Що ми робимо · Мережа: Managed периметрові firewall
Публічні сервіси в Афінах стоять за резервованими парами stateful firewall з політикою default-deny для кожного хоста, блокуванням за threat intelligence та за країною, а також з можливістю відкрити сервіс лише для однієї країни. Кожне правило назване за хостом, який воно захищає, кожна зміна проходить через API з попередньою резервною копією, і кожен firewall звітує в наше централізоване логування.
Що це
Керований периметр: firewall перед вашими публічними адресами, які експлуатуємо ми як частину мережі, а не як пристрій, який ви налаштовуєте самі. Ви кажете нам, що кожен сервіс має відкривати і для кого. Ми будуємо це як названу, задокументовану політику, підтримуємо її актуальною і доводимо ззовні.
Як ми це будуємо
- Висока доступність за задумом. Firewall OPNsense працюють як пари активний і резервний. Віртуальні адреси CARP покривають і бік upstream, і ваш шлюз, а pfsync реплікує стан з’єднань між вузлами, тож відмова вузла означає stateful failover менш ніж за секунду.
- Політика, що документує сама себе. Кожен підключений хост отримує власний названий alias і власні правила.
- Упорядкований стек блокувань. Трафік спершу зустрічає зведений список threat intelligence, побудований з кількох репутаційних джерел, потім єдиний список блокування країн, потім блокування діапазонів зловживального хостингу, і лише після цього дозволи для кожного хоста. Якщо ваша аудиторія в одній країні, ви можете мати натомість список дозволів з адресного простору цієї країни.
- Налаштовано під реальні атаки. Обробка пакетів розподілена між ядрами CPU з кількістю потоків, підібраною під кожен пристрій. Публічні сервіси з важким UDP обробляються без збереження стану, щоб вони не вичерпували таблицю з’єднань, а захист від SYN flood використовує адаптивні cookie й тайм-аути, розраховані з арифметики таблиці станів.
- Зміни через API, ніколи вручну. Кожна зміна робиться через REST API OPNsense, а результат перевіряється з зовнішньої точки спостереження.
- Односторонні шляхи для резервних копій. Робоче середовище не має мережевого шляху до інфраструктури резервного копіювання. Системи резервного копіювання забирають дані самі; робоче середовище ніколи не надсилає. Це забезпечено правилами заборони на самих пристроях firewall, а не на хостах.
- Логування, що не може замовкнути. Watchdog за таймером повторно застосовує конфігурацію логування кожного firewall, тож firewall ніколи не може непомітно перестати звітувати в Graylog.
Ми експлуатуємо і Cisco Firepower, і OPNsense, а коли переносимо сегмент з однієї платформи firewall на іншу, дотримуємося письмового поетапного методу: новий firewall приєднується до маршрутизації, нічого не анонсуючи, потім перебирає по одному VLAN за раз через скриптований cutover з автоматичним відкатом за результатом ping.
Від чого це вас захищає
- Від трафіку перебору паролів і сканування з відомих шкідливих джерел і з країн, де у вас немає аудиторії.
- Від відмови firewall, що обриває кожну сесію.
- Від вичерпання таблиці з’єднань через UDP чи SYN flood.
- Від незадокументованих правил, які ніхто не наважується прибрати.
- Від журналу безпеки, що тихо йде в нікуди аж до дня, коли він вам знадобиться.
На практиці
CRM, відкрита лише для однієї країни. CRM і тестове середовище роздрібного клієнта підключили так, що web- і адміністративний доступ дозволено лише з країни, яку вони обслуговують, усе інше заборонено, і це перевірено на обох вузлах firewall. Коли бізнесу знадобилися ще дві країни, ми додали їх наступного дня.
Чому EuroVPS
- Резервовані пари зі stateful failover, а не один firewall.
- Названа політика default-deny для кожного хоста, яку ви можете прочитати.
- Threat intelligence, блокування країн і списки дозволів для однієї країни як стандартні опції.
- Зміни лише через API та централізоване логування, яке саме перебуває під наглядом.
- Мережі резервного копіювання, до яких робоче середовище не має доступу, забезпечено на рівні firewall.
Часті запитання
Чи можу я обмежити свій сервіс відвідувачами з однієї країни? Так. Ми замінюємо стандартний стек блокувань списком дозволів з адресного простору цієї країни і можемо додати країни пізніше.
Що станеться, якщо відмовить вузол firewall? Резервний вузол перебирає віртуальні адреси та наявний стан з’єднань, зазвичай менш ніж за секунду.
Чи можу я бачити правила або просити їх змінити? Так. Правила названі за хостами, тож ми можемо показати вам, що саме відкрито для кожного сервісу, і змінити це на запит.
Чи блокуєте ви атаки автоматично? Так. Списки threat intelligence, країн і зловживальних діапазонів застосовуються перед вашими власними правилами і підтримуються актуальними.
Якщо ви хочете, щоб ваші публічні сервіси стояли за периметром, який будують і за яким наглядають саме так, поговоріть з інженером.
Ваш наступний партнер з інфраструктури
Погляньмо на вашу інфраструктуру.
Розкажіть, що ви запускаєте сьогодні і що потребує покращення. Інженер розгляне ваш запит і допоможе спланувати наступний крок.
+357 222 32280
Почнімо з вашої інфраструктури.
Трохи контексту допомагає нам почати правильну розмову.