Güvenlik Duvarını Yerleştirmek ve Yerleşimi Doğrulamak

Güvenlik duvarı yerleşimi genellikle bir kez, kurulum günü kararlaştırılır ve yıllarca sorgulanmaz. Oysa yerleşim, cihazın hangi soruları cevaplayabileceğini baştan belirler. Bir cihaz yalnızca üzerinden geçen trafiği görür ve görmediği trafik hakkında hiçbir şey söyleyemez.

Görüş Alanını Çıkarmak

İşe ürün seçmeden önce ağdaki gerçek akışların listelenmesiyle başlanır. Dört tipik grup vardır:

• Kullanıcıdan internete
• Kullanıcıdan iç sunuculara
• Sunucudan sunucuya
• Dışarıdan içeriye, yayımlanan hizmetlere

Her akış için tek bir soru sorulur. Bu trafik güvenlik duvarından geçiyor mu? Cevap “hayır” olan her satır bir kör noktadır.

Kör Noktalar Nerede Oluşur

En yaygın olanı doğu-batı trafiğidir. Aynı anahtara bağlı ya da aynı sanallaştırma sunucusu üzerinde duran iki makine birbiriyle konuşurken kenardaki cihaz bundan habersizdir. Bu, bir eksiklik değil, kenar yerleşiminin doğal sonucudur — ama bilinerek kabul edilmesi gerekir.

İkincisi uzak erişimdir. Split tunnel açıksa kullanıcının internete çıkan trafiği merkeze hiç uğramaz ve merkezdeki cihazın kayıtlarında görünmez.

Üçüncüsü, ağa sonradan eklenen ve kimsenin şemaya işlemediği yollardır: bir yedek hat, bir yönetim bağlantısı, bir tedarikçi VPN’i.

Kör Noktaya Ne Yapılır

İki meşru cevap vardır ve üçüncüsü yoktur. Ya denetim getirilir — cihaz o akışın da üzerine konur ya da o segment için ayrı bir denetim kurulur. Ya da kör nokta kabul edilir ve kabul edildiği yazılı olarak kaydedilir, sahibiyle ve gerekçesiyle.

Yazılmayan kabul, bir süre sonra kabul olmaktan çıkıp bilinmezliğe dönüşür. Bir olay sonrası “buranın loglarına bakalım” dendiğinde ortaya çıkan boşluk, çoğu zaman yıllar önce farkında olunarak bırakılmış bir boşluktur.

Kapasite Yerleşimden Çıkar

Cihazın taşıyacağı yük, üzerinden geçmesine karar verdiğiniz akışların toplamıdır. Bu yüzden kapasite hesabı yerleşim kararından sonra yapılır, önce değil.

Ölçülecek üç büyüklük eşzamanlı oturum, saniyedeki yeni bağlantı ve açık modüller altındaki aktarım hızıdır. Ayrıntısı kapasite seçimi sorusundadır.

Arıza Davranışı

Trafik yolunda duran her cihaz bir karar noktası yaratır: arızalandığında trafik geçsin mi, kesilsin mi? Bypass düzeneği ilkini uygular.

Karar ortama göre değişir ve ikisi de savunulabilir. Değişmeyen kural şudur: karar satın alma sırasında verilir, kurulum gününe bırakılmaz, ve bypass devreye girdiğinde alarm üretir. Sessizce devreye giren bir bypass, günlerce denetimsiz geçen trafik demektir.

Yedeklilik

Yedeklilik kurulumu, kurulduğu gün ve her büyük değişiklikten sonra sınanır. Sınama yazılımdan devir vererek değil, aktif cihazın gücü kesilerek yapılır; gerçek arıza böyle olur.

Ölçülecek üç şey: devir süresi, açık oturumların korunup korunmadığı ve geri dönüşte ikinci bir kesinti oluşup oluşmadığı. Ayrıntısı yedeklilik testi sorusundadır.

Yerleşimi Doğrulamak

Şema üzerinde doğru görünen bir yerleşim, sahada farklı çalışabilir. Doğrulama yöntemi basittir: kör nokta listesindeki her akış için gerçek bir paket gönderilir ve cihazın logunda görünüp görünmediğine bakılır.

Görünmüyorsa ya yerleşim şemadaki gibi değildir ya da bir kural o trafiği loglamıyordur. İkisi de bilinmeye değer ve ikisi de ancak denenerek ortaya çıkar.