साइट्स में माइक्रोसेगमेंटेशन ज़ीरो-ट्रस्ट सुरक्षा जोड़ना

समीक्षा

माइक्रोसेगमेंटेशन (होस्ट-स्तरीय सेगमेंटेशन) ट्रैफ़िक को उसी प्रसारण डोमेन (जैसे, एक VLAN) के भीतर सुरक्षित करता है, जिसमें होस्ट के बीच पार्श्व गति के लिए पहुंच नियंत्रण जोड़ता है। पारंपरिक नेटवर्क फ़ायरवॉल अक्सर लेयर 3 पर काम करते हैं, जहां वे हमेशा इंट्रा-VLAN (लेयर 2) ट्रैफ़िक का निरीक्षण या अवरोध नहीं करते हैं।

जब आप Cato में एक सॉकेट साइट के लिए माइक्रोसेगमेंटेशन सक्षम करते हैं, तो रेंज का सबनेट मास्क कई /32 पतों में टूट जाता है। उस VLAN में सभी होस्ट-से-होस्ट ट्रैफ़िक को डिफ़ॉल्ट गेटवे (सॉकेट) पर भेजने के लिए मजबूर किया जाता है, जहां संबंधित Cato फ़ायरवॉल इंजन ट्रैफ़िक का मूल्यांकन करता है इससे पहले कि वह गंतव्य होस्ट तक पहुंचे। यह "पूर्व-पश्चिम" ट्रैफ़िक को होस्ट के बीच साझा करने वाले एक VLAN को फायरवॉल के माध्यम से निरीक्षण और नीति प्रवर्तन के लिए गुजरने के लिए मजबूर करता है।

हम अनुशंसा करते हैं कि आप उपकरणों के लिए बेहतर ऑन-प्रेम सुरक्षा प्रदान करने के लिए माइक्रोसेगमेंटेशन के लिए सॉकेट नेक्स्ट जन LAN फ़ायरवॉल का उपयोग करें।

आपको इसकी आवश्यकता क्यों है

• जोखिम को कम करें - वही लैन में होस्ट्स के बीच अनधिकृत ट्रैफ़िक को रोककर

• लेयर 2 ट्रैफ़िक में दृश्यता प्राप्त करें ताकि सभी होस्ट-से-होस्ट संचार आपकी ज़ीरो-ट्रस्ट नीतियों के अधीन हो

• खंडन को आसान बनाएं - कई वीएलएन बनाने के बजाय आप होस्ट स्तर पर नीति नियम लागू कर सकते हैं

माइक्रोसेग्मेंटेशन और DHCP कॉन्फ़िगरेशन

माइक्रोसेग्मेंटेशन DHCP पर निर्भर करता है ताकि प्रत्येक डिवाइस को /32 पता सौंपकर होस्ट स्तर की अलगाव को लागू किया जा सके और सभी पूर्व-पश्चिम ट्रैफ़िक को नीति मूल्यांकन के लिए सॉकेट के माध्यम से मजबूर किया जा सके। आप माइक्रोसेग्मेंटेशन को Cato को DHCP सर्वर के रूप में उपयोग करके या Cato के DHCP रिले के माध्यम से एकीकृत किए गए तृतीय-पक्ष DHCP सर्वर का उपयोग करके सक्षम कर सकते हैं।

ये माइक्रोसेग्मेंटेशन के लिए DHCP कॉन्फ़िगरेशन विकल्पों के वर्णन हैं:

• DHCP सर्वर के रूप में Cato - Cato नेटवर्क रेंज में होस्ट को सीधे IP पते सौंपता है। जब माइक्रोसेग्मेंटेशन सक्रिय होता है, तो Cato स्वचालित रूप से प्रत्येक DHCP आवंटन को /32 एड्रेसिंग लागू करता है और सॉकेट के माध्यम से पूर्व-पश्चिम निरीक्षण लागू करता है।

• DHCP रिले का उपयोग कर तृतीय-पक्ष DHCP सर्वर - यह माइक्रोसेग्मेंटेशन को सक्षम करता है उन नेटवर्क रेंज के लिए जो बाहरी DHCP सर्वर का उपयोग करते हैं, Cato को एक DHCP रिले के रूप में कॉन्फ़िगर किया गया है। इस कॉन्फ़िगरेशन में, बाहरी सर्वर IP पता सौंपता है, और Cato उसी /32 होस्ट रूटिंग और पूर्व-पश्चिम ट्रैफ़िक निरीक्षण को पारदर्शी रूप से लागू करता है जैसे कि Cato-प्रबंधित DHCP के साथ। यह आपको अपनी मौजूदा DHCP इन्फ्रास्ट्रक्चर को बदले बिना शून्य-भरोसा खंडन लागू करने की अनुमति देता है।

Note:

नोट: DHCP रिले के लिए माइक्रोसेग्मेंटेशन समर्थन के लिए एक भौतिक सॉकेट साइट की आवश्यकता होती है जिसमें सॉकेट संस्करण 24.0.21570 या उच्चतर चल रहा हो।

लाइसेंस

माइक्रोसेगमेंटेशन के लिए संपत्तियों की सुरक्षा लाइसेंस आवश्यक है।

आवश्यक चीजें

• फिजिकल सॉकेट्स जो सॉकेट v22.x या उच्चतर वर्शन के हैं

• देशी और वीएलएन नेटवर्क रेंज के लिए समर्थित

• आपकी सुरक्षा आवश्यकताओं के आधार पर, स्थानीय या वैन फ़ायरवॉल नीति को कॉन्फ़िगर करें ताकि माइक्रोसेगमेंटेशन द्वारा कवर किए गए उपकरणों के लिए उचित ट्रैफ़िक की अनुमति हो

माइक्रोसेगमेंटेशन के लिए सत्यापित ऑपरेटिंग सिस्टम

निम्नलिखित ऑपरेटिंग सिस्टम्स को Cato द्वारा माइक्रोसेगमेंटेशन का समर्थन करने के लिए सत्यापित किया गया है। विभिन्न ऑपरेटिंग सिस्टम का उपयोग करने वाले उपकरणों के लिए माइक्रोसेगमेंटेशन को लागू करने से पहले, हम अनुशंसा करते हैं कि आप जांच लें कि आपके वातावरण में ऑपरेटिंग सिस्टम सही ढंग से कार्य करता है।

• एंड्रॉयड सैमसंग गैलेक्सी ए24 SM-A245F/DSN

• BusyBox DHCP क्लाइंट (Linux 18.04.6 LTS Ubuntu Debian OS पर आधारित)

• iOS 18.3.1

• लिनक्स 18.04.6 LTS Ubuntu Debian (Bionic Beaver)

• macOS Apple M4 Pro 15.3.2 (24D81)

• प्रिंटर HP LaserJet Pro MFP M428fdn

• प्रिंटर ब्रदर मॉडल MFC-L2700DW

• विंडोज 11

• विंडोज 10 ESX VM: विंडोज 10 एंटरप्राइज, 22H2 19045.5608 (64-बिट ऑपरेटिंग सिस्टम, x64-आधारित प्रोसेसर)

• विंडोज सर्वर 2022 ESX VM डेटासेंटर, AMD EPYC 7413 24-कोर प्रोसेसर 2.65 GHz (64-बिट ऑपरेटिंग सिस्टम, x64-आधारित प्रोसेसर)

• विंडोज सर्वर 2019  ESX VM मानक AMD EPYC 7413 24-कोर प्रोसेसर 2.65 GHz (64-बिट ऑपरेटिंग सिस्टम, x64-आधारित प्रोसेसर)

• Yealink IP Phone SIP-T23G & SIP-T40G

माइक्रोसेगमेंटेशन को तैनात करने के लिए सिफारिशें

माइक्रोसेगमेंटेशन तैनात करने से वैध ट्रैफ़िक में संभावित रूप से बाधा आ सकती है, जबकि आप नेटवर्क में पार्श्व गति को सीमित करने वाली सुरक्षा नीतियों के सही प्रवर्तन सुनिश्चित कर रहे हैं। अपने नेटवर्क में सफलतापूर्वक माइक्रोसेगमेंटेशन तैनात करने के लिए इन सिफारिशों का पालन करें।

1. धीरे-धीरे आपके खाते में माइक्रोसेगमेंटेशन सक्षम करें, एक ही रेंज से शुरू करते हुए।

2. क्योंकि माइक्रोसेगमेंटेशन केवल तब प्रभाव लेता है जब वर्तमान DHCP लीज़ समय समाप्त होता है, और डिवाइस नया DHCP IP अनुरोध करते हैं, इसलिए आपको:

   1. DHCP लीज़ समय की ओवरराइड करें और नेटवर्क रेंज के लिए DHCP लीज़ समय को घटाएँ। न्यूनतम मूल्य 1 मिनट है।

   2. जब आप पूरे खाते के लिए माइक्रोसेगमेंटेशन सक्षम कर रहे हों, तो अस्थायी रूप से खाता-स्तरीय DHCP लीज़ समय कम करें। यह पुष्टि करने के बाद कि माइक्रोसेगमेंटेशन सही ढंग से काम कर रहा है, आप DHCP लीज़ समय को पिछली सेटिंग पर वापस बदल सकते हैं।

      नोट: डिफ़ॉल्ट DHCP लीज़ समय 72 घंटे (3 दिन) है।

3. नेटवर्क रेंज में उपकरणों पर प्रभाव की निगरानी करें:

   1. सुनिश्चित करें कि उपकरण आपके खाते में अनुमत संस्थाओं के साथ फ़ायरवॉल नीति के आधार पर संचार कर सकते हैं।

   2. जांचें कि उपकरणों के पास इंटरनेट संसाधनों के लिए पूर्ण कनेक्टिविटी है।

      माइक्रोसेगमेंटेशन पूर्व-पश्चिम इंट्रा-VLAN ट्रैफ़िक के लिए है, और इंटरनेट ट्रैफ़िक पर कोई प्रभाव नहीं होना चाहिए

4. असमान रूटिंग से बचें ताकि इंट्रा-VLAN ट्रैफ़िक को सॉकेट के माध्यम से एक सममित तरीके से रूट किया जा सके। हम अनुशंसा करते हैं कि माइक्रोसेगमेंटेशन द्वारा संरक्षित डिवाइस Cato को DHCP सर्वर के रूप में उपयोग करें।

   उदाहरण के लिए, एक स्टेटिक आईपी वाला प्रिंटर जिसे Cato /32 असाइन सबनेट मास्क के साथ गलती से कॉन्फ़िगर नहीं किया गया है, साइट के पीछे अन्य उपकरण के साथ संचार करने में सक्षम नहीं होगा।

नेटवर्क रेंज के लिए माइक्रोसेग्मेंटेशन को सक्षम करना

माइक्रोसेगमेंटेशन के लिए नई या मौजूदा नेटवर्क रेंज को कॉन्फ़िगर करें। यह कॉन्फ़िगरेशन साइट में प्रत्येक होस्ट के लिए स्वचालित /32 सबनेट मास्क असाइनमेंट लागू करता है। फिर यह सुनिश्चित करने के लिए सॉकेट LAN या WAN फ़ायरवॉल नीति की समीक्षा करें कि सेगमेंटेड ट्रैफ़िक की अनुमति है।

साइट के पीछे नेटवर्क रेंज के लिए माइक्रोसेग्मेंटेशन को सक्षम करने के लिए

1. नेविगेशन मेनू से Network > साइट्स और साइट को चुनें।

2. नेविगेशन मेनू से क्लिक करें साइट कॉन्फ़िगरेशन > नेटवर्क्स.

3. नया पर क्लिक करें, या DHCP सेटिंग्स कॉलम में, नेटवर्क रेंज पर क्लिक करें।

   IP रेंज पैनल खुलता है।

4. नेटवर्क प्रकार को समर्थित रेंज पर सेट करें।

5. अन्य नेटवर्क रेंज सेटिंग्स दर्ज करें, जैसे: VLAN, सबनेट, आदि...

6. DHCP कॉन्फ़िगरेशन को परिभाषित करें:

   • Cato को DHCP सर्वर के रूप में उपयोग करने के लिए:

     • DHCP प्रकार को DHCP रेंज पर सेट करें और इस DHCP रेंज में होस्ट्स के लिए आईपी पता रेंज दर्ज करें।

   • DHCP रिले का उपयोग कर एक तृतीय-पक्ष DHCP सर्वर को कॉन्फ़िगर करने के लिए:

     1. सेट DHCP प्रकार को DHCP रिले।

     2. DHCP रिले समूह में, इस नेटवर्क के लिए DHCP रिले समूह का चयन करें।

        DHCP रिले समूहों और Cato को DHCP रिले के रूप में कॉन्फ़िगर करने के बारे में अधिक जानकारी के लिए, देखें Configuring Cato as the DHCP Relay.

7. DHCP आधारित माइक्रोसेग्मेंटेशन चुनें।

8. लागू करें पर क्लिक करें, फिर सहेजें पर क्लिक करें।

माइक्रोसेग्मेंटेशन को रोल बैक करने के लिए सिफारिशें

यदि आपको अपने नेटवर्क में तैनात माइक्रोसेगमेंटेशन को वापस रोल करना और पूर्ववत करना आवश्यक है, तो अपने नेटवर्क पर प्रभाव को कम करने के लिए इन सिफारिशों का पालन करें।

1. धीरे-धीरे अपने खाते में माइक्रोसेगमेंटेशन अक्षम करें, एक ही रेंज से शुरू करते हुए।

2. क्योंकि माइक्रोसेगमेंटेशन को निष्क्रिय करना केवल तब प्रभाव में आता है जब वर्तमान DHCP लीज़ समय समाप्त होता है, और डिवाइस नया DHCP IP अनुरोध करते हैं, इसलिए आपको:

   1. DHCP लीज़ समय की ओवरराइड करें और नेटवर्क रेंज के लिए DHCP लीज़ समय को घटाएँ। न्यूनतम मूल्य 1 मिनट है।

   2. जब आप पूरे खाते के लिए माइक्रोसेगमेंटेशन को निष्क्रिय कर रहे हों, तो अस्थायी रूप से खाता-स्तरीय DHCP लीज़ समय कम करें। यह पुष्टि करने के बाद कि माइक्रोसेगमेंटेशन सही ढंग से काम कर रहा है, आप DHCP लीज़ समय को पिछली सेटिंग पर वापस बदल सकते हैं।

      नोट: डिफ़ॉल्ट DHCP लीज़ समय 72 घंटे (3 दिन) है।

ज्ञात सीमाएँ।

• लिनक्स-आधारित सिस्टम के लिए, जब दो डिफ़ॉल्ट राउटर होते हैं, तब माइक्रो-सेगमेंटेशन सक्षम करते समय डिफ़ॉल्ट गेटवे के लिए एक रूट एंट्री नहीं बनाता है।

  के लिए और जानकारी के लिए समाधान के बारे में, इस लेख को देखें।