جهاز توجيه/جدار ناري
يجمع جهاز التوجيه/الجدار الناري بين توجيه الحركة وإنفاذ السياسات في صندوق واحد، مما يساعد المواقع الصغيرة وشبكات الفروع على التحكم فيما يدخل ويخرج ويتحرك بين المقاطع.
ما هو
جهاز التوجيه/الجدار الناري هو جهاز شبكي مخصص يربط شبكة بأخرى مع فرض قواعد تحدد حركة المرور المسموح بها. وبعبارة بسيطة، يحدد جزء التوجيه إلى أين ينبغي أن تذهب الحزم، بينما يقرر جزء الجدار الناري ما إذا كان ينبغي السماح لها بالمرور. وتشتمل كثير من الأجهزة أيضا على ترجمة عناوين الشبكة، وإنهاء شبكات VPN، وفحوصات اقتحام أساسية، وتسجيل السجلات.
هذه الأجهزة شائعة عند حافة مكتب منزلي أو مكتب فرعي أو غرفة بيانات صغيرة. وغالبا ما تستخدم عندما تحتاج أداة واحدة إلى القيام بعدة مهام بشكل موثوق دون الاعتماد على خادم متعدد الأغراض.
كيف يعمل
تقوم معظم الأجهزة بفحص الحركة عبر عدة طبقات. ينظر التوجيه الأساسي إلى عناوين الوجهة وجداول إعادة التوجيه. ثم تطبق قواعد الجدار الناري شروطا مثل عنوان المصدر، ومنفذ الوجهة، والبروتوكول، ووقت اليوم، أو الواجهة. كما تتذكر الجدران النارية المعتمدة على الحالة ما إذا كانت الحزمة تنتمي إلى اتصال قائم، مما يساعد على حظر الحركة الواردة غير المرغوب فيها.
تدعم بعض النماذج الوعي بالتطبيقات، أو تصفية المحتوى، أو وظائف IDS/IPS بسيطة. يمكن لهذه الميزات أن تضيف سياقا مفيدا، لكنها تستهلك أيضا وحدة المعالجة المركزية والذاكرة. وتعد الأداء مهمة لأن ميزات الأمان ليست مجانية؛ فكل خطوة فحص إضافية يمكن أن تقلل من معدل النقل أو تزيد من زمن الاستجابة.
- معدل النقل: مقدار الحركة التي يمكن للجهاز تمريرها في الثانية.
- الجلسات المتزامنة: عدد الاتصالات النشطة التي يمكنه تتبعها.
- سعة VPN: مهمة إذا كان الوصول عن بعد جزءا من التصميم.
- معالجة القواعد: يمكن لمجموعات القواعد الكبيرة أن تبطئ التغييرات واستكشاف الأخطاء وإصلاحها.
المواصفات التي تهم
بالنسبة لمعظم المشترين، الأرقام المفيدة ليست فقط السرعة الخام. انظر إلى نوع وعدد الواجهات السلكية، والتسريع المادي للتشفير، وما إذا كان الجهاز يستطيع التعامل مع السجلات دون أن يصبح بطيئا. إذا كان الجهاز سيقسم الشبكات الداخلية، فتحقق مما إذا كان يدعم شبكات VLAN، أو مناطق متعددة، أو التوجيه القائم على السياسة.
دعم البرامج الثابتة لا يقل أهمية عن العتاد. يظل الجهاز المصمم جيدا خطرا طويل الأمد إذا توقف المورد عن إصدار تحديثات الأمان. ويجب أن يدعم الوصول الإداري المصادقة القوية، وجلسات الإدارة المشفرة، وأذونات قائمة على الأدوار حيثما أمكن.
الإعداد والصيانة
يبدأ النشر الجيد بمجموعة قواعد بسيطة: اسمح فقط بالخدمات التي تحتاجها فعلا، ثم أضف الاستثناءات بعناية. افصل وصول الإدارة عن حركة المستخدمين إذا كان الجهاز يدعم ذلك. احفظ نسخة احتياطية من الإعدادات قبل إجراء تغييرات كبيرة، واختبر القواعد الجديدة من جانبي الجدار الناري حتى تعرف أي مسار يتأثر.
الصيانة عادة مباشرة لكنها سهلة الإهمال. حافظ على تحديث البرامج الثابتة، وراجع السجلات بحثا عن عمليات الحظر المتكررة أو الاتصالات الصادرة غير المعتادة، وتحقق من أن مزامنة الوقت تعمل حتى تكون الأحداث مقروءة. إذا كان الجهاز يدعم التنبيهات، فأرسلها إلى نظام منفصل بدلا من الاعتماد فقط على لوحته الخاصة.
القيود والأخطاء الشائعة
جهاز التوجيه/الجدار الناري ليس برنامجا أمنيا كاملا. فهو لا يستطيع إصلاح كلمات المرور الضعيفة، أو نقاط النهاية غير الآمنة، أو أذونات السحابة السيئة. كما لا يستطيع التمييز بشكل موثوق بين كل نشاط خبيث والحركة المشفرة المشروعة. وإذا كان تصميم الشبكة مسطحا، فقد يؤدي الصندوق فقط إلى إبطاء الحركة الجانبية بدلا من منعها.
- لا تترك الإدارة عن بعد مكشوفة على الإنترنت العام إلا إذا كان هناك سبب قوي وتحكم صارم.
- لا تعتمد على القواعد الافتراضية أو ميزات المورد غير المستخدمة التي لم يتم تقويتها قط.
- لا تعامل التسجيل على أنه اختياري؛ فبدون السجلات تصبح استكشاف الأخطاء ومراجعة الحوادث أصعب بكثير.
- لا تبالغ في توسيع مجموعة القواعد دون خطة للتوثيق وضبط التغييرات.
متى يكون مناسبا
تكون هذه الفئة من المنتجات أكثر فائدة عندما تحتاج أداة واحدة إلى التحكم في الحافة وتوفير حد سياسات واضح. وهي مناسبة جيدا للمنظمات الصغيرة، ومواقع الفروع، والشبكات المقسمة حيث تكون البساطة مهمة والبنية التحتية المخصصة محدودة. وهي أقل ملاءمة عندما تكون أحجام الحركة عالية جدا، أو عندما يكون الفحص المتقدم مطلوبا، أو عندما يحتاج تصميم الشبكة إلى أجهزة متخصصة لمهام منفصلة.
عند استخدامه بشكل جيد، يمنح جهاز التوجيه/الجدار الناري المشغلين نقطة تحكم عملية: مكان واحد لتحديد المسارات، وإنفاذ السياسة، ومراقبة سلوك الشبكة. وهذا يجعله جزءا أساسيا من البنية التحتية الدفاعية، ولكن فقط عندما يتم إعداده وتحديثه ومراقبته بنفس العناية الممنوحة للأنظمة التي يعتمد عليها.