نحوه ردیابی ترافیک شبکه از طریق فایروال های متعدد

هنگامی که یک اتصال به طور غیرمنتظره ای از کار می افتد یا موفق می شود، اولین سوال ساده است: چرا

اما پاسخ به این سوال در محیط مدرن آسان نیست.

اتصال بین دو سیستم می تواند انجام شود:

• فایروال های متعدد
• مجموعه‌ای از قوانین و اولویت‌ها
• مناطق شبکه و مسیرهای مسیریابی

نگاه کردن به یک دستگاه در یک زمان پاسخ کاملی ارائه نمی دهد.

این پست نحوه ردیابی یک مسیر دسترسی از طریق فایروال های متعدد را توضیح می دهد تا بتوانید دقیقاً دلیل مجاز بودن یا مسدود شدن ترافیک را تعیین کنید.

مشکل اصلی: دسترسی در سراسر محیط تعریف شده است

ابزارهای مدیریت فایروال داخلی معمولاً توسط یک دستگاه پوشش داده می شوند. نشان می دهند:

• قوانین
• سرباز
• وضعیت پیکربندی

آنها نشان نمی دهند که چگونه ترافیک در چندین نقطه اجرایی ارزیابی می شود.

یک اتصال تنها زمانی موفق است که در هر مرحله از مسیر مجاز باشد.

جاده دسترسی چیست؟

مسیر دسترسی مجموعه ای از ارزیابی ها است که تعیین می کند آیا ترافیک می تواند از یک منبع به یک مقصد حرکت کند یا خیر. شامل:

• سیستم های مبدأ و مقصد
• پورت ها و پروتکل ها
• هر فایروال، ایست بازرسی و دستگاه سطح 3 در طول مسیر
• قوانینی که ترافیک را در هر مرحله مجاز یا رد می کند

ردیابی مسیر دسترسی به معنای شناسایی هر یک از این عناصر و نحوه تعامل آنهاست.

ورودی ها و خروجی ها

ورودی ها

• سیستم خروجی
• سیستم مقصد
• پورت و پروتکل
• تنظیمات فایروال در سطح محیطی
• توپولوژی شبکه و مسیرهای مسیریابی
• گروه های شی و نقشه آدرس

خارج می شود

• این که آیا اتصال مجاز است یا مسدود شده است
• دنباله ای از نقاط کاربردی درگیر
• قوانینی که ترافیک را مجاز یا رد می کند
• مسیرهای جایگزینی که ممکن است امکان جفت شدن را فراهم کند

مرحله 1: رابطه را تعریف کنید

با یک سوال خاص شروع کنید:

آیا App_Server می تواند با DB_Server در پورت 1433 ارتباط برقرار کند؟

بدون یک رابطه واضح و مشخص، ردیابی مبهم می شود.

مرحله 2: مسیر مورد انتظار را شناسایی کنید

تعیین کنید که چگونه ترافیک باید از طریق شبکه جریان یابد. این شامل:

• منطقه منبع یا شبکه
• بخش های میانی
• منطقه یا شبکه مقصد

در بسیاری از محیط ها، چندین مسیر ممکن وجود دارد.

درک توپولوژی قبل از ارزیابی قوانین ضروری است.

مرحله 3: هر نقطه درخواست را ارزیابی کنید

در هر فایروال یا ایست بازرسی:

1. قوانین مربوطه را تعریف کنید

2. ترتیب و اولویت قوانین را ارزیابی کنید

3. تعیین کنید که آیا تردد مجاز است یا ممنوع

یک مثال

فایروال A:

فعال کردن برنامه → DB (1433)

فایروال B:

Application Failure → DB (1433)

اتصال مسدود شده است زیرا تمام نقاط اجرایی باید اجازه عبور و مرور را بدهد.

مرحله 4: گروه های شی را گسترش دهید

قوانین اغلب برای گروه‌هایی از اشیاء به جای سیستم‌های فردی اعمال می‌شوند.

این گروه ها می توانند شامل چندین آدرس باشند.

یک مثال

فعال کردن برنامه → DB_Group (1433)

DB_Group می تواند حل کند:

DB_Server

Backup_DB

Report_DB

ردیابی نیاز به ارزیابی همه اعضای توسعه یافته دارد.

مرحله 5: تعاملات قوانین را ارزیابی کنید

قوانین به طور مستقل عمل نمی کنند.

عوامل کلیدی عبارتند از:

• ترتیب قوانین
• شرایط همپوشانی
• قوانین کلی که جایگزین قوانین خاص می شوند

یک مثال

قانون 1: Allow Application → Any (هر پورتی)

قانون 2: رد درخواست → DB (1433)

قاعده انصراف وجود دارد اما هرگز به آن نرسیده است.

مرحله 6: مسیرهای جایگزین را در نظر بگیرید

حتی اگر یک مسیر ترافیک را مسدود کند، مسیر دیگری ممکن است اجازه دهد.

یک مثال

مسیر 1:

فایروال A برنامه → DB را رد می کند

مسیر 2:

فایروال B به برنامه → DB اجازه می دهد

اگر مسیریابی مسیر 2 را اجازه دهد، اتصال موفقیت آمیز است.

ردیابی باید شامل تمام مسیرهای ممکن باشد.

مرحله 7: خط پایین را تعیین کنید

پس از ارزیابی:

• کلیه نکات اجرایی
• کنش متقابل قوانین
• پسوندهای شی
• مسیرهای ممکن

می توانید تعریف کنید:

• این که آیا اتصال مجاز است یا مسدود شده است
• کدام قاعده مسئول است
• جایی که کنترل باید تنظیم شود

مثال: چرا اتصال مجاز است

یه سوال

آیا App_Server می تواند به DB_Server در پورت 1433 دسترسی پیدا کند؟

یافته های پیکربندی

فایروال A: Allow Application → DB_Group (1433)

فایروال B: بدون انکار صریح

ترتیب قانون: مجوز گسترده اولویت دارد

نتیجه موثر

برنامه → DB (1433)

برنامه → Backup_DB (1433)

اتصال به دلیل گسترش گروه شی و اولویت قانون مجاز است.

چرا ردیابی دستی با شکست مواجه می شود؟

ردیابی دستی زمانی دشوار می شود که:

• چندین دستگاه گنجانده شده است
• مجموعه قوانین بزرگ و پیچیده هستند
• گروه های شی به طور قابل توجهی گسترش می یابند

این منجر به:

• تحلیل ناقص
• فرضیات نادرست
• عیب یابی کند

تخمین مسیرهای دسترسی با استفاده از یک مدل خط مشی

یک مدل خط مشی روشی ساختاریافته برای ارزیابی دسترسی ارائه می دهد.

ترکیب می کند:

• تنظیمات فایروال
• توپولوژی شبکه
• وضوح جسم
• منطق ارزیابی قوانین

این به تیم ها اجازه می دهد:

• ارتباط در محیط را ارزیابی کنید
• همه قوانین قابل اجرا را شناسایی کنید
• دریابید که چرا دسترسی مجاز یا مسدود شده است

نقش FireMon

FireMon امکان ارزیابی مسیر دسترسی را توسط:

• ساخت یک مدل سیاست نرمال شده در میان فایروال ها
• توپولوژی و مسیریابی را روشن کنید
• ارزیابی ارتباط بین سیستم ها
• شناسایی قوانین کنترل کننده دسترسی

این یک راه ثابت برای پاسخ به این سوال ارائه می دهد: چرا این اتصال مجاز یا مسدود شده است؟

یافته های کلیدی

• دسترسی از طریق چندین نقطه اجرایی تعیین می شود
• اتصال باید در هر مرحله حل شود
• ترتیب قوانین و گسترش شیء بر نتایج تأثیر می گذارد
• مسیرهای جایگزین ممکن است امکان اتصال غیرمنتظره را فراهم کنند
• ارزیابی دسترسی به سیاست و توپولوژی نیاز دارد

بسته بندی

هنگام عیب یابی مشکلات دسترسی، هدف یافتن قانون نیست.

هدف استفاده از هر دو نقطه بازرسی و توپولوژی شبکه برای ارائه نمای سرتاسری از اتصال است که اجازه می دهد توضیح واضحی در مورد اینکه چرا ترافیک مجاز است یا نه.