Bağlam
Çok şubeli bir kurumda sık görülen tabloyla başladım: şubelerin internete çıkışı servis sağlayıcının verdiği cihazlardan yapılıyor, her lokasyonda farklı bir yapılandırma var, çoğunda kural yok. Şubeler arası bağlantı ihtiyaç oldukça açılan tünellerle sağlanıyor; merkezdeki servislere dışarıdan erişim için port yönlendirmeleri kullanılıyor ve bunların güncel bir listesi yok.
Bu yapıyla ne şube trafiğini görebiliyor ne de ortak bir politika uygulayabiliyorsunuz. Bir şubedeki bilgisayara bulaşan zararlı yazılım, VPN üzerinden merkeze kadar gelebilir. Amaç, tüm lokasyonları tek bir cihaz ailesi ve tek bir politika seti altında toplamaktı.
Tasarım kararları
Fortinet'i seçmemin ana nedeni, şube cihazları ile merkez cihazının aynı işletim sistemini kullanması ve küçük şube modellerinin bile VPN, saldırı önleme ve web filtreleme yapabilmesiydi. Bir yerde öğrendiğim kuralı her yerde aynı şekilde uygulayabiliyorum.
- Merkez odaklı VPN. Her şube merkeze IPsec tüneliyle bağlanıyor; şubeler birbirini doğrudan görmüyor. Şube bir şey isterse merkezden geçiyor ve orada kural uygulanıyor.
- Varsayılan ret. Her politikada önce ne gerektiğini yazdım, kalanı kapattım. Şube ağından merkeze yalnızca iş uygulamalarının ihtiyaç duyduğu servisler açık.
- Ağ segmentasyonu. Sunucular, kullanıcı bilgisayarları, saha cihazları, güvenlik kameraları ve misafir ağı ayrı segmentlerde; segmentler arası geçiş yalnızca tanımlı kurallarla.
- DMZ. Dışarıya açık servisler iç ağdan ayrı bir segmentte; iç ağa yalnızca gerekli portlardan ulaşıyor.
- Hat yedekliliği. Merkezde birden fazla internet hattı; SD-WAN kuralıyla kritik trafik kaliteli hatta, biri düşünce tüneller diğerinden devam ediyor.
Kurulum
- Envanter ve IP planı. Her lokasyon için alt ağ, VLAN ve cihaz listesi; çakışmayan adres planı. Bu, VPN için ön koşuldu.
- Merkez cihazı. Arayüzler, segmentler, DMZ, yönetici hesapları ve iki aşamalı doğrulama; yönetim erişiminin yalnızca iç ağdan yapılabilmesi.
- Şube şablonu. Bir şubeyi baştan sona yapılandırıp yedeğini aldım; diğer şubeleri bu şablondan türetip yalnızca adres ve tünel bilgilerini değiştirdim. Her şubede kesinti bir saati geçmedi.
- Güvenlik profilleri. Antivirüs, saldırı önleme, web filtreleme ve uygulama kontrolü; kullanıcı ağı ile sunucu ağı için ayrı profiller.
- E-posta geçidi. Gelen posta önce bir posta güvenlik geçidinden geçiyor: spam, zararlı ek ve sahte gönderici denetimi.
- Günlük toplama. Tüm cihazlar syslog ile merkezi bir günlük sunucusuna yazıyor; tünel düşmeleri, engellenen olaylar ve yönetici girişleri için uyarılar tanımlı.
- Yedek ve belge. Her yapılandırma değişikliğinden sonra otomatik yedek; her lokasyon için tek sayfalık "bu cihazda ne var" belgesi.
Kazanımlar
- Tüm lokasyonlarda aynı politika; bir kuralı değiştirmek dakikalar alıyor.
- Şube sorunlarının teşhisi günlükler sayesinde dakikalar içinde; eskiden yarım gün sürebiliyordu.
- Eski port yönlendirmelerinin tamamı kapatıldı; dışarıdan erişim yalnızca VPN ve kurum içi uzak bağlantı platformu üzerinden.
- Sağlayıcı kaynaklı saldırı alarmlarına karşı DoS politikaları ve coğrafi kısıtlar devrede.
Öğrendiklerim
Güvenlik duvarının en zor kısmı cihaz değil, kural listesini sade tutmak. Her istisna bir sonraki yıl kimsenin hatırlamadığı bir açığa dönüşüyor. Bu yüzden her kuralın açıklama alanına neden açıldığını ve kimin istediğini yazıyorum; düzenli aralıklarla kullanılmayan kuralları temizliyorum.