सॉकेट नेक्स्ट जन LAN फ़ायरवॉल क्या है

समीक्षा

डिफॉल्ट रूप से, साइट के पीछे LAN ट्रैफ़िक को ट्रैफ़िक निरीक्षण के लिए WAN के माध्यम से PoP पर भेजा जाता है। इसका मतलब है कि उसी साइट के पीछे होस्ट्स के लिए अंतिम-मील के माध्यम से PoP पर ट्रैफ़िक भेजा जाता है और फिर इसे वापस उसी साइट पर भेजा जाता है। आप सॉकेट का उपयोग LAN फ़ायरवॉल के रूप में भी कर सकते हैं ताकि स्थानीय रूप से ट्रैफ़िक को विभाजित किया जा सके, बिना किसी तीसरे-पक्ष फ़ायरवॉल उपकरण की आवश्यकता के।

सॉकेट नेक्स्ट जन LAN फ़ायरवॉल आपको साइट के पीछे ट्रैफ़िक को रूट करते हुए और विभाजित करते हुए, east-west ट्रैफ़िक पर लेयर 2 से लेकर लेयर 7 (एप्लिकेशन लेयर) नीति नियंत्रण लागू करने देता है। स्थानीय रूप से ट्रैफ़िक रूट करने से यह भी सुनिश्चित होता है कि महत्वपूर्ण वातावरण जैसे OT और IoT स्थानीय नेटवर्क पर संचालित हो सकते हैं, भले ही इंटरनेट कनेक्शन डाउन हो।

LAN फ़ायरवॉल एक खाता-स्तरीय नीति है जो आपको कई साइटों में कॉर्पोरेट-व्यापक नीतियों को लागू करने के लिए नियम कॉन्फ़िगर करने की अनुमति देती है, बिना प्रत्येक साइट को मैन्युअल रूप से कॉन्फ़िगर किए। अगली पीढ़ी के LAN फ़ायरवॉल नियमों को विन्यस्त करने के बारे में अधिक जानकारी के लिए, सॉकेट अगली पीढ़ी के LAN फ़ायरवॉल नीति प्रबंधन देखें।

खाता-स्तर का सॉकेट नेक्स्ट जेन LAN फ़ायरवॉल नीति भी उप-नीतियों और भूमिका-आधारित पहुँच नियंत्रण (RBAC) का समर्थन करती है, जिससे आप विशिष्ट नियमों के प्रबंधन को विभिन्न प्रशासकों को सौंप सकते हैं जबकि बाकी नीति पर केंद्रीकृत नियंत्रण बनाये रखते हैं। यहां और जानें।

विभिन्न सॉकेट प्रकारों के लिए अगली पीढ़ी के LAN फ़ायरवॉल थ्रूपुट की जानकारी के लिए, Cato क्लाउड सीमा मान और सीमाएँ देखें।

उपयोग मामला

उदाहरण Corp के पास 200 वैश्विक शाखाएं हैं जो समान LAN नेटवर्क डिज़ाइन का उपयोग करती हैं। इसमें सर्वर्स के लिए VLAN ID 10 और व्यापार-महत्वपूर्ण OT उपकरणों के लिए VLAN ID 20 शामिल है। नेटवर्क टीम इन VLANs के बीच ट्रैफ़िक को स्थानीय रूप से रूट करने का निर्णय लेती है, जिससे ISP आउटेज होने पर भी OT उपकरण और सर्वर्स संवाद जारी रख सकते हैं। इसके अलावा, वे सिर्फ VLANs के बीच विशिष्ट प्रोटोकॉल को अनुमति देना चाहते हैं।

नेटवर्क टीम एक LAN नेटवर्क नियम बनाती है जिसमें साइट को एक समूह ऑब्जेक्ट के रूप में कॉन्फ़िगर किया जाता है जिसमें 200 संबंधित साइट्स होती हैं, और ट्रांसपोर्ट को LAN के रूप में कॉन्फ़िगर किया जाता है ताकि ट्रैफ़िक स्थानीय रूप से रूट किया जा सके। फिर वे VLAN 10 और VLAN 20 को स्रोत और गंतव्य के रूप में कॉन्फ़िगर कर, और दिशा के रूप में दोनों के रूप में LAN फ़ायरवॉल नियम बनाते हैं। सेवा/पोर्ट के अंतर्गत, वे उन प्रोटोकॉल्स को कॉन्फ़िगर करते हैं जिन्हें वे अनुमति देना चाहते हैं, और क्रिया को अनुमति के रूप में कॉन्फ़िगर किया गया है।

यह सिंगल LAN फ़ायरवॉल नियम नीति को 200 स्थानीय नेटवर्क्स में से प्रत्येक पर लागू करता है, बिना सभी साइट्स के लिए अलग-अलग नियम कॉन्फ़िगर किए।

विभिन्न सॉकेट प्रकारों के लिए नेक्स्ट जेन LAN फ़ायरवॉल थ्रूपुट की जानकारी के लिए, इस लेख को देखें।

पूर्वशर्तें

• सॉकेट नेक्स्ट जेन LAN फ़ायरवॉल केवल उन खातों के लिए उपलब्ध है जिनमें मौजूदा साइट-स्तरीय LAN फ़ायरवॉल नीति कॉन्फ़िगर नहीं की गई है। भविष्य में, Cato वर्तमान साइट-स्तरीय LAN फ़ायरवॉल नीतियों को सॉकेट नेक्स्ट जेन LAN फ़ायरवॉल नीति में बदल देगा।

• सॉकेट v22 और उच्चतर से समर्थन प्राप्त और अब उपयोग के मामले को

मूलभूत अवधारणाएं

यह अनुभाग लेयर 7 LAN फ़ायरवॉल की भूमिका और क्षमताओं को समझने के लिए बुनियादी अवधारणाओं को स्पष्ट करता है।

ट्रैफ़िक के प्रकार

LAN फ़ायरवॉल की भूमिका और अन्य कैटो नीतियों के साथ इसके संबंध को समझने के लिए यह समझना महत्वपूर्ण है कि कैटो ट्रैफ़िक को तीन विभिन्न प्रकारों में पहचान करता है: LAN, WAN, या इंटरनेट। इन ट्रैफ़िक प्रकारों के अंतर और गुणों को समझना, इष्टतम नीति योजना और विभिन्न कैटो फ़ायरवॉल नीतियों के उपयोग के लिए महत्वपूर्ण है। अधिक जानकारी के लिए, Getting Started with the Cato Firewalls देखें।

एक ही साइट के भीतर WAN बनाम LAN ट्रैफ़िक

समान साइट के भीतर होस्ट्स के बीच ट्रैफ़िक को LAN ट्रैफ़िक (जिसे सॉकेट द्वारा रूट किया जाता है और PoP पर नहीं भेजा जाता है) या WAN ट्रैफिक (जिसे PoP पर भेजा जाता है और फिर साइट पर वापस भेजा जाता है) के रूप में संभाला जा सकता है, आपकी कॉन्फ़िगरेशन पर निर्भर करता है। सॉकेट के लिए डिफॉल्ट व्यवहार सभी ट्रैफ़िक को निरीक्षण के लिए PoP पर रूट करना है और PoP ट्रैफ़िक को ब्लॉक या अनुमति देता है। हालांकि, LAN फ़ायरवॉल नीति का मैच करने वाला ट्रैफ़िक स्थानीय रूप से रूट किया जाता है और PoP पर नहीं भेजा जाता।

जब LAN में एक होस्ट से ट्रैफिक सॉकेट तक पहुँचता है, तो सॉकेट जाँचता है कि क्या ट्रैफिक LAN फ़ायरवॉल नीति में किसी नियम से मेल खाता है।

• यदि यह एक नियम से मेल खाता है, तो सॉकेट ट्रैफिक को स्थानीय गंतव्य पर रूट करता है बिना इसे PoP पर भेजे।

• अगर ट्रैफिक एक LAN फ़ायरवॉल नियम से मेल नहीं खाता है, तो इसे PoP पर WAN या इंटरनेट फ़ायरवॉल द्वारा संभाला जाता है।

LAN ट्रैफ़िक को परिभाषित करने के बारे में अधिक जानकारी के लिए नीचे देखें, LAN फ़ायरवॉल नीति।

निम्नलिखित एक राज्य मशीन आरेख है जो दिखता है कि सॉकेट LAN फ़ायरवॉल स्थानीय नेटवर्क पर एक होस्ट से ट्रैफिक कैसे संभालता है।

लेयर 7 बनाम लेयर 2-4 फ़ायरवॉल नियम

LAN फ़ायरवॉल लेयर 2 के माध्यम से लेयर 4 और लेयर 7 (एप्लिकेशन लेयर) निरीक्षण का समर्थन करता है, जिससे आप एप्लिकेशन, सेवाओं और एप्लिकेशन के भीतर विशेष सामग्री के आधार पर ट्रैफिक नियंत्रण कर सकते हैं। डिफॉल्ट रूप से, साइट्स को लेयर 2-4 कार्यक्षमता का समर्थन होता है, और आप नीति में परिभाषित करते हैं कि कौन साइट्स लेयर 7 क्षमताओं के साथ भी सक्षम हैं। यह अनुभाग लेयर 2-4 और लेयर 7 फ़ायरवॉलिंग के बीच के अंतर का वर्णन करता है।

लेयर 2-4 फ़ायरवॉल्स ट्रैफिक को बुनियादी मापदंडों जैसे कि IP पते, पोर्ट्स, और TCP या UDP जैसे परिवहन-स्तरीय प्रोटोकॉल के आधार पर फ़िल्टर करते हैं। इन मानदंडों के लिए, सॉकेट फ़ायरवॉल पहले पैकेट के आधार पर ट्रैफिक को अनुमति देने या ब्लॉक करने का फैसला कर सकता है। मूल ट्रैफिक नियंत्रण के लिए यह दृष्टिकोण प्रभावी है, लेकिन इसमें पैकेट्स के भीतर प्रसारित होने वाली वास्तविक डेटा का विश्लेषण नहीं होता है।

लेयर 7 (एप्लिकेशन लेयर) फ़ायरवॉल्स एप्लिकेशन डेटा को पहचानने के लिए पैकेट्स के पेलोड की जांच करते हैं, विशेष एप्लिकेशन, डोमेन, या प्रोटोकॉल की पहचान करते हैं। उदाहरण के लिए, एक लेयर 7 फ़ायरवॉल SMBv1 और SMBv3 ट्रैफिक के बीच अंतर कर सकता है या विशेष एप्लिकेशन के ट्रैफिक की पहचान कर सकता है (जैसे Office 365)। यह गहरी जांच स्थानीय नेटवर्क ट्रैफिक पर अधिक सूक्ष्म नीति प्रवर्तन और सुधार नियंत्रण की अनुमति देती है। हालांकि, क्योंकि लेयर 7 जांच को एप्लिकेशन डेटा निर्धारित करने के लिए अतिरिक्त पैकेट्स को विश्लेषण करने की आवश्यकता होती है (जैसे HTTP ट्रैफिक में डोमेन नाम निकालना), और यह लेयर 4 प्रसंस्करण से अधिक सॉकेट संसाधनों की आवश्यकता होती है। यह तब विचार में लिया जाना चाहिए जब आप अपने कॉर्पोरेट LAN फ़ायरवॉल नीति की योजना बना रहे हैं और यह तय कर रहे हैं कि कौन साइट्स को लेयर 7 क्षमताओं के साथ सक्षम करें।

जब आप लेयर 7 क्षमताओं वाले साइट को सक्रिय करते हैं, सॉकेट ट्रैफ़िक पर दीप पैकेट जांच करता है, चाहे LAN फ़ायरवॉल नियम विन्यस्त किया गया हो या नहीं, जब तक LAN परिवहन का उपयोग करने के लिए ट्रैफ़िक परिभाषित होता है (नीचे देखें, LAN फ़ायरवॉल नीति)। इसका मतलब है कि लेयर 7 डेटा साइट ट्रैफ़िक के लिए घटनाओं में दिखाई देता है, जिसमें एप्लिकेशन, ऐप जोखिम, और कस्टम ऐप जैसे फ़ील्ड शामिल हैं।

LAN फ़ायरवॉल नीति

सॉकेट पहले LAN ट्रैफिक के लिए रूटिंग निर्णय निर्धारित करके LAN फ़ायरवॉल नीति को लागू करता है - ट्रैफिक को PoP पर भेजें या इसे स्थानीय रूप से रूट करें। दूसरे, LAN फ़ायरवॉल नियम लागू होते हैं जिससे यह तय होता है कि ट्रैफिक ब्लॉक किया गया है या अनुमति दी गई है।

इसे लागू करने के लिए, LAN फ़ायरवॉल नीति में LAN नेटवर्क और LAN फ़ायरवॉल नियम शामिल होते हैं। LAN नेटवर्क नियम परिभाषित करते हैं कि सॉकेट ट्रैफिक को स्थानीय LAN या WAN ट्रैफिक के रूप में PoP में भेजा गया है। एक बार LAN नेटवर्क नियम से मेल खाता है और ट्रांसपोर्ट को LAN के रूप में परिभाषित करता है, संबंधित LAN फ़ायरवॉल नियम यह निर्धारित करते हैं कि ट्रैफिक अनुमति दी गई है या ब्लॉक किया गया है, और सॉकेट नियम लागू करता है। अगर ट्रैफिक किसी LAN नेटवर्क नियम से मेल नहीं खाता है, तो इसे WAN ट्रैफिक के रूप में माना जाता है और PoP पर भेजा जाता है।

LAN फ़ायरवॉल नियम एक सिंगल LAN नेटवर्क नियम से लिंक होते हैं, जिससे यह सुनिश्चित होता है कि फ़ायरवॉल कार्यवाही उस LAN नेटवर्क नियम द्वारा परिभाषित ट्रैफ़िक के लिए विशिष्ट होती है।

निम्नलिखित अनुभाग LAN नेटवर्क और LAN फ़ायरवॉल नियमों के लिए लक्षण वर्णन करते हैं।

LAN नेटवर्क नियम

LAN नेटवर्क नियम यह नियंत्रित करते हैं कि किस ट्रांसपोर्ट (LAN या WAN) को विभिन्न नेटवर्क होस्ट्स या खंडों के बीच ट्रैफ़िक रूट करने के लिए उपयोग किया जाता है। यह एक वैश्विक नीति है जो पूरे खाते के लिए कॉन्फ़िगर की गई है, और विशेष साइट्स के लिए नहीं। इसका मतलब है कि प्रत्येक नियम को खाते में कई साइट्स पर लागू करने के लिए कॉन्फ़िगर किया जा सकता है। उदाहरण के लिए, यदि आप समान VLAN कॉन्फ़िगरेशन का उपयोग करने वाले कई साइट्स सेट करते हैं, तो आप एक सिंगल नियम बना सकते हैं जो नियम में परिभाषित प्रत्येक साइट में VLANs पर लागू होता है।

LAN नेटवर्क नियम लेयर 4 रूटिंग निर्णय लेते हैं और लेयर 7 कार्यक्षमता का उपयोग नहीं करते हैं। उदाहरण के लिए, आप साइट्स, VLANs, या विशेष प्रोटोकॉल के लिए शर्तें के साथ नेटवर्क नियमों को परिभाषित कर सकते हैं, लेकिन आप एप्लिकेशन के आधार पर शर्त बना नहीं सकते।

एक LAN नेटवर्क नियम के तहत कई LAN फ़ायरवॉल नियमों का माता-पिता हो सकता है। अतः यदि ट्रैफ़िक एक LAN नेटवर्क नियम से मेल खाता है, लेकिन LAN फ़ायरवॉल नियम से मेल नहीं खाता है, तो इसे ब्लॉक किया जाता है। इसलिए, अगर ट्रैफ़िक LAN नेटवर्क नियम के साथ मेल खाता है, लेकिन LAN फ़ायरवॉल नियम के साथ मेल नहीं खाता है, तो इसे अवरुद्ध कर दिया जाता है।

LAN फ़ायरवॉल नियम

LAN फ़ायरवॉल नियम विशेष प्रकार के ट्रैफिक की अनुमति या ब्लॉक करते हैं, और इन घटनाओं को निगरानी और अनुपालन उद्देश्यों के लिए ट्रैक करते हैं। प्रत्येक LAN फ़ायरवॉल नियम सीधे एक विशेष माता-पिता LAN नेटवर्क नियम से जुड़ा होता है और माता-पिता नियम की स्रोत और गंतव्य स्कोप तक सीमित होता है। LAN फ़ायरवॉल नियम डिफॉल्ट रूप से लेयर 4 विभाजन का समर्थन करते हैं, जिसमें MAC पते के आधार पर विभाजन भी शामिल है। इसके अतिरिक्त, लेयर 7 कार्यक्षमता के लिए कॉन्फ़िगर किए गए साइट्स के लिए, LAN फ़ायरवॉल नियम एप्लिकेशन्स, डोमेन्स, और अन्य लेयर 7 स्थितियों के आधार पर बुद्धिमान ट्रैफिक फ़िल्टरिंग शामिल कर सकते हैं।

प्रत्येक LAN नेटवर्क नियम के तहत एक डिफॉल्ट LAN फ़ायरवॉल ANY-ANY ब्लॉक नियम कॉन्फ़िगर किया गया है। इसलिए, अगर ट्रैफ़िक LAN नेटवर्क नियम के साथ मेल खाता है, लेकिन LAN फ़ायरवॉल नियम के साथ मेल नहीं खाता है, तो इसे अवरुद्ध कर दिया जाता है। यह अप्रकट व्यवहार ऑन-प्रांगन विभाजन पर एक सही ज़ीरो-ट्रस्ट अप्रोच को लागू करता है, यह सुनिश्चित करता है कि केवल स्पष्ट रूप से अनुमति दी गई ट्रैफिक ही स्थानीय नेटवर्क को पार कर सके।

उप-नीतियां

एक LAN फ़ायरवॉल नीति एक मुख्य नीति और कई उप-नीतियों का बना होता है। कोई भी नियम जो उप-नीति में नहीं होता, मुख्य नीति का हिस्सा बन जाता है जब आप प्रशासनिक अनुमतियाँ परिभाषित करते हैं।

• प्रत्येक उप-नीति मुख्य नीति में एक स्कोपिंग नियम द्वारा आधारित होती है। यह स्कोपिंग नियम एक LAN नेटवर्क नियम है जिसकी शर्तें (उदाहरण के लिए, स्रोत साइट = पेरिस) परिभाषित करती हैं कि उप-नीति के नियम ट्रैफ़िक पर कब लागू होते हैं।

• एक उप-नीति अपनी स्वयं की आदेशित LAN नेटवर्क नियम और LAN फ़ायरवॉल नियम शामिल करती है। पहले मिलान करने वाले नियम की कार्रवाई ट्रैफ़िक पर लागू होती है।

• प्रत्येक उप-नीति को RBAC के लिए एक अलग इकाई के रूप में माना जाता है, जिससे आप अलग-अलग प्रशासकों को अलग उप-नीतियों के लिए देखें या संपादित करें पहुँच दे सकते हैं।

• डिफ़ॉल्ट रूप से, उप-नीति के अंत में एक वैकल्पिक ANY ANY क्लीनअप नियम जोड़ा जाता है, LAN फ़ायरवॉल नीति के डिफ़ॉल्ट व्यवहार से मेल खाने के लिए अवरुद्ध कार्रवाई का उपयोग करते हुए। यह सफाई नियम केवल उस ट्रैफ़िक पर लागू होता है जो उप-नीति के स्कोपिंग नियम से मेल खाता है और उप-नीति में किसी अन्य नियम से मेल नहीं खाता है।

• आप उप-नीति के भीतर नियमों के लिए अनुभाग जोड़ सकते हैं।

• उप-नीतियों में अन्य उप-नीतियाँ शामिल नहीं हो सकतीं (कोई नेस्टिंग नहीं)।

• आप उप-नीतियों के बीच या उप-नीति और मुख्य नीति के बीच नियम या अनुभाग नहीं हिला सकते।

• एक प्रशासनिक जो उप-नीति में पहुँच रखता है, उसकी स्कोपिंग नियम देख सकता है, भले ही उसे मुख्य नीति में पहुँच न हो।

• संपूर्ण नीति में नियम संख्या संगत रहती है, भले ही कुछ व्यवस्थापक कुछ उप-नीतियों को नहीं देख सकते। परिणामस्वरूप, जिन व्यवस्थापकों को विशिष्ट उप-नीतियों को देखने की अनुमति नहीं है वे नियम संख्या में अंतर देख सकते हैं।

नोट: उप-नीति के भीतर के नियम जिनमें ANY शर्तें होती हैं, केवल उसी ट्रैफ़िक पर लागू होते हैं जो उप-नीति के स्कोपिंग नियम से भी मेल खाता है। इसका अर्थ यह है कि ANY ANY ब्लॉक के साथ कोई नियम, उस ट्रैफ़िक को प्रभावित नहीं करता जो स्कोपिंग नियम से मेल नहीं खाता।

उदाहरण: एक कंपनी क्षेत्रीय नेटवर्क टीमों के साथ प्रत्येक क्षेत्र के लिए एक उप-नीति बना सकती है, जिसे स्रोत साइट द्वारा सीमित किया गया है, ताकि प्रत्येक क्षेत्रीय प्रशासक केवल अपने स्वयं के साइटों के लिए LAN फ़ायरवॉल नियम प्रबंधित करता है और अन्य क्षेत्रों या मुख्य नीति के नियमों को बदल नहीं सकता।

परिवर्तन प्रकाशित करना

LAN फ़ायरवॉल नीति में एक एकल प्रकाशित करें कार्रवाई होती है जो मुख्य नीति और इसके सभी उप-नीतियों को कवर करती है:

• लंबित परिवर्तनों की संख्या मुख्य नीति और सभी उप-नीतियों के लिए एकल काउंटर के रूप में दिखायी जाती है।

• प्रकाशन एक बार में सभी लंबित परिवर्तनों को नवीनीकरण में संपादित करता है, जिसमें उन उप-नीतियों में किए गए परिवर्तनों को भी शामिल किया जाता है जिन तक आपकी पहुँच नहीं है।

• जिस प्रशासक के पास कुछ उप-नीतियों में केवल संपादित करें पहुँच है, वह अपने अनुमत परिवर्तनों को अभी भी संपादित और प्रकाशित कर सकता है।

हिट काउंट की समझ

हिट काउंट आपको अप्रयुक्त नियमों की पहचान करने में मदद करता है जिन्हें नीति से हटाया जा सकता है, और आवश्यक ट्रैफ़िक स्कोप के बेहतर मिलान के लिए नियम कॉन्फ़िगरेशन को अनुकूलित करें। किसी नियम के लिए हिट काउंट उस नियम द्वारा उत्पन्न घटनाओं की संख्या पर आधारित होता है। यदि कोई नियम घटनाएँ उत्पन्न नहीं करता है तो हिट काउंट शून्य है।

हिट काउंट में दो संख्या शामिल होती हैं:

• नीति में प्रत्येक नियम द्वारा उत्पन्न घटनाओं की मोटे तौर पर संख्या

• अन्य नियमों की तुलना में नियम कितनी बार हिट होता है (प्रतिशत के आधार पर रैंक किया गया)

ये मान हर 24 घंटे में एक बार अपडेट किए जाते हैं और पिछले 14 दिनों के ट्रैफिक पर आधारित होते हैं।

आप स्थिति बार के रंग के आधार पर उच्चतम और निम्नतम हिट काउंट वाले नियमों की तुरंत पहचान कर सकते हैं। यह रंग दिखाता है कि नियम कितनी बार अन्य नियमों की तुलना में हिट होता है:

• नीला: 0 - 24वाँ प्रतिशतक

• हरा: 25वाँ - 49वाँ प्रतिशतक

• नारंगी: 50वाँ - 74वाँ प्रतिशतक

• लाल: 75वाँ -100वाँ प्रतिशत