Здравейте, това е втората статия за решението NGFW от компанията . Целта на тази статия е да покаже как да инсталирате защитната стена UserGate на виртуална система (ще използвам софтуер за виртуализация VMware Workstation) и да извършите първоначалната му настройка (да позволите достъп от локалната мрежа през шлюза UserGate до интернет).
1. Въведение
Първо ще опиша различните начини за внедряване на този шлюз в мрежата. Искам да отбележа, че в зависимост от избрания вариант на свързване, определена функционалност на шлюза може да не е налична. Решението UserGate поддържа следните режими на свързване:
L3-L7 защитна стена
L2 прозрачен мост
L3 прозрачен мост
Виртуално в разрив, с използване на протокола WCCP
Виртуално в разрив, с използване на Policy Based Routing
Router on a Stick
Явно зададен WEB-прокси
UserGate, като защитна стена по подразбиране
Мониторинг на Mirror-порт
UserGate поддържа 2 типа клъстери:
Клъстер на конфигурацията. Възлите, обединени в клъстер на конфигурацията, поддържат единични настройки в рамките на клъстера.
Клъстер на отказоустойчивост. До 4 възела на клъстера на конфигурацията могат да бъдат обединени в клъстер на отказоустойчивост, който поддържа работа в режим Актив-Актив или Актив-Пасив. Възможно е да се изградят няколко клъстера на отказоустойчивост.
2. Инсталация
Както беше споменато в предишната статия, UserGate се предлага под формата на софтуерно-хардуерна комбинация или се разгръща в виртуална среда. От личния кабинет на сайта изтегляме образа в формат OVF (Open Virtualization Format), който е подходящ за доставчици на VMWare и Oracle VirtualBox. За Microsoft Hyper-V и KVM се предлагат образи на дискове на виртуални машини.
Според сайта на UserGate, за коректна работа на виртуалната машина се препоръчва да се използва минимум 8 GB оперативна памет и 2-ядрен виртуален процесор. Хипервизорът трябва да поддържа работа на 64-битови операционни системи.
Инсталацията започва с импортиране на образа в избрания хипервизор (VirtualBox и VMWare). В случай на Microsoft Hyper-V и KVM, е необходимо да се създаде виртуална машина и да се посочи изтегленият образ като диск, след което трябва да се деактивират интеграционните услуги в настройките на създадената виртуална машина.
По подразбиране след импортиране в VMWare се създава виртуална машина със следните настройки:
Как беше споменато по-горе, оперативната памет трябва да бъде поне 8Gb и допълнително да се добавят по 1Gb за всеки 100 потребители. Размерът на твърдия диск по подразбиране е 100Gb, но това обикновено не е достатъчно за съхраняване на всички журнали и настройки. Препоръчителният размер е 300Gb или повече. Затова в свойствата на виртуалната машина променяме размера на диска на необходимия. Първоначално виртуалният UserGate UTM идва с четири интерфейса, зададени в зони:
Управление — първият интерфейс на виртуалната машина, зона за свързване на доверени мрежи, от които е разрешено управлението на UserGate.
Доверена — вторият интерфейс на виртуалната машина, зона за свързване на доверени мрежи, например LAN мрежи.
Недоверена — третият интерфейс на виртуалната машина, зона за интерфейси, свързани с недоверени мрежи, например интернет.
DMZ — четвъртият интерфейс на виртуалната машина, зона за интерфейси, свързани с DMZ мрежата.
След това стартираме виртуалните машини. Въпреки че в ръководството е написано да изберем Support Tools и да изпълним Factory reset UTM, виждаме, че има само един вариант (UTM First Boot). По време на тази стъпка UTM конфигурира мрежовите адаптери и увеличава размера на дяла на твърдия диск до максималния размер на диска:
За достъп до уеб интерфейса на UserGate трябва да влезете през зоната за управление, за което отговаря интерфейс eth0, който е настроен да получава IP адреса автоматично (DHCP). Ако няма възможност да зададете адрес за Management интерфейса автоматично с помощта на DHCP, можете да го зададете явно, използвайки CLI (Интерфейс на командния ред). За целта трябва да влезете в CLI, използвайки името и паролата на потребителя с права Full administrator (по подразбиране Admin с главна буква). Ако устройството UserGate не е преминало първоначалната си инициализация, за достъп до CLI трябва да използвате името на потребителя Admin и паролата – utm. И да въведете команда от рода на iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. По-късно преминаваме към уеб конзолата на UserGate на посочения адрес, който трябва да изглежда приблизително така:https://UserGateIPaddress:8001:
В уеб конзолата продължаваме инсталацията, необходимо е да изберем езика на интерфейса (в момента това е руски или английски), часовата зона, след което четем и се съгласяваме с лицензионното споразумение. Задаваме логин и парола за вход в уеб интерфейса за управление.
3. Настройка
След инсталирането прозорецът на уеб интерфейса за управление изглежда така:
След това е необходимо да настроите мрежовите интерфейси. За целта в раздела „Интерфейси“ трябва да ги активирате, да зададете коректни IP адреси и да назначите съответните зони.
Разделът „Интерфейси“ показва всички физически и виртуални интерфейси в системата, позволява да променяте техните настройки и да добавяте VLAN интерфейси. Освен това показва всички интерфейси на всеки възел от клъстера. Настройките на интерфейсите са специфични за всеки от възлите, тоест не са глобални.
В свойствата на интерфейса:
Включете или изключете интерфейса
Посочете типа на интерфейса — Layer 3 или Mirror
Назначете зона на интерфейса
Назначете профил Netflow за изпращане на статистически данни на колектора Netflow
Променете физическите параметри на интерфейса — MAC адрес и размер MTU
Изберете типа на присвояване на IP адреса — без адрес, статичен IP адрес или получен чрез DHCP
Настройте работата на DHCP реле на избрания интерфейс.
Бутонът „Добави“ позволява да добавите следните типове логически интерфейси:
VLAN
Бонд
Мост
PPPoE
VPN
Тунел
Освен споменатите по-рано зони, с които идва образът Usergate, има и три предварително определени типа:
Cluster — зона за интерфейси, използвани за работа на клъстера
VPN for Site-to-Site — зона, в която попадат всички клиенти тип Офис-Офис, свързващи се с UserGate чрез VPN
VPN for remote access — зона, в която попадат всички мобилни потребители, свързващи се с UserGate чрез VPN
Администраторите на UserGate могат да променят настройките на зоните, създадени по подразбиране, както и да създават допълнителни зони, но както е посочено в ръководството за версия 5, не е възможно да се създадат повече от 15 зони. За промяна или създаване на зони е необходимо да отидете в раздела зони. За всяка зона може да се зададе праг за отхвърляне на пакети, поддържат се SYN, UDP, ICMP. Также се настройва контрол на достъпа до услугите на Usergate и се активира защита срещу спуфинг.
След като се настройят интерфейсите, е необходимо в раздела „Шлюзи“ да се конфигурира маршрута по подразбиране. Тоест, за свързване на UserGate с интернет е нужно да се посочи IP адрес на един или повече шлюза. Ако за свързване с интернет се използват няколко доставчика, е нужно да се зададат няколко шлюза. Настройката на шлюза е уникална за всеки от узлите в клъстера. Ако са зададени два или повече шлюза, са възможни два варианта на работа:
Балансировка на трафика между шлюзите.
Основен шлюз с превключване на резервен.
Състоянието на шлюза (достъпен – зелен, недостъпен – червен) се определя по следния начин:
При изключена проверка на мрежата – шлюзът се счита за достъпен, ако UserGate може да получи неговия MAC адрес с помощта на ARP заявка. Проверка за наличие на достъп до интернет през този шлюз не се извършва. Ако MAC адресът на шлюза не може да бъде определен, шлюзът се счита за недостъпен.
При включена проверка на мрежата – шлюзът се счита за достъпен, ако:
UserGate може да получи неговия MAC адрес с помощта на ARP заявка.
Проверка за наличие на достъп до интернет през този шлюз е завършила успешно.
В противен случай шлюзът се счита за недостъпен.
В раздела „DNS“ е необходимо да се добавят DNS сървъри, които UserGate ще използва. Тази настройка се посочва в областта Системни DNS сървъри. По-долу са описани настройките за управление на DNS заявки от потребителите. UserGate позволява използването на DNS прокси. Сервизът DNS прокси позволява да се прихващат DNS заявки от потребителите и да се променят в зависимост от нуждите на администратора. С помощта на правила за DNS прокси могат да се зададат DNS сървъри, на които се препращат запитванията за определени домейни. Освен това, чрез DNS прокси може да се задават статични записи от тип host (A-запис).
В раздела „NAT и Маршрутиране“ трябва да създадете необходимите правила NAT. За достъп до интернет от потребителите на мрежата Trusted правилото NAT вече е създадено — „Trusted->Untrusted“, остава само да го активирате. Правилата се прилагат отгоре надолу в реда, в който са посочени в консолата. Изпълнява се само първото правило, чиито условия съвпадат с указаните в правилото. За да сработи правилото, всички условия, определени в параметрите на правилото, трябва да съвпадат. UserGate препоръчва създаването на общи правила NAT, например правило NAT от локалната мрежа (обикновено зона Trusted) към интернет (обикновено зона Untrusted), а разделянето на достъпа по потребители, услуги и приложения да се осъществява чрез правила на защитната стена.
Също така, има възможност за създаване на правила DNAT, порт пренасочване, Policy-based routing, мапинг на мрежата.
След това в раздела „Защитна стена“ трябва да създадете правила на защитната стена. За неограничен достъп до интернет от потребителите на мрежата Trusted правилото на защитната стена също вече е създадено — „Internet for Trusted“ и трябва да се активира. С помощта на правилата на защитната стена администраторът може да разреши или забрани всякакъв тип транзитен мрежови трафик, преминаващ през UserGate. Като условия на правилата могат да служат зони и IP адреси на източника/целта, потребители и групи, услуги и приложения. Правилата се прилагат по същия начин, както в раздела „NAT и Маршрутиране“, т.е. отгоре надолу. Ако не е създадено нито едно правило, всякакъв транзитен трафик през UserGate е забранен.
4. Заключение
С това статията завършва. Инсталирахме защитната стена UserGate на виртуална машина и направихме минимално необходимите настройки, за да работи интернет в мрежата Trusted. По-нататъшната настройка ще разгледаме в рамките на следващите статии.
Следете обновленията в нашите канали (, , , )!
Източник: habr.com
