អត្ថបទនេះគឺជាអត្ថបទទីបួននៅក្នុងស៊េរី "របៀបគ្រប់គ្រងរចនាសម្ព័ន្ធបណ្តាញរបស់អ្នក" ។ មាតិកានៃអត្ថបទទាំងអស់នៅក្នុងស៊េរី និងតំណភ្ជាប់អាចរកបាន នៅទីនេះ.

В ផ្នែកដំបូង។ នៅក្នុងជំពូកនេះ យើងបានពិនិត្យមើលទិដ្ឋភាពមួយចំនួននៃសុវត្ថិភាពបណ្តាញនៅក្នុងផ្នែកមជ្ឈមណ្ឌលទិន្នន័យ។ ផ្នែកនេះនឹងត្រូវបានឧទ្ទិសដល់ផ្នែក "ការចូលប្រើអ៊ីនធឺណិត" ។

ការចូលដំណើរការអ៊ិនធឺណិ

ប្រធានបទនៃសុវត្ថិភាពគឺពិតជាប្រធានបទដ៏ស្មុគស្មាញបំផុតមួយនៅក្នុងពិភពនៃបណ្តាញទិន្នន័យ។ ដូចនៅក្នុងករណីមុន ដោយមិនទាមទារភាពស៊ីជម្រៅ និងភាពពេញលេញ ខ្ញុំនឹងពិចារណានៅទីនេះសាមញ្ញណាស់ ប៉ុន្តែតាមគំនិតរបស់ខ្ញុំ សំណួរសំខាន់ៗ ចម្លើយដែលខ្ញុំសង្ឃឹមថា នឹងជួយបង្កើនកម្រិតសុវត្ថិភាពនៃបណ្តាញរបស់អ្នក។

នៅពេលធ្វើសវនកម្មផ្នែកនេះ សូមយកចិត្តទុកដាក់លើទិដ្ឋភាពខាងក្រោម៖

• រចនា
• ការកំណត់ BGP
• ការការពារ DOS/DDOS
• តម្រងចរាចរណ៍នៅលើជញ្ជាំងភ្លើង

ការរចនា

ជាឧទាហរណ៍នៃការរចនានៃផ្នែកនេះសម្រាប់បណ្តាញសហគ្រាស ខ្ញុំនឹងណែនាំ ភាពជាអ្នកដឹកនាំ ពី Cisco ខាងក្នុង ម៉ូដែលសុវត្ថិភាព.

ជា​ការ​ពិត​ណាស់ ប្រហែល​ជា​ដំណោះ​ស្រាយ​របស់​អ្នក​លក់​ផ្សេង​ទៀត​នឹង​មើល​ទៅ​កាន់​តែ​ទាក់​ទាញ​សម្រាប់​អ្នក (មើល។ Gartner Quadrant ឆ្នាំ 2018) ប៉ុន្តែដោយមិនលើកទឹកចិត្តអ្នកឱ្យធ្វើតាមការរចនានេះឱ្យបានលម្អិតទេ ខ្ញុំនៅតែយល់ថាវាមានប្រយោជន៍ក្នុងការយល់ពីគោលការណ៍ និងគំនិតនៅពីក្រោយវា។

ចំណាំ

នៅក្នុង SAFE ផ្នែក "ការចូលប្រើពីចម្ងាយ" គឺជាផ្នែកមួយនៃផ្នែក "ការចូលប្រើអ៊ីនធឺណិត" ។ ប៉ុន្តែនៅក្នុងស៊េរីនៃអត្ថបទនេះយើងនឹងពិចារណាវាដោយឡែកពីគ្នា។

សំណុំស្តង់ដារនៃឧបករណ៍នៅក្នុងផ្នែកនេះសម្រាប់បណ្តាញសហគ្រាសគឺ

• រ៉ោតទ័រព្រំដែន
• ជញ្ជាំងភ្លើង

កំណត់សំគាល់ ១

នៅក្នុងស៊េរីនៃអត្ថបទនេះ នៅពេលដែលខ្ញុំនិយាយអំពីជញ្ជាំងភ្លើង ខ្ញុំមានន័យថា NGFW.

កំណត់សំគាល់ ១

ខ្ញុំលុបចោលការពិចារណាលើប្រភេទផ្សេងៗនៃ L2/L1 ឬការលាប L2 លើដំណោះស្រាយ L3 ដែលចាំបាច់ដើម្បីធានាការភ្ជាប់ L1/L2 ហើយដាក់កម្រិតខ្លួនខ្ញុំចំពោះបញ្ហានៅកម្រិត L3 និងខ្ពស់ជាងនេះ។ មួយផ្នែក បញ្ហា L1/L2 ត្រូវបានពិភាក្សានៅក្នុងជំពូក “ការសម្អាតនិងឯកសារ"។

ប្រសិនបើអ្នកមិនបានរកឃើញជញ្ជាំងភ្លើងនៅក្នុងផ្នែកនេះទេនោះ អ្នកមិនគួរប្រញាប់ធ្វើការសន្និដ្ឋាននោះទេ។

ចូរយើងធ្វើដូចគ្នានឹងនៅក្នុង ផ្នែកមុន។ចូរចាប់ផ្តើមជាមួយនឹងសំណួរ: តើចាំបាច់ត្រូវប្រើជញ្ជាំងភ្លើងនៅក្នុងផ្នែកនេះក្នុងករណីរបស់អ្នកដែរឬទេ?

ខ្ញុំអាចនិយាយបានថា នេះហាក់ដូចជាកន្លែងដែលត្រឹមត្រូវបំផុតក្នុងការប្រើប្រាស់ជញ្ជាំងភ្លើង និងដើម្បីអនុវត្តក្បួនដោះស្រាយតម្រងចរាចរណ៍ដ៏ស្មុគស្មាញ។ IN ផ្នែកទី 1 យើងបានលើកឡើងពីកត្តា 4 ដែលអាចការពារការប្រើប្រាស់ជញ្ជាំងភ្លើងនៅក្នុងផ្នែកមជ្ឈមណ្ឌលទិន្នន័យ។ ប៉ុន្តែនៅទីនេះពួកគេលែងសំខាន់ទៀតហើយ។

ឧទាហរណ៍ 1 ។ ពន្យាពេល

តាម​ដែល​អ៊ីនធឺណិត​មាន​ការ​ព្រួយ​បារម្ភ វា​គ្មាន​ចំណុច​អ្វី​ដែល​និយាយ​អំពី​ការ​ពន្យារ​ពេល​ប្រហែល 1 មិល្លីវិនាទី​ទេ។ ដូច្នេះ ការពន្យារពេលនៅក្នុងផ្នែកនេះមិនអាចជាកត្តាកំណត់ការប្រើប្រាស់ជញ្ជាំងភ្លើងបានទេ។

ឧទាហរណ៍ 2 ។ ផលិតភាព

ក្នុងករណីខ្លះកត្តានេះអាចនៅតែសំខាន់។ ដូច្នេះហើយ អ្នកប្រហែលជាត្រូវអនុញ្ញាតឱ្យចរាចរណ៍មួយចំនួន (ឧទាហរណ៍ ចរាចរពី load balancers) ដើម្បីចៀសវៀងជញ្ជាំងភ្លើង។

ឧទាហរណ៍ 3 ។ ភាពជឿជាក់

កត្តានេះនៅតែត្រូវយកមកពិចារណា ប៉ុន្តែនៅតែដោយសារភាពមិនជឿជាក់នៃអ៊ីនធឺណិតខ្លួនឯង សារៈសំខាន់របស់វាសម្រាប់ផ្នែកនេះមិនសំខាន់ដូចសម្រាប់មជ្ឈមណ្ឌលទិន្នន័យនោះទេ។

ដូច្នេះ ចូរសន្មតថាសេវាកម្មរបស់អ្នកស្ថិតនៅលើ http/https (ជាមួយនឹងវគ្គខ្លីៗ)។ ក្នុងករណីនេះអ្នកអាចប្រើប្រអប់ឯករាជ្យពីរ (ដោយគ្មាន HA) ហើយប្រសិនបើមានបញ្ហាផ្លូវជាមួយមួយក្នុងចំណោមពួកវា ផ្ទេរចរាចរណ៍ទាំងអស់ទៅទីពីរ។

ឬអ្នកអាចប្រើ Firewall ក្នុងទម្រង់ថ្លា ហើយប្រសិនបើពួកវាបរាជ័យ អនុញ្ញាតឱ្យចរាចរឆ្លងកាត់ជញ្ជាំងភ្លើង ខណៈពេលដែលកំពុងដោះស្រាយបញ្ហា។

ដូច្នេះភាគច្រើនទំនងជាគ្រាន់តែ តម្លៃ អាចជាកត្តាដែលនឹងបង្ខំអ្នកឱ្យបោះបង់ចោលការប្រើប្រាស់ជញ្ជាំងភ្លើងនៅក្នុងផ្នែកនេះ។

សំខាន់!

មានការល្បួងដើម្បីបញ្ចូលគ្នានូវជញ្ជាំងភ្លើងនេះជាមួយនឹងជញ្ជាំងភ្លើងនៃមជ្ឈមណ្ឌលទិន្នន័យ (ប្រើជញ្ជាំងភ្លើងមួយសម្រាប់ផ្នែកទាំងនេះ) ។ ជាគោលការណ៍ ដំណោះស្រាយគឺអាចធ្វើទៅបាន ប៉ុន្តែអ្នកត្រូវយល់ថា ដោយសារតែ ជញ្ជាំងភ្លើងចូលប្រើអ៊ីនធឺណិតតាមពិតគឺនៅជួរមុខនៃការការពាររបស់អ្នក ហើយ "ដំណើរការ" យ៉ាងហោចណាស់មានចរាចរព្យាបាទមួយចំនួន បន្ទាប់មកអ្នកត្រូវគិតគូរពីការកើនឡើងហានិភ័យដែលជញ្ជាំងភ្លើងនេះនឹងត្រូវបានបិទ។ នោះគឺដោយប្រើឧបករណ៍ដូចគ្នានៅក្នុងផ្នែកទាំងពីរនេះ អ្នកនឹងកាត់បន្ថយភាពអាចរកបាននៃផ្នែកមជ្ឈមណ្ឌលទិន្នន័យរបស់អ្នក។

ដូចរាល់ដង អ្នកត្រូវយល់ថា អាស្រ័យលើសេវាកម្មដែលក្រុមហ៊ុនផ្តល់ឱ្យ ការរចនានៃផ្នែកនេះអាចប្រែប្រួលយ៉ាងខ្លាំង។ ដូចរាល់ដង អ្នកអាចជ្រើសរើសវិធីសាស្រ្តផ្សេងៗ អាស្រ័យលើតម្រូវការរបស់អ្នក។

ឧទាហរណ៍:

ប្រសិនបើអ្នកជាអ្នកផ្តល់មាតិកាជាមួយបណ្តាញ CDN (សូមមើលឧទាហរណ៍។ ស៊េរីនៃអត្ថបទ) បន្ទាប់មក អ្នកប្រហែលជាមិនចង់បង្កើតហេដ្ឋារចនាសម្ព័ន្ធនៅទូទាំងរាប់សិប ឬសូម្បីតែរាប់រយចំណុចនៃវត្តមាន ដោយប្រើឧបករណ៍ដាច់ដោយឡែកសម្រាប់កំណត់ផ្លូវ និងត្រងចរាចរណ៍។ វានឹងមានតម្លៃថ្លៃ ហើយវាប្រហែលជាមិនចាំបាច់។

សម្រាប់ BGP អ្នកមិនចាំបាច់មានរ៉ោតទ័រជាក់លាក់ទេ អ្នកអាចប្រើឧបករណ៍ប្រភពបើកចំហដូចជា ក្វាកហ្គា. ដូច្នេះប្រហែលជាអ្វីដែលអ្នកត្រូវការគឺម៉ាស៊ីនមេ ឬម៉ាស៊ីនមេជាច្រើន កុងតាក់ និង BGP ។

ក្នុងករណីនេះ ម៉ាស៊ីនមេរបស់អ្នក ឬម៉ាស៊ីនមេជាច្រើនអាចដើរតួនាទីមិនត្រឹមតែម៉ាស៊ីនមេ CDN ប៉ុណ្ណោះទេ ថែមទាំងរ៉ោតទ័រផងដែរ។ ជាការពិតណាស់ វានៅតែមានព័ត៌មានលម្អិតជាច្រើន (ដូចជារបៀបធានាតុល្យភាព) ប៉ុន្តែវាគឺអាចធ្វើបាន ហើយវាគឺជាវិធីសាស្រ្តដែលយើងបានប្រើប្រាស់ដោយជោគជ័យសម្រាប់ដៃគូរបស់យើងមួយ។

អ្នកអាចមានមជ្ឈមណ្ឌលទិន្នន័យជាច្រើនដែលមានការការពារពេញលេញ (ជញ្ជាំងភ្លើង សេវាកម្មការពារ DDOS ដែលផ្តល់ដោយអ្នកផ្តល់អ៊ីនធឺណិតរបស់អ្នក) និងរាប់សិប ឬរាប់រយចំណុចនៃ "សាមញ្ញ" នៃវត្តមានដែលមានតែកុងតាក់ និងម៉ាស៊ីនមេ L2 ប៉ុណ្ណោះ។

ប៉ុន្តែចុះយ៉ាងណាចំពោះការការពារក្នុងករណីនេះ?

សូមក្រឡេកមើលឧទាហរណ៍ការពេញនិយមនាពេលថ្មីៗនេះ DNS Amplification ការវាយប្រហារ DDOS. គ្រោះថ្នាក់របស់វាស្ថិតនៅក្នុងការពិតដែលថាចំនួនចរាចរដ៏ច្រើនត្រូវបានបង្កើត ដែលគ្រាន់តែ "ស្ទះ" 100% នៃតំណភ្ជាប់ឡើងរបស់អ្នកទាំងអស់។

តើយើងមានអ្វីខ្លះនៅក្នុងករណីនៃការរចនារបស់យើង។

• ប្រសិនបើអ្នកប្រើ AnyCast នោះចរាចរណ៍ត្រូវបានចែកចាយរវាងចំណុចវត្តមានរបស់អ្នក។ ប្រសិនបើកម្រិតបញ្ជូនសរុបរបស់អ្នកគឺ terabits នោះវានៅក្នុងខ្លួនវាផ្ទាល់ (ទោះជាយ៉ាងណាក៏ដោយថ្មីៗនេះមានការវាយប្រហារជាច្រើនជាមួយនឹងចរាចរព្យាបាទតាមលំដាប់នៃ terabits) ការពារអ្នកពីតំណភ្ជាប់ឡើង "លើស"
• ទោះយ៉ាងណាក៏ដោយ ប្រសិនបើតំណភ្ជាប់ឡើងមួយចំនួនត្រូវបានស្ទះ នោះអ្នកគ្រាន់តែដកគេហទំព័រនេះចេញពីសេវាកម្ម (បញ្ឈប់ការផ្សាយពាណិជ្ជកម្មបុព្វបទ)
• អ្នកក៏អាចបង្កើនចំណែកនៃចរាចរណ៍ដែលបានផ្ញើពីមជ្ឈមណ្ឌលទិន្នន័យ "ពេញ" (ហើយតាមនោះ ការពារ) របស់អ្នក ដូច្នេះហើយការដកផ្នែកសំខាន់នៃចរាចរព្យាបាទចេញពីចំណុចដែលមិនមានការការពារ។

និងកំណត់ចំណាំតូចមួយបន្ថែមទៀតចំពោះឧទាហរណ៍នេះ។ ប្រសិនបើអ្នកផ្ញើចរាចរគ្រប់គ្រាន់តាមរយៈ IXs នោះវាក៏កាត់បន្ថយភាពងាយរងគ្រោះរបស់អ្នកចំពោះការវាយប្រហារបែបនេះផងដែរ។

ការដំឡើង BGP

មានប្រធានបទពីរនៅទីនេះ។

• ការតភ្ជាប់
• ការដំឡើង BGP

យើងបាននិយាយបន្តិចអំពីការតភ្ជាប់នៅក្នុង ផ្នែកទី 1. ចំណុចគឺដើម្បីធានាថាចរាចរណ៍ទៅកាន់អតិថិជនរបស់អ្នកដើរតាមគន្លងដ៏ល្អប្រសើរ។ ទោះបីជាភាពសុទិដ្ឋិនិយមមិនមែនតែងតែនិយាយអំពីភាពយឺតយ៉ាវក៏ដោយ ភាពយឺតយ៉ាវទាបជាធម្មតាជាសូចនាករសំខាន់នៃភាពសុទិដ្ឋិនិយម។ សម្រាប់ក្រុមហ៊ុនមួយចំនួន នេះគឺសំខាន់ជាង សម្រាប់ក្រុមហ៊ុនផ្សេងទៀត វាតិចជាង។ វាទាំងអស់គឺអាស្រ័យលើសេវាកម្មដែលអ្នកផ្តល់។

ឧទាហរណ៍ 1

ប្រសិនបើអ្នកជាអ្នកប្តូរប្រាក់ ហើយចន្លោះពេលតិចជាងមិល្លីវិនាទីមានសារៈសំខាន់សម្រាប់អតិថិជនរបស់អ្នក នោះជាការពិតណាស់ វាមិនអាចមានការនិយាយអំពីប្រភេទនៃអ៊ីនធឺណិតណាមួយឡើយ។

ឧទាហរណ៍ 2

ប្រសិនបើអ្នកជាក្រុមហ៊ុនហ្គេម ហើយរាប់សិបមិល្លីវិនាទីមានសារៈសំខាន់សម្រាប់អ្នក នោះជាការពិតណាស់ ការតភ្ជាប់មានសារៈសំខាន់សម្រាប់អ្នក។

ឧទាហរណ៍ 3

អ្នកក៏ត្រូវយល់ថា ដោយសារលក្ខណៈសម្បត្តិនៃពិធីការ TCP អត្រាផ្ទេរទិន្នន័យក្នុងវគ្គ TCP មួយក៏អាស្រ័យលើ RTT (ម៉ោងធ្វើដំណើរជុំវិញ) ផងដែរ។ បណ្តាញ CDN ក៏កំពុងត្រូវបានបង្កើតឡើងផងដែរ ដើម្បីដោះស្រាយបញ្ហានេះដោយផ្លាស់ទីម៉ាស៊ីនមេចែកចាយមាតិកាឱ្យខិតទៅជិតអ្នកប្រើប្រាស់មាតិកានេះ។

ការសិក្សាអំពីការតភ្ជាប់គឺជាប្រធានបទដ៏គួរឱ្យចាប់អារម្មណ៍មួយនៅក្នុងសិទ្ធិផ្ទាល់ខ្លួនរបស់វា ដែលសក្ដិសមនៃអត្ថបទ ឬស៊េរីអត្ថបទរបស់វា ហើយទាមទារឱ្យមានការយល់ដឹងល្អអំពីរបៀបដែលអ៊ីនធឺណិត "ដំណើរការ" ។

ធនធានមានប្រយោជន៍៖

ripe.net
bgp.he.net

ឧទាហរណ៍:

ខ្ញុំនឹងលើកឧទាហរណ៍តូចមួយ។

ចូរសន្មត់ថាមជ្ឈមណ្ឌលទិន្នន័យរបស់អ្នកមានទីតាំងនៅទីក្រុងមូស្គូ ហើយអ្នកមានតំណភ្ជាប់តែមួយ - Rostelecom (AS12389) ។ ក្នុងករណីនេះ (ផ្ទះតែមួយ) អ្នកមិនត្រូវការ BGP ហើយអ្នកទំនងជាប្រើអាងអាសយដ្ឋានពី Rostelecom ជាអាសយដ្ឋានសាធារណៈ។

ចូរសន្មត់ថាអ្នកផ្តល់សេវាជាក់លាក់មួយ ហើយអ្នកមានអតិថិជនគ្រប់គ្រាន់ពីអ៊ុយក្រែន ហើយពួកគេត្អូញត្អែរអំពីការពន្យារពេលយូរ។ ក្នុងអំឡុងពេលនៃការស្រាវជ្រាវរបស់អ្នក អ្នកបានរកឃើញថាអាសយដ្ឋាន IP របស់ពួកវាមួយចំនួនស្ថិតនៅក្នុងក្រឡា 37.52.0.0/21 ។

តាមរយៈការដំណើរការ traceroute អ្នកឃើញថាចរាចរណ៍កំពុងឆ្លងកាត់ AS1299 (Telia) ហើយដោយការរត់ ping អ្នកទទួលបាន RTT ជាមធ្យម 70 - 80 មីលីវិនាទី។ អ្នកក៏អាចមើលវានៅ កញ្ចក់មើល Rostelecom.

ដោយប្រើឧបករណ៍ប្រើប្រាស់ whois (នៅលើ ripe.net ឬឧបករណ៍ប្រើប្រាស់ក្នុងស្រុក) អ្នកអាចកំណត់យ៉ាងងាយស្រួលថាប្លុក 37.52.0.0/21 ជាកម្មសិទ្ធិរបស់ AS6849 (Ukrtelecom) ។

បន្ទាប់ដោយទៅ bgp.he.net អ្នកឃើញថា AS6849 មិនមានទំនាក់ទំនងជាមួយ AS12389 ទេ (ពួកគេមិនមែនជាអតិថិជន ឬតំណភ្ជាប់ទៅកាន់គ្នាទៅវិញទៅមក ហើយក៏មិនមានទំនាក់ទំនងគ្នាដែរ)។ ប៉ុន្តែប្រសិនបើអ្នកក្រឡេកមើល បញ្ជីមិត្តភក្ដិ សម្រាប់ AS6849 អ្នកនឹងឃើញឧទាហរណ៍ AS29226 (Mastertel) និង AS31133 (Megafon)។

នៅពេលដែលអ្នករកឃើញកែវភ្នែករបស់អ្នកផ្តល់សេវាទាំងនេះ អ្នកអាចប្រៀបធៀបផ្លូវ និង RTT ។ ឧទាហរណ៍សម្រាប់ Mastertel RTT នឹងមានប្រហែល 30 មិល្លីវិនាទី។

ដូច្នេះ ប្រសិនបើភាពខុសគ្នារវាង 80 និង 30 មិល្លីវិនាទីមានសារៈសំខាន់សម្រាប់សេវាកម្មរបស់អ្នក នោះប្រហែលជាអ្នកត្រូវគិតអំពីការតភ្ជាប់ ទទួលបានលេខ AS របស់អ្នក បណ្តុំអាសយដ្ឋានរបស់អ្នកពី RIPE និងភ្ជាប់បណ្តាញភ្ជាប់បន្ថែម និង/ឬបង្កើតចំណុចវត្តមាននៅលើ IXs។

នៅពេលអ្នកប្រើ BGP អ្នកមិនត្រឹមតែមានឱកាសធ្វើឱ្យប្រសើរឡើងនូវការតភ្ជាប់ប៉ុណ្ណោះទេ ប៉ុន្តែអ្នកថែមទាំងអាចរក្សាការតភ្ជាប់អ៊ីនធឺណិតរបស់អ្នកដោយឥតប្រយោជន៍ទៀតផង។

ឯកសារនេះ។ មានការណែនាំសម្រាប់កំណត់រចនាសម្ព័ន្ធ BGP ។ ទោះបីជាការពិតដែលថាអនុសាសន៍ទាំងនេះត្រូវបានបង្កើតឡើងដោយផ្អែកលើ "ការអនុវត្តល្អបំផុត" របស់អ្នកផ្តល់សេវាយ៉ាងណាក៏ដោយ (ប្រសិនបើការកំណត់ BGP របស់អ្នកមិនមានមូលដ្ឋានច្បាស់លាស់) ពួកគេពិតជាមានប្រយោជន៍ហើយតាមពិតគួរតែជាផ្នែកមួយនៃការពង្រឹងដែលយើងបានពិភាក្សានៅក្នុង ផ្នែកដំបូង។.

ការការពារ DOS/DDOS

ឥឡូវនេះការវាយប្រហារ DOS/DDOS បានក្លាយជាការពិតប្រចាំថ្ងៃសម្រាប់ក្រុមហ៊ុនជាច្រើន។ ជាការពិត អ្នកត្រូវបានវាយប្រហារជាញឹកញាប់ក្នុងទម្រង់មួយ ឬទម្រង់ផ្សេងទៀត។ ការពិតដែលថាអ្នកមិនទាន់បានកត់សម្គាល់នេះមានន័យថា ការវាយប្រហារតាមគោលដៅមិនទាន់ត្រូវបានរៀបចំប្រឆាំងនឹងអ្នកទេ ហើយវិធានការការពារដែលអ្នកប្រើ ប្រហែលជាមិនស្គាល់វា (ការការពារដែលមានស្រាប់នៅក្នុងប្រព័ន្ធប្រតិបត្តិការផ្សេងៗ) គ្រប់គ្រាន់ដើម្បី ធានាថាការរិចរិលនៃសេវាកម្មដែលផ្តល់ជូនត្រូវបានបង្រួមអប្បបរមាសម្រាប់អ្នក និងអតិថិជនរបស់អ្នក។

មានធនធានអ៊ិនធឺណិតដែលផ្អែកលើកំណត់ហេតុឧបករណ៍ គូរផែនទីវាយប្រហារដ៏ស្រស់ស្អាតក្នុងពេលជាក់ស្តែង។

វាគឺជាការ អ្នកអាចស្វែងរកតំណភ្ជាប់ទៅពួកគេ។

សំណព្វរបស់ខ្ញុំ កាត ពី CheckPoint ។

ការការពារប្រឆាំងនឹង DDOS/DOS ជាធម្មតាត្រូវបានដាក់ជាស្រទាប់។ ដើម្បីយល់ពីមូលហេតុ អ្នកត្រូវយល់ពីប្រភេទនៃការវាយប្រហារ DOS/DDOS (សូមមើលឧទាហរណ៍ នៅទីនេះ ឬ នៅទីនេះ)

នោះគឺយើងមានការវាយប្រហារបីប្រភេទ៖

• ការវាយប្រហារកម្រិតសំឡេង
• ការវាយប្រហារតាមពិធីការ
• ការវាយប្រហារកម្មវិធី

ប្រសិនបើអ្នកអាចការពារខ្លួនអ្នកពីការវាយប្រហារពីរប្រភេទចុងក្រោយដោយប្រើឧទាហរណ៍ ជញ្ជាំងភ្លើង នោះអ្នកមិនអាចការពារខ្លួនអ្នកពីការវាយប្រហារដែលមានគោលបំណង "លើសលប់" តំណភ្ជាប់ឡើងរបស់អ្នក (ជាការពិតណាស់ ប្រសិនបើសមត្ថភាពសរុបនៃបណ្តាញអ៊ីនធឺណែតរបស់អ្នកមិនត្រូវបានគណនាជា terabits, ឬប្រសើរជាងនេះ គិតជាដប់ terabit)។

ដូច្នេះ ខ្សែការពារទីមួយគឺការការពារប្រឆាំងនឹងការវាយប្រហារ "កម្រិតសំឡេង" ហើយអ្នកផ្តល់សេវា ឬអ្នកផ្តល់សេវារបស់អ្នកត្រូវតែផ្តល់ការការពារនេះដល់អ្នក។ បើ​អ្នក​មិន​ទាន់​ដឹង​រឿង​នេះ​ទេ នោះ​អ្នក​មាន​សំណាង​ហើយ​សម្រាប់​ពេល​នេះ។

ឧទាហរណ៍:

ចូរនិយាយថាអ្នកមានតំណភ្ជាប់ជាច្រើន ប៉ុន្តែមានតែអ្នកផ្តល់សេវាម្នាក់ប៉ុណ្ណោះដែលអាចផ្តល់ឱ្យអ្នកនូវការការពារនេះ។ ប៉ុន្តែប្រសិនបើចរាចរណ៍ទាំងអស់ឆ្លងកាត់អ្នកផ្តល់សេវាតែមួយ នោះចុះយ៉ាងណាចំពោះការតភ្ជាប់ដែលយើងបានពិភាក្សាយ៉ាងខ្លីមុននេះបន្តិច?

ក្នុងករណីនេះ អ្នកនឹងត្រូវលះបង់ការតភ្ជាប់មួយផ្នែកក្នុងអំឡុងពេលនៃការវាយប្រហារ។ ប៉ុន្តែ

• នេះគឺសម្រាប់តែរយៈពេលនៃការវាយប្រហារប៉ុណ្ណោះ។ នៅក្នុងព្រឹត្តិការណ៍នៃការវាយប្រហារ អ្នកអាចកំណត់រចនាសម្ព័ន្ធ BGP ឡើងវិញដោយដៃ ឬដោយស្វ័យប្រវត្តិ ដូច្នេះចរាចរណ៍ឆ្លងកាត់តែអ្នកផ្តល់សេវាដែលផ្តល់ឱ្យអ្នកនូវ "ឆ័ត្រ" ប៉ុណ្ណោះ។ បន្ទាប់ពីការវាយប្រហារបានបញ្ចប់ អ្នកអាចត្រឡប់ផ្លូវទៅកាន់ស្ថានភាពមុនរបស់វា។
• វាមិនចាំបាច់ក្នុងការផ្ទេរចរាចរណ៍ទាំងអស់ទេ។ ជាឧទាហរណ៍ ប្រសិនបើអ្នកឃើញថាមិនមានការវាយប្រហារតាមរយៈតំណភ្ជាប់ឡើង ឬតំណភ្ជាប់មួយចំនួន (ឬចរាចរមិនសំខាន់) អ្នកអាចបន្តការផ្សាយពាណិជ្ជកម្មបុព្វបទជាមួយនឹងគុណលក្ខណៈប្រកួតប្រជែងចំពោះអ្នកជិតខាង BGP ទាំងនេះ។

អ្នកក៏អាចផ្ទេរការការពារពី "ការវាយប្រហារតាមពិធីការ" និង "ការវាយប្រហារតាមកម្មវិធី" ទៅដៃគូរបស់អ្នក។
នៅទីនេះ នៅទីនេះ អ្នកអាចអានការសិក្សាល្អ (ការបកប្រែ) ពិតហើយ អត្ថបទនេះមានអាយុពីរឆ្នាំហើយ ប៉ុន្តែវានឹងផ្តល់ឱ្យអ្នកនូវគំនិតនៃវិធីសាស្រ្តអំពីរបៀបដែលអ្នកអាចការពារខ្លួនអ្នកពីការវាយប្រហារ DDOS ។

ជាគោលការណ៍ អ្នកអាចដាក់កម្រិតខ្លួនអ្នកចំពោះបញ្ហានេះ ដោយប្រើប្រាស់ការការពាររបស់អ្នកទាំងស្រុង។ មានគុណសម្បត្តិចំពោះការសម្រេចចិត្តនេះ ប៉ុន្តែក៏មានគុណវិបត្តិជាក់ស្តែងផងដែរ។ ការពិតគឺថាយើងអាចនិយាយ (ម្តងទៀតអាស្រ័យលើអ្វីដែលក្រុមហ៊ុនរបស់អ្នកធ្វើ) អំពីការរស់រានមានជីវិតនៃអាជីវកម្ម។ ហើយ​ទុក​ចិត្ត​រឿង​បែប​នេះ​ទៅ​ភាគី​ទីបី...

ដូច្នេះសូមក្រឡេកមើលរបៀបរៀបចំខ្សែការពារទីពីរនិងទីបី (ជាការបន្ថែមលើការការពារពីអ្នកផ្តល់សេវា) ។

ដូច្នេះ ខ្សែការពារទីពីរគឺការត្រង និងអ្នកកំណត់ចរាចរណ៍ (ប៉ូលីស) នៅច្រកចូលបណ្តាញរបស់អ្នក។

ឧទាហរណ៍ 1

ចូរសន្មតថាអ្នកបានគ្របដណ្តប់ខ្លួនអ្នកជាមួយនឹងឆ័ត្រប្រឆាំងនឹង DDOS ដោយមានជំនួយពីអ្នកផ្តល់សេវាណាមួយ។ ចូរសន្មតថាអ្នកផ្តល់សេវានេះប្រើ Arbor ដើម្បីត្រងចរាចរ និងតម្រងនៅគែមនៃបណ្តាញរបស់វា។

កម្រិតបញ្ជូនដែល Arbor អាច "ដំណើរការ" មានកំណត់ ហើយជាការពិតណាស់អ្នកផ្តល់សេវាមិនអាចឆ្លងកាត់ជានិច្ចនូវចរាចរណ៍របស់ដៃគូទាំងអស់របស់ខ្លួនដែលបញ្ជាទិញសេវាកម្មនេះតាមរយៈឧបករណ៍ចម្រោះនោះទេ។ ដូច្នេះនៅក្រោមលក្ខខណ្ឌធម្មតាចរាចរណ៍មិនត្រូវបានត្រងទេ។

ឧបមាថាមានការវាយប្រហារដោយទឹកជំនន់ SYN ។ ទោះបីជាអ្នកបានបញ្ជាទិញសេវាកម្មដែលប្តូរចរាចរណ៍ដោយស្វ័យប្រវត្តិទៅការត្រងនៅក្នុងព្រឹត្តិការណ៍នៃការវាយប្រហារក៏ដោយ វាមិនកើតឡើងភ្លាមៗនោះទេ។ មួយនាទី ឬច្រើនជាងនេះ អ្នកនៅតែស្ថិតក្រោមការវាយប្រហារ។ ហើយនេះអាចនាំឱ្យមានការបរាជ័យនៃឧបករណ៍របស់អ្នក ឬការរិចរិលនៃសេវាកម្ម។ ក្នុងករណីនេះ ការកំណត់ចរាចរណ៍នៅគែមផ្លូវ ទោះបីជាវានឹងនាំឱ្យការពិតដែលថាវគ្គ TCP មួយចំនួននឹងមិនត្រូវបានបង្កើតឡើងក្នុងអំឡុងពេលនេះ នឹងជួយសន្សំសំចៃហេដ្ឋារចនាសម្ព័ន្ធរបស់អ្នកពីបញ្ហាទ្រង់ទ្រាយធំ។

ឧទាហរណ៍ 2

កញ្ចប់ SYN មួយចំនួនធំមិនប្រក្រតីអាចមិនត្រឹមតែជាលទ្ធផលនៃការវាយប្រហារដោយទឹកជំនន់ SYN ប៉ុណ្ណោះទេ។ ចូរសន្មត់ថាអ្នកផ្តល់សេវាកម្មមួយដែលអ្នកអាចមានការតភ្ជាប់ TCP ប្រហែល 100 ពាន់ក្នុងពេលដំណាលគ្នា (ទៅកាន់មជ្ឈមណ្ឌលទិន្នន័យមួយ)។

ចូរនិយាយថាជាលទ្ធផលនៃបញ្ហារយៈពេលខ្លីជាមួយអ្នកផ្តល់សេវាចម្បងរបស់អ្នក ពាក់កណ្តាលនៃវគ្គរបស់អ្នកត្រូវបានទាត់ចោល។ ប្រសិនបើកម្មវិធីរបស់អ្នកត្រូវបានរចនាឡើងតាមរបៀបដែលដោយមិនគិតពីរដង វាភ្លាមៗ (ឬបន្ទាប់ពីចន្លោះពេលណាមួយដែលដូចគ្នាសម្រាប់វគ្គទាំងអស់) ព្យាយាមបង្កើតការតភ្ជាប់ឡើងវិញ នោះអ្នកនឹងទទួលបានយ៉ាងហោចណាស់ 50 ពាន់កញ្ចប់ SYN ប្រហែល ក្នុងពេលដំណាលគ្នា។

ឧទាហរណ៍ ប្រសិនបើអ្នកត្រូវដំណើរការ ssl/tls handshake នៅផ្នែកខាងលើនៃវគ្គទាំងនេះ ដែលពាក់ព័ន្ធនឹងការផ្លាស់ប្តូរវិញ្ញាបនបត្រ បន្ទាប់មកតាមទស្សនៈនៃការដកធនធានសម្រាប់តុល្យភាពបន្ទុករបស់អ្នក វានឹងជា "DDOS" ខ្លាំងជាងសាមញ្ញ។ SYN ទឹកជំនន់។ វាហាក់ដូចជាអ្នកតុល្យភាពគួរតែដោះស្រាយព្រឹត្តិការណ៍បែបនេះ ប៉ុន្តែ... ជាអកុសល យើងប្រឈមមុខនឹងបញ្ហាបែបនេះ។

ហើយជាការពិតណាស់ប៉ូលីសនៅលើរ៉ោតទ័រគែមនឹងជួយសង្គ្រោះឧបករណ៍របស់អ្នកក្នុងករណីនេះផងដែរ។

កម្រិតទីបីនៃការការពារប្រឆាំងនឹង DDOS/DOS គឺជាការកំណត់ជញ្ជាំងភ្លើងរបស់អ្នក។

នៅទីនេះអ្នកអាចបញ្ឈប់ការវាយប្រហារទាំងពីរប្រភេទទីពីរ និងទីបី។ ជាទូទៅ អ្វីគ្រប់យ៉ាងដែលទៅដល់ជញ្ជាំងភ្លើងអាចត្រូវបានត្រងនៅទីនេះ។

ព័ត៌មានជំនួយ

ព្យាយាមផ្តល់ឱ្យជញ្ជាំងភ្លើងនូវការងារតិចតួចតាមដែលអាចធ្វើទៅបានដោយច្រោះឱ្យបានច្រើនតាមដែលអាចធ្វើទៅបាននៅលើខ្សែការពារពីរដំបូង។ ហើយនោះហើយជាមូលហេតុ។

តើវាធ្លាប់កើតឡើងចំពោះអ្នកដោយចៃដន្យទេ ខណៈពេលដែលបង្កើតចរាចរដើម្បីពិនិត្យមើល ឧទាហរណ៍ ភាពធន់នឹងប្រព័ន្ធប្រតិបត្តិការនៃម៉ាស៊ីនមេរបស់អ្នកចំពោះការវាយប្រហារ DDOS អ្នកបាន "សម្លាប់" ជញ្ជាំងភ្លើងរបស់អ្នកដោយផ្ទុកវាដល់ 100 ភាគរយ ជាមួយនឹងចរាចរនៅអាំងតង់ស៊ីតេធម្មតា ? បើអត់ទេ ប្រហែលមកពីអ្នកមិនទាន់បានសាកល្បង?

ជាទូទៅ ជញ្ជាំងភ្លើង ដូចដែលខ្ញុំបាននិយាយ គឺជារឿងស្មុគស្មាញ ហើយវាដំណើរការល្អជាមួយភាពងាយរងគ្រោះដែលគេស្គាល់ និងដំណោះស្រាយដែលបានសាកល្បង ប៉ុន្តែប្រសិនបើអ្នកផ្ញើអ្វីដែលមិនធម្មតា គ្រាន់តែសំរាម ឬកញ្ចប់មួយចំនួនដែលមានបឋមកថាមិនត្រឹមត្រូវ នោះអ្នកនៅជាមួយខ្លះ មិនមែនជាមួយទេ។ ប្រូបាប៊ីលីតេតិចតួចបែបនេះ (ផ្អែកលើបទពិសោធន៍របស់ខ្ញុំ) អ្នកអាច stupefy សូម្បីតែឧបករណ៍កំពូល។ ដូច្នេះនៅដំណាក់កាលទី 2 ដោយប្រើ ACLs ធម្មតា (នៅកម្រិត L3/L4) អនុញ្ញាតឱ្យចរាចរចូលទៅក្នុងបណ្តាញរបស់អ្នកដែលគួរតែចូលទីនោះប៉ុណ្ណោះ។

ត្រងចរាចរណ៍នៅលើជញ្ជាំងភ្លើង

ចូរបន្តការសន្ទនាអំពីជញ្ជាំងភ្លើង។ អ្នកត្រូវយល់ថា ការវាយប្រហារ DOS/DDOS គ្រាន់តែជាប្រភេទនៃការវាយប្រហារតាមអ៊ីនធឺណិតប៉ុណ្ណោះ។

បន្ថែមពីលើការការពារ DOS/DDOS យើងក៏អាចមានអ្វីមួយដូចជាបញ្ជីលក្ខណៈពិសេសខាងក្រោម៖

• ជញ្ជាំងភ្លើងកម្មវិធី
• ការការពារការគំរាមកំហែង (កំចាត់មេរោគ ប្រឆាំង spyware និងភាពងាយរងគ្រោះ)
• ត្រង URL
• តម្រងទិន្នន័យ (តម្រងមាតិកា)
• ការទប់ស្កាត់ឯកសារ (ការទប់ស្កាត់ប្រភេទឯកសារ)

វាអាស្រ័យលើអ្នកក្នុងការសម្រេចចិត្តថាតើអ្នកត្រូវការអ្វីខ្លះពីបញ្ជីនេះ។

ដើម្បីបន្ត

ប្រភព: www.habr.com