നിങ്ങളുടെ നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറിന്റെ നിയന്ത്രണം എങ്ങനെ എടുക്കാം. അധ്യായം മൂന്ന്. നെറ്റ്‌വർക്ക് സുരക്ഷ. ഭാഗം മൂന്ന്

ഈ ലേഖനം "നിങ്ങളുടെ നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറിന്റെ നിയന്ത്രണം എങ്ങനെ എടുക്കാം" എന്ന പരമ്പരയിലെ അഞ്ചാമത്തേതാണ്. പരമ്പരയിലെ എല്ലാ ലേഖനങ്ങളുടെയും ഉള്ളടക്കങ്ങളും ലിങ്കുകളും കണ്ടെത്താനാകും ഇവിടെ.

ഈ ഭാഗം കാമ്പസ് (ഓഫീസ്) & റിമോട്ട് ആക്‌സസ് വിപിഎൻ സെഗ്‌മെന്റുകൾക്കായി നീക്കിവയ്ക്കും.

ഓഫീസ് നെറ്റ്‌വർക്ക് ഡിസൈൻ എളുപ്പമാണെന്ന് തോന്നിയേക്കാം.

തീർച്ചയായും, ഞങ്ങൾ L2/L3 സ്വിച്ചുകൾ എടുത്ത് അവയെ പരസ്പരം ബന്ധിപ്പിക്കുന്നു. അടുത്തതായി, ഞങ്ങൾ വിലാനുകളുടെയും ഡിഫോൾട്ട് ഗേറ്റ്‌വേകളുടെയും അടിസ്ഥാന സജ്ജീകരണം നടത്തുന്നു, ലളിതമായ റൂട്ടിംഗ് സജ്ജീകരിക്കുന്നു, വൈഫൈ കൺട്രോളറുകൾ കണക്റ്റുചെയ്യുന്നു, ആക്‌സസ് പോയിന്റുകൾ, റിമോട്ട് ആക്‌സസിനായി ASA ഇൻസ്റ്റാൾ ചെയ്യുകയും കോൺഫിഗർ ചെയ്യുകയും ചെയ്യുന്നു, എല്ലാം പ്രവർത്തിച്ചതിൽ ഞങ്ങൾക്ക് സന്തോഷമുണ്ട്. അടിസ്ഥാനപരമായി, മുമ്പത്തേതിൽ ഞാൻ ഇതിനകം എഴുതിയതുപോലെ ലേഖനങ്ങൾ ഈ സൈക്കിളിൽ, ഒരു ടെലികോം കോഴ്‌സിന്റെ രണ്ട് സെമസ്റ്ററുകളിൽ പങ്കെടുത്ത (പഠിച്ച) മിക്കവാറും എല്ലാ വിദ്യാർത്ഥികൾക്കും ഒരു ഓഫീസ് നെറ്റ്‌വർക്ക് രൂപകൽപ്പന ചെയ്യാനും ക്രമീകരിക്കാനും കഴിയും, അങ്ങനെ അത് "എങ്ങനെയെങ്കിലും പ്രവർത്തിക്കും".

എന്നാൽ നിങ്ങൾ കൂടുതൽ പഠിക്കുന്തോറും ഈ ടാസ്ക് വളരെ ലളിതമാണെന്ന് തോന്നുന്നു. വ്യക്തിപരമായി എന്നെ സംബന്ധിച്ചിടത്തോളം, ഈ വിഷയം, ഓഫീസ് നെറ്റ്‌വർക്ക് രൂപകൽപ്പനയുടെ വിഷയം, ഒട്ടും ലളിതമല്ലെന്ന് തോന്നുന്നു, എന്തുകൊണ്ടെന്ന് ഈ ലേഖനത്തിൽ ഞാൻ വിശദീകരിക്കാൻ ശ്രമിക്കും.

ചുരുക്കത്തിൽ, പരിഗണിക്കേണ്ട ചില ഘടകങ്ങളുണ്ട്. പലപ്പോഴും ഈ ഘടകങ്ങൾ പരസ്പരം വൈരുദ്ധ്യത്തിലാണ്, ഒരു ന്യായമായ വിട്ടുവീഴ്ച തേടേണ്ടതുണ്ട്.
ഈ അനിശ്ചിതത്വമാണ് പ്രധാന ബുദ്ധിമുട്ട്. അതിനാൽ, സുരക്ഷയെക്കുറിച്ച് പറയുമ്പോൾ, ഞങ്ങൾക്ക് മൂന്ന് ലംബങ്ങളുള്ള ഒരു ത്രികോണമുണ്ട്: സുരക്ഷ, ജീവനക്കാർക്കുള്ള സൗകര്യം, പരിഹാരത്തിന്റെ വില.
ഓരോ തവണയും നിങ്ങൾ ഈ മൂന്നും തമ്മിൽ ഒരു വിട്ടുവീഴ്ചയ്ക്കായി നോക്കണം.

വാസ്തുവിദ്യ

ഈ രണ്ട് സെഗ്‌മെന്റുകൾക്കായുള്ള ഒരു വാസ്തുവിദ്യയുടെ ഉദാഹരണമായി, മുമ്പത്തെ ലേഖനങ്ങളിലെന്നപോലെ, ഞാൻ ശുപാർശ ചെയ്യുന്നു സിസ്കോ സേഫ് മാതൃക: എന്റർപ്രൈസ് കാമ്പസ്, എന്റർപ്രൈസ് ഇന്റർനെറ്റ് എഡ്ജ്.

ഇവ കുറച്ച് കാലഹരണപ്പെട്ട രേഖകളാണ്. അടിസ്ഥാന സ്കീമുകളും സമീപനവും മാറിയിട്ടില്ലാത്തതിനാൽ ഞാൻ അവ ഇവിടെ അവതരിപ്പിക്കുന്നു, എന്നാൽ അതേ സമയം ഞാൻ അവതരണത്തെക്കാൾ കൂടുതൽ ഇഷ്ടപ്പെടുന്നു പുതിയ ഡോക്യുമെന്റേഷൻ.

സിസ്കോ സൊല്യൂഷനുകൾ ഉപയോഗിക്കാൻ നിങ്ങളെ പ്രോത്സാഹിപ്പിക്കാതെ, ഈ ഡിസൈൻ ശ്രദ്ധാപൂർവ്വം പഠിക്കുന്നത് ഉപയോഗപ്രദമാണെന്ന് ഞാൻ ഇപ്പോഴും കരുതുന്നു.

ഈ ലേഖനം, പതിവുപോലെ, ഒരു തരത്തിലും പൂർണ്ണമാണെന്ന് നടിക്കുന്നില്ല, മറിച്ച് ഈ വിവരങ്ങളുടെ ഒരു കൂട്ടിച്ചേർക്കലാണ്.

ലേഖനത്തിന്റെ അവസാനം, ഇവിടെ വിവരിച്ചിരിക്കുന്ന ആശയങ്ങളുടെ അടിസ്ഥാനത്തിൽ ഞങ്ങൾ സിസ്‌കോ സേഫ് ഓഫീസ് ഡിസൈൻ വിശകലനം ചെയ്യും.

പൊതുവായ തത്വങ്ങൾ

ഓഫീസ് ശൃംഖലയുടെ രൂപകൽപ്പന തീർച്ചയായും ചർച്ച ചെയ്ത പൊതുവായ ആവശ്യകതകൾ നിറവേറ്റണം ഇവിടെ "ഡിസൈൻ ഗുണനിലവാരം വിലയിരുത്തുന്നതിനുള്ള മാനദണ്ഡം" എന്ന അധ്യായത്തിൽ. ഈ ലേഖനത്തിൽ ഞങ്ങൾ ചർച്ച ചെയ്യാൻ ഉദ്ദേശിക്കുന്ന വിലയും സുരക്ഷയും കൂടാതെ, രൂപകൽപ്പന ചെയ്യുമ്പോൾ (അല്ലെങ്കിൽ മാറ്റങ്ങൾ വരുത്തുമ്പോൾ) ഞങ്ങൾ പരിഗണിക്കേണ്ട മൂന്ന് മാനദണ്ഡങ്ങളുണ്ട്:

• സ്കേലബിളിറ്റി
• ഉപയോഗ എളുപ്പം (നിയന്ത്രണം)
• ലഭ്യത

ചർച്ച ചെയ്ത കാര്യങ്ങളിൽ പലതും ഡാറ്റാ സെന്ററുകൾ ഓഫീസിന്റെ കാര്യത്തിലും ഇത് സത്യമാണ്.

എന്നിട്ടും, ഓഫീസ് സെഗ്‌മെന്റിന് അതിന്റേതായ പ്രത്യേകതകളുണ്ട്, അവ സുരക്ഷാ വീക്ഷണകോണിൽ നിന്ന് നിർണായകമാണ്. കമ്പനിയുടെ ജീവനക്കാർക്ക് (അതുപോലെ പങ്കാളികൾക്കും അതിഥികൾക്കും) നെറ്റ്‌വർക്ക് സേവനങ്ങൾ നൽകുന്നതിനാണ് ഈ സെഗ്‌മെന്റ് സൃഷ്‌ടിച്ചിരിക്കുന്നത് എന്നതാണ് ഈ സവിശേഷതയുടെ സാരാംശം, അതിന്റെ ഫലമായി, പ്രശ്‌നത്തിന്റെ ഉയർന്ന തലത്തിൽ ഞങ്ങൾക്ക് രണ്ട് ജോലികളുണ്ട്:

• ജീവനക്കാരിൽ നിന്നും (അതിഥികളിൽ നിന്നും പങ്കാളികളിൽ നിന്നും) അവർ ഉപയോഗിക്കുന്ന സോഫ്‌റ്റ്‌വെയറിൽ നിന്നും ഉണ്ടായേക്കാവുന്ന ക്ഷുദ്ര പ്രവർത്തനങ്ങളിൽ നിന്നും കമ്പനി ഉറവിടങ്ങളെ സംരക്ഷിക്കുക. നെറ്റ്‌വർക്കിലേക്കുള്ള അനധികൃത കണക്ഷനിൽ നിന്നുള്ള പരിരക്ഷയും ഇതിൽ ഉൾപ്പെടുന്നു.
• സിസ്റ്റങ്ങളും ഉപയോക്തൃ ഡാറ്റയും പരിരക്ഷിക്കുക

ഇത് പ്രശ്നത്തിന്റെ ഒരു വശം മാത്രമാണ് (അല്ലെങ്കിൽ, ത്രികോണത്തിന്റെ ഒരു ശീർഷകം). മറുവശത്ത് ഉപയോക്തൃ സൗകര്യവും ഉപയോഗിച്ച പരിഹാരങ്ങളുടെ വിലയുമാണ്.

ഒരു ആധുനിക ഓഫീസ് നെറ്റ്‌വർക്കിൽ നിന്ന് ഒരു ഉപയോക്താവ് എന്താണ് പ്രതീക്ഷിക്കുന്നതെന്ന് നോക്കിക്കൊണ്ട് നമുക്ക് ആരംഭിക്കാം.

സൗകര്യങ്ങൾ

എന്റെ അഭിപ്രായത്തിൽ ഒരു ഓഫീസ് ഉപയോക്താവിന് "നെറ്റ്‌വർക്ക് സൗകര്യങ്ങൾ" എങ്ങനെയിരിക്കും:

• മൊബിലിറ്റി
• പരിചിതമായ ഉപകരണങ്ങളുടെയും ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളുടെയും മുഴുവൻ ശ്രേണിയും ഉപയോഗിക്കാനുള്ള കഴിവ്
• ആവശ്യമായ എല്ലാ കമ്പനി വിഭവങ്ങളിലേക്കും എളുപ്പത്തിലുള്ള ആക്സസ്
• വിവിധ ക്ലൗഡ് സേവനങ്ങൾ ഉൾപ്പെടെ ഇന്റർനെറ്റ് ഉറവിടങ്ങളുടെ ലഭ്യത
• നെറ്റ്‌വർക്കിന്റെ "വേഗത്തിലുള്ള പ്രവർത്തനം"

ഇതെല്ലാം ജീവനക്കാർക്കും അതിഥികൾക്കും (അല്ലെങ്കിൽ പങ്കാളികൾ) ബാധകമാണ്, കൂടാതെ അംഗീകാരത്തിന്റെ അടിസ്ഥാനത്തിൽ വ്യത്യസ്ത ഉപയോക്തൃ ഗ്രൂപ്പുകൾക്കുള്ള ആക്സസ് വേർതിരിക്കുക എന്നത് കമ്പനിയുടെ എഞ്ചിനീയർമാരുടെ ചുമതലയാണ്.

ഈ ഓരോ വശവും കുറച്ചുകൂടി വിശദമായി നോക്കാം.

മൊബിലിറ്റി

ലോകത്തെവിടെ നിന്നും (തീർച്ചയായും, ഇന്റർനെറ്റ് ലഭ്യമാകുന്നിടത്ത്) ആവശ്യമായ എല്ലാ കമ്പനി വിഭവങ്ങളും പ്രവർത്തിക്കാനും ഉപയോഗിക്കാനുമുള്ള അവസരത്തെക്കുറിച്ചാണ് ഞങ്ങൾ സംസാരിക്കുന്നത്.

ഇത് ഓഫീസിന് പൂർണ്ണമായും ബാധകമാണ്. ഓഫീസിൽ എവിടെ നിന്നും ജോലി തുടരാൻ നിങ്ങൾക്ക് അവസരം ലഭിക്കുമ്പോൾ ഇത് സൗകര്യപ്രദമാണ്, ഉദാഹരണത്തിന്, മെയിൽ സ്വീകരിക്കുക, ഒരു കോർപ്പറേറ്റ് മെസഞ്ചറിൽ ആശയവിനിമയം നടത്തുക, ഒരു വീഡിയോ കോളിനായി ലഭ്യമാകുക, ... അങ്ങനെ, ഇത് നിങ്ങളെ അനുവദിക്കുന്നു, ഒരു വശത്ത്, ചില പ്രശ്നങ്ങൾ പരിഹരിക്കുന്നതിന് "തത്സമയ" ആശയവിനിമയം (ഉദാഹരണത്തിന്, റാലികളിൽ പങ്കെടുക്കുക), മറുവശത്ത്, എല്ലായ്പ്പോഴും ഓൺലൈനിൽ ആയിരിക്കുക, നിങ്ങളുടെ വിരൽ സ്പന്ദനത്തിൽ സൂക്ഷിക്കുക, കൂടാതെ ചില അടിയന്തിര ഉയർന്ന മുൻഗണനയുള്ള ജോലികൾ വേഗത്തിൽ പരിഹരിക്കുക. ഇത് വളരെ സൗകര്യപ്രദമാണ്, ആശയവിനിമയത്തിന്റെ ഗുണനിലവാരം ശരിക്കും മെച്ചപ്പെടുത്തുന്നു.

ശരിയായ വൈഫൈ നെറ്റ്‌വർക്ക് ഡിസൈൻ ഉപയോഗിച്ചാണ് ഇത് നേടുന്നത്.

കുറിപ്പ്

ഇവിടെ ചോദ്യം സാധാരണയായി ഉയരുന്നു: വൈഫൈ മാത്രം ഉപയോഗിച്ചാൽ മതിയോ? ഓഫീസിൽ ഇഥർനെറ്റ് പോർട്ടുകൾ ഉപയോഗിക്കുന്നത് നിങ്ങൾക്ക് നിർത്താനാകുമെന്നാണോ ഇതിനർത്ഥം? ഞങ്ങൾ സംസാരിക്കുന്നത് ഉപയോക്താക്കളെക്കുറിച്ചാണ്, അല്ലാതെ ഒരു സാധാരണ ഇഥർനെറ്റ് പോർട്ടുമായി കണക്റ്റുചെയ്യാൻ ഇപ്പോഴും ന്യായമായ സെർവറുകളെക്കുറിച്ചല്ല, പൊതുവേ ഉത്തരം ഇതാണ്: അതെ, നിങ്ങൾക്ക് സ്വയം വൈഫൈയിലേക്ക് മാത്രം പരിമിതപ്പെടുത്താം. എന്നാൽ സൂക്ഷ്മതകളുണ്ട്.

ഒരു പ്രത്യേക സമീപനം ആവശ്യമുള്ള പ്രധാന ഉപയോക്തൃ ഗ്രൂപ്പുകളുണ്ട്. ഇവർ തീർച്ചയായും ഭരണാധികാരികളാണ്. തത്വത്തിൽ, ഒരു വൈഫൈ കണക്ഷൻ വിശ്വാസ്യത കുറവാണ് (ട്രാഫിക് നഷ്ടത്തിന്റെ കാര്യത്തിൽ) സാധാരണ ഇഥർനെറ്റ് പോർട്ടിനേക്കാൾ വേഗത കുറവാണ്. അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് ഇത് പ്രാധാന്യമർഹിക്കുന്നതാണ്. കൂടാതെ, നെറ്റ്‌വർക്ക് അഡ്‌മിനിസ്‌ട്രേറ്റർമാർക്ക്, തത്വത്തിൽ, ഔട്ട്-ഓഫ്-ബാൻഡ് കണക്ഷനുകൾക്കായി അവരുടേതായ സമർപ്പിത ഇഥർനെറ്റ് നെറ്റ്‌വർക്ക് ഉണ്ടായിരിക്കും.

നിങ്ങളുടെ കമ്പനിയിൽ ഈ ഘടകങ്ങളും പ്രധാനപ്പെട്ട മറ്റ് ഗ്രൂപ്പുകൾ/ഡിപ്പാർട്ട്മെന്റുകൾ ഉണ്ടായിരിക്കാം.

മറ്റൊരു പ്രധാന കാര്യം ഉണ്ട് - ടെലിഫോണി. ഒരുപക്ഷേ ചില കാരണങ്ങളാൽ നിങ്ങൾ വയർലെസ് VoIP ഉപയോഗിക്കാൻ ആഗ്രഹിക്കുന്നില്ല കൂടാതെ ഒരു സാധാരണ ഇഥർനെറ്റ് കണക്ഷനുള്ള IP ഫോണുകൾ ഉപയോഗിക്കാൻ ആഗ്രഹിക്കുന്നു.

പൊതുവേ, ഞാൻ ജോലി ചെയ്തിരുന്ന കമ്പനികൾക്ക് സാധാരണയായി വൈഫൈ കണക്റ്റിവിറ്റിയും ഇഥർനെറ്റ് പോർട്ടും ഉണ്ടായിരുന്നു.

മൊബിലിറ്റി ഓഫീസിൽ മാത്രം ഒതുങ്ങാതിരിക്കാൻ ഞാൻ ആഗ്രഹിക്കുന്നു.

വീട്ടിൽ നിന്ന് ജോലി ചെയ്യാനുള്ള കഴിവ് ഉറപ്പാക്കാൻ (അല്ലെങ്കിൽ ആക്സസ് ചെയ്യാവുന്ന ഇന്റർനെറ്റ് ഉള്ള മറ്റേതെങ്കിലും സ്ഥലത്ത്), ഒരു VPN കണക്ഷൻ ഉപയോഗിക്കുന്നു. അതേ സമയം, ഒരേ ആക്സസ് അനുമാനിക്കുന്ന വീട്ടിലിരുന്ന് ജോലി ചെയ്യുന്നതും വിദൂര ജോലിയും തമ്മിലുള്ള വ്യത്യാസം ജീവനക്കാർക്ക് അനുഭവപ്പെടാത്തത് അഭികാമ്യമാണ്. "ഏകീകൃത കേന്ദ്രീകൃത പ്രാമാണീകരണവും അംഗീകാര സംവിധാനവും" എന്ന അധ്യായത്തിൽ ഇത് എങ്ങനെ സംഘടിപ്പിക്കാമെന്ന് ഞങ്ങൾ ചർച്ച ചെയ്യും.

കുറിപ്പ്

മിക്കവാറും, നിങ്ങൾക്ക് ഓഫീസിൽ ഉള്ള വിദൂര ജോലികൾക്കായി ഒരേ നിലവാരത്തിലുള്ള സേവനങ്ങൾ പൂർണ്ണമായി നൽകാൻ നിങ്ങൾക്ക് കഴിയില്ല. നിങ്ങളുടെ VPN ഗേറ്റ്‌വേ ആയി നിങ്ങൾ ഒരു Cisco ASA 5520 ആണ് ഉപയോഗിക്കുന്നതെന്ന് നമുക്ക് അനുമാനിക്കാം. ഡാറ്റ ഷീറ്റ് ഈ ഉപകരണത്തിന് 225 Mbit VPN ട്രാഫിക് മാത്രമേ "ദഹിപ്പിക്കാൻ" കഴിയൂ. അതായത്, തീർച്ചയായും, ബാൻഡ്‌വിഡ്‌ത്തിന്റെ കാര്യത്തിൽ, VPN വഴി കണക്റ്റുചെയ്യുന്നത് ഓഫീസിൽ നിന്ന് പ്രവർത്തിക്കുന്നതിൽ നിന്ന് വളരെ വ്യത്യസ്തമാണ്. കൂടാതെ, ചില കാരണങ്ങളാൽ, നിങ്ങളുടെ നെറ്റ്‌വർക്ക് സേവനങ്ങൾക്കായുള്ള കാലതാമസം, നഷ്ടം, വിറയൽ (ഉദാഹരണത്തിന്, നിങ്ങൾ ഓഫീസ് ഐപി ടെലിഫോണി ഉപയോഗിക്കാൻ ആഗ്രഹിക്കുന്നു) എന്നിവ പ്രാധാന്യമുള്ളതാണെങ്കിൽ, നിങ്ങൾ ഓഫീസിലായിരുന്നതിന് സമാനമായ ഗുണനിലവാരം നിങ്ങൾക്ക് ലഭിക്കില്ല. അതിനാൽ, ചലനാത്മകതയെക്കുറിച്ച് സംസാരിക്കുമ്പോൾ, സാധ്യമായ പരിമിതികളെക്കുറിച്ച് നാം അറിഞ്ഞിരിക്കണം.

എല്ലാ കമ്പനി വിഭവങ്ങളിലേക്കും എളുപ്പത്തിൽ ആക്സസ്

ഈ ചുമതല മറ്റ് സാങ്കേതിക വകുപ്പുകളുമായി സംയുക്തമായി പരിഹരിക്കണം.
ഉപയോക്താവിന് ഒരിക്കൽ മാത്രം ആധികാരികത ഉറപ്പാക്കേണ്ടതും അതിനുശേഷം ആവശ്യമായ എല്ലാ ഉറവിടങ്ങളിലേക്കും അയാൾക്ക് പ്രവേശനമുള്ളതുമാണ് അനുയോജ്യമായ സാഹചര്യം.
സുരക്ഷ നഷ്ടപ്പെടുത്താതെ എളുപ്പത്തിൽ ആക്സസ് നൽകുന്നത് ഉൽപ്പാദനക്ഷമത ഗണ്യമായി മെച്ചപ്പെടുത്തുകയും നിങ്ങളുടെ സഹപ്രവർത്തകർക്കിടയിലെ സമ്മർദ്ദം കുറയ്ക്കുകയും ചെയ്യും.

പരാമർശം 1

എത്ര തവണ പാസ്‌വേഡ് നൽകണം എന്നത് മാത്രമല്ല ആക്‌സസ് എളുപ്പം. ഉദാഹരണത്തിന്, നിങ്ങളുടെ സുരക്ഷാ നയത്തിന് അനുസൃതമായി, ഓഫീസിൽ നിന്ന് ഡാറ്റാ സെന്ററിലേക്ക് കണക്റ്റുചെയ്യുന്നതിന്, നിങ്ങൾ ആദ്യം VPN ഗേറ്റ്‌വേയിലേക്ക് കണക്റ്റുചെയ്യണം, അതേ സമയം നിങ്ങൾക്ക് ഓഫീസ് ഉറവിടങ്ങളിലേക്കുള്ള ആക്‌സസ് നഷ്‌ടപ്പെടുകയാണെങ്കിൽ, ഇതും വളരെ , വളരെ അസൗകര്യം.

പരാമർശം 2

സേവനങ്ങളുണ്ട് (ഉദാഹരണത്തിന്, നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിലേക്കുള്ള ആക്‌സസ്) ഞങ്ങൾക്ക് സാധാരണയായി ഞങ്ങളുടെ സ്വന്തം സമർപ്പിത AAA സെർവറുകൾ ഉണ്ട്, ഈ സാഹചര്യത്തിൽ ഞങ്ങൾ നിരവധി തവണ പ്രാമാണീകരിക്കേണ്ടിവരുമ്പോൾ ഇത് സാധാരണമാണ്.

ഇന്റർനെറ്റ് ഉറവിടങ്ങളുടെ ലഭ്യത

ഇന്റർനെറ്റ് വിനോദം മാത്രമല്ല, ജോലിക്ക് വളരെ ഉപയോഗപ്രദമാകുന്ന ഒരു കൂട്ടം സേവനങ്ങൾ കൂടിയാണ്. തികച്ചും മാനസിക ഘടകങ്ങളും ഉണ്ട്. ഒരു ആധുനിക വ്യക്തി നിരവധി വെർച്വൽ ത്രെഡുകളിലൂടെ ഇന്റർനെറ്റ് വഴി മറ്റ് ആളുകളുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു, എന്റെ അഭിപ്രായത്തിൽ, ജോലി ചെയ്യുമ്പോൾ പോലും ഈ ബന്ധം തുടരുകയാണെങ്കിൽ തെറ്റൊന്നുമില്ല.

സമയം പാഴാക്കുന്ന കാഴ്ചപ്പാടിൽ, ഒരു ജീവനക്കാരൻ, ഉദാഹരണത്തിന്, സ്കൈപ്പ് പ്രവർത്തിക്കുകയും ആവശ്യമെങ്കിൽ പ്രിയപ്പെട്ട ഒരാളുമായി ആശയവിനിമയം നടത്താൻ 5 മിനിറ്റ് ചെലവഴിക്കുകയും ചെയ്താൽ തെറ്റൊന്നുമില്ല.

ഇതിനർത്ഥം ഇന്റർനെറ്റ് എല്ലായ്‌പ്പോഴും ലഭ്യമായിരിക്കണമെന്നാണോ, ഇതിനർത്ഥം ജീവനക്കാർക്ക് എല്ലാ വിഭവങ്ങളിലേക്കും ആക്‌സസ് ഉണ്ടായിരിക്കാമെന്നും അവയെ ഒരു തരത്തിലും നിയന്ത്രിക്കാനാവില്ലെന്നും ആണോ?

ഇല്ല എന്ന് അർത്ഥമാക്കുന്നില്ല, തീർച്ചയായും. ഇന്റർനെറ്റിന്റെ തുറന്ന നില വ്യത്യസ്ത കമ്പനികൾക്ക് വ്യത്യാസപ്പെടാം - പൂർണ്ണമായ അടച്ചുപൂട്ടൽ മുതൽ പൂർണ്ണമായ തുറന്നത വരെ. സുരക്ഷാ നടപടികളെക്കുറിച്ചുള്ള വിഭാഗങ്ങളിൽ ട്രാഫിക് നിയന്ത്രിക്കുന്നതിനുള്ള വഴികൾ ഞങ്ങൾ പിന്നീട് ചർച്ച ചെയ്യും.

പരിചിതമായ ഉപകരണങ്ങളുടെ മുഴുവൻ ശ്രേണിയും ഉപയോഗിക്കാനുള്ള കഴിവ്

ഉദാഹരണത്തിന്, ജോലിസ്ഥലത്ത് നിങ്ങൾ ഉപയോഗിക്കുന്ന എല്ലാ ആശയവിനിമയ മാർഗങ്ങളും ഉപയോഗിക്കുന്നത് തുടരാൻ നിങ്ങൾക്ക് അവസരം ലഭിക്കുമ്പോൾ ഇത് സൗകര്യപ്രദമാണ്. സാങ്കേതികമായി ഇത് നടപ്പിലാക്കാൻ ബുദ്ധിമുട്ടില്ല. ഇതിനായി നിങ്ങൾക്ക് വൈഫൈയും അതിഥി വിലാനും ആവശ്യമാണ്.

നിങ്ങൾ ഉപയോഗിക്കുന്ന ഓപ്പറേറ്റിംഗ് സിസ്റ്റം ഉപയോഗിക്കാനുള്ള അവസരം നിങ്ങൾക്കുണ്ടെങ്കിൽ അത് നല്ലതാണ്. പക്ഷേ, എന്റെ നിരീക്ഷണത്തിൽ, ഇത് സാധാരണയായി മാനേജർമാർക്കും അഡ്മിനിസ്ട്രേറ്റർമാർക്കും ഡവലപ്പർമാർക്കും മാത്രമേ അനുവദിക്കൂ.

ഉദാഹരണം:

നിങ്ങൾക്ക് തീർച്ചയായും, വിലക്കുകളുടെ പാത പിന്തുടരാം, റിമോട്ട് ആക്‌സസ് നിരോധിക്കാം, മൊബൈൽ ഉപകരണങ്ങളിൽ നിന്ന് കണക്റ്റുചെയ്യുന്നത് നിരോധിക്കാം, എല്ലാം സ്റ്റാറ്റിക് ഇഥർനെറ്റ് കണക്ഷനുകളിലേക്ക് പരിമിതപ്പെടുത്താം, ഇന്റർനെറ്റിലേക്കുള്ള ആക്‌സസ് പരിമിതപ്പെടുത്താം, ചെക്ക് പോയിന്റിൽ സെൽ ഫോണുകളും ഗാഡ്‌ജെറ്റുകളും നിർബന്ധമായും കണ്ടുകെട്ടാം... ഈ പാത വർധിച്ച സുരക്ഷാ ആവശ്യകതകളുള്ള ചില ഓർഗനൈസേഷനുകൾ യഥാർത്ഥത്തിൽ പിന്തുടരുന്നു, ഒരുപക്ഷേ ചില സന്ദർഭങ്ങളിൽ ഇത് ന്യായീകരിക്കപ്പെട്ടേക്കാം, പക്ഷേ... ഇത് ഒരൊറ്റ സ്ഥാപനത്തിലെ പുരോഗതി തടയാനുള്ള ശ്രമമാണെന്ന് നിങ്ങൾ സമ്മതിക്കണം. തീർച്ചയായും, ആധുനിക സാങ്കേതികവിദ്യകൾ നൽകുന്ന അവസരങ്ങൾ മതിയായ സുരക്ഷയുമായി സംയോജിപ്പിക്കാൻ ഞാൻ ആഗ്രഹിക്കുന്നു.

നെറ്റ്‌വർക്കിന്റെ "വേഗത്തിലുള്ള പ്രവർത്തനം"

ഡാറ്റാ ട്രാൻസ്ഫർ വേഗത സാങ്കേതികമായി നിരവധി ഘടകങ്ങൾ ഉൾക്കൊള്ളുന്നു. നിങ്ങളുടെ കണക്ഷൻ പോർട്ടിന്റെ വേഗത സാധാരണയായി ഏറ്റവും പ്രധാനപ്പെട്ട ഒന്നല്ല. ഒരു ആപ്ലിക്കേഷന്റെ മന്ദഗതിയിലുള്ള പ്രവർത്തനം എല്ലായ്പ്പോഴും നെറ്റ്‌വർക്ക് പ്രശ്‌നങ്ങളുമായി ബന്ധപ്പെട്ടതല്ല, എന്നാൽ ഇപ്പോൾ ഞങ്ങൾക്ക് നെറ്റ്‌വർക്ക് ഭാഗത്ത് മാത്രമേ താൽപ്പര്യമുള്ളൂ. ലോക്കൽ നെറ്റ്‌വർക്കിലെ ഏറ്റവും സാധാരണമായ പ്രശ്നം "സ്ലോഡൗൺ" പാക്കറ്റ് നഷ്ടവുമായി ബന്ധപ്പെട്ടതാണ്. ഒരു തടസ്സം അല്ലെങ്കിൽ L1 (OSI) പ്രശ്നങ്ങൾ ഉണ്ടാകുമ്പോൾ ഇത് സാധാരണയായി സംഭവിക്കുന്നു. കൂടുതൽ അപൂർവ്വമായി, ചില ഡിസൈനുകളിൽ (ഉദാഹരണത്തിന്, നിങ്ങളുടെ സബ്‌നെറ്റുകൾക്ക് സ്ഥിരസ്ഥിതി ഗേറ്റ്‌വേ ആയി ഒരു ഫയർവാൾ ഉള്ളതിനാൽ എല്ലാ ട്രാഫിക്കും അതിലൂടെ കടന്നുപോകുമ്പോൾ), ഹാർഡ്‌വെയർ പ്രകടനം കുറവായിരിക്കാം.

അതിനാൽ, ഉപകരണങ്ങളും വാസ്തുവിദ്യയും തിരഞ്ഞെടുക്കുമ്പോൾ, എൻഡ് പോർട്ടുകൾ, ട്രങ്കുകൾ, ഉപകരണങ്ങളുടെ പ്രകടനം എന്നിവയുടെ വേഗത നിങ്ങൾ പരസ്പരം ബന്ധിപ്പിക്കേണ്ടതുണ്ട്.

ഉദാഹരണം:

ആക്‌സസ് ലെയർ സ്വിച്ചുകളായി നിങ്ങൾ 1 ഗിഗാബിറ്റ് പോർട്ടുകളുള്ള സ്വിച്ചുകൾ ഉപയോഗിക്കുന്നുണ്ടെന്ന് കരുതുക. എതർചാനൽ 2 x 10 ജിഗാബൈറ്റ് വഴി അവ പരസ്പരം ബന്ധിപ്പിച്ചിരിക്കുന്നു. ഒരു ഡിഫോൾട്ട് ഗേറ്റ്‌വേ എന്ന നിലയിൽ, നിങ്ങൾ ഗിഗാബിറ്റ് പോർട്ടുകളുള്ള ഒരു ഫയർവാൾ ഉപയോഗിക്കുന്നു, ഏത് L2 ഓഫീസ് നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യാൻ നിങ്ങൾ 2 ജിഗാബിറ്റ് പോർട്ടുകൾ ഒരു എതർചാനലിലേക്ക് സംയോജിപ്പിച്ച് ഉപയോഗിക്കുന്നു.

പ്രവർത്തനപരമായ വീക്ഷണകോണിൽ നിന്ന് ഈ വാസ്തുവിദ്യ തികച്ചും സൗകര്യപ്രദമാണ്, കാരണം... എല്ലാ ട്രാഫിക്കും ഫയർവാളിലൂടെ കടന്നുപോകുന്നു, നിങ്ങൾക്ക് ആക്സസ് പോളിസികൾ സുഖകരമായി കൈകാര്യം ചെയ്യാനും ട്രാഫിക് നിയന്ത്രിക്കാനും സാധ്യമായ ആക്രമണങ്ങൾ തടയാനും സങ്കീർണ്ണമായ അൽഗരിതങ്ങൾ പ്രയോഗിക്കാനും കഴിയും (ചുവടെ കാണുക), എന്നാൽ ത്രൂപുട്ടിന്റെയും പ്രകടനത്തിന്റെയും വീക്ഷണകോണിൽ നിന്ന് ഈ രൂപകൽപ്പനയ്ക്ക് തീർച്ചയായും പ്രശ്‌നങ്ങളുണ്ടാകാം. ഉദാഹരണത്തിന്, 2 ഹോസ്റ്റുകൾ ഡൗൺലോഡ് ചെയ്യുന്ന ഡാറ്റയ്ക്ക് (1 ജിഗാബിറ്റ് പോർട്ട് സ്പീഡ് ഉള്ളത്) ഫയർവാളിലേക്ക് 2 ജിഗാബിറ്റ് കണക്ഷൻ പൂർണ്ണമായി ലോഡുചെയ്യാൻ കഴിയും, അങ്ങനെ മുഴുവൻ ഓഫീസ് സെഗ്മെന്റിനും സേവന തകർച്ചയിലേക്ക് നയിക്കും.

നമ്മൾ ത്രികോണത്തിന്റെ ഒരു ശീർഷകം പരിശോധിച്ചു, ഇനി നമുക്ക് എങ്ങനെ സുരക്ഷ ഉറപ്പാക്കാം എന്ന് നോക്കാം.

സംരക്ഷണ മാർഗ്ഗങ്ങൾ

അതിനാൽ, തീർച്ചയായും, സാധാരണയായി ഞങ്ങളുടെ ആഗ്രഹം (അല്ലെങ്കിൽ, ഞങ്ങളുടെ മാനേജ്മെന്റിന്റെ ആഗ്രഹം) അസാധ്യമായത് കൈവരിക്കുക എന്നതാണ്, അതായത്, പരമാവധി സുരക്ഷയും കുറഞ്ഞ ചെലവും ഉപയോഗിച്ച് പരമാവധി സൗകര്യം നൽകുക.

നമുക്ക് സംരക്ഷണം നൽകാൻ എന്തൊക്കെ മാർഗങ്ങളുണ്ടെന്ന് നോക്കാം.

ഓഫീസിനായി, ഞാൻ ഇനിപ്പറയുന്നവ ഹൈലൈറ്റ് ചെയ്യും:

• രൂപകല്പന ചെയ്യുന്നതിനുള്ള സീറോ ട്രസ്റ്റ് സമീപനം
• ഉയർന്ന തലത്തിലുള്ള സംരക്ഷണം
• നെറ്റ്‌വർക്ക് ദൃശ്യപരത
• ഏകീകൃത കേന്ദ്രീകൃത പ്രാമാണീകരണവും അംഗീകാര സംവിധാനവും
• ഹോസ്റ്റ് പരിശോധന

അടുത്തതായി, ഈ ഓരോ വശങ്ങളിലും ഞങ്ങൾ കുറച്ചുകൂടി വിശദമായി വസിക്കും.

സീറോ ട്രസ്റ്റ്

ഐടി ലോകം വളരെ വേഗത്തിൽ മാറുകയാണ്. കഴിഞ്ഞ 10 വർഷത്തിനിടയിൽ, പുതിയ സാങ്കേതികവിദ്യകളുടെയും ഉൽപ്പന്നങ്ങളുടെയും ആവിർഭാവം സുരക്ഷാ സങ്കൽപ്പങ്ങളുടെ ഒരു വലിയ പരിഷ്കരണത്തിലേക്ക് നയിച്ചു. പത്ത് വർഷം മുമ്പ്, ഒരു സുരക്ഷാ വീക്ഷണകോണിൽ, ഞങ്ങൾ നെറ്റ്‌വർക്കിനെ ട്രസ്റ്റ്, dmz, untrust സോണുകളായി തരംതിരിച്ചു, കൂടാതെ "പരിധി സംരക്ഷണം" എന്ന് വിളിക്കപ്പെടുന്നവ ഉപയോഗിച്ചു, അവിടെ 2 പ്രതിരോധ ലൈനുകൾ ഉണ്ടായിരുന്നു: untrust -> dmz, dmz -> ആശ്രയം. കൂടാതെ, സംരക്ഷണം സാധാരണയായി L3/L4 (OSI) ഹെഡറുകൾ (IP, TCP/UDP പോർട്ടുകൾ, TCP ഫ്ലാഗുകൾ) അടിസ്ഥാനമാക്കിയുള്ള ആക്സസ് ലിസ്റ്റുകളിലേക്ക് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു. L7 ഉൾപ്പെടെയുള്ള ഉയർന്ന തലങ്ങളുമായി ബന്ധപ്പെട്ട എല്ലാ കാര്യങ്ങളും OS-നും എൻഡ് ഹോസ്റ്റുകളിൽ ഇൻസ്റ്റാൾ ചെയ്ത സുരക്ഷാ ഉൽപ്പന്നങ്ങൾക്കും വിട്ടുകൊടുത്തു.

ഇപ്പോൾ സ്ഥിതി നാടകീയമായി മാറിയിരിക്കുന്നു. ആധുനിക ആശയം പൂജ്യം വിശ്വാസം ആന്തരിക സംവിധാനങ്ങൾ, അതായത്, പരിധിക്കകത്ത് സ്ഥിതി ചെയ്യുന്നവ, വിശ്വസനീയമായി കണക്കാക്കാൻ ഇനി സാധ്യമല്ല എന്ന വസ്തുതയിൽ നിന്നാണ് വരുന്നത്, കൂടാതെ ചുറ്റളവ് എന്ന ആശയം തന്നെ മങ്ങിയിരിക്കുന്നു.
ഇന്റർനെറ്റ് കണക്ഷനു പുറമേ ഞങ്ങൾക്ക് ഉണ്ട്

• വിദൂര ആക്സസ് VPN ഉപയോക്താക്കൾ
• വിവിധ വ്യക്തിഗത ഗാഡ്‌ജെറ്റുകൾ, കൊണ്ടുവന്ന ലാപ്‌ടോപ്പുകൾ, ഓഫീസ് വൈഫൈ വഴി ബന്ധിപ്പിച്ചിരിക്കുന്നു
• മറ്റ് (ബ്രാഞ്ച്) ഓഫീസുകൾ
• ക്ലൗഡ് ഇൻഫ്രാസ്ട്രക്ചറുമായുള്ള സംയോജനം

സീറോ ട്രസ്റ്റ് സമീപനം പ്രായോഗികമായി എങ്ങനെയിരിക്കും?

ആദർശപരമായി, ആവശ്യമായ ട്രാഫിക് മാത്രമേ അനുവദിക്കൂ, ഞങ്ങൾ ഒരു ആദർശത്തെക്കുറിച്ചാണ് സംസാരിക്കുന്നതെങ്കിൽ, നിയന്ത്രണം L3/L4 തലത്തിൽ മാത്രമല്ല, ആപ്ലിക്കേഷൻ തലത്തിലും ആയിരിക്കണം.

ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് എല്ലാ ട്രാഫിക്കും ഒരു ഫയർവാളിലൂടെ കടന്നുപോകാനുള്ള കഴിവുണ്ടെങ്കിൽ, നിങ്ങൾക്ക് ആദർശത്തിലേക്ക് അടുക്കാൻ ശ്രമിക്കാം. എന്നാൽ ഈ സമീപനത്തിന് നിങ്ങളുടെ നെറ്റ്‌വർക്കിന്റെ മൊത്തം ബാൻഡ്‌വിഡ്ത്ത് ഗണ്യമായി കുറയ്ക്കാൻ കഴിയും, കൂടാതെ, ആപ്ലിക്കേഷൻ വഴി ഫിൽട്ടർ ചെയ്യുന്നത് എല്ലായ്പ്പോഴും നന്നായി പ്രവർത്തിക്കില്ല.

ഒരു റൂട്ടറിലോ L3 സ്വിച്ചിലോ (സാധാരണ ACL-കൾ ഉപയോഗിച്ച്) ട്രാഫിക് നിയന്ത്രിക്കുമ്പോൾ, നിങ്ങൾ മറ്റ് പ്രശ്നങ്ങൾ നേരിടുന്നു:

• ഇത് L3/L4 ഫിൽട്ടറിംഗ് മാത്രമാണ്. അവരുടെ ആപ്ലിക്കേഷനായി (http അല്ല) അനുവദനീയമായ പോർട്ടുകൾ (ഉദാ. TCP 80) ഉപയോഗിക്കുന്നതിൽ നിന്ന് ആക്രമണകാരിയെ തടയാൻ ഒന്നുമില്ല.
• സങ്കീർണ്ണമായ ACL മാനേജ്മെന്റ് (ACL-കൾ പാഴ്സ് ചെയ്യാൻ ബുദ്ധിമുട്ടാണ്)
• ഇതൊരു സ്റ്റേറ്റ്ഫുൾ ഫയർവാൾ അല്ല, അതായത് നിങ്ങൾ റിവേഴ്സ് ട്രാഫിക്ക് വ്യക്തമായി അനുവദിക്കേണ്ടതുണ്ട്
• സ്വിച്ചുകൾ ഉപയോഗിച്ച്, നിങ്ങൾ സാധാരണയായി TCAM-ന്റെ വലുപ്പത്താൽ വളരെ കർശനമായി പരിമിതപ്പെടുത്തിയിരിക്കുന്നു, "നിങ്ങൾക്ക് ആവശ്യമുള്ളത് മാത്രം അനുവദിക്കുക" എന്ന സമീപനം നിങ്ങൾ സ്വീകരിക്കുകയാണെങ്കിൽ ഇത് പെട്ടെന്ന് ഒരു പ്രശ്നമായി മാറും.

കുറിപ്പ്

റിവേഴ്സ് ട്രാഫിക്കിനെക്കുറിച്ച് പറയുമ്പോൾ, ഞങ്ങൾക്ക് ഇനിപ്പറയുന്ന അവസരമുണ്ടെന്ന് നാം ഓർക്കണം (സിസ്കോ)

സ്ഥാപിതമായ ഏതെങ്കിലും tcp അനുവദിക്കുക

എന്നാൽ ഈ വരി രണ്ട് വരികൾക്ക് തുല്യമാണെന്ന് നിങ്ങൾ മനസ്സിലാക്കേണ്ടതുണ്ട്:
tcp ഏതെങ്കിലും ack അനുവദിക്കുക
tcp ഏതെങ്കിലും ആദ്യം അനുവദിക്കുക

ഇതിനർത്ഥം, SYN ഫ്ലാഗിനൊപ്പം പ്രാരംഭ TCP സെഗ്‌മെന്റ് ഇല്ലെങ്കിലും (അതായത്, TCP സെഷൻ സ്ഥാപിക്കാൻ പോലും തുടങ്ങിയിട്ടില്ല), ഈ ACL, ACK ഫ്ലാഗ് ഉള്ള ഒരു പാക്കറ്റ് അനുവദിക്കും, ഇത് ആക്രമണകാരിക്ക് ഡാറ്റ കൈമാറാൻ ഉപയോഗിക്കാം.

അതായത്, ഈ ലൈൻ ഒരു തരത്തിലും നിങ്ങളുടെ റൂട്ടർ അല്ലെങ്കിൽ L3 സ്വിച്ച് ഒരു സ്റ്റേറ്റ്ഫുൾ ഫയർവാൾ ആക്കി മാറ്റുന്നില്ല.

ഉയർന്ന തലത്തിലുള്ള സംരക്ഷണം

В ലേഖനം ഡാറ്റാ സെന്ററുകളെക്കുറിച്ചുള്ള വിഭാഗത്തിൽ, ഇനിപ്പറയുന്ന സംരക്ഷണ രീതികൾ ഞങ്ങൾ പരിഗണിച്ചു.

• സ്റ്റേറ്റ്ഫുൾ ഫയർവാളിംഗ് (സ്ഥിരസ്ഥിതി)
• ddos/dos സംരക്ഷണം
• ആപ്ലിക്കേഷൻ ഫയർവാളിംഗ്
• ഭീഷണി തടയൽ (ആന്റിവൈറസ്, ആന്റി-സ്പൈവെയർ, ദുർബലത)
• URL ഫിൽട്ടറിംഗ്
• ഡാറ്റ ഫിൽട്ടറിംഗ് (ഉള്ളടക്കം ഫിൽട്ടറിംഗ്)
• ഫയൽ തടയൽ (ഫയൽ തരങ്ങൾ തടയൽ)

ഒരു ഓഫീസിന്റെ കാര്യത്തിൽ, സ്ഥിതി സമാനമാണ്, എന്നാൽ മുൻഗണനകൾ അല്പം വ്യത്യസ്തമാണ്. ഓഫീസ് ലഭ്യത (ലഭ്യത) സാധാരണയായി ഒരു ഡാറ്റാ സെന്ററിന്റെ കാര്യത്തിലെന്നപോലെ നിർണായകമല്ല, അതേസമയം "ആന്തരിക" ക്ഷുദ്രകരമായ ട്രാഫിക്കിന്റെ സാധ്യത വളരെ ഉയർന്നതാണ്.
അതിനാൽ, ഈ വിഭാഗത്തിനുള്ള ഇനിപ്പറയുന്ന സംരക്ഷണ രീതികൾ നിർണായകമാണ്:

• ആപ്ലിക്കേഷൻ ഫയർവാളിംഗ്
• ഭീഷണി തടയൽ (ആന്റി വൈറസ്, ആന്റി-സ്പൈവെയർ, ദുർബലത)
• URL ഫിൽട്ടറിംഗ്
• ഡാറ്റ ഫിൽട്ടറിംഗ് (ഉള്ളടക്കം ഫിൽട്ടറിംഗ്)
• ഫയൽ തടയൽ (ഫയൽ തരങ്ങൾ തടയൽ)

ഈ സംരക്ഷണ രീതികളെല്ലാം, ആപ്ലിക്കേഷൻ ഫയർവാളിംഗ് ഒഴികെ, പരമ്പരാഗതമായി എൻഡ് ഹോസ്റ്റുകളിൽ (ഉദാഹരണത്തിന്, ആന്റിവൈറസ് പ്രോഗ്രാമുകൾ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിലൂടെ) പ്രോക്സികൾ ഉപയോഗിച്ച്, ആധുനിക NGFW-കളും ഈ സേവനങ്ങൾ നൽകുന്നു.

സുരക്ഷാ ഉപകരണ വെണ്ടർമാർ സമഗ്രമായ സംരക്ഷണം സൃഷ്ടിക്കാൻ ശ്രമിക്കുന്നു, അതിനാൽ പ്രാദേശിക പരിരക്ഷയ്‌ക്കൊപ്പം, അവർ ഹോസ്റ്റുകൾക്കായി വിവിധ ക്ലൗഡ് സാങ്കേതികവിദ്യകളും ക്ലയന്റ് സോഫ്റ്റ്‌വെയറുകളും വാഗ്ദാനം ചെയ്യുന്നു (എൻഡ് പോയിന്റ് പ്രൊട്ടക്ഷൻ/ഇപിപി). അതിനാൽ, ഉദാഹരണത്തിന്, നിന്ന് 2018 ഗാർട്ട്നർ മാജിക് ക്വാഡ്രന്റ് പാലോ ആൾട്ടോയ്ക്കും സിസ്‌കോയ്ക്കും അവരുടേതായ EPP-കൾ (PA: Traps, Cisco: AMP) ഉണ്ടെന്ന് ഞങ്ങൾ കാണുന്നു, എന്നാൽ നേതാക്കളിൽ നിന്ന് വളരെ അകലെയാണ്.

നിങ്ങളുടെ ഫയർവാളിൽ ഈ പരിരക്ഷകൾ (സാധാരണയായി ലൈസൻസുകൾ വാങ്ങുന്നതിലൂടെ) പ്രവർത്തനക്ഷമമാക്കുന്നത് തീർച്ചയായും നിർബന്ധമല്ല (നിങ്ങൾക്ക് പരമ്പരാഗത റൂട്ടിൽ പോകാം), എന്നാൽ ഇത് ചില ആനുകൂല്യങ്ങൾ നൽകുന്നു:

• ഈ സാഹചര്യത്തിൽ, സംരക്ഷണ രീതികളുടെ പ്രയോഗത്തിന്റെ ഒരൊറ്റ പോയിന്റ് ഉണ്ട്, അത് ദൃശ്യപരത മെച്ചപ്പെടുത്തുന്നു (അടുത്ത വിഷയം കാണുക).
• നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ ഒരു സുരക്ഷിതമല്ലാത്ത ഉപകരണമുണ്ടെങ്കിൽ, അത് ഇപ്പോഴും ഫയർവാൾ സംരക്ഷണത്തിന്റെ "കുട"യുടെ കീഴിലാണ്.
• എൻഡ്-ഹോസ്റ്റ് പരിരക്ഷയുമായി സംയോജിച്ച് ഫയർവാൾ സംരക്ഷണം ഉപയോഗിക്കുന്നതിലൂടെ, ക്ഷുദ്രകരമായ ട്രാഫിക് കണ്ടെത്താനുള്ള സാധ്യത ഞങ്ങൾ വർദ്ധിപ്പിക്കുന്നു. ഉദാഹരണത്തിന്, ലോക്കൽ ഹോസ്റ്റുകളിലും ഫയർവാളിലും ഭീഷണി തടയൽ ഉപയോഗിക്കുന്നത് കണ്ടെത്താനുള്ള സാധ്യത വർദ്ധിപ്പിക്കുന്നു (തീർച്ചയായും, ഈ പരിഹാരങ്ങൾ വ്യത്യസ്ത സോഫ്‌റ്റ്‌വെയർ ഉൽപ്പന്നങ്ങളെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്)

കുറിപ്പ്

ഉദാഹരണത്തിന്, നിങ്ങൾ ഫയർവാളിലും എൻഡ് ഹോസ്റ്റുകളിലും ഒരു ആന്റിവൈറസായി കാസ്‌പെർസ്‌കി ഉപയോഗിക്കുന്നുവെങ്കിൽ, ഇത് തീർച്ചയായും നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ ഒരു വൈറസ് ആക്രമണം തടയാനുള്ള സാധ്യത വർദ്ധിപ്പിക്കില്ല.

നെറ്റ്‌വർക്ക് ദൃശ്യപരത

മുഖ്യ ആശയം ലളിതമാണ് - നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ എന്താണ് സംഭവിക്കുന്നതെന്ന് "കാണുക", തത്സമയത്തും ചരിത്രപരമായ ഡാറ്റയിലും.

ഞാൻ ഈ "ദർശനം" രണ്ട് ഗ്രൂപ്പുകളായി വിഭജിക്കും:

ഗ്രൂപ്പ് ഒന്ന്: നിങ്ങളുടെ മോണിറ്ററിംഗ് സിസ്റ്റം സാധാരണയായി നിങ്ങൾക്ക് എന്താണ് നൽകുന്നത്.

• ഉപകരണങ്ങൾ ലോഡിംഗ്
• ചാനലുകൾ ലോഡ് ചെയ്യുന്നു
• മെമ്മറി ഉപയോഗം
• ഡിസ്ക് ഉപയോഗം
• റൂട്ടിംഗ് ടേബിൾ മാറ്റുന്നു
• ലിങ്ക് നില
• ഉപകരണങ്ങളുടെ ലഭ്യത (അല്ലെങ്കിൽ ഹോസ്റ്റുകൾ)
• പങ്ക് € |

ഗ്രൂപ്പ് രണ്ട്: സുരക്ഷയുമായി ബന്ധപ്പെട്ട വിവരങ്ങൾ.

• വിവിധ തരം സ്ഥിതിവിവരക്കണക്കുകൾ (ഉദാഹരണത്തിന്, ആപ്ലിക്കേഷൻ വഴി, URL ട്രാഫിക്ക് വഴി, ഏത് തരത്തിലുള്ള ഡാറ്റയാണ് ഡൗൺലോഡ് ചെയ്തത്, ഉപയോക്തൃ ഡാറ്റ)
• സുരക്ഷാ നയങ്ങളാൽ എന്താണ് തടഞ്ഞത്, എന്ത് കാരണത്താലാണ്, അതായത്
  • നിരോധിത അപേക്ഷ
  • ip/protocol/port/flags/zones അടിസ്ഥാനമാക്കി നിരോധിച്ചിരിക്കുന്നു
  • ഭീഷണി തടയൽ
  • url ഫിൽട്ടറിംഗ്
  • ഡാറ്റ ഫിൽട്ടറിംഗ്
  • ഫയൽ തടയൽ
  • പങ്ക് € |
• DOS/DDOS ആക്രമണങ്ങളെക്കുറിച്ചുള്ള സ്ഥിതിവിവരക്കണക്കുകൾ
• തിരിച്ചറിയൽ, അംഗീകാര ശ്രമങ്ങൾ പരാജയപ്പെട്ടു
• മുകളിലുള്ള എല്ലാ സുരക്ഷാ നയ ലംഘന സംഭവങ്ങളുടെയും സ്ഥിതിവിവരക്കണക്കുകൾ
• പങ്ക് € |

സുരക്ഷയെക്കുറിച്ചുള്ള ഈ അധ്യായത്തിൽ, ഞങ്ങൾക്ക് രണ്ടാം ഭാഗത്തിൽ താൽപ്പര്യമുണ്ട്.

ചില ആധുനിക ഫയർവാളുകൾ (എന്റെ പാലോ ആൾട്ടോ അനുഭവത്തിൽ നിന്ന്) ദൃശ്യപരതയുടെ നല്ല തലം നൽകുന്നു. പക്ഷേ, തീർച്ചയായും, നിങ്ങൾക്ക് താൽപ്പര്യമുള്ള ട്രാഫിക് ഈ ഫയർവാളിലൂടെ കടന്നുപോകണം (അങ്ങനെയെങ്കിൽ നിങ്ങൾക്ക് ട്രാഫിക് തടയാനുള്ള കഴിവുണ്ട്) അല്ലെങ്കിൽ ഫയർവാളിലേക്ക് മിറർ ചെയ്യണം (നിരീക്ഷണത്തിനും വിശകലനത്തിനും മാത്രം ഉപയോഗിക്കുന്നു), കൂടാതെ എല്ലാം പ്രവർത്തനക്ഷമമാക്കാൻ നിങ്ങൾക്ക് ലൈസൻസ് ഉണ്ടായിരിക്കണം. ഈ സേവനങ്ങൾ.

തീർച്ചയായും, ഒരു ബദൽ മാർഗമുണ്ട്, അല്ലെങ്കിൽ പരമ്പരാഗത മാർഗം, ഉദാഹരണത്തിന്,

• സെഷൻ സ്ഥിതിവിവരക്കണക്കുകൾ നെറ്റ്ഫ്ലോ വഴി ശേഖരിക്കുകയും തുടർന്ന് വിവര വിശകലനത്തിനും ഡാറ്റ ദൃശ്യവൽക്കരണത്തിനുമായി പ്രത്യേക യൂട്ടിലിറ്റികൾ ഉപയോഗിക്കുകയും ചെയ്യാം.
• ഭീഷണി തടയൽ - എൻഡ് ഹോസ്റ്റുകളിൽ പ്രത്യേക പ്രോഗ്രാമുകൾ (ആന്റി-വൈറസ്, ആന്റി-സ്പൈവെയർ, ഫയർവാൾ).
• URL ഫിൽട്ടറിംഗ്, ഡാറ്റ ഫിൽട്ടറിംഗ്, ഫയൽ തടയൽ - പ്രോക്സിയിൽ
• ഉദാ: ഉപയോഗിച്ച് tcpdump വിശകലനം ചെയ്യാനും സാധിക്കും. കൂർക്കം വലി

നിങ്ങൾക്ക് ഈ രണ്ട് സമീപനങ്ങളും സംയോജിപ്പിക്കാം, നഷ്‌ടമായ സവിശേഷതകൾ പൂർത്തീകരിക്കുകയോ ആക്രമണം കണ്ടെത്തുന്നതിനുള്ള സാധ്യത വർദ്ധിപ്പിക്കുന്നതിന് അവ തനിപ്പകർപ്പാക്കുകയോ ചെയ്യാം.

ഏത് സമീപനമാണ് നിങ്ങൾ തിരഞ്ഞെടുക്കേണ്ടത്?
നിങ്ങളുടെ ടീമിന്റെ യോഗ്യതകളെയും മുൻഗണനകളെയും ആശ്രയിച്ചിരിക്കുന്നു.
അവിടെയും അവിടെയും ഗുണങ്ങളും ദോഷങ്ങളുമുണ്ട്.

ഏകീകൃത കേന്ദ്രീകൃത പ്രാമാണീകരണവും അംഗീകാര സംവിധാനവും

നന്നായി രൂപകൽപ്പന ചെയ്യുമ്പോൾ, ഈ ലേഖനത്തിൽ ഞങ്ങൾ ചർച്ച ചെയ്ത മൊബിലിറ്റി നിങ്ങൾ ഓഫീസിൽ നിന്നോ വീട്ടിൽ നിന്നോ എയർപോർട്ടിൽ നിന്നോ ഒരു കോഫി ഷോപ്പിൽ നിന്നോ മറ്റെവിടെയെങ്കിലുമോ ജോലി ചെയ്താലും നിങ്ങൾക്ക് ഒരേ ആക്സസ് ഉണ്ടെന്ന് അനുമാനിക്കുന്നു (ഞങ്ങൾ മുകളിൽ ചർച്ച ചെയ്ത പരിമിതികളോടെ). തോന്നും, എന്താണ് പ്രശ്നം?
ഈ ടാസ്ക്കിന്റെ സങ്കീർണ്ണത നന്നായി മനസ്സിലാക്കാൻ, നമുക്ക് ഒരു സാധാരണ ഡിസൈൻ നോക്കാം.

ഉദാഹരണം:

• നിങ്ങൾ എല്ലാ ജീവനക്കാരെയും ഗ്രൂപ്പുകളായി തിരിച്ചിരിക്കുന്നു. ഗ്രൂപ്പുകൾ വഴി പ്രവേശനം നൽകാൻ നിങ്ങൾ തീരുമാനിച്ചു
• ഓഫീസിനുള്ളിൽ, ഓഫീസ് ഫയർവാളിൽ നിങ്ങൾ ആക്സസ് നിയന്ത്രിക്കുന്നു
• ഡാറ്റാ സെന്റർ ഫയർവാളിൽ ഓഫീസിൽ നിന്ന് ഡാറ്റാ സെന്ററിലേക്കുള്ള ട്രാഫിക് നിങ്ങൾ നിയന്ത്രിക്കുന്നു
• നിങ്ങൾ ഒരു വിപിഎൻ ഗേറ്റ്‌വേ ആയി ഒരു സിസ്‌കോ എഎസ്എ ഉപയോഗിക്കുന്നു കൂടാതെ റിമോട്ട് ക്ലയന്റുകളിൽ നിന്ന് നിങ്ങളുടെ നെറ്റ്‌വർക്കിലേക്ക് പ്രവേശിക്കുന്ന ട്രാഫിക് നിയന്ത്രിക്കാൻ, നിങ്ങൾ ലോക്കൽ (എഎസ്‌എയിൽ) എസിഎൽ ഉപയോഗിക്കുന്നു.

ഇപ്പോൾ, ഒരു നിശ്ചിത ജീവനക്കാരന് അധിക ആക്സസ് ചേർക്കാൻ നിങ്ങളോട് ആവശ്യപ്പെട്ടുവെന്നിരിക്കട്ടെ. ഈ സാഹചര്യത്തിൽ, അവനിലേക്ക് മാത്രം ആക്‌സസ്സ് ചേർക്കാൻ നിങ്ങളോട് ആവശ്യപ്പെടുന്നു, അവന്റെ ഗ്രൂപ്പിൽ നിന്ന് മറ്റാരെയും ചേർക്കരുത്.

ഇതിനായി ഈ ജീവനക്കാരന് ഒരു പ്രത്യേക ഗ്രൂപ്പ് ഉണ്ടാക്കണം, അതായത്

• ഈ ജീവനക്കാരന് ASA-യിൽ ഒരു പ്രത്യേക IP പൂൾ സൃഷ്ടിക്കുക
• ASA-യിൽ ഒരു പുതിയ ACL ചേർക്കുകയും അത് ആ റിമോട്ട് ക്ലയന്റുമായി ബന്ധിപ്പിക്കുകയും ചെയ്യുക
• ഓഫീസ്, ഡാറ്റാ സെന്റർ ഫയർവാളുകളിൽ പുതിയ സുരക്ഷാ നയങ്ങൾ സൃഷ്ടിക്കുക

ഈ സംഭവം അപൂർവമാണെങ്കിൽ നല്ലത്. എന്നാൽ എന്റെ പ്രയോഗത്തിൽ ജീവനക്കാർ വ്യത്യസ്ത പ്രോജക്റ്റുകളിൽ പങ്കെടുക്കുമ്പോൾ ഒരു സാഹചര്യം ഉണ്ടായിരുന്നു, അവരിൽ ചിലർക്കുള്ള ഈ പ്രോജക്റ്റുകൾ പലപ്പോഴും മാറി, അത് 1-2 ആളുകളല്ല, മറിച്ച് ഡസൻ ആയിരുന്നു. തീർച്ചയായും, ഇവിടെ എന്തെങ്കിലും മാറ്റേണ്ടതുണ്ട്.

ഇത് ഇനിപ്പറയുന്ന രീതിയിൽ പരിഹരിച്ചു.

സാധ്യമായ എല്ലാ ജീവനക്കാരുടെ പ്രവേശനങ്ങളും നിർണ്ണയിക്കുന്ന സത്യത്തിന്റെ ഏക ഉറവിടം LDAP ആയിരിക്കുമെന്ന് ഞങ്ങൾ തീരുമാനിച്ചു. ആക്‌സസുകളുടെ സെറ്റ് നിർവചിക്കുന്ന എല്ലാത്തരം ഗ്രൂപ്പുകളും ഞങ്ങൾ സൃഷ്‌ടിച്ചു, ഓരോ ഉപയോക്താവിനെയും ഞങ്ങൾ ഒന്നോ അതിലധികമോ ഗ്രൂപ്പുകളിലേക്ക് നിയോഗിച്ചു.

ഉദാഹരണത്തിന്, ഗ്രൂപ്പുകൾ ഉണ്ടായിരുന്നു എന്ന് കരുതുക

• അതിഥി (ഇന്റർനെറ്റ് ആക്സസ്)
• പൊതുവായ ആക്സസ് (പങ്കിട്ട ഉറവിടങ്ങളിലേക്കുള്ള ആക്സസ്: മെയിൽ, വിജ്ഞാന അടിത്തറ, ...)
• അക്കൌണ്ടിംഗ്
• പദ്ധതി 1
• പദ്ധതി 2
• ഡാറ്റാ ബേസ് അഡ്മിനിസ്ട്രേറ്റർ
• linux അഡ്മിനിസ്ട്രേറ്റർ
• പങ്ക് € |

പ്രോജക്റ്റ് 1, പ്രോജക്റ്റ് 2 എന്നിവയിൽ ജീവനക്കാരിൽ ഒരാൾ ഉൾപ്പെട്ടിരുന്നെങ്കിൽ, ഈ പ്രോജക്റ്റുകളിൽ പ്രവർത്തിക്കാൻ ആവശ്യമായ ആക്സസ് ആവശ്യമുണ്ടെങ്കിൽ, ഈ ജീവനക്കാരനെ ഇനിപ്പറയുന്ന ഗ്രൂപ്പുകളിലേക്ക് നിയോഗിച്ചു:

• അതിഥി
• പൊതു പ്രവേശനം
• പദ്ധതി 1
• പദ്ധതി 2

ഈ വിവരങ്ങൾ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിലെ ആക്‌സസ് ആയി മാറ്റുന്നത് എങ്ങനെ?

Cisco ASA ഡൈനാമിക് ആക്സസ് പോളിസി (DAP) (കാണുക www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) പരിഹാരം ഈ ടാസ്ക്കിന് അനുയോജ്യമാണ്.

ഞങ്ങളുടെ നടപ്പാക്കലിനെക്കുറിച്ച് ചുരുക്കത്തിൽ, ഐഡന്റിഫിക്കേഷൻ/അംഗീകാരം പ്രക്രിയയ്ക്കിടെ, ഒരു നിശ്ചിത ഉപയോക്താവിന് അനുയോജ്യമായ ഒരു കൂട്ടം ഗ്രൂപ്പുകൾ LDAP-ൽ നിന്ന് ASA സ്വീകരിക്കുന്നു, കൂടാതെ നിരവധി പ്രാദേശിക ACL-കളിൽ നിന്ന് (ഓരോന്നും ഒരു ഗ്രൂപ്പുമായി യോജിക്കുന്നു) ആവശ്യമായ എല്ലാ ആക്‌സസുകളുമുള്ള ഒരു ഡൈനാമിക് ACL "ശേഖരിക്കുന്നു". , അത് ഞങ്ങളുടെ ആഗ്രഹങ്ങളുമായി പൂർണ്ണമായും യോജിക്കുന്നു.

എന്നാൽ ഇത് VPN കണക്ഷനുകൾക്ക് മാത്രമാണ്. വിപിഎൻ വഴി കണക്‌റ്റ് ചെയ്‌തിരിക്കുന്ന രണ്ട് ജീവനക്കാർക്കും ഓഫീസിലുള്ളവർക്കും സ്ഥിതി ഒരേപോലെയാക്കാൻ, ഇനിപ്പറയുന്ന നടപടി സ്വീകരിച്ചു.

ഓഫീസിൽ നിന്ന് കണക്റ്റുചെയ്യുമ്പോൾ, 802.1x പ്രോട്ടോക്കോൾ ഉപയോഗിക്കുന്ന ഉപയോക്താക്കൾ ഒരു അതിഥി ലാൻ (അതിഥികൾക്കായി) അല്ലെങ്കിൽ ഒരു പങ്കിട്ട LAN (കമ്പനി ജീവനക്കാർക്കായി) അവസാനിച്ചു. കൂടാതെ, നിർദ്ദിഷ്ട ആക്സസ് ലഭിക്കുന്നതിന് (ഉദാഹരണത്തിന്, ഒരു ഡാറ്റാ സെന്ററിലെ പ്രോജക്റ്റുകളിലേക്ക്), ജീവനക്കാർക്ക് VPN വഴി കണക്റ്റുചെയ്യേണ്ടതുണ്ട്.

ഓഫീസിൽ നിന്നും വീട്ടിൽ നിന്നും കണക്‌റ്റുചെയ്യുന്നതിന്, എഎസ്‌എയിൽ വിവിധ ടണൽ ഗ്രൂപ്പുകൾ ഉപയോഗിച്ചു. ഓഫീസിൽ നിന്ന് കണക്റ്റുചെയ്യുന്നവർക്ക്, പങ്കിട്ട ഉറവിടങ്ങളിലേക്കുള്ള ട്രാഫിക് (മെയിൽ, ഫയൽ സെർവറുകൾ, ടിക്കറ്റ് സിസ്റ്റം, ഡിഎൻഎസ്, ... തുടങ്ങിയ എല്ലാ ജീവനക്കാരും ഉപയോഗിക്കുന്നത്) ASA വഴി പോകാതെ, പ്രാദേശിക നെറ്റ്‌വർക്ക് വഴി പോകുന്നതിന് ഇത് ആവശ്യമാണ്. . അതിനാൽ, ഉയർന്ന തീവ്രതയുള്ള ട്രാഫിക് ഉൾപ്പെടെയുള്ള അനാവശ്യ ട്രാഫിക്കിൽ ഞങ്ങൾ ASA-യിൽ ലോഡ് ചെയ്തില്ല.

അങ്ങനെ പ്രശ്നം പരിഹരിച്ചു.
ഞങ്ങൾക്ക് ലഭിച്ചു

• ഓഫീസിൽ നിന്നും റിമോട്ട് കണക്ഷനുകളിൽ നിന്നുമുള്ള രണ്ട് കണക്ഷനുകൾക്കും ഒരേ സെറ്റ് ആക്സസ്
• ASA വഴി ഉയർന്ന തീവ്രതയുള്ള ട്രാഫിക്കിന്റെ പ്രക്ഷേപണവുമായി ബന്ധപ്പെട്ട ഓഫീസിൽ നിന്ന് ജോലി ചെയ്യുമ്പോൾ സേവന തകർച്ചയുടെ അഭാവം

ഈ സമീപനത്തിന്റെ മറ്റ് ഗുണങ്ങൾ എന്തൊക്കെയാണ്?
ആക്സസ് അഡ്മിനിസ്ട്രേഷനിൽ. ആക്‌സസ്സ് ഒരിടത്ത് എളുപ്പത്തിൽ മാറ്റാനാകും.
ഉദാഹരണത്തിന്, ഒരു ജീവനക്കാരൻ കമ്പനി വിടുകയാണെങ്കിൽ, നിങ്ങൾ അവനെ LDAP-ൽ നിന്ന് നീക്കം ചെയ്യുക, അയാൾക്ക് സ്വയമേവ എല്ലാ ആക്സസ് നഷ്ടപ്പെടുകയും ചെയ്യും.

ഹോസ്റ്റ് പരിശോധിക്കുന്നു

റിമോട്ട് കണക്ഷന്റെ സാധ്യതയനുസരിച്ച്, ഒരു കമ്പനി ജീവനക്കാരനെ നെറ്റ്‌വർക്കിലേക്ക് മാത്രമല്ല, അവന്റെ കമ്പ്യൂട്ടറിൽ (ഉദാഹരണത്തിന്, വീട്) ഉള്ള എല്ലാ ക്ഷുദ്ര സോഫ്റ്റ്‌വെയറുകളെയും അനുവദിക്കുന്നതിനുള്ള അപകടസാധ്യത ഞങ്ങൾ പ്രവർത്തിപ്പിക്കുന്നു, കൂടാതെ, ഈ സോഫ്റ്റ്‌വെയർ വഴി ഞങ്ങൾ ഈ ഹോസ്റ്റ് പ്രോക്സിയായി ഉപയോഗിക്കുന്ന ഒരു ആക്രമണകാരിക്ക് ഞങ്ങളുടെ നെറ്റ്‌വർക്കിലേക്ക് ആക്‌സസ് നൽകുന്നുണ്ടാകാം.

വിദൂരമായി കണക്റ്റുചെയ്‌ത ഹോസ്റ്റിന് ഇൻ-ഓഫീസ് ഹോസ്റ്റിന്റെ അതേ സുരക്ഷാ ആവശ്യകതകൾ ബാധകമാക്കുന്നത് യുക്തിസഹമാണ്.

ഇത് OS-ന്റെ "ശരിയായ" പതിപ്പ്, ആന്റി-വൈറസ്, ആന്റി-സ്പൈവെയർ, ഫയർവാൾ സോഫ്റ്റ്‌വെയർ, അപ്‌ഡേറ്റുകൾ എന്നിവയും അനുമാനിക്കുന്നു. സാധാരണഗതിയിൽ, ഈ കഴിവ് VPN ഗേറ്റ്‌വേയിൽ നിലവിലുണ്ട് (ASA-യ്ക്ക്, ഉദാഹരണത്തിന്, കാണുക, ഇവിടെ).

നിങ്ങളുടെ സുരക്ഷാ നയം ഓഫീസ് ട്രാഫിക്കിന് ബാധകമാകുന്ന അതേ ട്രാഫിക് വിശകലനവും തടയൽ സാങ്കേതികതകളും (“ഉയർന്ന തലത്തിലുള്ള പരിരക്ഷ” കാണുക) പ്രയോഗിക്കുന്നതും ബുദ്ധിപരമാണ്.

നിങ്ങളുടെ ഓഫീസ് നെറ്റ്‌വർക്ക് ഇനി ഓഫീസ് കെട്ടിടത്തിലും അതിനുള്ളിലെ ഹോസ്റ്റുകളിലും പരിമിതപ്പെടുത്തിയിട്ടില്ലെന്ന് അനുമാനിക്കുന്നത് ന്യായമാണ്.

ഉദാഹരണം:

റിമോട്ട് ആക്‌സസ് ആവശ്യമുള്ള ഓരോ ജീവനക്കാരനും നല്ലതും സൗകര്യപ്രദവുമായ ലാപ്‌ടോപ്പ് നൽകുകയും അവർക്ക് ഓഫീസിലും വീട്ടിലും ജോലി ചെയ്യാൻ ആവശ്യപ്പെടുകയും ചെയ്യുന്നതാണ് നല്ല സാങ്കേതികത.

ഇത് നിങ്ങളുടെ നെറ്റ്‌വർക്കിന്റെ സുരക്ഷ മെച്ചപ്പെടുത്തുക മാത്രമല്ല, ഇത് ശരിക്കും സൗകര്യപ്രദവുമാണ്, മാത്രമല്ല ഇത് സാധാരണയായി ജീവനക്കാർ അനുകൂലമായി കാണുകയും ചെയ്യുന്നു (ഇത് ശരിക്കും നല്ലതും ഉപയോക്തൃ-സൗഹൃദവുമായ ലാപ്‌ടോപ്പ് ആണെങ്കിൽ).

അനുപാതത്തിന്റെയും സന്തുലിതാവസ്ഥയുടെയും ഒരു ബോധത്തെക്കുറിച്ച്

അടിസ്ഥാനപരമായി, ഇത് നമ്മുടെ ത്രികോണത്തിന്റെ മൂന്നാമത്തെ ശീർഷത്തെക്കുറിച്ചുള്ള ഒരു സംഭാഷണമാണ് - വിലയെക്കുറിച്ച്.
നമുക്ക് ഒരു സാങ്കൽപ്പിക ഉദാഹരണം നോക്കാം.

ഉദാഹരണം:

നിങ്ങൾക്ക് 200 പേർക്ക് ഒരു ഓഫീസ് ഉണ്ട്. ഇത് കഴിയുന്നത്ര സൗകര്യപ്രദവും സുരക്ഷിതവുമാക്കാൻ നിങ്ങൾ തീരുമാനിച്ചു.

അതിനാൽ, എല്ലാ ട്രാഫിക്കും ഫയർവാളിലൂടെ കടന്നുപോകാൻ നിങ്ങൾ തീരുമാനിച്ചു, അതിനാൽ എല്ലാ ഓഫീസ് സബ്‌നെറ്റുകൾക്കും ഫയർവാളാണ് സ്ഥിരസ്ഥിതി ഗേറ്റ്‌വേ. ഓരോ എൻഡ് ഹോസ്റ്റിലും (ആന്റി-വൈറസ്, ആന്റി-സ്പൈവെയർ, ഫയർവാൾ സോഫ്‌റ്റ്‌വെയർ) ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള സുരക്ഷാ സോഫ്‌റ്റ്‌വെയർ കൂടാതെ, ഫയർവാളിൽ സാധ്യമായ എല്ലാ സംരക്ഷണ രീതികളും പ്രയോഗിക്കാനും നിങ്ങൾ തീരുമാനിച്ചു.

ഉയർന്ന കണക്ഷൻ വേഗത ഉറപ്പാക്കാൻ (എല്ലാം സൗകര്യാർത്ഥം), നിങ്ങൾ ആക്‌സസ് സ്വിച്ചുകളായി 10 ഗിഗാബിറ്റ് ആക്‌സസ് പോർട്ടുകളുള്ള സ്വിച്ചുകളും ഫയർവാളുകളായി ഉയർന്ന പ്രകടനമുള്ള NGFW ഫയർവാളുകളും തിരഞ്ഞെടുത്തു, ഉദാഹരണത്തിന്, പാലോ ആൾട്ടോ 7K സീരീസ് (40 ജിഗാബിറ്റ് പോർട്ടുകൾ ഉള്ളത്), സ്വാഭാവികമായും എല്ലാ ലൈസൻസുകളും ഉൾപ്പെടുത്തിയിട്ടുണ്ട്, സ്വാഭാവികമായും ഉയർന്ന ലഭ്യതയുള്ള ജോഡി.

കൂടാതെ, തീർച്ചയായും, ഈ ഉപകരണങ്ങളുടെ നിരയിൽ പ്രവർത്തിക്കാൻ ഞങ്ങൾക്ക് ഉയർന്ന യോഗ്യതയുള്ള സുരക്ഷാ എഞ്ചിനീയർമാരെങ്കിലും ആവശ്യമാണ്.

അടുത്തതായി, ഓരോ ജീവനക്കാരനും ഒരു നല്ല ലാപ്ടോപ്പ് നൽകാൻ നിങ്ങൾ തീരുമാനിച്ചു.

മൊത്തത്തിൽ, നടപ്പിലാക്കുന്നതിന് ഏകദേശം 10 ദശലക്ഷം ഡോളർ, എഞ്ചിനീയർമാർക്കുള്ള വാർഷിക പിന്തുണയ്ക്കും ശമ്പളത്തിനുമായി ലക്ഷക്കണക്കിന് ഡോളർ (ഒരു ദശലക്ഷത്തിനടുത്ത് ഞാൻ കരുതുന്നു).

ഓഫീസ്, 200 പേർ...
സുഖകരമാണോ? അതെ എന്ന് ഞാൻ ഊഹിക്കുന്നു.

നിങ്ങളുടെ മാനേജ്മെന്റിലേക്ക് ഈ നിർദ്ദേശവുമായി നിങ്ങൾ വരിക...
ഒരുപക്ഷേ ഇത് സ്വീകാര്യവും ശരിയായതുമായ പരിഹാരമായ നിരവധി കമ്പനികൾ ലോകത്ത് ഉണ്ട്. നിങ്ങൾ ഈ കമ്പനിയുടെ ഒരു ജീവനക്കാരനാണെങ്കിൽ, എന്റെ അഭിനന്ദനങ്ങൾ, എന്നാൽ ബഹുഭൂരിപക്ഷം കേസുകളിലും, നിങ്ങളുടെ അറിവ് മാനേജ്മെൻറ് വിലമതിക്കില്ലെന്ന് എനിക്ക് ഉറപ്പുണ്ട്.

ഈ ഉദാഹരണം അതിശയോക്തിപരമാണോ? അടുത്ത അധ്യായം ഈ ചോദ്യത്തിന് ഉത്തരം നൽകും.

നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ മുകളിൽ പറഞ്ഞതൊന്നും നിങ്ങൾ കാണുന്നില്ലെങ്കിൽ, ഇതാണ് മാനദണ്ഡം.
ഓരോ നിർദ്ദിഷ്ട കേസിനും, സൗകര്യം, വില, സുരക്ഷ എന്നിവയ്ക്കിടയിൽ നിങ്ങളുടേതായ ന്യായമായ വിട്ടുവീഴ്ച നിങ്ങൾ കണ്ടെത്തേണ്ടതുണ്ട്. പലപ്പോഴും നിങ്ങളുടെ ഓഫീസിൽ NGFW പോലും ആവശ്യമില്ല, കൂടാതെ ഫയർവാളിൽ L7 സംരക്ഷണം ആവശ്യമില്ല. ഒരു നല്ല തലത്തിലുള്ള ദൃശ്യപരതയും അലേർട്ടുകളും നൽകാൻ ഇത് മതിയാകും, ഉദാഹരണത്തിന്, ഓപ്പൺ സോഴ്സ് ഉൽപ്പന്നങ്ങൾ ഉപയോഗിച്ച് ഇത് ചെയ്യാൻ കഴിയും. അതെ, ഒരു ആക്രമണത്തോടുള്ള നിങ്ങളുടെ പ്രതികരണം ഉടനടി ഉണ്ടാകില്ല, പക്ഷേ പ്രധാന കാര്യം നിങ്ങൾ അത് കാണും എന്നതാണ്, നിങ്ങളുടെ ഡിപ്പാർട്ട്‌മെന്റിൽ ശരിയായ പ്രക്രിയകൾ ഉണ്ടെങ്കിൽ, നിങ്ങൾക്ക് അത് വേഗത്തിൽ നിർവീര്യമാക്കാൻ കഴിയും.

ഈ ലേഖന പരമ്പരയുടെ ആശയം അനുസരിച്ച്, നിങ്ങൾ ഒരു നെറ്റ്‌വർക്ക് രൂപകൽപന ചെയ്യുകയല്ല, നിങ്ങൾക്ക് ലഭിച്ചത് മെച്ചപ്പെടുത്താൻ മാത്രമാണ് നിങ്ങൾ ശ്രമിക്കുന്നതെന്ന് ഞാൻ നിങ്ങളെ ഓർമ്മിപ്പിക്കട്ടെ.

ഓഫീസ് വാസ്തുവിദ്യയുടെ സുരക്ഷിതമായ വിശകലനം

ഡയഗ്രാമിൽ ഞാൻ ഒരു സ്ഥലം അനുവദിച്ച ഈ ചുവന്ന ചതുരം ശ്രദ്ധിക്കുക സുരക്ഷിതമായ സുരക്ഷിത കാമ്പസ് ആർക്കിടെക്ചർ ഗൈഡ്ഞാൻ ഇവിടെ ചർച്ച ചെയ്യാൻ ആഗ്രഹിക്കുന്നു.

ഇത് വാസ്തുവിദ്യയുടെ പ്രധാന സ്ഥലങ്ങളിൽ ഒന്നാണ്, ഏറ്റവും പ്രധാനപ്പെട്ട അനിശ്ചിതത്വങ്ങളിൽ ഒന്നാണ്.

കുറിപ്പ്

ഞാൻ ഒരിക്കലും ഫയർപവർ സജ്ജീകരിക്കുകയോ പ്രവർത്തിക്കുകയോ ചെയ്തിട്ടില്ല (സിസ്കോയുടെ ഫയർവാൾ ലൈനിൽ നിന്ന് - എഎസ്എ മാത്രം), അതിനാൽ ജൂണിപ്പർ എസ്ആർഎക്സ് അല്ലെങ്കിൽ പാലോ ആൾട്ടോ പോലെയുള്ള മറ്റേതൊരു ഫയർവാൾ പോലെയും ഞാൻ ഇതിനെ പരിഗണിക്കും, അതിന് സമാന കഴിവുകൾ ഉണ്ടെന്ന് കരുതുക.

സാധാരണ ഡിസൈനുകളിൽ, ഈ കണക്ഷനുള്ള ഒരു ഫയർവാൾ ഉപയോഗിക്കുന്നതിന് സാധ്യമായ 4 ഓപ്ഷനുകൾ മാത്രമേ ഞാൻ കാണുന്നുള്ളൂ:

• ഓരോ സബ്‌നെറ്റിന്റെയും സ്ഥിരസ്ഥിതി ഗേറ്റ്‌വേ ഒരു സ്വിച്ചാണ്, അതേസമയം ഫയർവാൾ സുതാര്യമായ മോഡിലാണ് (അതായത്, എല്ലാ ട്രാഫിക്കും അതിലൂടെ കടന്നുപോകുന്നു, പക്ഷേ ഇത് ഒരു L3 ഹോപ്പ് രൂപപ്പെടുത്തുന്നില്ല)
• ഓരോ സബ്‌നെറ്റിന്റെയും സ്ഥിരസ്ഥിതി ഗേറ്റ്‌വേ ഫയർവാൾ സബ്-ഇന്റർഫേസുകളാണ് (അല്ലെങ്കിൽ SVI ഇന്റർഫേസുകൾ), സ്വിച്ച് L2 ന്റെ പങ്ക് വഹിക്കുന്നു
• സ്വിച്ചിൽ വ്യത്യസ്ത വിആർഎഫുകൾ ഉപയോഗിക്കുന്നു, വിആർഎഫുകൾക്കിടയിലുള്ള ട്രാഫിക് ഫയർവാളിലൂടെ കടന്നുപോകുന്നു, ഒരു വിആർഎഫിനുള്ളിലെ ട്രാഫിക് നിയന്ത്രിക്കുന്നത് സ്വിച്ചിലെ എസിഎൽ ആണ്.
• എല്ലാ ട്രാഫിക്കും വിശകലനത്തിനും നിരീക്ഷണത്തിനുമായി ഫയർവാളിലേക്ക് പ്രതിഫലിപ്പിക്കുന്നു; ട്രാഫിക് അതിലൂടെ കടന്നുപോകുന്നില്ല

പരാമർശം 1

ഈ ഓപ്ഷനുകളുടെ സംയോജനം സാധ്യമാണ്, എന്നാൽ ലാളിത്യത്തിനായി ഞങ്ങൾ അവ പരിഗണിക്കില്ല.

കുറിപ്പ്2

PBR (സർവീസ് ചെയിൻ ആർക്കിടെക്ചർ) ഉപയോഗിക്കാനുള്ള സാധ്യതയും ഉണ്ട്, എന്നാൽ ഇപ്പോൾ ഇത്, എന്റെ അഭിപ്രായത്തിൽ മനോഹരമായ ഒരു പരിഹാരമാണെങ്കിലും, തികച്ചും വിചിത്രമാണ്, അതിനാൽ ഞാൻ അത് ഇവിടെ പരിഗണിക്കുന്നില്ല.

ഡോക്യുമെന്റിലെ ഫ്ലോകളുടെ വിവരണത്തിൽ നിന്ന്, ട്രാഫിക് ഇപ്പോഴും ഫയർവാളിലൂടെ കടന്നുപോകുന്നതായി ഞങ്ങൾ കാണുന്നു, അതായത്, സിസ്കോ രൂപകൽപ്പനയ്ക്ക് അനുസൃതമായി, നാലാമത്തെ ഓപ്ഷൻ ഒഴിവാക്കപ്പെടുന്നു.

ആദ്യം ആദ്യത്തെ രണ്ട് ഓപ്ഷനുകൾ നോക്കാം.
ഈ ഓപ്ഷനുകൾ ഉപയോഗിച്ച്, എല്ലാ ട്രാഫിക്കും ഫയർവാളിലൂടെ കടന്നുപോകുന്നു.

ഇനി നോക്കാം ഡാറ്റ ഷീറ്റ്, നോക്കൂ സിസ്കോ ജിപിഎൽ ഞങ്ങളുടെ ഓഫീസിന്റെ മൊത്തം ബാൻഡ്‌വിഡ്ത്ത് കുറഞ്ഞത് 10 - 20 ഗിഗാബിറ്റ്‌സ് ആയിരിക്കണം എങ്കിൽ, ഞങ്ങൾ 4K പതിപ്പ് വാങ്ങണം.

കുറിപ്പ്

ഞാൻ മൊത്തം ബാൻഡ്‌വിഡ്‌ത്തിനെ കുറിച്ച് പറയുമ്പോൾ, സബ്‌നെറ്റുകൾക്കിടയിലുള്ള ട്രാഫിക്കാണ് ഞാൻ ഉദ്ദേശിക്കുന്നത് (ഒരു വില്ലനയ്ക്കുള്ളിലല്ല).

GPL-ൽ നിന്ന് നമ്മൾ കാണുന്നത് എച്ച്എ ബണ്ടിൽ വിത്ത് ത്രെറ്റ് ഡിഫൻസ്, മോഡലിനെ ആശ്രയിച്ച് (4110 - 4150) വില ~0,5 മുതൽ 2,5 ദശലക്ഷം ഡോളർ വരെ വ്യത്യാസപ്പെടുന്നു.

അതായത്, ഞങ്ങളുടെ ഡിസൈൻ മുമ്പത്തെ ഉദാഹരണവുമായി സാമ്യപ്പെടുത്താൻ തുടങ്ങുന്നു.

ഈ ഡിസൈൻ തെറ്റാണെന്ന് ഇതിനർത്ഥം?
ഇല്ല, അതിനർത്ഥമില്ല. സിസ്‌കോ അതിന്റെ ഉൽപ്പന്ന നിരയെ അടിസ്ഥാനമാക്കി നിങ്ങൾക്ക് സാധ്യമായ ഏറ്റവും മികച്ച പരിരക്ഷ നൽകുന്നു. എന്നാൽ ഇത് നിങ്ങൾക്കായി ചെയ്യേണ്ട കാര്യമാണെന്ന് ഇതിനർത്ഥമില്ല.

തത്വത്തിൽ, ഇത് ഒരു ഓഫീസ് അല്ലെങ്കിൽ ഡാറ്റാ സെന്റർ രൂപകൽപ്പന ചെയ്യുമ്പോൾ ഉയർന്നുവരുന്ന ഒരു സാധാരണ ചോദ്യമാണ്, അതിനർത്ഥം ഒരു വിട്ടുവീഴ്ച തേടേണ്ടതുണ്ട് എന്നാണ്.

ഉദാഹരണത്തിന്, എല്ലാ ട്രാഫിക്കും ഒരു ഫയർവാളിലൂടെ കടന്നുപോകാൻ അനുവദിക്കരുത്, ഈ സാഹചര്യത്തിൽ ഓപ്ഷൻ 3 എനിക്ക് നല്ലതായി തോന്നുന്നു, അല്ലെങ്കിൽ (മുമ്പത്തെ വിഭാഗം കാണുക) നിങ്ങൾക്ക് ത്രെറ്റ് ഡിഫൻസ് ആവശ്യമില്ല അല്ലെങ്കിൽ അതിൽ ഒരു ഫയർവാൾ ആവശ്യമില്ല നെറ്റ്‌വർക്ക് സെഗ്‌മെന്റ്, പണമടച്ചുള്ള (ചെലവേറിയതല്ല) അല്ലെങ്കിൽ ഓപ്പൺ സോഴ്‌സ് സൊല്യൂഷനുകൾ ഉപയോഗിച്ച് നിഷ്‌ക്രിയ നിരീക്ഷണത്തിലേക്ക് നിങ്ങൾ സ്വയം പരിമിതപ്പെടുത്തേണ്ടതുണ്ട്, അല്ലെങ്കിൽ നിങ്ങൾക്ക് ഒരു ഫയർവാൾ ആവശ്യമാണ്, പക്ഷേ മറ്റൊരു വെണ്ടറിൽ നിന്ന്.

സാധാരണയായി ഈ അനിശ്ചിതത്വം എപ്പോഴും ഉണ്ടാകും, ഏത് തീരുമാനമാണ് നിങ്ങൾക്ക് ഏറ്റവും മികച്ചത് എന്നതിന് വ്യക്തമായ ഉത്തരമില്ല.
ഇതാണ് ഈ ജോലിയുടെ സങ്കീർണ്ണതയും സൗന്ദര്യവും.

അവലംബം: www.habr.com