हा लेख लेखांच्या मालिकेतील तिसरा आहे "तुमच्या नेटवर्क इन्फ्रास्ट्रक्चरवर नियंत्रण कसे ठेवावे." मालिकेतील सर्व लेखांचा मजकूर आणि लिंक्स मिळू शकतात येथे.

सुरक्षा धोके पूर्णपणे काढून टाकण्याबद्दल बोलण्यात काही अर्थ नाही. तत्वतः, आम्ही त्यांना शून्यावर कमी करू शकत नाही. आम्हाला हे देखील समजून घेणे आवश्यक आहे की आम्ही नेटवर्क अधिकाधिक सुरक्षित करण्याचा प्रयत्न करत असताना आमचे उपाय अधिकाधिक महाग होत आहेत. तुम्हाला तुमच्या नेटवर्कसाठी अर्थपूर्ण किंमत, अवघडपणा आणि सुरक्षितता यांच्यातील ट्रेड-ऑफ शोधण्याची आवश्यकता आहे.

अर्थात, सुरक्षा डिझाइन हे एकंदर आर्किटेक्चरमध्ये सेंद्रियपणे एकत्रित केले आहे आणि वापरलेले सुरक्षा उपाय नेटवर्क इन्फ्रास्ट्रक्चरच्या स्केलेबिलिटी, विश्वासार्हता, व्यवस्थापनक्षमता, ... प्रभावित करतात, ज्याचा देखील विचार केला पाहिजे.

पण मी तुम्हाला आठवण करून देतो की आता आम्ही नेटवर्क तयार करण्याबद्दल बोलत नाही आहोत. आमच्या मते प्रारंभिक परिस्थिती आम्ही आधीच डिझाइन निवडले आहे, उपकरणे निवडली आहेत आणि पायाभूत सुविधा तयार केल्या आहेत आणि या टप्प्यावर, शक्य असल्यास, आम्ही "जगणे" आणि पूर्वी निवडलेल्या दृष्टिकोनाच्या संदर्भात उपाय शोधले पाहिजेत.

आमचे कार्य आता नेटवर्क स्तरावरील सुरक्षिततेशी संबंधित जोखीम ओळखणे आणि ते वाजवी स्तरावर कमी करणे हे आहे.

नेटवर्क सुरक्षा ऑडिट

जर तुमच्या संस्थेने ISO 27k प्रक्रिया लागू केल्या असतील, तर सुरक्षा ऑडिट आणि नेटवर्क बदल या दृष्टिकोनातील एकूण प्रक्रियांमध्ये अखंडपणे बसले पाहिजेत. पण ही मानके अजूनही विशिष्ट उपायांबद्दल नाहीत, कॉन्फिगरेशनबद्दल नाहीत, डिझाइनबद्दल नाहीत... कोणतेही स्पष्ट सल्ला नाहीत, तुमचे नेटवर्क कसे असावे हे तपशीलवार सांगणारे कोणतेही मानक नाहीत, ही या कार्याची जटिलता आणि सौंदर्य आहे.

मी अनेक संभाव्य नेटवर्क सुरक्षा ऑडिट हायलाइट करेन:

• उपकरणे कॉन्फिगरेशन ऑडिट (कठोर करणे)
• सुरक्षा डिझाइन ऑडिट
• प्रवेश ऑडिट
• प्रक्रिया ऑडिट

उपकरणे कॉन्फिगरेशन ऑडिट (कठोर करणे)

असे दिसते की बहुतेक प्रकरणांमध्ये हे ऑडिट करण्यासाठी आणि आपल्या नेटवर्कची सुरक्षितता सुधारण्यासाठी सर्वोत्तम प्रारंभिक बिंदू आहे. IMHO, हे पॅरेटोच्या कायद्याचे चांगले प्रदर्शन आहे (20% प्रयत्न 80% निकाल देतात आणि उर्वरित 80% प्रयत्न केवळ 20% निकाल देतात).

सर्वात महत्त्वाची गोष्ट अशी आहे की उपकरणे कॉन्फिगर करताना सुरक्षेसाठी "सर्वोत्तम पद्धती" संदर्भात विक्रेत्यांकडून आमच्याकडे सहसा शिफारसी असतात. याला "हार्डनिंग" म्हणतात.

तुम्ही या शिफारशींवर आधारित प्रश्नावली (किंवा स्वतः तयार करा) देखील शोधू शकता, जे तुम्हाला तुमच्या उपकरणांचे कॉन्फिगरेशन या "सर्वोत्तम पद्धती" चे पालन किती चांगले करते हे निर्धारित करण्यात मदत करेल आणि परिणामानुसार, तुमच्या नेटवर्कमध्ये बदल करा. . हे तुम्हाला अक्षरशः कोणत्याही खर्चाशिवाय, सुरक्षितता जोखीम लक्षणीयरीत्या कमी करण्यास अनुमती देईल.

काही सिस्को ऑपरेटिंग सिस्टमसाठी अनेक उदाहरणे.

सिस्को IOS कॉन्फिगरेशन हार्डनिंग
सिस्को IOS-XR कॉन्फिगरेशन हार्डनिंग
सिस्को NX-OS कॉन्फिगरेशन हार्डनिंग
सिस्को बेसलाइन सुरक्षा तपासणी यादी

या दस्तऐवजांवर आधारित, प्रत्येक प्रकारच्या उपकरणांसाठी कॉन्फिगरेशन आवश्यकतांची सूची तयार केली जाऊ शकते. उदाहरणार्थ, Cisco N7K VDC साठी या आवश्यकता सारख्या दिसू शकतात त्यामुळे.

अशा प्रकारे, तुमच्या नेटवर्क इन्फ्रास्ट्रक्चरमध्ये विविध प्रकारच्या सक्रिय उपकरणांसाठी कॉन्फिगरेशन फाइल्स तयार केल्या जाऊ शकतात. पुढे, स्वहस्ते किंवा ऑटोमेशन वापरून, तुम्ही या कॉन्फिगरेशन फाइल्स "अपलोड" करू शकता. ऑर्केस्ट्रेशन आणि ऑटोमेशनवरील लेखांच्या दुसर्‍या मालिकेत ही प्रक्रिया स्वयंचलित कशी करावी याबद्दल तपशीलवार चर्चा केली जाईल.

सुरक्षा डिझाइन ऑडिट

सामान्यतः, एंटरप्राइझ नेटवर्कमध्ये एक किंवा दुसर्या स्वरूपात खालील विभाग असतात:

• DC (सार्वजनिक सेवा DMZ आणि इंट्रानेट डेटा सेंटर)
• इंटरनेट प्रवेश
• दूरस्थ प्रवेश VPN
• WAN धार
• शाखा
• कॅम्पस (कार्यालय)
• कोर

कडून शीर्षके घेतली सिस्को सेफ मॉडेल, परंतु अर्थातच, या नावांना आणि या मॉडेलशी तंतोतंत जोडणे आवश्यक नाही. तरीही, मला साराबद्दल बोलायचे आहे आणि औपचारिकतेत अडकून पडू नये.

या प्रत्येक विभागासाठी, सुरक्षा आवश्यकता, जोखीम आणि त्यानुसार, उपाय भिन्न असतील.

सुरक्षा डिझाइनच्या दृष्टिकोनातून तुम्हाला ज्या समस्या येऊ शकतात त्या प्रत्येकाकडे स्वतंत्रपणे पाहू या. अर्थात, मी पुन्हा पुन्हा सांगतो की हा लेख कोणत्याही प्रकारे पूर्ण झाल्याचे भासवत नाही, जे या खरोखर खोल आणि बहुआयामी विषयात साध्य करणे सोपे (अशक्य नसल्यास) नाही, परंतु ते माझे वैयक्तिक अनुभव प्रतिबिंबित करते.

कोणताही परिपूर्ण उपाय नाही (किमान अद्याप नाही). ही नेहमीच तडजोड असते. परंतु हे महत्त्वाचे आहे की एक किंवा दुसरा दृष्टिकोन वापरण्याचा निर्णय त्याच्या साधक आणि बाधक दोन्ही गोष्टी समजून घेऊन जाणीवपूर्वक घेतला जातो.

डेटा सेंटर

सुरक्षिततेच्या दृष्टिकोनातून सर्वात गंभीर विभाग.
आणि, नेहमीप्रमाणे, येथे कोणतेही सार्वत्रिक समाधान नाही. हे सर्व नेटवर्क आवश्यकतांवर मोठ्या प्रमाणावर अवलंबून असते.

फायरवॉल आवश्यक आहे की नाही?

असे दिसते की उत्तर स्पष्ट आहे, परंतु सर्वकाही दिसते तितके स्पष्ट नाही. आणि आपली निवड केवळ प्रभावित होऊ शकत नाही किंमत.

उदाहरण 1 विलंब होतो.

जर काही नेटवर्क सेगमेंट्समध्‍ये कमी विलंबता ही अत्यावश्यक गरज असेल, जी, उदाहरणार्थ, एक्सचेंजच्या बाबतीत खरे असेल, तर आम्ही या विभागांमधील फायरवॉल वापरण्यास सक्षम असणार नाही. फायरवॉलमधील लेटन्सीवर अभ्यास शोधणे कठिण आहे, परंतु काही स्विच मॉडेल्स 1 mksec पेक्षा कमी किंवा त्यापेक्षा कमी लेटन्सी देऊ शकतात, त्यामुळे मला वाटते की मायक्रोसेकंद तुमच्यासाठी महत्त्वाचे असल्यास, फायरवॉल तुमच्यासाठी नाहीत.

उदाहरण 2 कामगिरी

शीर्ष L3 स्विचचे थ्रूपुट सामान्यतः सर्वात शक्तिशाली फायरवॉलच्या थ्रूपुटपेक्षा जास्त परिमाणाचा ऑर्डर असतो. त्यामुळे, उच्च-तीव्रतेच्या रहदारीच्या बाबतीत, तुम्हाला बहुधा या रहदारीला फायरवॉल बायपास करण्याची परवानगी द्यावी लागेल.

उदाहरण 3 विश्वसनीयता.

फायरवॉल, विशेषतः आधुनिक एनजीएफडब्ल्यू (नेक्स्ट-जनरेशन एफडब्ल्यू) ही जटिल उपकरणे आहेत. ते L3/L2 स्विचेसपेक्षा खूपच गुंतागुंतीचे आहेत. ते मोठ्या संख्येने सेवा आणि कॉन्फिगरेशन पर्याय प्रदान करतात, म्हणून त्यांची विश्वासार्हता खूपच कमी आहे हे आश्चर्यकारक नाही. जर सेवेची सातत्य नेटवर्कसाठी महत्त्वाची असेल, तर तुम्हाला अधिक चांगली उपलब्धता कशामुळे मिळेल ते निवडावे लागेल - फायरवॉलसह सुरक्षा किंवा नियमित ACL वापरून स्विचेस (किंवा विविध प्रकारच्या फॅब्रिक्स) वर तयार केलेल्या नेटवर्कची साधेपणा.

वरील उदाहरणांच्या बाबतीत, तुम्हाला बहुधा (नेहमीप्रमाणे) तडजोड शोधावी लागेल. खालील उपायांकडे लक्ष द्या:

• जर तुम्ही डेटा सेंटरमध्ये फायरवॉल न वापरण्याचे ठरवले असेल, तर तुम्हाला शक्य तितक्या परिमितीच्या आसपास प्रवेश कसा मर्यादित करायचा याचा विचार करणे आवश्यक आहे. उदाहरणार्थ, आपण इंटरनेटवरून फक्त आवश्यक पोर्ट उघडू शकता (क्लायंट रहदारीसाठी) आणि फक्त जंप होस्टमधून डेटा सेंटरमध्ये प्रशासकीय प्रवेश करू शकता. जंप होस्टवर, सर्व आवश्यक तपासण्या करा (प्रमाणीकरण/अधिकृतीकरण, अँटीव्हायरस, लॉगिंग, ...)
• PSEFABRIC मध्ये वर्णन केलेल्या योजनेप्रमाणे तुम्ही डेटा सेंटर नेटवर्कचे तार्किक विभाजन विभागांमध्ये वापरू शकता उदाहरण p002. या प्रकरणात, राउटिंग अशा प्रकारे कॉन्फिगर केले जाणे आवश्यक आहे की विलंब-संवेदनशील किंवा उच्च-तीव्रतेची रहदारी एका विभागात "आत" जाईल (p002, VRF च्या बाबतीत) आणि फायरवॉलमधून जात नाही. फायरवॉलमधून वेगवेगळ्या विभागांमधील वाहतूक सुरू राहील. फायरवॉलद्वारे रहदारीचे पुनर्निर्देशन टाळण्यासाठी तुम्ही VRF मध्ये गळतीचा मार्ग देखील वापरू शकता
• तुम्ही पारदर्शक मोडमध्ये फायरवॉल देखील वापरू शकता आणि फक्त त्या VLAN साठी जेथे हे घटक (लेटन्सी/कामगिरी) लक्षणीय नाहीत. परंतु आपण प्रत्येक विक्रेत्यासाठी या मोडच्या वापराशी संबंधित निर्बंधांचा काळजीपूर्वक अभ्यास करणे आवश्यक आहे
• तुम्ही सर्व्हिस चेन आर्किटेक्चर वापरण्याचा विचार करू शकता. हे फक्त आवश्यक रहदारी फायरवॉलमधून जाऊ देईल. सिद्धांतानुसार छान दिसते, परंतु मी उत्पादनात हे समाधान कधीही पाहिले नाही. आम्ही सुमारे 5 वर्षांपूर्वी Cisco ACI/Juniper SRX/F3 LTM साठी सेवा साखळीची चाचणी केली होती, परंतु त्या वेळी हे समाधान आम्हाला "अपुष्ट" वाटले.

संरक्षण पातळी

रहदारी फिल्टर करण्यासाठी आपण कोणती साधने वापरू इच्छिता या प्रश्नाचे उत्तर आता आपल्याला आवश्यक आहे. येथे काही वैशिष्ट्ये आहेत जी सहसा NGFW मध्ये असतात (उदाहरणार्थ, येथे):

• स्टेटफुल फायरवॉलिंग (डिफॉल्ट)
• अनुप्रयोग फायरवॉलिंग
• धोका प्रतिबंध (अँटीव्हायरस, अँटी-स्पायवेअर आणि असुरक्षा)
• URL फिल्टरिंग
• डेटा फिल्टरिंग (सामग्री फिल्टरिंग)
• फाइल ब्लॉकिंग (फाइल प्रकार ब्लॉकिंग)
• dos संरक्षण

आणि सर्व काही स्पष्ट नाही. असे दिसते की संरक्षणाची पातळी जितकी जास्त असेल तितके चांगले. पण याचाही विचार करायला हवा

• वरीलपैकी अधिक फायरवॉल फंक्शन्स तुम्ही वापरता, ते नैसर्गिकरित्या अधिक महाग होईल (परवाना, अतिरिक्त मॉड्यूल)
• काही अल्गोरिदमचा वापर लक्षणीयरीत्या फायरवॉल थ्रुपुट कमी करू शकतो आणि विलंब देखील वाढवू शकतो, उदाहरणार्थ पहा येथे
• कोणत्याही जटिल सोल्यूशनप्रमाणे, जटिल संरक्षण पद्धतींचा वापर आपल्या सोल्यूशनची विश्वासार्हता कमी करू शकतो, उदाहरणार्थ, ऍप्लिकेशन फायरवॉलिंग वापरताना, मला काही मानक कार्यरत ऍप्लिकेशन्स (dns, smb) अवरोधित करणे आले.

नेहमीप्रमाणे, तुम्हाला तुमच्या नेटवर्कसाठी सर्वोत्तम उपाय शोधण्याची आवश्यकता आहे.

कोणत्या संरक्षण कार्यांची आवश्यकता असू शकते या प्रश्नाचे निश्चितपणे उत्तर देणे अशक्य आहे. प्रथम, कारण ते अर्थातच तुम्ही प्रसारित करत असलेल्या किंवा संचयित करत असलेल्या आणि संरक्षित करण्याचा प्रयत्न करत असलेल्या डेटावर अवलंबून आहे. दुसरे म्हणजे, प्रत्यक्षात, अनेकदा सुरक्षा साधनांची निवड ही विक्रेत्यावरील विश्वासाची आणि विश्वासाची बाब असते. तुम्हाला अल्गोरिदम माहीत नाहीत, ते किती प्रभावी आहेत हे तुम्हाला माहीत नाही आणि तुम्ही त्यांची पूर्णपणे चाचणी करू शकत नाही.

म्हणून, गंभीर विभागांमध्ये, विविध कंपन्यांकडून ऑफर वापरणे हा एक चांगला उपाय असू शकतो. उदाहरणार्थ, तुम्ही फायरवॉलवर अँटीव्हायरस सक्षम करू शकता, परंतु होस्टवर स्थानिक पातळीवर अँटीव्हायरस संरक्षण (दुसऱ्या निर्मात्याकडून) देखील वापरू शकता.

सेगमेंटेशन

आम्ही डेटा सेंटर नेटवर्कच्या तार्किक विभाजनाबद्दल बोलत आहोत. उदाहरणार्थ, व्हीएलएएन आणि सबनेटमध्ये विभाजन करणे हे देखील तार्किक विभाजन आहे, परंतु त्याच्या स्पष्टतेमुळे आम्ही त्याचा विचार करणार नाही. FW सुरक्षा क्षेत्रे, VRF (आणि विविध विक्रेत्यांशी संबंधित त्यांचे analogues), लॉजिकल उपकरणे (PA VSYS, Cisco N7K VDC, Cisco ACI भाडेकरू, ...), ... यांसारख्या घटकांचा विचार करून मनोरंजक विभागणी.

अशा तार्किक विभाजनाचे उदाहरण आणि सध्या मागणी असलेल्या डेटा सेंटर डिझाइनमध्ये दिले आहे PSEFABRIC प्रकल्पाचा p002.

तुमच्या नेटवर्कचे तार्किक भाग परिभाषित केल्यावर, तुम्ही वेगवेगळ्या विभागांमध्ये रहदारी कशी फिरते, कोणत्या डिव्हाइसेसवर फिल्टरिंग केले जाईल आणि कोणत्या माध्यमाने केले जाईल याचे वर्णन करू शकता.

जर तुमच्या नेटवर्कमध्ये स्पष्ट तार्किक विभाजन नसेल आणि भिन्न डेटा प्रवाहांसाठी सुरक्षा धोरणे लागू करण्याचे नियम औपचारिक केले नसतील, तर याचा अर्थ असा की जेव्हा तुम्ही हे किंवा ते प्रवेश उघडता तेव्हा तुम्हाला या समस्येचे निराकरण करण्यास भाग पाडले जाते आणि उच्च संभाव्यतेसह तुम्ही प्रत्येक वेळी वेगळ्या पद्धतीने सोडवेल.

बहुतेकदा विभाजन केवळ FW सुरक्षा क्षेत्रांवर आधारित असते. मग आपल्याला खालील प्रश्नांची उत्तरे देण्याची आवश्यकता आहे:

• तुम्हाला कोणत्या सुरक्षा क्षेत्रांची आवश्यकता आहे
• या प्रत्येक झोनसाठी तुम्हाला कोणत्या स्तराचे संरक्षण लागू करायचे आहे
• इंट्रा-झोन रहदारीला डीफॉल्टनुसार परवानगी दिली जाईल का?
• नसल्यास, प्रत्येक झोनमध्ये कोणती वाहतूक फिल्टरिंग धोरणे लागू केली जातील
• प्रत्येक झोन (स्रोत/गंतव्य) साठी कोणती रहदारी फिल्टरिंग धोरणे लागू केली जातील

टीसीएएम

रूटिंग आणि ऍक्सेससाठी अपुरी TCAM (टर्नरी कंटेंट अॅड्रेसेबल मेमरी) ही एक सामान्य समस्या आहे. IMHO, उपकरणे निवडताना ही सर्वात महत्वाची समस्या आहे, म्हणून तुम्हाला या समस्येवर योग्य प्रमाणात काळजी घेणे आवश्यक आहे.

उदाहरण 1. फॉरवर्डिंग टेबल TCAM.

चला विचार करूया पालो अल्टो 7k फायरवॉल
आम्ही पाहतो की IPv4 फॉरवर्डिंग टेबल आकार* = 32K
शिवाय, मार्गांची ही संख्या सर्व VSYS साठी सामान्य आहे.

समजा तुमच्या रचनेनुसार तुम्ही 4 VSYS वापरण्याचे ठरवले आहे.
यापैकी प्रत्येक VSYS BGP द्वारे तुम्ही BB म्हणून वापरत असलेल्या क्लाउडच्या दोन MPLS PE ला जोडलेले आहे. अशा प्रकारे, 4 VSYS सर्व विशिष्ट मार्गांची एकमेकांशी देवाणघेवाण करतात आणि अंदाजे समान मार्गांच्या संचांसह (परंतु भिन्न NHs) फॉरवर्डिंग टेबल असते. कारण प्रत्येक VSYS मध्ये 2 BGP सत्रे आहेत (समान सेटिंग्जसह), नंतर MPLS द्वारे प्राप्त झालेल्या प्रत्येक मार्गावर 2 NH आहेत आणि त्यानुसार, फॉरवर्डिंग टेबलमध्ये 2 FIB नोंदी आहेत. जर आपण असे गृहीत धरले की डेटा सेंटरमधील ही एकमेव फायरवॉल आहे आणि त्यास सर्व मार्गांची माहिती असणे आवश्यक आहे, तर याचा अर्थ असा होईल की आमच्या डेटा सेंटरमधील एकूण मार्गांची संख्या 32K/(4 * 2) = 4K पेक्षा जास्त असू शकत नाही.

आता, जर आम्ही असे गृहीत धरले की आमच्याकडे 2 डेटा सेंटर्स आहेत (त्याच डिझाइनसह), आणि आम्हाला डेटा सेंटर्समध्ये (उदाहरणार्थ, vMotion साठी) व्हीएलएएन “स्ट्रेच्ड” वापरायचे आहेत, तर रूटिंग समस्येचे निराकरण करण्यासाठी, आम्ही होस्ट रूट्स वापरणे आवश्यक आहे. . परंतु याचा अर्थ असा की 2 डेटा सेंटरसाठी आमच्याकडे 4096 पेक्षा जास्त संभाव्य होस्ट नसतील आणि अर्थातच हे पुरेसे नसेल.

उदाहरण 2. ACL TCAM.

आपण L3 स्विचेस (किंवा L3 स्विचेस वापरणारे इतर उपाय, उदाहरणार्थ, सिस्को ACI) वर रहदारी फिल्टर करण्याची योजना आखत असल्यास, उपकरणे निवडताना आपण TCAM ACL कडे लक्ष दिले पाहिजे.

समजा तुम्हाला Cisco Catalyst 4500 च्या SVI इंटरफेसवर ऍक्सेस नियंत्रित करायचा आहे. नंतर, जसे की येथून पाहिले जाऊ शकते. हा लेख, इंटरफेसवरील आउटगोइंग (तसेच इनकमिंग) रहदारी नियंत्रित करण्यासाठी, तुम्ही फक्त 4096 TCAM ओळी वापरू शकता. जे TCAM3 वापरताना तुम्हाला सुमारे 4000 हजार ACEs (ACL लाइन्स) देईल.

जर तुम्हाला अपुर्‍या टीसीएएमची समस्या भेडसावत असेल, तर सर्व प्रथम, अर्थातच, तुम्हाला ऑप्टिमायझेशनची शक्यता विचारात घेणे आवश्यक आहे. म्हणून, फॉरवर्डिंग टेबलच्या आकारात समस्या असल्यास, आपल्याला एकत्रित मार्गांची शक्यता विचारात घेणे आवश्यक आहे. प्रवेशासाठी TCAM आकारात समस्या असल्यास, ऑडिट अॅक्सेस, कालबाह्य आणि ओव्हरलॅपिंग रेकॉर्ड काढून टाका आणि शक्यतो ऍक्सेसेस उघडण्याच्या प्रक्रियेत सुधारणा करा (ऑडिटिंग ऍक्सेसेसच्या प्रकरणामध्ये तपशीलवार चर्चा केली जाईल).

उच्च उपलब्धता

प्रश्न असा आहे: मी फायरवॉलसाठी HA वापरावे किंवा "समांतर" दोन स्वतंत्र बॉक्स स्थापित करावे आणि त्यापैकी एक अयशस्वी झाल्यास, दुसऱ्या मार्गाने रहदारी मार्गी लावावी?

असे दिसते की उत्तर स्पष्ट आहे - HA वापरा. हा प्रश्न अजूनही उद्भवण्याचे कारण म्हणजे, दुर्दैवाने, सैद्धांतिक आणि जाहिरात 99 आणि व्यवहारात प्रवेशयोग्यतेची अनेक दशांश टक्केवारी इतकी गुलाबी नाही. HA ही तार्किकदृष्ट्या खूपच गुंतागुंतीची गोष्ट आहे आणि भिन्न उपकरणांवर आणि भिन्न विक्रेत्यांसह (कोणतेही अपवाद नव्हते), आम्ही समस्या आणि बग आणि सेवा थांबवल्या.

जर तुम्ही HA वापरत असाल, तर तुम्हाला वैयक्तिक नोड्स बंद करण्याची, सेवा न थांबवता त्यांच्यामध्ये स्विच करण्याची संधी असेल, जे महत्त्वाचे आहे, उदाहरणार्थ, अपग्रेड करताना, परंतु त्याच वेळी तुमच्याकडे दोन्ही नोड्सची शून्य शक्यता आहे. त्याच वेळी खंडित होईल, आणि हे देखील की पुढील अपग्रेड विक्रेत्याच्या आश्वासनाप्रमाणे सहजतेने होणार नाही (आपल्याला प्रयोगशाळेच्या उपकरणांवर अपग्रेडची चाचणी घेण्याची संधी असल्यास ही समस्या टाळता येईल).

जर तुम्ही HA वापरत नसाल, तर दुहेरी अपयशाच्या दृष्टिकोनातून तुमचे धोके खूपच कमी आहेत (तुमच्याकडे 2 स्वतंत्र फायरवॉल असल्याने), पण... सत्रे सिंक्रोनाइझ केली जात नाहीत, मग प्रत्येक वेळी तुम्ही या फायरवॉलमध्ये स्विच कराल तेव्हा तुम्ही रहदारी गमावाल. तुम्ही अर्थातच, स्टेटलेस फायरवॉल वापरू शकता, परंतु नंतर फायरवॉल वापरण्याचा मुद्दा मोठ्या प्रमाणात गमावला आहे.

म्हणूनच, जर ऑडिटच्या परिणामी तुम्हाला एकाकी फायरवॉल सापडले असतील आणि तुम्ही तुमच्या नेटवर्कची विश्वासार्हता वाढविण्याचा विचार करत असाल, तर HA अर्थातच शिफारस केलेल्या उपायांपैकी एक आहे, परंतु तुम्ही संबंधित तोटे देखील विचारात घेतले पाहिजेत. या दृष्टिकोनासह आणि कदाचित, विशेषतः आपल्या नेटवर्कसाठी, दुसरा उपाय अधिक योग्य असेल.

व्यवस्थापनक्षमता

तत्वतः, HA हे नियंत्रणक्षमतेबद्दल देखील आहे. 2 बॉक्सेस स्वतंत्रपणे कॉन्फिगर करण्याऐवजी आणि कॉन्फिगरेशन समक्रमित ठेवण्याच्या समस्येला सामोरे जाण्याऐवजी, तुम्ही ते व्यवस्थापित करता जसे की तुमच्याकडे एक डिव्हाइस आहे.

परंतु कदाचित तुमच्याकडे अनेक डेटा सेंटर्स आणि अनेक फायरवॉल असतील, तर हा प्रश्न नवीन स्तरावर उद्भवतो. आणि प्रश्न केवळ कॉन्फिगरेशनबद्दलच नाही तर त्याबद्दल देखील आहे

• बॅकअप कॉन्फिगरेशन
• अद्यतने
• सुधारणा
• देखरेख
• लॉगिंग

आणि हे सर्व केंद्रीकृत व्यवस्थापन प्रणालीद्वारे सोडवले जाऊ शकते.

तर, उदाहरणार्थ, जर तुम्ही पालो अल्टो फायरवॉल वापरत असाल तर पॅनोरमा असा उपाय आहे.

चालू ठेवण्यासाठी

स्त्रोत: www.habr.com