Здравейте на всички! Тази статия ще бъде посветена на преглед на функционалността на VPN в продукта Sophos XG Firewall. В предишната статии разглеждахме как да получим безплатно това решение за защита на домашната мрежа с пълна лицензия. Днес ще говорим за функционалността на VPN, която е вградена в Sophos XG. Ще се опитам да обясня какво може този продукт и ще дам примери за настройка на IPSec Site-to-Site VPN и клиентски SSL VPN. Нека започнем с прегледа.

Първо, нека да погледнем таблицата с лицензиите:

По-подробно за това как се лицензира Sophos XG Firewall можете да прочетете тук:
Линк
Но в тази статия ще се интересуваме само от тези елементи, които са отбелязани в червено.

Основната функционалност на VPN е включена в базовата лицензия и се придобива само веднъж. Това е пожизнена лицензия и не изисква подновяване. В модула Base VPN Options влизат:

Site-to-Site:

• SSL VPN
• IPSec VPN

Дистанционен достъп (клиентски VPN):

• SSL VPN
• IPsec Clientless VPN (с безплатно клиентско приложение)
• L2TP
• PPTP

Както виждаме, поддържат се всички популярни протоколи и типове VPN връзки.

Също така, в Sophos XG Firewall има още два типа VPN връзки, които не са включени в базовата абонамент. Това са RED VPN и HTML5 VPN. Тези VPN връзки влизат в абонамент Network Protection, което означава, че за да използвате тези типове, трябва да имате активен абонамент, който включва и функционалността за защита на мрежата – IPS и ATP модули.

RED VPN — това е собствен L2 VPN на компанията Sophos. Този тип VPN връзка има редица предимства в сравнение с Site-to-Site SSL или IPSec при настройка на VPN между два XG. В отличие от IPSec, RED тунелът създава виртуален интерфейс на двата края на тунела, което помага при разрешаване на проблеми, а в отличие от SSL, този виртуален интерфейс е напълно конфигурируем. Администраторът има пълен контрол над подсетката в RED тунела, което улеснява решаването на проблеми с маршрутизацията и конфликтите на подсетките.

HTML5 VPN или Clientless VPN – специфичен тип VPN, позволяващ прокарване на услуги през HTML5 директно в браузера. Типовете услуги, които могат да се конфигурират:

• RDP
• Telnet
• SSH
• VNC
• FTP
• FTPS
• SFTP
• SMB

Но трябва да се има предвид, че този тип VPN се използва само в редки случаи и се препоръчва, ако е възможно, да се използват типовете VPN от горния списък.

Практика

Нека да разгледаме на практика как да настроим някои от тези типове тунели, а именно: Site-to-Site IPSec и SSL VPN за дистанционен достъп.

Site-to-Site IPSec VPN

Нека започнем с това как да настроим Site-to-Site IPSec VPN тунел между два Sophos XG Firewall. Под капака се използва strongSwan, което позволява свързване с всеки рутер, който поддържа IPSec.

Може да се използва удобен и бърз wizard за настройка, но ще следваме общия процес, за да можем да интегрираме Sophos XG с всяко оборудване по IPSec.

Ще отворим прозореца за настройки на политиките:

Както виждаме, вече има предварително зададени настройки, но ние ще създадем наши собствени.

Настройваме параметрите на криптиране за първата и втората фаза и запазваме политиката. Подобно, извършваме същите действия на втория Sophos XG и преминаваме към настройка на самия IPSec тунел.

Въвеждаме име, режим на работа и настройваме параметрите на криптиране. За пример ще използваме Preshared Key.

и ще зададем локалните и отдалечените подсети.

Нашето свързване е създадено.

По аналогия, извършваме същите настройки на втория Sophos XG, с изключение на режима на работа, където ще зададем Initiate the connection.

Сега имаме два настроени тунела. Следващата стъпка е да ги активираме и стартираме. Това става много просто, трябва да натиснем червения кръг под думата Active, за да активираме и червения кръг под Connection, за да стартираме връзката.
Ако виждаме такава картинка:

Това означава, че тунелът ни работи коректно. Ако вторият индикатор свети в червено или жълто, то нещо е неправилно настроено в политиките за криптиране или в локалните и отдалечените подсети. Напомням, че настройките трябва да бъдат зеркални.

Отделно искам да подчертая, че от IPSec тунелите могат да се създават Failover групи за отказоустойчивост:

Remote Access SSL VPN

Нека преминем към Remote Access SSL VPN за потребителите. Под капака работи стандартният OpenVPN. Това позволява на потребителите да се свързват чрез всеки клиент, който поддържа .ovpn конфигурационни файлове (например, стандартният клиент за свързване).

Първо, трябва да настроим политиките на OpenVPN сървъра:

Да зададем транспорт за свързване, да настроим порта, диапазона от IP адреси за свързване на отдалечени потребители.

Също така, можем да зададем настройки за криптиране.

След настройването на сървера, преминаваме към настройка на клиентските свързвания.

Всяко правило за свързване с SSL VPN се създава за група или за отделен потребител. Всеки потребител може да има само една политика за свързване. По настройките, от интересното, за всяко такова правило може да се укаже какви отделни потребители, които ще използват тази настройка или група от AD, може да включите отметка, за да се завие целият трафик в VPN тунел или да укажете достъпни за потребителите IP адреси, подсетки или FQDN имена. На базата на тези политики автоматично ще бъде създаден .ovpn профайл с настройки за клиента.

Използвайки потребителския портал, потребителят може да изтегли както .ovpn файл с настройки за VPN клиента, така и инсталационен файл на VPN клиента с вградения файл с настройки за свързване.

Заключение

В тази статия накратко разгледахме функционалността на VPN в продукта Sophos XG Firewall. Видяхме как може да се настрои IPSec VPN и SSL VPN. Това далеч не е пълен списък на това, което може това решение. В следващите статии ще се опитам да направя преглед на RED VPN и да покажа как изглежда в самото решение.

Благодаря за отделеното време.

Ако имате въпроси относно търговската версия на XG Firewall, можете да се свържете с нас — компанията Фактор груп, дистрибутор на Sophos. Просто напишете в свободна форма на sophos@fgts.ru.

Източник: habr.com