2. UserGate শুরু করা। প্রয়োজনীয়তা, ইনস্টলেশন

হ্যালো, এটি কোম্পানি থেকে NGFW সমাধান সম্পর্কে দ্বিতীয় নিবন্ধ ইউজারগেট. এই নিবন্ধটির উদ্দেশ্য হল কীভাবে একটি ভার্চুয়াল সিস্টেমে ইউজারগেট ফায়ারওয়াল ইনস্টল করতে হয় (আমি ভিএমওয়্যার ওয়ার্কস্টেশন ভার্চুয়ালাইজেশন সফ্টওয়্যার ব্যবহার করব) এবং এর প্রাথমিক কনফিগারেশন (ইন্টারনেটে ইউজারগেট গেটওয়ের মাধ্যমে স্থানীয় নেটওয়ার্ক থেকে অ্যাক্সেসের অনুমতি দিন) সঞ্চালন করা।   

1। ভূমিকা

শুরুতে, আমি নেটওয়ার্কে এই গেটওয়ে বাস্তবায়নের বিভিন্ন উপায় বর্ণনা করব। আমি নোট করতে চাই যে নির্বাচিত সংযোগ বিকল্পের উপর নির্ভর করে, গেটওয়ের নির্দিষ্ট কার্যকারিতা উপলব্ধ নাও হতে পারে। UserGate সমাধান নিম্নলিখিত সংযোগ মোড সমর্থন করে: 

• L3-L7 ফায়ারওয়াল

• L2 স্বচ্ছ সেতু

• L3 স্বচ্ছ সেতু

• WCCP প্রোটোকল ব্যবহার করে কার্যত ইন-লাইন

• নীতি ভিত্তিক রাউটিং ব্যবহার করে কার্যত ফাঁকে

• একটি লাঠি উপর রাউটার

• স্পষ্টভাবে WEB প্রক্সি সেট করুন

• ডিফল্ট গেটওয়ে হিসাবে UserGate

• মিরর পোর্ট পর্যবেক্ষণ

UserGate 2 ধরনের ক্লাস্টার সমর্থন করে:

1. কনফিগারেশন ক্লাস্টার। একটি কনফিগারেশন ক্লাস্টারে গোষ্ঠীভুক্ত নোডগুলি ক্লাস্টার জুড়ে অভিন্ন সেটিংস বজায় রাখে।

2. ফেইলওভার ক্লাস্টার. কনফিগারেশন ক্লাস্টারের 4টি নোড পর্যন্ত একটি ফেইলওভার ক্লাস্টারে একত্রিত করা যেতে পারে যা সক্রিয়-সক্রিয় বা সক্রিয়-প্যাসিভ মোডে অপারেশন সমর্থন করে। একাধিক ফেইলওভার ক্লাস্টার তৈরি করা সম্ভব।

2. ইনস্টলেশন

পূর্ববর্তী নিবন্ধে উল্লিখিত হিসাবে, UserGate একটি হার্ডওয়্যার-সফ্টওয়্যার কমপ্লেক্স হিসাবে বিতরণ করা হয় বা ভার্চুয়াল পরিবেশে স্থাপন করা হয়। সাইটে আপনার ব্যক্তিগত অ্যাকাউন্ট থেকে ইউজারগেট ছবিটি OVF ফরম্যাটে ডাউনলোড করুন (ওপেন ভার্চুয়ালাইজেশন ফরম্যাট), এই ফরম্যাটটি ভিএমওয়্যার এবং ওরাকল ভার্চুয়ালবক্স বিক্রেতাদের জন্য উপযুক্ত। মাইক্রোসফ্ট হাইপার-ভি এবং কেভিএম-এর জন্য, ভার্চুয়াল মেশিন ডিস্ক ইমেজ প্রদান করা হয়।

ইউজারগেট ওয়েবসাইট অনুসারে, ভার্চুয়াল মেশিনের সঠিক অপারেশনের জন্য, কমপক্ষে 8 জিবি র‌্যাম এবং একটি 2-কোর ভার্চুয়াল প্রসেসর ব্যবহার করার পরামর্শ দেওয়া হচ্ছে। হাইপারভাইজারকে অবশ্যই 64-বিট অপারেটিং সিস্টেম সমর্থন করতে হবে।

ইনস্টলেশনটি নির্বাচিত হাইপারভাইজারে (ভার্চুয়ালবক্স এবং ভিএমওয়্যার) ইমেজ আমদানি করে শুরু হয়। মাইক্রোসফ্ট হাইপার-ভি এবং কেভিএম-এর ক্ষেত্রে, আপনাকে একটি ভার্চুয়াল মেশিন তৈরি করতে হবে এবং ডাউনলোড করা চিত্রটিকে একটি ডিস্ক হিসাবে নির্দিষ্ট করতে হবে এবং তারপর তৈরি করা ভার্চুয়াল মেশিনের সেটিংসে ইন্টিগ্রেশন পরিষেবাগুলি অক্ষম করতে হবে।

ডিফল্টরূপে, ভিএমওয়্যারে আমদানি করার পরে, নিম্নলিখিত সেটিংস সহ একটি ভার্চুয়াল মেশিন তৈরি করা হয়:

এটি উপরে লেখা হয়েছে, RAM কমপক্ষে 8Gb হওয়া উচিত এবং উপরন্তু আপনাকে প্রতি 1 ব্যবহারকারীর জন্য 100Gb যোগ করতে হবে। ডিফল্ট হার্ড ডিস্কের আকার হল 100Gb, কিন্তু এটি সাধারণত সমস্ত লগ এবং সেটিংস সংরক্ষণ করার জন্য যথেষ্ট নয়৷ প্রস্তাবিত আকার 300Gb বা তার বেশি। অতএব, ভার্চুয়াল মেশিনের বৈশিষ্ট্যগুলিতে, ডিস্কের আকার পছন্দসইটিতে পরিবর্তন করুন। প্রাথমিকভাবে, ভার্চুয়াল UserGate UTM চারটি ইন্টারফেসের সাথে জোনে বরাদ্দ করা হয়েছে:

ম্যানেজমেন্ট - ভার্চুয়াল মেশিনের প্রথম ইন্টারফেস, বিশ্বস্ত নেটওয়ার্কগুলিকে সংযুক্ত করার জন্য একটি অঞ্চল যেখান থেকে UserGate পরিচালনা অনুমোদিত।

বিশ্বস্ত - ভার্চুয়াল মেশিনের দ্বিতীয় ইন্টারফেস, বিশ্বস্ত নেটওয়ার্ক সংযোগ করার জন্য একটি অঞ্চল, উদাহরণস্বরূপ, ল্যান নেটওয়ার্ক।

অবিশ্বস্ত - ভার্চুয়াল মেশিনের তৃতীয় ইন্টারফেস, ইন্টারনেটের মতো অবিশ্বস্ত নেটওয়ার্কগুলির সাথে সংযুক্ত ইন্টারফেসের জন্য একটি অঞ্চল।

DMZ - ভার্চুয়াল মেশিনের চতুর্থ ইন্টারফেস, DMZ নেটওয়ার্কের সাথে সংযুক্ত ইন্টারফেসের জন্য একটি অঞ্চল।

এর পরে, আমরা ভার্চুয়াল মেশিন শুরু করি, যদিও ম্যানুয়াল বলে যে আপনাকে সমর্থন সরঞ্জাম নির্বাচন করতে হবে এবং একটি ফ্যাক্টরি রিসেট UTM সঞ্চালন করতে হবে, কিন্তু আপনি দেখতে পাচ্ছেন, শুধুমাত্র একটি পছন্দ (UTM ফার্স্ট বুট) আছে। এই ধাপে, UTM নেটওয়ার্ক অ্যাডাপ্টার কনফিগার করে এবং হার্ড ড্রাইভে পার্টিশনটিকে ড্রাইভের পূর্ণ আকারে বৃদ্ধি করে:

UserGate ওয়েব ইন্টারফেসের সাথে সংযোগ করতে, আপনাকে ম্যানেজমেন্ট জোনের মধ্য দিয়ে যেতে হবে, eth0 ইন্টারফেসটি এর জন্য দায়ী, যা স্বয়ংক্রিয় মোডে (DHCP) একটি আইপি ঠিকানা পাওয়ার জন্য কনফিগার করা হয়েছে। যদি DHCP ব্যবহার করে স্বয়ংক্রিয়ভাবে ম্যানেজমেন্ট ইন্টারফেসের জন্য একটি ঠিকানা বরাদ্দ করা সম্ভব না হয়, তাহলে এটি CLI (কমান্ড লাইন ইন্টারফেস) ব্যবহার করে স্পষ্টভাবে সেট করা যেতে পারে। এটি করার জন্য, আপনাকে সম্পূর্ণ প্রশাসকের অধিকার সহ ব্যবহারকারীর নাম এবং পাসওয়ার্ড ব্যবহার করে CLI-তে লগ ইন করতে হবে (ডিফল্টরূপে, একটি বড় অক্ষর সহ অ্যাডমিন)। যদি UserGate ডিভাইসটি প্রারম্ভিক সূচনা পাস না করে, তাহলে CLI অ্যাক্সেস করতে, আপনাকে ব্যবহারকারীর নাম হিসাবে অ্যাডমিন এবং পাসওয়ার্ড হিসাবে utm ব্যবহার করতে হবে। এবং একটি কমান্ড লিখুন যেমন iface config -name eth0 -ipv4 192.168.1.254/24 -enable true -mode static। পরে আমরা নির্দিষ্ট ঠিকানায় UserGate ওয়েব কনসোলে যাই, এটি দেখতে এরকম কিছু হওয়া উচিত: https://UserGateIPaddress:8001:

ওয়েব কনসোলে, আমরা ইনস্টলেশন চালিয়ে যাই, আমাদের ইন্টারফেসের ভাষা নির্বাচন করতে হবে (বর্তমানে এটি রাশিয়ান বা ইংরেজি), সময় অঞ্চল, তারপরে আমরা লাইসেন্স চুক্তিটি পড়ি এবং সম্মত হই। ওয়েব ম্যানেজমেন্ট ইন্টারফেসে প্রবেশ করতে লগইন এবং পাসওয়ার্ড সেট করুন।

3. সেটআপ

ইনস্টলেশনের পরে, প্ল্যাটফর্ম পরিচালনার ওয়েব ইন্টারফেস উইন্ডোটি এইরকম দেখায়:

তারপরে আপনাকে নেটওয়ার্ক ইন্টারফেসগুলি কনফিগার করতে হবে। এটি করার জন্য, "ইন্টারফেস" বিভাগে, আপনাকে তাদের সক্ষম করতে হবে, সঠিক আইপি ঠিকানাগুলি সেট করতে হবে এবং উপযুক্ত অঞ্চলগুলি বরাদ্দ করতে হবে।

"ইন্টারফেস" বিভাগটি সিস্টেমে উপলব্ধ সমস্ত ভৌত এবং ভার্চুয়াল ইন্টারফেস প্রদর্শন করে, আপনাকে তাদের সেটিংস পরিবর্তন করতে এবং VLAN ইন্টারফেস যোগ করতে দেয়। এটি প্রতিটি ক্লাস্টার নোডের সমস্ত ইন্টারফেসও দেখায়। ইন্টারফেস সেটিংস প্রতিটি নোডের জন্য নির্দিষ্ট, অর্থাৎ তারা বিশ্বব্যাপী নয়।

ইন্টারফেসের বৈশিষ্ট্যে:

• ইন্টারফেস সক্ষম বা অক্ষম করুন 

• ইন্টারফেসের ধরন নির্দিষ্ট করুন - লেয়ার 3 বা মিরর

• একটি ইন্টারফেসে একটি জোন বরাদ্দ করুন

• Netflow সংগ্রাহকের কাছে পরিসংখ্যানগত তথ্য পাঠাতে Netflow প্রোফাইল বরাদ্দ করুন

• ইন্টারফেসের শারীরিক পরামিতি পরিবর্তন করুন - MAC ঠিকানা এবং MTU আকার

• আইপি অ্যাড্রেস অ্যাসাইনমেন্টের ধরন নির্বাচন করুন - কোনও ঠিকানা নেই, স্ট্যাটিক আইপি ঠিকানা বা DHCP এর মাধ্যমে প্রাপ্ত

• নির্বাচিত ইন্টারফেসে DHCP রিলে অপারেশন কনফিগার করুন।

যোগ বোতাম আপনাকে নিম্নলিখিত ধরনের লজিক্যাল ইন্টারফেস যোগ করতে দেয়:

• ভিএলএএন

• ঋণপত্র

• সেতু

• PPPoE তৈরী

• ভিপিএন

• সুড়ঙ্গ

পূর্বে তালিকাভুক্ত অঞ্চলগুলি ছাড়াও যেগুলি ইউজারগেট চিত্রের সাথে আসে, সেখানে আরও তিনটি ধরণের পূর্বনির্ধারিত রয়েছে:

ক্লাস্টার - ক্লাস্টার অপারেশনের জন্য ব্যবহৃত ইন্টারফেসের জন্য জোন

সাইট-টু-সাইটের জন্য VPN - এমন একটি অঞ্চল যেখানে VPN এর মাধ্যমে UserGate এর সাথে সংযুক্ত অফিস-টু-অফিস ক্লায়েন্টদের রাখা হয়েছে

দূরবর্তী অ্যাক্সেসের জন্য VPN - অঞ্চল যেখানে VPN এর মাধ্যমে UserGate এর সাথে সংযুক্ত সমস্ত মোবাইল ব্যবহারকারীদের রাখা হয়েছে

UserGate অ্যাডমিনিস্ট্রেটররা ডিফল্টভাবে তৈরি করা জোনগুলির সেটিংস পরিবর্তন করতে পারে, সেইসাথে অতিরিক্ত জোন তৈরি করতে পারে, কিন্তু সংস্করণ 5 এর জন্য ম্যানুয়ালটিতে বলা হয়েছে, আপনি 15টির বেশি জোন তৈরি করতে পারবেন না। এগুলি সম্পাদনা করতে বা তৈরি করতে, জোন বিভাগে যান৷ প্রতিটি জোনের জন্য, আপনি প্যাকেট ফেলার জন্য থ্রেশহোল্ড সেট করতে পারেন, SYN, UDP, ICMP সমর্থিত। Usergate পরিষেবাগুলিতে অ্যাক্সেস নিয়ন্ত্রণও কনফিগার করা হয়েছে, এবং স্পুফিং সুরক্ষা সক্ষম করা হয়েছে৷

ইন্টারফেসগুলি কনফিগার করার পরে, আপনাকে "গেটওয়ে" বিভাগে ডিফল্ট রুট কনফিগার করতে হবে। সেগুলো. ইউজারগেটকে ইন্টারনেটে সংযুক্ত করতে, আপনাকে অবশ্যই এক বা একাধিক গেটওয়ের আইপি ঠিকানা উল্লেখ করতে হবে। যদি ইন্টারনেটের সাথে সংযোগ করার জন্য বেশ কয়েকটি প্রদানকারী ব্যবহার করা হয়, তাহলে বেশ কয়েকটি গেটওয়ে নির্দিষ্ট করতে হবে। প্রতিটি ক্লাস্টার নোডের জন্য গেটওয়ে সেটিং অনন্য। যদি দুই বা ততোধিক গেটওয়ে নির্দিষ্ট করা থাকে, কাজ করার জন্য 2টি বিকল্প রয়েছে:

1. গেটওয়ের মধ্যে ট্রাফিকের ভারসাম্য বজায় রাখা।

2. একটি অতিরিক্ত স্যুইচিং সঙ্গে প্রধান গেটওয়ে.

গেটওয়ে স্ট্যাটাস (উপলব্ধ - সবুজ, অনুপলব্ধ - লাল) নিম্নরূপ সংজ্ঞায়িত করা হয়েছে:

1. নেটওয়ার্ক চেক অক্ষম - একটি গেটওয়ে উপলব্ধ বলে বিবেচিত হয় যদি UserGate একটি ARP অনুরোধ ব্যবহার করে তার MAC ঠিকানা পেতে পারে৷ এই গেটওয়ের মাধ্যমে ইন্টারনেট অ্যাক্সেস চেক করা হয় না। যদি গেটওয়ের MAC ঠিকানা নির্ধারণ করা না যায়, তাহলে গেটওয়েটি পৌঁছানো যায় না বলে বিবেচিত হয়।

2. নেটওয়ার্ক চেক সক্ষম - গেটওয়ে উপলব্ধ বলে মনে করা হয় যদি:

• UserGate একটি ARP অনুরোধ ব্যবহার করে তার MAC ঠিকানা পেতে পারে।

• এই গেটওয়ের মাধ্যমে ইন্টারনেট অ্যাক্সেস পরীক্ষা করা সফল হয়েছে৷

অন্যথায়, গেটওয়েটি পৌঁছানো যায় না বলে বিবেচিত হয়।

"DNS" বিভাগে, আপনাকে DNS সার্ভার যোগ করতে হবে যা UserGate ব্যবহার করবে। এই সেটিং সিস্টেম DNS সার্ভার এলাকায় নির্দিষ্ট করা হয়েছে. নীচে ব্যবহারকারীদের থেকে DNS প্রশ্নগুলি পরিচালনা করার জন্য সেটিংস রয়েছে৷ UserGate আপনাকে DNS প্রক্সি ব্যবহার করতে দেয়। ডিএনএস প্রক্সি পরিষেবা আপনাকে ব্যবহারকারীদের কাছ থেকে ডিএনএস অনুরোধগুলিকে বাধা দিতে এবং প্রশাসকের প্রয়োজনের উপর নির্ভর করে সেগুলি সংশোধন করতে দেয়৷ DNS প্রক্সি নিয়মগুলি ব্যবহার করে, আপনি DNS সার্ভারগুলি নির্দিষ্ট করতে পারেন যেখানে নির্দিষ্ট ডোমেনের জন্য অনুসন্ধানগুলি ফরোয়ার্ড করা হয়৷ উপরন্তু, একটি DNS প্রক্সি ব্যবহার করে, আপনি হোস্ট প্রকারের (A-রেকর্ড) স্ট্যাটিক রেকর্ড সেট করতে পারেন।

"NAT এবং রাউটিং" বিভাগে, আপনাকে প্রয়োজনীয় NAT নিয়মগুলি তৈরি করতে হবে। বিশ্বস্ত নেটওয়ার্কের ব্যবহারকারীদের জন্য ইন্টারনেট অ্যাক্সেস করার জন্য, NAT নিয়মটি ইতিমধ্যেই তৈরি করা হয়েছে - "বিশ্বস্ত-> অবিশ্বস্ত", এটি শুধুমাত্র এটি সক্রিয় করার জন্য রয়ে গেছে। নিয়মগুলি উপরে থেকে নীচে পর্যন্ত প্রয়োগ করা হয় যে ক্রমে তারা কনসোলে প্রদর্শিত হয়। শুধুমাত্র প্রথম নিয়মটি সর্বদা কার্যকর করা হয়, যার জন্য নিয়মে উল্লেখিত শর্ত মেলে। নিয়মটি ট্রিগার করার জন্য, নিয়মের প্যারামিটারে উল্লেখিত সমস্ত শর্ত অবশ্যই মিলতে হবে। UserGate সাধারণ NAT নিয়মগুলি তৈরি করার সুপারিশ করে, উদাহরণস্বরূপ, স্থানীয় নেটওয়ার্ক (সাধারণত বিশ্বস্ত অঞ্চল) থেকে ইন্টারনেটে (সাধারণত অবিশ্বস্ত অঞ্চল) একটি NAT নিয়ম এবং ফায়ারওয়াল নিয়ম ব্যবহার করে ব্যবহারকারী, পরিষেবা, অ্যাপ্লিকেশনগুলির অ্যাক্সেস সীমাবদ্ধ করার পরামর্শ দেয়৷

ডিএনএটি নিয়ম, পোর্ট ফরওয়ার্ডিং, নীতি-ভিত্তিক রাউটিং, নেটওয়ার্ক ম্যাপিং তৈরি করাও সম্ভব।

এর পরে, "ফায়ারওয়াল" বিভাগে, আপনাকে ফায়ারওয়াল নিয়ম তৈরি করতে হবে। বিশ্বস্ত নেটওয়ার্কের ব্যবহারকারীদের জন্য ইন্টারনেটে সীমাহীন অ্যাক্সেসের জন্য, একটি ফায়ারওয়াল নিয়ম ইতিমধ্যেই তৈরি করা হয়েছে - "বিশ্বস্তদের জন্য ইন্টারনেট" এবং সক্ষম হতে হবে৷ ফায়ারওয়াল নিয়ম ব্যবহার করে, অ্যাডমিনিস্ট্রেটর UserGate এর মধ্য দিয়ে যেকোন ধরনের ট্রানজিট নেটওয়ার্ক ট্রাফিকের অনুমতি দিতে বা অস্বীকার করতে পারেন। নিয়ম শর্ত হতে পারে জোন এবং উৎস/গন্তব্য IP ঠিকানা, ব্যবহারকারী এবং গোষ্ঠী, পরিষেবা এবং অ্যাপ্লিকেশন। নিয়মগুলি "NAT এবং রাউটিং" বিভাগের মতো একইভাবে প্রয়োগ করা হয়, যেমন আপাদোমোস্তোক. যদি কোনো নিয়ম তৈরি না করা হয়, তাহলে UserGate এর মাধ্যমে কোনো ট্রানজিট ট্রাফিক নিষিদ্ধ।

4। উপসংহার

এই নিবন্ধটি শেষ হয়েছে. আমরা ভার্চুয়াল মেশিনে UserGate ফায়ারওয়াল ইনস্টল করেছি এবং বিশ্বস্ত নেটওয়ার্কে ইন্টারনেট কাজ করার জন্য ন্যূনতম প্রয়োজনীয় সেটিংস তৈরি করেছি। নিম্নলিখিত নিবন্ধগুলিতে আরও কনফিগারেশন বিবেচনা করা হবে।

আমাদের চ্যানেলে আপডেট পেতে সাথে থাকুন (Telegram, ফেসবুক, VK, টিএস সমাধান ব্লগ)!

উত্স: www.habr.com