អត្ថបទនេះគឺជាអត្ថបទទីបីនៅក្នុងស៊េរីនៃអត្ថបទ "របៀបគ្រប់គ្រងរចនាសម្ព័ន្ធបណ្តាញរបស់អ្នក" ។ មាតិកានៃអត្ថបទទាំងអស់នៅក្នុងស៊េរី និងតំណភ្ជាប់អាចរកបាន នៅទីនេះ.

វាគ្មានន័យអ្វីទេក្នុងការនិយាយអំពីការលុបបំបាត់ហានិភ័យសុវត្ថិភាពទាំងស្រុង។ ជាគោលការណ៍ យើងមិនអាចកាត់បន្ថយវាដល់សូន្យបានទេ។ យើងក៏ត្រូវយល់ថា នៅពេលដែលយើងខិតខំធ្វើឱ្យបណ្តាញកាន់តែមានសុវត្ថិភាព ដំណោះស្រាយរបស់យើងកាន់តែមានតម្លៃថ្លៃ។ អ្នកត្រូវស្វែងរកការដោះដូររវាងការចំណាយ ភាពស្មុគស្មាញ និងសុវត្ថិភាពដែលសមហេតុផលសម្រាប់បណ្តាញរបស់អ្នក។

ជាការពិតណាស់ ការរចនាសុវត្ថិភាពត្រូវបានដាក់បញ្ចូលទៅក្នុងស្ថាបត្យកម្មរួម ហើយដំណោះស្រាយសុវត្ថិភាពដែលបានប្រើប៉ះពាល់ដល់ការធ្វើមាត្រដ្ឋាន ភាពជឿជាក់ ការគ្រប់គ្រង ... នៃហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញ ដែលគួរត្រូវយកមកពិចារណាផងដែរ។

ប៉ុន្តែខ្ញុំសូមរំលឹកអ្នកថាឥឡូវនេះយើងមិននិយាយអំពីការបង្កើតបណ្តាញទេ។ នេះបើយោងតាមរបស់យើង។ លក្ខខណ្ឌដំបូង យើងបានជ្រើសរើសការរចនា ជ្រើសរើសឧបករណ៍ និងបង្កើតហេដ្ឋារចនាសម្ព័ន្ធរួចហើយ ហើយនៅដំណាក់កាលនេះ ប្រសិនបើអាចធ្វើបាន យើងគួរតែ "រស់នៅ" និងស្វែងរកដំណោះស្រាយនៅក្នុងបរិបទនៃវិធីសាស្រ្តដែលបានជ្រើសរើសពីមុន។

ភារកិច្ចរបស់យើងឥឡូវនេះគឺដើម្បីកំណត់ហានិភ័យដែលទាក់ទងនឹងសុវត្ថិភាពនៅកម្រិតបណ្តាញ និងកាត់បន្ថយវាទៅកម្រិតសមហេតុផល។

សវនកម្មសុវត្ថិភាពបណ្តាញ

ប្រសិនបើស្ថាប័នរបស់អ្នកបានអនុវត្តដំណើរការ ISO 27k នោះ សវនកម្មសុវត្ថិភាព និងការផ្លាស់ប្តូរបណ្តាញគួរតែសមឥតខ្ចោះទៅក្នុងដំណើរការទាំងមូលនៅក្នុងវិធីសាស្រ្តនេះ។ ប៉ុន្តែស្តង់ដារទាំងនេះនៅតែមិននិយាយអំពីដំណោះស្រាយជាក់លាក់ មិនមែនអំពីការកំណត់រចនាសម្ព័ន្ធ មិនមែនអំពីការរចនា... មិនមានការណែនាំច្បាស់លាស់ គ្មានស្តង់ដារកំណត់លម្អិតថាបណ្តាញរបស់អ្នកគួរមានលក្ខណៈបែបណា នេះជាភាពស្មុគស្មាញ និងភាពស្រស់ស្អាតនៃកិច្ចការនេះ។

ខ្ញុំនឹងគូសបញ្ជាក់ពីសវនកម្មសុវត្ថិភាពបណ្តាញដែលអាចកើតមានជាច្រើន៖

• សវនកម្មការកំណត់រចនាសម្ព័ន្ធឧបករណ៍ (រឹង)
• សវនកម្មការរចនាសុវត្ថិភាព
• ចូលដំណើរការសវនកម្ម
• ដំណើរការសវនកម្ម

សវនកម្ម​ការ​កំណត់​រចនាសម្ព័ន្ធ​បរិក្ខារ (រឹង)

វាហាក់ដូចជាថាក្នុងករណីភាគច្រើននេះគឺជាចំណុចចាប់ផ្តើមដ៏ល្អបំផុតសម្រាប់ការធ្វើសវនកម្ម និងធ្វើអោយប្រសើរឡើងនូវសុវត្ថិភាពនៃបណ្តាញរបស់អ្នក។ IMHO នេះជាការបង្ហាញដ៏ល្អនៃច្បាប់របស់ Pareto (20% នៃកិច្ចខិតខំប្រឹងប្រែងបង្កើតបាន 80% នៃលទ្ធផល ហើយ 80% នៃកិច្ចខិតខំប្រឹងប្រែងដែលនៅសល់បង្កើតបានតែ 20% នៃលទ្ធផល)។

ចំណុចសំខាន់គឺថាជាធម្មតាយើងមានការណែនាំពីអ្នកលក់ទាក់ទងនឹង "ការអនុវត្តល្អបំផុត" សម្រាប់សុវត្ថិភាពនៅពេលកំណត់រចនាសម្ព័ន្ធឧបករណ៍។ នេះត្រូវបានគេហៅថា "ការឡើងរឹង" ។

អ្នកក៏អាចស្វែងរកកម្រងសំណួរ (ឬបង្កើតដោយខ្លួនឯង) ដោយផ្អែកលើអនុសាសន៍ទាំងនេះ ដែលនឹងជួយអ្នកកំណត់ថាតើការកំណត់រចនាសម្ព័ន្ធឧបករណ៍របស់អ្នកអនុលោមតាម "ការអនុវត្តល្អបំផុត" ទាំងនេះបានល្អប៉ុណ្ណា ហើយស្របតាមលទ្ធផល ធ្វើការផ្លាស់ប្តូរនៅក្នុងបណ្តាញរបស់អ្នក។ . វានឹងអនុញ្ញាតឱ្យអ្នកកាត់បន្ថយហានិភ័យសុវត្ថិភាពយ៉ាងច្រើនយ៉ាងងាយស្រួល ដោយស្ទើរតែមិនគិតថ្លៃ។

ឧទាហរណ៍មួយចំនួនសម្រាប់ប្រព័ន្ធប្រតិបត្តិការ Cisco មួយចំនួន។

Cisco IOS Configuration Hardening
Cisco IOS-XR Configuration Hardening
Cisco NX-OS Configuration Hardening
បញ្ជីត្រួតពិនិត្យសុវត្ថិភាព Cisco Baseline

ដោយផ្អែកលើឯកសារទាំងនេះ បញ្ជីនៃតម្រូវការកំណត់រចនាសម្ព័ន្ធសម្រាប់ប្រភេទឧបករណ៍នីមួយៗអាចត្រូវបានបង្កើត។ ឧទាហរណ៍ សម្រាប់ Cisco N7K VDC តម្រូវការទាំងនេះអាចមើលទៅដូច ដូច្នេះ.

តាមវិធីនេះ ឯកសារកំណត់រចនាសម្ព័ន្ធអាចត្រូវបានបង្កើតសម្រាប់ប្រភេទផ្សេងគ្នានៃឧបករណ៍សកម្មនៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញរបស់អ្នក។ បន្ទាប់មក ដោយដៃ ឬដោយប្រើស្វ័យប្រវត្តិកម្ម អ្នកអាច "ផ្ទុកឡើង" ឯកសារកំណត់រចនាសម្ព័ន្ធទាំងនេះ។ របៀបធ្វើស្វ័យប្រវត្តិកម្មដំណើរការនេះនឹងត្រូវបានពិភាក្សាយ៉ាងលម្អិតនៅក្នុងស៊េរីអត្ថបទផ្សេងទៀតស្តីពីការរៀបចំ និងស្វ័យប្រវត្តិកម្ម។

សវនកម្មការរចនាសុវត្ថិភាព

ជាធម្មតា បណ្តាញសហគ្រាសមានផ្នែកខាងក្រោមក្នុងទម្រង់មួយ ឬមួយផ្សេងទៀត៖

• DC (សេវាសាធារណៈ DMZ និងមជ្ឈមណ្ឌលទិន្នន័យអ៊ីនត្រាណែត)
• ការចូលដំណើរការអ៊ិនធឺណិ
• ការចូលប្រើពីចម្ងាយ VPN
• គែម WAN
• សាខា
• សាខា (ការិយាល័យ)
• ស្នូល

ចំណងជើងយកពី ស៊ីស្កូសុវត្ថិភាព ម៉ូដែល ប៉ុន្តែជាការពិតណាស់ វាមិនចាំបាច់ក្នុងការភ្ជាប់យ៉ាងជាក់លាក់ទៅនឹងឈ្មោះទាំងនេះ និងម៉ូដែលនេះទេ។ ទោះ​បី​ជា​យ៉ាង​ណា​ក៏​ដោយ ខ្ញុំ​ចង់​និយាយ​អំពី​ខ្លឹមសារ និង​មិន​ត្រូវ​បាន​ជាប់​គាំង​ក្នុង​ផ្លូវ​ការ។

សម្រាប់ផ្នែកនីមួយៗនៃផ្នែកទាំងនេះ តម្រូវការសុវត្ថិភាព ហានិភ័យ និងតាមនោះ ដំណោះស្រាយនឹងខុសគ្នា។

សូមក្រឡេកមើលពួកវានីមួយៗដាច់ដោយឡែកពីគ្នាសម្រាប់បញ្ហាដែលអ្នកអាចជួបប្រទះតាមទស្សនៈនៃការរចនាសុវត្ថិភាព។ ជាការពិតណាស់ ខ្ញុំនិយាយម្តងទៀតថា គ្មានវិធីណាដែលអត្ថបទនេះធ្វើពុតជាពេញលេញនោះទេ ដែលវាមិនងាយស្រួល (ប្រសិនបើមិនអាចទៅរួច) ដើម្បីសម្រេចបាននៅក្នុងប្រធានបទដ៏ស៊ីជម្រៅ និងពហុមុខនេះ ប៉ុន្តែវាឆ្លុះបញ្ចាំងពីបទពិសោធន៍ផ្ទាល់ខ្លួនរបស់ខ្ញុំ។

មិនមានដំណោះស្រាយល្អឥតខ្ចោះទេ (យ៉ាងហោចណាស់មិនទាន់មាន)។ វាតែងតែជាការសម្របសម្រួល។ ប៉ុន្តែវាសំខាន់ណាស់ដែលការសម្រេចចិត្តប្រើប្រាស់វិធីសាស្រ្តមួយ ឬវិធីមួយផ្សេងទៀតគឺធ្វើឡើងដោយមនសិការ ជាមួយនឹងការយល់ដឹងពីគុណសម្បត្តិ និងគុណវិបត្តិរបស់វា។

មជ្ឈមណ្ឌល​ទិន្នន័យ

ផ្នែកដ៏សំខាន់បំផុតពីទស្សនៈសុវត្ថិភាព។
ហើយដូចធម្មតា មិនមានដំណោះស្រាយជាសកលនៅទីនេះដែរ។ វាទាំងអស់គឺពឹងផ្អែកយ៉ាងខ្លាំងទៅលើតម្រូវការបណ្តាញ។

តើជញ្ជាំងភ្លើងចាំបាច់ឬអត់?

វាហាក់ដូចជាថាចម្លើយគឺជាក់ស្តែង ប៉ុន្តែអ្វីគ្រប់យ៉ាងគឺមិនច្បាស់ដូចដែលវាហាក់ដូចជា។ ហើយជម្រើសរបស់អ្នកអាចមានឥទ្ធិពលមិនត្រឹមតែប៉ុណ្ណោះទេ តម្លៃ.

ឧទាហរណ៍ 1 ។ ការពន្យារពេល។

ប្រសិនបើភាពយឺតយ៉ាវទាបគឺជាតម្រូវការចាំបាច់រវាងផ្នែកបណ្តាញមួយចំនួន ដែលជាឧទាហរណ៍ ពិតក្នុងករណីផ្លាស់ប្តូរ នោះយើងនឹងមិនអាចប្រើជញ្ជាំងភ្លើងរវាងផ្នែកទាំងនេះបានទេ។ វាពិបាកក្នុងការស្វែងរកការសិក្សាអំពីភាពយឺតយ៉ាវនៅក្នុងជញ្ជាំងភ្លើង ប៉ុន្តែម៉ូដែលប្ដូរមួយចំនួនអាចផ្តល់ភាពយឺតយ៉ាវតិចជាង ឬតាមលំដាប់នៃ 1 mksec ដូច្នេះខ្ញុំគិតថាប្រសិនបើមីក្រូវិនាទីមានសារៈសំខាន់សម្រាប់អ្នក នោះជញ្ជាំងភ្លើងមិនមែនសម្រាប់អ្នកទេ។

ឧទាហរណ៍ 2 ។ ការសម្តែង។

លំហូរនៃកុងតាក់ L3 កំពូលជាធម្មតាជាលំដាប់នៃរ៉ិចទ័រខ្ពស់ជាងការបញ្ជូននៃជញ្ជាំងភ្លើងដ៏មានឥទ្ធិពលបំផុត។ ដូច្នេះនៅក្នុងករណីនៃចរាចរណ៍ដែលមានអាំងតង់ស៊ីតេខ្ពស់ អ្នកក៏ទំនងជាត្រូវអនុញ្ញាតឱ្យចរាចរនេះឆ្លងកាត់ជញ្ជាំងភ្លើងផងដែរ។

ឧទាហរណ៍ 3 ។ ភាពជឿជាក់។

ជញ្ជាំងភ្លើង ជាពិសេស NGFW ទំនើប (Next-Generation FW) គឺជាឧបករណ៍ស្មុគស្មាញ។ ពួកវាស្មុគស្មាញជាងកុងតាក់ L3/L2 ។ ពួកគេផ្តល់សេវាកម្មមួយចំនួនធំ និងជម្រើសនៃការកំណត់រចនាសម្ព័ន្ធ ដូច្នេះវាមិនគួរឱ្យភ្ញាក់ផ្អើលទេដែលភាពជឿជាក់របស់ពួកគេទាបជាងច្រើន។ ប្រសិនបើការបន្តសេវាកម្មមានសារៈសំខាន់ចំពោះបណ្តាញ នោះអ្នកប្រហែលជាត្រូវជ្រើសរើសអ្វីដែលនឹងនាំទៅរកភាពអាចរកបានប្រសើរជាងមុន - សុវត្ថិភាពជាមួយនឹងជញ្ជាំងភ្លើង ឬភាពសាមញ្ញនៃបណ្តាញដែលបានបង្កើតនៅលើកុងតាក់ (ឬប្រភេទផ្សេងៗនៃក្រណាត់) ដោយប្រើ ACLs ធម្មតា។

ក្នុងករណីឧទាហរណ៍ខាងលើ អ្នកទំនងជា (ដូចធម្មតា) ត្រូវស្វែងរកការសម្របសម្រួល។ សូមក្រឡេកមើលដំណោះស្រាយខាងក្រោម៖

• ប្រសិនបើអ្នកសម្រេចចិត្តមិនប្រើជញ្ជាំងភ្លើងនៅខាងក្នុងមជ្ឈមណ្ឌលទិន្នន័យ នោះអ្នកត្រូវគិតអំពីរបៀបកំណត់ការចូលប្រើជុំវិញបរិវេណឱ្យបានច្រើនតាមដែលអាចធ្វើទៅបាន។ ឧទាហរណ៍ អ្នកអាចបើកតែច្រកចាំបាច់ពីអ៊ីនធឺណិត (សម្រាប់ចរាចរអតិថិជន) និងការចូលដំណើរការរដ្ឋបាលទៅកាន់មជ្ឈមណ្ឌលទិន្នន័យបានតែពីម៉ាស៊ីនលោត។ នៅលើម៉ាស៊ីនលោត សូមធ្វើការពិនិត្យចាំបាច់ទាំងអស់ (ការផ្ទៀងផ្ទាត់/ការអនុញ្ញាត ការកំចាត់មេរោគ ការចូលគណនី ... )
• អ្នកអាចប្រើភាគថាសឡូជីខលនៃបណ្តាញមជ្ឈមណ្ឌលទិន្នន័យទៅជាផ្នែក ស្រដៀងនឹងគ្រោងការណ៍ដែលបានពិពណ៌នានៅក្នុង PSEFABRIC ឧទាហរណ៍ p002. ក្នុងករណីនេះ ការកំណត់ផ្លូវត្រូវតែកំណត់ក្នុងរបៀបមួយដែលការពន្យាពេល-រសើប ឬចរាចរដែលមានអាំងតង់ស៊ីតេខ្ពស់ទៅ "ក្នុង" ផ្នែកមួយ (ក្នុងករណី p002, VRF) ហើយមិនឆ្លងកាត់ជញ្ជាំងភ្លើងទេ។ ចរាចរណ៍រវាងផ្នែកផ្សេងៗនឹងបន្តឆ្លងកាត់ជញ្ជាំងភ្លើង។ អ្នកក៏អាចប្រើការលេចធ្លាយផ្លូវរវាង VRFs ដើម្បីជៀសវាងការបញ្ជូនបន្តចរាចរណ៍តាមរយៈជញ្ជាំងភ្លើង
• អ្នកក៏អាចប្រើជញ្ជាំងភ្លើងក្នុងទម្រង់ថ្លា ហើយសម្រាប់តែ VLAN ទាំងនោះដែលកត្តាទាំងនេះ (ភាពយឺតយ៉ាវ/ដំណើរការ) មិនសំខាន់។ ប៉ុន្តែអ្នកត្រូវសិក្សាដោយប្រុងប្រយ័ត្ននូវការរឹតបន្តឹងដែលទាក់ទងនឹងការប្រើប្រាស់ mod នេះសម្រាប់អ្នកលក់នីមួយៗ
• អ្នកប្រហែលជាចង់ពិចារណាប្រើស្ថាបត្យកម្មខ្សែសង្វាក់សេវាកម្ម។ នេះនឹងអនុញ្ញាតឱ្យចរាចរចាំបាច់តែប៉ុណ្ណោះដើម្បីឆ្លងកាត់ជញ្ជាំងភ្លើង។ មើលទៅល្អតាមទ្រឹស្តី ប៉ុន្តែខ្ញុំមិនដែលឃើញដំណោះស្រាយនេះនៅក្នុងផលិតកម្មទេ។ យើងបានសាកល្បងខ្សែសង្វាក់សេវាកម្មសម្រាប់ Cisco ACI/Juniper SRX/F5 LTM ប្រហែល 3 ឆ្នាំមុន ប៉ុន្តែនៅពេលនោះដំណោះស្រាយនេះហាក់ដូចជា "ឆៅ" សម្រាប់យើង។

កម្រិតការពារ

ឥឡូវអ្នកត្រូវឆ្លើយសំណួរថាតើឧបករណ៍អ្វីដែលអ្នកចង់ប្រើដើម្បីត្រងចរាចរ។ នេះគឺជាលក្ខណៈពិសេសមួយចំនួនដែលជាធម្មតាមានវត្តមាននៅក្នុង NGFW (ឧទាហរណ៍ នៅទីនេះ):

• ជញ្ជាំងភ្លើងរដ្ឋ (លំនាំដើម)
• ជញ្ជាំងភ្លើងកម្មវិធី
• ការការពារការគំរាមកំហែង (កំចាត់មេរោគ ប្រឆាំង spyware និងភាពងាយរងគ្រោះ)
• ត្រង URL
• តម្រងទិន្នន័យ (តម្រងមាតិកា)
• ការទប់ស្កាត់ឯកសារ (ការទប់ស្កាត់ប្រភេទឯកសារ)
• ការការពារ

ហើយអ្វីៗក៏មិនច្បាស់ដែរ។ វាហាក់ដូចជាថាកម្រិតខ្ពស់នៃការការពារកាន់តែល្អ។ ប៉ុន្តែអ្នកក៏ត្រូវពិចារណាផងដែរ។

• មុខងារជញ្ជាំងភ្លើងខាងលើកាន់តែច្រើនដែលអ្នកប្រើ វានឹងមានតម្លៃថ្លៃជាង (អាជ្ញាប័ណ្ណ ម៉ូឌុលបន្ថែម)
• ការ​ប្រើ​ក្បួន​ដោះស្រាយ​មួយ​ចំនួន​អាច​កាត់​បន្ថយ​ការ​ឆ្លង​កាត់​ជញ្ជាំង​ភ្លើង​យ៉ាង​ខ្លាំង ហើយ​ក៏​បង្កើន​ការ​ពន្យារ​ផង​ដែរ​ សូមមើល​ឧទាហរណ៍ នៅទីនេះ
• ដូចជាដំណោះស្រាយស្មុគ្រស្មាញណាមួយ ការប្រើវិធីសាស្ត្រការពារស្មុគ្រស្មាញអាចកាត់បន្ថយភាពជឿជាក់នៃដំណោះស្រាយរបស់អ្នក ឧទាហរណ៍ នៅពេលប្រើកម្មវិធីជញ្ជាំងភ្លើង ខ្ញុំបានជួបប្រទះការបិទកម្មវិធីដំណើរការស្តង់ដារមួយចំនួន (dns, smb)

ដូចរាល់ដង អ្នកត្រូវស្វែងរកដំណោះស្រាយដ៏ល្អបំផុតសម្រាប់បណ្តាញរបស់អ្នក។

វាមិនអាចទៅរួចទេក្នុងការឆ្លើយយ៉ាងច្បាស់លាស់នូវសំណួរថាតើមុខងារការពារអ្វីខ្លះអាចត្រូវបានទាមទារ។ ទីមួយ ដោយសារតែវាអាស្រ័យទៅលើទិន្នន័យដែលអ្នកកំពុងបញ្ជូន ឬរក្សាទុក ហើយព្យាយាមការពារ។ ទីពីរ នៅក្នុងការពិត ជាញឹកញាប់ជម្រើសនៃឧបករណ៍សុវត្ថិភាពគឺជាបញ្ហានៃជំនឿ និងការជឿទុកចិត្តលើអ្នកលក់។ អ្នកមិនដឹងក្បួនដោះស្រាយទេ អ្នកមិនដឹងថាវាមានប្រសិទ្ធភាពប៉ុណ្ណា ហើយអ្នកមិនអាចសាកល្បងវាបានពេញលេញទេ។

ដូច្នេះ នៅក្នុងផ្នែកសំខាន់ៗ ដំណោះស្រាយដ៏ល្អមួយអាចជាការប្រើប្រាស់ការផ្តល់ជូនពីក្រុមហ៊ុនផ្សេងៗ។ ឧទាហរណ៍ អ្នកអាចបើកដំណើរការកំចាត់មេរោគនៅលើជញ្ជាំងភ្លើង ប៉ុន្តែក៏ប្រើការការពារកំចាត់មេរោគ (ពីក្រុមហ៊ុនផលិតផ្សេងទៀត) ក្នុងតំបន់នៅលើម៉ាស៊ីន។

ការបែងចែក

យើងកំពុងនិយាយអំពីការបែងចែកឡូជីខលនៃបណ្តាញមជ្ឈមណ្ឌលទិន្នន័យ។ ឧទាហរណ៍ ការបែងចែកទៅក្នុង VLAN និងបណ្តាញរងក៏ជាការបែងចែកឡូជីខលផងដែរ ប៉ុន្តែយើងនឹងមិនពិចារណាវាដោយសារតែភាពជាក់ស្តែងរបស់វា។ ការបែងចែកគួរឱ្យចាប់អារម្មណ៍ដោយគិតពីអង្គភាពដូចជាតំបន់សុវត្ថិភាព FW, VRFs (និង analogues របស់ពួកគេទាក់ទងនឹងអ្នកលក់ផ្សេងៗ) ឧបករណ៍ឡូជីខល (PA VSYS, Cisco N7K VDC, Cisco ACI Tenant, ...), ...

ឧទាហរណ៍នៃការបែងចែកឡូជីខលបែបនេះ និងការរចនាមជ្ឈមណ្ឌលទិន្នន័យដែលមានតម្រូវការបច្ចុប្បន្នត្រូវបានផ្តល់ឱ្យ p002 នៃគម្រោង PSEFABRIC.

ដោយបានកំណត់ផ្នែកឡូជីខលនៃបណ្តាញរបស់អ្នក បន្ទាប់មកអ្នកអាចពណ៌នាពីរបៀបដែលចរាចរណ៍ផ្លាស់ទីរវាងផ្នែកផ្សេងៗ ដែលការត្រងឧបករណ៍នឹងត្រូវបានអនុវត្ត និងដោយមធ្យោបាយណា។

ប្រសិនបើបណ្តាញរបស់អ្នកមិនមានភាគថាសឡូជីខលច្បាស់លាស់ទេ ហើយច្បាប់សម្រាប់ការអនុវត្តគោលការណ៍សុវត្ថិភាពសម្រាប់លំហូរទិន្នន័យផ្សេងៗមិនត្រូវបានធ្វើជាផ្លូវការទេ នេះមានន័យថានៅពេលអ្នកបើកការចូលប្រើនេះ ឬនោះ អ្នកត្រូវបានបង្ខំឱ្យដោះស្រាយបញ្ហានេះ ហើយជាមួយនឹងប្រូបាប៊ីលីតេខ្ពស់អ្នក នឹងដោះស្រាយរាល់ពេលខុសគ្នា។

ជារឿយៗការបែងចែកគឺផ្អែកលើតំបន់សុវត្ថិភាព FW ប៉ុណ្ណោះ។ បន្ទាប់មកអ្នកត្រូវឆ្លើយសំណួរខាងក្រោម៖

• តើអ្នកត្រូវការតំបន់សន្តិសុខអ្វីខ្លះ
• តើកម្រិតនៃការការពារអ្វីដែលអ្នកចង់អនុវត្តចំពោះតំបន់នីមួយៗនៃតំបន់ទាំងនេះ
• តើចរាចរណ៍ក្នុងតំបន់នឹងត្រូវបានអនុញ្ញាតតាមលំនាំដើមទេ?
• ប្រសិនបើមិនមានទេ គោលនយោបាយតម្រងចរាចរណ៍អ្វីនឹងត្រូវបានអនុវត្តនៅក្នុងតំបន់នីមួយៗ
• តើគោលការណ៍ត្រងចរាចរណ៍អ្វីខ្លះនឹងត្រូវបានអនុវត្តសម្រាប់តំបន់នីមួយៗ (ប្រភព/ទិសដៅ)

TCAM

បញ្ហាទូទៅមួយគឺ TCAM មិនគ្រប់គ្រាន់ (Ternary Content Addressable Memory) ទាំងសម្រាប់កំណត់ផ្លូវ និងសម្រាប់ការចូលប្រើ។ IMHO នេះគឺជាបញ្ហាសំខាន់បំផុតមួយនៅពេលជ្រើសរើសឧបករណ៍ ដូច្នេះអ្នកត្រូវព្យាបាលបញ្ហានេះជាមួយនឹងកម្រិតនៃការថែទាំសមរម្យ។

ឧទាហរណ៍ 1. តារាងបញ្ជូនបន្ត TCAM ។

តោះពិចារណា Palo Alto 7 គ ជញ្ជាំងភ្លើង
យើងឃើញថាទំហំតារាងបញ្ជូនបន្ត IPv4 * = 32K
លើសពីនេះទៅទៀត ចំនួនផ្លូវនេះគឺជារឿងធម្មតាសម្រាប់ VSYSs ទាំងអស់។

ចូរសន្មតថាយោងទៅតាមការរចនារបស់អ្នកអ្នកសម្រេចចិត្តប្រើ 4 VSYS ។
VSYSs នីមួយៗទាំងនេះត្រូវបានភ្ជាប់តាមរយៈ BGP ទៅ MPLS PEs ពីរនៃពពកដែលអ្នកប្រើជា BB ។ ដូច្នេះ 4 VSYS ផ្លាស់ប្តូរផ្លូវជាក់លាក់ទាំងអស់ជាមួយគ្នា ហើយមានតារាងបញ្ជូនបន្តដែលមានសំណុំផ្លូវប្រហាក់ប្រហែលគ្នា (ប៉ុន្តែ NHs ផ្សេងគ្នា)។ ដោយសារតែ VSYS នីមួយៗមានវគ្គ BGP ចំនួន 2 (ជាមួយនឹងការកំណត់ដូចគ្នា) បន្ទាប់មកផ្លូវនីមួយៗដែលទទួលបានតាមរយៈ MPLS មាន 2 NH ហើយអាស្រ័យហេតុនេះ ធាតុ FIB ចំនួន 2 នៅក្នុងតារាងបញ្ជូនបន្ត។ ប្រសិនបើយើងសន្មត់ថានេះគឺជាជញ្ជាំងភ្លើងតែមួយគត់នៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យ ហើយវាត្រូវតែដឹងអំពីផ្លូវទាំងអស់ នោះវានឹងមានន័យថាចំនួនផ្លូវសរុបនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យរបស់យើងមិនអាចលើសពី 32K/(4 * 2) = 4K បានទេ។

ឥឡូវនេះ ប្រសិនបើយើងសន្មត់ថាយើងមានមជ្ឈមណ្ឌលទិន្នន័យ 2 (ជាមួយនឹងការរចនាដូចគ្នា) ហើយយើងចង់ប្រើ VLANs "លាតសន្ធឹង" រវាងមជ្ឈមណ្ឌលទិន្នន័យ (ឧទាហរណ៍សម្រាប់ vMotion) បន្ទាប់មកដើម្បីដោះស្រាយបញ្ហាការបញ្ជូន យើងត្រូវប្រើ host routes . ប៉ុន្តែនេះមានន័យថាសម្រាប់មជ្ឈមណ្ឌលទិន្នន័យចំនួន 2 យើងនឹងមានម៉ាស៊ីនដែលអាចធ្វើបានមិនលើសពី 4096 ហើយជាការពិត នេះប្រហែលជាមិនគ្រប់គ្រាន់ទេ។

ឧទាហរណ៍ 2. ACL TCAM ។

ប្រសិនបើអ្នកមានគម្រោងត្រងចរាចរនៅលើកុងតាក់ L3 (ឬដំណោះស្រាយផ្សេងទៀតដែលប្រើកុងតាក់ L3 ឧទាហរណ៍ Cisco ACI) បន្ទាប់មកនៅពេលជ្រើសរើសឧបករណ៍ អ្នកគួរតែយកចិត្តទុកដាក់ចំពោះ TCAM ACL ។

ឧបមាថាអ្នកចង់គ្រប់គ្រងការចូលប្រើនៅលើចំណុចប្រទាក់ SVI នៃ Cisco Catalyst 4500។ បន្ទាប់មក ដូចដែលអាចមើលឃើញពី អត្ថបទ​នេះដើម្បីគ្រប់គ្រងចរាចរចេញ (ក៏ដូចជាចូល) នៅលើចំណុចប្រទាក់ អ្នកអាចប្រើតែ 4096 TCAM បន្ទាត់។ ដែលនៅពេលប្រើ TCAM3 នឹងផ្តល់ឱ្យអ្នកប្រហែល 4000 ពាន់ ACE (បន្ទាត់ ACL) ។

ប្រសិនបើអ្នកប្រឈមមុខនឹងបញ្ហានៃ TCAM មិនគ្រប់គ្រាន់នោះ ជាដំបូងនៃការទាំងអស់ អ្នកត្រូវពិចារណាពីលទ្ធភាពនៃការបង្កើនប្រសិទ្ធភាព។ ដូច្នេះក្នុងករណីមានបញ្ហាជាមួយនឹងទំហំនៃតារាងបញ្ជូនបន្ត អ្នកត្រូវពិចារណាពីលទ្ធភាពនៃការប្រមូលផ្តុំផ្លូវ។ ក្នុងករណីមានបញ្ហាជាមួយទំហំ TCAM សម្រាប់ការចូលប្រើ សិទ្ធិចូលប្រើសវនកម្ម លុបកំណត់ត្រាហួសសម័យ និងត្រួតស៊ីគ្នា ហើយអាចកែសម្រួលនីតិវិធីសម្រាប់ការបើកការចូលប្រើ (នឹងត្រូវបានពិភាក្សាលម្អិតនៅក្នុងជំពូកស្តីពីការចូលដំណើរការសវនកម្ម)។

ភាពអាចរកបានខ្ពស់

សំណួរគឺ៖ តើខ្ញុំគួរប្រើ HA សម្រាប់ជញ្ជាំងភ្លើង ឬដំឡើងប្រអប់ឯករាជ្យពីរ "ស្របគ្នា" ហើយប្រសិនបើមួយក្នុងចំណោមពួកគេបរាជ័យ ចរាចរឆ្លងកាត់ទីពីរ?

វាហាក់ដូចជាថាចម្លើយគឺជាក់ស្តែង - ប្រើ HA ។ ហេតុផលដែលសំណួរនេះនៅតែកើតឡើងគឺថា ជាអកុសល ទ្រឹស្តី និងការផ្សាយពាណិជ្ជកម្ម 99 និងភាគរយទសភាគជាច្រើននៃភាពងាយស្រួលក្នុងការអនុវត្តបានប្រែក្លាយនៅឆ្ងាយពីភាពរស់រវើក។ HA គឺជារឿងដ៏ស្មុគស្មាញមួយ ហើយនៅលើឧបករណ៍ផ្សេងៗគ្នា ហើយជាមួយនឹងអ្នកលក់ផ្សេងៗគ្នា (មិនមានករណីលើកលែង) យើងបានចាប់បានបញ្ហា និងកំហុស និងការបញ្ឈប់សេវាកម្ម។

ប្រសិនបើអ្នកប្រើ HA អ្នកនឹងមានឱកាសបិទថ្នាំងនីមួយៗ ប្តូររវាងពួកវាដោយមិនបញ្ឈប់សេវាកម្ម ដែលជាការសំខាន់ ឧទាហរណ៍ នៅពេលធ្វើការអាប់ដេត ប៉ុន្តែក្នុងពេលតែមួយ អ្នកមានប្រូបាប៊ីលីតេឆ្ងាយពីសូន្យដែលថ្នាំងទាំងពីរ នឹងខូចក្នុងពេលតែមួយ ហើយការអាប់ដេតលើកក្រោយនឹងមិនដំណើរការរលូនដូចដែលអ្នកលក់បានសន្យាទេ (បញ្ហានេះអាចត្រូវបានជៀសវាង ប្រសិនបើអ្នកមានឱកាសសាកល្បងការធ្វើឱ្យប្រសើរឡើងលើឧបករណ៍មន្ទីរពិសោធន៍)។

ប្រសិនបើអ្នកមិនប្រើ HA នោះតាមទស្សនៈនៃការបរាជ័យពីរដង ហានិភ័យរបស់អ្នកគឺទាបជាងច្រើន (ចាប់តាំងពីអ្នកមានជញ្ជាំងភ្លើងឯករាជ្យចំនួន 2) ប៉ុន្តែចាប់តាំងពី ... វគ្គមិនត្រូវបានធ្វើសមកាលកម្មទេ រាល់ពេលដែលអ្នកប្តូររវាងជញ្ជាំងភ្លើងទាំងនេះ អ្នកនឹងបាត់បង់ចរាចរណ៍។ ជា​ការ​ពិត អ្នក​អាច​ប្រើ​ជញ្ជាំង​ភ្លើង​គ្មាន​រដ្ឋ ប៉ុន្តែ​បន្ទាប់​មក​ចំណុច​នៃ​ការ​ប្រើ​ជញ្ជាំង​ភ្លើង​ត្រូវ​បាន​បាត់បង់​យ៉ាង​ច្រើន។

ដូច្នេះ ប្រសិនបើលទ្ធផលនៃការធ្វើសវនកម្ម អ្នកបានរកឃើញជញ្ជាំងភ្លើងឯកោ ហើយអ្នកកំពុងគិតអំពីការបង្កើនភាពជឿជាក់នៃបណ្តាញរបស់អ្នក នោះ HA គឺជាដំណោះស្រាយមួយក្នុងចំណោមដំណោះស្រាយដែលបានណែនាំ ប៉ុន្តែអ្នកក៏គួរតែគិតគូរពីគុណវិបត្តិដែលពាក់ព័ន្ធផងដែរ។ ជាមួយនឹងវិធីសាស្រ្តនេះ ហើយប្រហែលជា ជាពិសេសសម្រាប់បណ្តាញរបស់អ្នក ដំណោះស្រាយមួយផ្សេងទៀតនឹងកាន់តែសមរម្យ។

សមត្ថភាពគ្រប់គ្រង

ជាគោលការណ៍ HA ក៏និយាយអំពីការគ្រប់គ្រងផងដែរ។ ជំនួសឱ្យការកំណត់រចនាសម្ព័ន្ធ 2 ប្រអប់ដោយឡែកពីគ្នា និងដោះស្រាយបញ្ហានៃការរក្សាការកំណត់ឱ្យមានភាពស៊ីសង្វាក់គ្នា អ្នកគ្រប់គ្រងពួកវាច្រើនដូចជាអ្នកមានឧបករណ៍តែមួយ។

ប៉ុន្តែប្រហែលជាអ្នកមានមជ្ឈមណ្ឌលទិន្នន័យជាច្រើន និងជញ្ជាំងភ្លើងជាច្រើន បន្ទាប់មកសំណួរនេះកើតឡើងនៅកម្រិតថ្មីមួយ។ ហើយសំណួរគឺមិនត្រឹមតែអំពីការកំណត់រចនាសម្ព័ន្ធប៉ុណ្ណោះទេប៉ុន្តែថែមទាំងអំពី

• ការកំណត់រចនាសម្ព័ន្ធបម្រុងទុក
• បច្ចុប្បន្នភាព
• ធ្វើឱ្យប្រសើរឡើង
• ការត្រួតពិនិត្យ
• ការកាប់ឈើ

ហើយទាំងអស់នេះអាចត្រូវបានដោះស្រាយដោយប្រព័ន្ធគ្រប់គ្រងកណ្តាល។

ដូច្នេះ ជាឧទាហរណ៍ ប្រសិនបើអ្នកកំពុងប្រើជញ្ជាំងភ្លើង Palo Alto បន្ទាប់មក ទេសភាព គឺជាដំណោះស្រាយបែបនេះ។

ដើម្បីបន្ត។

ប្រភព: www.habr.com