3. UserGate শুরু করা। নেটওয়ার্ক নীতি

আমি ইউজারগেট গেটিং স্টার্টেড নিবন্ধ সিরিজের তৃতীয় নিবন্ধে পাঠকদের স্বাগত জানাই, যা কোম্পানির এনজিএফডাব্লু সমাধান সম্পর্কে কথা বলে ইউজারগেট. শেষ নিবন্ধে, ফায়ারওয়াল ইনস্টল করার প্রক্রিয়া বর্ণনা করা হয়েছিল এবং এর প্রাথমিক কনফিগারেশন তৈরি করা হয়েছিল। আপাতত, আমরা ফায়ারওয়াল, NAT এবং রাউটিং এবং ব্যান্ডউইথের মতো বিভাগগুলিতে নিয়ম তৈরি করার বিষয়ে ঘনিষ্ঠভাবে নজর দেব।

UserGate নিয়মের আদর্শ, যেমন নিয়মগুলি উপরে থেকে নীচে পর্যন্ত কার্যকর করা হয়, যতক্ষণ না প্রথমটি কাজ করে। উপরের উপর ভিত্তি করে, এটি অনুসরণ করে যে আরও নির্দিষ্ট নিয়মগুলি আরও সাধারণ নিয়মের চেয়ে বেশি হওয়া উচিত। কিন্তু এটি লক্ষ করা উচিত, যেহেতু নিয়মগুলি ক্রমানুসারে চেক করা হয়, তাই সাধারণ নিয়মগুলি তৈরি করা কর্মক্ষমতার দিক থেকে ভাল। কোন নিয়ম তৈরি করার সময়, শর্তগুলি "AND" যুক্তি অনুসারে প্রয়োগ করা হয়। যদি যুক্তি "OR" ব্যবহার করা প্রয়োজন হয়, তবে এটি বেশ কয়েকটি নিয়ম তৈরি করে অর্জন করা হয়। তাই এই নিবন্ধে যা বর্ণনা করা হয়েছে তা অন্যান্য UserGate নীতির ক্ষেত্রেও প্রযোজ্য।

ফায়ারওয়াল

UserGate ইন্সটল করার পর, "ফায়ারওয়াল" বিভাগে ইতিমধ্যেই একটি সহজ নীতি রয়েছে। প্রথম দুটি নিয়ম botnets জন্য ট্রাফিক নিষিদ্ধ. নীচে বিভিন্ন অঞ্চল থেকে অ্যাক্সেসের নিয়মগুলির উদাহরণ রয়েছে৷ শেষ নিয়মটিকে সর্বদা "অল ব্লক" বলা হয় এবং এটি একটি লক চিহ্ন দিয়ে চিহ্নিত করা হয় (এর অর্থ হল নিয়মটি মুছে ফেলা, পরিবর্তন করা, সরানো, অক্ষম করা যাবে না, এটি শুধুমাত্র লগিং বিকল্পের জন্য সক্রিয় করা যেতে পারে)। সুতরাং, এই নিয়মের কারণে, সমস্ত স্পষ্টভাবে অনুমোদিত নয় ট্র্যাফিক শেষ নিয়ম দ্বারা ব্লক করা হবে। আপনি যদি UserGate-এর মাধ্যমে সমস্ত ট্র্যাফিকের অনুমতি দিতে চান (যদিও এটি দৃঢ়ভাবে নিরুৎসাহিত করা হয়), আপনি সর্বদা চূড়ান্ত নিয়ম তৈরি করতে পারেন "সমস্তকে অনুমতি দিন"।

ফায়ারওয়াল নিয়ম সম্পাদনা বা তৈরি করার সময়, প্রথম সাধারন ট্যাব, আপনাকে নিম্নলিখিতগুলি করতে হবে: 

• চেকবক্স "চালু" নিয়ম সক্রিয় বা নিষ্ক্রিয় করুন।

• নিয়মের নাম লিখুন।

• নিয়মের বর্ণনা সেট করুন।

• দুটি কর্ম থেকে চয়ন করুন:

  • অস্বীকার করুন - ট্র্যাফিক ব্লক করে (এই শর্তটি সেট করার সময়, ICMP হোস্টকে পৌঁছানো সম্ভব নয়, আপনাকে কেবল উপযুক্ত চেকবক্স সেট করতে হবে)।

  • অনুমতি দেয় - ট্র্যাফিকের অনুমতি দেয়।

• দৃশ্যকল্প আইটেম - আপনাকে একটি দৃশ্যকল্প নির্বাচন করতে দেয়, যা ফায়ার করার নিয়মের জন্য একটি অতিরিক্ত শর্ত। এভাবেই UserGate SOAR (সিকিউরিটি অর্কেস্ট্রেশন, অটোমেশন এবং রেসপন্স) ধারণা বাস্তবায়ন করে।

• লগিং - যখন একটি নিয়ম ট্রিগার হয় তখন ট্র্যাফিক সম্পর্কে তথ্য লগ করুন। সম্ভাব্য বিকল্প:

  • অধিবেশন শুরু লগ. এই ক্ষেত্রে, শুধুমাত্র সেশনের শুরু সম্পর্কে তথ্য (প্রথম প্যাকেট) ট্র্যাফিক লগে লেখা হবে। এটি প্রস্তাবিত লগিং বিকল্প।

  • প্রতিটি প্যাকেট লগ. এই ক্ষেত্রে, প্রতিটি প্রেরিত নেটওয়ার্ক প্যাকেট সম্পর্কে তথ্য রেকর্ড করা হবে। এই মোডের জন্য, উচ্চ ডিভাইস লোড প্রতিরোধ করার জন্য লগিং সীমা সক্রিয় করার সুপারিশ করা হয়।

• নিয়ম প্রয়োগ করুন:

  • সব প্যাকেজ

  • খণ্ডিত প্যাকেটে

  • অখণ্ডিত প্যাকেজগুলিতে

• একটি নতুন নিয়ম তৈরি করার সময়, আপনি নীতিতে একটি জায়গা বেছে নিতে পারেন।

পরবর্তী উৎস ট্যাব. এখানে আমরা ট্র্যাফিকের উত্স নির্দেশ করি, এটি সেই অঞ্চল হতে পারে যেখান থেকে ট্র্যাফিক আসে, বা আপনি একটি তালিকা বা একটি নির্দিষ্ট আইপি-ঠিকানা (জিওআইপি) নির্দিষ্ট করতে পারেন। ডিভাইসে সেট করা প্রায় সমস্ত নিয়মে, একটি নিয়ম থেকে একটি অবজেক্ট তৈরি করা যেতে পারে, উদাহরণস্বরূপ, "জোন" বিভাগে না গিয়ে, আপনি জোন তৈরি করতে "একটি নতুন অবজেক্ট তৈরি করুন এবং যুক্ত করুন" বোতামটি ব্যবহার করতে পারেন। আমাদের দরকার. "উল্টানো" চেকবক্সটিও সাধারণ, এটি নিয়ম অবস্থায় ক্রিয়াটিকে বিপরীত করে, যা লজিক্যাল অ্যাকশন নেগেশানের মতো। গন্তব্য ট্যাব সোর্স ট্যাবের মতো, কিন্তু ট্রাফিক সোর্সের পরিবর্তে, আমরা ট্রাফিক গন্তব্য সেট করি। ব্যবহারকারী ট্যাব - এই জায়গায় আপনি ব্যবহারকারী বা গোষ্ঠীর একটি তালিকা যোগ করতে পারেন যার জন্য এই নিয়ম প্রযোজ্য। পরিষেবা ট্যাব - ইতিমধ্যে পূর্বনির্ধারিত একটি থেকে পরিষেবার ধরন নির্বাচন করুন বা আপনি নিজের সেট করতে পারেন। অ্যাপ্লিকেশন ট্যাব - নির্দিষ্ট অ্যাপ্লিকেশন বা অ্যাপ্লিকেশনের গোষ্ঠী এখানে নির্বাচন করা হয়েছে। এবং টাইম ট্যাব এই নিয়মটি সক্রিয় হওয়ার সময় নির্দিষ্ট করুন। 

শেষ পাঠ থেকে, "ট্রাস্ট" জোন থেকে ইন্টারনেট অ্যাক্সেস করার জন্য আমাদের একটি নিয়ম রয়েছে, এখন আমি একটি উদাহরণ হিসাবে দেখাব কিভাবে "ট্রাস্ট" জোন থেকে "অবিশ্বস্ত" জোনে ICMP ট্র্যাফিকের জন্য একটি অস্বীকারের নিয়ম তৈরি করা যায়।

প্রথমে, "অ্যাড" বোতামে ক্লিক করে একটি নিয়ম তৈরি করুন। যে উইন্ডোটি খোলে, সাধারণ ট্যাবে, নামটি পূরণ করুন (আইসিএমপিকে বিশ্বস্ত থেকে অবিশ্বস্ত পর্যন্ত সীমাবদ্ধ করুন), "চালু" চেকবক্সটি চেক করুন, নিষ্ক্রিয় ক্রিয়াটি নির্বাচন করুন এবং সবচেয়ে গুরুত্বপূর্ণভাবে, এই নিয়মের জন্য সঠিক অবস্থানটি চয়ন করুন৷ আমার নীতি অনুসারে, এই নিয়মটিকে "বিশ্বস্তকে অবিশ্বস্ত করার অনুমতি দিন" নিয়মের উপরে রাখা উচিত:

আমার কাজের জন্য "উৎস" ট্যাবে, দুটি বিকল্প আছে:

• "বিশ্বস্ত" অঞ্চল নির্বাচন করে

• "বিশ্বস্ত" বাদে সমস্ত অঞ্চল নির্বাচন করে এবং "উল্টানো" চেকবক্সে টিক দিয়ে

গন্তব্য ট্যাবটি উৎস ট্যাবের মতোই কনফিগার করা হয়েছে।

এরপরে, "পরিষেবা" ট্যাবে যান, যেহেতু ইউজারগেটের ICMP ট্র্যাফিকের জন্য একটি পূর্বনির্ধারিত পরিষেবা রয়েছে, তারপরে "যোগ করুন" বোতামে ক্লিক করে, আমরা প্রস্তাবিত তালিকা থেকে "যেকোন ICMP" নামের একটি পরিষেবা নির্বাচন করি:

সম্ভবত এটি ইউজারগেটের নির্মাতাদের উদ্দেশ্য ছিল, তবে আমি বেশ কয়েকটি সম্পূর্ণ অভিন্ন নিয়ম তৈরি করতে পেরেছি। যদিও তালিকা থেকে শুধুমাত্র প্রথম নিয়মটি কার্যকর করা হবে, আমি মনে করি একই নামের সাথে নিয়ম তৈরি করার ক্ষমতা যা কার্যকারিতার মধ্যে ভিন্ন তা বিভ্রান্তির কারণ হতে পারে যখন বেশ কয়েকটি ডিভাইস প্রশাসক কাজ করে।

NAT এবং রাউটিং

NAT নিয়ম তৈরি করার সময়, আমরা ফায়ারওয়ালের মতো বেশ কয়েকটি অনুরূপ ট্যাব দেখতে পাই। "প্রকার" ক্ষেত্রটি "সাধারণ" ট্যাবে উপস্থিত হয়েছে, এটি আপনাকে এই নিয়মটি কীসের জন্য দায়ী হবে তা চয়ন করতে দেয়:

• NAT - নেটওয়ার্ক ঠিকানা অনুবাদ।

• DNAT - নির্দিষ্ট আইপি ঠিকানায় ট্রাফিক পুনঃনির্দেশ করে।

• পোর্ট ফরওয়ার্ডিং - নির্দিষ্ট আইপি ঠিকানায় ট্র্যাফিক পুনঃনির্দেশ করে, তবে আপনাকে প্রকাশিত পরিষেবার পোর্ট নম্বর পরিবর্তন করতে দেয়

• নীতি-ভিত্তিক রাউটিং - আপনাকে বর্ধিত তথ্যের উপর ভিত্তি করে আইপি প্যাকেটগুলিকে রুট করার অনুমতি দেয়, যেমন পরিষেবা, MAC ঠিকানা বা সার্ভার (আইপি ঠিকানা)।

• নেটওয়ার্ক ম্যাপিং - আপনাকে একটি নেটওয়ার্কের উৎস বা গন্তব্য IP ঠিকানা অন্য নেটওয়ার্কের সাথে প্রতিস্থাপন করতে দেয়।

উপযুক্ত নিয়মের ধরন নির্বাচন করার পরে, এটির জন্য সেটিংস উপলব্ধ হবে।

SNAT আইপি (বহিরাগত ঠিকানা) ক্ষেত্রে, আমরা স্পষ্টভাবে আইপি ঠিকানা উল্লেখ করি যেখানে উৎস ঠিকানাটি প্রতিস্থাপিত হবে। যদি গন্তব্য অঞ্চলে ইন্টারফেসে একাধিক IP ঠিকানা বরাদ্দ করা থাকে তবে এই ক্ষেত্রটি প্রয়োজন। যদি আপনি এই ক্ষেত্রটি ফাঁকা রাখেন, তবে সিস্টেমটি গন্তব্য জোন ইন্টারফেসে নির্ধারিত উপলব্ধ IP ঠিকানাগুলির তালিকা থেকে একটি এলোমেলো ঠিকানা ব্যবহার করবে। UserGate ফায়ারওয়াল কর্মক্ষমতা উন্নত করতে SNAT IP নির্দিষ্ট করার সুপারিশ করে।

উদাহরণস্বরূপ, আমি "পোর্ট-ফরওয়ার্ডিং" নিয়ম ব্যবহার করে "DMZ" জোনে অবস্থিত একটি Windows সার্ভারের SSH পরিষেবা প্রকাশ করব৷ এটি করার জন্য, "যোগ করুন" বোতামে ক্লিক করুন এবং "সাধারণ" ট্যাবটি পূরণ করুন, "SSH টু উইন্ডোজ" নিয়মের নাম এবং "পোর্ট ফরওয়ার্ডিং" টাইপ করুন:

"উৎস" ট্যাবে, "অবিশ্বস্ত" জোন নির্বাচন করুন এবং "পোর্ট-ফরওয়ার্ডিং" ট্যাবে যান। এখানে আমাদের অবশ্যই "TCP" প্রোটোকল নির্দিষ্ট করতে হবে (চারটি বিকল্প উপলব্ধ - TCP, UDP, SMTP, SMTPS)। আসল গন্তব্য পোর্ট 9922 — পোর্ট নম্বর যেখানে ব্যবহারকারীরা অনুরোধ পাঠান (পোর্ট: 2200, 8001, 4369, 9000-9100 ব্যবহার করা যাবে না)। নতুন গন্তব্য পোর্ট (22) হল সেই পোর্ট নম্বর যেখানে ব্যবহারকারীর অনুরোধগুলি অভ্যন্তরীণ প্রকাশিত সার্ভারে ফরোয়ার্ড করা হবে।

"DNAT" ট্যাবে, স্থানীয় নেটওয়ার্কে কম্পিউটারের আইপি-ঠিকানা সেট করুন, যা ইন্টারনেটে প্রকাশিত হয় (192.168.3.2)। এবং আপনি ঐচ্ছিকভাবে SNAT সক্ষম করতে পারেন, তারপর UserGate বাহ্যিক নেটওয়ার্ক থেকে তার নিজস্ব IP ঠিকানায় প্যাকেটে উৎস ঠিকানা পরিবর্তন করবে।

সমস্ত সেটিংসের পরে, একটি নিয়ম প্রাপ্ত হয় যা সংযোগ করার সময় বহিরাগত UserGate ঠিকানা ব্যবহার করে SSH প্রোটোকলের মাধ্যমে 192.168.3.2 আইপি-ঠিকানা সহ সার্ভারে "অবিশ্বস্ত" অঞ্চল থেকে অ্যাক্সেসের অনুমতি দেয়৷

ব্যান্ডউইথ

এই বিভাগটি ব্যান্ডউইথ নিয়ন্ত্রণের নিয়মগুলি সংজ্ঞায়িত করে। এগুলি নির্দিষ্ট ব্যবহারকারী, হোস্ট, পরিষেবা, অ্যাপ্লিকেশনের চ্যানেল সীমাবদ্ধ করতে ব্যবহার করা যেতে পারে।

একটি নিয়ম তৈরি করার সময়, ট্যাবগুলির শর্তগুলি ট্রাফিকের উপর বিধিনিষেধ প্রয়োগ করা হয় তা নির্ধারণ করে৷ ব্যান্ডউইথ প্রস্তাবিত থেকে নির্বাচন করা যেতে পারে, বা আপনার নিজের সেট করা যেতে পারে। ব্যান্ডউইথ তৈরি করার সময়, আপনি একটি DSCP ট্রাফিক অগ্রাধিকার লেবেল নির্দিষ্ট করতে পারেন। যখন DSCP লেবেলগুলি প্রয়োগ করা হয় তার একটি উদাহরণ: একটি নিয়মে এই নিয়মটি যে পরিস্থিতিতে প্রয়োগ করা হয়েছে তা উল্লেখ করে, তারপর এই নিয়মটি স্বয়ংক্রিয়ভাবে এই লেবেলগুলিকে পরিবর্তন করতে পারে৷ স্ক্রিপ্ট কিভাবে কাজ করে তার আরেকটি উদাহরণ: নিয়মটি শুধুমাত্র তখনই ব্যবহারকারীর জন্য কাজ করবে যখন একটি টরেন্ট সনাক্ত করা হয় বা ট্র্যাফিকের পরিমাণ নির্দিষ্ট সীমা অতিক্রম করে। অবশিষ্ট ট্যাবগুলি অন্যান্য নীতিগুলির মতোই পূর্ণ হয়, যে ট্র্যাফিকের ধরণের উপর ভিত্তি করে নিয়মটি প্রয়োগ করা উচিত৷

উপসংহার

এই নিবন্ধে, আমি ফায়ারওয়াল, NAT এবং রাউটিং, এবং ব্যান্ডউইথ বিভাগে নিয়ম তৈরির বিষয়টি কভার করেছি। এবং নিবন্ধের একেবারে শুরুতে, তিনি UserGate নীতিগুলি তৈরি করার নিয়মগুলি বর্ণনা করেছেন, সেইসাথে একটি নিয়ম তৈরি করার সময় শর্তগুলির নীতিগুলিও বর্ণনা করেছেন৷ 

আমাদের চ্যানেলে আপডেট পেতে সাথে থাকুন (Telegram, ফেসবুক, VK, টিএস সমাধান ব্লগ)!

উত্স: www.habr.com