नेटवर्क विभाजन - सर्वोत्तम प्रथाएं

जो सर्वर आवश्यक और संवेदनशील डेटा रखते हैं, वे अक्सर सुरक्षा की अतिरिक्त परतों की मांग करते हैं। आप इन सर्वरों को एक अलग वीएलएन में अलग कर सकते हैं और इन सर्वरों की पहुंच को सीमित कर सकते हैं। उदाहरण के लिए, आप अपने कॉर्पोरेट मुख्यालय में डेटाबेस सर्वरों के लिए एक अलग वीएलएन का उपयोग कर सकते हैं।

दूसरी ओर, एप्लिकेशन सर्वर अक्सर सार्वजनिक इंटरनेट से इनबाउंड पहुंच रखते हैं और वे संभावित सुरक्षा जोखिम हो सकते हैं। हम अनुशंसा करते हैं कि आप इन सर्वरों को एक अलग वीएलएन में असाइन करें और हमलावरों को आंतरिक और संवेदनशील सर्वरों तक पहुंचने से रोकें। आप इस वीएलएन का उपयोग सार्वजनिक रूप से पहुंच वाले सर्वरों के लिए डिमीलिट्राइज्ड ज़ोन (DMZ) के रूप में कर सकते हैं।

कॉर्पोरेट वर्कस्टेशन और सर्वर आपके नेटवर्क के लिए सुरक्षा जोखिम हो सकते हैं क्योंकि यदि वर्कस्टेशन बैकफुट होता है, तो यह पूरे नेटवर्क में जल्दी फैल सकता है। हालांकि, जब वर्कस्टेशन एक अलग वीएलएन में होते हैं, तो आप वीएलएन को अलग कर सकते हैं और नेटवर्क से कनेक्टिविटी को ब्लॉक कर सकते हैं। नेटवर्क के बीच संचार की अनुमति देने के लिए, आपको प्रत्येक वीएलएन नेटवर्क के लिए गेटवे आईपी पता कॉन्फ़िगर करना होगा। निम्नलिखित स्क्रीनशॉट सर्वर और वर्कस्टेशन के लिए अलग वीएलएन के उदाहरण को दिखाता है:

इन वीएलएन के बीच कनेक्टिविटी की अनुमति देने वाला एक वैन फ़ायरवॉल नियम बनाएँ। यदि आपके नेटवर्क में से किसी भी वर्कस्टेशन को संक्रमण हो जाता है, तो आप आसानी से इस नियम को निष्क्रिय कर सकते हैं और संक्रमण के सर्वरों तक फैलने से रोक सकते हैं। संक्रमित वर्कस्टेशन को पुनर्स्थापित करने के बाद, आप वर्कस्टेशन और एप्लिकेशन सर्वर के बीच कनेक्टिविटी की अनुमति देने के लिए नियम को फिर से सक्रिय कर सकते हैं।

नेटवर्क विभाजन आपको अपनी संगठन में विभिन्न उपयोगकर्ता समूहों के लिए विभिन्न पहुंच स्तरों को परिभाषित करने की अनुमति देता है। उदाहरण के लिए, प्रबंधन, सामान्य उपयोगकर्ता, और अतिथियों के लिए अलग वीएलएन परिभाषित करें।

यदि आप अतिथियों के लिए वाईफ़ाई या नेटवर्क एक्सेस प्रदान करना चाहते हैं, तो यह एक संभावित सुरक्षा जोखिम हो सकता है। अतिथि नेटवर्क को एक अलग VLAN में विभाजित करें जो केवल इंटरनेट तक पहुंच की अनुमति देता है, और वे आंतरिक संसाधनों तक नहीं पहुँच सकते। निम्नलिखित स्क्रीनशॉट अतिथि वाईफाई उपयोगकर्ताओं के लिए एक VLAN दिखाता है:

फिर इंटरनेट फ़ायरवॉल में एक नियम बनाएँ जो इस VLAN को इंटरनेट तक पहुँच की अनुमति देता है। निम्नलिखित स्क्रीनशॉट एक इंटरनेट फ़ायरवॉल नियम दिखाता है जो अतिथि वाईफाई VLAN को इंटरनेट तक पहुँच की अनुमति देता है:

नेटवर्क सुरक्षा में सुधार के लिए नेटवर्क को विभाजित करने के अलावा, आप उन ट्रैफ़िक प्रकारों को भी प्रतिबंधित कर सकते हैं जो संभावित सुरक्षा जोखिम हो सकते हैं। उदाहरण के लिए, RDP (रिमोट डेस्कटॉप) और SMB (फाइल साझा करने वाले) प्रोटोकॉल का प्रायः उपयोग संवेदनशील जानकारी प्राप्त करने या रैन्समवेयर फैला कर जो कॉर्पोरेट डेटा को नुकसान पहुँचाता है, करने के लिए किया जाता है।

हम अनुशंसा करते हैं कि आप WAN फ़ायरवॉल को डिफ़ॉल्ट रूप से इन प्रोटोकॉल तक पहुंच को सीमित करने के लिए कॉन्फ़िगर करें और केवल आवश्यकता होने पर इस ट्रैफ़िक की अनुमति दें। WAN फ़ायरवॉल नियमों और सर्वोत्तम प्रथाओं को कॉन्फ़िगर करने के बारे में अधिक जानकारी के लिए, देखें इंटरनेट और WAN फ़ायरवॉल नीतियाँ सर्वोत्तम प्रथाएं।