAP, og han\/hun mister automatisk alle sine adgangsrettigheder.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Host checking<\/h3>\n<p>\nVed at tillade fjernforbindelse p\u00e5tager vi os risikoen for ikke kun at lade virksomhedens medarbejder, men ogs\u00e5 al skadelig software, der med stor sandsynlighed er til stede p\u00e5 deres computer (f.eks. hjemmecomputer), f\u00e5 adgang til netv\u00e6rket, og desuden kan vi muligvis \u00e5bne adgangen til vores netv\u00e6rk for en ondsindet akt\u00f8r, der bruger denne v\u00e6rtsmaskine som proxy.<\/p>\n<p>Det er fornuftigt at anvende de samme sikkerhedskrav til en fjernforbundet v\u00e6rt som til en v\u00e6rt, der er placeret p\u00e5 kontoret.<\/p>\n<p>Dette inkluderer ogs\u00e5 den \"korrekte\" version af OS, antivirus, antispyware og firewall-software samt opdateringer. Denne funktion er normalt tilg\u00e6ngelig p\u00e5 VPN-gatewayen (for ASA se for eksempel, <noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/how-to-configure-anyconnect-host-scan\/ta-p\/3118732\">her<\/a><\/noindex>).<\/p>\n<p>Det er ogs\u00e5 fornuftigt at anvende de samme metoder til trafikoverv\u00e5gning og blokering (se \"H\u00f8jt beskyttelsesniveau\"), som anvendes i henhold til din sikkerhedspolitik for kontortrafik. <\/p>\n<p>Det er fornuftigt at antage, at dit kontornet nu ikke er begr\u00e6nset til kontorbygningen og de v\u00e6rter, der er i den.<\/p>\n<blockquote><p><b>Eksempel<\/b><\/p>\n<p>Et godt tip er at udstyre hver medarbejder, der har brug for fjernadgang, med en god og brugervenlig b\u00e6rbar computer og kr\u00e6ve, at de kun arbejder fra denne computer, b\u00e5de p\u00e5 kontoret og derhjemme.<\/p>\n<p>Det \u00f8ger ikke kun sikkerheden p\u00e5 dit netv\u00e6rk, men det er ogs\u00e5 meget praktisk og opfattes normalt positivt af medarbejderne (s\u00e5 l\u00e6nge det virkelig er en god og brugervenlig b\u00e6rbar computer).<\/p><\/blockquote>\n<p><\/p>\n<h2>Om fornemmelsen for m\u00e5l og balance<\/h2>\n<p>\nSom udgangspunkt handler det om den tredje top i vores trekant \u2014 prisen.<br \/>\nLad os se p\u00e5 et hypotetisk eksempel.<\/p>\n<blockquote><p><b>Eksempel<\/b><\/p>\n<p>Du har et kontor med 200 personer. Du har besluttet at g\u00f8re det s\u00e5 komfortabelt og sikkert som muligt.<\/p>\n<p>Derfor har du besluttet at lede al trafik gennem firewall'en, og dermed fungerer firewall'en som standardgateway for alle kontorets undernet.<\/p>\n<p>For at sikre h\u00f8j forbindelses hastighed (alt for komfortens skyld) har du valgt switches med 10-gigabits adgangsporte, som firewalls \u2014 h\u00f8jtydende NGFW-firewalls, for eksempel Palo Alto serie 7K (med 40-gigabit porte), naturligvis med alle inkluderede licenser og selvf\u00f8lgelig en High Availability-par.<\/p>\n<p>Du har ogs\u00e5 brug for mindst et par h\u00f8jt kvalificerede sikkerhedsingeni\u00f8rer til at arbejde med denne udstyrslinje.<\/p>\n<p>Dern\u00e6st har du besluttet at uddele en god b\u00e6rbar computer til hver medarbejder.<\/p>\n<p>I alt ca. 10 millioner dollars til implementering, hundrede tusinde dollars (jeg tror t\u00e6ttere p\u00e5 en million) til \u00e5rlig support og l\u00f8nninger til ingeni\u00f8rer.<\/p>\n<p>Kontoret, 200 personer\u2026<br \/>\nPraktisk? Sandsynligvis ja. <\/p>\n<p>Du pr\u00e6senterer dette forslag for din ledelse\u2026<br \/>\nDer kan muligvis v\u00e6re et antal virksomheder i verden, hvor dette er en acceptabel og korrekt l\u00f8sning. Hvis du er ansat i en s\u00e5dan virksomhed, s\u00e5 tillykke. Men i langt de fleste tilf\u00e6lde er jeg sikker p\u00e5, at din viden ikke vil blive v\u00e6rdsat af ledelsen.<\/p><\/blockquote>\n<p>\nEr dette eksempel overdrevet? N\u00e6ste kapitel vil besvare dette sp\u00f8rgsm\u00e5l.<\/p>\n<p>Hvis du i dit netv\u00e6rk ikke ser noget af det ovenst\u00e5ende, s\u00e5 er det normalt.<br \/>\nFor hver enkelt specifik situation skal du finde din rimelige balance mellem bekvemmelighed, pris og sikkerhed. Ofte er der ikke engang behov for NGFW p\u00e5 dit kontor, og der er ikke behov for L7-beskyttelse p\u00e5 din firewall. Det er tilstr\u00e6kkeligt at sikre et godt niveau af synlighed og advarsler, og dette kan g\u00f8res med open source produkter. Ja, din reaktion p\u00e5 et angreb vil ikke v\u00e6re \u00f8jeblikkelig, men det vigtigste er, at du vil se det, og med de rette processer i din afdeling vil du kunne neutralisere det hurtigt.<\/p>\n<p>Og lad mig minde om, at i hensigten med denne artikels cyklus, s\u00e5 designer du ikke netv\u00e6rket, du fors\u00f8ger blot at forbedre det, du har f\u00e5et.<\/p>\n<h2>Analyse af SAFE-arkitekturen i kontoret<\/h2>\n<p>\nL\u00e6g m\u00e6rke til dette r\u00f8de kvadrat, som jeg har fremh\u00e6vet i diagrammet fra <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-secure-campus.pdf\">SAFE Secure Campus Architecture Guide<\/a><\/noindex>, som jeg gerne vil diskutere her.<\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5dan f\u00e5r du netv\u00e6rksinfrastrukturen under kontrol. Kapitel tre. Netv\u00e6rkssikkerhed. Tredje del.\" src=\"\/wp-content\/uploads\/2019\/04\/617b6561b6ebb17d4f015251abcadf9b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDette er et af de centrale steder i arkitekturen og en af de vigtigste usikkerheder.<\/p>\n<blockquote><p><b>Bem\u00e6rkning<\/b><\/p>\n<p>Jeg har aldrig konfigureret eller arbejdet med FirePower (fra Cisco's firewall-linje \u2014 kun med ASA), s\u00e5 jeg vil betragte det som enhver anden firewall, f.eks. Juniper SRX eller Palo Alto, med antagelsen om, at det har de samme funktioner.<\/p><\/blockquote>\n<p>\nAf de almindelige konfigurationer ser jeg kun 4 mulige anvendelser af firewallen ved en s\u00e5dan forbindelse:<\/p>\n<ul>\n<li>standardgatewayen for hver subnet er en switch, mens firewallen opererer i transparent mode (dvs. al trafik g\u00e5r igennem den, men den danner ikke et L3 hop)<\/li>\n<li>standardgatewayen for hver subnet er firewallens sub-gr\u00e6nseflader (eller SVI-gr\u00e6nseflader), switchen fungerer som L2<\/li>\n<li>forskellige VRF'er bruges p\u00e5 switchen, og trafikken mellem VRF'erne g\u00e5r gennem firewallen, mens trafikken inden for \u00e9n VRF kontrolleres af ACL p\u00e5 switchen<\/li>\n<li>al trafik bliver spejlet til firewallen til analyse og overv\u00e5gning, trafikken g\u00e5r ikke gennem den<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Bem\u00e6rkning 1<\/b><\/p>\n<p>Der er mulige kombinationer af disse muligheder, men for enkelhedens skyld vil vi ikke overveje dem.<\/p><\/blockquote>\n<blockquote><p><b>Bem\u00e6rkning2<\/b><\/p>\n<p>Der er stadig mulighed for at bruge PBR (service chain-arkitektur), men indtil videre er det, selvom det er en flot l\u00f8sning efter min mening, mere af en eksotisk mulighed, s\u00e5 jeg vil ikke overveje det her.<\/p><\/blockquote>\n<p>\nFra beskrivelsen af str\u00f8mene i dokumentet ser vi, at trafikken alligevel g\u00e5r gennem firewall'en, hvilket betyder, at i henhold til Cisco's design falder den fjerde mulighed fra.<\/p>\n<p>Lad os f\u00f8rst se p\u00e5 de f\u00f8rste to muligheder.<br \/>\nVed disse muligheder g\u00e5r al trafik gennem firewall'en.<\/p>\n<p>Lad os nu se <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/collateral\/security\/firepower-ngfw\/data_sheet-c78-736661.html\">datasheet<\/a><\/noindex>, lad os se <noindex><a rel=\"nofollow\" href=\"https:\/\/itprice.com\">Cisco GPL<\/a><\/noindex> og se, at hvis vi \u00f8nsker, at den samlede b\u00e5ndbredde for vores kontor skal v\u00e6re mindst omkring 10-20 gigabit, s\u00e5 skal vi k\u00f8be 4K-versionen.<\/p>\n<blockquote><p><b>Bem\u00e6rkning<\/b><\/p>\n<p>N\u00e5r jeg taler om samlet b\u00e5ndbredde mener jeg trafikken mellem subnettene (og ikke inden for den samme VLAN).<\/p><\/blockquote>\n<p>\nFra GPL ser vi, at prisen for HA Bundle med Threat Defense afh\u00e6ngig af modellen (4110 - 4150) varierer fra ~0,5 - 2,5 millioner dollars.<\/p>\n<p>Det vil sige, at vores design begynder at ligne det tidligere eksempel.<\/p>\n<p>Betyder det, at dette design er forkert?<br \/>\nNej, det g\u00f8r det ikke. Cisco giver dig den maksimalt mulige beskyttelse baseret p\u00e5 produktlinjen, de har. Men det betyder ikke, at det er et 'must' for dig. <\/p>\n<p>I princippet er dette et almindeligt sp\u00f8rgsm\u00e5l, der opst\u00e5r ved design af et kontor eller datacenter, og det betyder kun, at man skal lede efter et kompromis. <\/p>\n<p>For eksempel, at ikke al trafik skal g\u00e5 gennem firewall'en, og i s\u00e5 fald virker den tredje mulighed temmelig tiltalende, eller (se det tidligere afsnit), m\u00e5ske har du ikke brug for 'Threat Defense' eller slet ikke en firewall i dette netv\u00e6rkssegment, og det er nok med passiv overv\u00e5gning ved hj\u00e6lp af betalte (ikke dyre) eller open source-l\u00f8sninger, eller en firewall er n\u00f8dvendig, men fra en anden leverand\u00f8r.<\/p>\n<p>Der er normalt altid denne usikkerhed, og der er ikke noget entydigt svar p\u00e5, hvilken l\u00f8sning der er bedst for dig.<br \/>\nDet er denne kompleksitet og sk\u00f8nhed i opgaven.<br \/>\n<br \/>Kilde: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447610\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 Campus (Office) &amp; Remote access VPN \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430\u043c. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u0434\u0438\u0437\u0430\u0439\u043d \u043e\u0444\u0438\u0441\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u2013 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0431\u0435\u0440\u0435\u043c L2\/L3 \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u044b, \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0435\u043c \u0438\u0445 \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439. \u0414\u0430\u043b\u0435\u0435, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u0430\u0440\u043d\u0443\u044e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23359,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31395","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"da_DK\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47S\u00e5dan f\u00e5r du netv\u00e6rksinfrastrukturen under kontrol. Kapitel tre. Netv\u00e6rkssikkerhed. Del tre | ProHoster","description":"Denne artikel er den femte i artikels\u00e6ttet 'S\u00e5dan f\u00e5r du netv\u00e6rksinfrastrukturen under kontrol'.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:41:01+00:00","article:modified_time":"2019-10-31T18:41:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31395","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 05:58:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:17:26","updated":"2026-01-21 05:58:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/31395","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=31395"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/31395\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/23359"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=31395"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=31395"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=31395"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}