จัดส่งแบบด่วนถึง
ติดต่อเรา
ติดตามการสั่งซื้อ
ค้นหา
การค้นหายอดนิยม
สอบถามข้อมูล
ตะกร้าสินค้า
เข้าสู่ระบบ

คูปอง
เสนอราคาตอนนี้
ประหยัดสูงสุด 8%

สอบถามข้อมูล
ติดต่อเรา

ข้อเสนอแนะ
ข้อเสนอแนะของคุณ
คุณจะให้คะแนนเราเท่าไร?
ความง่ายดายในการใช้งาน:
ข้อเสนอแนะการซื้อ:
รายละเอียดสินค้า:

คู่มือการออกแบบสถาปัตยกรรมไฟร์วอลล์แบบรอบนอกเทียบกับไฟร์วอลล์ภายใน

คู่มือการออกแบบสถาปัตยกรรมไฟร์วอลล์แบบรอบนอกเทียบกับไฟร์วอลล์ภายใน
  • แนะนำ
  • ชาเลนจ์ (Challenge)
  • สินค้าแนะนำ
  • เปรียบเทียบ
  • ใช้กรณี
รับความช่วยเหลือจากผู้เชี่ยวชาญ

การประสานความปลอดภัยรอบนอกและความปลอดภัยภายใน

การประสานความปลอดภัยรอบนอกและความปลอดภัยภายใน

  • เมื่อองค์กรต่างๆ ผลักดันแอปพลิเคชันต่างๆ ไปยังเครือข่ายภายนอกมากขึ้น และรวมเวิร์กโหลดไว้ในศูนย์ข้อมูลที่ใช้ร่วมกัน ช่องว่างระหว่างระบบป้องกันภายนอกและสถาปัตยกรรมไฟร์วอลล์ภายในจึงกลายเป็นความเสี่ยงทางธุรกิจที่แท้จริง การพึ่งพาไฟร์วอลล์ที่เชื่อมต่อกับอินเทอร์เน็ตเพียงตัวเดียว ในขณะที่การรับส่งข้อมูลระหว่างเครือข่ายภายในและภายนอกยังไม่ได้รับการตรวจสอบอย่างทั่วถึง ทำให้การเคลื่อนย้ายข้อมูลในแนวนอน การเชื่อมต่อสาขา และการแบ่งส่วนเครือข่ายภายในองค์กรมีความเสี่ยง โดยเฉพาะอย่างยิ่งเมื่อ VPN การทำงานระยะไกล และคลาวด์แบบไฮบริดขยายพื้นที่การโจมตีให้กว้างขึ้น

    บทความนี้มุ่งเน้นไปที่วิธีการสร้างโครงสร้างสถาปัตยกรรมแบบหลายชั้นที่ผสมผสานไฟร์วอลล์รอบนอกที่แข็งแกร่งเข้ากับการแบ่งส่วนภายในที่มีประสิทธิภาพ แทนที่จะเลือกอย่างใดอย่างหนึ่ง เราจะสำรวจว่าเมื่อใดควรให้ความสำคัญกับแพลตฟอร์มการเชื่อมต่ออินเทอร์เน็ตที่ขอบเครือข่ายและแพลตฟอร์มการสิ้นสุด VPN ไฟร์วอลล์การแบ่งส่วนภายในให้คุณค่าสูงสุดในสถานการณ์ใด และวิธีการปรับใช้ตัวเลือกจากผู้จำหน่ายหลายราย เช่น Cisco, Juniper และ Huawei ให้เข้ากับสถานการณ์เฉพาะของวิทยาเขต สาขา และศูนย์ข้อมูล

การออกแบบไฟร์วอลล์แบบสมดุลระหว่างไฟร์วอลล์ภายนอกและภายใน

การวางตำแหน่งตัวควบคุมไว้ที่ขอบเครือข่ายหรือภายในเครือข่ายส่งผลกระทบต่อประสิทธิภาพ ต้นทุน ความซับซ้อน และความสามารถในการพัฒนาของสถาปัตยกรรม

การออกแบบไฟร์วอลล์แบบสมดุลระหว่างไฟร์วอลล์ภายนอกและภายใน

  • การกำหนดขนาดความจุของไฟร์วอลล์แบบ Edge เทียบกับไฟร์วอลล์ภายใน

    การประเมินปริมาณงาน จำนวนเซสชัน และภาระของ VPN ที่ไม่ถูกต้อง ส่งผลให้เกิดปัญหาคอขวดที่บริเวณขอบเขต หรือจุดบอดในการควบคุมการรับส่งข้อมูลระหว่างตะวันออกและตะวันตก

  • การผสานรวมโดเมนไฟร์วอลล์ที่แตกต่างกัน

    การผสมผสานไฟร์วอลล์ที่ขอบเครือข่ายอินเทอร์เน็ต ไฟร์วอลล์ภายในวิทยาเขต และไฟร์วอลล์ในศูนย์ข้อมูล ทำให้เกิดการทับซ้อนของนโยบาย การกำหนดเส้นทางที่ไม่สมมาตร และการควบคุมการเปลี่ยนแปลงที่ซับซ้อน

  • การพัฒนาจากสถาปัตยกรรมแบบแบนราบไปสู่สถาปัตยกรรมแบบแบ่งส่วน

    การเปลี่ยนจากโมเดลที่เน้นเฉพาะขอบเขตภายนอกไปสู่การแบ่งโซนภายในอย่างละเอียด จะส่งผลกระทบต่อแอปพลิเคชันเดิมและสร้างภาระให้กับการดำเนินงานหากไม่มีเส้นทางการย้ายข้อมูลที่ชัดเจน

การเปรียบเทียบสถาปัตยกรรมไฟร์วอลล์แบบรอบนอกกับแบบภายใน

เปรียบเทียบบทบาทของไฟร์วอลล์ภายนอกและภายใน เพื่อออกแบบระบบรักษาความปลอดภัยแบบหลายชั้นที่เหมาะสมกับรูปแบบการรับส่งข้อมูล โปรไฟล์ความเสี่ยง และแผนการเติบโตของคุณ

คุณสมบัติ (Feature) สถาปัตยกรรมไฟร์วอลล์รอบนอก สถาปัตยกรรมไฟร์วอลล์การแบ่งส่วนภายใน
ระบบทำความร้อนแบบหลายชั้นรอบนอก + ภายใน (แนะนำ)
 ผลลัพธ์สำหรับคุณ
ความเหมาะสมในการใช้งานหลัก ไฟร์วอลล์ Cisco Perimeter Firewalls ติดตั้งที่ขอบเครือข่ายอินเทอร์เน็ตเพื่อรองรับการรับส่งข้อมูลระหว่างเครือข่ายเหนือและใต้ การยุติการเชื่อมต่อ VPN และการป้องกันการเชื่อมต่อระหว่างสาขาและสำนักงานใหญ่ ไฟร์วอลล์แบ่งส่วนภายในของ Juniper สำหรับการรับส่งข้อมูลระหว่างตะวันออกและตะวันตก เครือข่าย VLAN ในวิทยาเขต และโซนความปลอดภัยของศูนย์ข้อมูล ระบบรักษาความปลอดภัยเครือข่ายภายนอกของ Cisco ร่วมกับระบบแบ่งส่วนเครือข่ายภายในของ Juniper โดยอาจเสริมด้วย Huawei USG สำหรับไซต์ในภูมิภาคต่างๆ จัดวางระบบควบคุมให้สอดคล้องกับทิศทางการจราจรและบทบาท เพื่อลดจุดบอดแทนที่จะพึ่งพาจุดคอขวดเพียงจุดเดียว
ความครอบคลุมและความลึกของระบบรักษาความปลอดภัย การป้องกันขอบเครือข่ายที่แข็งแกร่ง การลดผลกระทบจาก DoS การเข้าถึงระยะไกล และ VPN ระหว่างไซต์; การมองเห็นที่จำกัดเมื่อทราฟฟิกเข้ามาภายในแล้ว การควบคุมการเคลื่อนที่ด้านข้างแบบละเอียด การกำหนดกฎตามผู้ใช้/โซน การแยกภาระงาน และลดความสำคัญของภัยคุกคามทางอินเทอร์เน็ต การครอบคลุมอย่างเต็มรูปแบบ: เครือข่ายอินเทอร์เน็ตส่วนปลาย เครือข่ายสาขา และโซนภายในองค์กร พร้อมนโยบายแบบหลายชั้นที่ปรับให้เหมาะสมกับความเสี่ยงของแต่ละโซน ช่วยลดรัศมีการระเบิดจากการบุกรุกได้อย่างมาก ในขณะที่ยังคงรักษาการป้องกันภายนอกที่แข็งแกร่งเพื่อการปฏิบัติตามข้อกำหนดและแอปพลิเคชันที่สำคัญ
ความซับซ้อนและการดำเนินงานของเครือข่าย นโยบายอาจดูเรียบง่ายกว่า แต่ชุดกฎอาจซับซ้อนและดูแลรักษายากขึ้นเมื่อแอปพลิเคชันทางธุรกิจเติบโตขึ้น การเพิ่มจำนวนวัตถุและโซนกฎเกณฑ์ จำเป็นต้องมีการบูรณาการที่ใกล้ชิดยิ่งขึ้นกับการออกแบบเครือข่ายและสินค้าคงคลัง การกำหนดระดับนโยบายอย่างเป็นระบบ: การแบ่งแยกที่ชัดเจนระหว่างส่วนปลายน้ำและส่วนภายใน ช่วยให้การจัดการวงจรชีวิตและการเปลี่ยนแปลงง่ายขึ้น ลดปัญหาการขัดแย้งของกฎเกณฑ์ รูปแบบการเป็นเจ้าของที่ชัดเจนยิ่งขึ้น และการตรวจสอบที่ราบรื่นขึ้น แม้จะมีอุปกรณ์โดยรวมมากขึ้นก็ตาม
ประสิทธิภาพและความสามารถในการขยายขนาด ออกแบบมาเพื่อการใช้งานที่ต้องการปริมาณข้อมูลสูงบริเวณขอบเครือข่าย ปรับขนาดได้ง่ายโดยการอัปเกรดแพลตฟอร์ม ASA/FTD ที่บริเวณขอบเขตเครือข่ายเท่านั้น ปรับขนาดตามจำนวนส่วนภายใน จำเป็นต้องมีการวางแผนกำลังการผลิตอย่างรอบคอบเมื่อโซนและภาระการใช้งานในทิศตะวันออก-ตะวันตกเพิ่มขึ้น สามารถปรับขนาดได้อย่างอิสระทั้งที่ขอบเครือข่ายและภายในเครือข่าย สามารถผสมผสาน SKU ต่างๆ (ASA55xx, SRX3xx/4xxx, Huawei USG63xx/66xx) ตามบทบาทของแต่ละไซต์ได้ การลงทุนด้าน CAPEX ที่เหมาะสม: หลีกเลี่ยงการติดตั้งอุปกรณ์ขนาดใหญ่เกินไปสำหรับอุปกรณ์ทุกชิ้นทุกหน้าที่ ควรขยายขนาดเฉพาะเมื่อปริมาณการใช้งานและความเสี่ยงต้องการเท่านั้น
รายละเอียดต้นทุนและต้นทุนรวมในการเป็นเจ้าของ (TCO) ค่าใช้จ่ายเริ่มต้นต่ำกว่าสำหรับสภาพแวดล้อมขนาดเล็ก; มีความเสี่ยงที่จะเกิดการหยุดชะงักที่ costly หากใช้งานเกินกำลังหรือใช้เพื่อการควบคุมภายในอย่างไม่เหมาะสม ต้องใช้ความพยายามในการออกแบบและจำนวนอุปกรณ์มากขึ้นในขั้นต้น ส่งผลให้ผลตอบแทนจากการลงทุนดีขึ้นในกรณีที่ความเสี่ยงด้านการปฏิบัติตามกฎระเบียบและภัยคุกคามจากภายนอกสูง การใช้จ่ายอย่างสมดุล: ไซต์สำคัญควรได้รับทั้งสองชั้น ส่วนสาขาขนาดเล็กสามารถเริ่มต้นด้วยการติดตั้งระบบรักษาความปลอดภัยภายนอกก่อน แล้วค่อยเพิ่มระบบรักษาความปลอดภัยภายในในภายหลัง อัตราส่วนความปลอดภัยต่อต้นทุนที่ดีขึ้น และเส้นทางการเติบโตที่คาดการณ์ได้ แทนที่จะต้องรื้อและเปลี่ยนใหม่ซ้ำแล้วซ้ำเล่าที่ส่วนปลายของระบบ
การปฏิบัติตามและการกำกับดูแล ช่วยตอบสนองความต้องการพื้นฐานด้านเครือข่ายรอบนอกและ VPN แต่Hอาจไม่เพียงพอต่อข้อกำหนดการแบ่งส่วนภายใน รองรับการแบ่งส่วนข้อมูลตามมาตรฐาน PCI, HIPAA และ Zero Trust โดยแบ่งตามหน่วยธุรกิจ ระดับแอปพลิเคชัน และระดับความละเอียดอ่อนของข้อมูล ผสานการควบคุมขอบเขตภายนอกเข้ากับการแบ่งส่วนภายในตามข้อกำหนด และการออกแบบโซนที่เอื้อต่อการตรวจสอบ ช่วยให้การปฏิบัติตามกฎระเบียบเป็นไปอย่างรวดเร็วขึ้น และรวบรวมหลักฐานได้ง่ายขึ้นสำหรับหน่วยงานกำกับดูแลและการประเมินความปลอดภัยของลูกค้า
สถานการณ์ที่เหมาะสมที่สุด ธุรกิจขนาดกลางและขนาดย่อมที่มีสถานที่ตั้งเดียว การใช้งาน SaaS ที่เรียบง่าย ความเสี่ยงด้านการขนส่งระหว่างตะวันออกและตะวันตกในระดับจำกัด หรือเครือข่ายที่อยู่ในช่วงเริ่มต้น เครือข่ายภายในมหาวิทยาลัย ศูนย์ข้อมูลหลายระดับ และองค์กรที่กังวลเกี่ยวกับความเสี่ยงจากบุคคลภายในหรือการเคลื่อนย้ายข้อมูลข้ามเครือข่าย เหมาะสำหรับองค์กรที่กำลังเติบโต สภาพแวดล้อมที่มีสำนักงานใหญ่/สาขา/ศูนย์ข้อมูลกระจายอยู่ทั่ว หรือการเปลี่ยนผ่านไปสู่ระบบรักษาความปลอดภัยแบบ Zero Trust/Defense-in-Deep ทุกรูปแบบ สถาปัตยกรรมที่พร้อมรับมือกับอนาคต สามารถเริ่มต้นจากขนาดเล็กและค่อยๆ พัฒนาไปเรื่อยๆ ลดความจำเป็นในการออกแบบใหม่เมื่อพื้นที่ใช้งานขยายใหญ่ขึ้น
คำแนะนำในการตัดสินใจ เลือกใช้วิธีที่เหมาะสมเมื่อมีงบประมาณจำกัด สภาพแวดล้อมไม่ซับซ้อน และคุณยอมรับความเสี่ยงภายในที่สูงขึ้นได้ เลือกช่วงเวลาที่มูลค่าข้อมูลภายในและความต้องการด้านการปฏิบัติตามกฎระเบียบ justifies การลงทุนในการแบ่งกลุ่มข้อมูลที่ลึกซึ้งยิ่งขึ้น เลือกเมื่อคุณต้องการการป้องกันเชิงกลยุทธ์แบบหลายชั้น โดยใช้ Cisco ที่ขอบเครือข่าย ร่วมกับ Juniper/Huawei ภายในเครือข่าย แผนงานที่เป็นระบบ ตั้งแต่การรักษาความปลอดภัยระดับขอบเครือข่ายที่ “ดีพอ” ไปจนถึงสถาปัตยกรรมไฟร์วอลล์แบบหลายชั้นที่สมบูรณ์ ซึ่งสอดคล้องกับความเสี่ยงทางธุรกิจ

ต้องการความช่วยเหลือหรือไม่? ผู้เชี่ยวชาญด้านเทคนิคพร้อมให้บริการแล้ว

  • +1-626-655-0998 (สหรัฐอเมริกา)
    เวลาสากลเชิงพิกัด 15:00-00:00 น.
  • +852-2592-5389 (ฮ่องกง)
    เวลาสากลเชิงพิกัด 00:00-09:00 น.
  • +852-2592-5411 (ฮ่องกง)
    เวลาสากลเชิงพิกัด 06:00-15:00 น.
ขอรับใบเสนอราคา
แชทสด
ต้องการความช่วยเหลือหรือไม่? ผู้เชี่ยวชาญด้านเทคนิคพร้อมให้บริการแล้ว

กรณีการใช้งานไฟร์วอลล์ภายนอกและภายใน

ไฟร์วอลล์รอบนอกและไฟร์วอลล์แบ่งส่วนภายในเหมาะสมที่สุดกับสถาปัตยกรรมองค์กรและผู้ให้บริการในโลกแห่งความเป็นจริงอย่างไร

การรักษาความปลอดภัยขอบอินเทอร์เน็ตสำหรับสำนักงานใหญ่และศูนย์ข้อมูล

การรักษาความปลอดภัยขอบอินเทอร์เน็ตสำหรับสำนักงานใหญ่และศูนย์ข้อมูล

  • ติดตั้งไฟร์วอลล์ Cisco เช่น ASA5525-FTD-K9 หรือ ASA5545-FTD-K9 ที่ขอบเครือข่ายอินเทอร์เน็ตขององค์กร เพื่อยุติการเชื่อมต่อ VPN ใช้การป้องกันภัยคุกคามขั้นสูง และบังคับใช้นโยบายการเข้าถึงขาออก
  • ใช้ ASA5585-S10-K9 หรือ ASA5585S60-10K-K9 ในบริเวณขอบเขตของศูนย์ข้อมูลเพื่อตรวจสอบการรับส่งข้อมูลระหว่างทิศเหนือและทิศใต้ เผยแพร่แอปพลิเคชันภายในอย่างปลอดภัย และแยก DMZ ที่เชื่อมต่อกับภายนอกออกจากเครือข่ายหลัก
  • ผสานรวมไฟร์วอลล์ Huawei USG63xx/USG66xx เข้ากับลิงก์อัปของ ISP เพื่อให้การรักษาความปลอดภัยรอบนอกที่ซ้ำซ้อน, NAT และการควบคุมระดับแอปพลิเคชันสำหรับสำนักงานใหญ่หรือศูนย์บริการร่วมที่มีการเชื่อมต่อหลายเครือข่าย
การแบ่งส่วนภายในเครือข่ายวิทยาเขตและสาขา

การแบ่งส่วนภายในเครือข่ายวิทยาเขตและสาขา

  • ติดตั้ง Juniper SRX300 หรือ SRX345 เป็นไฟร์วอลล์แบ่งส่วนภายในระหว่าง VLAN ของผู้ใช้, VLAN ของเซิร์ฟเวอร์ และเครือข่าย OT เพื่อจำกัดการเคลื่อนย้ายข้ามเครือข่ายและบังคับใช้นโยบาย Zero Trust
  • ใช้ Huawei USG6310-BDL-AC หรือ USG6320-BDL-AC เป็นไฟร์วอลล์ระดับกระจายสัญญาณในวิทยาเขตขนาดกลาง เพื่อแยกแผนกต่างๆ ใช้กฎการเข้าถึงตามตัวตน และบันทึกการรับส่งข้อมูลระหว่างเซิร์ฟเวอร์ (east-west traffic)
  • ติดตั้ง Juniper SRX1500-AC หรือ SRX4200-SYS-JB-AC ในสาขาขนาดใหญ่เพื่อแบ่งโซนสำหรับแขก องค์กร และพันธมิตร โดยส่งเฉพาะข้อมูลที่จำเป็นผ่านเกตเวย์รอบนอกที่ใช้ Cisco ASA เท่านั้น
ระบบรักษาความปลอดภัยหลายระดับสำหรับระบบไฮบริดและการเข้าถึงระยะไกล

ระบบรักษาความปลอดภัยหลายระดับสำหรับระบบไฮบริดและการเข้าถึงระยะไกล

  • ยุติการเชื่อมต่อ VPN IPsec และ SSL ขนาดใหญ่บน Cisco ASA5525-FPWR-K9 หรือ ASA5545-FPWR-K9 ที่ขอบเครือข่าย จากนั้นส่งผ่านเฉพาะทราฟฟิกที่เชื่อถือได้และถอดรหัสแล้วไปยังเซ็กเมนต์ Juniper SRX ภายใน เพื่อการควบคุมผู้ใช้และแอปพลิเคชันอย่างละเอียด
  • ใช้ Huawei USG6620-BDL-AC หรือ USG6630-BDL-AC ที่บริเวณขอบเขตของตัวเชื่อมต่อคลาวด์แบบไฮบริด ในขณะที่เกตเวย์ Juniper SRX2300 ทำหน้าที่แยกส่วนแอปพลิเคชันและฐานข้อมูลภายในศูนย์ข้อมูล
  • ออกแบบศูนย์กลางระดับภูมิภาคโดยใช้คลัสเตอร์ Cisco ASA5585-S10-5K-K9 เพื่อรักษาความปลอดภัยของอุโมงค์ VPN ที่เชื่อมต่อกับอินเทอร์เน็ตและพันธมิตร ในขณะที่ Huawei USG6360-BDL-AC หรือ USG6370-BDL-AC จะแบ่งส่วนบริการภายในที่เข้าถึงโดยผู้ใช้ระยะไกลและผู้ใช้ SaaS
การแยกการทำงานตามข้อกำหนดสำหรับภาระงานที่อยู่ภายใต้การกำกับดูแล

การแยกการทำงานตามข้อกำหนดสำหรับภาระงานที่อยู่ภายใต้การกำกับดูแล

  • ติดตั้ง Juniper SRX4200-SYS-JB-AC เป็นไฟร์วอลล์ภายในสำหรับโซนข้อมูล PCI, การดูแลสุขภาพ หรือการเงิน ในขณะที่ไฟร์วอลล์ Cisco ASA ทำหน้าที่ควบคุมการเข้าและออกของเครือข่ายภายนอก
  • ใช้สวิตช์ Huawei USG6380-BDL-AC หรือ USG66xx series เพื่อสร้างโซนความปลอดภัยที่แยกจากกันอย่างเป็นระบบสำหรับเครือข่ายการผลิต การทดสอบ และการจัดการ โดยบังคับใช้ชุดกฎที่เข้มงวดและการบันทึกข้อมูลระหว่างแต่ละโซน
  • ผสานรวมซีรี่ส์ ASA5585 สำหรับการตรวจสอบขอบเขตที่มีประสิทธิภาพสูงเข้ากับ SRX1500-AC หรือ SRX2300 ภายในศูนย์ข้อมูล เพื่อใช้การควบคุมแบบหลายชั้นที่สอดคล้องกับ ISO 27001, PCI DSS หรือกรอบข้อบังคับในท้องถิ่น
ระบบรักษาความปลอดภัยที่ปรับขนาดได้สำหรับธุรกิจขนาดกลางและขนาดย่อม รวมถึงองค์กรที่กำลังเติบโต

ระบบรักษาความปลอดภัยที่ปรับขนาดได้สำหรับธุรกิจขนาดกลางและขนาดย่อม รวมถึงองค์กรที่กำลังเติบโต

  • เริ่มต้นด้วย Huawei USG6310-BDL-AC หรือ USG6330-BDL-AC ซึ่งทำหน้าที่เป็นทั้งอุปกรณ์ป้องกันขอบเครือข่ายอินเทอร์เน็ตและไฟร์วอลล์ภายในพื้นฐานสำหรับสำนักงานขนาดเล็ก จากนั้นค่อยเพิ่มไฟร์วอลล์ภายใน Juniper SRX แยกต่างหากเมื่อเครือข่ายเติบโตขึ้น
  • ใช้ Juniper SRX300 ที่สาขาเพื่อแบ่งส่วนเครือข่ายในพื้นที่และเชื่อมต่อ VPN กลับไปยังสำนักงานใหญ่ ซึ่ง Cisco ASA5525-FTD-K9 จะรวมอุโมงค์เครือข่ายของสาขาและปกป้องการเข้าถึงอินเทอร์เน็ตที่ใช้ร่วมกัน
  • ออกแบบสภาพแวดล้อมระดับกลางที่ใช้ Huawei USG6360-BDL-AC ในสำนักงานใหญ่เพื่อการป้องกันโดยรอบ ในขณะที่ใช้หน่วย SRX345 หรือ SRX1500-AC สร้างโซนปลอดภัยสำหรับ ERP บริการไฟล์ และแพลตฟอร์มการทำงานร่วมกัน

คำถามที่พบบ่อย (FAQs)

ฉันจะตัดสินใจเลือกระหว่างไฟร์วอลล์ภายนอกและไฟร์วอลล์ภายในสำหรับการใช้งานครั้งแรกได้อย่างไร?

  • ในการติดตั้งระบบใหม่หรือระบบสำหรับธุรกิจขนาดกลางและขนาดย่อมส่วนใหญ่ ไฟร์วอลล์ของ Cisco เช่น ASA5525-FTD-K9 หรือ ASA5545-FTD-K9 ที่ติดตั้งบริเวณขอบเครือข่ายอินเทอร์เน็ต ถือเป็นจุดเริ่มต้น เนื่องจากทำหน้าที่ยุติการเชื่อมต่อ VPN ป้องกันบริการที่เปิดให้บุคคลภายนอกเข้าถึง และรวมศูนย์การควบคุมการเข้าถึงจากภายนอก
  • หากคุณมีไฟร์วอลล์ขอบเครือข่ายอินเทอร์เน็ตอยู่แล้ว และสิ่งที่คุณกังวลหลักๆ คือการเข้าถึงข้อมูลภายในเครือข่าย LAN หรือศูนย์ข้อมูล ไฟร์วอลล์แบ่งส่วนภายในของ Juniper เช่น SRX345, SRX1500-AC หรือ SRX4200-SYS-JB-AC มักจะถูกเพิ่มเข้าไปหลังขอบเขตเครือข่ายเพื่อสร้างโซนความปลอดภัยสำหรับแผนกต่างๆ ปริมาณงาน หรือขอบเขตการปฏิบัติตามข้อกำหนด
  • ชิปเซ็ต Huawei USG6300/USG6600 ซีรีส์ (เช่น USG6330-BDL-AC หรือ USG6620-BDL-AC) สามารถติดตั้งได้ทั้งที่ขอบเครือข่ายหรือภายในเครือข่าย เมื่อคุณต้องการระบบรักษาความปลอดภัยแบบรวมศูนย์จากผู้ผลิต และการปกป้องหลายชั้นภายในระบบปฏิบัติการเดียวกัน
  • หลักปฏิบัติที่สำคัญคือ เริ่มต้นด้วยการป้องกันบริเวณรอบนอกที่มีความเสี่ยงและการเปิดเผยข้อมูลสูงที่สุด จากนั้นจึงค่อยเพิ่มไฟร์วอลล์ภายในเมื่อคุณเพิ่มแอปพลิเคชันที่มีความสำคัญ ความต้องการด้านการปฏิบัติตามกฎระเบียบ หรือไซต์หลายแห่งที่ต้องการโซนความเชื่อถือที่แตกต่างกัน ทีมงานของเราสามารถตรวจสอบโครงสร้างเครือข่ายของคุณและเสนอสถาปัตยกรรมแบบเป็นขั้นตอนตามปริมาณการรับส่งข้อมูลและแผนการเติบโตได้

ไฟร์วอลล์รุ่นใดบ้างที่เหมาะสมกับปริมาณข้อมูลและความต้องการ VPN ของฉันที่บริเวณขอบเครือข่ายอินเทอร์เน็ต?

  • สำหรับสำนักงานใหญ่หรือสำนักงานภูมิภาคขนาดเล็กและขนาดกลาง Cisco ASA5525-FTD-K9 และ ASA5525-FPWR-K9 เป็นตัวเลือกที่นิยมใช้เมื่อคุณต้องการการเชื่อมต่ออินเทอร์เน็ตที่ปลอดภัย และ VPN ระหว่างไซต์หรือการเข้าถึงระยะไกลในระดับปานกลาง
  • สำหรับการใช้งานพร้อมกันจำนวนมาก การเชื่อมต่อ WAN หลายลิงก์ หรือการกระจายตัวของ VPN ที่หนาแน่นขึ้นที่ขอบเครือข่าย มักจะมีการประเมิน Cisco ASA5545-FTD-K9, ASA5545-FPWR-K9 หรือรุ่น ASA5585 ระดับสูง เช่น ASA5585-S10-K9 และ ASA5585S60-10K-K9 ทั้งนี้ขึ้นอยู่กับจำนวนผู้ใช้และส่วนแบ่งการรับส่งข้อมูลที่เข้ารหัสที่คาดการณ์ไว้
  • หากคุณต้องการออกแบบโดยเน้นการแบ่งส่วนภายในเป็นหลัก แต่ยังคงต้องการความสามารถในการป้องกันขอบเขตบางส่วน คุณสามารถติดตั้ง Juniper SRX1500-AC หรือ JNP:SRX2300 ไว้ที่ศูนย์ข้อมูลหรือแกนหลักของวิทยาเขต โดยมีอุปกรณ์ที่เชื่อมต่อกับ ISP ต้นทาง แต่คุณต้องตรวจสอบประสิทธิภาพของ VPN ให้ตรงกับความต้องการสูงสุดของ IPSec และ SSL ของคุณด้วย
  • สำหรับสภาพแวดล้อมที่รวมโซนรอบนอกและโซนภายในไว้ภายใต้ผู้จำหน่ายรายเดียว สวิตช์ Huawei USG6360-BDL-AC, USG6370-BDL-AC หรือ USG6620-BDL-AC มักถูกนำไปใช้กับไซต์ขนาดกลางถึงขนาดใหญ่ แต่คุณควรเลือกขนาดสวิตช์โดยใช้ข้อมูลพื้นฐานการรับส่งข้อมูลจริง อัตราการเข้ารหัส และบริการรักษาความปลอดภัยที่เปิดใช้งาน เช่น IPS และการกรอง URL

ฉันสามารถใช้ไฟร์วอลล์ภายนอกของ Cisco ร่วมกับไฟร์วอลล์ภายในของ Juniper หรือ Huawei ในเครือข่ายเดียวกันได้หรือไม่?

  • ใช่แล้ว สถาปัตยกรรมแบบผสมผสานอุปกรณ์จากหลายผู้ผลิตเป็นเรื่องปกติ เช่น Cisco ASA5525-FTD-K9, ASA5545-FTD-K9 หรือ ASA5585-S10-5K-K9 ที่ขอบเครือข่ายอินเทอร์เน็ต โดยมี Juniper SRX345, SRX1500-AC หรือ SRX4200-SYS-JB-AC ทำหน้าที่จัดการการแบ่งส่วนภายใน หรือหน่วย Huawei USG63xx/USG66xx ทำหน้าที่ปกป้องโซนเฉพาะของวิทยาเขตหรือศูนย์ข้อมูล
  • จุดสำคัญในการทำงานร่วมกัน ได้แก่ การกำหนดเส้นทาง (แบบคงที่, OSPF, BGP), การทำงานร่วมกันของ VPN (พารามิเตอร์ IPSec, โปรไฟล์ IKE) และการบันทึกข้อมูลหรือการรวมเข้ากับ SIEM ผู้จำหน่ายทั้งสามรายปฏิบัติตามมาตรฐานอุตสาหกรรม แต่จำเป็นต้องมีการจัดเรียงเทมเพลตอย่างระมัดระวังเพื่อหลีกเลี่ยงความล้มเหลวในการเจรจาหรือการกำหนดเส้นทางที่ไม่สมมาตร
  • เมื่อคุณออกแบบสถาปัตยกรรมแบบแยกส่วน คุณควรระบุว่าแพลตฟอร์มใดเป็น "แหล่งข้อมูลหลัก" สำหรับกลุ่มวัตถุ นโยบาย NAT และการแบ่งโซนความปลอดภัย จากนั้นจัดทำเอกสารกฎระหว่างโซนระหว่างขอบเขตและแต่ละส่วนภายในเพื่อหลีกเลี่ยงช่องว่างของนโยบายหรือการทับซ้อนของกฎ
  • หากทีมของคุณขาดผู้เชี่ยวชาญด้านระบบจากหลายผู้จำหน่ายภายในองค์กร คุณสามารถขอคำแนะนำด้านการออกแบบและการกำหนดค่าได้ภายใต้บริการของเรา การสนับสนุน CCIE ฟรี เพื่อให้มั่นใจว่าอุปกรณ์ของ Cisco, Juniper และ Huawei สามารถทำงานร่วมกันได้อย่างสม่ำเสมอและได้รับการตรวจสอบความถูกต้องก่อนการเริ่มใช้งานจริง โปรดทราบ: เงื่อนไขการรับประกันและบริการสนับสนุนเฉพาะอาจแตกต่างกันไปตามผลิตภัณฑ์และภูมิภาค สำหรับรายละเอียดที่ถูกต้อง โปรดดูข้อมูลอย่างเป็นทางการ หากมีข้อสงสัยเพิ่มเติม โปรดติดต่อ: router-switch.com.

ความเสี่ยงหลักในการติดตั้งไฟร์วอลล์ภายในหลังระบบรักษาความปลอดภัยที่มีอยู่แล้วมีอะไรบ้าง?

  • ความเสี่ยงที่พบบ่อยที่สุดเมื่อติดตั้งไฟร์วอลล์ภายใน เช่น Juniper SRX300, SRX345, SRX1500-AC หรือ Huawei USG6310-BDL-AC และ USG6330-BDL-AC ไว้ด้านหลัง ASA ที่ขอบเครือข่ายอินเทอร์เน็ต คือ วงวนการกำหนดเส้นทาง เส้นทางที่ไม่สมมาตร และการปิดกั้นการไหลของข้อมูลระหว่างตะวันออก-ตะวันตกโดยไม่คาดคิดเนื่องจากกฎที่เข้มงวดเกินไป
  • ในสถาปัตยกรรมแบบหลายระดับ คุณควรเริ่มใช้งานด้วยโซนเสมือนหรือโซนทดสอบก่อน จำลองพฤติกรรม ACL ปัจจุบันบนไฟร์วอลล์ภายในใหม่ แล้วค่อยเข้มงวดนโยบายต่อเซ็กเมนต์ การแบ่งไมโครเซ็กเมนต์อย่างกะทันหันโดยไม่กำหนดพื้นฐานของการไหลของแอปพลิเคชันปกติเป็นสาเหตุที่ทำให้เกิดการหยุดชะงักบ่อยครั้ง
  • การติดตั้งอุปกรณ์แบบอินไลน์อาจต้องใช้เวลาหยุดทำงานชั่วคราวเพื่อเดินสายใหม่หรือกำหนดที่อยู่เกตเวย์ VLAN ใหม่ โดยเฉพาะอย่างยิ่งเมื่อคุณย้ายเกตเวย์เริ่มต้นจากสวิตช์ L3 ไปยังไฟร์วอลล์ภายใน ดังนั้นช่วงเวลาในการเปลี่ยนแปลงและแผนการย้อนกลับจะต้องตกลงกับผู้เกี่ยวข้องทั้งหมดล่วงหน้า
  • เพื่อลดความเสี่ยง เราขอแนะนำให้ใช้กลุ่มนำร่อง (หน่วยธุรกิจหนึ่งหน่วยหรือแอปพลิเคชันที่ไม่สำคัญ) เพื่อตรวจสอบความถูกต้องของนโยบายและการบันทึกข้อมูลของ SRX หรือ USG จากนั้นจึงกำหนดรูปแบบมาตรฐานเมื่อคุณขยายการแบ่งส่วนไปยังส่วนต่างๆ ของวิทยาเขตหรือศูนย์ข้อมูลให้ลึกยิ่งขึ้น

อย่างไร Router-switch.com คุณจัดการสต็อก การจัดส่ง และสถานะวงจรชีวิตของไฟร์วอลล์เหล่านี้อย่างไร?

  • ระดับสต็อกของรุ่น Cisco ASA (เช่น ASA5525-FTD-K9, ASA5585-S10-K9), ซีรี่ส์ Juniper SRX (SRX300, SRX345, JNP:SRX2300) และซีรี่ส์ Huawei USG (USG6360-BDL-AC, USG6620-BDL-AC และอื่นๆ) อาจแตกต่างกันไป ระยะเวลานำส่งขึ้นอยู่กับความพร้อมของสินค้าจริง ณ เวลาที่สั่งซื้อ และอาจเปลี่ยนแปลงได้ตามการกำหนดค่าและปริมาณ
  • ตัวเลือกการจัดส่งและระยะเวลาการขนส่งจะได้รับผลกระทบจากประเทศปลายทาง ผู้ให้บริการขนส่งที่เลือก และกระบวนการศุลกากร สำหรับสินค้าที่มีอยู่ในสต็อก การจัดส่งและการส่งมอบมักจะดำเนินการให้เร็วที่สุดเท่าที่จะเป็นไปได้ ขึ้นอยู่กับความพร้อมของสินค้าและการปฏิบัติตามกฎระเบียบการส่งออก/นำเข้า คุณสามารถตรวจสอบรายละเอียดเพิ่มเติมได้ในส่วน "ข้อมูลผลิตภัณฑ์" วิธีการจัดส่ง และ ภาษีและอากรศุลกากร คำแนะนำ
  • เนื่องจาก Cisco ASA55xx และ ASA5585 บางรุ่นอยู่ในช่วงปลายวงจรชีวิตผลิตภัณฑ์แล้ว เราขอแนะนำอย่างยิ่งให้คุณตรวจสอบสถานะของรุ่นกับทางเรา ตัวตรวจสอบ EOL / EOSL และควรพิจารณาทางเลือกที่พร้อมสำหรับการย้ายระบบ หากคุณวางแผนสถาปัตยกรรมไฟร์วอลล์รอบนอกหรือภายในในระยะยาว
  • สำหรับโครงการแบ่งส่วนภายในเชิงกลยุทธ์ การผสานสถานะวงจรชีวิตเข้ากับแผนงานของคุณจะช่วยหลีกเลี่ยงการล็อกโซนสำคัญไว้กับฮาร์ดแวร์ที่กำลังจะหมดระยะเวลาการสนับสนุน ซึ่งจะช่วยให้การวางแผนการอัปเกรดและการบำรุงรักษาในอนาคตง่ายขึ้น

ในการใช้งานสถาปัตยกรรมที่มีไฟร์วอลล์หลายตัว ควรวางแผนเรื่องการสนับสนุน การรับประกัน และตัวเลือกการส่งคืนสินค้าอย่างไรบ้าง?

  • เมื่อคุณติดตั้งระบบรักษาความปลอดภัยหลายชั้น เช่น Cisco ASA ที่บริเวณรอบนอก ควบคู่ไปกับ Juniper SRX หรือ Huawei USG ภายในองค์กร สิ่งสำคัญคือต้องตรวจสอบให้แน่ใจว่าการรับประกันของผู้จำหน่ายสอดคล้องกับข้อตกลงระดับบริการ (SLA) ภายในองค์กรของคุณ เนื่องจากรุ่นและภูมิภาคต่างๆ อาจมีระยะเวลาการรับประกันพื้นฐานและตัวเลือกการบริการเพิ่มเติมที่แตกต่างกัน ดังนั้นคุณควรตรวจสอบเงื่อนไขเฉพาะของแต่ละ SKU ก่อนที่จะสรุปการออกแบบของคุณ
  • Router-switch.com สามารถให้ความช่วยเหลือในการตรวจสอบสถาปัตยกรรมก่อนการขายและคำแนะนำในการกำหนดค่าภายใต้โครงการของเรา การสนับสนุน CCIE ฟรีในขณะที่การรับประกันฮาร์ดแวร์และการบริการหลังการขายเป็นไปตามนโยบายที่เราได้ประกาศไว้ นโยบายการรับประกันโปรดทราบ: เงื่อนไขการรับประกันและบริการสนับสนุนเฉพาะอาจแตกต่างกันไปตามผลิตภัณฑ์และภูมิภาค สำหรับรายละเอียดที่ถูกต้อง โปรดดูข้อมูลอย่างเป็นทางการ หากมีข้อสงสัยเพิ่มเติม โปรดติดต่อ: router-switch.com.
  • หากไฟร์วอลล์ภายนอกหรือภายในเกิดความผิดพลาดหรือมีปัญหาในช่วงเริ่มต้นการใช้งาน คุณควรปฏิบัติตามคำแนะนำที่ระบุไว้ในเอกสาร คำแนะนำในการส่งคืน เพื่อให้การวินิจฉัย การตรวจสอบสิทธิ์ RMA และการขนส่งสามารถดำเนินการได้อย่างมีประสิทธิภาพและสอดคล้องกับแผนระยะเวลาการเปลี่ยนแปลงของคุณ
  • ในสถาปัตยกรรมที่มีผู้จำหน่ายหลายราย การกำหนดมาตรฐานการสำรองข้อมูล การกำหนดเวอร์ชันของการกำหนดค่า และกลยุทธ์การจัดหาอะไหล่ในทุกระดับชั้นก็เป็นสิ่งสำคัญเช่นกัน เพื่อให้สามารถเปลี่ยนหรือกู้คืน ASA, SRX หรือ USG ที่เสียหายได้โดยมีการเปลี่ยนแปลงนโยบายให้น้อยที่สุด และไม่กระทบต่อการแบ่งส่วนเครือข่ายภายนอกหรือภายใน

โซลูชั่นเพิ่มเติม

Enterprise SASE Security Architecture Guide

คู่มือสถาปัตยกรรมความปลอดภัย SASE ระดับองค์กร

เรียนรู้วิธีที่ SASE ผสานรวม SD-WAN + ระบบรักษาความปลอดภัยบนคลาวด์ เพื่อลดค่าใช้จ่ายในการดำเนินงาน (OPEX) ลง 40–60% และมอบการเข้าถึงแบบ Zero Trust ที่เป็นหนึ่งเดียวสำหรับองค์กรที่มีสาขากระจายอยู่ทั่วพื้นที่

ซาเซ
Cisco Enterprise Networking Solutions

โซลูชันเครือข่ายองค์กรของ Cisco

ค้นพบโซลูชันเครือข่ายของ Cisco เพื่อขับเคลื่อนการสร้างสรรค์นวัตกรรม เพิ่มความปลอดภัย และลดต้นทุน โดยไม่ต้องประนีประนอม

ระบบเครือข่าย
Campus Network Solutions for Enterprises

โซลูชันเครือข่ายวิทยาเขตสำหรับองค์กร

สร้างเครือข่ายวิทยาเขตที่เชื่อถือได้ ปรับขนาดได้ และมีประสิทธิภาพสูงด้วยโซลูชันครบวงจรของเรา ซึ่งได้รับการออกแบบมาสำหรับองค์กร

เครือข่ายวิทยาเขต
ล็อกอิน
สมัครสมาชิก