अपने नेटवर्क बुनियादी ढांचे का नियंत्रण कैसे लें। अध्याय तीन। नेटवर्क सुरक्षा। भाग तीन

यह लेख "अपने नेटवर्क इंफ्रास्ट्रक्चर पर नियंत्रण कैसे रखें" श्रृंखला में पांचवां है। श्रृंखला के सभी लेखों की सामग्री और लिंक पाए जा सकते हैं यहां.

यह भाग कैम्पस (कार्यालय) और रिमोट एक्सेस वीपीएन सेगमेंट के लिए समर्पित होगा।

ऑफिस नेटवर्क डिज़ाइन आसान लग सकता है.

दरअसल, हम L2/L3 स्विच लेते हैं और उन्हें एक दूसरे से जोड़ते हैं। इसके बाद, हम विलांस और डिफॉल्ट गेटवे का बुनियादी सेटअप करते हैं, सरल रूटिंग सेट करते हैं, वाईफाई कंट्रोलर, एक्सेस पॉइंट कनेक्ट करते हैं, रिमोट एक्सेस के लिए एएसए इंस्टॉल और कॉन्फ़िगर करते हैं, हमें खुशी है कि सब कुछ काम कर गया। मूलतः, जैसा कि मैंने पहले ही पिछले में से एक में लिखा था सामग्री इस चक्र में, लगभग हर छात्र जिसने टेलीकॉम पाठ्यक्रम के दो सेमेस्टर में भाग लिया है (और सीखा है) एक कार्यालय नेटवर्क को डिज़ाइन और कॉन्फ़िगर कर सकता है ताकि यह "किसी तरह काम करे।"

लेकिन जितना अधिक आप सीखते हैं, यह कार्य उतना ही कम सरल लगने लगता है। मेरे लिए व्यक्तिगत रूप से, यह विषय, कार्यालय नेटवर्क डिज़ाइन का विषय, बिल्कुल भी सरल नहीं लगता है, और इस लेख में मैं यह समझाने का प्रयास करूँगा कि क्यों।

संक्षेप में, विचार करने के लिए काफी कुछ कारक हैं। अक्सर ये कारक एक-दूसरे के साथ संघर्ष में होते हैं और एक उचित समझौता करना पड़ता है।
यह अनिश्चितता ही मुख्य कठिनाई है। तो, सुरक्षा के बारे में बोलते हुए, हमारे पास तीन शीर्षों वाला एक त्रिकोण है: सुरक्षा, कर्मचारियों के लिए सुविधा, समाधान की कीमत।
और हर बार आपको इन तीनों के बीच समझौता तलाशना पड़ता है।

आर्किटेक्चर

इन दो खंडों के लिए एक वास्तुकला के उदाहरण के रूप में, जैसा कि पिछले लेखों में था, मैं अनुशंसा करता हूं सिस्को सुरक्षित नमूना: एंटरप्राइज कैम्पस, एंटरप्राइज़ इंटरनेट एज.

ये कुछ हद तक पुराने दस्तावेज़ हैं. मैं उन्हें यहां प्रस्तुत कर रहा हूं क्योंकि मौलिक योजनाएं और दृष्टिकोण नहीं बदले हैं, लेकिन साथ ही मुझे इसकी प्रस्तुति अधिक पसंद है नया दस्तावेज़ीकरण.

आपको सिस्को समाधानों का उपयोग करने के लिए प्रोत्साहित किए बिना, मुझे अभी भी लगता है कि इस डिज़ाइन का सावधानीपूर्वक अध्ययन करना उपयोगी है।

यह लेख, हमेशा की तरह, किसी भी तरह से पूर्ण होने का दिखावा नहीं करता, बल्कि इस जानकारी में एक अतिरिक्त योगदान है।

लेख के अंत में, हम यहां उल्लिखित अवधारणाओं के संदर्भ में सिस्को सेफ कार्यालय डिजाइन का विश्लेषण करेंगे।

सामान्य सिद्धांत

निस्संदेह, कार्यालय नेटवर्क का डिज़ाइन उन सामान्य आवश्यकताओं को पूरा करना चाहिए जिन पर चर्चा की गई है यहां अध्याय में "डिज़ाइन गुणवत्ता का आकलन करने के लिए मानदंड"। कीमत और सुरक्षा के अलावा, जिस पर हम इस लेख में चर्चा करना चाहते हैं, अभी भी तीन मानदंड हैं जिन पर हमें डिज़ाइन करते समय (या परिवर्तन करते समय) विचार करना चाहिए:

• scalability
• उपयोग में आसानी (प्रबंधनीयता)
• उपलब्धता

जिस बात पर बहुत चर्चा हुई डेटा केंद्र यह कार्यालय के लिए भी सच है.

लेकिन फिर भी, कार्यालय खंड की अपनी विशिष्टताएँ हैं, जो सुरक्षा की दृष्टि से महत्वपूर्ण हैं। इस विशिष्टता का सार यह है कि यह खंड कंपनी के कर्मचारियों (साथ ही भागीदारों और मेहमानों) को नेटवर्क सेवाएं प्रदान करने के लिए बनाया गया है, और परिणामस्वरूप, समस्या के विचार के उच्चतम स्तर पर हमारे पास दो कार्य हैं:

• कंपनी के संसाधनों को कर्मचारियों (मेहमानों, साझेदारों) और उनके द्वारा उपयोग किए जाने वाले सॉफ़्टवेयर से होने वाली दुर्भावनापूर्ण कार्रवाइयों से सुरक्षित रखें। इसमें नेटवर्क से अनधिकृत कनेक्शन के विरुद्ध सुरक्षा भी शामिल है।
• सिस्टम और उपयोगकर्ता डेटा की सुरक्षा करें

और यह समस्या का केवल एक पक्ष है (या बल्कि, त्रिभुज का एक शीर्ष)। दूसरी तरफ उपयोगकर्ता की सुविधा और उपयोग किए गए समाधानों की कीमत है।

आइए यह देखकर शुरुआत करें कि एक उपयोगकर्ता आधुनिक कार्यालय नेटवर्क से क्या अपेक्षा करता है।

सुविधा

मेरी राय में एक कार्यालय उपयोगकर्ता के लिए "नेटवर्क सुविधाएं" कैसी दिखती हैं:

• गतिशीलता
• परिचित उपकरणों और ऑपरेटिंग सिस्टम की पूरी श्रृंखला का उपयोग करने की क्षमता
• कंपनी के सभी आवश्यक संसाधनों तक आसान पहुंच
• विभिन्न क्लाउड सेवाओं सहित इंटरनेट संसाधनों की उपलब्धता
• नेटवर्क का "तेज़ संचालन"।

यह सब कर्मचारियों और मेहमानों (या भागीदारों) दोनों पर लागू होता है, और प्राधिकरण के आधार पर विभिन्न उपयोगकर्ता समूहों के लिए पहुंच में अंतर करना कंपनी के इंजीनियरों का काम है।

आइए इनमें से प्रत्येक पहलू को थोड़ा और विस्तार से देखें।

गतिशीलता

हम दुनिया में कहीं से भी (बेशक, जहां इंटरनेट उपलब्ध है) काम करने और कंपनी के सभी आवश्यक संसाधनों का उपयोग करने के अवसर के बारे में बात कर रहे हैं।

यह बात पूरी तरह से ऑफिस पर लागू होती है. यह तब सुविधाजनक होता है जब आपके पास कार्यालय में कहीं से भी काम जारी रखने का अवसर होता है, उदाहरण के लिए, मेल प्राप्त करना, कॉर्पोरेट मैसेंजर में संवाद करना, वीडियो कॉल के लिए उपलब्ध होना, ... इस प्रकार, यह आपको एक ओर, अनुमति देता है। कुछ मुद्दों को हल करने के लिए "लाइव" संचार (उदाहरण के लिए, रैलियों में भाग लेना), और दूसरी ओर, हमेशा ऑनलाइन रहें, अपनी उंगली को नाड़ी पर रखें और कुछ जरूरी उच्च प्राथमिकता वाले कार्यों को तुरंत हल करें। यह बहुत सुविधाजनक है और वास्तव में संचार की गुणवत्ता में सुधार करता है।

यह उचित वाईफाई नेटवर्क डिज़ाइन द्वारा हासिल किया गया है।

टिप्पणी

यहां आमतौर पर सवाल उठता है: क्या केवल वाईफाई का उपयोग करना पर्याप्त है? क्या इसका मतलब यह है कि आप कार्यालय में ईथरनेट पोर्ट का उपयोग बंद कर सकते हैं? यदि हम केवल उपयोगकर्ताओं के बारे में बात कर रहे हैं, न कि सर्वरों के बारे में, जिन्हें नियमित ईथरनेट पोर्ट से कनेक्ट करना अभी भी उचित है, तो सामान्य तौर पर उत्तर है: हां, आप खुद को केवल वाईफाई तक सीमित कर सकते हैं। लेकिन बारीकियां हैं.

ऐसे महत्वपूर्ण उपयोगकर्ता समूह हैं जिनके लिए एक अलग दृष्टिकोण की आवश्यकता होती है। निस्संदेह, ये प्रशासक हैं। सिद्धांत रूप में, एक वाईफाई कनेक्शन नियमित ईथरनेट पोर्ट की तुलना में कम विश्वसनीय (यातायात हानि के संदर्भ में) और धीमा है। यह प्रशासकों के लिए महत्वपूर्ण हो सकता है. इसके अलावा, उदाहरण के लिए, नेटवर्क प्रशासक, सैद्धांतिक रूप से, आउट-ऑफ-बैंड कनेक्शन के लिए अपना स्वयं का समर्पित ईथरनेट नेटवर्क रख सकते हैं।

आपकी कंपनी में अन्य समूह/विभाग भी हो सकते हैं जिनके लिए ये कारक भी महत्वपूर्ण हैं।

एक और महत्वपूर्ण बिंदु है - टेलीफोनी. शायद किसी कारण से आप वायरलेस वीओआईपी का उपयोग नहीं करना चाहते हैं और नियमित ईथरनेट कनेक्शन वाले आईपी फोन का उपयोग करना चाहते हैं।

सामान्य तौर पर, जिन कंपनियों के लिए मैंने काम किया उनमें आमतौर पर वाईफाई कनेक्टिविटी और ईथरनेट पोर्ट दोनों होते थे।

मैं चाहूंगा कि गतिशीलता केवल कार्यालय तक सीमित न रहे।

घर (या सुलभ इंटरनेट वाले किसी अन्य स्थान) से काम करने की क्षमता सुनिश्चित करने के लिए, वीपीएन कनेक्शन का उपयोग किया जाता है। साथ ही, यह वांछनीय है कि कर्मचारियों को घर से काम करने और दूरस्थ कार्य के बीच अंतर महसूस न हो, जो समान पहुंच मानता है। हम थोड़ी देर बाद "एकीकृत केंद्रीकृत प्रमाणीकरण और प्राधिकरण प्रणाली" अध्याय में इस पर चर्चा करेंगे कि इसे कैसे व्यवस्थित किया जाए।

टिप्पणी

सबसे अधिक संभावना है, आप दूरस्थ कार्य के लिए वही गुणवत्तापूर्ण सेवाएँ प्रदान करने में सक्षम नहीं होंगे जो आपके पास कार्यालय में है। आइए मान लें कि आप अपने वीपीएन गेटवे के रूप में सिस्को एएसए 5520 का उपयोग कर रहे हैं विवरण तालिका यह डिवाइस केवल 225 Mbit VPN ट्रैफ़िक को "पचाने" में सक्षम है। यानी, बैंडविड्थ के मामले में, वीपीएन के माध्यम से जुड़ना कार्यालय से काम करने से बहुत अलग है। इसके अलावा, यदि, किसी कारण से, आपकी नेटवर्क सेवाओं के लिए विलंबता, हानि, घबराहट (उदाहरण के लिए, आप कार्यालय आईपी टेलीफोनी का उपयोग करना चाहते हैं) महत्वपूर्ण हैं, तो आपको वैसी गुणवत्ता भी नहीं मिलेगी जैसे आप कार्यालय में थे। इसलिए, जब गतिशीलता के बारे में बात करते हैं, तो हमें संभावित सीमाओं के बारे में पता होना चाहिए।

कंपनी के सभी संसाधनों तक आसान पहुंच

इस कार्य को अन्य तकनीकी विभागों के साथ मिलकर हल किया जाना चाहिए।
आदर्श स्थिति वह है जब उपयोगकर्ता को केवल एक बार प्रमाणित करने की आवश्यकता होती है, और उसके बाद उसके पास सभी आवश्यक संसाधनों तक पहुंच होती है।
सुरक्षा से समझौता किए बिना आसान पहुंच प्रदान करने से उत्पादकता में उल्लेखनीय सुधार हो सकता है और आपके सहकर्मियों के बीच तनाव कम हो सकता है।

टिप्पणी १

पहुंच में आसानी का मतलब सिर्फ यह नहीं है कि आपको कितनी बार पासवर्ड डालना है। यदि, उदाहरण के लिए, आपकी सुरक्षा नीति के अनुसार, कार्यालय से डेटा सेंटर से जुड़ने के लिए, आपको पहले वीपीएन गेटवे से कनेक्ट करना होगा, और साथ ही आप कार्यालय संसाधनों तक पहुंच खो देते हैं, तो यह भी बहुत है , बहुत असुविधाजनक.

टिप्पणी १

ऐसी सेवाएँ हैं (उदाहरण के लिए, नेटवर्क उपकरण तक पहुँच) जहाँ हमारे पास आमतौर पर अपने स्वयं के समर्पित AAA सर्वर होते हैं और यह आदर्श है जब इस मामले में हमें कई बार प्रमाणित करना पड़ता है।

इंटरनेट संसाधनों की उपलब्धता

इंटरनेट न केवल मनोरंजन है, बल्कि सेवाओं का एक समूह भी है जो काम के लिए बहुत उपयोगी हो सकता है। इसके पीछे विशुद्ध मनोवैज्ञानिक कारक भी हैं। एक आधुनिक व्यक्ति इंटरनेट के माध्यम से कई आभासी धागों के माध्यम से अन्य लोगों से जुड़ा हुआ है, और, मेरी राय में, अगर वह काम करते हुए भी इस जुड़ाव को महसूस करता रहे, तो इसमें कुछ भी गलत नहीं है।

समय बर्बाद करने के दृष्टिकोण से, इसमें कुछ भी गलत नहीं है यदि कोई कर्मचारी, उदाहरण के लिए, स्काइप चलाता है और यदि आवश्यक हो तो किसी प्रियजन के साथ संचार करने में 5 मिनट खर्च करता है।

क्या इसका मतलब यह है कि इंटरनेट हमेशा उपलब्ध रहना चाहिए, क्या इसका मतलब यह है कि कर्मचारियों की सभी संसाधनों तक पहुंच हो सकती है और वे उन्हें किसी भी तरह से नियंत्रित नहीं कर सकते हैं?

निःसंदेह, नहीं का मतलब यह नहीं है। इंटरनेट के खुलेपन का स्तर अलग-अलग कंपनियों के लिए अलग-अलग हो सकता है - पूर्ण बंद होने से लेकर पूर्ण खुलेपन तक। हम बाद में सुरक्षा उपायों के अनुभागों में यातायात को नियंत्रित करने के तरीकों पर चर्चा करेंगे।

परिचित उपकरणों की पूरी श्रृंखला का उपयोग करने की क्षमता

यह तब सुविधाजनक होता है, जब उदाहरण के लिए, आपके पास संचार के उन सभी साधनों का उपयोग जारी रखने का अवसर होता है जिनका आप काम में उपयोग करते हैं। इसे तकनीकी रूप से लागू करने में कोई कठिनाई नहीं है. इसके लिए आपको वाईफाई और एक गेस्ट विलान की जरूरत है।

यदि आपके पास उस ऑपरेटिंग सिस्टम का उपयोग करने का अवसर है जिसके आप आदी हैं तो यह भी अच्छा है। लेकिन, मेरे अवलोकन में, आमतौर पर इसकी अनुमति केवल प्रबंधकों, प्रशासकों और डेवलपर्स को ही दी जाती है।

उदाहरण

आप निश्चित रूप से, निषेध के मार्ग का अनुसरण कर सकते हैं, रिमोट एक्सेस पर प्रतिबंध लगा सकते हैं, मोबाइल उपकरणों से कनेक्ट करने पर प्रतिबंध लगा सकते हैं, हर चीज को स्थिर ईथरनेट कनेक्शन तक सीमित कर सकते हैं, इंटरनेट तक पहुंच को सीमित कर सकते हैं, चेकपॉइंट पर सेल फोन और गैजेट्स को अनिवार्य रूप से जब्त कर सकते हैं... और यह मार्ग वास्तव में कुछ संगठनों द्वारा बढ़ी हुई सुरक्षा आवश्यकताओं के साथ इसका पालन किया जाता है, और शायद कुछ मामलों में इसे उचित ठहराया जा सकता है, लेकिन... आपको इस बात से सहमत होना चाहिए कि यह एक ही संगठन में प्रगति को रोकने का प्रयास जैसा लगता है। बेशक, मैं उन अवसरों को जोड़ना चाहूंगा जो आधुनिक प्रौद्योगिकियां पर्याप्त स्तर की सुरक्षा के साथ प्रदान करती हैं।

नेटवर्क का "तेज़ संचालन"।

डेटा ट्रांसफर गति में तकनीकी रूप से कई कारक शामिल होते हैं। और आपके कनेक्शन पोर्ट की गति आमतौर पर सबसे महत्वपूर्ण नहीं होती है। किसी एप्लिकेशन का धीमा संचालन हमेशा नेटवर्क समस्याओं से जुड़ा नहीं होता है, लेकिन अभी हम केवल नेटवर्क भाग में रुचि रखते हैं। स्थानीय नेटवर्क "मंदी" के साथ सबसे आम समस्या पैकेट हानि से संबंधित है। यह आमतौर पर तब होता है जब कोई बाधा या एल1 (ओएसआई) समस्या होती है। अधिक दुर्लभ रूप से, कुछ डिज़ाइनों के साथ (उदाहरण के लिए, जब आपके सबनेट में डिफ़ॉल्ट गेटवे के रूप में फ़ायरवॉल होता है और इस प्रकार सभी ट्रैफ़िक इसके माध्यम से गुजरते हैं), हार्डवेयर प्रदर्शन में कमी हो सकती है।

इसलिए, उपकरण और वास्तुकला चुनते समय, आपको अंत बंदरगाहों, ट्रंक और उपकरण प्रदर्शन की गति को सहसंबंधित करने की आवश्यकता होती है।

उदाहरण

आइए मान लें कि आप एक्सेस लेयर स्विच के रूप में 1 गीगाबिट पोर्ट वाले स्विच का उपयोग कर रहे हैं। वे ईथरचैनल 2 x 10 गीगाबिट के माध्यम से एक दूसरे से जुड़े हुए हैं। एक डिफ़ॉल्ट गेटवे के रूप में, आप गीगाबिट पोर्ट के साथ फ़ायरवॉल का उपयोग करते हैं, जिसे L2 कार्यालय नेटवर्क से कनेक्ट करने के लिए आप एक ईथरचैनल में संयुक्त 2 गीगाबिट पोर्ट का उपयोग करते हैं।

यह आर्किटेक्चर कार्यक्षमता की दृष्टि से काफी सुविधाजनक है, क्योंकि... सारा ट्रैफ़िक फ़ायरवॉल के माध्यम से जाता है, और आप आसानी से एक्सेस नीतियों का प्रबंधन कर सकते हैं, और ट्रैफ़िक को नियंत्रित करने और संभावित हमलों को रोकने के लिए जटिल एल्गोरिदम लागू कर सकते हैं (नीचे देखें), लेकिन थ्रूपुट और प्रदर्शन के दृष्टिकोण से, इस डिज़ाइन में, निश्चित रूप से संभावित समस्याएं हैं। इसलिए, उदाहरण के लिए, डेटा डाउनलोड करने वाले 2 होस्ट (1 गीगाबिट की पोर्ट स्पीड के साथ) फ़ायरवॉल पर 2 गीगाबिट कनेक्शन को पूरी तरह से लोड कर सकते हैं, और इस प्रकार पूरे कार्यालय खंड के लिए सेवा में गिरावट आ सकती है।

हमने त्रिभुज के एक शीर्ष को देख लिया है, अब देखते हैं कि हम सुरक्षा कैसे सुनिश्चित कर सकते हैं।

उपचार

तो, निश्चित रूप से, आमतौर पर हमारी इच्छा (या बल्कि, हमारे प्रबंधन की इच्छा) असंभव को प्राप्त करना है, अर्थात् अधिकतम सुरक्षा और न्यूनतम लागत के साथ अधिकतम सुविधा प्रदान करना।

आइए देखें कि सुरक्षा प्रदान करने के लिए हमारे पास कौन से तरीके हैं।

कार्यालय के लिए, मैं निम्नलिखित पर प्रकाश डालूँगा:

• डिजाइन के लिए शून्य विश्वास दृष्टिकोण
• उच्च स्तर की सुरक्षा
• नेटवर्क दृश्यता
• एकीकृत केंद्रीकृत प्रमाणीकरण और प्राधिकरण प्रणाली
• मेजबान जाँच

आगे, हम इनमें से प्रत्येक पहलू पर थोड़ा और विस्तार से ध्यान देंगे।

जीरो ट्रस्ट

आईटी दुनिया बहुत तेज़ी से बदल रही है। पिछले 10 वर्षों में, नई प्रौद्योगिकियों और उत्पादों के उद्भव ने सुरक्षा अवधारणाओं में एक बड़ा संशोधन किया है। दस साल पहले, सुरक्षा के दृष्टिकोण से, हमने नेटवर्क को विश्वास, डीएमजेड और अविश्वास क्षेत्रों में विभाजित किया था, और तथाकथित "परिधि सुरक्षा" का उपयोग किया था, जहां रक्षा की 2 लाइनें थीं: अविश्वास -> डीएमजेड और डीएमजेड -> विश्वास। इसके अलावा, सुरक्षा आमतौर पर L3/L4 (OSI) हेडर (IP, TCP/UDP पोर्ट, TCP फ़्लैग) पर आधारित एक्सेस सूचियों तक सीमित थी। L7 सहित उच्च स्तर से संबंधित हर चीज़ को OS और अंतिम होस्ट पर स्थापित सुरक्षा उत्पादों पर छोड़ दिया गया था।

अब स्थिति नाटकीय रूप से बदल गई है। आधुनिक अवधारणा शून्य विश्वास इस तथ्य से पता चलता है कि आंतरिक प्रणालियों, अर्थात्, जो परिधि के अंदर स्थित हैं, को विश्वसनीय मानना ​​अब संभव नहीं है, और परिधि की अवधारणा ही धुंधली हो गई है।
इसके अलावा हमारे पास इंटरनेट कनेक्शन भी है

• रिमोट एक्सेस वीपीएन उपयोगकर्ता
• विभिन्न व्यक्तिगत गैजेट, लैपटॉप लाए, कार्यालय वाईफाई के माध्यम से जुड़े
• अन्य (शाखा) कार्यालय
• क्लाउड इंफ्रास्ट्रक्चर के साथ एकीकरण

जीरो ट्रस्ट दृष्टिकोण व्यवहार में कैसा दिखता है?

आदर्श रूप से, केवल आवश्यक ट्रैफ़िक की अनुमति दी जानी चाहिए और, यदि हम आदर्श के बारे में बात कर रहे हैं, तो नियंत्रण केवल L3/L4 स्तर पर नहीं, बल्कि एप्लिकेशन स्तर पर होना चाहिए।

यदि, उदाहरण के लिए, आपके पास फ़ायरवॉल के माध्यम से सभी ट्रैफ़िक को पारित करने की क्षमता है, तो आप आदर्श के करीब पहुंचने का प्रयास कर सकते हैं। लेकिन यह दृष्टिकोण आपके नेटवर्क की कुल बैंडविड्थ को काफी कम कर सकता है, और इसके अलावा, एप्लिकेशन द्वारा फ़िल्टर करना हमेशा अच्छी तरह से काम नहीं करता है।

राउटर या L3 स्विच (मानक ACL का उपयोग करके) पर ट्रैफ़िक नियंत्रित करते समय, आपको अन्य समस्याओं का सामना करना पड़ता है:

• यह केवल L3/L4 फ़िल्टरिंग है. किसी हमलावर को अपने एप्लिकेशन के लिए अनुमत पोर्ट (जैसे टीसीपी 80) का उपयोग करने से कोई नहीं रोक सकता (http नहीं)
• जटिल एसीएल प्रबंधन (एसीएल को पार्स करना कठिन)
• यह एक स्टेटफुल फ़ायरवॉल नहीं है, जिसका अर्थ है कि आपको स्पष्ट रूप से रिवर्स ट्रैफ़िक की अनुमति देने की आवश्यकता है
• स्विचों के साथ आप आमतौर पर TCAM के आकार द्वारा बहुत सख्ती से सीमित होते हैं, जो कि यदि आप "केवल वही अनुमति दें जो आपको चाहिए" दृष्टिकोण अपनाते हैं तो यह जल्दी ही एक समस्या बन सकती है।

टिप्पणी

रिवर्स ट्रैफिक के बारे में बोलते हुए, हमें याद रखना चाहिए कि हमारे पास निम्नलिखित अवसर हैं (सिस्को)

किसी भी स्थापित टीसीपी को अनुमति दें

लेकिन आपको यह समझने की आवश्यकता है कि यह रेखा दो पंक्तियों के बराबर है:
किसी भी किसी भी एसीके को टीसीपी की अनुमति दें
किसी भी आरएसटी को टीसीपी की अनुमति दें

जिसका अर्थ है कि भले ही SYN ध्वज के साथ कोई प्रारंभिक टीसीपी खंड नहीं था (अर्थात, टीसीपी सत्र भी स्थापित नहीं हुआ था), यह ACL ACK ध्वज के साथ एक पैकेट की अनुमति देगा, जिसका उपयोग एक हमलावर डेटा स्थानांतरित करने के लिए कर सकता है।

यानी, यह लाइन किसी भी तरह से आपके राउटर या L3 स्विच को स्टेटफुल फ़ायरवॉल में नहीं बदलती है।

उच्च स्तर की सुरक्षा

В लेख डेटा केंद्रों पर अनुभाग में, हमने निम्नलिखित सुरक्षा विधियों पर विचार किया।

• स्टेटफुल फ़ायरवॉलिंग (डिफ़ॉल्ट)
• डीडीओएस/डॉस सुरक्षा
• एप्लिकेशन फ़ायरवॉलिंग
• खतरे की रोकथाम (एंटीवायरस, एंटी-स्पाइवेयर और भेद्यता)
• यूआरएल फ़िल्टरिंग
• डेटा फ़िल्टरिंग (सामग्री फ़िल्टरिंग)
• फ़ाइल अवरोधन (फ़ाइल प्रकार अवरुद्ध करना)

कार्यालय के मामले में स्थिति समान है, लेकिन प्राथमिकताएं थोड़ी अलग हैं। कार्यालय उपलब्धता (उपलब्धता) आमतौर पर डेटा सेंटर के मामले में उतनी महत्वपूर्ण नहीं होती है, जबकि "आंतरिक" दुर्भावनापूर्ण ट्रैफ़िक की संभावना बहुत अधिक होती है।
इसलिए, इस खंड के लिए निम्नलिखित सुरक्षा विधियाँ महत्वपूर्ण हो जाती हैं:

• एप्लिकेशन फ़ायरवॉलिंग
• खतरे की रोकथाम (एंटी-वायरस, एंटी-स्पाइवेयर और भेद्यता)
• यूआरएल फ़िल्टरिंग
• डेटा फ़िल्टरिंग (सामग्री फ़िल्टरिंग)
• फ़ाइल अवरोधन (फ़ाइल प्रकार अवरुद्ध करना)

हालाँकि ये सभी सुरक्षा विधियाँ, एप्लिकेशन फ़ायरवॉलिंग के अपवाद के साथ, पारंपरिक रूप से अंतिम होस्ट पर (उदाहरण के लिए, एंटीवायरस प्रोग्राम स्थापित करके) और प्रॉक्सी का उपयोग करके हल की जाती रही हैं और जारी हैं, आधुनिक एनजीएफडब्ल्यू भी ये सेवाएँ प्रदान करते हैं।

सुरक्षा उपकरण विक्रेता व्यापक सुरक्षा बनाने का प्रयास करते हैं, इसलिए स्थानीय सुरक्षा के साथ, वे मेजबानों (अंत बिंदु सुरक्षा/ईपीपी) के लिए विभिन्न क्लाउड प्रौद्योगिकियों और क्लाइंट सॉफ़्टवेयर की पेशकश करते हैं। तो, उदाहरण के लिए, से 2018 गार्टनर मैजिक क्वाड्रेंट हम देखते हैं कि पालो ऑल्टो और सिस्को के पास अपने स्वयं के ईपीपी (पीए: ट्रैप्स, सिस्को: एएमपी) हैं, लेकिन वे नेताओं से बहुत दूर हैं।

आपके फ़ायरवॉल पर इन सुरक्षाओं को सक्षम करना (आमतौर पर लाइसेंस खरीदकर) अनिवार्य नहीं है (आप पारंपरिक मार्ग अपना सकते हैं), लेकिन यह कुछ लाभ प्रदान करता है:

• इस मामले में, सुरक्षा विधियों के अनुप्रयोग का एक बिंदु है, जो दृश्यता में सुधार करता है (अगला विषय देखें)।
• यदि आपके नेटवर्क पर कोई असुरक्षित डिवाइस है, तो यह अभी भी फ़ायरवॉल सुरक्षा के "छाता" के अंतर्गत आता है
• एंड-होस्ट सुरक्षा के साथ फ़ायरवॉल सुरक्षा का उपयोग करके, हम दुर्भावनापूर्ण ट्रैफ़िक का पता लगाने की संभावना बढ़ाते हैं। उदाहरण के लिए, स्थानीय होस्ट और फ़ायरवॉल पर खतरे की रोकथाम का उपयोग करने से पता लगाने की संभावना बढ़ जाती है (बशर्ते, कि ये समाधान विभिन्न सॉफ़्टवेयर उत्पादों पर आधारित हों)

टिप्पणी

यदि, उदाहरण के लिए, आप कैस्परस्की को फ़ायरवॉल और अंतिम होस्ट दोनों पर एंटीवायरस के रूप में उपयोग करते हैं, तो यह, निश्चित रूप से, आपके नेटवर्क पर वायरस के हमले को रोकने की संभावना को बहुत अधिक नहीं बढ़ाएगा।

नेटवर्क दृश्यता

केंद्रीय विचार सरल है - वास्तविक समय और ऐतिहासिक डेटा दोनों में, आपके नेटवर्क पर क्या हो रहा है, इसे "देखें"।

मैं इस "दृष्टिकोण" को दो समूहों में विभाजित करूंगा:

समूह एक: आपकी निगरानी प्रणाली आमतौर पर आपको क्या प्रदान करती है।

• उपकरण लोड हो रहा है
• चैनल लोड हो रहा है
• स्मृति प्रयोग
• डिस्क उपयोग
• रूटिंग टेबल बदलना
• लिंक स्थिति
• उपकरण (या होस्ट) की उपलब्धता
• ...

समूह दो: सुरक्षा संबंधी जानकारी.

• विभिन्न प्रकार के आँकड़े (उदाहरण के लिए, एप्लिकेशन द्वारा, यूआरएल ट्रैफ़िक द्वारा, किस प्रकार का डेटा डाउनलोड किया गया, उपयोगकर्ता डेटा)
• सुरक्षा नीतियों द्वारा क्या अवरुद्ध किया गया था और किस कारण से, अर्थात्
  • निषिद्ध आवेदन
  • आईपी/प्रोटोकॉल/पोर्ट/झंडे/ज़ोन के आधार पर निषिद्ध
  • खतरे की रोकथाम
  • यूआरएल फ़िल्टरिंग
  • डेटा फ़िल्टरिंग
  • फ़ाइल अवरोधन
  • ...
• डॉस/डीडीओएस हमलों पर आँकड़े
• असफल पहचान और प्राधिकरण प्रयास
• उपरोक्त सभी सुरक्षा नीति उल्लंघन घटनाओं के आँकड़े
• ...

सुरक्षा पर इस अध्याय में, हम दूसरे भाग में रुचि रखते हैं।

कुछ आधुनिक फ़ायरवॉल (मेरे पालो ऑल्टो अनुभव से) दृश्यता का अच्छा स्तर प्रदान करते हैं। लेकिन, निश्चित रूप से, जिस ट्रैफ़िक में आप रुचि रखते हैं, उसे इस फ़ायरवॉल से गुजरना होगा (जिस स्थिति में आपके पास ट्रैफ़िक को अवरुद्ध करने की क्षमता है) या फ़ायरवॉल पर प्रतिबिंबित होना चाहिए (केवल निगरानी और विश्लेषण के लिए उपयोग किया जाता है), और आपके पास सभी को सक्षम करने के लिए लाइसेंस होना चाहिए ये सेवाएँ.

बेशक, एक वैकल्पिक तरीका है, या पारंपरिक तरीका है, उदाहरण के लिए,

• सत्र आँकड़े नेटफ़्लो के माध्यम से एकत्र किए जा सकते हैं और फिर सूचना विश्लेषण और डेटा विज़ुअलाइज़ेशन के लिए विशेष उपयोगिताओं का उपयोग किया जा सकता है
• खतरे की रोकथाम - अंतिम होस्ट पर विशेष कार्यक्रम (एंटी-वायरस, एंटी-स्पाइवेयर, फ़ायरवॉल)।
• यूआरएल फ़िल्टरिंग, डेटा फ़िल्टरिंग, फ़ाइल ब्लॉकिंग - प्रॉक्सी पर
• उदाहरण के लिए tcpdump का विश्लेषण करना भी संभव है। फक - फक करना

किसी हमले का पता लगाने की संभावना बढ़ाने के लिए आप इन दोनों दृष्टिकोणों को जोड़ सकते हैं, लापता सुविधाओं को पूरक कर सकते हैं या उनकी नकल कर सकते हैं।

आपको कौन सा दृष्टिकोण चुनना चाहिए?
यह अत्यधिक आपकी टीम की योग्यता और प्राथमिकताओं पर निर्भर करता है।
वहाँ और वहाँ दोनों पक्ष और विपक्ष हैं।

एकीकृत केंद्रीकृत प्रमाणीकरण और प्राधिकरण प्रणाली

जब अच्छी तरह से डिज़ाइन किया गया है, तो इस लेख में हमने जिस गतिशीलता पर चर्चा की है, वह यह मानती है कि आपके पास समान पहुंच है, चाहे आप कार्यालय से काम करें या घर से, हवाई अड्डे से, कॉफी शॉप से ​​या कहीं और (उन सीमाओं के साथ जिनकी हमने ऊपर चर्चा की है)। ऐसा लगेगा, समस्या क्या है?
इस कार्य की जटिलता को बेहतर ढंग से समझने के लिए, आइए एक विशिष्ट डिज़ाइन देखें।

उदाहरण

• आपने सभी कर्मचारियों को समूहों में विभाजित कर दिया है। आपने समूहों द्वारा पहुंच प्रदान करने का निर्णय लिया है
• कार्यालय के अंदर, आप कार्यालय फ़ायरवॉल पर पहुंच को नियंत्रित करते हैं
• आप डेटा सेंटर फ़ायरवॉल पर कार्यालय से डेटा सेंटर तक ट्रैफ़िक को नियंत्रित करते हैं
• आप वीपीएन गेटवे के रूप में सिस्को एएसए का उपयोग करते हैं और दूरस्थ ग्राहकों से अपने नेटवर्क में प्रवेश करने वाले ट्रैफ़िक को नियंत्रित करने के लिए, आप स्थानीय (एएसए पर) एसीएल का उपयोग करते हैं

अब, मान लीजिए कि आपसे किसी निश्चित कर्मचारी तक अतिरिक्त पहुंच जोड़ने के लिए कहा गया है। इस मामले में, आपसे केवल उस तक पहुंच जोड़ने के लिए कहा जाता है और उसके समूह से किसी और को नहीं।

इसके लिए हमें इस कर्मचारी के लिए एक अलग समूह बनाना होगा, यानी

• इस कर्मचारी के लिए एएसए पर एक अलग आईपी पूल बनाएं
• एएसए पर एक नया एसीएल जोड़ें और इसे उस दूरस्थ क्लाइंट से बांधें
• कार्यालय और डेटा सेंटर फ़ायरवॉल पर नई सुरक्षा नीतियां बनाएं

यह घटना दुर्लभ हो तो अच्छा है। लेकिन मेरे व्यवहार में ऐसी स्थिति थी जब कर्मचारियों ने विभिन्न परियोजनाओं में भाग लिया, और उनमें से कुछ के लिए परियोजनाओं का यह सेट अक्सर बदल गया, और इसमें 1-2 लोग नहीं, बल्कि दर्जनों लोग थे। बेशक, यहां कुछ बदलने की जरूरत है।

इसे निम्नलिखित तरीके से हल किया गया।

हमने तय किया कि एलडीएपी सत्य का एकमात्र स्रोत होगा जो सभी संभावित कर्मचारी पहुंच निर्धारित करता है। हमने सभी प्रकार के समूह बनाए जो पहुंच के सेट को परिभाषित करते हैं, और हमने प्रत्येक उपयोगकर्ता को एक या अधिक समूहों को सौंपा है।

इसलिए, उदाहरण के लिए, मान लीजिए कि समूह थे

• अतिथि (इंटरनेट का उपयोग)
• सामान्य पहुंच (साझा संसाधनों तक पहुंच: मेल, ज्ञानकोष, ...)
• लेखांकन
• परियोजना 1
• परियोजना 2
• डेटाबेस प्रशासक
• लिनक्स प्रशासक
• ...

और यदि कोई कर्मचारी परियोजना 1 और परियोजना 2 दोनों में शामिल था, और उसे इन परियोजनाओं में काम करने के लिए आवश्यक पहुंच की आवश्यकता थी, तो इस कर्मचारी को निम्नलिखित समूहों को सौंपा गया था:

• अतिथि
• सामान्य पहुंच
• परियोजना 1
• परियोजना 2

अब हम इस जानकारी को नेटवर्क उपकरण पर पहुंच में कैसे बदल सकते हैं?

सिस्को एएसए डायनेमिक एक्सेस पॉलिसी (डीएपी) (देखें www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) समाधान इस कार्य के लिए बिल्कुल सही है।

हमारे कार्यान्वयन के बारे में संक्षेप में, पहचान/प्राधिकरण प्रक्रिया के दौरान, एएसए एलडीएपी से किसी दिए गए उपयोगकर्ता के अनुरूप समूहों का एक सेट प्राप्त करता है और कई स्थानीय एसीएल (जिनमें से प्रत्येक एक समूह से मेल खाता है) से सभी आवश्यक पहुंच के साथ एक गतिशील एसीएल "एकत्रित" करता है। , जो पूरी तरह से हमारी इच्छाओं से मेल खाता है।

लेकिन यह केवल वीपीएन कनेक्शन के लिए है। वीपीएन के माध्यम से जुड़े कर्मचारियों और कार्यालय में मौजूद दोनों कर्मचारियों के लिए स्थिति समान बनाने के लिए, निम्नलिखित कदम उठाया गया था।

कार्यालय से कनेक्ट होने पर, 802.1x प्रोटोकॉल का उपयोग करने वाले उपयोगकर्ता या तो अतिथि LAN (मेहमानों के लिए) या साझा LAN (कंपनी कर्मचारियों के लिए) में पहुँच जाते हैं। इसके अलावा, विशिष्ट पहुंच प्राप्त करने के लिए (उदाहरण के लिए, डेटा सेंटर में परियोजनाओं तक), कर्मचारियों को वीपीएन के माध्यम से जुड़ना पड़ता था।

कार्यालय और घर से जुड़ने के लिए, एएसए पर विभिन्न सुरंग समूहों का उपयोग किया गया था। यह आवश्यक है ताकि कार्यालय से जुड़ने वालों के लिए, साझा संसाधनों (सभी कर्मचारियों द्वारा उपयोग किया जाता है, जैसे मेल, फ़ाइल सर्वर, टिकट प्रणाली, डीएनएस, ...) पर ट्रैफ़िक एएसए के माध्यम से नहीं, बल्कि स्थानीय नेटवर्क के माध्यम से जाए . इस प्रकार, हमने एएसए को उच्च तीव्रता वाले ट्रैफ़िक सहित अनावश्यक ट्रैफ़िक से लोड नहीं किया।

इस प्रकार, समस्या हल हो गई।
हमें मिल गया

• कार्यालय और दूरस्थ कनेक्शन दोनों के लिए पहुंच का समान सेट
• एएसए के माध्यम से उच्च तीव्रता वाले यातायात के प्रसारण से जुड़े कार्यालय से काम करते समय सेवा में गिरावट की अनुपस्थिति

इस दृष्टिकोण के और क्या फायदे हैं?
पहुँच प्रशासन में. एक्सेस को एक ही स्थान पर आसानी से बदला जा सकता है।
उदाहरण के लिए, यदि कोई कर्मचारी कंपनी छोड़ता है, तो आप उसे एलडीएपी से हटा देते हैं, और वह स्वचालित रूप से सभी पहुंच खो देता है।

मेजबान जाँच

दूरस्थ कनेक्शन की संभावना के साथ, हम न केवल एक कंपनी के कर्मचारी को नेटवर्क में अनुमति देने का जोखिम उठाते हैं, बल्कि उसके कंप्यूटर (उदाहरण के लिए, घर) पर मौजूद सभी दुर्भावनापूर्ण सॉफ़्टवेयर को भी अनुमति देते हैं, और इसके अलावा, इस सॉफ़्टवेयर के माध्यम से हम हो सकता है कि यह इस होस्ट को प्रॉक्सी के रूप में उपयोग करके किसी हमलावर को हमारे नेटवर्क तक पहुंच प्रदान कर रहा हो।

दूर से जुड़े होस्ट के लिए इन-ऑफिस होस्ट के समान सुरक्षा आवश्यकताओं को लागू करना समझ में आता है।

यह ओएस, एंटी-वायरस, एंटी-स्पाइवेयर और फ़ायरवॉल सॉफ़्टवेयर और अपडेट के "सही" संस्करण को भी मानता है। आमतौर पर, यह क्षमता वीपीएन गेटवे पर मौजूद होती है (उदाहरण के लिए, एएसए के लिए देखें, यहां).

वही ट्रैफ़िक विश्लेषण और अवरोधन तकनीक ("उच्च स्तर की सुरक्षा" देखें) लागू करना भी बुद्धिमानी है जो आपकी सुरक्षा नीति कार्यालय ट्रैफ़िक पर लागू होती है।

यह मानना ​​उचित है कि आपका कार्यालय नेटवर्क अब कार्यालय भवन और उसके भीतर के मेजबानों तक सीमित नहीं है।

उदाहरण

एक अच्छी तकनीक प्रत्येक कर्मचारी को एक अच्छा, सुविधाजनक लैपटॉप प्रदान करना है जिसे रिमोट एक्सेस की आवश्यकता है और उन्हें कार्यालय और घर दोनों जगह केवल उसी से काम करना होगा।

यह न केवल आपके नेटवर्क की सुरक्षा में सुधार करता है, बल्कि यह वास्तव में सुविधाजनक भी है और आमतौर पर कर्मचारियों द्वारा इसे अनुकूल रूप से देखा जाता है (यदि यह वास्तव में अच्छा, उपयोगकर्ता के अनुकूल लैपटॉप है)।

अनुपात और संतुलन की भावना के बारे में

मूलतः, यह हमारे त्रिभुज के तीसरे शीर्ष - कीमत के बारे में बातचीत है।
आइए एक काल्पनिक उदाहरण देखें.

उदाहरण

आपके पास 200 लोगों के लिए एक कार्यालय है। आपने इसे यथासंभव सुविधाजनक और सुरक्षित बनाने का निर्णय लिया।

इसलिए, आपने सभी ट्रैफ़िक को फ़ायरवॉल के माध्यम से पारित करने का निर्णय लिया है और इस प्रकार सभी कार्यालय सबनेट के लिए फ़ायरवॉल डिफ़ॉल्ट गेटवे है। प्रत्येक अंतिम होस्ट (एंटी-वायरस, एंटी-स्पाइवेयर और फ़ायरवॉल सॉफ़्टवेयर) पर स्थापित सुरक्षा सॉफ़्टवेयर के अलावा, आपने फ़ायरवॉल पर सभी संभावित सुरक्षा विधियों को लागू करने का भी निर्णय लिया है।

उच्च कनेक्शन गति (सभी सुविधा के लिए) सुनिश्चित करने के लिए, आपने एक्सेस स्विच के रूप में 10 गीगाबिट एक्सेस पोर्ट वाले स्विच और फ़ायरवॉल के रूप में उच्च-प्रदर्शन वाले एनजीएफडब्ल्यू फ़ायरवॉल को चुना, उदाहरण के लिए, पालो ऑल्टो 7K श्रृंखला (40 गीगाबिट पोर्ट के साथ), स्वाभाविक रूप से सभी लाइसेंस के साथ शामिल है और, स्वाभाविक रूप से, एक उच्च उपलब्धता जोड़ी।

इसके अलावा, निस्संदेह, उपकरणों की इस श्रृंखला के साथ काम करने के लिए हमें कम से कम कुछ उच्च योग्य सुरक्षा इंजीनियरों की आवश्यकता है।

इसके बाद, आपने प्रत्येक कर्मचारी को एक अच्छा लैपटॉप देने का निर्णय लिया।

कुल मिलाकर, कार्यान्वयन के लिए लगभग 10 मिलियन डॉलर, इंजीनियरों के लिए वार्षिक सहायता और वेतन के लिए सैकड़ों हजारों डॉलर (मुझे लगता है कि XNUMX लाख के करीब)।

कार्यालय, 200 लोग...
आरामदायक? मुझे लगता है यह हाँ है.

आप अपने प्रबंधन के पास यह प्रस्ताव लेकर आएं...
शायद दुनिया में ऐसी कई कंपनियाँ हैं जिनके लिए यह एक स्वीकार्य और सही समाधान है। यदि आप इस कंपनी के कर्मचारी हैं, तो बधाई हो, लेकिन अधिकांश मामलों में, मुझे यकीन है कि प्रबंधन आपके ज्ञान की सराहना नहीं करेगा।

क्या यह उदाहरण अतिशयोक्तिपूर्ण है? अगला अध्याय इस प्रश्न का उत्तर देगा।

यदि आपके नेटवर्क पर आपको उपरोक्त में से कुछ भी दिखाई नहीं देता है, तो यह आदर्श है।
प्रत्येक विशिष्ट मामले के लिए, आपको सुविधा, कीमत और सुरक्षा के बीच अपना उचित समझौता खोजने की आवश्यकता है। अक्सर आपको अपने कार्यालय में NGFW की आवश्यकता भी नहीं होती है, और फ़ायरवॉल पर L7 सुरक्षा की भी आवश्यकता नहीं होती है। यह दृश्यता और अलर्ट का अच्छा स्तर प्रदान करने के लिए पर्याप्त है, और यह उदाहरण के लिए, ओपन सोर्स उत्पादों का उपयोग करके किया जा सकता है। हां, किसी हमले पर आपकी प्रतिक्रिया तत्काल नहीं होगी, लेकिन मुख्य बात यह है कि आप इसे देखेंगे, और अपने विभाग में सही प्रक्रियाओं के साथ, आप इसे तुरंत बेअसर करने में सक्षम होंगे।

और मैं आपको याद दिला दूं कि, लेखों की इस श्रृंखला की अवधारणा के अनुसार, आप एक नेटवर्क डिज़ाइन नहीं कर रहे हैं, आप केवल जो मिला है उसे सुधारने का प्रयास कर रहे हैं।

कार्यालय वास्तुकला का सुरक्षित विश्लेषण

इस लाल वर्ग पर ध्यान दें जिसके साथ मैंने आरेख पर एक स्थान आवंटित किया है सुरक्षित सुरक्षित कैम्पस आर्किटेक्चर गाइडजिस पर मैं यहां चर्चा करना चाहूंगा।

यह वास्तुकला के प्रमुख स्थानों में से एक है और सबसे महत्वपूर्ण अनिश्चितताओं में से एक है।

टिप्पणी

मैंने कभी भी फायरपावर (सिस्को की फ़ायरवॉल लाइन - केवल एएसए से) की स्थापना या उसके साथ काम नहीं किया है, इसलिए मैं इसे जुनिपर एसआरएक्स या पालो ऑल्टो जैसे किसी भी अन्य फ़ायरवॉल की तरह मानूंगा, यह मानते हुए कि इसमें समान क्षमताएं हैं।

सामान्य डिज़ाइनों में से, मुझे इस कनेक्शन के साथ फ़ायरवॉल का उपयोग करने के लिए केवल 4 संभावित विकल्प दिखाई देते हैं:

• प्रत्येक सबनेट के लिए डिफ़ॉल्ट गेटवे एक स्विच है, जबकि फ़ायरवॉल पारदर्शी मोड में है (अर्थात, सारा ट्रैफ़िक इसके माध्यम से जाता है, लेकिन यह L3 हॉप नहीं बनाता है)
• प्रत्येक सबनेट के लिए डिफ़ॉल्ट गेटवे फ़ायरवॉल उप-इंटरफ़ेस (या एसवीआई इंटरफ़ेस) है, स्विच L2 की भूमिका निभाता है
• स्विच पर विभिन्न वीआरएफ का उपयोग किया जाता है, और वीआरएफ के बीच ट्रैफ़िक फ़ायरवॉल के माध्यम से जाता है, एक वीआरएफ के भीतर ट्रैफ़िक को स्विच पर एसीएल द्वारा नियंत्रित किया जाता है
• विश्लेषण और निगरानी के लिए सभी ट्रैफ़िक को फ़ायरवॉल पर प्रतिबिंबित किया जाता है; ट्रैफ़िक इसके माध्यम से नहीं जाता है

टिप्पणी १

इन विकल्पों का संयोजन संभव है, लेकिन सरलता के लिए हम उन पर विचार नहीं करेंगे।

नोट 2

पीबीआर (सेवा श्रृंखला वास्तुकला) का उपयोग करने की भी संभावना है, लेकिन अभी के लिए यह, हालांकि मेरी राय में एक सुंदर समाधान है, बल्कि विदेशी है, इसलिए मैं यहां इस पर विचार नहीं कर रहा हूं।

दस्तावेज़ में प्रवाह के विवरण से, हम देखते हैं कि ट्रैफ़िक अभी भी फ़ायरवॉल के माध्यम से जाता है, अर्थात, सिस्को डिज़ाइन के अनुसार, चौथा विकल्प समाप्त हो गया है।

आइए पहले पहले दो विकल्पों पर नजर डालें।
इन विकल्पों के साथ, सारा ट्रैफ़िक फ़ायरवॉल से होकर गुजरता है।

अब आइए देखें विवरण तालिका, रंग-रूप सिस्को जीपीएल और हम देखते हैं कि यदि हम चाहते हैं कि हमारे कार्यालय के लिए कुल बैंडविड्थ कम से कम 10 - 20 गीगाबिट के आसपास हो, तो हमें 4K संस्करण खरीदना होगा।

टिप्पणी

जब मैं कुल बैंडविड्थ के बारे में बात करता हूं, तो मेरा मतलब सबनेट के बीच यातायात से है (और एक विलाना के भीतर नहीं)।

जीपीएल से हम देखते हैं कि थ्रेट डिफेंस के साथ एचए बंडल के लिए, मॉडल (4110 - 4150) के आधार पर कीमत ~ 0,5 - 2,5 मिलियन डॉलर तक भिन्न होती है।

यानी हमारा डिज़ाइन पिछले उदाहरण जैसा दिखने लगता है।

क्या इसका मतलब यह है कि यह डिज़ाइन गलत है?
नहीं, इसका मतलब यह नहीं है. सिस्को आपको अपनी उत्पाद श्रृंखला के आधार पर सर्वोत्तम संभव सुरक्षा प्रदान करता है। लेकिन इसका मतलब यह नहीं है कि यह आपके लिए ज़रूरी है।

सिद्धांत रूप में, यह एक सामान्य प्रश्न है जो किसी कार्यालय या डेटा सेंटर को डिज़ाइन करते समय उठता है, और इसका मतलब केवल यह है कि समझौता करने की आवश्यकता है।

उदाहरण के लिए, सभी ट्रैफ़िक को फ़ायरवॉल के माध्यम से न जाने दें, ऐसी स्थिति में विकल्प 3 मुझे बहुत अच्छा लगता है, या (पिछला अनुभाग देखें) हो सकता है कि आपको थ्रेट डिफेंस की आवश्यकता न हो या उस पर फ़ायरवॉल की बिल्कुल भी आवश्यकता न हो नेटवर्क खंड, और आपको केवल भुगतान (महंगा नहीं) या ओपन सोर्स समाधानों का उपयोग करके निष्क्रिय निगरानी तक खुद को सीमित करने की आवश्यकता है, या आपको फ़ायरवॉल की आवश्यकता है, लेकिन एक अलग विक्रेता से।

आमतौर पर यह अनिश्चितता हमेशा बनी रहती है और इसका कोई स्पष्ट उत्तर नहीं होता कि कौन सा निर्णय आपके लिए सबसे अच्छा है।
यही इस कार्य की जटिलता और सुंदरता है।

स्रोत: www.habr.com