Vítejte čtenáři u třetího článku cyklu článků UserGate Getting Started, který se zabývá řešením NGFW od společnosti . V minulém článku byl popsán proces instalace firewallu a byla provedena jeho počáteční konfigurace. Nyní se podíváme podrobněji na vytváření pravidel v sekcích jako „Firewall“, „NAT a směrování“ a „Propustnost“.
Ideologie fungování pravidel UserGate je taková, že pravidla se vykonávají shora dolů, až do prvního spouštěného. Z výše uvedeného vyplývá, že specifická pravidla musí být nad obecným. Je však třeba poznamenat, že protože pravidla jsou kontrolována v pořadí, z hlediska výkonu je lepší vytvářet obecná pravidla. Podmínky při vytváření jakéhokoli pravidla se uplatňují podle logiky „A“. Pokud je nutné použít logiku „NEBO“, dosáhne se toho vytvořením několika pravidel. Takže to, co je popsáno v tomto článku, platí i pro jiné politiky UserGate.
Firewall
Po instalaci UserGate v sekci „Firewall“ již existuje jednoduchá politika. První dvě pravidla zakazují provoz pro botnety. Následují příklady pravidel přístupu z různých zón. Poslední pravidlo se vždy nazývá „Blokovat vše“ a je označeno symbolem zámku (ten znamená, že pravidlo nelze odstranit, změnit, přesunout, deaktivovat; pro něj lze pouze aktivovat možnost záznamu). Díky tomuto pravidlu bude veškerý výslovně nepovolený provoz blokován posledním pravidlem. Pokud je potřeba povolit veškerý provoz přes UserGate (i když se to důrazně nedoporučuje), vždy lze vytvořit předposlední pravidlo „Povolit vše“.
Při editaci nebo vytváření pravidla pro firewall je první karta „Obecné“, na níž je třeba provést následující kroky:
Zaškrtávacím políčkem „Zapnuto“ povolit nebo zakázat pravidlo.
vložit název pravidla.
zadajte popis pravidla.
vyberte jedno ze dvou akcí:
Zakázat — blokuje provoz (při stanovení této podmínky je možné odeslat ICMP host unreachable, stačí zaškrtnout odpovídající zaškrtávací políčko).
Povolit — povoluje provoz.
Scénář pravidel — umožňuje vybrat scénář, který je dalším podmínkou pro aktivaci pravidla. Tak společnost UserGate realizuje koncept SOAR (Security Orchestration, Automation and Response).
Protokolování — zapisování informací o provozu do protokolu při aktivaci pravidla. Možné varianty:
Protokolovat začátek relace. V tomto případě se do protokolu provozu zapíše pouze informace o začátku relace (první paket). Toto je doporučená varianta protokolování.
Protokolovat každý paket. V tomto případě se zapíše informace o každém přenášeném síťovém paketu. Pro tento režim se doporučuje zapnout limit protokolování, aby se předešlo vysokému zatížení zařízení.
Použít pravidlo na:
Všechny pakety
na fragmentované pakety
na nefragmentované pakety
Při vytváření nového pravidla lze vybrat místo v politice.
Další záložka „Zdroj“. Zde uvádíme zdroj provozu, může to být zóna, ze které provoz pochází, nebo můžeme uvést seznam nebo konkrétní ip adresu (Geoip). Prakticky ve všech pravidlech, která lze nastavit v zařízení, lze vytvořit objekt z pravidla. Například není nutné přecházet do sekce „Zóny“, pomocí tlačítka „Vytvořit a přidat nový objekt“ lze vytvořit požadovanou zónu. Také se často vyskytuje zaškrtávací políčko „Invertovat“, které mění v podmínce pravidla akci na opačnou, což je analogické logické akci negace. Záložka „Cíl“ je podobná záložce zdroje, pouze místo zdroje provozu zadáváme cíl provozu. Záložka „Uživatelé“ — v tomto místě lze přidat seznam uživatelů nebo skupin, pro které se toto pravidlo aplikuje. Záložka „Služba“ — vybíráme typ služby z již předdefinovaných nebo můžeme zadat vlastní. Záložka „Aplikace“ — zde vybíráme konkrétní aplikace nebo skupiny aplikací. A záložka „Čas“ uvádí čas, kdy je toto pravidlo aktivní.
Z minulého lekce máme pravidlo pro přístup na internet ze zóny „Trust“, nyní ukážu na příkladu, jak vytvořit zakazující pravidlo pro ICMP provoz ze zóny „Trust“ do zóny „Untrusted“.
Nejprve vytvoříme pravidlo kliknutím na tlačítko „Přidat“. V otevřeném okně na záložce Obecné vyplníme název (Zákaz ICMP z trusted do untrusted), zaškrtneme checkbox „Povolit“, zvolíme akci zakázat a co je nejdůležitější, správně vybereme umístění tohoto pravidla. Podle mé politiky by toto pravidlo mělo být umístěno nad pravidlem „Povolit trusted do untrusted“:
Na záložce „Zdroj“ pro můj úkol existují dvě možnosti:
Zvolením zóny „Trusted“
Zvolení všech zón kromě „Trusted“ a zaškrtnutí checkboxu „Invertovat“
Záložka „Účel“ se nastavuje obdobně jako záložka „Zdroj“.
Dále přecházíme na záložku „Služba“. Protože v UserGate existuje předdefinovaná služba pro ICMP provoz, kliknutím na tlačítko „Přidat“ vybíráme ze seznamu službu s názvem „Any ICMP“:
Možná to tvůrci UserGate zamýšleli, ale já jsem mohl vytvořit několik zcela stejných pravidel. I když se bude provádět pouze první pravidlo v seznamu, možnost vytvořit různá funkční pravidla se stejným názvem může způsobit zmatek při práci více správců zařízení.
NAT a směrování
Při vytváření pravidel NAT vidíme několik podobných záložek, jako pro firewall. Na záložce „Obecné“ se objevilo pole „Typ“, které umožňuje vybrat, za co bude toto pravidlo odpovědné:
NAT — Převod síťových adres.
DNAT — Přesměrovává provoz na určenou IP adresu.
Port forwarding — Přesměrovává provoz na určenou IP adresu, ale umožňuje měnit číslo portu publikované služby.
Směrování založené na politice — Umožňuje směrování IP paketů na základě rozšířených informací, jako jsou služby, MAC adresy nebo servery (IP adresy).
Mapování sítě — Umožňuje vyměnit IP adresy zdroje nebo cíle jedné sítě za jinou síť.
Po výběru příslušného typu budou dostupná nastavení k němu.
V poli SNAT IP (externí adresa) jasně uvádíme IP adresu, na kterou bude nahrazeno adresa zdroje. Toto pole je potřeba, když jsou přiřazeny více IP adres k rozhraním cílové zóny. Pokud toto pole necháme prázdné, systém použije náhodnou adresu z dostupného seznamu IP adres přiřazených k rozhraním cílové zóny. UserGate doporučuje uvést SNAT IP pro zvýšení výkonu práce firewallu.
Pro příklad zveřejním SSH službu serveru Windows, nacházejícího se v zóně "DMZ", pomocí pravidla "port forwarding". Pro to klikneme na tlačítko "Přidat" a vyplníme záložku "Obecné", uvedeme název pravidla "SSH to Windows" a typ "Port forwarding":
Na záložce "Zdroj" vybereme zónu "Untrusted" a přejdeme na záložku "Port forwarding". Zde musíme uvést protokol "TCP" (k dispozici jsou čtyři varianty — TCP, UDP, SMTP, SMTPS). Původní cílový port 9922 — číslo portu, na který uživatelé posílají požadavky (nelze používat porty: 2200, 8001, 4369, 9000-9100). Nový cílový port (22) — číslo portu, na který budou přesměrovávány požadavky uživatelů na interní veřejný server.
Na záložce "DNAT" zadáme ip adresu počítače v lokální síti, který je publikován na internetu (192.168.3.2). A volitelně můžeme zapnout SNAT, pak UserGate změní adresu zdroje v paketech z vnější sítě na svou IP adresu.
Po všech nastaveních vzniká pravidlo, které umožňuje přístup ze zóny "Untrusted" na server s ip adresou 192.168.3.2 protokolem SSH, přičemž při připojení se používá externí adresa UserGate.
Šířka pásma
V této části se stanovují pravidla pro správu šířky pásma. Mohou být použita pro omezení kanálu určitémi uživateli, hostiteli, službami, aplikacemi.
Při vytváření pravidla na záložkách definujeme podmínky pro provoz, na který se vztahují omezení. Šířku pásma lze vybrat z nabízených možností nebo zadat vlastní. Při vytváření šířky pásma lze zadat označení pro prioritu provozu DSCP. Příkladem aplikace označení DSCP může být situace, kdy uvedením scénáře do pravidla dojde k automatické změně těchto označení. Dalším příkladem fungování scénáře může být pravidlo, které se uplatní u uživatele pouze v případě, že je detekován torrent nebo objem provozu překročí stanovený limit. Ostatní záložky vyplňujeme stejně jako v jiných politikách, podle typu provozu, na který by se mělo pravidlo vztahovat.
Závěr
V tomto článku jsem se zabýval vytvářením pravidel v sekcích „Firewall“, „NAT a směrování“ a „Šířka pásma“. Na začátku článku jsem popsal pravidla pro vytváření politik UserGate a také princip fungování podmínek při vytváření pravidla.
Sledujte aktualizace na našich kanálech (, , , )!
Zdroj: habr.com
