როგორ აიღოთ თქვენი ქსელის ინფრასტრუქტურის კონტროლი. თავი მესამე. ქსელის უსაფრთხოება. ნაწილი მესამე

ეს სტატია არის მეხუთე სერიიდან „როგორ აიღოთ კონტროლი თქვენი ქსელის ინფრასტრუქტურაზე“. სერიის ყველა სტატიის შინაარსი და ბმულები შეგიძლიათ იხილოთ აქ.

ეს ნაწილი დაეთმობა კამპუსის (ოფისის) და დისტანციური წვდომის VPN სეგმენტებს.

საოფისე ქსელის დიზაინი შეიძლება მარტივი ჩანდეს.

მართლაც, ვიღებთ L2/L3 გადამრთველებს და ვუკავშირდებით ერთმანეთს. შემდეგი, ჩვენ ვახორციელებთ ვილანების და ნაგულისხმევი კარიბჭეების ძირითად დაყენებას, ვაყენებთ მარტივ მარშრუტიზაციას, ვაკავშირებთ WiFi კონტროლერებს, წვდომის წერტილებს, ვაინსტალირებთ და ვაკონფიგურირებთ ASA დისტანციური წვდომისთვის, მოხარულები ვართ, რომ ყველაფერი მუშაობდა. ძირითადად, როგორც უკვე დავწერე ერთ-ერთ წინაში სტატიები ამ ციკლის თითქმის ყველა სტუდენტს, ვინც დაესწრო (და ისწავლა) ტელეკომის კურსის ორი სემესტრი, შეუძლია შექმნას და დააკონფიგურიროს საოფისე ქსელი ისე, რომ ის „რაღაც იმუშაოს“.

მაგრამ რაც უფრო მეტს სწავლობთ, მით უფრო ნაკლებად მარტივია ეს ამოცანა. პირადად ჩემთვის ეს თემა, საოფისე ქსელის დიზაინის თემა სულაც არ მეჩვენება მარტივი და ამ სტატიაში შევეცდები აგიხსნათ რატომ.

მოკლედ, გასათვალისწინებელია საკმაოდ ბევრი ფაქტორი. ხშირად ეს ფაქტორები ეწინააღმდეგება ერთმანეთს და საჭიროა გონივრული კომპრომისის მოძიება.
ეს გაურკვევლობა არის მთავარი სირთულე. ასე რომ, უსაფრთხოებაზე საუბრისას, ჩვენ გვაქვს სამკუთხედი სამი წვერით: უსაფრთხოება, კომფორტი თანამშრომლებისთვის, გადაწყვეტის ფასი.
და ყოველ ჯერზე თქვენ უნდა ეძებოთ კომპრომისი ამ სამს შორის.

არქიტექტურა

როგორც ამ ორი სეგმენტის არქიტექტურის მაგალითი, როგორც წინა სტატიებში, გირჩევთ Cisco SAFE მოდელი: საწარმო კამპუსი, Enterprise Internet Edge.

ეს არის გარკვეულწილად მოძველებული დოკუმენტები. მე მათ აქ წარმოგიდგენთ, რადგან ფუნდამენტური სქემები და მიდგომა არ შეცვლილა, მაგრამ ამავდროულად მე უფრო მომწონს პრეზენტაცია, ვიდრე ახალი დოკუმენტაცია.

Cisco-ს გადაწყვეტილებების გამოყენების წახალისების გარეშე, მე მაინც ვფიქრობ, რომ სასარგებლოა ამ დიზაინის გულდასმით შესწავლა.

ეს სტატია, ჩვეულებისამებრ, არანაირად არ წარმოადგენს სრულყოფილებას, არამედ ამ ინფორმაციის დამატებას წარმოადგენს.

სტატიის ბოლოს ჩვენ გავაანალიზებთ Cisco SAFE ოფისის დიზაინს აქ ასახული კონცეფციების თვალსაზრისით.

ზოგადი პრინციპები

საოფისე ქსელის დიზაინი, რა თქმა უნდა, უნდა აკმაყოფილებდეს განხილულ ზოგად მოთხოვნებს აქ თავში „პროექტის ხარისხის შეფასების კრიტერიუმები“. ფასისა და უსაფრთხოების გარდა, რომელთა განხილვას ამ სტატიაში ვაპირებთ, ჯერ კიდევ არსებობს სამი კრიტერიუმი, რომელიც უნდა გავითვალისწინოთ დიზაინის (ან ცვლილებების შეტანისას):

• მასშტაბურობა
• გამოყენების სიმარტივე (მართვა)
• ხელმისაწვდომობა

ბევრი რაზეც იყო განხილული მონაცემთა ცენტრები ეს ასევე ეხება ოფისს.

მაგრამ მაინც, ოფისის სეგმენტს აქვს საკუთარი სპეციფიკა, რომელიც კრიტიკულია უსაფრთხოების თვალსაზრისით. ამ სპეციფიკის არსი ის არის, რომ ეს სეგმენტი შექმნილია კომპანიის თანამშრომლებისთვის (ასევე პარტნიორებისა და სტუმრებისთვის) ქსელური სერვისების უზრუნველსაყოფად და, შედეგად, პრობლემის განხილვის უმაღლეს დონეზე გვაქვს ორი ამოცანა:

• დაიცავით კომპანიის რესურსები მავნე ქმედებებისგან, რომლებიც შეიძლება მოდიოდეს თანამშრომლებისგან (სტუმრები, პარტნიორები) და მათ მიერ გამოყენებული პროგრამული უზრუნველყოფისგან. ეს ასევე მოიცავს დაცვას ქსელთან არაავტორიზებული კავშირისგან.
• დაიცავით სისტემები და მომხმარებლის მონაცემები

და ეს პრობლემის მხოლოდ ერთი მხარეა (უფრო სწორად, სამკუთხედის ერთი წვერო). მეორე მხარეს არის მომხმარებლის მოხერხებულობა და გამოყენებული გადაწყვეტილებების ფასი.

დავიწყოთ იმით, თუ რას ელის მომხმარებელი თანამედროვე საოფისე ქსელისგან.

ობიექტები

აი, როგორ გამოიყურება "ქსელის კეთილმოწყობა" ოფისის მომხმარებლისთვის, ჩემი აზრით:

• მობილობა
• ნაცნობი მოწყობილობებისა და ოპერაციული სისტემების სრული სპექტრის გამოყენების შესაძლებლობა
• მარტივი წვდომა კომპანიის ყველა საჭირო რესურსზე
• ინტერნეტ რესურსების ხელმისაწვდომობა, სხვადასხვა ღრუბლოვან სერვისების ჩათვლით
• ქსელის „სწრაფი მუშაობა“.

ეს ყველაფერი ეხება როგორც თანამშრომლებს, ასევე სტუმრებს (ან პარტნიორებს) და კომპანიის ინჟინრების ამოცანაა განასხვავონ წვდომა მომხმარებლის სხვადასხვა ჯგუფებისთვის ავტორიზაციის საფუძველზე.

მოდით შევხედოთ თითოეულ ამ ასპექტს ცოტა უფრო დეტალურად.

მობილობა

ჩვენ ვსაუბრობთ შესაძლებლობაზე ვიმუშაოთ და გამოიყენოთ კომპანიის ყველა საჭირო რესურსი მსოფლიოს ნებისმიერი ადგილიდან (რა თქმა უნდა, სადაც ინტერნეტი არის ხელმისაწვდომი).

ეს სრულად ეხება ოფისს. ეს მოსახერხებელია, როცა გაქვს შესაძლებლობა გააგრძელო მუშაობა ოფისის ნებისმიერი ადგილიდან, მაგალითად, მიიღო ფოსტა, დაუკავშირდე კორპორატიულ მესენჯერში, იყოთ ხელმისაწვდომი ვიდეო ზარისთვის,... ამრიგად, ეს საშუალებას გაძლევთ, ერთი მხრივ, ზოგიერთი საკითხის გადასაჭრელად „ცოცხალი“ კომუნიკაცია (მაგალითად, მიტინგებში მონაწილეობა), ხოლო მეორეს მხრივ, იყავით ყოველთვის ონლაინ, დაიჭირეთ თითი პულსზე და სწრაფად მოაგვარეთ გადაუდებელი, მაღალი პრიორიტეტული ამოცანები. ეს ძალიან მოსახერხებელია და ნამდვილად აუმჯობესებს კომუნიკაციის ხარისხს.

ეს მიიღწევა WiFi ქსელის სწორი დიზაინით.

შენიშვნა:

აქ ჩვეულებრივ ჩნდება კითხვა: საკმარისია მხოლოდ WiFi-ის გამოყენება? ნიშნავს თუ არა ეს, რომ შეგიძლიათ შეწყვიტოთ Ethernet პორტების გამოყენება ოფისში? თუ ჩვენ ვსაუბრობთ მხოლოდ მომხმარებლებზე და არა სერვერებზე, რომლებიც ჯერ კიდევ გონივრულია ჩვეულებრივ Ethernet პორტთან დასაკავშირებლად, მაშინ ზოგადად პასუხი არის: დიახ, შეგიძლიათ შემოიფარგლოთ მხოლოდ WiFi-ით. მაგრამ არის ნიუანსი.

არსებობს მომხმარებელთა მნიშვნელოვანი ჯგუფები, რომლებიც საჭიროებენ ცალკე მიდგომას. რა თქმა უნდა, ესენი არიან ადმინისტრატორები. პრინციპში, WiFi კავშირი ნაკლებად საიმედოა (ტრაფიკის დაკარგვის თვალსაზრისით) და უფრო ნელია, ვიდრე ჩვეულებრივი Ethernet პორტი. ეს შეიძლება იყოს მნიშვნელოვანი ადმინისტრატორებისთვის. გარდა ამისა, ქსელის ადმინისტრატორებს, მაგალითად, შეუძლიათ, პრინციპში, ჰქონდეთ საკუთარი გამოყოფილი Ethernet ქსელი ზონის გარეთ კავშირებისთვის.

თქვენს კომპანიაში შეიძლება იყოს სხვა ჯგუფები/განყოფილებები, რომლებისთვისაც ეს ფაქტორები ასევე მნიშვნელოვანია.

არის კიდევ ერთი მნიშვნელოვანი წერტილი - ტელეფონი. შესაძლოა, რაიმე მიზეზით არ გსურთ გამოიყენოთ უსადენო VoIP და გსურთ გამოიყენოთ IP ტელეფონები რეგულარული Ethernet კავშირით.

ზოგადად, კომპანიებს, რომლებშიც ვმუშაობდი, ჩვეულებრივ ჰქონდათ როგორც WiFi კავშირი, ასევე Ethernet პორტი.

ვისურვებდი, რომ მობილურობა არ შემოიფარგლოს მხოლოდ ოფისით.

სახლიდან (ან ნებისმიერი სხვა ადგილიდან ხელმისაწვდომი ინტერნეტით) მუშაობის შესაძლებლობის უზრუნველსაყოფად, გამოიყენება VPN კავშირი. ამავდროულად, სასურველია, რომ თანამშრომლებმა არ იგრძნონ განსხვავება სახლიდან მუშაობასა და დისტანციურ სამუშაოს შორის, რაც გულისხმობს ერთსა და იმავე წვდომას. ამის ორგანიზებას ცოტა მოგვიანებით განვიხილავთ თავში „ერთიანი ცენტრალიზებული ავტორიზაციისა და ავტორიზაციის სისტემა“.

შენიშვნა:

სავარაუდოდ, თქვენ ვერ შეძლებთ სრულყოფილად მიაწოდოთ იგივე ხარისხის მომსახურება დისტანციური მუშაობისთვის, რაც გაქვთ ოფისში. დავუშვათ, რომ თქვენ იყენებთ Cisco ASA 5520, როგორც თქვენი VPN კარიბჭე. მონაცემთა ფურცელი ამ მოწყობილობას შეუძლია მხოლოდ 225 მბიტი VPN ტრაფიკის „მონელება“. ეს, რა თქმა უნდა, გამტარუნარიანობის თვალსაზრისით, VPN-ით დაკავშირება ძალიან განსხვავდება ოფისიდან მუშაობისგან. ასევე, თუ რაიმე მიზეზით, შეყოვნება, დაკარგვა, ჟიტერი (მაგალითად, გსურთ გამოიყენოთ საოფისე IP ტელეფონით) თქვენი ქსელის სერვისებისთვის მნიშვნელოვანია, თქვენ ასევე ვერ მიიღებთ იმავე ხარისხს, როგორც ოფისში. ამიტომ, როდესაც ვსაუბრობთ მობილურობაზე, უნდა ვიცოდეთ შესაძლო შეზღუდვები.

მარტივი წვდომა კომპანიის ყველა რესურსზე

ეს ამოცანა სხვა ტექნიკურ განყოფილებებთან ერთად უნდა გადაწყდეს.
იდეალური სიტუაციაა, როდესაც მომხმარებელს მხოლოდ ერთხელ სჭირდება ავთენტიფიკაცია და ამის შემდეგ მას აქვს წვდომა ყველა საჭირო რესურსზე.
მარტივი წვდომის უზრუნველყოფა უსაფრთხოების შეწირვის გარეშე შეიძლება მნიშვნელოვნად გააუმჯობესოს პროდუქტიულობა და შეამციროს სტრესი თქვენს კოლეგებში.

შენიშვნა 1

წვდომის სიმარტივე არ არის მხოლოდ ის, თუ რამდენჯერ უნდა შეიყვანოთ პაროლი. თუ, მაგალითად, თქვენი უსაფრთხოების პოლიტიკის შესაბამისად, ოფისიდან მონაცემთა ცენტრთან დასაკავშირებლად, ჯერ უნდა დაუკავშირდეთ VPN კარიბჭეს და ამავე დროს დაკარგოთ წვდომა ოფისის რესურსებზე, მაშინ ეს ასევე ძალიან , ძალიან მოუხერხებელია.

შენიშვნა 2

არის სერვისები (მაგალითად, ქსელურ აღჭურვილობაზე წვდომა), სადაც ჩვეულებრივ გვაქვს ჩვენი გამოყოფილი AAA სერვერები და ეს არის ნორმა, როდესაც ამ შემთხვევაში რამდენჯერმე გვიწევს ავთენტიფიკაცია.

ინტერნეტ რესურსების ხელმისაწვდომობა

ინტერნეტი არ არის მხოლოდ გასართობი, არამედ სერვისების ნაკრები, რომელიც შეიძლება ძალიან სასარგებლო იყოს სამუშაოსთვის. არის წმინდა ფსიქოლოგიური ფაქტორებიც. თანამედროვე ადამიანი ინტერნეტის საშუალებით სხვა ადამიანებთან არის დაკავშირებული მრავალი ვირტუალური ძაფით და, ჩემი აზრით, ცუდი არაფერია, თუ მუშაობის დროსაც განაგრძობს ამ კავშირს.

დროის დაკარგვის თვალსაზრისით, ცუდი არაფერია, თუ თანამშრომელს, მაგალითად, სკაიპი აქვს გაშვებული და საჭიროების შემთხვევაში საყვარელ ადამიანთან კომუნიკაციას 5 წუთს ხარჯავს.

ნიშნავს თუ არა ეს იმას, რომ ინტერნეტი ყოველთვის ხელმისაწვდომი უნდა იყოს, ნიშნავს თუ არა ეს იმას, რომ თანამშრომლებს შეუძლიათ ჰქონდეთ წვდომა ყველა რესურსზე და არანაირად არ გააკონტროლონ ისინი?

არა ამას არ ნიშნავს, რა თქმა უნდა. ინტერნეტის ღიაობის დონე შეიძლება განსხვავდებოდეს სხვადასხვა კომპანიისთვის - სრული დახურვიდან სრულ ღიაობამდე. ჩვენ განვიხილავთ მოძრაობის კონტროლის გზებს მოგვიანებით უსაფრთხოების ზომების სექციებში.

ნაცნობი მოწყობილობების სრული სპექტრის გამოყენების შესაძლებლობა

მოსახერხებელია, როდესაც, მაგალითად, გაქვს შესაძლებლობა განაგრძო სამსახურში კომუნიკაციის ყველა საშუალების გამოყენება. ამის ტექნიკურად განხორციელება არ არის სირთულე. ამისთვის გჭირდებათ WiFi და სტუმრის ვილანი.

ასევე კარგია, თუ თქვენ გაქვთ შესაძლებლობა გამოიყენოთ ოპერაციული სისტემა, რომელსაც თქვენ შეჩვეული ხართ. მაგრამ, ჩემი დაკვირვებით, ეს ჩვეულებრივ ნებადართულია მხოლოდ მენეჯერებისთვის, ადმინისტრატორებისთვის და დეველოპერებისთვის.

მაგალითი

თქვენ, რა თქმა უნდა, შეგიძლიათ მიჰყვეთ აკრძალვების გზას, აკრძალოთ დისტანციური წვდომა, აკრძალოთ მობილური მოწყობილობებიდან დაკავშირება, შეზღუდოთ ყველაფერი სტატიკური Ethernet კავშირებით, შეზღუდოთ წვდომა ინტერნეტზე, იძულებით ჩამოართვათ მობილური ტელეფონები და გაჯეტები საგუშაგოზე... და ეს გზა მას რეალურად მოსდევს ზოგიერთი ორგანიზაცია უსაფრთხოების გაზრდილი მოთხოვნებით და შესაძლოა ზოგიერთ შემთხვევაში ეს გამართლებული იყოს, მაგრამ... უნდა დამეთანხმოთ, რომ ეს ჰგავს პროგრესის შეჩერების მცდელობას ერთ ორგანიზაციაში. რა თქმა უნდა, მინდა გავაერთიანო ის შესაძლებლობები, რასაც თანამედროვე ტექნოლოგიები იძლევა უსაფრთხოების საკმარის დონეზე.

ქსელის „სწრაფი მუშაობა“.

მონაცემთა გადაცემის სიჩქარე ტექნიკურად მრავალი ფაქტორისგან შედგება. და თქვენი კავშირის პორტის სიჩქარე, როგორც წესი, არ არის ყველაზე მნიშვნელოვანი. აპლიკაციის ნელი მუშაობა ყოველთვის არ არის დაკავშირებული ქსელის პრობლემებთან, მაგრამ ჯერჯერობით ჩვენ მხოლოდ ქსელის ნაწილი გვაინტერესებს. ლოკალური ქსელის „შენელების“ ყველაზე გავრცელებული პრობლემა დაკავშირებულია პაკეტის დაკარგვასთან. ეს ჩვეულებრივ ხდება მაშინ, როდესაც არის ბოთლის ან L1 (OSI) პრობლემები. უფრო იშვიათად, ზოგიერთ დიზაინში (მაგალითად, როდესაც თქვენს ქვექსელებს აქვთ firewall, როგორც ნაგულისხმევი კარიბჭე და, შესაბამისად, მთელი ტრაფიკი გადის მასში), შეიძლება აკლდეს აპარატურის შესრულება.

ამიტომ, აღჭურვილობისა და არქიტექტურის არჩევისას, თქვენ უნდა დააკავშიროთ ბოლო პორტების, საყრდენების და აღჭურვილობის მუშაობის სიჩქარე.

მაგალითი

დავუშვათ, რომ თქვენ იყენებთ გადამრთველებს 1 გიგაბიტიანი პორტებით, როგორც წვდომის ფენის გადამრთველები. ისინი ერთმანეთთან დაკავშირებულია Etherchannel 2 x 10 გიგაბიტით. როგორც ნაგულისხმევი კარიბჭე, იყენებთ Firewall-ს გიგაბიტიანი პორტებით, რომელთა დასაკავშირებლად L2 საოფისე ქსელში იყენებთ 2 გიგაბიტიან პორტს, რომელიც გაერთიანებულია Etherchannel-ში.

ეს არქიტექტურა საკმაოდ მოსახერხებელია ფუნქციონალური თვალსაზრისით, რადგან... მთელი ტრაფიკი გადის firewall-ზე და თქვენ შეგიძლიათ კომფორტულად მართოთ წვდომის პოლიტიკა და გამოიყენოთ რთული ალგორითმები ტრაფიკის გასაკონტროლებლად და შესაძლო შეტევების თავიდან ასაცილებლად (იხ. ქვემოთ), მაგრამ გამტარუნარიანობისა და შესრულების თვალსაზრისით, ამ დიზაინს, რა თქმა უნდა, აქვს პოტენციური პრობლემები. მაგალითად, 2 ჰოსტს, რომელიც ჩამოტვირთავს მონაცემებს (პორტის სიჩქარით 1 გიგაბიტი) შეუძლია მთლიანად ჩატვირთოს 2 გიგაბიტიანი კავშირი firewall-თან და ამით გამოიწვიოს სერვისის დეგრადაცია მთელი ოფისის სეგმენტისთვის.

ჩვენ შევხედეთ სამკუთხედის ერთ წვეროს, ახლა ვნახოთ, როგორ შეგვიძლია უსაფრთხოების უზრუნველყოფა.

დაცვის საშუალებები

ასე რომ, რა თქმა უნდა, როგორც წესი, ჩვენი სურვილი (უფრო სწორად, ჩვენი მენეჯმენტის სურვილი) არის მივაღწიოთ შეუძლებელს, კერძოდ, უზრუნველყოთ მაქსიმალური კომფორტი მაქსიმალური უსაფრთხოებით და მინიმალური ხარჯებით.

ვნახოთ, რა მეთოდები გვაქვს დაცვის უზრუნველსაყოფად.

ოფისისთვის მე გამოვყოფ შემდეგს:

• ნულოვანი ნდობის მიდგომა დიზაინისადმი
• დაცვის მაღალი დონე
• ქსელის ხილვადობა
• ერთიანი ცენტრალიზებული ავტორიზაციისა და ავტორიზაციის სისტემა
• მასპინძლის შემოწმება

შემდეგი, ჩვენ ცოტა უფრო დეტალურად ვისაუბრებთ თითოეულ ამ ასპექტზე.

ნულოვანი ნდობა

IT სამყარო ძალიან სწრაფად იცვლება. სულ რაღაც ბოლო 10 წლის განმავლობაში, ახალი ტექნოლოგიებისა და პროდუქტების გაჩენამ გამოიწვია უსაფრთხოების კონცეფციების ძირითადი გადახედვა. ათი წლის წინ, უსაფრთხოების თვალსაზრისით, ჩვენ დავყავით ქსელი ნდობის, dmz და არასანდო ზონებად და გამოვიყენეთ ეგრეთ წოდებული „პერიმეტრის დაცვა“, სადაც იყო თავდაცვის 2 ხაზი: untrust -> dmz და dmz -> ნდობა. ასევე, დაცვა ჩვეულებრივ შემოიფარგლებოდა წვდომის სიებით, რომლებიც დაფუძნებულია L3/L4 (OSI) სათაურებზე (IP, TCP/UDP პორტები, TCP დროშები). ყველაფერი, რაც უფრო მაღალ დონეებთან იყო დაკავშირებული, მათ შორის L7, დარჩა OS და უსაფრთხოების პროდუქტებზე დაინსტალირებული ბოლო ჰოსტებზე.

ახლა სიტუაცია მკვეთრად შეიცვალა. თანამედროვე კონცეფცია ნულოვანი ნდობა გამომდინარეობს იქიდან, რომ უკვე შეუძლებელია შიდა სისტემების, ანუ პერიმეტრის შიგნით მდებარე სისტემების სანდო მიჩნევა და თავად პერიმეტრის კონცეფცია ბუნდოვანი გახდა.
ინტერნეტის გარდა გვაქვს ასევე

• დისტანციური წვდომის VPN მომხმარებლები
• სხვადასხვა პერსონალური გაჯეტები, მოყვანილი ლეპტოპები, დაკავშირებული საოფისე WiFi-ით
• სხვა (ფილიალი) ოფისები
• ღრუბლოვანი ინფრასტრუქტურასთან ინტეგრაცია

როგორ გამოიყურება Zero Trust მიდგომა პრაქტიკაში?

იდეალურ შემთხვევაში, დაშვებული უნდა იყოს მხოლოდ ის ტრაფიკი, რომელიც საჭიროა და, თუ ვსაუბრობთ იდეალურზე, მაშინ კონტროლი უნდა იყოს არა მხოლოდ L3/L4 დონეზე, არამედ აპლიკაციის დონეზე.

თუ, მაგალითად, თქვენ გაქვთ შესაძლებლობა გაიაროთ მთელი ტრაფიკი Firewall-ში, მაშინ შეგიძლიათ სცადოთ მიუახლოვდეთ იდეალს. მაგრამ ამ მიდგომამ შეიძლება მნიშვნელოვნად შეამციროს თქვენი ქსელის მთლიანი გამტარობა და გარდა ამისა, აპლიკაციის მიხედვით ფილტრაცია ყოველთვის არ მუშაობს კარგად.

როუტერზე ან L3 გადამრთველზე ტრაფიკის მართვისას (სტანდარტული ACL-ების გამოყენებით), სხვა პრობლემებს წააწყდებით:

• ეს არის მხოლოდ L3/L4 ფილტრაცია. არაფერი აჩერებს თავდამსხმელს, გამოიყენოს დაშვებული პორტები (მაგ. TCP 80) მათი აპლიკაციისთვის (არა http)
• კომპლექსური ACL მენეჯმენტი (ძნელია ACL-ების გაანალიზება)
• ეს არ არის სახელმწიფო firewall, რაც ნიშნავს, რომ თქვენ უნდა დაუშვათ საპირისპირო ტრაფიკი
• გადამრთველებით თქვენ, როგორც წესი, საკმაოდ მჭიდროდ ხართ შეზღუდული TCAM-ის ზომით, რაც შეიძლება სწრაფად იქცეს პრობლემად, თუ იყენებთ მიდგომას „დაუშვით მხოლოდ ის, რაც გჭირდებათ“

შენიშვნა:

საპირისპირო ტრაფიკზე საუბრისას უნდა გვახსოვდეს, რომ გვაქვს შემდეგი შესაძლებლობა (Cisco)

ნებართვა tcp ნებისმიერი დადგენილი

მაგრამ თქვენ უნდა გესმოდეთ, რომ ეს ხაზი უდრის ორ ხაზს:
დაშვება tcp ნებისმიერი ack
ნებართვა tcp ნებისმიერი rst

რაც ნიშნავს, რომ მაშინაც კი, თუ არ იყო საწყისი TCP სეგმენტი SYN დროშით (ანუ TCP სესია არც კი დაწყებულა ჩამოყალიბება), ეს ACL საშუალებას მისცემს პაკეტს ACK დროშით, რომელიც თავდამსხმელს შეუძლია გამოიყენოს მონაცემების გადასაცემად.

ანუ, ეს ხაზი არანაირად არ აქცევს თქვენს როუტერს ან L3 გადამრთველს სახელმწიფო ფაიერვოლად.

დაცვის მაღალი დონე

В მუხლი მონაცემთა ცენტრების განყოფილებაში განვიხილეთ დაცვის შემდეგი მეთოდები.

• stateful firewalling (ნაგულისხმევი)
• ddos/dos დაცვა
• განაცხადის firewalling
• საფრთხის პრევენცია (ანტივირუსი, ანტი-სპივერი და დაუცველობა)
• URL გაფილტვრა
• მონაცემთა ფილტრაცია (შინაარსის ფილტრაცია)
• ფაილის დაბლოკვა (ფაილის ტიპების დაბლოკვა)

ოფისის შემთხვევაში სიტუაცია მსგავსია, მაგრამ პრიორიტეტები ოდნავ განსხვავებულია. ოფისის ხელმისაწვდომობა (ხელმისაწვდომობა) ჩვეულებრივ არ არის ისეთი კრიტიკული, როგორც მონაცემთა ცენტრის შემთხვევაში, ხოლო „შიდა“ მავნე ტრაფიკის ალბათობა უფრო მაღალია.
ამრიგად, ამ სეგმენტის დაცვის შემდეგი მეთოდები კრიტიკულია:

• განაცხადის firewalling
• საფრთხის პრევენცია (ანტივირუსი, ანტი-სპივერი და დაუცველობა)
• URL გაფილტვრა
• მონაცემთა ფილტრაცია (შინაარსის ფილტრაცია)
• ფაილის დაბლოკვა (ფაილის ტიპების დაბლოკვა)

მიუხედავად იმისა, რომ დაცვის ყველა ეს მეთოდი, გარდა აპლიკაციის firewalling-ისა, ტრადიციულად იყო და კვლავაც გადაიჭრება ბოლო ჰოსტებზე (მაგალითად, ანტივირუსული პროგრამების დაყენებით) და პროქსიების გამოყენებით, თანამედროვე NGFW-ები ასევე უზრუნველყოფენ ამ სერვისებს.

უსაფრთხოების აღჭურვილობის გამყიდველები ცდილობენ შექმნან ყოვლისმომცველი დაცვა, ამიტომ ადგილობრივ დაცვასთან ერთად, ისინი გვთავაზობენ სხვადასხვა ღრუბლოვან ტექნოლოგიას და კლიენტის პროგრამულ უზრუნველყოფას ჰოსტებისთვის (ბოლო წერტილის დაცვა/EPP). ასე, მაგალითად, დან 2018 Gartner Magic Quadrant ჩვენ ვხედავთ, რომ Palo Alto-ს და Cisco-ს აქვთ საკუთარი EPP-ები (PA: Traps, Cisco: AMP), მაგრამ შორს არიან ლიდერებისგან.

ამ დაცვის ჩართვა (ჩვეულებრივ, ლიცენზიების შეძენით) თქვენს ბუხარზე, რა თქმა უნდა, არ არის სავალდებულო (შეგიძლიათ გაიაროთ ტრადიციული მარშრუტი), მაგრამ ის უზრუნველყოფს გარკვეულ სარგებელს:

• ამ შემთხვევაში, არსებობს დაცვის მეთოდების გამოყენების ერთი წერტილი, რომელიც აუმჯობესებს ხილვადობას (იხ. შემდეგი თემა).
• თუ თქვენს ქსელში არის დაუცველი მოწყობილობა, მაშინ ის კვლავ ხვდება firewall-ის დაცვის „ქოლგის“ ქვეშ.
• Firewall დაცვის გამოყენებით ბოლო ჰოსტის დაცვასთან ერთად, ჩვენ ვზრდით მავნე ტრაფიკის გამოვლენის ალბათობას. მაგალითად, საფრთხის თავიდან აცილების გამოყენება ადგილობრივ ჰოსტებსა და ფაირვოლზე ზრდის გამოვლენის ალბათობას (იმ პირობით, რომ ეს გადაწყვეტილებები დაფუძნებულია სხვადასხვა პროგრამულ პროდუქტზე)

შენიშვნა:

თუ, მაგალითად, იყენებთ Kaspersky-ს, როგორც ანტივირუსს, როგორც Firewall-ზე, ასევე ბოლო ჰოსტებზე, მაშინ ეს, რა თქმა უნდა, დიდად არ გაზრდის თქვენს შანსს, თავიდან აიცილოთ ვირუსის შეტევა თქვენს ქსელში.

ქსელის ხილვადობა

ცენტრალური იდეა მარტივია - „იხილეთ“ რა ხდება თქვენს ქსელში, როგორც რეალურ დროში, ასევე ისტორიულ მონაცემებში.

ამ "ხედვას" ორ ჯგუფად დავყოფ:

ჯგუფი პირველი: რასაც თქვენი მონიტორინგის სისტემა ჩვეულებრივ გაძლევთ.

• აღჭურვილობის დატვირთვა
• არხების ჩატვირთვა
• მეხსიერების გამოყენება
• დისკის გამოყენება
• მარშრუტიზაციის ცხრილის შეცვლა
• ბმულის სტატუსი
• აღჭურვილობის (ან მასპინძლების) ხელმისაწვდომობა
• ...

ჯგუფი მეორე: უსაფრთხოებასთან დაკავშირებული ინფორმაცია.

• სხვადასხვა ტიპის სტატისტიკა (მაგალითად, აპლიკაციის მიხედვით, URL ტრაფიკის მიხედვით, რა ტიპის მონაცემები იქნა გადმოწერილი, მომხმარებლის მონაცემები)
• რა დაბლოკა უსაფრთხოების პოლიტიკამ და რა მიზეზით, კერძოდ
  • აკრძალული განაცხადი
  • აკრძალულია ip/პროტოკოლის/პორტის/დროშების/ზონების საფუძველზე
  • საფრთხის პრევენცია
  • url ფილტრაცია
  • მონაცემთა ფილტრაცია
  • ფაილის დაბლოკვა
  • ...
• DOS/DDOS შეტევების სტატისტიკა
• წარუმატებელი იდენტიფიკაციისა და ავტორიზაციის მცდელობები
• სტატისტიკა უსაფრთხოების პოლიტიკის დარღვევის ყველა ზემოთ ჩამოთვლილი მოვლენისთვის
• ...

უსაფრთხოების ამ თავში ჩვენ გვაინტერესებს მეორე ნაწილი.

ზოგიერთი თანამედროვე ბუხარი (ჩემი პალო ალტოს გამოცდილებიდან) უზრუნველყოფს ხილვადობის კარგ დონეს. მაგრამ, რა თქმა უნდა, ტრაფიკი, რომელიც თქვენ გაინტერესებთ, უნდა გაიაროს ამ firewall-ში (ამ შემთხვევაში თქვენ გაქვთ შესაძლებლობა დაბლოკოთ ტრაფიკი) ან ასახული იყოს firewall-ზე (გამოიყენება მხოლოდ მონიტორინგისა და ანალიზისთვის) და თქვენ უნდა გქონდეთ ლიცენზიები, რომ ჩართოთ ყველა ეს სერვისები.

არსებობს, რა თქმა უნდა, ალტერნატიული გზა, უფრო სწორად, ტრადიციული გზა, მაგალითად,

• სესიის სტატისტიკა შეიძლება შეგროვდეს netflow-ის საშუალებით და შემდეგ გამოიყენოთ სპეციალური უტილიტები ინფორმაციის ანალიზისა და მონაცემთა ვიზუალიზაციისთვის
• საფრთხის პრევენცია – სპეციალური პროგრამები (ანტივირუსი, ანტი-სპივერი, ფაირვოლი) ბოლო ჰოსტებზე
• URL ფილტრაცია, მონაცემთა ფილტრაცია, ფაილის დაბლოკვა – პროქსიზე
• ასევე შესაძლებელია tcpdump-ის ანალიზი მაგ. ხვრინვა

თქვენ შეგიძლიათ დააკავშიროთ ეს ორი მიდგომა, შეავსოთ დაკარგული ფუნქციები ან მათი დუბლირება, რათა გაზარდოთ თავდასხმის გამოვლენის ალბათობა.

რომელი მიდგომა უნდა აირჩიოთ?
დიდად არის დამოკიდებული თქვენი გუნდის კვალიფიკაციასა და პრეფერენციებზე.
როგორც იქ, ასევე არსებობს დადებითი და უარყოფითი მხარეები.

ერთიანი ცენტრალიზებული ავტორიზაციისა და ავტორიზაციის სისტემა

როდესაც კარგად არის დაპროექტებული, მობილურობა, რომელიც განვიხილეთ ამ სტატიაში, გულისხმობს, რომ თქვენ გაქვთ იგივე წვდომა, მიუხედავად იმისა, მუშაობთ ოფისიდან თუ სახლიდან, აეროპორტიდან, ყავის მაღაზიიდან თუ სადმე სხვაგან (შეზღუდვებით, რაც ზემოთ განვიხილეთ). როგორც ჩანს, რა პრობლემაა?
ამ ამოცანის სირთულის უკეთ გასაგებად, მოდით შევხედოთ ტიპურ დიზაინს.

მაგალითი

• თქვენ დაყავით ყველა თანამშრომელი ჯგუფებად. თქვენ გადაწყვიტეთ წვდომა ჯგუფების მიხედვით
• ოფისის შიგნით თქვენ აკონტროლებთ წვდომას ოფისის ბუხარზე
• თქვენ აკონტროლებთ ტრაფიკს ოფისიდან მონაცემთა ცენტრამდე მონაცემთა ცენტრის firewall-ზე
• თქვენ იყენებთ Cisco ASA-ს, როგორც VPN კარიბჭეს და დისტანციური კლიენტებიდან თქვენს ქსელში შემავალი ტრაფიკის გასაკონტროლებლად იყენებთ ადგილობრივ (ASA-ზე) ACL-ებს.

ახლა, დავუშვათ, რომ მოგთხოვთ დამატებითი წვდომის დამატება კონკრეტულ თანამშრომელზე. ამ შემთხვევაში, თქვენ მოგეთხოვებათ წვდომის დამატება მხოლოდ მასზე და არავის სხვა მისი ჯგუფიდან.

ამისთვის ცალკე ჯგუფი უნდა შევქმნათ ამ თანამშრომლისთვის, ანუ

• შექმენით ცალკე IP აუზი ASA-ზე ამ თანამშრომლისთვის
• დაამატეთ ახალი ACL ASA-ზე და დააკავშირეთ იგი დისტანციურ კლიენტთან
• შექმენით ახალი უსაფრთხოების პოლიტიკა ოფისისა და მონაცემთა ცენტრის ფეიერვალებზე

კარგია, თუ ეს მოვლენა იშვიათია. მაგრამ ჩემს პრაქტიკაში იყო სიტუაცია, როდესაც თანამშრომლები მონაწილეობდნენ სხვადასხვა პროექტში და ზოგიერთი მათგანისთვის პროექტების ეს ნაკრები საკმაოდ ხშირად იცვლებოდა და ეს იყო არა 1-2 ადამიანი, არამედ ათეულობით. რა თქმა უნდა, აქ რაღაც უნდა შეიცვალოს.

ეს მოგვარდა შემდეგი გზით.

ჩვენ გადავწყვიტეთ, რომ LDAP იქნებოდა ჭეშმარიტების ერთადერთი წყარო, რომელიც განსაზღვრავს თანამშრომლების ყველა შესაძლო წვდომას. ჩვენ შევქმენით ყველა სახის ჯგუფი, რომელიც განსაზღვრავს წვდომის კომპლექტს და თითოეულ მომხმარებელს მივაკუთვნეთ ერთი ან მეტი ჯგუფი.

მაგალითად, დავუშვათ, რომ იყო ჯგუფები

• სტუმარი (ინტერნეტზე წვდომა)
• საერთო წვდომა (წვდომა საერთო რესურსებზე: ფოსტა, ცოდნის ბაზა, ...)
• საბუღალტრო
• პროექტი 1
• პროექტი 2
• მონაცემთა ბაზის ადმინისტრატორი
• ლინუქსის ადმინისტრატორი
• ...

და თუ ერთ-ერთი თანამშრომელი იყო ჩართული როგორც პროექტში 1, ასევე პროექტში 2, და მას სჭირდებოდა წვდომა ამ პროექტებში სამუშაოდ, მაშინ ეს თანამშრომელი დაინიშნა შემდეგ ჯგუფებში:

• სასტუმრო
• საერთო წვდომა
• პროექტი 1
• პროექტი 2

როგორ გადავაქციოთ ეს ინფორმაცია ქსელურ აღჭურვილობაზე წვდომად?

Cisco ASA Dynamic Access Policy (DAP) (იხ www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) გამოსავალი სწორედ ამ ამოცანისთვისაა შესაფერისი.

მოკლედ ჩვენი განხორციელების შესახებ, იდენტიფიკაციის/ავტორიზაციის პროცესის დროს ASA იღებს LDAP-დან მოცემულ მომხმარებლის შესაბამისი ჯგუფების კომპლექტს და რამდენიმე ლოკალური ACL-დან (რომელთაგან თითოეული შეესაბამება ჯგუფს) დინამიურ ACL-ს ყველა საჭირო წვდომით „აგროვებს“ , რომელიც სრულად შეესაბამება ჩვენს სურვილებს.

მაგრამ ეს მხოლოდ VPN კავშირებისთვისაა. იმისთვის, რომ სიტუაცია ერთნაირი ყოფილიყო როგორც VPN-ით დაკავშირებულ თანამშრომლებთან, ასევე ოფისში მყოფთათვის, გადაიდგა შემდეგი ნაბიჯი.

ოფისიდან დაკავშირებისას მომხმარებლები, რომლებიც იყენებდნენ 802.1x პროტოკოლს, ხვდებოდნენ სტუმრის LAN-ში (სტუმრებისთვის) ან საზიარო LAN-ში (კომპანიის თანამშრომლებისთვის). გარდა ამისა, კონკრეტული წვდომის მისაღებად (მაგალითად, პროექტებზე მონაცემთა ცენტრში), თანამშრომლებს უწევდათ დაკავშირება VPN-ით.

ოფისიდან და სახლიდან დასაკავშირებლად ASA-ზე გამოიყენეს სხვადასხვა გვირაბის ჯგუფები. ეს აუცილებელია იმისთვის, რომ ოფისიდან დაკავშირებულთათვის ტრაფიკი საერთო რესურსებზე (რომლებსაც იყენებენ ყველა თანამშრომლის მიერ, როგორიცაა ფოსტა, ფაილური სერვერები, ბილეთების სისტემა, dns, ...) არ გაიაროს ASA-ს, არამედ ლოკალური ქსელის მეშვეობით. . ამრიგად, ჩვენ არ დავტვირთეთ ASA არასაჭირო ტრაფიკით, მათ შორის მაღალი ინტენსივობის ტრაფიკით.

ამრიგად, პრობლემა მოგვარდა.
Მივიღეთ

• წვდომის იგივე ნაკრები როგორც ოფისიდან, ასევე დისტანციური კავშირებისთვის
• სერვისის დეგრადაციის არარსებობა ოფისიდან მუშაობისას, რომელიც დაკავშირებულია ASA-ს მეშვეობით მაღალი ინტენსივობის ტრაფიკის გადაცემასთან

რა სხვა უპირატესობა აქვს ამ მიდგომას?
წვდომის ადმინისტრაციაში. წვდომა შეიძლება ადვილად შეიცვალოს ერთ ადგილას.
მაგალითად, თუ თანამშრომელი ტოვებს კომპანიას, თქვენ უბრალოდ ამოიღებთ მას LDAP-დან და ის ავტომატურად კარგავს ყველანაირ წვდომას.

მასპინძლის შემოწმება

დისტანციური კავშირის შესაძლებლობით, ჩვენ გვაქვს რისკი, რომ შევუშვათ არა მხოლოდ კომპანიის თანამშრომელი ქსელში, არამედ ყველა მავნე პროგრამული უზრუნველყოფა, რომელიც დიდი ალბათობით არის მის კომპიუტერში (მაგალითად, სახლში) და უფრო მეტიც, ამ პროგრამული უზრუნველყოფის საშუალებით ჩვენ შესაძლოა ჩვენს ქსელში წვდომას უზრუნველყოფდეს თავდამსხმელი, რომელიც იყენებს ამ ჰოსტს, როგორც პროქსი.

ლოგიკურია, რომ დისტანციურად დაკავშირებულმა ჰოსტმა გამოიყენოს იგივე უსაფრთხოების მოთხოვნები, როგორც შიდა ოფისში.

ეს ასევე ითვალისწინებს OS-ის „სწორ“ ვერსიას, ანტივირუსულ, ანტი-ჯაშუშურ პროგრამას და firewall-ის პროგრამულ უზრუნველყოფას და განახლებებს. როგორც წესი, ეს შესაძლებლობა არსებობს VPN კარიბჭეზე (ASA-სთვის იხილეთ, მაგალითად, აქ).

ასევე გონივრული იქნება იგივე ტრაფიკის ანალიზისა და დაბლოკვის ტექნიკის გამოყენება (იხ. „დაცვის მაღალი დონე“), რასაც თქვენი უსაფრთხოების პოლიტიკა ვრცელდება საოფისე ტრაფიკზე.

მიზანშეწონილია ვივარაუდოთ, რომ თქვენი საოფისე ქსელი აღარ შემოიფარგლება მხოლოდ საოფისე შენობით და მასში შემავალი მასპინძლებით.

მაგალითი

კარგი ტექნიკაა, მიაწოდოთ თითოეულ თანამშრომელს, რომელსაც ესაჭიროება დისტანციური წვდომა კარგი, მოსახერხებელი ლეპტოპით და მოითხოვს მათ მუშაობას, როგორც ოფისში, ასევე სახლიდან, მხოლოდ მისგან.

ეს არა მხოლოდ აუმჯობესებს თქვენი ქსელის უსაფრთხოებას, არამედ მართლაც მოსახერხებელია და, როგორც წესი, დადებითად განიხილება თანამშრომლების მიერ (თუ ეს ნამდვილად კარგი, მოსახერხებელი ლეპტოპია).

პროპორციისა და წონასწორობის გრძნობის შესახებ

ძირითადად, ეს არის საუბარი ჩვენი სამკუთხედის მესამე წვეროზე - ფასზე.
მოდით შევხედოთ ჰიპოთეტურ მაგალითს.

მაგალითი

თქვენ გაქვთ ოფისი 200 ადამიანზე. თქვენ გადაწყვიტეთ, რომ ის მაქსიმალურად მოსახერხებელი და უსაფრთხო გახადოთ.

ამიტომ, თქვენ გადაწყვიტეთ, რომ მთელი ტრაფიკი გადაიტანოთ firewall-ში და ამგვარად, ყველა საოფისე ქვექსელისთვის firewall არის ნაგულისხმევი კარიბჭე. თითოეულ ბოლო ჰოსტზე დაინსტალირებული უსაფრთხოების პროგრამული უზრუნველყოფის გარდა (ანტივირუსი, ანტი-სპივერი და ფაირვოლ პროგრამული უზრუნველყოფა), თქვენ ასევე გადაწყვიტეთ გამოიყენოთ დაცვის ყველა შესაძლო მეთოდი firewall-ზე.

კავშირის მაღალი სიჩქარის უზრუნველსაყოფად (ყველაფერი მოხერხებულობისთვის), თქვენ აირჩიე გადამრთველები 10 გიგაბიტიანი წვდომის პორტებით, როგორც წვდომის ჩამრთველები, და მაღალი ხარისხის NGFW ბუხარი, როგორც firewalls, მაგალითად, Palo Alto 7K სერია (40 გიგაბიტიანი პორტებით), ბუნებრივია, ყველა ლიცენზიით. შედის და, ბუნებრივია, მაღალი ხელმისაწვდომობის წყვილი.

ასევე, რა თქმა უნდა, აღჭურვილობის ამ ხაზთან მუშაობისთვის ჩვენ გვჭირდება მინიმუმ რამდენიმე მაღალკვალიფიციური უსაფრთხოების ინჟინერი.

შემდეგ, თქვენ გადაწყვიტეთ, რომ თითოეულ თანამშრომელს კარგი ლეპტოპი მიეცეს.

სულ, დაახლოებით 10 მილიონი დოლარი განხორციელებისთვის, ასობით ათასი დოლარი (მგონი მილიონთან ახლოს) წლიური მხარდაჭერისთვის და ინჟინრების ხელფასებისთვის.

ოფისი, 200 კაცი...
კომფორტული? ვფიქრობ, რომ დიახ.

თქვენ მოდიხართ ამ წინადადებით თქვენს მენეჯმენტთან...
შესაძლოა, მსოფლიოში არის არაერთი კომპანია, რომლისთვისაც ეს მისაღები და სწორი გამოსავალია. თუ ამ კომპანიის თანამშრომელი ხართ, გილოცავთ, მაგრამ უმეტეს შემთხვევაში, დარწმუნებული ვარ, რომ თქვენი ცოდნა არ დააფასებს მენეჯმენტს.

ეს მაგალითი გადაჭარბებულია? შემდეგი თავი ამ კითხვას გასცემს პასუხს.

თუ თქვენს ქსელში ვერ ხედავთ ზემოთ ჩამოთვლილთაგან რომელიმეს, მაშინ ეს ნორმაა.
თითოეული კონკრეტული შემთხვევისთვის, თქვენ უნდა იპოვოთ თქვენი საკუთარი გონივრული კომპრომისი მოხერხებულობას, ფასსა და უსაფრთხოებას შორის. ხშირად თქვენ არც კი გჭირდებათ NGFW თქვენს ოფისში და L7 დაცვა firewall-ზე არ არის საჭირო. საკმარისია ხილვადობის და გაფრთხილების კარგი დონის უზრუნველყოფა და ეს შეიძლება გაკეთდეს, მაგალითად, ღია კოდის პროდუქტების გამოყენებით. დიახ, თქვენი რეაქცია თავდასხმაზე მყისიერი არ იქნება, მაგრამ მთავარია, რომ დაინახოთ და თქვენს განყოფილებაში სწორი პროცესების გატარებით, თქვენ შეძლებთ მის სწრაფად განეიტრალებას.

და შეგახსენებთ, რომ ამ სტატიების სერიის კონცეფციის მიხედვით, თქვენ არ ქმნით ქსელს, თქვენ მხოლოდ ცდილობთ გააუმჯობესოთ ის, რაც მიიღეთ.

საოფისე არქიტექტურის უსაფრთხო ანალიზი

ყურადღება მიაქციეთ ამ წითელ კვადრატს, საიდანაც მე გამოვყავი ადგილი დიაგრამაზე უსაფრთხო კამპუსის არქიტექტურის სახელმძღვანელორომლის განხილვაც მსურს აქ.

ეს არის არქიტექტურის ერთ-ერთი მთავარი ადგილი და ერთ-ერთი ყველაზე მნიშვნელოვანი გაურკვევლობა.

შენიშვნა:

მე არასოდეს დამიყენებია და არ მიმუშავია FirePower-ით (Cisco-ს Firewall-ის ხაზიდან - მხოლოდ ASA), ამიტომ მას ისე მოვიქცევი, როგორც ნებისმიერ სხვა ფაიერვოლს, როგორიცაა Juniper SRX ან Palo Alto, თუ ვივარაუდებთ, რომ მას აქვს იგივე შესაძლებლობები.

ჩვეულებრივი დიზაინიდან, მე ვხედავ მხოლოდ 4 შესაძლო ვარიანტს ამ კავშირით firewall-ის გამოყენებისთვის:

• ნაგულისხმევი კარიბჭე თითოეული ქვექსელისთვის არის გადამრთველი, ხოლო firewall არის გამჭვირვალე რეჟიმში (ანუ მთელი ტრაფიკი გადის მასში, მაგრამ ის არ ქმნის L3 hop-ს)
• ნაგულისხმევი კარიბჭე თითოეული ქვექსელისთვის არის firewall-ის ქვეინტერფეისები (ან SVI ინტერფეისები), გადამრთველი ასრულებს L2-ის როლს.
• გადამრთველზე გამოიყენება სხვადასხვა VRF-ები, ხოლო VRF-ებს შორის ტრაფიკი გადის firewall-ში, მოძრაობა ერთი VRF-ში კონტროლდება გადამრთველზე ACL-ით.
• ანალიზისა და მონიტორინგისთვის მთელი ტრაფიკი ასახულია firewall-ზე; ტრაფიკი არ გადის მასში

შენიშვნა 1

ამ ვარიანტების კომბინაციები შესაძლებელია, მაგრამ სიმარტივისთვის ჩვენ მათ არ განვიხილავთ.

შენიშვნა 2

ასევე არსებობს PBR (სერვისის ჯაჭვის არქიტექტურა) გამოყენების შესაძლებლობა, მაგრამ ახლა ეს, თუმცა ჩემი აზრით ლამაზი გამოსავალია, საკმაოდ ეგზოტიკურია, ამიტომ აქ არ განვიხილავ.

დოკუმენტში ნაკადების აღწერიდან ჩვენ ვხედავთ, რომ ტრაფიკი კვლავ გადის firewall-ში, ანუ Cisco-ს დიზაინის შესაბამისად, მეოთხე ვარიანტი აღმოფხვრილია.

ჯერ პირველ ორ ვარიანტს გადავხედოთ.
ამ ვარიანტებით, მთელი ტრაფიკი გადის firewall-ში.

ახლა მოდით შევხედოთ მონაცემთა ფურცელი, შეხედე Cisco GPL და ჩვენ ვხედავთ, რომ თუ გვინდა, რომ ჩვენი ოფისის მთლიანი გამტარობა იყოს მინიმუმ 10-20 გიგაბიტი, მაშინ უნდა ვიყიდოთ 4K ვერსია.

შენიშვნა:

როდესაც ვსაუბრობ მთლიან გამტარობაზე, ვგულისხმობ ტრაფიკს ქვექსელებს შორის (და არა ერთ ვილანაში).

GPL-დან ვხედავთ, რომ HA Bundle with Threat Defense, ფასი მოდელის მიხედვით (4110 - 4150) მერყეობს ~0,5 - 2,5 მილიონი დოლარიდან.

ანუ, ჩვენი დიზაინი იწყებს წინა მაგალითს.

ეს ნიშნავს რომ ეს დიზაინი არასწორია?
არა, ეს არ ნიშნავს. Cisco გაძლევთ მაქსიმალურ დაცვას მის პროდუქციის ხაზიდან გამომდინარე. მაგრამ ეს არ ნიშნავს იმას, რომ ეს თქვენთვის სავალდებულოა.

პრინციპში, ეს არის საერთო კითხვა, რომელიც ჩნდება ოფისის ან მონაცემთა ცენტრის დიზაინის დროს და ეს მხოლოდ იმას ნიშნავს, რომ საჭიროა კომპრომისის მოძიება.

მაგალითად, არ დაუშვათ მთელი ტრაფიკი გაიაროს Firewall-ში, ამ შემთხვევაში მე-3 ვარიანტი საკმაოდ კარგი მეჩვენება, ან (იხილეთ წინა სექცია) შესაძლოა თქვენ არ გჭირდებათ Threat Defense ან საერთოდ არ გჭირდებათ firewall მასზე. ქსელის სეგმენტი და თქვენ უბრალოდ უნდა შემოიფარგლოთ პასიური მონიტორინგით ფასიანი (არა ძვირი) ან ღია წყაროს გადაწყვეტილებების გამოყენებით, ან გჭირდებათ firewall, მაგრამ სხვა გამყიდველისგან.

როგორც წესი, ყოველთვის არის ეს გაურკვევლობა და არ არსებობს მკაფიო პასუხი იმაზე, თუ რომელი გადაწყვეტილებაა საუკეთესო თქვენთვის.
ეს არის ამ ამოცანის სირთულე და სილამაზე.

წყარო: www.habr.com