ഈ ലേഖനം "നിങ്ങളുടെ നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറിന്റെ നിയന്ത്രണം എങ്ങനെ എടുക്കാം" എന്ന ലേഖന പരമ്പരയിലെ മൂന്നാമത്തേതാണ്. പരമ്പരയിലെ എല്ലാ ലേഖനങ്ങളുടെയും ഉള്ളടക്കങ്ങളും ലിങ്കുകളും കണ്ടെത്താനാകും ഇവിടെ.

സുരക്ഷാ അപകടസാധ്യതകൾ പൂർണ്ണമായും ഇല്ലാതാക്കുന്നതിനെക്കുറിച്ച് സംസാരിക്കുന്നതിൽ അർത്ഥമില്ല. തത്വത്തിൽ, നമുക്ക് അവയെ പൂജ്യമായി കുറയ്ക്കാൻ കഴിയില്ല. നെറ്റ്‌വർക്ക് കൂടുതൽ കൂടുതൽ സുരക്ഷിതമാക്കാൻ ശ്രമിക്കുമ്പോൾ, ഞങ്ങളുടെ പരിഹാരങ്ങൾ കൂടുതൽ കൂടുതൽ ചെലവേറിയതായി മാറുന്നുവെന്നും നാം മനസ്സിലാക്കേണ്ടതുണ്ട്. നിങ്ങളുടെ നെറ്റ്‌വർക്കിന് അർത്ഥവത്തായ ചെലവ്, സങ്കീർണ്ണത, സുരക്ഷ എന്നിവയ്‌ക്കിടയിലുള്ള ഒരു വ്യാപാരം നിങ്ങൾ കണ്ടെത്തേണ്ടതുണ്ട്.

തീർച്ചയായും, സെക്യൂരിറ്റി ഡിസൈൻ മൊത്തത്തിലുള്ള ആർക്കിടെക്ചറിലേക്ക് ജൈവികമായി സംയോജിപ്പിച്ചിരിക്കുന്നു, കൂടാതെ ഉപയോഗിക്കുന്ന സുരക്ഷാ പരിഹാരങ്ങൾ നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറിന്റെ സ്കേലബിളിറ്റി, വിശ്വാസ്യത, മാനേജുമെന്റ്, ... എന്നിവയെ ബാധിക്കുന്നു, അത് കണക്കിലെടുക്കേണ്ടതാണ്.

എന്നാൽ ഞങ്ങൾ ഇപ്പോൾ ഒരു നെറ്റ്‌വർക്ക് സൃഷ്ടിക്കുന്നതിനെക്കുറിച്ചല്ല സംസാരിക്കുന്നതെന്ന് ഞാൻ നിങ്ങളെ ഓർമ്മിപ്പിക്കട്ടെ. ഞങ്ങളുടെ പ്രകാരം പ്രാരംഭ വ്യവസ്ഥകൾ ഞങ്ങൾ ഇതിനകം ഡിസൈൻ തിരഞ്ഞെടുത്തു, ഉപകരണങ്ങൾ തിരഞ്ഞെടുത്തു, ഇൻഫ്രാസ്ട്രക്ചർ സൃഷ്ടിച്ചു, ഈ ഘട്ടത്തിൽ, സാധ്യമെങ്കിൽ, ഞങ്ങൾ "ജീവിക്കുക" കൂടാതെ മുമ്പ് തിരഞ്ഞെടുത്ത സമീപനത്തിന്റെ പശ്ചാത്തലത്തിൽ പരിഹാരങ്ങൾ കണ്ടെത്തുകയും വേണം.

നെറ്റ്‌വർക്ക് തലത്തിൽ സുരക്ഷയുമായി ബന്ധപ്പെട്ട അപകടസാധ്യതകൾ തിരിച്ചറിയുകയും അവയെ ന്യായമായ തലത്തിലേക്ക് കുറയ്ക്കുകയും ചെയ്യുക എന്നതാണ് ഇപ്പോൾ ഞങ്ങളുടെ ചുമതല.

നെറ്റ്‌വർക്ക് സുരക്ഷാ ഓഡിറ്റ്

നിങ്ങളുടെ ഓർഗനൈസേഷൻ ISO 27k പ്രക്രിയകൾ നടപ്പിലാക്കിയിട്ടുണ്ടെങ്കിൽ, സുരക്ഷാ ഓഡിറ്റുകളും നെറ്റ്‌വർക്ക് മാറ്റങ്ങളും ഈ സമീപനത്തിനുള്ളിലെ മൊത്തത്തിലുള്ള പ്രക്രിയകളിലേക്ക് സുഗമമായി യോജിക്കും. എന്നാൽ ഈ മാനദണ്ഡങ്ങൾ ഇപ്പോഴും നിർദ്ദിഷ്ട പരിഹാരങ്ങളെക്കുറിച്ചല്ല, കോൺഫിഗറേഷനെക്കുറിച്ചല്ല, രൂപകൽപ്പനയെക്കുറിച്ചല്ല... വ്യക്തമായ ഉപദേശങ്ങളൊന്നുമില്ല, നിങ്ങളുടെ നെറ്റ്‌വർക്ക് എങ്ങനെയായിരിക്കണമെന്ന് വിശദമായി നിർദ്ദേശിക്കുന്ന മാനദണ്ഡങ്ങളൊന്നുമില്ല, ഇതാണ് ഈ ടാസ്‌ക്കിന്റെ സങ്കീർണ്ണതയും സൗന്ദര്യവും.

സാധ്യമായ നിരവധി നെറ്റ്‌വർക്ക് സുരക്ഷാ ഓഡിറ്റുകൾ ഞാൻ ഹൈലൈറ്റ് ചെയ്യും:

• ഉപകരണ കോൺഫിഗറേഷൻ ഓഡിറ്റ് (കാഠിന്യം)
• സുരക്ഷാ ഡിസൈൻ ഓഡിറ്റ്
• ആക്സസ് ഓഡിറ്റ്
• പ്രക്രിയ ഓഡിറ്റ്

ഉപകരണ കോൺഫിഗറേഷൻ ഓഡിറ്റ് (കാഠിന്യം)

മിക്ക കേസുകളിലും ഇത് ഓഡിറ്റ് ചെയ്യുന്നതിനും നിങ്ങളുടെ നെറ്റ്‌വർക്കിന്റെ സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിനുമുള്ള മികച്ച ആരംഭ പോയിന്റാണെന്ന് തോന്നുന്നു. IMHO, ഇത് പാരെറ്റോയുടെ നിയമത്തിന്റെ നല്ല പ്രകടനമാണ് (20% പ്രയത്നം ഫലത്തിന്റെ 80% ഉത്പാദിപ്പിക്കുന്നു, ശേഷിക്കുന്ന 80% പരിശ്രമം ഫലത്തിന്റെ 20% മാത്രമേ നൽകുന്നുള്ളൂ).

ഉപകരണങ്ങൾ കോൺഫിഗർ ചെയ്യുമ്പോൾ സുരക്ഷയ്ക്കായി "മികച്ച രീതികൾ" സംബന്ധിച്ച് വെണ്ടർമാരിൽ നിന്ന് ഞങ്ങൾക്ക് സാധാരണയായി ശുപാർശകൾ ഉണ്ടാകും എന്നതാണ് ഏറ്റവും പ്രധാന കാര്യം. ഇതിനെ "കാഠിന്യം" എന്ന് വിളിക്കുന്നു.

ഈ ശുപാർശകളെ അടിസ്ഥാനമാക്കി നിങ്ങൾക്ക് പലപ്പോഴും ഒരു ചോദ്യാവലി (അല്ലെങ്കിൽ സ്വയം സൃഷ്ടിക്കുക) കണ്ടെത്താനും കഴിയും, ഇത് നിങ്ങളുടെ ഉപകരണങ്ങളുടെ കോൺഫിഗറേഷൻ ഈ "മികച്ച സമ്പ്രദായങ്ങൾ" എത്രത്തോളം പാലിക്കുന്നുവെന്ന് നിർണ്ണയിക്കാൻ നിങ്ങളെ സഹായിക്കും, ഫലത്തിന് അനുസൃതമായി, നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ മാറ്റങ്ങൾ വരുത്തും. . ഫലത്തിൽ യാതൊരു ചെലവും കൂടാതെ, സുരക്ഷാ അപകടസാധ്യതകൾ വളരെ എളുപ്പത്തിൽ കുറയ്ക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കും.

ചില സിസ്കോ ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങൾക്ക് നിരവധി ഉദാഹരണങ്ങൾ.

Cisco IOS കോൺഫിഗറേഷൻ ഹാർഡനിംഗ്
Cisco IOS-XR കോൺഫിഗറേഷൻ ഹാർഡനിംഗ്
Cisco NX-OS കോൺഫിഗറേഷൻ ഹാർഡനിംഗ്
സിസ്കോ ബേസ്ലൈൻ സെക്യൂരിറ്റി ചെക്ക് ലിസ്റ്റ്

ഈ പ്രമാണങ്ങളെ അടിസ്ഥാനമാക്കി, ഓരോ തരത്തിലുള്ള ഉപകരണങ്ങളുടെയും കോൺഫിഗറേഷൻ ആവശ്യകതകളുടെ ഒരു ലിസ്റ്റ് സൃഷ്ടിക്കാൻ കഴിയും. ഉദാഹരണത്തിന്, ഒരു Cisco N7K VDC-യ്‌ക്ക് ഈ ആവശ്യകതകൾ ഇതുപോലെയായിരിക്കാം അതുപോലെ.

ഈ രീതിയിൽ, നിങ്ങളുടെ നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറിലെ വിവിധ തരം സജീവ ഉപകരണങ്ങൾക്കായി കോൺഫിഗറേഷൻ ഫയലുകൾ സൃഷ്ടിക്കാൻ കഴിയും. അടുത്തതായി, സ്വമേധയാ അല്ലെങ്കിൽ ഓട്ടോമേഷൻ ഉപയോഗിച്ച്, നിങ്ങൾക്ക് ഈ കോൺഫിഗറേഷൻ ഫയലുകൾ "അപ്‌ലോഡ്" ചെയ്യാം. ഈ പ്രക്രിയ എങ്ങനെ ഓട്ടോമേറ്റ് ചെയ്യാം എന്നത് ഓർക്കസ്ട്രേഷനും ഓട്ടോമേഷനും സംബന്ധിച്ച ലേഖനങ്ങളുടെ മറ്റൊരു പരമ്പരയിൽ വിശദമായി ചർച്ച ചെയ്യും.

സുരക്ഷാ ഡിസൈൻ ഓഡിറ്റ്

സാധാരണഗതിയിൽ, ഒരു എന്റർപ്രൈസ് നെറ്റ്‌വർക്കിൽ ഒരു രൂപത്തിൽ അല്ലെങ്കിൽ മറ്റൊന്നിൽ ഇനിപ്പറയുന്ന സെഗ്‌മെന്റുകൾ അടങ്ങിയിരിക്കുന്നു:

• DC (പൊതു സേവനങ്ങൾ DMZ, ഇൻട്രാനെറ്റ് ഡാറ്റാ സെന്റർ)
• ഇന്റർനെറ്റ് ആക്സസ്
• വിദൂര ആക്സസ് VPN
• WAN എഡ്ജ്
• ശാഖ
• കാമ്പസ് (ഓഫീസ്)
• കോർ

ശീർഷകങ്ങൾ എടുത്തത് സിസ്കോ സേഫ് മോഡൽ, പക്ഷേ ഈ പേരുകളിലേക്കും ഈ മോഡലിലേക്കും കൃത്യമായി അറ്റാച്ചുചെയ്യേണ്ട ആവശ്യമില്ല. എന്നിട്ടും, എനിക്ക് സാരാംശത്തെക്കുറിച്ച് സംസാരിക്കാനും ഔപചാരികതകളിൽ മുഴുകാതിരിക്കാനും ആഗ്രഹമുണ്ട്.

ഈ ഓരോ സെഗ്‌മെന്റിനും, സുരക്ഷാ ആവശ്യകതകളും അപകടസാധ്യതകളും അതിനനുസരിച്ച് പരിഹാരങ്ങളും വ്യത്യസ്തമായിരിക്കും.

സുരക്ഷാ ഡിസൈൻ വീക്ഷണകോണിൽ നിന്ന് നിങ്ങൾ അഭിമുഖീകരിക്കുന്ന പ്രശ്നങ്ങൾക്കായി അവ ഓരോന്നും പ്രത്യേകം നോക്കാം. തീർച്ചയായും, ഈ ലേഖനം ഒരു തരത്തിലും പൂർണ്ണമാണെന്ന് നടിക്കുന്നില്ലെന്ന് ഞാൻ വീണ്ടും ആവർത്തിക്കുന്നു, ഇത് യഥാർത്ഥത്തിൽ ആഴമേറിയതും ബഹുമുഖവുമായ ഈ വിഷയത്തിൽ നേടാൻ എളുപ്പമല്ല (അസാധ്യമല്ലെങ്കിൽ) പക്ഷേ ഇത് എന്റെ വ്യക്തിപരമായ അനുഭവത്തെ പ്രതിഫലിപ്പിക്കുന്നു.

തികഞ്ഞ പരിഹാരമില്ല (കുറഞ്ഞത് ഇതുവരെ ഇല്ല). അത് എപ്പോഴും ഒരു വിട്ടുവീഴ്ചയാണ്. എന്നാൽ ഒരു സമീപനം അല്ലെങ്കിൽ മറ്റൊന്ന് ഉപയോഗിക്കാനുള്ള തീരുമാനം ബോധപൂർവ്വം എടുക്കേണ്ടത് പ്രധാനമാണ്, അതിന്റെ ഗുണങ്ങളും ദോഷങ്ങളും മനസ്സിലാക്കുന്നു.

ഡാറ്റ കേന്ദ്രം

സുരക്ഷാ വീക്ഷണകോണിൽ നിന്നുള്ള ഏറ്റവും നിർണായകമായ സെഗ്മെന്റ്.
കൂടാതെ, പതിവുപോലെ, ഇവിടെയും സാർവത്രിക പരിഹാരമില്ല. ഇതെല്ലാം നെറ്റ്‌വർക്ക് ആവശ്യകതകളെ ആശ്രയിച്ചിരിക്കുന്നു.

ഒരു ഫയർവാൾ ആവശ്യമാണോ അല്ലയോ?

ഉത്തരം വ്യക്തമാണെന്ന് തോന്നുന്നു, പക്ഷേ എല്ലാം തോന്നിയേക്കാവുന്നത്ര വ്യക്തമല്ല. നിങ്ങളുടെ തിരഞ്ഞെടുപ്പിനെ മാത്രമല്ല സ്വാധീനിക്കാൻ കഴിയുക വില.

ഉദാഹരണം 1. കാലതാമസം.

ചില നെറ്റ്‌വർക്ക് സെഗ്‌മെന്റുകൾക്കിടയിൽ കുറഞ്ഞ ലേറ്റൻസി അത്യാവശ്യമായ ഒരു ആവശ്യമാണെങ്കിൽ, ഉദാഹരണത്തിന്, ഒരു എക്സ്ചേഞ്ചിന്റെ കാര്യത്തിൽ ശരിയാണ്, ഈ സെഗ്‌മെന്റുകൾക്കിടയിൽ ഫയർവാളുകൾ ഉപയോഗിക്കാൻ ഞങ്ങൾക്ക് കഴിയില്ല. ഫയർവാളുകളിലെ ലേറ്റൻസിയെക്കുറിച്ചുള്ള പഠനങ്ങൾ കണ്ടെത്തുന്നത് ബുദ്ധിമുട്ടാണ്, എന്നാൽ കുറച്ച് സ്വിച്ച് മോഡലുകൾക്ക് 1 mksec-നേക്കാൾ കുറവോ ക്രമത്തിലോ ലേറ്റൻസി നൽകാൻ കഴിയും, അതിനാൽ മൈക്രോസെക്കൻഡ് നിങ്ങൾക്ക് പ്രധാനമാണെങ്കിൽ, ഫയർവാളുകൾ നിങ്ങൾക്കുള്ളതല്ലെന്ന് ഞാൻ കരുതുന്നു.

ഉദാഹരണം 2. പ്രകടനം.

മുകളിലെ L3 സ്വിച്ചുകളുടെ ത്രൂപുട്ട് സാധാരണയായി ഏറ്റവും ശക്തമായ ഫയർവാളുകളുടെ ത്രൂപുട്ടിനെക്കാൾ ഉയർന്ന അളവിലുള്ള ക്രമമാണ്. അതിനാൽ, ഉയർന്ന തീവ്രതയുള്ള ട്രാഫിക്കിന്റെ കാര്യത്തിൽ, ഫയർവാളുകളെ മറികടക്കാൻ നിങ്ങൾ മിക്കവാറും ഈ ട്രാഫിക്കിനെ അനുവദിക്കേണ്ടി വരും.

ഉദാഹരണം 3. വിശ്വാസ്യത

ഫയർവാളുകൾ, പ്രത്യേകിച്ച് ആധുനിക NGFW (Next-Generation FW) സങ്കീർണ്ണമായ ഉപകരണങ്ങളാണ്. അവ L3/L2 സ്വിച്ചുകളേക്കാൾ വളരെ സങ്കീർണ്ണമാണ്. അവർ ധാരാളം സേവനങ്ങളും കോൺഫിഗറേഷൻ ഓപ്ഷനുകളും നൽകുന്നു, അതിനാൽ അവരുടെ വിശ്വാസ്യത വളരെ കുറവാണെന്നതിൽ അതിശയിക്കാനില്ല. സേവന തുടർച്ച നെറ്റ്‌വർക്കിന് നിർണായകമാണെങ്കിൽ, മികച്ച ലഭ്യതയിലേക്ക് നയിക്കുന്നത് എന്താണെന്ന് നിങ്ങൾ തിരഞ്ഞെടുക്കേണ്ടതായി വന്നേക്കാം - ഫയർവാൾ ഉപയോഗിച്ചുള്ള സുരക്ഷ അല്ലെങ്കിൽ സാധാരണ ACL-കൾ ഉപയോഗിച്ച് സ്വിച്ചുകളിൽ (അല്ലെങ്കിൽ വിവിധ തരത്തിലുള്ള തുണിത്തരങ്ങൾ) നിർമ്മിച്ച നെറ്റ്‌വർക്കിന്റെ ലാളിത്യം.

മുകളിലുള്ള ഉദാഹരണങ്ങളുടെ കാര്യത്തിൽ, നിങ്ങൾ മിക്കവാറും (സാധാരണപോലെ) ഒരു വിട്ടുവീഴ്ച കണ്ടെത്തേണ്ടിവരും. ഇനിപ്പറയുന്ന പരിഹാരങ്ങളിലേക്ക് നോക്കുക:

• ഡാറ്റാ സെന്ററിനുള്ളിൽ ഫയർവാളുകൾ ഉപയോഗിക്കേണ്ടതില്ലെന്ന് നിങ്ങൾ തീരുമാനിക്കുകയാണെങ്കിൽ, പരിധിക്കകത്ത് കഴിയുന്നത്ര ആക്സസ് പരിമിതപ്പെടുത്തുന്നത് എങ്ങനെയെന്ന് നിങ്ങൾ ചിന്തിക്കേണ്ടതുണ്ട്. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് ഇന്റർനെറ്റിൽ നിന്ന് ആവശ്യമായ പോർട്ടുകൾ മാത്രമേ തുറക്കാൻ കഴിയൂ (ക്ലയന്റ് ട്രാഫിക്കിനായി) കൂടാതെ ജമ്പ് ഹോസ്റ്റുകളിൽ നിന്ന് മാത്രം ഡാറ്റാ സെന്ററിലേക്കുള്ള അഡ്മിനിസ്ട്രേറ്റീവ് ആക്സസ്. ജമ്പ് ഹോസ്റ്റുകളിൽ, ആവശ്യമായ എല്ലാ പരിശോധനകളും നടത്തുക (ആധികാരികത / അംഗീകാരം, ആന്റിവൈറസ്, ലോഗിംഗ്, ...)
• PSEFABRIC-ൽ വിവരിച്ചിരിക്കുന്ന സ്കീമിന് സമാനമായി നിങ്ങൾക്ക് ഡാറ്റാ സെന്റർ നെറ്റ്‌വർക്കിന്റെ ലോജിക്കൽ പാർട്ടീഷൻ സെഗ്‌മെന്റുകളായി ഉപയോഗിക്കാം. ഉദാഹരണം p002. ഈ സാഹചര്യത്തിൽ, ഒരു സെഗ്‌മെന്റിനുള്ളിൽ (p002, VRF-ന്റെ കാര്യത്തിൽ) കാലതാമസം-സെൻസിറ്റീവ് അല്ലെങ്കിൽ ഉയർന്ന തീവ്രത ട്രാഫിക്ക് പോകുകയും ഫയർവാളിലൂടെ കടന്നുപോകാതിരിക്കുകയും ചെയ്യുന്ന വിധത്തിൽ റൂട്ടിംഗ് കോൺഫിഗർ ചെയ്യണം. വിവിധ സെഗ്‌മെന്റുകൾക്കിടയിലുള്ള ഗതാഗതം ഫയർവാളിലൂടെ തുടരും. ഫയർവാളിലൂടെ ട്രാഫിക് റീഡയറക്‌ടുചെയ്യുന്നത് ഒഴിവാക്കാൻ നിങ്ങൾക്ക് VRF-കൾക്കിടയിൽ ചോർച്ചയുള്ള റൂട്ടും ഉപയോഗിക്കാം
• നിങ്ങൾക്ക് സുതാര്യമായ മോഡിൽ ഒരു ഫയർവാൾ ഉപയോഗിക്കാം, ഈ ഘടകങ്ങൾ (ലേറ്റൻസി/പ്രകടനം) പ്രാധാന്യമില്ലാത്ത VLAN-കൾക്കായി മാത്രം. എന്നാൽ ഓരോ വെണ്ടർക്കും ഈ മോഡിന്റെ ഉപയോഗവുമായി ബന്ധപ്പെട്ട നിയന്ത്രണങ്ങൾ നിങ്ങൾ ശ്രദ്ധാപൂർവ്വം പഠിക്കേണ്ടതുണ്ട്
• ഒരു സർവീസ് ചെയിൻ ആർക്കിടെക്ചർ ഉപയോഗിക്കുന്നത് പരിഗണിക്കാൻ നിങ്ങൾ ആഗ്രഹിച്ചേക്കാം. ഫയർവാളിലൂടെ ആവശ്യമായ ട്രാഫിക്കിനെ മാത്രമേ ഇത് അനുവദിക്കൂ. സിദ്ധാന്തത്തിൽ മനോഹരമായി കാണപ്പെടുന്നു, പക്ഷേ ഉൽപ്പാദനത്തിൽ ഞാൻ ഈ പരിഹാരം കണ്ടിട്ടില്ല. ഏകദേശം 5 വർഷം മുമ്പ് ഞങ്ങൾ Cisco ACI/Juniper SRX/F3 LTM-നുള്ള സേവന ശൃംഖല പരീക്ഷിച്ചു, എന്നാൽ ആ സമയത്ത് ഈ പരിഹാരം ഞങ്ങൾക്ക് "അസംസ്കൃതമായി" തോന്നി.

സംരക്ഷണ നില

ട്രാഫിക് ഫിൽട്ടർ ചെയ്യാൻ നിങ്ങൾ ഏത് ടൂളുകളാണ് ഉപയോഗിക്കേണ്ടത് എന്ന ചോദ്യത്തിന് ഇപ്പോൾ നിങ്ങൾ ഉത്തരം നൽകേണ്ടതുണ്ട്. NGFW-ൽ സാധാരണയായി കാണപ്പെടുന്ന ചില സവിശേഷതകൾ ഇതാ (ഉദാഹരണത്തിന്, ഇവിടെ):

• സ്റ്റേറ്റ്ഫുൾ ഫയർവാളിംഗ് (സ്ഥിരസ്ഥിതി)
• ആപ്ലിക്കേഷൻ ഫയർവാളിംഗ്
• ഭീഷണി തടയൽ (ആന്റിവൈറസ്, ആന്റി-സ്പൈവെയർ, ദുർബലത)
• URL ഫിൽട്ടറിംഗ്
• ഡാറ്റ ഫിൽട്ടറിംഗ് (ഉള്ളടക്കം ഫിൽട്ടറിംഗ്)
• ഫയൽ തടയൽ (ഫയൽ തരങ്ങൾ തടയൽ)
• ഡോസ് സംരക്ഷണം

മാത്രമല്ല, എല്ലാം വ്യക്തമല്ല. ഉയർന്ന തലത്തിലുള്ള സംരക്ഷണം മികച്ചതാണെന്ന് തോന്നുന്നു. എന്നാൽ നിങ്ങൾ അത് പരിഗണിക്കേണ്ടതുണ്ട്

• മുകളിലുള്ള ഫയർവാൾ ഫംഗ്‌ഷനുകൾ നിങ്ങൾ ഉപയോഗിക്കുന്നതനുസരിച്ച്, അത് സ്വാഭാവികമായും കൂടുതൽ ചെലവേറിയതായിരിക്കും (ലൈസൻസുകൾ, അധിക മൊഡ്യൂളുകൾ)
• ചില അൽഗോരിതങ്ങളുടെ ഉപയോഗം ഫയർവാൾ ത്രൂപുട്ട് ഗണ്യമായി കുറയ്ക്കുകയും കാലതാമസം വർദ്ധിപ്പിക്കുകയും ചെയ്യും, ഉദാഹരണത്തിന് കാണുക ഇവിടെ
• ഏത് സങ്കീർണ്ണമായ പരിഹാരത്തെയും പോലെ, സങ്കീർണ്ണമായ സംരക്ഷണ രീതികളുടെ ഉപയോഗം നിങ്ങളുടെ പരിഹാരത്തിന്റെ വിശ്വാസ്യത കുറയ്ക്കും, ഉദാഹരണത്തിന്, ആപ്ലിക്കേഷൻ ഫയർവാളിംഗ് ഉപയോഗിക്കുമ്പോൾ, ചില സ്റ്റാൻഡേർഡ് വർക്കിംഗ് ആപ്ലിക്കേഷനുകൾ (dns, smb) തടയുന്നത് ഞാൻ നേരിട്ടു.

എല്ലായ്പ്പോഴും എന്നപോലെ, നിങ്ങളുടെ നെറ്റ്‌വർക്കിനുള്ള ഏറ്റവും മികച്ച പരിഹാരം നിങ്ങൾ കണ്ടെത്തേണ്ടതുണ്ട്.

എന്ത് സംരക്ഷണ പ്രവർത്തനങ്ങൾ ആവശ്യമായി വന്നേക്കാം എന്ന ചോദ്യത്തിന് കൃത്യമായി ഉത്തരം നൽകുന്നത് അസാധ്യമാണ്. ഒന്നാമതായി, കാരണം ഇത് തീർച്ചയായും നിങ്ങൾ കൈമാറുന്നതോ സംഭരിക്കുന്നതോ പരിരക്ഷിക്കാൻ ശ്രമിക്കുന്നതോ ആയ ഡാറ്റയെ ആശ്രയിച്ചിരിക്കുന്നു. രണ്ടാമതായി, വാസ്തവത്തിൽ, പലപ്പോഴും സുരക്ഷാ ഉപകരണങ്ങൾ തിരഞ്ഞെടുക്കുന്നത് വെണ്ടറിലുള്ള വിശ്വാസത്തിന്റെയും വിശ്വാസത്തിന്റെയും കാര്യമാണ്. നിങ്ങൾക്ക് അൽഗോരിതങ്ങൾ അറിയില്ല, അവ എത്രത്തോളം ഫലപ്രദമാണെന്ന് നിങ്ങൾക്കറിയില്ല, നിങ്ങൾക്ക് അവ പൂർണ്ണമായി പരീക്ഷിക്കാൻ കഴിയില്ല.

അതിനാൽ, നിർണായക വിഭാഗങ്ങളിൽ, വ്യത്യസ്ത കമ്പനികളിൽ നിന്നുള്ള ഓഫറുകൾ ഉപയോഗിക്കുന്നതാണ് ഒരു നല്ല പരിഹാരം. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് ഫയർവാളിൽ ആന്റിവൈറസ് പ്രവർത്തനക്ഷമമാക്കാം, മാത്രമല്ല ഹോസ്റ്റുകളിൽ പ്രാദേശികമായി ആന്റിവൈറസ് പരിരക്ഷയും (മറ്റൊരു നിർമ്മാതാവിൽ നിന്ന്) ഉപയോഗിക്കാം.

വിഭജനം

ഡാറ്റാ സെന്റർ നെറ്റ്‌വർക്കിന്റെ ലോജിക്കൽ സെഗ്‌മെന്റേഷനെക്കുറിച്ചാണ് നമ്മൾ സംസാരിക്കുന്നത്. ഉദാഹരണത്തിന്, VLAN-കളിലേക്കും സബ്‌നെറ്റുകളിലേക്കും പാർട്ടീഷൻ ചെയ്യുന്നത് ലോജിക്കൽ സെഗ്‌മെന്റേഷനാണ്, പക്ഷേ അതിന്റെ വ്യക്തത കാരണം ഞങ്ങൾ ഇത് പരിഗണിക്കില്ല. FW സെക്യൂരിറ്റി സോണുകൾ, VRF-കൾ (വിവിധ വെണ്ടർമാരുമായി ബന്ധപ്പെട്ട അവയുടെ അനലോഗ്), ലോജിക്കൽ ഉപകരണങ്ങൾ (PA VSYS, Cisco N7K VDC, Cisco ACI ടെനന്റ്, ...),...

അത്തരം ലോജിക്കൽ സെഗ്മെന്റേഷന്റെയും നിലവിൽ ഡിമാൻഡിലുള്ള ഡാറ്റാ സെന്റർ ഡിസൈനിന്റെയും ഒരു ഉദാഹരണം നൽകിയിരിക്കുന്നു PSEFABRIC പ്രോജക്റ്റിന്റെ p002.

നിങ്ങളുടെ നെറ്റ്‌വർക്കിന്റെ ലോജിക്കൽ ഭാഗങ്ങൾ നിർവചിച്ചുകഴിഞ്ഞാൽ, വിവിധ സെഗ്‌മെന്റുകൾക്കിടയിൽ ട്രാഫിക് എങ്ങനെ നീങ്ങുന്നു, ഏത് ഉപകരണങ്ങളിൽ ഫിൽട്ടറിംഗ് നടത്തപ്പെടും, ഏത് മാർഗത്തിലൂടെയാണ് നിങ്ങൾക്ക് വിവരിക്കാൻ കഴിയുക.

നിങ്ങളുടെ നെറ്റ്‌വർക്കിന് വ്യക്തമായ ലോജിക്കൽ പാർട്ടീഷൻ ഇല്ലെങ്കിൽ, വ്യത്യസ്ത ഡാറ്റാ ഫ്ലോകൾക്കായി സുരക്ഷാ നയങ്ങൾ പ്രയോഗിക്കുന്നതിനുള്ള നിയമങ്ങൾ ഔപചാരികമാക്കിയിട്ടില്ലെങ്കിൽ, ഇതിനർത്ഥം നിങ്ങൾ ഈ അല്ലെങ്കിൽ ആ ആക്‌സസ് തുറക്കുമ്പോൾ, ഈ പ്രശ്നം പരിഹരിക്കാൻ നിങ്ങൾ നിർബന്ധിതരാകുന്നു, ഉയർന്ന സാധ്യതയോടെ നിങ്ങൾ ഓരോ തവണയും അത് വ്യത്യസ്തമായി പരിഹരിക്കും.

പലപ്പോഴും സെഗ്മെന്റേഷൻ FW സുരക്ഷാ മേഖലകളെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. അപ്പോൾ നിങ്ങൾ ഇനിപ്പറയുന്ന ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകേണ്ടതുണ്ട്:

• നിങ്ങൾക്ക് എന്ത് സുരക്ഷാ മേഖലകളാണ് വേണ്ടത്
• ഈ ഓരോ സോണിലും ഏത് തലത്തിലുള്ള പരിരക്ഷയാണ് നിങ്ങൾ പ്രയോഗിക്കാൻ ആഗ്രഹിക്കുന്നത്
• ഡിഫോൾട്ടായി ഇൻട്രാ സോൺ ട്രാഫിക് അനുവദിക്കുമോ?
• ഇല്ലെങ്കിൽ, ഓരോ സോണിലും എന്ത് ട്രാഫിക് ഫിൽട്ടറിംഗ് നയങ്ങളാണ് പ്രയോഗിക്കുക
• ഓരോ ജോഡി സോണുകൾക്കും എന്ത് ട്രാഫിക് ഫിൽട്ടറിംഗ് നയങ്ങളാണ് ബാധകമാകുക (ഉറവിടം/ലക്ഷ്യം)

TCAM

റൂട്ടിംഗിനും ആക്‌സസ്സുകൾക്കുമായി മതിയായ TCAM (ടെർനറി ഉള്ളടക്കം അഡ്രസ് ചെയ്യാവുന്ന മെമ്മറി) ആണ് ഒരു പൊതു പ്രശ്നം. IMHO, ഉപകരണങ്ങൾ തിരഞ്ഞെടുക്കുമ്പോൾ ഇത് ഏറ്റവും പ്രധാനപ്പെട്ട പ്രശ്നങ്ങളിലൊന്നാണ്, അതിനാൽ നിങ്ങൾ ഈ പ്രശ്നം ഉചിതമായ അളവിൽ കൈകാര്യം ചെയ്യേണ്ടതുണ്ട്.

ഉദാഹരണം 1. ഫോർവേഡിംഗ് ടേബിൾ TCAM.

നമുക്ക് പരിഗണിക്കാം പാലോ ആൾട്ടോ 7 കെ ഫയർവാൾ
IPv4 ഫോർവേഡിംഗ് ടേബിൾ വലുപ്പം* = 32K എന്ന് ഞങ്ങൾ കാണുന്നു
മാത്രമല്ല, ഈ റൂട്ടുകളുടെ എണ്ണം എല്ലാ വിഎസ്‌വൈഎസുകാർക്കും സാധാരണമാണ്.

നിങ്ങളുടെ ഡിസൈൻ അനുസരിച്ച് നിങ്ങൾ 4 VSYS ഉപയോഗിക്കാൻ തീരുമാനിക്കുമെന്ന് നമുക്ക് അനുമാനിക്കാം.
ഈ ഓരോ VSYS-കളും നിങ്ങൾ BB ആയി ഉപയോഗിക്കുന്ന ക്ലൗഡിന്റെ രണ്ട് MPLS PE-കളുമായി BGP വഴി ബന്ധിപ്പിച്ചിരിക്കുന്നു. അങ്ങനെ, 4 VSYS എല്ലാ നിർദ്ദിഷ്ട റൂട്ടുകളും പരസ്പരം കൈമാറ്റം ചെയ്യുകയും ഏകദേശം ഒരേ സെറ്റ് റൂട്ടുകളുള്ള (എന്നാൽ വ്യത്യസ്ത NH-കൾ) ഫോർവേഡിംഗ് ടേബിൾ ഉണ്ടായിരിക്കുകയും ചെയ്യുന്നു. കാരണം ഓരോ VSYS-നും 2 BGP സെഷനുകളുണ്ട് (ഒരേ ക്രമീകരണങ്ങളോടെ), പിന്നെ MPLS വഴി ലഭിക്കുന്ന ഓരോ റൂട്ടിനും 2 NH ഉണ്ട്, അതനുസരിച്ച്, ഫോർവേഡിംഗ് ടേബിളിൽ 2 FIB എൻട്രികൾ ഉണ്ട്. ഇത് ഡാറ്റാ സെന്ററിലെ ഒരേയൊരു ഫയർവാൾ ആണെന്നും അത് എല്ലാ റൂട്ടുകളെക്കുറിച്ചും അറിഞ്ഞിരിക്കണമെന്നും ഞങ്ങൾ അനുമാനിക്കുന്നുവെങ്കിൽ, ഞങ്ങളുടെ ഡാറ്റാ സെന്ററിലെ മൊത്തം റൂട്ടുകളുടെ എണ്ണം 32K/(4 * 2) = 4K-യിൽ കൂടുതലാകരുത് എന്നാണ് ഇതിനർത്ഥം.

ഇപ്പോൾ, ഞങ്ങൾക്ക് 2 ഡാറ്റാ സെന്ററുകൾ ഉണ്ടെന്ന് (ഒരേ രൂപകൽപ്പനയിൽ) ഞങ്ങൾ അനുമാനിക്കുന്നുവെങ്കിൽ, ഡാറ്റാ സെന്ററുകൾക്കിടയിൽ "നീട്ടിയിരിക്കുന്ന" VLAN-കൾ ഉപയോഗിക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ (ഉദാഹരണത്തിന്, vMotion-ന്), റൂട്ടിംഗ് പ്രശ്നം പരിഹരിക്കാൻ, ഞങ്ങൾ ഹോസ്റ്റ് റൂട്ടുകൾ ഉപയോഗിക്കണം . എന്നാൽ ഇതിനർത്ഥം 2 ഡാറ്റാ സെന്ററുകൾക്കായി ഞങ്ങൾക്ക് 4096-ൽ കൂടുതൽ ഹോസ്റ്റുകൾ ഉണ്ടാകില്ല, തീർച്ചയായും ഇത് മതിയാകണമെന്നില്ല.

ഉദാഹരണം 2. ACL TCAM.

L3 സ്വിച്ചുകളിൽ (അല്ലെങ്കിൽ L3 സ്വിച്ചുകൾ ഉപയോഗിക്കുന്ന മറ്റ് പരിഹാരങ്ങൾ, ഉദാഹരണത്തിന്, Cisco ACI) ട്രാഫിക് ഫിൽട്ടർ ചെയ്യാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ, ഉപകരണങ്ങൾ തിരഞ്ഞെടുക്കുമ്പോൾ നിങ്ങൾ TCAM ACL-ൽ ശ്രദ്ധിക്കണം.

സിസ്‌കോ കാറ്റലിസ്റ്റ് 4500-ന്റെ എസ്‌വിഐ ഇന്റർഫേസുകളിലേക്കുള്ള ആക്‌സസ് നിയന്ത്രിക്കാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെന്ന് കരുതുക. തുടർന്ന്, ഇതിൽ നിന്ന് കാണാൻ കഴിയുന്നത് ഈ ലേഖനം, ഇന്റർഫേസുകളിലെ ഔട്ട്‌ഗോയിംഗ് (അതുപോലെ ഇൻകമിംഗ്) ട്രാഫിക് നിയന്ത്രിക്കാൻ, നിങ്ങൾക്ക് 4096 TCAM ലൈനുകൾ മാത്രമേ ഉപയോഗിക്കാനാകൂ. ഇത് TCAM3 ഉപയോഗിക്കുമ്പോൾ നിങ്ങൾക്ക് ഏകദേശം 4000 ആയിരം ACE-കൾ (ACL ലൈനുകൾ) നൽകും.

അപര്യാപ്തമായ TCAM ന്റെ പ്രശ്നം നിങ്ങൾ അഭിമുഖീകരിക്കുകയാണെങ്കിൽ, ഒന്നാമതായി, തീർച്ചയായും, ഒപ്റ്റിമൈസേഷന്റെ സാധ്യത നിങ്ങൾ പരിഗണിക്കേണ്ടതുണ്ട്. അതിനാൽ, ഫോർവേഡിംഗ് ടേബിളിന്റെ വലുപ്പത്തിൽ ഒരു പ്രശ്നമുണ്ടായാൽ, റൂട്ടുകൾ സമാഹരിക്കാനുള്ള സാധ്യത നിങ്ങൾ പരിഗണിക്കേണ്ടതുണ്ട്. ആക്‌സസ്, ഓഡിറ്റ് ആക്‌സസ്, കാലഹരണപ്പെട്ടതും ഓവർലാപ്പുചെയ്യുന്നതുമായ റെക്കോർഡുകൾ നീക്കം ചെയ്യുക, ആക്‌സസ് തുറക്കുന്നതിനുള്ള നടപടിക്രമം പുനഃപരിശോധിക്കുക (ഓഡിറ്റിംഗ് ആക്‌സസുകളെക്കുറിച്ചുള്ള അധ്യായത്തിൽ വിശദമായി ചർച്ച ചെയ്യും).

ഹൈ അവയിലബിളിറ്റി

ചോദ്യം ഇതാണ്: ഫയർവാളുകൾക്കായി ഞാൻ HA ഉപയോഗിക്കണോ അതോ "സമാന്തരമായി" രണ്ട് സ്വതന്ത്ര ബോക്സുകൾ ഇൻസ്റ്റാൾ ചെയ്യണോ, അവയിലൊന്ന് പരാജയപ്പെടുകയാണെങ്കിൽ, രണ്ടാമത്തേതിലൂടെ ട്രാഫിക്കിനെ നയിക്കണോ?

ഉത്തരം വ്യക്തമാണെന്ന് തോന്നുന്നു - HA ഉപയോഗിക്കുക. നിർഭാഗ്യവശാൽ, ഈ ചോദ്യം ഇപ്പോഴും ഉയർന്നുവരുന്നതിന്റെ കാരണം, നിർഭാഗ്യവശാൽ, സൈദ്ധാന്തികവും പരസ്യവും 99 ഉം പ്രായോഗികമായി പ്രവേശനക്ഷമതയുടെ നിരവധി ദശാംശ ശതമാനവും വളരെ റോസിയിൽ നിന്ന് വളരെ അകലെയാണ്. എച്ച്എ യുക്തിപരമായി തികച്ചും സങ്കീർണ്ണമായ ഒരു കാര്യമാണ്, വ്യത്യസ്ത ഉപകരണങ്ങളിൽ, വ്യത്യസ്ത വെണ്ടർമാർ (ഒഴിവാക്കലുകളൊന്നുമില്ല), ഞങ്ങൾ പ്രശ്‌നങ്ങളും ബഗുകളും സേവന സ്റ്റോപ്പുകളും കണ്ടെത്തി.

നിങ്ങൾ HA ഉപയോഗിക്കുകയാണെങ്കിൽ, വ്യക്തിഗത നോഡുകൾ ഓഫാക്കാനും സേവനം നിർത്താതെ അവയ്ക്കിടയിൽ മാറാനും നിങ്ങൾക്ക് അവസരം ലഭിക്കും, ഇത് പ്രധാനമാണ്, ഉദാഹരണത്തിന്, നവീകരണങ്ങൾ നടത്തുമ്പോൾ, എന്നാൽ അതേ സമയം നിങ്ങൾക്ക് രണ്ട് നോഡുകൾക്കും പൂജ്യം സാധ്യതയിൽ നിന്ന് വളരെ അകലെയാണ്. ഒരേ സമയം തകരും, കൂടാതെ അടുത്ത നവീകരണം വെണ്ടർ വാഗ്ദാനം ചെയ്യുന്നതുപോലെ സുഗമമായി നടക്കില്ല (ലബോറട്ടറി ഉപകരണങ്ങളിൽ നവീകരണം പരീക്ഷിക്കാൻ നിങ്ങൾക്ക് അവസരമുണ്ടെങ്കിൽ ഈ പ്രശ്നം ഒഴിവാക്കാനാകും).

നിങ്ങൾ HA ഉപയോഗിക്കുന്നില്ലെങ്കിൽ, ഇരട്ട പരാജയത്തിന്റെ വീക്ഷണകോണിൽ നിന്ന് നിങ്ങളുടെ അപകടസാധ്യതകൾ വളരെ കുറവാണ് (നിങ്ങൾക്ക് 2 സ്വതന്ത്ര ഫയർവാളുകൾ ഉള്ളതിനാൽ), എന്നാൽ... സെഷനുകൾ സമന്വയിപ്പിച്ചിട്ടില്ല, തുടർന്ന് ഓരോ തവണയും നിങ്ങൾ ഈ ഫയർവാളുകൾക്കിടയിൽ മാറുമ്പോൾ നിങ്ങൾക്ക് ട്രാഫിക് നഷ്‌ടമാകും. നിങ്ങൾക്ക് തീർച്ചയായും, സ്‌റ്റേറ്റ്‌ലെസ് ഫയർവാളിംഗ് ഉപയോഗിക്കാം, പക്ഷേ ഫയർവാൾ ഉപയോഗിക്കുന്നതിന്റെ പോയിന്റ് വലിയ തോതിൽ നഷ്‌ടപ്പെടും.

അതിനാൽ, ഓഡിറ്റിന്റെ ഫലമായി നിങ്ങൾ ഏകാന്തമായ ഫയർവാളുകൾ കണ്ടെത്തുകയും നിങ്ങളുടെ നെറ്റ്‌വർക്കിന്റെ വിശ്വാസ്യത വർദ്ധിപ്പിക്കുന്നതിനെക്കുറിച്ച് ചിന്തിക്കുകയും ചെയ്യുന്നുവെങ്കിൽ, HA, തീർച്ചയായും ശുപാർശ ചെയ്യുന്ന പരിഹാരങ്ങളിലൊന്നാണ്, എന്നാൽ അതുമായി ബന്ധപ്പെട്ട ദോഷങ്ങളും നിങ്ങൾ കണക്കിലെടുക്കണം. ഈ സമീപനത്തിലൂടെ, ഒരുപക്ഷേ, പ്രത്യേകിച്ച് നിങ്ങളുടെ നെറ്റ്‌വർക്കിന്, മറ്റൊരു പരിഹാരം കൂടുതൽ അനുയോജ്യമാകും.

കൈകാര്യം ചെയ്യാനുള്ള കഴിവ്

തത്വത്തിൽ, എച്ച്എ നിയന്ത്രണത്തെക്കുറിച്ചും ആണ്. 2 ബോക്സുകൾ വെവ്വേറെ കോൺഫിഗർ ചെയ്യുന്നതിനും കോൺഫിഗറേഷനുകൾ സമന്വയത്തിൽ നിലനിർത്തുന്നതിലെ പ്രശ്നം കൈകാര്യം ചെയ്യുന്നതിനുപകരം, നിങ്ങൾക്ക് ഒരു ഉപകരണം ഉള്ളതുപോലെ നിങ്ങൾ അവ കൈകാര്യം ചെയ്യുന്നു.

എന്നാൽ നിങ്ങൾക്ക് നിരവധി ഡാറ്റാ സെന്ററുകളും നിരവധി ഫയർവാളുകളും ഉണ്ടായിരിക്കാം, അപ്പോൾ ഈ ചോദ്യം ഒരു പുതിയ തലത്തിൽ ഉയർന്നുവരുന്നു. ചോദ്യം കോൺഫിഗറേഷനെക്കുറിച്ച് മാത്രമല്ല, അതിനെക്കുറിച്ചും കൂടിയാണ്

• ബാക്കപ്പ് കോൺഫിഗറേഷനുകൾ
• അപ്ഡേറ്റുകൾ
• നവീകരിക്കുന്നു
• നിരീക്ഷണം
• ലോഗിംഗ്

കേന്ദ്രീകൃത മാനേജ്മെന്റ് സംവിധാനങ്ങൾ വഴി ഇതെല്ലാം പരിഹരിക്കാൻ കഴിയും.

ഉദാഹരണത്തിന്, നിങ്ങൾ പാലോ ആൾട്ടോ ഫയർവാളുകൾ ഉപയോഗിക്കുകയാണെങ്കിൽ പനോരമ അത്തരമൊരു പരിഹാരമാണ്.

തുടരേണ്ടത്.

അവലംബം: www.habr.com