4. फोर्टिनेट प्रारंभ करना v6.0। फ़ायरवॉल नीतियां

नमस्ते! चौथे फोर्टिनेट में आपका स्वागत है आरंभिक पाठ। पिछले पाठ में, हमने भविष्य की प्रयोगशाला के काम के लिए एक लेआउट तैनात किया। यह इसका उपयोग करने का समय है! इस पाठ में हम सुरक्षा नीतियों की मूल बातों का विश्लेषण करेंगे जो नेटवर्क खंडों के बीच पहुंच को अलग करती है। बिल्ली के नीचे, वीडियो से एक संक्षिप्त सिद्धांत प्रस्तुत किया जाता है, साथ ही साथ वीडियो सबक भी।
फ़ायरवॉल नीतियां मापदंड का एक संग्रह है, जिसके विरुद्ध फ़ायरवॉल पर आने वाले पैकेटों की जाँच की जाती है। यहां यह ध्यान देने योग्य है कि फ़ोर्टगेट एक स्टेटफुल फ़ायरवॉल है, यानी सत्र याद रखने वाला फ़ायरवॉल। इसका मतलब यह है कि यदि सत्र में पहले पैकेट को फ़ायरवॉल नीति द्वारा अनुमति दी गई थी, तो दिए गए सत्र के भीतर किसी भी पैकेट को नीतियों के अनुपालन के लिए जाँच नहीं की जाती है - इस सत्र को याद किया जाता है और अनुमति दी जाती है। अगला, केवल सामग्री सामग्री निरीक्षण के भाग के रूप में जाँच की जाती है (लेकिन बाद में उस पर अधिक)।



एक महत्वपूर्ण नोट - यातायात को नीतियों के अनुपालन के लिए ऊपर से नीचे तक सख्ती से जांचा जाता है। यदि ट्रैफ़िक सभी नीतिगत मानदंडों के अंतर्गत आता है, तो पॉलिसी में निर्दिष्ट कार्रवाई इस ट्रैफ़िक पर लागू होती है (स्वीकार या अस्वीकार)। यदि ट्रैफ़िक सभी नीतियों के मानदंड के अनुकूल नहीं है, तो इसके लिए इंप्लिकेंट इनकार नीति लागू की जाती है, और इस ट्रैफ़िक को छोड़ दिया जाता है।
आइए संक्षेप में नीतियों के मापदंड पर चलते हैं।



पहले तीन मानदंड इनबाउंड इंटरफेस, आउटबाउंड इंटरफेस और स्रोत हैं। इनबाउंड और आउटबाउंड इंटरफेस एक या कई इंटरफेस हो सकते हैं। हालाँकि, डिफ़ॉल्ट रूप से, नीतियों में कई इंटरफेस का उपयोग अक्षम है; वीडियो ट्यूटोरियल दिखाता है कि इस विकल्प को कैसे सक्षम किया जाए। कई इंटरफेस का उपयोग करने का एक विशेष मामला है, कोई भी इंटरफ़ेस। इसमें सभी संभावित इंटरफेस शामिल हैं। इसके अलावा, इंटरफेस के रूप में, आप पूर्व-कॉन्फ़िगर क्षेत्र का उपयोग कर सकते हैं - इंटरफेस का एक तार्किक समूह।
एक स्रोत के रूप में बड़ी संख्या में वस्तुओं का उपयोग किया जा सकता है, उन्हें एक स्लाइड पर प्रस्तुत किया जाता है। लेकिन कुछ नियम हैं:
निम्न में से कम से कम एक ऑब्जेक्ट को स्रोत के रूप में निर्दिष्ट किया जाना चाहिए: आईपी पते या आईपी पते, सबनेट, FQDN, भौगोलिक स्थिति या इंटरनेट सेवाओं के डेटाबेस से ऑब्जेक्ट। आगे, यदि वांछित है, तो आप उपयोगकर्ता, उपयोगकर्ता समूह या एक विशिष्ट उपकरण का चयन करके नीति को निर्दिष्ट कर सकते हैं। उपयोगकर्ता और उपयोगकर्ता समूह स्थानीय या दूरस्थ हो सकते हैं। हम बाद में पाठ्यक्रम में दूरस्थ प्रमाणीकरण सर्वर के साथ काम करने पर विचार करेंगे। दुर्भाग्य से, हम व्यक्तिगत उपकरणों के साथ काम करने पर विचार नहीं करेंगे, यह सामग्री हमारे पाठ्यक्रम के दायरे से परे है।



स्रोत मानदंड की तरह, गंतव्य मानदंड निम्नलिखित वस्तुओं का उपयोग कर सकते हैं: आईपी पते या पते की सीमा, सबनेट, एफक्यूडीएन, भौगोलिक स्थान या इंटरनेट सेवाओं के डेटाबेस ऑब्जेक्ट।

यदि आप FQDN का उपयोग करते हैं, तो सुनिश्चित करें कि FortiGate और DNS सर्वर सही ढंग से संवाद करते हैं, क्योंकि FQDNs के IP पतों को निर्धारित करने के लिए Fortigate DNS प्रश्नों का उपयोग करता है।

एक भूगोल वस्तु एक विशिष्ट देश को आवंटित आईपी पतों के समूहों या श्रेणियों का प्रतिनिधित्व करती है। ऐसी वस्तुओं को फोर्टीगार्ड के माध्यम से स्वचालित रूप से अपडेट किया जाता है।
यह भी इंटरनेट सेवाओं के डेटाबेस के बारे में कुछ शब्द कहने लायक है। इसमें आईपी पते, प्रोटोकॉल और लोकप्रिय इंटरनेट सेवाओं जैसे अमेज़ॅन, ड्रॉपबॉक्स, फेसबुक और इतने पर पोर्ट नंबर शामिल हैं। यह डेटा भी FortiGuard के माध्यम से स्वचालित रूप से अपडेट किया जाता है।

सेवा मानदंड ट्रांसमिशन प्रोटोकॉल (यूडीपी / टीसीपी और इसी तरह) को परिभाषित करता है, साथ ही साथ पोर्ट नंबर भी। आप पूर्व-स्थापित सेवाओं का उपयोग कर सकते हैं, यदि आवश्यक हो, तो आप अपना खुद का भी निर्माण कर सकते हैं।

और अंतिम मानदंड अनुसूची है। इसे दो प्रकारों में विभाजित किया जा सकता है: दीर्घकालिक और एक बार। लंबे समय में, आप सप्ताह के आवश्यक दिनों को चुन सकते हैं और समय निर्धारित कर सकते हैं। इस मामले में, जिस नीति के लिए अनुसूची का एक विशिष्ट मानदंड है, वह उस तिथि और समय की जांच करेगा जहां पैकेट पारित किया गया था। दूसरा प्रकार एक बार का शेड्यूल है। इस स्थिति में, आप दिनांक और समय की अवधि निर्धारित कर सकते हैं जो आवश्यक है (उदाहरण के लिए, एक बार के काम के कारण, कर्मचारियों को एक विशिष्ट दिन और विशिष्ट समय पर दूरस्थ पहुंच की आवश्यकता होगी)।
अंत में, हमने फ़ायरवॉल नीतियों के सभी मानदंडों को देखा। जैसा कि मैंने कहा, यदि कोई नेटवर्क पैकेट इन सभी मानदंडों के अंतर्गत आता है, तो नीति में निर्दिष्ट कार्रवाई यातायात पर लागू होती है।

बाकी अभ्यास करना है। उपरोक्त सिद्धांत और व्यावहारिक भाग को वीडियो ट्यूटोरियल में अधिक विस्तार से चर्चा की गई है:


अगले पाठ में, हम एनएटी तकनीक का उपयोग करेंगे, दोनों को इंटरनेट पर उपयोगकर्ताओं को जारी करने और आंतरिक सेवाओं को प्रकाशित करने के लिए। इसे याद नहीं करने के लिए, निम्नलिखित चैनलों पर अपडेट के लिए बने रहें:

यूट्यूब
VKontakte Group
यांडेक्स ज़ेन
हमारी साइट
टेलीग्राम चैनल