របៀបគ្រប់គ្រងហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញរបស់អ្នក។ ជំពូកទីបី។ សុវត្ថិភាពបណ្តាញ។ ផ្នែកទីបី

អត្ថបទនេះគឺជាអត្ថបទទីប្រាំនៅក្នុងស៊េរី "របៀបគ្រប់គ្រងរចនាសម្ព័ន្ធបណ្តាញរបស់អ្នក" ។ មាតិកានៃអត្ថបទទាំងអស់នៅក្នុងស៊េរី និងតំណភ្ជាប់អាចរកបាន នៅទីនេះ.

ផ្នែកនេះនឹងត្រូវបានឧទ្ទិសដល់ផ្នែក Campus (Office) & Remote Access VPN Segments។

ការរចនាបណ្តាញការិយាល័យហាក់ដូចជាងាយស្រួល។

ជាការពិតណាស់ យើងយកកុងតាក់ L2/L3 ហើយភ្ជាប់ពួកវាទៅគ្នាទៅវិញទៅមក។ បន្ទាប់មក យើងអនុវត្តការដំឡើងមូលដ្ឋាននៃវីឡា និងច្រកចេញចូលលំនាំដើម រៀបចំផ្លូវសាមញ្ញ ភ្ជាប់ឧបករណ៍បញ្ជាវ៉ាយហ្វាយ ចំណុចចូលដំណើរការ ដំឡើង និងកំណត់រចនាសម្ព័ន្ធ ASA សម្រាប់ការចូលប្រើពីចម្ងាយ យើងរីករាយដែលអ្វីៗដំណើរការ។ ជាទូទៅដូចដែលខ្ញុំបានសរសេររួចមកហើយនៅក្នុងអត្ថបទមុនមួយ។ អត្ថបទ នៃវដ្តនេះ ស្ទើរតែគ្រប់សិស្សទាំងអស់ដែលបានចូលរួម (និងបានរៀន) ពីរឆមាសនៃវគ្គសិក្សាទូរគមនាគមន៍ អាចរចនា និងកំណត់រចនាសម្ព័ន្ធបណ្តាញការិយាល័យ ដូច្នេះវា "ដំណើរការដូចម្ដេច" ។

ប៉ុន្តែនៅពេលដែលអ្នករៀនកាន់តែច្រើន កិច្ចការនេះហាក់ដូចជាមិនសូវសាមញ្ញ។ សម្រាប់ខ្ញុំផ្ទាល់ប្រធានបទនេះប្រធានបទនៃការរចនាបណ្តាញការិយាល័យហាក់ដូចជាមិនសាមញ្ញទាល់តែសោះហើយនៅក្នុងអត្ថបទនេះខ្ញុំនឹងព្យាយាមពន្យល់ពីមូលហេតុ។

សរុបមក មានកត្តាមួយចំនួនដែលត្រូវពិចារណា។ ជារឿយៗកត្តាទាំងនេះមានជម្លោះគ្នាទៅវិញទៅមក ហើយការសម្របសម្រួលសមហេតុផលត្រូវតែស្វែងរក។
ភាពមិនច្បាស់លាស់នេះគឺជាការលំបាកចម្បង។ ដូច្នេះ​បើ​និយាយ​ពី​សន្តិសុខ យើង​មាន​ត្រីកោណ​មួយ​មាន​បី​ចំណុច​គឺ សន្តិសុខ ភាពងាយស្រួល​សម្រាប់​បុគ្គលិក តម្លៃ​នៃ​ដំណោះស្រាយ។
ហើយរាល់ពេលដែលអ្នកត្រូវរកមើលការសម្របសម្រួលរវាងអ្នកទាំងបីនេះ។

ស្ថាបត្យកម្ម

ជាឧទាហរណ៍នៃស្ថាបត្យកម្មសម្រាប់ផ្នែកទាំងពីរនេះ ដូចនៅក្នុងអត្ថបទមុន ខ្ញុំសូមណែនាំ ស៊ីស្កូសុវត្ថិភាព ម៉ូដែល៖ សាខាសហគ្រាស, គែមអ៊ីនធឺណិតសហគ្រាស.

ទាំងនេះគឺជាឯកសារហួសសម័យខ្លះ។ ខ្ញុំ​ធ្វើ​បទ​បង្ហាញ​ពួក​គេ​នៅ​ទី​នេះ ដោយ​សារ​តែ​គ្រោងការណ៍ និង​វិធីសាស្ត្រ​ជា​មូលដ្ឋាន​មិន​មាន​ការ​ផ្លាស់​ប្តូរ ប៉ុន្តែ​ទន្ទឹម​នឹង​នេះ ខ្ញុំ​ចូល​ចិត្ត​ការ​បង្ហាញ​ជាង ឯកសារថ្មី។.

ដោយមិនលើកទឹកចិត្តអ្នកឱ្យប្រើដំណោះស្រាយ Cisco ខ្ញុំនៅតែគិតថាវាមានប្រយោជន៍ក្នុងការសិក្សាការរចនានេះដោយប្រុងប្រយ័ត្ន។

តាមធម្មតា អត្ថបទនេះមិនធ្វើពុតជាពេញលេញទេ ប៉ុន្តែជាការបន្ថែមលើព័ត៌មាននេះ។

នៅចុងបញ្ចប់នៃអត្ថបទ យើងនឹងវិភាគការរចនាការិយាល័យ Cisco SAFE ទាក់ទងនឹងគោលគំនិតដែលបានរៀបរាប់នៅទីនេះ។

គោលការណ៍ទូទៅ

ជាការពិតណាស់ការរចនាបណ្តាញការិយាល័យត្រូវតែបំពេញតាមតម្រូវការទូទៅដែលបានពិភាក្សា នៅទីនេះ នៅក្នុងជំពូក "លក្ខណៈវិនិច្ឆ័យសម្រាប់ការវាយតម្លៃគុណភាពនៃការរចនា" ។ ក្រៅពីតម្លៃ និងសុវត្ថិភាព ដែលយើងមានបំណងពិភាក្សាក្នុងអត្ថបទនេះ វានៅតែមានលក្ខណៈវិនិច្ឆ័យបីដែលយើងត្រូវពិចារណានៅពេលរចនា (ឬធ្វើការផ្លាស់ប្តូរ)៖

• លទ្ធភាពធ្វើមាត្រដ្ឋាន
• ភាពងាយស្រួលនៃការប្រើប្រាស់ (ការគ្រប់គ្រង)
• ភាពអាចរកបាន

ភាគច្រើននៃអ្វីដែលត្រូវបានពិភាក្សាសម្រាប់ មជ្ឈមណ្ឌលទិន្នន័យ នេះក៏ជាការពិតសម្រាប់ការិយាល័យ។

ប៉ុន្តែនៅតែផ្នែកការិយាល័យមានលក្ខណៈជាក់លាក់របស់វា ដែលមានសារៈសំខាន់ពីទស្សនៈសុវត្ថិភាព។ ខ្លឹមសារនៃភាពជាក់លាក់នេះគឺថាផ្នែកនេះត្រូវបានបង្កើតឡើងដើម្បីផ្តល់សេវាបណ្តាញដល់បុគ្គលិក (ក៏ដូចជាដៃគូរ និងភ្ញៀវ) របស់ក្រុមហ៊ុន ហើយជាលទ្ធផល នៅកម្រិតខ្ពស់បំផុតនៃការពិចារណាលើបញ្ហា យើងមានកិច្ចការពីរ៖

• ការពារធនធានរបស់ក្រុមហ៊ុនពីសកម្មភាពព្យាបាទដែលអាចមកពីបុគ្គលិក (ភ្ញៀវ ដៃគូ) និងពីកម្មវិធីដែលពួកគេប្រើ។ នេះក៏រួមបញ្ចូលផងដែរនូវការការពារប្រឆាំងនឹងការភ្ជាប់ដោយគ្មានការអនុញ្ញាតទៅបណ្តាញ។
• ការពារប្រព័ន្ធ និងទិន្នន័យអ្នកប្រើប្រាស់

ហើយនេះគឺជាផ្នែកម្ខាងនៃបញ្ហា (ឬផ្ទុយទៅវិញ ចំនុចកំពូលមួយនៃត្រីកោណ)។ ម្ខាងទៀតគឺភាពងាយស្រួលរបស់អ្នកប្រើប្រាស់ និងតម្លៃនៃដំណោះស្រាយដែលបានប្រើ។

ចូរចាប់ផ្តើមដោយមើលនូវអ្វីដែលអ្នកប្រើប្រាស់រំពឹងពីបណ្តាញការិយាល័យទំនើប។

អាម៉ែន។

នេះ​ជា​អ្វី​ដែល "ភាព​ងាយស្រួល​ក្នុង​បណ្តាញ" មើលទៅ​សម្រាប់​អ្នក​ប្រើ​ការិយាល័យ​តាម​គំនិត​របស់​ខ្ញុំ៖

• ភាពចល័ត
• លទ្ធភាពប្រើប្រាស់ជួរពេញលេញនៃឧបករណ៍ដែលធ្លាប់ស្គាល់ និងប្រព័ន្ធប្រតិបត្តិការ
• ងាយស្រួលចូលទៅកាន់ធនធានក្រុមហ៊ុនចាំបាច់ទាំងអស់។
• ភាពអាចរកបាននៃធនធានអ៊ីនធឺណិត រួមទាំងសេវាកម្មពពកផ្សេងៗ
• "ប្រតិបត្តិការលឿន" នៃបណ្តាញ

ទាំងអស់នេះអនុវត្តចំពោះទាំងបុគ្គលិក និងភ្ញៀវ (ឬដៃគូ) ហើយវាជាភារកិច្ចរបស់វិស្វកររបស់ក្រុមហ៊ុនក្នុងការបែងចែកការចូលប្រើប្រាស់សម្រាប់ក្រុមអ្នកប្រើប្រាស់ផ្សេងៗគ្នាដោយផ្អែកលើការអនុញ្ញាត។

សូមក្រឡេកមើលទិដ្ឋភាពនីមួយៗនៃទិដ្ឋភាពទាំងនេះឱ្យកាន់តែលម្អិតបន្តិច។

ភាពចល័ត

យើងកំពុងនិយាយអំពីឱកាសដើម្បីធ្វើការ និងប្រើប្រាស់ធនធានក្រុមហ៊ុនចាំបាច់ទាំងអស់ពីគ្រប់ទិសទីក្នុងពិភពលោក (ជាការពិតណាស់ កន្លែងដែលអ៊ីនធឺណិតមាន)។

នេះអនុវត្តទាំងស្រុងចំពោះការិយាល័យ។ នេះជាការងាយស្រួលនៅពេលដែលអ្នកមានឱកាសបន្តធ្វើការពីគ្រប់កន្លែងនៅក្នុងការិយាល័យ ឧទាហរណ៍ ទទួលសំបុត្រ ទំនាក់ទំនងក្នុងសារសាជីវកម្ម អាចរកបានសម្រាប់ការហៅជាវីដេអូ ... ដូច្នេះ នេះអនុញ្ញាតឱ្យអ្នកនៅលើដៃម្ខាង។ ដើម្បីដោះស្រាយបញ្ហាមួយចំនួន ការប្រាស្រ័យទាក់ទង "បន្តផ្ទាល់" (ឧទាហរណ៍ ចូលរួមក្នុងការប្រមូលផ្តុំ) ហើយម្យ៉ាងវិញទៀត តែងតែនៅលើអ៊ីនធឺណិត រក្សាម្រាមដៃរបស់អ្នកនៅលើជីពចរ និងដោះស្រាយបញ្ហាបន្ទាន់មួយចំនួនដែលមានអាទិភាពខ្ពស់។ នេះគឺងាយស្រួលណាស់ ហើយពិតជាធ្វើអោយប្រសើរឡើងនូវគុណភាពនៃការទំនាក់ទំនង។

នេះត្រូវបានសម្រេចដោយការរចនាបណ្តាញ WiFi ត្រឹមត្រូវ។

ចំណាំ

នៅទីនេះសំណួរតែងតែកើតឡើង៖ តើវាគ្រប់គ្រាន់ក្នុងការប្រើតែវ៉ាយហ្វាយទេ? តើនេះមានន័យថាអ្នកអាចឈប់ប្រើច្រក Ethernet នៅក្នុងការិយាល័យបានទេ? ប្រសិនបើយើងនិយាយតែអំពីអ្នកប្រើប្រាស់ មិនមែនអំពីម៉ាស៊ីនមេទេ ដែលនៅតែសមហេតុផលក្នុងការតភ្ជាប់ជាមួយច្រក Ethernet ធម្មតា នោះជាទូទៅចម្លើយគឺ៖ បាទ អ្នកអាចដាក់កម្រិតខ្លួនអ្នកទៅ WiFi ប៉ុណ្ណោះ។ ប៉ុន្តែមាន nuances ។

មានក្រុមអ្នកប្រើប្រាស់សំខាន់ៗដែលទាមទារវិធីសាស្រ្តដាច់ដោយឡែក។ ជាការពិតណាស់ទាំងនេះគឺជាអ្នកគ្រប់គ្រង។ ជាគោលការណ៍ ការតភ្ជាប់វ៉ាយហ្វាយមានភាពជឿជាក់តិចជាង (ទាក់ទងនឹងការបាត់បង់ចរាចរណ៍) និងយឺតជាងច្រកអ៊ីសឺរណិតធម្មតា។ នេះអាចមានសារៈសំខាន់សម្រាប់អ្នកគ្រប់គ្រង។ លើសពីនេះ អ្នកគ្រប់គ្រងបណ្តាញ ជាគោលការណ៍អាចមានបណ្តាញអ៊ីសឺរណិតផ្ទាល់ខ្លួនសម្រាប់ការតភ្ជាប់ក្រៅបណ្តាញ។

ប្រហែលជាមានក្រុម/នាយកដ្ឋានផ្សេងទៀតនៅក្នុងក្រុមហ៊ុនរបស់អ្នក ដែលកត្តាទាំងនេះក៏សំខាន់ផងដែរ។

មានចំណុចសំខាន់មួយទៀត - ទូរស័ព្ទ។ ប្រហែលជាដោយសារហេតុផលមួយចំនួនដែលអ្នកមិនចង់ប្រើ Wireless VoIP ហើយចង់ប្រើទូរស័ព្ទ IP ជាមួយនឹងការតភ្ជាប់អ៊ីសឺរណិតធម្មតា។

ជាទូទៅ ក្រុមហ៊ុនដែលខ្ញុំបានធ្វើការជាធម្មតាមានទាំងការភ្ជាប់ WiFi និងច្រក Ethernet ។

ខ្ញុំ​ចង់​ឲ្យ​ការ​ចល័ត​មិន​កំណត់​ត្រឹម​តែ​ការិយាល័យ​ទេ។

ដើម្បីធានាបាននូវសមត្ថភាពក្នុងការធ្វើការពីផ្ទះ (ឬកន្លែងផ្សេងទៀតដែលមានអ៊ីនធឺណិតដែលអាចចូលប្រើបាន) ការតភ្ជាប់ VPN ត្រូវបានប្រើប្រាស់។ ទន្ទឹមនឹងនេះ វាជាការចង់បានដែលនិយោជិតមិនមានអារម្មណ៍ខុសគ្នារវាងការធ្វើការពីផ្ទះ និងការងារពីចម្ងាយ ដែលសន្មត់ថាមានសិទ្ធិចូលប្រើប្រាស់ដូចគ្នា។ យើង​នឹង​ពិភាក្សា​ពី​របៀប​រៀបចំ​វា​បន្តិច​ក្រោយ​មក​នៅ​ក្នុង​ជំពូក “ប្រព័ន្ធ​ផ្ទៀងផ្ទាត់​និង​ការ​អនុញ្ញាត​ដែល​មាន​លក្ខណៈ​កណ្តាល​បង្រួបបង្រួម”។

ចំណាំ

ភាគច្រើន អ្នកនឹងមិនអាចផ្តល់នូវគុណភាពដូចគ្នានៃសេវាកម្មពេញលេញសម្រាប់ការងារពីចម្ងាយដែលអ្នកមាននៅក្នុងការិយាល័យនោះទេ។ ឧបមាថាអ្នកកំពុងប្រើ Cisco ASA 5520 ជាច្រក VPN របស់អ្នក។ តារាងទិន្នន័យ ឧបករណ៍នេះមានសមត្ថភាព "រំលាយ" ត្រឹមតែ 225 Mbit នៃចរាចរ VPN ប៉ុណ្ណោះ។ នោះគឺជាការពិតណាស់នៅក្នុងលក្ខខណ្ឌនៃកម្រិតបញ្ជូន ការតភ្ជាប់តាមរយៈ VPN គឺខុសគ្នាខ្លាំងពីការធ្វើការពីការិយាល័យ។ ផងដែរ ប្រសិនបើហេតុផលមួយចំនួន ភាពយឺតយ៉ាវ ការបាត់បង់ ការកន្ត្រាក់ (ឧទាហរណ៍ អ្នកចង់ប្រើទូរស័ព្ទ IP ការិយាល័យ) សម្រាប់សេវាបណ្តាញរបស់អ្នកមានសារៈសំខាន់ អ្នកក៏នឹងមិនទទួលបានគុណភាពដូចអ្នកនៅក្នុងការិយាល័យដែរ។ ដូច្នេះហើយ នៅពេលនិយាយអំពីការចល័ត យើងត្រូវតែដឹងអំពីដែនកំណត់ដែលអាចកើតមាន។

ងាយស្រួលចូលទៅកាន់ធនធានក្រុមហ៊ុនទាំងអស់។

កិច្ចការនេះគួរតែត្រូវបានដោះស្រាយរួមគ្នាជាមួយនាយកដ្ឋានបច្ចេកទេសផ្សេងទៀត។
ស្ថានភាពដ៏ល្អគឺនៅពេលដែលអ្នកប្រើប្រាស់ត្រូវការផ្ទៀងផ្ទាត់តែម្តងប៉ុណ្ណោះ ហើយបន្ទាប់ពីនោះគាត់មានសិទ្ធិចូលប្រើប្រាស់ធនធានចាំបាច់ទាំងអស់។
ការផ្តល់ភាពងាយស្រួលដោយមិនមានការលះបង់សុវត្ថិភាពអាចជួយបង្កើនផលិតភាព និងកាត់បន្ថយភាពតានតឹងក្នុងចំណោមមិត្តរួមការងាររបស់អ្នក។

កំណត់សំគាល់ ១

ភាពងាយស្រួល​នៃ​ការចូល​ប្រើប្រាស់​មិនមែន​ត្រឹមតែ​ចំនួន​ដង​ដែល​អ្នក​ត្រូវ​បញ្ចូល​លេខ​សម្ងាត់​នោះទេ។ ជាឧទាហរណ៍ ប្រសិនបើអនុលោមតាមគោលការណ៍សុវត្ថិភាពរបស់អ្នក ដើម្បីភ្ជាប់ពីការិយាល័យទៅមជ្ឈមណ្ឌលទិន្នន័យ អ្នកត្រូវតែភ្ជាប់ទៅ VPN gateway ជាដំបូង ហើយក្នុងពេលតែមួយអ្នកបាត់បង់សិទ្ធិចូលប្រើធនធានការិយាល័យ នោះវាក៏ខ្លាំងណាស់ដែរ។ , រអាក់រអួលណាស់។

កំណត់សំគាល់ ១

មានសេវាកម្ម (ឧទាហរណ៍ ការចូលប្រើឧបករណ៍បណ្តាញ) ដែលជាធម្មតាយើងមានម៉ាស៊ីនមេ AAA ផ្ទាល់ខ្លួនរបស់យើង ហើយនេះគឺជាបទដ្ឋាននៅពេលដែលក្នុងករណីនេះយើងត្រូវផ្ទៀងផ្ទាត់ជាច្រើនដង។

ភាពអាចរកបាននៃធនធានអ៊ីនធឺណិត

អ៊ិនធឺណិតមិនត្រឹមតែជាការកម្សាន្តប៉ុណ្ណោះទេ ប៉ុន្តែក៏ជាសំណុំនៃសេវាកម្មដែលអាចមានប្រយោជន៍សម្រាប់ការងារផងដែរ។ វាក៏មានកត្តាចិត្តសាស្ត្រសុទ្ធសាធផងដែរ។ មនុស្សសម័យទំនើបត្រូវបានភ្ជាប់ជាមួយមនុស្សផ្សេងទៀតតាមរយៈអ៊ីនធឺណែតតាមរយៈបណ្តាញនិម្មិតជាច្រើន ហើយតាមគំនិតរបស់ខ្ញុំ វាគ្មានអ្វីខុសទេប្រសិនបើគាត់បន្តមានអារម្មណ៍ថាមានការតភ្ជាប់នេះសូម្បីតែពេលកំពុងធ្វើការក៏ដោយ។

តាមទស្សនៈនៃការខ្ជះខ្ជាយពេលវេលា វាមិនមានអ្វីខុសទេ ប្រសិនបើនិយោជិតជាឧទាហរណ៍ មានកម្មវិធី Skype ដំណើរការ ហើយចំណាយពេល 5 នាទីក្នុងការប្រាស្រ័យទាក់ទងជាមួយមនុស្សជាទីស្រឡាញ់ប្រសិនបើចាំបាច់។

តើ​នេះ​មាន​ន័យ​ថា​អ៊ីនធឺណិត​គួរ​តែ​មាន​ជា​និច្ច តើ​នេះ​មាន​ន័យ​ថា​បុគ្គលិក​អាច​ចូល​ប្រើប្រាស់​ធនធាន​ទាំង​អស់ ហើយ​មិន​អាច​គ្រប់គ្រង​ពួកគេ​តាម​មធ្យោបាយ​ណា​មួយ​ទេ?

ទេ មិនមែនមានន័យថាអញ្ចឹងទេ។ កម្រិតនៃការបើកអ៊ីនធឺណិតអាចប្រែប្រួលសម្រាប់ក្រុមហ៊ុនផ្សេងៗគ្នា - ពីការបិទពេញលេញរហូតដល់ការបើកចំហពេញលេញ។ យើង​នឹង​ពិភាក្សា​អំពី​វិធី​ក្នុង​ការ​គ្រប់​គ្រង​ចរាចរណ៍​នៅ​ពេល​ក្រោយ​ក្នុង​ផ្នែក​ស្តី​ពី​វិធានការ​សន្តិសុខ។

សមត្ថភាពក្នុងការប្រើជួរពេញលេញនៃឧបករណ៍ដែលធ្លាប់ស្គាល់

ជាឧទាហរណ៍ វាងាយស្រួលនៅពេលដែលអ្នកមានឱកាសបន្តប្រើប្រាស់គ្រប់មធ្យោបាយនៃការទំនាក់ទំនងដែលអ្នកធ្លាប់ប្រើនៅកន្លែងធ្វើការ។ មិនមានការលំបាកក្នុងការអនុវត្តបច្ចេកទេសនេះទេ។ សម្រាប់ការនេះអ្នកត្រូវការ WiFi និង Wilan ភ្ញៀវ។

វាក៏ល្អផងដែរ ប្រសិនបើអ្នកមានឱកាសប្រើប្រព័ន្ធប្រតិបត្តិការដែលអ្នកធ្លាប់ប្រើ។ ប៉ុន្តែ តាម​ការ​សង្កេត​របស់​ខ្ញុំ នេះ​ជា​ធម្មតា​ត្រូវ​បាន​អនុញ្ញាត​សម្រាប់​តែ​អ្នក​គ្រប់គ្រង អ្នក​គ្រប់គ្រង និង​អ្នក​អភិវឌ្ឍន៍​ប៉ុណ្ណោះ។

ឧទាហរណ៍:

ជាការពិតណាស់ អ្នកអាចដើរតាមគន្លងនៃការហាមឃាត់ ហាមឃាត់ការចូលប្រើពីចម្ងាយ ហាមឃាត់ការតភ្ជាប់ពីឧបករណ៍ចល័ត កំណត់អ្វីគ្រប់យ៉ាងចំពោះការតភ្ជាប់អ៊ីសឺរណិតឋិតិវន្ត កំណត់ការចូលប្រើអ៊ីនធឺណិត រឹបអូសទូរសព្ទ និងឧបករណ៍ដោយបង្ខំនៅប៉ុស្តិ៍ត្រួតពិនិត្យ... ហើយផ្លូវនេះ តាមការពិតគឺត្រូវបានអនុវត្តតាមដោយអង្គការមួយចំនួនដែលមានតម្រូវការសន្តិសុខកើនឡើង ហើយប្រហែលជាក្នុងករណីខ្លះ វាអាចមានភាពយុត្តិធម៌ ប៉ុន្តែ... អ្នកត្រូវតែយល់ព្រមថាវាមើលទៅដូចជាការប៉ុនប៉ងដើម្បីបញ្ឈប់ការរីកចម្រើននៅក្នុងអង្គការតែមួយ។ ជាការពិតណាស់ខ្ញុំចង់បញ្ចូលគ្នានូវឱកាសដែលបច្ចេកវិទ្យាទំនើបផ្តល់ជាមួយនឹងកម្រិតសុវត្ថិភាពគ្រប់គ្រាន់។

"ប្រតិបត្តិការលឿន" នៃបណ្តាញ

ល្បឿនផ្ទេរទិន្នន័យតាមបច្ចេកទេសមានកត្តាជាច្រើន។ ហើយល្បឿននៃច្រកតភ្ជាប់របស់អ្នកជាធម្មតាមិនមែនជាអ្វីដែលសំខាន់បំផុតនោះទេ។ ដំណើរការយឺតនៃកម្មវិធីមិនតែងតែជាប់ទាក់ទងនឹងបញ្ហាបណ្តាញនោះទេ ប៉ុន្តែសម្រាប់ពេលនេះ យើងចាប់អារម្មណ៍តែផ្នែកបណ្តាញប៉ុណ្ណោះ។ បញ្ហាទូទៅបំផុតជាមួយបណ្តាញមូលដ្ឋាន "ការយឺតយ៉ាវ" គឺទាក់ទងនឹងការបាត់បង់កញ្ចប់ព័ត៌មាន។ ជាធម្មតាវាកើតឡើងនៅពេលដែលមានបញ្ហាស្ទះ ឬ L1 (OSI)។ កម្រជាងនេះទៅទៀត ជាមួយនឹងការរចនាមួយចំនួន (ឧទាហរណ៍ នៅពេលដែលបណ្តាញរងរបស់អ្នកមានជញ្ជាំងភ្លើងជាច្រកចេញចូលលំនាំដើម ហើយដូច្នេះចរាចរទាំងអស់ឆ្លងកាត់វា) ដំណើរការផ្នែករឹងអាចនឹងខ្វះខាត។

ដូច្នេះនៅពេលជ្រើសរើសឧបករណ៍ និងស្ថាបត្យកម្ម អ្នកត្រូវកែតម្រូវល្បឿននៃច្រកចុង ប្រម៉ោយ និងដំណើរការឧបករណ៍។

ឧទាហរណ៍:

ឧបមាថាអ្នកកំពុងប្រើកុងតាក់ដែលមានច្រក 1 ជីហ្គាប៊ីតជាឧបករណ៍ប្តូរស្រទាប់ចូល។ ពួកវាត្រូវបានភ្ជាប់ទៅគ្នាទៅវិញទៅមកតាមរយៈ Etherchannel 2 x 10 gigabits ។ ជាច្រកចេញចូលលំនាំដើម អ្នកប្រើជញ្ជាំងភ្លើងដែលមានច្រក gigabit ដើម្បីភ្ជាប់ទៅបណ្តាញការិយាល័យ L2 អ្នកប្រើច្រក 2 gigabit រួមបញ្ចូលគ្នាទៅក្នុង Etherchannel ។

ស្ថាបត្យកម្ម​នេះ​គឺ​មាន​ភាព​ងាយ​ស្រួល​តាម​ទស្សនៈ​មុខងារ​ដោយ​សារ​តែ... ចរាចរណ៍ទាំងអស់ឆ្លងកាត់ជញ្ជាំងភ្លើង ហើយអ្នកអាចគ្រប់គ្រងគោលការណ៍ចូលដំណើរការបានយ៉ាងងាយស្រួល និងអនុវត្តក្បួនដោះស្រាយស្មុគស្មាញដើម្បីគ្រប់គ្រងចរាចរណ៍ និងការពារការវាយប្រហារដែលអាចកើតមាន (សូមមើលខាងក្រោម) ប៉ុន្តែតាមទស្សនៈ និងការអនុវត្តនៃការរចនានេះ ពិតណាស់មានបញ្ហាដែលអាចកើតមាន។ ដូច្នេះ ជាឧទាហរណ៍ ម៉ាស៊ីន 2 ដែលទាញយកទិន្នន័យ (ជាមួយនឹងល្បឿនច្រក 1 ជីហ្គាប៊ីត) អាចផ្ទុកទាំងស្រុងនូវការភ្ជាប់ 2 ជីហ្គាប៊ីតទៅជញ្ជាំងភ្លើង ហើយដូច្នេះនាំឱ្យខូចសេវាកម្មសម្រាប់ផ្នែកការិយាល័យទាំងមូល។

យើងបានមើលចំនុចកំពូលមួយនៃត្រីកោណ ឥឡូវនេះសូមមើលពីរបៀបដែលយើងអាចធានាបាននូវសុវត្ថិភាព។

ដំណោះស្រាយ

ដូច្នេះ ជាធម្មតា បំណងប្រាថ្នារបស់យើង (ឬផ្ទុយទៅវិញ បំណងប្រាថ្នានៃការគ្រប់គ្រងរបស់យើង) គឺដើម្បីសម្រេចបាននូវអ្វីដែលមិនអាចទៅរួច ពោលគឺផ្តល់នូវភាពងាយស្រួលជាអតិបរមា ជាមួយនឹងសុវត្ថិភាពអតិបរមា និងការចំណាយអប្បបរមា។

សូមក្រឡេកមើលថាតើយើងមានវិធីសាស្រ្តអ្វីខ្លះដើម្បីផ្តល់ការការពារ។

សម្រាប់ការិយាល័យ ខ្ញុំនឹងគូសបញ្ជាក់ដូចខាងក្រោម៖

• វិធីសាស្រ្តមិនទុកចិត្តចំពោះការរចនា
• កម្រិតខ្ពស់នៃការការពារ
• ភាពមើលឃើញនៃបណ្តាញ
• ប្រព័ន្ធ​ផ្ទៀងផ្ទាត់​និង​ការអនុញ្ញាត​ដោយ​បង្រួបបង្រួម​កណ្តាល
• ការត្រួតពិនិត្យម៉ាស៊ីន

បន្ទាប់ យើងនឹងរៀបរាប់លម្អិតបន្ថែមទៀតអំពីទិដ្ឋភាពនីមួយៗនៃទិដ្ឋភាពទាំងនេះ។

សូន្យទុកចិត្ត

ពិភព IT កំពុងផ្លាស់ប្តូរយ៉ាងលឿន។ ក្នុងរយៈពេល 10 ឆ្នាំចុងក្រោយនេះ ការលេចចេញនូវបច្ចេកវិទ្យា និងផលិតផលថ្មីៗបាននាំឱ្យមានការកែប្រែដ៏សំខាន់នៃគំនិតសុវត្ថិភាព។ កាលពី 2 ឆ្នាំមុន តាមទស្សនៈសុវត្ថិភាព យើងបានបែងចែកបណ្តាញទៅជាតំបន់ជឿទុកចិត្ត dmz និងតំបន់មិនគួរឱ្យទុកចិត្ត ហើយបានប្រើអ្វីដែលគេហៅថា "ការការពារបរិវេណ" ដែលជាកន្លែងដែលមានខ្សែការពារ 3: untrust -> dmz និង dmz -> ទុកចិត្ត។ ដូចគ្នានេះផងដែរ ការការពារជាធម្មតាត្រូវបានកំណត់ចំពោះការចូលប្រើបញ្ជីដោយផ្អែកលើបឋមកថា L4/L7 (OSI) (IP, ច្រក TCP/UDP, ទង់ TCP) ។ អ្វីគ្រប់យ៉ាងដែលទាក់ទងនឹងកម្រិតខ្ពស់ រួមទាំង LXNUMX ត្រូវបានទុកសម្រាប់ OS និងផលិតផលសុវត្ថិភាពដែលបានដំឡើងនៅលើម៉ាស៊ីនចុងក្រោយ។

ឥឡូវនេះស្ថានភាពបានផ្លាស់ប្តូរយ៉ាងខ្លាំង។ គំនិតទំនើប ការជឿទុកចិត្តសូន្យ កើតចេញពីការពិតដែលថាវាមិនអាចពិចារណាប្រព័ន្ធខាងក្នុងបានទៀតទេ ពោលគឺអ្នកដែលមានទីតាំងនៅខាងក្នុងបរិវេណដូចដែលគួរឱ្យទុកចិត្ត ហើយគំនិតនៃបរិវេណខ្លួនវាបានក្លាយទៅជាព្រិលៗ។
បន្ថែមពីលើការតភ្ជាប់អ៊ីធឺណិតយើងក៏មានផងដែរ។

• អ្នកប្រើប្រាស់ VPN ចូលប្រើពីចម្ងាយ
• ឧបករណ៍ផ្ទាល់ខ្លួនផ្សេងៗ កុំព្យូទ័រយួរដៃនាំយកមក ភ្ជាប់តាមរយៈវ៉ាយហ្វាយការិយាល័យ
• ការិយាល័យ (សាខា) ផ្សេងទៀត។
• ការរួមបញ្ចូលជាមួយហេដ្ឋារចនាសម្ព័ន្ធពពក

តើវិធីសាស្រ្ត Zero Trust មើលទៅដូចអ្វីនៅក្នុងការអនុវត្ត?

តាមឧត្ដមគតិ មានតែចរាចរណ៍ដែលត្រូវបានទាមទារប៉ុណ្ណោះដែលត្រូវបានអនុញ្ញាត ហើយប្រសិនបើយើងកំពុងនិយាយអំពីឧត្តមគតិ នោះការគ្រប់គ្រងគួរតែមិនត្រឹមតែនៅកម្រិត L3/L4 ប៉ុណ្ណោះទេ ប៉ុន្តែនៅកម្រិតកម្មវិធី។

ជាឧទាហរណ៍ ប្រសិនបើអ្នកមានលទ្ធភាពឆ្លងកាត់ចរាចរណ៍ទាំងអស់តាមរយៈជញ្ជាំងភ្លើង នោះអ្នកអាចព្យាយាមចូលទៅជិតឧត្តមគតិ។ ប៉ុន្តែវិធីសាស្រ្តនេះអាចកាត់បន្ថយកម្រិតបញ្ជូនសរុបនៃបណ្តាញរបស់អ្នកយ៉ាងខ្លាំង ហើយក្រៅពីនេះ ការត្រងតាមកម្មវិធីមិនតែងតែដំណើរការល្អនោះទេ។

នៅពេលគ្រប់គ្រងចរាចរណ៍នៅលើរ៉ោតទ័រ ឬកុងតាក់ L3 (ដោយប្រើ ACLs ស្តង់ដារ) អ្នកជួបប្រទះបញ្ហាផ្សេងទៀត៖

• នេះគ្រាន់តែជាតម្រង L3/L4 ប៉ុណ្ណោះ។ មិនមានអ្វីរារាំងអ្នកវាយប្រហារពីការប្រើប្រាស់ច្រកដែលបានអនុញ្ញាត (ឧទាហរណ៍ TCP 80) សម្រាប់កម្មវិធីរបស់ពួកគេ (មិនមែន http)
• ការគ្រប់គ្រង ACL ស្មុគស្មាញ (ពិបាកក្នុងការញែក ACLs)
• នេះមិនមែនជាជញ្ជាំងភ្លើងពេញលេញទេ មានន័យថាអ្នកត្រូវអនុញ្ញាតឱ្យចរាចរណ៍បញ្ច្រាស់យ៉ាងច្បាស់
• ជាមួយនឹងកុងតាក់ ជាធម្មតាអ្នកត្រូវបានកំណត់យ៉ាងតឹងរ៉ឹងដោយទំហំនៃ TCAM ដែលអាចក្លាយជាបញ្ហាយ៉ាងឆាប់រហ័ស ប្រសិនបើអ្នកប្រើវិធីសាស្រ្ត "អនុញ្ញាតតែអ្វីដែលអ្នកត្រូវការ"

ចំណាំ

និយាយអំពីចរាចរណ៍បញ្ច្រាស យើងត្រូវតែចងចាំថាយើងមានឱកាសដូចខាងក្រោម (ស៊ីស្កូ)

អនុញ្ញាតឱ្យ tcp ណាមួយដែលបានបង្កើតឡើង

ប៉ុន្តែអ្នកត្រូវយល់ថាបន្ទាត់នេះគឺស្មើនឹងពីរបន្ទាត់៖
អនុញ្ញាតឱ្យ tcp ណាមួយ ack
អនុញ្ញាតឱ្យ tcp ណាមួយដំបូង

ដែលមានន័យថា ទោះបីជាមិនមានផ្នែក TCP ដំបូងដែលមានទង់ SYN (នោះគឺវគ្គ TCP មិនបានចាប់ផ្តើមបង្កើត) ACL នេះនឹងអនុញ្ញាតឱ្យកញ្ចប់ព័ត៌មានដែលមានទង់ ACK ដែលអ្នកវាយប្រហារអាចប្រើដើម្បីផ្ទេរទិន្នន័យ។

នោះគឺ ខ្សែនេះមិនអាចប្រែ Router ឬ L3 របស់អ្នកទៅជា firewall ពេញលេញបានទេ។

កម្រិតខ្ពស់នៃការការពារ

В អត្ថបទ នៅក្នុងផ្នែកស្តីពីមជ្ឈមណ្ឌលទិន្នន័យ យើងបានពិចារណាលើវិធីសាស្ត្រការពារខាងក្រោម។

• ជញ្ជាំងភ្លើងរដ្ឋ (លំនាំដើម)
• ការការពារ ddos/dos
• ជញ្ជាំងភ្លើងកម្មវិធី
• ការការពារការគំរាមកំហែង (កំចាត់មេរោគ ប្រឆាំង spyware និងភាពងាយរងគ្រោះ)
• ត្រង URL
• តម្រងទិន្នន័យ (តម្រងមាតិកា)
• ការទប់ស្កាត់ឯកសារ (ការទប់ស្កាត់ប្រភេទឯកសារ)

ក្នុងករណីការិយាល័យស្ថានភាពគឺស្រដៀងគ្នាប៉ុន្តែអាទិភាពខុសគ្នាបន្តិចបន្តួច។ ភាពអាចរកបាននៃការិយាល័យ (ភាពអាចរកបាន) ជាធម្មតាមិនសំខាន់ដូចនៅក្នុងករណីនៃមជ្ឈមណ្ឌលទិន្នន័យនោះទេ ខណៈពេលដែលលទ្ធភាពនៃចរាចរព្យាបាទ "ខាងក្នុង" គឺមានលំដាប់ខ្ពស់ជាង។
ដូច្នេះ វិធីសាស្ត្រការពារខាងក្រោមសម្រាប់ផ្នែកនេះក្លាយជាកត្តាសំខាន់៖

• ជញ្ជាំងភ្លើងកម្មវិធី
• ការការពារការគំរាមកំហែង (ប្រឆាំងមេរោគ ប្រឆាំង spyware និងភាពងាយរងគ្រោះ)
• ត្រង URL
• តម្រងទិន្នន័យ (តម្រងមាតិកា)
• ការទប់ស្កាត់ឯកសារ (ការទប់ស្កាត់ប្រភេទឯកសារ)

ទោះបីជាវិធីសាស្រ្តការពារទាំងអស់នេះ លើកលែងតែជញ្ជាំងភ្លើងកម្មវិធីមានជាប្រពៃណី និងបន្តត្រូវបានដោះស្រាយនៅលើម៉ាស៊ីនចុងក្រោយ (ឧទាហរណ៍ តាមរយៈការដំឡើងកម្មវិធីកំចាត់មេរោគ) និងការប្រើប្រាស់ប្រូកស៊ី NGFWs ទំនើបក៏ផ្តល់សេវាកម្មទាំងនេះផងដែរ។

អ្នកលក់គ្រឿងបរិក្ខាសុវត្ថិភាពខិតខំបង្កើតការការពារដ៏ទូលំទូលាយ ដូច្នេះរួមជាមួយការការពារក្នុងតំបន់ ពួកគេផ្តល់ជូននូវបច្ចេកវិទ្យាពពកផ្សេងៗ និងកម្មវិធីអតិថិជនសម្រាប់ម៉ាស៊ីន (ការការពារចំណុចបញ្ចប់/EPP)។ ដូច្នេះឧទាហរណ៍ពី ឆ្នាំ 2018 Gartner Magic Quadrant យើងឃើញថា Palo Alto និង Cisco មាន EPPs ផ្ទាល់របស់ពួកគេ (PA: Traps, Cisco: AMP) ប៉ុន្តែនៅឆ្ងាយពីអ្នកដឹកនាំ។

ការបើកការការពារទាំងនេះ (ជាធម្មតាដោយការទិញអាជ្ញាបណ្ណ) នៅលើជញ្ជាំងភ្លើងរបស់អ្នក មិនមែនជាការចាំបាច់ទេ (អ្នកអាចទៅតាមផ្លូវប្រពៃណី) ប៉ុន្តែវាផ្តល់អត្ថប្រយោជន៍មួយចំនួន៖

• ក្នុងករណីនេះមានចំណុចតែមួយនៃការអនុវត្តវិធីសាស្រ្តការពារ ដែលធ្វើអោយប្រសើរឡើងនូវភាពមើលឃើញ (សូមមើលប្រធានបទបន្ទាប់)។
• ប្រសិនបើមានឧបករណ៍ដែលមិនបានការពារនៅលើបណ្តាញរបស់អ្នក នោះវានៅតែស្ថិតនៅក្រោម "ឆ័ត្រ" នៃការការពារជញ្ជាំងភ្លើង
• ដោយប្រើការការពារជញ្ជាំងភ្លើងដោយភ្ជាប់ជាមួយការការពារម៉ាស៊ីនបញ្ចប់ យើងបង្កើនលទ្ធភាពនៃការរកឃើញចរាចរដែលមានគំនិតអាក្រក់។ ជាឧទាហរណ៍ ការប្រើប្រាស់ការការពារការគំរាមកំហែងនៅលើម៉ាស៊ីនក្នុងស្រុក និងនៅលើជញ្ជាំងភ្លើងបង្កើនលទ្ធភាពនៃការរកឃើញ (ជាការពិតណាស់ដែលបានផ្តល់ឱ្យថាដំណោះស្រាយទាំងនេះគឺផ្អែកលើផលិតផលកម្មវិធីផ្សេងៗគ្នា)

ចំណាំ

ឧទាហរណ៍ ប្រសិនបើអ្នកប្រើ Kaspersky ជាកំចាត់មេរោគទាំងនៅលើជញ្ជាំងភ្លើង និងនៅលើម៉ាស៊ីនចុងក្រោយ នោះជាការពិតណាស់ នេះនឹងមិនបង្កើនឱកាសរបស់អ្នកក្នុងការការពារការវាយប្រហារមេរោគនៅលើបណ្តាញរបស់អ្នកទេ។

ភាពមើលឃើញបណ្តាញ

គំនិតចម្បង គឺសាមញ្ញ - "មើល" នូវអ្វីដែលកំពុងកើតឡើងនៅលើបណ្តាញរបស់អ្នក ទាំងនៅក្នុងពេលវេលាជាក់ស្តែង និងទិន្នន័យប្រវត្តិសាស្រ្ត។

ខ្ញុំនឹងបែងចែក "ចក្ខុវិស័យ" នេះទៅជាពីរក្រុម៖

ក្រុមទី ១៖ អ្វីដែលប្រព័ន្ធត្រួតពិនិត្យរបស់អ្នកជាធម្មតាផ្តល់ឱ្យអ្នកនូវ។

• ការផ្ទុកឧបករណ៍
• កំពុងផ្ទុកឆានែល
• ការប្រើប្រាស់អង្គចងចាំ
• ការប្រើប្រាស់ថាស
• ការផ្លាស់ប្តូរតារាងនាំផ្លូវ
• ស្ថានភាពតំណ
• ភាពអាចរកបាននៃឧបករណ៍ (ឬម៉ាស៊ីន)
• ...

ក្រុមទី ២៖ ព័ត៌មានទាក់ទងនឹងសុវត្ថិភាព។

• ប្រភេទផ្សេងៗនៃស្ថិតិ (ឧទាហរណ៍តាមកម្មវិធី តាមចរាចរណ៍ URL ប្រភេទទិន្នន័យណាខ្លះត្រូវបានទាញយក ទិន្នន័យអ្នកប្រើប្រាស់)
• អ្វីដែលត្រូវបានរារាំងដោយគោលនយោបាយសន្តិសុខ និងសម្រាប់ហេតុផលអ្វី ពោលគឺ
  • កម្មវិធីហាមឃាត់
  • ត្រូវបានហាមឃាត់ដោយផ្អែកលើ ip/protocol/port/flags/zones
  • ការការពារការគំរាមកំហែង
  • តម្រង url
  • តម្រងទិន្នន័យ
  • ការទប់ស្កាត់ឯកសារ
  • ...
• ស្ថិតិលើការវាយប្រហារ DOS/DDOS
• បរាជ័យក្នុងការកំណត់អត្តសញ្ញាណ និងការព្យាយាមអនុញ្ញាត
• ស្ថិតិសម្រាប់ព្រឹត្តិការណ៍បំពានគោលនយោបាយសុវត្ថិភាពខាងលើទាំងអស់។
• ...

នៅក្នុងជំពូកស្តីពីសុវត្ថិភាពនេះ យើងចាប់អារម្មណ៍លើផ្នែកទីពីរ។

ជញ្ជាំងភ្លើងទំនើបមួយចំនួន (ពីបទពិសោធន៍របស់ខ្ញុំ Palo Alto) ផ្តល់នូវកម្រិតមើលឃើញល្អ។ ប៉ុន្តែជាការពិតណាស់ ចរាចរណ៍ដែលអ្នកចាប់អារម្មណ៍ត្រូវតែឆ្លងកាត់ជញ្ជាំងភ្លើងនេះ (ក្នុងករណីដែលអ្នកមានលទ្ធភាពទប់ស្កាត់ចរាចរណ៍) ឬឆ្លុះបញ្ចាំងទៅជញ្ជាំងភ្លើង (ប្រើសម្រាប់តែការត្រួតពិនិត្យ និងវិភាគ) ហើយអ្នកត្រូវតែមានអាជ្ញាប័ណ្ណដើម្បីបើកដំណើរការទាំងអស់។ សេវាកម្មទាំងនេះ។

ជា​ការ​ពិត​ណាស់ មាន​វិធី​ជំនួស ឬ​ជា​វិធី​បែប​ប្រពៃណី ជា​ឧទាហរណ៍។

• ស្ថិតិសម័យអាចប្រមូលបានតាមរយៈលំហូរបណ្តាញ ហើយបន្ទាប់មកប្រើឧបករណ៍ប្រើប្រាស់ពិសេសសម្រាប់ការវិភាគព័ត៌មាន និងការមើលឃើញទិន្នន័យ
• ការការពារការគំរាមកំហែង - កម្មវិធីពិសេស (ប្រឆាំងមេរោគ ប្រឆាំង spyware ជញ្ជាំងភ្លើង) នៅលើម៉ាស៊ីនចុងក្រោយ
• តម្រង URL, តម្រងទិន្នន័យ, ការទប់ស្កាត់ឯកសារ - នៅលើប្រូកស៊ី
• វាក៏អាចធ្វើទៅបានដើម្បីវិភាគ tcpdump ដោយប្រើឧ។ ស្រមុក

អ្នកអាចបញ្ចូលគ្នានូវវិធីសាស្រ្តទាំងពីរនេះ ដោយបំពេញបន្ថែមមុខងារដែលបាត់ ឬចម្លងពួកវា ដើម្បីបង្កើនលទ្ធភាពនៃការរកឃើញការវាយប្រហារ។

តើវិធីសាស្រ្តមួយណាដែលអ្នកគួរជ្រើសរើស?
អាស្រ័យយ៉ាងខ្លាំងទៅលើលក្ខណៈសម្បត្តិ និងចំណូលចិត្តរបស់ក្រុមរបស់អ្នក។
ទាំង​នៅ​ទីនោះ មាន​ទាំង​គុណសម្បត្តិ និង​គុណវិបត្តិ។

ប្រព័ន្ធ​ផ្ទៀងផ្ទាត់​និង​ការអនុញ្ញាត​ដោយ​បង្រួបបង្រួម​កណ្តាល

នៅពេលរចនាបានល្អ ភាពចល័តដែលយើងបានពិភាក្សានៅក្នុងអត្ថបទនេះសន្មត់ថាអ្នកមានសិទ្ធិចូលដំណើរការដូចគ្នា មិនថាអ្នកកំពុងធ្វើការពីការិយាល័យ ឬពីផ្ទះ ពីអាកាសយានដ្ឋាន ពីហាងកាហ្វេ ឬកន្លែងផ្សេងទៀត (ជាមួយនឹងដែនកំណត់ដែលយើងបានពិភាក្សាខាងលើ)។ វាហាក់ដូចជា, តើអ្វីជាបញ្ហា?
ដើម្បីយល់កាន់តែច្បាស់ពីភាពស្មុគស្មាញនៃកិច្ចការនេះ សូមក្រឡេកមើលការរចនាធម្មតា។

ឧទាហរណ៍:

• អ្នកបានបែងចែកបុគ្គលិកទាំងអស់ជាក្រុម។ អ្នកបានសម្រេចចិត្តផ្តល់សិទ្ធិចូលប្រើប្រាស់ដោយក្រុម
• នៅខាងក្នុងការិយាល័យ អ្នកគ្រប់គ្រងការចូលប្រើនៅលើជញ្ជាំងភ្លើងការិយាល័យ
• អ្នកគ្រប់គ្រងចរាចរណ៍ពីការិយាល័យទៅមជ្ឈមណ្ឌលទិន្នន័យនៅលើជញ្ជាំងភ្លើងមជ្ឈមណ្ឌលទិន្នន័យ
• អ្នកប្រើ Cisco ASA ជាច្រក VPN ហើយដើម្បីគ្រប់គ្រងចរាចរណ៍ចូលបណ្តាញរបស់អ្នកពីអតិថិជនពីចម្ងាយ អ្នកប្រើ ACLs ក្នុងស្រុក (នៅលើ ASA)

ឥឡូវនេះ ចូរនិយាយថាអ្នកត្រូវបានស្នើឱ្យបន្ថែមការចូលប្រើបន្ថែមទៅបុគ្គលិកជាក់លាក់។ ក្នុង​ករណី​នេះ អ្នក​ត្រូវ​បាន​ស្នើ​ឱ្យ​បន្ថែម​ការ​ចូល​ដំណើរ​ការ​សម្រាប់​តែ​គាត់ ហើយ​គ្មាន​អ្នក​ផ្សេង​ពី​ក្រុម​របស់​គាត់​ទេ។

សម្រាប់រឿងនេះ យើងត្រូវបង្កើតក្រុមដាច់ដោយឡែកមួយសម្រាប់បុគ្គលិកនេះ ពោលគឺ

• បង្កើតអាង IP ដាច់ដោយឡែកនៅលើ ASA សម្រាប់បុគ្គលិកនេះ។
• បន្ថែម ACL ថ្មីនៅលើ ASA ហើយចងវាទៅម៉ាស៊ីនភ្ញៀវពីចម្ងាយនោះ។
• បង្កើតគោលការណ៍សុវត្ថិភាពថ្មីលើជញ្ជាំងភ្លើងការិយាល័យ និងមជ្ឈមណ្ឌលទិន្នន័យ

វាល្អប្រសិនបើព្រឹត្តិការណ៍នេះកម្រណាស់។ ប៉ុន្តែនៅក្នុងការអនុវត្តរបស់ខ្ញុំមានស្ថានភាពមួយនៅពេលដែលនិយោជិតបានចូលរួមក្នុងគម្រោងផ្សេងៗគ្នា ហើយសំណុំនៃគម្រោងនេះសម្រាប់ពួកគេមួយចំនួនបានផ្លាស់ប្តូរជាញឹកញាប់ ហើយវាមិនមែន 1-2 នាក់ទេ ប៉ុន្តែមានមនុស្សរាប់សិបនាក់។ ជា​ការ​ពិត​ណាស់ មាន​អ្វី​មួយ​ត្រូវ​ផ្លាស់​ប្តូរ​នៅ​ទីនេះ។

នេះត្រូវបានដោះស្រាយតាមវិធីខាងក្រោម។

យើងបានសម្រេចចិត្តថា LDAP នឹងក្លាយជាប្រភពនៃការពិតតែមួយគត់ដែលកំណត់ការចូលដំណើរការរបស់បុគ្គលិកដែលអាចធ្វើទៅបាន។ យើងបានបង្កើតក្រុមគ្រប់ប្រភេទដែលកំណត់សំណុំនៃការចូលប្រើប្រាស់ ហើយយើងបានកំណត់អ្នកប្រើប្រាស់ម្នាក់ៗទៅក្រុមមួយ ឬច្រើន។

ដូច្នេះ ជាឧទាហរណ៍ ឧបមាថាមានក្រុម

• ភ្ញៀវ (ចូលប្រើអ៊ីនធឺណិត)
• ការចូលប្រើទូទៅ (ចូលប្រើធនធានចែករំលែក៖ សំបុត្រ មូលដ្ឋានចំណេះដឹង ... )
• គណនេយ្យ
• គម្រោង 1
• គម្រោង 2
• អ្នកគ្រប់គ្រងមូលដ្ឋានទិន្នន័យ
• អ្នកគ្រប់គ្រងលីនុច
• ...

ហើយប្រសិនបើនិយោជិតម្នាក់បានចូលរួមក្នុងគម្រោងទី 1 និងគម្រោងទី 2 ហើយគាត់ត្រូវការសិទ្ធិចូលដំណើរការចាំបាច់ដើម្បីធ្វើការនៅក្នុងគម្រោងទាំងនេះ នោះបុគ្គលិកនេះត្រូវបានចាត់តាំងទៅក្រុមដូចខាងក្រោមៈ

• ភ្ញៀវ
• ការចូលប្រើប្រាស់ទូទៅ
• គម្រោង 1
• គម្រោង 2

តើឥឡូវនេះយើងអាចបង្វែរព័ត៌មាននេះទៅជាការចូលប្រើឧបករណ៍បណ្តាញដោយរបៀបណា?

Cisco ASA Dynamic Access Policy (DAP) (សូមមើល www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) ដំណោះស្រាយគឺត្រឹមត្រូវសម្រាប់កិច្ចការនេះ។

ដោយសង្ខេបអំពីការអនុវត្តរបស់យើង ក្នុងអំឡុងពេលដំណើរការកំណត់អត្តសញ្ញាណ/ការអនុញ្ញាត ASA ទទួលបានពី LDAP នូវក្រុមមួយក្រុមដែលត្រូវនឹងអ្នកប្រើប្រាស់ដែលបានផ្តល់ឱ្យ ហើយ "ប្រមូល" ពី ACLs ក្នុងស្រុកជាច្រើន (ក្រុមនីមួយៗត្រូវគ្នាទៅនឹងក្រុមមួយ) ACL ថាមវន្តជាមួយនឹងការចូលប្រើចាំបាច់ទាំងអស់។ ដែលត្រូវគ្នាយ៉ាងពេញលេញទៅនឹងបំណងប្រាថ្នារបស់យើង។

ប៉ុន្តែនេះគឺសម្រាប់តែការភ្ជាប់ VPN ប៉ុណ្ណោះ។ ដើម្បីធ្វើឱ្យស្ថានភាពដូចគ្នាសម្រាប់បុគ្គលិកទាំងពីរដែលភ្ជាប់តាមរយៈ VPN និងអ្នកនៅក្នុងការិយាល័យ ជំហានខាងក្រោមត្រូវបានអនុវត្តន៍។

នៅពេលភ្ជាប់ពីការិយាល័យ អ្នកប្រើប្រាស់ដែលប្រើពិធីការ 802.1x បានបញ្ចប់ទាំងនៅក្នុង LAN ភ្ញៀវ (សម្រាប់ភ្ញៀវ) ឬ LAN រួម (សម្រាប់បុគ្គលិកក្រុមហ៊ុន)។ លើសពីនេះ ដើម្បីទទួលបានការចូលប្រើប្រាស់ជាក់លាក់ (ឧទាហរណ៍ គម្រោងនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យ) បុគ្គលិកត្រូវភ្ជាប់តាមរយៈ VPN ។

ដើម្បីភ្ជាប់ពីការិយាល័យ និងពីផ្ទះ ក្រុមផ្លូវរូងក្រោមដីផ្សេងគ្នាត្រូវបានប្រើនៅលើ ASA ។ នេះជាការចាំបាច់ ដូច្នេះសម្រាប់អ្នកដែលភ្ជាប់ពីការិយាល័យ ចរាចរទៅកាន់ធនធានដែលបានចែករំលែក (ប្រើប្រាស់ដោយបុគ្គលិកទាំងអស់ ដូចជាសំបុត្រ ម៉ាស៊ីនបម្រើឯកសារ ប្រព័ន្ធសំបុត្រ dns ...) មិនឆ្លងកាត់ ASA ទេ ប៉ុន្តែតាមរយៈបណ្តាញមូលដ្ឋាន . ដូច្នេះហើយ យើងមិនបានផ្ទុក ASA ជាមួយនឹងចរាចរណ៍ដែលមិនចាំបាច់ រួមទាំងចរាចរណ៍ដែលមានអាំងតង់ស៊ីតេខ្ពស់ផងដែរ។

ដូច្នេះបញ្ហាត្រូវបានដោះស្រាយ។
យើងទទួលបាន

• សំណុំដូចគ្នានៃការចូលប្រើសម្រាប់ការតភ្ជាប់ទាំងពីរពីការិយាល័យ និងការតភ្ជាប់ពីចម្ងាយ
• អវត្ដមាននៃការថយចុះនៃសេវាកម្មនៅពេលធ្វើការពីការិយាល័យដែលទាក់ទងនឹងការបញ្ជូនចរាចរណ៍ដែលមានអាំងតង់ស៊ីតេខ្ពស់តាមរយៈ ASA

តើអត្ថប្រយោជន៍ផ្សេងទៀតនៃវិធីសាស្រ្តនេះ?
នៅក្នុងការគ្រប់គ្រងការចូលប្រើ។ ការចូលប្រើអាចផ្លាស់ប្តូរបានយ៉ាងងាយស្រួលនៅកន្លែងតែមួយ។
ឧទាហរណ៍ ប្រសិនបើនិយោជិតម្នាក់ចាកចេញពីក្រុមហ៊ុន នោះអ្នកគ្រាន់តែដកគាត់ចេញពី LDAP ហើយគាត់បាត់បង់សិទ្ធិចូលប្រើប្រាស់ទាំងអស់ដោយស្វ័យប្រវត្តិ។

ការត្រួតពិនិត្យម្ចាស់ផ្ទះ

ជាមួយនឹងលទ្ធភាពនៃការតភ្ជាប់ពីចម្ងាយ យើងមានហានិភ័យក្នុងការអនុញ្ញាតឱ្យមិនត្រឹមតែបុគ្គលិកក្រុមហ៊ុនចូលទៅក្នុងបណ្តាញប៉ុណ្ណោះទេ ប៉ុន្តែក៏មានកម្មវិធីព្យាបាទទាំងអស់ដែលទំនងជាមានវត្តមាននៅលើកុំព្យូទ័ររបស់គាត់ (ឧទាហរណ៍ ផ្ទះ) ហើយលើសពីនេះទៅទៀតតាមរយៈកម្មវិធីនេះយើង ប្រហែលជាកំពុងផ្តល់ការចូលប្រើបណ្តាញរបស់យើងទៅកាន់អ្នកវាយប្រហារដោយប្រើម៉ាស៊ីននេះជាប្រូកស៊ី។

វាសមហេតុផលសម្រាប់ម៉ាស៊ីនដែលភ្ជាប់ពីចម្ងាយដើម្បីអនុវត្តតម្រូវការសុវត្ថិភាពដូចគ្នានឹងម៉ាស៊ីននៅក្នុងការិយាល័យ។

នេះក៏សន្មតថាកំណែ "ត្រឹមត្រូវ" នៃ OS, ប្រឆាំងមេរោគ, ប្រឆាំង spyware, និងកម្មវិធីជញ្ជាំងភ្លើង និងការអាប់ដេត។ ជាធម្មតា សមត្ថភាពនេះមាននៅលើច្រកទ្វារ VPN (សម្រាប់ ASA សូមមើលឧទាហរណ៍ នៅទីនេះ).

វាក៏ល្អផងដែរក្នុងការអនុវត្តការវិភាគចរាចរណ៍ និងបច្ចេកទេសទប់ស្កាត់ដូចគ្នា (សូមមើល "កម្រិតខ្ពស់នៃការការពារ") ដែលគោលការណ៍សុវត្ថិភាពរបស់អ្នកអនុវត្តចំពោះចរាចរណ៍ការិយាល័យ។

វាសមហេតុផលក្នុងការសន្មត់ថាបណ្តាញការិយាល័យរបស់អ្នកមិនត្រូវបានកំណត់ចំពោះអគារការិយាល័យ និងម៉ាស៊ីននៅក្នុងវាទៀតទេ។

ឧទាហរណ៍:

បច្ចេកទេសដ៏ល្អមួយគឺផ្តល់ឱ្យបុគ្គលិកម្នាក់ៗដែលត្រូវការការចូលប្រើពីចម្ងាយជាមួយនឹងកុំព្យូទ័រយួរដៃដ៏ល្អ និងងាយស្រួល ហើយតម្រូវឱ្យពួកគេធ្វើការទាំងនៅក្នុងការិយាល័យ និងពីផ្ទះ ពីវាតែប៉ុណ្ណោះ។

វាមិនត្រឹមតែធ្វើអោយប្រសើរឡើងនូវសុវត្ថិភាពនៃបណ្តាញរបស់អ្នកប៉ុណ្ណោះទេ ប៉ុន្តែវាក៏ពិតជាមានភាពងាយស្រួលផងដែរ ហើយជាធម្មតាត្រូវបានមើលដោយអនុគ្រោះដោយបុគ្គលិក (ប្រសិនបើវាជាកុំព្យូទ័រយួរដៃពិតជាល្អ និងងាយស្រួលប្រើ)។

អំពីអារម្មណ៍នៃសមាមាត្រនិងតុល្យភាព

ជាទូទៅនេះគឺជាការសន្ទនាអំពីចំនុចកំពូលទីបីនៃត្រីកោណរបស់យើង - អំពីតម្លៃ។
សូមក្រឡេកមើលឧទាហរណ៍សម្មតិកម្ម។

ឧទាហរណ៍:

អ្នកមានការិយាល័យសម្រាប់មនុស្ស 200 នាក់។ អ្នកបានសម្រេចចិត្តធ្វើឱ្យវាកាន់តែងាយស្រួល និងមានសុវត្ថិភាពតាមដែលអាចធ្វើទៅបាន។

ដូច្នេះហើយ អ្នកបានសម្រេចចិត្តឆ្លងកាត់ចរាចរណ៍ទាំងអស់តាមរយៈជញ្ជាំងភ្លើង ហើយដូច្នេះសម្រាប់បណ្តាញរងការិយាល័យទាំងអស់ ជញ្ជាំងភ្លើងគឺជាច្រកចេញចូលលំនាំដើម។ បន្ថែមពីលើកម្មវិធីសុវត្ថិភាពដែលបានដំឡើងនៅលើម៉ាស៊ីនចុងនីមួយៗ (កម្មវិធីប្រឆាំងមេរោគ ប្រឆាំង spyware និងកម្មវិធីជញ្ជាំងភ្លើង) អ្នកក៏បានសម្រេចចិត្តអនុវត្តវិធីសាស្រ្តការពារដែលអាចធ្វើបានទាំងអស់នៅលើជញ្ជាំងភ្លើង។

ដើម្បីធានាបាននូវល្បឿននៃការតភ្ជាប់ខ្ពស់ (ទាំងអស់សម្រាប់ភាពងាយស្រួល) អ្នកបានជ្រើសរើសកុងតាក់ដែលមានច្រកចូល 10 Gigabit ជាឧបករណ៍ប្តូរចូលប្រើប្រាស់ និងជញ្ជាំងភ្លើង NGFW ដែលមានប្រសិទ្ធភាពខ្ពស់ជាជញ្ជាំងភ្លើង ឧទាហរណ៍ ស៊េរី Palo Alto 7K (មានច្រក 40 Gigabit) ដោយធម្មជាតិជាមួយនឹងអាជ្ញាប័ណ្ណទាំងអស់ រួមបញ្ចូល និងដោយធម្មជាតិ គូដែលអាចរកបានខ្ពស់។

ជាការពិតណាស់ ដើម្បីធ្វើការជាមួយឧបករណ៍នេះ យើងត្រូវការវិស្វករសន្តិសុខដែលមានសមត្ថភាពខ្ពស់យ៉ាងតិចពីរបីនាក់។

បន្ទាប់មក អ្នកសម្រេចចិត្តផ្តល់ឱ្យបុគ្គលិកម្នាក់ៗនូវកុំព្យូទ័រយួរដៃដ៏ល្អ។

សរុបប្រហែល 10 លានដុល្លារសម្រាប់ការអនុវត្ត រាប់រយពាន់ដុល្លារ (ខ្ញុំគិតថាជិតមួយលាន) សម្រាប់ជំនួយប្រចាំឆ្នាំ និងប្រាក់ខែសម្រាប់វិស្វករ។

ការិយាល័យ ២០០នាក់...
មាន​ផា​សុខភាព? ខ្ញុំស្មានថាបាទ។

អ្នកមកជាមួយនឹងសំណើរនេះទៅកាន់អ្នកគ្រប់គ្រងរបស់អ្នក...
ប្រហែលជាមានក្រុមហ៊ុនមួយចំនួននៅលើពិភពលោក ដែលនេះជាដំណោះស្រាយដែលអាចទទួលយកបាន និងត្រឹមត្រូវ។ ប្រសិនបើអ្នកជាបុគ្គលិកនៃក្រុមហ៊ុននេះ ខ្ញុំសូមអបអរសាទរ ប៉ុន្តែក្នុងករណីភាគច្រើន ខ្ញុំប្រាកដថាចំណេះដឹងរបស់អ្នកនឹងមិនត្រូវបានកោតសរសើរដោយអ្នកគ្រប់គ្រងនោះទេ។

តើឧទាហរណ៍នេះនិយាយបំផ្លើសទេ? ជំពូកបន្ទាប់នឹងឆ្លើយសំណួរនេះ។

ប្រសិនបើនៅលើបណ្តាញរបស់អ្នកអ្នកមិនឃើញណាមួយខាងលើទេនោះនេះគឺជាបទដ្ឋាន។
សម្រាប់ករណីជាក់លាក់នីមួយៗ អ្នកត្រូវស្វែងរកការសម្របសម្រួលសមហេតុផលផ្ទាល់ខ្លួនរបស់អ្នករវាងភាពងាយស្រួល តម្លៃ និងសុវត្ថិភាព។ ជារឿយៗអ្នកមិនត្រូវការ NGFW នៅក្នុងការិយាល័យរបស់អ្នកទេ ហើយការការពារ L7 នៅលើជញ្ជាំងភ្លើងមិនត្រូវបានទាមទារទេ។ វាគ្រប់គ្រាន់ក្នុងការផ្តល់នូវកម្រិតនៃការមើលឃើញ និងការដាស់តឿនដ៏ល្អ ហើយនេះអាចត្រូវបានធ្វើដោយប្រើផលិតផលប្រភពបើកចំហជាឧទាហរណ៍។ បាទ ប្រតិកម្មរបស់អ្នកចំពោះការវាយប្រហារនឹងមិនមានភ្លាមៗទេ ប៉ុន្តែរឿងសំខាន់គឺថាអ្នកនឹងឃើញវា ហើយជាមួយនឹងដំណើរការត្រឹមត្រូវនៅក្នុងផ្នែករបស់អ្នក អ្នកនឹងអាចបន្សាបវាបានយ៉ាងឆាប់រហ័ស។

ហើយខ្ញុំសូមរំលឹកអ្នកថា យោងតាមគំនិតនៃអត្ថបទស៊េរីនេះ អ្នកមិនរចនាបណ្តាញទេ អ្នកគ្រាន់តែព្យាយាមកែលម្អអ្វីដែលអ្នកទទួលបានប៉ុណ្ណោះ។

ការវិភាគសុវត្ថិភាពនៃស្ថាបត្យកម្មការិយាល័យ

យកចិត្តទុកដាក់លើការ៉េក្រហមនេះ ដែលខ្ញុំបានបែងចែកកន្លែងមួយនៅលើដ្យាក្រាម មគ្គុទ្ទេសក៍ស្ថាបត្យកម្ម Campus ប្រកបដោយសុវត្ថិភាពដែលខ្ញុំចង់ពិភាក្សានៅទីនេះ។

នេះគឺជាកន្លែងសំខាន់មួយនៃស្ថាបត្យកម្ម និងភាពមិនច្បាស់លាស់ដ៏សំខាន់បំផុតមួយ។

ចំណាំ

ខ្ញុំមិនដែលបានដំឡើង ឬធ្វើការជាមួយ FirePower (ពីបន្ទាត់ Firewall របស់ Cisco - មានតែ ASA ប៉ុណ្ណោះ) ដូច្នេះខ្ញុំនឹងចាត់ទុកវាដូចជាជញ្ជាំងភ្លើងផ្សេងទៀតដូចជា Juniper SRX ឬ Palo Alto ដោយសន្មតថាវាមានសមត្ថភាពដូចគ្នា។

ក្នុង​ចំណោម​ការ​រចនា​ធម្មតា ខ្ញុំ​ឃើញ​មាន​ជម្រើស​តែ 4 ប៉ុណ្ណោះ​សម្រាប់​ការ​ប្រើ​ជញ្ជាំង​ភ្លើង​ជាមួយ​នឹង​ការ​តភ្ជាប់​នេះ៖

• ច្រកចេញចូលលំនាំដើមសម្រាប់បណ្តាញរងនីមួយៗគឺជាកុងតាក់មួយ ខណៈពេលដែលជញ្ជាំងភ្លើងស្ថិតនៅក្នុងរបៀបតម្លាភាព (នោះគឺថាចរាចរទាំងអស់ឆ្លងកាត់វា ប៉ុន្តែវាមិនបង្កើតជា L3 hop)
• ច្រកផ្លូវលំនាំដើមសម្រាប់បណ្តាញរងនីមួយៗគឺជាចំណុចប្រទាក់រងជញ្ជាំងភ្លើង (ឬចំណុចប្រទាក់ SVI) កុងតាក់ដើរតួជា L2
• VRFs ផ្សេងគ្នាត្រូវបានប្រើនៅលើកុងតាក់ ហើយចរាចររវាង VRFs ឆ្លងកាត់ជញ្ជាំងភ្លើង ចរាចរនៅក្នុង VRF មួយត្រូវបានគ្រប់គ្រងដោយ ACL នៅលើកុងតាក់
• ចរាចរណ៍ទាំងអស់ត្រូវបានឆ្លុះបញ្ចាំងទៅជញ្ជាំងភ្លើងសម្រាប់ការវិភាគ និងការត្រួតពិនិត្យចរាចរណ៍មិនឆ្លងកាត់វាទេ។

កំណត់សំគាល់ ១

ការរួមបញ្ចូលគ្នានៃជម្រើសទាំងនេះគឺអាចធ្វើទៅបានប៉ុន្តែសម្រាប់ភាពសាមញ្ញយើងនឹងមិនពិចារណាពួកវាទេ។

ចំណាំ ២

វាក៏មានលទ្ធភាពនៃការប្រើប្រាស់ PBR (ស្ថាបត្យកម្មខ្សែសង្វាក់សេវាកម្ម) ប៉ុន្តែសម្រាប់ពេលនេះ ទោះបីជាដំណោះស្រាយដ៏ស្រស់ស្អាតនៅក្នុងគំនិតរបស់ខ្ញុំគឺកម្រនិងអសកម្ម ដូច្នេះខ្ញុំមិនពិចារណាវានៅទីនេះទេ។

ពីការពិពណ៌នានៃលំហូរនៅក្នុងឯកសារ យើងឃើញថាចរាចរណ៍នៅតែឆ្លងកាត់ជញ្ជាំងភ្លើង ពោលគឺស្របតាមការរចនា Cisco ជម្រើសទីបួនត្រូវបានលុបចោល។

សូមក្រឡេកមើលជម្រើសពីរដំបូងជាមុនសិន។
ជាមួយនឹងជម្រើសទាំងនេះ ចរាចរណ៍ទាំងអស់ឆ្លងកាត់ជញ្ជាំងភ្លើង។

ឥឡូវនេះសូមក្រឡេកមើល តារាងទិន្នន័យ, មើល ស៊ីស្កូ GPL ហើយ​យើង​ឃើញ​ថា​ប្រសិន​បើ​យើង​ចង់​ឱ្យ​កម្រិត​បញ្ជូន​សរុប​សម្រាប់​ការិយាល័យ​របស់​យើង​មាន​យ៉ាង​ហោច​ណាស់​ប្រហែល 10 - 20 gigabits នោះ​យើង​ត្រូវ​តែ​ទិញ​កំណែ 4K ។

ចំណាំ

នៅពេលខ្ញុំនិយាយអំពីកម្រិតបញ្ជូនសរុប ខ្ញុំមានន័យថាចរាចររវាងបណ្តាញរង (និងមិនមែននៅក្នុងវីឡាណាមួយទេ)។

ពី GPL យើងឃើញថាសម្រាប់ HA Bundle with Threat Defense តម្លៃអាស្រ័យលើម៉ូដែល (4110 - 4150) ប្រែប្រួលពី ~ 0,5 - 2,5 លានដុល្លារ។

នោះគឺការរចនារបស់យើងចាប់ផ្តើមស្រដៀងនឹងឧទាហរណ៍មុន។

តើនេះមានន័យថាការរចនានេះខុសឬ?
ទេ នោះមិនមានន័យទេ។ Cisco ផ្តល់ឱ្យអ្នកនូវការការពារដ៏ល្អបំផុតដោយផ្អែកលើបន្ទាត់ផលិតផលដែលវាមាន។ ប៉ុន្តែនោះមិនមានន័យថា វាជារឿងដែលត្រូវធ្វើសម្រាប់អ្នកនោះទេ។

ជាគោលការណ៍ នេះគឺជាសំណួរទូទៅដែលកើតឡើងនៅពេលរចនាការិយាល័យ ឬមជ្ឈមណ្ឌលទិន្នន័យ ហើយវាគ្រាន់តែមានន័យថា ចាំបាច់ត្រូវស្វែងរកការសម្របសម្រួល។

ឧទាហរណ៍ កុំអនុញ្ញាតឱ្យចរាចរណ៍ទាំងអស់ឆ្លងកាត់ជញ្ជាំងភ្លើង ក្នុងករណីនេះជម្រើសទី 3 ហាក់ដូចជាល្អសម្រាប់ខ្ញុំ ឬ (សូមមើលផ្នែកមុន) ប្រហែលជាអ្នកមិនត្រូវការការការពារគំរាមកំហែង ឬមិនត្រូវការជញ្ជាំងភ្លើងទាល់តែសោះ។ ផ្នែកបណ្តាញ ហើយអ្នកគ្រាន់តែត្រូវកំណត់ខ្លួនអ្នកចំពោះការត្រួតពិនិត្យអកម្មដោយប្រើដំណោះស្រាយដែលបានបង់ (មិនថ្លៃ) ឬប្រភពបើកចំហ ឬអ្នកត្រូវការជញ្ជាំងភ្លើង ប៉ុន្តែពីអ្នកលក់ផ្សេង។

ជាធម្មតាវាតែងតែមានភាពមិនច្បាស់លាស់នេះហើយមិនមានចម្លើយច្បាស់លាស់ថាការសម្រេចចិត្តមួយណាដែលល្អបំផុតសម្រាប់អ្នក។
នេះគឺជាភាពស្មុគស្មាញនិងភាពស្រស់ស្អាតនៃកិច្ចការនេះ។

ប្រភព: www.habr.com