यो लेख "तपाईंको नेटवर्क पूर्वाधारको नियन्त्रण कसरी लिने" शृङ्खलाको चौथो हो। श्रृंखला र लिङ्कहरूमा सबै लेखहरूको सामग्रीहरू फेला पार्न सकिन्छ यहाँ.

В पहिलो भाग यस अध्यायमा, हामीले डाटा सेन्टर खण्डमा नेटवर्क सुरक्षाका केही पक्षहरूलाई हेरेका छौं। यो भाग "इन्टरनेट पहुँच" खण्डमा समर्पित हुनेछ।

इन्टरनेट पहुँच

सुरक्षाको विषय निस्सन्देह डाटा नेटवर्कको संसारमा सबैभन्दा जटिल विषयहरू मध्ये एक हो। अघिल्लो केसहरूमा जस्तै, गहिराइ र पूर्णताको दाबी नगरी, म यहाँ एकदम सरल विचार गर्नेछु, तर, मेरो विचारमा, महत्त्वपूर्ण प्रश्नहरू, जसको जवाफ, मलाई आशा छ, तपाईंको नेटवर्कको सुरक्षा स्तर बढाउन मद्दत गर्नेछ।

यस खण्डको अडिट गर्दा, निम्न पक्षहरूमा ध्यान दिनुहोस्:

• डिजाइन
• BGP सेटिङहरू
• DOS/DDOS सुरक्षा
• फायरवालमा ट्राफिक फिल्टरिङ

डिजाइन

इन्टरप्राइज नेटवर्कको लागि यस खण्डको डिजाइनको उदाहरणको रूपमा, म सिफारिस गर्दछु गाईड भित्र सिस्को बाट सुरक्षित मोडेलहरू.

निस्सन्देह, सायद अन्य विक्रेताहरूको समाधान तपाईलाई अझ आकर्षक देखिन्छ (हेर्नुहोस्। गार्टनर क्वाड्रन्ट 2018), तर तपाईलाई यस डिजाइनलाई विस्तृत रूपमा पछ्याउन प्रोत्साहन नगरी, मलाई अझै पनि यसको पछाडिका सिद्धान्त र विचारहरू बुझ्न उपयोगी लाग्छ।

नोट

SAFE मा, "रिमोट पहुँच" खण्ड "इन्टरनेट पहुँच" खण्डको अंश हो। तर लेखहरूको यस श्रृंखलामा हामी यसलाई छुट्टै विचार गर्नेछौं।

एक उद्यम नेटवर्क को लागी यस खण्ड मा उपकरण को मानक सेट छ

• सीमा राउटरहरू
• फायरवालहरू

टिप्पणी १

लेखहरूको यस श्रृंखलामा, जब म फायरवालहरूको बारेमा कुरा गर्छु, मेरो मतलब NGFW.

टिप्पणी १

L2/L1 जडान सुनिश्चित गर्न आवश्यक L2/L3 वा ओभरले L1 को विभिन्न प्रकारका L2 समाधानहरूको विचारलाई छोड्छु र L3 स्तर र माथिका समस्याहरूमा मात्र सीमित छु। आंशिक रूपमा, L1/L2 मुद्दाहरू अध्याय "मा छलफल गरियो।सरसफाई र दस्तावेजीकरण"।

यदि तपाईंले यस खण्डमा फायरवाल फेला पार्नुभएन भने, तपाईंले निष्कर्षमा पुग्न हतार गर्नु हुँदैन।

मा जस्तै गरौं अघिल्लो भागप्रश्नको साथ सुरु गरौं: यो खण्डमा फायरवाल प्रयोग गर्न आवश्यक छ तपाईको मामलामा?

म भन्न सक्छु कि यो फायरवालहरू प्रयोग गर्न र जटिल ट्राफिक फिल्टरिंग एल्गोरिदमहरू लागू गर्नको लागि सबैभन्दा उचित ठाउँ जस्तो देखिन्छ। IN भाग 1 हामीले 4 कारकहरू उल्लेख गरेका छौं जसले डेटा केन्द्र खण्डमा फायरवालहरूको प्रयोगमा हस्तक्षेप गर्न सक्छ। तर यहाँ तिनीहरू अब त्यति महत्त्वपूर्ण छैनन्।

उदाहरण 1। ढिलाइ

जहाँसम्म इन्टरनेटको सवाल छ, त्यहाँ लगभग 1 मिलिसेकेन्डको ढिलाइको बारेमा कुरा गर्नुको कुनै अर्थ छैन। त्यसकारण, यस खण्डमा ढिलाइ फायरवालको प्रयोगलाई सीमित गर्ने कारक हुन सक्दैन।

उदाहरण 2। उत्पादकता

केहि अवस्थामा यो कारक अझै पनि महत्त्वपूर्ण हुन सक्छ। त्यसकारण, तपाईंले फायरवाललाई बाइपास गर्न केही ट्राफिक (उदाहरणका लागि, लोड ब्यालेन्सरहरूबाट ट्राफिक) लाई अनुमति दिनुपर्ने हुन सक्छ।

उदाहरण 3। विश्वसनीयता

यो कारक अझै पनि खातामा लिनु आवश्यक छ, तर अझै पनि, इन्टरनेट को अविश्वसनीयता दिएर, यस खण्ड को लागी यसको महत्व डाटा केन्द्र को लागी महत्वपूर्ण छैन।

त्यसोभए, मानौं कि तपाईंको सेवा http/https (छोटो सत्रहरूको साथ) को शीर्षमा रहन्छ। यस अवस्थामा, तपाईले दुईवटा स्वतन्त्र बक्सहरू (HA बिना) प्रयोग गर्न सक्नुहुन्छ र यदि ती मध्ये एउटामा मार्ग समस्या छ भने, सबै ट्राफिकलाई दोस्रोमा स्थानान्तरण गर्नुहोस्।

वा तपाइँ पारदर्शी मोडमा फायरवालहरू प्रयोग गर्न सक्नुहुन्छ र, यदि तिनीहरू असफल भएमा, समस्या समाधान गर्दा ट्राफिकलाई फायरवाल बाइपास गर्न अनुमति दिनुहोस्।

त्यसैले, सम्भवतः मात्र मूल्य यो खण्डमा फायरवालहरूको प्रयोग त्याग्न तपाईंलाई बाध्य पार्ने कारक हुन सक्छ।

महत्वपूर्ण!

यो फायरवाललाई डाटा सेन्टर फायरवालसँग जोड्ने प्रलोभन छ (यी खण्डहरूको लागि एउटा फायरवाल प्रयोग गर्नुहोस्)। समाधान, सिद्धान्तमा, सम्भव छ, तर तपाईंले त्यो बुझ्न आवश्यक छ किनभने इन्टरनेट पहुँच फायरवाल वास्तवमा तपाईंको रक्षाको अग्रभागमा छ र कम्तिमा केही दुर्भावनापूर्ण ट्राफिकहरू "लगाउँछ", त्यसोभए, तपाईंले यो फायरवाल असक्षम हुने बढ्दो जोखिमलाई ध्यानमा राख्नु पर्छ। त्यो हो, यी दुई खण्डहरूमा उही यन्त्रहरू प्रयोग गरेर, तपाईंले आफ्नो डेटा केन्द्र खण्डको उपलब्धतालाई उल्लेखनीय रूपमा कम गर्नुहुनेछ।

सधैंको रूपमा, तपाईंले यो बुझ्न आवश्यक छ कि कम्पनीले प्रदान गर्ने सेवाको आधारमा, यस खण्डको डिजाइन धेरै फरक हुन सक्छ। सधैं जस्तै, तपाइँ तपाइँको आवश्यकताहरु को आधार मा बिभिन्न दृष्टिकोणहरु छनोट गर्न सक्नुहुन्छ।

उदाहरण:

यदि तपाइँ सामग्री प्रदायक हुनुहुन्छ भने, CDN नेटवर्कको साथ (हेर्नुहोस्, उदाहरणका लागि, लेखहरूको श्रृंखला), त्यसोभए तपाईंले ट्राफिक राउटिङ र फिल्टरिङका लागि छुट्टाछुट्टै यन्त्रहरू प्रयोग गरेर दर्जनौं वा सयौं बिन्दुहरूमा पनि पूर्वाधार सिर्जना गर्न चाहनुहुन्न। यो महँगो हुनेछ, र यो केवल अनावश्यक हुन सक्छ।

BGP को लागी तपाईसँग समर्पित राउटरहरू हुनु आवश्यक छैन, तपाईले खुला स्रोत उपकरणहरू प्रयोग गर्न सक्नुहुन्छ जस्तै क्वाग्गा। त्यसोभए तपाईलाई चाहिन्छ केवल एक सर्भर वा धेरै सर्भरहरू, एक स्विच र BGP।

यस अवस्थामा, तपाइँको सर्भर वा धेरै सर्भरहरूले CDN सर्भर मात्र नभई राउटरको पनि भूमिका खेल्न सक्छ। निस्सन्देह, त्यहाँ अझै धेरै विवरणहरू छन् (जस्तै कसरी सन्तुलन सुनिश्चित गर्ने), तर यो सम्भव छ, र यो एक दृष्टिकोण हो जुन हामीले हाम्रा साझेदारहरू मध्ये एकको लागि सफलतापूर्वक प्रयोग गरेका छौं।

तपाईंसँग पूर्ण सुरक्षा (फायरवालहरू, तपाईंको इन्टरनेट प्रदायकहरूद्वारा उपलब्ध गराइएका DDOS सुरक्षा सेवाहरू) र L2 स्विचहरू र सर्भरहरूको साथमा दर्जनौं वा सयौं "सरलीकृत" बिन्दुहरू भएका धेरै डाटा केन्द्रहरू हुन सक्छन्।

तर यस मामला मा सुरक्षा के बारे मा?

उदाहरणका लागि, भर्खरै लोकप्रिय हेरौं DNS प्रवर्धन DDOS आक्रमण। यसको खतरा यस तथ्यमा निहित छ कि ठूलो मात्रामा ट्राफिक उत्पन्न हुन्छ, जसले तपाइँका सबै अपलिङ्कहरूको १००% "क्लग" गर्दछ।

हाम्रो डिजाइन को मामला मा हामी के छ।

• यदि तपाइँ AnyCast प्रयोग गर्नुहुन्छ भने, त्यसपछि ट्राफिक तपाइँको उपस्थिति बिन्दुहरू बीच वितरण गरिन्छ। यदि तपाइँको कुल ब्यान्डविथ टेराबिट्स हो भने, यो आफैमा वास्तवमा (यद्यपि, हालै टेराबिटको क्रममा मालिसियस ट्राफिकको साथ धेरै आक्रमणहरू भएका छन्) तपाइँलाई "ओभरफ्लो" अपलिङ्कहरूबाट जोगाउँछ।
• यदि, यद्यपि, केहि अपलिङ्कहरू बन्द भएमा, त्यसपछि तपाइँ केवल यो साइटलाई सेवाबाट हटाउनुहुन्छ (उपसर्ग विज्ञापन रोक्नुहोस्)
• तपाईं आफ्नो "पूर्ण" (र, तदनुसार, सुरक्षित) डाटा केन्द्रहरूबाट पठाइएका ट्राफिकको अंश पनि बढाउन सक्नुहुन्छ, यसरी उपस्थितिको असुरक्षित बिन्दुहरूबाट दुर्भावनापूर्ण ट्राफिकको महत्त्वपूर्ण भाग हटाएर।

र यो उदाहरणको लागि अर्को सानो नोट। यदि तपाईंले IX मार्फत पर्याप्त ट्राफिक पठाउनुभयो भने, त्यसले त्यस्ता आक्रमणहरूमा तपाईंको जोखिमलाई पनि कम गर्छ

BGP स्थापना गर्दै

यहाँ दुईवटा विषय छन्।

• जडान
• BGP स्थापना गर्दै

हामीले पहिले नै जडानको बारेमा थोरै कुरा गरिसकेका छौं भाग 1। बिन्दु भनेको सुनिश्चित गर्नु हो कि तपाइँका ग्राहकहरु लाई ट्राफिक इष्टतम मार्ग पछ्याउँछ। यद्यपि इष्टतमता सधैं विलम्बताको बारेमा मात्र होइन, कम विलम्बता सामान्यतया इष्टतमताको मुख्य सूचक हो। केहि कम्पनीहरु को लागी यो अधिक महत्त्वपूर्ण छ, केहि को लागी यो कम छ। यो सबै तपाईंले प्रदान गर्ने सेवामा निर्भर गर्दछ।

उदाहरणका 1

यदि तपाईं एक एक्सचेन्ज हुनुहुन्छ भने, र मिलिसेकेन्ड भन्दा कम समय अन्तरालहरू तपाईंको ग्राहकहरूको लागि महत्त्वपूर्ण छन्, त्यसोभए, त्यहाँ कुनै पनि प्रकारको इन्टरनेटको बारेमा कुनै पनि कुरा हुन सक्दैन।

उदाहरणका 2

यदि तपाईं एक गेमिङ कम्पनी हुनुहुन्छ र दसौं मिलिसेकेन्डहरू तपाईंको लागि महत्त्वपूर्ण छन् भने, पक्कै पनि, जडान तपाईंको लागि धेरै महत्त्वपूर्ण छ।

उदाहरणका 3

तपाईंले यो पनि बुझ्नु आवश्यक छ, TCP प्रोटोकलको गुणहरूको कारणले गर्दा, एक TCP सत्र भित्र डाटा स्थानान्तरण दर पनि RTT (राउन्ड ट्रिप टाइम) मा निर्भर गर्दछ। CDN नेटवर्कहरू पनि यस सामग्रीको उपभोक्ताको नजिक सामग्री वितरण सर्भरहरू सार्दै यो समस्या समाधान गर्न निर्माण भइरहेको छ।

कनेक्टिभिटीको अध्ययन आफैमा एक रोचक विषय हो, यसको आफ्नै लेख वा लेखहरूको श्रृंखलाको लागि योग्य छ, र इन्टरनेटले कसरी काम गर्छ भन्ने राम्रो बुझाइ चाहिन्छ।

उपयोगी स्रोतहरू:

ripe.net
bgp.he.net

उदाहरण:

म एउटा सानो उदाहरण मात्र दिन्छु।

मानौं कि तपाईको डाटा सेन्टर मस्कोमा अवस्थित छ, र तपाईसँग एकल अपलिंक छ - Rostelecom (AS12389)। यस अवस्थामा (एकल घरमा) तपाईंलाई BGP आवश्यक पर्दैन, र तपाईंले सम्भवतः Rostelecom को ठेगाना पूललाई ​​सार्वजनिक ठेगानाहरूको रूपमा प्रयोग गर्नुहुन्छ।

मानौं कि तपाइँ एक निश्चित सेवा प्रदान गर्नुहुन्छ, र तपाइँसँग युक्रेनका ग्राहकहरूको पर्याप्त संख्या छ, र उनीहरूले लामो ढिलाइको बारेमा गुनासो गर्छन्। तपाईंको अनुसन्धानको क्रममा, तपाईंले पत्ता लगाउनुभयो कि तिनीहरूमध्ये केहीका IP ठेगानाहरू 37.52.0.0/21 ग्रिडमा छन्।

ट्रेसरुट चलाएर, तपाईंले AS1299 (Telia) मार्फत ट्राफिक गइरहेको देख्नुभयो, र पिङ चलाएर, तपाईंले 70 - 80 मिलिसेकेन्डको औसत RTT पाउनुभयो। तपाइँ यसलाई मा पनि हेर्न सक्नुहुन्छ हेर्ने गिलास Rostelecom.

whois उपयोगिता प्रयोग गरेर (ripe.net वा स्थानीय उपयोगितामा), तपाइँ सजिलैसँग ब्लक 37.52.0.0/21 AS6849 (Ukrtelecom) को हो भनेर निर्धारण गर्न सक्नुहुन्छ।

अर्को, गएर bgp.he.net तपाईंले देख्नुहुन्छ कि AS6849 सँग AS12389 कुनै सम्बन्ध छैन (तिनीहरू न त ग्राहक हुन् न एक अर्कामा अपलिङ्कहरू छन्, न त तिनीहरूसँग पियरिङ छ)। तर हेर्ने हो भने साथीहरूको सूची AS6849 को लागि, तपाईंले देख्नुहुनेछ, उदाहरणका लागि, AS29226 (Mastertel) र AS31133 (Megafon)।

एकचोटि तपाईंले यी प्रदायकहरूको खोजी गिलास फेला पारेपछि, तपाईंले पथ र RTT तुलना गर्न सक्नुहुन्छ। उदाहरण को लागी, Mastertel RTT को लागी लगभग 30 मिलिसेकेन्ड हुनेछ।

त्यसोभए, यदि तपाईंको सेवाको लागि 80 र 30 मिलिसेकेन्डहरू बीचको भिन्नता महत्त्वपूर्ण छ भने, त्यसोभए तपाईंले कनेक्टिभिटीको बारेमा सोच्नुपर्छ, आफ्नो AS नम्बर, RIPE बाट तपाईंको ठेगाना पूल प्राप्त गर्नुहोस् र थप अपलिङ्कहरू जडान गर्नुहोस् र/वा IX मा उपस्थितिको बिन्दुहरू सिर्जना गर्नुहोस्।

जब तपाइँ BGP प्रयोग गर्नुहुन्छ, तपाइँसँग जडान सुधार गर्ने अवसर मात्र छैन, तर तपाइँले अनावश्यक रूपमा तपाइँको इन्टरनेट जडान कायम राख्नुहुन्छ।

यो कागजात BGP कन्फिगर गर्नका लागि सिफारिसहरू समावेश गर्दछ। यी सिफारिसहरू प्रदायकहरूको "उत्तम अभ्यास" को आधारमा विकसित गरिएको तथ्यको बावजुद, अझै पनि (यदि तपाइँको BGP सेटिङहरू एकदम आधारभूत छैनन्) तिनीहरू निस्सन्देह उपयोगी छन् र वास्तवमा हामीले छलफल गरेको कठोरताको अंश हुनुपर्छ। पहिलो भाग.

DOS/DDOS सुरक्षा

अब DOS/DDOS आक्रमणहरू धेरै कम्पनीहरूको लागि दैनिक वास्तविकता भएको छ। वास्तवमा, तपाईलाई प्रायः कुनै न कुनै रूपमा आक्रमण गरिन्छ। तपाईंले अहिलेसम्म यो याद गर्नुभएन भन्ने तथ्यको मतलब यो हो कि तपाईं विरुद्ध लक्षित आक्रमण अझै व्यवस्थित गरिएको छैन, र तपाईंले प्रयोग गर्नुहुने सुरक्षा उपायहरू, सायद यो थाहा नभए पनि (अपरेटिङ सिस्टमका विभिन्न निर्मित सुरक्षाहरू), पर्याप्त छन्। सुनिश्चित गर्नुहोस् कि तपाइँ र तपाइँका ग्राहकहरु को लागी प्रदान गरिएको सेवा को ह्रास कम हो।

त्यहाँ इन्टरनेट स्रोतहरू छन्, उपकरण लगहरूमा आधारित, वास्तविक समयमा सुन्दर आक्रमण नक्साहरू कोर्नुहोस्।

यो छ तपाईं तिनीहरूलाई लिङ्कहरू फेला पार्न सक्नुहुन्छ।

मेरो प्यारो कार्ड चेकपोइन्टबाट।

DDOS/DOS विरुद्ध सुरक्षा सामान्यतया स्तरित हुन्छ। किन बुझ्नको लागि, तपाईंले DOS/DDOS आक्रमणका प्रकारहरू अवस्थित छन् भनेर बुझ्न आवश्यक छ (उदाहरणका लागि, हेर्नुहोस् यहाँ वा यहाँ)

त्यो हो, हामीसँग तीन प्रकारका आक्रमणहरू छन्:

• भोल्युमेट्रिक आक्रमणहरू
• प्रोटोकल आक्रमणहरू
• आवेदन आक्रमण

यदि तपाईंले अन्तिम दुई प्रकारका आक्रमणहरूबाट आफूलाई सुरक्षित गर्न सक्नुहुन्छ, उदाहरणका लागि, फायरवालहरू, तब तपाईंले आफ्नो अपलिङ्कहरू "अत्यधिक" गर्ने उद्देश्यले आक्रमणहरूबाट आफूलाई जोगाउन सक्नुहुन्न (अवश्य पनि, यदि तपाईंको इन्टरनेट च्यानलहरूको कुल क्षमता टेराबिटमा गणना गरिएको छैन भने, वा अझ राम्रो, दस टेराबिटमा)।

त्यसकारण, रक्षाको पहिलो पङ्क्ति भनेको "भोल्युमेट्रिक" आक्रमणहरू विरुद्धको सुरक्षा हो, र तपाईंको प्रदायक वा प्रदायकहरूले तपाईंलाई यो सुरक्षा प्रदान गर्नुपर्छ। यदि तपाईंले अहिलेसम्म यो महसुस गर्नुभएको छैन भने, त्यसपछि तपाईं अहिलेको लागि भाग्यशाली हुनुहुन्छ।

उदाहरण:

मानौं तपाईंसँग धेरै अपलिङ्कहरू छन्, तर प्रदायकहरूमध्ये एउटाले मात्र तपाईंलाई यो सुरक्षा प्रदान गर्न सक्छ। तर यदि सबै ट्राफिक एउटै प्रदायक मार्फत जान्छ भने, त्यसोभए हामीले अलि पहिले संक्षिप्त रूपमा छलफल गरेको जडानको बारेमा के हुन्छ?

यस अवस्थामा, तपाईंले आक्रमणको समयमा जडानलाई आंशिक रूपमा त्याग गर्नुपर्नेछ। तर

• यो आक्रमणको अवधिको लागि मात्र हो। आक्रमणको घटनामा, तपाईले म्यानुअल रूपमा वा स्वचालित रूपमा BGP पुन: कन्फिगर गर्न सक्नुहुन्छ ताकि ट्राफिक तपाईलाई "छाता" प्रदान गर्ने प्रदायकबाट मात्र जान्छ। आक्रमण सकिएपछि, तपाईंले रूटिङलाई अघिल्लो अवस्थामा फर्काउन सक्नुहुन्छ
• यो सबै यातायात स्थानान्तरण गर्न आवश्यक छैन। यदि, उदाहरणका लागि, तपाईंले केही अपलिङ्कहरू वा पियरिङहरू (वा ट्राफिक महत्त्वपूर्ण छैन) मार्फत कुनै आक्रमणहरू नभएको देख्नुभयो भने, तपाईंले यी BGP छिमेकीहरूप्रति प्रतिस्पर्धात्मक विशेषताहरूसँग उपसर्गहरू विज्ञापन गर्न जारी राख्न सक्नुहुन्छ।

तपाईं आफ्नो साझेदारहरूलाई "प्रोटोकल आक्रमणहरू" र "अनुप्रयोग आक्रमणहरू" बाट सुरक्षा प्रत्यायोजन गर्न सक्नुहुन्छ।
यहाँ यहाँ तपाईं राम्रो अध्ययन पढ्न सक्नुहुन्छ (अनुवाद)। साँचो, लेख दुई वर्ष पुरानो हो, तर यसले तपाइँलाई DDOS आक्रमणहरूबाट कसरी जोगाउन सकिन्छ भन्ने दृष्टिकोणहरूको एक विचार दिन्छ।

सिद्धान्तमा, तपाईं आफ्नो सुरक्षालाई पूर्ण रूपमा आउटसोर्स गर्दै, यसमा सीमित गर्न सक्नुहुन्छ। यस निर्णयको फाइदाहरू छन्, तर त्यहाँ एक स्पष्ट बेफाइदा पनि छ। तथ्य यो हो कि हामी व्यापारको अस्तित्वको बारेमा कुरा गर्न सक्छौं (फेरि, तपाइँको कम्पनीले के गर्छ मा निर्भर गर्दछ)। र त्यस्ता चीजहरू तेस्रो पक्षहरूमा विश्वास गर्नुहोस् ...

त्यसकारण, हेरौं कसरी रक्षाको दोस्रो र तेस्रो लाइनहरू व्यवस्थित गर्ने (प्रदायकबाट सुरक्षाको अतिरिक्तको रूपमा)।

त्यसोभए, सुरक्षाको दोस्रो लाइन तपाईंको नेटवर्कको प्रवेशद्वारमा फिल्टरिंग र ट्राफिक लिमिटरहरू (पोलिसर्स) हो।

उदाहरणका 1

मानौं कि तपाईंले एक प्रदायकको सहयोगमा DDOS विरुद्ध छाताले आफूलाई ढाक्नुभएको छ। मानौं कि यो प्रदायकले यसको नेटवर्कको किनारमा ट्राफिक र फिल्टरहरू फिल्टर गर्न Arbor प्रयोग गर्दछ।

आर्बरले "प्रक्रिया" गर्न सक्ने ब्यान्डविथ सीमित छ, र प्रदायक, निस्सन्देह, फिल्टरिङ उपकरण मार्फत यो सेवा अर्डर गर्ने सबै साझेदारहरूको ट्राफिकलाई निरन्तर रूपमा पास गर्न सक्दैन। त्यसैले, सामान्य अवस्थामा, ट्राफिक फिल्टर छैन।

मानौं त्यहाँ एक SYN बाढी आक्रमण छ। यदि तपाईंले आक्रमणको घटनामा स्वचालित रूपमा ट्राफिकलाई फिल्टर गर्न स्विच गर्ने सेवालाई अर्डर गर्नुभयो भने, यो तुरुन्तै हुँदैन। एक मिनेट वा बढीको लागि तपाईं आक्रमणमा रहनुहुन्छ। र यसले तपाइँको उपकरणको विफलता वा सेवाको गिरावट निम्त्याउन सक्छ। यस अवस्थामा, किनारा मार्गमा ट्राफिक सीमित गर्दै, यद्यपि यसले यस समयमा केही TCP सत्रहरू स्थापित हुने छैनन् भन्ने तथ्यलाई निम्त्याउनेछ, यसले तपाईंको पूर्वाधारलाई ठूला-ठूला समस्याहरूबाट बचाउनेछ।

उदाहरणका 2

असामान्य रूपमा ठूलो संख्यामा SYN प्याकेटहरू SYN बाढी आक्रमणको परिणाम मात्र होइन। मानौं कि तपाइँ एक सेवा प्रदान गर्नुहुन्छ जसमा तपाइँ एकै साथ लगभग 100 हजार TCP जडानहरू (एउटा डेटा केन्द्रमा) हुन सक्नुहुन्छ।

मानौं कि तपाइँको मुख्य प्रदायकहरु मध्ये एक को साथ एक अल्पकालीन समस्या को परिणाम को रूप मा, तपाइँको सत्र को आधा लात छ। यदि तपाइँको एप्लिकेसन यस्तो तरिकाले डिजाइन गरिएको हो कि, दुई पटक सोच नगरी, यो तुरुन्तै (वा केहि समय अन्तराल पछि जुन सबै सत्रहरूको लागि समान हुन्छ) जडान पुन: स्थापना गर्ने प्रयास गर्दछ, त्यसपछि तपाइँ कम्तिमा 50 हजार SYN प्याकेटहरू प्राप्त गर्नुहुनेछ। एकै साथ।

यदि, उदाहरणका लागि, तपाईंले यी सत्रहरूको शीर्षमा ssl/tls ह्यान्डशेक चलाउनु पर्छ, जसमा प्रमाणपत्रहरू आदानप्रदान समावेश छ, तब तपाईंको लोड ब्यालेन्सरका लागि स्रोतहरू घटाउने दृष्टिकोणबाट, यो साधारण भन्दा धेरै बलियो "DDOS" हुनेछ। SYN बाढी। यस्तो देखिन्छ कि ब्यालेन्सरहरूले यस्ता घटनाहरू ह्यान्डल गर्नुपर्छ, तर ... दुर्भाग्यवश, हामी यस्तो समस्याको सामना गरिरहेका छौं।

र, निस्सन्देह, किनारा राउटरमा एक पुलिसकर्मीले यस अवस्थामा पनि तपाईंको उपकरणहरू बचत गर्नेछ।

DDOS/DOS विरुद्ध सुरक्षाको तेस्रो स्तर तपाईको फायरवाल सेटिङहरू हो।

यहाँ तपाईं दोस्रो र तेस्रो प्रकारका दुवै आक्रमणहरू रोक्न सक्नुहुन्छ। सामान्यतया, फायरवालमा पुग्ने सबै कुरा यहाँ फिल्टर गर्न सकिन्छ।

सुझाव

फायरवाललाई सकेसम्म थोरै काम दिन प्रयास गर्नुहोस्, रक्षाको पहिलो दुई लाइनहरूमा सकेसम्म धेरै फिल्टर गर्नुहोस्। र त्यही कारणले।

के तपाइँसँग यो कहिले भएको छ कि संयोगले, जाँच गर्नको लागि ट्राफिक उत्पन्न गर्दा, उदाहरणका लागि, तपाइँको सर्भरको अपरेटिङ सिस्टम DDOS आक्रमणहरूको लागि कत्तिको प्रतिरोधी छ, तपाइँले तपाइँको फायरवाल "मार्नु भयो", यसलाई 100 प्रतिशतमा लोड गर्दै, सामान्य तीव्रतामा ट्राफिकको साथ। ? यदि होइन भने, सायद यो केवल किनभने तपाईंले प्रयास गर्नुभएको छैन?

सामान्यतया, फायरवाल, मैले भनेझैं, एक जटिल चीज हो, र यसले ज्ञात कमजोरीहरू र परीक्षण समाधानहरूको साथ राम्रोसँग काम गर्दछ, तर यदि तपाईंले केहि असामान्य, केवल केहि फोहोर वा गलत हेडरहरूका साथ प्याकेटहरू पठाउनुभयो भने, तपाईं केहिसँग हुनुहुन्छ, होइन। यस्तो सानो सम्भावना (मेरो अनुभवमा आधारित), तपाईले शीर्ष-अन्त उपकरणलाई पनि स्तब्ध बनाउन सक्नुहुन्छ। तसर्थ, चरण 2 मा, नियमित ACL हरू प्रयोग गरेर (L3/L4 स्तरमा), केवल तपाईंको नेटवर्कमा ट्राफिकलाई अनुमति दिनुहोस् जुन त्यहाँ प्रवेश गर्नुपर्छ।

फायरवालमा ट्राफिक फिल्टर गर्दै

फायरवालको बारेमा कुराकानी जारी राखौं। तपाईंले DOS/DDOS आक्रमणहरू साइबर आक्रमणको मात्र एक प्रकार हो भनी बुझ्नुपर्छ।

DOS/DDOS सुरक्षाको अतिरिक्त, हामीसँग निम्न सुविधाहरूको सूची जस्तै केहि हुन सक्छ:

• आवेदन फायरवालिङ
• खतरा रोकथाम (एन्टिभाइरस, एन्टि-स्पाइवेयर, र जोखिम)
• URL फिल्टरि filter
• डाटा फिल्टरिङ (सामग्री फिल्टरिङ)
• फाइल अवरुद्ध (फाइल प्रकार अवरुद्ध)

यो सूचीबाट तपाईलाई के चाहिन्छ भनेर निर्णय गर्न तपाईमा निर्भर छ।

जारी राख्न

स्रोत: www.habr.com