{"id":31395,"date":"2019-10-31T21:41:01","date_gmt":"2019-10-31T18:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\/"},"modified":"2019-10-31T21:41:01","modified_gmt":"2019-10-31T18:41:01","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","title":{"rendered":"Come prendere il controllo dell'infrastruttura di rete. Capitolo terzo. Sicurezza di rete. Parte terza","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Questo articolo \u00e8 il quinto di una serie di articoli intitolati \u00abCome controllare la rete\u00bb. Puoi trovare il contenuto di tutti gli articoli della serie e i collegamenti qui. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">qui<\/a><\/noindex><\/i>.<\/p>\n<p>Questa parte sar\u00e0 dedicata ai segmenti VPN Campus (Ufficio) e Accesso remoto. <\/p>\n<p><img decoding=\"async\" alt=\"Come prendere il controllo dell&#039;infrastruttura di rete. Capitolo terzo. Sicurezza di rete. Parte terza\" src=\"\/wp-content\/uploads\/2019\/04\/c20ea5e670105b5bf9b655a97b82f62f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPotrebbe sembrare che progettare una rete d'ufficio sia semplice. <\/p>\n<p>In effetti, prendiamo switch L2\/L3, li colleghiamo tra loro. Successivamente, eseguiamo una configurazione di base di VLAN, gateway predefiniti, attiviamo un semplice routing, colleghiamo controllori WiFi, punti di accesso, installiamo e configuriamo un ASA per accesso remoto, e siamo felici che tutto funzioni. Fondamentalmente, come ho gi\u00e0 scritto in uno dei precedenti articoli di questa serie, progettare e configurare una rete d'ufficio in modo che \u00abfunzioni in qualche modo\u00bb pu\u00f2 essere fatto da quasi ogni studente che ha seguito (e appreso) due semestri di un corso di telecomunicazioni. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">articoli<\/a><\/noindex> Ma pi\u00f9 si impara, meno facile sembra diventare questo compito. Personalmente, per me, questo tema, il design della rete d'ufficio, non sembra affatto semplice, e in questo articolo cercher\u00f2 di spiegare il perch\u00e9.<\/p>\n<p>Ma pi\u00f9 impari, meno semplice sembra questa attivit\u00e0. Personalmente, il tema della progettazione della rete d'ufficio non mi sembra affatto facile, e in questo articolo cercher\u00f2 di spiegare perch\u00e9.<\/p>\n<p>In breve, ci sono molti fattori da considerare. Spesso, questi fattori sono in conflitto tra loro e bisogna trovare un compromesso ragionevole. <br \/>\nQuesta incertezze \u00e8 la principale difficolt\u00e0. Parlando di sicurezza, abbiamo un triangolo con tre vertici: sicurezza, facilit\u00e0 per i dipendenti e prezzo della soluzione. <br \/>\nE ogni volta bisogna trovare un compromesso tra questi tre.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>Architettura<\/h2>\n<p>\nCome esempio di architettura per questi due segmenti, come in precedenti articoli, consiglio <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> modello: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap5.html#wpxref51616\">Enterprise Campus<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap6.html#wpxref74611\">Enterprise Internet Edge<\/a><\/noindex>.<\/p>\n<p>Questi sono documenti un po' datati. Li porto qui perch\u00e9 i principi e gli approcci non sono cambiati, ma mi piace di pi\u00f9 la loro esposizione rispetto alla <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">nuova documentazione.<\/a><\/noindex>.<\/p>\n<p>Senza incoraggiarvi a utilizzare necessariamente soluzioni Cisco, ritengo comunque utile esaminare attentamente questo design. <\/p>\n<p>Questo articolo, come al solito, pur non pretendendo di essere esaustivo, \u00e8 pi\u00f9 un complemento a queste informazioni. <\/p>\n<p>Alla fine dell'articolo, analizzeremo il design Cisco SAFE per l'ufficio alla luce dei concetti qui esposti.<\/p>\n<h2>Principi generali<\/h2>\n<p>\nIl design della rete aziendale deve naturalmente soddisfare i requisiti generali considerati <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">qui<\/a><\/noindex> nel capitolo \u00abCriteri di valutazione della qualit\u00e0 del design\u00bb. Oltre al prezzo e alla sicurezza, che discuteremo in questo articolo, ci sono ancora tre criteri che dobbiamo considerare durante la progettazione (o durante le modifiche):<\/p>\n<ul>\n<li>scalabilit\u00e0 (scalability)<\/li>\n<li>facilit\u00e0 di gestione (manageability)<\/li>\n<li>disponibilit\u00e0 (availability)<\/li>\n<\/ul>\n<p>\nMolto di quanto discusso per <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">di data center<\/a><\/noindex> valida anche per l'ufficio. <\/p>\n<p>Tuttavia, il segmento ufficio ha le sue specifiche, che sono critiche dal punto di vista della sicurezza. La sostanza di queste specifiche \u00e8 che questo segmento \u00e8 creato per fornire servizi di rete ai dipendenti (nonch\u00e9 ai partner e agli ospiti) dell\u2019azienda, e, di conseguenza, a un livello superiore, abbiamo due compiti:<\/p>\n<ul>\n<li>proteggere le risorse dell'azienda da attivit\u00e0 dannose che possono provenire dai dipendenti (ospiti, partner) e dai software che utilizzano. Questo include anche la protezione contro accessi non autorizzati alla rete. <\/li>\n<li>proteggere i sistemi e i dati degli utenti stessi<\/li>\n<\/ul>\n<p>\nE questa \u00e8 solo una faccia del problema (o meglio, un vertice del triangolo). Dall'altra parte c'\u00e8 il comfort dell'utente e il costo delle soluzioni adottate.<\/p>\n<p>Iniziamo esaminando cosa si aspetta un utente da una rete d'ufficio moderna. <\/p>\n<h2>Comfort<\/h2>\n<p>\nEcco come, secondo me, si presentano i \"comodit\u00e0 di rete\" per un utente d'ufficio:<\/p>\n<ul>\n<li>Mobilit\u00e0<\/li>\n<li>La possibilit\u00e0 di utilizzare l'intera gamma di dispositivi e sistemi operativi familiari<\/li>\n<li>Accesso facile a tutte le risorse necessarie dell'azienda <\/li>\n<li>Disponibilit\u00e0 delle risorse internet, comprese le varie soluzioni cloud<\/li>\n<li>\u00abVelocit\u00e0 di funzionamento\u00bb della rete<\/li>\n<\/ul>\n<p>\nTutto ci\u00f2 riguarda sia i dipendenti che gli ospiti (o partner), ed \u00e8 compito degli ingegneri dell'azienda, sulla base dell'autorizzazione, delimitare gli accessi per diversi gruppi di utenti.<\/p>\n<p>Esaminiamo pi\u00f9 da vicino ciascun aspetto.<\/p>\n<h3>Mobilit\u00e0<\/h3>\n<p>\nSi tratta della possibilit\u00e0 di lavorare e accedere a tutte le risorse necessarie dell'azienda da qualsiasi luogo nel mondo (naturalmente, dove \u00e8 disponibile internet).<\/p>\n<p>Questo vale anche per l'ufficio. \u00c8 comodo quando da qualsiasi punto dell'ufficio hai la possibilit\u00e0 di continuare a lavorare, ad esempio, ricevere email, comunicare nel messenger aziendale, essere disponibile per una videochiamata, ... In questo modo, ti consente da un lato di affrontare alcune questioni tramite comunicazione \"dal vivo\" (ad esempio, partecipare a incontri), e dall'altro di essere sempre online, avere il polso della situazione e risolvere rapidamente alcune urgenze ad alta priorit\u00e0. \u00c8 davvero comodo e migliora la qualit\u00e0 delle comunicazioni.<\/p>\n<p>Questo si ottiene con un design WiFi corretto.<\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Qui sorge solitamente la domanda: \u00e8 sufficiente utilizzare solo WiFi? Significa che si pu\u00f2 rinunciare all'uso delle porte Ethernet in ufficio? Se si parla solo di utenti e non di server, che \u00e8 comunque ragionevole collegare tramite una normale porta Ethernet, la risposta generale \u00e8: s\u00ec, si pu\u00f2 limitarsi a WiFi. Ma ci sono delle sfumature.<\/p>\n<p>Ci sono importanti gruppi di utenti che richiedono un approccio dedicato. Questo riguarda, ovviamente, gli amministratori. In generale, la connessione WiFi \u00e8 meno affidabile (perdita di traffico) e pi\u00f9 lenta rispetto a una porta Ethernet tradizionale. Questo pu\u00f2 essere cruciale per gli amministratori. Inoltre, gli amministratori di rete, ad esempio, potrebbero avere una rete Ethernet dedicata per connessioni out-of-band.<\/p>\n<p>\u00c8 probabile che nella vostra azienda ci siano altri gruppi\/dipartimenti per i quali anche questi fattori siano importanti.<\/p>\n<p>C'\u00e8 un altro punto importante: la telefonia. Potreste, per vari motivi, non voler utilizzare il Wireless VoIP e preferire utilizzare telefoni IP con connessione Ethernet tradizionale. <\/p>\n<p>In generale, nelle aziende in cui ho lavorato, c'era di solito la possibilit\u00e0 di connettersi sia via WiFi che tramite porta Ethernet.<\/p><\/blockquote>\n<p>\nMi piacerebbe che la mobilit\u00e0 non fosse limitata solo all'ufficio.<\/p>\n<p>Per garantire la possibilit\u00e0 di lavorare da casa (o da qualsiasi altro luogo con accesso a internet), si utilizza una connessione VPN. \u00c8 auspicabile che i dipendenti non percepiscano differenze tra lavorare da casa e lavorare in remoto, il che implica avere gli stessi accessi. Come organizzarci lo discuteremo pi\u00f9 avanti nel capitolo \"Sistema centralizzato di autenticazione e autorizzazione\".<\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Probabilmente non sarete in grado di offrire la stessa qualit\u00e0 dei servizi per il lavoro remoto che avete in ufficio. Supponiamo che stiate utilizzando Cisco ASA 5520 come gateway VPN. In base al <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/asa-5500-series-next-generation-firewalls\/data_sheet_c78-345385.html\">data sheet<\/a><\/noindex> questo dispositivo pu\u00f2 gestire solo 225 Mbit di traffico VPN. Questo significa che, chiaramente, dal punto di vista della capacit\u00e0, la connessione VPN \u00e8 molto diversa dal lavoro in ufficio. Inoltre, se per qualche motivo latenza, perdite e jitter (ad esempio, se desiderate utilizzare la telefonia IP dell'ufficio) sono significativi per i vostri servizi di rete, non potrete ottenere la stessa qualit\u00e0 come se foste in ufficio. Pertanto, parlando di mobilit\u00e0, dobbiamo tenere a mente i possibili limiti.<\/p><\/blockquote>\n<p><\/p>\n<h3>Accesso facile a tutte le risorse aziendali<\/h3>\n<p>\nQuesto compito deve essere affrontato insieme ad altri reparti tecnici.<br \/>\nLa situazione ideale \u00e8 quando l'utente deve autenticarsi solo una volta e successivamente ha accesso a tutte le risorse necessarie.<br \/>\nFornire un accesso facile senza compromettere la sicurezza pu\u00f2 notevolmente migliorare l'efficienza lavorativa e ridurre il livello di stress dei vostri colleghi.<\/p>\n<blockquote><p><b>Nota 1<\/b><\/p>\n<p>La facilit\u00e0 di accesso non riguarda solo quante volte devi inserire una password. Se, ad esempio, secondo la tua politica di sicurezza, per connetterti dall'ufficio al datacenter devi prima collegarti a un gateway VPN e, nel farlo, perdi l'accesso alle risorse dell'ufficio, questo \u00e8 davvero molto scomodo.\n<\/p><\/blockquote>\n<blockquote><p><b>Nota 2<\/b><\/p>\n<p>Esistono servizi (ad esempio, l'accesso all'hardware di rete) dove di solito abbiamo i nostri server AAA dedicati, ed \u00e8 normale dover effettuare l'autenticazione pi\u00f9 volte in questo caso.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Disponibilit\u00e0 delle risorse internet<\/h3>\n<p>\nInternet non \u00e8 solo intrattenimento, ma anche un insieme di servizi che possono essere molto utili per il lavoro. Ci sono anche fattori puramente psicologici. L'essere umano moderno \u00e8 legato a molte persone attraverso internet con tanti fili virtuali e, a mio avviso, non c'\u00e8 nulla di male se continua a sentire questo legame anche durante il lavoro.<\/p>\n<p>Dal punto di vista della perdita di tempo, non c'\u00e8 nulla di sbagliato se un dipendente ha, ad esempio, Skype aperto e spende 5 minuti per comunicare con una persona cara, se necessario.<\/p>\n<p>Significa che internet deve essere sempre accessibile? Significa che i dipendenti possono accedere a tutte le risorse senza alcun controllo?<\/p>\n<p>No, non significa necessariamente questo. Il livello di apertura di internet pu\u00f2 variare tra le diverse aziende, andando dalla completa chiusura alla completa apertura. Discuteremo pi\u00f9 avanti dei metodi di controllo del traffico nelle sezioni dedicate agli strumenti di protezione. <\/p>\n<h3>La possibilit\u00e0 di utilizzare tutta la gamma di dispositivi familiari<\/h3>\n<p>\n\u00c8 comodo quando, ad esempio, puoi continuare a utilizzare tutti gli strumenti di comunicazione a cui sei abituato anche sul lavoro. Non \u00e8 tecnicamente complicato implementare questo. Serve solo un WiFi e una VLAN ospite.<\/p>\n<p>\u00c8 anche positivo se c'\u00e8 la possibilit\u00e0 di utilizzare il sistema operativo con cui si \u00e8 abituati. Tuttavia, per mia esperienza, di solito questo \u00e8 permesso solo a manager, amministratori e sviluppatori. <\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<p>Certo, si pu\u00f2 optare per la strada dei divieti, vietare l'accesso remoto, proibire le connessioni da dispositivi mobili, limitare tutto a connessioni Ethernet statiche, restringere l'accesso a Internet, obbligare il ritiro di telefoni cellulari e gadget all'ingresso... e alcune organizzazioni con requisiti di sicurezza elevati intraprendono effettivamente questa strada, e forse in alcuni casi potrebbe anche essere giustificato, ma... ammettiamolo, sembra un tentativo di fermare il progresso all'interno di una singola organizzazione. Certamente, sarebbe auspicabile combinare le possibilit\u00e0 offerte dalle moderne tecnologie con un adeguato livello di sicurezza.<\/p><\/blockquote>\n<p><\/p>\n<h3>\u00abVelocit\u00e0 di funzionamento\u00bb della rete<\/h3>\n<p>\nLa velocit\u00e0 di trasferimento dati \u00e8 influenzata da molti fattori, e la velocit\u00e0 della tua porta di connessione non \u00e8 sempre il pi\u00f9 importante. Non sempre le prestazioni lente delle applicazioni sono collegate ai problemi di rete, ma qui ci occupiamo solo della parte di rete. Il problema pi\u00f9 comune di \"rallentamento\" della rete locale \u00e8 legato alla perdita di pacchetti. Questo di solito si verifica in caso di colli di bottiglia o problemi a livello L1 (OSI). Pi\u00f9 raramente, in alcune configurazioni (ad esempio, quando i firewall fungono da gateway predefiniti nelle tue sotto-reti e quindi tutto il traffico passa attraverso di essi), potrebbe esserci una carenza nelle prestazioni hardware. <\/p>\n<p>Pertanto, nella scelta dell'hardware e dell'architettura, devi allineare le velocit\u00e0 delle porte finali, dei trunk e delle prestazioni hardware.<\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<p>Supponiamo che tu stia utilizzando switch di accesso con porte da 1 gigabit. Tra di loro sono collegati tramite Etherchannel 2 x 10 gigabit. Come gateway predefinito utilizzi un firewall con porte da 1 gigabit, per il quale colleghi alla rete L2 dell'ufficio due porte da 1 gigabit, unite in Etherchannel. <\/p>\n<p>Questa architettura \u00e8 piuttosto comoda dal punto di vista funzionale, poich\u00e9 tutto il traffico passa attraverso il firewall, e puoi gestire comodamente le politiche di accesso e applicare algoritmi complessi per il controllo del traffico e la prevenzione di possibili attacchi (vedi oltre), ma dal punto di vista della larghezza di banda e delle prestazioni, questo design presenta sicuramente potenziali problemi. Ad esempio, due host che scaricano dati (alla velocit\u00e0 della porta di 1 gigabit) possono saturare completamente la connessione da 2 gigabit al firewall, portando cos\u00ec a una degradazione del servizio per l'intero segmento dell'ufficio.<\/p><\/blockquote>\n<p>\nAbbiamo esaminato un vertice del triangolo, ora vediamo quali mezzi possiamo utilizzare per garantire la sicurezza.<\/p>\n<h2>Mezzi di protezione<\/h2>\n<p>\nQuindi, naturalmente, il nostro desiderio (o meglio, il desiderio della nostra direzione) \u00e8 raggiungere l'impossibile, ovvero fornire il massimo comfort con la massima sicurezza e al prezzo pi\u00f9 contenuto.<\/p>\n<p>Esaminiamo quali sono i metodi a nostra disposizione per garantire la protezione.<\/p>\n<p>Per l'ufficio, evidenzierei i seguenti:<\/p>\n<ul>\n<li>approccio zero trust nel design<\/li>\n<li>alto livello di protezione <\/li>\n<li>visibilit\u00e0 di rete<\/li>\n<li>sistema centralizzato unificato di autenticazione e autorizzazione<\/li>\n<li>verifica dell'host (host checking) <\/li>\n<\/ul>\n<p>\nPassiamo ora a esplorare pi\u00f9 in dettaglio ciascuno di questi aspetti.<\/p>\n<h3>Zero Trust<\/h3>\n<p>\nIl mondo IT sta cambiando molto rapidamente. Negli ultimi 10 anni, l'emergere di nuove tecnologie e prodotti ha portato a una revisione significativa dei concetti di sicurezza. Dieci anni fa, da un punto di vista della sicurezza, segmentavamo la rete in zone trusted, DMZ e untrusted, e veniva applicata quella che si chiamava \"protezione perimetrale\", dove c'erano due linee di difesa: untrusted -&gt; DMZ e DMZ -&gt; trusted. Inoltre, la protezione era solitamente limitata a liste di accesso basate su intestazioni L3\/L4 (OSI) (IP, porte TCP\/UDP, flag TCP). Tutto ci\u00f2 che riguardava livelli pi\u00f9 alti, incluso L7, veniva delegato ai sistemi operativi e ai prodotti di sicurezza installati sugli host finali.<\/p>\n<p>Oggi la situazione \u00e8 cambiata radicalmente. Il concetto moderno di <noindex><a rel=\"nofollow\" href=\"https:\/\/doubleoctopus.com\/security-wiki\/network-architecture\/zero-trust\/\">zero trust<\/a><\/noindex> si basa sull'idea che non \u00e8 pi\u00f9 possibile considerare i sistemi interni, cio\u00e8 quelli situati all'interno del perimetro, come fidati, e il concetto stesso di perimetro \u00e8 diventato sfocato.<br \/>\nOltre alla connessione a Internet, abbiamo anche<\/p>\n<ul>\n<li>accesso remoto VPN per gli utenti<\/li>\n<li>vari dispositivi personali, laptop portatili, connessi tramite WiFi aziendale<\/li>\n<li>altri uffici (branch)<\/li>\n<li>integrazione con infrastrutture cloud <\/li>\n<\/ul>\n<p>\nCome si presenta l'approccio Zero Trust nella pratica?<\/p>\n<p>Idealmente, il traffico autorizzato dovrebbe essere solo quello necessario e, se parliamo di ideale, il controllo dovrebbe essere non solo a livello L3\/L4, ma anche a livello di applicazione. <\/p>\n<p>Se, ad esempio, avete la possibilit\u00e0 di far passare tutto il traffico attraverso un firewall, allora potete tentare di avvicinarvi all'ideale. Tuttavia, questo approccio pu\u00f2 ridurre significativamente la banda totale della vostra rete e inoltre la filtrazione a livello di applicazione non sempre funziona bene.<\/p>\n<p>Controllando il traffico su un router o uno switch L3 (utilizzando ACL standard) ci si scontra con altri problemi:<\/p>\n<ul>\n<li>si tratta solo di filtrazione L3\/L4. Niente impedisce a un malintenzionato di utilizzare porte autorizzate (ad esempio, TCP 80) per la propria applicazione (non http)<\/li>\n<li>gestione complessa delle ACL (difficile analizzare le ACL)<\/li>\n<li>non \u00e8 un firewall stateful, quindi \u00e8 necessario autorizzare esplicitamente il traffico di ritorno<\/li>\n<li>nel caso degli switch, solitamente si \u00e8 piuttosto limitati nelle dimensioni del TCAM, il che, applicando un approccio di \"autorizzare solo ci\u00f2 che serve\", pu\u00f2 rapidamente diventare un problema<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Parlando di traffico di ritorno, dobbiamo ricordare che abbiamo la seguente possibilit\u00e0 (Cisco) <\/p>\n<p>permetti tcp qualsiasi qualsiasi stabilito<\/p>\n<p>Ma bisogna capire che questa riga \u00e8 equivalente a due righe:<br \/>\npermetti tcp qualsiasi qualsiasi ack<br \/>\npermetti tcp qualsiasi qualsiasi rst<\/p>\n<p>Il che significa che anche se non c'\u00e8 stato un segmento TCP iniziale con il flag SYN (cio\u00e8 la sessione TCP non \u00e8 nemmeno iniziata), questo ACL consentir\u00e0 un pacchetto con il flag ACK, di cui un malintenzionato potrebbe approfittare per trasmettere dati.<\/p>\n<p>Quindi, questa riga non trasforma in alcun modo il tuo router o switch L3 in un firewall statefull.<\/p><\/blockquote>\n<p><\/p>\n<h3>. Nessuna azione sar\u00e0 eseguita senza la tua supervisione.<\/h3>\n<p>\nIn <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">articolo<\/a><\/noindex> Nella sezione dedicata ai data center, abbiamo esaminato i seguenti metodi di protezione.<\/p>\n<ul>\n<li>firewalling stateful (di default)<\/li>\n<li>protezione ddos\/dos<\/li>\n<li>firewalling applicativo<\/li>\n<li>prevenzione dalle minacce (antivirus, anti-spyware e vulnerabilit\u00e0)<\/li>\n<li>filtraggio URL<\/li>\n<li>filtraggio dati (filtraggio dei contenuti)<\/li>\n<li>blocco file (blocco dei tipi di file)<\/li>\n<\/ul>\n<p>\nNel caso dell'ufficio la situazione \u00e8 simile, ma le priorit\u00e0 sono leggermente diverse. La disponibilit\u00e0 dell'ufficio (availability) di solito non \u00e8 cos\u00ec critica come nel caso del data center, mentre la probabilit\u00e0 di traffico malevolo \u201cinterno\u201d \u00e8 di gran lunga superiore. <br \/>\nPertanto, i seguenti metodi di protezione per questo segmento diventano critici:<\/p>\n<ul>\n<li>firewalling applicativo<\/li>\n<li>prevenzione dalle minacce (antivirus, anti-spyware e vulnerabilit\u00e0)<\/li>\n<li>filtraggio URL<\/li>\n<li>filtraggio dati (filtraggio dei contenuti)<\/li>\n<li>blocco file (blocco dei tipi di file)<\/li>\n<\/ul>\n<p>\nSebbene tutti questi metodi di protezione, ad eccezione del firewalling delle applicazioni, siano tradizionalmente gestiti e continuino ad essere gestiti sui host finali (ad esempio, attraverso l'installazione di software antivirus) e tramite proxy, i moderni NGFW offrono anche questi servizi. <\/p>\n<p>I fornitori di apparecchiature di sicurezza si stanno orientando verso la creazione di una protezione integrata, quindi oltre alla protezione sulla scatola locale, vengono offerte varie tecnologie cloud e software client per host (end point protection \/ EPP). Ad esempio, dal <noindex><a rel=\"nofollow\" href=\"https:\/\/www.fairline.com.tw\/data\/editor\/files\/01%20%20Gartner%20-%20Magic%20Quad%20-%20Endpoint%20Protection%20Platforms%201-2018.pdf\">Quadrante Magico di Gartner (Gartner Magic Quadrant) del 2018<\/a><\/noindex> vediamo che Palo Alto e Cisco hanno i loro EPP (PA: Traps, Cisco: AMP), ma non sono affatto tra i leader.<\/p>\n<p>L'attivazione di queste protezioni (di solito tramite l'acquisto di licenze) sul firewall, ovviamente, non \u00e8 obbligatoria (\u00e8 possibile seguire il percorso tradizionale), ma offre alcuni vantaggi:<\/p>\n<ul>\n<li>in questo caso, si crea un'unica fonte di applicazione dei metodi di protezione, il che migliora la visibilit\u00e0 (vedi il prossimo tema). <\/li>\n<li>se nella tua rete \u00e8 presente un dispositivo non protetto, esso rientra comunque sotto il 'tetto' di protezione del firewall.<\/li>\n<li> utilizzando protezioni sul firewall insieme a quelle sugli host finali, aumentiamo la probabilit\u00e0 di rilevare traffico dannoso. Ad esempio, l'uso della prevenzione delle minacce sugli host locali e sul firewall aumenta la possibilit\u00e0 di rilevamento (ovviamente a condizione che alla base di queste soluzioni ci siano prodotti software diversi)<\/li>\n<\/ul>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Se, ad esempio, utilizzi Kaspersky come antivirus sia sul firewall che sugli host finali, \u00e8 chiaro che questo non aumenter\u00e0 significativamente le tue possibilit\u00e0 di prevenire un attacco virus nella tua rete.<\/p><\/blockquote>\n<p><\/p>\n<h3>Visibilit\u00e0 della rete<\/h3>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/blog.gigamon.com\/2017\/11\/01\/what-is-network-visibility\/\">L'idea principale<\/a><\/noindex> \u00e8 semplice \u2013 \u00abvedere\u00bb cosa succede nella tua rete, sia in tempo reale che nei dati storici. <\/p>\n<p>Divider\u00f2 questa \u00abvisione\u00bb in due gruppi:<\/p>\n<p><b>Primo gruppo:<\/b> ci\u00f2 che normalmente il tuo sistema di monitoraggio ti fornisce.<\/p>\n<ul>\n<li>carico delle apparecchiature<\/li>\n<li>carico dei canali<\/li>\n<li>utilizzo della memoria<\/li>\n<li>utilizzo dei dischi<\/li>\n<li>cambio della tabella di routing <\/li>\n<li>stato dei link<\/li>\n<li>disponibilit\u00e0 delle apparecchiature (o host)<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p><b>Secondo gruppo: <\/b>informazioni relative alla sicurezza.<\/p>\n<ul>\n<li>statistiche di vario genere (ad esempio, sulle applicazioni, sul traffico URL, quali tipi di dati sono stati scaricati, dati sugli utenti)<\/li>\n<li>cosa \u00e8 stato bloccato dalle politiche di sicurezza e per quale motivo, ossia\n<ul>\n<li>applicazione bloccata<\/li>\n<li>bloccata in base a ip\/protocollo\/porta\/bandiere\/zone<\/li>\n<li>prevenzione delle minacce<\/li>\n<li>filtraggio URL<\/li>\n<li>filtraggio dati<\/li>\n<li>blocco file<\/li>\n<li>&#8230;<\/li>\n<\/ul>\n<\/li>\n<li>statistiche sugli attacchi DOS\/DDOS<\/li>\n<li>tentativi di identificazione e autorizzazione falliti<\/li>\n<li>statistiche su tutti gli eventi sopra menzionati di violazione delle politiche di sicurezza<\/li>\n<li>&#8230;<\/li>\n<\/ul>\n<p>\nIn questo capitolo, dedicato alla sicurezza, ci interessa in particolare la seconda parte.<\/p>\n<p>Alcuni moderni firewall (dalla mia esperienza con Palo Alto) offrono un buon livello di visibilit\u00e0. Ma, ovviamente, il traffico che ti interessa deve passare attraverso questo firewall (in questo caso hai la possibilit\u00e0 di bloccare il traffico) o essere mirrorato sul firewall (utilizzato solo per monitoraggio e analisi), e devi avere le licenze che consentono di attivare tutti questi servizi.<\/p>\n<p>C'\u00e8, ovviamente, anche un percorso alternativo, anzi, un percorso tradizionale, ad esempio,<\/p>\n<ul>\n<li>Le statistiche sulle sessioni possono essere raccolte tramite netflow e successivamente utilizzare strumenti specializzati per l'analisi delle informazioni e la visualizzazione dei dati.<\/li>\n<li>prevenzione delle minacce \u2013 programmi specifici (anti-virus, anti-spyware, firewall) sui dispositivi finali.<\/li>\n<li>Filtraggio URL, filtraggio dati, blocco file \u2013 sui proxy.<\/li>\n<li>\u00c8 possibile anche analizzare tcpdump con, per esempio, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/268207\/\">snort.<\/a><\/noindex><\/li>\n<\/ul>\n<p>\nSi possono combinare questi due approcci, integrando le funzioni mancanti o duplicandole per aumentare la probabilit\u00e0 di rilevare un attacco.<\/p>\n<p>Quale approccio scegliere?<br \/>\nDipende molto dalle competenze e dalle preferenze del tuo team.<br \/>\nEntrambi hanno pro e contro.<\/p>\n<h3>Un sistema centralizzato unico di autenticazione e autorizzazione.<br \/>\n<\/h3>\n<p>\nCon un buon design, la mobilit\u00e0 di cui abbiamo parlato in questo articolo implica che hai gli stessi accessi lavorando dall'ufficio o da casa, dall'aeroporto, da un caff\u00e8 o da qualsiasi altro luogo (con le limitazioni di cui abbiamo discusso in precedenza). Qual \u00e8 quindi il problema? <br \/>\nPer comprendere meglio la complessit\u00e0 di questa sfida, consideriamo un design tipico.<\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<ul>\n<li>Hai diviso tutti i dipendenti in gruppi. Hai deciso di fornire accessi in base ai gruppi.<\/li>\n<li>All'interno dell'ufficio controlli l'accesso sul firewall dell'ufficio.<\/li>\n<li>Il traffico dall'ufficio al centro dati viene controllato sul firewall del centro dati.<\/li>\n<li>Come gateway VPN utilizzi Cisco ASA e per controllare il traffico in ingresso nella tua rete dai clienti dedicati, applichi ACL locali (sull'ASA).<\/li>\n<\/ul>\n<p>\nOra, supponiamo che ti venga chiesto di aggiungere un accesso aggiuntivo per un particolare dipendente. Ti viene richiesto di concedere l'accesso solo a lui e non a nessun altro del suo gruppo.<\/p>\n<p>Per fare ci\u00f2, dobbiamo creare un gruppo separato per questo dipendente, ovvero<\/p>\n<ul>\n<li>sull'ASA creare un pool IP separato per questo dipendente.<\/li>\n<li>aggiungere una nuova ACL sull'ASA e collegarla a questo cliente remoto.<\/li>\n<li>creare nuove policy di sicurezza sui firewall dell'ufficio e del centro dati.<\/li>\n<\/ul>\n<p>\nVa bene, se questo evento \u00e8 raro. Ma nella mia esperienza ci sono stati momenti in cui i dipendenti partecipavano a progetti diversi, e questo insieme di progetti cambiava piuttosto frequentemente per alcuni di loro, e non si trattava di 1-2 persone, ma di decine. Certamente, qui era necessario apportare delle modifiche.<\/p>\n<p>\u00c8 stato deciso nel seguente modo.<\/p>\n<p>Abbiamo deciso che l'unica fonte di verit\u00e0, che definisce tutti i possibili accessi per un dipendente, sar\u00e0 LDAP. Abbiamo creato vari gruppi che definiscono insiemi di accessi e ciascun utente \u00e8 stato associato a uno o pi\u00f9 gruppi. <\/p>\n<p>Ad esempio, supponiamo che ci siano gruppi <\/p>\n<ul>\n<li>guest (accesso a Internet)<\/li>\n<li>common access (accessi a risorse condivise: email, base di conoscenza, \u2026)<\/li>\n<li>accounting<\/li>\n<li>project 1<\/li>\n<li>project 2<\/li>\n<li>data base administrator<\/li>\n<li>linux administrator<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nE se qualcuno dei dipendenti fosse impegnato sia nel progetto 1 che nel progetto 2 e avesse bisogno degli accessi necessari per lavorare a questi progetti, quel dipendente verrebbe quindi associato ai gruppi corrispondenti:<\/p>\n<ul>\n<li>guest <\/li>\n<li>common access<\/li>\n<li>project 1<\/li>\n<li>project 2<\/li>\n<\/ul>\n<p>\nCome possiamo ora trasformare queste informazioni in accessi sull'hardware di rete? <\/p>\n<p>Cisco ASA Dynamic Access Policy (DAP) (vedi <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html\">www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html<\/a><\/noindex>) \u00e8 la soluzione adatta per questo compito.<\/p>\n<p>In breve, nella nostra implementazione, durante il processo di identificazione\/autenticazione, ASA riceve dal LDAP un insieme di gruppi corrispondenti a questo utente e \"compila\" da diverse ACL locali (ognuna delle quali corrisponde a un gruppo) un ACL dinamico con tutti gli accessi necessari, in totale accordo con le nostre richieste.<\/p>\n<p>Ma questo \u00e8 valido solo per le connessioni VPN. Per rendere la situazione identica sia per i dipendenti connessi tramite VPN che per quelli in ufficio, \u00e8 stato fatto il passo successivo. <\/p>\n<p>Quando ci si connette dall'ufficio, gli utenti, mediante il protocollo 802.1x, venivano indirizzati o nella VLAN per gli ospiti (per gli ospiti stessi), o in una VLAN con accessi condivisi (per i dipendenti dell'azienda). Successivamente, per ottenere accessi specifici (ad esempio, ai progetti nel data center), i dipendenti dovevano connettersi tramite VPN.<\/p>\n<p>Per le connessioni dall'ufficio e da casa, sono stati utilizzati gruppi di tunnel diversi su ASA. Questo \u00e8 necessario affinch\u00e9 il traffico degli utenti connessi dall'ufficio verso le risorse condivise (utilizzate da tutti i dipendenti, come e-mail, server file, sistema di ticket, dns, ...) non venga instradato attraverso ASA, ma attraverso la rete locale. In questo modo, non sovraccarichiamo l'ASA con traffico aggiuntivo, incluso quello ad alta intensit\u00e0.<\/p>\n<p>Cos\u00ec, il problema \u00e8 stato risolto. <br \/>\nAbbiamo ottenuto <\/p>\n<ul>\n<li>un set di accessi identico, sia per le connessioni dall'ufficio che per quelle remote<\/li>\n<li>l'assenza di degrado del servizio durante l'uso dall'ufficio, legata alla trasmissione di traffico intenso attraverso ASA<\/li>\n<\/ul>\n<p>\nQual \u00e8 un altro vantaggio di questo approccio?<br \/>\nNell'amministrazione degli accessi. Gli accessi possono essere modificati facilmente, in un solo luogo.<br \/>\nAd esempio, se un dipendente lascia l'azienda, basta rimuoverlo da LDAP e perder\u00e0 automaticamente tutti gli accessi.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Controllo host (host checking)<\/h3>\n<p>\nCon la possibilit\u00e0 di connessione remota, corriamo il rischio di introdurre nella rete non solo il dipendente dell'azienda, ma anche tutto il software malevolo che pu\u00f2 essere presente sul suo computer (ad esempio, quello domestico), e, ulteriormente, attraverso questo software possiamo aprire l'accesso alla nostra rete a un attaccante che utilizza questo host come proxy.<\/p>\n<p>\u00c8 saggio applicare gli stessi requisiti di sicurezza per un host connesso in remoto come per un host situato in ufficio.<\/p>\n<p>Questo include la necessit\u00e0 di avere la 'versione corretta' del sistema operativo, antivirus, antispyware e software firewall e dei relativi aggiornamenti. Di norma, questa possibilit\u00e0 esiste presso il gateway VPN (per ASA, vedere ad esempio, <noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/how-to-configure-anyconnect-host-scan\/ta-p\/3118732\">qui<\/a><\/noindex>).<\/p>\n<p>\u00c8 anche saggio applicare gli stessi metodi di analisi e blocco del traffico (vedi 'Alto livello di protezione'), secondo quanto stabilito dalla vostra politica di sicurezza per il traffico dell'ufficio. <\/p>\n<p>\u00c8 saggio presumere che ora la vostra rete d'ufficio non sia limitata all'edificio dell'ufficio e agli host in esso.<\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<p>Una buona strategia \u00e8 fornire a ogni dipendente che necessita di accesso remoto un buon laptop comodo e richiedere che lavori da esso sia in ufficio che da casa.<\/p>\n<p>Questo non solo aumenta il livello di sicurezza della rete, ma \u00e8 anche molto conveniente e solitamente viene percepito positivamente dai dipendenti (se si tratta davvero di un buon e comodo laptop).<\/p><\/blockquote>\n<p><\/p>\n<h2>Il senso della misura e dell'equilibrio<\/h2>\n<p>\nIn sostanza, si tratta della terza vertice del nostro triangolo: il prezzo.<br \/>\nFacciamo un esempio ipotetico.<\/p>\n<blockquote><p><b>Esempio<\/b><\/p>\n<p>Hai un ufficio con 200 persone. Hai deciso di renderlo il pi\u00f9 comodo e sicuro possibile.<\/p>\n<p>Pertanto, hai deciso di far passare tutto il traffico attraverso un firewall e cos\u00ec per tutte le sottoreti dell'ufficio il firewall \u00e8 il gateway predefinito. Oltre al software di sicurezza installato su ogni host finale (software antivirus, antimalware e firewall), hai anche deciso di applicare tutti i possibili metodi di protezione sul firewall.<\/p>\n<p>Per garantire un'alta velocit\u00e0 di connessione (tutto per comodit\u00e0), come switch di accesso avete scelto switch con porte di accesso da 10 gigabit, mentre come firewall \u2014 firewall NGFW ad alte prestazioni, come i Palo Alto della serie 7K (con porte da 40 gigabit), naturalmente con tutte le licenze attive e, naturalmente, in configurazione High Availability.<\/p>\n<p>Inoltre, ovviamente, per gestire questa gamma di attrezzature abbiamo bisogno di almeno un paio di ingegneri della sicurezza altamente qualificati.<\/p>\n<p>In seguito, avete deciso di fornire a ogni dipendente un buon laptop.<\/p>\n<p>In totale, circa 10 milioni di dollari per il progetto, centinaia di migliaia di dollari (credo pi\u00f9 vicino al milione) per il supporto annuale e per le retribuzioni degli ingegneri.<\/p>\n<p>Ufficio, 200 persone\u2026<br \/>\nComodo? Probabilmente, s\u00ec. <\/p>\n<p>Portate questa proposta alla vostra direzione\u2026<br \/>\nForse ci sono alcune aziende nel mondo per le quali questa \u00e8 una soluzione accettabile e corretta. Se siete un dipendente di questa azienda \u2014 congratulazioni, ma nella stragrande maggioranza dei casi, sono certo che le vostre competenze non saranno apprezzate dalla direzione.<\/p><\/blockquote>\n<p>\n\u00c8 stato esagerato questo esempio? Il prossimo capitolo offrir\u00e0 una risposta a questa domanda.<\/p>\n<p>Se nella vostra rete non vedete nulla di quanto sopra, \u00e8 normale.<br \/>\nPer ogni caso specifico, \u00e8 necessario trovare un compromesso ragionevole tra comodit\u00e0, prezzo e sicurezza. Spesso non \u00e8 nemmeno richiesta una NGFW nel vostro ufficio e la protezione L7 su un firewall non \u00e8 necessaria. \u00c8 sufficiente garantire un buon livello di visibilit\u00e0 e avvisi, e questo pu\u00f2 essere realizzato utilizzando prodotti open source, per esempio. S\u00ec, la vostra reazione a un attacco non sar\u00e0 immediata, ma l'importante \u00e8 che lo vediate e, con i giusti processi nel vostro dipartimento, sarete in grado di neutralizzarlo rapidamente.<\/p>\n<p>E, ricordo che, secondo l'intento di questo ciclo di articoli, non state progettando una rete, state solo cercando di migliorare ci\u00f2 che avete ricevuto.<\/p>\n<h2>Analisi dell'architettura SAFE dell'ufficio<\/h2>\n<p>\nFate attenzione a questo quadrato rosso, con cui ho evidenziato il punto nella mappa di <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-secure-campus.pdf\">Guida all'architettura sicura del campus SAFE<\/a><\/noindex>, che vorrei discutere qui.<\/p>\n<p><img decoding=\"async\" alt=\"Come prendere il controllo dell&#039;infrastruttura di rete. Capitolo terzo. Sicurezza di rete. Parte terza\" src=\"\/wp-content\/uploads\/2019\/04\/617b6561b6ebb17d4f015251abcadf9b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nQuesto \u00e8 uno dei punti chiave dell'architettura ed \u00e8 una delle incertezze pi\u00f9 importanti.<\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Non ho mai configurato n\u00e9 lavorato con FirePower (della linea di firewall Cisco \u2014 soltanto con ASA), quindi lo considerer\u00f2 come qualsiasi altro firewall, ad esempio Juniper SRX o Palo Alto, supponendo che abbia le stesse funzionalit\u00e0.<\/p><\/blockquote>\n<p>\nDalle configurazioni standard, vedo solo 4 possibili modi di utilizzare il firewall in questa connessione:<\/p>\n<ul>\n<li>il gateway predefinito per ogni sottorete \u00e8 lo switch, mentre il firewall \u00e8 in modalit\u00e0 trasparente (cio\u00e8 tutto il traffico passa attraverso di esso, ma non crea un hop L3)<\/li>\n<li>il gateway predefinito per ogni sottorete sono i sotto-interfacce del firewall (o interfacce SVI), mentre lo switch svolge un ruolo L2<\/li>\n<li>sullo switch vengono utilizzati diversi VRF, e il traffico tra i VRF passa attraverso il firewall, mentre il traffico all'interno di un singolo VRF \u00e8 controllato da ACL nello switch<\/li>\n<li>tutto il traffico \u00e8 duplicato sul firewall per analisi e monitoraggio, ma non passa attraverso di esso<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Nota 1<\/b><\/p>\n<p>Sono possibili combinazioni di questi modi, ma per semplicit\u00e0 non le prenderemo in considerazione.<\/p><\/blockquote>\n<blockquote><p><b>Nota2<\/b><\/p>\n<p>C'\u00e8 anche la possibilit\u00e0 di utilizzare PBR (architettura della service chain), ma al momento, sebbene sia una soluzione esteticamente gradevole, \u00e8 pi\u00f9 un'esoticit\u00e0, quindi non la prendo in considerazione qui.<\/p><\/blockquote>\n<p>\nDalla descrizione dei flussi nel documento vediamo che il traffico passa attraverso il firewall, quindi, secondo il design Cisco, la quarta opzione non \u00e8 valida.<\/p>\n<p>Consideriamo prima i primi due scenari.<br \/>\nCon queste opzioni, tutto il traffico passa attraverso il firewall.<\/p>\n<p>Ora vediamo <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/collateral\/security\/firepower-ngfw\/data_sheet-c78-736661.html\">data sheet<\/a><\/noindex>, vediamo <noindex><a rel=\"nofollow\" href=\"https:\/\/itprice.com\">Cisco GPL<\/a><\/noindex> e vediamo che se vogliamo avere una larghezza di banda totale per il nostro ufficio di almeno 10 \u2014 20 gigabit, dobbiamo acquistare la versione 4K.<\/p>\n<blockquote><p><b>Nota<\/b><\/p>\n<p>Quando parlo di larghezza di banda totale intendo il traffico tra sottoreti (non all'interno di un singolo VLAN).<\/p><\/blockquote>\n<p>\nDalla GPL vediamo che per il pacchetto HA Bundle con Threat Defense il prezzo varia a seconda del modello (4110 \u2014 4150) da ~0,5 a 2,5 milioni di dollari.<\/p>\n<p>Quindi il nostro design inizia a somigliare all'esempio precedente.<\/p>\n<p>Significa che questo design \u00e8 errato?<br \/>\nNo, non significa. Cisco offre la massima protezione possibile basata sulla gamma di prodotti che ha. Ma questo non implica che sia un \"must-do\" per voi. <\/p>\n<p>In linea di principio, si tratta di una questione comune che sorge durante la progettazione di un ufficio o di un data center, e significa semplicemente che \u00e8 necessario cercare un compromesso. <\/p>\n<p>Ad esempio, non \u00e8 necessario far passare tutto il traffico attraverso il firewall, e in questo caso la terza opzione mi sembra piuttosto interessante, oppure (vedi la sezione precedente), potrebbe essere che non hai bisogno di \"Threat Defense\" o addirittura non hai bisogno di un firewall in questo segmento di rete, e puoi limitarti a un monitoraggio passivo utilizzando soluzioni a pagamento (non costose) o open source, oppure necessiti di un firewall ma di un fornitore diverso.<\/p>\n<p>Di solito c'\u00e8 sempre questa incertezza e non c'\u00e8 una risposta chiara su quale soluzione sia la migliore per te.<br \/>\nIn questa complessit\u00e0 risiede la bellezza di questa sfida.<br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447610\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 Campus (Office) &amp; Remote access VPN \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430\u043c. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u0434\u0438\u0437\u0430\u0439\u043d \u043e\u0444\u0438\u0441\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u2013 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0431\u0435\u0440\u0435\u043c L2\/L3 \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u044b, \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0435\u043c \u0438\u0445 \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439. \u0414\u0430\u043b\u0435\u0435, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u0430\u0440\u043d\u0443\u044e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23359,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31395","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.0.1 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.0.1\" \/>\n\t\t<meta property=\"og:locale\" content=\"it_IT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Come prendere il controllo della rete. Capitolo terzo. Sicurezza della rete. Parte terza | ProHoster","description":"Questo articolo \u00e8 il quinto di una serie di articoli \"Come prendere il controllo della propria infrastruttura di rete\".","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:41:01+00:00","article:modified_time":"2019-10-31T18:41:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31395","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 05:58:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:17:26","updated":"2026-01-21 05:58:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/31395","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=31395"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/31395\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/23359"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=31395"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=31395"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=31395"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}