{"id":31058,"date":"2019-10-31T21:39:12","date_gmt":"2019-10-31T18:39:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\/"},"modified":"2019-10-31T21:39:12","modified_gmt":"2019-10-31T18:39:12","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","title":{"rendered":"Kako nadzorovati omre\u017eno infrastrukturo. Tretje poglavje. Omre\u017ena varnost. Prvi del","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Ta \u010dlanek je tretji v nizu \u010dlankov 'Kako prevzeti nadzor nad mre\u017eno infrastrukturo'. Vsebino vseh \u010dlankov iz niza in povezave lahko najdete <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">ovde<\/a><\/noindex><\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"Kako nadzorovati omre\u017eno infrastrukturo. Tretje poglavje. Omre\u017ena varnost. Prvi del\" src=\"\/wp-content\/uploads\/2019\/04\/cdf33cc6797d26df8fef5533f2570c47.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNima smisla govoriti o popolni odpravi tveganj v zvezi z varnostjo. Na\u010deloma jih ne moremo zni\u017eati na ni\u010d. Prav tako je treba razumeti, da postajajo na\u0161a re\u0161itev za ve\u010djo varnost omre\u017eja vse bolj drage. Potrebno je najti razumljiv kompromis med ceno, zapletenostjo in varnostjo za va\u0161e omre\u017eje. <\/p>\n<p>Seveda je varnostna zasnova organsko vgrajena v splo\u0161no arhitekturo in uporabljene re\u0161itve varnosti vplivajo na raz\u0161irljivost, zanesljivost, upravljivost ... mre\u017ene infrastrukture, kar je prav tako treba upo\u0161tevati.<\/p>\n<p>Vendar se spomnim, da trenutno ne govorimo o ustvarjanju omre\u017eja. V skladu z na\u0161imi <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/post\/433614\/\">za\u010detnimi pogoji<\/a><\/noindex> smo \u017ee izbrali zasnovo, izbrali opremo in ustvarili infrastrukturo, na tem koraku moramo, kolikor je mogo\u010de, '\u017eiveti' in iskati re\u0161itve v kontekstu prej izbrane metode.<\/p>\n<p>Na\u0161a naloga zdaj je ugotoviti tveganja, povezana z varnostjo na ravni omre\u017eja, in jih zni\u017eati na razumno raven. <noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h1>Revizija omre\u017ene varnosti<\/h1>\n<p>\n\u010ce so v va\u0161i organizaciji uvedeni postopki ISO 27k, potem mora biti revizija varnosti in sprememb omre\u017eja organsko vklju\u010dena v splo\u0161ne procese v okviru tega pristopa. Vendar ti standardi niso o konkretnih re\u0161itvah, ne o konfiguraciji, ne o zasnovi ... Ni natan\u010dnih nasvetov, ni standardov, ki podrobno dolo\u010dajo, kako naj bi bilo va\u0161e omre\u017eje, v tem je zapletenost in lepota te naloge.<\/p>\n<p>Izpostavil bi nekaj mo\u017enih revizij varnosti omre\u017eja:<\/p>\n<ul>\n<li>revizija konfiguracije opreme (hardening)<\/li>\n<li>revizija varnostne zasnove<\/li>\n<li>revizija dostopov<\/li>\n<li>revizija procesov<\/li>\n<\/ul>\n<p><\/p>\n<h1>Revizija konfiguracije opreme (hardening)<\/h1>\n<p>\nZdi se, da je v ve\u010dini primerov to najbolj\u0161a izhodi\u0161\u010dna to\u010dka za revizijo in izbolj\u0161anje varnosti va\u0161ega omre\u017eja. IMHO, to je dobra demonstracija Pareto zakona (20 % truda prinese 80 % rezultata, preostalih 80 % truda pa le 20 % rezultata). <\/p>\n<p>Bistvo je, da obi\u010dajno imamo priporo\u010dila proizvajalcev glede 'najbolj\u0161ih praks' za varnost pri konfiguriranju opreme. To imenujemo 'hardening'.<\/p>\n<p>Pogosto se lahko sre\u010date s vpra\u0161alnikom (ali ga sestavite sami) na podlagi teh priporo\u010dil, ki vam pomaga dolo\u010diti, koliko va\u0161a strojna oprema ustreza tem \"najbolj\u0161im praksam\" in v skladu z rezultatom izvedeti spremembe v va\u0161em omre\u017eju. Tako boste lahko precej enostavno, dejansko brez stro\u0161kov, bistveno zmanj\u0161ali varnostne tveganja.<\/p>\n<blockquote><p>Nekaj primerov za nekatere operacijske sisteme Cisco.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/ip\/access-lists\/13608-21.html\">Utrjevanje Cisco IOS konfiguracije<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tools.cisco.com\/security\/center\/resources\/increase_security_ios_xr_devices.html\">Utrjevanje Cisco IOS-XR konfiguracije<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tools.cisco.com\/security\/center\/resources\/securing_nx_os.html\">Utrjevanje Cisco NX-OS konfiguracije<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/Baseline_Security\/securebasebook\/appendxD.html\">Seznam osnovne varnosti Cisco<\/a><\/noindex><\/p>\n<p>Na podlagi teh dokumentov lahko ustvarite seznam zahtev za konfiguracijo za vsak tip strojne opreme. Na primer, za Cisco N7K VDC so te zahteve lahko videti <noindex><a rel=\"nofollow\" href=\"https:\/\/www.dropbox.com\/s\/hnat6yriyptigzb\/7k_hard.xlsx?dl=0\">tako<\/a><\/noindex>.<\/p><\/blockquote>\n<p>\nTako lahko ustvarite konfiguracijske datoteke za razli\u010dne tipe aktivne opreme va\u0161e omre\u017ene infrastrukture. Nato lahko ro\u010dno ali z uporabo avtomatizacije \"nalo\u017eite\" te konfiguracijske datoteke. Kako avtomatizirati ta postopek bo podrobno obravnavano v drugi seriji \u010dlankov, posve\u010denih orkestraciji in avtomatizaciji.<\/p>\n<h1>Revizija varnostnega dizajna<\/h1>\n<p>\nObi\u010dajno v omre\u017eju podjetja (enterprise network) v neki ali drugi obliki obstajajo naslednji segmenti: <\/p>\n<ul>\n<li>DC (Javna storitev DMZ in intranet podatkovni center)<\/li>\n<li>Dostop do interneta<\/li>\n<li>Oddaljeni dostop VPN<\/li>\n<li>WAN rob<\/li>\n<li>Podru\u017enica<\/li>\n<li>Campus (Pisarna)<\/li>\n<li>Jedro<\/li>\n<\/ul>\n<p>\nIme so vzeta iz <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> modelov, vendar seveda ni nujno vezati ravno na ta imena in ta model. Konec koncev \u017eelimo govoriti o bistvu in ne zapletati se v formalnosti.<\/p>\n<p>Za vsak od teh segmentov se bodo zahtevani varnostni nivoji, tveganja in s tem re\u0161itve razlikovale.<\/p>\n<p>Poglejmo vsak segment posebej glede na te\u017eave, s katerimi se lahko sre\u010date z vidika varnostnega dizajna. Seveda, ponovno ponavljam, da ta \u010dlanek nikakor ne trdi, da je celovit, dose\u010di to v tej res globoki in ve\u010dplastni temi ni enostavno (\u010de sploh mogo\u010de), vendar odra\u017ea moje osebne izku\u0161nje.<\/p>\n<p>Ne obstaja popolna re\u0161itev (vsaj ne trenutno). Vedno gre za kompromis. Pomembno je, da se odlo\u010ditev za uporabo dolo\u010denega pristopa sprejme zavestno, z razumevanjem njenih prednosti in slabosti.<\/p>\n<h2>Podatkovni center<\/h2>\n<p>\nNajbolj kriti\u010den segment z vidika varnosti.<br \/>\nIn, kot ponavadi, tudi tukaj ni univerzalne re\u0161itve. Vse mo\u010dno odvisno od zahtev glede omre\u017eja. <\/p>\n<h3>Ali potrebujemo po\u017earni zid?<\/h3>\n<p>\nZdi se, da je odgovor o\u010diten, vendar ni vse tako enozna\u010dno, kot se zdi. Na va\u0161 izbor lahko vplivajo tudi drugi dejavniki.<b> cena<\/b>. <\/p>\n<blockquote><p>Primer 1. <b>Zamude.<\/b><\/p>\n<p>\u010ce je nizka zamuda med dolo\u010denimi omre\u017enimi segmenti bistvena zahteva, kar na primer velja za borze, potem med temi segmenti ne bomo mogli uporabljati po\u017earnih zidov. Te\u017eko je najti raziskave o zamudah pri po\u017earnih zidovih, toda le redki modeli stikal lahko zagotavljajo zamude manj\u0161e ali okoli 1 mksec, zato menim, da \u010de so mikrosekunde za vas pomembne, potem po\u017earni zidovi niso pravi za vas.<\/p><\/blockquote>\n<blockquote><p>Primer 2. <b>Performanse.<\/b><\/p>\n<p>Preto\u010dnost vrhunskih L3 stikal je obi\u010dajno za red velikih razredov vi\u0161ja kot preto\u010dnost najzmogljivej\u0161ih po\u017earnih zidov. Zato boste v primeru visokointenzivnega prometa najverjetneje morali te prometne tokove usmeriti mimo po\u017earnih zidov.<\/p><\/blockquote>\n<p><\/p>\n<blockquote><p>Primer 3. <b>Zanesljivost.<\/b><\/p>\n<p>Po\u017earni zidovi, zlasti sodobni NGFW (Next-Generation Firewall), so zapletena naprava. So bistveno kompleksnej\u0161i od L3\/L2 stikal. Ponujajo veliko storitev in mo\u017enosti konfiguracije, zato ni presenetljivo, da je njihova zanesljivost bistveno ni\u017eja. \u010ce je neprekinjenost storitve kriti\u010dna za omre\u017eje, boste morda morali izbrati, kaj bo prineslo bolj\u0161o dostopnost - za\u0161\u010dita s po\u017earnim zidom ali preprostost omre\u017eja, zgrajenega na stikalih (ali razli\u010dnih tovarnah) z uporabo obi\u010dajnih ACL.<\/p><\/blockquote>\n<p> V primeru zgoraj na\u0161tetih primerov boste najverjetneje (kot obi\u010dajno) morali najti kompromis. Oglejte si naslednje re\u0161itve: <\/p>\n<ul>\n<li>\u010de se odlo\u010dite, da v podatkovnem centru ne boste uporabljali po\u017earnih zidov, potem morate dobro premisliti, kako maksimalno omejiti dostop na obrobju. Na primer, lahko odprete samo potrebne porte iz interneta (za odjemalski promet) in administrativne dostope v podatkovni center le z jump hosts. Na jump hostih opravite vso potrebno preverjanje (avtentikacijo\/avtorizacijo, protivirusno za\u0161\u010dito, bele\u017eenje, ...)<\/li>\n<li>lahko uporabite logi\u010dno delitev omre\u017eja podatkovnega centra na segmente, podobno shemi, opisani v PSEFABRIC <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nihole\/PSEFABRIC\/wiki\/p002-design\">primer p002<\/a><\/noindex>. Hkrati mora biti usmerjanje nastavljeno tako, da ob\u010dutljiv promet glede latence ali visoko intenziven promet te\u010de \u201eznotraj\u201c enega segmenta (v primeru p002, VRF-a) in ne te\u010de skozi po\u017earni zid. Promet med razli\u010dnimi segmenti pa bo \u0161e vedno potekal skozi po\u017earni zid. Uporabite lahko tudi route leaking med VRF-ji, da se izognete preusmeritvi prometa skozi po\u017earni zid.<\/li>\n<li>Po\u017earni zid lahko prav tako uporabljate v transparentnem na\u010dinu in samo za tiste VLAN-e, kjer ti dejavniki (laten\u010dnost\/preformans) niso pomembni. Vendar je treba natan\u010dno prou\u010diti omejitve, povezane z uporabo tega na\u010dina, za vsakega dobavitelja.<\/li>\n<li>Lahko razmislite o uporabi arhitekture service chain. To bo omogo\u010dilo usmerjanje samo potrebnega prometa skozi po\u017earni zid. Teoreti\u010dno izgleda lepo, a nikoli nisem videl te re\u0161itve v produkciji. Testirali smo service chain za Cisco ACI\/Juniper SRX\/F5 LTM pred pribli\u017eno 3 leti, vendar se je ta re\u0161itev tedaj zdela \u201enepregreta\u201c.<\/li>\n<\/ul>\n<p><\/p>\n<h3>Raven za\u0161\u010dite<\/h3>\n<p>\nZdaj se morate vpra\u0161ati, katere instrumente \u017eelite uporabiti za filtriranje prometa. Tu je nekaj mo\u017enosti, ki jih obi\u010dajno ponuja NGFW (na primer, <noindex><a rel=\"nofollow\" href=\"https:\/\/docs.paloaltonetworks.com\/pan-os\/8-0\/pan-os-admin\/policy\/security-profiles.html\">tukaj<\/a><\/noindex>):<\/p>\n<ul>\n<li>stateful firewalling (privzeto)<\/li>\n<li>aplikacijski po\u017earni zid<\/li>\n<li>prepre\u010devanje gro\u017eenj (antivirus, proti vohunskim in ranljivostim)<\/li>\n<li>filtriranje URL-jev<\/li>\n<li>filtriranje podatkov (filtriranje vsebine)<\/li>\n<li>blokiranje datotek (blokiranje tipov datotek)<\/li>\n<li>za\u0161\u010dita pred DDoS-om<\/li>\n<\/ul>\n<p>\nIn tudi ni vse tako enostavno. Zdi se, da vi\u0161ja raven za\u0161\u010dite pomeni bolj\u0161o za\u0161\u010dito. A morate tudi upo\u0161tevati, da<\/p>\n<ul>\n<li>ve\u010d funkcij po\u017earnega zidu, kot je navedeno zgoraj, uporabite, temeljito to postane dra\u017eje (licence, dodatni moduli).<\/li>\n<li>Uporaba nekaterih algoritmov lahko znatno zmanj\u0161a prepustnost po\u017earnega zidu ter pove\u010da latenco, glejte na primer <noindex><a rel=\"nofollow\" href=\"https:\/\/www.paloaltonetworks.com\/products\/secure-the-network\/next-generation-firewall\/pa-7000-series\">tukaj<\/a><\/noindex><\/li>\n<li>Kot katero koli kompleksno re\u0161itev lahko uporaba zapletenih za\u0161\u010ditnih metod zmanj\u0161a zanesljivost va\u0161e re\u0161itve. Na primer, pri uporabi application firewalling sem naletel na blokiranje nekaterih povsem obi\u010dajno delujo\u010dih aplikacij (dns, smb).<\/li>\n<\/ul>\n<p>\nKot obi\u010dajno morate najti optimalno re\u0161itev za va\u0161o mre\u017eo.<\/p>\n<p>Ni mogo\u010de je natan\u010dno odgovoriti na vpra\u0161anje, katere za\u0161\u010ditne funkcije so potrebne. Prvi\u010d, ker to seveda zale\u017ei od podatkov, ki jih prena\u0161ate ali shranjujete in jih \u017eelite za\u0161\u010dititi. Drugi\u010d, v resnici je pogosto izbira za\u0161\u010ditnih sredstev vpra\u0161anje vere in zaupanja do ponudnika. Ne poznate algoritmov, ne veste, kako u\u010dinkoviti so in ne morete jih popolnoma preizkusiti. <\/p>\n<p>Zato je v kriti\u010dnih segmentih dobro re\u0161itev uporaba ponudb razli\u010dnih podjetij. Na primer, lahko vklju\u010dite antivirus na po\u017earnem zidu, hkrati pa uporabljate antivirusno za\u0161\u010dito (drugih proizvajalcev) lokalno na gostiteljih.<\/p>\n<h3>Segmentacija<\/h3>\n<p>\nGre za logi\u010dno segmentacijo omre\u017eja podatkovnega centra. Na primer, razdelitev na VLAN in podmre\u017ee \u2013 to je tudi logi\u010dna segmentacija, vendar je ne bomo obravnavali zaradi njene o\u010ditnosti. Zanimiva je segmentacija, ki upo\u0161teva entitete, kot so FW varnostne cone, VRF (in njihovi analogi za razli\u010dne ponudnike), logi\u010dne naprave (PA VSYS, Cisco N7K VDC, Cisco ACI Tenant, \u2026), \u2026<\/p>\n<blockquote><p>Primer te logi\u010dne segmentacije in trenutno povpra\u0161evane zasnove podatkovnega centra je prikazan v <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/nihole\/PSEFABRIC\/wiki\/p002-design\">p002 projekta PSEFABRIC<\/a><\/noindex>.<\/p><\/blockquote>\n<p> Ko dolo\u010dite logi\u010dne dele va\u0161ega omre\u017eja, lahko opisujete, kako se premika promet med razli\u010dnimi segmenti, na katerih napravah bo potekala filtracija in s katerimi sredstvi.<\/p>\n<p>\u010ce v va\u0161em omre\u017eju ni jasne logi\u010dne delitve in pravil za uporabo varnostnih politik za razli\u010dne tokove podatkov (flow), to pomeni, da se ob odpiranju kakr\u0161nega koli dostopa prisiljeni odlo\u010diti za to nalogo in z veliko verjetnostjo jo boste vsaki\u010d re\u0161evali druga\u010de. <\/p>\n<p>Pogosto je segmentacija osnovana le na FW varnostnih conah. Takrat se morate odgovoriti na naslednja vpra\u0161anja:<\/p>\n<ul>\n<li>kak\u0161ne varnostne cone potrebujete<\/li>\n<li>kako raven za\u0161\u010dite \u017eelite uporabiti za vsako od teh con <\/li>\n<li>bo intra-zone promet privoljen po privzetku <\/li>\n<li>\u010de ne, katere politike filtracije prometa se bodo uporabljale znotraj vsake od con<\/li>\n<li>kak\u0161ne politike filtracije prometa se bodo uporabljale za vsak par con (source\/destination)<\/li>\n<\/ul>\n<p><\/p>\n<h3>TCAM<\/h3>\n<p>\nPogosto se pojavlja te\u017eava z nezadostnim TCAM (Ternary Content Addressable Memory) tako za usmerjanje kot za dostop. IMHO, to je ena najpomembnej\u0161ih vpra\u0161anj pri izbiri opreme, zato je potrebno to zadevo obravnavati s pravilno mero natan\u010dnosti.<\/p>\n<blockquote><p>Primer 1. Forwarding Table TCAM.<\/p>\n<p>Oglejmo si <noindex>Palo Alto 7k<\/noindex> firewall.<br \/>\nVidimo, da je velikost IPv4 forwarding table* = 32K<br \/>\nTo \u0161tevilo usmeritev pa je skupno za vse VSYS-e.<\/p>\n<p>Predpostavimo, da ste se v skladu z va\u0161im oblikovanjem odlo\u010dili uporabiti 4 VSYS-e.<br \/>\nVsak od teh VSYS-ov je preko BGP povezan z dvema PE MPLS oblakoma, ki ju uporabljate kot BB. Tako si 4 VSYS-i izmenjujejo vse specifi\u010dne usmeritve med seboj in imajo forwarding table z pribli\u017eno enakimi nabori usmeritev (vendar z razli\u010dnimi NH). Ker ima vsak VSYS po 2 BGP seji (z enakimi nastavitvami), ima vsaka usmeritev, pridobljena preko MPLS, 2 NH in posledi\u010dno 2 FIB zapisa v Forwarding Table. \u010ce predpostavimo, da je to edini firewall v podatkovnem centru in mora poznati vse usmeritve, to pomeni, da skupno \u0161tevilo usmeritev v na\u0161em podatkovnem centru ne more biti ve\u010d kot 32K\/(4 * 2) = 4K. <\/p>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c, \u0435\u0441\u043b\u0438 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0443 \u043d\u0430\u0441 2 \u0434\u0430\u0442\u0430-\u0446\u0435\u043d\u0442\u0440\u0430 (\u0441 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u043c \u0434\u0438\u0437\u0430\u0439\u043d\u043e\u043c), \u0438 \u043c\u044b \u0445\u043e\u0442\u0438\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c VLAN-\u044b, \u201c\u0440\u0430\u0441\u0442\u044f\u043d\u0443\u0442\u044b\u0435&#187; \u043c\u0435\u0436\u0434\u0443 \u0434\u0430\u0442\u0430-\u0446\u0435\u043d\u0442\u0440\u0430\u043c\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0434\u043b\u044f vMotion), \u0442\u043e, \u0447\u0442\u043e\u0431\u044b \u0440\u0435\u0448\u0438\u0442\u044c \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438, \u043c\u044b \u0434\u043e\u043b\u0436\u043d\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0445\u043e\u0441\u0442\u043e\u0432\u044b\u0435 \u0440\u043e\u0443\u0442\u044b. \u041d\u043e \u044d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442, \u0447\u0442\u043e \u043d\u0430 2 \u0434\u0430\u0442\u0430-\u0446\u0435\u043d\u0442\u0440\u0430 \u0443 \u043d\u0430\u0441 \u0431\u0443\u0434\u0435\u0442 \u043d\u0435 \u0431\u043e\u043b\u044c\u0448\u0435 \u0447\u0435\u043c 4096 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432 \u0438, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u044d\u0442\u043e\u0433\u043e \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e.<\/p><\/blockquote>\n<blockquote><p>Primer 2. ACL TCAM.<\/p>\n<p>\u010ce nameravate filtrirati promet na L3 stikalah (ali drugih re\u0161itvah, ki uporabljajo L3 stikala, na primer Cisco ACI), morate pri izbiri opreme paziti na ACL TCAM.<\/p>\n<p>Predpostavimo, da \u017eelite nadzorovati dostop na SVI vmesnikih Cisco Catalyst 4500. Takrat, kot je razvidno iz <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/switches\/catalyst-4000-series-switches\/66978-tcam-cat-4500.html\">ovog \u010dlanka<\/a><\/noindex>, lahko za nadzor izhodnega (prav tako kot in vhodnega) prometa na vmesnikih uporabite le 4096 vrstic TCAM. Kar pri uporabi TCAM3 pomeni pribli\u017eno 4000 tiso\u010d ACE (vrstic ACL).<\/p><\/blockquote>\n<p> \u010ce se soo\u010date s te\u017eavo pomanjkanja TCAM-a, je najprej seveda potrebno razmisliti o optimizaciji. Tako, v primeru te\u017eave z velikostjo Forwarding Table, razmislite o agregaciji poti. V primeru te\u017eave z velikostjo TCAM za dostope \u2014 opravite pregled dostopov, odstranite zastarele in prekrivne vnose ter morda ponovno preu\u010dite postopek odpiranja dostopov (to bo podrobneje obravnavano v poglavju, posve\u010denem pregledu dostopov).<\/p>\n<h3>Visoka razpolo\u017eljivost<\/h3>\n<p>\nVpra\u0161anje je, ali uporabiti HA za po\u017earne zidove ali pa postaviti dve neodvisni enoti 'paralelno' in ob primeru okvare ene izmed njih usmerjati promet preko druge?<\/p>\n<p>Na videz je odgovor o\u010diten \u2013 uporabiti HA. Razlog, zakaj se to vpra\u0161anje kljub temu pojavi, je ta, da se, \u017eal, teoreti\u010dnih in ogla\u0161evalskih 99 in \u0161e nekaj devetic za vejico glede dostopnosti v praksi izka\u017ee za dale\u010d od optimisti\u010dnega. HA je logi\u010dno dovolj zapleten sistem, in na razli\u010dni opremi, ter pri razli\u010dnih proizvajalcih (brez izjem) smo naleteli na te\u017eave, napake in zaustavitve storitev.<\/p>\n<p>V primeru uporabe HA boste imeli mo\u017enost izklopiti posamezne vozli\u0161\u010da, preklapljati med njimi brez zaustavitve storitve, kar je pomembno, na primer, pri nadgradnjah, vendar je to povezano s precej\u0161njo verjetnostjo, da se bo zgodilo, da se bosta obe vozli\u0161\u010dni enoti hkrati pokvarili, ter, da nadgradnja ne bo potekala tako gladko, kot obljublja proizvajalec (to te\u017eavo lahko prepre\u010dite, \u010de imate mo\u017enost testirati nadgradnjo na laboratorijski opremi).<\/p>\n<p>\u010ce ne uporabljate HA, so tveganja v primeru dvojne okvare znatno ni\u017eja (ker imate 2 neodvisna po\u017earna zidu), toda ker se seje ne sinhronizirajo, boste kadarkoli, ko bo pri\u0161lo do preklopa med temi po\u017earnimi zidovi, izgubljali promet. Seveda lahko uporabite stateless firewalling, toda takrat se smisel uporabe po\u017earnega zidu v veliki meri izgubi.<\/p>\n<p>Zato, \u010de ste med pregledom odkrili osamljene po\u017earne zidove in razmi\u0161ljate o pove\u010danju zanesljivosti va\u0161e omre\u017ene infrastrukture, je HA seveda ena od priporo\u010denih re\u0161itev, vendar morate upo\u0161tevati tudi slabosti, povezane s tem pristopom, in morda bo za va\u0161e omre\u017eje primernej\u0161a druga re\u0161itev.<\/p>\n<h3>Enostavnost upravljanja<\/h3>\n<p>\nNa splo\u0161no HA vklju\u010duje tudi vpra\u0161anje upravljanja. Namesto da bi konfigurirali dve napravi lo\u010deno in re\u0161ili te\u017eavo s sinhronizacijo konfiguracij, z njimi upravljate skoraj tako, kot da imate eno samo napravo. <\/p>\n<p>Toda, morda imate veliko podatkovnih centrov in veliko po\u017earnih zidov, takrat se to vpra\u0161anje pojavi na novi ravni. In vpra\u0161anje ni le o konfiguriranju, temve\u010d tudi o<\/p>\n<ul>\n<li>varnostnih kopijah konfiguracij<\/li>\n<li>posodobitvah<\/li>\n<li>nadgradnjah<\/li>\n<li>nadzoru<\/li>\n<li>bele\u017eenju<\/li>\n<\/ul>\n<p>\nIn vse to lahko re\u0161ijo centralizirani sistem upravljanja. <\/p>\n<blockquote><p>Na primer, \u010de uporabljate po\u017earne zidove Palo Alto, potem <noindex><a rel=\"nofollow\" href=\"https:\/\/www.paloaltonetworks.com\/products\/management\/panorama\">Panorama<\/a><\/noindex> je tak\u0161na re\u0161itev.\n<\/p><\/blockquote>\n<p>\n<i>Nadaljuje se.<\/i><br \/>\n<br \/>Izvor: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u041d\u0435\u0442 \u0441\u043c\u044b\u0441\u043b\u0430 \u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u043b\u043d\u043e\u043c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 security \u0440\u0438\u0441\u043a\u043e\u0432. \u041c\u044b \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435 \u043c\u043e\u0436\u0435\u043c \u0441\u043d\u0438\u0437\u0438\u0442\u044c \u0438\u0445 \u0434\u043e \u043d\u0443\u043b\u044f. \u0422\u0430\u043a\u0436\u0435 \u043d\u0443\u0436\u043d\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u0438 \u0441\u0442\u0440\u0435\u043c\u043b\u0435\u043d\u0438\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u0435\u0442\u044c \u0431\u043e\u043b\u0435\u0435 \u0438 \u0431\u043e\u043b\u0435\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043d\u0430\u0448\u0438 \u0440\u0435\u0448\u0435\u043d\u0438\u044f \u0441\u0442\u0430\u043d\u043e\u0432\u044f\u0442\u0441\u044f [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23033,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31058","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sl_SI\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Kako obvladati svojo omre\u017eno infrastrukturo. Tretje poglavje. Omre\u017ena varnost. Prvi del | ProHoster","description":"Ta \u010dlanek je tretji v ciklu \u010dlankov 'Kako obvladati svojo omre\u017eno infrastrukturo'.","canonical_url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sl_SI","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u043f\u0435\u0440\u0432\u0430\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-pervaya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:39:12+00:00","article:modified_time":"2019-10-31T18:39:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31058","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 04:20:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:24:14","updated":"2026-01-21 04:20:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/31058","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/comments?post=31058"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/31058\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media\/23033"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media?parent=31058"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/categories?post=31058"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/tags?post=31058"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}