तुमच्या नेटवर्क इन्फ्रास्ट्रक्चरवर नियंत्रण कसे मिळवायचे. अध्याय तिसरा. नेटवर्क सुरक्षा. भाग तीन

हा लेख "तुमच्या नेटवर्क इन्फ्रास्ट्रक्चरचे नियंत्रण कसे करावे" या मालिकेतील पाचवा आहे. मालिकेतील सर्व लेखांचा मजकूर आणि लिंक्स मिळू शकतात येथे.

हा भाग कॅम्पस (ऑफिस) आणि रिमोट ऍक्सेस VPN विभागांना समर्पित केला जाईल.

ऑफिस नेटवर्क डिझाइन सोपे वाटू शकते.

खरंच, आम्ही L2/L3 स्विच घेतो आणि त्यांना एकमेकांशी जोडतो. पुढे, आम्ही व्हिलान्स आणि डीफॉल्ट गेटवेचे मूलभूत सेटअप पार पाडतो, साधे राउटिंग सेट करतो, वायफाय कंट्रोलर्स कनेक्ट करतो, ऍक्सेस पॉइंट्स, रिमोट ऍक्सेससाठी एएसए स्थापित आणि कॉन्फिगर करतो, आम्हाला आनंद झाला की सर्वकाही कार्य केले. मुळात, मी आधीच मागील एक लिहिले म्हणून लेख या चक्रात, दूरसंचार अभ्यासक्रमाच्या दोन सेमिस्टरमध्ये उपस्थित असलेला (आणि शिकलेला) जवळजवळ प्रत्येक विद्यार्थी ऑफिस नेटवर्क डिझाइन आणि कॉन्फिगर करू शकतो जेणेकरून ते “कसे तरी चालेल.”

परंतु तुम्ही जितके अधिक शिकता तितके हे कार्य कमी सोपे वाटू लागते. माझ्यासाठी वैयक्तिकरित्या, हा विषय, ऑफिस नेटवर्क डिझाइनचा विषय, अजिबात सोपा वाटत नाही आणि या लेखात मी का ते स्पष्ट करण्याचा प्रयत्न करेन.

थोडक्यात, विचारात घेण्यासारखे बरेच घटक आहेत. अनेकदा हे घटक एकमेकांशी संघर्षात असतात आणि वाजवी तडजोड करावी लागते.
ही अनिश्चितता ही मुख्य अडचण आहे. म्हणून, सुरक्षिततेबद्दल बोलणे, आमच्याकडे तीन शिरोबिंदू असलेला त्रिकोण आहे: सुरक्षा, कर्मचाऱ्यांची सोय, समाधानाची किंमत.
आणि प्रत्येक वेळी तुम्हाला या तिघांमध्ये तडजोड शोधावी लागेल.

आर्किटेक्चर

या दोन विभागांसाठी आर्किटेक्चरचे उदाहरण म्हणून, मागील लेखांप्रमाणे, मी शिफारस करतो सिस्को सेफ मॉडेल: एंटरप्राइझ कॅम्पस, एंटरप्राइझ इंटरनेट एज.

ही काहीशी जुनी कागदपत्रे आहेत. मी ते येथे सादर केले कारण मूलभूत योजना आणि दृष्टिकोन बदललेला नाही, परंतु त्याच वेळी मला सादरीकरणापेक्षा अधिक आवडते नवीन दस्तऐवजीकरण.

सिस्को सोल्यूशन्स वापरण्यासाठी तुम्हाला प्रोत्साहन न देता, मला अजूनही वाटते की या डिझाइनचा काळजीपूर्वक अभ्यास करणे उपयुक्त आहे.

हा लेख, नेहमीप्रमाणे, कोणत्याही प्रकारे पूर्ण असल्याचे भासवत नाही, परंतु या माहितीत भर घालणारा आहे.

लेखाच्या शेवटी, आम्ही येथे वर्णन केलेल्या संकल्पनांच्या संदर्भात Cisco SAFE ऑफिस डिझाइनचे विश्लेषण करू.

सामान्य तत्त्वे

ऑफिस नेटवर्कचे डिझाइन अर्थातच, चर्चा केलेल्या सामान्य आवश्यकता पूर्ण करणे आवश्यक आहे येथे "डिझाइन गुणवत्तेचे मूल्यांकन करण्यासाठी निकष" या प्रकरणात. किंमत आणि सुरक्षितता याशिवाय, ज्याची आम्ही या लेखात चर्चा करू इच्छितो, असे तीन निकष आहेत जे आम्ही डिझाइन करताना (किंवा बदल करताना) विचारात घेतले पाहिजेत:

• स्केलेबिलिटी
• वापरण्यास सुलभता (व्यवस्थापनक्षमता)
• उपलब्धता

बरीचशी चर्चा कशासाठी झाली डेटा केंद्रे हे कार्यालयासाठी देखील खरे आहे.

परंतु तरीही, ऑफिस विभागाची स्वतःची वैशिष्ट्ये आहेत, जी सुरक्षिततेच्या दृष्टिकोनातून गंभीर आहेत. या विशिष्टतेचा सार असा आहे की हा विभाग कंपनीच्या कर्मचाऱ्यांना (तसेच भागीदार आणि अतिथी) नेटवर्क सेवा प्रदान करण्यासाठी तयार केला गेला आहे आणि परिणामी, समस्येच्या उच्च स्तरावर विचारात घेण्यासाठी आमच्याकडे दोन कार्ये आहेत:

• कर्मचाऱ्यांकडून (अतिथी, भागीदार) आणि ते वापरत असलेल्या सॉफ्टवेअरकडून येऊ शकणाऱ्या दुर्भावनापूर्ण कृतींपासून कंपनीच्या संसाधनांचे संरक्षण करा. यामध्ये नेटवर्कशी अनधिकृत कनेक्शनपासून संरक्षण देखील समाविष्ट आहे.
• सिस्टम आणि वापरकर्ता डेटा संरक्षित करा

आणि ही समस्येची फक्त एक बाजू आहे (किंवा त्याऐवजी, त्रिकोणाचा एक शिरोबिंदू). दुसऱ्या बाजूला वापरकर्त्याची सोय आणि वापरलेल्या सोल्यूशन्सची किंमत आहे.

आधुनिक ऑफिस नेटवर्ककडून वापरकर्त्याला काय अपेक्षित आहे ते बघून सुरुवात करूया.

सुविधा

माझ्या मते ऑफिस वापरकर्त्यासाठी "नेटवर्क सुविधा" कशा दिसतात:

• गतिशीलता
• परिचित डिव्हाइसेस आणि ऑपरेटिंग सिस्टमची संपूर्ण श्रेणी वापरण्याची क्षमता
• सर्व आवश्यक कंपनी संसाधनांमध्ये सहज प्रवेश
• विविध क्लाउड सेवांसह इंटरनेट संसाधनांची उपलब्धता
• नेटवर्कचे "जलद ऑपरेशन".

हे सर्व कर्मचारी आणि पाहुणे (किंवा भागीदार) दोघांनाही लागू होते आणि अधिकृततेच्या आधारावर वेगवेगळ्या वापरकर्ता गटांसाठी प्रवेश वेगळे करणे हे कंपनीच्या अभियंत्यांचे कार्य आहे.

चला या प्रत्येक पैलूकडे थोडे अधिक तपशीलवार पाहू.

गतिशीलता

आम्ही जगातील कोठूनही (अर्थातच, जिथे इंटरनेट उपलब्ध आहे) कंपनीची सर्व आवश्यक संसाधने काम करण्याच्या आणि वापरण्याच्या संधीबद्दल बोलत आहोत.

हे कार्यालयाला पूर्णपणे लागू होते. जेव्हा तुम्हाला ऑफिसमध्ये कुठूनही काम सुरू ठेवण्याची संधी असते, उदाहरणार्थ, मेल प्राप्त करणे, कॉर्पोरेट मेसेंजरमध्ये संप्रेषण करणे, व्हिडिओ कॉलसाठी उपलब्ध असणे, ... अशा प्रकारे, हे तुम्हाला एकीकडे, अनुमती देते, काही समस्यांचे निराकरण करण्यासाठी "लाइव्ह" संप्रेषण (उदाहरणार्थ, रॅलीमध्ये सहभागी व्हा), आणि दुसरीकडे, नेहमी ऑनलाइन रहा, नाडीवर बोट ठेवा आणि काही तातडीची उच्च-प्राधान्य कार्ये त्वरित सोडवा. हे खूप सोयीस्कर आहे आणि खरोखर संप्रेषणाची गुणवत्ता सुधारते.

हे योग्य वायफाय नेटवर्क डिझाइनद्वारे प्राप्त केले जाते.

टीप

येथे सामान्यतः प्रश्न उद्भवतो: केवळ वायफाय वापरणे पुरेसे आहे का? याचा अर्थ तुम्ही ऑफिसमध्ये इथरनेट पोर्ट वापरणे थांबवू शकता का? जर आम्ही फक्त वापरकर्त्यांबद्दल बोलत आहोत, आणि सर्व्हरबद्दल नाही, जे अद्याप नियमित इथरनेट पोर्टशी कनेक्ट होण्यास वाजवी आहेत, तर सर्वसाधारणपणे उत्तर आहे: होय, तुम्ही स्वतःला केवळ वायफायवर मर्यादित करू शकता. पण बारकावे आहेत.

असे महत्त्वाचे वापरकर्ता गट आहेत ज्यांना स्वतंत्र दृष्टीकोन आवश्यक आहे. हे अर्थातच प्रशासक आहेत. तत्वतः, वायफाय कनेक्शन कमी विश्वासार्ह (रहदारीच्या नुकसानाच्या दृष्टीने) आणि नियमित इथरनेट पोर्टपेक्षा कमी आहे. प्रशासकांसाठी हे महत्त्वपूर्ण असू शकते. याव्यतिरिक्त, नेटवर्क प्रशासक, उदाहरणार्थ, तत्त्वतः, आउट-ऑफ-बँड कनेक्शनसाठी त्यांचे स्वतःचे समर्पित इथरनेट नेटवर्क असू शकतात.

तुमच्या कंपनीमध्ये इतर गट/विभाग असू शकतात ज्यासाठी हे घटक देखील महत्त्वाचे आहेत.

आणखी एक महत्त्वाचा मुद्दा आहे - टेलिफोनी. कदाचित काही कारणास्तव आपण वायरलेस VoIP वापरू इच्छित नाही आणि नियमित इथरनेट कनेक्शनसह IP फोन वापरू इच्छित आहात.

सर्वसाधारणपणे, मी ज्या कंपन्यांसाठी काम केले त्यांच्याकडे वायफाय कनेक्टिव्हिटी आणि इथरनेट पोर्ट दोन्ही होते.

मला गतिशीलता फक्त कार्यालयापुरती मर्यादित न ठेवता आवडेल.

घरून काम करण्याची क्षमता सुनिश्चित करण्यासाठी (किंवा प्रवेशयोग्य इंटरनेटसह इतर कोणत्याही ठिकाणी), VPN कनेक्शन वापरले जाते. त्याच वेळी, कर्मचार्यांना घरून काम करणे आणि रिमोट वर्कमध्ये फरक जाणवत नाही, जे समान प्रवेश गृहीत धरते हे इष्ट आहे. "युनिफाइड सेंट्रलाइज ऑथेंटिकेशन अँड ऑथरायझेशन सिस्टीम" या अध्यायात आम्ही हे कसे आयोजित करावे याबद्दल थोड्या वेळाने चर्चा करू.

टीप

बहुधा, तुम्ही ऑफिसमध्ये असलेल्या रिमोट कामासाठी समान दर्जाची सेवा पूर्णपणे प्रदान करू शकणार नाही. समजू की तुम्ही सिस्को एएसए 5520 तुमचा VPN गेटवे म्हणून वापरत आहात माहिती पत्रक हे उपकरण फक्त 225 Mbit VPN रहदारी “पचवण्यास” सक्षम आहे. अर्थात, बँडविड्थच्या बाबतीत, VPN द्वारे कनेक्ट करणे हे ऑफिसमधून काम करण्यापेक्षा खूप वेगळे आहे. तसेच, काही कारणास्तव, तुमच्या नेटवर्क सेवांसाठी विलंब, तोटा, गोंधळ (उदाहरणार्थ, तुम्हाला ऑफिस आयपी टेलिफोनी वापरायचे आहे) लक्षणीय असल्यास, तुम्ही ऑफिसमध्ये असता तशी गुणवत्ता देखील तुम्हाला मिळणार नाही. म्हणूनच, गतिशीलतेबद्दल बोलताना, आपण संभाव्य मर्यादांबद्दल जागरूक असले पाहिजे.

कंपनीच्या सर्व संसाधनांमध्ये सहज प्रवेश

हे काम इतर तांत्रिक विभागांसह एकत्रितपणे सोडवले पाहिजे.
आदर्श परिस्थिती अशी असते जेव्हा वापरकर्त्याला फक्त एकदाच प्रमाणीकरण करावे लागते आणि त्यानंतर त्याला सर्व आवश्यक संसाधनांमध्ये प्रवेश असतो.
सुरक्षिततेचा त्याग न करता सहज प्रवेश प्रदान केल्याने उत्पादकता लक्षणीयरीत्या सुधारू शकते आणि तुमच्या सहकाऱ्यांमधील तणाव कमी होऊ शकतो.

टिप्पणी 1

तुम्हाला किती वेळा पासवर्ड एंटर करायचा आहे यावरून सहज प्रवेश मिळत नाही. जर, उदाहरणार्थ, तुमच्या सुरक्षा धोरणानुसार, ऑफिसमधून डेटा सेंटरशी कनेक्ट होण्यासाठी, तुम्ही प्रथम व्हीपीएन गेटवेशी कनेक्ट केले पाहिजे आणि त्याच वेळी तुम्ही ऑफिसच्या संसाधनांमध्ये प्रवेश गमावला, तर हे देखील खूप आहे. , खूप गैरसोयीचे.

टिप्पणी 2

अशा सेवा आहेत (उदाहरणार्थ, नेटवर्क उपकरणांमध्ये प्रवेश) जिथे आमच्याकडे सहसा आमचे स्वतःचे समर्पित AAA सर्व्हर असतात आणि या प्रकरणात आम्हाला अनेक वेळा प्रमाणीकरण करावे लागते तेव्हा हे सर्वसामान्य प्रमाण आहे.

इंटरनेट संसाधनांची उपलब्धता

इंटरनेट हे केवळ मनोरंजनच नाही तर सेवांचा एक संच आहे जो कामासाठी खूप उपयुक्त ठरू शकतो. पूर्णपणे मानसिक घटक देखील आहेत. आधुनिक व्यक्ती अनेक आभासी धाग्यांद्वारे इंटरनेटद्वारे इतर लोकांशी जोडली जाते आणि माझ्या मते, काम करत असतानाही त्याला हे कनेक्शन जाणवत राहिल्यास त्यात काहीही गैर नाही.

वेळ वाया घालवण्याच्या दृष्टिकोनातून, जर एखादा कर्मचारी, उदाहरणार्थ, स्काईप चालवत असेल आणि आवश्यक असल्यास एखाद्या प्रिय व्यक्तीशी संप्रेषण करण्यासाठी 5 मिनिटे घालवत असेल तर काहीही चुकीचे नाही.

याचा अर्थ असा आहे की इंटरनेट नेहमी उपलब्ध असले पाहिजे, याचा अर्थ असा आहे की कर्मचार्यांना सर्व संसाधनांमध्ये प्रवेश असू शकतो आणि ते कोणत्याही प्रकारे नियंत्रित करू शकत नाहीत?

नाही याचा अर्थ असा नाही, अर्थातच. इंटरनेटच्या मोकळेपणाची पातळी वेगवेगळ्या कंपन्यांसाठी बदलू शकते - पूर्ण बंद होण्यापासून ते पूर्ण मोकळेपणापर्यंत. आम्ही सुरक्षा उपायांवरील विभागांमध्ये नंतर रहदारी नियंत्रित करण्याच्या मार्गांवर चर्चा करू.

परिचित उपकरणांची संपूर्ण श्रेणी वापरण्याची क्षमता

हे सोयीस्कर असते जेव्हा, उदाहरणार्थ, तुम्हाला कामावर वापरलेली सर्व संप्रेषणाची साधने वापरणे सुरू ठेवण्याची संधी असते. तांत्रिकदृष्ट्या याची अंमलबजावणी करण्यात कोणतीही अडचण नाही. यासाठी तुम्हाला वायफाय आणि गेस्ट विलन आवश्यक आहे.

तुम्ही वापरलेली ऑपरेटिंग सिस्टीम वापरण्याची संधी असल्यास ते देखील चांगले आहे. परंतु, माझ्या निरीक्षणानुसार, हे सहसा फक्त व्यवस्थापक, प्रशासक आणि विकासकांना परवानगी असते.

उदाहरण:

तुम्ही अर्थातच, प्रतिबंधांचा मार्ग अवलंबू शकता, रिमोट ऍक्सेस प्रतिबंधित करू शकता, मोबाइल डिव्हाइसवरून कनेक्ट करण्यास मनाई करू शकता, सर्व काही स्थिर इथरनेट कनेक्शनवर मर्यादित करू शकता, इंटरनेटवर प्रवेश मर्यादित करू शकता, चेकपॉईंटवर सेल फोन आणि गॅझेट अनिवार्यपणे जप्त करू शकता... आणि हा मार्ग प्रत्यक्षात काही संस्थांनी वाढीव सुरक्षा आवश्यकतांसह अनुसरण केले आहे, आणि कदाचित काही प्रकरणांमध्ये हे न्याय्य असू शकते, परंतु... तुम्ही हे मान्य केले पाहिजे की हे एकाच संस्थेतील प्रगती थांबवण्याचा प्रयत्न आहे असे दिसते. अर्थात, मी आधुनिक तंत्रज्ञान पुरेशा सुरक्षिततेसह प्रदान केलेल्या संधींना एकत्र करू इच्छितो.

नेटवर्कचे "जलद ऑपरेशन".

डेटा ट्रान्सफर स्पीडमध्ये तांत्रिकदृष्ट्या अनेक घटक असतात. आणि तुमच्या कनेक्शन पोर्टची गती सहसा सर्वात महत्वाची नसते. ऍप्लिकेशनचे धीमे ऑपरेशन नेहमीच नेटवर्क समस्यांशी संबंधित नसते, परंतु सध्या आम्हाला फक्त नेटवर्क भागामध्ये रस आहे. स्थानिक नेटवर्क "स्लोडाउन" ची सर्वात सामान्य समस्या पॅकेट गमावण्याशी संबंधित आहे. जेव्हा एखादी अडचण किंवा L1 (OSI) समस्या असते तेव्हा हे सहसा घडते. कमी सामान्यपणे, काही डिझाईन्ससह (उदाहरणार्थ, जेव्हा तुमच्या सबनेटमध्ये डीफॉल्ट गेटवे म्हणून फायरवॉल असते आणि त्यामुळे सर्व ट्रॅफिक त्यामधून जाते), हार्डवेअर कार्यक्षमतेची कमतरता असू शकते.

म्हणून, उपकरणे आणि आर्किटेक्चर निवडताना, आपल्याला शेवटचे पोर्ट, ट्रंक आणि उपकरणाच्या कार्यप्रदर्शनाची गती परस्परसंबंधित करणे आवश्यक आहे.

उदाहरण:

समजा तुम्ही 1 गिगाबिट पोर्ट असलेले स्विचेस ॲक्सेस लेयर स्विच म्हणून वापरत आहात. ते इथरचॅनेल 2 x 10 गीगाबिट्सद्वारे एकमेकांशी जोडलेले आहेत. डीफॉल्ट गेटवे म्हणून, तुम्ही गीगाबिट पोर्टसह फायरवॉल वापरता, ज्या L2 ऑफिस नेटवर्कशी तुम्ही 2 गिगाबिट पोर्ट वापरता ते इथरचॅनेलमध्ये जोडण्यासाठी.

हे आर्किटेक्चर कार्यक्षमतेच्या दृष्टिकोनातून अगदी सोयीचे आहे, कारण... सर्व ट्रॅफिक फायरवॉलमधून जाते, आणि तुम्ही सहजतेने प्रवेश धोरणे व्यवस्थापित करू शकता आणि रहदारी नियंत्रित करण्यासाठी आणि संभाव्य हल्ले रोखण्यासाठी जटिल अल्गोरिदम लागू करू शकता (खाली पहा), परंतु थ्रूपुट आणि कार्यक्षमतेच्या दृष्टिकोनातून या डिझाइनमध्ये अर्थातच संभाव्य समस्या आहेत. तर, उदाहरणार्थ, 2 होस्ट डेटा डाउनलोड करत आहेत (1 गीगाबिटच्या पोर्ट स्पीडसह) फायरवॉलवर 2 गीगाबिट कनेक्शन पूर्णपणे लोड करू शकतात आणि त्यामुळे संपूर्ण ऑफिस सेगमेंटसाठी सेवा खराब होऊ शकते.

आपण त्रिकोणाच्या एका शिरोबिंदूकडे पाहिले आहे, आता आपण सुरक्षितता कशी सुनिश्चित करू शकतो ते पाहू.

संरक्षणाचे साधन

त्यामुळे, अर्थातच, सहसा आमची इच्छा (किंवा त्याऐवजी, आमच्या व्यवस्थापनाची इच्छा) ही अशक्य गोष्ट साध्य करण्याची असते, म्हणजे, जास्तीत जास्त सुरक्षितता आणि किमान खर्चासह जास्तीत जास्त सुविधा प्रदान करणे.

संरक्षण देण्यासाठी कोणत्या पद्धती आहेत ते पाहूया.

ऑफिससाठी, मी खालील गोष्टी हायलाइट करेन:

• डिझाइनसाठी शून्य विश्वास दृष्टीकोन
• उच्च पातळीचे संरक्षण
• नेटवर्क दृश्यमानता
• एकीकृत केंद्रीकृत प्रमाणीकरण आणि अधिकृतता प्रणाली
• यजमान तपासणी

पुढे, आम्ही या प्रत्येक पैलूवर थोडे अधिक तपशीलवार राहू.

झिरो ट्रस्ट

आयटी जग खूप झपाट्याने बदलत आहे. गेल्या 10 वर्षांमध्ये, नवीन तंत्रज्ञान आणि उत्पादनांच्या उदयामुळे सुरक्षा संकल्पनांमध्ये मोठी सुधारणा झाली आहे. दहा वर्षांपूर्वी, सुरक्षेच्या दृष्टिकोनातून, आम्ही नेटवर्कचे ट्रस्ट, dmz आणि अविश्वास झोनमध्ये विभाजन केले आणि तथाकथित "परिमिती संरक्षण" वापरले, जेथे संरक्षणाच्या 2 ओळी होत्या: अविश्वास -> dmz आणि dmz -> विश्वास तसेच, संरक्षण सहसा L3/L4 (OSI) शीर्षलेख (IP, TCP/UDP पोर्ट, TCP ध्वज) वर आधारित प्रवेश सूचीपुरते मर्यादित होते. L7 सह उच्च स्तरांशी संबंधित सर्व काही, शेवटच्या होस्टवर स्थापित केलेल्या OS आणि सुरक्षा उत्पादनांवर सोडले होते.

आता परिस्थिती नाटकीय बदलली आहे. आधुनिक संकल्पना शून्य विश्वास या वस्तुस्थितीवरून येते की अंतर्गत प्रणालींचा विचार करणे आता शक्य नाही, म्हणजेच परिमितीच्या आत असलेल्या, विश्वासार्ह म्हणून, आणि परिमितीची संकल्पनाच अस्पष्ट झाली आहे.
आमच्याकडे इंटरनेट कनेक्शन व्यतिरिक्त आहे

• दूरस्थ प्रवेश VPN वापरकर्ते
• विविध वैयक्तिक गॅझेट्स, लॅपटॉप आणले, ऑफिस वायफायद्वारे कनेक्ट केले
• इतर (शाखा) कार्यालये
• क्लाउड इन्फ्रास्ट्रक्चरसह एकत्रीकरण

झिरो ट्रस्टचा दृष्टिकोन व्यवहारात कसा दिसतो?

तद्वतच, फक्त आवश्यक असलेल्या रहदारीला परवानगी दिली पाहिजे आणि जर आपण एखाद्या आदर्शाबद्दल बोलत असाल, तर नियंत्रण केवळ L3/L4 स्तरावरच नाही तर अनुप्रयोग स्तरावर असले पाहिजे.

उदाहरणार्थ, जर तुमच्याकडे फायरवॉलद्वारे सर्व रहदारी पास करण्याची क्षमता असेल तर तुम्ही आदर्शाच्या जवळ जाण्याचा प्रयत्न करू शकता. परंतु हा दृष्टिकोन आपल्या नेटवर्कची एकूण बँडविड्थ लक्षणीयरीत्या कमी करू शकतो आणि त्याशिवाय, अनुप्रयोगाद्वारे फिल्टर करणे नेहमीच चांगले कार्य करत नाही.

राउटर किंवा L3 स्विचवर रहदारी नियंत्रित करताना (मानक ACL वापरून), तुम्हाला इतर समस्या येतात:

• हे फक्त L3/L4 फिल्टरिंग आहे. आक्रमणकर्त्याला त्यांच्या ऍप्लिकेशनसाठी परवानगी असलेले पोर्ट (उदा. TCP 80) वापरण्यापासून रोखणारे काहीही नाही (http नाही)
• जटिल ACL व्यवस्थापन (ACL पार्स करणे कठीण)
• हे स्टेटफुल फायरवॉल नाही, म्हणजे तुम्हाला रिव्हर्स ट्रॅफिकला स्पष्टपणे परवानगी देणे आवश्यक आहे
• स्विचेससह तुम्ही सहसा टीसीएएमच्या आकाराने खूपच घट्ट मर्यादित असता, जर तुम्ही "फक्त तुम्हाला जे हवे आहे त्यास परवानगी द्या" असा दृष्टीकोन घेतल्यास त्वरीत समस्या होऊ शकते.

टीप

रिव्हर्स ट्रॅफिकबद्दल बोलताना, आपण हे लक्षात ठेवले पाहिजे की आपल्याकडे खालील संधी आहेत (सिस्को)

परवानगी द्या tcp कोणत्याही स्थापित

परंतु आपल्याला हे समजून घेणे आवश्यक आहे की ही ओळ दोन ओळींच्या समतुल्य आहे:
परवानगी tcp कोणत्याही ack
परवानगी tcp कोणत्याही पहिल्या

याचा अर्थ असा की जरी SYN ध्वजासह कोणताही प्रारंभिक TCP विभाग नसला तरीही (म्हणजे TCP सत्र स्थापित करणे देखील सुरू झाले नाही), हे ACL ACK ध्वजासह पॅकेटला अनुमती देईल, जो आक्रमणकर्ता डेटा हस्तांतरित करण्यासाठी वापरू शकतो.

म्हणजेच, ही ओळ कोणत्याही प्रकारे तुमचा राउटर किंवा L3 स्विच स्टेटफुल फायरवॉलमध्ये बदलत नाही.

उच्च पातळीचे संरक्षण

В लेख डेटा केंद्रांवरील विभागात, आम्ही खालील संरक्षण पद्धतींचा विचार केला.

• स्टेटफुल फायरवॉलिंग (डिफॉल्ट)
• ddos/dos संरक्षण
• अनुप्रयोग फायरवॉलिंग
• धोका प्रतिबंध (अँटीव्हायरस, अँटी-स्पायवेअर आणि असुरक्षा)
• URL फिल्टरिंग
• डेटा फिल्टरिंग (सामग्री फिल्टरिंग)
• फाइल ब्लॉकिंग (फाइल प्रकार ब्लॉकिंग)

कार्यालयाच्या बाबतीत, परिस्थिती सारखीच आहे, परंतु प्राधान्यक्रम थोडे वेगळे आहेत. ऑफिसची उपलब्धता (उपलब्धता) डेटा सेंटरच्या बाबतीत सामान्यतः तितकी गंभीर नसते, तर "अंतर्गत" दुर्भावनापूर्ण रहदारीची शक्यता जास्त प्रमाणात ऑर्डर असते.
म्हणून, या विभागासाठी खालील संरक्षण पद्धती गंभीर बनतात:

• अनुप्रयोग फायरवॉलिंग
• धोका प्रतिबंध (अँटी-व्हायरस, अँटी-स्पायवेअर आणि असुरक्षा)
• URL फिल्टरिंग
• डेटा फिल्टरिंग (सामग्री फिल्टरिंग)
• फाइल ब्लॉकिंग (फाइल प्रकार ब्लॉकिंग)

जरी या सर्व संरक्षण पद्धती, ऍप्लिकेशन फायरवॉलिंगचा अपवाद वगळता, पारंपारिकपणे शेवटच्या होस्टवर (उदाहरणार्थ, अँटीव्हायरस प्रोग्राम स्थापित करून) आणि प्रॉक्सी वापरून सोडवल्या जात असल्या तरी, आधुनिक NGFW देखील या सेवा प्रदान करतात.

सुरक्षा उपकरणे विक्रेते सर्वसमावेशक संरक्षण तयार करण्याचा प्रयत्न करतात, त्यामुळे स्थानिक संरक्षणासोबत ते होस्टसाठी (एंड पॉइंट प्रोटेक्शन/ईपीपी) विविध क्लाउड तंत्रज्ञान आणि क्लायंट सॉफ्टवेअर ऑफर करतात. तर, उदाहरणार्थ, पासून 2018 गार्टनर मॅजिक क्वाड्रंट आम्ही पाहतो की Palo Alto आणि Cisco यांचे स्वतःचे EPPs (PA: Traps, Cisco: AMP) आहेत, परंतु ते नेत्यांपासून दूर आहेत.

तुमच्या फायरवॉलवर ही सुरक्षा सक्षम करणे (सामान्यत: परवाने खरेदी करून) अनिवार्य नाही (तुम्ही पारंपारिक मार्गाने जाऊ शकता), परंतु ते काही फायदे देतात:

• या प्रकरणात, संरक्षण पद्धती लागू करण्याचा एकच मुद्दा आहे, जो दृश्यमानता सुधारतो (पुढील विषय पहा).
• तुमच्या नेटवर्कवर एखादे असुरक्षित डिव्हाइस असल्यास, तरीही ते फायरवॉल संरक्षणाच्या "छत्री" अंतर्गत येते.
• एंड-होस्ट संरक्षणासह फायरवॉल संरक्षण वापरून, आम्ही दुर्भावनापूर्ण रहदारी शोधण्याची शक्यता वाढवतो. उदाहरणार्थ, स्थानिक यजमानांवर आणि फायरवॉलवर धोक्याचा प्रतिबंध वापरल्याने शोध लागण्याची शक्यता वाढते (अर्थात, हे उपाय वेगवेगळ्या सॉफ्टवेअर उत्पादनांवर आधारित आहेत)

टीप

उदाहरणार्थ, आपण फायरवॉल आणि शेवटच्या होस्टवर अँटीव्हायरस म्हणून कॅस्परस्की वापरत असल्यास, हे अर्थातच, आपल्या नेटवर्कवर व्हायरस हल्ला रोखण्याची शक्यता मोठ्या प्रमाणात वाढवणार नाही.

नेटवर्क दृश्यमानता

मुख्य कल्पना सोपे आहे - रिअल टाइम आणि ऐतिहासिक डेटा दोन्हीमध्ये आपल्या नेटवर्कवर काय घडत आहे ते “पाहा”.

मी ही "दृष्टी" दोन गटांमध्ये विभागली आहे:

गट एक: तुमची मॉनिटरिंग सिस्टम तुम्हाला सहसा काय पुरवते.

• उपकरणे लोड करणे
• चॅनेल लोड करत आहे
• मेमरी वापर
• डिस्क वापर
• राउटिंग टेबल बदलत आहे
• लिंक स्थिती
• उपकरणांची उपलब्धता (किंवा यजमान)
• ...

गट दोन: सुरक्षितता संबंधित माहिती.

• विविध प्रकारची आकडेवारी (उदाहरणार्थ, अनुप्रयोगाद्वारे, URL रहदारीद्वारे, कोणत्या प्रकारचा डेटा डाउनलोड केला गेला, वापरकर्ता डेटा)
• सुरक्षा धोरणांद्वारे काय अवरोधित केले आहे आणि कोणत्या कारणास्तव, म्हणजे
  • प्रतिबंधित अर्ज
  • ip/protocol/port/flags/zones वर आधारित प्रतिबंधित
  • धोका प्रतिबंध
  • url फिल्टरिंग
  • डेटा फिल्टरिंग
  • फाइल अवरोधित करणे
  • ...
• DOS/DDOS हल्ल्यांची आकडेवारी
• अयशस्वी ओळख आणि अधिकृतता प्रयत्न
• वरील सर्व सुरक्षा धोरण उल्लंघन घटनांची आकडेवारी
• ...

सुरक्षेवरील या प्रकरणात, आम्हाला दुसऱ्या भागात रस आहे.

काही आधुनिक फायरवॉल (माझ्या पालो अल्टो अनुभवातून) दृश्यमानतेची चांगली पातळी प्रदान करतात. परंतु, अर्थातच, तुम्हाला स्वारस्य असलेल्या रहदारीने या फायरवॉलमधून जाणे आवश्यक आहे (अशा परिस्थितीत तुमच्याकडे रहदारी अवरोधित करण्याची क्षमता आहे) किंवा फायरवॉलवर मिरर केलेले (केवळ निरीक्षण आणि विश्लेषणासाठी वापरले जाते), आणि सर्व सक्षम करण्यासाठी तुमच्याकडे परवाने असणे आवश्यक आहे. या सेवा

अर्थात, पर्यायी मार्ग आहे, किंवा त्याऐवजी पारंपारिक मार्ग आहे, उदाहरणार्थ,

• सत्राची आकडेवारी नेटफ्लोद्वारे संकलित केली जाऊ शकते आणि नंतर माहिती विश्लेषण आणि डेटा व्हिज्युअलायझेशनसाठी विशेष उपयुक्तता वापरल्या जाऊ शकतात
• धोका प्रतिबंध - शेवटच्या होस्टवर विशेष कार्यक्रम (अँटी-व्हायरस, अँटी-स्पायवेअर, फायरवॉल)
• URL फिल्टरिंग, डेटा फिल्टरिंग, फाइल ब्लॉकिंग – प्रॉक्सी वर
• उदा. वापरून tcpdump चे विश्लेषण करणे देखील शक्य आहे. घोरणे

तुम्ही या दोन पद्धती एकत्र करू शकता, गहाळ वैशिष्ट्यांना पूरक बनवू शकता किंवा हल्ला शोधण्याची शक्यता वाढवण्यासाठी त्यांची डुप्लिकेट करू शकता.

आपण कोणता दृष्टिकोन निवडला पाहिजे?
आपल्या कार्यसंघाच्या पात्रता आणि प्राधान्यांवर बरेच अवलंबून असते.
तेथे आणि तेथे दोन्ही साधक आणि बाधक आहेत.

एकीकृत केंद्रीकृत प्रमाणीकरण आणि अधिकृतता प्रणाली

चांगल्या प्रकारे डिझाइन केल्यावर, आम्ही या लेखात चर्चा केलेली गतिशीलता असे गृहीत धरते की तुम्ही ऑफिसमधून किंवा घरातून, विमानतळावरून, कॉफी शॉपमधून किंवा इतर कोठेही काम करत असलात तरीही तुम्हाला समान प्रवेश आहे (आम्ही वर चर्चा केलेल्या मर्यादांसह). असे वाटेल, समस्या काय आहे?
या कार्याची जटिलता अधिक चांगल्या प्रकारे समजून घेण्यासाठी, एक विशिष्ट डिझाइन पाहू.

उदाहरण:

• तुम्ही सर्व कर्मचाऱ्यांना गटांमध्ये विभागले आहे. तुम्ही गटांद्वारे प्रवेश देण्याचे ठरवले आहे
• ऑफिसच्या आत, तुम्ही ऑफिस फायरवॉलवर प्रवेश नियंत्रित करता
• तुम्ही डेटा सेंटर फायरवॉलवर ऑफिसपासून डेटा सेंटरपर्यंत रहदारी नियंत्रित करता
• तुम्ही VPN गेटवे म्हणून Cisco ASA वापरता आणि रिमोट क्लायंटमधून तुमच्या नेटवर्कमध्ये प्रवेश करणारी रहदारी नियंत्रित करण्यासाठी तुम्ही स्थानिक (ASA वर) ACL वापरता.

आता, समजा तुम्हाला एका विशिष्ट कर्मचाऱ्यासाठी अतिरिक्त प्रवेश जोडण्यास सांगितले आहे. या प्रकरणात, तुम्हाला फक्त त्याच्याकडे प्रवेश जोडण्यास सांगितले जाते आणि त्याच्या गटातील इतर कोणालाही नाही.

त्यासाठी या कर्मचाऱ्यांसाठी वेगळा गट तयार करावा लागेल, तो म्हणजे

• या कर्मचाऱ्यासाठी ASA वर वेगळा IP पूल तयार करा
• ASA वर एक नवीन ACL जोडा आणि त्यास त्या रिमोट क्लायंटला बांधा
• ऑफिस आणि डेटा सेंटर फायरवॉलवर नवीन सुरक्षा धोरणे तयार करा

ही घटना दुर्मिळ असेल तर चांगले आहे. परंतु माझ्या प्रॅक्टिसमध्ये अशी परिस्थिती होती जेव्हा कर्मचाऱ्यांनी वेगवेगळ्या प्रकल्पांमध्ये भाग घेतला आणि त्यापैकी काहींसाठी प्रकल्पांचा हा संच बऱ्याचदा बदलला आणि ते 1-2 लोक नव्हते, तर डझनभर होते. अर्थात, येथे काहीतरी बदलणे आवश्यक आहे.

हे खालील प्रकारे सोडवले गेले.

आम्ही ठरवले की LDAP हा सत्याचा एकमेव स्त्रोत असेल जो सर्व संभाव्य कर्मचारी प्रवेश निर्धारित करतो. आम्ही सर्व प्रकारचे गट तयार केले जे प्रवेशाचे संच परिभाषित करतात आणि आम्ही प्रत्येक वापरकर्त्याला एक किंवा अधिक गटांना नियुक्त केले.

तर, उदाहरणार्थ, समजा तेथे गट होते

• अतिथी (इंटरनेट प्रवेश)
• सामान्य प्रवेश (सामायिक संसाधनांमध्ये प्रवेश: मेल, ज्ञान आधार, ...)
• लेखा
• प्रकल्प 1
• प्रकल्प 2
• डेटा बेस प्रशासक
• लिनक्स प्रशासक
• ...

आणि जर कर्मचाऱ्यांपैकी एक प्रकल्प 1 आणि प्रकल्प 2 या दोन्हीमध्ये गुंतलेला असेल आणि त्याला या प्रकल्पांमध्ये काम करण्यासाठी आवश्यक प्रवेशाची आवश्यकता असेल, तर या कर्मचाऱ्याला खालील गटांना नियुक्त केले गेले:

• अतिथी
• सामान्य प्रवेश
• प्रकल्प 1
• प्रकल्प 2

आता आम्ही ही माहिती नेटवर्क उपकरणांवरील प्रवेशामध्ये कशी बदलू शकतो?

सिस्को एएसए डायनॅमिक ऍक्सेस पॉलिसी (डीएपी) (पहा www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) उपाय या कार्यासाठी अगदी योग्य आहे.

आमच्या अंमलबजावणीबद्दल थोडक्यात, ओळख/अधिकृतीकरण प्रक्रियेदरम्यान, ASA ला LDAP कडून दिलेल्या वापरकर्त्याशी संबंधित गटांचा एक संच प्राप्त होतो आणि अनेक स्थानिक ACLs कडून "संकलित करतो" (ज्यापैकी प्रत्येक गटाशी संबंधित आहे) सर्व आवश्यक प्रवेशांसह डायनॅमिक ACL , जे आमच्या इच्छेशी पूर्णपणे जुळते.

परंतु हे फक्त VPN कनेक्शनसाठी आहे. VPN द्वारे जोडलेले कर्मचारी आणि कार्यालयात असलेल्या दोघांसाठी परिस्थिती समान करण्यासाठी, खालील पाऊल उचलले गेले.

ऑफिसमधून कनेक्ट करताना, 802.1x प्रोटोकॉल वापरणारे वापरकर्ते अतिथी LAN (अतिथींसाठी) किंवा सामायिक LAN (कंपनी कर्मचाऱ्यांसाठी) मध्ये संपतात. पुढे, विशिष्ट प्रवेश मिळविण्यासाठी (उदाहरणार्थ, डेटा सेंटरमधील प्रकल्पांसाठी), कर्मचाऱ्यांना VPN द्वारे कनेक्ट करावे लागले.

कार्यालयातून आणि घरापासून जोडण्यासाठी, ASA वर वेगवेगळ्या बोगद्यांचे गट वापरले गेले. हे आवश्यक आहे जेणेकरुन कार्यालयातून जोडलेल्या लोकांसाठी, सामायिक संसाधनांवर रहदारी (सर्व कर्मचाऱ्यांकडून वापरली जाणारी, जसे की मेल, फाइल सर्व्हर, तिकीट प्रणाली, डीएनएस, ...) ASA मधून जात नाही, परंतु स्थानिक नेटवर्कद्वारे. . अशा प्रकारे, आम्ही उच्च-तीव्रतेच्या रहदारीसह अनावश्यक रहदारीसह ASA लोड केले नाही.

त्यामुळे समस्या सुटली.
आम्हाला मिळाले

• ऑफिस आणि रिमोट कनेक्शन दोन्ही कनेक्शनसाठी समान प्रवेश संच
• ASA द्वारे उच्च-तीव्रतेच्या रहदारीच्या प्रसारणाशी संबंधित कार्यालयातून काम करताना सेवा निकृष्टतेची अनुपस्थिती

या पद्धतीचे इतर कोणते फायदे आहेत?
प्रवेश प्रशासनात. प्रवेश एकाच ठिकाणी सहज बदलता येतात.
उदाहरणार्थ, जर एखाद्या कर्मचाऱ्याने कंपनी सोडली, तर तुम्ही त्याला फक्त LDAP मधून काढून टाकाल आणि तो आपोआप सर्व प्रवेश गमावेल.

होस्ट तपासत आहे

रिमोट कनेक्शनच्या शक्यतेसह, आम्ही केवळ कंपनीच्या कर्मचाऱ्यांना नेटवर्कमध्ये परवानगी देण्याचा धोका पत्करतो, परंतु त्याच्या संगणकावर (उदाहरणार्थ, घर) उपस्थित असलेल्या सर्व दुर्भावनापूर्ण सॉफ्टवेअरला देखील परवानगी देतो आणि त्याशिवाय, या सॉफ्टवेअरद्वारे आम्ही हे होस्ट प्रॉक्सी म्हणून वापरून आक्रमणकर्त्याला आमच्या नेटवर्कमध्ये प्रवेश प्रदान करत असेल.

दूरस्थपणे कनेक्ट केलेल्या होस्टसाठी ऑफिसमधील होस्ट सारख्याच सुरक्षा आवश्यकता लागू करणे अर्थपूर्ण आहे.

हे OS, अँटी-व्हायरस, अँटी-स्पायवेअर आणि फायरवॉल सॉफ्टवेअर आणि अपडेट्सची “योग्य” आवृत्ती देखील गृहीत धरते. सामान्यतः, ही क्षमता व्हीपीएन गेटवेवर अस्तित्वात असते (एएसएसाठी पहा, उदाहरणार्थ, येथे).

तुमचे सुरक्षा धोरण ऑफिस ट्रॅफिकला लागू होते तेच ट्रॅफिक विश्लेषण आणि ब्लॉकिंग तंत्र ("उच्च पातळीचे संरक्षण" पहा) लागू करणे देखील शहाणपणाचे आहे.

तुमचे ऑफिस नेटवर्क यापुढे फक्त ऑफिस बिल्डिंग आणि त्यामधील यजमानांपुरते मर्यादित नाही असे मानणे वाजवी आहे.

उदाहरण:

एक चांगले तंत्र म्हणजे प्रत्येक कर्मचाऱ्याला रिमोट ऍक्सेससाठी चांगला, सोयीस्कर लॅपटॉप प्रदान करणे आणि त्यांना कार्यालयात आणि घरातून, फक्त त्यातूनच काम करणे आवश्यक आहे.

हे केवळ तुमच्या नेटवर्कची सुरक्षा सुधारत नाही तर ते खरोखर सोयीस्कर देखील आहे आणि सामान्यतः कर्मचाऱ्यांकडून (जर तो खरोखर चांगला, वापरकर्ता-अनुकूल लॅपटॉप असेल तर) अनुकूलपणे पाहिला जातो.

प्रमाण आणि संतुलनाच्या भावनेबद्दल

मूलभूतपणे, हे आमच्या त्रिकोणाच्या तिसऱ्या शिरोबिंदूबद्दल - किंमतीबद्दल संभाषण आहे.
एक काल्पनिक उदाहरण पाहू.

उदाहरण:

आपल्याकडे 200 लोकांसाठी कार्यालय आहे. आपण ते शक्य तितके सोयीस्कर आणि सुरक्षित करण्याचे ठरविले.

म्हणून, तुम्ही सर्व रहदारी फायरवॉलमधून पार करण्याचा निर्णय घेतला आणि अशा प्रकारे सर्व ऑफिस सबनेटसाठी फायरवॉल हा डीफॉल्ट गेटवे आहे. प्रत्येक शेवटच्या होस्टवर (अँटी-व्हायरस, अँटी-स्पायवेअर आणि फायरवॉल सॉफ्टवेअर) स्थापित केलेल्या सुरक्षा सॉफ्टवेअरच्या व्यतिरिक्त, आपण फायरवॉलवर सर्व संभाव्य संरक्षण पद्धती लागू करण्याचे देखील ठरवले आहे.

उच्च कनेक्शन गती (सर्व सोयीसाठी) सुनिश्चित करण्यासाठी, तुम्ही प्रवेश स्विच म्हणून 10 गिगाबिट प्रवेश पोर्टसह स्विचेस आणि फायरवॉल म्हणून उच्च-कार्यक्षमता NGFW फायरवॉल निवडले, उदाहरणार्थ, Palo Alto 7K मालिका (40 Gigabit पोर्टसह), नैसर्गिकरित्या सर्व परवान्यांसह. समाविष्ट आणि, नैसर्गिकरित्या, उच्च उपलब्धता जोडी.

तसेच, अर्थातच, उपकरणांच्या या लाइनसह कार्य करण्यासाठी आम्हाला किमान दोन उच्च पात्र सुरक्षा अभियंते आवश्यक आहेत.

पुढे, तुम्ही प्रत्येक कर्मचाऱ्याला एक चांगला लॅपटॉप देण्याचा निर्णय घेतला.

एकूण, अंमलबजावणीसाठी सुमारे 10 दशलक्ष डॉलर्स, अभियंत्यांसाठी वार्षिक समर्थन आणि पगार यासाठी शेकडो हजार डॉलर्स (मला एक दशलक्ष जवळ वाटते).

कार्यालय, 200 लोक...
आरामदायक? मला वाटतं हो आहे.

तुम्ही तुमच्या व्यवस्थापनाकडे हा प्रस्ताव घेऊन या...
कदाचित जगात अशा अनेक कंपन्या आहेत ज्यासाठी हा एक स्वीकार्य आणि योग्य उपाय आहे. जर तुम्ही या कंपनीचे कर्मचारी असाल, तर माझे अभिनंदन, परंतु बहुसंख्य प्रकरणांमध्ये, मला खात्री आहे की व्यवस्थापनाकडून तुमच्या ज्ञानाची प्रशंसा केली जाणार नाही.

हे उदाहरण अतिशयोक्तीपूर्ण आहे का? पुढील प्रकरण या प्रश्नाचे उत्तर देईल.

जर तुमच्या नेटवर्कवर तुम्हाला वरीलपैकी काहीही दिसत नसेल, तर हा सर्वसामान्य प्रमाण आहे.
प्रत्येक विशिष्ट प्रकरणासाठी, तुम्हाला सोयी, किंमत आणि सुरक्षितता यामध्ये तुमची स्वतःची वाजवी तडजोड शोधण्याची आवश्यकता आहे. बऱ्याचदा तुम्हाला तुमच्या ऑफिसमध्ये NGFW ची देखील आवश्यकता नसते आणि फायरवॉलवर L7 संरक्षणाची आवश्यकता नसते. हे दृश्यमानता आणि सूचनांची चांगली पातळी प्रदान करण्यासाठी पुरेसे आहे आणि हे ओपन सोर्स उत्पादने वापरून केले जाऊ शकते, उदाहरणार्थ. होय, हल्ल्याबद्दल तुमची प्रतिक्रिया तात्काळ होणार नाही, परंतु मुख्य गोष्ट अशी आहे की तुम्ही ती पहाल आणि तुमच्या विभागात योग्य प्रक्रियेसह, तुम्ही ते त्वरीत तटस्थ करण्यात सक्षम व्हाल.

आणि मी तुम्हाला आठवण करून देतो की, लेखांच्या या मालिकेच्या संकल्पनेनुसार, तुम्ही नेटवर्क डिझाइन करत नाही आहात, तुम्ही फक्त तुम्हाला जे मिळाले आहे ते सुधारण्याचा प्रयत्न करत आहात.

ऑफिस आर्किटेक्चरचे सुरक्षित विश्लेषण

या लाल चौरसाकडे लक्ष द्या ज्यासह मी आकृतीवर एक जागा वाटप केली आहे सुरक्षित सुरक्षित कॅम्पस आर्किटेक्चर मार्गदर्शकज्याची मी येथे चर्चा करू इच्छितो.

हे आर्किटेक्चरच्या मुख्य ठिकाणांपैकी एक आहे आणि सर्वात महत्वाच्या अनिश्चिततेपैकी एक आहे.

टीप

मी फायरपॉवर कधीही सेट केले नाही किंवा काम केले नाही (सिस्कोच्या फायरवॉल लाइनवरून - फक्त एएसए), त्यामुळे मी याला ज्युनिपर एसआरएक्स किंवा पालो अल्टो सारख्या इतर कोणत्याही फायरवॉलप्रमाणेच वागणूक देईन, त्यात समान क्षमता आहेत असे गृहीत धरून.

नेहमीच्या डिझाईन्सपैकी, मला या कनेक्शनसह फायरवॉल वापरण्यासाठी फक्त 4 संभाव्य पर्याय दिसत आहेत:

• प्रत्येक सबनेटसाठी डीफॉल्ट गेटवे एक स्विच आहे, तर फायरवॉल पारदर्शक मोडमध्ये आहे (म्हणजेच, सर्व रहदारी त्यातून जाते, परंतु ते L3 हॉप बनवत नाही)
• प्रत्येक सबनेटसाठी डीफॉल्ट गेटवे फायरवॉल सब-इंटरफेस (किंवा SVI इंटरफेस) आहे, स्विच L2 ची भूमिका बजावते
• स्विचवर भिन्न व्हीआरएफ वापरले जातात आणि व्हीआरएफमधील रहदारी फायरवॉलमधून जाते, एका व्हीआरएफमधील रहदारी स्विचवरील एसीएलद्वारे नियंत्रित केली जाते
• सर्व रहदारी विश्लेषण आणि निरीक्षणासाठी फायरवॉलवर मिरर केली जाते;

टिप्पणी 1

या पर्यायांचे संयोजन शक्य आहे, परंतु साधेपणासाठी आम्ही त्यांचा विचार करणार नाही.

टीप2

पीबीआर (सर्व्हिस चेन आर्किटेक्चर) वापरण्याची देखील शक्यता आहे, परंतु आत्तासाठी हे, जरी माझ्या मते एक सुंदर उपाय असले तरी, त्याऐवजी विदेशी आहे, म्हणून मी त्याचा येथे विचार करत नाही.

दस्तऐवजातील प्रवाहांच्या वर्णनावरून, आम्ही पाहतो की रहदारी अजूनही फायरवॉलमधून जाते, म्हणजेच सिस्को डिझाइननुसार, चौथा पर्याय काढून टाकला जातो.

प्रथम पहिले दोन पर्याय पाहू.
या पर्यायांसह, सर्व रहदारी फायरवॉलमधून जाते.

आता बघूया माहिती पत्रक, दिसत सिस्को GPL आणि आम्ही पाहतो की आमच्या ऑफिसची एकूण बँडविड्थ किमान 10 - 20 गीगाबिट्स असावी, तर आम्ही 4K आवृत्ती विकत घेतली पाहिजे.

टीप

जेव्हा मी एकूण बँडविड्थबद्दल बोलतो, तेव्हा माझा अर्थ सबनेटमधील रहदारी आहे (आणि एका विलानामध्ये नाही).

GPL वरून आम्ही पाहतो की HA बंडल विथ थ्रेट डिफेन्ससाठी, मॉडेलवर अवलंबून किंमत (4110 - 4150) ~ 0,5 - 2,5 दशलक्ष डॉलर्स पर्यंत बदलते.

म्हणजेच, आमची रचना मागील उदाहरणासारखी दिसू लागते.

याचा अर्थ ही रचना चुकीची आहे का?
नाही, याचा अर्थ असा नाही. Cisco कडे असलेल्या उत्पादनाच्या आधारावर तुम्हाला सर्वोत्तम संभाव्य संरक्षण देते. परंतु याचा अर्थ असा नाही की ते तुमच्यासाठी आवश्यक आहे.

तत्वतः, हा एक सामान्य प्रश्न आहे जो ऑफिस किंवा डेटा सेंटर डिझाइन करताना उद्भवतो आणि याचा अर्थ असा आहे की तडजोड करणे आवश्यक आहे.

उदाहरणार्थ, सर्व ट्रॅफिक फायरवॉलमधून जाऊ देऊ नका, या प्रकरणात पर्याय 3 मला खूप चांगला वाटतो, किंवा (मागील विभाग पहा) कदाचित तुम्हाला थ्रेट डिफेन्सची गरज नाही किंवा त्यावर फायरवॉलची अजिबात गरज नाही. नेटवर्क सेगमेंट, आणि तुम्हाला सशुल्क (महाग नाही) किंवा ओपन सोर्स सोल्यूशन्स वापरून निष्क्रीय मॉनिटरिंगपर्यंत मर्यादित करणे आवश्यक आहे किंवा तुम्हाला फायरवॉल आवश्यक आहे, परंतु वेगळ्या विक्रेत्याकडून.

सहसा ही अनिश्चितता नेहमीच असते आणि तुमच्यासाठी कोणता निर्णय सर्वोत्तम आहे याचे कोणतेही स्पष्ट उत्तर नसते.
हीच या कामाची गुंतागुंत आणि सौंदर्य आहे.

स्त्रोत: www.habr.com