logo
  1. Bosh sahifa
  2. Slaydlar
  3. Informatika va AT
  4. Tarmoq xavfsizligi. Tarmoqni segmentlash, NAT

Tarmoq xavfsizligi. Tarmoqni segmentlash, NAT

Yuklangan vaqt:

14.12.2024

Ko'chirishlar soni:

0

Hajmi:

2249.5205078125 KB
Ko'chirib olish
Tarmoq xavfsizligi. Tarmoqni segmentlash, NAT • Tarmoq • IP manzil • Tarmoqni segmentlash • VLAN • NATAsosiy tushunchalar Kompyuter tarmog'i deganda o’zaro bog’langan hisoblash qurilmalari (noutbuklar, ish stollari, serverlar, smartfonlar va planshetlar) va tobora kengayib borayotgan IoT qurilmalari (masalan, kameralar, eshik qulflari, eshik qo'ng'iroqlari, muzlatgichlar, audio/vizual tizimlar, termostatlar, bir-biri bilan aloqa qiladigan turli xil sensorlar va boshqalar) tushuniladi. Kompyuter tarmoqlarining turlari: • Mahalliy tarmoq (LAN) — bu bino, ofis yoki uy kabi bir jismoniy joyda bir-biriga ulangan qurilmalar to'plami. LAN bir foydalanuvchining uy tarmog'idan tortib, ofis yoki tashkilotdagi minglab foydalanuvchilar va qurilmalarga ega korporativ tarmoq darajasigacha katta bo'lishi mumkin. • MAN (Metropolitan hududi tarmog’i) Metropolitan tarmoq - bu kattaroq tarmoqni tashkil qilish uchun boshqa LANni o'zaro bog'lash orqali kattaroq geografik hududni qamrab oladigan tarmoq. • Keng tarmoqli (WAN) — katta geografik hudud bo'ylab tarqaladi va individual foydalanuvchilarni yoki bir nechta LANni bog'laydi. Yirik tashkilotlar o'zlarining turli saytlarini, masofaviy xodimlarni, yetkazib beruvchilarni va ma'lumotlar markazlarini ulash uchun WAN-lardan foydalanadilar, shunda ular ilovalarni ishga tushirishlari va kerakli ma'lumotlarga kirishlari mumkin. • IP-manzil tarmoqqa ulangan interfeys uchun mantiqiy identifikatordir. IP-manzil Internetdagi har qanday qurilmani yoki har qanday tarmoqni boshqasidan ajratib turadigan noyob manzilni ifodalaydi. Hozirgi vaqtda IP-ning ikkita versiyasi qo'llaniladi: IPv4 va IPv6. – Umumiy IP-manzil yoki tashqi IP — manzil odamlar o'zlarining biznes yoki uy internet tarmog'ini internet provayderiga (ISP) ulash uchun foydalaniladi. – Shaxsiy IP-manzil yoki ichki IP-manzil — ofis yoki uy intraneti (yoki mahalliy tarmoq) tomonidan qurilmalarga tayinlanadi. • Tarmoq segmentatsiyasi —bu tarmoqni har biri alohida kichik tarmoq vazifasini bajaradigan bir nechta segmentlarga yoki pastki tarmoqlarga bo'ladigan arxitekturaviy yondashuv. Bu tarmoq administratorlariga kichik tarmoqlar o'rtasidagi tarmoq trafigini batafsil siyosatlar asosida boshqarish imkonini beradi. Tashkilotlar monitoringni yaxshilash, samaradorlikni oshirish, texnik muammolarni mahalliylashtirish va eng muhimi, xavfsizlikni yaxshilash uchun segmentatsiyadan foydalanadilar. VLAN va NAT • VLAN - bu foydalanuvchilarning jismoniy joylashuvidan qat’iy nazar, funksiya yoki ilovalar bo'yicha mantiqiy ravishda segmentlangan kommutatsiyalangan tarmoqdagi so’nggi qurilmalar guruhi. VLAN'lar jismoniy LAN segmentida joylashmagan bo'lsa ham, LANlar bilan bir xil atributlarga ega. • NAT qisqartmasi tarmoq manzili tarjimasini bildiradi. Bu ma'lumotni internetga o'tkazishdan oldin mahalliy tarmoq ichidagi bir nechta shaxsiy manzillarni umumiy IP- manzilga akslantirish usulidir. Bir nechta qurilmalarni bitta IP-manzildan foydalanishni xohlaydigan tashkilotlar, aksariyat uy routerlari kabi NAT-dan foydalanadilar. 6• Shaxsiy IP-manzil turli xil diapazonlari • Shaxsiy IP manzillash IPv4 va IPv6 manzillarida birdek foydalaniladi. • Shaxsiy IPv4 manzillari quyidagi sinf konfiguratsiyasiga ega: • A sinf IP manzillari.  Konfiguratsiyalar 10.0.0.0 dan 10.255.255.255 gacha. Bu sinf katta tarmoqlar uchun mo'ljallangan va tarmoq uchun 8 bit (126 ta )va xostlar uchun 24 bitga ega (umumiy 16 mln dan oshiq). • B sinfidagi IP manzillar . Konfiguratsiyalar 172.16.0.0 dan 172.31.255.255 gacha. Bu sinf o'rta tarmoqlar uchun mo'ljallangan va tarmoq uchun 16 bit (16382) va xostlar uchun 16 bitga (65534) ega. • C sinf IP manzillari  . Konfiguratsiyalar 192.168.0.0 dan 192.168.255.255 gacha. Bu sinf kichikroq tarmoqlar uchun va tarmoq uchun 24 bit va xostlar uchun 8 bitga (65534 ta) ega. • Shaxsiy IP-manzillar diapazoni nisbatan kichik ko'rinadi, chunki ular turli xil xususiy tarmoqlarda oqibatlarsiz qayta ishlatilishi mumkin. Bu umumiy IP-manzillardan farq qiladi, ularning barchasi yagona aniqlanishi kerak. 7Tarmoqni segmentlash • Tarmoq segmentatsiyasi jismoniy yoki mantiqiy segmentatsiya sifatida amalga oshirilishi mumkin. Fizik segmentatsiya kattaroq kompyuter tarmog'ini kichikroq ostki tarmoqlar to'plamiga ajratishni o'z ichiga oladi. Fizik yoki virtual xavfsizlik devori quyi tarmoq shlyuzi vazifasini bajaradi va qaysi trafiklarning kirishi-chiqishini nazorat qiladi. Jismoniy segmentatsiyani boshqarish nisbatan oson, chunki topologiya arxitekturada mustahkamlangan bo’ladi. • Mantiqiy segmentatsiya ikkita asosiy usuldan biri yordamida ostki tarmoqlarni yaratadi: virtual mahalliy tarmoqlar (VLAN) yoki tarmoq manzillash sxemalari. VLAN-ga asoslangan yondashuvlarni amalga oshirish juda oson, chunki VLAN teglari trafikni avtomatik ravishda tegishli quyi tarmoqqa yo'naltiradi. Tarmoqni manzillash sxemalari bir xil darajada samarali, lekin tarmoq nazariyasini batafsilroq tushunishni talab qiladi. Mantiqiy segmentatsiya jismoniy segmentatsiyadan ko'ra moslashuvchanroq, chunki u amalga oshirish uchun komponentlarning simlari yoki jismoniy harakatini talab qilmaydi. 8Tarmoq segmentatsiyasining afzalliklari • Kuchli tarmoq xavfsizligi Segmentatsiya tarmoqni kichik tarmoqlarga bo'lganligi sababli, tarmoq trafigini izolyatsiya qilish hujum maydonini kamaytiradi va keyingi harakatga to'sqinlik qiladi. Segmentatsiya, shuningdek, hujumlarni tarqalishidan oldin izolyatsiya qiladi. Misol uchun, bir kichik tarmoqdagi zararli dastur infektsiyasi boshqa tizimga ta'sir qilmaydi. • Kamroq tirbandlik, yaxshi ishlash Tarmoq segmentatsiyasi qotib qolishni kamaytiradi. Tarmoqda juda ko'p tarmoq xostlari mavjud bo'lsa, juda ko'p paketlar uzatilganligi sababli tirbandlik yuzaga keladi. Subnetting yoki tarmoqni kichik segmentlarga bo'lish tirbandlikni sezilarli darajada yengillashtiradi. • Xarajatlarning qisqarishi Tarmoq segmentatsiyasi yordamida tartibga solishga muvofiqlik xarajatlarini kamaytirish mumkin, chunki u tarmoq ichidagi tizimlar miqdorini cheklaydi. 9VLAN • VLAN qurilmalarni mahalliy tarmoq (LAN) ichida va alohida kommutatorlarda guruhlash usulini taqdim etadi. VLANlar LAN bilan bir xil emas: virtual LANlar mantiqiy ulanishlarga, LAN esa jismoniy ulanishlarga asoslangan. Kommutatordagi alohida portlar ma'lum bir VLAN-ga tayinlanishi mumkin. Boshqa portlar kommutatorlarni jismoniy o'zaro ulash va switchlar o'rtasida bir nechta VLAN trafikiga ruxsat berish uchun ishlatilishi mumkin. Ushbu portlar magistral deb ataladi. VLAN • Turli xil switchlari turli sonli VLAN-larni qo'llab- quvvatlaydi. Qo'llab-quvvatlanadigan VLANlar soni ko'pchilik tashkilotlarning ehtiyojlarini qondirish uchun yetarlicha katta. Masalan, Catalyst 2960 va 3560 Series kalitlari 4000 dan ortiq VLAN-ni qo'llab-quvvatlaydi. Ushbu kalitlardagi standart diapazonli VLANlar 1 dan 1005 gacha va kengaytirilgan VLANlar 1006 dan 4094 gacha raqamlangan. VLAN parametrlarini yaratish switch# configure terminal switch(config)# vlan 10 switch(config-vlan)# name test switch(config-vlan)# state active switch(config-vlan)# no shutdown switch(config-vlan)# exit switch(config)# show vlan switch(config)# copy running-config startup-config Portlarni VLAN ga biriktirish switch# configure terminal switch(config)# interface [interface-id | range vlan vlan-range] switch(config-if-range)# switchport mode access / no switchport access vlan switch(config-if-range)# switchport access vlan [vlan-id | none] switch(config-if-range)# no shutdown switch(config-if-range)# exit switch(config)# show vlan switch(config)# copy running-config startup-config Portlarni VLAN ga biriktirish switch# configure terminal switch(config)# interface [interface-id | range vlan vlan-range] switch(config-if-range)# switchport mode trunk /no switchport mode trunk switch(config-if-range)# switchport trunk allowed vlan [all | none | add vlan- list | remove vlan-list | except vlan-list] switch(config-if-range)# no shutdown switch(config-if-range)# exit switch(config)# show vlan switch(config)# copy running-config startup-config NAT qanday ishlaydi? Aytaylik, NAT yordamida uy tarmog'iga ulangan noutbuk mavjud. Bu tarmoq internetga murojaat qiluvchi routerga ulanadi. Noutbuk NAT dan foydalanadi. Sababi u so'rovni IP- paketda marshrutizatorga yuboradi va marshrutizator ushbu so'rovni internetga va siz foydalanayotgan qidiruv xizmatiga uzatadi. Sizning so'rovingiz uy tarmog'ingizni tark etishidan oldin, router birinchi navbatda ichki IP-manzilni shaxsiy mahalliy IP-manzildan umumiy IP-manzilga o'zgartiradi. Routeringiz siz foydalanayotgan shaxsiy manzilni internetda foydalanish mumkin bo'lgan manzilga samarali tarzda tarjima qiladi va keyin yana qaytaradi. Agar paket shaxsiy manzilga ega bo'lsa, qabul qiluvchi server ma'lumotni qayerga qaytarishni bilmaydi. Buning sababi, shaxsiy IP- manzilni Internetga yo'naltirish mumkin emas. Agar router buni qilishga uringan bo'lsa, barcha internet routerlar avtomatik ravishda shaxsiy IP manzillarini o'chirishga dasturlashtirilgan. Yaxshi tomoni shundaki, bugungi kunda uy ofislari va kichik ofislar uchun sotiladigan barcha marshrutizatorlar shaxsiy IP manzili va umumiy yo'naltirilgan IP manzillari o'rtasida oldinga va teskari osongina tarjima qiladi. NAT turlari NAT ning uch xil turi mavjud. Odamlar va tashkilotlar ularni turli sabablarga ko'ra ishlatishadi. • Statik NAT Mahalliy manzil umumiy manzilga aylantirilganda, bu NAT xuddi shu manzilni tanlaydi. Bu shuni anglatadiki, ushbu yo'riqnoma yoki NAT qurilmasi bilan bog'liq doimiy umumiy IP manzil bo'ladi. • Dinamik NAT Har safar bir xil IP-manzilni tanlash o'rniga, bu NAT umumiy IP- manzillar to’plamidan o'tadi. Buning natijasida marshrutizator yoki NAT qurilmasi har safar mahalliy manzilni umumiy manzilga tarjima qilganda boshqa manzil oladi. • PAT PAT port manzili tarjimasini anglatadi. Bu dinamik NAT ning bir turi, lekin u bir nechta mahalliy IP-manzillarni yagona umumiy IP manziliga bog'laydi. O'z xodimlarining barcha faoliyati yagona IP- manzildan foydalanishni xohlaydigan tashkilotlar odatda tarmoq ma'muri nazorati ostida PAT-dan foydalanadilar  . NAT va xavfsizlik • NAT va shaxsiy IP manzillar o'z-o'zidan xavfsizlik xizmatlari emas . Ammo NAT va shaxsiy IP manzillaridan foydalanish ko'pincha xavfsizlikka birinchi qadam sifatida qabul qilinadi. NAT ma'lumotlar paketlarini umumiy manzildan shaxsiy manzillarga o'tkazgani uchun u tashqi kompyuterlarning shaxsiy qurilmangizga bevosita kirishini oldini olishga yordam beradi. Misol uchun, Internetdagi shaxs uy kompyuteringizga ulanish uchun ping yoki veb- brauzerdan foydalana olmaydi. NAT ni 2- qatlam kommutatorda sozlash Command Purpose 1. Switch# configure 2. Switch(config)# l2nat instance A-LC 3. Switch(config l2nat)# inside from host 192.168.1.1 to 10.1.1.1 4. Switch(config- l2nat)# inside from host 192.168.1.2 to 10.1.1.2 5. Switch(config-l2nat)# inside from host 192.168.1.3 to 10.1.1.3 6. Switch(config-l2nat)# outside from host 10.1.1.200 to 192.168.1.250 7. Switch(config-l2nat)# exit 8. Switch(config)# interface Gi1/1 9. Switch(config-if)# l2nat A-LC VLAN uchun NAT ni belgilash   l2nat instance vlan 10. Switch# end NAT ni routerda sozlash Router# configure terminal Router(config)# 1. Routerning ichki interfeysini sozlang Router(config)# interface fa0/0 Router(config-if)# ip nat inside Router(config-if)# exit 2. Routerning tashqi interfeysini sozlang Router(config)# interface eth0/0/0 Router(config-if)# ip nat outside Router(config-if)# exit 3. Tarjima qilinadigan ichki manba manzillari ro'yxatiga ega bo'lgan ACL ni sozlang. Router(config)# access-list 1 permit 192.168.0.0 0.0.0.255 4. Global IP manzillar pulini sozlang Router(config)# ip nat pool MY_POOL 4.4.4.1 4.4.4.5 netmask 255.255.255.0 5. Dinamik NATni yoqing Router(config)# ip nat inside source list 1 pool MY_POOL 6. Konfiguratsiya rejimidan chiqish Router(config)# exit Router# 7. Router# show ip nat translations  8. Quyidagi buyruq yordamida tezkor xotiradagi konfiguratsiyani ishga tushirish konfiguratsiyasiga nusxalash Router# write memory Building configuration... [OK] Router#

O'xshashlar

Internet global tarmoq
Tarmoq operatsion tizimlari
Axborot xavfsizligi
Tashqi tarmoq va uning xarakteristikalari
Tarmoq tushinchasi va uning ahamiyati