{"id":31058,"date":"2019-10-31T21:39:12","date_gmt":"2019-10-31T18:39:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\/"},"modified":"2019-10-31T21:39:12","modified_gmt":"2019-10-31T18:39:12","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","title":{"rendered":"Como controlar sua infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte um","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Este artigo \u00e9 o terceiro de uma s\u00e9rie de artigos intitulada 'Como colocar a infraestrutura de rede sob seu controle'. Voc\u00ea pode encontrar o conte\u00fado de todos os artigos da s\u00e9rie e links. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">aqui<\/a><\/noindex><\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"Como controlar sua infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte um\" src=\"\/wp-content\/uploads\/2019\/04\/cdf33cc6797d26df8fef5533f2570c47.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nN\u00e3o faz sentido falar sobre a elimina\u00e7\u00e3o total dos riscos de seguran\u00e7a. Na verdade, n\u00e3o podemos reduzi-los a zero. Tamb\u00e9m \u00e9 importante entender que, ao tentar tornar a rede cada vez mais segura, nossas solu\u00e7\u00f5es se tornam cada vez mais caras. \u00c9 necess\u00e1rio encontrar um compromisso razo\u00e1vel para sua rede entre pre\u00e7o, complexidade e seguran\u00e7a. <\/p>\n<p>Claro, o design de seguran\u00e7a est\u00e1 organicamente integrado na arquitetura geral e as solu\u00e7\u00f5es de seguran\u00e7a utilizadas afetam a escalabilidade, confiabilidade, gerenciabilidade da infraestrutura de rede, o que tamb\u00e9m deve ser levado em considera\u00e7\u00e3o.<\/p>\n<p>Mas, lembrando que neste momento n\u00e3o estamos falando sobre a cria\u00e7\u00e3o da rede. De acordo com nossas <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/433614\/\">condi\u00e7\u00f5es iniciais<\/a><\/noindex> j\u00e1 temos o design escolhido, o equipamento selecionado e a infraestrutura criada, e neste est\u00e1gio devemos, na medida do poss\u00edvel, 'viver' e encontrar solu\u00e7\u00f5es no contexto da abordagem anteriormente escolhida.<\/p>\n<p>Nossa tarefa agora \u00e9 identificar os riscos relacionados \u00e0 seguran\u00e7a no n\u00edvel da rede e reduzi-los a um n\u00edvel razo\u00e1vel. <noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h1>Auditoria de Seguran\u00e7a de Rede<\/h1>\n<p>\nSe em sua organiza\u00e7\u00e3o foram implementados processos ISO 27k, ent\u00e3o a auditoria de seguran\u00e7a e as mudan\u00e7as na rede devem estar organicamente integradas nos processos gerais dentro dessa abordagem. Mas esses padr\u00f5es ainda n\u00e3o tratam de solu\u00e7\u00f5es espec\u00edficas, nem de configura\u00e7\u00f5es, nem de design... N\u00e3o existem conselhos un\u00edvocos, n\u00e3o h\u00e1 padr\u00f5es que ditam detalhadamente como deve ser sua rede, essa \u00e9 a complexidade e a beleza dessa tarefa.<\/p>\n<p>Eu destacaria algumas poss\u00edveis auditorias de seguran\u00e7a de rede:<\/p>\n<ul>\n<li>auditoria de configura\u00e7\u00e3o de equipamentos (hardening)<\/li>\n<li>auditoria do design de seguran\u00e7a<\/li>\n<li>auditoria de acessos<\/li>\n<li>auditoria de processos<\/li>\n<\/ul>\n<p><\/p>\n<h1>Auditoria de configura\u00e7\u00e3o de equipamentos (hardening)<\/h1>\n<p>\nParece que, na maioria dos casos, esse \u00e9 o melhor ponto de partida para auditar e melhorar a seguran\u00e7a da sua rede. Na minha opini\u00e3o, isso \u00e9 uma boa demonstra\u00e7\u00e3o da Lei de Pareto (20% dos esfor\u00e7os proporcionam 80% dos resultados, enquanto os outros 80% dos esfor\u00e7os resultam em apenas 20% do resultado). <\/p>\n<p>A ess\u00eancia \u00e9 que geralmente temos recomenda\u00e7\u00f5es dos fornecedores sobre 'melhores pr\u00e1ticas' de seguran\u00e7a ao configurar equipamentos. Isso \u00e9 chamado de 'hardening'.<\/p>\n<p>\u00c9 comum encontrar um question\u00e1rio (ou elaborar um), com base nessas recomenda\u00e7\u00f5es, que o ajudar\u00e1 a determinar o qu\u00e3o bem a configura\u00e7\u00e3o do seu hardware corresponde a essas \u00abmelhores pr\u00e1ticas\u00bb e, de acordo com os resultados, fazer altera\u00e7\u00f5es em sua rede. Isso permitir\u00e1 que voc\u00ea reduza significativamente os riscos de seguran\u00e7a de forma bastante f\u00e1cil, na verdade, sem custos.<\/p>\n<blockquote><p>Alguns exemplos para alguns sistemas operacionais Cisco.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/ip\/access-lists\/13608-21.html\">Endurecimento da Configura\u00e7\u00e3o do Cisco IOS<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tools.cisco.com\/security\/center\/resources\/increase_security_ios_xr_devices.html\">Endurecimento da Configura\u00e7\u00e3o do Cisco IOS-XR<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tools.cisco.com\/security\/center\/resources\/securing_nx_os.html\">Endurecimento da Configura\u00e7\u00e3o do Cisco NX-OS<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/Baseline_Security\/securebasebook\/appendxD.html\">Lista de Verifica\u00e7\u00e3o de Seguran\u00e7a B\u00e1sica da Cisco<\/a><\/noindex><\/p>\n<p>Com base nesses documentos, pode ser criado uma lista de requisitos de configura\u00e7\u00e3o para cada tipo de hardware. Por exemplo, para o Cisco N7K VDC, esses requisitos podem parecer <noindex><a rel=\"nofollow\" href=\"https:\/\/www.dropbox.com\/s\/hnat6yriyptigzb\/7k_hard.xlsx?dl=0\">assim<\/a><\/noindex>.<\/p><\/blockquote>\n<p>\nDessa forma, podem ser criados arquivos de configura\u00e7\u00e3o para diferentes tipos de equipamentos ativos de sua infraestrutura de rede. Em seguida, manualmente ou com a ajuda da automa\u00e7\u00e3o, voc\u00ea pode 'carregar' esses arquivos de configura\u00e7\u00e3o. Como automatizar esse processo ser\u00e1 abordado em outra s\u00e9rie de artigos dedicados \u00e0 orquestra\u00e7\u00e3o e automa\u00e7\u00e3o.<\/p>\n<h1>Auditoria do design de seguran\u00e7a<\/h1>\n<p>\nNormalmente, em uma rede empresarial, em uma forma ou outra, existem os seguintes segmentos: <\/p>\n<ul>\n<li>DC (Servi\u00e7os p\u00fablicos DMZ e data center Intranet)<\/li>\n<li>Acesso \u00e0 Internet<\/li>\n<li>VPN de acesso remoto<\/li>\n<li>WAN edge<\/li>\n<li>Filial<\/li>\n<li>Campus (Escrit\u00f3rio)<\/li>\n<li>N\u00facleo<\/li>\n<\/ul>\n<p>\nOs nomes foram retirados do <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> modelos, mas n\u00e3o \u00e9 necess\u00e1rio, \u00e9 claro, atentar-se apenas a esses nomes e a esse modelo. Afinal, \u00e9 importante falar sobre a ess\u00eancia e n\u00e3o se prender a formalidades.<\/p>\n<p>Para cada um desses segmentos, os requisitos de n\u00edvel de seguran\u00e7a, riscos e, consequentemente, solu\u00e7\u00f5es ser\u00e3o diferentes.<\/p>\n<p>Vamos considerar cada um deles separadamente em rela\u00e7\u00e3o aos problemas que voc\u00ea pode enfrentar do ponto de vista do design de seguran\u00e7a. Certamente, nuevamente, ressalto que este artigo n\u00e3o pretende ser abrangente, algo que \u00e9 realmente desafiador e multifacetado nesta tem\u00e1tica (seja como for poss\u00edvel), mas reflete minha experi\u00eancia pessoal.<\/p>\n<p>N\u00e3o existe uma solu\u00e7\u00e3o perfeita (pelo menos agora). \u00c9 sempre um compromisso. Mas \u00e9 importante que a solu\u00e7\u00e3o adote determinada abordagem de forma consciente, entendendo tanto seus pr\u00f3s quanto seus contras.<\/p>\n<h2>Centro de Dados<\/h2>\n<p>\nO segmento mais cr\u00edtico do ponto de vista da seguran\u00e7a.<br \/>\nE, como sempre, aqui tamb\u00e9m n\u00e3o h\u00e1 uma solu\u00e7\u00e3o universal. Tudo depende muito dos requisitos da rede. <\/p>\n<h3>Firewall: \u00e9 necess\u00e1rio ou n\u00e3o?<\/h3>\n<p>\n\u00c0 primeira vista, a resposta parece \u00f3bvia, mas a situa\u00e7\u00e3o n\u00e3o \u00e9 t\u00e3o clara quanto pode parecer. E sua escolha pode ser influenciada n\u00e3o apenas por<b> o pre\u00e7o<\/b>. <\/p>\n<blockquote><p>Exemplo 1. <b>Lat\u00eancia.<\/b><\/p>\n<p>Se entre alguns segmentos de rede a baixa lat\u00eancia \u00e9 um requisito crucial, como \u00e9 o caso nas bolsas de valores, ent\u00e3o n\u00e3o poderemos usar firewalls entre esses segmentos. \u00c9 dif\u00edcil encontrar estudos sobre lat\u00eancia em firewalls, mas poucos modelos de switches podem proporcionar lat\u00eancias inferiores a 1 microsegundo, por isso, se microsegundos s\u00e3o importantes para voc\u00ea, firewalls podem n\u00e3o ser a melhor op\u00e7\u00e3o.<\/p><\/blockquote>\n<blockquote><p>Exemplo 2. <b>Desempenho.<\/b><\/p>\n<p>A largura de banda dos melhores switches L3 geralmente \u00e9 muito maior do que a largura de banda dos firewalls mais potentes. Portanto, em casos de tr\u00e1fego intenso, voc\u00ea provavelmente ter\u00e1 que contornar os firewalls.<\/p><\/blockquote>\n<p><\/p>\n<blockquote><p>Exemplo 3. <b>Confiabilidade.<\/b><\/p>\n<p>Firewalls, especialmente os modernos NGFW (Next-Generation Firewalls) \u2013 s\u00e3o dispositivos complexos. Eles s\u00e3o significativamente mais complicados do que switches L3\/L2. Eles oferecem uma grande quantidade de servi\u00e7os e op\u00e7\u00f5es de configura\u00e7\u00e3o, por isso n\u00e3o \u00e9 surpreendente que sua confiabilidade seja muito menor. Se a continuidade do servi\u00e7o \u00e9 cr\u00edtica para a rede, talvez voc\u00ea tenha que escolher o que levar\u00e1 a uma melhor disponibilidade \u2014 prote\u00e7\u00e3o atrav\u00e9s de firewall ou a simplicidade de uma rede baseada em switches (ou diversos tipos de fabrics) usando ACLs comuns.<\/p><\/blockquote>\n<p> Na maioria dos casos citados acima, voc\u00ea provavelmente (como costuma acontecer) ter\u00e1 que encontrar um compromisso. Considere as seguintes solu\u00e7\u00f5es: <\/p>\n<ul>\n<li>se voc\u00ea decidiu n\u00e3o usar firewalls dentro do data center, precisar\u00e1 planejar como limitar ao m\u00e1ximo os acessos pela borda. Por exemplo, voc\u00ea pode abrir apenas as portas necess\u00e1rias da Internet (para tr\u00e1fego de clientes) e permitir acessos administrativos ao data center apenas a partir de jump hosts. Nos jump hosts, realize todas as verifica\u00e7\u00f5es necess\u00e1rias (autentica\u00e7\u00e3o\/autoriza\u00e7\u00e3o, antiv\u00edrus, registro, ...)<\/li>\n<li>voc\u00ea pode usar a segmenta\u00e7\u00e3o l\u00f3gica da rede do data center em partes, semelhante ao esquema descrito no PSEFABRIC. <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nihole\/PSEFABRIC\/wiki\/p002-design\">exemplo p002<\/a><\/noindex>A roteamento deve ser configurado de tal forma que o tr\u00e1fego sens\u00edvel a lat\u00eancias ou tr\u00e1fego de alta intensidade transite \"dentro\" de um segmento (no caso de p002, VRF) e n\u00e3o passe pelo firewall. O tr\u00e1fego entre diferentes segmentos ainda passar\u00e1 pelo firewall. O route leaking entre VRFs tamb\u00e9m pode ser utilizado para evitar o redirecionamento do tr\u00e1fego pelo firewall.<\/li>\n<li>Voc\u00ea tamb\u00e9m pode utilizar o firewall em modo transparente e apenas para VLANs onde esses fatores (lat\u00eancia\/desempenho) n\u00e3o s\u00e3o significativos. No entanto, \u00e9 necess\u00e1rio estudar atentamente as limita\u00e7\u00f5es relacionadas ao uso deste modo para cada fornecedor.<\/li>\n<li>Voc\u00ea pode considerar a aplica\u00e7\u00e3o de uma arquitetura de service chain. Isso permitir\u00e1 direcionar apenas o tr\u00e1fego necess\u00e1rio atrav\u00e9s do firewall. Teoricamente, \u00e9 uma ideia atraente, mas eu nunca vi essa solu\u00e7\u00e3o em produ\u00e7\u00e3o. N\u00f3s testamos service chain para Cisco ACI\/Juniper SRX\/F5 LTM h\u00e1 cerca de 3 anos, mas na \u00e9poca essa solu\u00e7\u00e3o nos pareceu \"bruta\".<\/li>\n<\/ul>\n<p><\/p>\n<h3>N\u00edvel de prote\u00e7\u00e3o<\/h3>\n<p>\nAgora voc\u00ea precisa responder \u00e0 pergunta sobre quais ferramentas voc\u00ea deseja utilizar para filtrar o tr\u00e1fego. Aqui est\u00e3o algumas das funcionalidades que geralmente est\u00e3o presentes em um NGFW (por exemplo, <noindex><a rel=\"nofollow\" href=\"https:\/\/docs.paloaltonetworks.com\/pan-os\/8-0\/pan-os-admin\/policy\/security-profiles.html\">aqui<\/a><\/noindex>):<\/p>\n<ul>\n<li>firewalling stateful (por padr\u00e3o)<\/li>\n<li>firewall de aplicativo<\/li>\n<li>preven\u00e7\u00e3o de amea\u00e7as (antiv\u00edrus, anti-spyware e vulnerabilidades)<\/li>\n<li>filtragem de URL<\/li>\n<li>filtragem de dados (filtragem de conte\u00fado)<\/li>\n<li>bloqueio de arquivos (bloqueio de tipos de arquivo)<\/li>\n<li>prote\u00e7\u00e3o DoS<\/li>\n<\/ul>\n<p>\nE tamb\u00e9m n\u00e3o \u00e9 tudo t\u00e3o claro. \u00c0 primeira vista, quanto maior o n\u00edvel de prote\u00e7\u00e3o, melhor. No entanto, voc\u00ea tamb\u00e9m precisa considerar que<\/p>\n<ul>\n<li>quanto mais dessas fun\u00e7\u00f5es acima mencionadas do firewall voc\u00ea utilizar, mais caro isso ser\u00e1 (licen\u00e7as, m\u00f3dulos adicionais)<\/li>\n<li>o uso de alguns algoritmos pode reduzir significativamente a largura de banda do firewall, al\u00e9m de aumentar as lat\u00eancias, veja por exemplo <noindex><a rel=\"nofollow\" href=\"https:\/\/www.paloaltonetworks.com\/products\/secure-the-network\/next-generation-firewall\/pa-7000-series\">aqui<\/a><\/noindex><\/li>\n<li>como qualquer solu\u00e7\u00e3o complexa, o uso de m\u00e9todos de prote\u00e7\u00e3o complexos pode reduzir a confiabilidade da sua solu\u00e7\u00e3o; por exemplo, ao usar firewalling de aplicativo, j\u00e1 enfrentei bloqueios de alguns aplicativos que funcionam de maneira padr\u00e3o (dns, smb).<\/li>\n<\/ul>\n<p>\nComo sempre, voc\u00ea precisa encontrar a solu\u00e7\u00e3o ideal para sua rede.<\/p>\n<p>N\u00e3o \u00e9 poss\u00edvel responder de forma clara quais fun\u00e7\u00f5es de prote\u00e7\u00e3o podem ser necess\u00e1rias. Em primeiro lugar, porque isso depende dos dados que voc\u00ea est\u00e1 transmitindo ou armazenando e tentando proteger. Em segundo lugar, na pr\u00e1tica, a escolha dos meios de prote\u00e7\u00e3o \u00e9 muitas vezes uma quest\u00e3o de f\u00e9 e confian\u00e7a no fornecedor. Voc\u00ea n\u00e3o conhece os algoritmos, n\u00e3o sabe qu\u00e3o eficazes eles s\u00e3o e n\u00e3o pode test\u00e1-los completamente. <\/p>\n<p>Portanto, em segmentos cr\u00edticos, uma boa solu\u00e7\u00e3o pode ser o uso de ofertas de diferentes empresas. Por exemplo, voc\u00ea pode implementar um antiv\u00edrus no firewall, mas tamb\u00e9m utilizar prote\u00e7\u00e3o antiv\u00edrus (de outro fabricante) localmente nos hosts.<\/p>\n<h3>Segmenta\u00e7\u00e3o<\/h3>\n<p>\nEstamos falando sobre a segmenta\u00e7\u00e3o l\u00f3gica da rede do data center. Por exemplo, a divis\u00e3o em VLANs e sub-redes tamb\u00e9m \u00e9 uma segmenta\u00e7\u00e3o l\u00f3gica, mas n\u00e3o vamos considerar isso devido \u00e0 sua obviedade. O interessante \u00e9 a segmenta\u00e7\u00e3o levando em conta entidades como zonas de seguran\u00e7a de FW, VRF (e seus equivalentes em diferentes fornecedores), dispositivos l\u00f3gicos (PA VSYS, Cisco N7K VDC, Cisco ACI Tenant, \u2026), \u2026<\/p>\n<blockquote><p>Um exemplo dessa segmenta\u00e7\u00e3o l\u00f3gica e do design de data center atualmente demandado \u00e9 apresentado no <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nihole\/PSEFABRIC\/wiki\/p002-design\">p002 do projeto PSEFABRIC<\/a><\/noindex>.<\/p><\/blockquote>\n<p> Depois de definir as partes l\u00f3gicas da sua rede, voc\u00ea pode descrever como o tr\u00e1fego se move entre os diferentes segmentos, em quais dispositivos ocorrer\u00e1 a filtragem e quais meios ser\u00e3o utilizados.<\/p>\n<p>Se a sua rede n\u00e3o apresentar uma clara divis\u00e3o l\u00f3gica e n\u00e3o houver regras formalizadas para a aplica\u00e7\u00e3o de pol\u00edticas de seguran\u00e7a para diferentes fluxos de dados (flow), isso significa que ao abrir um determinado acesso voc\u00ea ser\u00e1 for\u00e7ado a resolver essa quest\u00e3o, e com grande probabilidade voc\u00ea a resolver\u00e1 de maneira diferente a cada vez. <\/p>\n<p>Frequentemente, a segmenta\u00e7\u00e3o \u00e9 baseada apenas em zonas de seguran\u00e7a de FW. Ent\u00e3o, voc\u00ea precisa responder \u00e0s seguintes perguntas:<\/p>\n<ul>\n<li>quais zonas de seguran\u00e7a voc\u00ea precisa<\/li>\n<li>qual n\u00edvel de prote\u00e7\u00e3o voc\u00ea deseja implementar em cada uma dessas zonas <\/li>\n<li>o tr\u00e1fego intra-zone ser\u00e1 permitido por padr\u00e3o <\/li>\n<li>se n\u00e3o, quais pol\u00edticas de filtragem de tr\u00e1fego ser\u00e3o aplicadas dentro de cada uma das zonas<\/li>\n<li>quais pol\u00edticas de filtragem de tr\u00e1fego ser\u00e3o aplicadas para cada par de zonas (source\/destination)<\/li>\n<\/ul>\n<p><\/p>\n<h3>TCAM<\/h3>\n<p>\nComumente encontramos o problema da falta de TCAM (Mem\u00f3ria de Acesso Direto Tern\u00e1rio), tanto para roteamento quanto para acessos. IMHO, essa \u00e9 uma das quest\u00f5es mais importantes ao escolher um hardware, portanto, \u00e9 necess\u00e1rio abordar essa quest\u00e3o com o devido cuidado.<\/p>\n<blockquote><p>Exemplo 1. Tabela de Encaminhamento TCAM.<\/p>\n<p>Vamos considerar <noindex>Palo Alto 7k<\/noindex> firewall.<br \/>\nObservamos que o tamanho da tabela de encaminhamento IPv4* = 32K.<br \/>\nEsse n\u00famero de rotas \u00e9 total para todas as VSYS.<\/p>\n<p>Suponha que de acordo com seu design voc\u00ea decidiu usar 4 VSYS.<br \/>\nCada uma dessas VSYS est\u00e1 conectada por BGP a duas PE na nuvem MPLS, que voc\u00ea utiliza como BB. Assim, as 4 VSYS trocam todas as rotas espec\u00edficas entre si e t\u00eam uma tabela de encaminhamento com conjuntos de rotas aproximadamente iguais (mas com diferentes NH). Como cada VSYS tem 2 sess\u00f5es BGP (com as mesmas configura\u00e7\u00f5es), cada rota recebida atrav\u00e9s do MPLS tem 2 NHs e, consequentemente, 2 registros FIB na Tabela de Encaminhamento. Se supormos que este \u00e9 o \u00fanico firewall no data center e ele deve ter conhecimento sobre todas as rotas, isso significa que o n\u00famero total de rotas em nosso data center n\u00e3o pode ser mais do que 32K\/(4 * 2) = 4K. <\/p>\n<p>Agora, supondo que temos 2 data centers (com o mesmo design), e queremos usar VLANs \"estendidas\" entre os data centers (por exemplo, para vMotion), para resolver o problema de roteamento, precisamos usar rotas de host. Mas isso significa que nos 2 data centers teremos no m\u00e1ximo 4096 hosts poss\u00edveis e, claro, isso pode ser insuficiente.<\/p><\/blockquote>\n<blockquote><p>Exemplo 2. ACL TCAM.<\/p>\n<p>Se voc\u00ea planeja filtrar o tr\u00e1fego em switches L3 (ou outras solu\u00e7\u00f5es que utilizem switches L3, por exemplo, Cisco ACI), ao escolher o hardware, deve prestar aten\u00e7\u00e3o ao ACL TCAM.<\/p>\n<p>Suponha que voc\u00ea queira controlar os acessos nas interfaces SVI dos switches Cisco Catalyst 4500. Ent\u00e3o, como \u00e9 poss\u00edvel ver a partir de <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/switches\/catalyst-4000-series-switches\/66978-tcam-cat-4500.html\">este artigo<\/a><\/noindex>, para controlar o tr\u00e1fego de sa\u00edda (assim como o tr\u00e1fego de entrada) nas interfaces, voc\u00ea pode usar apenas 4096 linhas TCAM. O que, ao usar o TCAM3, lhe proporcionar\u00e1 cerca de 4000 ACE (linhas ACL).<\/p><\/blockquote>\n<p> Se voc\u00ea se deparar com a quest\u00e3o de TCAM insuficiente, a primeira coisa a considerar \u00e9 a possibilidade de otimiza\u00e7\u00e3o. Assim, em caso de problema com o tamanho da Forwarding Table, deve-se considerar a agrega\u00e7\u00e3o de rotas. Se houver um problema com o tamanho do TCAM para acessos, uma auditoria dos acessos, a exclus\u00e3o de entradas desatualizadas e sobrepostas, e talvez uma revis\u00e3o do procedimento de abertura de acessos (isso ser\u00e1 abordado em detalhes no cap\u00edtulo sobre auditoria de acessos) \u00e9 necess\u00e1rio.<\/p>\n<h3>Alta disponibilidade<\/h3>\n<p>\nA quest\u00e3o \u00e9 se usar HA para firewalls ou instalar duas unidades independentes 'em paralelo' e, caso uma delas falhe, redirecionar o tr\u00e1fego pela segunda?<\/p>\n<p>\u00c0 primeira vista, a resposta parece \u00f3bvia - usar HA. A raz\u00e3o pela qual essa quest\u00e3o ainda surge \u00e9 que, infelizmente, os te\u00f3ricos e os 99% de disponibilidade anunciados, com algumas casas decimais a mais, na pr\u00e1tica revelam-se longe de ser t\u00e3o otimistas. HA \u00e9 uma coisa logicamente complexa, e em diferentes equipamentos e com diferentes fornecedores (n\u00e3o houve exce\u00e7\u00f5es) encontramos problemas, bugs e interrup\u00e7\u00f5es de servi\u00e7o.<\/p>\n<p>Ao usar HA, voc\u00ea ter\u00e1 a capacidade de desligar nodos individuais, alternar entre eles sem interromper o servi\u00e7o, o que \u00e9 importante, por exemplo, durante atualiza\u00e7\u00f5es. No entanto, voc\u00ea ainda ter\u00e1 uma probabilidade n\u00e3o nula de que ambas as unidades falhem simultaneamente, al\u00e9m do fato de que uma atualiza\u00e7\u00e3o pode n\u00e3o ocorrer t\u00e3o suavemente quanto promete o fornecedor (esse problema pode ser evitado se voc\u00ea tiver a possibilidade de testar a atualiza\u00e7\u00e3o em hardware de laborat\u00f3rio).<\/p>\n<p>Se voc\u00ea n\u00e3o utilizar HA, sob a perspectiva de falhas duplas, seus riscos s\u00e3o significativamente menores (pois voc\u00ea ter\u00e1 dois firewalls independentes). No entanto, como as sess\u00f5es n\u00e3o est\u00e3o sincronizadas, sempre que ocorrer uma altern\u00e2ncia entre esses firewalls, voc\u00ea perder\u00e1 tr\u00e1fego. \u00c9 poss\u00edvel utilizar firewalls sem estado, mas isso em grande parte elimina o prop\u00f3sito de usar um firewall.<\/p>\n<p>Portanto, se ao final da auditoria voc\u00ea encontrar firewalls isolados e estiver considerando aumentar a confiabilidade de sua rede, ent\u00e3o HA \u00e9, sem d\u00favida, uma das solu\u00e7\u00f5es recomendadas. Mas voc\u00ea deve considerar tamb\u00e9m as desvantagens relacionadas a essa abordagem e, possivelmente, outra solu\u00e7\u00e3o pode ser mais adequada para sua rede.<\/p>\n<h3>Conforto na gest\u00e3o (managability)<\/h3>\n<p>\nEm princ\u00edpio, HA tamb\u00e9m diz respeito \u00e0 gerenciabilidade. Em vez de configurar 2 equipamentos separadamente e resolver o problema da sincroniza\u00e7\u00e3o das configura\u00e7\u00f5es, voc\u00ea os gerencia em grande parte como se tivesse um \u00fanico dispositivo. <\/p>\n<p>Mas, talvez, voc\u00ea tenha muitos data centers e muitos firewalls, ent\u00e3o essa quest\u00e3o se eleva a um novo n\u00edvel. E a quest\u00e3o n\u00e3o \u00e9 apenas sobre configura\u00e7\u00e3o, mas tamb\u00e9m sobre<\/p>\n<ul>\n<li>backup de configura\u00e7\u00f5es<\/li>\n<li>atualiza\u00e7\u00f5es<\/li>\n<li>upgrades<\/li>\n<li>monitoramento<\/li>\n<li>logs<\/li>\n<\/ul>\n<p>\nE tudo isso pode ser resolvido por sistemas de gerenciamento centralizados. <\/p>\n<blockquote><p>Por exemplo, se voc\u00ea usa firewalls Palo Alto, ent\u00e3o <noindex><a rel=\"nofollow\" href=\"https:\/\/www.paloaltonetworks.com\/products\/management\/panorama\">Panorama<\/a><\/noindex> \u00e9 uma dessas solu\u00e7\u00f5es.\n<\/p><\/blockquote>\n<p>\n<i>Continua.<\/i><br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u041d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u043b\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 security \u0440\u0438\u0441\u043a\u043e\u0432. \u041c\u044b \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u043c \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0438\u0445 \u0434\u043e \u043d\u0443\u043b\u044f. \u0422\u0430\u043a\u0436\u0435 \u043d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u0438 \u0441\u0442\u0440\u0435\u043c\u043b\u0435\u043d\u0438\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0435\u0442\u044c \u0431\u043e\u043b\u0435\u0435 \u0438 \u0431\u043e\u043b\u0435\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043d\u0430\u0448\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23033,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31058","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"pt_PT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Como controlar sua infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte um | ProHoster","description":"Este artigo \u00e9 o terceiro de uma s\u00e9rie de artigos \"Como controlar sua infraestrutura de rede\".","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:39:12+00:00","article:modified_time":"2019-10-31T18:39:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31058","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 04:20:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:24:14","updated":"2026-01-21 04:20:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31058","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=31058"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31058\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/23033"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=31058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=31058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=31058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}