यह लेख "अपने नेटवर्क इन्फ्रास्ट्रक्चर पर नियंत्रण कैसे रखें" लेखों की श्रृंखला में तीसरा है। श्रृंखला के सभी लेखों की सामग्री और लिंक पाए जा सकते हैं यहां.

सुरक्षा जोखिमों को पूरी तरह ख़त्म करने के बारे में बात करने का कोई मतलब नहीं है। सिद्धांत रूप में, हम उन्हें शून्य तक नहीं घटा सकते। हमें यह भी समझने की आवश्यकता है कि जैसे-जैसे हम नेटवर्क को अधिक से अधिक सुरक्षित बनाने का प्रयास कर रहे हैं, हमारे समाधान अधिक से अधिक महंगे होते जा रहे हैं। आपको लागत, जटिलता और सुरक्षा के बीच एक ऐसा समझौता ढूंढना होगा जो आपके नेटवर्क के लिए सार्थक हो।

बेशक, सुरक्षा डिज़ाइन को समग्र वास्तुकला में व्यवस्थित रूप से एकीकृत किया गया है और उपयोग किए गए सुरक्षा समाधान नेटवर्क बुनियादी ढांचे की स्केलेबिलिटी, विश्वसनीयता, प्रबंधनीयता, ... को प्रभावित करते हैं, जिसे भी ध्यान में रखा जाना चाहिए।

लेकिन मैं आपको याद दिला दूं कि अब हम नेटवर्क बनाने की बात नहीं कर रहे हैं। के अनुसार हमारे आरंभिक स्थितियां हमने पहले ही डिज़ाइन चुन लिया है, उपकरण चुन लिया है, और बुनियादी ढाँचा तैयार कर लिया है, और इस स्तर पर, यदि संभव हो तो, हमें "जीवित" रहना चाहिए और पहले से चुने गए दृष्टिकोण के संदर्भ में समाधान ढूंढना चाहिए।

अब हमारा काम नेटवर्क स्तर पर सुरक्षा से जुड़े जोखिमों की पहचान करना और उन्हें उचित स्तर तक कम करना है।

नेटवर्क सुरक्षा ऑडिट

यदि आपके संगठन ने ISO 27k प्रक्रियाओं को लागू किया है, तो सुरक्षा ऑडिट और नेटवर्क परिवर्तन इस दृष्टिकोण के भीतर समग्र प्रक्रियाओं में सहजता से फिट होने चाहिए। लेकिन ये मानक अभी भी विशिष्ट समाधानों के बारे में नहीं हैं, कॉन्फ़िगरेशन के बारे में नहीं हैं, डिज़ाइन के बारे में नहीं हैं... कोई स्पष्ट सलाह नहीं है, कोई मानक नहीं है जो विस्तार से बताए कि आपका नेटवर्क कैसा होना चाहिए, यही इस कार्य की जटिलता और सुंदरता है।

मैं कई संभावित नेटवर्क सुरक्षा ऑडिट पर प्रकाश डालूंगा:

• उपकरण कॉन्फ़िगरेशन ऑडिट (हार्डनिंग)
• सुरक्षा डिज़ाइन ऑडिट
• पहुँच लेखापरीक्षा
• प्रक्रिया लेखापरीक्षा

उपकरण कॉन्फ़िगरेशन ऑडिट (हार्डनिंग)

ऐसा लगता है कि ज्यादातर मामलों में यह आपके नेटवर्क की ऑडिटिंग और सुरक्षा में सुधार के लिए सबसे अच्छा शुरुआती बिंदु है। आईएमएचओ, यह पेरेटो के नियम का एक अच्छा प्रदर्शन है (20% प्रयास 80% परिणाम उत्पन्न करता है, और शेष 80% प्रयास केवल 20% परिणाम उत्पन्न करता है)।

लब्बोलुआब यह है कि उपकरण कॉन्फ़िगर करते समय सुरक्षा के लिए "सर्वोत्तम प्रथाओं" के संबंध में हमारे पास आमतौर पर विक्रेताओं से सिफारिशें होती हैं। इसे "हार्डनिंग" कहा जाता है।

आप अक्सर इन अनुशंसाओं के आधार पर एक प्रश्नावली भी पा सकते हैं (या स्वयं एक प्रश्नावली बना सकते हैं), जो आपको यह निर्धारित करने में मदद करेगी कि आपके उपकरण का कॉन्फ़िगरेशन इन "सर्वोत्तम प्रथाओं" का कितनी अच्छी तरह अनुपालन करता है और, परिणाम के अनुसार, आपके नेटवर्क में परिवर्तन करता है। . यह आपको वस्तुतः बिना किसी लागत के सुरक्षा जोखिमों को काफी आसानी से कम करने की अनुमति देगा।

कुछ सिस्को ऑपरेटिंग सिस्टम के लिए कई उदाहरण।

सिस्को आईओएस कॉन्फ़िगरेशन हार्डनिंग
सिस्को IOS-XR कॉन्फ़िगरेशन हार्डनिंग
सिस्को एनएक्स-ओएस कॉन्फ़िगरेशन हार्डनिंग
सिस्को बेसलाइन सुरक्षा जांच सूची

इन दस्तावेज़ों के आधार पर, प्रत्येक प्रकार के उपकरण के लिए कॉन्फ़िगरेशन आवश्यकताओं की एक सूची बनाई जा सकती है। उदाहरण के लिए, सिस्को N7K VDC के लिए ये आवश्यकताएँ समान दिख सकती हैं इसलिए.

इस तरह, आपके नेटवर्क इंफ्रास्ट्रक्चर में विभिन्न प्रकार के सक्रिय उपकरणों के लिए कॉन्फ़िगरेशन फ़ाइलें बनाई जा सकती हैं। इसके बाद, मैन्युअल रूप से या स्वचालन का उपयोग करके, आप इन कॉन्फ़िगरेशन फ़ाइलों को "अपलोड" कर सकते हैं। इस प्रक्रिया को स्वचालित कैसे करें, इस पर ऑर्केस्ट्रेशन और ऑटोमेशन पर लेखों की एक अन्य श्रृंखला में विस्तार से चर्चा की जाएगी।

सुरक्षा डिज़ाइन ऑडिट

आमतौर पर, किसी एंटरप्राइज़ नेटवर्क में किसी न किसी रूप में निम्नलिखित खंड होते हैं:

• डीसी (सार्वजनिक सेवाएं डीएमजेड और इंट्रानेट डेटा सेंटर)
• इंटरनेट एक्सेस
• रिमोट एक्सेस वीपीएन
• वान किनारा
• शाखा
• कैम्पस (कार्यालय)
• मूल

शीर्षक से लिए गए सिस्को सुरक्षित मॉडल, लेकिन निःसंदेह, इन नामों और इस मॉडल से सटीक रूप से जुड़ा होना आवश्यक नहीं है। फिर भी मैं सार की बात करना चाहता हूँ और औपचारिकताओं में नहीं फँसना चाहता।

इनमें से प्रत्येक खंड के लिए, सुरक्षा आवश्यकताएँ, जोखिम और, तदनुसार, समाधान अलग-अलग होंगे।

आइए सुरक्षा डिज़ाइन के दृष्टिकोण से आपके सामने आने वाली समस्याओं के लिए उनमें से प्रत्येक को अलग से देखें। बेशक, मैं फिर से दोहराता हूं कि यह लेख किसी भी तरह से पूर्ण होने का दिखावा नहीं करता है, जो कि इस वास्तव में गहरे और बहुआयामी विषय में हासिल करना आसान (यदि असंभव नहीं) नहीं है, लेकिन यह मेरे व्यक्तिगत अनुभव को दर्शाता है।

कोई सटीक समाधान नहीं है (कम से कम अभी तक नहीं)। यह हमेशा एक समझौता होता है. लेकिन यह महत्वपूर्ण है कि एक या दूसरे दृष्टिकोण का उपयोग करने का निर्णय इसके फायदे और नुकसान दोनों की समझ के साथ सचेत रूप से किया जाए।

डाटा केंद्र

सुरक्षा की दृष्टि से सबसे महत्वपूर्ण खंड।
और, हमेशा की तरह, यहां भी कोई सार्वभौमिक समाधान नहीं है। यह सब काफी हद तक नेटवर्क आवश्यकताओं पर निर्भर करता है।

फ़ायरवॉल आवश्यक है या नहीं?

ऐसा प्रतीत होता है कि उत्तर स्पष्ट है, लेकिन सब कुछ उतना स्पष्ट नहीं है जितना लग सकता है। और आपकी पसंद न केवल प्रभावित हो सकती है कीमत.

उदाहरण 1। देरी.

यदि कुछ नेटवर्क खंडों के बीच कम विलंबता एक आवश्यक आवश्यकता है, जो उदाहरण के लिए, एक्सचेंज के मामले में सच है, तो हम इन खंडों के बीच फ़ायरवॉल का उपयोग नहीं कर पाएंगे। फ़ायरवॉल में विलंबता पर अध्ययन ढूंढना कठिन है, लेकिन कुछ स्विच मॉडल 1 एमकेसेकंड से कम या लगभग विलंबता प्रदान कर सकते हैं, इसलिए मुझे लगता है कि यदि माइक्रोसेकंड आपके लिए महत्वपूर्ण हैं, तो फ़ायरवॉल आपके लिए नहीं हैं।

उदाहरण 2। प्रदर्शन।

शीर्ष L3 स्विच का थ्रूपुट आमतौर पर सबसे शक्तिशाली फ़ायरवॉल के थ्रूपुट से अधिक परिमाण का क्रम होता है। इसलिए, उच्च तीव्रता वाले ट्रैफ़िक के मामले में, आपको संभवतः इस ट्रैफ़िक को फ़ायरवॉल को बायपास करने की अनुमति देनी होगी।

उदाहरण 3। विश्वसनीयता।

फ़ायरवॉल, विशेष रूप से आधुनिक एनजीएफडब्ल्यू (नेक्स्ट-जेनरेशन एफडब्ल्यू) जटिल उपकरण हैं। वे L3/L2 स्विच की तुलना में बहुत अधिक जटिल हैं। वे बड़ी संख्या में सेवाएँ और कॉन्फ़िगरेशन विकल्प प्रदान करते हैं, इसलिए यह आश्चर्य की बात नहीं है कि उनकी विश्वसनीयता बहुत कम है। यदि सेवा निरंतरता नेटवर्क के लिए महत्वपूर्ण है, तो आपको यह चुनना होगा कि बेहतर उपलब्धता क्या होगी - फ़ायरवॉल के साथ सुरक्षा या नियमित एसीएल का उपयोग करके स्विच (या विभिन्न प्रकार के फैब्रिक) पर निर्मित नेटवर्क की सादगी।

उपरोक्त उदाहरणों के मामले में, आपको (हमेशा की तरह) सबसे अधिक संभावना एक समझौता ढूंढनी होगी। निम्नलिखित समाधानों की ओर देखें:

• यदि आप डेटा सेंटर के अंदर फ़ायरवॉल का उपयोग नहीं करने का निर्णय लेते हैं, तो आपको यह सोचने की ज़रूरत है कि परिधि के आसपास पहुंच को यथासंभव कैसे सीमित किया जाए। उदाहरण के लिए, आप इंटरनेट से केवल आवश्यक पोर्ट (क्लाइंट ट्रैफ़िक के लिए) खोल सकते हैं और डेटा सेंटर तक प्रशासनिक पहुंच केवल जंप होस्ट से ही खोल सकते हैं। जंप होस्ट पर, सभी आवश्यक जांचें (प्रमाणीकरण/प्राधिकरण, एंटीवायरस, लॉगिंग, ...) करें
• आप PSEFABRIC में वर्णित योजना के समान, डेटा सेंटर नेटवर्क के खंडों में तार्किक विभाजन का उपयोग कर सकते हैं उदाहरण p002. इस मामले में, रूटिंग को इस तरह से कॉन्फ़िगर किया जाना चाहिए कि विलंब-संवेदनशील या उच्च-तीव्रता वाला ट्रैफ़िक एक सेगमेंट के भीतर (p002, VRF के मामले में) चला जाए और फ़ायरवॉल से न गुज़रे। विभिन्न खंडों के बीच यातायात फ़ायरवॉल के माध्यम से चलता रहेगा। फ़ायरवॉल के माध्यम से ट्रैफ़िक को पुनर्निर्देशित करने से बचने के लिए आप वीआरएफ के बीच रूट लीकिंग का भी उपयोग कर सकते हैं
• आप फ़ायरवॉल का उपयोग पारदर्शी मोड में भी कर सकते हैं और केवल उन वीएलएएन के लिए जहां ये कारक (विलंबता/प्रदर्शन) महत्वपूर्ण नहीं हैं। लेकिन आपको प्रत्येक विक्रेता के लिए इस मॉड के उपयोग से जुड़े प्रतिबंधों का सावधानीपूर्वक अध्ययन करने की आवश्यकता है
• आप सेवा श्रृंखला आर्किटेक्चर का उपयोग करने पर विचार कर सकते हैं। यह केवल आवश्यक ट्रैफ़िक को फ़ायरवॉल से गुजरने की अनुमति देगा। सिद्धांत रूप में अच्छा लगता है, लेकिन मैंने इस समाधान को उत्पादन में कभी नहीं देखा है। हमने लगभग 5 साल पहले सिस्को एसीआई/जुनिपर एसआरएक्स/एफ3 एलटीएम के लिए सेवा श्रृंखला का परीक्षण किया था, लेकिन उस समय यह समाधान हमें "कच्चा" लगा।

संरक्षण स्तर

अब आपको इस प्रश्न का उत्तर देना होगा कि ट्रैफ़िक को फ़िल्टर करने के लिए आप किन टूल का उपयोग करना चाहते हैं। यहां कुछ विशेषताएं दी गई हैं जो आमतौर पर एनजीएफडब्ल्यू में मौजूद होती हैं (उदाहरण के लिए, यहां):

• स्टेटफुल फ़ायरवॉलिंग (डिफ़ॉल्ट)
• एप्लिकेशन फ़ायरवॉलिंग
• खतरे की रोकथाम (एंटीवायरस, एंटी-स्पाइवेयर और भेद्यता)
• यूआरएल फ़िल्टरिंग
• डेटा फ़िल्टरिंग (सामग्री फ़िल्टरिंग)
• फ़ाइल अवरोधन (फ़ाइल प्रकार अवरुद्ध करना)
• डॉस सुरक्षा

और सब कुछ स्पष्ट भी नहीं है. ऐसा प्रतीत होता है कि सुरक्षा का स्तर जितना अधिक होगा, उतना बेहतर होगा। लेकिन आपको इस पर भी विचार करना होगा

• आप उपरोक्त फ़ायरवॉल फ़ंक्शंस का जितना अधिक उपयोग करेंगे, यह स्वाभाविक रूप से उतना ही महंगा होगा (लाइसेंस, अतिरिक्त मॉड्यूल)
• कुछ एल्गोरिदम का उपयोग फ़ायरवॉल थ्रूपुट को काफी कम कर सकता है और देरी भी बढ़ा सकता है, उदाहरण के लिए देखें यहां
• किसी भी जटिल समाधान की तरह, जटिल सुरक्षा विधियों का उपयोग आपके समाधान की विश्वसनीयता को कम कर सकता है, उदाहरण के लिए, एप्लिकेशन फ़ायरवॉलिंग का उपयोग करते समय, मुझे कुछ काफी मानक कार्यशील अनुप्रयोगों (डीएनएस, एसएमबी) को अवरुद्ध करने का सामना करना पड़ा।

हमेशा की तरह, आपको अपने नेटवर्क के लिए सर्वोत्तम समाधान खोजने की आवश्यकता है।

इस प्रश्न का निश्चित रूप से उत्तर देना असंभव है कि किन सुरक्षा कार्यों की आवश्यकता हो सकती है। सबसे पहले, क्योंकि यह निश्चित रूप से उस डेटा पर निर्भर करता है जिसे आप संचारित या संग्रहीत कर रहे हैं और संरक्षित करने का प्रयास कर रहे हैं। दूसरे, वास्तव में, अक्सर सुरक्षा उपकरणों का चुनाव विक्रेता के विश्वास और भरोसे का मामला होता है। आप एल्गोरिदम नहीं जानते हैं, आप नहीं जानते हैं कि वे कितने प्रभावी हैं, और आप उनका पूरी तरह से परीक्षण नहीं कर सकते हैं।

इसलिए, महत्वपूर्ण क्षेत्रों में, विभिन्न कंपनियों के ऑफ़र का उपयोग करना एक अच्छा समाधान हो सकता है। उदाहरण के लिए, आप फ़ायरवॉल पर एंटीवायरस सक्षम कर सकते हैं, लेकिन होस्ट पर स्थानीय रूप से एंटीवायरस सुरक्षा (किसी अन्य निर्माता से) का भी उपयोग कर सकते हैं।

विभाजन

हम डेटा सेंटर नेटवर्क के तार्किक विभाजन के बारे में बात कर रहे हैं। उदाहरण के लिए, वीएलएएन और सबनेट में विभाजन भी तार्किक विभाजन है, लेकिन इसकी स्पष्टता के कारण हम इस पर विचार नहीं करेंगे। एफडब्ल्यू सुरक्षा क्षेत्र, वीआरएफ (और विभिन्न विक्रेताओं के संबंध में उनके एनालॉग), तार्किक उपकरण (पीए वीएसवाईएस, सिस्को एन7के वीडीसी, सिस्को एसीआई टेनेंट, ...), ... जैसी संस्थाओं को ध्यान में रखते हुए दिलचस्प विभाजन

ऐसे तार्किक विभाजन और वर्तमान में मांग वाले डेटा सेंटर डिज़ाइन का एक उदाहरण दिया गया है PSEFABRIC परियोजना का p002.

अपने नेटवर्क के तार्किक भागों को परिभाषित करने के बाद, आप यह वर्णन कर सकते हैं कि विभिन्न खंडों के बीच ट्रैफ़िक कैसे चलता है, किन उपकरणों पर फ़िल्टरिंग की जाएगी और किस माध्यम से।

यदि आपके नेटवर्क में स्पष्ट तार्किक विभाजन नहीं है और विभिन्न डेटा प्रवाह के लिए सुरक्षा नीतियों को लागू करने के नियम औपचारिक नहीं हैं, तो इसका मतलब है कि जब आप इस या उस एक्सेस को खोलते हैं, तो आपको इस समस्या को हल करने के लिए मजबूर किया जाता है, और उच्च संभावना के साथ आप हर बार इसे अलग तरीके से हल करेंगे।

अक्सर विभाजन केवल एफडब्ल्यू सुरक्षा क्षेत्रों पर आधारित होता है। फिर आपको निम्नलिखित प्रश्नों का उत्तर देना होगा:

• आपको किस सुरक्षा क्षेत्र की आवश्यकता है
• आप इनमें से प्रत्येक क्षेत्र में किस स्तर की सुरक्षा लागू करना चाहते हैं
• क्या इंट्रा-जोन यातायात को डिफ़ॉल्ट रूप से अनुमति दी जाएगी?
• यदि नहीं, तो प्रत्येक क्षेत्र में कौन सी ट्रैफ़िक फ़िल्टरिंग नीतियां लागू की जाएंगी
• प्रत्येक जोड़ी ज़ोन (स्रोत/गंतव्य) के लिए कौन सी ट्रैफ़िक फ़िल्टरिंग नीतियां लागू की जाएंगी

TCAM

एक आम समस्या रूटिंग और एक्सेस दोनों के लिए अपर्याप्त टीसीएएम (टर्नरी कंटेंट एड्रेसेबल मेमोरी) है। आईएमएचओ, उपकरण चुनते समय यह सबसे महत्वपूर्ण मुद्दों में से एक है, इसलिए आपको उचित स्तर की देखभाल के साथ इस मुद्दे का इलाज करने की आवश्यकता है।

उदाहरण 1. अग्रेषण तालिका टीसीएएम।

आइए विचार करें पालो ऑल्टो 7k फ़ायरवॉल
हम देखते हैं कि IPv4 अग्रेषण तालिका का आकार* = 32K है
इसके अलावा, मार्गों की यह संख्या सभी वीएसवाईएस के लिए सामान्य है।

आइए मान लें कि आप अपने डिज़ाइन के अनुसार 4 VSYS का उपयोग करने का निर्णय लेते हैं।
इनमें से प्रत्येक वीएसवाईएस बीजीपी के माध्यम से क्लाउड के दो एमपीएलएस पीई से जुड़ा हुआ है जिसे आप बीबी के रूप में उपयोग करते हैं। इस प्रकार, 4 वीएसवाईएस एक दूसरे के साथ सभी विशिष्ट मार्गों का आदान-प्रदान करते हैं और मार्गों के लगभग समान सेट (लेकिन अलग-अलग एनएच) के साथ एक अग्रेषण तालिका होती है। क्योंकि प्रत्येक वीएसवाईएस में 2 बीजीपी सत्र होते हैं (समान सेटिंग्स के साथ), फिर एमपीएलएस के माध्यम से प्राप्त प्रत्येक मार्ग में 2 एनएच होते हैं और तदनुसार, अग्रेषण तालिका में 2 एफआईबी प्रविष्टियां होती हैं। यदि हम मान लें कि डेटा सेंटर में यह एकमात्र फ़ायरवॉल है और इसे सभी रूट्स के बारे में पता होना चाहिए, तो इसका मतलब यह होगा कि हमारे डेटा सेंटर में रूट्स की कुल संख्या 32K/(4 * 2) = 4K से अधिक नहीं हो सकती है।

अब, यदि हम मानते हैं कि हमारे पास 2 डेटा केंद्र हैं (समान डिज़ाइन के साथ), और हम डेटा केंद्रों के बीच "विस्तारित" वीएलएएन का उपयोग करना चाहते हैं (उदाहरण के लिए, वीमोशन के लिए), तो रूटिंग समस्या को हल करने के लिए, हमें होस्ट मार्गों का उपयोग करना होगा . लेकिन इसका मतलब यह है कि 2 डेटा केंद्रों के लिए हमारे पास 4096 से अधिक संभावित होस्ट नहीं होंगे और निश्चित रूप से, यह पर्याप्त नहीं हो सकता है।

उदाहरण 2. एसीएल टीसीएएम।

यदि आप L3 स्विच (या अन्य समाधान जो L3 स्विच का उपयोग करते हैं, उदाहरण के लिए सिस्को ACI) पर ट्रैफ़िक फ़िल्टर करने की योजना बनाते हैं, तो उपकरण चुनते समय आपको TCAM ACL पर ध्यान देना चाहिए।

मान लीजिए आप सिस्को कैटलिस्ट 4500 के एसवीआई इंटरफेस पर पहुंच को नियंत्रित करना चाहते हैं। फिर, जैसा कि यहां से देखा जा सकता है इस लेख का, इंटरफ़ेस पर आउटगोइंग (साथ ही इनकमिंग) ट्रैफ़िक को नियंत्रित करने के लिए, आप केवल 4096 टीसीएएम लाइनों का उपयोग कर सकते हैं। जो टीसीएएम3 का उपयोग करने पर आपको लगभग 4000 हजार एसीई (एसीएल लाइनें) देगा।

यदि आप अपर्याप्त टीसीएएम की समस्या का सामना कर रहे हैं, तो, सबसे पहले, आपको अनुकूलन की संभावना पर विचार करने की आवश्यकता है। इसलिए, अग्रेषण तालिका के आकार के साथ किसी समस्या की स्थिति में, आपको मार्गों को एकत्रित करने की संभावना पर विचार करने की आवश्यकता है। एक्सेस के लिए टीसीएएम आकार के साथ किसी समस्या के मामले में, एक्सेस का ऑडिट करें, पुराने और ओवरलैपिंग रिकॉर्ड्स को हटा दें, और संभवतः एक्सेस खोलने की प्रक्रिया को संशोधित करें (ऑडिटिंग एक्सेस पर अध्याय में विस्तार से चर्चा की जाएगी)।

उच्च उपलब्धता

सवाल यह है: क्या मुझे फ़ायरवॉल के लिए HA का उपयोग करना चाहिए या दो स्वतंत्र बॉक्स "समानांतर में" स्थापित करना चाहिए और, यदि उनमें से एक विफल हो जाता है, तो दूसरे के माध्यम से ट्रैफ़िक को रूट करना चाहिए?

ऐसा प्रतीत होता है कि उत्तर स्पष्ट है - HA का उपयोग करें। यह प्रश्न अभी भी उठने का कारण यह है कि, दुर्भाग्य से, सैद्धांतिक और विज्ञापन 99 और व्यवहार में पहुंच के कई दशमलव प्रतिशत इतने अच्छे नहीं हैं। एचए तार्किक रूप से काफी जटिल चीज है, और विभिन्न उपकरणों पर, और विभिन्न विक्रेताओं (कोई अपवाद नहीं था) के साथ, हमने समस्याएं और बग और सेवा रुकने का सामना किया।

यदि आप एचए का उपयोग करते हैं, तो आपके पास अलग-अलग नोड्स को बंद करने, सेवा को रोके बिना उनके बीच स्विच करने का अवसर होगा, जो महत्वपूर्ण है, उदाहरण के लिए, अपग्रेड करते समय, लेकिन साथ ही आपके पास शून्य संभावना से भी दूर है कि दोनों नोड्स एक ही समय में टूट जाएगा, और यह भी कि अगला अपग्रेड उतना सुचारू रूप से नहीं चलेगा जितना विक्रेता ने वादा किया है (यदि आपके पास प्रयोगशाला उपकरणों पर अपग्रेड का परीक्षण करने का अवसर है तो इस समस्या से बचा जा सकता है)।

यदि आप HA का उपयोग नहीं करते हैं, तो दोहरी विफलता के दृष्टिकोण से आपके जोखिम बहुत कम हैं (क्योंकि आपके पास 2 स्वतंत्र फ़ायरवॉल हैं), लेकिन चूंकि... सत्र सिंक्रनाइज़ नहीं हैं, तो हर बार जब आप इन फ़ायरवॉल के बीच स्विच करेंगे तो आप ट्रैफ़िक खो देंगे। बेशक, आप स्टेटलेस फ़ायरवॉलिंग का उपयोग कर सकते हैं, लेकिन फिर फ़ायरवॉल का उपयोग करने का मतलब काफी हद तक ख़त्म हो जाता है।

इसलिए, यदि ऑडिट के परिणामस्वरूप आपने अकेले फ़ायरवॉल की खोज की है, और आप अपने नेटवर्क की विश्वसनीयता बढ़ाने के बारे में सोच रहे हैं, तो एचए, निश्चित रूप से अनुशंसित समाधानों में से एक है, लेकिन आपको इससे जुड़े नुकसानों को भी ध्यान में रखना चाहिए इस दृष्टिकोण के साथ और, शायद, विशेष रूप से आपके नेटवर्क के लिए, एक अन्य समाधान अधिक उपयुक्त होगा।

प्रबंधनीयता

सिद्धांत रूप में, HA नियंत्रणीयता के बारे में भी है। 2 बक्सों को अलग-अलग कॉन्फ़िगर करने और कॉन्फ़िगरेशन को सिंक में रखने की समस्या से निपटने के बजाय, आप उन्हें ऐसे प्रबंधित करते हैं जैसे कि आपके पास एक डिवाइस हो।

लेकिन शायद आपके पास कई डेटा सेंटर और कई फ़ायरवॉल हैं, तो यह सवाल एक नए स्तर पर उठता है। और सवाल केवल कॉन्फ़िगरेशन का नहीं है, बल्कि इसका भी है

• बैकअप कॉन्फ़िगरेशन
• अपडेट
• उन्नयन
• निगरानी
• काटना

और यह सब केंद्रीकृत प्रबंधन प्रणालियों द्वारा हल किया जा सकता है।

इसलिए, उदाहरण के लिए, यदि आप पालो ऑल्टो फ़ायरवॉल का उपयोग कर रहे हैं चित्रमाला एक ऐसा समाधान है.

को जारी रखा जाएगा.

स्रोत: www.habr.com