{"id":31058,"date":"2019-10-31T21:39:12","date_gmt":"2019-10-31T18:39:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\/"},"modified":"2019-10-31T21:39:12","modified_gmt":"2019-10-31T18:39:12","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","title":{"rendered":"Come prendere il controllo dell'infrastruttura di rete. Capitolo terzo. Sicurezza della rete. Parte prima","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Questo articolo \u00e8 il terzo di un ciclo di articoli intitolato \u00abCome controllare la propria infrastruttura di rete\u00bb. \u00c8 possibile trovare il contenuto di tutti gli articoli del ciclo e i link <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">qui<\/a><\/noindex><\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"Come prendere il controllo dell&#039;infrastruttura di rete. Capitolo terzo. Sicurezza della rete. Parte prima\" src=\"\/wp-content\/uploads\/2019\/04\/cdf33cc6797d26df8fef5533f2570c47.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNon ha senso parlare di un'eliminazione totale dei rischi di sicurezza. In linea di principio, non possiamo ridurli a zero. \u00c8 anche necessario comprendere che nel tentativo di rendere la rete sempre pi\u00f9 sicura, le nostre soluzioni diventano progressivamente pi\u00f9 costose. \u00c8 fondamentale trovare un compromesso ragionevole tra costo, complessit\u00e0 e sicurezza per la vostra rete. <\/p>\n<p>Certo, il design della sicurezza \u00e8 organicamente integrato nell'architettura complessiva e le soluzioni di sicurezza utilizzate influenzano la scalabilit\u00e0, l'affidabilit\u00e0, la gestibilit\u00e0 della\u2026 infrastruttura di rete, che deve essere considerata.<\/p>\n<p>Ma, ricordo che ora non stiamo parlando della creazione di una rete. Secondo i nostri <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/433614\/\">parametri iniziali<\/a><\/noindex> abbiamo gi\u00e0 scelto il design, l'attrezzatura \u00e8 stata selezionata e l'infrastruttura \u00e8 stata creata, e in questa fase dobbiamo \"vivere\", per quanto possibile, e trovare soluzioni nel contesto dell'approccio precedentemente scelto.<\/p>\n<p>Il nostro compito ora \u00e8 identificare i rischi associati alla sicurezza a livello di rete e ridurli a dimensioni ragionevoli. <noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h1>Audit della sicurezza di rete<\/h1>\n<p>\nSe nella vostra organizzazione sono stati implementati processi ISO 27k, l'audit della sicurezza e le modifiche alla rete devono essere armoniosamente integrate nei processi complessivi nell'ambito di questo approccio. Ma questi standard non riguardano specifiche soluzioni, non riguardano configurazioni o design\u2026 Non ci sono consigli inequivocabili, non ci sono standard che dettino dettagliatamente come dovrebbe essere la vostra rete; qui risiede la difficolt\u00e0 e la bellezza di questo compito.<\/p>\n<p>Vorrei evidenziare alcuni possibili audit della sicurezza della rete:<\/p>\n<ul>\n<li>audit della configurazione dell'attrezzatura (hardening)<\/li>\n<li>audit del design della sicurezza<\/li>\n<li>audit degli accessi<\/li>\n<li>audit dei processi<\/li>\n<\/ul>\n<p><\/p>\n<h1>Audit della configurazione dell'attrezzatura (hardening)<\/h1>\n<p>\nSembra che nella maggior parte dei casi questo sia il migliore punto di partenza per l'audit e il miglioramento della sicurezza della vostra rete. IMHO, \u00e8 una buona dimostrazione della legge di Pareto (il 20% degli sforzi porta l'80% dei risultati, mentre il restante 80% degli sforzi porta solo il 20% dei risultati). <\/p>\n<p>La sostanza \u00e8 che di solito abbiamo raccomandazioni dai fornitori riguardo le \u00abmigliori pratiche\u00bb per la sicurezza quando si configura l'attrezzatura. Questo \u00e8 chiamato \u201chardening\u201d.<\/p>\n<p>\u00c8 possibile anche incontrare un questionario (o crearne uno da soli) basato su queste raccomandazioni, che vi aiuterebbe a determinare quanto la configurazione delle vostre attrezzature corrisponda a queste \"best practices\" e, in base ai risultati, apportare modifiche alla vostra rete. Questo vi permetterebbe di ridurre notevolmente i rischi per la sicurezza, in modo piuttosto semplice e senza costi.<\/p>\n<blockquote><p>Alcuni esempi per alcuni sistemi operativi Cisco.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/ip\/access-lists\/13608-21.html\">Rafforzamento della Configurazione Cisco IOS<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tools.cisco.com\/security\/center\/resources\/increase_security_ios_xr_devices.html\">Rafforzamento della Configurazione Cisco IOS-XR<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tools.cisco.com\/security\/center\/resources\/securing_nx_os.html\">Rafforzamento della Configurazione Cisco NX-OS<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/Baseline_Security\/securebasebook\/appendxD.html\">Lista di Controllo della Sicurezza di Base Cisco<\/a><\/noindex><\/p>\n<p>Sulla base di questi documenti, potrebbe essere creato un elenco di requisiti di configurazione per ogni tipo di attrezzatura. Ad esempio, per Cisco N7K VDC, questi requisiti potrebbero apparire <noindex><a rel=\"nofollow\" href=\"https:\/\/www.dropbox.com\/s\/hnat6yriyptigzb\/7k_hard.xlsx?dl=0\">cos\u00ec<\/a><\/noindex>.<\/p><\/blockquote>\n<p>\nIn questo modo, possono essere creati file di configurazione per diversi tipi di apparecchiature attive nella vostra infrastruttura di rete. Successivamente, manualmente o utilizzando l'automazione, potete \"caricare\" questi file di configurazione. Come automatizzare questo processo sar\u00e0 trattato in un'altra serie di articoli dedicati all'orchestrazione e all'automazione.<\/p>\n<h1>Audit del design della sicurezza<\/h1>\n<p>\nDi solito, nella rete di un'impresa (enterprise network) si possono trovare, in un modo o nell'altro, i seguenti segmenti: <\/p>\n<ul>\n<li>DC (DMZ dei servizi pubblici e centro dati intranet)<\/li>\n<li>Accesso a Internet<\/li>\n<li>VPN di accesso remoto<\/li>\n<li>Edge WAN<\/li>\n<li>Branch<\/li>\n<li>Campus (Ufficio)<\/li>\n<li>Core<\/li>\n<\/ul>\n<p>\nI nomi sono tratti da <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> modello, ma non \u00e8 necessario, ovviamente, legarsi a questi nomi e a questo modello. Ci\u00f2 che conta \u00e8 parlare del contenuto senza perdersi nelle formalit\u00e0.<\/p>\n<p>Per ciascuno di questi segmenti, i requisiti di sicurezza, i rischi e, di conseguenza, le soluzioni varieranno.<\/p>\n<p>Esamineremo ciascuno di essi separatamente in merito ai problemi con cui potreste dover affrontare dal punto di vista del design della sicurezza. Sicuramente, come ripeto, questo articolo non ha la pretesa di essere esaustivo, raggiungere la completezza in questo tema davvero profondo e complesso \u00e8 difficile (se non impossibile), ma riflette la mia esperienza personale.<\/p>\n<p>Non ci sono soluzioni perfette (perlomeno al momento). Si tratta sempre di un compromesso. Ma \u00e8 importante che la scelta di applicare un approccio piuttosto che un altro sia fatta consapevolmente, comprendendo sia i suoi pro che i suoi contro.<\/p>\n<h2>Centro Dati<\/h2>\n<p>\nIl segmento pi\u00f9 critico dal punto di vista della sicurezza.<br \/>\nE, come al solito, anche qui non c'\u00e8 una soluzione universale. Tutto dipende fortemente dalle esigenze della rete. <\/p>\n<h3>\u00c8 necessario un firewall o no?<\/h3>\n<p>\nSembra semplice, ma la risposta non \u00e8 affatto cos\u00ec chiara come potrebbe sembrare. E la tua scelta potrebbe essere influenzata non solo da<b> il prezzo<\/b>. <\/p>\n<blockquote><p>Esempio 1. <b>Ritardi.<\/b><\/p>\n<p>Se tra alcuni segmenti di rete un basso ritardo \u00e8 un requisito fondamentale, come nel caso di una borsa valori, allora non potremo utilizzare firewall tra questi segmenti. \u00c8 difficile trovare ricerche sui ritardi nei firewall, ma solo pochi modelli di switch possono fornire ritardi inferiori o circa 1 microsecondo, quindi, penso che se i microsecondi sono significativi per te, i firewall non fanno per te.<\/p><\/blockquote>\n<blockquote><p>Esempio 2. <b>Prestazioni.<\/b><\/p>\n<p>La larghezza di banda dei migliori switch L3 \u00e8 generalmente di un ordine di grandezza superiore rispetto alla larghezza di banda dei firewall pi\u00f9 performanti. Pertanto, in caso di traffico altamente intensivo, dovrai anche molto probabilmente bypassare i firewall.<\/p><\/blockquote>\n<p><\/p>\n<blockquote><p>Esempio 3. <b>Affidabilit\u00e0.<\/b><\/p>\n<p>I firewall, soprattutto i moderni NGFW (Next-Generation FW), sono dispositivi complessi. Sono significativamente pi\u00f9 complessi degli switch L3\/L2. Offrono un gran numero di servizi e possibilit\u00e0 di configurazione, quindi non sorprende che la loro affidabilit\u00e0 sia notevolmente inferiore. Se la continuit\u00e0 del servizio \u00e8 critica per la rete, dovrai forse scegliere ci\u00f2 che garantir\u00e0 la migliore disponibilit\u00e0: la protezione tramite firewall o la semplicit\u00e0 di una rete costruita su switch (o vari tipi di fabbriche) utilizzando ACL standard.<\/p><\/blockquote>\n<p> Nel caso degli esempi sopra citati, probabilmente (come al solito) dovrai trovare un compromesso. Dai un\u2019occhiata alle seguenti soluzioni: <\/p>\n<ul>\n<li>se hai deciso di non utilizzare firewall all'interno del data center, devi pensare a come limitare al massimo gli accessi perimetrali. Ad esempio, puoi aprire solo le porte necessarie da Internet (per il traffico dei client) e concedere accessi amministrativi al data center solo da host di accesso. Su questi host, eseguire tutti i controlli necessari (autenticazione\/autorizzazione, antivirus, registrazione, \u2026)<\/li>\n<li>puoi utilizzare una suddivisione logica della rete del data center in segmenti, simile allo schema descritto in PSEFABRIC. <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nihole\/PSEFABRIC\/wiki\/p002-design\">esempio p002<\/a><\/noindex>. In questo modo, la routing deve essere impostata in modo tale che il traffico sensibile alla latenza o il traffico ad alta intensit\u00e0 circoli \u00aball'interno\u00bb di un segmento (nel caso di p002, VRF) e non passi attraverso il firewall. Il traffico tra segmenti diversi continuer\u00e0 invece a passare attraverso il firewall. \u00c8 anche possibile utilizzare il route leaking tra i VRF per evitare che il traffico venga reindirizzato attraverso il firewall.<\/li>\n<li>\u00c8 inoltre possibile utilizzare il firewall in modalit\u00e0 trasparente e solo per le VLAN in cui questi fattori (latenza \/ prestazioni) non sono significativi. Ma \u00e8 necessario esaminare attentamente i vincoli associati all'uso di questa modalit\u00e0 per ogni fornitore.<\/li>\n<li>Potete considerare l'implementazione di un'architettura di service chain. Questo permetter\u00e0 di indirizzare attraverso il firewall solo il traffico necessario. Teoricamente sembra bello, ma non ho mai visto questa soluzione in produzione. Abbiamo testato la service chain per Cisco ACI \/ Juniper SRX \/ F5 LTM circa 3 anni fa, ma a quel tempo questa soluzione ci \u00e8 sembrata \u00abgrezza\u00bb.<\/li>\n<\/ul>\n<p><\/p>\n<h3>Livello di protezione<\/h3>\n<p>\nOra \u00e8 necessario rispondere alla domanda su quali strumenti si desidera utilizzare per filtrare il traffico. Ecco alcune delle possibilit\u00e0 che di solito sono presenti negli NGFW (ad esempio, <noindex><a rel=\"nofollow\" href=\"https:\/\/docs.paloaltonetworks.com\/pan-os\/8-0\/pan-os-admin\/policy\/security-profiles.html\">qui<\/a><\/noindex>):<\/p>\n<ul>\n<li>firewalling stateful (per impostazione predefinita)<\/li>\n<li>firewalling delle applicazioni<\/li>\n<li>prevenzione delle minacce (antivirus, anti-spyware e vulnerabilit\u00e0)<\/li>\n<li>filtraggio URL<\/li>\n<li>filtraggio dati (filtraggio dei contenuti)<\/li>\n<li>blocco file (blocco dei tipi di file)<\/li>\n<li>protezione dos<\/li>\n<\/ul>\n<p>\nE non \u00e8 tutto cos\u00ec chiaro. Sembra che, maggiore \u00e8 il livello di protezione, meglio \u00e8. Ma \u00e8 necessario tenere anche conto che<\/p>\n<ul>\n<li>maggiore \u00e8 il numero delle funzioni sopra menzionate del firewall che si utilizzano, naturalmente, sar\u00e0 pi\u00f9 costoso (licenze, moduli aggiuntivi).<\/li>\n<li>l'uso di alcuni algoritmi pu\u00f2 ridurre significativamente la capacit\u00e0 del firewall e aumentare le latenze, si veda ad esempio <noindex><a rel=\"nofollow\" href=\"https:\/\/www.paloaltonetworks.com\/products\/secure-the-network\/next-generation-firewall\/pa-7000-series\">qui<\/a><\/noindex><\/li>\n<li>come qualsiasi soluzione complessa, l'uso di metodi di protezione complessi pu\u00f2 ridurre l'affidabilit\u00e0 della vostra soluzione, ad esempio, con l'uso di application firewalling ho riscontrato il blocco di alcune applicazioni standard funzionanti (dns, smb).<\/li>\n<\/ul>\n<p>\nCome al solito, \u00e8 necessario trovare la soluzione ottimale per la propria rete.<\/p>\n<p>Non \u00e8 possibile rispondere in modo univoco alla questione su quali funzioni di protezione potrebbero essere necessarie. In primo luogo, perch\u00e9 dipende dai dati che stai trasferendo o memorizzando e che stai cercando di proteggere. In secondo luogo, in realt\u00e0, spesso la scelta dei mezzi di protezione \u00e8 una questione di fede e fiducia nel fornitore. Non conosci gli algoritmi, non sai quanto siano efficaci e non puoi testarli completamente. <\/p>\n<p>Pertanto, nei segmenti critici, una buona soluzione potrebbe essere l'utilizzo di offerte da diverse aziende. Ad esempio, puoi attivare un antivirus sul firewall, ma anche utilizzare una protezione antivirus (di un altro produttore) localmente sugli host.<\/p>\n<h3>Segmentazione<\/h3>\n<p>\nSi tratta di una segmentazione logica della rete del data center. Ad esempio, la suddivisione in VLAN e sottoreti \u00e8 anch'essa una segmentazione logica, ma non la considereremo per ovvie ragioni. \u00c8 interessante la segmentazione tenendo conto di entit\u00e0 come le aree di sicurezza FW, VRF (e i loro equivalenti per diversi fornitori), dispositivi logici (PA VSYS, Cisco N7K VDC, Cisco ACI Tenant, \u2026), \u2026<\/p>\n<blockquote><p>Un esempio di tale segmentazione logica e di un design di data center attualmente richiesto \u00e8 riportato in <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nihole\/PSEFABRIC\/wiki\/p002-design\">p002 del progetto PSEFABRIC<\/a><\/noindex>.<\/p><\/blockquote>\n<p> Definendo le parti logiche della tua rete, puoi quindi descrivere come si muove il traffico tra i diversi segmenti, su quali dispositivi verr\u00e0 effettuata la filtrazione e con quali mezzi.<\/p>\n<p>Se nella tua rete non c'\u00e8 una chiara suddivisione logica e non sono formalizzate le regole per l'applicazione delle politiche di sicurezza per i diversi flussi di dati, significa che, quando apri l'accesso a qualcosa, dovrai affrontare questa questione e, con grande probabilit\u00e0, lo farai ogni volta in modo diverso. <\/p>\n<p>Spesso la segmentazione si basa solo sulle aree di sicurezza FW. Dovrai quindi rispondere alle seguenti domande:<\/p>\n<ul>\n<li>quali aree di sicurezza ti servono<\/li>\n<li>quale livello di protezione vuoi applicare a ciascuna di queste aree <\/li>\n<li>il traffico intra-zona sar\u00e0 autorizzato per impostazione predefinita <\/li>\n<li>se no, quali politiche di filtrazione del traffico verranno applicate all'interno di ciascuna delle aree<\/li>\n<li>quali politiche di filtrazione del traffico verranno applicate a ciascuna coppia di aree (sorgente\/destinazione)<\/li>\n<\/ul>\n<p><\/p>\n<h3>TCAM<\/h3>\n<p>\nSpesso si verifica il problema della mancanza di TCAM (Ternary Content Addressable Memory), sia per il routing che per gli accessi. IMHO, questo \u00e8 uno dei problemi pi\u00f9 importanti nella scelta dell'hardware, quindi \u00e8 necessario affrontare questa questione con il giusto grado di attenzione.<\/p>\n<blockquote><p>Esempio 1. Tabella di inoltro TCAM.<\/p>\n<p>Esaminiamo <noindex>Palo Alto 7k<\/noindex> firewall.<br \/>\nPossiamo vedere che la dimensione della tabella di inoltro IPv4* = 32K<br \/>\nInoltre, questo numero di route \u00e8 totale per tutti i VSYS.<\/p>\n<p>Supponiamo che, secondo il vostro progetto, abbiate deciso di utilizzare 4 VSYS.<br \/>\nOgnuno di questi VSYS \u00e8 collegato via BGP a due PE dell'infrastruttura MPLS che state utilizzando come BB. Cos\u00ec, 4 VSYS si scambiano tutte le route specifiche tra di loro e hanno una tabella di inoltro con insiemi di route approssimativamente uguali (ma con NH diversi). Poich\u00e9 ogni VSYS ha 2 sessioni BGP (con impostazioni identiche), ogni route ricevuta tramite MPLS ha 2 NH e, di conseguenza, 2 registrazioni FIB nella Tabella di Inoltro. Se si suppone che questo sia l'unico firewall nel data center e che debba conoscere tutte le route, questo significherebbe che il numero totale di route nel nostro data center non pu\u00f2 superare 32K\/(4 * 2) = 4K. <\/p>\n<p>Ora, supponendo di avere 2 data center (con lo stesso design), e vogliamo utilizzare VLAN \"estese\" tra i data center (ad esempio, per vMotion), per risolvere il problema di instradamento dobbiamo utilizzare le rotte host. Ma questo significa che per i 2 data center avremo al massimo 4096 possibili host e, ovviamente, questo potrebbe non essere sufficiente.<\/p><\/blockquote>\n<blockquote><p>Esempio 2. TCAM ACL.<\/p>\n<p>Se intendete filtrare il traffico sui commutatori L3 (o su altre soluzioni che utilizzano commutatori L3, ad esempio, Cisco ACI), dovete prestare attenzione a TCAM ACL nella scelta dell'hardware.<\/p>\n<p>Supponiamo di voler controllare gli accessi sugli interfaccia SVI dei Cisco Catalyst 4500. Allora, come si pu\u00f2 vedere da <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/switches\/catalyst-4000-series-switches\/66978-tcam-cat-4500.html\">di questo articolo,<\/a><\/noindex>, per controllare il traffico in uscita (cos\u00ec come quello in ingresso) sulle interfacce potete utilizzare solo 4096 righe TCAM. Questo, utilizzando TCAM3, vi dar\u00e0 circa 4000 ACE (righe ACL).<\/p><\/blockquote>\n<p> Nel caso in cui si verifichi un problema di insufficienza di TCAM, prima di tutto \u00e8 necessario considerare l'ottimizzazione. Ad esempio, in caso di problemi con la dimensione della Forwarding Table, si dovrebbe valutare la possibilit\u00e0 di aggregare i percorsi. Se ci sono problemi con la dimensione del TCAM per gli accessi, \u00e8 necessario effettuare un audit degli accessi, rimuovere le voci obsolescenti e sovrapposte e forse rivedere la procedura di apertura degli accessi (questo sar\u00e0 trattato in dettaglio nel capitolo dedicato all'audit degli accessi).<\/p>\n<h3>Alta Disponibilit\u00e0<\/h3>\n<p>\nLa domanda \u00e8: utilizzare l'HA per i firewall oppure installare due apparecchiature indipendenti 'in parallelo' e, nel caso di un guasto di una di esse, reindirizzare il traffico attraverso la seconda?<\/p>\n<p>A prima vista, la risposta \u00e8 ovvia: utilizzare l'HA. Il motivo per cui questa domanda emerge \u00e8 che, sfortunatamente, il teorico e pubblicizzato 99 e qualche cifra dopo la virgola di percentuale di disponibilit\u00e0 nella pratica si rivela ben lontano dall'essere cos\u00ec ideale. L'HA \u00e8 un concetto logicamente piuttosto complesso e su diverse attrezzature e con diversi vendor (senza eccezioni) abbiamo riscontrato problemi, bug e interruzioni del servizio.<\/p>\n<p>Utilizzando l'HA, avrai la possibilit\u00e0 di spegnere nodi singoli e passare tra di essi senza interrompere il servizio, il che \u00e8 importante, ad esempio, durante gli aggiornamenti, ma hai una probabilit\u00e0 tutt'altro che nulla che entrambe le nodi si guastino contemporaneamente, cos\u00ec come il fatto che un ulteriore aggiornamento potrebbe non procedere cos\u00ec agevolmente come promesso dal fornitore (questo problema pu\u00f2 essere evitato se hai la possibilit\u00e0 di testare l'aggiornamento su attrezzature di laboratorio).<\/p>\n<p>Se non utilizzi l'HA, dal punto di vista di una rottura doppia, i tuoi rischi sono notevolmente inferiori (poich\u00e9 hai 2 firewall indipendenti), ma poich\u00e9 le sessioni non sono sincronizzate, ogni volta che c'\u00e8 un passaggio tra questi firewall perderai traffico. Certo, si pu\u00f2 utilizzare il firewalling stateless, ma in tal caso il senso dell'uso del firewall si perde in gran parte.<\/p>\n<p>Pertanto, se a seguito dell'audit hai scoperto firewall isolati e stai pensando di aumentare l'affidabilit\u00e0 della tua rete, l'HA \u00e8 sicuramente una delle soluzioni raccomandate, ma devi anche considerare i contro legati a questo approccio e, forse, per la tua rete un'altra soluzione potrebbe essere pi\u00f9 adatta.<\/p>\n<h3>Facilit\u00e0 di gestione (managability)<\/h3>\n<p>\nIn linea di principio, l'HA riguarda anche la gestibilit\u00e0. Invece di configurare 2 box separatamente e risolvere il problema della sincronizzazione delle configurazioni, le gestisci in gran parte come se avessi un unico dispositivo. <\/p>\n<p>Ma, forse, hai molti data center e molti firewall, allora questa questione si pone a un nuovo livello. E la questione non riguarda solo la configurazione, ma anche<\/p>\n<ul>\n<li>il backup delle configurazioni<\/li>\n<li>aggiornamenti<\/li>\n<li>upgrade<\/li>\n<li>monitoraggio<\/li>\n<li>logging<\/li>\n<\/ul>\n<p>\nE tutto ci\u00f2 pu\u00f2 essere risolto da sistemi di gestione centralizzati. <\/p>\n<blockquote><p>Ad esempio, se utilizzi i firewall Palo Alto, allora <noindex><a rel=\"nofollow\" href=\"https:\/\/www.paloaltonetworks.com\/products\/management\/panorama\">Panorama<\/a><\/noindex> \u00e8 una tale soluzione.\n<\/p><\/blockquote>\n<p>\n<i>Continua.<\/i><br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u041d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u043b\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 security \u0440\u0438\u0441\u043a\u043e\u0432. \u041c\u044b \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u043c \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0438\u0445 \u0434\u043e \u043d\u0443\u043b\u044f. \u0422\u0430\u043a\u0436\u0435 \u043d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u0438 \u0441\u0442\u0440\u0435\u043c\u043b\u0435\u043d\u0438\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0435\u0442\u044c \u0431\u043e\u043b\u0435\u0435 \u0438 \u0431\u043e\u043b\u0435\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043d\u0430\u0448\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23033,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31058","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.1.1 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\" \/>\n\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.1.1\" \/>\n\t\t<meta property=\"og:locale\" content=\"it_IT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Come prendere il controllo dell'infrastruttura di rete. Capitolo tre. Sicurezza di rete. Parte prima | ProHoster","description":"Questo articolo \u00e8 il terzo della serie di articoli \"Come prendere il controllo dell'infrastruttura di rete\".","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:39:12+00:00","article:modified_time":"2019-10-31T18:39:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31058","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 04:20:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:24:14","updated":"2026-01-21 04:20:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/31058","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=31058"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/31058\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/23033"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=31058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=31058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=31058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}