O lenei tusiga o le lona tolu lea i se faasologa o tala "E faʻafefea ona pulea lau fesoʻotaʻiga fesoʻotaʻiga." O mea o lo'o i totonu o tala uma i le faasologa ma feso'ota'iga e mafai ona maua iinei.

E leai se aoga o le talanoa e uiga i le faʻaumatia atoa o lamatiaga saogalemu. I le mataupu faavae, e le mafai ona tatou faʻaititia i latou i le zero. E manaʻomia foʻi ona tatou malamalama a o tatou taumafai e faʻateleina le fesoʻotaʻiga ma sili atu ona malupuipuia, o a tatou fofo ua faʻateleina ma sili atu ona taugata. E tatau ona e su'e se fefa'ataua'iga i le va o tau, lavelave, ma le saogalemu e talafeagai mo lau feso'otaiga.

O le mea moni, o le puipuiga o le mamanu o loʻo tuʻufaʻatasia faʻatasi i totonu o le fausaga atoa ma o fofo saogalemu o loʻo faʻaaogaina e aʻafia ai le faʻalauteleina, faʻatuatuaina, pulea, ... o fesoʻotaʻiga fesoʻotaʻiga, lea e tatau foi ona amanaia.

Ae sei ou faamanatu atu ia te oe o lenei tatou te le o talanoa e uiga i le fatuina o se upega tafailagi. E tusa ai ma a tatou tulaga muamua ua uma ona tatou filifilia le mamanu, filifilia meafaigaluega, ma fausia le atinaʻe, ma i lenei laʻasaga, pe a mafai, e tatau ona tatou "ola" ma saili fofo i le tulaga o le auala na filifilia muamua.

O la matou galuega i le taimi nei o le faʻailoaina o aʻafiaga e fesoʻotaʻi ma le saogalemu i le tulaga o fesoʻotaʻiga ma faʻaititia i latou i se tulaga talafeagai.

Su'etusi saogalemu o feso'otaiga

Afai ua fa'atinoina e lau fa'alapotopotoga ISO 27k faiga, ona tatau lea ona fetaui lelei su'etusi saogalemu ma suiga o feso'ota'iga i le aotelega o faiga i totonu o lenei faiga. Ae o nei tulaga e le o faʻatatau i fofo faʻapitoa, e le o le faʻatulagaina, e le o le mamanu ... E leai ni fautuaga manino, e leai ni faʻataʻitaʻiga e faʻamatalaina auiliili pe o le a le mea e tatau ona i ai lau fesoʻotaiga, o le lavelave ma le matagofie o lenei galuega.

Ou te fa'ailoaina nisi o su'esu'ega saogalemu o feso'otaiga:

• su'etusi fa'atulagaina o meafaigaluega (fa'ama'a'a)
• su'etusi o mamanu saogalemu
• avanoa su'etusi
• faiga su'etusi

Su'etusi fa'atulagaina o meafaigaluega (fa'ama'a'a)

E foliga mai o le tele o tulaga o le amataga sili lea mo le suʻeina ma le faʻaleleia o le saogalemu o lau fesoʻotaiga. IMHO, o se faʻataʻitaʻiga lelei lea o le tulafono a Pareto (20% o taumafaiga e maua ai le 80% o le iʻuga, ae o le 80% o loʻo totoe e maua ai na o le 20% o le iʻuga).

O le pito i lalo e masani lava ona i ai a matou fautuaga mai tagata faʻatau e uiga i "faiga sili ona lelei" mo le saogalemu pe a faʻapipiʻi meafaigaluega. E ta'ua lea o le “faamaaaina”.

E masani foi ona e mauaina se fesili (pe faia oe lava) e faavae i luga o nei fautuaga, lea o le a fesoasoani ia te oe e fuafua pe o le a le lelei o le faʻatulagaina o au meafaigaluega e tausisia nei "faiga sili ona lelei" ma, e tusa ai ma le taunuuga, faia suiga i lau fesoʻotaiga. . Ole mea lea ole a fa'ataga ai oe e fa'aitiitia fa'aitiitiga fa'aletonu fa'aletonu i se tulaga faigofie, toetoe lava leai se tau.

Le tele o faʻataʻitaʻiga mo nisi faiga faʻaoga Cisco.

Cisco IOS Configuration Fa'amalo
Cisco IOS-XR Configuration Fa'amalo
Cisco NX-OS Fa'amaua'aga Fa'amalo
Cisco Baseline Siaki Lisi Puipuiga

Faʻavae i luga o nei pepa, o se lisi o faʻatulagaga manaʻomia mo ituaiga masini taʻitasi e mafai ona faia. Mo se faʻataʻitaʻiga, mo se Cisco N7K VDC atonu e foliga mai nei manaʻoga ina.

I lenei auala, e mafai ona faia faila fetuutuunai mo ituaiga eseese o meafaigaluega galue i totonu o au atinaʻe fesoʻotaiga. Le isi, ma le lima poʻo le faʻaaogaina o masini, e mafai ona e "faʻapipiʻi" nei faila faʻatulagaina. E fa'afefea ona fa'autometi lenei fa'agasologa o le a fa'atalanoaina auiliili i se isi fa'asologa o tala e uiga i fa'asologa ma masini.

Su'etusi o mamanu saogalemu

E masani lava, o se atinaʻe fesoʻotaʻiga e aofia ai vaega nei i se tasi ituaiga poʻo se isi:

• DC (Au'aunaga Lautele DMZ ma Intranet data center)
• Initoneti avanoa
• Avanoa mamao VPN
• pito WAN
• lālā
• Campus (Ofisa)
• autū

Suafa na aumai mai Cisco SAFE faʻataʻitaʻiga, ae e le manaʻomia, ioe, e faʻapipiʻi tonu i nei igoa ma lenei faʻataʻitaʻiga. Ae, ou te manaʻo e talanoa e uiga i le ute ma aua le faʻalavelave i faiga masani.

Mo nei vaega taʻitasi, manaʻoga saogalemu, lamatiaga ma, e tusa ai, fofo o le a eseese.

Se'i o tatou va'ava'ai ta'itasi i latou mo fa'afitauli e te ono fetaia'i mai se va'aiga o le puipuiga malu. Ioe, ou te toe fai atu e leai se auala e faafoliga ai lenei tusiga e atoatoa, lea e le faigofie (pe a le mafai) ona ausia i lenei autu moni loloto ma tele, ae e atagia mai ai loʻu lava aafiaga.

E leai se fofo atoatoa (a itiiti mai e leʻi iai). O taimi uma lava o se fetuunaiga. Ae e taua tele le faia o le filifiliga e faʻaaoga se tasi poʻo se isi auala e faia ma le malamalama, faatasi ai ma le malamalama i ona lelei ma mea leaga.

Maota Autu mo faamatalaga

Le vaega pito sili ona taua mai le tulaga saogalemu.
Ma, e pei ona masani ai, e leai se fofo lautele iinei pe. E fa'alagolago tele uma i mana'oga feso'otaiga.

E mana'omia se pa puipui pe leai?

E foliga mai e manino le tali, ae e le o manino mea uma e pei ona foliga mai ai. Ma o lau filifiliga e mafai ona aafia e le gata le tau.

1 faataitaiga. Fa'atuai.

Afai o le maualalo o le latency o se manaʻoga taua i le va o nisi vaega o fesoʻotaʻiga, o lona uiga, mo se faʻataʻitaʻiga, moni i le tulaga o se fesuiaiga, o le a le mafai ona tatou faʻaogaina afi i le va o nei vaega. E faigata ona maua suʻesuʻega i luga o le faʻaogaina o afi, ae o nai faʻataʻitaʻiga faʻataʻitaʻiga e mafai ona tuʻuina atu le laititi nai lo pe i luga o le faʻatonuga o le 1 mksec, o lea ou te manatu afai e taua le microseconds ia te oe, o lona uiga e le mo oe puipui.

2 faataitaiga. Faatinoga.

O le faʻaogaina o le pito i luga L3 sui e masani lava o se faʻatonuga o le maualuga maualuga atu nai lo le faʻaogaina o puipui sili ona malosi. O le mea lea, i le tulaga o feoaiga maualuga, o le a sili atu foi ona e faʻatagaina lenei taʻavale e faʻafefe ai puipui afi.

3 faataitaiga. Tausiga

O pa puipui, aemaise NGFW faʻaonaponei (Next-Generation FW) o masini lavelave. E sili atu ona lavelave nai lo suiga L3/L2. Latou te tuʻuina atu le tele o auaunaga ma filifiliga faʻatulagaina, o lea e le o se mea e ofo ai o lo latou faʻatuatuaina e sili atu le maualalo. Afai e taua tele le fa'aauauina o auaunaga ile feso'ota'iga, atonu e tatau ona e filifili po'o le a le mea e maua ai le avanoa e sili atu - saogalemu ma se pa puipui po'o le faigofie o se feso'otaiga e fausia i luga o ki (po'o ituaiga ie eseese) e fa'aaoga ai ACL masani.

I le tulaga o faʻataʻitaʻiga o loʻo i luga, o le a sili atu (e pei ona masani ai) e tatau ona e maua se maliega. Va'ai i fofo nei:

• afai e te filifili e aua le faʻaogaina firewalls i totonu o le nofoaga autu o faʻamatalaga, ona tatau lea ona e mafaufau pe faʻafefea ona faʻatapulaʻaina le avanoa i le nofoaga i le tele e mafai ai. Mo se faʻataʻitaʻiga, e mafai ona e tatalaina naʻo ports e manaʻomia mai le Initaneti (mo fefaʻatauaʻiga o tagata faʻatau) ma le faʻaogaina o le pulega i le nofoaga autu o faʻamatalaga naʻo le oso oso. I luga o 'au oso, faia uma siaki talafeagai (faʻamaonia / faʻatagaina, antivirus, logging, ...)
• e mafai ona e faʻaogaina se vaeluaga talafeagai o fesoʻotaʻiga nofoaga autu o faʻamatalaga i vaega, tutusa ma le polokalame o loʻo faʻamatalaina i le PSEFABRIC fa'ata'ita'iga p002. I lenei tulaga, e tatau ona faʻatulagaina le taʻavale i se auala e faʻatuai ai poʻo le maualuga o fefaʻatauaiga e alu "i totonu" o le tasi vaega (i le tulaga o p002, VRF) ma e le alu i le pa puipui. O feoaiga i le va o vaega eseese o le a faʻaauau pea ona ui atu i le pa puipui. E mafai fo'i ona e fa'aogaina le ala e tafe i le va o VRFs e 'alofia ai le toe fa'asa'oina o felauaiga i le pa puipui
• E mafai fo'i ona e fa'aogaina se pa puipui i le tulaga manino ma na'o na VLAN e le taua ai nei mea (latency/fa'atinoga). Ae e tatau ona e suʻesuʻeina ma le faʻaeteete tapulaʻa e fesoʻotaʻi ma le faʻaogaina o lenei mod mo tagata faʻatau taʻitasi
• atonu e te manaʻo e mafaufau e faʻaaoga se fausaga filifili filifili auaunaga. Ole mea lea ole a fa'ataga ai na'o ta'avale talafeagai e ui atu ile pa puipui. E foliga manaia i le teori, ae ou te leʻi vaʻai lava i lenei fofo i le gaosiga. Sa matou tofotofoina le filifili auaunaga mo Cisco ACI / Juniper SRX / F5 LTM e uiga i 3 tausaga talu ai, ae o le taimi lena na foliga mai ai o lenei fofo "faʻatauvaʻa" ia i matou.

Tulaga puipuiga

Ole taimi nei e tatau ona e taliina le fesili pe oa mea faigaluega e te manaʻo e faʻaoga e faamama ai fefaʻatauaiga. O nisi nei o foliga e masani ona iai ile NGFW (mo se faʻataʻitaʻiga, iinei):

• fa'amalama afi (fa'aleaogaina)
• fa'aoga firewall
• puipuiga tau fa'amata'u (antivirus, anti-spyware, ma fa'aletonu)
• Filifiliga URL
• fa'amama fa'amaumauga (fa'amama mea)
• poloka faila (faiga faila poloka)
• faia puipuiga

Ma e le o manino foi mea uma. E foliga mai o le maualuga o le puipuiga, o le sili atu lea. Ae e tatau foi ona e mafaufau i lena mea

• O le tele o galuega o lo'o i luga o le firewall e te fa'aogaina, o le sili atu foi ona taugata (laisene, fa'aopoopo fa'aopoopo)
• o le faʻaaogaina o nisi algorithms e mafai ona faʻaitiitia ai le faʻaogaina o le pa puipui ma faʻateleina foi le tuai, vaʻai mo se faʻataʻitaʻiga iinei
• pei o soʻo se fofo lavelave, o le faʻaogaina o auala faʻalavelave puipuia e mafai ona faʻaitiitia ai le faʻatuatuaina o lau fofo, mo se faʻataʻitaʻiga, pe a faʻaogaina le firewalling, na ou feagai ma le polokaina o nisi o talosaga masani galue (dns, smb)

E pei lava o taimi uma, e tatau ona e suʻeina le fofo sili mo lau fesoʻotaʻiga.

E le mafai ona taliina ma'oti le fesili po'o a galuega tau puipuiga e ono mana'omia. Muamua, aua o le mea moni e faʻalagolago i faʻamatalaga o loʻo e lafoina pe teuina ma taumafai e puipui. Lona lua, i le mea moni, e masani lava o le filifiliga o meafaigaluega saogalemu o se mataupu o le faʻatuatua ma le faʻalagolago i le tagata faʻatau. E te le iloa algorithms, e te le iloa pe o le a le aoga, ma e le mafai ona e suʻeina atoa.

O le mea lea, i vaega taua, o se fofo lelei atonu o le faʻaaogaina o ofo mai kamupani eseese. Mo se faʻataʻitaʻiga, e mafai ona e faʻaogaina le antivirus i luga o le pa puipui, ae faʻaaoga foi le puipuiga o le antivirus (mai se isi gaosi oloa) i le lotoifale i luga o au.

Vaevaega

O loʻo matou talanoa e uiga i le faʻavasegaina talafeagai o fesoʻotaʻiga nofoaga autu o faʻamatalaga. Mo se faʻataʻitaʻiga, o le vaeluaga i VLANs ma subnets o se vaega talafeagai foi, ae matou te le mafaufau i ai ona o lona manino. Tulaga fiafia e amanaʻia ai faʻalapotopotoga e pei o sone saogalemu FW, VRFs (ma a latou faʻatusa e faʻatatau i faʻatau eseese), masini faʻapitoa (PA VSYS, Cisco N7K VDC, Cisco ACI Tenant, ...), ...

O se fa'ata'ita'iga o lea fa'avasegaga fa'atatau ma le fa'ata'ita'iga o lo'o mana'omia i le taimi nei o lo'o tu'uina atu i totonu p002 o le poloketi PSEFABRIC.

I le faʻamalamalamaina o vaega talafeagai o lau fesoʻotaʻiga, e mafai ona e faʻamatalaina pe faʻafefea ona fegasoloaʻi feoaiga i le va o vaega eseese, lea o le a faia ai le faʻamamaina o masini ma pe faʻapefea.

Afai o lau fesoʻotaʻiga e le o iai se vaeluaga manino ma o tulafono mo le faʻaogaina o faiga faʻavae mo le puipuiga o faʻamaumauga eseese e le o faʻamaonia, o lona uiga pe a e tatalaina lenei mea poʻo lena avanoa, e faʻamalosia oe e foia lenei faafitauli, ma e maualuga le avanoa e te o le a foia i taimi uma eseese.

E masani ona fa'avae vaega ile vaega ole saogalemu ole FW. Ona e manaʻomia lea ona e taliina fesili nei:

• o a sone saogalemu e te manaʻomia
• o le a le maualuga o le puipuiga e te mana'o e fa'aoga i sone ta'itasi
• o le a fa'atagaina feoaiga i totonu ole sone e ala ile faaletonu?
• afai e leai, o a faiga fa'avae o le a fa'aogaina i totonu o sone ta'itasi
• po'o a faiga fa'avae mo le fa'avasegaina o ta'avale o le a fa'aogaina mo sone ta'itasi (puna/taulaga)

TCAM

O se fa'afitauli masani e le lava le TCAM (Ternary Content Addressable Memory), e le gata mo le ta'avale ma mo avanoa. IMHO, o se tasi lea o mataupu sili ona taua pe a filifilia meafaigaluega, o lea e tatau ai ona e togafitia lenei mataupu ma le tikeri talafeagai o le tausiga.

Fa'ata'ita'iga 1. Laulau Fa'asalalau TCAM.

seʻi tatou mafaufau Palo Alto 7k pa puipui
Ua matou va'aia le lapopo'a o le laulau fa'asalalau IPv4* = 32K
E le gata i lea, o lenei numera o auala e taatele mo VSYS uma.

Sei o tatou manatu e tusa ai ma lau mamanu e te filifili e faʻaaoga le 4 VSYS.
O nei VSYS ta'itasi e feso'ota'i ile BGP ile lua MPLS PE o le ao e te fa'aogaina e fai ma BB. O le mea lea, 4 VSYS fa'afesuia'i ala fa'apitoa uma ma le tasi ma le isi laulau ma fa'atatau i seti tutusa o auala (ae eseese NHs). Aua ta'itasi VSYS e 2 BGP vasega (fa'atasi ai ma fa'atulagaga tutusa), ona ta'itasi lea o auala e maua mai i le MPLS e iai le 2 NH ma, e tusa ai, 2 FIB fa'amaumauga i le Laulau Fa'asalalau. Afai tatou te manatu e na o le pau lea o le firewall i le nofoaga autu o faʻamatalaga ma e tatau ona iloa e uiga i auala uma, o lona uiga o le aofaʻi atoa o auala i totonu o la tatou nofoaga autu e le mafai ona sili atu i le 32K / (4 * 2) = 4K.

I le taimi nei, afai tatou te manatu o loʻo i ai a tatou 2 faʻamaumauga (faʻatasi ai ma le mamanu tutusa), ma tatou te manaʻo e faʻaoga VLANs "faʻaloaloa" i le va o nofoaga autu o faʻamatalaga (mo se faʻataʻitaʻiga, mo vMotion), ona foia lea o le faʻalavelave faʻalavelave, e tatau ona tatou faʻaogaina auala talimalo. . Ae o lona uiga mo 2 nofoaga autu o faʻamaumauga o le a le sili atu nai lo le 4096 'au e mafai ma, ioe, atonu e le lava.

Faataitaiga 2. ACL TCAM.

Afai e te fuafua e faʻamama le fefaʻatauaʻiga i luga o suiga L3 (poʻo isi fofo e faʻaogaina ai le L3 switches, mo se faʻataʻitaʻiga, Cisco ACI), ona e filifilia lea o meafaigaluega e tatau ona e gauai atu i le TCAM ACL.

Faapea e te manaʻo e pulea le avanoa i luga o fesoʻotaʻiga SVI o le Cisco Catalyst 4500. Ona, e pei ona mafai ona vaʻaia mai lenei tusiga, e pulea ai le alu atu (faʻapea foʻi ma le ulufale mai) fefaʻatauaiga i luga o fesoʻotaʻiga, e mafai ona e faʻaogaina na o laina 4096 TCAM. Lea a faʻaaogaina TCAM3 o le a tuʻuina atu ia te oe le 4000 afe ACEs (laina ACL).

Afai o loʻo e feagai ma le faʻafitauli o le le lava o le TCAM, o lona uiga, muamua lava, ioe, e tatau ona e mafaufau i le avanoa e sili atu. O lea la, i le tulaga o se faʻafitauli i le tele o le Forwarding Table, e tatau ona e mafaufau i le avanoa e tuʻufaʻatasia ai auala. I le tulaga o se faʻafitauli i le tele o le TCAM mo avanoa, avanoa suʻega, aveese faʻamaumauga tuai ma faʻapipiʻi, ma atonu e toe faʻaleleia le faiga mo le tatalaina o avanoa (o le a talanoaina auiliili i le mataupu ile suʻega avanoa).

Maualuga Maualuga

O le fesili o le: pe tatau ona ou faʻaogaina HA mo pa puipui pe faʻapipiʻi ni pusa tutoʻatasi se lua "faʻatasi" ma, afai e le manuia se tasi, faʻafeiloaʻi feoaiga i le lona lua?

E foliga mai e manino le tali - faʻaaoga HA. O le mafua'aga o lo'o tula'i mai ai pea lenei fesili ona, o le mea e leaga ai, o le talitonuga ma fa'asalalauga 99 ma le tele o pasene o le fa'aogaina i le fa'atinoga e foliga mai e mamao ese mai le rosy. O le HA o se mea faʻalavelave, ma i luga o masini eseese, ma faʻatau eseese (e leai ni tuusaunoaga), na matou maua ai faʻafitauli ma faʻamaʻi ma taofi auaunaga.

Afai e te faʻaaogaina HA, o le ae maua le avanoa e tape ai nodes taʻitoʻatasi, fesuiaʻi i le va oi latou e aunoa ma le taofia o le auaunaga, lea e taua, mo se faʻataʻitaʻiga, pe a faʻaleleia, ae i le taimi lava e tasi e te mamao ese mai le leai se avanoa e lua nodes. o le a malepe i le taimi lava e tasi, ma o le isi faʻaleleia o le a le sologa lelei e pei ona folafola mai e le tagata faʻatau (e mafai ona aloese mai lenei faʻafitauli pe afai e te maua le avanoa e faʻataʻitaʻi ai le faʻaleleia i meafaigaluega falesuesue).

Afai e te le faʻaaogaina HA, ona faʻaalia lea o le faʻaluaina o le toilalo o ou lamatiaga e sili atu ona maualalo (talu ai e 2 au pa puipui tutoatasi), ae talu ai ... e le'o fa'atasia sauniga, o taimi uma lava e te fesuia'i ai i le va o nei pa puipui o le a leiloa le ta'avale. E mafai, ioe, fa'aaoga firewall e leai ni setete, ae o le tulaga o le fa'aogaina o le firewall e tele lava ina leiloa.

O le mea lea, afai o se taunuuga o le suʻega na e mauaina ai ni pa puipui tuufua, ma o loʻo e mafaufau e uiga i le faʻateleina o le faʻamaoni o lau fesoʻotaiga, o le HA, ioe, o se tasi lea o fofo fautuaina, ae e tatau foi ona e amanaʻia le le lelei e fesoʻotaʻi. fa'atasi ai ma lenei faiga ma, masalo, fa'apitoa mo lau feso'ota'iga, o le a sili atu ona talafeagai le isi fofo.

Puleaina

I le mataupu faavae, HA foi e uiga i le pulea. Nai lo le faʻapipiʻiina o pusa 2 eseese ma feagai ma le faʻafitauli o le tausia o faʻasalalauga i le sync, e te faʻatautaia tele e pei o lau masini e tasi.

Ae masalo e tele au nofoaga autu o faʻamatalaga ma le tele o pa puipui, ona tulaʻi mai lea o lenei fesili i se tulaga fou. Ma o le fesili e le gata e uiga i le faʻatulagaina, ae faʻapea foi

• faatulagaga faaleoleo
• fa'afouga
• fa'aleleia
• mata'ituina
• taina

Ma o nei mea uma e mafai ona foia e ala i faiga faʻavae faʻapitoa.

O lea, mo se faʻataʻitaʻiga, afai o loʻo e faʻaaogaina Palo Alto firewalls, ona Panorama o se fofo faapena.

Ia toe faauau.

puna: www.habr.com