Nkan yii jẹ ẹkẹta ninu lẹsẹsẹ awọn nkan “Bi o ṣe le Ṣakoso Iṣakoso Awọn amayederun Nẹtiwọọki Rẹ.” Awọn akoonu ti gbogbo awọn nkan ninu jara ati awọn ọna asopọ le ṣee rii .
Ko si aaye ni sisọ nipa imukuro awọn ewu aabo patapata. Ni opo, a ko le dinku wọn si odo. A tun nilo lati ni oye pe bi a ṣe n tiraka lati jẹ ki nẹtiwọọki naa ni aabo ati aabo, awọn ojutu wa n di diẹ sii ati gbowolori. O nilo lati wa iṣowo-pipa laarin idiyele, idiju, ati aabo ti o ni oye fun nẹtiwọọki rẹ.
Nitoribẹẹ, apẹrẹ aabo jẹ iṣọpọ ti ara sinu faaji gbogbogbo ati awọn solusan aabo ti a lo ni ipa iwọn iwọn, igbẹkẹle, iṣakoso,… ti awọn amayederun nẹtiwọọki, eyiti o tun gbọdọ ṣe akiyesi.
Ṣugbọn jẹ ki n leti pe ni bayi a ko sọrọ nipa ṣiṣẹda nẹtiwọki kan. Ni ibamu si wa a ti yan apẹrẹ tẹlẹ, yan ohun elo, ati ṣẹda awọn amayederun, ati ni ipele yii, ti o ba ṣeeṣe, a yẹ ki a “gbe” ki o wa awọn solusan ni ipo ti ọna ti a ti yan tẹlẹ.
Iṣẹ wa ni bayi ni lati ṣe idanimọ awọn ewu ti o nii ṣe pẹlu aabo ni ipele nẹtiwọọki ati dinku wọn si ipele ti oye.
Ayẹwo aabo nẹtiwọki
Ti ile-iṣẹ rẹ ba ti ṣe imuse awọn ilana ISO 27k, lẹhinna awọn iṣayẹwo aabo ati awọn ayipada nẹtiwọọki yẹ ki o baamu lainidi si awọn ilana gbogbogbo laarin ọna yii. Ṣugbọn awọn iṣedede wọnyi kii ṣe nipa awọn ojutu kan pato, kii ṣe nipa iṣeto ni, kii ṣe nipa apẹrẹ… Ko si imọran ge-gige, ko si awọn iṣedede ti n ṣalaye ni alaye bi nẹtiwọọki rẹ yẹ ki o dabi, eyi ni idiju ati ẹwa ti iṣẹ yii.
Emi yoo ṣe afihan ọpọlọpọ awọn iṣayẹwo aabo nẹtiwọọki ti o ṣeeṣe:
- Iṣayẹwo atunto ẹrọ (lile)
- iṣayẹwo apẹrẹ aabo
- wiwọle se ayewo
- iṣayẹwo ilana
Ṣiṣayẹwo iṣeto ohun elo (lile)
O dabi pe ni ọpọlọpọ igba eyi ni aaye ibẹrẹ ti o dara julọ fun iṣatunṣe ati imudarasi aabo ti nẹtiwọọki rẹ. IMHO, yi ni kan ti o dara ifihan ti Pareto ká ofin (20% akitiyan fun wa 80% ti awọn esi, ati awọn ti o ku 80% akitiyan fun wa nikan 20% ti awọn esi).
Laini isalẹ ni pe a nigbagbogbo ni awọn iṣeduro lati ọdọ awọn olutaja nipa “awọn iṣe ti o dara julọ” fun aabo nigbati atunto ohun elo. Eyi ni a npe ni "lile".
O tun le nigbagbogbo wa iwe ibeere (tabi ṣẹda ọkan funrararẹ) ti o da lori awọn iṣeduro wọnyi, eyiti yoo ṣe iranlọwọ fun ọ lati pinnu bi iṣeto ti ẹrọ rẹ ṣe ni ibamu pẹlu “awọn iṣe ti o dara julọ” wọnyi ati, ni ibamu pẹlu abajade, ṣe awọn ayipada ninu nẹtiwọọki rẹ. . Eyi yoo gba ọ laaye lati dinku awọn eewu aabo ni irọrun ni irọrun, ni kii ṣe idiyele.
Orisirisi awọn apẹẹrẹ fun diẹ ninu awọn Sisiko awọn ọna šiše.
Da lori awọn iwe aṣẹ wọnyi, atokọ ti awọn ibeere atunto fun iru ẹrọ kọọkan le ṣẹda. Fun apẹẹrẹ, fun Sisiko N7K VDC awọn ibeere wọnyi le dabi .
Ni ọna yii, awọn faili atunto le ṣee ṣẹda fun awọn oriṣiriṣi awọn ohun elo ti nṣiṣe lọwọ ninu awọn amayederun nẹtiwọọki rẹ. Nigbamii, pẹlu ọwọ tabi lilo adaṣe, o le “po” awọn faili atunto wọnyi. Bii o ṣe le ṣe adaṣe ilana yii ni yoo jiroro ni awọn alaye ni jara miiran ti awọn nkan lori orchestration ati adaṣe.
Iṣayẹwo apẹrẹ aabo
Ni deede, nẹtiwọọki ile-iṣẹ ni awọn apakan wọnyi ni fọọmu kan tabi omiiran:
- DC (Awọn iṣẹ gbangba DMZ ati ile-iṣẹ data Intranet)
- wiwọle Ayelujara
- Wiwọle latọna jijin VPN
- WAN eti
- Branch
- Ogba (Office)
- mojuto
Awọn akọle ya lati awoṣe, ṣugbọn kii ṣe dandan, dajudaju, lati so mọ awọn orukọ wọnyi ati si awoṣe yii. Sibẹsibẹ, Mo fẹ lati sọrọ nipa pataki naa ati pe ko ni rudurudu ni awọn ilana ilana.
Fun ọkọọkan awọn apakan wọnyi, awọn ibeere aabo, awọn eewu ati, ni ibamu, awọn solusan yoo yatọ.
Jẹ ki a wo ọkọọkan wọn lọtọ fun awọn iṣoro ti o le ba pade lati oju wiwo apẹrẹ aabo. Nitoribẹẹ, Mo tun tun sọ pe ni ọna kii ṣe nkan yii ṣe dibọn pe o jẹ pipe, eyiti ko rọrun (ti ko ba ṣeeṣe) lati ṣaṣeyọri ni jinlẹ nitootọ ati koko-ọrọ pupọ, ṣugbọn o ṣe afihan iriri ti ara ẹni.
Ko si ojutu pipe (o kere ju ko sibẹsibẹ). O jẹ adehun nigbagbogbo. Ṣugbọn o ṣe pataki pe ipinnu lati lo ọna kan tabi omiiran jẹ mimọ, pẹlu oye ti awọn anfani ati awọn alailanfani rẹ.
data Center
Apakan to ṣe pataki julọ lati oju wiwo aabo.
Ati pe, bi igbagbogbo, ko si ojutu gbogbo agbaye nibi boya. Gbogbo rẹ da lori awọn ibeere nẹtiwọọki.
Ṣe ogiriina pataki tabi ko ṣe pataki?
O dabi pe idahun jẹ kedere, ṣugbọn ohun gbogbo ko ṣe kedere bi o ti le dabi. Ati yiyan rẹ le ni ipa kii ṣe nikan owo.
Apẹẹrẹ 1. Awọn idaduro.
Ti idaduro kekere ba jẹ ibeere pataki laarin diẹ ninu awọn apa nẹtiwọki, eyiti o jẹ, fun apẹẹrẹ, otitọ ninu ọran ti paṣipaarọ, lẹhinna a kii yoo ni anfani lati lo awọn ogiriina laarin awọn apa wọnyi. O soro lati wa awọn iwadi lori lairi ni awọn firewalls, ṣugbọn awọn awoṣe iyipada diẹ le pese lairi ti o kere ju tabi lori aṣẹ 1 mksec, nitorinaa Mo ro pe ti microseconds ṣe pataki fun ọ, lẹhinna awọn firewalls kii ṣe fun ọ.
Apẹẹrẹ 2. Išẹ.
Ṣiṣejade ti awọn iyipada L3 ti o ga julọ nigbagbogbo jẹ aṣẹ ti titobi ti o ga ju igbasilẹ ti awọn ogiriina ti o lagbara julọ. Nitorinaa, ninu ọran ti ijabọ agbara-giga, iwọ yoo tun ṣeese julọ lati gba ọkọ-ọja yii laaye lati fori awọn ogiriina.
Apẹẹrẹ 3. Igbẹkẹle
Awọn ogiriina, paapaa NGFW ode oni (FW-Iran ti nbọ) jẹ awọn ẹrọ eka. Wọn ti wa ni Elo siwaju sii eka ju L3/L2 yipada. Wọn pese nọmba nla ti awọn iṣẹ ati awọn aṣayan atunto, nitorinaa kii ṣe iyalẹnu pe igbẹkẹle wọn kere pupọ. Ti ilọsiwaju iṣẹ ba ṣe pataki si nẹtiwọọki, lẹhinna o le ni lati yan kini yoo yorisi wiwa to dara julọ - aabo pẹlu ogiriina tabi ayedero ti nẹtiwọọki ti a ṣe lori awọn iyipada (tabi awọn iru awọn aṣọ) ni lilo awọn ACL deede.
Ninu ọran ti awọn apẹẹrẹ ti o wa loke, o ṣeese (gẹgẹbi o ṣe deede) ni lati wa adehun kan. Wo awọn solusan wọnyi:
- ti o ba pinnu lati ma lo awọn ogiriina inu ile-iṣẹ data, lẹhinna o nilo lati ronu bi o ṣe le ṣe idinwo iwọle ni ayika agbegbe bi o ti ṣee ṣe. Fun apẹẹrẹ, o le ṣii awọn ebute oko oju omi ti o yẹ nikan lati Intanẹẹti (fun ijabọ alabara) ati iraye si iṣakoso si ile-iṣẹ data nikan lati awọn agbalejo fo. Lori awọn agbalejo fo, ṣe gbogbo awọn sọwedowo pataki (ifọwọsi/aṣẹ, antivirus, gedu, ...)
- o le lo ipin ọgbọn ti nẹtiwọọki aarin data sinu awọn apakan, iru si ero ti a ṣalaye ninu PSEFABRIC . Ni idi eyi, ipa ọna gbọdọ wa ni tunto ni iru ọna ti idaduro-kókó tabi ijabọ kikankikan lọ “laarin” apakan kan (ninu ọran ti p002, VRF) ati pe ko lọ nipasẹ ogiriina naa. Ijabọ laarin awọn oriṣiriṣi awọn apa yoo tẹsiwaju lati lọ nipasẹ ogiriina naa. O tun le lo jijo ipa-ọna laarin awọn VRFs lati yago fun atunṣe ijabọ nipasẹ ogiriina
- O tun le lo ogiriina ni ipo sihin ati fun awọn VLAN nikan nibiti awọn ifosiwewe wọnyi (lairi / iṣẹ ṣiṣe) ko ṣe pataki. Ṣugbọn o nilo lati farabalẹ ka awọn ihamọ ti o ni nkan ṣe pẹlu lilo moodi yii fun olutaja kọọkan
- o le fẹ lati ronu nipa lilo faaji pq iṣẹ kan. Eyi yoo gba laaye ijabọ pataki nikan lati kọja nipasẹ ogiriina naa. Wulẹ dara ni yii, ṣugbọn Emi ko rii ojutu yii ni iṣelọpọ. A ṣe idanwo pq iṣẹ fun Sisiko ACI / Juniper SRX / F5 LTM ni ọdun 3 sẹhin, ṣugbọn ni akoko yẹn ojutu yii dabi “ebi” si wa.
Ipele Idaabobo
Bayi o nilo lati dahun ibeere ti awọn irinṣẹ wo ni o fẹ lati lo lati ṣe àlẹmọ ijabọ. Eyi ni diẹ ninu awọn ẹya ti o maa n wa ni NGFW (fun apẹẹrẹ, ):
- ogiriina ipinle (aiyipada)
- ohun elo ogiriina
- idena irokeke ewu (apakokoro, egboogi-spyware, ati ailagbara)
- URL sisẹ
- sisẹ data (sisẹ akoonu)
- ìdènà fáìlì (ìdènà irú àwọn fáìlì)
- dos Idaabobo
Ati pe kii ṣe ohun gbogbo boya ko o. Yoo dabi pe ipele aabo ti o ga julọ, dara julọ. Ṣugbọn o tun nilo lati ro pe
- Diẹ sii ti awọn iṣẹ ogiriina ti o wa loke ti o lo, gbowolori diẹ sii yoo jẹ nipa ti ara (awọn iwe-aṣẹ, awọn modulu afikun)
- lilo diẹ ninu awọn alugoridimu le dinku iṣelọpọ ogiriina ni pataki ati tun mu awọn idaduro pọ si, wo fun apẹẹrẹ
- bii ojutu idiju eyikeyi, lilo awọn ọna aabo eka le dinku igbẹkẹle ojutu rẹ, fun apẹẹrẹ, nigba lilo ogiriina ohun elo, Mo pade idinamọ diẹ ninu awọn ohun elo iṣẹ ṣiṣe deede (dns, smb)
Gẹgẹbi nigbagbogbo, o nilo lati wa ojutu ti o dara julọ fun nẹtiwọọki rẹ.
Ko ṣee ṣe lati dahun ni pato ibeere ti kini awọn iṣẹ aabo le nilo. Ni akọkọ, nitori pe dajudaju o da lori data ti o n gbejade tabi titoju ati gbiyanju lati daabobo. Ni ẹẹkeji, ni otitọ, nigbagbogbo yiyan awọn irinṣẹ aabo jẹ ọrọ igbagbọ ati igbẹkẹle ninu olutaja naa. O ko mọ awọn algoridimu, iwọ ko mọ bi wọn ṣe munadoko, ati pe o ko le ṣe idanwo wọn ni kikun.
Nitorinaa, ni awọn apakan pataki, ojutu ti o dara le jẹ lati lo awọn ipese lati awọn ile-iṣẹ oriṣiriṣi. Fun apẹẹrẹ, o le mu antivirus ṣiṣẹ lori ogiriina, ṣugbọn tun lo aabo antivirus (lati ọdọ olupese miiran) ni agbegbe lori awọn ọmọ-ogun.
Pipin
A n sọrọ nipa ipin ọgbọn ti nẹtiwọọki aarin data. Fun apẹẹrẹ, pipin si awọn VLANs ati awọn subnets tun jẹ ipin ti ọgbọn, ṣugbọn a ko ni gbero rẹ nitori ifarahan rẹ. Awọn ipin ti o nifẹ si ni akiyesi iru awọn nkan bii awọn agbegbe aabo FW, VRFs (ati awọn afọwọṣe wọn ni ibatan si awọn olutaja pupọ), awọn ẹrọ ọgbọn (PA VSYS, Cisco N7K VDC, Cisco ACI Tenant, ...), ...
Apeere ti iru ipin ọgbọn ati lọwọlọwọ apẹrẹ ile-iṣẹ data ibeere ni a fun ni .
Lẹhin ti ṣalaye awọn ẹya ọgbọn ti nẹtiwọọki rẹ, o le lẹhinna ṣapejuwe bii ijabọ n lọ laarin awọn apakan oriṣiriṣi, lori eyiti awọn ẹrọ sisẹ yoo ṣee ṣe ati nipasẹ kini awọn ọna.
Ti nẹtiwọọki rẹ ko ba ni ipin oye oye ati awọn ofin fun lilo awọn eto imulo aabo fun awọn ṣiṣan data oriṣiriṣi ko ṣe agbekalẹ, eyi tumọ si pe nigbati o ṣii eyi tabi iwọle yẹn, o fi agbara mu lati yanju iṣoro yii, ati pẹlu iṣeeṣe giga o. yoo yanju rẹ ni gbogbo igba ti o yatọ.
Nigbagbogbo ipin da lori awọn agbegbe aabo FW nikan. Lẹhinna o nilo lati dahun awọn ibeere wọnyi:
- Awọn agbegbe aabo wo ni o nilo
- ipele aabo wo ni o fẹ lati lo si ọkọọkan awọn agbegbe wọnyi
- Ṣe ijabọ agbegbe inu-ọna yoo gba laaye nipasẹ aiyipada?
- ti kii ba ṣe bẹ, kini awọn eto imulo sisẹ ijabọ yoo lo laarin agbegbe kọọkan
- Kini awọn eto imulo sisẹ ijabọ ni yoo lo fun bata ti awọn agbegbe kọọkan (orisun/ojula)
TCAM
Iṣoro ti o wọpọ ko to TCAM (Iranti Adirẹsi Akoonu Amẹẹta), mejeeji fun ipa-ọna ati fun awọn iraye si. IMHO, eyi jẹ ọkan ninu awọn ọran pataki julọ nigbati o yan ohun elo, nitorinaa o nilo lati tọju ọran yii pẹlu iwọn itọju ti o yẹ.
apẹẹrẹ 1. Ndari awọn Table TCAM.
jẹ ki ká ro ogiriina
A ri pe IPv4 firanšẹ siwaju tabili iwọn * = 32K
Pẹlupẹlu, nọmba awọn ipa-ọna yii jẹ wọpọ fun gbogbo awọn VSYS.Jẹ ki a ro pe ni ibamu si apẹrẹ rẹ o pinnu lati lo 4 VSYS.
Ọkọọkan awọn VSYS wọnyi ni asopọ nipasẹ BGP si MPLS PE meji ti awọsanma ti o lo bi BB. Nitorinaa, 4 VSYS ṣe paarọ gbogbo awọn ipa-ọna kan pato pẹlu ara wọn ati ni tabili fifiranṣẹ pẹlu isunmọ awọn eto ipa-ọna kanna (ṣugbọn oriṣiriṣi NHs). Nitori VSYS kọọkan ni awọn akoko BGP 2 (pẹlu awọn eto kanna), lẹhinna ipa ọna kọọkan ti a gba nipasẹ MPLS ni 2 NH ati, ni ibamu, awọn titẹ sii FIB 2 ni Tabili Ndari. Ti a ba ro pe eyi ni ogiriina nikan ni ile-iṣẹ data ati pe o gbọdọ mọ nipa gbogbo awọn ipa-ọna, lẹhinna eyi yoo tumọ si pe apapọ nọmba awọn ipa-ọna ni ile-iṣẹ data wa ko le jẹ diẹ sii ju 32K / (4 * 2) = 4K.Bayi, ti a ba ro pe a ni awọn ile-iṣẹ data 2 (pẹlu apẹrẹ kanna), ati pe a fẹ lati lo awọn VLAN "na" laarin awọn ile-iṣẹ data (fun apẹẹrẹ, fun vMotion), lẹhinna lati yanju iṣoro ipa-ọna, a gbọdọ lo awọn ipa-ọna ogun. . Ṣugbọn eyi tumọ si pe fun awọn ile-iṣẹ data 2 a kii yoo ni diẹ sii ju 4096 awọn ogun ti o ṣeeṣe ati, nitorinaa, eyi le ma to.
Apeere 2. ACL TCAM.
Ti o ba gbero lati ṣe àlẹmọ ijabọ lori awọn iyipada L3 (tabi awọn solusan miiran ti o lo awọn iyipada L3, fun apẹẹrẹ, Sisiko ACI), lẹhinna nigba yiyan ohun elo o yẹ ki o san ifojusi si TCAM ACL.
Ṣebi o fẹ lati ṣakoso wiwọle lori awọn atọkun SVI ti Sisiko ayase 4500. Lẹhinna, bi a ti le rii lati , lati ṣakoso ijabọ ti njade (bakannaa ti nwọle) lori awọn atọkun, o le lo awọn laini 4096 TCAM nikan. Ewo nigba lilo TCAM3 yoo fun ọ ni bii 4000 ẹgbẹrun ACE (laini ACL).
Ti o ba dojuko iṣoro ti TCAM ti ko to, lẹhinna, ni akọkọ, dajudaju, o nilo lati ronu iṣeeṣe ti iṣapeye. Nitorinaa, ni ọran ti iṣoro pẹlu iwọn tabili Ndari, o nilo lati ronu iṣeeṣe ti awọn ipa-ọna apapọ. Ni ọran ti iṣoro pẹlu iwọn TCAM fun awọn iraye si, awọn iraye si ṣayẹwo, yọ awọn igbasilẹ igba atijọ ati agbekọja, ati pe o ṣee ṣe atunyẹwo ilana fun ṣiṣi awọn iraye si (yoo jẹ ijiroro ni kikun ni ipin lori awọn iraye si iṣatunwo).
Wiwa giga
Ibeere naa ni: Ṣe Mo lo HA fun awọn ogiriina tabi fi awọn apoti ominira meji sori ẹrọ “ni afiwe” ati, ti ọkan ninu wọn ba kuna, ipa ọna nipasẹ keji?
O dabi pe idahun jẹ kedere - lo HA. Idi ti ibeere yii tun waye ni pe, laanu, imọ-jinlẹ ati ipolowo 99 ati ọpọlọpọ awọn ipin eleemewa ti iraye si ni iṣe tan jade lati jinna si rosy. HA jẹ logically oyimbo eka ohun, ati lori yatọ si itanna, ati pẹlu o yatọ si olùtajà (ko si awọn imukuro), a mu isoro ati idun ati iṣẹ duro.
Ti o ba lo HA, iwọ yoo ni aye lati pa awọn apa kọọkan, yipada laarin wọn laisi idaduro iṣẹ naa, eyiti o ṣe pataki, fun apẹẹrẹ, nigba ṣiṣe awọn iṣagbega, ṣugbọn ni akoko kanna o ni aaye ti o jinna si iṣeeṣe odo pe awọn apa mejeeji. yoo fọ ni akoko kanna, ati pe nigbamii ti igbesoke naa kii yoo lọ ni irọrun bi awọn ileri ataja (iṣoro yii le yago fun ti o ba ni aye lati ṣe idanwo igbesoke lori ohun elo yàrá).
Ti o ko ba lo HA, lẹhinna lati oju-ọna ti ikuna ilọpo meji awọn eewu rẹ kere pupọ (niwon o ni awọn ogiriina ominira 2), ṣugbọn lati igba ... Awọn akoko ko ṣiṣẹpọ, lẹhinna ni gbogbo igba ti o yipada laarin awọn ogiriina wọnyi iwọ yoo padanu ijabọ. O le, dajudaju, lo ogiriina ti ko ni orilẹ-ede, ṣugbọn lẹhinna aaye ti lilo ogiriina ti sọnu pupọ.
Nitorinaa, ti o ba jẹ abajade ti iṣayẹwo ti o ti ṣe awari awọn ogiriina adashe, ati pe o n ronu nipa jijẹ igbẹkẹle ti nẹtiwọọki rẹ, lẹhinna HA, dajudaju, jẹ ọkan ninu awọn solusan ti a ṣeduro, ṣugbọn o yẹ ki o tun ṣe akiyesi awọn aila-nfani ti o somọ. pẹlu ọna yii ati, boya, pataki fun nẹtiwọọki rẹ, ojutu miiran yoo dara julọ.
Isakoso
Ni opo, HA tun jẹ nipa iṣakoso. Dipo ti atunto awọn apoti 2 lọtọ ati ṣiṣe pẹlu iṣoro ti fifi awọn atunto ni mimuuṣiṣẹpọ, o ṣakoso wọn pupọ bi ẹnipe o ni ẹrọ kan.
Ṣugbọn boya o ni ọpọlọpọ awọn ile-iṣẹ data ati ọpọlọpọ awọn ogiriina, lẹhinna ibeere yii dide ni ipele tuntun. Ati awọn ibeere ni ko nikan nipa iṣeto ni, sugbon tun nipa
- afẹyinti atunto
- awọn imudojuiwọn
- awọn iṣagbega
- ibojuwo
- wíwọlé
Ati gbogbo eyi le ṣee yanju nipasẹ awọn eto iṣakoso aarin.
Nitorinaa, fun apẹẹrẹ, ti o ba nlo awọn ogiriina Palo Alto, lẹhinna jẹ iru ojutu kan.
A tun ma a se ni ojo iwaju.
orisun: www.habr.com