نکاتی در مورد تفاوت بین VLAN و Subnet

VLAN چیست ؟

VLAN یک مفهوم منطقی یا logical است و به معنای گروهی از شبکه ها است که فارق از محل فیزیکی که در آن قرار گرفته اند ، برای ایجاد کردن محدودهBroadcast یا Broadcast Domain های کوچکتر بر روی یک سویچ ایجاد می شوند. برای این VLAN ها پورت های مختلفی را می توان اختصاص داد. بدون استفاده از قابلیت VLAN یک سویچ تمامی پورت های خود را در درون یک محدوده Broadcast یا Broadcast Domain قرار می دهد. VLAN ها امکانات های زیادی را به ما ارائه می دهند که از آن جمله می توان به broadcast filtering ، security addressing ، summarization ، مدیریت ترافیک عبوری از سویچ و همچنین کم کردن بار کاری پروتکل Spanning Tree را اشاره کرد. اینکار زمانی کاربرد دارد که شما می خواهید شبکه هایی که در لایه ۳ وجود دارد را در سویچ لایه دوم ایجاد کنید.

VLAN ها به نوعی یک لینک بین سویچ ها نیز محسوب می شوند ، آنها می توانند با یکدیگر bridge شوند و یا توسط یک سویچ لایه سوم یا یک روتر با همدیگر ارتباط برقرار کنند. VLAN ها همان خصوصیاتی را دارند که یک شبکه LAN واقعی دارد اما آنها وابسته به محل فیزیکی دستگاه هایی که به شبکه متصل می شوند نیستند. هر سویچ بصورت پیشفرض دارای یک VLAN است که معمولا به اسم VLAN1 شناخته می شود و بر روی سویچ فعال شده است.

با اینکه برای هر یک از VLAN هایی که بر روی سویچ ها ایجاد می شود یک اسم در نظر گرفته می شود اما این شماره VLAN است که برای ارسال ترافیک مهم است و مورد استفاده قرار می گیرد.

VLAN ID یا شناسه VLAN که همانند شماره VLAN عمل میک ند زمانی که بسته اطلاعاتی ما از پورت ترانک عبور می کند به آن اضافه می شود. دستگاه هایی که در یک VLAN قرار می گیرند از یک VLAN ID مشترک استفاده می کنند. رایج ترین پروتکل هایی که در VLAN ها استفاده می شوند به نام dot1q و isl معروف هستند و این پروتکل ها در ارتباطات بین VLAN ها نیز مورد استفاده قرار می گیرند. برای اختصاص دادن VLAN ها دو روش معمول وجود دارد که به نام static VLAN و dynamic VLAN مورد استفاده قرار می گیرند ، static VLAN ها بر اساس پورت کار می کنند و dynamic VLAN ها با استفاده از نرم افزارها ایجاد می شوند. استاندارد مورد استفاده در VLAN ها به نام IEEE 802.1.q شناخته می شود.

Subnet چیست ؟

Subnet یا Subnetwork یک تقسیم بندی از شبکه های مبتنی بر آدرس دهی IP است . شکستن یک شبکه بزرگ بر اساس پروتکل IP به چندین شبکه کوچکتر را عملیات Subnetting می نامند. ما برای اینکه بتوانیم یک شبکه را گروه بندی کنیم از پارامتری به نام Subnet Mask استفاده می کنیم. عملیات Subnetting باعث کاهش ترافیک شبکه ، بالا رفتن کارایی شبکه و ساده تر شدن مدیریت شبکه می شود . در کنار این مزایا subnetwork باعث بالا رفتن پیچیدگی ها در پروتکل های مسیریابی می شود ، در این حالت در routing table های موجود هر یک از subnetwork ها به عنوان یک موجودیت جداگانه مطرح می شوند. برای اینکه بین این subnet ها ارتباط برقرار شود نیاز به استفاده از یک روتر می باشد.

در پروتکل IPV4 مهمترین دلیل استفاده از Subnetting بهبود کارایی و کوچک کردن محدوده آدرس ها می باشد. شبکه های مبتنی بر پروتکل IPV4 شامل ۲۵۶ عدد آدرس IP می باشند.اگر تنها ۱۴ عدد از این آدرس ها برای استفاده در VLAN ها بکار رود ، باقیمانده آدرس ها که تعداد ۲۴۰ عدد خواهد بود رسما بلا استفاده می ماند ، دلیل این مشکل در این است که با به وجود آمدن VLAN ها ، شما برای برقراری ارتباط بین VLAN ها بایستی از ساختار Routing استفاده کنید و اگر شبکه ها دارای یک آدرس Subnet Mask مشترک باشند دیگر عملیات Routing ای در بین آنها انجام نخواهد شد ، برای رفع این مشکل شما با ایجاد کردن ۱۲ عدد محدوده آدرس یا Subnet که در اینجا با توجه به ساختار باینری IPV4 به عدد ۱۶ تبدیل می شود ، می توانید بدون به وجود آمدن مشکلی بین این VLAN ها و Subnet ها عملیات Routing را داشته باشید.

VLAN ها برای ایزوله کردن چندین Subnet بر روی یک دستگاه استفاده می شوند. با استفاده از یک Subnet کوچکتر ، شما ضمن اینکه تعداد بیشتری Broadcast Domain ایجاد می کنید ، ترافیک دستگاه را نیز پایین خواهید آورد. اما در همین حین ترافیک های Unicast بین شبکه ای شما افزایش خواهد یافت که باعث بالا رفتن پردازش CPU دستگاه خواهد شد.

• بین VLAN و Subnet یک ارتباط یک به یک وجود دارد ، به این معنا که هر Subnet در شبکه فقط می تواند به یک VLAN در شبکه مرتبط شود. البته امکان اختصاص داده چندین Subnet Mask به یک VLAN وجود دارد اما از لحاظ طراحی شبکه به هیچ عنوان پیشنهاد نمی شود.
• هر VLAN به معنای وجود حداقل یک Subnet در شبکه است.
• در پروتکل MPLS استفاده از چندین Subnet به جای استفاده از چندین VLAN پیشنهاد می شود ، برای اینکه این پروتکل با استفاده از Subnet ها می تواند کارایی و سرعت بالاتری در سرویس دهی را ارائه کند.
• VLAN ها زمانی بیشتر کاربرد دارند که شما در یک شبکه WAN قرار دارید که دارای چندین ساختمان است و اینها با استفاده از لینک های ارتباطی به یکدیگر متصل شده اند ، برای اینکه ترافیک شبکه هر یک از ساختمان ها به دیگری وارد نشود از ساختار VLAN استفاده می کنید.
• تعریف ساده : VLAN = یک Broadcast Domain = یک IP Subnet

Port Security قسمت دوم

شما با استفاده از این دستور میتوانید به سویچ بگویید که تعداد بیشتری آدرس MAC را از پورت سویچ قبول کند و پیشفرض یک آدرس سخت افزاری را در نظر نگیرد . اگر شما یک هاب یا سویچ لایه دو دارید که دارای ۱۲ پورت هست و به این پورت از سویچ متصل شده است می توانید عدد ۱۲ را برای این مقدار MAX در نظر بگیرید و به هر ۱۲ پورت اجازه دسترسی به سویچ را بدهید . اما همیشه به یاد داشته باشید که حداکثر تعداد آدرس های MAC که میتوان برای هر یک از پورت های سویچ در نظر گرفت ۱۳۲ عدد است .

switchport port-security violation {shutdown | restrict | protect}

این دستور به سویچ میگوید که در صورتیکه تعداد آدرس های MAC این پورت سویچ از حد مجاز خارج شد چه عکس العملی نسبت به پورت مورد نظر انجام دهد . پیشفرض این است که پورت مورد نظر خاموش یا Shutdown شود . اما شما میتوانید با استفاده از گزینه restrict در صورت بروز چنین مشکلی مدیر شبکه را در جریان بگذارید و یا با استفاده از گزینه protect می توانید بگویید که صرفا از آدرس های MAC تعیین شده در سویچ استفاده شود و سایر ترافیک از MAC های اضافی مسدود یا به اصطلاح drop شوند .

switchport port-security mac-address {MAC address}

شما با استفاده از این دستور می توانید بصورت دستی آدرس های سخت افزاری مورد نظرتان را به سویچ معرفی کنید و دیگر از قابلیت سویچ در یافتن اتوماتیک و dynamic آدرس های سخت افزاری خود داری کنید . البته به خاطر داشته باشید که شما می توانید با استفاده از محدوده آدرس های MAC نیز همین محدودیت ها را اعمال کنید به جای اینکه تک تک آدرس های را وارد کنید ، به مثال زیر توجه کنید

Switch)# config t

Switch(config)# int range fastEthernet 0/1 – 24

Switch(config-if)# switchport port-security

اما در بکار بردن دستور بالا بسیار دقت کنید ، مخصوصا زمانی که این دستورات را بر روی پورت Uplink سویچ وارد میکنید که معمولا به دستگاه های دیگر متصل شده است . در این حالت به محض اینکه درخواستی از سویچ دیگری وارد شود کل پورت shutdown میشود و ….

مشاهده وضعیت Port Security

به محض اینکه تنظیمات مربوط به Port Security را بر روی سویچ انجام دادید ، قابلیت فعال شده و سویچ کلیه آدرس های MAC که به سویچ متصل می شوند را ضبط میکند و بوسیله این آدرسها پورت را ایمن میکند . برای مشاهده وضعیت Port Security بر روی سویچ ها کافیست از دو دستور show port-security و همچنین دستور show port-security interface استفاده کنید . در ادامه یک مثال از مشاهده این تنظیمات را مشاهده خواهید کرد :

——————————————————————-

Vlan Mac Address Type Ports Remaining Age

(mins)

—- ———– —- —– ————-

۱ ۰۰۰۴٫۰۰d5.285d SecureDynamic Fa0/18 –

——————————————————————-

Total Addresses in System (excluding one mac per port) : 0

Max Addresses limit in System (excluding one mac per port) : 1024

Switch# show port-security interface fa0/18

Port Security : Enabled

Port Status : Secure-up

Violation Mode : Shutdown

Aging Time : 0 mins

Aging Type : Absolute

SecureStatic Address Aging : Disabled

Maximum MAC Addresses : 1

Total MAC Addresses : 1

Configured MAC Addresses : 0

Sticky MAC Addresses : 0

Last Source Address : 0004.00d5.285d

Security Violation Count : 0

Switch#

Port Security قسمت اول

در این مقاله به شما مفهوم Port Security و اینکه چگونه از این قابلیت سویچ های سیسکو در جهت ایمن سازی سویچ ها و محدود سازی دسترسی به پورت های سویچ شبکه خود استفاده کنید صحبت خواهم کرد . ابتدا مفاهیم آنرا با هم مرور کرده و سپس به بررسی نحوه انجام تنظیمات آن خواهیم پرداخت . یکی از مشکلاتی که مدیران شبکه بسیار با آن درگیر هستند این است که چگونه میتوانند دسترسی های غیر مجاز به شبکه را کنترل کنند ، در واقع مشکل اصلی اینجاست که نمیدانیم چگونه میتوان برای تجهیزات شبکه تعریف کرد که چه کسی بتواند به آنها متصل شود و چه کسی نتواند متصل شود . برای مثال شما نمی خواهید که هر کسی که وارد سازمان شما شد براحتی با استفاده از لپ تاپ خود و متصل کردن آن به یکی از پورت های سویچ شبکه به شبکه شما متصل شده و به منابع شبکه شما دسترسی پیدا کند . شاید با خود بگویید که تمامی پورت های شبکه ما که بر روی دیوار قرار گرفته اند و کامپیوتری به آنها متصل نیست بصورت فیزیکی به سویچ و شبکه متصل نیستند و دیگر جای نگرانی در این خصوص وجود ندارد ، اما اگر شخص کابل کامپیوتر فعالی که مشغول سرویس دهی در شبکه است را از جای خود در آورده و از آن برای اتصال به سویچ و شبکه استفاده کند چطور ؟

ممکن است با خود بگویید که اینکار عملی نیست ، اما در محیط واقعی حتما به اینگونه موارد برخورد خواهید کرد . در یکی از سازمان هایی که کار میکردم یک فروشنده بود که هر روز برای معرفی محصولات و فروش آنها به سازمان مراجعه میکرد ، این شخص براحتی کابل شبکه یکی از همکاران ما را از جای خود در آورده و به لپ تاپ همراه خود متصل کرده و به اینترنت و شبکه داخلی ما متصل میشد و همینطور در شبکه مشغول گشت و گذار میشد .تصور اینکه کسی بیاید و به این سادگی وارد شبکه شما شده و به آن دسترسی پیدا کند برای من خیلی سخت و همچنین ترسناک بود ، البته برای شما هم باید همینطور باشد . چیزی که از آن میترسیدم این بود که این کامپیوتر در ساده ترین حالت ممکن میتواند ویروس ها و کرم های خطرناکی را وارد شبکه ما کند . همیشه به خاطر داشته باشید که همه در شبکه شما به دنبال رسیدن به امنیت نیستند و شما هم نمیتوانید امنیت شبه خود را به امید اینگونه افراد بسپارید .خوب برای حل ایم موضوع به سراغ پیاده سازی قابلیت Port Security رفتم و از این راهکار استفاده کردم . بیاید با هم ببینیم که چگونه یک سویچ سیسکو میتواند ما را با استفاده از قابلیت Port Security از بروز مشکلات امنیتی محافظت کند :

شناخت مبانی Port Security

در ساده ترین حالت ممکن این قابلیت آدرس سخت افزاری کارت شبکه شما یا همان MAC شما را در حافظه ای مربوط به آن پورت ذخیره میکند و فقط به همین آدرس سخت افزاری اجازه ورود به پورت شبکه را میدهد . اگر آدرس سخت افزاری دیگری بخواهد از طریق همان پورت سویچ به شبکه متصل شود ، سویچ آن را بلوکه کرده و اجازه ورود به سیستم را به آن پورت نخواهد داد ، این میتواند غیرفعال کردن پورت سویچ نیز باشد . در شبکه هایی که سیستم های مانیتورینگ یا پایش شبکه راه اندازی شده اند با استفاده از پروتکل SNMP تنظیماتی انجام شده است که بلافاصله بعد از غیرفعال شدن پورت سویچ به سیستم مانیتورینگ اطلاع رسانی می شود و در لاگ این سیستم ثبت می شود .

همیشه انجام تنظیمات امنیتی بر روی شبکه نیاز به سبک سنگین کردن و بررسی درست پیامد های آن دارد . برخی اوقات پیاده سازی امنیت باعث پایین آمدن سهولت کاربری و سخت کردن فعالیت کاری میشود . وقتی شما از قابلیت Port Security استفاده میکنید ، در حقیقت اتصال هر دستگاهی به شبکه را محدود کرده اید و بر حسب آن امنیت خود و شبکه را بالا برده اید . اما همیشه حالت برعکسی هم وجود دارد ، در این حالت از Port Security فقط مدیر شبکه میتواند پورت غیرفعال شده را فعال یا به اصطلاح unlock کند ، و این خود باعث بوجود آمدن دردسرهای مدیریتی زیادی برای مدیر شبکه خواهد شد .

پیاده سازی Port Security

پیاده سازی و انجام تنظیمات Port Security چندان هم سخت نیست . در ساده ترین حالت ممکن از پیاده سازی Port Security شما کافیست از طریق کنسول سویچ به پورت فعال در سویچ متصل شده و با استفاده از دستور port-security تنظیمات مربوط به آنرا انجام دهید ، به مثل زیر دقت کنید :با وارد کردن اولین و ساده ترین دستور قابلیت Port Security ما قبول کرده ایم که تنظیمات پیشفرض Port Security بر روی پورت مورد نظر اعمال شود ، در این نوع تنظیمات ما فقط به یک آدرس سخت افزاری یا MAC اجازه دسترسی به پورت سویچ را میدهیم و این آدرس ، آدرس سخت افزاری اولین دستگاهی است که به این پورت سویچ متصل می شود و در صورتیکه آدرس MAC دیگری قصد استفاده از شبکه را با استفاده از همین پورت داشته باشد ، پورت مورد نظر خاموش یا یه اصطلاح Shutdown می شود . اما شما مجبور نیستید تنظیمات پیشفرض را در نظر بگیرید و می توانید تنظیمات خود را انجام دهید .

Switch)# config t

Switch(config)# int fa0/18

Switch(config-if)# switchport port-security ?

aging Port-security aging commands

mac-address Secure mac address

maximum Max secure addresses

violation Security violation mode

Switch(config-if)# switchport port-security

Switch(config-if)#^Z

انواع خدمات Port Security

همانطوری که در زیر مشاهده میکنید دستورات متعددی برای قابلیت Port Security وجود دارد که هر کدام دارای تنظیمات خاص خود می باشند ، در ادامه با چند عدد از مهمترین این دستورات آشنا خواهید شد

switchport port-security maximum {max # of MAC addresses allowed}

آشنایی با نرم افزار مانیتورینگ Solarwinds

امروزه در شبکه های بزرگ و کوچک در تمامی اقصی نقاط جهان فعالیت مانیتورینگ را میتوان چشم همیشه بیدار مدیر شبکه نامید. همچنانکه مدیریت خوب، بدون در اختیار داشتن اطلاعات ناب و امکانات پردازشی مناسب میسر نیست، گرداندن شبکه کامپیوتری بدون رصد کردن وضعیت سرویسها امری بسیار پرمخاطره و هزینه بر است. اگر شما حتی یک مدیر شبکه توانای کامپیوتری باشید، باز بصورت لحظه ای امکان رصد تمامی سرورها ، سرویس ها و تجهیزات شبکه برای شما میسر نمیباشد. یکی از بهترین برنامه هایی که در این زمینه کاربرد فراوان و گسترده ای دارد برنامه معروف شرکت Solarwinds به نام NPM میباشد.

با توجه به گستردگی و پیچیدگی شبکه­ های کامپیوتری، مدیریت و مانیتورینگ منابع موجود در سازمان یکی از معضلات مدیران شبکه­ ها می­باشد. سازمان­ها به دنبال ابزارهای توسعه پذیر وانعطاف پذیر در مدیریت و مانیتورینگ شبکه هستند. فعالیت مانیتورینگ رامی­توان چشم همیشه بیدارمدیرشبکه نامید که شامل نظارت بر ترافیک و سیستم­های موجود در شبکه جهت تشخیص هر گونه خرابی به وجود آمده ناشی از نقص در سرورها، سرویس­ ها و یا قطع اتصالات و نیز ارزیابی شبکه به منظور بهینه سازی کارایی آن در آینده می­باشد. هر چه سیستم مانیتورینگ شما قوی­ تر باشد، احتمال Down یا قطع شدن شبکه پایین­ تر خواهد بود.

معرفی محصول SolarWinds

شرکت SolarWinds یکی از بزرگترین تولید کنندگان نرم­ افزارهای مدیریتی در حوزه فناوری اطلاعات می­باشد. این شرکت که درسال ۱۹۹۹ میلادی تاسیس شده است دارای مشتریان بسیاری دربیش از ۱۷۰ کشور جهان می­باشد. شرکت SolarWinds با شعار مشتری مداری توانسته است با رفع موانع موجود، موجب کاهش هزینه و پیچیدگی نرم­ افزارها شود. این شرکت نرم­ افزارهای مختلفی را جهت مانیتورینگ بخش­های متفاوت در حوزه فناوری اطلاعات ارائه کرده است. این محصولات که از معروف­ترین محصولات مدیریت و مانیتورینگ شبکه محسوب می­گردند شامل مدیریت سرورها و برنامه­ های کاربردی، مدیریت شبکه، امنیت و لاگ­ها، مدیریت سیستم­های ذخیره­ سازی و ساختار مجازی و همینطور مدیریت پهنای باند و کنترل ایستگاه­های کاری از راه دور می­باشند:

* نرم­ افزار مانیتورینگ عملکرد شبکه (Orion Network Performance Monitor یا NPM)

* نرم­ افزار مدیریت پیکربندی شبکه (Orion Network Configuration Manager یا NCM)
* نرم­ افزار مانیتورینگ برنامه­ های کاربردی و سرور (Application Performance Monitor یا APM و در نسخه جدیدتر SAM)
* نرم­ افزار آنالیز کننده ترافیک جریان شبکه (Orion Netflow Traffic Analyzer یا NTA)
* نرم­ افزار ردیاب دستگاه کاربر (User Device Tracker یا  UDT)
* نرم­ افزار مدیریت لاگ و رویدادها (SolarWinds Log & Event Manager)
* نرم­ افزار مدیریت فضای ذخیره­ سازی (SolarWinds Storage Manager)
* و …

ویژگی­ های کلیدی و برخی از مزایای برنامه SolarWinds

امروزه نرم­ افزارهای متنوعی بصورت رایگان و تجاری وجود دارند که هر کدام مزیت­ها و معایب خاص خود را داشته و امکانات متنوعی را ارائه می­دهند. فاکتورهای متنوعی برای مقایسه نرم­ افزارهای مانیتورینگ وجود دارد که هر کدام  برحسب شرایط و نیازمندی­های شما  اهمیت پیدا خواهند کرد. بی­ شک SolarWinds Orion یکی از کامل­ترین و مجهزترین نرم­ افزارهای مانیتورینگ دنیاست. در اینجا به برخی از مزایای نرم­ افزار مانیتورینگ SolarWinds اشاره می­کنیم:

* پشتیبانی از انواع نودهای شبکه
* تنوع گزارش
* سادگی نصب و راه­ اندازی
* قابلیت اطمینان
* تحمل بار پردازشی در شبکه­ های بزرگ

با استفاده از این محصول شما توانایی­های زیر را دارا خواهید بود:

* مانیتورینگ وضعیت سلامت شبکه
* قابلیت مانیتورینگ شاخص­ های منابع شبکه مثل میزان استفاده از CPU و حافظه و دیسک
* نظارت بر نحوه کار و کیفیت تجهیزات و شرایط محیطی
* گزارشات عددی و نموداری از کیفیت و پایداری تمامی اجزاء شبکه
* بررسی noise، نرخ انتقال داده وسیگنال در شبکه­ های بی­ سیم
* استفاده بهینه از پهنای باند و کنترل پهنای باند مورد استفاده توسط کاربران
* تخمین میزان پهنای باند مورد نیاز در آینده بر اساس میزان استفاده فعلی
* کنترل میزان پهنای باند مصرفی توسط هر پورت در یک سوییچ
* اینترفیس بسیار ساده
* ارائه کنسول مدیریتی تحت وب
* امکان مدیریت کاربران و مجوزها و نیز گروه کاربران و کنترل سطوح دسترسی
* اعلام اخطار و هشدار هنگام مشاهده هرگونه اختلال در انواع تجهیزات حتی شرایط محیطی
* قابلیت شناسایی خودکار تجهیزات شبکه ای موجود در شبکه
* قابلیت زمانبندی طرح های رصد شبکه
* پشتیبانی وسیع از تمامی دستگاه های تولیدی، تولید کنندگان مختلف تجهیزات شبکه
* رصد مداوم و دقیق نشانگرهای کارایی شبکه همچون: میزان استفاده از پهنای باند، نظارت بر Packet Loss ،Latency، خطاها، Discards و میزان استفاده از CPU و RAM در دستگاه های SNMP و دستگاه هایی که WMI در آنها فعال است
* امکان تنظیم هشدار برای تمامی وضعیت های شبکه و تجهیزات موجود در آن
* نصب و پیکربندی اولیه این برنامه در زمانی کمتر از یک ساعت به انجام می رسد
* برخورداری از قابلیت رصد وضعیت سلامت سخت افزارها
* امکان استفاده از نگاشت شبکه به کمک ConnectNow
* ساده سازی روند ساخت چارت های کارایی شبکه
* برخورداری از مرکز گزارش وضعیت
* برخورداری از قابلیت Wireless Polling
* و …

یک UTM استاندارد چه ویژگی هایی دارد؟

UTM ها دیگر یک گزینه نیستند، بلکه به یک ضرورت برای شبکه ها تبدیل شده اند.  

اما UTM ها باید ویژگی های خاصی داشته باشند تا بتوانند وظایفی که به عهده آنها گذاشته میشود به خوبی انجام دهند. در ذیل به برخی از مهمترین ویژگی های این دستگاه ها اشاره میگردد. در واقع در این مطلب میخوانیم که یک UTM استاندارد دارای این چه ویژگی هایی است:

Dynamic Dashboard

دارای یک داشبورد پویا می باشد که امکان مشاهده و رصد آخرین فعالیت های شبکه را میسر می سازد. منطقه بندی امنیت موجب کاربرپسندی بیشتر مفاهیم امنیت و اعمال سیاست های امنیتی می شود.

Notification

امکان ارسال ایمیل اخطار از فعالیت های شبکه و دستگاه UTM در این بخش قابل تنظیم می باشد. در ضمن آخرین اطلاعات شبکه و وضعیت سیستم با ارسال SMS به اطلاع مدیر امنیت سازمان می رسد.

New & Alerts

آخرین اخبار و پیام های اخطار سیستمی و امنیتی در داشبورد دستگاه قابل مشاهده می باشد. با کلیک بر روی هر خبر می توان اطلاعات کاملتری را از سامانه دریافت نمود.

Licensing

لایسنس منعطف و قابل افزایش از دیگر ویژگی‌های آن می باشد.

CPU, RAM usage

وضعیت لحظه ای و آنلاین مصرف CPU و حافظه در صفحه نخست پنل مدیریتی قابل مانیتور می باشد.

(Routing (Static, Dynamic

علاوه بر جدول مسیریابی  پیش فرض، می توان با تعریف قوانین سیاست گذاری روتینگ ایستا و نیز پویا، فرایند مسیریابی را بهبود داد.

DHCP

زمانی که یک کلاینت (یک کامپیوتر میزبان و یا یک دستگاه تحت شبکه مانند یک چاپگر با قابلیت شبکه)، به شبکه متصل شود، به صورت خودکار یک IP از رنج شبکه تعریف شده در DHCP دریافت خواهد کرد.

Dynamic DNS

مدیر شبکه می تواند از سرویس DNSهای پویا که توسط شرکت هایی مانند DynDNS ارائه می گردد، استفاده نماید.

VLAN

ایده ایجاد VLAN ها در UTMها ، ترکیب شبکه های مجازی با مناطق فایروال و افزودن یک سطح برای جداسازی بین مناطق امنیتی مختلف می باشد.

Security

امنیت در سطح دروازه، محافظت را به نقطه ورودی سازمان می برد. لایه های مختلف امنیتی در UTMها درنظر گرفته شده است. Firewall، IPS، Gateway Antivirus ، Content & URL Filtering، Email Security از مهم ترین ویژگی های امنیتی یو.تی.ام می باشد

Web Security

یکی از ماژول های امنیتی UTMها امنیت وب می باشد. مدیر شبکه با استفاده از این ماژول می تواند فعالیت های وب کاربران را کنترل نماید.

Gateway Antivirus

مدیر شبکه می تواند با استفاده از ماژولآنتی ویروس در سطح دروازه، کلیه ترافیک های ورودی به شبکه از طریق وب و ایمیل با استفاده از پروتکل های http، POP3، FTP را اسکن و ویروس زدایی نماید.

Email Security

یکی از راه های متداول انتشار آلودگی در سازمان، پست الکترونیکی می باشد. UTMها بر همه ی ورودی ها و خروجی های ایمیل ازطریق پروتکل های POP3 و SMTP نظارت دارند.

Anti-Spam

UTMها  مجهز به موتور شناسایی و جلوگیری از هرزنامه ها (Spam) می باشند. اگرچه در اکثر موارد Anti-Spam به صورت بی نقص عمل می کند، اما امکان ارتقا و افزودن تعاریف (با آموزش آنتی اسپم) جدید برای جلوگیری از ایمیل های اسپم برای آن در نظر گرفته شده است.

Intrusion Prevention System

دستگاه UTM مجهز به سامانه شناسایی نفوذ غیرمجاز (IDS) و سامانه پیشگیری نفوذ غیرمجاز (IPS) می باشد. این سامانه ها با شناسایی پکت های مهاجم از حمله و نفوذ آنها به صورت پیشگیرانه جلوگیری می نمایند.

Cache Management

دستگاه UTM مجهز به سامانه مدیریت حافظه نهان می باشد. مدیریت Cache علاوه بر افزایش چشمگیر سرعت اینترنت، در میزان پهنای باند مصرفی و سهمیه اینترنت صرفه جویی قابل ملاحظه ای را برای سازمان به ارمغان می آورد.

Stateful Inspection Firewall

فایروال UTM از چند ماژول برای مانیتورینگ و مسدود کردن انواع ترافیک های شبکه تشکیل شده است: Port forwarding / NAT، Outgoing traffic، Inter-Zone traffic، VPN traffic، System access.

امکان افزودن قوانین سفارشی برای انواع سرویس، یا هر پورت یا پروتکلی وجود دارد.

جداسازی کنترل شبکه ها در UTM، امکان مدیریت آسان تر فایروال را فراهم می کند. هر ماژول فایروال به صورت یک فایروال مستقل درنظر گرفته می شود و تاثیر ترکیب آنها بر روی همه جریان های پکت درحال عبور از UTM اعمال می شود.

(Quality of Service (QoS

هدف از ماژول QoS اولویت بخشیدن به ترافیک IP بر اساس سرویس می باشد که به منظور افزایش کارایی و بهینگی شبکه ضروری می باشد. به عبارت دیگر QoS یک روش آسان برای رزرو و گارانتی مقدار پهنای باند (ترافیک ورودی و خروجی) تخصیصی برای یک سرویس معین می باشد. معمولاً کاربردهای کنترلی و تعاملی مانند SSH یا VOIP نیاز به اولویت بندی ترافیک شبکه دارند.

(VPN (SSL & IPSec

یک ارتباط VPN می تواند دو شبکه محلی مجزا را از طریق بستر ارتباطی عمومی و معمولا ناامن مانند اینترنت، به صورت مستقیم به هم متصل گرداند. همه ی ترافیک های شبکه در میان اتصال VPN به صورت امن در داخل یک تونل رمزنگاری شده خارج از دید شخص ثالث منتقل می گردند. همانند یک پیکربندی Site-to-Site VPN، همچنین یک کامپیوتر راه دور در هر مکانی، می تواند از طریق اینترنت و با استفاده از یک تونل VPN به شبکه محلی LAN مطمئن متصل گردد. دستگاه UTM علاوه بر پشتیبانی از ایجاد VPNها بر روی پروتکل IPsec که توسط اکثر سیستم عامل ها و تجهیزات شبکه پشتیبانی می گردد، از پروتکل OpenVPN نیز پشتیبانی می کند.

(Multi-WAN (with Failover

امکان استفاده از چندین اتصال اینترنت به طور همزمان وجود دارد.

Centralized Management

مدیریت متمرکز با استفاده از صفحه وب میسر می باشد. امکان تعریف انواع سیاست گذاری های امنیتی و شبکه میسر می باشد.

(Quote Management (Accounting for users

جهت بهینه سازی مصرف و سرعت اینترنت درون سازمان، مدیر شبکه می تواند علاوه بر اعمال سیاست های QoS، میزان سهمیه مصرفی برای هر فرد یا گروه را تعیین نماید. امکان مشاهده کاربران آنلاین و صفحه ی در حال مشاهده، میزان حجم مصرفی و باقیمانده و ویرایش قطع یا وصل اینترنت فرد/گروه در این ماژول قابل اعمال می باشد.

Policy Management

UTM اجازه تعریف و اعمال انواع سیاست گذاری امنیتی و مدیریتی را برای سازمان میسر می سازد. سیاست گذاری های دسترسی، احراز اصالت، فیلترینگ محتوا وآنتی ویروس. فیلتر اسپم (هرزنامه) و آنتی ویروس، ویروسیابی فایل های دانلود شده از طریق FTP، فیلترینگ هرزنامه ها و ویروس های انتقالی از SMTP،کشیینگ ضد جاسوس افزار برای DNS تنها بخشی از سیاست های UTM می باشد که می توان بر روی همه/کاربر خاص/گروه خاص/ رایانه خاص اعمال نمود.

امکان تعریف حساب کاربری و گروه به صورت مستقل یا ارتباط با Active Directory مهیا می باشد.

Monitoring

مدیر سازمان می تواند به صورت آنلاین از وضعیت سیستم Webroam UTM، کانکشن های درحال اجرا، شبکه، نمودارهای سیستم، پراکسی، اتصالات VPN مطلع گردد.

Logs & Reports

یکی از بخش های مهم و کلیدی UTM گزارش گیری و وقایع نگاری آن می باشد. امکان مشاهده، چاپ و دریافت فایل خروجی با فرمت های PDF و XLS از گزارش های Content Filtering ، Firewall ، IPS ، Visited Site  میسر می باشد.

همچنین امکان تعریف گزارش های دلخواه بر حسب درخواست سازمان و مذاکرات با واحد بازرگانی وجود دارد.

مجازی‌سازی و کلاسترینگ‌ در مایکروسافت (قسمت دوم)

در قسمت اول این مقاله به مجازی سازی در پلت فورم مایکروسافت اشاره کردیم.

محتویات ماشین مجازی :

همزمان با ساختن یک Virtual Machine در مسیر نصبی که خودمان تعیین کردیم تعدادی فایل (XML , VHD/VHDX , VSV) به صورت پیش فرض ایجاد می‌شوند. که هرکدام ازآنها نقش مهمی درحفظ و نگه داری ماشینهای مجازی ایفا می‌کنند.

XML

• فایلی برای نگه داری تنظیمات  و مشخصات ماشین مجازی.
• اهمیت حفظ این فایل کم حجم بسیار زیاد است مخصوصا در زمان کپی ، Import کردن یا Live Migrate چراکه سایر فایل ها را به هم متصل میکند.
• در صورت عدم وجود این فایل امکان راه اندازی  VM وجود ندارد.
• امکان تغییر آن تنها در صورت Stop بودن سرویسVMMS ممکن است (مثل تغییر دادن MAC).

VHD / VHDX

• معمول ترین نوع Storage که یک ماشین مجازی استفاده می‌کند.
• نمونه مجازی یک هارد فیزیکی است که بر روی هارد فیزیکی ذخیره می‌شود.
• هر VM حداقل یک فایل VHD دارد.
• بر اساس کاربرد ۳ نوع (Fix , Dynamic , Diffrencing) هستند.
• تنها در صورت استفاده از هارددیسک‎های فیزیکی (Path-Through) نیازی به استفاده ازین فایل نیست.

AV​HD

• ​فایل Automatic VHD هنگامی ایجاد می‌شوند که از یک ماشین مجازی Snapshot می‌گیریم.
• پس از ایجاد Snapshot کلیه عملیات Read/Write روی فایل AVHD انجام می‌شود و از فایل قبلی تنها برای خواندن اطلاعات گذشته استفاده می‌کند.
• در زمان حذف یک Checkpoint اطلاعات فایل AVHD (که جدیدتر هستند) می بایست با فایل VHD ادغام شود.
• امکان تهیه حداکثر ۵۰ Checkpoint به ازای هر ماشین مجازی وجود دارد.
• استفاده از Snapshot در محیط های عملیاتی ممکن است سبب افزایش پیچیدگی‌های مدیریتی، کاهش کارایی VMها و یا حتی از دست رفتن اطلاعات (در صورت بروز خطاهای انسانی) شود.
• عملکرد فایل AVHD تا حدودی شبیه به فایل‌‎های Differencing است بوده که استفاده از آن‌ها در محیط عملیاتی توصیه نمی‌شود و در محیط های آزمایشی و تست نرم افزارها بسیار کارآمد است.

VSV

• در ماشین های مجازی حالتی به نام Save وجود دارد که مشابه Hibernate در سیستم های فیزیکی است.
•  این فایل حاوی آخرین وضعیت دستگاه های مجازی متصل شده به VM است.
• هنگام بازیابی VM وضعیت دستگا‌های مجازی همانند حالتی قبل از Save شدن تنظیم میگردند.

BIN

• هنگامیکه ماشین مجازی به حالت Saved می‌رود کلیه اطلاعات داخل RAM آن در فایلی با پسوند .BIN ذخیره می‌شود.
• این فایل شامل آخرین اطلاعات RAM ماشین مجازی بوده و در هنگام Start مجددا بداخل RAM بارگزاری می‌شود.
• محل ذخیره سازی این فایل در محل فایل پیکربندی و در شاخه ای به نام GUID ماشین مجازی است.
• اندازه این فایل به اندازه حافظه RAM بستگی داشته.

مجازی‌سازی و کلاسترینگ‌ در مایکروسافت (قسمت اول)

مجازی سازی سرورها تکنولوژی بود که دنیای IT را تغییر داد و اولین بار سال ۱۹۶۰ به عنوان یک روش منطقی تقسیم منابع سیستم بین برنامه های مختلف ارائه شد. تا اینکه سال ۲۰۰۳ کمپانی مایکروسافت با خرید تکنولوژی مجازی‌سازی از شرکت Connectix پا به دنیای مجازی‌سازی گذاشت و در سال ۲۰۰۸نسل جدیدی به نام Hyper-V به بازار عرضه کرد همچنین در سال ۲۰۱۲ نسل سوم را با تغییرات چشم گیر و متفاوت‌تری ارایه داد. درنهایت در سال ۲۰۱۶ جدیدترین نسل، Windows server 2016 Hyper-V را معرفی کرد که این نسل روی بسیاری از کمپانی‌های رغیب را کم کرده است.

از مزایای آن به موارد زیر می‌توان اشاره کرد:

–  کاهش هزینه‌های خرید و نگه داری سرورهای فیزیکی

– قدرت کنترل بیشتر در زمان بروز مشکل

– بالا بردن زمان سرویس دهی مدوام و تحمل خطا

– ایجاد محیط تست قبل از راه اندازی هر سرویس

– کاهش مصرف انرژی

و …..

انواع مجازی سازی:

مجازی سازی سرور

ایجاد تعدادی سرور مجازی در سرور فیزیکی است. در واقع یک لایه نرم افزای (Hypervisor) بین سرور فیزیکی و سیستم عامل قرار می گیرد و اجازه می دهد چندین ماشین مجازی را بر روی سرور فیزیکی اجرا کنیم.

مجازی سازی شبکه

برای ایجاد یک شبکه مجازی در یک سرور فیزیکی به کار می رود تا ماشین های مجازی با‌هم یا سرورهای خارج از شبکه‌شان ارتباط داشته باشند.

 مجازی سازی دسکتاپ

این روش، سیستم عامل کامپیوترهای شخصی را از ماشین فیزیکی جدا می ‏کند و ماشین مجازی حاصل را، به جای اینکه روی هارد دیسک کامپیوتر کاربر ذخیره کند، روی یک سرور مرکزی ذخیره می‏کند بنابراین وقتی کاربران در حال کار با ماشین خودشان هستند، همه برنامه‏ ها و عملیات پردازشی و داده‏ های استفاده شده توسط آنان روی سرور مرکزی اجرا و نگهداری می‏شود.

مجازی سازی نرم افزار

با این روش می توانید نرم افزارهای مورد نیاز را در هر جایی که می خواهید استفاده کنید. نکته ی کلیدی این روش تجمع کلیه فایل های نرم افزار در یک فایل اجرایی می باشد. در این روش فایل مورد نظر از سخت افزار مستقل می شود.

مجازی سازی Storage

این روش جهت مجازی سازی SAN Storage به کار می رود و عمده کاربرد آن در کلاسترینگ است.

عموما وقتی حرف از Virtualization می‌شود مجازی سازی سرورها بیشتر در نظر می‌آید. این تصور برای آشنایی اولیه با دنیای مجازی‌سازی قابل قبول است که در قسمت های اولیه مقالات مفصلا به این بحث می‌پردازیم.

 انواع Hypervisor :

Hypervisor که به آن (Virtual Machine Manager :VMM)  هم  می‌گویند یک لایه نرم افزاری است که اجازه می‌دهد چندین ماشین مجازی مستقل، از یک پلت فرم سخت افزاری اشتراکی استفاده کنند. که با توجه به کاربرد آن دو نوع متداول دارد:

Native or Bare-Metal

این مدل مجازی ‌سازی را Type 1 هم می‌نامند که در محیط های عملیاتی به کار می‌بریم. لایه Hypervisor روی سخت افزار نگاشت می‌شود و سیستم عامل Core بر روی Hypervisior در نتیجه اگر سیستم عامل Core از دست برود ماشین های مجازی در وضعیت خود باقی می‌مانند و صرفا دسترسی به آن‌ها نداریم که با نصب مجدد Core ماشین های مجازی بازگردانده می‌شوند.

Hosted

این مدل را مجازی سازی  ۲ Type می‌گویند که بیشتر مناسب محیط های تست و کاربردهای خانگی هستند.  در این نوع مجازی‌سازی سیستم عامل Core روی سخت افزار نصب می‌شود و لایه Hypervisor روی سیستم عامل Core است. پس این سیستم عامل همه منظوره سبب کاهش سرعت دسترسی به منابع می‌شود (افزایش فراخوانی ها). و اگر ویندوز Host  از دست برود ماشین های مجازی هم از بین می‌روند

 نصب رول Hyper-V 

Hyper-V یک تکنولوژی Hypervisor-Base است که از ویندوز سرور۲۰۰۸ (X64) ارایه شد و شرط لازم برای ایجاد ماشین مجازی در هر نوع ویندوزی می‌باشد. در ادامه انواع نصب و کابرد آنها را توضیح می‌دهیم:

ویندوز سرور Core

زمانی که می‌خواهیم یک سرور فیزیکی را برای میزبانی ماشین‌ها یا سرورهای مجازی آماده کنیم ابتدا باید یک سیستم عامل Core نصب شود. پس از آن حتما باید رول Hyper-V را در آن فعال کنیم تا آمادگی میزبانی ماشین های مجازی را داشته باشد. زیرا پس از نصب رول  Hyper-V در پارتیشن Parent یکسری کامپوننت‌ها برای مدیریت ماشینهای مجازی ایجاد می‌شود.  قابل ذکر است که در سرور Core نسخه ۲۰۱۲  این رول پیش فرض نصب می‌شود اما اگرسرور۲۰۰۸ است باید  با دستورات PowerShell این کار را انجام دهیم.

Install-WindowsFeature -Name “Hyper-V” -ComputerName <computer_name> -IncludeManagementTools -Restart

ویندوز سرور GUI

در ویندوز سرورهایGUI به صورت یک رول در کنار سایر رول ها با کنسول Add Role and Feature نصب می‌شود و از طریق Administrative Tools در دسترس است. نصب ماشین مجازی در ویندز سرور GUI نسبت به حالت قبل کارایی چندانی ندارد.

ویندوز Client

در ویندوز‌های دسکتاپ پس از نصب رول Hyper-V چنانچه درکنسول Hyper-V  Manager به سیستم عامل Local خود وصل شویم و در آن ماشین مجازی نصب کنیم یکHyper-V Client  ایجاد کرده ایم. عمده استفاده این مدل برای تست و آموزش است. برای نصب این رول ابتدا باید پکیجRSAT را از طریق Windows Feature  فعال کنیم.

تعدادی از قابلیت های Hyper-V Server  Hyper-V Client که وجود ندارند عبارتند از :

• Remote FX Capability to Virtualize GPUs – Software GPU in RDP 
• Live VM Migration
• Hyper-V Replica
• SR-IOV Networking
• Synthetic Fibber Channel

 معماری Hyper-v :

پارتیشن بندی و فراهم سازی منابع اختصاصی به ازای هر پارتیشن همچنین کنترل دسترسی به سخت افزار از وظایف مهمHypervisor است. پارتیشن ها Container‌هایی هستند که توسط Hypervisor از یکدیگر جدا نگه داشته می‌شوند و دارایComponent‌های متعددی هستند.

Parent Partition

پارتیشن پیش فرضی است که با نصب سرور Core بصورت خودکار نصب می‌شود. دسترسی مستقیم به سخت افزارها دارد و وظیفه آن فراهم کردن منابع برای پارتیشن های فرزند (Child Partition) است که این پروسه از طریق (Virtual Service Provider :VSP)  انجام می‌شود.

Child Partition

این پارتیشن شبیه‌سازی شده نرم افزاری یک کامپیوتر فیزیکی است که بطور کلی به آنها ماشین مجازی (Virtual Machin) گفته می‌شود. در پارتیشن فرزند دسترسی مستقیم به سخت افزار‌های فیزیکی داده نمی‌شود و تنها تصویری مجازی ازمنابع فیزیکی دارد. در این پارتیشن یک تجهیز شبیه سازی شده به نام (Virtual Service Client :VSC) وجود دارد که به واسطه VMBus درخواست های منابع مجازی را به VSP ارسال می‌کند.

‌ظرفیت‌های  Hyper-V 2012R2:

مشخصا هر سیستم عاملی با توجه به کاربردش ظرفیت‌ها یا محدودیت‌های خود را دارد که این مقادیر همگام با ترقی و پیش‌روی تکنولوژی افزایش می‌یابند. در جدول زیر اطلاعاتی از ظرفیت تخصیص منابع در هایپروی درج شده است.

انواع ماشین های مجازی :

پس از آشنایی با انواع مجازی سازی و ویندوزهای میزبان VM نوبت به تعیین مدل ماشین‌های مجازی می‌رسد. متذکر می‌شویم پس از انتخاب نوع ماشین مجازی تغییر آن ممکن نیست پس حتما در زمان نصب ماشین مجازی به این گزینه دقت داشته باشید. اکنون توضیحات کاملی در خصوص مقایسه نوع VM‌ها و کاربرد آنها ذکر می‌شود:

Generation 1

این نسل قدیمی تر ماشین های مجازی هست که تا قبل از سرور ۲۰۱۲R2 فقط از این مدل استفاده می‌شد. ویژگی‌های آن در مقایسه با مدل دوم عبارتند از:

G1 از کنترلر۱ برای اولین هارد و از کنترلر۲ برای DVD استفاده میکند که هردو آنها حتما باید IDE باشد بنابراین این مدل فقط IDE Boot است. ولی  از کنترلر دوم به بعد می‌توانیم ۴ عدد کنترلر SCSI اضافه کنیم.

مزیت G1 نسبت به G2 اینست که از Physical DVD Drive وفلاپی داریو پشتیبانی می‌کند.

مزیت دیگر اینست که RemotFX و vGPU فقط در این مدل قابل استفاده است.

با G1 میتوان فایل VHD را به VHDX تبدیل کرد اما درG2  این امکان وجود ندارد.

Generation 2

مدیران مایکروسافت در سرورهای۲۰۱۲R2  یک گزینه جدید به ماشین های مجازی اضافه کردند که این مدل نسبت به G1 برتری های چشم گیری دارد.

(UEFI (Universal Extensible Firmware Interface بوت هستند. UEFI در واقع جایگزین بایوس است و البته بسیار مفصل‌‌تر، پیچیده‌تر و پیشرفته‌تر از آن و چیزی شبیه به یک سیستم ‌عامل خواهد بود و در نتیجه محیط حالت DOS بایوس‌های فعلی، جای خود را به محیط گرافیکی حالت ویندوز می‌دهد که امکان استفاده از ماوس نیز در آن فراهم شده است.

در این مدل کنترلر IDE حذف شده و فقط SCSI ساپورت میکند درنتیجه ویندوزSCSI Boot است که مشخصا سرعت کار افزایش خواهد یافت.

برای PXE Boot الزاما نباید Legacy Adapter ایجاد کنیم و با کارت شبکه های مجازی استاندارد PXE بوت ممکن است. درکل از Legacy Adapter پشتیبانی نمی‌کند.

فقط ازهاردهای با فورمت VHDX ساپورت می‌کند. و اگر فایل VHDX تبدیل شده از حالت VHD باشد باز هم پشتیبانی نمی‌کند. حتما باید از ابتدا فایل به صورت VHDX ایجاد شود.

ماشینی با G2 قابل ایمپورت کردن در Hyper-V 2012 نیست زیرا این امکان از ۲۰۱۲R2 اضافه شده است.

G2 فقط از سیستم عامل های ۶۴ بیتی با UEFI ساپورت میکند. پس حتی در ویندوز ۸٫۱ که ۳۲ بیتی است ممکن نیست.

در این مدل ۴ عدد SCSI Controller میتوان اضافه کرد که هر کنترلر  ۶۴ عدد هارد داشته باشد. (در مجموع ۲۵۶ هارد)

همزمان بیش از۴ دی وی دی درایو مجازی ساپورت می‌کند.(فایل ISO انتساب داده شده)

iSCSI  یا Fiber Channel بوت نیستند.

Secure Boot به صورت پیش فرض فعال است.

ماکسیمم کارت شبکه های فعال ۸عدد است.

با اینکه (Windows 2008R2 (X-64 نیز UEFI است نمیتوانیم G2 داشته باشیم به دلیل وجود programmable interrupt controller (PIC)

۱۰ نکته مهم در مورد مجازی سازی که هر مدیر شبکه ای باید بداند – قسمت دوم

در قسمت اول به ۵ نکته ابتدایی در مورد مجازی سازی اشاره شد. در این قسمت به ادامه این موارد میپردازیم.

۶: از ماشین های مجازی برای سیستم‌های یکبار مصرف استفاده کنید

این مساله ممکن است برای برخی افراد کمی عجیب به نظر برسد، اما مواقعی هست که شما موقتاً نیاز به یک سیستم و یا سرویس دارید. در چنین مواقعی هیچ راهی بهتر از ارائه یک سرویس موقت با ماشین‌های مجازی وجود ندارد. نیاز به یک سرور FTP موقت هست؟ ماشین مجازی کارساز است. نیاز به یک پرینت سرور یا وب سرور موقت هست؟ ماشین مجازی کفایت می کند. یک نکته خوب راجع به ماشین‌های مجازی این است که منابع سخت افزاری آنها برای شما هزینه بر نیست، بنابراین ایجاد چنین ماشینی بسیار آسان است. شما حتی می‌توانید ماشین‌های مجازی خاصی را برای “وظایف یکبار مصرف” ایجاد کرده و آنها را تنها در صورت نیاز فعال کنید.

۷: هنگامی که کارآیی مهم است، از دیسک‌های حجیم استفاده کنید

اکثر مدیران برای ماشین‌های مجازی خود دیسک‌هایی با حجم پویا ایجاد می‌کنند. برای آن دسته از ماشین‌های مجازی که نیاز به کارآیی بیشتری دارند، باید دیسک های حجیمی  اختصاص دهید. به عبارت دیگر، یک اندازه واقعی برای دیسک در پیکربندی ماشین مجازی تنظیم کنید. بله، باید برنامه ریزی‌های لازم را بکنید تا ماشین میزبان فضای کافی برای سرویس دهی به  ماشین‌های مجازی را داشته باشد. اما کارآیی حاصل از این کار قطعاً ارزش وقتی که صرف کرده‌اید را خواهد داشت.

۸: تمام ابزارهای توسعه ماشین مهمان (guest)و مجازی سازی را نصب کنید

این امر اجتناب ناپذیر است. اکثر ابزارهای ماشین مجازی (مانند VMware و VirtualBox) ابزارهای توسعه ماشین مهمان و دیگر ابزارهای مجازی سازی را ارائه می‌دهند که برای بهبود تجربه و عملکرد و همچنین ارتباط یکپارچه مهمان و میزبان ایجاد شده‌اند. بسیاری از مدیران از نصب این ابزارها با فرض اینکه غیر ضروری هستند، غفلت می‌کنند. اما شما آنها را نصب کنید. ابزار‌های یکپارچه سازی ماوس، درایورهای صفحه نمایش، یکسان سازی زمان مهمان- به- میزبان ، و ابزار‌های دیگر می‌توانند برای کمک به کارآمدتر ساختن یک ماشین مجازی نصب شوند. اگرچه ممکن است لازم نباشند، اما برای بهبود قابلیت استفاده نهایی مفیدند.

۹: سیستم میزبان خود را در تمام اوقات کاملاً به روز نگه دارید

اکثر افراد تصور می‌کنند تمام فشار روی سیستم عامل ماشین مهمان است. هر چند این امر برای ماشین مجازی درست است، میزبان نیز نقش مهمی در این فرآیند ایفا می‌کند. آخرین چیزی که شما نیاز دارید این است که ماشین‌های مجازی خود را بر روی یک دستگاه آسیب پذیر ایجاد کنید. اگر این سرور میزبان ماشین‌های مجازی متعددی نیست، مطمئناً تنها چیزی که در معرض خطر است داده‌های ارزشمند سرور است. اما از آنجا که سرور میزبان تعدادی ماشین مجازی است (که برخی از آنها می‌تواند متعلق به مشتریان باشد)، تهدید از دست دادن داده‌ها به طور قابل توجهی افزایش می‌یابد. به همین دلیل، شما باید مطمئن شوید که ماشین میزبان به روز و همیشه ایمن است.

۱۰- از یک راه کار جامع برای مانیتورینگ زیر ساخت های مجازی سازی استفاده کنید

نظارت بی وقفه و جامع زیر ساخت های مجازی سازی از اهمیت بسیار بالایی برخوردار است، به خصوص در مواقعی که تعداد سرورهای مجازی شما زیاد باشد امکان کنترل سلامت و بررسی وضعیت هر یک از سیستم ها به صورت موردی و دستی امکان پذیر نیست، لذا شما نیاز به راه کاری تخصصی برای مانیتورینگ ۲۴ ساعته سرورهای مجازی دارید که در صورت بروز هر گونه اشکال شما را بلادرنگ از موضوع با خبر سازد، سیستم جامع مانیتورینگ شبکه و دیتا سنتر بینا همه آنچه شما برای این امر نیاز دارید در اختیارتان قرار خواهد داد

۱۰ نکته مهم در مورد مجازی سازی که هر مدیر شبکه ای باید بداند – قسمت اول

مجازی سازی می‌تواند موجب کاهش هزینه‌ها، تسهیل امور مدیریتی، و توانمند ساختن یک سازمان در بهره وری هر چه بیشتر از سرمایه‌های فنی خود شود. نکاتی که در ادامه می‌خوانید به شما کمک می‌کند تا از این منافع بهره مند شوید.

مجازی سازی برای تمامی شرکت‌ها در هر اندازه‌ای که باشند به یک ضرورت تبدیل شده است. از شرکت های بسیار کوچک تا شرکت های بزرگ خدمات تولید, مجازی سازی کمک می‌کند تا از سخت‌افزارهای خود بهره وری بیشتری کنند و این سخت افزارها برای شرکت ‌های خود نسبت به سابق کار بیشتری انجام دهند. این فناوری برای بسیاری از شرکت‌ها کاملاً جدید، اما برای بقیه کهنه و قدیمی شده است. صرف نظر از این که شما در چه موقعیتی هستید، مجازی سازی یک فناوری گسترده با اجزای متحرک فراوان است. داشتن دانش انجام کاری به بهترین وجه که متناسب با نیازهایتان باشد باید هدف اصلی شما و تیم IT شرکتتان باشد. با در نظر گرفتن این ایده، در ادامه به بررسی ۱۰ نکته راجع به مجازی سازی می‌پردازیم که نباید توسط مدیران شبکه نادیده گرفته شوند. البته منظور ما آن دسته از مدیران شبکه است که تازه این فناوری را مد نظر قرار داده‌اند (یا قبلاً راجع به آن بررسی دقیقی کرده‌اند).

۱: سخت افزار را برای ظرفیت مجازی برنامه ریزی کنید

هنگامی که در مراحل اولیه برنامه ریزی محیط مجازی خود هستید، اشتباهاً سخت افزاری را خریداری نکنید که توان مدیریت باری که مجازی سازی روی آن قرار می دهد را ندارد. در این زمینه شما نیاز به تعمق بیش از حد معمول دارید. به یاد داشته باشید که سرور شما ممکن است میزبانی ماشین‌های مجازی متعددی را بر عهده گیرد، بنابراین باید قدرت اولیه و همچنین فضای لازم برای رشد را داشته باشد. در نهایت شما به سرور میزبانی نیاز دارید که مختص ماشین‌های مجازی باشد. ظرفیت را دو برابر اندازه گیری کنید، با اعمال هر ماشین مجازی یک ظرفیت کم کنید. تصور نکنید که یک ماشین مجازی فضای کمی را بر روی سرور اشغال می‌کند. و همچنین فرض را بر این نگذارید که سرور  شما تنها میزبان یک ماشین مجازی است.

نرم افزار مانیتورینگ شبکه و دیتاسنتر بینا تصویری واضح از میزان استفاده از منابع سخت افزاری توسط هر یک از ماشین های مجازی در اختیار شما قرار می دهد.

۲: طول عمر هر ماشین مجازی را پیگیری کنید

من از برخی مدیران شبکه شنیده‌ام که یک ماشین مجازی را رها کرده و با کمترین و حتی بدون نظارت گذاشته‌اند که کار خود را بکند. شما باید تمامی ماشین‌های مجازی خود را از ابتدا تابه انتها پیگیری کنید. همچنین همیشه باید راجع به این که ماشین‌های مجازی تا چه اندازه گسترش یافته ‌اند، وضعیت کنونی آنها چیست، چه مقدار ترافیک را به خود اختصاص داده‌اند، و هر نوع اطلاعات دیگری که به دست می‌آورید، مطلع باشید. موضوع بسیار وسوسه انگیز این است که بگویند: ماشین‌های مجازی را “تنظیم کن و فراموش کن”، اما این یک اشتباه فاحش است و می‌تواند شما را در دنیایی از مشکلات فرو ببرد. نرم افزار مانیتورینگ بینا میزان استفاده از پهنای باند توسط هر یک از ماشین های مجازی را به شما نمایش می دهد و شما به آسانی ماشین هایی که بیشترین ترافیک شبکه را دارند شناسایی و مدیریت خواهید کرد.

۳: هر چیزی را مجازی سازی نکنید

هر چیزی را نباید مجازی سازی کرد. منظور سرور FTP است که تنها ترافیک داخلی چندین کاربر را دریافت می‌کند؟ احتمالاً خیر. پرینت سرور؟ نه احتمالاً. شما نیاز به ایجاد یک برنامه مشخص و دلایل قاطع برای هر چیزی که مجازی سازی می‌شود، دارید. اولین چیزی که باید از خودتان بپرسید این است که “چرا لازم است سرور X را مجازی سازی کنیم؟ وقتی توانستید به این پرسش با اندکی اطمینان پاسخ دهید، همین استدلال را برای هر سروری که فکر می‌کنید از مجازی سازی سود می‌برد، به کار ببرید.

۴: ترافیک مجازی را همچون ترافیک غیر مجازی نظارت کنید

مطمئن شوید که ترافیک مجازی را همچون ترافیک غیر مجازی خود نظارت می‌کنید. خیال خود را با این تفکر که میزبان‌های مجازی ایمن‌ترند صرفاً به این دلیل که به صورت آنی می‌توانید وضعیت آنها را با یک هشدار کنترل نمایید، راحت نکنید. این یک حس کاذب از ایمنی است و نباید به عنوان جایگزینی برای امنیت در نظر گرفته شود. اما نظارت فراتر از امنیت می‌رود. شما باید از ترافیک داخلی و خارجی ماشین‌های مجازی خود اطلاع داشته باشید. پس از یک دوره زمانی معین، شما می‌فهمید که آیا لازم است به ماشین‌های خاصی منابع بیشتری داده شود و این که آیا به سایر ماشین‌های مجازی می‌توان به صورت مستقل سرویس داد.

۵: منابع مجازی را به صورت رایگان نبخشید

من بارها دیده‌ام: ماشین‌های مجازی که به نظر می‌رسند فضای کمی اشغال می کنند به راحتی در یک حوزه به صورت “رایگان” در اختیارگذاشته می‌شوند. این کاررا نکنید. حتی یک سرور را به صورت رایگان از حالت مستقل به حالت مجازی شده تغییر ندهید. مشتریان باید منافعی که از سرور مجازی شده عاید آنها می شود را درک کنند. مجازی سازی همراه با تمام مزایایی که با خود به ارمغان می‌آورد، هزینه ای دارد. علاوه بر این، فناوری مورد نیاز برای مجازی سازی دارای هزینه‌های مرتبط است، و گاهی اوقات این هزینه‌ها بالاست. سازمان شما نمی‌تواند به تنهایی از عهده این مخارج برآید.

Group Policy چیست؟ (قسمت اول)

Group Policy چیست؟

Group Policy ساختاری است که برای اعمال مجموعه ای از تنظیمات یا سیاست ها (حال یا امنیتی یا غیرامنیتی) به مجموعه ای از کاربران و کامپیوترهای یک ساختار اکتیودایرکتوری بکار می رود.شما از طریق Group Policy یا به اختصار GP می توانید یک سری تنظیمات امنیتی و کاربری را در سیستمتان انجام دهید ، در کامپیوترهای Local یا کامپیوترهایی که به عنوان سرور استفاده می شدند و دارای دامین کنترلر و اکتیودایرکتوری نیستند شما می توانستید یک GP را به مجموعه ای از کاربران Assign یا اعمال کنید ولی در شبکه که دارای دامین کنترلر و اکتیودایرکتوری است شما می توانید بینهایت GP را به کامپیوترها، کاربران و OU ها Assign کنید ، Group Policy دراین شبکه ها یک Object می باشد و شما میتوانید به ازای هرکدام از Object ها در دامینتان ، یک GP داشته باشید ،از اینرو به آن Group Policy Object یا به اختصار GPO مینامند.نکته ی دیگری که باید دقت کنید این است که شما به یک کاربر یا کامپیوتر بیشتر از ۹۹۹ GPO نمی توانید اعمال کنید.البته لازم به ذکر است که طراحی GP مبحثی است که در حوصله ی این مقاله نمیگنجد.

سطوح مختلف اعمال Group Policy

Group Policy درسطوح مختلفی وجود دارد که از نظر اولویت به ترتیب زیر می باشند :

• Sub OU Group Policy اولویت اول
• OU Group Policy اولویت دوم
• Domain Group Policy اولویت سوم
• Site Group Policy اولویت چهارم
• Local Group Policy اولویت پنجم

همانطور که از اسم هر سطح پیداست،LGP ،GP مربوط به سیستمهای local است.DGP هم GP های اعمال شده به دامین کنترلر می باشد.SGP هم GPهای اعمال شده به سایت ( به فضایی که سیستم ها در آن قرار میگیرند سایت گفته می شود ) می باشد و UGP هم GP هایی است که به هر OU اعمال می شود.حال نکاتی را باید در نظر داشته باشید:

• به صورت پیش فرض تمامی سیستم ها قبل از آنکه به عضویت دامین در آیند از LGP یا local group policy تبعیت می کنند.
• به صورت پیش فرض اگر به هیچکدام از OU ها یا سایت ، GP اعمال نشود،از GP مربوط به دامین استفاده می کنند.

 

GPOهای ساخته شده بصورت پیشفرض

برای اینکه به کنسول مدیریتی Group Policy Management دسترسی پیدا کنیم می بایست در Run تایپ کنیم gpmc.msc و بعد OK را بزنیم تا این کنسول نمایان شود مانند شکل زیر:

همانطور که در شکل مشاهده می کنید در اینجا دامین ما وجود دارد و به ما نشان میدهد که چه OUهایی داریم و چه Policyهایی به آنها Assign شده ، در Group Policy Management به صورت پیشفرض دو عدد GPO وجود دارد که خود به طور پیشفرض یک سری تنظیمات امنیتی در آنها وجود دارد:

• Default Domain Policy : که Policy های تنظیم شده دراین قسمت ،به کامپیوترها و یوزرهای Join شده به دامین را اعمال میشود.
• Default Domain Controller Policy : که Policy های اعمال شده به این قسمت ،تنها به دامین کنترولرهای شبکه اعمال میشود.

ایجاد ، حذف و لینک کردن GPO

برای اینکه یک GPO درست کنیم بر Group Policy Objects راست کلیک میکنیم و New را میزنیم و در پنجره باز شده یک نام برای آن نوشته و OK میکنیم تا GPO ساخته شود.حالا برای اینکه این GPO را به یک OU ، Assign کنیم می بایست روی OU راست کلیک کرده و Link an Existing GPO را بزنیم سپس در پنجره باز شده لیست Group Policy Object های ساخته شده نشان داده میشود و GPO مد نظر خود را انتخاب می کنیم تا Assign شود. برای اینکه یک GPO را از OU برداریم می بایست بر روی GPO ی Link شده در مسیر OU مد نظر ، راست کلیک کرده و Delete را بزنیم دقت داشته باشید که از این روش تنها لینک از OU پاک میشود و برای پاک کردن GPO بصورت کامل میبایست GPO مد نظر را از مسیر Group Policy Objects پاک کنیم .با راست کلیک بر روی Group Policy Objects میتوانید لیست GPOهای ساخته شده را مشاهده کنید و با راست کلیک بر روی هرکدام از آنها و انتخاب Edit وارد تنظیمات GP آن شوید.

آشنایی با تب های موجود در تنظیمات OU و GPO

با کلیک بر روی GPO مد نظر در سمت راست تصویر یک سری تنظیمات را مشاهده می کنید به شکل زیر نگاه کنید :

در تب Scope می توانیم ببینیم که این GPO به کجاها Assign شده است. در قسمت Links می بینیم که این GPO به چه Siteها ، Domainها و یا OUهایی Assign شده و در قسمت پایین تر یعنی Security Filtering میتوانید مشخص کنید که این GPO چه یوزرها ، گروهها و یا کامپیوترهایی را تحت تاثیر قرار داده است ، همانطور که مشاهده می کنید در اینجا Authenticated users به صورت پیشفرض وجود دارد به این معنی که GPO ساخته شده میتواند تمامی یوزرها ، گروهها و یا کامپیوترهایی که احراز هویت شده اند و دارای username و password ( که البته این پسورد می تواند blank باشد ) هستند را تحت تاثیر قرار می دهد.

تب بعدی Details هست که در آن میتوانید وضعیت GPO را مشاهده کنید همچنین میتوانید تعیین کنید که این GPO به کامپیوترها اعمال شود یا یوزرها ، هیچکدام و یا هر دو آنها .

تب بعد Setting هست که گزارش میدهد که چه تغییراتی در این GPO انجام شده.

و در تب آخر که Delegation هست شما می توانید انجام یک سری از تنظیمات را به کاربران واگذار کنید.از آنجا که در شبکه های بزرگ یا متوسط ، چندین نفر در بخش شبکه مشغول فعالیت هستند از اینرو هر شخص وظایف مختلفی خواهند داشت.در این بخش شما می توانید کارها را در شبکه تقسیم بندی کنید و به هر شخص متناسب با کاری که باید انجام دهد ، دسترسی هایی را تعریف کنید.بدینصورت که یک یوزر را Add میکنید بعد روی یوزر کلیک کرده و Advanced را می زنید و Permission های مد نظر خود را اعمال می کنید. خوب حال در سمت چپ شما می توانید کلیه OU هایی که ایجاد کرده اید را مشاهده کنید. اگر بر روی هر OU درسمت چپ کلیک کنید گزینه های زیر را مشاهده خواهید کرد ، با هم نگاهی کوتاه به آنها می اندازیم:

تب اول Linked Group Policy Objects که GPOهای لینک شده به OU را به ترتیب اولویت نشان میدهد.

تب دوم Group policy Inheritance هست که نشان میدهد که چه GPOهایی و با چه اولویتهایی به آن Assign شده اند.

و تب سوم Delegation هست که برای واگذاری تغییر تنظیمات به عهده کاربر است.