तपाईंको नेटवर्क पूर्वाधारको नियन्त्रण कसरी लिने। अध्याय तीन। नेटवर्क सुरक्षा। भाग तीन

यो लेख "तपाईंको नेटवर्क पूर्वाधारको नियन्त्रण कसरी लिने" शृङ्खलाको पाँचौं हो। श्रृंखला र लिङ्कहरूमा सबै लेखहरूको सामग्रीहरू फेला पार्न सकिन्छ यहाँ.

यो भाग क्याम्पस (कार्यालय) र रिमोट पहुँच VPN खण्डहरूमा समर्पित हुनेछ।

कार्यालय नेटवर्क डिजाइन सजिलो लाग्न सक्छ।

वास्तवमा, हामी L2/L3 स्विचहरू लिन्छौं र तिनीहरूलाई एक अर्कामा जडान गर्छौं। अर्को, हामी भिलान र पूर्वनिर्धारित गेटवेहरूको आधारभूत सेटअपहरू पूरा गर्छौं, साधारण राउटिङ सेटअप गर्छौं, वाइफाइ नियन्त्रकहरू जडान गर्छौं, पहुँच बिन्दुहरू, रिमोट पहुँचको लागि ASA स्थापना र कन्फिगर गर्छौं, हामी सबै कुराले काम गरेकोमा खुसी छौं। सामान्यतया, मैले पहिले नै अघिल्लो मध्ये एकमा लेखेको छु लेखहरू यस चक्रमा, टेलिकम कोर्सको दुई सेमेस्टरमा भाग लिएका (र सिकेका) लगभग हरेक विद्यार्थीले अफिस नेटवर्क डिजाइन र कन्फिगर गर्न सक्छन् ताकि यसले "कसैले काम गर्दछ।"

तर तपाईले जति धेरै सिक्नुहुन्छ, यो कार्य कम सरल लाग्न थाल्छ। मेरो लागि व्यक्तिगत रूपमा, यो विषय, कार्यालय नेटवर्क डिजाइन को विषय, सबै सरल लाग्दैन, र यस लेखमा म किन व्याख्या गर्न प्रयास गर्नेछु।

छोटकरीमा, विचार गर्न धेरै कारकहरू छन्। प्रायः यी कारकहरू एकअर्कासँग द्वन्द्वमा छन् र एक उचित सम्झौता खोज्नु पर्छ।
यो अनिश्चितता मुख्य कठिनाई हो। त्यसोभए, सुरक्षाको बारेमा बोल्दै, हामीसँग तीनवटा ठाडो भएको त्रिकोण छ: सुरक्षा, कर्मचारीहरूको लागि सुविधा, समाधानको मूल्य।
र हरेक पटक तपाईले यी तीन बीचको सम्झौता खोज्नुपर्छ।

वास्तुकला

यी दुई खण्डहरूको लागि वास्तुकलाको उदाहरणको रूपमा, अघिल्लो लेखहरूमा जस्तै, म सिफारिस गर्दछु सिस्को सेफ मोडेल: उद्यम क्याम्पस, इन्टरप्राइज इन्टरनेट एज.

यी केही हदसम्म पुराना कागजातहरू हुन्। म तिनीहरूलाई यहाँ प्रस्तुत गर्दछु किनभने आधारभूत योजना र दृष्टिकोण परिवर्तन भएको छैन, तर एकै समयमा मलाई प्रस्तुतीकरण भन्दा बढी मनपर्छ। नयाँ कागजात.

तपाईंलाई Cisco समाधानहरू प्रयोग गर्न प्रोत्साहन नगरी, मलाई अझै पनि लाग्छ कि यो डिजाइन सावधानीपूर्वक अध्ययन गर्न उपयोगी छ।

यो लेख, सामान्य रूपमा, कुनै पनि हिसाबले पूर्ण भएको बहाना गर्दैन, बरु यो जानकारीमा थपिएको छ।

लेखको अन्त्यमा, हामी यहाँ उल्लिखित अवधारणाहरूको सन्दर्भमा सिस्को सेफ अफिस डिजाइनको विश्लेषण गर्नेछौं।

सामान्य सिद्धान्तहरू

अफिस नेटवर्कको डिजाइन, पक्कै पनि, छलफल गरिएको सामान्य आवश्यकताहरू पूरा गर्नुपर्छ यहाँ "डिजाइन गुणस्तर मूल्याङ्कनका लागि मापदण्ड" अध्यायमा। मूल्य र सुरक्षा बाहेक, जुन हामी यस लेखमा छलफल गर्न चाहन्छौं, त्यहाँ अझै तीन मापदण्डहरू छन् जुन हामीले डिजाइन गर्दा (वा परिवर्तनहरू गर्दा) विचार गर्नुपर्छ:

• स्केलेबिलिटी
• प्रयोगमा सहजता (व्यवस्थापन)
• उपलब्धता

जसका लागि धेरै चर्चा भयो डाटा केन्द्रहरू यो कार्यालयको लागि पनि सत्य हो।

तर अझै, अफिस खण्डको आफ्नै विशिष्टताहरू छन्, जुन सुरक्षा दृष्टिकोणबाट महत्वपूर्ण छन्। यस विशिष्टताको सार यो हो कि यो खण्ड कम्पनीका कर्मचारीहरू (साथै साझेदारहरू र अतिथिहरू) लाई नेटवर्क सेवाहरू प्रदान गर्न सिर्जना गरिएको हो, र परिणामस्वरूप, समस्याको उच्च स्तरमा हामीसँग दुई कार्यहरू छन्:

• कर्मचारीहरू (अतिथिहरू, साझेदारहरू) र तिनीहरूले प्रयोग गर्ने सफ्टवेयरबाट आउन सक्ने खराब कार्यहरूबाट कम्पनीका स्रोतहरूलाई जोगाउनुहोस्। यसमा नेटवर्कमा अनाधिकृत जडान विरुद्ध सुरक्षा पनि समावेश छ।
• प्रणाली र प्रयोगकर्ता डेटा सुरक्षा

र यो समस्या को एक मात्र पक्ष हो (वा बरु, त्रिकोण को एक शीर्ष)। अर्को पक्षमा प्रयोगकर्ताको सुविधा र प्रयोग गरिएका समाधानहरूको मूल्य हो।

प्रयोगकर्ताले आधुनिक अफिस नेटवर्कबाट के अपेक्षा गर्छ भनेर हेरेर सुरु गरौं।

सुविधाहरू

मेरो विचारमा अफिस प्रयोगकर्ताको लागि "नेटवर्क सुविधाहरू" कस्तो देखिन्छ:

• गतिशीलता
• परिचित यन्त्रहरू र अपरेटिङ सिस्टमहरूको पूर्ण दायरा प्रयोग गर्ने क्षमता
• सबै आवश्यक कम्पनी स्रोतहरूमा सजिलो पहुँच
• विभिन्न क्लाउड सेवाहरू सहित इन्टरनेट स्रोतहरूको उपलब्धता
• नेटवर्क को "छिटो सञ्चालन"

यो सबै कर्मचारीहरू र अतिथिहरू (वा साझेदारहरू) दुवैमा लागू हुन्छ, र प्राधिकरणको आधारमा विभिन्न प्रयोगकर्ता समूहहरूको पहुँचलाई फरक पार्ने कम्पनीका इन्जिनियरहरूको कार्य हो।

यी प्रत्येक पक्षलाई थोरै विस्तारमा हेरौं।

गतिशीलता

हामी काम गर्ने अवसरको बारेमा कुरा गर्दैछौं र संसारको जुनसुकै ठाउँबाट (अवश्य पनि, जहाँ इन्टरनेट उपलब्ध छ) सबै आवश्यक कम्पनी स्रोतहरू प्रयोग गर्ने।

यो कार्यालयमा पूर्ण रूपमा लागू हुन्छ। यो सुविधाजनक हुन्छ जब तपाईंसँग अफिसको कुनै पनि ठाउँबाट काम जारी राख्ने अवसर हुन्छ, उदाहरणका लागि, मेल प्राप्त गर्नुहोस्, कर्पोरेट मेसेन्जरमा कुराकानी गर्नुहोस्, भिडियो कलको लागि उपलब्ध हुनुहोस्, ... यसरी, यसले तपाईंलाई अनुमति दिन्छ, एकातिर, केही समस्याहरू "प्रत्यक्ष" सञ्चार (उदाहरणका लागि, र्‍यालीहरूमा भाग लिनुहोस्) समाधान गर्न, र अर्कोतर्फ, सधैं अनलाइन रहनुहोस्, आफ्नो औंला पल्समा राख्नुहोस् र केही अत्यावश्यक उच्च-प्राथमिकता कार्यहरू द्रुत रूपमा समाधान गर्नुहोस्। यो धेरै सुविधाजनक छ र साँच्चै संचार को गुणस्तर सुधार गर्दछ।

यो उचित वाइफाइ नेटवर्क डिजाइन द्वारा हासिल गरिएको छ।

नोट

यहाँ प्रश्न सामान्यतया उठ्छ: यो केवल WiFi प्रयोग गर्न पर्याप्त छ? के यसको मतलब तपाईं कार्यालयमा इथरनेट पोर्टहरू प्रयोग गर्न रोक्न सक्नुहुन्छ? यदि हामी केवल प्रयोगकर्ताहरूको बारेमा कुरा गर्दैछौं, र सर्भरहरूको बारेमा होइन, जुन अझै पनि नियमित इथरनेट पोर्टसँग जडान गर्न उचित छ, तब सामान्य रूपमा जवाफ हो: हो, तपाईं आफैलाई WiFi मा मात्र सीमित गर्न सक्नुहुन्छ। तर त्यहाँ nuances छन्।

त्यहाँ महत्त्वपूर्ण प्रयोगकर्ता समूहहरू छन् जसलाई छुट्टै दृष्टिकोण चाहिन्छ। निस्सन्देह, यी प्रशासकहरू हुन्। सिद्धान्तमा, WiFi जडान कम भरपर्दो हुन्छ (ट्राफिक हानिको सन्दर्भमा) र नियमित इथरनेट पोर्ट भन्दा ढिलो हुन्छ। यो प्रशासकहरूको लागि महत्त्वपूर्ण हुन सक्छ। थप रूपमा, नेटवर्क प्रशासकहरू, उदाहरणका लागि, सिद्धान्तमा, बाहिर-ब्यान्ड जडानहरूको लागि आफ्नै समर्पित इथरनेट नेटवर्क हुन सक्छ।

तपाईंको कम्पनीमा अन्य समूह/विभागहरू हुन सक्छन् जसका लागि यी कारकहरू पनि महत्त्वपूर्ण छन्।

त्यहाँ अर्को महत्त्वपूर्ण बिन्दु छ - टेलिफोन। सायद कुनै कारणले तपाई वायरलेस VoIP प्रयोग गर्न चाहनुहुन्न र नियमित इथरनेट जडानको साथ IP फोनहरू प्रयोग गर्न चाहानुहुन्छ।

सामान्यतया, मैले काम गरेको कम्पनीहरूमा सामान्यतया WiFi जडान र इथरनेट पोर्ट दुवै थियो।

म गतिशीलता कार्यालयमा मात्र सीमित नहोस् भन्ने चाहन्छु।

घरबाट काम गर्ने क्षमता सुनिश्चित गर्न (वा पहुँचयोग्य इन्टरनेटको साथ कुनै अन्य ठाउँ), एक VPN जडान प्रयोग गरिन्छ। एकै समयमा, यो वांछनीय छ कि कर्मचारीहरूले घरबाट काम गर्ने र टाढाको काम बीचको भिन्नता महसुस गर्दैनन्, जसले समान पहुँच मान्दछ। यसलाई कसरी व्यवस्थित गर्ने भनेर हामी अध्याय "एकीकृत केन्द्रीकृत प्रमाणीकरण र प्राधिकरण प्रणाली" मा छलफल गर्नेछौं।

नोट

सम्भवतः, तपाईले अफिसमा रहेको टाढाको कामको लागि सेवाहरूको समान गुणस्तर प्रदान गर्न सक्षम हुनुहुने छैन। मानौं कि तपाइँ तपाइँको VPN गेटवेको रूपमा Cisco ASA 5520 प्रयोग गर्दै हुनुहुन्छ। डाटा पाना यो यन्त्र केवल 225 Mbit VPN ट्राफिक "पचाउन" सक्षम छ। त्यो पक्कै पनि, ब्यान्डविथको सन्दर्भमा, VPN मार्फत जडान अफिसबाट काम गर्ने भन्दा धेरै फरक छ। साथै, यदि, कुनै कारणले गर्दा, तपाईंको नेटवर्क सेवाहरूको लागि विलम्बता, हानि, जिटर (उदाहरणका लागि, तपाईं अफिस आईपी टेलिफोनी प्रयोग गर्न चाहनुहुन्छ) महत्त्वपूर्ण छ भने, तपाईंले अफिसमा भएको जस्तो गुणस्तर पनि प्राप्त गर्नुहुने छैन। त्यसकारण, गतिशीलताको बारेमा कुरा गर्दा, हामी सम्भावित सीमाहरू बारे सचेत हुनुपर्छ।

सबै कम्पनी स्रोतहरूमा सजिलो पहुँच

यो काम अन्य प्राविधिक विभागहरूसँग मिलेर समाधान गर्नुपर्छ।
आदर्श स्थिति हो जब प्रयोगकर्ताले एक पटक मात्र प्रमाणीकरण गर्न आवश्यक छ, र त्यसपछि उसले सबै आवश्यक स्रोतहरूमा पहुँच छ।
सुरक्षाको त्याग नगरी सजिलो पहुँच प्रदान गर्नाले उत्पादकतामा उल्लेखनीय सुधार गर्न र सहकर्मीहरू बीचको तनाव कम गर्न सक्छ।

टिप्पणी १

पहुँचको सहजता भनेको तपाईले कति पटक पासवर्ड प्रविष्ट गर्नुपर्छ भन्ने कुरा मात्र होइन। यदि, उदाहरणका लागि, तपाईंको सुरक्षा नीति अनुसार, कार्यालयबाट डाटा सेन्टरमा जडान गर्न, तपाईंले पहिले VPN गेटवेमा जडान गर्नुपर्छ, र एकै समयमा तपाईंले कार्यालय स्रोतहरूमा पहुँच गुमाउनुभयो भने, यो पनि धेरै छ। , धेरै असुविधाजनक।

टिप्पणी १

त्यहाँ सेवाहरू छन् (उदाहरणका लागि, नेटवर्क उपकरणहरूमा पहुँच) जहाँ हामीसँग प्राय: हाम्रो आफ्नै समर्पित AAA सर्भरहरू हुन्छन् र यो सामान्य हो जब यस अवस्थामा हामीले धेरै पटक प्रमाणीकरण गर्नुपर्छ।

इन्टरनेट स्रोतहरूको उपलब्धता

इन्टरनेट मनोरञ्जन मात्र होइन, कामको लागि धेरै उपयोगी हुन सक्ने सेवाहरूको सेट पनि हो। त्यहाँ विशुद्ध मनोवैज्ञानिक कारकहरू पनि छन्। एक आधुनिक व्यक्ति धेरै भर्चुअल थ्रेडहरू मार्फत इन्टरनेट मार्फत अन्य मानिसहरूसँग जोडिएको छ, र, मेरो विचारमा, त्यहाँ केहि गलत छैन यदि उसले काम गर्दा पनि यो जडान महसुस गरिरहन्छ।

समय बर्बाद गर्ने दृष्टिकोणबाट, यदि कुनै कर्मचारी, उदाहरणका लागि, स्काइप चलिरहेको छ र आवश्यक भएमा प्रियजनसँग 5 मिनेट कुराकानी गर्न खर्च गर्दछ भने केहि गलत छैन।

के यसको मतलब यो हो कि इन्टरनेट सधैं उपलब्ध हुनुपर्छ, के यसको मतलब कर्मचारीहरूले सबै स्रोतहरूमा पहुँच गर्न सक्छन् र तिनीहरूलाई कुनै पनि तरिकाले नियन्त्रण गर्न सक्दैनन्?

होइन, पक्कै पनि यसको मतलब होइन। इन्टरनेटको खुलापनको स्तर विभिन्न कम्पनीहरूको लागि भिन्न हुन सक्छ - पूर्ण बन्ददेखि पूर्ण खुलापनसम्म। हामी पछि सुरक्षा उपायहरूमा खण्डहरूमा ट्राफिक नियन्त्रण गर्ने तरिकाहरू छलफल गर्नेछौं।

परिचित यन्त्रहरूको पूर्ण दायरा प्रयोग गर्ने क्षमता

यो सुविधाजनक छ जब, उदाहरणका लागि, तपाईंसँग काममा अभ्यस्त संचारका सबै माध्यमहरू प्रयोग गरिरहने अवसर हुन्छ। यसलाई प्राविधिक रूपमा कार्यान्वयन गर्न कुनै कठिनाइ छैन। यसका लागि तपाईलाई वाइफाइ र अतिथि विलन चाहिन्छ।

यो पनि राम्रो छ यदि तपाईंसँग अपरेटिङ सिस्टम प्रयोग गर्ने अवसर छ भने तपाईंले प्रयोग गरिरहनुभएको छ। तर, मेरो अवलोकनमा, यो सामान्यतया प्रबन्धकहरू, प्रशासकहरू र विकासकर्ताहरूलाई मात्र अनुमति दिइन्छ।

उदाहरण:

तपाईले निस्सन्देह, निषेधको मार्ग अनुसरण गर्न सक्नुहुन्छ, रिमोट पहुँच निषेध गर्न सक्नुहुन्छ, मोबाइल उपकरणहरूबाट जडान गर्न निषेध गर्न सक्नुहुन्छ, स्थिर इथरनेट जडानहरूमा सबै कुरा सीमित गर्न सक्नुहुन्छ, इन्टरनेटमा पहुँच सीमित गर्न सक्नुहुन्छ, चेकपोइन्टमा सेल फोन र ग्याजेटहरू अनिवार्य रूपमा जफत गर्न सक्नुहुन्छ ... र यो मार्ग। वास्तवमा बढि सुरक्षा आवश्यकताहरु संग केहि संगठनहरु द्वारा पछ्याइएको छ, र सायद केहि मामलाहरुमा यो जायज हुन सक्छ, तर... तपाई सहमत हुनुपर्दछ कि यो एकल संगठन मा प्रगति रोक्न को लागी एक प्रयास जस्तो देखिन्छ। अवश्य पनि, म आधुनिक प्रविधिहरूले पर्याप्त स्तरको सुरक्षा प्रदान गर्ने अवसरहरूलाई संयोजन गर्न चाहन्छु।

नेटवर्क को "छिटो सञ्चालन"

डाटा स्थानान्तरण गति प्राविधिक रूपमा धेरै कारकहरू समावेश गर्दछ। र तपाइँको जडान पोर्ट को गति सामान्यतया सबैभन्दा महत्त्वपूर्ण छैन। एप्लिकेसनको ढिलो सञ्चालन सँधै नेटवर्क समस्याहरूसँग सम्बन्धित छैन, तर अहिलेको लागि हामी नेटवर्कको भागमा मात्र रुचि राख्छौं। स्थानीय नेटवर्क "स्लोडाउन" को साथमा सबैभन्दा सामान्य समस्या प्याकेट हराउनेसँग सम्बन्धित छ। यो सामान्यतया हुन्छ जब त्यहाँ एक बाधा वा L1 (OSI) समस्या छ। अधिक विरलै, केहि डिजाइनहरु संग (उदाहरण को लागी, जब तपाइँको सबनेटहरु लाई पूर्वनिर्धारित गेटवे को रूप मा फायरवाल छ र यसरी सबै ट्राफिकहरु मार्फत जान्छ), हार्डवेयर प्रदर्शन को कमी हुन सक्छ।

तसर्थ, उपकरण र वास्तुकला छनोट गर्दा, तपाईंले अन्त पोर्ट, ट्रंक र उपकरण प्रदर्शन को गति सहसंबद्ध गर्न आवश्यक छ।

उदाहरण:

मानौं तपाईले 1 गीगाबिट पोर्टहरूसँग पहुँच तह स्विचको रूपमा स्विचहरू प्रयोग गर्दै हुनुहुन्छ। तिनीहरू Etherchannel 2 x 10 gigabits मार्फत एकअर्कासँग जोडिएका छन्। पूर्वनिर्धारित गेटवेको रूपमा, तपाईंले गीगाबिट पोर्टहरू भएको फायरवाल प्रयोग गर्नुहुन्छ, जुन L2 अफिस नेटवर्कमा जडान गर्न तपाईंले 2 गिगाबिट पोर्टहरू Etherchannel मा मिलाएर प्रयोग गर्नुहुन्छ।

यो वास्तुकला कार्यक्षमताको दृष्टिकोणबाट धेरै सुविधाजनक छ, किनभने ... सबै ट्राफिक फायरवाल मार्फत जान्छ, र तपाइँ आरामसँग पहुँच नीतिहरू व्यवस्थापन गर्न सक्नुहुन्छ, र ट्राफिक नियन्त्रण गर्न र सम्भावित आक्रमणहरू रोक्न जटिल एल्गोरिदमहरू लागू गर्न सक्नुहुन्छ (तल हेर्नुहोस्), तर थ्रुपुट र कार्यसम्पादनको दृष्टिकोणबाट यो डिजाइनमा, अवश्य पनि सम्भावित समस्याहरू छन्। त्यसोभए, उदाहरणका लागि, 2 होस्टहरू डाउनलोड गर्ने डेटा (1 गिगाबिटको पोर्ट स्पीडको साथ) फायरवालमा 2 गिगाबिट जडान पूर्ण रूपमा लोड गर्न सक्छ, र यसरी सम्पूर्ण कार्यालय खण्डको लागि सेवा ह्रास निम्त्याउँछ।

हामीले त्रिभुजको एउटा शीर्षमा हेरेका छौं, अब हामी कसरी सुरक्षा सुनिश्चित गर्न सक्छौं हेरौं।

उपचार

त्यसोभए, निस्सन्देह, सामान्यतया हाम्रो इच्छा (वा बरु, हाम्रो व्यवस्थापनको इच्छा) असम्भव हासिल गर्नु हो, अर्थात्, अधिकतम सुरक्षा र न्यूनतम लागतको साथ अधिकतम सुविधा प्रदान गर्न।

हामीले सुरक्षा प्रदान गर्ने तरिकाहरू हेरौं।

कार्यालयको लागि, म निम्न हाइलाइट गर्नेछु:

• डिजाइन गर्न शून्य विश्वास दृष्टिकोण
• सुरक्षा को उच्च स्तर
• नेटवर्क दृश्यता
• एकीकृत केन्द्रीकृत प्रमाणीकरण र प्राधिकरण प्रणाली
• होस्ट जाँच

अर्को, हामी यी प्रत्येक पक्षहरूमा थोरै थप विवरणमा बस्नेछौं।

शून्य ट्रस्ट

आईटी संसार धेरै छिटो परिवर्तन हुँदैछ। भर्खरै 10 वर्षहरूमा, नयाँ प्रविधिहरू र उत्पादनहरूको उदयले सुरक्षा अवधारणाहरूको ठूलो संशोधनको नेतृत्व गरेको छ। दस वर्ष पहिले, सुरक्षा दृष्टिकोणबाट, हामीले नेटवर्कलाई विश्वास, dmz र अविश्वास क्षेत्रहरूमा विभाजन गर्यौं, र तथाकथित "परिधि संरक्षण" प्रयोग गर्‍यौं, जहाँ रक्षाका २ लाइनहरू थिए: अविश्वास -> dmz र dmz -> भरोसा। साथै, सुरक्षा सामान्यतया L2/L3 (OSI) हेडरहरू (IP, TCP/UDP पोर्टहरू, TCP झण्डाहरू) मा आधारित पहुँच सूचीहरूमा सीमित थियो। L4 सहित उच्च स्तरहरूसँग सम्बन्धित सबै कुराहरू OS र अन्तिम होस्टहरूमा स्थापित सुरक्षा उत्पादनहरूमा छोडियो।

अब स्थिति नाटकीय रूपमा परिवर्तन भएको छ। आधुनिक अवधारणा शून्य विश्वास यो तथ्यबाट आउँछ कि आन्तरिक प्रणालीहरूलाई विचार गर्न सम्भव छैन, त्यो हो, परिधि भित्र अवस्थित, विश्वासको रूपमा, र परिधिको अवधारणा आफै धमिलो भएको छ।
इन्टरनेट जडानको अतिरिक्त हामीसँग पनि छ

• रिमोट पहुँच VPN प्रयोगकर्ताहरू
• विभिन्न व्यक्तिगत ग्याजेटहरू, ल्यापटपहरू, अफिस वाइफाइ मार्फत जडान
• अन्य (शाखा) कार्यालयहरू
• क्लाउड पूर्वाधार संग एकीकरण

शून्य ट्रस्ट दृष्टिकोण व्यवहारमा कस्तो देखिन्छ?

आदर्श रूपमा, आवश्यक पर्ने ट्राफिकलाई मात्र अनुमति दिनुपर्छ र, यदि हामी एक आदर्शको बारेमा कुरा गर्दैछौं भने, नियन्त्रण L3/L4 स्तरमा मात्र होइन, तर अनुप्रयोग स्तरमा हुनुपर्छ।

यदि, उदाहरणका लागि, तपाइँसँग फायरवाल मार्फत सबै ट्राफिक पास गर्ने क्षमता छ भने, तपाइँ आदर्शको नजिक पुग्न प्रयास गर्न सक्नुहुन्छ। तर यस दृष्टिकोणले तपाईंको नेटवर्कको कुल ब्यान्डविथलाई उल्लेखनीय रूपमा घटाउन सक्छ, र यसबाहेक, अनुप्रयोगद्वारा फिल्टर गर्ने सधैं राम्रोसँग काम गर्दैन।

राउटर वा L3 स्विच (मानक ACLs प्रयोग गरेर) मा ट्राफिक नियन्त्रण गर्दा, तपाईंले अन्य समस्याहरू सामना गर्नुहुन्छ:

• यो L3/L4 फिल्टरिङ मात्र हो। आक्रमणकारीलाई तिनीहरूको एप्लिकेसनका लागि अनुमति दिइएको पोर्टहरू (जस्तै TCP 80) प्रयोग गर्नबाट रोक्ने कुनै कुरा छैन (http होइन)
• जटिल ACL व्यवस्थापन (ACLs को पार्स गर्न गाह्रो)
• यो स्टेटफुल फायरवाल होइन, यसको मतलब तपाईंले रिभर्स ट्राफिकलाई स्पष्ट रूपमा अनुमति दिनुपर्छ
• स्विचहरूको साथ तपाई सामान्यतया TCAM को आकार द्वारा एकदमै कडा रूपमा सीमित हुनुहुन्छ, जुन तपाईले "आफूलाई चाहिने मात्र अनुमति दिनुहोस्" दृष्टिकोण लिनुभयो भने चाँडै समस्या हुन सक्छ।

नोट

उल्टो ट्राफिकको बारेमा बोल्दै, हामीले सम्झनुपर्छ कि हामीसँग निम्न अवसरहरू छन् (सिस्को)

अनुमति tcp कुनै पनि स्थापित

तर तपाईले बुझ्नु आवश्यक छ कि यो रेखा दुई रेखाहरु को बराबर छ:
tcp कुनै पनि ack लाई अनुमति दिनुहोस्
अनुमति tcp कुनै पनि rst

जसको अर्थ SYN झण्डाको साथ कुनै प्रारम्भिक TCP खण्ड नभए पनि (अर्थात, TCP सत्र स्थापना गर्न सुरु भएन), यो ACL ले ACK झण्डा भएको प्याकेटलाई अनुमति दिनेछ, जुन आक्रमणकारीले डाटा स्थानान्तरण गर्न प्रयोग गर्न सक्छ।

त्यो हो, यो रेखाले कुनै पनि हालतमा तपाईको राउटर वा L3 स्विचलाई स्टेटफुल फायरवालमा परिणत गर्दैन।

सुरक्षा को उच्च स्तर

В लेख डेटा केन्द्रहरूमा खण्डमा, हामीले निम्न सुरक्षा विधिहरू विचार गर्यौं।

• स्टेटफुल फायरवालिङ (पूर्वनिर्धारित)
• ddos/dos सुरक्षा
• आवेदन फायरवालिङ
• खतरा रोकथाम (एन्टिभाइरस, एन्टि-स्पाइवेयर, र जोखिम)
• URL फिल्टरि filter
• डाटा फिल्टरिङ (सामग्री फिल्टरिङ)
• फाइल अवरुद्ध (फाइल प्रकार अवरुद्ध)

कार्यालयको हकमा, अवस्था उस्तै छ, तर प्राथमिकताहरू अलि फरक छन्। कार्यालय उपलब्धता (उपलब्धता) सामान्यतया डेटा केन्द्रको मामलामा जत्तिकै महत्वपूर्ण हुँदैन, जबकि "आन्तरिक" दुर्भावनापूर्ण ट्राफिकको सम्भावना उच्च परिमाणको आदेश हो।
तसर्थ, यस खण्डको लागि निम्न सुरक्षा विधिहरू महत्त्वपूर्ण हुन्छन्:

• आवेदन फायरवालिङ
• खतरा रोकथाम (एन्टि-भाइरस, एन्टि-स्पाइवेयर, र जोखिम)
• URL फिल्टरि filter
• डाटा फिल्टरिङ (सामग्री फिल्टरिङ)
• फाइल अवरुद्ध (फाइल प्रकार अवरुद्ध)

यद्यपि यी सबै सुरक्षा विधिहरू, एप्लिकेसन फायरवालिङको अपवाद बाहेक, परम्परागत रूपमा अन्तिम होस्टहरूमा (उदाहरणका लागि, एन्टिभाइरस प्रोग्रामहरू स्थापना गरेर) र प्रोक्सीहरू प्रयोग गरेर समाधान गरिँदै आएको छ, आधुनिक NGFW ले पनि यी सेवाहरू प्रदान गर्दछ।

सुरक्षा उपकरण विक्रेताहरूले व्यापक सुरक्षा सिर्जना गर्न प्रयास गर्छन्, त्यसैले स्थानीय सुरक्षाको साथसाथै, तिनीहरू होस्टहरूका लागि विभिन्न क्लाउड टेक्नोलोजीहरू र ग्राहक सफ्टवेयरहरू प्रस्ताव गर्छन् (अन्त बिन्दु सुरक्षा/ईपीपी)। त्यसैले, उदाहरणका लागि, बाट 2018 गार्टनर जादुई क्वाड्रन्ट हामी देख्छौं कि पालो अल्टो र सिस्कोको आफ्नै EPPs (PA: Traps, Cisco: AMP), तर नेताहरूबाट टाढा छन्।

तपाईंको फायरवालमा यी सुरक्षाहरू (सामान्यतया इजाजतपत्रहरू खरिद गरेर) सक्षम गर्नु अनिवार्य छैन (तपाईं परम्परागत मार्गमा जान सक्नुहुन्छ), तर यसले केही फाइदाहरू प्रदान गर्दछ:

• यस अवस्थामा, त्यहाँ सुरक्षा विधिहरूको प्रयोगको एकल बिन्दु हो, जसले दृश्यता सुधार गर्दछ (अर्को शीर्षक हेर्नुहोस्)।
• यदि तपाईंको नेटवर्कमा असुरक्षित उपकरण छ भने, यो अझै पनि फायरवाल सुरक्षाको "छाता" अन्तर्गत पर्दछ।
• अन्त-होस्ट सुरक्षाको संयोजनमा फायरवाल सुरक्षा प्रयोग गरेर, हामी खराब ट्राफिक पत्ता लगाउने सम्भावना बढाउँछौं। उदाहरणका लागि, स्थानीय होस्टहरू र फायरवालमा खतरा रोकथाम प्रयोग गर्दा पत्ता लगाउने सम्भावना बढ्छ (निश्चय पनि, यी समाधानहरू विभिन्न सफ्टवेयर उत्पादनहरूमा आधारित छन्)।

नोट

यदि, उदाहरणका लागि, तपाइँ दुबै फायरवाल र अन्तिम होस्टहरूमा एन्टिभाइरसको रूपमा क्यास्परस्की प्रयोग गर्नुहुन्छ, त्यसपछि यसले, पक्कै पनि, तपाइँको नेटवर्कमा भाइरस आक्रमण रोक्नको लागि तपाइँको संभावना बढाउँदैन।

नेटवर्क दृश्यता

मुख्य विचार सरल छ - "हेर्नुहोस्" तपाईंको नेटवर्कमा के भइरहेको छ, दुबै वास्तविक समय र ऐतिहासिक डेटामा।

म यो "दृष्टि" लाई दुई समूहमा विभाजन गर्नेछु:

समूह एक: तपाईको अनुगमन प्रणालीले तपाईलाई सामान्यतया के प्रदान गर्दछ।

• उपकरण लोड गर्दै
• च्यानलहरू लोड गर्दै
• मेमोरी प्रयोग
• डिस्क प्रयोग
• राउटिंग तालिका परिवर्तन गर्दै
• लिङ्क स्थिति
• उपकरणको उपलब्धता (वा होस्ट)
• ...

समूह दुई: सुरक्षा सम्बन्धित जानकारी।

• विभिन्न प्रकारका तथ्याङ्कहरू (उदाहरणका लागि, अनुप्रयोगद्वारा, URL ट्राफिकद्वारा, कुन प्रकारका डाटा डाउनलोड गरिएका थिए, प्रयोगकर्ताको डाटा)
• सुरक्षा नीतिहरूले के अवरुद्ध गरेको थियो र कुन कारणले, अर्थात्
  • निषेधित आवेदन
  • ip/protocol/port/flags/zones को आधारमा निषेधित
  • खतरा रोकथाम
  • url फिल्टरिङ
  • डाटा फिल्टरिङ
  • फाइल अवरुद्ध
  • ...
• DOS/DDOS आक्रमणहरूमा तथ्याङ्कहरू
• असफल पहिचान र प्राधिकरण प्रयासहरू
• माथिका सबै सुरक्षा नीति उल्लङ्घन घटनाहरूको लागि तथ्याङ्क
• ...

सुरक्षाको यस अध्यायमा, हामी दोस्रो भागमा रुचि राख्छौं।

केही आधुनिक फायरवालहरू (मेरो पालो अल्टो अनुभवबाट) राम्रो स्तरको दृश्यता प्रदान गर्दछ। तर, निस्सन्देह, तपाईंले रुचि राख्नु भएको ट्राफिक यो फायरवाल (जुन अवस्थामा तपाईंसँग ट्राफिक रोक्न सक्ने क्षमता छ) मार्फत जानुपर्छ वा फायरवालमा मिरर गरिएको हुनुपर्छ (अनुगमन र विश्लेषणका लागि मात्र प्रयोग गरिन्छ), र तपाईंसँग सबै सक्षम गर्न इजाजतपत्रहरू हुनुपर्छ। यी सेवाहरू।

निस्सन्देह, वैकल्पिक तरिका हो, वा बरु परम्परागत तरिका हो, उदाहरणका लागि,

• सत्र तथ्याङ्कहरू नेटफ्लो मार्फत सङ्कलन गर्न सकिन्छ र त्यसपछि सूचना विश्लेषण र डेटा दृश्यका लागि विशेष उपयोगिताहरू प्रयोग गर्न सकिन्छ।
• खतरा रोकथाम - अन्तिम होस्टहरूमा विशेष कार्यक्रमहरू (एन्टि-भाइरस, एन्टि-स्पाइवेयर, फायरवाल)
• URL फिल्टरिङ, डाटा फिल्टरिङ, फाइल अवरुद्ध - प्रोक्सीमा
• उदाहरणका लागि प्रयोग गरेर tcpdump को विश्लेषण गर्न पनि सम्भव छ। चकलेट

तपाईं यी दुई दृष्टिकोणहरू संयोजन गर्न सक्नुहुन्छ, छुटेका सुविधाहरूको पूरक बनाउन वा आक्रमण पत्ता लगाउने सम्भावना बढाउन तिनीहरूलाई डुप्लिकेट।

तपाईंले कुन दृष्टिकोण रोज्नुपर्छ?
तपाईको टोलीको योग्यता र प्राथमिकताहरूमा अत्यधिक निर्भर गर्दछ।
त्यहाँ र त्यहाँ दुवै पक्ष र विपक्ष छन्।

एकीकृत केन्द्रीकृत प्रमाणीकरण र प्राधिकरण प्रणाली

राम्रोसँग डिजाइन गर्दा, हामीले यस लेखमा छलफल गरेका गतिशीलताले तपाईं अफिसबाट काम गर्नुहुन्छ वा घरबाट, एयरपोर्टबाट, कफी पसलबाट वा अन्य कुनै पनि ठाउँबाट (हामीले माथि छलफल गरेका सीमितताहरू सहित) तपाईंसँग समान पहुँच छ भनी मानिन्छ। लाग्थ्यो, समस्या के हो ?
यस कार्यको जटिलतालाई अझ राम्ररी बुझ्नको लागि, एक सामान्य डिजाइन हेरौं।

उदाहरण:

• तपाईंले सबै कर्मचारीहरूलाई समूहमा विभाजन गर्नुभएको छ। तपाईंले समूहहरूद्वारा पहुँच प्रदान गर्ने निर्णय गर्नुभएको छ
• कार्यालय भित्र, तपाईंले कार्यालय फायरवालमा पहुँच नियन्त्रण गर्नुहुन्छ
• तपाईंले डाटा सेन्टर फायरवालमा अफिसबाट डाटा सेन्टरमा ट्राफिक नियन्त्रण गर्नुहुन्छ
• तपाइँ VPN गेटवेको रूपमा सिस्को ASA प्रयोग गर्नुहुन्छ र टाढाका ग्राहकहरूबाट तपाइँको नेटवर्कमा प्रवेश गर्ने ट्राफिक नियन्त्रण गर्न, तपाइँ स्थानीय (ASA मा) ACLs प्रयोग गर्नुहुन्छ।

अब, मानौं तपाईलाई एक निश्चित कर्मचारीमा थप पहुँच थप्न भनिएको छ। यस अवस्थामा, तपाईलाई उहाँमा मात्र पहुँच थप्न भनिएको छ र उहाँको समूहबाट अरू कसैलाई छैन।

यसका लागि हामीले यो कर्मचारीका लागि छुट्टै समूह बनाउनुपर्छ, त्यो हो

• यस कर्मचारीको लागि ASA मा छुट्टै आईपी पूल सिर्जना गर्नुहोस्
• ASA मा नयाँ ACL थप्नुहोस् र यसलाई टाढाको क्लाइन्टमा बाँध्नुहोस्
• कार्यालय र डाटा केन्द्र फायरवालहरूमा नयाँ सुरक्षा नीतिहरू सिर्जना गर्नुहोस्

यो घटना दुर्लभ छ भने राम्रो छ। तर मेरो अभ्यासमा त्यहाँ एक अवस्था थियो जब कर्मचारीहरूले विभिन्न परियोजनाहरूमा भाग लिएका थिए, र तिनीहरूमध्ये केहीका लागि परियोजनाहरूको यो सेट प्रायः परिवर्तन भयो, र यो 1-2 व्यक्ति होइन, तर दर्जनौं थियो। निस्सन्देह, यहाँ केहि परिवर्तन गर्न आवश्यक छ।

यो निम्न तरिकामा हल गरियो।

हामीले निर्णय गर्यौं कि LDAP सत्यको एक मात्र स्रोत हुनेछ जसले सबै सम्भावित कर्मचारी पहुँचहरू निर्धारण गर्दछ। हामीले पहुँचका सेटहरू परिभाषित गर्ने सबै प्रकारका समूहहरू सिर्जना गर्यौं, र हामीले प्रत्येक प्रयोगकर्तालाई एक वा बढी समूहहरूमा तोक्यौं।

त्यसोभए, उदाहरणका लागि, मानौं त्यहाँ समूहहरू थिए

• अतिथि (इन्टरनेट पहुँच)
• साझा पहुँच (साझा स्रोतहरूमा पहुँच: मेल, ज्ञान आधार, ...)
• लेखा
• परियोजना २२२२०
• परियोजना २२२२०
• डाटा बेस प्रशासक
• लिनक्स प्रशासक
• ...

र यदि कर्मचारीहरू मध्ये एक परियोजना 1 र परियोजना 2 मा संलग्न थियो, र उसलाई यी परियोजनाहरूमा काम गर्न आवश्यक पहुँच चाहिन्छ, त्यसपछि यो कर्मचारीलाई निम्न समूहहरूमा नियुक्त गरिएको थियो:

• अतिथि
• साझा पहुँच
• परियोजना २२२२०
• परियोजना २२२२०

अब हामी कसरी नेटवर्क उपकरणहरूमा पहुँचमा यो जानकारी बदल्न सक्छौं?

सिस्को एएसए डायनामिक पहुँच नीति (डीएपी) (हेर्नुहोस् www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) समाधान यो कार्यको लागि सही छ।

हाम्रो कार्यान्वयनको बारेमा छोटकरीमा, पहिचान/अधिकार प्रक्रियाको क्रममा, ASA ले LDAP बाट दिइएको प्रयोगकर्तासँग सम्बन्धित समूहहरूको सेट प्राप्त गर्दछ र धेरै स्थानीय ACL बाट "संकलन गर्दछ" (जसमध्ये प्रत्येक समूहसँग मेल खान्छ) सबै आवश्यक पहुँचहरू सहितको गतिशील ACL। , जुन हाम्रो इच्छासँग पूर्ण रूपमा मेल खान्छ।

तर यो VPN जडानहरूको लागि मात्र हो। VPN मार्फत जडान भएका कर्मचारीहरू र कार्यालयमा रहेका दुवैको अवस्था समान बनाउन निम्न कदम चालिएको थियो।

अफिसबाट जडान गर्दा, 802.1x प्रोटोकल प्रयोग गर्ने प्रयोगकर्ताहरू या त अतिथि LAN (अतिथिहरूका लागि) वा साझा LAN (कम्पनी कर्मचारीहरूका लागि) मा समाप्त हुन्छन्। यसबाहेक, विशिष्ट पहुँच प्राप्त गर्न (उदाहरणका लागि, डाटा सेन्टरमा परियोजनाहरूमा), कर्मचारीहरूले VPN मार्फत जडान गर्नुपर्ने थियो।

कार्यालय र घरबाट जडान गर्न, ASA मा विभिन्न सुरुङ समूहहरू प्रयोग गरियो। यो आवश्यक छ ताकि कार्यालयबाट जडान गर्नेहरूका लागि साझा स्रोतहरूमा ट्राफिक (सबै कर्मचारीहरू, जस्तै मेल, फाइल सर्भरहरू, टिकट प्रणाली, dns, ...) मार्फत ASA मार्फत जाँदैन, तर स्थानीय नेटवर्क मार्फत जान्छ। । यसैले, हामीले ASA लाई उच्च-तीव्रता ट्राफिक सहित अनावश्यक ट्राफिकको साथ लोड गरेनौं।

यसरी, समस्या समाधान भयो।
हामीले पायौ

• कार्यालय र रिमोट जडानहरू दुबै जडानहरूको लागि पहुँचको समान सेट
• ASA मार्फत उच्च-तीव्रता ट्राफिकको प्रसारणसँग सम्बन्धित कार्यालयबाट काम गर्दा सेवा ह्रासको अभाव

यो दृष्टिकोण को अन्य लाभ के हो?
पहुँच प्रशासन मा। पहुँच एकै ठाउँमा सजिलै परिवर्तन गर्न सकिन्छ।
उदाहरणका लागि, यदि एक कर्मचारीले कम्पनी छोड्छ भने, त्यसपछि तपाईले उसलाई LDAP बाट हटाउनुहुन्छ, र उसले स्वचालित रूपमा सबै पहुँच गुमाउँछ।

होस्ट जाँच

रिमोट जडानको सम्भावनाको साथ, हामी नेटवर्कमा कम्पनीको कर्मचारीलाई मात्र अनुमति दिने जोखिममा छैन, तर सबै खराब सफ्टवेयरहरू जुन उसको कम्प्युटर (उदाहरणका लागि, घर) मा अवस्थित छ, र यसबाहेक, यस सफ्टवेयर मार्फत हामी यो होस्टलाई प्रोक्सीको रूपमा प्रयोग गरेर आक्रमणकारीलाई हाम्रो नेटवर्कमा पहुँच प्रदान गरिरहेको हुन सक्छ।

अफिसमा होस्टको रूपमा उही सुरक्षा आवश्यकताहरू लागू गर्न टाढाबाट जडान गरिएको होस्टको लागि यसले अर्थ दिन्छ।

यसले OS को "सही" संस्करण, एन्टि-भाइरस, एन्टि-स्पाइवेयर, र फायरवाल सफ्टवेयर र अपडेटहरू पनि मान्दछ। सामान्यतया, यो क्षमता VPN गेटवे मा अवस्थित छ (एएसए को लागी हेर्नुहोस्, उदाहरण को लागी, यहाँ).

तपाईको सुरक्षा नीति अफिस ट्राफिकमा लागू हुने ट्राफिक विश्लेषण र अवरुद्ध गर्ने प्रविधिहरू ("उच्च स्तरको सुरक्षा" हेर्नुहोस्) लागू गर्नु पनि बुद्धिमानी हो।

तपाईको अफिस नेटवर्क अब अफिस भवन र त्यस भित्रका होस्टहरूमा मात्र सीमित छैन भनी मान्न उचित छ।

उदाहरण:

एउटा राम्रो प्रविधि भनेको प्रत्येक कर्मचारीलाई राम्रो, सुविधाजनक ल्यापटपको साथ रिमोट पहुँच चाहिने र उनीहरूलाई कार्यालय र घर दुवैबाट, त्यसबाट मात्र काम गर्न आवश्यक छ प्रदान गर्नु हो।

यसले तपाईको सञ्जालको सुरक्षालाई मात्र सुधार गर्दैन, तर यो साँच्चै सुविधाजनक पनि छ र सामान्यतया कर्मचारीहरूले राम्रोसँग हेर्छन् (यदि यो वास्तवमै राम्रो, प्रयोगकर्ता-मैत्री ल्यापटप हो)।

अनुपात र सन्तुलन को भावना को बारे मा

मूलतया, यो हाम्रो त्रिकोणको तेस्रो शीर्षको बारेमा कुराकानी हो - मूल्यको बारेमा।
एक काल्पनिक उदाहरण हेरौं।

उदाहरण:

तपाईंसँग 200 जनाको कार्यालय छ। तपाईंले यसलाई सकेसम्म सुविधाजनक र सुरक्षित बनाउने निर्णय गर्नुभयो।

तसर्थ, तपाईंले फायरवाल मार्फत सबै ट्राफिक पास गर्ने निर्णय गर्नुभयो र यसरी सबै अफिस सबनेटहरूको लागि फायरवाल पूर्वनिर्धारित गेटवे हो। प्रत्येक अन्तिम होस्ट (एन्टि-भाइरस, एन्टि-स्पाइवेयर, र फायरवाल सफ्टवेयर) मा स्थापित सुरक्षा सफ्टवेयरको अतिरिक्त, तपाईंले फायरवालमा सबै सम्भावित सुरक्षा विधिहरू लागू गर्ने निर्णय पनि गर्नुभयो।

उच्च जडान गति (सबै सुविधाको लागि) सुनिश्चित गर्न, तपाईंले पहुँच स्विचको रूपमा 10 गिगाबिट पहुँच पोर्टहरू, र फायरवालहरूको रूपमा उच्च-कार्यक्षमता NGFW फायरवालहरू, उदाहरणका लागि, Palo Alto 7K श्रृंखला (40 Gigabit पोर्टहरू सहित), स्वाभाविक रूपमा सबै इजाजतपत्रहरू सहितको स्विचहरू छनौट गर्नुभयो। समावेश र, स्वाभाविक रूपमा, एक उच्च उपलब्धता जोडी।

साथै, पक्कै पनि, उपकरणको यस लाइनसँग काम गर्न हामीलाई कम्तिमा दुई उच्च योग्य सुरक्षा इन्जिनियरहरू चाहिन्छ।

अर्को, तपाईंले प्रत्येक कर्मचारीलाई राम्रो ल्यापटप दिने निर्णय गर्नुभयो।

कुल, कार्यान्वयनको लागि करिब १० मिलियन डलर, इन्जिनियरहरूको वार्षिक सहयोग र तलबको लागि सयौं हजार डलर (मलाई लाग्छ एक मिलियन भन्दा बढी)।

कार्यालय, 200 जना...
आरामदायी? मलाई लाग्छ यो हो।

तपाईं आफ्नो व्यवस्थापनमा यो प्रस्ताव लिएर आउनुहोस् ...
सायद संसारमा धेरै कम्पनीहरू छन् जसको लागि यो स्वीकार्य र सही समाधान हो। यदि तपाईं यस कम्पनीको कर्मचारी हुनुहुन्छ भने, मेरो बधाई छ, तर धेरै जसो केसहरूमा, म पक्का छु कि तपाईंको ज्ञानको व्यवस्थापनले प्रशंसा गर्नेछैन।

के यो उदाहरण अतिरञ्जित छ? अर्को अध्यायले यस प्रश्नको जवाफ दिनेछ।

यदि तपाइँको नेटवर्कमा तपाइँ माथिको कुनै पनि देख्नुहुन्न भने, यो सामान्य हो।
प्रत्येक विशिष्ट मामलाको लागि, तपाईंले सुविधा, मूल्य र सुरक्षा बीच आफ्नो उचित सम्झौता खोज्न आवश्यक छ। अक्सर तपाईंलाई आफ्नो कार्यालयमा NGFW आवश्यक पर्दैन, र फायरवालमा L7 सुरक्षा आवश्यक पर्दैन। यो दृश्यता र सतर्कता को एक राम्रो स्तर प्रदान गर्न पर्याप्त छ, र यो खुला स्रोत उत्पादनहरू प्रयोग गर्न सकिन्छ, उदाहरणका लागि। हो, आक्रमणको लागि तपाइँको प्रतिक्रिया तुरुन्तै हुनेछैन, तर मुख्य कुरा यो हो कि तपाइँ यसलाई देख्नुहुनेछ, र तपाइँको विभाग मा सही प्रक्रियाहरु संग, तपाइँ यसलाई छिटो बेअसर गर्न सक्षम हुनुहुनेछ।

र मलाई सम्झाउन दिनुहोस् कि, लेखहरूको यो श्रृंखलाको अवधारणा अनुसार, तपाइँ नेटवर्क डिजाइन गर्दै हुनुहुन्छ, तपाइँ केवल तपाइँले प्राप्त गरेको सुधार गर्न कोशिस गर्दै हुनुहुन्छ।

कार्यालय वास्तुकला को सुरक्षित विश्लेषण

यो रातो वर्गमा ध्यान दिनुहोस् जसको साथ मैले रेखाचित्रमा एक ठाउँ छुट्याएको छु SAFE सुरक्षित क्याम्पस वास्तुकला गाइडजुन म यहाँ चर्चा गर्न चाहन्छु।

यो वास्तुकलाको मुख्य स्थानहरू मध्ये एक हो र सबैभन्दा महत्त्वपूर्ण अनिश्चितताहरू मध्ये एक हो।

नोट

मैले फायरपावरसँग कहिल्यै सेटअप वा काम गरेको छैन (सिस्कोको फायरवाल लाइनबाट - ASA मात्र), त्यसैले म यसलाई जुनिपर एसआरएक्स वा पालो अल्टो जस्ता अन्य कुनै पनि फायरवाल जस्तै व्यवहार गर्नेछु, यसमा समान क्षमताहरू छन् भनी मान्दै।

सामान्य डिजाइनहरू मध्ये, मैले यो जडानको साथ फायरवाल प्रयोग गर्नका लागि केवल 4 सम्भावित विकल्पहरू देख्छु:

• प्रत्येक सबनेटको लागि पूर्वनिर्धारित गेटवे एक स्विच हो, जबकि फायरवाल पारदर्शी मोडमा हुन्छ (अर्थात, सबै ट्राफिक यसबाट जान्छ, तर यसले L3 हप बनाउँदैन)
• प्रत्येक सबनेटको लागि पूर्वनिर्धारित गेटवे फायरवाल सब-इन्टरफेसहरू (वा SVI इन्टरफेसहरू) हो, स्विचले L2 को भूमिका खेल्छ।
• स्विचमा विभिन्न VRFs प्रयोग गरिन्छ, र VRF हरू बीचको ट्राफिक फायरवाल मार्फत जान्छ, एक VRF भित्रको ट्राफिक स्विचमा ACL द्वारा नियन्त्रित हुन्छ।
• सबै ट्राफिक विश्लेषण र निगरानीको लागि फायरवालमा मिरर गरिएको छ; ट्राफिक यस मार्फत जाँदैन

टिप्पणी १

यी विकल्पहरूको संयोजन सम्भव छ, तर सादगीको लागि हामी तिनीहरूलाई विचार गर्दैनौं।

नोट २

त्यहाँ PBR (सर्भिस चेन आर्किटेक्चर) प्रयोग गर्ने सम्भावना पनि छ, तर अहिलेको लागि यो, यद्यपि मेरो विचारमा एक सुन्दर समाधान, बरु विदेशी छ, त्यसैले म यसलाई यहाँ विचार गरिरहेको छैन।

कागजातमा प्रवाहहरूको विवरणबाट, हामी देख्छौं कि ट्राफिक अझै फायरवाल मार्फत जान्छ, अर्थात्, सिस्को डिजाइनको अनुसार, चौथो विकल्प हटाइएको छ।

पहिले पहिलो दुई विकल्प हेरौं।
यी विकल्पहरूसँग, सबै ट्राफिक फायरवाल मार्फत जान्छ।

अब हेरौं डाटा पाना, हेर सिस्को GPL र हामी देख्छौं कि यदि हामी हाम्रो अफिसको कुल ब्यान्डविथ कम्तिमा १० - २० गिगाबिट्सको वरिपरि होस् भन्ने चाहन्छौं भने, हामीले 10K संस्करण किन्नु पर्छ।

नोट

जब म कुल ब्यान्डविथको बारेमा कुरा गर्छु, मेरो मतलब सबनेटहरू बीचको ट्राफिक (र एउटा भिलाना भित्र होइन)।

GPL बाट हामी देख्छौं कि HA बन्डल विथ थ्रेट डिफेन्सको लागि, मोडेल (4110 - 4150) मा आधारित मूल्य ~ 0,5 - 2,5 मिलियन डलरबाट भिन्न हुन्छ।

त्यो हो, हाम्रो डिजाइन अघिल्लो उदाहरण जस्तै हुन सुरु हुन्छ।

के यसको मतलब यो डिजाइन गलत छ?
होइन, यसको मतलब यो होइन। Cisco ले तपाईंलाई उत्पादन लाइनको आधारमा उत्तम सम्भावित सुरक्षा दिन्छ। तर यसको मतलब यो होइन कि यो तपाईंको लागि गर्नै पर्छ।

सिद्धान्तमा, यो एक साधारण प्रश्न हो जुन एक कार्यालय वा डाटा केन्द्र डिजाइन गर्दा उठ्छ, र यसको मतलब मात्र एक सम्झौता खोज्न आवश्यक छ।

उदाहरणका लागि, सबै ट्राफिकलाई फायरवाल मार्फत जान नदिनुहोस्, जसमा विकल्प 3 मलाई राम्रो लाग्छ, वा (अघिल्लो खण्ड हेर्नुहोस्) सायद तपाईंलाई थ्रेट डिफेन्सको आवश्यकता पर्दैन वा त्यसमा फायरवाल आवश्यक पर्दैन। सञ्जाल खण्ड, र तपाईंले सशुल्क (महँगो छैन) वा खुला स्रोत समाधानहरू प्रयोग गरेर निष्क्रिय निगरानीमा आफैलाई सीमित गर्न आवश्यक छ, वा तपाईंलाई फायरवाल चाहिन्छ, तर फरक विक्रेताबाट।

सामान्यतया त्यहाँ सधैं यो अनिश्चितता हुन्छ र तपाइँको लागि कुन निर्णय उत्तम हो भन्ने कुनै स्पष्ट जवाफ छैन।
यो यस कार्यको जटिलता र सुन्दरता हो।

स्रोत: www.habr.com