તમારા નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરને કેવી રીતે નિયંત્રિત કરવું. પ્રકરણ ત્રણ. નેટવર્ક સુરક્ષા. ભાગ ત્રણ

આ લેખ "તમારા નેટવર્ક ઇન્ફ્રાસ્ટ્રક્ચર પર નિયંત્રણ કેવી રીતે લેવું" શ્રેણીમાં પાંચમો છે. શ્રેણીના તમામ લેખોની સામગ્રી અને લિંક્સ મળી શકે છે અહીં.

આ ભાગ કેમ્પસ (ઓફિસ) અને રિમોટ એક્સેસ VPN સેગમેન્ટ્સને સમર્પિત કરવામાં આવશે.

ઓફિસ નેટવર્ક ડિઝાઇન સરળ લાગે છે.

ખરેખર, અમે L2/L3 સ્વીચો લઈએ છીએ અને તેમને એકબીજા સાથે જોડીએ છીએ. આગળ, અમે વિલાન્સ અને ડિફોલ્ટ ગેટવેના મૂળભૂત સેટઅપને હાથ ધરીએ છીએ, સરળ રૂટીંગ સેટ કરીએ છીએ, WiFi નિયંત્રકોને કનેક્ટ કરીએ છીએ, એક્સેસ પોઈન્ટ્સ કરીએ છીએ, રિમોટ એક્સેસ માટે ASA ઇન્સ્ટોલ અને ગોઠવીએ છીએ, અમને આનંદ છે કે બધું કામ કર્યું. મૂળભૂત રીતે, જેમ કે મેં અગાઉના એકમાં પહેલેથી જ લખ્યું છે લેખો આ ચક્રમાં, લગભગ દરેક વિદ્યાર્થી કે જેણે ટેલિકોમ કોર્સના બે સેમેસ્ટરમાં હાજરી આપી છે (અને શીખી છે) ઓફિસ નેટવર્કને ડિઝાઇન અને ગોઠવી શકે છે જેથી તે "કોઈક રીતે કામ કરે."

પરંતુ તમે જેટલું વધુ શીખો છો, આ કાર્ય ઓછું સરળ લાગવાનું શરૂ થાય છે. મારા માટે વ્યક્તિગત રીતે, આ વિષય, ઑફિસ નેટવર્ક ડિઝાઇનનો વિષય, બિલકુલ સરળ લાગતો નથી, અને આ લેખમાં હું શા માટે સમજાવવાનો પ્રયત્ન કરીશ.

ટૂંકમાં, ધ્યાનમાં લેવા માટે ઘણા બધા પરિબળો છે. ઘણીવાર આ પરિબળો એકબીજા સાથે સંઘર્ષમાં હોય છે અને વાજબી સમાધાન શોધવું પડે છે.
આ અનિશ્ચિતતા મુખ્ય મુશ્કેલી છે. તેથી, સુરક્ષા વિશે બોલતા, અમારી પાસે ત્રણ શિરોબિંદુઓ સાથેનો ત્રિકોણ છે: સુરક્ષા, કર્મચારીઓ માટે સુવિધા, ઉકેલની કિંમત.
અને દરેક વખતે તમારે આ ત્રણેય વચ્ચે સમાધાન શોધવું પડશે.

સ્થાપત્ય

આ બે વિભાગો માટે આર્કિટેક્ચરના ઉદાહરણ તરીકે, અગાઉના લેખોની જેમ, હું ભલામણ કરું છું સિસ્કો સેફ મોડેલ: એન્ટરપ્રાઇઝ કેમ્પસ, એન્ટરપ્રાઇઝ ઇન્ટરનેટ એજ.

આ અમુક અંશે જૂના દસ્તાવેજો છે. હું તેમને અહીં રજૂ કરું છું કારણ કે મૂળભૂત યોજનાઓ અને અભિગમ બદલાયો નથી, પરંતુ તે જ સમયે મને પ્રસ્તુત કરતાં વધુ ગમે છે. નવા દસ્તાવેજીકરણ.

સિસ્કો સોલ્યુશન્સનો ઉપયોગ કરવા માટે તમને પ્રોત્સાહિત કર્યા વિના, મને હજુ પણ લાગે છે કે આ ડિઝાઇનનો કાળજીપૂર્વક અભ્યાસ કરવો ઉપયોગી છે.

આ લેખ, હંમેશની જેમ, કોઈપણ રીતે સંપૂર્ણ હોવાનો ડોળ કરતો નથી, પરંતુ આ માહિતીમાં એક ઉમેરો છે.

લેખના અંતે, અમે અહીં દર્શાવેલ વિભાવનાઓના સંદર્ભમાં સિસ્કો સેફ ઓફિસ ડિઝાઇનનું વિશ્લેષણ કરીશું.

સામાન્ય સિદ્ધાંતો

ઑફિસ નેટવર્કની ડિઝાઇન, અલબત્ત, સામાન્ય જરૂરિયાતોને સંતોષવી આવશ્યક છે જેની ચર્ચા કરવામાં આવી છે અહીં પ્રકરણમાં "ડિઝાઇન ગુણવત્તાનું મૂલ્યાંકન કરવા માટેના માપદંડ". કિંમત અને સલામતી ઉપરાંત, જેની અમે આ લેખમાં ચર્ચા કરવાનો ઈરાદો ધરાવીએ છીએ, હજુ પણ ત્રણ માપદંડો છે જેને આપણે ડિઝાઇન કરતી વખતે (અથવા ફેરફારો કરતી વખતે ધ્યાનમાં લેવા જોઈએ):

• માપનીયતા
• ઉપયોગમાં સરળતા (વ્યવસ્થાપનક્ષમતા)
• ઉપલબ્ધતા

જેના માટે મોટાભાગની ચર્ચા કરવામાં આવી હતી માહિતી કેન્દ્રો આ ઓફિસ માટે પણ સાચું છે.

પરંતુ તેમ છતાં, ઓફિસ સેગમેન્ટની પોતાની વિશિષ્ટતાઓ છે, જે સુરક્ષાના દૃષ્ટિકોણથી મહત્વપૂર્ણ છે. આ વિશિષ્ટતાનો સાર એ છે કે આ સેગમેન્ટ કંપનીના કર્મચારીઓ (તેમજ ભાગીદારો અને મહેમાનો) ને નેટવર્ક સેવાઓ પ્રદાન કરવા માટે બનાવવામાં આવ્યું છે, અને પરિણામે, સમસ્યાના ઉચ્ચતમ સ્તરે અમારી પાસે બે કાર્યો છે:

• કર્મચારીઓ (મહેમાનો, ભાગીદારો) અને તેઓ જે સૉફ્ટવેરનો ઉપયોગ કરે છે તેમાંથી આવી શકે તેવી દૂષિત ક્રિયાઓથી કંપનીના સંસાધનોનું રક્ષણ કરો. આમાં નેટવર્ક સાથે અનધિકૃત કનેક્શન સામે રક્ષણ પણ સામેલ છે.
• સિસ્ટમો અને વપરાશકર્તા ડેટાને સુરક્ષિત કરો

અને આ સમસ્યાની માત્ર એક બાજુ છે (અથવા તેના બદલે, ત્રિકોણનું એક શિરોબિંદુ). બીજી બાજુ વપરાશકર્તાની સુવિધા અને ઉપયોગમાં લેવાતા ઉકેલોની કિંમત છે.

ચાલો આધુનિક ઓફિસ નેટવર્કમાંથી વપરાશકર્તા શું અપેક્ષા રાખે છે તે જોઈને પ્રારંભ કરીએ.

સવલતો

મારા મતે ઑફિસ વપરાશકર્તા માટે "નેટવર્ક સુવિધાઓ" કેવી દેખાય છે તે અહીં છે:

• ગતિશીલતા
• પરિચિત ઉપકરણો અને ઓપરેટિંગ સિસ્ટમ્સની સંપૂર્ણ શ્રેણીનો ઉપયોગ કરવાની ક્ષમતા
• કંપનીના તમામ જરૂરી સંસાધનોની સરળ ઍક્સેસ
• વિવિધ ક્લાઉડ સેવાઓ સહિત ઇન્ટરનેટ સંસાધનોની ઉપલબ્ધતા
• નેટવર્કનું "ઝડપી કામગીરી".

આ બધું કર્મચારીઓ અને મહેમાનો (અથવા ભાગીદારો) બંનેને લાગુ પડે છે, અને અધિકૃતતાના આધારે વિવિધ વપરાશકર્તા જૂથો માટે ઍક્સેસને અલગ પાડવાનું કંપનીના એન્જિનિયરોનું કાર્ય છે.

ચાલો આ દરેક પાસાઓને થોડી વધુ વિગતમાં જોઈએ.

ગતિશીલતા

અમે વિશ્વમાં ગમે ત્યાંથી (અલબત્ત, જ્યાં ઈન્ટરનેટ ઉપલબ્ધ છે) કંપનીના તમામ જરૂરી સંસાધનોનો ઉપયોગ કરવાની અને કામ કરવાની તક વિશે વાત કરી રહ્યા છીએ.

આ ઓફિસને સંપૂર્ણપણે લાગુ પડે છે. જ્યારે તમને ઑફિસમાં ગમે ત્યાંથી કામ કરવાનું ચાલુ રાખવાની તક હોય ત્યારે આ અનુકૂળ હોય છે, ઉદાહરણ તરીકે, મેઇલ પ્રાપ્ત કરો, કોર્પોરેટ મેસેન્જરમાં વાતચીત કરો, વિડિઓ કૉલ માટે ઉપલબ્ધ રહો, ... આમ, આ તમને પરવાનગી આપે છે, એક તરફ, કેટલાક મુદ્દાઓને "જીવંત" સંચારના ઉકેલ માટે (ઉદાહરણ તરીકે, રેલીઓમાં ભાગ લેવો), અને બીજી બાજુ, હંમેશા ઑનલાઇન રહો, તમારી આંગળી નાડી પર રાખો અને કેટલાક તાત્કાલિક ઉચ્ચ-અગ્રતાના કાર્યોને ઝડપથી હલ કરો. આ ખૂબ જ અનુકૂળ છે અને ખરેખર સંદેશાવ્યવહારની ગુણવત્તામાં સુધારો કરે છે.

આ યોગ્ય WiFi નેટવર્ક ડિઝાઇન દ્વારા પ્રાપ્ત થાય છે.

નોંધ

અહીં સામાન્ય રીતે પ્રશ્ન ઊભો થાય છે: શું ફક્ત WiFi નો ઉપયોગ કરવો પૂરતો છે? શું આનો અર્થ એ છે કે તમે ઑફિસમાં ઇથરનેટ પોર્ટનો ઉપયોગ કરવાનું બંધ કરી શકો છો? જો આપણે ફક્ત વપરાશકર્તાઓ વિશે વાત કરી રહ્યા છીએ, અને સર્વર્સ વિશે નહીં, જે હજી પણ નિયમિત ઇથરનેટ પોર્ટ સાથે કનેક્ટ થવા માટે વાજબી છે, તો સામાન્ય રીતે જવાબ છે: હા, તમે તમારી જાતને ફક્ત WiFi સુધી મર્યાદિત કરી શકો છો. પરંતુ ત્યાં ઘોંઘાટ છે.

ત્યાં મહત્વપૂર્ણ વપરાશકર્તા જૂથો છે જેને અલગ અભિગમની જરૂર છે. આ, અલબત્ત, સંચાલકો છે. સૈદ્ધાંતિક રીતે, WiFi કનેક્શન ઓછું વિશ્વસનીય છે (ટ્રાફિક નુકસાનની દ્રષ્ટિએ) અને નિયમિત ઇથરનેટ પોર્ટ કરતાં ધીમું છે. આ સંચાલકો માટે નોંધપાત્ર હોઈ શકે છે. વધુમાં, નેટવર્ક એડમિનિસ્ટ્રેટર્સ, ઉદાહરણ તરીકે, સૈદ્ધાંતિક રીતે, આઉટ-ઓફ-બેન્ડ કનેક્શન્સ માટે તેમનું પોતાનું સમર્પિત ઇથરનેટ નેટવર્ક હોઈ શકે છે.

તમારી કંપનીમાં અન્ય જૂથો/વિભાગો હોઈ શકે છે જેના માટે આ પરિબળો પણ મહત્વપૂર્ણ છે.

ત્યાં એક અન્ય મહત્વપૂર્ણ મુદ્દો છે - ટેલિફોની. કદાચ કોઈ કારણસર તમે વાયરલેસ VoIP નો ઉપયોગ કરવા માંગતા નથી અને નિયમિત ઈથરનેટ કનેક્શન સાથે IP ફોનનો ઉપયોગ કરવા માંગો છો.

સામાન્ય રીતે, મેં જે કંપનીઓ માટે કામ કર્યું હતું તેમાં સામાન્ય રીતે વાઇફાઇ કનેક્ટિવિટી અને ઇથરનેટ પોર્ટ બંને હોય છે.

હું ઈચ્છું છું કે ગતિશીલતા માત્ર ઓફિસ પૂરતી મર્યાદિત ન રહે.

ઘરેથી કામ કરવાની ક્ષમતાને સુનિશ્ચિત કરવા માટે (અથવા સુલભ ઈન્ટરનેટ સાથે અન્ય કોઈપણ જગ્યાએ), VPN કનેક્શનનો ઉપયોગ કરવામાં આવે છે. તે જ સમયે, તે ઇચ્છનીય છે કે કર્મચારીઓ ઘરેથી કામ કરવા અને દૂરસ્થ કાર્ય વચ્ચેનો તફાવત અનુભવતા નથી, જે સમાન ઍક્સેસને ધારે છે. "યુનિફાઇડ સેન્ટ્રલાઇઝ્ડ ઓથેન્ટિકેશન એન્ડ ઓથોરાઇઝેશન સિસ્ટમ" પ્રકરણમાં અમે થોડી વાર પછી આને કેવી રીતે ગોઠવવું તેની ચર્ચા કરીશું.

નોંધ

મોટે ભાગે, તમે ઑફિસમાં હોય તેવા રિમોટ વર્ક માટે સમાન ગુણવત્તાની સેવાઓ પૂરી પાડી શકશો નહીં. ચાલો ધારીએ કે તમે તમારા VPN ગેટવે તરીકે Cisco ASA 5520 નો ઉપયોગ કરી રહ્યાં છો. ડેટા શીટ આ ઉપકરણ ફક્ત 225 Mbit VPN ટ્રાફિકને "પાચન" કરવામાં સક્ષમ છે. તે, અલબત્ત, બેન્ડવિડ્થના સંદર્ભમાં, VPN દ્વારા કનેક્ટ થવું એ ઑફિસથી કામ કરતાં ઘણું અલગ છે. ઉપરાંત, જો, કોઈ કારણસર, તમારી નેટવર્ક સેવાઓ માટે લેટન્સી, ખોટ, ઝટકો (ઉદાહરણ તરીકે, તમે ઓફિસ IP ટેલિફોનીનો ઉપયોગ કરવા માંગો છો) નોંધપાત્ર છે, તો તમને પણ તે જ ગુણવત્તા પ્રાપ્ત થશે નહીં કે તમે ઓફિસમાં હોવ. તેથી, ગતિશીલતા વિશે વાત કરતી વખતે, આપણે સંભવિત મર્યાદાઓથી પરિચિત હોવા જોઈએ.

કંપનીના તમામ સંસાધનોની સરળ ઍક્સેસ

આ કાર્ય અન્ય તકનીકી વિભાગો સાથે સંયુક્ત રીતે ઉકેલવું જોઈએ.
આદર્શ પરિસ્થિતિ એ છે કે જ્યારે વપરાશકર્તાને માત્ર એક જ વાર પ્રમાણિત કરવાની જરૂર હોય, અને તે પછી તેની પાસે તમામ જરૂરી સંસાધનોની ઍક્સેસ હોય.
સુરક્ષાને બલિદાન આપ્યા વિના સરળ ઍક્સેસ પ્રદાન કરવાથી ઉત્પાદકતામાં નોંધપાત્ર સુધારો થઈ શકે છે અને તમારા સાથીદારોમાં તણાવ ઓછો થઈ શકે છે.

નોંધ 1

ઍક્સેસની સરળતા માત્ર એ નથી કે તમારે કેટલી વાર પાસવર્ડ દાખલ કરવો પડશે. જો, ઉદાહરણ તરીકે, તમારી સુરક્ષા નીતિ અનુસાર, ઑફિસથી ડેટા સેન્ટર સાથે કનેક્ટ થવા માટે, તમારે પહેલા VPN ગેટવે સાથે કનેક્ટ કરવું આવશ્યક છે, અને તે જ સમયે તમે ઑફિસના સંસાધનોની ઍક્સેસ ગુમાવો છો, તો આ પણ ખૂબ જ છે. , ખૂબ અસુવિધાજનક.

નોંધ 2

એવી સેવાઓ છે (ઉદાહરણ તરીકે, નેટવર્ક સાધનોની ઍક્સેસ) જ્યાં અમારી પાસે સામાન્ય રીતે અમારા પોતાના સમર્પિત AAA સર્વર્સ હોય છે અને જ્યારે આ કિસ્સામાં અમારે ઘણી વખત પ્રમાણીકરણ કરવું પડે ત્યારે આ ધોરણ છે.

ઇન્ટરનેટ સંસાધનોની ઉપલબ્ધતા

ઈન્ટરનેટ એ માત્ર મનોરંજન જ નથી, પરંતુ સેવાઓનો સમૂહ પણ છે જે કામ માટે ખૂબ ઉપયોગી થઈ શકે છે. ત્યાં સંપૂર્ણ મનોવૈજ્ઞાનિક પરિબળો પણ છે. આધુનિક વ્યક્તિ ઘણા વર્ચ્યુઅલ થ્રેડો દ્વારા ઇન્ટરનેટ દ્વારા અન્ય લોકો સાથે જોડાયેલ છે, અને, મારા મતે, જો તે કામ કરતી વખતે પણ આ જોડાણ અનુભવવાનું ચાલુ રાખે તો તેમાં કંઈ ખોટું નથી.

સમય બગાડવાના દૃષ્ટિકોણથી, જો કોઈ કર્મચારી, ઉદાહરણ તરીકે, સ્કાયપે ચલાવતો હોય અને જો જરૂરી હોય તો કોઈ પ્રિય વ્યક્તિ સાથે વાતચીત કરવામાં 5 મિનિટ વિતાવે તો કંઈ ખોટું નથી.

શું આનો અર્થ એ છે કે ઇન્ટરનેટ હંમેશા ઉપલબ્ધ હોવું જોઈએ, શું આનો અર્થ એ છે કે કર્મચારીઓને તમામ સંસાધનોની ઍક્સેસ હોઈ શકે છે અને તેમને કોઈપણ રીતે નિયંત્રિત કરી શકતા નથી?

ના, અલબત્ત, તેનો અર્થ એ નથી. ઈન્ટરનેટની નિખાલસતાનું સ્તર વિવિધ કંપનીઓ માટે અલગ અલગ હોઈ શકે છે - સંપૂર્ણ બંધથી લઈને સંપૂર્ણ નિખાલસતા સુધી. અમે સુરક્ષા પગલાં પરના વિભાગોમાં પછીથી ટ્રાફિકને નિયંત્રિત કરવાની રીતોની ચર્ચા કરીશું.

પરિચિત ઉપકરણોની સંપૂર્ણ શ્રેણીનો ઉપયોગ કરવાની ક્ષમતા

તે અનુકૂળ હોય છે જ્યારે, ઉદાહરણ તરીકે, તમારી પાસે સંચારના તમામ માધ્યમોનો ઉપયોગ ચાલુ રાખવાની તક હોય છે જેનો તમે કામ પર ઉપયોગ કરો છો. તકનીકી રીતે આને લાગુ કરવામાં કોઈ મુશ્કેલી નથી. આ માટે તમારે વાઇફાઇ અને ગેસ્ટ વિલાનની જરૂર પડશે.

તે પણ સારું છે જો તમારી પાસે ઓપરેટિંગ સિસ્ટમનો ઉપયોગ કરવાની તક હોય જેનો તમે ઉપયોગ કરો છો. પરંતુ, મારા અવલોકન મુજબ, આ સામાન્ય રીતે ફક્ત મેનેજરો, સંચાલકો અને વિકાસકર્તાઓને જ માન્ય છે.

ઉદાહરણ:

તમે, અલબત્ત, પ્રતિબંધોના માર્ગને અનુસરી શકો છો, દૂરસ્થ ઍક્સેસને પ્રતિબંધિત કરી શકો છો, મોબાઇલ ઉપકરણોથી કનેક્ટ થવા પર પ્રતિબંધ મૂકી શકો છો, દરેક વસ્તુને સ્થિર ઇથરનેટ કનેક્શન્સ સુધી મર્યાદિત કરી શકો છો, ઇન્ટરનેટની ઍક્સેસ મર્યાદિત કરી શકો છો, ચેકપોઇન્ટ પર સેલ ફોન અને ગેજેટ્સ ફરજિયાતપણે જપ્ત કરી શકો છો... અને આ માર્ગ વાસ્તવમાં કેટલીક સંસ્થાઓ દ્વારા વધેલી સુરક્ષા જરૂરિયાતો સાથે અનુસરવામાં આવે છે, અને કદાચ કેટલાક કિસ્સાઓમાં આ વાજબી હોઈ શકે છે, પરંતુ... તમારે સંમત થવું જોઈએ કે આ એક સંસ્થામાં પ્રગતિને રોકવાના પ્રયાસ જેવું લાગે છે. અલબત્ત, હું તે તકોને જોડવા માંગુ છું જે આધુનિક તકનીકો સુરક્ષાના પર્યાપ્ત સ્તર સાથે પ્રદાન કરે છે.

નેટવર્કનું "ઝડપી કામગીરી".

ડેટા ટ્રાન્સફર સ્પીડ તકનીકી રીતે ઘણા પરિબળોનો સમાવેશ કરે છે. અને તમારા કનેક્શન પોર્ટની ઝડપ સામાન્ય રીતે સૌથી મહત્વપૂર્ણ નથી. એપ્લિકેશનની ધીમી કામગીરી હંમેશા નેટવર્ક સમસ્યાઓ સાથે સંકળાયેલી નથી, પરંતુ હમણાં માટે અમને ફક્ત નેટવર્ક ભાગમાં જ રસ છે. લોકલ નેટવર્ક "સ્લોડાઉન" ની સૌથી સામાન્ય સમસ્યા પેકેટ નુકશાન સાથે સંબંધિત છે. આ સામાન્ય રીતે ત્યારે થાય છે જ્યારે કોઈ અડચણ અથવા L1 (OSI) સમસ્યાઓ હોય. વધુ ભાગ્યે જ, કેટલીક ડિઝાઇન સાથે (ઉદાહરણ તરીકે, જ્યારે તમારા સબનેટમાં ડિફોલ્ટ ગેટવે તરીકે ફાયરવોલ હોય છે અને આ રીતે બધો ટ્રાફિક તેમાંથી પસાર થાય છે), ત્યારે હાર્ડવેરની કામગીરીનો અભાવ હોઈ શકે છે.

તેથી, સાધનસામગ્રી અને આર્કિટેક્ચર પસંદ કરતી વખતે, તમારે અંતિમ બંદરો, થડ અને સાધનસામગ્રીની કામગીરીની ગતિને સહસંબંધિત કરવાની જરૂર છે.

ઉદાહરણ:

ચાલો ધારીએ કે તમે એક્સેસ લેયર સ્વિચ તરીકે 1 ગીગાબીટ પોર્ટ સાથે સ્વિચનો ઉપયોગ કરી રહ્યાં છો. તેઓ ઇથરચેનલ 2 x 10 ગીગાબીટ્સ દ્વારા એકબીજા સાથે જોડાયેલા છે. ડિફૉલ્ટ ગેટવે તરીકે, તમે ગીગાબીટ પોર્ટ્સ સાથે ફાયરવોલનો ઉપયોગ કરો છો, જે L2 ઓફિસ નેટવર્ક સાથે કનેક્ટ કરવા માટે તમે 2 ગીગાબીટ પોર્ટનો ઉપયોગ કરો છો જે ઈથરચેનલમાં જોડાય છે.

કાર્યક્ષમતાના દૃષ્ટિકોણથી આ આર્કિટેક્ચર તદ્દન અનુકૂળ છે, કારણ કે... તમામ ટ્રાફિક ફાયરવોલ દ્વારા પસાર થાય છે, અને તમે એક્સેસ પોલિસીને આરામથી મેનેજ કરી શકો છો, અને ટ્રાફિકને નિયંત્રિત કરવા અને સંભવિત હુમલાઓને રોકવા માટે જટિલ અલ્ગોરિધમ્સ લાગુ કરી શકો છો (નીચે જુઓ), પરંતુ થ્રુપુટ અને પ્રદર્શનના દૃષ્ટિકોણથી આ ડિઝાઇનમાં, અલબત્ત, સંભવિત સમસ્યાઓ છે. તેથી, ઉદાહરણ તરીકે, 2 હોસ્ટ ડાઉનલોડ કરી રહેલા ડેટા (1 ગીગાબીટની પોર્ટ સ્પીડ સાથે) ફાયરવોલ સાથે 2 ગીગાબીટ કનેક્શનને સંપૂર્ણપણે લોડ કરી શકે છે, અને આ રીતે સમગ્ર ઓફિસ સેગમેન્ટ માટે સેવા અધોગતિ તરફ દોરી જાય છે.

આપણે ત્રિકોણના એક શિરોબિંદુ તરફ જોયું છે, હવે ચાલો જોઈએ કે આપણે સુરક્ષા કેવી રીતે સુનિશ્ચિત કરી શકીએ.

ઉપાય

તેથી, અલબત્ત, સામાન્ય રીતે અમારી ઇચ્છા (અથવા તેના બદલે, અમારા સંચાલનની ઇચ્છા) એ અશક્યને હાંસલ કરવાની છે, એટલે કે, મહત્તમ સુરક્ષા અને ન્યૂનતમ ખર્ચ સાથે મહત્તમ સુવિધા પ્રદાન કરવાની.

ચાલો જોઈએ કે રક્ષણ પૂરું પાડવા માટે આપણી પાસે કઈ પદ્ધતિઓ છે.

ઓફિસ માટે, હું નીચેનાને પ્રકાશિત કરીશ:

• ડિઝાઇન માટે શૂન્ય વિશ્વાસ અભિગમ
• ઉચ્ચ સ્તરનું રક્ષણ
• નેટવર્ક દૃશ્યતા
• એકીકૃત કેન્દ્રિય પ્રમાણીકરણ અને અધિકૃતતા સિસ્ટમ
• યજમાન ચકાસણી

આગળ, અમે આ દરેક પાસાઓ પર થોડી વધુ વિગતમાં રહીશું.

ઝીરો ટ્રસ્ટ

આઈટી વિશ્વ ખૂબ જ ઝડપથી બદલાઈ રહ્યું છે. છેલ્લાં 10 વર્ષોમાં, નવી તકનીકીઓ અને ઉત્પાદનોના ઉદભવને કારણે સુરક્ષા ખ્યાલોમાં મોટા પાયે સુધારો થયો છે. દસ વર્ષ પહેલાં, સુરક્ષાના દૃષ્ટિકોણથી, અમે નેટવર્કને ટ્રસ્ટ, dmz અને અવિશ્વાસ ઝોનમાં વિભાજિત કર્યું, અને કહેવાતા "પરિમિતિ સંરક્ષણ" નો ઉપયોગ કર્યો, જ્યાં સંરક્ષણની 2 રેખાઓ હતી: અવિશ્વાસ -> dmz અને dmz -> વિશ્વાસ. ઉપરાંત, સુરક્ષા સામાન્ય રીતે L3/L4 (OSI) હેડરો (IP, TCP/UDP પોર્ટ્સ, TCP ફ્લેગ્સ) પર આધારિત ઍક્સેસ સૂચિઓ સુધી મર્યાદિત હતી. L7 સહિત ઉચ્ચ સ્તરોથી સંબંધિત દરેક વસ્તુ અંતિમ યજમાનો પર સ્થાપિત OS અને સુરક્ષા ઉત્પાદનો પર છોડી દેવામાં આવી હતી.

હવે પરિસ્થિતિ નાટકીય રીતે બદલાઈ ગઈ છે. આધુનિક ખ્યાલ શૂન્ય વિશ્વાસ તે હકીકત પરથી આવે છે કે આંતરિક સિસ્ટમોને ધ્યાનમાં લેવાનું હવે શક્ય નથી, એટલે કે, પરિમિતિની અંદર સ્થિત, વિશ્વસનીય તરીકે, અને પરિમિતિનો ખ્યાલ પોતે જ અસ્પષ્ટ બની ગયો છે.
ઇન્ટરનેટ કનેક્શન ઉપરાંત અમારી પાસે પણ છે

• દૂરસ્થ ઍક્સેસ VPN વપરાશકર્તાઓ
• વિવિધ અંગત ગેજેટ્સ, લાવેલા લેપટોપ, ઓફિસ વાઇફાઇ દ્વારા કનેક્ટેડ
• અન્ય (શાખા) કચેરીઓ
• ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચર સાથે એકીકરણ

વ્યવહારમાં ઝીરો ટ્રસ્ટ અભિગમ કેવો દેખાય છે?

આદર્શ રીતે, ફક્ત જરૂરી હોય તેવા ટ્રાફિકને જ મંજૂરી આપવી જોઈએ અને, જો આપણે આદર્શ વિશે વાત કરી રહ્યા છીએ, તો નિયંત્રણ ફક્ત L3/L4 સ્તર પર જ નહીં, પરંતુ એપ્લિકેશન સ્તર પર હોવું જોઈએ.

જો, ઉદાહરણ તરીકે, તમારી પાસે ફાયરવોલ દ્વારા તમામ ટ્રાફિકને પસાર કરવાની ક્ષમતા છે, તો પછી તમે આદર્શની નજીક જવાનો પ્રયાસ કરી શકો છો. પરંતુ આ અભિગમ તમારા નેટવર્કની કુલ બેન્ડવિડ્થને નોંધપાત્ર રીતે ઘટાડી શકે છે, અને તે ઉપરાંત, એપ્લિકેશન દ્વારા ફિલ્ટરિંગ હંમેશા સારી રીતે કામ કરતું નથી.

રાઉટર અથવા L3 સ્વીચ પર ટ્રાફિકને નિયંત્રિત કરતી વખતે (માનક ACL નો ઉપયોગ કરીને), તમને અન્ય સમસ્યાઓનો સામનો કરવો પડે છે:

• આ ફક્ત L3/L4 ફિલ્ટરિંગ છે. હુમલાખોરને તેમની એપ્લિકેશન માટે મંજૂર પોર્ટ્સ (દા.ત. TCP 80) નો ઉપયોગ કરતા અટકાવવાનું કંઈ નથી (http નહીં)
• જટિલ ACL મેનેજમેન્ટ (ACL ને પાર્સ કરવું મુશ્કેલ)
• આ સ્ટેટફુલ ફાયરવોલ નથી, એટલે કે તમારે રિવર્સ ટ્રાફિકને સ્પષ્ટપણે મંજૂરી આપવાની જરૂર છે
• સ્વીચો સાથે તમે સામાન્ય રીતે TCAM ના કદ દ્વારા ખૂબ જ ચુસ્તપણે મર્યાદિત છો, જે ઝડપથી સમસ્યા બની શકે છે જો તમે "તમને જરૂર હોય તે જ મંજૂરી આપો" અભિગમ અપનાવો.

નોંધ

રિવર્સ ટ્રાફિક વિશે બોલતા, આપણે યાદ રાખવું જોઈએ કે અમારી પાસે નીચેની તક છે (સિસ્કો)

કોઈપણ સ્થાપિત tcp ને પરવાનગી આપો

પરંતુ તમારે એ સમજવાની જરૂર છે કે આ રેખા બે લીટીઓની સમકક્ષ છે:
tcp ને કોઈપણ AC ને પરવાનગી આપો
tcp ને કોઈપણ આર.એસ.ટી

જેનો અર્થ છે કે જો SYN ફ્લેગ સાથે કોઈ પ્રારંભિક TCP સેગમેન્ટ ન હોય તો પણ (એટલે ​​કે, TCP સત્ર સ્થાપિત થવાનું પણ શરૂ થયું ન હતું), આ ACL ACK ફ્લેગ સાથેના પેકેટને મંજૂરી આપશે, જેનો ઉપયોગ હુમલાખોર ડેટા ટ્રાન્સફર કરવા માટે કરી શકે છે.

એટલે કે, આ લાઇન કોઈપણ રીતે તમારા રાઉટર અથવા L3 સ્વિચને સ્ટેટફુલ ફાયરવોલમાં ફેરવતી નથી.

ઉચ્ચ સ્તરનું રક્ષણ

В લેખ ડેટા સેન્ટર્સ પરના વિભાગમાં, અમે નીચેની સુરક્ષા પદ્ધતિઓ ધ્યાનમાં લીધી.

• સ્ટેટફુલ ફાયરવોલિંગ (ડિફોલ્ટ)
• ddos/dos રક્ષણ
• એપ્લિકેશન ફાયરવોલિંગ
• જોખમ નિવારણ (એન્ટીવાયરસ, એન્ટી સ્પાયવેર અને નબળાઈ)
• URL ફિલ્ટરિંગ
• ડેટા ફિલ્ટરિંગ (સામગ્રી ફિલ્ટરિંગ)
• ફાઈલ બ્લોકીંગ (ફાઈલ પ્રકારો બ્લોકીંગ)

ઓફિસના કિસ્સામાં, પરિસ્થિતિ સમાન છે, પરંતુ પ્રાથમિકતાઓ થોડી અલગ છે. ઑફિસની ઉપલબ્ધતા (ઉપલબ્ધતા) સામાન્ય રીતે ડેટા સેન્ટરના કિસ્સામાં એટલી જટિલ નથી હોતી, જ્યારે "આંતરિક" દૂષિત ટ્રાફિકની સંભાવના વધુ તીવ્રતાના ઓર્ડર હોય છે.
તેથી, આ સેગમેન્ટ માટે નીચેની સુરક્ષા પદ્ધતિઓ મહત્વપૂર્ણ બની જાય છે:

• એપ્લિકેશન ફાયરવોલિંગ
• જોખમ નિવારણ (એન્ટિ-વાયરસ, એન્ટિ-સ્પાયવેર અને નબળાઈ)
• URL ફિલ્ટરિંગ
• ડેટા ફિલ્ટરિંગ (સામગ્રી ફિલ્ટરિંગ)
• ફાઈલ બ્લોકીંગ (ફાઈલ પ્રકારો બ્લોકીંગ)

જો કે આ તમામ સુરક્ષા પદ્ધતિઓ, એપ્લીકેશન ફાયરવોલિંગના અપવાદ સાથે, પરંપરાગત રીતે અંતિમ યજમાનો (ઉદાહરણ તરીકે, એન્ટિવાયરસ પ્રોગ્રામ્સ ઇન્સ્ટોલ કરીને) અને પ્રોક્સીઝનો ઉપયોગ કરીને ઉકેલવામાં આવી છે અને ચાલુ રહે છે, આધુનિક NGFWs પણ આ સેવાઓ પ્રદાન કરે છે.

સુરક્ષા સાધનોના વિક્રેતાઓ વ્યાપક સુરક્ષા બનાવવાનો પ્રયત્ન કરે છે, તેથી સ્થાનિક સુરક્ષા સાથે, તેઓ યજમાનો માટે વિવિધ ક્લાઉડ તકનીકો અને ક્લાયંટ સોફ્ટવેર ઓફર કરે છે (એન્ડ પોઈન્ટ પ્રોટેક્શન/EPP). તેથી, ઉદાહરણ તરીકે, થી 2018 ગાર્ટનર મેજિક ચતુર્થાંશ આપણે જોઈએ છીએ કે પાલો અલ્ટો અને સિસ્કો પાસે તેમના પોતાના EPPs (PA: Traps, Cisco: AMP) છે, પરંતુ તે નેતાઓથી દૂર છે.

તમારી ફાયરવોલ પર આ રક્ષણોને સક્ષમ કરવું (સામાન્ય રીતે લાઇસન્સ ખરીદીને) અલબત્ત ફરજિયાત નથી (તમે પરંપરાગત માર્ગ પર જઈ શકો છો), પરંતુ તે કેટલાક લાભો પ્રદાન કરે છે:

• આ કિસ્સામાં, સંરક્ષણ પદ્ધતિઓનો ઉપયોગ કરવાનો એક જ મુદ્દો છે, જે દૃશ્યતામાં સુધારો કરે છે (આગળનો વિષય જુઓ).
• જો તમારા નેટવર્ક પર કોઈ અસુરક્ષિત ઉપકરણ છે, તો તે હજી પણ ફાયરવોલ સુરક્ષાની "છત્ર" હેઠળ આવે છે.
• અંતિમ-યજમાન સુરક્ષા સાથે જોડાણમાં ફાયરવોલ સંરક્ષણનો ઉપયોગ કરીને, અમે દૂષિત ટ્રાફિકને શોધવાની સંભાવના વધારીએ છીએ. ઉદાહરણ તરીકે, સ્થાનિક યજમાનો પર અને ફાયરવોલ પર જોખમ નિવારણનો ઉપયોગ કરીને તપાસની સંભાવના વધે છે (જો કે, અલબત્ત, આ ઉકેલો વિવિધ સોફ્ટવેર ઉત્પાદનો પર આધારિત હોય)

નોંધ

જો, ઉદાહરણ તરીકે, તમે કેસ્પરસ્કીનો ઉપયોગ ફાયરવોલ અને અંતિમ યજમાન બંને પર એન્ટીવાયરસ તરીકે કરો છો, તો આ, અલબત્ત, તમારા નેટવર્ક પર વાયરસના હુમલાને રોકવાની તમારી તકોને મોટા પ્રમાણમાં વધારશે નહીં.

નેટવર્ક દૃશ્યતા

મુખ્ય વિચાર સરળ છે - વાસ્તવિક સમય અને ઐતિહાસિક ડેટા બંનેમાં તમારા નેટવર્ક પર શું થઈ રહ્યું છે તે "જુઓ".

હું આ "દ્રષ્ટિ" ને બે જૂથોમાં વહેંચીશ:

જૂથ એક: તમારી મોનિટરિંગ સિસ્ટમ સામાન્ય રીતે તમને શું પ્રદાન કરે છે.

• સાધનો લોડિંગ
• ચેનલો લોડ કરી રહ્યું છે
• મેમરી વપરાશ
• ડિસ્ક વપરાશ
• રૂટીંગ ટેબલ બદલવું
• લિંક સ્થિતિ
• સાધનોની ઉપલબ્ધતા (અથવા યજમાનો)
• ...

જૂથ બે: સલામતી સંબંધિત માહિતી.

• વિવિધ પ્રકારના આંકડા (ઉદાહરણ તરીકે, એપ્લિકેશન દ્વારા, URL ટ્રાફિક દ્વારા, કયા પ્રકારનો ડેટા ડાઉનલોડ કરવામાં આવ્યો હતો, વપરાશકર્તા ડેટા)
• સુરક્ષા નીતિઓ દ્વારા શું અવરોધિત કરવામાં આવ્યું હતું અને કયા કારણોસર, એટલે કે
  • પ્રતિબંધિત અરજી
  • ip/protocol/port/flags/zones ના આધારે પ્રતિબંધિત
  • ધમકી નિવારણ
  • url ફિલ્ટરિંગ
  • ડેટા ફિલ્ટરિંગ
  • ફાઇલ બ્લોકીંગ
  • ...
• DOS/DDOS હુમલાઓ પરના આંકડા
• નિષ્ફળ ઓળખ અને અધિકૃતતા પ્રયાસો
• ઉપરોક્ત તમામ સુરક્ષા નીતિના ઉલ્લંઘનની ઘટનાઓ માટેના આંકડા
• ...

સુરક્ષા પરના આ પ્રકરણમાં, અમને બીજા ભાગમાં રસ છે.

કેટલાક આધુનિક ફાયરવોલ (મારા પાલો અલ્ટોના અનુભવમાંથી) દૃશ્યતાનું સારું સ્તર પૂરું પાડે છે. પરંતુ, અલબત્ત, તમે જે ટ્રાફિકમાં રુચિ ધરાવો છો તે આ ફાયરવોલમાંથી પસાર થવો જોઈએ (જે કિસ્સામાં તમારી પાસે ટ્રાફિકને અવરોધિત કરવાની ક્ષમતા હોય છે) અથવા ફાયરવૉલ પર પ્રતિબિંબિત (ફક્ત દેખરેખ અને વિશ્લેષણ માટે ઉપયોગ થાય છે), અને બધાને સક્ષમ કરવા માટે તમારી પાસે લાઇસન્સ હોવું આવશ્યક છે. આ સેવાઓ

અલબત્ત, વૈકલ્પિક માર્ગ છે, અથવા તેના બદલે પરંપરાગત રીત છે, ઉદાહરણ તરીકે,

• સત્રના આંકડા નેટફ્લો દ્વારા એકત્રિત કરી શકાય છે અને પછી માહિતી વિશ્લેષણ અને ડેટા વિઝ્યુલાઇઝેશન માટે વિશેષ ઉપયોગિતાઓનો ઉપયોગ કરી શકાય છે.
• જોખમ નિવારણ - અંતિમ યજમાનો પર વિશેષ પ્રોગ્રામ્સ (એન્ટિ-વાયરસ, એન્ટિ-સ્પાયવેર, ફાયરવોલ)
• URL ફિલ્ટરિંગ, ડેટા ફિલ્ટરિંગ, ફાઇલ બ્લોકિંગ - પ્રોક્સી પર
• દા.ત.નો ઉપયોગ કરીને tcpdump નું વિશ્લેષણ કરવું પણ શક્ય છે. નસકોરા

તમે આ બે અભિગમોને જોડી શકો છો, ગુમ થયેલ લક્ષણોને પૂરક બનાવી શકો છો અથવા હુમલાને શોધવાની સંભાવના વધારવા માટે તેમની નકલ કરી શકો છો.

તમારે કયો અભિગમ પસંદ કરવો જોઈએ?
તમારી ટીમની લાયકાતો અને પસંદગીઓ પર ખૂબ આધાર રાખે છે.
ત્યાં અને ત્યાં બંને ગુણદોષ છે.

એકીકૃત કેન્દ્રિય પ્રમાણીકરણ અને અધિકૃતતા સિસ્ટમ

જ્યારે સારી રીતે ડિઝાઇન કરવામાં આવે, ત્યારે અમે આ લેખમાં જે ગતિશીલતાની ચર્ચા કરી છે તે ધારે છે કે તમે ઑફિસથી અથવા ઘરેથી, એરપોર્ટ પરથી, કૉફી શૉપમાંથી અથવા બીજે ક્યાંય કામ કરો છો (અમે ઉપર ચર્ચા કરી છે તે મર્યાદાઓ સાથે) તમારી પાસે સમાન ઍક્સેસ છે. એવું લાગશે, સમસ્યા શું છે?
આ કાર્યની જટિલતાને વધુ સારી રીતે સમજવા માટે, ચાલો એક લાક્ષણિક ડિઝાઇન જોઈએ.

ઉદાહરણ:

• તમે બધા કર્મચારીઓને જૂથોમાં વિભાજિત કર્યા છે. તમે જૂથો દ્વારા ઍક્સેસ પ્રદાન કરવાનું નક્કી કર્યું છે
• ઓફિસની અંદર, તમે ઓફિસ ફાયરવોલ પર એક્સેસને નિયંત્રિત કરો છો
• તમે ડેટા સેન્ટર ફાયરવોલ પર ઓફિસથી ડેટા સેન્ટર સુધીના ટ્રાફિકને નિયંત્રિત કરો છો
• તમે VPN ગેટવે તરીકે Cisco ASA નો ઉપયોગ કરો છો અને રિમોટ ક્લાયન્ટ્સથી તમારા નેટવર્કમાં પ્રવેશતા ટ્રાફિકને નિયંત્રિત કરવા માટે, તમે સ્થાનિક (ASA પર) ACL નો ઉપયોગ કરો છો.

હવે, ચાલો કહીએ કે તમને ચોક્કસ કર્મચારી માટે વધારાની ઍક્સેસ ઉમેરવા માટે કહેવામાં આવે છે. આ કિસ્સામાં, તમને ફક્ત તેને જ ઍક્સેસ ઉમેરવા માટે કહેવામાં આવે છે અને તેના જૂથમાંથી અન્ય કોઈને નહીં.

આ માટે આપણે આ કર્મચારી માટે એક અલગ ગ્રુપ બનાવવું પડશે, એટલે કે

• આ કર્મચારી માટે ASA પર અલગ IP પૂલ બનાવો
• ASA પર નવું ACL ઉમેરો અને તેને તે રિમોટ ક્લાયન્ટ સાથે જોડો
• ઓફિસ અને ડેટા સેન્ટર ફાયરવોલ પર નવી સુરક્ષા નીતિઓ બનાવો

જો આ ઘટના દુર્લભ હોય તો તે સારું છે. પરંતુ મારી પ્રેક્ટિસમાં એવી પરિસ્થિતિ હતી જ્યારે કર્મચારીઓએ વિવિધ પ્રોજેક્ટ્સમાં ભાગ લીધો હતો, અને તેમાંના કેટલાક માટેના પ્રોજેક્ટ્સનો આ સેટ ઘણી વાર બદલાયો હતો, અને તે 1-2 લોકો નહીં, પરંતુ ડઝનેક હતા. અલબત્ત, અહીં કંઈક બદલવાની જરૂર છે.

આ નીચેની રીતે હલ કરવામાં આવ્યું હતું.

અમે નક્કી કર્યું છે કે LDAP એ સત્યનો એકમાત્ર સ્ત્રોત હશે જે કર્મચારીની તમામ સંભવિત ઍક્સેસને નિર્ધારિત કરે છે. અમે તમામ પ્રકારના જૂથો બનાવ્યાં છે જે એક્સેસના સેટને વ્યાખ્યાયિત કરે છે, અને અમે દરેક વપરાશકર્તાને એક અથવા વધુ જૂથોને સોંપ્યા છે.

તેથી, ઉદાહરણ તરીકે, ધારો કે ત્યાં જૂથો હતા

• અતિથિ (ઇન્ટરનેટ ઍક્સેસ)
• સામાન્ય ઍક્સેસ (શેર્ડ સંસાધનોની ઍક્સેસ: મેઇલ, જ્ઞાન આધાર, ...)
• નામું
• પ્રોજેક્ટ 1
• પ્રોજેક્ટ 2
• ડેટા બેઝ એડમિનિસ્ટ્રેટર
• લિનક્સ એડમિનિસ્ટ્રેટર
• ...

અને જો કોઈ કર્મચારી પ્રોજેક્ટ 1 અને પ્રોજેક્ટ 2 બંનેમાં સામેલ હતો, અને તેને આ પ્રોજેક્ટ્સમાં કામ કરવા માટે જરૂરી ઍક્સેસની જરૂર હોય, તો આ કર્મચારીને નીચેના જૂથોને સોંપવામાં આવ્યો હતો:

• મહેમાન
• સામાન્ય પ્રવેશ
• પ્રોજેક્ટ 1
• પ્રોજેક્ટ 2

હવે આપણે આ માહિતીને નેટવર્ક સાધનોની ઍક્સેસમાં કેવી રીતે ફેરવી શકીએ?

સિસ્કો એએસએ ડાયનેમિક એક્સેસ પોલિસી (ડીએપી) (જુઓ www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) ઉકેલ આ કાર્ય માટે યોગ્ય છે.

અમારા અમલીકરણ વિશે સંક્ષિપ્તમાં, ઓળખ/અધિકૃતતા પ્રક્રિયા દરમિયાન, ASA એ LDAP તરફથી આપેલ વપરાશકર્તાને અનુરૂપ જૂથોનો સમૂહ મેળવે છે અને કેટલાક સ્થાનિક ACL (જેમાંથી દરેક જૂથને અનુરૂપ છે) માંથી "એકત્ર" કરે છે (જેમાંથી દરેક જૂથને અનુરૂપ છે) તમામ જરૂરી એક્સેસ સાથે ગતિશીલ ACL. , જે સંપૂર્ણપણે અમારી ઇચ્છાઓને અનુરૂપ છે.

પરંતુ આ માત્ર VPN કનેક્શન માટે છે. VPN દ્વારા જોડાયેલા કર્મચારીઓ અને ઓફિસમાં રહેલા બંને માટે પરિસ્થિતિ સમાન બનાવવા માટે, નીચેનું પગલું લેવામાં આવ્યું હતું.

ઑફિસમાંથી કનેક્ટ કરતી વખતે, 802.1x પ્રોટોકોલનો ઉપયોગ કરતા વપરાશકર્તાઓ ક્યાં તો ગેસ્ટ LAN (અતિથિઓ માટે) અથવા શેર કરેલ LAN (કંપનીના કર્મચારીઓ માટે) માં સમાપ્ત થાય છે. વધુમાં, ચોક્કસ એક્સેસ મેળવવા માટે (ઉદાહરણ તરીકે, ડેટા સેન્ટરમાં પ્રોજેક્ટ માટે), કર્મચારીઓને VPN દ્વારા કનેક્ટ થવું પડતું હતું.

ઓફિસ અને ઘરેથી જોડાવા માટે, ASA પર વિવિધ ટનલ જૂથોનો ઉપયોગ કરવામાં આવ્યો હતો. આ જરૂરી છે જેથી ઓફિસથી કનેક્ટ થનારા લોકો માટે, શેર કરેલ સંસાધનોનો ટ્રાફિક (તમામ કર્મચારીઓ દ્વારા ઉપયોગમાં લેવાય છે, જેમ કે મેઇલ, ફાઇલ સર્વર્સ, ટિકિટ સિસ્ટમ, ડીએનએસ, ...) એએસએ દ્વારા નહીં, પરંતુ સ્થાનિક નેટવર્ક દ્વારા જાય છે. . આમ, અમે ઉચ્ચ-તીવ્રતાવાળા ટ્રાફિક સહિત બિનજરૂરી ટ્રાફિક સાથે ASA લોડ કર્યું નથી.

આમ, સમસ્યા હલ થઈ ગઈ.
અમે મળી

• ઓફિસ અને રિમોટ કનેક્શન બંને કનેક્શન માટે એક્સેસનો સમાન સેટ
• ASA દ્વારા ઉચ્ચ-તીવ્રતાના ટ્રાફિકના ટ્રાન્સમિશન સાથે સંકળાયેલ ઓફિસમાંથી કામ કરતી વખતે સેવામાં અધોગતિની ગેરહાજરી

આ અભિગમના અન્ય કયા ફાયદા છે?
પ્રવેશ વહીવટમાં. ઍક્સેસ સરળતાથી એક જગ્યાએ બદલી શકાય છે.
ઉદાહરણ તરીકે, જો કોઈ કર્મચારી કંપની છોડી દે છે, તો તમે તેને LDAP માંથી ખાલી કરી દો, અને તે આપમેળે બધી ઍક્સેસ ગુમાવશે.

યજમાન ચકાસણી

રિમોટ કનેક્શનની શક્યતા સાથે, અમે ફક્ત કંપનીના કર્મચારીને નેટવર્કમાં જ નહીં, પણ તેના કમ્પ્યુટર પર (ઉદાહરણ તરીકે, ઘર) હાજર હોય તેવા તમામ દૂષિત સૉફ્ટવેરને પણ મંજૂરી આપવાનું જોખમ ચલાવીએ છીએ અને વધુમાં, આ સૉફ્ટવેર દ્વારા અમે પ્રોક્સી તરીકે આ હોસ્ટનો ઉપયોગ કરીને હુમલાખોરને અમારા નેટવર્કની ઍક્સેસ પ્રદાન કરી શકે છે.

રિમોટલી કનેક્ટેડ હોસ્ટ માટે ઓફિસમાં હોસ્ટ તરીકે સમાન સુરક્ષા જરૂરિયાતો લાગુ કરવી તે અર્થપૂર્ણ છે.

આ OS, એન્ટિ-વાયરસ, એન્ટિ-સ્પાયવેર અને ફાયરવોલ સૉફ્ટવેર અને અપડેટ્સનું "સાચું" સંસ્કરણ પણ ધારે છે. સામાન્ય રીતે, આ ક્ષમતા VPN ગેટવે પર અસ્તિત્વમાં છે (ASA માટે જુઓ, ઉદાહરણ તરીકે, અહીં).

તમારી સુરક્ષા નીતિ ઑફિસ ટ્રાફિક પર લાગુ થાય છે તે જ ટ્રાફિક વિશ્લેષણ અને અવરોધિત તકનીકો (જુઓ "ઉચ્ચ સ્તરનું રક્ષણ") લાગુ કરવી પણ સમજદારીભર્યું છે.

એવું માનવું વાજબી છે કે તમારું ઑફિસ નેટવર્ક હવે ઑફિસ બિલ્ડિંગ અને તેની અંદરના યજમાનો સુધી મર્યાદિત નથી.

ઉદાહરણ:

એક સારી ટેકનિક એ છે કે દરેક કર્મચારીને એક સારા, અનુકૂળ લેપટોપ સાથે રિમોટ એક્સેસની જરૂર હોય અને તેમને ઓફિસમાં અને ઘરેથી, માત્ર તેમાંથી જ કામ કરવાની જરૂર હોય.

તે ફક્ત તમારા નેટવર્કની સુરક્ષામાં સુધારો કરતું નથી, પરંતુ તે ખરેખર અનુકૂળ પણ છે અને સામાન્ય રીતે કર્મચારીઓ દ્વારા તેને અનુકૂળ રીતે જોવામાં આવે છે (જો તે ખરેખર સારું, વપરાશકર્તા-મૈત્રીપૂર્ણ લેપટોપ હોય).

પ્રમાણ અને સંતુલનની ભાવના વિશે

મૂળભૂત રીતે, આ આપણા ત્રિકોણના ત્રીજા શિરોબિંદુ વિશેની વાતચીત છે - કિંમત વિશે.
ચાલો એક અનુમાનિત ઉદાહરણ જોઈએ.

ઉદાહરણ:

તમારી પાસે 200 લોકો માટે ઓફિસ છે. તમે તેને શક્ય તેટલું અનુકૂળ અને સલામત બનાવવાનું નક્કી કર્યું છે.

તેથી, તમે ફાયરવોલ દ્વારા તમામ ટ્રાફિક પસાર કરવાનું નક્કી કર્યું છે અને આ રીતે તમામ ઓફિસ સબનેટ માટે ફાયરવોલ એ ડિફોલ્ટ ગેટવે છે. દરેક અંતિમ હોસ્ટ (એન્ટિ-વાયરસ, એન્ટિ-સ્પાયવેર અને ફાયરવોલ સોફ્ટવેર) પર ઇન્સ્ટોલ કરેલ સુરક્ષા સોફ્ટવેર ઉપરાંત, તમે ફાયરવોલ પર તમામ સંભવિત સુરક્ષા પદ્ધતિઓ લાગુ કરવાનું પણ નક્કી કર્યું છે.

ઉચ્ચ કનેક્શન સ્પીડ (બધું અનુકૂળતા માટે) સુનિશ્ચિત કરવા માટે, તમે એક્સેસ સ્વીચ તરીકે 10 ગીગાબીટ એક્સેસ પોર્ટ સાથેની સ્વીચ અને ફાયરવોલ તરીકે ઉચ્ચ-પ્રદર્શન NGFW ફાયરવોલ પસંદ કર્યા છે, ઉદાહરણ તરીકે, પાલો અલ્ટો 7K સીરીઝ (40 ગીગાબીટ પોર્ટ સાથે), કુદરતી રીતે તમામ લાઇસન્સ સાથે. સમાવેશ થાય છે અને, કુદરતી રીતે, ઉચ્ચ ઉપલબ્ધતા જોડી.

ઉપરાંત, અલબત્ત, સાધનોની આ લાઇન સાથે કામ કરવા માટે અમારે ઓછામાં ઓછા કેટલાક ઉચ્ચ ગુણવત્તાવાળું સુરક્ષા ઇજનેરોની જરૂર છે.

આગળ, તમે દરેક કર્મચારીને એક સારું લેપટોપ આપવાનું નક્કી કર્યું.

કુલ, અમલીકરણ માટે લગભગ 10 મિલિયન ડોલર, એન્જિનિયરો માટે વાર્ષિક સમર્થન અને પગાર માટે સેંકડો હજારો ડોલર (મને લાગે છે કે એક મિલિયનની નજીક).

ઓફિસ, 200 લોકો...
આરામદાયક? મને લાગે છે કે તે હા છે.

તમે તમારા મેનેજમેન્ટ પાસે આ પ્રસ્તાવ લઈને આવો...
કદાચ વિશ્વમાં એવી સંખ્યાબંધ કંપનીઓ છે કે જેના માટે આ સ્વીકાર્ય અને સાચો ઉકેલ છે. જો તમે આ કંપનીના કર્મચારી છો, તો મારા અભિનંદન, પરંતુ મોટા ભાગના કિસ્સાઓમાં, મને ખાતરી છે કે મેનેજમેન્ટ દ્વારા તમારા જ્ઞાનની પ્રશંસા કરવામાં આવશે નહીં.

શું આ ઉદાહરણ અતિશયોક્તિપૂર્ણ છે? આગામી પ્રકરણ આ પ્રશ્નનો જવાબ આપશે.

જો તમારા નેટવર્ક પર તમને ઉપરોક્તમાંથી કોઈ દેખાતું નથી, તો આ ધોરણ છે.
દરેક ચોક્કસ કેસ માટે, તમારે સગવડ, કિંમત અને સલામતી વચ્ચે તમારું પોતાનું વાજબી સમાધાન શોધવાની જરૂર છે. ઘણીવાર તમને તમારી ઓફિસમાં NGFW ની પણ જરૂર હોતી નથી અને ફાયરવોલ પર L7 પ્રોટેક્શન જરૂરી નથી. તે દૃશ્યતા અને ચેતવણીઓનું સારું સ્તર પ્રદાન કરવા માટે પૂરતું છે, અને આ ઓપન સોર્સ ઉત્પાદનોનો ઉપયોગ કરીને કરી શકાય છે, ઉદાહરણ તરીકે. હા, હુમલા પ્રત્યેની તમારી પ્રતિક્રિયા તાત્કાલિક નહીં હોય, પરંતુ મુખ્ય વસ્તુ એ છે કે તમે તેને જોશો, અને તમારા વિભાગમાં યોગ્ય પ્રક્રિયાઓ સાથે, તમે તેને ઝડપથી તટસ્થ કરી શકશો.

અને હું તમને યાદ અપાવી દઉં કે, લેખોની આ શ્રેણીના ખ્યાલ મુજબ, તમે નેટવર્ક ડિઝાઇન કરી રહ્યાં નથી, તમે ફક્ત તમને જે મળ્યું છે તેને સુધારવાનો પ્રયાસ કરી રહ્યાં છો.

ઓફિસ આર્કિટેક્ચરનું સલામત વિશ્લેષણ

આ લાલ ચોરસ પર ધ્યાન આપો જેની સાથે મેં આકૃતિ પર એક સ્થાન ફાળવ્યું છે સેફ સિક્યોર કેમ્પસ આર્કિટેક્ચર ગાઈડજેની હું અહીં ચર્ચા કરવા માંગુ છું.

આ આર્કિટેક્ચરના મુખ્ય સ્થાનોમાંથી એક છે અને સૌથી મહત્વપૂર્ણ અનિશ્ચિતતાઓમાંની એક છે.

નોંધ

મેં ક્યારેય ફાયરપાવર સેટઅપ કર્યું નથી અથવા તેની સાથે કામ કર્યું નથી (સિસ્કોની ફાયરવોલ લાઇનથી - માત્ર ASA), તેથી હું તેને અન્ય કોઈપણ ફાયરવોલની જેમ ટ્રીટ કરીશ, જેમ કે જુનિપર SRX અથવા પાલો અલ્ટો, ધારીને કે તેની સમાન ક્ષમતાઓ છે.

સામાન્ય ડિઝાઇનમાંથી, મને આ કનેક્શન સાથે ફાયરવોલનો ઉપયોગ કરવા માટે ફક્ત 4 સંભવિત વિકલ્પો દેખાય છે:

• દરેક સબનેટ માટે ડિફોલ્ટ ગેટવે એક સ્વીચ છે, જ્યારે ફાયરવોલ પારદર્શક મોડમાં છે (એટલે ​​કે, તમામ ટ્રાફિક તેમાંથી પસાર થાય છે, પરંતુ તે L3 હોપ બનાવતું નથી)
• દરેક સબનેટ માટે ડિફોલ્ટ ગેટવે ફાયરવોલ સબ-ઇન્ટરફેસ (અથવા SVI ઇન્ટરફેસ) છે, સ્વીચ L2 ની ભૂમિકા ભજવે છે
• સ્વીચ પર વિવિધ VRF નો ઉપયોગ કરવામાં આવે છે, અને VRF વચ્ચેનો ટ્રાફિક ફાયરવોલમાંથી પસાર થાય છે, એક VRF ની અંદરનો ટ્રાફિક સ્વીચ પર ACL દ્વારા નિયંત્રિત થાય છે.
• તમામ ટ્રાફિકને વિશ્લેષણ અને દેખરેખ માટે ફાયરવોલ પર પ્રતિબિંબિત કરવામાં આવે છે; ટ્રાફિક તેમાંથી પસાર થતો નથી

નોંધ 1

આ વિકલ્પોના સંયોજનો શક્ય છે, પરંતુ સરળતા માટે અમે તેમને ધ્યાનમાં લઈશું નહીં.

નોંધ2

PBR (સર્વિસ ચેઇન આર્કિટેક્ચર) નો ઉપયોગ કરવાની પણ શક્યતા છે, પરંતુ હમણાં માટે આ, જો કે મારા મતે એક સુંદર ઉકેલ, તેના બદલે વિચિત્ર છે, તેથી હું તેને અહીં ધ્યાનમાં લઈ રહ્યો નથી.

દસ્તાવેજમાંના પ્રવાહના વર્ણનમાંથી, આપણે જોઈએ છીએ કે ટ્રાફિક હજી પણ ફાયરવોલમાંથી પસાર થાય છે, એટલે કે, સિસ્કો ડિઝાઇન અનુસાર, ચોથો વિકલ્પ દૂર કરવામાં આવ્યો છે.

ચાલો પહેલા પ્રથમ બે વિકલ્પો જોઈએ.
આ વિકલ્પો સાથે, તમામ ટ્રાફિક ફાયરવોલ મારફતે જાય છે.

હવે જોઈએ ડેટા શીટ, જુઓ સિસ્કો જીપીએલ અને આપણે જોઈએ છીએ કે જો આપણે ઈચ્છીએ છીએ કે અમારી ઓફિસ માટે કુલ બેન્ડવિડ્થ ઓછામાં ઓછી 10 - 20 ગીગાબીટની આસપાસ હોય, તો આપણે 4K વર્ઝન ખરીદવું જોઈએ.

નોંધ

જ્યારે હું કુલ બેન્ડવિડ્થ વિશે વાત કરું છું, ત્યારે મારો મતલબ સબનેટ વચ્ચેનો ટ્રાફિક (અને એક વિલાનામાં નહીં).

GPL પરથી આપણે જોઈએ છીએ કે HA બંડલ વિથ થ્રેટ ડિફેન્સ માટે, મોડલ (4110 - 4150) પર આધાર રાખીને કિંમત ~0,5 - 2,5 મિલિયન ડોલરથી બદલાય છે.

એટલે કે, અમારી ડિઝાઇન પાછલા ઉદાહરણ સાથે મળતી આવે છે.

શું આનો અર્થ એ છે કે આ ડિઝાઇન ખોટી છે?
ના, તેનો અર્થ એ નથી. Cisco તેની પાસે રહેલી પ્રોડક્ટ લાઇનના આધારે તમને શ્રેષ્ઠ સંભવિત સુરક્ષા આપે છે. પરંતુ તેનો અર્થ એ નથી કે તે તમારા માટે જરૂરી છે.

સૈદ્ધાંતિક રીતે, આ એક સામાન્ય પ્રશ્ન છે જે ઑફિસ અથવા ડેટા સેન્ટર ડિઝાઇન કરતી વખતે ઉદ્ભવે છે, અને તેનો અર્થ એ છે કે સમાધાનની જરૂર છે.

ઉદાહરણ તરીકે, તમામ ટ્રાફિકને ફાયરવોલમાંથી પસાર થવા દો નહીં, આ કિસ્સામાં વિકલ્પ 3 મને ખૂબ સારો લાગે છે, અથવા (અગાઉનો વિભાગ જુઓ) કદાચ તમને થ્રેટ ડિફેન્સની જરૂર નથી અથવા તેના પર ફાયરવોલની બિલકુલ જરૂર નથી. નેટવર્ક સેગમેન્ટ, અને તમારે પેઇડ (ખર્ચાળ નહીં) અથવા ઓપન સોર્સ સોલ્યુશન્સનો ઉપયોગ કરીને નિષ્ક્રિય મોનિટરિંગ માટે તમારી જાતને મર્યાદિત કરવાની જરૂર છે, અથવા તમારે ફાયરવોલની જરૂર છે, પરંતુ એક અલગ વિક્રેતા પાસેથી.

સામાન્ય રીતે હંમેશા આ અનિશ્ચિતતા રહે છે અને તમારા માટે કયો નિર્ણય શ્રેષ્ઠ છે તેનો કોઈ સ્પષ્ટ જવાબ નથી.
આ આ કાર્યની જટિલતા અને સુંદરતા છે.

સોર્સ: www.habr.com