मुझे अपने क्लाउड-होस्ट किए गए वर्चुअल नेटवर्क / मशीनों का प्रबंधन कैसे करना चाहिए?

Question

मैं वर्तमान में Microsoft Azure में कई उत्पादन परियोजनाओं की मेजबानी कर रहा हूं। प्रत्येक प्रोजेक्ट को एक अलग वर्चुअल नेटवर्क के साथ दो विंडोज वीएम के साथ वेब सर्वर के रूप में कार्य करने के लिए, और एक सर्वर को डोमेन नियंत्रक के रूप में कार्य करने के लिए कॉन्फ़िगर किया गया है। सभी वातावरण में सुरक्षा आवश्यक है इसलिए मैंने उन्हें एक दूसरे से पूरी तरह अलग रखा है।

मैं एक अतिरिक्त वर्चुअल नेटवर्क बनाने जा रहा हूं जो एक प्रबंधन क्षेत्र के रूप में काम करेगा, और मैं इस नेटवर्क को साइट-टू-साइट वीपीएन सुरंग के साथ एक-दूसरे से कनेक्ट करूंगा। मेरा लक्ष्य इस प्रबंधन नेटवर्क को केंद्रीकृत WSUS प्रबंधन, समापन बिंदु सुरक्षा प्रबंधन, GPO कॉन्फ़िगरेशन, आदि के लिए एक आधार के रूप में उपयोग करना है।

क्या इसे इस तरह डिजाइन करना स्मार्ट / सुरक्षित होगा? मैं प्रबंधन नेटवर्क में TLD के साथ एक सक्रिय निर्देशिका फ़ॉरेस्ट होने का सोच रहा था, और प्रत्येक प्रोजेक्ट नेटवर्क एक ही फ़ॉरेस्ट में उपडोमेन के रूप में।

किसी भी सुझाव और सलाह की बहुत सराहना की जाएगी क्योंकि मैं सर्वश्रेष्ठ कॉन्फ़िगरेशन की योजना बनाने का प्रयास करता हूं। ध्यान रखें, वर्तमान प्रोजेक्ट नेटवर्क को इस नए मॉडल में फिट करने के लिए इसे फिर से कॉन्फ़िगर करना मेरे लिए कोई समस्या नहीं है।

Comments

आपको इन वेब सर्वर के लिए AD की आवश्यकता क्यों है? आपको एक डोमेन नियंत्रक की आवश्यकता क्यों है? इस परिदृश्य में आपको WSUS या GPO की आवश्यकता क्यों है? जब आप सिर्फ अपने एज़्योर सदस्यता से उन्हें प्रबंधित कर सकते हैं तो आपको वीएम से इन मशीनों को केंद्रीय रूप से प्रबंधित करने की आवश्यकता क्यों है? मैं इस सेटअप के लिए तर्क, मूल्य या आवश्यकता नहीं देख रहा हूं।

— जोवेवर्टी

मैं Azure सदस्यता से क्रेडेंशियल, अपडेट या GPO- प्रकार सेटिंग को केंद्रीय रूप से कैसे प्रबंधित कर सकता हूं? यदि आप एक बेहतर समाधान की पेशकश कर सकते हैं तो मैं आलोचना के लिए खुला हूं। मैं यह सुनिश्चित करने के लिए केंद्रीय प्रबंधन चाहूंगा कि मैं अनुमोदित अपडेट को रोल आउट कर सकूं, उत्पादन के लिए उन्हें आगे बढ़ाने से पहले स्टेजिंग वातावरण में परीक्षण कर सकें, सुनिश्चित करें कि एंडपॉइंट सुरक्षा पूरी तरह से अपडेट है। मैं GPO को भी OS को सख्त और सुरक्षित करना आसान बनाऊंगा। क्या इन चीजों को करने का एक बेहतर तरीका है?

— ब्लिज़

शायद आप हमें कुछ और जानकारी दे सकते हैं? क्या ये वेब सर्वर आपके विभिन्न ग्राहकों के लिए हैं? यदि हां, तो आप केंद्रीकृत साख क्यों चाहेंगे? आप प्रत्येक सर्वर पर SCW चला सकते हैं, इसलिए सर्वरों को सख्त करने के लिए वास्तव में GPO का उपयोग करने की कोई आवश्यकता नहीं है। मैं आलोचनात्मक नहीं हूं, बस परिदृश्य को समझने की कोशिश कर रहा हूं।

— जोवेवर्टी

हां वेब सर्वर को अलग-अलग वर्चुअल नेटवर्क में बांटा गया है, और प्रत्येक नेटवर्क एक अलग क्लाइंट के लिए है। अब तक यह केंद्रीकृत निगरानी, ​​लॉग ऑडिटिंग आदि को कॉन्फ़िगर करने के लिए एक दर्द रहा है, क्योंकि मुझे प्रत्येक नेटवर्क के लिए एक नया निगरानी वातावरण कॉन्फ़िगर करना होगा, जो किसी भी प्रबंधन सॉफ़्टवेयर के प्रयास, जटिलता और निश्चित रूप से लाइसेंस लागत को बढ़ाता है। मुझे लगा कि एक केंद्रीकृत वातावरण इससे उबर जाएगा और मैं अतिरिक्त मील जा सकता हूं और केंद्रीकृत साख, अद्यतन और सुरक्षा प्रबंधन को लागू कर सकता हूं।

— ब्लिज़

आप सुरक्षा में कमी के लिए प्रबंधन की बढ़ी हुई आसानी से व्यापार करेंगे। यदि एक वेब सर्वर से छेड़छाड़ की जाती है तो हर वेब सर्वर को खतरा होगा। मैं बिग 4 परामर्श फर्मों में से एक के लिए परामर्श कार्य करता हूं और वे एज़्योर में फॉर्च्यून 500/100 ग्राहकों की भीड़ का प्रबंधन करते हैं। कभी भी क्लाइंट एसेट का कोई एक सेट किसी भी तरह से क्लाइंट एसेट का दूसरा सेट एक्सेस करने की अनुमति नहीं देता है। यह उन्हें थोड़ा और काम करने का प्रबंधन करता है, लेकिन यह सुनिश्चित करता है कि हम अनजाने में हमला करने वाले वैक्टर न बनाएं जो क्लाइंट संपत्तियों में "डोमिनोज़" कर सकते हैं।

— जोवेवर्टी

Answer 1

जिस तरह से मेरा बिग 4 क्लाइंट करता है वह प्रत्येक क्लाइंट एनएसजी में नियम बनाकर होता है जो उन्हें निगरानी, ​​अलर्टिंग, एंटीवायरस, अपडेट आदि के लिए एक विशिष्ट प्रबंधन सर्वर (या सर्वर) से बात करने देता है। प्रत्येक एनएसजी केवल विशिष्ट आईपी पते के लिए संचार की अनुमति देता है। प्रत्येक वीएम के लिए "प्रबंधन" सर्वर से बात करने के लिए आवश्यक विशिष्ट पोर्ट। तो कोई केंद्रीकृत नेटवर्क, क्रेडेंशियल्स, AD या कुछ और नहीं है। कोई भी क्लाइंट किसी अन्य क्लाइंट के साथ संवाद नहीं कर सकता, केवल प्रबंधन सर्वर के लिए और कोई "प्रबंधन" नेटवर्क नहीं है जो किसी भी क्लाइंट को किसी अन्य क्लाइंट से जोड़ता है।

प्रत्येक ग्राहक के लिए एक अलग वीपीएन कनेक्शन / नेटवर्क / बनाने के बारे में आपकी टिप्पणी के अनुसार, मुझे लगता है कि जब तक वे सभी स्वतंत्र और अलग-अलग वीपीएन कनेक्शन / नेटवर्क नहीं होंगे तब तक काम करेंगे।

Comments

ठीक है तो मूल रूप से मुझे लगता है कि मूल रूप से मेरे पास एक ही विचार था, पूरे सक्रिय निर्देशिका को शून्य से। जो मुझे मेरे अगले प्रश्न की ओर ले जाता है: वे कैसे प्रमाणिकता का प्रबंधन करते हैं? क्या उनके पास प्रत्येक कंप्यूटर पर प्रत्येक व्यक्ति / भूमिका के लिए अलग-अलग स्थानीय उपयोगकर्ता खाते हैं? इस तरह से क्रेडेंशियल्स और एक्सेस का प्रबंधन करने के लिए एक बुरे सपने की तरह लगता है। इसके अलावा आप प्रणाली का उपयोग, पासवर्ड जटिलता, खाता तालाबंदी, आदि के लिए केंद्रीकृत सुरक्षा नीतियां निर्धारित करने की क्षमता से बाहर जा रहे

— blizz

BTW मैं आपकी साइट crabbygeezer.com को खोलने में सक्षम नहीं हूं। DNS त्रुटि।

— ब्लिज़

प्रत्येक क्लाइंट VM में केवल 3 स्थानीय उपयोगकर्ता खाते हैं। वे स्थानीय GPO का उपयोग पासवर्ड जटिलता इत्यादि जैसी चीजों को कॉन्फ़िगर करने के लिए करते हैं और प्रत्येक VM को कठोर करने के लिए SCW का उपयोग करते हैं। यह ओवरहेड प्रबंधन को बढ़ाता है, लेकिन यह सुनिश्चित करने के लिए उन्हें क्या करना है कि वे अपने ग्राहकों की सुरक्षा जनादेश, कानूनी आवश्यकताओं आदि को पूरा कर रहे हैं

— जोकिवेट्टी

हम्मम ... मेरी साइट के बारे में अजीब है। मुझे मिल सकता है। मुझे अपने DNS होस्टर की जांच करनी होगी। सर उठाने के लिए धन्यवाद।

— जोवेवेट्टी

आपके सुझाव के लिए धन्यवाद। मुझे अब भी यकीन नहीं है कि मैं AD- कम कॉन्फ़िगरेशन के लिए जाऊंगा। इस पोस्ट के अनुसार, आम सहमति यह है कि AD उत्पादन वातावरण के लिए बेहतर है: serverfault.com/questions/53779/… इसके अलावा, मैं अब आपकी साइट पर पहुंचने में सक्षम हूं। :)

— ब्लिज़