2. NGFW за малки предприятия. Разопаковане и настройка

Продължаваме поредицата от статии за работа с новата моделна гама SMB CheckPoint, нека ви напомним, че в първата част описахме характеристиките и възможностите на новите модели, методите за управление и администриране. Днес ще разгледаме сценария за внедряване на по-стария модел от серията: CheckPoint 1590 NGFW. Ето резюме на тази част:

1. Разопаковане на оборудване (описание на компонентите, физически и мрежови връзки).
2. Първоначална инициализация на устройството.
3. Първоначалната настройка.
4. Оценка на изпълнението.

Разопаковане на оборудване

Запознаването с оборудването започва с изваждане на оборудването от кутията, разглобяване на компоненти и инсталиране на части; щракнете върху спойлера, където процесът е представен накратко

Доставка на NGFW 1590

Накратко за компонентите:

• NGFW 1590;
• Захранващ адаптер;
• 2 Wifi антени (2.4 Hz и 5 Hz);
• 2 LTE антени;
• Брошури с документация (кратко ръководство за първоначално свързване, лицензионно споразумение и др.)

Що се отнася до мрежовите портове и интерфейси, има всички съвременни възможности за пренос на трафик и взаимодействие, отделен порт за DMZ зоната, USB 3.0 за синхронизация с компютър.

Версия 1590 получи актуализиран дизайн, модерни опции за безжична комуникация и разширяване на паметта: 2 слота за работа с Micro/Nano SIM в LTE режим. (планираме да напишем подробно за тази опция в някоя от следващите ни статии от поредицата, посветена на безжичните връзки); Слот за SD карта.

Можете да прочетете повече за възможностите на 1590 NGFW и други нови модели в 1 части от поредица от статии за решенията на CheckPoint за SMB. Ще преминем към първоначалната инициализация на устройството.

Първична инициализация

Нашите редовни читатели вече трябва да са наясно, че линията 1500 Series SMB използва новата 80.20 Embedded OS, която включва актуализиран интерфейс и подобрени възможности.

За да започнете да инициализирате устройството, трябва:

1. Осигурете захранване на шлюза.
2. Свържете мрежовия кабел от вашия компютър към LAN -1 на шлюза.
3. По желание можете незабавно да предоставите на устройството достъп до Интернет, като свържете интерфейса към WAN порта.
4. Отидете на портала Gaia Embedded: https://192.168.1.1:4434/

Ако сте следвали посочените по-горе стъпки, след като отидете на страницата на портала Gaia, ще трябва да потвърдите отварянето на страницата с ненадежден сертификат, след което ще се стартира съветникът за настройки на портала:

Ще бъдете посрещнати от страница, указваща модела на вашето устройство, трябва да отидете на следващия раздел:

Ще бъдем помолени да създадем акаунт за оторизация, възможно е да посочим високи изисквания за парола за администратора и ние посочваме държавата, в която ще използваме шлюза.

Следващият прозорец се отнася до настройките за дата и час; можете да ги зададете ръчно или да използвате NTP сървъра на компанията.

Следващата стъпка включва задаване на име за устройството и указване на фирмения домейн, така че услугите на шлюза да работят правилно в Интернет.

Следващата стъпка се отнася до избора на тип контрол на NGFW, тук трябва да се отбележи:

1. Местно управление. Това е налична опция за локално управление на шлюза чрез уеб страницата Gaia Portal.
2. Централно управление. Този тип управление включва синхронизация със специален сървър за управление на CheckPoint, синхронизация с облака Smart1-Cloud или с SMP (услуга за управление за SMB).

В тази статия ще се съсредоточим върху метода за локално управление; можете да посочите метода, който е необходим. За да се запознаете с процеса на синхронизация със специален сървър за управление, предлагаме връзка от поредицата обучения CheckPoint Getting Started, изготвена от TS Solution.

След това ще се появи прозорец, определящ режима на работа на интерфейсите на шлюза:

• Режимът на превключване предполага наличието на подмрежа от един интерфейс към подмрежата на друг интерфейс.
• Режимът Disable Switch съответно деактивира режима Switch; всеки порт маршрутизира трафика като за отделен мрежов фрагмент.

Предлага се също така да се посочи набор от DHCP адреси, които ще се използват при свързване към локалните интерфейси на шлюза.

Следващата стъпка е да конфигурирате шлюза да работи в безжичен режим; планираме да обсъдим този аспект по-подробно в една статия от поредицата, така че отложихме конфигурацията на настройките. Можете да създадете нова безжична точка за достъп, да зададете парола за свързване с нея и да определите режима на работа на безжичния канал (2.4 Hz или 5 Hz).

Следващата стъпка ще бъде да конфигурирате достъпа до шлюза за администраторите на компанията. По подразбиране правата за достъп са разрешени, ако връзката идва от:

1. Вътрешна фирмена подмрежа
2. Доверена безжична мрежа
3. VPN тунел

Опцията за свързване към шлюза през интернет е деактивирана по подразбиране, това крие големи рискове и трябва да бъде обосновано за включване, в противен случай е препоръчително да я оставите, както в нашия пример.Може също така да посочите кои IP адреси ще бъдат разрешени за свързване към шлюза.

Следващият прозорец се отнася за активиране на лицензи, при първоначална инициализация на устройството ще ви бъде представен 30-дневен пробен период. Има два налични метода за активиране:

1. Ако има интернет връзка, лицензът се активира автоматично.
2. Ако активирате лиценз офлайн, трябва да направите следното: да изтеглите лиценза от UserCenter, да регистрирате вашето устройство на специален портала. След това и в двата случая ще трябва да импортирате ръчно изтегления лиценз.

И накрая, последният прозорец в съветника за настройки ви подканва да изберете блейдовете, които да бъдат включени; имайте предвид, че блейдът QOS се включва само след първоначалната инициализация. Трябва да получите прозорец за завършване, който обобщава вашите настройки.

Първоначалната настройка

Преди всичко препоръчваме да проверите състоянието на лицензите; по-нататъшната конфигурация ще зависи от това. Отидете в раздела „НАЧАЛО“ → „Лиценз“:

Ако лицензите са активирани, препоръчваме незабавно да актуализирате до най-новия текущ фърмуер; за да направите това, отидете в раздела „УСТРОЙСТВО“ → „Системни операции“:

Системните актуализации се намират в елемента Надстройка на фърмуера. В нашия случай е инсталирана текущата и най-новата версия на фърмуера.

След това предлагам накратко да говоря за възможностите и настройките на системните остриета. Логично те могат да бъдат разделени на политики на ниво достъп (защитна стена, контрол на приложения, филтриране на URL адреси) и предотвратяване на заплахи (IPS, антивирус, анти-бот, емулация на заплахи).

Нека отидем в раздела Правила за достъп → Управление на блейд:

По подразбиране се използва СТАНДАРТЕН режим, който позволява изходящ трафик към Интернет, трафик в локалната мрежа, но в същото време блокира входящия трафик от Интернет.

Що се отнася до блейдовете APPLICATIONS & URL FILTERING, по подразбиране те са настроени да блокират сайтове с високо ниво на опасност, да блокират приложения за обмен (Torrent, File Storage и др.). Можете също така допълнително да блокирате категории сайтове ръчно.

Нека проверим опцията за потребителски трафик „Ограничаване на приложенията, консумиращи честотна лента“ с възможност за ограничаване на скоростта на изходящия/входящия трафик за групи от приложения.

След това отворете подраздела Политика; по подразбиране правилата се генерират автоматично според описаните по-горе настройки.

Подразделът NAT по подразбиране работи в Global Hide Nat Automatic, т.е. всички вътрешни хостове ще имат достъп до интернет чрез публичния IP адрес. Възможно е ръчно да зададете NAT правила за публикуване на вашите уеб приложения или услуги.

След това разделът, който се отнася до удостоверяването на потребителя в мрежата, предлага две опции: заявки за Active Directory (интегриране с вашата реклама), базирано на браузър удостоверяване (потребителят въвежда идентификационни данни за домейн в портала).

Струва си да се спомене SSL проверката отделно; делът на общия HTTPS трафик в глобалната мрежа активно нараства. Нека да разгледаме какви функции предлага CheckPoint за SMB решения.За да направите това, отидете на раздела SSL-Inspection → Policy:

В настройките можете да проверите HTTPS трафика; ще трябва да импортирате сертификата и да го инсталирате в доверен център за сертификати на машини на крайни потребители.

Считаме, че режимът BYPASS за предварително дефинирани категории е удобна опция; това значително спестява време при активиране на проверката.

След като конфигурирате правилата на ниво защитна стена / приложение, трябва да продължите към настройка на политиките за сигурност (предотвратяване на заплахи), за да направите това, отидете на съответния раздел:

На отворената страница виждаме активирани блейдове, статуси на подпис и актуализация на базата данни. Също така се иска да изберем профил за защита на мрежовия периметър и се показват съответните настройки.

Отделен раздел „IPS Protections“ ви позволява да конфигурирате действието за конкретен защитен подпис.

Неотдавна писахме в нашия блог относно глобалната уязвимост за Windows Server - SigRed. Нека проверим за присъствието му в Gaia Embedded 80.20, като въведете заявката „CVE-2020-1350“

Открит е запис за този подпис, към който може да се приложи едно от действията. (по подразбиране Prevent за нивото на опасност е Critical). Съответно, разполагайки с решение за SMB, няма да бъдете пропуснати по отношение на актуализации и поддръжка; това е цялостно решение на NGFW за клонове с до 200 души от CheckPoint.

Оценка на изпълнението

Завършвайки статията, бих искал да отбележа наличието на инструменти за отстраняване на проблеми след първоначалната инициализация и конфигурация на SMB решението. Можете да отидете в раздела „НАЧАЛО“ → „Инструменти“. Възможни опции:

• мониторинг на системните ресурси;
• таблица за маршрутизиране;
• проверка на наличността на облачни услуги CheckPoint;
• генериране на CPinfo;

Налични са и вградени мрежови команди: Ping, Traceroute, Traffic Capture.

По този начин днес прегледахме и проучихме първоначалната връзка и конфигурация на NGFW 1590, вие ще извършите подобни действия за цялата серия 1500 SMB Checkpoint. Наличните опции ни показаха висока вариативност на настройките, поддръжка на съвременни методи за защита на трафика в периметъра на мрежата.

Днес решенията на CheckPoint за защита на малки офиси и клонове (до 200 души) разполагат с широк набор от инструменти и използват най-новите технологии (облачно управление, поддръжка на SIM карти, разширяване на паметта с помощта на SD карти и др.). Продължавайте да бъдете информирани и да четете статии от TS Solution, ние планираме допълнителни издания на части за NGFW CheckPoint от семейството на SMB, ще се видим!

Голям избор от материали за Check Point от TS Solution. Останете на линия (Telegram, Facebook, VK, Блог за TS Solution, Yandex Zen).

Източник: www.habr.com