ວິທີການຄວບຄຸມໂຄງສ້າງເຄືອຂ່າຍຂອງທ່ານ. ບົດທີສາມ. ຄວາມປອດໄພເຄືອຂ່າຍ. ສ່ວນສາມ

ບົດຂຽນນີ້ແມ່ນບົດທີຫ້າໃນຊຸດ "ວິທີການຄວບຄຸມໂຄງສ້າງເຄືອຂ່າຍຂອງເຈົ້າ." ເນື້ອໃນຂອງບົດຄວາມທັງຫມົດໃນຊຸດແລະການເຊື່ອມຕໍ່ສາມາດພົບໄດ້ ທີ່ນີ້.

ສ່ວນນີ້ຈະຖືກອຸທິດໃຫ້ກັບວິທະຍາເຂດ (ຫ້ອງການ) ແລະສ່ວນ VPN ການເຂົ້າເຖິງໄລຍະໄກ.

ການອອກແບບເຄືອຂ່າຍຫ້ອງການອາດຈະເບິ່ງຄືວ່າງ່າຍ.

ແທ້ຈິງແລ້ວ, ພວກເຮົາເອົາສະຫຼັບ L2 / L3 ແລະເຊື່ອມຕໍ່ມັນກັບກັນແລະກັນ. ຕໍ່ໄປ, ພວກເຮົາປະຕິບັດການຕິດຕັ້ງພື້ນຖານຂອງ vilans ແລະ gateways ເລີ່ມຕົ້ນ, ຕັ້ງຄ່າເສັ້ນທາງງ່າຍດາຍ, ເຊື່ອມຕໍ່ຕົວຄວບຄຸມ WiFi, ຈຸດເຂົ້າເຖິງ, ຕິດຕັ້ງແລະກໍາຫນົດຄ່າ ASA ສໍາລັບການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ, ພວກເຮົາດີໃຈທີ່ທຸກສິ່ງທຸກຢ່າງເຮັດວຽກ. ໂດຍພື້ນຖານແລ້ວ, ດັ່ງທີ່ຂ້າພະເຈົ້າໄດ້ຂຽນໄວ້ໃນຫນຶ່ງຂອງກ່ອນຫນ້ານີ້ ບົດຄວາມ ຂອງຮອບວຽນນີ້, ເກືອບທຸກຄົນທີ່ໄດ້ເຂົ້າຮຽນ (ແລະຮຽນຮູ້) ສອງພາກຮຽນຂອງຫຼັກສູດໂທລະຄົມສາມາດອອກແບບແລະກໍາຫນົດຄ່າເຄືອຂ່າຍຫ້ອງການເພື່ອໃຫ້ມັນ "ເຮັດວຽກບາງຢ່າງ."

ແຕ່ຫຼາຍທ່ານຮຽນຮູ້, ວຽກງານນີ້ງ່າຍດາຍຫນ້ອຍເລີ່ມເບິ່ງຄືວ່າ. ສໍາລັບຂ້າພະເຈົ້າສ່ວນບຸກຄົນ, ຫົວຂໍ້ນີ້, ຫົວຂໍ້ຂອງການອອກແບບເຄືອຂ່າຍຫ້ອງການ, ເບິ່ງຄືວ່າບໍ່ງ່າຍດາຍທັງຫມົດ, ແລະໃນບົດຄວາມນີ້ຂ້າພະເຈົ້າຈະພະຍາຍາມອະທິບາຍວ່າເປັນຫຍັງ.

ໃນສັ້ນ, ມີປັດໃຈຈໍານວນຫນຶ່ງທີ່ຄວນພິຈາລະນາ. ສ່ວນຫຼາຍແລ້ວ, ປັດໃຈເຫຼົ່ານີ້ມີຄວາມຂັດແຍ້ງກັບກັນແລະກັນ, ການປະນີປະນອມທີ່ສົມເຫດສົມຜົນຕ້ອງໄດ້ຮັບການຊອກຫາ.
ຄວາມບໍ່ແນ່ນອນນີ້ແມ່ນຄວາມຫຍຸ້ງຍາກຕົ້ນຕໍ. ດັ່ງນັ້ນ, ເວົ້າກ່ຽວກັບຄວາມປອດໄພ, ພວກເຮົາມີສາມຫຼ່ຽມທີ່ມີສາມຈຸດ: ຄວາມປອດໄພ, ຄວາມສະດວກສະບາຍສໍາລັບພະນັກງານ, ລາຄາຂອງການແກ້ໄຂ.
ແລະທຸກໆຄັ້ງທີ່ເຈົ້າຕ້ອງຊອກຫາການປະນີປະນອມລະຫວ່າງສາມຢ່າງນີ້.

ຖາປັດຕະຍະ

ເປັນຕົວຢ່າງຂອງສະຖາປັດຕະຍະກໍາສໍາລັບສອງສ່ວນນີ້, ເຊັ່ນດຽວກັນກັບບົດຄວາມທີ່ຜ່ານມາ, ຂ້າພະເຈົ້າແນະນໍາ Cisco ປອດໄພ ຕົວແບບ: ວິທະຍາເຂດວິສາຫະກິດ, Enterprise Internet Edge.

ເຫຼົ່ານີ້ແມ່ນເອກະສານທີ່ລ້າສະໄຫມບາງຢ່າງ. ຂ້າພະເຈົ້າສະເຫນີໃຫ້ເຂົາເຈົ້າຢູ່ທີ່ນີ້ເພາະວ່າໂຄງການພື້ນຖານແລະວິທີການບໍ່ໄດ້ມີການປ່ຽນແປງ, ແຕ່ໃນເວລາດຽວກັນຂ້າພະເຈົ້າມັກການນໍາສະເຫນີຫຼາຍກ່ວາໃນ. ເອ​ກະ​ສານ​ໃຫມ່​.

ໂດຍບໍ່ມີການຊຸກຍູ້ໃຫ້ທ່ານໃຊ້ວິທີແກ້ໄຂ Cisco, ຂ້າພະເຈົ້າຍັງຄິດວ່າມັນເປັນປະໂຫຍດທີ່ຈະສຶກສາການອອກແບບນີ້ຢ່າງລະມັດລະວັງ.

ບົດຄວາມນີ້, ຕາມປົກກະຕິ, ບໍ່ໄດ້ຢູ່ໃນວິທີການໃດທໍາທ່າວ່າຄົບຖ້ວນສົມບູນ, ແຕ່ແທນທີ່ຈະເປັນການເພີ່ມເຕີມຕໍ່ກັບຂໍ້ມູນນີ້.

ໃນຕອນທ້າຍຂອງບົດຄວາມ, ພວກເຮົາຈະວິເຄາະການອອກແບບຫ້ອງການ Cisco SAFE ໃນແງ່ຂອງແນວຄວາມຄິດທີ່ໄດ້ກ່າວມານີ້.

ຫຼັກການທົ່ວໄປ

ການອອກແບບເຄືອຂ່າຍຫ້ອງການ, ແນ່ນອນ, ຕ້ອງຕອບສະຫນອງຄວາມຕ້ອງການທົ່ວໄປທີ່ໄດ້ສົນທະນາ ທີ່ນີ້ ໃນບົດ "ເງື່ອນໄຂສໍາລັບການປະເມີນຄຸນນະພາບການອອກແບບ". ນອກຈາກລາຄາແລະຄວາມປອດໄພ, ທີ່ພວກເຮົາຕັ້ງໃຈຈະສົນທະນາໃນບົດຄວາມນີ້, ຍັງມີສາມເງື່ອນໄຂທີ່ພວກເຮົາຕ້ອງພິຈາລະນາໃນເວລາທີ່ການອອກແບບ (ຫຼືການປ່ຽນແປງ):

• ຄວາມ​ສາ​ມາດ​ຂະ​ຫຍາຍ​ຕົວ
• ຄວາມ​ງ່າຍ​ຂອງ​ການ​ນໍາ​ໃຊ້ (ການ​ຄຸ້ມ​ຄອງ​)
• ຄວາມພ້ອມ

ຫຼາຍສິ່ງທີ່ໄດ້ສົນທະນາສໍາລັບ ສູນຂໍ້ມູນ ນີ້ແມ່ນຄວາມຈິງສໍາລັບຫ້ອງການ.

ແຕ່ເຖິງຢ່າງໃດກໍຕາມ, ພາກສ່ວນຫ້ອງການມີສະເພາະຂອງຕົນເອງ, ເຊິ່ງມີຄວາມສໍາຄັນຈາກທັດສະນະຄວາມປອດໄພ. ໂດຍເນື້ອແທ້ແລ້ວຂອງສະເພາະນີ້ແມ່ນວ່າພາກສ່ວນນີ້ຖືກສ້າງຂື້ນເພື່ອໃຫ້ບໍລິການເຄືອຂ່າຍໃຫ້ແກ່ພະນັກງານ (ເຊັ່ນດຽວກັນກັບຄູ່ຮ່ວມງານແລະແຂກ) ຂອງບໍລິສັດ, ແລະດັ່ງນັ້ນ, ໃນລະດັບສູງສຸດຂອງການພິຈາລະນາບັນຫາພວກເຮົາມີສອງວຽກງານ:

• ປົກປ້ອງຊັບພະຍາກອນຂອງບໍລິສັດຈາກການກະທໍາທີ່ເປັນອັນຕະລາຍທີ່ອາດຈະມາຈາກພະນັກງານ (ແຂກ, ຄູ່ຮ່ວມງານ) ແລະຈາກຊອບແວທີ່ພວກເຂົາໃຊ້. ນີ້ຍັງລວມເຖິງການປົກປ້ອງການເຊື່ອມຕໍ່ທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດກັບເຄືອຂ່າຍ.
• ປົກປ້ອງລະບົບ ແລະຂໍ້ມູນຜູ້ໃຊ້

ແລະນີ້ແມ່ນພຽງແຕ່ຫນຶ່ງຂ້າງຂອງບັນຫາ (ຫຼືແທນທີ່ຈະ, ຫນຶ່ງ vertex ຂອງສາມຫຼ່ຽມ). ອີກດ້ານຫນຶ່ງແມ່ນຄວາມສະດວກສະບາຍຂອງຜູ້ໃຊ້ແລະລາຄາຂອງວິທີແກ້ໄຂທີ່ໃຊ້.

ໃຫ້ເລີ່ມຕົ້ນໂດຍການເບິ່ງສິ່ງທີ່ຜູ້ໃຊ້ຄາດຫວັງຈາກເຄືອຂ່າຍຫ້ອງການທີ່ທັນສະໄຫມ.

ສິ່ງອໍານວຍຄວາມສະດວກ

ນີ້ແມ່ນສິ່ງທີ່ "ສິ່ງອໍານວຍຄວາມສະດວກໃນເຄືອຂ່າຍ" ເບິ່ງຄືວ່າສໍາລັບຜູ້ໃຊ້ຫ້ອງການໃນຄວາມຄິດເຫັນຂອງຂ້ອຍ:

• ການເຄື່ອນໄຫວ
• ຄວາມ​ສາ​ມາດ​ໃນ​ການ​ນໍາ​ໃຊ້​ລະ​ດັບ​ເຕັມ​ຂອງ​ອຸ​ປະ​ກອນ​ທີ່​ຄຸ້ນ​ເຄີຍ​ແລະ​ລະ​ບົບ​ປະ​ຕິ​ບັດ​ການ​
• ເຂົ້າເຖິງຊັບພະຍາກອນຂອງບໍລິສັດທີ່ຈໍາເປັນທັງຫມົດໄດ້ງ່າຍ
• ຄວາມພ້ອມຂອງຊັບພະຍາກອນອິນເຕີເນັດ, ລວມທັງການບໍລິການຄລາວຕ່າງໆ
• "ການດໍາເນີນງານໄວ" ຂອງເຄືອຂ່າຍ

ທັງໝົດນີ້ໃຊ້ໄດ້ກັບທັງພະນັກງານ ແລະແຂກ (ຫຼືຄູ່ຮ່ວມງານ), ແລະມັນເປັນໜ້າທີ່ຂອງວິສະວະກອນຂອງບໍລິສັດເພື່ອແຍກຄວາມແຕກຕ່າງຂອງການເຂົ້າເຖິງສໍາລັບກຸ່ມຜູ້ໃຊ້ທີ່ແຕກຕ່າງກັນໂດຍອີງໃສ່ການອະນຸຍາດ.

ໃຫ້ເບິ່ງແຕ່ລະລັກສະນະເຫຼົ່ານີ້ໃນລາຍລະອຽດເພີ່ມເຕີມເລັກນ້ອຍ.

ການເຄື່ອນໄຫວ

ພວກເຮົາກໍາລັງເວົ້າກ່ຽວກັບໂອກາດທີ່ຈະເຮັດວຽກແລະນໍາໃຊ້ຊັບພະຍາກອນຂອງບໍລິສັດທີ່ຈໍາເປັນທັງຫມົດຈາກທຸກບ່ອນໃນໂລກ (ແນ່ນອນ, ບ່ອນທີ່ມີອິນເຕີເນັດ).

ນີ້ໃຊ້ໄດ້ຢ່າງເຕັມສ່ວນກັບຫ້ອງການ. ນີ້ແມ່ນສະດວກໃນເວລາທີ່ທ່ານມີໂອກາດທີ່ຈະສືບຕໍ່ເຮັດວຽກຈາກທຸກບ່ອນໃນຫ້ອງການ, ສໍາລັບການຍົກຕົວຢ່າງ, ຮັບ mail, ຕິດຕໍ່ສື່ສານໃນ messenger ຂອງບໍລິສັດ, ສາມາດໃຊ້ໄດ້ສໍາລັບການໂທວິດີໂອ, ... ດັ່ງນັ້ນ, ນີ້ອະນຸຍາດໃຫ້ທ່ານ, ໃນດ້ານຫນຶ່ງ, ເພື່ອແກ້ໄຂບາງບັນຫາ "ດໍາລົງຊີວິດ" ການສື່ສານ (ຕົວຢ່າງເຊັ່ນ, ເຂົ້າຮ່ວມການຊຸມນຸມ), ແລະໃນທາງກົງກັນຂ້າມ, ສະເຫມີອອນໄລນ໌, ຮັກສານິ້ວມືຂອງທ່ານຢູ່ໃນກໍາມະຈອນແລະໄວແກ້ໄຂບາງວຽກງານທີ່ມີຄວາມສໍາຄັນສູງອັນຮີບດ່ວນ. ນີ້ແມ່ນສະດວກຫຼາຍແລະກໍ່ປັບປຸງຄຸນນະພາບຂອງການສື່ສານ.

ນີ້ແມ່ນບັນລຸໄດ້ໂດຍການອອກແບບເຄືອຂ່າຍ WiFi ທີ່ເຫມາະສົມ.

ຫມາຍເຫດ

ນີ້ແມ່ນຄໍາຖາມທີ່ມັກຈະເກີດຂື້ນ: ມັນພຽງພໍທີ່ຈະໃຊ້ WiFi ເທົ່ານັ້ນບໍ? ນີ້ຫມາຍຄວາມວ່າທ່ານສາມາດຢຸດການໃຊ້ພອດ Ethernet ໃນຫ້ອງການບໍ? ຖ້າພວກເຮົາເວົ້າກ່ຽວກັບຜູ້ໃຊ້ເທົ່ານັ້ນ, ແລະບໍ່ແມ່ນກ່ຽວກັບເຄື່ອງແມ່ຂ່າຍ, ເຊິ່ງຍັງສົມເຫດສົມຜົນທີ່ຈະເຊື່ອມຕໍ່ກັບພອດ Ethernet ປົກກະຕິ, ຫຼັງຈາກນັ້ນໂດຍທົ່ວໄປຄໍາຕອບແມ່ນ: ແມ່ນແລ້ວ, ທ່ານສາມາດຈໍາກັດຕົວເອງກັບ WiFi ເທົ່ານັ້ນ. ແຕ່ມີ nuances.

ມີກຸ່ມຜູ້ໃຊ້ທີ່ສໍາຄັນທີ່ຕ້ອງການວິທີການແຍກຕ່າງຫາກ. ເຫຼົ່ານີ້ແມ່ນ, ແນ່ນອນ, ຜູ້ບໍລິຫານ. ໃນຫຼັກການ, ການເຊື່ອມຕໍ່ WiFi ມີຄວາມຫນ້າເຊື່ອຖືຫນ້ອຍ (ໃນແງ່ຂອງການສູນເສຍການຈະລາຈອນ) ແລະຊ້າກວ່າພອດ Ethernet ປົກກະຕິ. ນີ້ສາມາດມີຄວາມສໍາຄັນສໍາລັບຜູ້ບໍລິຫານ. ນອກຈາກນັ້ນ, ສໍາລັບການຍົກຕົວຢ່າງ, ຜູ້ບໍລິຫານເຄືອຂ່າຍສາມາດ, ໃນຫຼັກການ, ມີເຄືອຂ່າຍ Ethernet ທີ່ອຸທິດຕົນຂອງຕົນເອງສໍາລັບການເຊື່ອມຕໍ່ນອກແຖບ.

ອາດ​ຈະ​ມີ​ກຸ່ມ​/​ພະ​ແນກ​ອື່ນໆ​ໃນ​ບໍ​ລິ​ສັດ​ຂອງ​ທ່ານ​ທີ່​ປັດ​ໄຈ​ເຫຼົ່າ​ນີ້​ຍັງ​ສໍາ​ຄັນ​.

ມີຈຸດສໍາຄັນອີກອັນຫນຶ່ງ - ໂທລະສັບ. ບາງທີອາດມີເຫດຜົນບາງຢ່າງທີ່ທ່ານບໍ່ຕ້ອງການໃຊ້ Wireless VoIP ແລະຕ້ອງການໃຊ້ໂທລະສັບ IP ທີ່ມີການເຊື່ອມຕໍ່ Ethernet ປົກກະຕິ.

ໂດຍທົ່ວໄປແລ້ວ, ບໍລິສັດທີ່ຂ້ອຍເຮັດວຽກໃຫ້ປົກກະຕິແລ້ວມີທັງການເຊື່ອມຕໍ່ WiFi ແລະພອດອີເທີເນັດ.

ຂ້ອຍຕ້ອງການຄວາມເຄື່ອນໄຫວບໍ່ຈໍາກັດພຽງແຕ່ຫ້ອງການ.

ເພື່ອຮັບປະກັນຄວາມສາມາດໃນການເຮັດວຽກຈາກເຮືອນ (ຫຼືສະຖານທີ່ອື່ນໆທີ່ມີອິນເຕີເນັດທີ່ສາມາດເຂົ້າເຖິງໄດ້), ການເຊື່ອມຕໍ່ VPN ຖືກນໍາໃຊ້. ໃນເວລາດຽວກັນ, ມັນແມ່ນຄວາມປາຖະຫນາທີ່ພະນັກງານບໍ່ມີຄວາມຮູ້ສຶກຄວາມແຕກຕ່າງລະຫວ່າງການເຮັດວຽກຈາກບ້ານແລະບ່ອນເຮັດວຽກຫ່າງໄກສອກຫຼີກ, ເຊິ່ງຖືວ່າມີການເຂົ້າເຖິງດຽວກັນ. ພວກເຮົາຈະປຶກສາຫາລືກ່ຽວກັບວິທີການຈັດລະບຽບນີ້ເລັກນ້ອຍຕໍ່ມາໃນບົດ "ລະບົບການກວດສອບແລະການອະນຸຍາດແບບລວມສູນ."

ຫມາຍເຫດ

ສ່ວນຫຼາຍອາດຈະ, ທ່ານຈະບໍ່ສາມາດສະຫນອງຄຸນນະພາບດຽວກັນຂອງການບໍລິການຢ່າງເຕັມທີ່ສໍາລັບການເຮັດວຽກຫ່າງໄກສອກຫຼີກທີ່ທ່ານມີຢູ່ໃນຫ້ອງການ. ໃຫ້ສົມມຸດວ່າທ່ານກໍາລັງໃຊ້ Cisco ASA 5520 ເປັນປະຕູ VPN ຂອງທ່ານ ແຜ່ນຂໍ້ມູນ ອຸປະກອນນີ້ສາມາດ "ຍ່ອຍ" ພຽງແຕ່ 225 Mbit ຂອງການຈະລາຈອນ VPN. ນັ້ນແມ່ນ, ແນ່ນອນ, ໃນແງ່ຂອງແບນວິດ, ການເຊື່ອມຕໍ່ຜ່ານ VPN ແມ່ນແຕກຕ່າງກັນຫຼາຍຈາກການເຮັດວຽກຈາກຫ້ອງການ. ນອກຈາກນັ້ນ, ຖ້າເຫດຜົນບາງຢ່າງ, ຄວາມລ່າຊ້າ, ການສູນເສຍ, ສັ່ນສະເທືອນ (ຕົວຢ່າງ, ທ່ານຕ້ອງການໃຊ້ໂທລະສັບ IP ຫ້ອງການ) ສໍາລັບການບໍລິການເຄືອຂ່າຍຂອງທ່ານແມ່ນສໍາຄັນ, ທ່ານກໍ່ຍັງບໍ່ໄດ້ຮັບຄຸນນະພາບເຊັ່ນດຽວກັນກັບຖ້າທ່ານຢູ່ໃນຫ້ອງການ. ດັ່ງນັ້ນ, ເມື່ອເວົ້າເຖິງການເຄື່ອນໄຫວ, ພວກເຮົາຕ້ອງຮູ້ເຖິງຂໍ້ຈໍາກັດທີ່ເປັນໄປໄດ້.

ເຂົ້າເຖິງຊັບພະຍາກອນຂອງບໍລິສັດທັງຫມົດໄດ້ງ່າຍ

ວຽກງານນີ້ຄວນໄດ້ຮັບການແກ້ໄຂຮ່ວມກັນກັບພະແນກວິຊາການອື່ນໆ.
ສະຖານະການທີ່ເຫມາະສົມແມ່ນເວລາທີ່ຜູ້ໃຊ້ຕ້ອງການຢືນຢັນພຽງແຕ່ຄັ້ງດຽວ, ແລະຫຼັງຈາກນັ້ນລາວສາມາດເຂົ້າເຖິງຊັບພະຍາກອນທີ່ຈໍາເປັນທັງຫມົດ.
ການສະຫນອງການເຂົ້າເຖິງໄດ້ງ່າຍໂດຍບໍ່ມີການເສຍສະລະຄວາມປອດໄພສາມາດປັບປຸງຜົນຜະລິດຢ່າງຫຼວງຫຼາຍແລະຫຼຸດຜ່ອນຄວາມກົດດັນໃນບັນດາເພື່ອນຮ່ວມງານຂອງທ່ານ.

ໝາຍເຫດ 1

ຄວາມງ່າຍໃນການເຂົ້າເຖິງບໍ່ພຽງແຕ່ກ່ຽວກັບຈໍານວນຄັ້ງທີ່ທ່ານຕ້ອງໃສ່ລະຫັດຜ່ານ. ຖ້າຕົວຢ່າງ, ອີງຕາມນະໂຍບາຍຄວາມປອດໄພຂອງທ່ານ, ເພື່ອເຊື່ອມຕໍ່ຈາກຫ້ອງການໄປຫາສູນຂໍ້ມູນ, ກ່ອນອື່ນ ໝົດ ທ່ານຕ້ອງເຊື່ອມຕໍ່ກັບປະຕູ VPN, ແລະໃນເວລາດຽວກັນທ່ານສູນເສຍການເຂົ້າເຖິງຊັບພະຍາກອນຂອງຫ້ອງການ, ນີ້ແມ່ນຫຼາຍ. , ບໍ່ສະດວກຫຼາຍ.

ໝາຍເຫດ 2

ມີການບໍລິການ (ຕົວຢ່າງເຊັ່ນການເຂົ້າເຖິງອຸປະກອນເຄືອຂ່າຍ) ບ່ອນທີ່ພວກເຮົາມັກຈະມີເຄື່ອງແມ່ຂ່າຍ AAA ທີ່ອຸທິດຕົນຂອງພວກເຮົາເອງແລະນີ້ແມ່ນມາດຕະຖານເມື່ອໃນກໍລະນີນີ້ພວກເຮົາຕ້ອງພິສູດຢືນຢັນຫຼາຍຄັ້ງ.

ຄວາມພ້ອມຂອງຊັບພະຍາກອນອິນເຕີເນັດ

ອິນເຕີເນັດບໍ່ພຽງແຕ່ຄວາມບັນເທີງເທົ່ານັ້ນ, ແຕ່ຍັງເປັນຊຸດຂອງການບໍລິການທີ່ສາມາດເປັນປະໂຫຍດຫຼາຍສໍາລັບການເຮັດວຽກ. ຍັງມີປັດໃຈທາງຈິດໃຈທີ່ບໍລິສຸດ. ຄົນທີ່ທັນສະໄຫມແມ່ນເຊື່ອມຕໍ່ກັບຜູ້ອື່ນໂດຍຜ່ານອິນເຕີເນັດໂດຍຜ່ານກະທູ້ virtual ຫຼາຍ, ແລະ, ໃນຄວາມຄິດເຫັນຂອງຂ້າພະເຈົ້າ, ບໍ່ມີຫຍັງຜິດພາດຖ້າຫາກວ່າລາວຍັງສືບຕໍ່ຮູ້ສຶກວ່າການເຊື່ອມຕໍ່ນີ້ເຖິງແມ່ນວ່າໃນຂະນະທີ່ເຮັດວຽກ.

ຈາກທັດສະນະຂອງການເສຍເວລາ, ບໍ່ມີຫຍັງຜິດປົກກະຕິຖ້າພະນັກງານ, ຕົວຢ່າງ, ມີ Skype ແລ່ນແລະໃຊ້ເວລາ 5 ນາທີຕິດຕໍ່ສື່ສານກັບຄົນຮັກຖ້າຈໍາເປັນ.

ນີ້ຫມາຍຄວາມວ່າອິນເຕີເນັດຄວນຈະມີຢູ່ສະເຫມີ, ນີ້ຫມາຍຄວາມວ່າພະນັກງານສາມາດເຂົ້າເຖິງຊັບພະຍາກອນທັງຫມົດແລະບໍ່ຄວບຄຸມພວກເຂົາໃນທາງໃດກໍ່ຕາມ?

ບໍ່ບໍ່ໄດ້ຫມາຍຄວາມວ່າ, ແນ່ນອນ. ລະດັບການເປີດກວ້າງຂອງອິນເຕີເນັດສາມາດແຕກຕ່າງກັນສໍາລັບບໍລິສັດທີ່ແຕກຕ່າງກັນ - ຈາກການປິດຢ່າງສົມບູນຈົນເຖິງການເປີດທີ່ສົມບູນ. ພວກເຮົາຈະປຶກສາຫາລືກ່ຽວກັບວິທີການຄວບຄຸມການຈະລາຈອນຕໍ່ມາໃນພາກສ່ວນກ່ຽວກັບມາດຕະການຄວາມປອດໄພ.

ຄວາມສາມາດໃນການໃຊ້ອຸປະກອນທີ່ຄຸ້ນເຄີຍຢ່າງເຕັມທີ່

ມັນສະດວກໃນເວລາທີ່, ສໍາລັບການຍົກຕົວຢ່າງ, ທ່ານມີໂອກາດທີ່ຈະສືບຕໍ່ນໍາໃຊ້ທຸກວິທີການຂອງການສື່ສານທີ່ທ່ານເຄີຍເຮັດວຽກ. ບໍ່ມີຄວາມຫຍຸ້ງຍາກໃນການປະຕິບັດດ້ານວິຊາການນີ້. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຕ້ອງການ WiFi ແລະ wilan ແຂກ.

ມັນຍັງດີຖ້າທ່ານມີໂອກາດທີ່ຈະໃຊ້ລະບົບປະຕິບັດການທີ່ທ່ານເຄີຍໃຊ້. ແຕ່, ໃນການສັງເກດການຂອງຂ້ອຍ, ນີ້ແມ່ນປົກກະຕິແລ້ວອະນຸຍາດໃຫ້ຜູ້ຈັດການ, ຜູ້ບໍລິຫານແລະນັກພັດທະນາເທົ່ານັ້ນ.

ຕົວຢ່າງ:

ທ່ານສາມາດ, ແນ່ນອນ, ປະຕິບັດຕາມເສັ້ນທາງຂອງຂໍ້ຫ້າມ, ຫ້າມການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ, ຫ້າມການເຊື່ອມຕໍ່ຈາກອຸປະກອນມືຖື, ຈໍາກັດທຸກສິ່ງທຸກຢ່າງໃນການເຊື່ອມຕໍ່ Ethernet static, ຈໍາກັດການເຂົ້າເຖິງອິນເຕີເນັດ, ບັງຄັບໃຫ້ຍຶດໂທລະສັບມືຖືແລະເຄື່ອງມືຢູ່ໃນດ່ານ ... ແລະເສັ້ນທາງນີ້ ຕົວຈິງແລ້ວແມ່ນປະຕິບັດຕາມໂດຍບາງອົງການຈັດຕັ້ງທີ່ມີຄວາມຕ້ອງການຄວາມປອດໄພເພີ່ມຂຶ້ນ, ແລະບາງທີບາງກໍລະນີນີ້ອາດຈະເປັນເຫດຜົນ, ແຕ່ ... ທ່ານຕ້ອງຕົກລົງເຫັນດີວ່ານີ້ເບິ່ງຄືວ່າເປັນຄວາມພະຍາຍາມທີ່ຈະຢຸດຄວາມກ້າວຫນ້າໃນອົງການດຽວ. ແນ່ນອນ, ຂ້າພະເຈົ້າຢາກຈະສົມທົບໂອກາດທີ່ເຕັກໂນໂລຢີທີ່ທັນສະໄຫມສະຫນອງຄວາມປອດໄພໃນລະດັບທີ່ພຽງພໍ.

"ການດໍາເນີນງານໄວ" ຂອງເຄືອຂ່າຍ

ຄວາມໄວໃນການໂອນຂໍ້ມູນທາງດ້ານວິຊາການປະກອບດ້ວຍຫຼາຍປັດໃຈ. ແລະຄວາມໄວຂອງພອດການເຊື່ອມຕໍ່ຂອງເຈົ້າມັກຈະບໍ່ແມ່ນສິ່ງທີ່ສໍາຄັນທີ່ສຸດ. ການເຮັດວຽກຊ້າຂອງແອັບພລິເຄຊັນບໍ່ສະເຫມີກ່ຽວຂ້ອງກັບບັນຫາເຄືອຂ່າຍ, ແຕ່ສໍາລັບຕອນນີ້ພວກເຮົາມີຄວາມສົນໃຈໃນສ່ວນຂອງເຄືອຂ່າຍເທົ່ານັ້ນ. ບັນຫາທົ່ວໄປທີ່ສຸດກັບເຄືອຂ່າຍທ້ອງຖິ່ນ "ຊ້າລົງ" ແມ່ນກ່ຽວຂ້ອງກັບການສູນເສຍແພັກເກັດ. ອັນນີ້ມັກຈະເກີດຂຶ້ນເມື່ອມີບັນຫາຄໍຂວດ ຫຼື L1 (OSI). ບໍ່ຄ່ອຍຫຼາຍ, ດ້ວຍການອອກແບບບາງຢ່າງ (ຕົວຢ່າງ, ເມື່ອເຄືອຂ່າຍຍ່ອຍຂອງເຈົ້າມີໄຟວໍເປັນປະຕູເລີ່ມຕົ້ນແລະດັ່ງນັ້ນການຈະລາຈອນທັງຫມົດຜ່ານມັນ), ປະສິດທິພາບຂອງຮາດແວອາດຈະຂາດ.

ດັ່ງນັ້ນ, ເມື່ອເລືອກອຸປະກອນແລະສະຖາປັດຕະຍະກໍາ, ທ່ານຈໍາເປັນຕ້ອງເຊື່ອມໂຍງຄວາມໄວຂອງພອດທ້າຍ, ລໍາຕົ້ນແລະການປະຕິບັດອຸປະກອນ.

ຕົວຢ່າງ:

ໃຫ້ສົມມຸດວ່າທ່ານກໍາລັງໃຊ້ສະວິດທີ່ມີພອດ 1 gigabit ເປັນປຸ່ມການເຂົ້າເຖິງຊັ້ນ. ພວກມັນເຊື່ອມຕໍ່ກັນຜ່ານ Etherchannel 2 x 10 gigabits. ໃນຖານະເປັນປະຕູເລີ່ມຕົ້ນ, ທ່ານໃຊ້ໄຟວໍທີ່ມີພອດ gigabit, ເພື່ອເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍຫ້ອງການ L2 ທີ່ທ່ານໃຊ້ 2 gigabit ports ລວມເຂົ້າໄປໃນ Etherchannel.

ສະຖາປັດຕະຍະກໍານີ້ແມ່ນຂ້ອນຂ້າງສະດວກຈາກທັດສະນະຂອງການເຮັດວຽກ, ເນື່ອງຈາກວ່າ ... ການຈະລາຈອນທັງຫມົດຜ່ານໄຟວໍ, ແລະທ່ານສາມາດຈັດການນະໂຍບາຍການເຂົ້າເຖິງຢ່າງສະດວກສະບາຍ, ແລະນໍາໃຊ້ສູດການຄິດໄລ່ທີ່ສັບສົນເພື່ອຄວບຄຸມການຈະລາຈອນແລະປ້ອງກັນການໂຈມຕີທີ່ເປັນໄປໄດ້ (ເບິ່ງຂ້າງລຸ່ມນີ້), ແຕ່ຈາກມຸມເບິ່ງແລະການປະຕິບັດການອອກແບບນີ້, ແນ່ນອນ, ມີບັນຫາທີ່ອາດເກີດຂື້ນ. ດັ່ງນັ້ນ, ສໍາລັບການຍົກຕົວຢ່າງ, 2 ເຈົ້າພາບດາວໂຫລດຂໍ້ມູນ (ທີ່ມີຄວາມໄວຂອງພອດ 1 gigabit) ສາມາດໂຫຼດການເຊື່ອມຕໍ່ 2 gigabit ກັບ firewall ໄດ້ຢ່າງສົມບູນ, ແລະດັ່ງນັ້ນຈຶ່ງນໍາໄປສູ່ການເສື່ອມໂຊມຂອງການບໍລິການສໍາລັບພາກສ່ວນຫ້ອງການທັງຫມົດ.

ພວກເຮົາໄດ້ເບິ່ງຈຸດຫນຶ່ງຂອງສາມຫຼ່ຽມ, ຕອນນີ້ໃຫ້ເບິ່ງວິທີທີ່ພວກເຮົາສາມາດຮັບປະກັນຄວາມປອດໄພ.

ວິທີແກ້ໄຂ

ດັ່ງນັ້ນ, ແນ່ນອນ, ປົກກະຕິແລ້ວຄວາມປາຖະຫນາຂອງພວກເຮົາ (ຫຼືແທນທີ່ຈະ, ຄວາມປາຖະຫນາຂອງການຄຸ້ມຄອງຂອງພວກເຮົາ) ແມ່ນເພື່ອບັນລຸສິ່ງທີ່ເປັນໄປບໍ່ໄດ້, ຄື, ສະຫນອງຄວາມສະດວກສູງສຸດທີ່ມີຄວາມປອດໄພສູງສຸດແລະຄ່າໃຊ້ຈ່າຍຕ່ໍາສຸດ.

ໃຫ້​ເຮົາ​ມາ​ເບິ່ງ​ວ່າ​ເຮົາ​ມີ​ວິທີ​ໃດ​ແດ່​ເພື່ອ​ໃຫ້​ການ​ປ້ອງ​ກັນ.

ສໍາລັບຫ້ອງການ, ຂ້າພະເຈົ້າຈະຍົກໃຫ້ເຫັນດັ່ງຕໍ່ໄປນີ້:

• zero trust ວິທີການອອກແບບ
• ລະດັບສູງຂອງການປົກປ້ອງ
• ການເບິ່ງເຫັນເຄືອຂ່າຍ
• ລະບົບການຢັ້ງຢືນແລະການອະນຸຍາດແບບລວມສູນ
• ການກວດສອບເຈົ້າພາບ

ຕໍ່​ໄປ​, ພວກ​ເຮົາ​ຈະ​ຢູ່​ໃນ​ລາຍ​ລະ​ອຽດ​ເລັກ​ນ້ອຍ​ຫຼາຍ​ກ່ຽວ​ກັບ​ແຕ່​ລະ​ດ້ານ​ເຫຼົ່າ​ນີ້​.

ສູນຄວາມໄວ້ວາງໃຈ

ໂລກ IT ມີການປ່ຽນແປງຢ່າງໄວວາ. ພຽງແຕ່ໃນໄລຍະ 10 ປີທີ່ຜ່ານມາ, ການປະກົດຕົວຂອງເຕັກໂນໂລຢີແລະຜະລິດຕະພັນໃຫມ່ໄດ້ເຮັດໃຫ້ການປັບປຸງໃຫມ່ຂອງແນວຄວາມຄິດຄວາມປອດໄພ. ເມື່ອສິບປີກ່ອນ, ຈາກທັດສະນະຄວາມປອດໄພ, ພວກເຮົາໄດ້ແບ່ງເຄືອຂ່າຍເຂົ້າໄປໃນເຂດຄວາມໄວ້ວາງໃຈ, dmz ແລະເຂດ untrust, ແລະໃຊ້ອັນທີ່ເອີ້ນວ່າ "ການປົກປ້ອງ perimeter", ບ່ອນທີ່ມີ 2 ສາຍຂອງການປ້ອງກັນ: untrust -> dmz ແລະ dmz -> ໄວ້ໃຈ. ນອກຈາກນັ້ນ, ປົກກະຕິແລ້ວການປົກປ້ອງແມ່ນຖືກຈໍາກັດໃນການເຂົ້າເຖິງລາຍການໂດຍອີງໃສ່ສ່ວນຫົວ L3/L4 (OSI) (IP, TCP/UDP ພອດ, ທຸງ TCP). ທຸກສິ່ງທຸກຢ່າງທີ່ກ່ຽວຂ້ອງກັບລະດັບທີ່ສູງຂຶ້ນ, ລວມທັງ L7, ຖືກປະໄວ້ກັບ OS ແລະຜະລິດຕະພັນຄວາມປອດໄພທີ່ຕິດຕັ້ງຢູ່ໃນໂຮດສຸດທ້າຍ.

ໃນປັດຈຸບັນສະຖານະການໄດ້ມີການປ່ຽນແປງຢ່າງຫຼວງຫຼາຍ. ແນວຄວາມຄິດທີ່ທັນສະໄຫມ ສູນຄວາມໄວ້ວາງໃຈ ມາຈາກຄວາມຈິງທີ່ວ່າມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະພິຈາລະນາລະບົບພາຍໃນ, ນັ້ນແມ່ນ, ທີ່ຢູ່ພາຍໃນ perimeter, ເປັນທີ່ເຊື່ອຖືໄດ້, ແລະແນວຄວາມຄິດຂອງ perimeter ຕົວຂອງມັນເອງໄດ້ກາຍເປັນມົວ.
ນອກຈາກການເຊື່ອມຕໍ່ອິນເຕີເນັດພວກເຮົາຍັງມີ

• ຜູ້ໃຊ້ VPN ເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ
• gadgets ສ່ວນ​ບຸກ​ຄົນ​ຕ່າງໆ​, ນໍາ​ເອົາ​ຄອມ​ພິວ​ເຕີ​, ການ​ເຊື່ອມ​ຕໍ່​ຜ່ານ WiFi ຫ້ອງ​ການ​
• ຫ້ອງການອື່ນໆ (ສາຂາ).
• ການປະສົມປະສານກັບໂຄງສ້າງພື້ນຖານຂອງຄລາວ

ວິທີການ Zero Trust ມີລັກສະນະແນວໃດໃນການປະຕິບັດ?

ໂດຍຫລັກການແລ້ວ, ພຽງແຕ່ການຈະລາຈອນທີ່ຕ້ອງການຄວນໄດ້ຮັບການອະນຸຍາດແລະ, ຖ້າພວກເຮົາເວົ້າກ່ຽວກັບຄວາມເຫມາະສົມ, ການຄວບຄຸມຄວນຈະບໍ່ພຽງແຕ່ຢູ່ໃນລະດັບ L3 / L4, ແຕ່ໃນລະດັບຄໍາຮ້ອງສະຫມັກ.

ຖ້າຕົວຢ່າງ, ເຈົ້າມີຄວາມສາມາດທີ່ຈະຜ່ານການຈະລາຈອນທັງຫມົດຜ່ານ firewall, ຫຼັງຈາກນັ້ນທ່ານສາມາດພະຍາຍາມເຂົ້າໃກ້ກັບທີ່ເຫມາະສົມ. ແຕ່ວິທີການນີ້ສາມາດຫຼຸດລົງຢ່າງຫຼວງຫຼາຍແບນວິດທັງຫມົດຂອງເຄືອຂ່າຍຂອງທ່ານ, ແລະນອກຈາກນັ້ນ, ການກັ່ນຕອງໂດຍຄໍາຮ້ອງສະຫມັກບໍ່ໄດ້ຜົນດີສະເຫມີ.

ເມື່ອຄວບຄຸມການຈະລາຈອນໃນ router ຫຼື L3 switch (ໃຊ້ ACLs ມາດຕະຖານ), ທ່ານພົບບັນຫາອື່ນໆ:

• ນີ້ແມ່ນການກັ່ນຕອງ L3/L4 ເທົ່ານັ້ນ. ບໍ່ມີຫຍັງຢຸດຜູ້ໂຈມຕີຈາກການໃຊ້ພອດທີ່ອະນຸຍາດ (ເຊັ່ນ: TCP 80) ສໍາລັບແອັບພລິເຄຊັນຂອງພວກເຂົາ (ບໍ່ແມ່ນ http)
• ການຈັດການ ACL ທີ່ຊັບຊ້ອນ (ຍາກທີ່ຈະແຍກວິເຄາະ ACLs)
• ນີ້ບໍ່ແມ່ນ firewall ທີ່ເປັນ statefull, ຊຶ່ງຫມາຍຄວາມວ່າທ່ານຈໍາເປັນຕ້ອງອະນຸຍາດໃຫ້ການຈະລາຈອນຍ້ອນກັບຢ່າງຈະແຈ້ງ
• ດ້ວຍສະວິດທີ່ເຈົ້າມັກຈະຖືກຈໍາກັດຢ່າງແຫນ້ນຫນາໂດຍຂະຫນາດຂອງ TCAM, ເຊິ່ງສາມາດກາຍເປັນບັນຫາຢ່າງໄວວາຖ້າທ່ານໃຊ້ວິທີການ "ອະນຸຍາດໃຫ້ສິ່ງທີ່ທ່ານຕ້ອງການ"

ຫມາຍເຫດ

ເວົ້າກ່ຽວກັບການຈະລາຈອນຍ້ອນກັບ, ພວກເຮົາຕ້ອງຈື່ໄວ້ວ່າພວກເຮົາມີໂອກາດຕໍ່ໄປນີ້ (Cisco)

ອະນຸຍາດໃຫ້ tcp ໃດໆທີ່ສ້າງຕັ້ງຂຶ້ນ

ແຕ່ທ່ານຈໍາເປັນຕ້ອງເຂົ້າໃຈວ່າເສັ້ນນີ້ແມ່ນເທົ່າກັບສອງເສັ້ນ:
ອະນຸຍາດໃຫ້ tcp ack ໃດ
ອະນຸຍາດໃຫ້ tcp ທໍາອິດໃດໆ

ຊຶ່ງຫມາຍຄວາມວ່າເຖິງແມ່ນວ່າບໍ່ມີສ່ວນ TCP ເບື້ອງຕົ້ນທີ່ມີທຸງ SYN (ນັ້ນແມ່ນ, ຊ່ວງ TCP ບໍ່ໄດ້ເລີ່ມສ້າງຕັ້ງ), ACL ນີ້ຈະອະນຸຍາດໃຫ້ແພັກເກັດທີ່ມີທຸງ ACK, ເຊິ່ງຜູ້ໂຈມຕີສາມາດໃຊ້ເພື່ອໂອນຂໍ້ມູນ.

ນັ້ນແມ່ນ, ເສັ້ນນີ້ບໍ່ມີທາງທີ່ຈະປ່ຽນ router ຫຼື L3 ຂອງທ່ານໃຫ້ເປັນ firewall ເຕັມທີ່.

ລະດັບສູງຂອງການປົກປ້ອງ

В ບົດຄວາມ ໃນພາກກ່ຽວກັບສູນຂໍ້ມູນ, ພວກເຮົາໄດ້ພິຈາລະນາວິທີການປ້ອງກັນດັ່ງຕໍ່ໄປນີ້.

• firewalling stateful (ຄ່າເລີ່ມຕົ້ນ)
• ການປົກປ້ອງ ddos/dos
• ຄໍາຮ້ອງສະຫມັກ firewalling
• ການ​ປ້ອງ​ກັນ​ໄພ​ຂົ່ມ​ຂູ່ (ຕ້ານ​ໄວຣ​ັ​ສ​, ຕ້ານ spyware​, ແລະ​ຄວາມ​ສ່ຽງ​)
• ການກັ່ນຕອງ URL
• ການກັ່ນຕອງຂໍ້ມູນ (ການກັ່ນຕອງເນື້ອຫາ)
• ການບລັອກໄຟລ໌ (ການບລັອກປະເພດໄຟລ໌)

ໃນກໍລະນີຂອງຫ້ອງການ, ສະຖານະການແມ່ນຄ້າຍຄືກັນ, ແຕ່ບູລິມະສິດແມ່ນແຕກຕ່າງກັນເລັກນ້ອຍ. ຄວາມພ້ອມຂອງຫ້ອງການ (ການມີຢູ່) ມັກຈະບໍ່ສໍາຄັນຄືກັບກໍລະນີຂອງສູນຂໍ້ມູນ, ໃນຂະນະທີ່ຄວາມເປັນໄປໄດ້ຂອງການຈາລະຈອນທີ່ເປັນອັນຕະລາຍ "ພາຍໃນ" ແມ່ນຄໍາສັ່ງທີ່ສູງກວ່າ.
ດັ່ງນັ້ນ, ວິທີການປ້ອງກັນຕໍ່ໄປນີ້ສໍາລັບພາກສ່ວນນີ້ໄດ້ກາຍເປັນທີ່ສໍາຄັນ:

• ຄໍາຮ້ອງສະຫມັກ firewalling
• ການ​ປ້ອງ​ກັນ​ໄພ​ຂົ່ມ​ຂູ່ (ຕ້ານ​ໄວຣ​ັ​ສ​, ຕ້ານ spyware​, ແລະ​ຄວາມ​ສ່ຽງ​)
• ການກັ່ນຕອງ URL
• ການກັ່ນຕອງຂໍ້ມູນ (ການກັ່ນຕອງເນື້ອຫາ)
• ການບລັອກໄຟລ໌ (ການບລັອກປະເພດໄຟລ໌)

ເຖິງແມ່ນວ່າວິທີການປ້ອງກັນທັງຫມົດນີ້, ຍົກເວັ້ນການໃຊ້ firewalling, ໄດ້ເປັນປະເພນີແລະສືບຕໍ່ໄດ້ຮັບການແກ້ໄຂໃນ end hosts (ຕົວຢ່າງ, ໂດຍການຕິດຕັ້ງໂປລແກລມ antivirus) ແລະການນໍາໃຊ້ຕົວແທນ, NGFWs ທີ່ທັນສະໄຫມຍັງໃຫ້ບໍລິການເຫຼົ່ານີ້.

ຜູ້ຂາຍອຸປະກອນຄວາມປອດໄພພະຍາຍາມສ້າງການປົກປ້ອງທີ່ສົມບູນແບບ, ດັ່ງນັ້ນພ້ອມກັບການປົກປ້ອງທ້ອງຖິ່ນ, ພວກເຂົາສະເຫນີເຕັກໂນໂລຢີຄລາວຕ່າງໆແລະຊອບແວລູກຄ້າສໍາລັບເຈົ້າພາບ (ການປົກປ້ອງຈຸດສິ້ນສຸດ / EPP). ດັ່ງນັ້ນ, ສໍາລັບການຍົກຕົວຢ່າງ, ຈາກ 2018 Gartner Magic Quadrant ພວກເຮົາເຫັນວ່າ Palo Alto ແລະ Cisco ມີ EPPs ຂອງຕົນເອງ (PA: Traps, Cisco: AMP), ແຕ່ຢູ່ໄກຈາກຜູ້ນໍາ.

ການເປີດໃຊ້ງານການປົກປ້ອງເຫຼົ່ານີ້ (ໂດຍປົກກະຕິໂດຍການຊື້ໃບອະນຸຍາດ) ໃນ Firewall ຂອງທ່ານແມ່ນແນ່ນອນວ່າບໍ່ຈໍາເປັນ (ທ່ານສາມາດໄປຕາມເສັ້ນທາງແບບດັ້ງເດີມ), ແຕ່ມັນໃຫ້ຜົນປະໂຫຍດບາງຢ່າງ:

• ໃນກໍລະນີນີ້, ມີຈຸດດຽວຂອງການນໍາໃຊ້ວິທີການປ້ອງກັນ, ເຊິ່ງປັບປຸງການເບິ່ງເຫັນ (ເບິ່ງຫົວຂໍ້ຕໍ່ໄປ).
• ຖ້າມີອຸປະກອນທີ່ບໍ່ໄດ້ປ້ອງກັນຢູ່ໃນເຄືອຂ່າຍຂອງທ່ານ, ມັນຍັງຄົງຢູ່ພາຍໃຕ້ "umbrella" ຂອງການປ້ອງກັນໄຟວໍ.
• ໂດຍການນໍາໃຊ້ການປ້ອງກັນໄຟວໍຮ່ວມກັບການປົກປ້ອງ end-host, ພວກເຮົາເພີ່ມຄວາມເປັນໄປໄດ້ໃນການກວດສອບການຈະລາຈອນທີ່ເປັນອັນຕະລາຍ. ຕົວຢ່າງ, ການນໍາໃຊ້ການປ້ອງກັນໄພຂົ່ມຂູ່ຕໍ່ເຈົ້າພາບທ້ອງຖິ່ນແລະໃນ firewall ເພີ່ມຄວາມເປັນໄປໄດ້ຂອງການກວດສອບ (ສະຫນອງໃຫ້, ແນ່ນອນ, ວ່າການແກ້ໄຂເຫຼົ່ານີ້ແມ່ນອີງໃສ່ຜະລິດຕະພັນຊອບແວທີ່ແຕກຕ່າງກັນ).

ຫມາຍເຫດ

ຍົກຕົວຢ່າງ, ຖ້າເຈົ້າໃຊ້ Kaspersky ເປັນ antivirus ທັງຢູ່ໃນ firewall ແລະ end hosts, ແນ່ນອນ, ນີ້ຈະບໍ່ເພີ່ມໂອກາດຂອງທ່ານໃນການປ້ອງກັນການໂຈມຕີໄວຣັດໃນເຄືອຂ່າຍຂອງເຈົ້າ.

ການເບິ່ງເຫັນເຄືອຂ່າຍ

ຄວາມ​ຄິດ​ຫຼັກ ແມ່ນງ່າຍດາຍ - "ເບິ່ງ" ສິ່ງທີ່ເກີດຂຶ້ນໃນເຄືອຂ່າຍຂອງທ່ານ, ທັງໃນເວລາທີ່ແທ້ຈິງແລະຂໍ້ມູນປະຫວັດສາດ.

ຂ້າພະເຈົ້າຈະແບ່ງ "ວິໄສທັດ" ນີ້ອອກເປັນສອງກຸ່ມ:

ກຸ່ມທີໜຶ່ງ: ສິ່ງທີ່ລະບົບການຕິດຕາມຂອງທ່ານມັກຈະໃຫ້ທ່ານ.

• ການໂຫຼດອຸປະກອນ
• ກຳລັງໂຫຼດຊ່ອງ
• ການ​ນໍາ​ໃຊ້​ຄວາມ​ຊົງ​ຈໍາ​
• ການ​ນໍາ​ໃຊ້​ແຜ່ນ​
• ການປ່ຽນແປງຕາຕະລາງເສັ້ນທາງ
• ສະ​ຖາ​ນະ​ການ​ເຊື່ອມ​ຕໍ່​
• ມີອຸປະກອນ (ຫຼືເຈົ້າພາບ)
• ...

ກຸ່ມສອງ: ຂໍ້​ມູນ​ກ່ຽວ​ກັບ​ຄວາມ​ປອດ​ໄພ​.

• ສະຖິຕິປະເພດຕ່າງໆ (ຕົວຢ່າງ, ໂດຍແອັບພລິເຄຊັນ, ໂດຍການຈະລາຈອນ URL, ຂໍ້ມູນປະເພດໃດທີ່ຖືກດາວໂຫລດ, ຂໍ້ມູນຜູ້ໃຊ້)
• ສິ່ງທີ່ຖືກຂັດຂວາງໂດຍນະໂຍບາຍຄວາມປອດໄພແລະສໍາລັບເຫດຜົນໃດກໍ່ຕາມ, ຄື
  • ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ຫ້າມ​
  • ຫ້າມອີງໃສ່ ip/protocol/port/flags/zones
  • ການ​ປ້ອງ​ກັນ​ໄພ​ຂົ່ມ​ຂູ່​
  • ການກັ່ນຕອງ url
  • ການກັ່ນຕອງຂໍ້ມູນ
  • ການສະກັດໄຟລ໌
  • ...
• ສະຖິຕິກ່ຽວກັບການໂຈມຕີ DOS/DDOS
• ລົ້ມເຫລວໃນການກໍານົດແລະການອະນຸຍາດຄວາມພະຍາຍາມ
• ສະຖິຕິສໍາລັບເຫດການການລະເມີດນະໂຍບາຍຄວາມປອດໄພຂ້າງເທິງທັງໝົດ
• ...

ໃນບົດນີ້ກ່ຽວກັບຄວາມປອດໄພ, ພວກເຮົາມີຄວາມສົນໃຈໃນພາກທີສອງ.

ບາງ firewalls ທີ່ທັນສະໄຫມ (ຈາກປະສົບການ Palo Alto ຂອງຂ້ອຍ) ໃຫ້ລະດັບການເບິ່ງເຫັນທີ່ດີ. ແຕ່, ແນ່ນອນ, ການຈະລາຈອນທີ່ເຈົ້າສົນໃຈຕ້ອງຜ່ານ Firewall ນີ້ (ໃນກໍລະນີນີ້ເຈົ້າມີຄວາມສາມາດໃນການສະກັດກັ້ນການຈະລາຈອນ) ຫຼືສະທ້ອນກັບໄຟວໍ (ໃຊ້ສໍາລັບການກວດສອບແລະການວິເຄາະເທົ່ານັ້ນ), ແລະທ່ານຕ້ອງມີໃບອະນຸຍາດເພື່ອເປີດໃຊ້ທັງຫມົດ. ການ​ບໍ​ລິ​ການ​ເຫຼົ່າ​ນີ້​.

ແນ່ນອນ, ມີວິທີທາງເລືອກ, ຫຼືວິທີການແບບດັ້ງເດີມ, ສໍາລັບຕົວຢ່າງ,

• ສະຖິຕິຂອງເຊດຊັນສາມາດເກັບໄດ້ໂດຍຜ່ານ netflow ແລະຫຼັງຈາກນັ້ນນໍາໃຊ້ຜົນປະໂຫຍດພິເສດສໍາລັບການວິເຄາະຂໍ້ມູນແລະການເບິ່ງເຫັນຂໍ້ມູນ
• ການ​ປ້ອງ​ກັນ​ໄພ​ຂົ່ມ​ຂູ່ – ໂຄງ​ການ​ພິ​ເສດ (ຕ້ານ​ເຊື້ອ​ໄວຣ​ັ​ສ​, ຕ້ານ​ການ​ສະ​ປາຍ​ແວ​, firewall​) ສຸດ​ເຈົ້າ​ພາບ​
• ການກັ່ນຕອງ URL, ການກັ່ນຕອງຂໍ້ມູນ, ການສະກັດໄຟລ໌ - ໃນຕົວແທນ
• ມັນຍັງສາມາດວິເຄາະ tcpdump ໂດຍໃຊ້ e.g. snort

ທ່ານສາມາດສົມທົບສອງວິທີການນີ້, ປະກອບລັກສະນະທີ່ຂາດຫາຍໄປຫຼືຊ້ໍາກັນພວກມັນເພື່ອເພີ່ມຄວາມເປັນໄປໄດ້ໃນການກວດສອບການໂຈມຕີ.

ເຈົ້າຄວນເລືອກວິທີໃດ?
ສູງຂື້ນກັບຄຸນສົມບັດແລະຄວາມມັກຂອງທີມງານຂອງທ່ານ.
ທັງ​ມີ​ແລະ​ມີ pros ແລະ cons​.

ລະບົບການຢັ້ງຢືນແລະການອະນຸຍາດແບບລວມສູນ

ເມື່ອອອກແບບໄດ້ດີ, ການເຄື່ອນໄຫວທີ່ພວກເຮົາໄດ້ສົນທະນາໃນບົດຄວາມນີ້ສົມມຸດວ່າທ່ານມີການເຂົ້າເຖິງດຽວກັນບໍ່ວ່າທ່ານຈະເຮັດວຽກຈາກຫ້ອງການຫຼືຈາກບ້ານ, ຈາກສະຫນາມບິນ, ຈາກຮ້ານກາເຟ, ຫຼືບ່ອນອື່ນ (ມີຂໍ້ຈໍາກັດທີ່ພວກເຮົາໄດ້ສົນທະນາຂ້າງເທິງ). ມັນເບິ່ງຄືວ່າ, ບັນຫາແມ່ນຫຍັງ?
ເພື່ອເຂົ້າໃຈຄວາມຊັບຊ້ອນຂອງວຽກງານນີ້ດີຂຶ້ນ, ໃຫ້ເບິ່ງແບບປົກກະຕິ.

ຕົວຢ່າງ:

• ທ່ານໄດ້ແບ່ງພະນັກງານທັງໝົດອອກເປັນກຸ່ມ. ທ່ານໄດ້ຕັດສິນໃຈໃຫ້ການເຂົ້າເຖິງໂດຍກຸ່ມ
• ພາຍໃນຫ້ອງການ, ທ່ານຄວບຄຸມການເຂົ້າເຖິງຢູ່ໃນ firewall ຫ້ອງການ
• ທ່ານຄວບຄຸມການຈາລະຈອນຈາກຫ້ອງການໄປຫາສູນຂໍ້ມູນໃນສູນຂໍ້ມູນໄຟວໍ
• ທ່ານໃຊ້ Cisco ASA ເປັນປະຕູ VPN, ແລະເພື່ອຄວບຄຸມການຈະລາຈອນເຂົ້າເຄືອຂ່າຍຂອງທ່ານຈາກລູກຄ້າທາງໄກ, ທ່ານໃຊ້ ACLs ທ້ອງຖິ່ນ (ຢູ່ໃນ ASA)

ດຽວນີ້, ໃຫ້ເວົ້າວ່າທ່ານຖືກຂໍໃຫ້ເພີ່ມການເຂົ້າເຖິງພະນັກງານທີ່ແນ່ນອນ. ໃນກໍລະນີນີ້, ເຈົ້າຖືກຂໍໃຫ້ເພີ່ມການເຂົ້າເຖິງພຽງແຕ່ລາວແລະບໍ່ມີໃຜຈາກກຸ່ມຂອງລາວ.

ສໍາລັບນີ້ພວກເຮົາຕ້ອງສ້າງກຸ່ມແຍກຕ່າງຫາກສໍາລັບພະນັກງານນີ້, ນັ້ນແມ່ນ

• ສ້າງສະນຸກເກີ IP ແຍກຕ່າງຫາກໃນ ASA ສໍາລັບພະນັກງານນີ້
• ເພີ່ມ ACL ໃຫມ່ໃນ ASA ແລະຜູກມັດມັນກັບລູກຄ້າທາງໄກນັ້ນ
• ສ້າງນະໂຍບາຍຄວາມປອດໄພໃຫມ່ກ່ຽວກັບ firewalls ຫ້ອງການແລະສູນຂໍ້ມູນ

ມັນດີຖ້າເຫດການນີ້ຫາຍາກ. ແຕ່ໃນການປະຕິບັດຂອງຂ້ອຍມີສະຖານະການທີ່ພະນັກງານເຂົ້າຮ່ວມໃນໂຄງການທີ່ແຕກຕ່າງກັນ, ແລະຊຸດຂອງໂຄງການນີ້ສໍາລັບບາງຄົນຂອງພວກເຂົາມີການປ່ຽນແປງເລື້ອຍໆ, ແລະມັນບໍ່ແມ່ນ 1-2 ຄົນ, ແຕ່ຫລາຍສິບຄົນ. ແນ່ນອນ, ບາງສິ່ງບາງຢ່າງທີ່ຕ້ອງໄດ້ຮັບການປ່ຽນແປງຢູ່ທີ່ນີ້.

ນີ້ໄດ້ຖືກແກ້ໄຂດ້ວຍວິທີຕໍ່ໄປນີ້.

ພວກ​ເຮົາ​ໄດ້​ຕັດ​ສິນ​ໃຈ​ວ່າ LDAP ຈະ​ເປັນ​ແຫຼ່ງ​ຄວາມ​ຈິງ​ອັນ​ດຽວ​ທີ່​ກຳ​ນົດ​ທຸກ​ການ​ເຂົ້າ​ເຖິງ​ຂອງ​ພະ​ນັກ​ງານ​ທີ່​ເປັນ​ໄປ​ໄດ້. ພວກເຮົາສ້າງກຸ່ມທຸກປະເພດທີ່ກໍານົດຊຸດຂອງການເຂົ້າເຖິງ, ແລະພວກເຮົາໄດ້ມອບຫມາຍຜູ້ໃຊ້ແຕ່ລະຄົນໃຫ້ກັບຫນຶ່ງຫຼືຫຼາຍກຸ່ມ.

ດັ່ງນັ້ນ, ສໍາລັບການຍົກຕົວຢ່າງ, ສົມມຸດວ່າມີກຸ່ມ

• ແຂກ (ການເຂົ້າເຖິງອິນເຕີເນັດ)
• ການ​ເຂົ້າ​ເຖິງ​ທົ່ວ​ໄປ (ການ​ເຂົ້າ​ເຖິງ​ຊັບ​ພະ​ຍາ​ກອນ​ທີ່​ແບ່ງ​ປັນ​: mail​, ຖານ​ຄວາມ​ຮູ້​, ... )
• ການບັນຊີ
• ໂຄງການ 1
• ໂຄງການ 2
• ຜູ້​ບໍ​ລິ​ຫານ​ຖານ​ຂໍ້​ມູນ​
• ຜູ້ບໍລິຫານ linux
• ...

ແລະຖ້າຫາກວ່າຫນຶ່ງໃນພະນັກງານໄດ້ມີສ່ວນຮ່ວມໃນທັງສອງໂຄງການ 1 ແລະໂຄງການ 2, ແລະລາວຕ້ອງການການເຂົ້າເຖິງທີ່ຈໍາເປັນເພື່ອເຮັດວຽກໃນໂຄງການເຫຼົ່ານີ້, ຫຼັງຈາກນັ້ນພະນັກງານນີ້ໄດ້ຖືກມອບຫມາຍໃຫ້ກຸ່ມດັ່ງຕໍ່ໄປນີ້:

• ບຸກຄົນທົ່ວໄປ
• ການເຂົ້າເຖິງທົ່ວໄປ
• ໂຄງການ 1
• ໂຄງການ 2

ຕອນນີ້ພວກເຮົາສາມາດປ່ຽນຂໍ້ມູນນີ້ໄປສູ່ການເຂົ້າເຖິງອຸປະກອນເຄືອຂ່າຍໄດ້ແນວໃດ?

Cisco ASA Dynamic Access Policy (DAP) (ເບິ່ງ www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) ການແກ້ໄຂແມ່ນເຫມາະສົມສໍາລັບວຽກງານນີ້.

ໂດຍຫຍໍ້ກ່ຽວກັບການຈັດຕັ້ງປະຕິບັດຂອງພວກເຮົາ, ໃນລະຫວ່າງຂະບວນການກໍານົດ / ການອະນຸຍາດ, ASA ໄດ້ຮັບຈາກ LDAP ຊຸດຂອງກຸ່ມທີ່ສອດຄ້ອງກັນກັບຜູ້ໃຊ້ທີ່ລະບຸໄວ້ແລະ "ເກັບກໍາ" ຈາກ ACL ທ້ອງຖິ່ນຫຼາຍ (ແຕ່ລະກຸ່ມແມ່ນຂຶ້ນກັບກຸ່ມ) ACL ແບບເຄື່ອນໄຫວທີ່ມີການເຂົ້າເຖິງທີ່ຈໍາເປັນທັງຫມົດ. , ຊຶ່ງກົງກັບຄວາມປາດຖະຫນາຂອງພວກເຮົາຢ່າງເຕັມສ່ວນ.

ແຕ່ນີ້ແມ່ນພຽງແຕ່ສໍາລັບການເຊື່ອມຕໍ່ VPN. ເພື່ອເຮັດໃຫ້ສະຖານະການດຽວກັນສໍາລັບພະນັກງານທັງສອງເຊື່ອມຕໍ່ຜ່ານ VPN ແລະຜູ້ທີ່ຢູ່ໃນຫ້ອງການ, ຂັ້ນຕອນຕໍ່ໄປນີ້ໄດ້ຖືກປະຕິບັດ.

ເມື່ອເຊື່ອມຕໍ່ຈາກຫ້ອງການ, ຜູ້ໃຊ້ທີ່ໃຊ້ໂປໂຕຄອນ 802.1x ສິ້ນສຸດລົງໃນ LAN ຂອງແຂກ (ສໍາລັບແຂກ) ຫຼື LAN ທີ່ໃຊ້ຮ່ວມກັນ (ສໍາລັບພະນັກງານຂອງບໍລິສັດ). ນອກຈາກນັ້ນ, ເພື່ອໃຫ້ໄດ້ຮັບການເຂົ້າເຖິງສະເພາະ (ຕົວຢ່າງ, ໂຄງການໃນສູນຂໍ້ມູນ), ພະນັກງານຕ້ອງໄດ້ເຊື່ອມຕໍ່ຜ່ານ VPN.

ເພື່ອເຊື່ອມຕໍ່ຈາກຫ້ອງການແລະຈາກເຮືອນ, ກຸ່ມອຸໂມງທີ່ແຕກຕ່າງກັນໄດ້ຖືກນໍາໃຊ້ໃນ ASA. ນີ້ແມ່ນສິ່ງຈໍາເປັນເພື່ອໃຫ້ຜູ້ທີ່ເຊື່ອມຕໍ່ຈາກຫ້ອງການ, ການຈະລາຈອນໄປຫາຊັບພະຍາກອນທີ່ໃຊ້ຮ່ວມກັນ (ໃຊ້ໂດຍພະນັກງານທັງຫມົດ, ເຊັ່ນ: mail, ເຄື່ອງແມ່ຂ່າຍຂອງໄຟລ໌, ລະບົບຕົ໋ວ, dns, ... ) ບໍ່ຜ່ານ ASA, ແຕ່ຜ່ານເຄືອຂ່າຍທ້ອງຖິ່ນ. . ດັ່ງນັ້ນ, ພວກເຮົາບໍ່ໄດ້ໂຫລດ ASA ກັບການຈະລາຈອນທີ່ບໍ່ຈໍາເປັນ, ລວມທັງການຈະລາຈອນທີ່ມີຄວາມຫນາແຫນ້ນສູງ.

ດັ່ງນັ້ນ, ບັນຫາໄດ້ຖືກແກ້ໄຂ.
ພວກເຮົາໄດ້ຮັບ

• ຊຸດດຽວກັນຂອງການເຂົ້າເຖິງສໍາລັບທັງສອງການເຊື່ອມຕໍ່ຈາກຫ້ອງການແລະການເຊື່ອມຕໍ່ຫ່າງໄກສອກຫຼີກ
• ການຂາດການເສື່ອມໂຊມຂອງການບໍລິການໃນເວລາທີ່ເຮັດວຽກຈາກຫ້ອງການທີ່ກ່ຽວຂ້ອງກັບການສົ່ງການຈະລາຈອນທີ່ມີຄວາມຫນາແຫນ້ນສູງຜ່ານ ASA

ມີຂໍ້ດີອື່ນໃດຂອງວິທີການນີ້?
ໃນ​ການ​ຄຸ້ມ​ຄອງ​ການ​ເຂົ້າ​ເຖິງ​. ການເຂົ້າເຖິງສາມາດປ່ຽນແປງໄດ້ງ່າຍໃນສະຖານທີ່ດຽວ.
ຕົວຢ່າງ, ຖ້າພະນັກງານອອກຈາກບໍລິສັດ, ຫຼັງຈາກນັ້ນທ່ານພຽງແຕ່ເອົາລາວອອກຈາກ LDAP, ແລະລາວຈະສູນເສຍການເຂົ້າເຖິງທັງຫມົດໂດຍອັດຕະໂນມັດ.

ການກວດສອບເຈົ້າພາບ

ດ້ວຍຄວາມເປັນໄປໄດ້ຂອງການເຊື່ອມຕໍ່ຫ່າງໄກສອກຫຼີກ, ພວກເຮົາມີຄວາມສ່ຽງຕໍ່ການອະນຸຍາດໃຫ້ບໍ່ພຽງແຕ່ພະນັກງານຂອງບໍລິສັດເຂົ້າໄປໃນເຄືອຂ່າຍ, ແຕ່ຍັງຊອບແວອັນຕະລາຍທັງຫມົດທີ່ມີຢູ່ໃນຄອມພິວເຕີຂອງລາວ (ຕົວຢ່າງເຊັ່ນເຮືອນ), ແລະຫຼາຍກວ່ານັ້ນ, ໂດຍຜ່ານຊອບແວນີ້ພວກເຮົາ. ອາດຈະໃຫ້ການເຂົ້າເຖິງເຄືອຂ່າຍຂອງພວກເຮົາໃຫ້ກັບຜູ້ໂຈມຕີໂດຍໃຊ້ໂຮດນີ້ເປັນຕົວແທນ.

ມັນມີຄວາມຫມາຍສໍາລັບເຈົ້າພາບທີ່ເຊື່ອມຕໍ່ຫ່າງໄກສອກຫຼີກເພື່ອນໍາໃຊ້ຄວາມຕ້ອງການຄວາມປອດໄພດຽວກັນກັບເຈົ້າພາບໃນຫ້ອງການ.

ນີ້ຍັງສົມມຸດວ່າ "ທີ່ຖືກຕ້ອງ" ຮຸ່ນຂອງ OS, ຕ້ານເຊື້ອໄວຣັສ, ຕ້ານ spyware, ແລະຊອບແວ firewall ແລະການປັບປຸງ. ໂດຍປົກກະຕິ, ຄວາມສາມາດນີ້ມີຢູ່ໃນປະຕູ VPN (ສໍາລັບ ASA ເບິ່ງ, ສໍາລັບການຍົກຕົວຢ່າງ, ທີ່ນີ້).

ມັນຍັງສະຫລາດທີ່ຈະນໍາໃຊ້ການວິເຄາະການຈະລາຈອນດຽວກັນແລະເຕັກນິກການສະກັດກັ້ນ (ເບິ່ງ "ລະດັບການປົກປ້ອງສູງ") ທີ່ນະໂຍບາຍຄວາມປອດໄພຂອງທ່ານໃຊ້ກັບການຈະລາຈອນຫ້ອງການ.

ມັນສົມເຫດສົມຜົນທີ່ຈະສົມມຸດວ່າເຄືອຂ່າຍຫ້ອງການຂອງເຈົ້າບໍ່ຈໍາກັດພຽງແຕ່ອາຄານຫ້ອງການແລະເຈົ້າພາບພາຍໃນມັນ.

ຕົວຢ່າງ:

ເຕັກນິກທີ່ດີແມ່ນໃຫ້ພະນັກງານແຕ່ລະຄົນທີ່ຕ້ອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກດ້ວຍຄອມພິວເຕີໂນດບຸກທີ່ດີ, ສະດວກແລະຕ້ອງການໃຫ້ພວກເຂົາເຮັດວຽກ, ທັງຢູ່ໃນຫ້ອງການແລະຈາກເຮືອນ, ພຽງແຕ່ຈາກມັນ.

ມັນບໍ່ພຽງແຕ່ປັບປຸງຄວາມປອດໄພຂອງເຄືອຂ່າຍຂອງທ່ານເທົ່ານັ້ນ, ແຕ່ມັນຍັງສະດວກຫຼາຍແລະປົກກະຕິແລ້ວແມ່ນໄດ້ຮັບການເບິ່ງທີ່ເອື້ອອໍານວຍໂດຍພະນັກງານ (ຖ້າມັນເປັນຄອມພິວເຕີຄອມພິວເຕີທີ່ເປັນມິດກັບຜູ້ໃຊ້ແທ້ໆ).

ກ່ຽວກັບຄວາມຮູ້ສຶກຂອງອັດຕາສ່ວນແລະຄວາມສົມດຸນ

ໂດຍພື້ນຖານແລ້ວ, ນີ້ແມ່ນການສົນທະນາກ່ຽວກັບ vertex ທີສາມຂອງສາມຫຼ່ຽມຂອງພວກເຮົາ - ກ່ຽວກັບລາຄາ.
ໃຫ້ເບິ່ງຕົວຢ່າງສົມມຸດຕິຖານ.

ຕົວຢ່າງ:

ທ່ານມີຫ້ອງການສໍາລັບ 200 ຄົນ. ທ່ານຕັດສິນໃຈເຮັດໃຫ້ມັນສະດວກແລະປອດໄພເທົ່າທີ່ເປັນໄປໄດ້.

ດັ່ງນັ້ນ, ທ່ານໄດ້ຕັດສິນໃຈຜ່ານການຈະລາຈອນທັງຫມົດຜ່ານ firewall ແລະດັ່ງນັ້ນສໍາລັບ subnets ຫ້ອງການທັງຫມົດ firewall ແມ່ນປະຕູເລີ່ມຕົ້ນ. ນອກເຫນືອໄປຈາກຊອບແວຄວາມປອດໄພທີ່ຕິດຕັ້ງຢູ່ໃນແຕ່ລະ end host (ຊອບແວຕ້ານເຊື້ອໄວຣັສ, ຕ້ານ spyware, ແລະ firewall), ທ່ານຍັງໄດ້ຕັດສິນໃຈທີ່ຈະນໍາໃຊ້ວິທີການປ້ອງກັນທີ່ເປັນໄປໄດ້ທັງຫມົດໃນ Firewall.

ເພື່ອຮັບປະກັນຄວາມໄວໃນການເຊື່ອມຕໍ່ສູງ (ທັງໝົດເພື່ອຄວາມສະດວກ), ທ່ານໄດ້ເລືອກສະວິດທີ່ມີພອດເຂົ້າເຖິງ 10 Gigabit ເປັນສະວິດເຂົ້າເຖິງ, ແລະໄຟວໍ NGFW ທີ່ມີປະສິດທິພາບສູງເປັນໄຟວໍ, ຕົວຢ່າງ, ຊຸດ Palo Alto 7K (ມີພອດ 40 Gigabit), ຕາມທໍາມະຊາດດ້ວຍໃບອະນຸຍາດທັງໝົດ. ລວມແລະ, ຕາມທໍາມະຊາດ, ຄູ່ທີ່ມີໃຫ້ສູງ.

ນອກຈາກນັ້ນ, ແນ່ນອນ, ເພື່ອເຮັດວຽກກັບອຸປະກອນສາຍນີ້, ພວກເຮົາຕ້ອງການຢ່າງຫນ້ອຍສອງວິສະວະກອນຄວາມປອດໄພທີ່ມີຄຸນວຸດທິສູງ.

ຕໍ່ໄປ, ທ່ານຕັດສິນໃຈໃຫ້ພະນັກງານແຕ່ລະຄົນມີຄອມພິວເຕີໂນດບຸກທີ່ດີ.

ຈໍານວນທັງຫມົດ, ປະມານ 10 ລ້ານໂດລາສໍາລັບການຈັດຕັ້ງປະຕິບັດ, ຫຼາຍຮ້ອຍພັນໂດລາ (ຂ້າພະເຈົ້າຄິດວ່າໃກ້ກັບລ້ານ) ສໍາລັບການສະຫນັບສະຫນູນປະຈໍາປີແລະເງິນເດືອນສໍາລັບວິສະວະກອນ.

ຫ້ອງການ, 200 ຄົນ...
ສະດວກສະບາຍ? ຂ້ອຍເດົາວ່າແມ່ນແລ້ວ.

ທ່ານ​ມາ​ພ້ອມ​ກັບ​ຂໍ້​ສະ​ເຫນີ​ນີ້​ກັບ​ຜູ້​ບໍ​ລິ​ຫານ​ຂອງ​ທ່ານ ...
ບາງທີອາດມີບໍລິສັດຈໍານວນຫນຶ່ງໃນໂລກທີ່ນີ້ເປັນການແກ້ໄຂທີ່ເຫມາະສົມແລະຖືກຕ້ອງ. ຖ້າທ່ານເປັນພະນັກງານຂອງບໍລິສັດນີ້, ຂໍສະແດງຄວາມຍິນດີ, ແຕ່ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ຂ້າພະເຈົ້າແນ່ໃຈວ່າຄວາມຮູ້ຂອງທ່ານຈະບໍ່ໄດ້ຮັບການຍົກຍ້ອງຈາກການຄຸ້ມຄອງ.

ຕົວຢ່າງນີ້ເກີນກວ່ານີ້ບໍ? ບົດຕໍ່ໄປຈະຕອບຄໍາຖາມນີ້.

ຖ້າຢູ່ໃນເຄືອຂ່າຍຂອງທ່ານທ່ານບໍ່ເຫັນໃດໆຂ້າງເທິງ, ຫຼັງຈາກນັ້ນນີ້ແມ່ນມາດຕະຖານ.
ສໍາລັບແຕ່ລະກໍລະນີສະເພາະ, ທ່ານຈໍາເປັນຕ້ອງຊອກຫາການປະນີປະນອມທີ່ສົມເຫດສົມຜົນຂອງທ່ານເອງລະຫວ່າງຄວາມສະດວກສະບາຍ, ລາຄາແລະຄວາມປອດໄພ. ເລື້ອຍໆເຈົ້າບໍ່ຕ້ອງການ NGFW ໃນຫ້ອງການຂອງເຈົ້າ, ແລະການປົກປ້ອງ L7 ໃນໄຟວໍແມ່ນບໍ່ຈໍາເປັນ. ມັນພຽງພໍທີ່ຈະສະຫນອງລະດັບທີ່ດີຂອງການເບິ່ງເຫັນແລະການແຈ້ງເຕືອນ, ແລະນີ້ສາມາດເຮັດໄດ້ໂດຍໃຊ້ຜະລິດຕະພັນແຫຼ່ງເປີດ, ສໍາລັບການຍົກຕົວຢ່າງ. ແມ່ນແລ້ວ, ປະຕິກິລິຍາຂອງທ່ານຕໍ່ການໂຈມຕີຈະບໍ່ທັນທີທັນໃດ, ແຕ່ສິ່ງທີ່ສໍາຄັນແມ່ນທ່ານຈະເຫັນມັນ, ແລະມີຂະບວນການທີ່ຖືກຕ້ອງຢູ່ໃນພະແນກຂອງທ່ານ, ທ່ານຈະສາມາດ neutralize ມັນຢ່າງໄວວາ.

ແລະໃຫ້ຂ້ອຍເຕືອນເຈົ້າວ່າ, ອີງຕາມແນວຄວາມຄິດຂອງບົດຄວາມຊຸດນີ້, ທ່ານບໍ່ໄດ້ອອກແບບເຄືອຂ່າຍ, ທ່ານພຽງແຕ່ພະຍາຍາມປັບປຸງສິ່ງທີ່ທ່ານໄດ້ຮັບ.

ການວິເຄາະທີ່ປອດໄພຂອງສະຖາປັດຕະຍະກໍາຫ້ອງການ

ເອົາໃຈໃສ່ກັບສີ່ຫຼ່ຽມສີແດງນີ້ທີ່ຂ້ອຍຈັດສັນສະຖານທີ່ຢູ່ໃນແຜນວາດຈາກ ຄູ່ມືສະຖາປັດຕະຍະກຳວິທະຍາເຂດທີ່ປອດໄພທີ່ປອດໄພທີ່​ຂ້າ​ພະ​ເຈົ້າ​ຢາກ​ຈະ​ປຶກ​ສາ​ຫາ​ລື​ທີ່​ນີ້​.

ນີ້ແມ່ນຫນຶ່ງໃນສະຖານທີ່ສໍາຄັນຂອງຖາປັດຕະຍະແລະຫນຶ່ງໃນຄວາມບໍ່ແນ່ນອນທີ່ສໍາຄັນທີ່ສຸດ.

ຫມາຍເຫດ

ຂ້ອຍບໍ່ເຄີຍຕັ້ງຄ່າຫຼືເຮັດວຽກກັບ FirePower (ຈາກສາຍໄຟວໍຂອງ Cisco - ພຽງແຕ່ ASA), ດັ່ງນັ້ນຂ້ອຍຈະປະຕິບັດມັນຄືກັບໄຟວໍອື່ນໆເຊັ່ນ Juniper SRX ຫຼື Palo Alto, ສົມມຸດວ່າມັນມີຄວາມສາມາດດຽວກັນ.

ໃນການອອກແບບປົກກະຕິ, ຂ້ອຍເຫັນພຽງແຕ່ 4 ທາງເລືອກທີ່ເປັນໄປໄດ້ສໍາລັບການນໍາໃຊ້ firewall ກັບການເຊື່ອມຕໍ່ນີ້:

• gateway ເລີ່ມຕົ້ນສໍາລັບແຕ່ລະ subnet ແມ່ນສະຫຼັບ, ໃນຂະນະທີ່ firewall ແມ່ນຢູ່ໃນຮູບແບບໂປ່ງໃສ (ນັ້ນແມ່ນ, ການຈະລາຈອນທັງຫມົດຜ່ານມັນ, ແຕ່ມັນບໍ່ໄດ້ປະກອບເປັນ L3 hop).
• gateway ເລີ່ມຕົ້ນສໍາລັບແຕ່ລະ subnet ແມ່ນສ່ວນຕິດຕໍ່ຍ່ອຍຂອງ Firewall (ຫຼື SVI interfaces), ສະວິດມີບົດບາດຂອງ L2.
• VRFs ທີ່ແຕກຕ່າງກັນຖືກນໍາໃຊ້ໃນສະວິດ, ແລະການຈະລາຈອນລະຫວ່າງ VRFs ຜ່ານໄຟວໍ, ການຈະລາຈອນພາຍໃນຫນຶ່ງ VRF ຖືກຄວບຄຸມໂດຍ ACL ໃນສະວິດ.
• ການຈະລາຈອນທັງຫມົດແມ່ນ mirrored ກັບ firewall ສໍາລັບການວິເຄາະແລະການຕິດຕາມການຈະລາຈອນບໍ່ໄດ້ຜ່ານມັນ

ໝາຍເຫດ 1

ການປະສົມປະສານຂອງທາງເລືອກເຫຼົ່ານີ້ແມ່ນເປັນໄປໄດ້, ແຕ່ສໍາລັບຄວາມງ່າຍດາຍພວກເຮົາຈະບໍ່ພິຈາລະນາພວກມັນ.

ໝາຍເຫດ2

ຍັງມີຄວາມເປັນໄປໄດ້ຂອງການນໍາໃຊ້ PBR (ສະຖາປັດຕະຍະກໍາລະບົບຕ່ອງໂສ້ການບໍລິການ), ແຕ່ສໍາລັບໃນປັດຈຸບັນນີ້, ເຖິງແມ່ນວ່າການແກ້ໄຂທີ່ສວຍງາມໃນຄວາມຄິດເຫັນຂອງຂ້າພະເຈົ້າ, ແມ່ນຂ້ອນຂ້າງແປກ, ສະນັ້ນຂ້າພະເຈົ້າບໍ່ໄດ້ພິຈາລະນາມັນຢູ່ທີ່ນີ້.

ຈາກລາຍລະອຽດຂອງການໄຫຼເຂົ້າໃນເອກະສານ, ພວກເຮົາເຫັນວ່າການຈະລາຈອນຍັງຜ່ານ firewall, ນັ້ນແມ່ນ, ອີງຕາມການອອກແບບ Cisco, ທາງເລືອກທີ່ສີ່ຖືກລົບລ້າງ.

ໃຫ້ເບິ່ງສອງທາງເລືອກທໍາອິດກ່ອນ.
ດ້ວຍທາງເລືອກເຫຼົ່ານີ້, ການຈະລາຈອນທັງຫມົດຈະຜ່ານໄຟວໍ.

ຕອນນີ້ໃຫ້ເຮົາເບິ່ງ ແຜ່ນຂໍ້ມູນ, ເບິ່ງ Cisco GPL ແລະພວກເຮົາເຫັນວ່າຖ້າພວກເຮົາຕ້ອງການແບນວິດທັງຫມົດສໍາລັບຫ້ອງການຂອງພວກເຮົາຢ່າງຫນ້ອຍປະມານ 10 - 20 gigabits, ຫຼັງຈາກນັ້ນພວກເຮົາຕ້ອງຊື້ຮຸ່ນ 4K.

ຫມາຍເຫດ

ເມື່ອຂ້ອຍເວົ້າກ່ຽວກັບແບນວິດທັງຫມົດ, ຂ້ອຍຫມາຍເຖິງການຈະລາຈອນລະຫວ່າງ subnets (ແລະບໍ່ແມ່ນພາຍໃນຫນຶ່ງ vilana).

ຈາກ GPL ພວກເຮົາເຫັນວ່າສໍາລັບ HA Bundle ກັບ Threat Defense, ລາຄາຂຶ້ນກັບຕົວແບບ (4110 - 4150) ແຕກຕ່າງກັນຈາກ ~ 0,5 - 2,5 ລ້ານໂດລາ.

ນັ້ນແມ່ນ, ການອອກແບບຂອງພວກເຮົາເລີ່ມຕົ້ນຄ້າຍຄືກັບຕົວຢ່າງທີ່ຜ່ານມາ.

ນີ້ຫມາຍຄວາມວ່າການອອກແບບນີ້ແມ່ນຜິດພາດບໍ?
ບໍ່, ນັ້ນບໍ່ໄດ້ຫມາຍຄວາມວ່າມັນ. Cisco ໃຫ້ທ່ານມີການປົກປ້ອງທີ່ດີທີ່ສຸດໂດຍອີງໃສ່ສາຍຜະລິດຕະພັນທີ່ມັນມີ. ແຕ່ນັ້ນບໍ່ໄດ້ຫມາຍຄວາມວ່າມັນເປັນສິ່ງທີ່ຕ້ອງເຮັດສໍາລັບທ່ານ.

ໃນຫຼັກການ, ນີ້ແມ່ນຄໍາຖາມທົ່ວໄປທີ່ເກີດຂື້ນໃນເວລາທີ່ການອອກແບບຫ້ອງການຫຼືສູນຂໍ້ມູນ, ແລະມັນພຽງແຕ່ຫມາຍຄວາມວ່າຈະຕ້ອງຊອກຫາການປະນີປະນອມ.

ຕົວຢ່າງ, ຢ່າປ່ອຍໃຫ້ການຈະລາຈອນທັງຫມົດຜ່ານ firewall, ໃນກໍລະນີນີ້ທາງເລືອກ 3 ເບິ່ງຄືວ່າດີສໍາລັບຂ້ອຍ, ຫຼື (ເບິ່ງພາກກ່ອນ) ບາງທີເຈົ້າບໍ່ຕ້ອງການ Threat Defense ຫຼືບໍ່ຕ້ອງການໄຟວໍເລີຍ. ພາກສ່ວນເຄືອຂ່າຍ, ແລະທ່ານພຽງແຕ່ຕ້ອງການຈໍາກັດຕົວທ່ານເອງໃນການຕິດຕາມແບບ passive ໂດຍໃຊ້ວິທີແກ້ໄຂທີ່ຈ່າຍ (ບໍ່ແພງ) ຫຼືແຫຼ່ງເປີດ, ຫຼືທ່ານຕ້ອງການໄຟວໍ, ແຕ່ຈາກຜູ້ຂາຍທີ່ແຕກຕ່າງກັນ.

ປົກກະຕິແລ້ວມີຄວາມບໍ່ແນ່ນອນນີ້ຢູ່ສະ ເໝີ ແລະບໍ່ມີຄໍາຕອບທີ່ຊັດເຈນວ່າການຕັດສິນໃຈໃດທີ່ດີທີ່ສຸດສໍາລັບທ່ານ.
ນີ້ແມ່ນຄວາມສັບສົນແລະຄວາມງາມຂອງວຽກງານນີ້.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com