ผู้สอน: แม้ว่าเราเตอร์จะสามารถใช้ Access
Control Lists เพื่อกรองการป้องกันสำหรับเครือข่ายของเราได้
แต่จริงๆ แล้วมันเป็นอุปกรณ์เฉพาะที่เรียกว่าไฟร์วอลล์ที่เก่งในการใช้
Access Control Lists
ขณะนี้ รายการควบคุมการเข้าถึงมีความสำคัญมากสำหรับเราในการรักษาความปลอดภัยเครือข่ายของเราจากการรับส่งข้อมูลที่ไม่ต้องการ
ข้อความอนุญาตและปฏิเสธส่วนใหญ่ที่เราใช้ใน
ACL ของเรานั้นขึ้นอยู่กับหมายเลขพอร์ต เนื่องจากสิ่งเหล่านี้เกี่ยวข้องโดยตรงกับแอปพลิเคชันหรือบริการที่เราต้องการอนุญาตหรือบล็อก
รายการควบคุมการเข้าถึง หรือ ACL คือชุดกฎที่วางอยู่บนไฟร์วอลล์
เราเตอร์ และอุปกรณ์โครงสร้างพื้นฐานเครือข่ายอื่นๆ
ที่อนุญาตหรืออนุญาตทราฟฟิกผ่านอินเทอร์เฟซเฉพาะ
ชุดกฎเหล่านี้จะควบคุมการไหลของการรับส่งข้อมูลเข้าหรือออกจากเครือข่ายของเรา
ตอนนี้ เพื่อกำหนดค่ารายการควบคุมการเข้าถึงบนไฟร์วอลล์ของเรา
เราจะใช้อินเทอร์เฟซบนเว็บหรืออินเทอร์เฟซบรรทัดคำสั่งแบบข้อความ
เมื่อกำหนดค่า ACL เหล่านี้
สิ่งสำคัญคือต้องจำไว้ว่าลำดับที่แสดงรายการจะระบุลำดับของการดำเนินการที่เกิดขึ้นกับการรับส่งข้อมูลเฉพาะ
การดำเนินการจะดำเนินการจากบนลงล่างในรายการควบคุมการเข้าถึงเสมอ
การรับส่งข้อมูลจะถูกเปรียบเทียบกับกฎข้อแรก
และหากตรงกับเงื่อนไขสำหรับการดำเนินการที่จะใช้
การดำเนินการนั้นจะดำเนินการ และไม่มีการตรวจสอบ
ACL อื่นๆ
ด้วยเหตุผลนี้
กฎที่เจาะจงที่สุดของเราควรจะอยู่ด้านบนสุดของรายการเสมอ
โดยมีกฎทั่วๆ ไปอยู่ที่ด้านล่างสุด
ตอนนี้ เราเตอร์สามารถให้ความปลอดภัยขั้นพื้นฐานได้โดยใช้รายการควบคุมการเข้าถึงและกฎการกรองเหล่านี้
แต่เป็นไฟร์วอลล์เครือข่ายของเราที่มักจะถูกใช้เพื่อความปลอดภัยของเครือข่ายและการบล็อกและการอนุญาตจำนวนมาก
ไฟร์วอลล์สามารถเป็นอุปกรณ์ที่ใช้ฮาร์ดแวร์หรือซอฟต์แวร์พิเศษที่ติดตั้งบนไคลเอ็นต์หรือเซิร์ฟเวอร์เพื่อทำหน้าที่นี้
บทบาทหลักของไฟร์วอลล์คือการตรวจสอบและควบคุมการรับส่งข้อมูลที่พยายามเข้าหรือออกจากขอบเขตของเครือข่าย
ไฟร์วอลล์มีหลายประเภท ได้แก่
การกรองแพ็กเก็ต stateful พร็อกซี การกรองแพ็กเก็ตแบบไดนามิก
และไฟร์วอลล์เคอร์เนลพร็อกซี
ไฟร์วอลล์แต่ละประเภทจะมุ่งเน้นไปที่การตรวจสอบทราฟฟิกอย่างละเอียดมากหรือน้อย
เช่นเดียวกับทุกอย่างในการรักษาความปลอดภัยเครือข่าย
จะต้องมีการแลกเปลี่ยนประสิทธิภาพโดยขึ้นอยู่กับการตรวจสอบที่ลึกล้ำของเรา
หากไฟร์วอลล์ทำการตรวจสอบเชิงลึกมากขึ้น
อุปกรณ์จะสามารถรับปริมาณงานได้สูงสุด
เนื่องจากจะใช้เวลามากขึ้นในการตรวจสอบกฎ ACL
ทุกข้อและตรวจสอบแต่ละแพ็กเก็ตเหล่านั้น
สิ่งนี้อาจส่งผลเสียต่อประสิทธิภาพของเครือข่ายและเพิ่มเวลาแฝงของเครือข่าย
ขณะนี้ เนื่องจากไฟร์วอลล์เป็นอุปกรณ์รักษาความปลอดภัยที่สำคัญสำหรับเครือข่ายของเรา
จึงมีการพัฒนาอย่างต่อเนื่องเพื่อให้เรามีคุณลักษณะที่ดีขึ้นและความปลอดภัยที่มากขึ้น
โปรดทราบว่าหลายองค์กรได้เปลี่ยนไปใช้ไฟร์วอลล์
Unified Threat Management หรือ UTM
อุปกรณ์ Unified Threat Management ให้ความสามารถในการดำเนินการฟังก์ชันความปลอดภัยมากมายภายในอุปกรณ์หรืออุปกรณ์เครือข่ายเดียว
อุปกรณ์เหล่านี้รวมถึงการทำงานของอุปกรณ์พิเศษหลายตัว
เช่น ไฟร์วอลล์เครือข่าย ระบบป้องกันการบุกรุกเครือข่าย
เกตเวย์ป้องกันไวรัสและป้องกันสแปม ความเข้มข้นของเครือข่ายส่วนตัวเสมือน การกรองเนื้อหา โหลดบาลานซ์
และการป้องกันข้อมูลสูญหาย ทั้งหมดนี้รวมอยู่ในอุปกรณ์เครือข่ายเดียว
อุปกรณ์ Unified Threat Management เหล่านี้มีประโยชน์มากมายเช่นกัน
เช่น ลดจำนวนอุปกรณ์ที่ช่างเทคนิคจำเป็นต้องเรียนรู้
ใช้งาน และบำรุงรักษา
วิธีนี้สามารถช่วยลดค่าใช้จ่ายโดยรวมในการป้องกันเหล่านี้ได้
แต่ก็ยังมีข้อเสียอยู่บ้าง
ปัญหาใหญ่ที่สุดเกี่ยวกับอุปกรณ์
UTM คือความล้มเหลวเพียงจุดเดียว
ตัวอย่างเช่น หากอุปกรณ์ล้มเหลว เราจะไม่เพียงแค่สูญเสียไฟร์วอลล์อีกต่อไป
ตอนนี้เรากำลังสูญเสียไฟร์วอลล์ โปรแกรมป้องกันไวรัส
ระบบป้องกันการบุกรุก และอะไรทำนองนั้น
Security Stack ทั้งหมดของเราสามารถรวมอยู่ในอุปกรณ์เครื่องเดียวนี้
ซึ่งหมายความว่าถ้าเราทำหาย เราจะสูญเสีย Security Stack
ทั้งหมดของเรา
ดังนั้น องค์กรของเราจำเป็นต้องพิจารณาทั้งข้อดีและข้อเสียของ
Unified Threat Management ก่อนตัดสินใจนำสิ่งนั้นไปใช้ในสถาปัตยกรรมของเรา
ข้อดีบางประการของการใช้ UTM ได้แก่ ค่าใช้จ่ายล่วงหน้าที่ลดลง การบำรุงรักษา
และการใช้พลังงาน
เนื่องจากฟังก์ชันทั้งหมดเหล่านี้อยู่ในอุปกรณ์ที่ติดตั้งบนชั้นวางเครื่องเดียว
นอกจากนี้ยังติดตั้งและกำหนดค่าได้ง่ายกว่าการต้องทำหลายอุปกรณ์สำหรับแต่ละฟังก์ชัน
และสามารถผสานรวมเข้าด้วยกันอย่างสมบูรณ์ซึ่งมีประโยชน์มากมายเช่นกัน
ข้อเสียใหญ่ที่นี่คือจุดเดียวของความล้มเหลว
และมักขาดรายละเอียดจากเครื่องมือที่เชี่ยวชาญกว่า
และบ่อยครั้งประสิทธิภาพการทำงานอาจไม่มีประสิทธิภาพเท่ากับอุปกรณ์ที่มีฟังก์ชันเดียว
ในขณะที่อุปกรณ์ UTM ทำงานได้ดีเป็นส่วนใหญ่ อุปกรณ์เหล่านี้ใช้เอ็นจิ้นแต่ละตัวแยกจากกันสำหรับแต่ละฟังก์ชันที่พวกเขาพยายามดำเนินการในการตรวจสอบความปลอดภัย
ในขณะที่คุณกำลังใช้ไฟร์วอลล์รุ่นถัดไป คุณกำลังใช้เอนจิ้นเดียวที่มีประสิทธิภาพมากกว่า
ดังนั้นหากความเร็วและประสิทธิภาพของเครือข่ายเป็นข้อกังวลหลักสำหรับองค์กรของคุณ
คุณต้องการพิจารณาใช้ไฟร์วอลล์รุ่นถัดไปบนอุปกรณ์
Unified Threat Management
ตอนนี้ ถ้าองค์กรของคุณตัดสินใจที่จะใช้อุปกรณ์
Unified Threat Management คุณจะต้องวางอุปกรณ์นั้นไว้ระหว่าง LAN และการเชื่อมต่อกับอินเทอร์เน็ต เหมือนกับว่ามันเป็นไฟร์วอลล์ในการกำหนดค่าแบบอินไลน์
อย่างที่คุณเห็น มีตัวเลือกมากมายสำหรับไฟร์วอลล์เมื่อคุณออกแบบสถาปัตยกรรมเครือข่ายของคุณ