智能运维之防火墙战略治理

2018-01-31

随着互联网手艺的一直生长，防火墙作为内网的清静屏障，被大量的使用。防火墙数目的zeng加以及防火墙中清静战略条目的zeng加，清静工程师的运维事情量成倍的zeng长，应用交付wangwang要求防火墙战略能快速设置。用传统的人工方式运维大量的防火墙战略已经变得很是难题。

本ci分享将会先容网络清静运维怎样通过自动化方式，在防火墙数目到达几十台，战略条目重大、多品牌的qing况下，对防火墙战略举行集中式统一化的治理，提升用户查询、申请战略体验，优化申批流程，提升清静工程师效率的同时降低人工堕落概率。

防火墙运维存在的痛点

1. 多品牌

我们在建设基础的清静架构的时间，企业网使用多品牌防火墙是一种普遍qing况。好比金融业有双墙异构的合规要求。差异品牌的防火墙提供差异的功效特征，差异时期、商务因素等缘故原由，导致我们使用了多种品牌的防火墙来知足清静隔离的要求。

2. 数目大

防火墙运维的第二个痛点来自于数目的zeng加，随着互联网手艺的一直生长，网络的规模越来越大，防火墙作为网络的清静屏障在普遍使用，其数目也在响应的zeng加。下图的拓扑图展示了一些较大规模互联网公司或金融型的防火墙部署示意图，体现了界线防护、主要营业系统隔离掩护、办公与生产隔离的一些掩护需求。据我相识使用几台到几十台的企业有许多，也有一些大型整体公司或跨国公司使用数百台防火墙。

3.运维现实历程遇到的问题

用户经常会提出这样的问题，我会见某个资源不通，是不是被墙阻挡了？会见lab 情形有没有墙呀？上午提的申请为什么中午照旧不通呀，测试会见生产是违规的，需要特殊审批，找谁去审批呢？而防火墙清静工程师呢要一遍遍解答用户的疑问，一直与用户相同。同时要人工审核战略需求，编写防火墙设置工艺，在变换窗口登录到防火墙装备下发设置，一直重复这个历程。

防火墙战略治理利器-FireMon

Firemon产物部署在系统中任一IP可达点，用于对防火墙清静战略举行科学系统的治理、剖析、审计。这样，可以越发高效率的治理防火墙设置，保障防火墙清静战略设置的准确性，系统化防火墙设置的变换治理，保障防火墙清静战略的合规性，实时剖析防火墙清静战略的使用状态，优化防火墙的清静战略设置，从而使得防火墙治理的越发系统化、规范化、流程化。优异的全图形化界面将提升治理yuan对清静战略的可视性，这将大大提高治理yuan针对防火墙的清静治理效率。防火墙的治理将变得简朴、高效、准确。

焦点功效先容

实现被治理装备设置统一治理：

现在防火墙装备品牌众多，而且当前系统防火墙异构的要求也越来越高，因此系统中wangwang有许多差异品牌的防火墙装备。这些防火墙装备的治理方式，特殊是设置的名堂均不相同，这给防火墙设置的治理带来了问题，特殊是需要从整个系统全局角度治理防火墙清静战略设置时。Firemon产物能够将所有被治理装备的设置用统一的名堂显示，而且可以将这些差异品牌装备的清静战略设置以统一名堂输出，这大大利便了治理yuan对差异品牌防火墙的统一治理。

传统审查ACl方式

使用FireMon 统一名堂审查

清静战略注解：

通过Security Manager可以为被治理设惫亓清静战略或者ACLzeng加注解。注解信息可包罗战略治理人、逾期时间、战略设置目的、申请部门等。注解可以为中文。gai功效可以对设置的战略举行注解存案，同时FireMon提供了无邪的查询工具，能够凭证战略注解的每项参数的内容举行查询，利便举行维护治理。

注解名堂

清静战略使用率剖析：

FireMon 产物纪录每条清静战略的被使用qing况，而且通过图形化方式显示战略使用率陈诉。通过这个陈诉，你可以审查某台防火墙上清静战略的使用率状态，或者哪些战略是恒久以来没有被使用过。治理yuan通过gai陈诉可以调整防火墙清静战略的顺序，或者删除恒久掷中率为零的清静战略。

冗余战略剖析：

防火墙清静战略设置中通常有大量的无用，或者冗余的清静战略。过多的清静战略严重降低防火墙的性能及效率。通过Firemon产物，治理yuan可审查哪些清静战略是不须要的冗余设置，可以凭证gai陈诉整理多余的清静战略。

清静战略流量剖析及清静战略收敛：

许多防火墙上均会存在一些过于“宽松”的清静战略，包罗允许了过多的IP地址、允许了过多的服务端口，或者直接是’any’类型的清静战略。这不切合清静战略设置的一ban性原则，需要举行“收敛”。通过Firemon产物的Traffic Flow Analysis功效，治理yuan可审查任何一条清静战略的流量详细信息，包罗种种应用的掷中ci数等。治理yuan可以凭证gai陈诉制订越发有针对性、越发准确的清静战略，从而提升防火墙的清静性。

会见路径剖析：

治理yuan可以使用Firemon产物的APA功效，剖析当前网络结构下，以及防火墙战略设置下，系统内的两个节点间的某服务是否可达，并给出可达的详细陈诉，包罗路径、通过的装备、通过的防火墙设眊ai械哪囊惶跽铰缘鹊�。这样，治理yuan能够利便的相识所设置的某条战略是否生效，或者是否需要zeng加新的清静战略来阻止系统内两点间的某项服务。

定制化清静战略查询：

FireMon提供的Insight工具。治理yuan可在Insight界面中，凭证自己的需求，界说种种条件，Insight可凭证治理yuan所指定的条件，查询出效果。在条件中，可指定装备、地址规模、地址类型、用户名、包罗关jian字、服务端口规模等等，并可自由举行组合查询，很是贴近治理yuan现实治理查询的需求。