🥒 🐡 👨🏽‍🎨 क्यों सिस्को AnyConnect सिर्फ एक वीपीएन ग्राहक नहीं है 🆕 💅🏿 👨🏾‍🎓

पिछले हफ्ते मैंने रिमोट एक्सेस और विभिन्न वीपीएन क्लाइंट के विषय पर चर्चा की थी, जिन्हें घर पर काम करने के लिए भेजे गए कर्मचारी के कार्यस्थल में रखा जा सकता है। एक सहयोगी ने "देशभक्त" स्थिति का बचाव किया कि "ग्राहक बिंदुओं" का उपयोग घरेलू एन्क्रिप्टर्स के लिए किया जाना चाहिए। एक और विदेशी वीपीएन समाधान से ग्राहकों के उपयोग पर जोर दिया। मैंने तीसरी स्थिति का पालन किया, जिसमें इस तथ्य को समाहित किया गया था कि इस तरह के समाधान को परिधि एनक्रिप्ट का उपांग नहीं होना चाहिए और वीपीएन गेटवे का क्लाइंट हिस्सा भी नहीं होना चाहिए। यहां तक कि एक उत्पादक कंप्यूटर पर, कई सुरक्षा ग्राहकों को स्थापित करना बिल्कुल सही नहीं है जो विभिन्न कार्यों को हल करेंगे - वीपीएन, पहचान / प्रमाणीकरण, सुरक्षित पहुंच, अनुरूपता मूल्यांकन आदि। आदर्श रूप से, जब ये सभी कार्य, साथ ही साथ अन्य, एक ग्राहक के भीतर संयुक्त होते हैं, जो सिस्टम पर लोड को कम करता है,साथ ही विभिन्न सुरक्षा सॉफ्टवेयरों के बीच असंगति की संभावना है। ऐसा ही एक ग्राहक हैसिस्को AnyConnect , जिनकी क्षमताओं के बारे में मैं संक्षेप में बताना चाहूंगा।

सिस्को AnyConnect सिस्को वीपीएन क्लाइंट का एक तार्किक विकास है, जो पिछले कुछ वर्षों में न केवल Russified है, बल्कि तीन प्रोटोकॉलों में से एक का उपयोग करके कॉर्पोरेट या क्लाउड इन्फ्रास्ट्रक्चर के लिए सुरक्षित रिमोट एक्सेस के लिए कई अलग-अलग सुविधाओं और क्षमताओं से समृद्ध है - टीएलएस, डीटीएलएस और आईपीएसईसी (भी समर्थित) Flexvpn) पहले वाला वीपीएन ग्राहकों के लिए काफी पारंपरिक है और अपने काम के लिए परिवहन के रूप में टीसीपी का उपयोग करता है। हालांकि, टीएलएस के माध्यम से सुरंग बनाने का मतलब है कि टीसीपी-आधारित एप्लिकेशन इसे डुप्लिकेट करेंगे (एक बार टीएलएस के आयोजन के लिए, टीएलएस के अंदर पहले से ही अपने काम के लिए दूसरा)। और UDP- आधारित प्रोटोकॉल ... वैसे भी टीसीपी का उपयोग करेंगे। इससे कुछ देरी हो सकती है, उदाहरण के लिए, मल्टीमीडिया अनुप्रयोगों के लिए, जो दूरस्थ कार्य के लिए बहुत लोकप्रिय हैं। इस समस्या का समाधान डीटीएलएस प्रोटोकॉल का विकास था, जो टीसीपी के बजाय टीएलएस के लिए यूडीपी का उपयोग करता है। AnyConnect टीसीएल और यूडीपी पर आधारित दोनों टीएलएस कार्यान्वयन का समर्थन करता है, जो उन्हें दूरस्थ रूप से काम करने की स्थिति के आधार पर लचीले ढंग से उपयोग करने की अनुमति देता है।आमतौर पर, टीसीपी / 443 या यूडीपी / 443 को फायरवॉल या प्रॉक्सी पर अनुमति दी जाती है, और इसलिए टीएलएस और डीटीएलएस का उपयोग करना एक बड़ी समस्या नहीं है। लेकिन कुछ मामलों में IPSec प्रोटोकॉल का उपयोग करना आवश्यक हो सकता है, जो AnyConnect (IPSec / IKEv2) द्वारा भी समर्थित है।

और AnyConnect द्वारा बनाई गई वीपीएन सुरंग को किन उपकरणों पर समाप्त किया जा सकता है? मैं बस उन्हें सूचीबद्ध करूंगा:

सिस्को एएसए 5500 और सिस्को एएसए 5500-एक्स फायरवॉल
सिस्को फायरपावर ऑल-इन-वन प्रोटेक्टिव डिवाइसेस
CWS ASAv और CWS ASAv वर्चुअल ITUs AWS और Azure में
सिस्को IOS या सिस्को IOS XE नेटवर्क ओएस के साथ सिस्को ISR 800/1000/4000 और ASR 1000 रूटर्स
वर्चुअल राउटर सिस्को CSR 1000v, और वे कई रूसी क्लाउड प्रदाताओं सहित तैनात किए गए हैं।

यह ध्यान दिया जा सकता है कि एक बहुत ही उच्च संभावना के साथ, आपके पास पहले से ही आपके कॉर्पोरेट या विभागीय नेटवर्क की परिधि में ऊपर वर्णित कुछ है और आप इन उपकरणों का उपयोग सुरक्षित रिमोट एक्सेस को व्यवस्थित करने के लिए कर सकते हैं (मुख्य बात यह है कि वे बढ़ते लोड का सामना करते हैं )। इसके अलावा, सिस्को के पास अब मुफ्त AnyConnect लाइसेंस ऑफर है ।

दिलचस्प बात यह है कि कई अन्य वीपीएन ग्राहकों के विपरीत, आपके पास अपने व्यक्तिगत कंप्यूटर या मोबाइल डिवाइस पर सिस्को एनीकट को स्थापित करने के लिए कई विकल्प हैं। यदि आप उन्हें अपने स्वयं के इन्वेंट्री से ऐसे उपकरण देते हैं या कर्मचारियों के लिए विशेष रूप से लैपटॉप खरीदते हैं, तो आप बस दूरस्थ कार्य के लिए आवश्यक सॉफ़्टवेयर के बजाय सुरक्षात्मक क्लाइंट को पूर्व-स्थापित कर सकते हैं। लेकिन उन उपयोगकर्ताओं के लिए क्या करना चाहिए जो कॉर्पोरेट आईटी पेशेवरों से दूर हैं और उन्हें अपने लैपटॉप के साथ आवश्यक सॉफ़्टवेयर स्थापित करने के लिए प्रदान नहीं कर सकते हैं? आप निश्चित रूप से एसएमएस, एससीसीएम या माइक्रोसॉफ्ट इंस्टॉलर जैसे विशेष सॉफ्टवेयर का उपयोग कर सकते हैं, लेकिन सिस्को एनीकोनेक्ट में एक और इंस्टॉलेशन विधि है - जब उल्लेख किए गए वीपीएन प्रवेश द्वार तक पहुंचते हैं, तो क्लाइंट खुद उपयोगकर्ता के कंप्यूटर पर विंडोज, लिनक्स या मैकओएस चला रहा है।यह आपको वीपीएन नेटवर्क को जल्दी से तैनात करने की अनुमति देता है, यहां तक कि दूरदराज के काम के लिए भेजे गए श्रमिकों के व्यक्तिगत उपकरणों पर भी। मोबाइल उपयोगकर्ता बस Apple AppStore या Google Play से सिस्को AnyConnect डाउनलोड कर सकते हैं।

लेकिन जैसा कि मैंने ऊपर लिखा है, सिस्को AnyConnect सिर्फ एक वीपीएन क्लाइंट नहीं है, यह बहुत अधिक है। लेकिन मैं यहां उस पर प्रलेखन को फिर से लिखना नहीं चाहूंगा, लेकिन प्रश्नों और उत्तरों के मोड में प्रमुख कार्यों का वर्णन करने का प्रयास करूंगा (एफएक्यू)।

और मैं कैसे गारंटी दे सकता हूं कि एक घर उपयोगकर्ता इंटरनेट पर कुछ भी नहीं उठाता है?

AnyConnect में ऐसी सुविधा है - ऑलवेज-ऑन वीपीएन, जो इंटरनेट का सीधा उपयोग करने से रोकता है यदि उपयोगकर्ता तथाकथित विश्वसनीय नेटवर्क में नहीं है, जो आपका कॉर्पोरेट बुनियादी ढांचा हो सकता है। लेकिन ध्यान दें कि यह फ़ंक्शन बहुत लचीले ढंग से काम करता है। यदि उपयोगकर्ता कॉर्पोरेट नेटवर्क पर है, तो वीपीएन स्वचालित रूप से डिस्कनेक्ट हो जाता है, और जब यह निकल जाता है (उदाहरण के लिए, यदि उपयोगकर्ता लैपटॉप, टैबलेट या स्मार्टफोन से काम कर रहा है), तो वीपीएन फिर से चालू हो जाता है; इसके अलावा उपयोगकर्ता के लिए पारदर्शी और अदृश्य। इस प्रकार, उपयोगकर्ता हमेशा परिधि पर स्थापित कॉर्पोरेट सुरक्षा उपकरणों द्वारा संरक्षित किया जाएगा - एक फ़ायरवॉल, घुसपैठ की रोकथाम प्रणाली, विसंगति विश्लेषण प्रणाली, प्रॉक्सी, आदि। कई कंपनियाँ दूरदराज के कामगारों को कॉर्पोरेट डिवाइस जारी करती हैंकेवल आधिकारिक उद्देश्यों के लिए उनका उपयोग करने के लिए शर्त निर्धारित करें। और इस आवश्यकता के कार्यान्वयन की निगरानी के लिए, AnyConnect में ऐसी सेटिंग्स शामिल हैं जो उपयोगकर्ता को सीधे इंटरनेट तक पहुंचने से रोकती हैं।

लेकिन क्या मैं सभी ट्रैफ़िक को एन्क्रिप्ट नहीं कर सकता, लेकिन केवल कॉर्पोरेट?

ऑलवेज-ऑन वीपीएन फ़ंक्शन आपके द्वारा जारी किए गए उपकरणों से रिमोट एक्सेस की सुरक्षा के लिए बहुत उपयोगी है, लेकिन हमेशा से हम उपयोगकर्ता को वह करने के लिए मजबूर कर सकते हैं जो हम चाहते हैं, खासकर जब वह अपने व्यक्तिगत कंप्यूटर पर आता है जिस पर हम अपने स्वयं के नियमों को निर्धारित नहीं कर सकते। और उपयोगकर्ता नहीं चाहेगा कि उसका निजी ट्रैफिक कॉर्पोरेट परिधि से होकर गुजरे और आपके प्रशासक इस बात की निगरानी करेंगे कि उपयोगकर्ता होम वर्क के दौरान किन साइटों पर जाते हैं। जैसा कि वे कहते हैं, "आपके प्रॉक्सी के लॉग को देखने वाले व्यवस्थापक के साथ नैतिकता के बारे में बात करना मुश्किल है" :-)

इस स्थिति में, आप सिस्को AnyConnect पर सुरंग के विभाजन को सक्षम कर सकते हैं, अर्थात, सुरंग अलग करना। कुछ प्रकार के ट्रैफ़िक, उदाहरण के लिए, कॉर्पोरेट इन्फ्रास्ट्रक्चर और काम करने वाले बादलों के लिए, ट्रैफ़िक को एन्क्रिप्ट किया जाएगा, और सामाजिक नेटवर्क या ऑनलाइन सिनेमाघरों में ट्रैफ़िक AnyConnect से सुरक्षा के बिना हमेशा की तरह चला जाएगा। यह आपको कंपनी और उसके कर्मचारियों दोनों के हितों को ध्यान में रखने की अनुमति देता है, जिन्हें जीवन के दो क्षेत्रों - व्यक्तिगत और व्यवसाय के बीच कर्मचारी के निजी कंप्यूटर को साझा करने के लिए मजबूर किया जाता है। लेकिन यह याद रखने योग्य है कि विभाजित टनलिंग फ़ंक्शन आपके नेटवर्क की सुरक्षा को कम कर सकता है , क्योंकि उपयोगकर्ता इंटरनेट पर किसी प्रकार का संक्रमण उठा सकता है, और फिर यह एक सुरक्षित चैनल के माध्यम से कंपनी में पहुंच जाएगा।

क्या मैं कुछ के ट्रैफ़िक को एन्क्रिप्ट कर सकता हूं, उदाहरण के लिए, कॉर्पोरेट, एप्लिकेशन?

विश्वास / अविश्वासित ट्रैफ़िक पृथक्करण के अलावा, सिस्को AnyConnect प्रति ऐप वीपीएन सुविधा का समर्थन करता है, जो व्यक्तिगत अनुप्रयोगों (यहां तक कि मोबाइल उपकरणों पर) के ट्रैफ़िक को एन्क्रिप्ट करने की अनुमति देता है। यह आपको एन्क्रिप्ट करने की अनुमति देता है (पढ़ें, कॉर्पोरेट नेटवर्क पर लॉन्च) केवल कुछ एप्लिकेशन, उदाहरण के लिए, 1 सी, एसएपी, शेयरपॉइंट, ओरेकल, और फेसबुक, लिंक्डइन या पर्सनल ऑफिस 365 को कॉर्पोरेट परिधि के आसपास जाने दें। इस मामले में, दूरस्थ उपकरणों या उपयोगकर्ताओं के विभिन्न समूहों के लिए अपने स्वयं के सुरक्षा नियम हो सकते हैं।

लेकिन उपयोगकर्ता होम कंप्यूटर पर मैलवेयर उठा सकता है, जो फिर कॉर्पोरेट नेटवर्क में जाता है। इससे कैसे निपटें?

एक तरफ, सिस्को AnyConnect जांच कर सकता है कि क्या आपके पास एंडपॉइंट सुरक्षा के लिए सिस्को एएमपी है और यदि आप नहीं करते हैं तो इसे स्थापित करें। लेकिन शायद उपयोगकर्ता ने पहले से ही अपना एंटीवायरस स्थापित कर लिया है या यह एंटीवायरस पहले से ही आपके द्वारा स्थापित किया गया था जब कर्मचारियों को दूरस्थ कार्य में स्थानांतरित किया गया था। हालांकि, हम सभी जानते हैं कि एंटीवायरस आज बहुत कम गंभीर खतरों को पकड़ता है और मैलवेयर, विसंगतियों और अन्य हमलों का पता लगाने के लिए इसे और अधिक उन्नत समाधानों के साथ पूरक करना अच्छा होगा। यदि Cisco Stealthwatch आपके कॉर्पोरेट बुनियादी ढांचे में तैनात है, तो आप आसानी से अपने कर्मचारियों के होम कंप्यूटर पर इसके साथ स्थापित Cisco AnyConnect एजेंटों को एकीकृत कर सकते हैं। AnyConnect एक विशेष नेटवर्क दृश्यता मॉड्यूल (NVM) मॉड्यूल को एकीकृत करता है जो नोड की गतिविधि को nvzFlow प्रोटोकॉल में विशेष रूप से इस कार्य के लिए विकसित करता है।जो इसे अतिरिक्त जानकारी के साथ पूरक करता है और पहुंचाता हैनेटफ्लो-कलेक्टर , जो सिस्को स्टील्थवॉच एंटरप्राइज और किसी भी कोलम्बिया दोनों हो सकता है , उदाहरण के लिए, स्प्लंक। अन्य बातों के अलावा, एनवीएम-मॉड्यूल निम्नलिखित जानकारी प्रसारित कर सकता है, जिसके आधार पर होम कंप्यूटर पर असामान्य और दुर्भावनापूर्ण गतिविधि का पता लगाना संभव है, जो स्थापित एंटीवायरस के लिए अदृश्य रहे:

IPFIX के समान प्रारूप में नेटवर्क गतिविधि डेटा
डिवाइस आईडी, पता और नाम
उपयोगकर्ता नाम
उपयोगकर्ता खाता प्रकार
उनके "माता-पिता" के डेटा सहित चलने वाली प्रक्रियाओं और अनुप्रयोगों के नाम और पहचानकर्ता।

यह कार्यक्षमता अनिवार्य रूप से एक हल्का यूईबीए (उपयोगकर्ता इकाई व्यवहार विश्लेषिकी) है, जो उपयोगकर्ताओं और उनकी ओर से शुरू किए गए अनुप्रयोगों / प्रक्रियाओं के व्यवहार का विश्लेषण करने के लिए एक नई तकनीक है।

मैं उपयोगकर्ताओं को कैसे प्रमाणित करूं?

जब उपयोगकर्ता कॉर्पोरेट कंप्यूटर पर काम करते हैं, तो वे आमतौर पर सक्रिय निर्देशिका या किसी अन्य LDAP निर्देशिका में प्रमाणित होते हैं। मैं रिमोट एक्सेस के साथ एक ही अवसर प्राप्त करना चाहूंगा, और सिस्को एनीकोनेक्ट, लॉगिन / पासवर्ड प्रमाणीकरण का समर्थन करके इसे महसूस करने की अनुमति देता है, जिसमें वन-टाइम पासवर्ड (उदाहरण के लिए, लिनोट), उपयोगकर्ता या मशीन प्रमाण पत्र, हार्डवेयर टोकन (उदाहरण के लिए, स्मार्ट कार्ड या Yubikey) शामिल हैं। , और यहां तक कि बायोमेट्रिक्स और अन्य बहु-कारक प्रमाणीकरण विधियों। इन सभी विकल्पों को RADIUS, RSA SecurID, SAML, Kerberos, आदि प्रोटोकॉल का उपयोग करके आसानी से अपने प्रमाणीकरण और प्रमाणीकरण प्रबंधन समाधान के साथ एकीकृत किया जा सकता है।

और यदि मैं क्लाउड प्लेटफ़ॉर्म का उपयोग करता हूं, उदाहरण के लिए, अमेज़ॅन एडब्ल्यूएस या एमएस अज़ुरे, तो मैं घर उपयोगकर्ताओं को उनकी सुरक्षा कैसे कर सकता हूं?

सिस्को के पास एक सिस्को CSR 1000 वर्चुअल राउटर है जो कि क्लाउड वातावरण में जैसे कि अमेजन AWS या MS Azure में तैनात किया जा सकता है और जो Cisco AnyConnect द्वारा बनाई गई VPN सुरंगों को समाप्त कर सकता है।

यदि कोई उपयोगकर्ता व्यक्तिगत डिवाइस से काम करता है, तो मैं इस पहुंच के साथ अपने नेटवर्क की सुरक्षा कैसे बढ़ा सकता हूं?

आइए यह पता लगाने की कोशिश करें कि दूरस्थ कार्य वाले कंप्यूटर पर उपयोगकर्ता क्या गलत कर सकता है या गलत? सॉफ़्टवेयर स्थापित करें जिसमें कमजोरियाँ हैं, या बस उन्हें पैच के साथ समय पर ठीक नहीं करते हैं। अपने एंटीवायरस को अपडेट न करें या बिल्कुल न करें। कमजोर पासवर्ड का उपयोग करें। दुर्भावनापूर्ण कार्यक्षमता के साथ सॉफ़्टवेयर स्थापित करें। यह कुछ ऐसा है जो आपके कॉर्पोरेट नेटवर्क को जोखिम में डाल सकता है और कोई भी वीपीएन आपको इससे नहीं बचाएगा। लेकिन सिस्को AnyConnect, अनुरूपता मूल्यांकन फ़ंक्शन के कारण कर सकते हैं, जो आपको सेटिंग्स के लिए सभी आवश्यक और आवश्यक आईटी / आईबी नीतियों की जांच करने की अनुमति देता है - कॉर्पोरेट सॉफ्टवेयर को दूरस्थ कंप्यूटर पहुंच प्रदान करने से पहले पैच की उपलब्धता, अप-टू-डेट सॉफ़्टवेयर संस्करण, अद्यतन एंटीवायरस, सुरक्षा सुविधाएँ, और सही पासवर्ड लंबाई। , हार्ड ड्राइव एन्क्रिप्शन, कुछ रजिस्ट्री सेटिंग्स, आदि।यह सुविधा होस्ट स्कैन फ़ंक्शन (इसके लिए आपको रिमोट एक्सेस गेटवे के रूप में सिस्को एएसए की आवश्यकता है) का उपयोग करके या सिस्टम स्कैन फ़ंक्शन का उपयोग करके लागू किया जाता है, जो इसके द्वारा प्रदान किया जाता हैनेटवर्क एक्सेस कंट्रोल सिस्टम सिस्को आईएसई ।

और अगर मैं टैबलेट या स्मार्टफोन के साथ काम करता हूं और लगातार आगे बढ़ता हूं। क्या मेरा वीपीएन कनेक्शन टूट जाएगा और क्या मुझे इसे हर बार फिर से स्थापित करने की आवश्यकता होगी?

नहीं, नहीं सिस्को AnyConnect में एक विशेष रोमिंग मॉड्यूल है जो आपको विभिन्न प्रकार के कनेक्शन (3G / 4G, Wi-Fi, आदि) के बीच स्विच करने पर वीपीएन को न केवल स्वचालित रूप से और पारदर्शी रूप से पुन: कनेक्ट करने की अनुमति देता है, बल्कि स्वचालित रूप से आपके मोबाइल की सुरक्षा भी करता है (आखिरकार, आप संभावना नहीं रखते हैं) सिस्को अंब्रेला सॉल्यूशन का उपयोग करके एक स्थिर होम कंप्यूटर) डिवाइस ले जाना, जो फ़िशिंग साइट्स, टीम सर्वर, बॉटनेट, आदि तक पहुंचने के लिए सभी DNS ट्रैफ़िक का निरीक्षण करेगा। यदि आप विभाजित टनलिंग फ़ंक्शन के साथ उपयोगकर्ता को सक्षम करते हैं तो वह छाता से कनेक्ट करना आवश्यक है और वह रिमोट एक्सेस गेटवे को दरकिनार करते हुए सीधे विभिन्न इंटरनेट संसाधनों से जुड़ सकता है। सिस्को अंब्रेला से कनेक्ट करने के लिए मॉड्यूल तब भी उपयोगी होगा जब आप वीपीएन का उपयोग नहीं कर रहे हैं - फिर इस सुरक्षा सेवा के माध्यम से सभी ट्रैफ़िक की जांच की जाएगी।

और आपका AnyConnect वीडियो और वॉइस टेलीकांफ्रेंस की गुणवत्ता को कम नहीं करेगा?

नहीं। जैसा कि मैंने ऊपर वर्णित किया है, सिस्को एनीकोनेक्ट DTLS प्रोटोकॉल का समर्थन करता है, जिसका उद्देश्य विशेष रूप से मल्टीमीडिया ट्रैफ़िक की सुरक्षा करना है।

वास्तव में, सिस्को AnyConnect में बहुत अधिक विशेषताएं हैं। यह चुपके मोड में काम कर सकता है, गतिशील रूप से सबसे इष्टतम रिमोट एक्सेस गेटवे का चयन कर सकता है, आईपीवी 6 का समर्थन करता है, इसमें एक अंतर्निहित व्यक्तिगत फ़ायरवॉल है, दूर से निगरानी की जाती है, एक्सेस कंट्रोल प्रदान करता है, आरडीपी का समर्थन करता है, आदि। यह Russified भी है ताकि उपयोगकर्ताओं के पास उन दुर्लभ संदेशों के बारे में प्रश्न न हों जिन्हें Cisco AnyConnect जारी कर सकता है। इसलिए सिस्को AnyConnect सिर्फ एक वीपीएन क्लाइंट नहीं है, बल्कि सुरक्षित रिमोट एक्सेस प्रदान करने के लिए बहुत अधिक दिलचस्प समाधान है, जो हाल के हफ्तों में कोरोनोवायरस महामारी के कारण लोकप्रियता हासिल करना शुरू कर दिया है, जिससे नियोक्ताओं को अपने कर्मचारियों की कुछ श्रेणियों को दूरस्थ स्थान पर स्थानांतरित करने के लिए मजबूर होना पड़ा।