क्लाउड बनाम ऑन-प्रिमाइसेस सुरक्षित वेब गेटवे
- क्लाउड और ऑन-प्रिमाइसेस सुरक्षित वेब गेटवे में मुख्य अंतर यह है कि ट्रैफिक को कहाँ डिक्रिप्ट और जांचा जाता है।
- क्लाउड SWG दूरस्थ उपयोगकर्ताओं और SaaS के लिए उपयुक्त हैं; ऑन-प्रिमाइसेस SWG विनियमित, आंतरिक और OT ट्रैफ़िक के लिए उपयुक्त हैं।
- तेजी से एक जैसी होती जा रही फीचर सूचियों की तुलना में विलंबता, संप्रभुता, लचीलापन और भारी मात्रा में लागत अधिक मायने रखती है।
- एक संकर secure web gateway यह नीति प्रत्येक उपयोगकर्ता और साइट का एक ही नीति के अंतर्गत सर्वोत्तम स्तर पर निरीक्षण करती है।
- साझा नीति इंजन के बिना दोनों मॉडल चलाने से कार्यालय और दूरस्थ उपयोगकर्ताओं के बीच अंतर पैदा होता है।
परिसर में secure web gateway एक प्रॉक्सी उपकरण, भौतिक या आभासी, जो आपके अपने डेटा सेंटर या शाखा में चलता है और स्थानीय रूप से वेब ट्रैफ़िक का निरीक्षण करता है। क्लाउड secure web gateway यह विक्रेता के दृष्टिकोण से समान कार्य करता है। कई संगठनों को अब दोनों की आवश्यकता है, यही कारण है कि हाइब्रिड एसडब्ल्यूजी विनियमित उद्यमों के लिए एक सामान्य आर्किटेक्चर बन गया है।
यह लेख हाइब्रिड क्लाउड सुरक्षा मार्गदर्शिका का एक भाग है।
क्या एक secure web gateway करता है
ए secure web gateway यह उपयोगकर्ताओं और इंटरनेट के बीच रहकर खतरों को रोकता है, स्वीकार्य उपयोग को लागू करता है और डेटा हानि को रोकता है, चाहे वह कहीं भी चल रहा हो।
यह आमतौर पर प्रदान करता है:
- यूआरएल और श्रेणी फ़िल्टरिंग
- टीएलएस डिक्रिप्शन और निरीक्षण
- मैलवेयर स्कैनिंग, सैंडबॉक्सिंग और remote browser isolation जोखिम भरी साइटों के लिए
- Data loss prevention अपलोड और फॉर्म सबमिशन के लिए
- क्लाउड एप्लिकेशन की दृश्यता और नियंत्रण
- जांच और अनुपालन के लिए लॉगिंग
NIST SP 800-215 में SWG को उन पॉइंट सिक्योरिटी सॉल्यूशंस में सूचीबद्ध किया गया है जिन्हें आधुनिक एंटरप्राइज नेटवर्क ZTNA, CASB और अन्य नियंत्रणों के साथ जोड़ते हैं क्योंकि पारंपरिक परिधि गायब हो जाती है।
क्लाउड बनाम ऑन-प्रिमाइसेस SWG: आमने-सामने तुलना
क्लाउड और ऑन-प्रिमाइसेस एसडब्ल्यूजी के बीच मुख्य अंतर यह है कि निरीक्षण कहाँ होता है और इसे चलाने के लिए कौन जिम्मेदार है।
| कारक | क्लाउड एसडब्ल्यूजी | परिसर में स्थित SWG |
|---|---|---|
| निरीक्षण स्थान | विक्रेता उपस्थिति बिंदु | आपके डेटा केंद्र और शाखाएँ |
| के लिए सर्वश्रेष्ठ | दूरस्थ और मोबाइल उपयोगकर्ता, डायरेक्ट-टू-सास ट्रैफ़िक | कार्यालय, संयंत्र और डेटा केंद्र उपयोगकर्ता; आंतरिक यातायात |
| विलंब | निकटतम उपस्थिति बिंदु से दूरी पर निर्भर करता है | ऑन-साइट उपयोगकर्ताओं के लिए न्यूनतम अतिरिक्त हॉप |
| जहां डिक्रिप्टेड डेटा मौजूद है | विक्रेता अवसंरचना | आपका बुनियादी ढांचा |
| लॉग स्थान | विक्रेता द्वारा चयनित या कॉन्फ़िगर करने योग्य क्षेत्र | आप इसे कहीं भी रखें |
| बाह्य कनेक्टिविटी पर निर्भरता | आवश्यक | स्थानीय निरीक्षण के लिए आवश्यक नहीं; क्लाउड-आधारित सेवाओं के लिए कनेक्टिविटी आवश्यक है। |
| क्षमता की योजना बनाना | विक्रेता की जिम्मेदारी | आपकी जिम्मेदारी |
| परिचालन प्रयास | हार्डवेयर संबंधी प्रयास कम; नीति और अपवाद अभी भी आपके नियंत्रण में हैं। | हार्डवेयर का जीवनचक्र, पैचिंग और स्केलिंग आपके नियंत्रण में हैं। |
| लागत मॉडल | प्रति उपयोगकर्ता या खपत के हिसाब से, उपयोगकर्ताओं की संख्या के साथ बढ़ता है। | हार्डवेयर और लाइसेंस, थ्रूपुट के साथ स्केल करते हैं |
| एयर-गैप्ड नेटवर्क | उपयुक्त नहीं | केवल वहीं जहां स्पष्ट रूप से समर्थित हो और सभी निर्भरताओं का समाधान किया गया हो। |
निरीक्षण स्थान
निरीक्षण स्थल यह तय करता है कि डिक्रिप्ट की गई सामग्री को कौन संभालेगा।
कई प्रकार के यातायात के लिए, उपयुक्त नियंत्रण और प्रमाणन से युक्त क्लाउड SWG आवश्यकताओं को पूरा कर सकता है। विनियमित पेलोड के लिए, स्थानीय निरीक्षण से बाहरी प्रसंस्करण कम हो सकता है, लेकिन निरीक्षण स्थान चुनने से पहले अग्रेषित सेवाओं, लॉगिंग, साक्ष्य, पहुंच और लागू आवश्यकताओं का आकलन करें।
TLS निरीक्षण से जुड़े जोखिमों को प्रबंधित करने के लिए NSA के दिशानिर्देशों में एंटरप्राइज़ नेटवर्क के भीतर केवल एक बार TLS निरीक्षण करने और एक ही ट्रैफ़िक को डिक्रिप्ट करने वाले प्रॉक्सी की श्रृंखलाओं से बचने की सलाह दी गई है। हाइब्रिड डिज़ाइन में यह सुनिश्चित किया जाना चाहिए कि किसी दिए गए फ़्लो को या तो स्थानीय गेटवे या क्लाउड गेटवे द्वारा डिक्रिप्ट किया जाए, दोनों द्वारा नहीं। स्थानीय बनाम क्लाउड TLS निरीक्षण: परिनियोजन संबंधी लाभ-हानि देखें।
विलंबता और उपयोगकर्ता अनुभव
विलंबता वास्तविक रूटिंग, उपस्थिति बिंदु की दूरी, गेटवे क्षमता और निरीक्षण भार पर निर्भर करती है।
दूरस्थ उपयोगकर्ताओं के लिए, क्लाउड SWG मुख्यालय तक VPN बैकहॉल को हटाकर अनुभव को बेहतर बना सकता है। ऑन-साइट उपयोगकर्ताओं के लिए, स्थानीय निरीक्षण क्लाउड ट्रांज़िट पथ से बच सकता है, जबकि क्लाउड निरीक्षण गंतव्य और नेटवर्क डिज़ाइन के लिए उपयुक्त हो सकता है। निम्नलिखित के लिए अंतर मापें:
- वॉइस, वीडियो और ट्रेडिंग प्लेटफॉर्म जैसे रीयल-टाइम एप्लिकेशन
- बड़ी फ़ाइलों का स्थानांतरण और सॉफ़्टवेयर अपडेट
- विक्रेता की निकटतम उपस्थिति के स्थान से दूर स्थित स्थल
- सख्त समयबद्धता वाले ओवरटाइम और औद्योगिक प्रणालियाँ
नीति नियंत्रण
दोनों मॉडल बारीक नीति लागू करते हैं; असली सवाल यह है कि क्या क्लाउड और ऑन-प्रिमाइसेस गेटवे एक ही नीति साझा करते हैं।
जो संगठन पुराने उपकरणों के बेड़े के साथ-साथ एक अलग क्लाउड सेवा का संचालन करते हैं, वे अक्सर दो नियम सेट, दो अपवाद सेट और दो डेटा सुरक्षा निगरानी (डीएलपी) कॉन्फ़िगरेशन बनाए रखते हैं। समय के साथ, कार्यालय में एक उपयोगकर्ता और घर पर उसी उपयोगकर्ता के साथ अलग-अलग व्यवहार किया जाता है, और ऑडिट या किसी घटना के होने तक किसी को इसका पता नहीं चलता।
एकीकृत नीति प्रबंधन वाला हाइब्रिड SWG टीमों को एक बार नियम परिभाषित करने और उसे हर गेटवे पर लागू करने की सुविधा देता है। उदाहरण के लिए, Skyhigh SWG for Hybrid , ऑन-प्रिमाइसेस और क्लाउड प्रवर्तन बिंदुओं पर एकीकृत नीति प्रबंधन का समर्थन करता है, जिसमें नीति को क्लाउड कंसोल में एक बार तैयार किया जाता है।
परिचालन प्रयास
क्लाउड एसडब्ल्यूजी हार्डवेयर के काम को कम करते हैं, लेकिन नीति, अपवाद और प्रमाणपत्र दोनों ही मॉडल में आपकी टीम का काम बने रहते हैं।
क्लाउड SWG हार्डवेयर खरीद, क्षमता नियोजन और उपकरण पैचिंग जैसी प्रक्रियाओं को हटा देते हैं। लेकिन वे नीति निर्माण, अपवाद प्रबंधन, प्रमाणपत्र प्रबंधन या घटना वर्गीकरण जैसी प्रक्रियाओं को नहीं हटाते हैं। ये सभी कार्य दोनों ही मॉडलों में आपकी टीम के ही रहेंगे।
ऑन-प्रिमाइसेस SWG को लाइफसाइकिल प्रबंधन की आवश्यकता होती है: हार्डवेयर रिफ्रेश, OS अपग्रेड और ट्रैफ़िक वृद्धि के लिए स्केलिंग। वर्चुअल और कंटेनरीकृत उपकरण इस प्रयास को कुछ हद तक कम कर देते हैं। विक्रेता प्लेटफ़ॉर्म में बदलाव से अनियोजित परिचालन लागत उत्पन्न हो सकती है। सिमेंटेक एज SWG (पूर्व में Blue Coat उदाहरण के लिए, ProxySG के ग्राहकों को SGOS 7.3 के बंद होने और SGOS 7.4 में जावा-आधारित प्रबंधन कंसोल के हटाए जाने का सामना करना पड़ रहा है। Blue Coat और ProxySG के जीवनकाल के अंत के बारे में जानकारी के लिए माइग्रेशन प्लानिंग देखें।
लचीलापन
ऑन-प्रिमाइसेस SWG बाहरी कनेक्टिविटी विफल होने पर भी निरीक्षण जारी रखते हैं, जबकि क्लाउड SWG विक्रेता और उसके नेटवर्क पथ पर निर्भर करते हैं।
क्लाउड SWG विक्रेता से कनेक्टिविटी और विक्रेता की उपलब्धता पर निर्भर करता है। अधिकांश संगठन दूरस्थ उपयोगकर्ताओं के लिए इसे स्वीकार करते हैं। किसी कारखाने, अस्पताल, व्यापारिक केंद्र या सरकारी संस्थान के लिए, आउटेज के दौरान वेब निरीक्षण का बंद होना या खुलने में विफल होना अस्वीकार्य हो सकता है। ऑन-प्रिमाइसेस गेटवे बाहरी लिंक विफल होने पर भी स्थानीय रूप से वेब ट्रैफ़िक का निरीक्षण करते रहते हैं। डेटा सुरक्षा और अन्य सेवाओं जैसी विक्रेता क्लाउड पर निर्भर सेवाएं remote browser isolation पाथ के ठीक होने तक ये सेवाएं उपलब्ध नहीं होंगी। हाइब्रिड एसएसई रेज़िलिएंस: फ़ेलओवर और रिकवरी देखें।
प्रवासन आवश्यकताएँ
मॉडल या विक्रेताओं के बीच प्रत्येक SWG माइग्रेशन में समान छह चरण शामिल होते हैं:
- वर्तमान नीति, अपवाद, प्रमाणीकरण क्षेत्र और आईसीएपी और डीएलपी जैसे एकीकरणों की सूची बनाएं।
- यह तय करें कि किन उपयोगकर्ताओं और साइटों को किस प्रवर्तन बिंदु पर ले जाया जाएगा।
- ट्रैफ़िक स्टीयरिंग को पुनः स्थापित करें: स्पष्ट प्रॉक्सी या पीएसी फ़ाइलें, एजेंट, टनल या ब्राउज़र नियंत्रण।
- टीएलएस निरीक्षण प्रमाणपत्र प्राधिकरण को पुनः जारी करना और वितरित करना।
- परिवर्तन से पहले एक पायलट समूह के साथ समानांतर रूप से चलाएं।
- एक परीक्षित रोलबैक योजना के साथ चरणबद्ध तरीके से बदलाव करें।
Secure Web Gateway माइग्रेशन: कटओवर और रोलबैक चेकलिस्ट देखें।
आपके लिए कौन सा मॉडल सही है?
अपने उपयोगकर्ताओं, अनुप्रयोगों और विनियमित डेटा के स्थान के आधार पर चयन करें, न कि सुविधाओं की सूची के आधार पर।
यदि अधिकांश उपयोगकर्ता दूरस्थ हैं, अधिकांश एप्लिकेशन SaaS हैं, और कोई नियम या अनुबंध डिक्रिप्टेड ट्रैफ़िक के स्थानीय प्रसंस्करण की आवश्यकता नहीं रखता है, तो मुख्य रूप से क्लाउड का चयन करें।
जब चयनित ट्रैफ़िक के लिए स्थानीय प्रोसेसिंग या निरंतरता की आवश्यकता हो, तो परिसर में ही प्रोसेसिंग का विकल्प चुनें । एयर-गैप्ड, वर्गीकृत या ओवरटाइम वातावरण के लिए, स्पष्ट उत्पाद समर्थन और प्रत्येक प्रबंधन, पहचान, अपडेट, लाइसेंसिंग और निरीक्षण निर्भरता की पुष्टि करें।
यदि आपके पास कार्यालय और दूरस्थ उपयोगकर्ताओं का मिश्रण है, विनियमित डेटा के साथ-साथ सामान्य ट्रैफ़िक भी है, या आपके पास पहले से ही एक ऑन-प्रिमाइसेस गेटवे सिस्टम है जिसे आप क्लाउड पर जाने के लिए बाध्य हुए बिना आधुनिक बनाना चाहते हैं, तो हाइब्रिड विकल्प चुनें। विनियमित उद्योगों में अधिकांश बड़े उद्यम इसी श्रेणी में आते हैं।
संकर secure web gateway
एक हाइब्रिड एसडब्ल्यूजी ऑन-प्रिमाइसेस उपकरणों और क्लाउड पॉइंट्स ऑफ प्रेजेंस को एक ही पॉलिसी इंजन, एक ही कंसोल और लॉग के एक ही सेट के तहत जोड़ता है।
ऑफिस ट्रैफिक की जांच स्थानीय स्तर पर की जाती है, रिमोट ट्रैफिक की जांच क्लाउड में की जाती है, और जहां भी नीति के अनुसार आवश्यक हो, वहां ट्रैफिक को विनियमित किया जाता है।
Skyhigh Hybrid SSE Mesh इस मॉडल को वेब गेटवे से आगे बढ़ाते हुए, एक ही पॉलिसी के तहत लोकल ZTNA, सिक्योर ब्राउज़र कंट्रोल्स और क्लाउड CASB, DSPM, DLP और RBI को जोड़ता है।
सूत्रों का कहना है
- एनआईएसटी. एसपी 800-215: एक सुरक्षित उद्यम नेटवर्क परिदृश्य के लिए मार्गदर्शिका (नवंबर 2022). https://csrc.nist.gov/pubs/sp/800/215/final
- एनएसए। ट्रांसपोर्ट लेयर सिक्योरिटी इंस्पेक्शन से उत्पन्न जोखिम का प्रबंधन (नवंबर 2019)। https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
- Skyhigh Security . Secure Web Gateway हाइब्रिड के लिए। https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
- Skyhigh Security . Skyhigh Security गार्टनर द्वारा 2026 में एडवांस्ड एसएसई यूज़ केस में #1 रैंक प्राप्त। Critical Capabilities के लिए Security Service Edge (5 अगस्त, 2026)। https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- ब्रॉडकॉम। एज एसडब्ल्यूजी (प्रॉक्सीएसजी) और एडवांस्ड सिक्योर गेटवे के लिए उत्पाद जीवनचक्र और समाप्ति (केबी 151102)। https://knowledge.broadcom.com/external/article/151102/end-of-life-and-product-lifecycle-for-pr.html