ما هو Socket Next Gen LAN Firewall

التعيين

بشكل افتراضي، يتم إرسال حركة المرور LAN خلف الموقع عبر WAN إلى PoP لفحص حركة المرور. هذا يعني أن حركة المرور للمضيفين خلف نفس الموقع يتم إرسالها عبر آخرميل إلى PoP، ثم تُعاد إلى الموقع نفسه. يمكنك أيضًا استخدام الSocket كجدار حماية LAN لتقسيم حركة المرور محليًا، دون الحاجة إلى جهاز جدار حماية طرف ثالث.

يتيح لك Socket Next Gen LAN Firewall تطبيق سياسات التحكم من الطبقة الثانية إلى الطبقة السابعة (طبقة التطبيقات) على حركة المرور الداخلية أثناء توجيه وتقسيم حركة المرور خلف الموقع. يضمن توجيه حركة المرور محليًا أن البيئات الحيوية مثل OT وIoT يمكنها الاستمرار في العمل عبر الشبكة المحلية، حتى إذا انقطعت اتصال الإنترنت.

جدار الحماية المحلي (LAN) هو سياسة على مستوى الحساب تتيح لك تكوين القواعد لتطبيق السياسات الشاملة بين المواقع المتعددة دون الحاجة إلى تكوين كل موقع يدويًا. لمزيد من المعلومات عن تكوين قواعد جدار الحماية LAN الجيل التالي، راجع إدارة سياسة جدار حماية LAN الجيل التالي للمنفذ.

تدعم سياسة الجدار الناري للشبكة المحلية من الجيل التالي على مستوى الحساب أيضًا السياسات الفرعية والتحكم في الوصول القائم على الدور (RBAC)، بحيث يمكنك تفويض إدارة القواعد المحددة إلى المسؤولين المختلفين مع الحفاظ على السيطرة المركزية على باقي السياسة. تعرف على المزيد هنا.

لمعرفة معلومات عن إنتاجية جدار الحماية LAN الجيل التالي لأنواع مختلفة من المنفذ، راجع عتبات وحدود سحابة كاتو.

حالة الاستخدام

لدى Example Corp 200 فرع عالمي يستخدمون نفس تصميم شبكة LAN. هذا يشمل VLAN ID 10 للخوادم وVLAN ID 20 لأجهزة OT الحيوية للأعمال. تقرر فريق الشبكة توجيه حركة المرور بين هذه الVLANات محليًا، مما يمكن أجهزة OT والخوادم من الاستمرار في التواصل حتى في حالة حدوث انقطاع في خدمة ISP. بالإضافة إلى ذلك، يرغبون فقط في السماح ببروتوكولات محددة بين الVLANات.

يُنشئ فريق الشبكة قاعدة شبكة LAN مع تكوين الموقع ككائن مجموعة يحتوي على المواقع المهمة والبالغ عددها 200، ويكون تكوين الناقل كLAN لتوجيه حركة المرور محليًا. ثم يقومون بإنشاء قاعدة جدار الحماية LAN تحت قاعدة الشبكة LAN، مع تكوين VLAN 10 وVLAN 20 كالمصدر والوجهة، والاتجاه ككلاهما. تحت الخدمة/المنفذ، يقومون بتكوين البروتوكولات التي يرغبون في السماح بها، وتكوّن الإجراء كالسماح.

تطبق هذه القاعدة الواحدة لجدار الحماية LAN السياسة على كل واحدة من الشبكات المحلية البالغ عددها 200، دون الحاجة إلى تكوين قواعد منفصلة لجميع المواقع.

لمعرفة معلومات عن إنتاجية جدار الحماية LAN الجيل التالي لأنواع مختلفة من المنفذ، راجع هذا المقال.

المتطلبات السابقة

• جدار حماية Next Gen LAN Socket متاح فقط للحسابات التي ليس لديها سياسة جدار حماية موقع محلي حالية مُعدة. في المستقبل، ستقوم Cato بتحويل سياسات جدار الحماية الحالية على مستوى الموقع إلى سياسة جدار حماية Next Gen LAN Socket.

• مدعوم من Socket v22 والإصدارات الأعلى وحتى الآن إلى الحالة العملية

المفاهيم الأساسية

يشرح هذا القسم المفاهيم الأساسية لفهم دور وقدرات جدار الحماية LAN الطبقة السابعة.

أنواع المرور

لفهم دور جدار الحماية LAN وعلاقته بسياسات Cato الأخرى، من المهم أن نفهم أن Cato تحدد حركة المرور كواحدة من ثلاثة أنواع مختلفة: LAN، WAN، أو إنترنت. فهم الفروقات والخصائص لهذه الأنواع من حركة المرور أمر أساسي لتخطيط السياسات بشكل أمثل والاستفادة من مختلف سياسات جدار الحماية Cato. لمزيد من المعلومات، انظر البدء باستخدام جدران الحماية من كاتو.

مرور WAN مقابل LAN ضمن نفس الموقع

يمكن معالجة حركة المرور بين المضيفين داخل نفس الموقع كحركة مرور LAN (توجيهها بواسطة Socket وعدم إرسالها إلى PoP)، أو حركة مرور WAN (إرسالها إلى PoP ثم إعادتها إلى الموقع)، بناءً على تكوينك. السلوك الافتراضي للSocket هو توجيه جميع حركة المرور إلى PoP للفحص وPoP يقوم بحظر أو السماح لحركة المرور. ومع ذلك، حركة المرور التي تتوافق مع سياسة جدار الحماية LAN تتوجه محليًا ولا تُرسل إلى PoP.

عندما تصل حركة المرور من مضيف في LAN إلى Socket، يتحقق Socket لمعرفة ما إذا كانت حركة المرور تطابق قاعدة في سياسة جدار الحماية LAN.

• إذا تطابقت مع قاعدة، يقوم Socket بتوجيه حركة المرور إلى الوجهة المحلية دون إرسالها إلى PoP.

• إذا لم تتطابق حركة المرور مع قاعدة جدار الحماية LAN، يتم إرسالها إلى PoP ليتم معالجتها بواسطة جدار الحماية WAN أو الإنترنت.

لمزيد من المعلومات حول تعريف حركة مرور الشبكة المحلية، انظر أدناه، سياسة جدار الحماية للشبكة المحلية.

فيما يلي رسم بياني لحالة الجهاز يوضح كيفية تعامل Socket LAN Firewall مع حركة المرور من مضيف على الشبكة المحلية.

قواعد جدار الحماية لطبقة 7 مقابل قواعد طبقة 2-4

يدعم جدار الحماية LAN الفحص للطبقات الثانية إلى الرابعة والطبقة السابعة (طبقة التطبيقات)، مما يمكن التحكم في حركة المرور بناءً على التطبيقات والخدمات والمحتوى المحدد داخل التطبيقات. بشكل افتراضي، تدعم المواقع وظائف الطبقة الثانية إلى الرابعة، وتقوم بتحديد السياسة التي يتم تفعيلها أيضًا مع قدرات الطبقة السابعة. يصف هذا القسم الفرق بين جدار الحماية الطبقة الثانية إلى الرابعة وجدار الحماية الطبقة السابعة.

تقوم جدران الحماية الطبقة الثانية إلى الرابعة بتصفية حركة المرور بناءً على معايير أساسية مثل عناوين IP، المنافذ، وبروتوكولات طبقة النقل مثل TCP أو UDP. بالنسبة لهذه المعايير، يمكن لجدار الحماية Socket اتخاذ قرار بالسماح أو حظر حركة المرور بناءً على الحزمة الأولى. بينما يكون فعالاً للتحكم الأساسي في حركة المرور، لا يقوم هذا النهج بتحليل البيانات الفعلية التي يتم نقلها داخل الحزم.

تفحص جدران الحماية الطبقة السابعة (طبقة التطبيقات) الحمولة للحزم لتحديد التطبيقات، المجالات، أو البروتوكولات المحددة. على سبيل المثال، يمكن لجدار الحماية الطبقة السابعة التفريق بين حركة مرور SMBv1 وSMBv3 أو تحديد التطبيق المحدد الذي تولد حركة المرور (مثل Office 365). يسمح هذا الفحص الأعمق بفرض السياسات بقدر أكبر من التفصيل وتحكم محسن في حركة مرور الشبكة المحلية. ومع ذلك، يتطلب الفحص الطبقة السابعة تحليل حزم إضافية لتحديد بيانات التطبيقات (مثل استخراج اسم المجال في حركة مرور HTTP)، وموارد Socket أكبر من معالجة الطبقة الرابعة. يجب أن يؤخذ هذا بعين الاعتبار عند تخطيط سياسة جدار الحماية LAN الخاصة بشركتك وتحديد المواقع التي يجب تفعيلها مع قدرات الطبقة السابعة.

عند تمكين موقع بقدرات الطبقة 7، يقوم المقبس بإجراء فحص عميق للحزم في حركة المرور، سواء تم تكوين قاعدة لجدار الحماية للشبكة المحلية أم لا، طالما أن هناك حركة مرور معرفة لاستخدام النقل عبر الشبكة المحلية (انظر أدناه، سياسة جدار الحماية للشبكة المحلية). هذا يعني أن بيانات الطبقة 7 تظهر في الأحداث على حركة مرور الموقع، بما في ذلك حقول مثل التطبيق، خطر التطبيق، وتطبيق مخصص.

سياسة جدار الحماية لشبكة LAN

يقوم Socket بتطبيق سياسة جدار الحماية LAN بتحديد قرار التوجيه لحركة مرور LAN أولاً - سواء بإرسال حركة المرور إلى PoP أو توجيهها محليًا. ثانياً، تُطبق قواعد جدار الحماية LAN لتحديد ما إذا كانت حركة المرور محظورة أو مسموحة.

لتنفيذ ذلك، تتضمن سياسة جدار الحماية LAN قواعد الشبكة LAN وقواعد جدار الحماية LAN. تعرف قواعد الشبكة LAN كيف يقوم Socket بتوجيه حركة المرور، محليًا عبر LAN، أو كحركة مرور WAN يتم إرسالها إلى PoP. بمجرد تطابق قاعدة الشبكة LAN وتحدد الناقل كLAN، تحدد قواعد جدار الحماية LAN المتعلقة ما إذا كانت حركة المرور مسموحة أو محظورة، وSocket ينفذ القاعدة. إذا لم تتطابق حركة المرور مع أي قاعدة شبكة LAN، تعامل كحركة مرور WAN وتُرسل إلى PoP.

قواعد جدار الحماية LAN مرتبطة بقاعدة شبكة LAN واحدة، مما يضمن أن تكون إجراءات الجدار الحماية خاصة بحركة المرور التي تعرفها تلك قاعدة شبكة LAN.

يصف الأقسام التالية خصائص قواعد الشبكة LAN وقواعد جدار الحماية LAN.

قواعد شبكة LAN

تتحكم قواعد الشبكة LAN في أي ناقل (LAN أو WAN) يُستخدم لتوجيه حركة المرور بين مختلف المضيفين أو الأجزاء الشبكية. هذه سياسة عامة مُعرفة لحساب كامل، وليس مواقع محددة. يعني ذلك أن كل قاعدة يمكن تكوينها لتطبيقها على مواقع متعددة في الحساب. على سبيل المثال، إذا قمت بإعداد مواقع متعددة باستخدام تكوين VLAN نفسه، يمكنك إنشاء قاعدة واحدة تنطبق على VLANات في كل موقع يعرفه القاعدة.

تقوم قواعد الشبكة LAN باتخاذ قرارات التوجيه الطبقة الرابعة ولا تستخدم وظائف الطبقة السابعة. على سبيل المثال، يمكنك تعريف قواعد الشبكة بشروط للمواقع، VLANات، أو بروتوكولات محددة، ولكن لا يمكنك إنشاء شرط بناءً على التطبيق.

يمكن أن تكون قاعدة الشبكة LAN أباً لعدة قواعد جدار الحماية LAN تحتها. هناك قاعدة الحظر الافتراضية ANY-ANY مُعرفة كآخر قاعدة تحت قاعدة الشبكة LAN. لذلك، إذا كانت حركة المرور تطابق قاعدة شبكة محلية، لكنها لا تطابق قاعدة جدار الحماية للشبكة المحلية، فإنه يتم حظرها.

قواعد جدار الحماية لشبكة LAN

تسمح قواعد جدار الحماية LAN أو تقوم بحظر أنواع محددة من حركة المرور، وتتبع هذه الأحداث لأغراض المراقبة والامتثال. كل قاعدة جدار حماية LAN ترتبط مباشرة بقاعدة الشبكة LAN الأب ومحدودة بنطاق المصدر والوجهة للقاعدة. الأب تدعم قواعد جدار الحماية LAN حتى التقسيم الطبقة الرابعة بشكل افتراضي، بما في ذلك التقسيم بناءً على عناوين MAC. بالإضافة إلى ذلك، بالنسبة للمواقع المصممة لوظائف الطبقة السابعة، يمكن أن تشمل قواعد جدار الحماية LAN تصفية حركة المرور الذكية بناءً على التطبيقات، المجالات، وظروف الطبقة السابعة الأخرى.

هناك قاعدة حظر LAN Firewall ANY-ANY الافتراضية معرفة كآخر قاعدة تحت كل قاعدة شبكة LAN. لذلك، إذا كانت حركة المرور تطابق قاعدة شبكة محلية، لكنها لا تطابق قاعدة جدار الحماية للشبكة المحلية، فإنه يتم حظرها. يفرض هذا السلوك الضمني نهج الثقة الصفراء الصحيح على التقسيم داخل المنشأة من خلال ضمان أن حركة المرور المسموح بها فقط بشكExpenseotya صر Explicitly يمكنها التنقل عبر الشبكة المحلية.

السياسات الفرعية

تتكون سياسة جدار الحماية للشبكة المحلية من سياسة رئيسية وعدد من السياسات الفرعية. أي قواعد ليست داخل السياسة الفرعية تنتمي إلى السياسة الرئيسية عند تحديد أذونات المسؤوليين.

• كل سياسة فرعية يتم تثبيتها بواسطة قاعدة نطاق في السياسة الرئيسية. القاعدة النطاقية هي قاعدة شبكة LAN تحدد الشروط (مثل: موقع المصدر = باريس) متى تطبق القواعد في السياسة الفرعية على الحركة المرورية.

• تحتوي السياسة الفرعية على قواعد شبكة LAN مرتبة وقواعد جدار الحماية LAN الخاصة بها. يتم تطبيق الإجراء الأول للقاعدة المطابقة على المرور.

• يعتبر كل سياسة فرعية ككيان منفصل لـ RBAC، بحيث يمكنك منح الإدارة المختلفة حق المشاهدة أو التعديل على السياسات الفرعية المختلفة.

• افتراضيًا، يتم إضافة قاعدة تنظيف اختيارية ANY ANY في نهاية السياسة الفرعية باستخدام إجراء الحظر لمطابقة السلوك الافتراضي لسياسة جدار الحماية للشبكة المحلية. تنطبق قاعدة التنظيف هذه فقط على المواصلات التي تطابق القاعدة النطاقية للسياسة الفرعية ولا تتطابق مع أي قاعدة أخرى في تلك السياسة الفرعية.

• يمكنك إضافة أقسام للقواعد داخل السياسة الفرعية.

• لا يمكن للسياسات الفرعية أن تحتوي على سياسات فرعية أخرى (لا يوجد تعشيق).

• لا يمكنك نقل القواعد أو الأقسام بين السياسات الفرعية أو بين السياسة الفرعية والسياسة الرئيسية.

• يمكن للمسؤول الذي لديه حق الوصول إلى سياسة فرعية رؤية قاعدتها النطاقية حتى إذا لم يكن لديه حق الوصول إلى السياسة الرئيسية.

• تظل أرقام القواعد متسقة عبر السياسة بأكملها، حتى عندما لا يمكن لبعض المدراء عرض سياسات فرعية معينة. نتيجة لذلك، قد يرى المدراء الذين ليس لديهم أذونات العرض للسياسات الفرعية المحددة فجوات في ترقيم القواعد.

ملاحظة: القواعد داخل السياسة الفرعية التي لديها شروط ANY يتم تطبيقها فقط على حركة المرور التي تطابق أيضًا القاعدة النطاقية للسياسة الفرعية. هذا يعني أن القاعدة المحتوية على حظر ANY ANY لا تؤثر على المرور الذي لا يطابق القاعدة النطاقية.

مثال: شركة لديها فرق شبكة إقليمية يمكنها إنشاء سياسة فرعية لكل منطقة ممددة حسب موقع المصدر، بحيث يدير كل مدير إقليمي قواعد جدار الحماية للشبكة المحلية لمواقعه الخاصة ولا يمكنه تغيير القواعد التي تخص مناطق أخرى أو السياسة الرئيسية.

نشر التغييرات

لدى سياسة جدار الحماية للشبكة المحلية إجراء نشر واحد يغطي السياسة الرئيسية وجميع السياسات الفرعية الخاصة بها:

• يظهر عدد التغييرات المعلقة كعداد واحد عبر السياسة الرئيسية وكل السياسات الفرعية.

• يقوم النشر بتأكيد جميع التغييرات المعلقة عبر السياسة في مراجعة واحدة، بما في ذلك التغييرات التي أجراها مسؤولون آخرون في السياسات الفرعية التي لا تملك إمكانية الوصول إليها.

• يمكن للمسؤول الذي لديه حق التعديل على بعض السياسات الفرعية فقط أن يحرر وينشر التغييرات المسموح بها.

فهم عدد الوصول

يساعدك عدد الوصول في تحديد القواعد غير المستخدمة التي يمكن إزالتها من السياسة، وتحسين تكوين القواعد لتتوافق بشكل أفضل مع نطاق الحركة المطلوب. يعتمد عدد الوصول لقائمة على عدد الأحداث التي تُنشئها. إذا لم تُولّد قائمة أي أحداث، فإن عدد الوصول يكون صفرًا.

يتكون عدد الوصول من رقمين:

• العدد التقريبي للأحداث التي يُنشأها كل قاعدة في السياسة.

• كم مرة يتم استخدام القاعدة مقارنة بالقاعدة الأخرى (مرتبة حسب النسبة المئوية).

يتم تحديث هذه القيم كل 24 ساعة وتستند إلى حركة المرور لمدة 14 يوماً الماضية.

يمكنك بسرعة تحديد القواعد ذات عدد الوصول الأعلى والأدنى، بناءً على لون شريط الحالة. يعكس هذا اللون مدى تكرار استخدام القاعدة مقارنة بالقواعد الأخرى.

• أزرق: النسبة المئوية 0 - 24

• أخضر: النسبة المئوية 25 - 49

• برتقالي: النسبة المئوية 50 - 74

• أحمر: النسبة المئوية 75 - 100