रिमोट पोर्ट फॉरवर्डिंग (RPF) आपको इंटरनेट से आने वाले कनेक्शन को Cato क्लाउड के माध्यम से एक आंतरिक LAN होस्ट की तरफ निर्देशित करने की अनुमति देता है। फिर कनेक्शन को विभिन्न Cato सुरक्षा सेवाओं से लाभ मिलता है।
नोट
नोट: RPF चीन में स्थित PoPs के लिए समर्थित नहीं है। आप चीन के इन PoPs के लिए आवंटित IP नहीं चुन सकते।
आप अनुमति सूची दृष्टिकोण या अवरोध सूची दृष्टिकोण का उपयोग करके RPF संसाधनों तक इनबाउंड पहुंच नियंत्रण को नियंत्रित कर सकते हैं:
- अनुमति सूची - सभी स्रोतों (IP पतों और रेंज) को अवरुद्ध करता है और केवल उन स्रोतों को अनुमति देता है जो विशेष रूप से विन्यस्त हों
- अवरोध सूची - सभी स्रोतों (IP पतों और रेंज) को अनुमति देता है और केवल उन स्रोतों को अवरुद्ध करता है जो विशेष रूप से विन्यस्त हों
यदि आपको इंटरनेट-फेसिंग RPF संसाधनों तक पहुंच को नियंत्रित करने और अनुमत स्रोतों की जानकारी नहीं होती है, तो अवरोध सूची दृष्टिकोण की अनुशंसा की जाती है। यह दृष्टिकोण Cato प्रबंधन अनुप्रयोग या API के माध्यम से ब्लॉक किए गए स्रोतों की सूची को कॉन्फ़िगर करने का विकल्प प्रदान करता है। अवरोध सूची ग्राहक द्वारा बनाए रखी गई ब्लॉक-लिस्ट्स, निजी सुरक्षा फीड्स, विशेष जियो रिकॉर्ड्स, और तीसरे पक्ष के सिस्टम से संकेतक के आधार पर हो सकती है।
नोट
नोट: Cato IPS सेवा इनबाउंड RPF ट्रैफ़िक को सुरक्षित करती है, हालांकि TLS निरीक्षण इनबाउंड ट्रैफ़िक पर नहीं किया जाता है। इसका अर्थ है कि IPS एन्क्रिप्टेड ट्रैफ़िक के लिए सामग्री का निरीक्षण नहीं कर सकता है, लेकिन IPS प्रतिष्ठा की जांच (जैसे कि स्कैनर, पोर्ट स्वीपर, ज्ञात C&Cs, आदि) के आधार पर ट्रैफ़िक का निरीक्षण करता है।
NGFW की एक मूलभूत कार्यक्षमता एंटी-स्पूफिंग हमलों से सुरक्षा प्रदान करना है। Cato क्लाउड में सुरक्षा इंजन किसी भी कनेक्शन को स्वतः गिरा देते हैं जहां स्रोत IP कॉन्फ़िगर की गई इकाई की सीमा के बाहर होता है (जैसे कि साइट, नेटवर्क रेंज, डिवाइस, या उपयोगकर्ता)। यह एंटी-स्पूफिंग हमलों को रोकता है और कॉन्फ़िगर की गई तर्कशक्ति टोपोलॉजी का उल्लंघन रोकता है।
रिमोट पोर्ट फॉरवर्डिंग नीति विभिन्न व्यवस्थापकों को समांतर में नीति संपादित करने की अनुमति देती है। प्रत्येक व्यवस्थापक नियम संपादित कर सकता है और नियम आधार के लिए अपने निजी संशोधन में परिवर्तनों को सहेज सकता है, और फिर इन्हें खाता नीति में प्रकाशित कर सकता है (प्रकाशित संशोधन)। नीति संशोधनों का प्रबंधन करने के तरीके के बारे में अधिक जानकारी के लिए, देखें नीति संशोधनों के साथ कार्य करना।
रिमोट पोर्ट फॉरवर्डिंग अंतर्दृष्टियाँ सर्वोत्तम प्रथाएं हैं जो आपकी रिमोट पोर्ट फॉरवर्डिंग नीति का मूल्यांकन करती हैं और दिखाती हैं कि ये Cato की सिफारिशों के साथ कैसे अनुपालन करती हैं। इन सिफारिशों का पालन करने से आपकी फ़ायरवॉल कॉन्फ़िगरेशन का ऑप्टिमाइज़ेशन होता है और सुरक्षा स्थिति में सुधार होता है।
दो प्रकार की अंतर्दृष्टि होती हैं:
-
स्टार आइकन (AI द्वारा संचालित): आपकी रिमोट पोर्ट फॉरवर्डिंग नीति में सक्रिय नियमों का कृत्रिम बुद्धिमत्ता (AI) द्वारा स्वचालित विश्लेषण किया जाता है ताकि मुद्दों का पता लगाया जा सके, उदाहरण के लिए, नियम जिन्हें छोड़ा जा सकता है या संशोधित किया जा सकता है जैसे:
- समाप्त नियम या भविष्य की समाप्ति तिथि के साथ नियम: विशिष्ट आवश्यकताओं को पूरा करने के लिए बनाए गए नियम और इनमें एक वांछनीय कटऑफ तारीख होती है जो पहले ही बीत चुकी है या अभी तक नहीं आई है या साबित/मूल्यांकन नहीं की जा सकती।
- अस्थायी नियम: तत्काल आवश्यकता को संबोधित करने के लिए अल्पकालिक समाधान के रूप में पेश किया गया। ये नियम मुख्य रूप से बनाए जाते हैं ताकि सही या स्थायी समाधान लागू या विकसित होते समय अस्थायी रूप से काम करें।
- परीक्षण नियम: विशेष रूप से किसी विशिष्ट सुविधा या परिदृश्य को सत्यापित, डीबग या परीक्षण करने के लिए बनाए गए नियम।
- कॉन्फ़िगरेशन-आधारित: आपकी रिमोट पोर्ट फॉरवर्डिंग नीति में कॉन्फ़िगरेशन और सेटिंग्स सर्वोत्तम प्रथाओं का पालन सुनिश्चित करने के लिए हैं।
RPF नियम के लिए बाहरी IP Cato द्वारा आवंटित एक IP पता है। अधिक जानकारी के लिए देखें खातों के लिए IP पते आवंटित करना. आंतरिक एप्लिकेशन्स के लिए, नियम में आंतरिक आईपी और पोर्ट का उपयोग करें।
जब आप एक RPF नियम को परिभाषित करते हैं, तो अनुमति प्राप्त रिमोट IPs सेटिंग के लिए विभिन्न विकल्प होते हैं:
-
इन प्रारूपों में से किसी एक में एक विशिष्ट IP पता या IP रेंज दर्ज करें:
- IP पतों की रेंज - 192.0.2.10-192.0.2.20
- सबनेट (CIDR) - 192.0.2.0/24
आप कई IP पते और रेंज के साथ एक अल्पविराम से अलग की गई सूची भी चिपका सकते हैं, उदाहरण के लिए: 10.1.1.1, 10.2.1.1-10.2.1.105
- ट्रैकिंग और नोटिफिकेशन सक्षम करें।
यदि आपके नेटवर्क को कई बाहरी पोर्ट से एकल आंतरिक पोर्ट के लिए मैपिंग की आवश्यकता है, तो इसे कई RPF नियम बनाकर कॉन्फ़िगर करना संभव है।
बाहरी से आंतरिक पोर्ट के लिए मैपिंग बाहरी और आंतरिक पोर्ट रेंज के क्रम पर आधारित विशिष्ट एक-से-एक मैपिंग है। उदाहरण के लिए, बाहरी पोर्ट रेंज 5000-5005 आंतरिक पोर्ट रेंज 6103-6108 से मैप किया गया है। इसका मतलब है कि बाहरी पोर्ट 5000 आंतरिक पोर्ट 6103 से मैप किया गया है, बाहरी पोर्ट 5001 आंतरिक पोर्ट 6104 से मैप किया गया है, और इसी तरह।
नोट
Note: For accounts with IPsec sites, if the external IPs of an RPF rule overlaps with the IP addresses of an IPsec site, make sure that the rule excludes the IPsec tunnel ports UDP/500 and UDP/4500.
रिमोट पोर्ट फॉरवर्डिंग नियम को परिभाषित करने के लिए:
-
नेविगेशन मेनू से, सुरक्षा > रिमोट पोर्ट फॉरवर्डिंग पर क्लिक करें।
रिमोट पोर्ट फॉरवर्डिंग पृष्ठ आपके मौजूदा अप्रकाशित संशोधन के लिए खुलता है, या नवीनतम प्रकाशित संशोधन के लिए।
- नया पर क्लिक करें। नियम जोड़ें पैनल खुलता है।
- नियम के लिए नाम दर्ज करें।
- (वैकल्पिक) ICMP अग्रेषित करें का चयन करें ताकि इस नियम के लिए ICMP संदेशों का अग्रेषण सक्षम हो।
- बाहरी अनुभाग में, Cato द्वारा आवंटित बाहरी IP और वो बाहरी पोर्ट रेंज परिभाषित करें जिन पोर्टों की PoP द्वारा निगरानी की जाती है।
- आंतरिक अनुभाग में, वह आंतरिक IP पता दर्ज करें जिस पर ट्रैफ़िक अग्रेषित होता है और आंतरिक पोर्ट रेंज।
-
रिमोट IPs अनुभाग में, चुनें कि यह नियम अनुमति सूची है या अवरोध सूची।
- केवल उस ट्रैफ़िक को परिभाषित करने के लिए जो मेज़बान से जुड़ने की अनुमति है:
- अनुमति सूची चुनें।
- IP या सबनेट के आधार पर ट्रैफ़िक स्रोत चुनें। ये IP पते और रेंज हैं जिनको मेज़बान से RPF को अंजाम देने की अनुमति है।
- अधिक अनुमति प्राप्त रिमोट IPs जोड़ने के लिए
(जोड़ें) पर क्लिक करें।
- इस होस्ट को सभी ट्रैफ़िक की अनुमति देने के लिए, और स्रोत परिभाषित करने के लिए जो अवरुद्ध हैं और इसे कनेक्ट नहीं कर सकते:
- अवरोध सूची चुनें।
- IP या सबनेट के आधार पर ट्रैफ़िक स्रोत चुनें। ये IP पते और रेंज हैं जो अवरुद्ध हैं और वे मेज़बान से RPF को अंजाम नहीं दे सकते।
- अधिक अवरुद्ध रिमोट IPs जोड़ने के लिए
- केवल उस ट्रैफ़िक को परिभाषित करने के लिए जो मेज़बान से जुड़ने की अनुमति है:
- (वैकल्पिक) ईमेल नोटिफिकेशन परिभाषित करें, उस ट्रैफ़िक के लिए जो नियम से मेल खाता है। अधिक जानकारी के लिए, खाता स्तर अलर्ट और सिस्टम अधिसूचनाएं देखें।
- लागू करें पर क्लिक करें। नियम जोड़ा गया है।
-
सहेजें पर क्लिक करें।
परिवर्तन आपके अप्रकाशित संशोधन में सहेजे जाते हैं और वे संपादन के लिए उपलब्ध हैं जब तक कि उन्हें प्रकाशित या त्याग नहीं दिया जाता।
0 टिप्पणियां
कृपया टिप्पणी करने के लिए साइन इन करें करें.