Продължаваме поредицата статии за NGFW за малкия бизнес. Напомням, че разглеждаме новата моделна линия от серия 1500. В цикъла споменах за една от най-полезните опции при закупуването на устройство SMB — доставката на шлюзове с вградени лицензи Mobile Access (от 100 до 200 потребители в зависимост от модела). В тази статия ще разгледаме настройката на VPN за шлюзовете от серия 1500, които идват с предварително инсталиран Gaia 80.20 Embedded. Ето кратко резюме:
- Възможности на VPN за SMB.
- Организиране на Remote Access за малки офиси.
- Налични клиенти за свързване.
1. Възможности на VPN за SMB
За подготовката на днешния материал беше използван официалният версия R80.20.05 (към момента на публикуване на статията — актуален). Съответно, в частта за VPN при Gaia 80.20 Embedded има поддръжка за:
- Site-To-Site. Създаване на VPN тунели между вашите офиси, където потребителите могат да работят, както в една "локална" мрежа.
- Remote Access. Удалечен достъп до ресурсите на вашия офис чрез крайни устройства на потребителите (ПК, мобилни телефони и т.н.). Допълнително се предлага SSL Network Extender, който позволява публикуването на отделни приложения и тяхното стартиране чрез Java Applet, свързвайки се чрез SSL. Бележка: не бъркайте с Mobile Access Portal (поддръжката за Gaia Embedded отсъства).
Допълнително крайно препоръчвам авторския курс TS Solution — той разкрива технологиите на Check Point в частта VPN, разглежда въпросите на лицензиране и съдържа подробни инструкции за настройка.
2. Remote Access за малки офиси
Ние ще започнем с организирането на удалечен достъп до вашия офис:
- За да могат потребителите да изградят VPN тунел с шлюза, е необходимо да имате публичен IP адрес. Ако вече сте преминали през първоначалната настройка ( от цикъла), обикновено — External Link вече е активен. Информация можете да получите, като преминете на Gaia Portal: Device → Network → Internet
В случай, че вашата компания използва динамичен публичен IP адрес, можете да зададете Dynamic DNS. Преведете в Device → DDNS & Device Access
В момента съществува поддръжка от двама доставчици: DynDns и no-ip.com. За да активирате опцията, трябва да въведете вашите учетни данни (логин, парола).
- След това ще създадем потребителски акаунт, който ще е полезен за тестване на настройките: VPN → Remote Access → Remote Access Users
В групата (например: remoteaccess) ще създадем потребител, следвайки инструкциите на екрана. Настройката на акаунта е стандартна, задаваме логин и парола, допълнително включваме опцията Remote Access permissions.
Ако успешно сте приложили настройките, трябва да се появят два обекта: локален потребител и локална група от потребители.
- Следващата стъпка е да преминем към VPN → Remote Access → Blade Control. Убедете се, че имате активиран блейд и разрешен трафик от отдалечени потребители.
- *По-горе беше даден минимален набор от стъпки за настройка на Remote Access. Но преди да тестваме връзката, нека разгледаме допълнителните настройки, като преминем на таба VPN → Remote Access → Advanced
Съдейки по текущите настройки, виждаме, че отдалечените потребители при свързване ще получат IP адрес от мрежата 172.16.11.0/24, благодарение на опцията Office Mode. Това е достатъчно за да се използват 200 конкурентни лицензии (посочени за 1590 NGFW Check Point).
Опция «Route Internet traffic from connected clients through this gateway» е незадължителна и отговаря за маршрутизацията на целия трафик от отдалечения потребител през шлюза (включително и свързването с интернет). Това позволява инспекцията на трафика на потребителя и защитава работната му станция от различни заплахи и злонамерени програми.
- *Работа с правилата за достъп за Remote Access
След като настроим Remote Access, ще бъде създадено автоматично правило за достъп на ниво Firewall; за да го прегледате, трябва да преминете на таба: Access Policy → Firewall → Policy
В този случай отдалечените потребители, които влизат в предварително създадената група, ще могат да получават достъп до всички вътрешни ресурси на компанията; отбелязвам, че правилото е в общата секция “Incoming, Internal and VPN traffic”. За да разрешите трафика на VPN-потребителите към интернет, ще е необходимо да създадете отделно правило в общата секция “Outgoing access to the Internet".
Накрая остава да се уверим, че потребителят може успешно да създаде VPN тунел до нашия NGFW шлюз и да получи достъп до вътрешните ресурси на компанията. За целта е необходимо да инсталирате VPN клиент на тествания хост, към него е приложен за изтегляне. След инсталацията е необходимо да се проведе стандартната процедура за добавяне на нов сайт (посочва се публичният IP адрес на вашия шлюз). За удобство процесът е представен под формата на GIF.
Когато връзката е вече установена, проверяваме полученото IP-адрес на хост машината с помощта на командата в CMD: ipconfig
Убедихме се, че виртуалният мрежов адаптер е получил IP-адрес от Office Mode на нашето NGFW, пакетите се изпращат успешно. За да завършим, можем да преминем към Gaia Portal: VPN → Дистанционен достъп → Свързани отдалечени потребители
Потребителят “ntuser” се показва като свързан, да проверим логването на събития, преминавайки в Логове & Наблюдение → Сигурност на логовете
Логването на връзката се извършва, като източникът е IP-адрес: 172.16.10.1 — това е адресът, получен от нашия потребител чрез режима Office Mode.
3. Поддържани клиенти за Дистанционен достъп
След като разгледахме процедурата по настройка на отдалечено свързване към вашия офис, с помощта на NGFW Check Point от семейството SMB, бихме искали да споменем за поддръжката на клиенти за различни устройства:
- Мобилен клиент ( / )
- L2TP Native Client ( Check Point декларира поддръжка на родното приложение за VPN на Microsoft).
Разнообразието от поддържани ОС и устройства ще ви позволи да използвате вашата лицензия, която идва с NGFW в пълен обем. За да настроите конкретно устройство, има удобна опция “Как да се свържете”
В нея автоматично се формират стъпки, съобразно вашите настройки, което ще позволи на администраторите без проблеми да инсталират нови клиенти.
Извод: В обобщение на тази статия разгледахме възможностите на VPN за NGFW Check Point от семейството SMB. След това описахме стъпките за настройка на Дистанционен достъп, в случай на отдалечено свързване на потребителите към офиса, след което изучихме средствата за наблюдение. В завършването на статията говорихме за наличните клиенти и опциите за свързване при Дистанционен достъп. Така вашият клонен офис ще може да осигури непрекъснатост и сигурност на работата на служителите с помощта на VPN технологии, въпреки различните външни заплахи и фактори.
. Следете за актуализации (, , , , ).
Източник: habr.com
