술이 2019-08

교과서적인 메뉴얼은 오픈되어 있어도 특정기관 및 회사는 담당자끼리만 문서화 되었을겁니다. 그런거 오픈하면 이미 보안 노출이거든요.

나파이강승훈 2019-08

뭐 말도 안되는 세팅을 하는건 가능하지도 않고 또 가능하다고 해도 퍼포먼스에 문제도 생기고 하니 어느정도의 스텐다드 아키텍쳐는 정해져있지 않나요?

근데 위에 원글님께서 언급하신 여러가지 네트워크 보호 솔루션들은 UTM에 다 포함되어 있는거 아닌가요?

전체 네트워크에서 여러 그룹들을 정리해놓고 어떤 룰을 통해서 어떤 방향으로 들어갈 수 있고 없고 등등을 정해놓으면 될것같은데요...  아무리 큰 조직이라고 해도 결국엔 거기서 거기... 하지만 철통 보안이 있는 경우에는 WAN으로의 연결이 없는 장비들도 있을 수 있고.... 빽엔드써버들도 WAN으로 나가지도 않고 박에서 들어올수도 없고 등등....

뭐 하여간... 지금 제 사무실에 엉터리 네트워크를 구성중인데 네트워크망에 대한 글이 올라왔군요...

자문을 좀 구하는것도 나쁘지 않죠...  쫌 밥맛일 수 있기는 하지만 젖문가가 있긴 있습니다... 아마 이글을 읽고 있을지도 모름...

인연 2019-08

놓는 순서는 관리자 선호도에 따라 바뀌는거 같습니다 ㅎ..
근데 버통 웹방화벽이랑 IPS는 bypass가 되고 방화벽은 일반적으로 bypass가 안되죠..

한여름밤의꿈 2019-08

몇몇 대형급 구축사례로 말씀드리면..

백본 -> 방화벽 -> IPS -> 웹방화벽 -> 스위치 이순서입니다.
물론 2중화는 기본이구요.
DDOS 방어장비가 들어온다면, 백본 -> DDOS 방어장비 -> 방화벽 -> IPS -> 웹방화벽 순서입니다.
실무담당자의 의견에 따라 달라지기도 합니다만 보통 방화벽이 제일 앞단에 섭니다.

방화벽의 성능이 보통 제일 좋고, 가격대비 성능이 좋아서 일단 문제있는 이상패킷은 방화벽에서 1차로 거르는 것을 원칙으로 합니다.
예를 들어 웹방화벽, IPS 등을 제일 앞에 놓는다고 보면, 일단 온갖 문제있는 패킷을 몸빵하기 때문에 성능치가 좋아야 합니다.  그러면 비용이 올라가죠.
그래서 대두분의 이상패킷을 걸러주는 방화벽이 제일 전초에 섭니다.
그 후에, IPS 에서 세밀하게 거릅니다.
그리고 웹방화벽에서 마지막으로 걸러주면 되는 것이죠.

정리하자면, 덩치큰 넘들은 방화벽에서 잡아주고, 거기서 못 걸리는 넘들은 각 개별장비에서 걸러주는 거라고 보시면 됩니다.
다른 전문가분들의 의견도 궁금합니다.

술이 2019-08

이게 맞음.
프런트엔드 방화벽 다음 뒷단에 백엔드 방화벽(IPS/IDS/DDOS) 그다음 응용단 방화벽순으로 배치가 됩니다.
앞단에서 온갖 패킷을 다 받아야 하기 때문에 프런드 단에서 불필요한 패킷은 필터처리하는 역할로 하고 그다음 부하를 받아야될 백엔드 방화벽으 해야만 깔끔하고 원할한 네트워크 구성이 됩니다.
필터나 네트워크 패킷전송 역할만 하는 방화벽은 그렇게 고성능이 필요한건 아닙니다.

나는관제 2019-08

감사인사가 늦었네요!! 허졉한 글인데도 친절히 답변달아주셔서 감사합니다!!
많은 도움이 됬습니다^^