{"id":31395,"date":"2019-10-31T21:41:01","date_gmt":"2019-10-31T18:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\/"},"modified":"2019-10-31T21:41:01","modified_gmt":"2019-10-31T18:41:01","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","title":{"rendered":"Kako preuzeti kontrolu nad mre\u017enom infrastrukturom. Poglavlje tre\u0107e. Mre\u017ena sigurnost. Tre\u0107i deo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Ovaj \u010dlanak je peti u ciklusu \u010dlanaka 'Kako preuzeti kontrolu nad mre\u017enom infrastrukturom'. Sadr\u017eaj svih \u010dlanaka u ciklusu i linkovi mogu se na\u0107i <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">ovdje<\/a><\/noindex><\/i>.<\/p>\n<p>Ovaj deo \u0107e biti posve\u0107en segmentima Campus (Ured) &amp; Remote access VPN. <\/p>\n<p><img decoding=\"async\" alt=\"Kako preuzeti kontrolu nad mre\u017enom infrastrukturom. Poglavlje tre\u0107e. Mre\u017ena sigurnost. Tre\u0107i deo\" src=\"\/wp-content\/uploads\/2019\/04\/c20ea5e670105b5bf9b655a97b82f62f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMo\u017ee se \u010diniti da je dizajn kancelarijske mre\u017ee jednostavan. <\/p>\n<p>Zaista, uzimamo L2\/L3 prekida\u010de, povezujemo ih jedni s drugima. Zatim, vr\u0161imo osnovnu konfiguraciju VLAN-ova, podrazumevanih gateway-a, podi\u017eemo jednostavno rutiranje, povezujemo WiFi kontrolere, pristupne ta\u010dke, instaliramo i konfiguri\u0161emo ASA za daljinski pristup, i radujemo se \u0161to sve funkcioni\u0161e. U principu, kao \u0161to sam ve\u0107 spomenuo u jednom od prethodnih <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">\u010dlanaka<\/a><\/noindex> ovog ciklusa, projektovati i konfigurisati kancelarijsku mre\u017eu tako da 'neka bude', mo\u017ee gotovo svaki student koji je slu\u0161a (i usvojio) dva semestra kursa telekomunikacija.<\/p>\n<p>Ali \u0161to vi\u0161e saznajete, ta se zada\u0107a \u010dini manje jednostavnom. Li\u010dno, ova tema, tema dizajna kancelarijske mre\u017ee, ne deluje mi jednostavno, i u ovom \u010dlanku \u0107u poku\u0161ati objasniti za\u0161to.<\/p>\n<p>Ukratko, potrebno je uzeti u obzir prili\u010dno mnogo faktora. \u010cesto su ti faktori u suprotnosti jedni s drugima i mora se tra\u017eiti razuman kompromis. <br \/>\nOva neizvesnost je osnovna slo\u017eenost. Dakle, kada govorimo o sigurnosti, imamo trougao sa tri vrha: sigurnost, pogodnost za zaposlene, cena re\u0161enja. <br \/>\nI svaki put se mora tra\u017eiti kompromis izme\u0111u ova tri.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>Arhitektura<\/h2>\n<p>\nKao primer arhitekture za ova dva segmenta, kao i u prethodnim \u010dlancima, preporu\u010dujem <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> model: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap5.html#wpxref51616\">Enterprise Campus<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap6.html#wpxref74611\">Enterprise Internet Edge<\/a><\/noindex>.<\/p>\n<p>Ovo su ne\u0161to zastareli dokumenti. Navodim ih ovde, jer principi i pristup nisu se promenili, ali mi se izlaganje vi\u0161e svi\u0111a nego u <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">novoj dokumentaciji<\/a><\/noindex>.<\/p>\n<p>Ne pozivaju\u0107i vas da koristite isklju\u010divo Cisco re\u0161enja, ipak smatram korisnim pa\u017eljivo prou\u010diti ovaj dizajn. <\/p>\n<p>Ovaj \u010dlanak, kao i obi\u010dno, ni u kojem slu\u010daju ne pretenduje na potpunost, ve\u0107 je vi\u0161e dodatak u ovim informacijama. <\/p>\n<p>Na kraju \u010dlanka, analizira\u0107emo dizajn Cisco SAFE za kancelariju iz perspektive koncepta predstavljenih ovde.<\/p>\n<h2>Op\u0161ti principi<\/h2>\n<p>\nDizajn uredske mre\u017ee svakako mora zadovoljiti op\u0107e zahtjeve koji su razmatrani <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">ovdje<\/a><\/noindex> u poglavlju 'Kriteriji ocjene kvalitete dizajna'. Osim cijene i sigurnosti, koje \u0107emo razmotriti u ovom \u010dlanku, postoje jo\u0161 tri kriterija koja moramo uzeti u obzir prilikom projektiranja (ili prilikom izmjena):<\/p>\n<ul>\n<li>razmjerljivost (scalability)<\/li>\n<li>upravljivost (managability)<\/li>\n<li>dostupnost (availability)<\/li>\n<\/ul>\n<p>\nMnogo od onoga \u0161to je raspravljano za <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">data centre<\/a><\/noindex> tako\u0111er je primjenjivo i za ured. <\/p>\n<p>No, uredski segment ipak ima svoju specifi\u010dnost, koja je s aspekta sigurnosti kriti\u010dna. Su\u0161tina te specifi\u010dnosti je u tome \u0161to se ovaj segment stvara za pru\u017eanje mre\u017enih servisa zaposlenicima (kao i partnerima i gostima) kompanije, i kao posljedica toga, na samom vrhu razmatranja problema imamo dva zadatka:<\/p>\n<ul>\n<li>za\u0161tititi resurse kompanije od zlonamjernih radnji koje mogu dolaziti od zaposlenika (gosta, partnera) i od softvera koji koriste. Ovdje tako\u0111er ulazi i za\u0161tita od neovla\u0161tenog povezivanja na mre\u017eu. <\/li>\n<li>za\u0161tititi sustave i podatke samih korisnika<\/li>\n<\/ul>\n<p>\nI to je samo jedna strana problema (a to\u010dnije jedna vrh trokuta). Na drugoj strani \u2014 udobnost korisnika i cijena primijenjenih rje\u0161enja.<\/p>\n<p>Krenimo na razmatranje onoga \u0161to korisnik o\u010dekuje od moderne uredske mre\u017ee. <\/p>\n<h2>Udobnosti<\/h2>\n<p>\nEvo kako, po mom mi\u0161ljenju, izgledaju 'mre\u017ene udobnosti' za korisnika ureda:<\/p>\n<ul>\n<li>Mobilnost<\/li>\n<li>Mogu\u0107nost kori\u0161tenja cijelog spektra poznatih ure\u0111aja i operativnih sustava<\/li>\n<li>Laka dostupnost svim potrebnim resursima kompanije <\/li>\n<li>Dostupnost internetskih resursa, uklju\u010duju\u0107i razne oblake usluga<\/li>\n<li>\u2018Brzo djelovanje\u2019 mre\u017ee<\/li>\n<\/ul>\n<p>\nSve to se odnosi kako na zaposlenike, tako i na goste (ili partnere), a ve\u0107 je to zadatak in\u017eenjera kompanije da na temelju autorizacije podijeli pristupe za razli\u010dite grupe korisnika.<\/p>\n<p>Pogledajmo malo detaljnije svaki od ovih aspekata.<\/p>\n<h3>Mobilnost<\/h3>\n<p>\nRije\u010d je o mogu\u0107nosti rada i kori\u0161tenja svih neophodnih resursa kompanije iz bilo kojeg dijela svijeta (naravno, gdje je dostupan internet).<\/p>\n<p>To je u potpunosti primjenjivo i na ured. Prakti\u010dno je kada iz bilo kojeg dijela ureda imate mogu\u0107nost nastaviti raditi, na primjer, primati e-po\u0161tu, komunicirati putem korporativnog messenger-a, biti dostupan za video poziv, \u2026 Tako mo\u017eete, s jedne strane, rje\u0161avati neka pitanja kroz \u201eu\u017eivo\u201c komunikaciju (na primjer, sudjelovati na sastancima), a s druge strane, uvijek biti online, pratiti razvoj situacije i brzo rje\u0161avati hitne visoko prioritetne zadatke. To je vrlo prakti\u010dno i doista pobolj\u0161ava kvalitetu komunikacije.<\/p>\n<p>To se posti\u017ee pravim dizajnom WiFi mre\u017ee.<\/p>\n<blockquote><p><b>Napomena<\/b><\/p>\n<p>Ovdje se obi\u010dno postavlja pitanje je li dovoljno koristiti samo WiFi? Zna\u010di li to da se mo\u017ee odustati od kori\u0161tenja Ethernet portova u uredu? Ako su u pitanju samo korisnici, a ne poslu\u017eitelji koji se, ipak, razumno povezuju obi\u010dnim Ethernet portom, onda je op\u0107i odgovor: da, mo\u017ee se ograni\u010diti samo na WiFi. No postoje nijanse.<\/p>\n<p>Postoje va\u017ene grupe korisnika kojima je potreban poseban pristup. To su, naravno, administratori. U principu, WiFi povezivanje je manje pouzdano (u smislu gubitka prometa) i manje brzo od obi\u010dnog Ethernet porta. To mo\u017ee biti bitno za administratore. Osim toga, mre\u017eni administratori, na primjer, mogu imati svoju vlastitu posve\u0107enu Ethernet mre\u017eu za out-of-band povezivanje.<\/p>\n<p>Mogu\u0107e je da u va\u0161oj tvrtki postoje i druge grupe\/odjeli za koje su ti faktori tako\u0111er va\u017eni.<\/p>\n<p>Postoji jo\u0161 jedan va\u017ean aspekt \u2013 telefonske usluge. Mo\u017eda, iz bilo kojeg razloga, ne \u017eelite koristiti Wireless VoIP i \u017eelite koristiti IP telefone s obi\u010dnim Ethernet povezivanjem. <\/p>\n<p>Op\u0107enito, u tvrtkama u kojima sam radio, obi\u010dno je bila mogu\u0107nost kako WiFi povezivanja, tako i Ethernet porta.<\/p><\/blockquote>\n<p>\n\u017deljelo bi se da mobilnost ne bude ograni\u010dena samo na ured.<\/p>\n<p>Za omogu\u0107avanje rada iz ku\u0107e (ili bilo kojeg drugog mjesta s dostupnim internetom) koristi se VPN veza. Pri tome, po\u017eeljno je da zaposlenici ne osjete razliku izme\u0111u rada iz ku\u0107e i rada na daljinu, \u0161to podrazumijeva prisutnost istih pristupa. O tome kako to organizirati razgovarat \u0107emo malo kasnije u poglavlju \u201eJedinstveni centralizirani sustav autentifikacije i autorizacije\u201c.<\/p>\n<blockquote><p><b>Napomena<\/b><\/p>\n<p>Vjerojatno ne\u0107ete mo\u0107i ponuditi istu kvalitetu usluga za rad na daljinu kakvu imate u uredu. Pretpostavimo da kao VPN prolaz koristite Cisco ASA 5520. Prema <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/asa-5500-series-next-generation-firewalls\/data_sheet_c78-345385.html\">tehni\u010dkom listu<\/a><\/noindex> ova jedinica mo\u017ee obraditi samo 225 Mb VPN prometa. To zna\u010di da se, naravno, s obzirom na propusnost, VPN vezanje zna\u010dajno razlikuje od rada iz ureda. Tako\u0111er, ako su, iz nekog razloga, ka\u0161njenje, gubitci, jitter (na primjer, ako \u017eelite koristiti IP telefoniju iz ureda) za va\u0161e mre\u017ene usluge zna\u010dajni, tako\u0111er ne\u0107ete dobiti istu kvalitetu kao da ste u uredu. Stoga, kada govorimo o mobilnosti, moramo imati na umu mogu\u0107a ograni\u010denja.<\/p><\/blockquote>\n<p><\/p>\n<h3>Lagan pristup svim resursima tvrtke<\/h3>\n<p>\nOvaj zadatak treba rije\u0161iti u suradnji s drugim tehni\u010dkim odjelima.<br \/>\nIdealan scenarij je kada se korisnik mora autentificirati samo jednom, a nakon toga dobiva pristup svim potrebnim resursima.<br \/>\nPru\u017eanje lakog pristupa bez ugro\u017eavanja sigurnosti mo\u017ee zna\u010dajno pove\u0107ati u\u010dinkovitost rada i smanjiti razinu stresa kod va\u0161ih kolega.<\/p>\n<blockquote><p><b>Napomena 1<\/b><\/p>\n<p>Jednostavnost pristupa nije samo pitanje koliko puta morate unositi lozinku. Ako, na primjer, prema va\u0161im sigurnosnim politikama, za povezivanje iz ureda s podatkovnim centrom prvo morate spojiti na VPN prolaz, a pritom gubite pristup uredskim resursima, to je tako\u0111er vrlo, vrlo nezgodno.\n<\/p><\/blockquote>\n<blockquote><p><b>Napomena 2<\/b><\/p>\n<p>Postoje usluge (na primjer, pristup mre\u017enoj opremi) gdje obi\u010dno imamo vlastite AAA servere i normalno je kada se u tom slu\u010daju mora autentificirati nekoliko puta.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Dostupnost internetskih resursa<\/h3>\n<p>\nInternet nije samo zabava, ve\u0107 i skup usluga koje mogu biti vrlo korisne za rad. Ima tu i \u010distih psiholo\u0161kih faktora. Moderni \u010dovjek je putem interneta povezan s drugim ljudima na mnogo virtualnih na\u010dina i, po mom mi\u0161ljenju, nema ni\u0161ta lo\u0161e u tome ako nastavlja osje\u0107ati tu povezanost \u010dak i tijekom rada.<\/p>\n<p>S obzirom na gubitak vremena, nije ni\u0161ta stra\u0161no ako zaposlenik, na primjer, koristi Skype i potro\u0161i 5 minuta razgovaraju\u0107i s voljenom osobom kad to zatreba.<\/p>\n<p>Zna\u010di li to da internet uvijek mora biti dostupan, zna\u010di li to da zaposlenicima treba omogu\u0107iti pristup svim resursima bez ikakve kontrole?<\/p>\n<p>Ne, naravno da ne zna\u010di. Razina otvorenosti interneta mo\u017ee varirati za razli\u010dite tvrtke \u2013 od potpune zatvorenosti do potpune otvorenosti. Na\u010dini kontrole prometa raspraviti \u0107emo kasnije u odjeljcima posve\u0107enim sredstvima za\u0161tite. <\/p>\n<h3>Mogu\u0107nost kori\u0161tenja cijelog spektra uobi\u010dajenih ure\u0111aja.<\/h3>\n<p>\nPrakti\u010dno je kada, na primjer, imate mogu\u0107nost nastaviti koristiti sve vam poznate komunikacijske alate i na poslu. Tehni\u010dki nije te\u0161ko to realizirati. Za to je potreban WiFi i gostuju\u0107i VLAN.<\/p>\n<p>Tako\u0111er je dobro ako postoji mogu\u0107nost kori\u0161tenja operativnog sustava na koji stenavikli. No, prema mom zapa\u017eanju, obi\u010dno je to dopu\u0161teno samo menad\u017eerima, administratorima i programerima. <\/p>\n<blockquote><p><b>Primjer<\/b><\/p>\n<p>Naravno, mogu\u0107e je krenuti putem zabrana, zabraniti udaljeni pristup, zabraniti povezivanje s mobilnim ure\u0111ajima, ograni\u010diti sve na stati\u010dke Ethernet konekcije, ograni\u010diti pristup internetu, obavezno oduzeti mobilne telefone i gadgete na ulazu\u2026 i ovaj put doista slijede neke organizacije s poja\u010danim sigurnosnim zahtjevima, i mo\u017eda je u nekim slu\u010dajevima to opravdano, ali\u2026 slo\u017eite se da to izgleda kao poku\u0161aj usporavanja napretka unutar odre\u0111ene organizacije. Naravno, bilo bi dobro uskladiti mogu\u0107nosti koje pru\u017eaju moderne tehnologije s dovoljnom razinom sigurnosti.<\/p><\/blockquote>\n<p><\/p>\n<h3>\u2018Brzo djelovanje\u2019 mre\u017ee<\/h3>\n<p>\nBrzina prijenosa podataka tehni\u010dki se sastoji od mnogih faktora. A brzina va\u0161eg priklju\u010dnog porta obi\u010dno nije najva\u017eniji od njih. Nije uvijek spora radnja aplikacije povezana s mre\u017enim problemima, ali sada nas zanima samo mre\u017eni dio. Naj\u010de\u0161\u0107i problem \u201eusporavanja\u201c rada lokalne mre\u017ee povezan je s gubitkom paketa. To se obi\u010dno doga\u0111a u prisutnosti efekta \u201euskog grla\u201c ili pri L1 (OSI) problemima. Rje\u0111e, kod nekih dizajna (na primjer, kada vatrozid djeluje kao zadani prolaz u va\u0161im podmre\u017eama i tako sav promet prolazi kroz njega), mo\u017ee nedostajati performansi opreme. <\/p>\n<p>Stoga, prilikom odabira opreme i arhitekture, morate uskladiti brzine krajnjih portova, trunkova i performansi opreme.<\/p>\n<blockquote><p><b>Primjer<\/b><\/p>\n<p>Pretpostavimo da koristite pristupne prekida\u010de s portovima od 1 gigabita. Oni su me\u0111usobno spojeni preko Etherchannel 2 x 10 gigabita. Kao zadani prolaz koristite vatrozid s gigabitnim portovima, za \u010dije povezivanje s L2 mre\u017eom ureda koristite 2 gigabitna porta, spojena u Etherchannel. <\/p>\n<p>Ova arhitektura je dovoljno prakti\u010dna s obzirom na funkcionalnost, jer sav promet prolazi kroz vatrozid, a mo\u017eete udobno upravljati pristupnim politikama i primjenjivati slo\u017eene algoritme kontrole prometa i sprje\u010davanja mogu\u0107ih napada (vidi dalje), ali s obzirom na propusnost i performanse, ovaj dizajn mo\u017ee imati potencijalne probleme. Na primjer, 2 hosta koja preuzimaju podatke (brzinom porta od 1 gigabita) mogu u potpunosti opteretiti 2 gigabitnu vezu s vatrozidom, \u010dime bi do\u0161lo do degradacije usluge za cijeli uredski segment.<\/p><\/blockquote>\n<p>\nRazmotrili smo jednu vrh trokuta, sada \u0107emo vidjeti kojim sredstvima mo\u017eemo osigurati sigurnost.<\/p>\n<h2>Sredstva za\u0161tite<\/h2>\n<p>\nDakle, naravno, obi\u010dno je na\u0161a \u017eelja (to\u010dnije, \u017eelja na\u0161eg rukovodstva) posti\u0107i nemogu\u0107e, a to je pru\u017eiti maksimalnu udobnost uz maksimalnu sigurnost i minimalnu cijenu.<\/p>\n<p>Pogledajmo koje metode imamo za pru\u017eanje za\u0161tite.<\/p>\n<p>Za ured bih istaknuo sljede\u0107e:<\/p>\n<ul>\n<li>zero trust pristup u dizajnu<\/li>\n<li>visok nivo za\u0161tite <\/li>\n<li>mre\u017ena vidljivost<\/li>\n<li>jedinstveni centralizirani sustav autentikacije i autorizacije<\/li>\n<li>provjera hosta (host checking) <\/li>\n<\/ul>\n<p>\nDalje \u0107emo se malo detaljnije osvrnuti na svaki od ovih aspekata.<\/p>\n<h3>Zero Trust<\/h3>\n<p>\nIT svijet se brzo mijenja. Tijekom posljednjih 10 godina pojava novih tehnologija i proizvoda dovela je do ozbiljne revizije koncepta sigurnosti. Prije deset godina, s aspekta sigurnosti, segmentirali smo mre\u017eu u trust, dmz i untrust zone, i primjenjivala se tzv. \u201eza\u0161tita po perimetru\u201c, gdje su bile 2 linije obrane: untrust -&gt; dmz i dmz -&gt; trust. Tako\u0111er, za\u0161tita se obi\u010dno ograni\u010davala na liste pristupa temeljene na L3\/L4 (OSI) zaglavljima (IP, TCP\/UDP portovi, TCP zastavice). Sve \u0161to se ti\u010de vi\u0161ih razina, uklju\u010duju\u0107i i L7, prepu\u0161talo se operativnim sustavima i za\u0161titnim proizvodima instaliranim na krajnjim ure\u0111ajima.<\/p>\n<p>Situacija se sada drasti\u010dno promijenila. Moderna koncepcija <noindex><a rel=\"nofollow\" href=\"https:\/\/doubleoctopus.com\/security-wiki\/network-architecture\/zero-trust\/\">zero trust<\/a><\/noindex> polazi od pretpostavke da vi\u0161e nije mogu\u0107e smatrati unutarnje, tj. one koji se nalaze unutar perimetra, sustave povjerenima, a sama koncepcija perimetra postala je zamagljena.<br \/>\nOsim povezanosti s internetom, imamo i<\/p>\n<ul>\n<li>remote access VPN korisnika<\/li>\n<li>razli\u010dite osobne ure\u0111aje, donesene prijenosne ra\u010dunale, koji se povezuju putem uredskog WiFi-a<\/li>\n<li>druge (branch) urede<\/li>\n<li>integraciju s cloud infrastrukturom <\/li>\n<\/ul>\n<p>\nKako izgleda Zero Trust pristup u praksi?<\/p>\n<p>U idealnom slu\u010daju, dopu\u0161ten bi trebao biti samo onaj promet koji je potreban i, ako govorimo o idealu, kontrola bi trebala biti ne samo na razini L3\/L4, nego i na razini aplikacije. <\/p>\n<p>Ako, na primjer, imate mogu\u0107nost pro\u0107i sav promet kroz vatrozid, mo\u017eete poku\u0161ati pribli\u017eiti se idealu. No, takav pristup mo\u017ee zna\u010dajno smanjiti ukupni propusni opseg va\u0161e mre\u017ee, a i filtriranje na razini aplikacije ne radi uvijek dobro.<\/p>\n<p>Pri kontroli prometa na usmjeriva\u010du ili L3 preklopniku (kori\u0161tenje standardnih ACL) susre\u0107ete se s drugim problemima:<\/p>\n<ul>\n<li>to je samo L3\/L4 filtriranje. Ni\u0161ta ne sprje\u010dava napada\u010da da koristi dopu\u0161tene portove (npr. TCP 80) za svoju aplikaciju (ne http)<\/li>\n<li>komplicirano upravljanje ACL (te\u0161ko je analizirati ACL)<\/li>\n<li>to nije stateful vatrozid, \u0161to zna\u010di da morate izri\u010dito dopustiti povratni promet<\/li>\n<li>u slu\u010daju preklopnika obi\u010dno ste prili\u010dno strogo ograni\u010deni veli\u010dinom TCAM-a, \u0161to u slu\u010daju primjene pristupa \u201edopusiti samo ono \u0161to je potrebno\u201c mo\u017ee brzo postati problem<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Napomena<\/b><\/p>\n<p>Govore\u0107i o povratnom prometu, moramo imati na umu da imamo sljede\u0107u mogu\u0107nost (Cisco) <\/p>\n<p>dopusti tcp bilo koji bilo koji uspostavljen<\/p>\n<p>No, treba razumjeti da je ova linija ekvivalentna dvjema linijama:<br \/>\ndopusti tcp bilo tko bilo gdje ack<br \/>\ndopusti tcp bilo tko bilo gdje rst<\/p>\n<p>\u0160to zna\u010di da \u010dak i ako nije bilo prvotnog TCP segmenta s SYN oznakom (to jest TCP sesija se nije ni po\u010dela uspostavljati), ovaj ACL \u0107e pustiti paket s ACK oznakom, \u0161to zlonamjernik mo\u017ee iskoristiti za prijenos podataka.<\/p>\n<p>To jest, ova linija ni na koji na\u010din ne pretvara va\u0161 usmjeriva\u010d ili L3 preklopnik u stateful vatrozid.<\/p><\/blockquote>\n<p><\/p>\n<h3>Nijedna akcija ne\u0107e biti izvr\u0161ena bez va\u0161eg 'nadzora'.<\/h3>\n<p>\nU <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">\u010dlanku<\/a><\/noindex> U dijelu posve\u0107enom data centrima, razmatrali smo sljede\u0107e na\u010dine za\u0161tite.<\/p>\n<ul>\n<li>stateful firewalling (po zadanim postavkama)<\/li>\n<li>ddos\/dos za\u0161tita<\/li>\n<li>aplikacijski vatrozid<\/li>\n<li>sprje\u010davanje prijetnji (antivirus, anti-spyware i ranjivosti)<\/li>\n<li>filtriranje URL-ova<\/li>\n<li>filtriranje podataka (filtriranje sadr\u017eaja)<\/li>\n<li>blokiranje datoteka (blokiranje vrsta datoteka)<\/li>\n<\/ul>\n<p>\nU slu\u010daju ureda situacija je sli\u010dna, ali prioriteti su malo druga\u010diji. Dostupnost ureda (availabilty) obi\u010dno nije tako kriti\u010dna kao u slu\u010daju data centra, dok je vjerojatnost 'unutarnjeg' zlonamjernog prometa nekoliko puta vi\u0161a. <br \/>\nStoga sljede\u0107e metode za\u0161tite za ovaj segment postaju klju\u010dne:<\/p>\n<ul>\n<li>aplikacijski vatrozid<\/li>\n<li>sprje\u010davanje prijetnji (antivirus, anti-spyware i ranjivosti)<\/li>\n<li>filtriranje URL-ova<\/li>\n<li>filtriranje podataka (filtriranje sadr\u017eaja)<\/li>\n<li>blokiranje datoteka (blokiranje vrsta datoteka)<\/li>\n<\/ul>\n<p>\nIako su sve ove metode za\u0161tite, osim aplikacijskog vatrozida, tradicionalno rije\u0161ene i nastavljaju se rje\u0161avati na zavr\u0161nim doma\u0107inima (na primjer, instalacijom antivirusnih programa) i pomo\u0107u proxya, moderni NGFW tako\u0111er pru\u017eaju te usluge. <\/p>\n<p>Proizvo\u0111a\u010di sigurnosne opreme te\u017ee stvaranju sveobuhvatne za\u0161tite, pa se osim za\u0161tite na lokalnom ure\u0111aju, nude razli\u010dite oblacne tehnologije i klijentski softver za doma\u0107ine (end point protection\/EPP). Tako, na primjer, iz <noindex><a rel=\"nofollow\" href=\"https:\/\/www.fairline.com.tw\/data\/editor\/files\/01%20%20Gartner%20-%20Magic%20Quad%20-%20Endpoint%20Protection%20Platforms%201-2018.pdf\">Magi\u010dne karte Gartnera (Gartner Magic Quadrant) za 2018. godinu<\/a><\/noindex> vidimo da Palo Alto i Cisco imaju svoje EPP (PA: Traps, Cisco: AMP), ali nisu u vrhu.<\/p>\n<p>Aktiviranje ove za\u0161tite (obi\u010dno uz pomo\u0107 kupnje licenci) na vatrozidu, naravno, nije obavezno (mo\u017eete i\u0107i tradicionalnim putem), ali donosi odre\u0111ene prednosti:<\/p>\n<ul>\n<li>U ovom slu\u010daju pojavljuje se jedinstvena to\u010dka primjene metoda za\u0161tite, \u0161to pobolj\u0161ava visibility (vidi sljede\u0107u temu). <\/li>\n<li>Ako je u va\u0161oj mre\u017ei bilo neza\u0161ti\u0107enog ure\u0111aja, on \u0107e i dalje biti pod 'ki\u0161obranom' za\u0161tite vatrozida.<\/li>\n<li> Kori\u0161tenjem za\u0161tite na firewall-u zajedno s za\u0161titom na krajnjim hostovima pove\u0107avamo vjerojatnost otkrivanja zlonamjernog prometa. Na primjer, kori\u0161tenje za\u0161tite od prijetnji na lokalnim hostovima i na firewall-u pove\u0107ava vjerojatnost otkrivanja (pod uvjetom, naravno, da su razli\u010diti softverski proizvodi osnova tih rje\u0161enja)<\/li>\n<\/ul>\n<blockquote><p><b>Napomena<\/b><\/p>\n<p>Ako, na primjer, kao antivirus koristite Kaspersky na firewall-u i na krajnjim hostovima, onda to, naravno, ne pove\u0107ava va\u0161e \u0161anse za sprje\u010davanje virusnog napada u va\u0161oj mre\u017ei.<\/p><\/blockquote>\n<p><\/p>\n<h3>Vidljivost mre\u017ee<\/h3>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/blog.gigamon.com\/2017\/11\/01\/what-is-network-visibility\/\">Osnovna ideja<\/a><\/noindex> je jednostavna \u2013 \"vidjeti\" \u0161to se doga\u0111a u va\u0161oj mre\u017ei, kako u stvarnom vremenu, tako i povijesne podatke. <\/p>\n<p>Podijelio bih ovu \"vidljivost\" u dvije skupine:<\/p>\n<p><b>Prva skupina:<\/b> ono \u0161to obi\u010dno pru\u017ea va\u0161 sustav nadzora.<\/p>\n<ul>\n<li>optere\u0107enje opreme<\/li>\n<li>optere\u0107enje kanala<\/li>\n<li>kori\u0161tenje memorije<\/li>\n<li>kori\u0161tenje diskova<\/li>\n<li>promjena tablice usmjeravanja <\/li>\n<li>stanje veza<\/li>\n<li>dostupnost opreme (ili hostova)<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p><b>Druga skupina: <\/b>informacije vezane uz sigurnost.<\/p>\n<ul>\n<li>razne statistike (na primjer, prema aplikacijama, prema pristupa URL-ima, koji su se podaci preuzimali, podaci o korisnicima)<\/li>\n<li>\u0161to je blokirano politikama sigurnosti i iz kojeg razloga, a to su\n<ul>\n<li>zabranjena aplikacija<\/li>\n<li>zabranjeno na temelju ip\/protokola\/porta\/zastava\/zonama<\/li>\n<li>za\u0161tita od prijetnji<\/li>\n<li>filtriranje URL-ova<\/li>\n<li>filtriranje podataka<\/li>\n<li>blokiranje datoteka<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<\/li>\n<li>statistike o DOS\/DDOS napadima<\/li>\n<li>neuspjeli poku\u0161aji identifikacije i autorizacije<\/li>\n<li>statistika o svim navedenim doga\u0111ajima kr\u0161enja politika sigurnosti<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nU ovom poglavlju posve\u0107enom sigurnosti, zanima nas upravo druga polovica.<\/p>\n<p>Neki moderni firewall-ovi (iz mog iskustva, Palo Alto) pru\u017eaju dobar nivo vidljivosti. Me\u0111utim, naravno, promet koji vas zanima mora prolaziti kroz taj firewall (u ovom slu\u010daju imate mogu\u0107nost blokiranja prometa) ili se mora zrcaliti na firewall (koristi se samo za nadzor i analizu), i trebate imati licence koje omogu\u0107uju aktiviranje svih tih servisa.<\/p>\n<p>Postoji, naravno, i alternativni put, odnosno tradicionalni put, na primjer,<\/p>\n<ul>\n<li>statistiku o sesijama mo\u017eete prikupljati putem netflow-a i zatim koristiti specijalizirane alate za analizu informacija i vizualizaciju podataka<\/li>\n<li>za\u0161tita od prijetnji \u2013 specijalizirani programi (antivirus, antimalware, firewall) na krajnjim hostovima<\/li>\n<li>URL filtriranje, filtriranje podataka, blokiranje datoteka \u2013 na proxyju<\/li>\n<li>tako\u0111er mo\u017eete analizirati tcpdump, na primjer, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/268207\/\">snort<\/a><\/noindex><\/li>\n<\/ul>\n<p>\nOva dva pristupa mogu se kombinirati, dodaju\u0107i nedostaju\u0107e funkcije ili dupliciraju\u0107i ih za pove\u0107anje vjerojatnosti otkrivanja napada.<\/p>\n<p>Koji pristup odabrati?<br \/>\nUvelike ovisi o kvalifikacijama i preferencijama va\u0161eg tima.<br \/>\nS jedne i druge strane postoje prednosti i nedostaci.<\/p>\n<h3>Jedinstveni centralizirani sustav autentifikacije i autorizacije<br \/>\n<\/h3>\n<p>\nUz dobar dizajn, mobilnost koju smo raspravljali u ovom \u010dlanku podrazumijeva da imate jednake pristupe, rade\u0107i iz ureda ili iz ku\u0107e, iz aerodroma, iz kafi\u0107a ili bilo koje druge to\u010dke (s ograni\u010denjima koja smo prethodno raspravljali). \u010cini se, gdje je problem? <br \/>\nDa bismo bolje razumjeli slo\u017eenost ovog zadatka, razmotrimo tipi\u010dan dizajn.<\/p>\n<blockquote><p><b>Primjer<\/b><\/p>\n<ul>\n<li>Razdvojili ste sve zaposlenike u grupe. Odlu\u010dili ste davati pristupe po grupama.<\/li>\n<li>Unutar ureda kontrolirate pristupe na uredskom vatrozidu.<\/li>\n<li>Promet iz ureda prema data centru kontrolirate na vatrozidu data centra.<\/li>\n<li>Kao VPN gateway koristite Cisco ASA i za kontrolu prometa koji ulazi u va\u0161u mre\u017eu od odabranih klijenata, primjenjujete lokalne (na ASA) ACL.<\/li>\n<\/ul>\n<p>\nSada, pretpostavimo da vam tra\u017ee da dodate dodatni pristup odre\u0111enom zaposleniku. Pritom vas mole da dodate pristup samo njemu i nikome drugom iz njegove grupe.<\/p>\n<p>Za to moramo stvoriti posebnu grupu za tog zaposlenika, tj.<\/p>\n<ul>\n<li>na ASA stvoriti poseban IP pool za tog zaposlenika.<\/li>\n<li>dodati novu ACL na ASA i povezati je s tim udaljenim klijentom.<\/li>\n<li>stvoriti nove sigurnosne politike na uredskom i data centar vatrozidu.<\/li>\n<\/ul>\n<p>\nDobro je ako je ovaj doga\u0111aj rijedak. No, u mojoj praksi bilo je situacija kada su zaposlenici sudjelovali u razli\u010ditim projektima, a ovaj skup projekata za neke od njih se prili\u010dno \u010desto mijenjao, i to nije bilo 1-2 osobe, ve\u0107 deseci. Naravno, ovdje je trebalo ne\u0161to promijeniti.<\/p>\n<p>To je rije\u0161eno na sljede\u0107i na\u010din.<\/p>\n<p>Odlu\u010dili smo da \u0107e jedini izvor istine koji odre\u0111uje sve mogu\u0107e pristupe zaposlenika biti LDAP. Stvorili smo razne grupe koje definiraju skupove pristupa i svakog korisnika povezivali s jednom ili vi\u0161e grupa. <\/p>\n<p>Tako, na primjer, pretpostavimo da su postojale grupe <\/p>\n<ul>\n<li>guest (pristup internetu)<\/li>\n<li>common access (pristup zajedni\u010dkim resursima: e-po\u0161ta, baza znanja, \u2026)<\/li>\n<li>accounting<\/li>\n<li>projekt 1<\/li>\n<li>projekt 2<\/li>\n<li>administrator baze podataka<\/li>\n<li>Linux administrator<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nAko je neki od zaposlenika bio uklju\u010den u projekt 1 i projekt 2, i ako su mu bili potrebni pristupi neophodni za rad u tim projektima, tada se taj zaposlenik vezivao za odgovaraju\u0107e grupe:<\/p>\n<ul>\n<li>gost <\/li>\n<li>op\u0107i pristup<\/li>\n<li>projekt 1<\/li>\n<li>projekt 2<\/li>\n<\/ul>\n<p>\nKako sada ovu informaciju pretvoriti u pristupe na mre\u017enoj opremi? <\/p>\n<p>Cisco ASA Dinami\u010dka Pristupna Politika (DAP) (vidi <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html\">www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html<\/a><\/noindex>) rje\u0161enje je upravo prikladno za ovu zada\u0107u.<\/p>\n<p>Ukratko, tijekom identifikacije\/autentifikacije, ASA dobiva od LDAP-a skup grupa koje odgovaraju ovom korisniku i \"sastavlja\" dinami\u010dki ACL iz nekoliko lokalnih ACL-ova (od kojih svaki odgovara grupi) sa svim potrebnim pristupima, \u0161to u potpunosti odgovara na\u0161im \u017eeljama.<\/p>\n<p>No, to je samo za VPN veze. Da bi situacija bila ista za zaposlenike koji se povezuju putem VPN-a i one koji su u uredu, poduzet je sljede\u0107i korak. <\/p>\n<p>Pri povezivanju iz ureda, korisnici su putem protokola 802.1x dolazili ili u gostuju\u0107i VLAN (za goste), ili u VLAN s op\u0107im pristupima (za zaposlenike tvrtke). Nadalje, za dobivanje specifi\u010dnih pristupa (na primjer, projektima u data centru) zaposlenici su se morali povezati putem VPN-a.<\/p>\n<p>Za povezivanje iz ureda i doma kori\u0161tene su razli\u010dite tunel grupacije na ASA. To je potrebno kako bi promet za korisnike iz ureda prema zajedni\u010dkim resursima (koji koriste svi zaposlenici, poput e-po\u0161te, datote\u010dnih poslu\u017eitelja, sustava za upravljanje tiketima, dns, &#8230;) i\u0161ao ne preko ASA, ve\u0107 kroz lokalnu mre\u017eu. Na taj na\u010din nismo optere\u0107ivali ASA suvi\u0161nim prometom, uklju\u010duju\u0107i i onim visokointenzivnim.<\/p>\n<p>Na taj na\u010din, zadatak je rije\u0161en. <br \/>\nDobili smo <\/p>\n<ul>\n<li>identi\u010dan skup pristupa, kako za veze iz ureda, tako i za udaljeno povezivanje<\/li>\n<li>nedostatak degradacije usluge pri radu iz ureda koja je povezana s prijenosom visoko intenzivnog prometa kroz ASA<\/li>\n<\/ul>\n<p>\nKoja su jo\u0161 prednost ovog pristupa?<br \/>\nU administraciji pristupa. Pristupi se lako mijenjaju, na jednom mjestu.<br \/>\nNa primjer, ako zaposlenik napusti tvrtku, jednostavno ga uklonite iz LDAP-a, i on automatski gubi sve pristupe.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Provjera hosta (host checking)<\/h3>\n<p>\nU slu\u010daju daljinskog pristupa, riskiramo omogu\u0107iti pristup mre\u017ei ne samo zaposleniku kompanije, ve\u0107 i svemu zlonamjernom softveru koji se vjerojatno nalazi na njegovom ra\u010dunalu (na primjer, ku\u0107nom), te putem tog softvera, mogu\u0107e, otvaramo pristup na\u0161oj mre\u017ei hakeru koji koristi ovaj host kao proxy.<\/p>\n<p>Razumljivo je da bi za daljinski spojen host trebali primjenjivati iste sigurnosne zahtjeve kao za onaj koji se nalazi u uredu.<\/p>\n<p>To uklju\u010duje i 'ispravnu' verziju operativnog sustava, antivirus, anti-spyware, firewall softver i a\u017euriranja. Obi\u010dno, ova mogu\u0107nost postoji na VPN gatewayu (za ASA, pogledajte na primjer, <noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/how-to-configure-anyconnect-host-scan\/ta-p\/3118732\">ovdje<\/a><\/noindex>).<\/p>\n<p>Tako\u0111er, razumno je primjenjivati iste metode analize i blokiranja prometa (vidi 'Visoka razina za\u0161tite'), koje se u skladu s va\u0161om sigurnosnom politikom primjenjuju na uredski promet. <\/p>\n<p>Razumljivo je pretpostaviti da va\u0161a uredska mre\u017ea vi\u0161e ne zavr\u0161ava unutar zgrade ureda i hostova koji se u njoj nalaze.<\/p>\n<blockquote><p><b>Primjer<\/b><\/p>\n<p>Dobar pristup je osigurati svakom zaposleniku koji treba daljinski pristup dobar, udoban prijenosnik i zahtijevati rad i u uredu i s njega kod ku\u0107e.<\/p>\n<p>To ne samo da pove\u0107ava razinu sigurnosti va\u0161e mre\u017ee, ve\u0107 je tako\u0111er vrlo prakti\u010dno i obi\u010dno se pozitivno do\u017eivljava od strane zaposlenika (ako je to dobar i udoban prijenosnik).<\/p><\/blockquote>\n<p><\/p>\n<h2>O osje\u0107aju mjere i ravnote\u017ei<\/h2>\n<p>\nU principu, ovo je razgovor o tre\u0107em vrhu na\u0161eg trokuta \u2014 o cijeni.<br \/>\nPogledajmo hipotetski primjer.<\/p>\n<blockquote><p><b>Primjer<\/b><\/p>\n<p>Imate ured za 200 ljudi. Odlu\u010dili ste ga u\u010diniti \u0161to ugodnijim i \u0161to sigurnijim.<\/p>\n<p>Zato ste odlu\u010dili prolaziti sav promet kroz vatrozid, \u010dime je za sve podmre\u017ee ureda vatrozid zadani prolaz. Osim softvera za sigurnost instaliranog na svakom krajnjem hostu (antivirus, anti-spyware, i firewall softver), odlu\u010dili ste primijeniti sve mogu\u0107e metode za\u0161tite na vatrozidu.<\/p>\n<p>Kako biste osigurali visoku brzinu povezivanja (sve za udobnost), kao pristupne preklopnike odabrali ste preklopnike s 10-gigabitnim pristupnim portovima, dok ste za vatrozide izabrali visoko performante NGFW vatrozide, na primjer, Palo Alto serije 7K (s 40 gigabitnim portovima), naravno sa svim uklju\u010denim licencama i, naravno, High Availability parom.<\/p>\n<p>Tako\u0111er, naravno, za rad s ovom linijom opreme potrebna su nam barem par visoko kvalificiranih in\u017eenjera za sigurnost.<\/p>\n<p>Nadalje, svakom zaposleniku odlu\u010dili ste dati dobar laptop.<\/p>\n<p>Sveukupno, oko 10 milijuna dolara za implementaciju, stotine tisu\u0107a dolara (mislim da bli\u017ee milijunu) za godi\u0161nje odr\u017eavanje i pla\u0107e in\u017eenjera.<\/p>\n<p>Ured, 200 ljudi\u2026<br \/>\nJe li to prakti\u010dno? Vjerojatno, da. <\/p>\n<p>Dolazite s ovom ponudom svom upravnom odboru\u2026<br \/>\nMo\u017eda postoji odre\u0111eni broj tvrtki u svijetu za koje je ovo prihvatljivo i ispravno rje\u0161enje. Ako ste zaposlenik te tvrtke \u2014 moje \u010destitke, ali u prete\u017enom broju slu\u010dajeva, siguran sam, va\u0161a znanja ne\u0107e biti cijenjena od strane uprave.<\/p><\/blockquote>\n<p>\nJe li ovaj primjer pretjeran? Sljede\u0107e poglavlje \u0107e dati odgovor na ovo pitanje.<\/p>\n<p>Ako u va\u0161oj mre\u017ei ne vidite ne\u0161to od navedenog, to je norma.<br \/>\nZa svaki konkretan slu\u010daj potrebno je prona\u0107i razuman kompromis izme\u0111u prakti\u010dnosti, cijene i sigurnosti. \u010cesto \u010dak nije potrebna NGFW u va\u0161em uredu, nije potrebna L7 za\u0161tita na firewallu. Dovoljno je osigurati dobru razinu vidljivosti i obavijesti, a to se mo\u017ee posti\u0107i kori\u0161tenjem open source proizvoda, na primjer. Da, va\u0161a reakcija na napad mo\u017eda ne\u0107e biti trenutna, ali najva\u017enije je da \u0107ete ga vidjeti, i uz pravilne procese u va\u0161em odjelu mo\u0107i \u0107ete ga brzo neutralizirati.<\/p>\n<p>I, podsje\u0107am, prema zamisli ovog ciklusa \u010dlanaka, ne bavite se projektiranjem mre\u017ee, ve\u0107 poku\u0161avate pobolj\u0161ati ono \u0161to ste dobili.<\/p>\n<h2>Analiza SAFE arhitekture ureda<\/h2>\n<p>\nObratite pozornost na ovaj crveni kvadrat kojim sam ozna\u010dio mjesto na dijagramu iz <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-secure-campus.pdf\">SAFE Secure Campus Architecture Guide<\/a><\/noindex>, koje bih ovdje volio raspraviti.<\/p>\n<p><img decoding=\"async\" alt=\"Kako preuzeti kontrolu nad mre\u017enom infrastrukturom. Poglavlje tre\u0107e. Mre\u017ena sigurnost. Tre\u0107i deo\" src=\"\/wp-content\/uploads\/2019\/04\/617b6561b6ebb17d4f015251abcadf9b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nTo je jedno od klju\u010dnih mjesta arhitekture i jedna od najva\u017enijih neizvjesnosti.<\/p>\n<blockquote><p><b>Napomena<\/b><\/p>\n<p>Nikada nisam konfigurirao niti radio s FirePower-om (iz linije firewall-a Cisco - samo s ASA), stoga \u0107u ga razmatrati kao svaki drugi firewall, na primjer, kao Juniper SRX ili Palo Alto, pretpostavljaju\u0107i da ima iste mogu\u0107nosti.<\/p><\/blockquote>\n<p>\nOd obi\u010dnih konfiguracija vidim samo 4 mogu\u0107a na\u010dina kori\u0161tenja firewalla pri takvom povezivanju:<\/p>\n<ul>\n<li>zadani gateway za svaku podmre\u017eu je preklopnik, a firewall se nalazi u transparentnom modu (to jest, sav promet prolazi kroz njega, ali ne stvara L3 hop)<\/li>\n<li>Zadani gateway za svaku podmre\u017eu su sub-interfejsi vatrozida (ili SVI interfejsi), a preklopnik igra ulogu L2.<\/li>\n<li>Na preklopniku se koriste razli\u010diti VRF-ovi, a promet izme\u0111u VRF-ova prolazi kroz vatrozid, promet unutar jednog VRF-a se kontrolira ACL-om na preklopniku.<\/li>\n<li>Sav promet se replicira na vatrozid radi analize i nadzora, promet kroz njega ne prolazi.<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Napomena 1<\/b><\/p>\n<p>Mogu\u0107e su kombinacije ovih opcija, ali radi jednostavnosti ne\u0107emo ih razmatrati.<\/p><\/blockquote>\n<blockquote><p><b>Napomena 2<\/b><\/p>\n<p>Tako\u0111er postoji mogu\u0107nost kori\u0161tenja PBR-a (arhitektura servisne lanca), ali trenutno je to, iako po mom mi\u0161ljenju lijepo rje\u0161enje, vi\u0161e egzotika, tako da ga ovdje ne razmatram.<\/p><\/blockquote>\n<p>\nIz opisa tokova u dokumentu vidimo da ipak promet prolazi kroz vatrozid, odnosno prema dizajnu Cisco, \u010detvrta opcija otpada.<\/p>\n<p>Pogledajmo prvo prve dvije opcije.<br \/>\nKod ovih opcija sav promet prolazi kroz vatrozid.<\/p>\n<p>Sada gledamo <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/collateral\/security\/firepower-ngfw\/data_sheet-c78-736661.html\">tehni\u010dkom listu<\/a><\/noindex>, gledamo <noindex><a rel=\"nofollow\" href=\"https:\/\/itprice.com\">Cisco GPL<\/a><\/noindex> i vidimo da ako \u017eelimo ukupni propusnost za na\u0161 ured imati barem u rasponu od 10 do 20 gigabita, moramo kupiti 4K verziju.<\/p>\n<blockquote><p><b>Napomena<\/b><\/p>\n<p>Kada govorim o ukupnoj propusnosti, mislim na promet izme\u0111u podmre\u017ea (a ne unutar jednog vilana).<\/p><\/blockquote>\n<p>\nIz GPL-a vidimo da za HA paket s Threat Defense cene variraju ovisno o modelu (4110 \u2014 4150) od ~0,5 \u2014 2,5 miliona dolara.<\/p>\n<p>To zna\u010di da na\u0161 dizajn po\u010dinje podsje\u0107ati na prethodni primjer.<\/p>\n<p>Zna\u010di li to da je ovaj dizajn neta\u010dan?<br \/>\nNe, ne zna\u010di. Cisco vam pru\u017ea maksimalnu mogu\u0107u za\u0161titu na temelju asortimana proizvoda koje ima. Ali to ne zna\u010di da je to 'must-do' za vas. <\/p>\n<p>U principu, ovo je uobi\u010dajeno pitanje koje se javlja prilikom dizajniranja ureda ili podatkovnog centra, i to samo zna\u010di da je potrebno tra\u017eiti kompromise. <\/p>\n<p>Na primjer, ne sav promet propu\u0161tati kroz vatrozid, a u ovom slu\u010daju tre\u0107a opcija mi se \u010dini prili\u010dno atraktivnom, ili (vidi prethodni odlomak) mo\u017eda vam nije potreban 'Threat Defense' ili uop\u0107e vatrozid u ovom segmentu mre\u017ee, i dovoljno je ograni\u010diti se na pasivno nadgledanje koriste\u0107i pla\u0107ena (ne skupa) ili open source rje\u0161enja, ili vam je potreban vatrozid, ali druge marke.<\/p>\n<p>Obi\u010dno postoji ta neizvjesnost i nema jednozna\u010dnog odgovora na to koje rje\u0161enje je najbolje za vas.<br \/>\nU tome le\u017ei slo\u017eenost i ljepota ovog zadatka.<br \/>\n<br \/>Izvor: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447610\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 Campus (Office) &amp; Remote access VPN \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430\u043c. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u0434\u0438\u0437\u0430\u0439\u043d \u043e\u0444\u0438\u0441\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u2013 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0431\u0435\u0440\u0435\u043c L2\/L3 \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u044b, \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0435\u043c \u0438\u0445 \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439. \u0414\u0430\u043b\u0435\u0435, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u0430\u0440\u043d\u0443\u044e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23359,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31395","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"hr_HR\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Kako preuzeti kontrolu nad mre\u017enom infrastrukturom. Poglavlje tre\u0107e. Mre\u017ena sigurnost. Deo tre\u0107i | ProHoster","description":"Ovaj \u010dlanak je peti u seriji \u010dlanaka \"Kako preuzeti kontrolu nad mre\u017enom infrastrukturom\".","canonical_url":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hr_HR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:41:01+00:00","article:modified_time":"2019-10-31T18:41:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31395","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 05:58:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:17:26","updated":"2026-01-21 05:58:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts\/31395","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/comments?post=31395"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts\/31395\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/media\/23359"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/media?parent=31395"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/categories?post=31395"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/tags?post=31395"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}