Palomuurin ja internet-yhteyden kahdennus

Abstract

Tämän opinnäytetyön tavoitteena oli suunnitella ja toteuttaa Lahti Energia Oy:lle kahdennettu palomuuri ja internetyhteys. Kahdennusprojekti tuo yrityksen IT-palveluille varmuutta ja vikasietoisuutta sekä antaa IT-henkilöstölle aikaa reagoida vikatilanteisiin paremmin.

Palomuuri tuo yrityksen verkolle turvaa ulkopuolisia hyökkääjiä vastaan suodattamalla pakettien kulkua internetin ja yrityksen sisäverkon välillä. Useampi palomuuri luo verkkoon vikasietoisuutta ja lisää palvelujen saatavuutta, koska järjestelmä toimii hyvin, vaikka yksi laite rikkoutuisikin. Useammalla palomuurilla voidaan myös saavuttaa tehostettua suojausta verkon kriittisille osille.

Kahdennus tuo verkkoihin vikasietoisuutta ja on hyvä tapa lisätä verkon ja verkon palveluiden saatavuutta. BGP-protokolla mahdollistaa useamman internet-palveluntarjoajan käytön, jolloin yhteydet toimivat, vaikka toisella internet-palveluntarjoajalla olisi vikaa verkossa.

Kahdennettavaksi palomuuriksi valittiin Palo Alton PA-5020. Se täyttää kaikki yrityksen vaatimat kriteerit, joista tärkeimpiä olivat virtuaalijärjestelmien määrä, riittävä verkonsiirtokapasiteetin ja suorituskyvyn omaaminen tulevaisuudessa. Tämän lisäksi yrityksellä on aikaisemmin ollut hyviä kokemuksia Palo Alton palomuureista.

Palo Alton laitteilla asetetaan oikein turvallisuusalueet ja porttikohtaiset asetukset, jotta myöhemmin voidaan ottaa käyttöön HA palomuureilla. Tämän lisäksi luodaan kahdennettu internetyhteys Ciscon reitittimillä.

Kahdennetun palomuurin HA-asetukset testattiin ja havaittiin HA-asetusten toimivuus pienin puuttein, mikä johtuu preemptive-ominaisuudesta palomuurissa. Preemptive uudelleenaktivoi aktiivisen palomuurin yliheiton jälkeen, mikäli virheen havaitaan poistuvan. Yritykselle kahdennettu palomuuri ja internetyhteys tuovat vikasietoisuutta verkkoon ja antaa henkilökunnalle aikaa korvata vikaantuneet laitteet ilman, että loppukäyttäjät huomaavat minkään olleen hajonnut.

The objective of this Bachelor’s thesis was to plan and execute redundancy in the firewall and internet connection of Lahti Energia Oy. Redundancy gives security and fault tolerance for the company’s services and gives the IT staff time to react in problem situations.

A firewall gives security to the company’s network against hostile attackers by filtering packets between the internet and the company’s local area network. Redundancy through dual firewalls brings fault tolerance to the network and increases the availability of the services, because the system works even if one device breaks down. Dual firewalls can also provide better protection to critical parts of the network.

Redundancy gives networks fault tolerance and it is a good way to increase the availability of the networks and the network services. The BGP protocol provides the means for using multiple internet service providers, which enables the connection to work even if the other internet service provider had defects in their network.

The firewall that was made redundant was a Palo Alto PA-5020. It fills all the criteria that the company presented, the most important of which were base virtual systems and sufficient throughput and performance in the future. In addition, the company has had good experiences from Palo Alto firewalls.

With Palo Alto devices, the correct options for security zones and interface options were set so that later on high availability can be deployed. In addition, a redundant internet connection was made with Cisco routers.

The HA configuration of a redundant firewall was successfully tested with a slight shortcoming due to the preemptive property in the firewall. The preemptive property reactivates the active firewall after a failover in case the cause of the error disappears. To the company a redundant firewall and internet connection provide fault tolerance in the network and give the staff time to replace the faulty devices without the end-users ever noticing that there was something broken.