আমি আমাদের নেটওয়ার্ককে ওভার-হোলিংয়ের প্রক্রিয়াতে চলেছি, আমি যে বিষয়টি আবার ফিরে আসছি তা হ'ল: কেন্দ্রীভূত ফায়ারওয়াল থাকা অবস্থায় 3 স্তরটিকে মূল দিকে আনার চেষ্টা করা হচ্ছে।
আমার এখানে যে প্রধান সমস্যাটি রয়েছে তা হ'ল আমি যে "মিনি কোর" স্যুইচ করে যাচ্ছি সবসময় কম ইন-হার্ডওয়্যার এসিএল সীমাবদ্ধতা থাকে যা আমাদের বর্তমান আকারেও আমরা দ্রুত আঘাত করতে পারি। আমি বর্তমানে (আশাবাদী) মূলটির জন্য একজোড়া EX4300-32Fs ক্রয় করতে চলেছি, তবে আমি অন্যান্য মডেলগুলি এবং জুনিপার এবং ব্রোকেডের আইসিএক্স রেঞ্জের অন্যান্য বিকল্পগুলি দেখেছি। তাদের সকলের সমান কম এসিএল সীমা রয়েছে বলে মনে হয়।
এটি সঠিক ধারণা দেয় কারণ মূল স্যুইচগুলি তারের গতির রাউটিং বজায় রাখতে সক্ষম হওয়া প্রয়োজন, সুতরাং এসিএল প্রসেসিংয়ের মাধ্যমে খুব বেশি ত্যাগ করতে চাই না। সুতরাং আমি আমার সমস্ত ফায়ারওয়ালিং কোর সুইচগুলিতে করতে পারি না।
তবে, আমরা বেশিরভাগ সম্পূর্ণরূপে পরিচালিত সার্ভারগুলি করি এবং একটি কেন্দ্রীভূত (রাষ্ট্রীয়) ফায়ারওয়াল সেই ব্যবস্থাপনায় অনেক সহায়তা করে - কারণ আমাদের গ্রাহকরা একে অপরের সাথে সরাসরি কথা বলতে পারেন না। আমরা পারলে এটি সেভাবেই রাখতে চাই তবে আমি মনে করি যদিও বেশিরভাগ আইএসপি নেটওয়ার্কগুলি এই ধরণের কাজটি করে না, তাই বেশিরভাগ ক্ষেত্রে কেন মূলদিকে রাউটিংটি করা সোজা-এগিয়ে হবে।
রেফারেন্সের জন্য, এখানে টপোলজিটি আমি আদর্শভাবে করতে চাই (তবে এফডাব্লু স্পষ্টভাবে কোথায় ফিট করতে হবে তা নিশ্চিত নয়)।
কুরেন্ট সলিউশন
এখনই, আমাদের কাছে একটি রাউটার-অন-স্টিক কনফিগারেশন রয়েছে। এটি আমাদের একসাথে NAT, স্টেটফুল ফায়ারওয়ালিং এবং ভিএলএএন রাউটিং করতে সক্ষম করে। খুব সহজ.
আমি আমাদের নেটওয়ার্কের "শীর্ষ" - সীমান্ত রাউটারগুলির সমস্ত উপায়ে L2 প্রসারিত করে প্রায় একই সমাধানটি চালিয়ে যেতে পারতাম। তবে তারপরে কোরটি আমাকে যে প্রস্তাব করতে পারে তারের গতির রাউটিংয়ের সমস্ত সুবিধা আমি হারিয়ে ফেলছি।
আইআইআরসি কোর স্যুইচগুলি 464 জিবিপিএস রাউটিং করতে পারে যখন আমার সীমান্ত রাউটারগুলি ভাগ্যবান হলে সম্ভবত 10 বা 20 জিবিপিএস সরবরাহ করতে সক্ষম হবে। এটি প্রযুক্তিগতভাবে এখনই কোনও সমস্যা নয়, তবে আরও বৃদ্ধিের বিষয়। আমি মনে করি যেন এখন আমরা মূল রাউটিং সক্ষমতা অর্জনের জন্য আর্কিটেকচারটি ডিজাইন করি না, যখন আমরা বড় হয়ে থাকি এবং সেই ক্ষমতাটি লাভ করার প্রয়োজন হয় তখন সবকিছু আবার করা কষ্টকর হয়ে উঠবে। আমি বরং ঠিক প্রথমবার এটি পেয়েছিলাম।
সম্ভাব্য সমাধান
স্তর 3 অ্যাক্সেস
আমি ভেবেছিলাম যে সম্ভবত আমি অ্যাক্সেস সুইচগুলিতে L3 প্রসারিত করতে পারি এবং ফায়ারওয়াল নিয়মগুলি ছোট ছোট ভাগে বিভক্ত করতে পারি যা অ্যাক্সেস স্যুইচ এসিএলগুলির হার্ডওয়্যার সীমাতে ফিট করে। কিন্তু:
- আমি যতদূর জানি, এগুলি রাষ্ট্রীয় এসিএল হবে না
- অ্যাক্সেসের জন্য এল 3, আমার কাছে অনেক বেশি জটিল বলে মনে হচ্ছে। অন্যান্য ক্যাবিনেটে সার্ভার মুভ বা ভিএম স্থানান্তর আরও বেদনাদায়ক হবে।
- আমি যদি প্রতিটি রকের শীর্ষে ফায়ারওয়াল পরিচালনা করতে যাচ্ছি (এর মধ্যে কেবল ছয়), আমি সম্ভবত অটোমেশন চাই। সুতরাং সেই মুহুর্তে এটি হোস্ট স্তরে ফায়ারওয়ালগুলির পরিচালনা স্বয়ংক্রিয় করতে খুব একটা লাফিয়ে উঠবে না। এভাবে পুরো বিষয়টি এড়ানো হচ্ছে।
অ্যাক্সেস / কোরের মধ্যে প্রতিটি আপলিংকে ব্রিজযুক্ত / স্বচ্ছ ফায়ারওয়াল
এটিতে একাধিক ফায়ারওয়াল বাক্স জড়িত থাকতে হবে এবং প্রয়োজনীয় হার্ডওয়্যারটি উল্লেখযোগ্যভাবে বাড়াতে হবে। এবং বড় কোর রাউটারগুলি কেনার চেয়ে আরও ব্যয়বহুল হয়ে উঠতে পারে এমনকি প্লেইন পুরাতন লিনাক্স বাক্সগুলিকে ফায়ারওয়াল হিসাবে ব্যবহার করে।
জায়ান্ট কোর রাউটারগুলি
আমার প্রয়োজন মতো ফায়ারওয়ালিং করতে পারে এমন একটি বৃহত ডিভাইস কিনতে পারে এবং তার সাথে আরও অনেক বড় রাউটিং ক্ষমতা রয়েছে। তবে সত্যিকার অর্থে এর জন্য বাজেট নেই, এবং আমি যদি কোনও ডিভাইস এমন কিছু করার চেষ্টা করি যা এর জন্য ডিজাইন করা হয় না, তবে আমাকে সম্ভবত আরও অনেক উচ্চতর নকশায় যেতে হবে। আমি অন্যথায় চাই না।
সেন্ট্রালাইজড ফায়ারওয়াল নেই
যেহেতু আমি হুপসের মধ্য দিয়ে ঝাঁপিয়ে পড়েছি, সম্ভবত এটি চেষ্টা করার উপযুক্ত নয়। এটি সর্বদা একটি দুর্দান্ত জিনিস ছিল এবং কখনও কখনও "হার্ডওয়্যার" ফায়ারওয়াল চান এমন গ্রাহকদের জন্য বিক্রয় কেন্দ্র।
তবে দেখে মনে হচ্ছে আপনার "সম্পূর্ণ" নেটওয়ার্কের জন্য একটি কেন্দ্রীয় ফায়ারওয়াল থাকা অসম্ভব। আমি ভাবছি, তারপরে, উত্সর্গীকৃত সার্ভারগুলির সাথে গ্রাহকদের যখন কয়েকশো বা এমনকি হাজার হাজার হোস্ট রয়েছে তখন বৃহত্তর আইএসপিগুলি কীভাবে হার্ডওয়্যার ফায়ারওয়াল সমাধান সরবরাহ করতে পারে?
কেউ কি এই সমস্যা সমাধানের উপায় সম্পর্কে ভাবতে পারেন? হয় কিছু আমি পুরোপুরি মিস করেছি, বা উপরের ধারণাগুলির একটিতে কোনও তারতম্য?
আপডেট 2014-06-16:
@ রনের পরামর্শের ভিত্তিতে, আমি এই নিবন্ধটিতে হোঁচট খেয়েছি যা আমি যে সমস্যার মুখোমুখি হয়েছি তা বেশ ভালভাবে ব্যাখ্যা করে এবং সমস্যা সমাধানের একটি ভাল উপায় explains
অন্য পরামর্শ না থাকলে আমি বলব এটি এখন পণ্য প্রস্তাবের ধরণের সমস্যা, সুতরাং আমি মনে করি এটি এর শেষ।
http://it20.info/2011/03/the-93-000-firewall-rules-problem-and-why-cloud-is-not-just-orchestration/