Pokračujeme v našem cyklu článků o NGFW pro malé podniky, připomínám, že se zaměřujeme na novou modelovou řadu 1500. V cyklu jsem zmínil jednu z nejužitečnějších možností při nákupu zařízení SMB – dodání bran s integrovanými licencemi Mobile Access (od 100 do 200 uživatelů v závislosti na modelu). V tomto článku se zaměříme na nastavení VPN pro brány řady 1500, které přicházejí s předinstalovanou Gaia 80.20 Embedded. Zde je krátký přehled:
- Možnosti VPN pro SMB.
- Organizace Remote Access pro malé kanceláře.
- Dostupní klienti pro připojení.
1. Možnosti VPN pro SMB
Abychom připravili dnes přednesený materiál, byl použit oficiální verze R80.20.05 (v době zveřejnění článku – aktuální). Podle toho, co se týče VPN při Gaia 80.20 Embedded, je zde podpora:
- Site-To-Site. Vytváření VPN tunelů mezi vašimi kancelářemi, kde uživatelé budou moci pracovat, jako by byli v jedné „lokální“ síti.
- Remote Access. Vzdálený přístup k zdrojům vaší kanceláře prostřednictvím koncových zařízení uživatelů (PC, mobilní telefony atd.). Dále je k dispozici SSL Network Extender, který umožňuje publikovat jednotlivé aplikace a spouštět je pomocí Java Applet, připojením přes SSL. Poznámka: nezaměňovat s Mobile Access Portal (podpora na Gaia Embedded není k dispozici).
Dodatečně Důrazně doporučuji autorský kurz TS Solution – ten odhaluje technologie Check Point v oblasti VPN, dotýká se otázek licencování a obsahuje velmi podrobné pokyny k nastavení.
2. Remote Access pro malé kanceláře
Nyní se pustíme do organizace vzdáleného připojení k vaší kanceláři:
- Aby uživatelé mohli vybudovat VPN tunel s bránou, musíte mít veřejnou IP adresu. Pokud jste již prošli počátečním nastavením ( v cyklu), obvykle je pak – External Link již aktivní. Informace můžete zjistit přechodem na Gaia Portal: Device → Network → Internet
V případě, že vaše společnost používá dynamickou veřejnou IP adresu, můžete nastavit Dynamic DNS. Přejděte na Device → DDNS & Device Access
V současné době existuje podpora od dvou poskytovatelů: DynDns a no-ip.com. Aby byla možnost aktivována, je třeba zadat své přihlašovací údaje (uživatelské jméno, heslo).
- Dále vytvoříme uživatelský účet, který bude užitečný pro testování nastavení: VPN → Remote Access → Remote Access Users
Ve skupině (na příkladu: remoteaccess) vytvoříme uživatele podle pokynů na screenshotu. Nastavení účtu je standardní, nastavíme přihlášení a heslo, navíc aktivujeme možnost Remote Access permissions.
Pokud jste úspěšně použili nastavení, měly by se objevit dva objekty: místní uživatel a místní skupina uživatelů.
- Dalším krokem přecházíme na VPN → Remote Access → Blade Control. Ujistěte se, že máte blade zapnuté a povolený provoz od vzdálených uživatelů.
- *Výše uvedený minimální soubor kroků slouží k nastavení Remote Access. Ale než otestujeme připojení, podívejme se na další nastavení, přecházející na záložku VPN → Remote Access → Advanced
Na základě aktuálních nastavení vidíme, že při připojení získají vzdálené uživatelé IP adresu ze sítě 172.16.11.0/24, díky možnosti Office Mode. To je více než dostatečné pro využití 200 konkurenčních licencí (uvedeno pro 1590 NGFW Check Point).
Volba „Směrovat internetový provoz od připojených klientů přes tuto bránu“ je volitelná a zodpovídá za směrování veškerého provozu od vzdáleného uživatele přes bránu (včetně připojení k internetu). To umožňuje inspekci uživatelského provozu a chrání jeho pracovní stanici před různými hrozbami a škodlivými programy.
- *Práce s politikami přístupu pro Remote Access
Poté, co jsme nastavili Remote Access, bylo vytvořeno automatické pravidlo přístupu na úrovni firewalu, pro jeho zobrazení je potřeba přejít na záložku: Access Policy → Firewall → Policy
V tomto případě budou moct vzdálení uživatelé, kteří patří do dříve vytvořené skupiny, přistupovat ke všem interním zdrojům společnosti, přičemž pravidlo je ve společné sekci „Příchozí, interní a VPN provoz“. Pro povolení provozu VPN uživatelů na internet bude nutné vytvořit samostatné pravidlo ve společné sekci „Odchozí přístup na internet”.
Nakonec zbývá zajistit, aby uživatel mohl úspěšně vytvořit VPN tunel k našemu NGFW bráně a získat přístup k interním zdrojům společnosti. K tomu je nutné nainstalovat VPN klienta na testovaný host, k dispozici je ke stažení. Po instalaci bude třeba provést standardní postup přidání nového webu (uvede se veřejná IP adresa vaší brány). Pro přehlednost je proces představen ve formě GIF
Jakmile je připojení navázáno, zkontrolujeme přijatou IP adresu na hostitelské mašině pomocí příkazu v CMD: ipconfig
Ujistili jsme se, že virtuální síťový adaptér získal IP adresu z režimu Office Mode naší NGFW, pak pakety úspěšně odcházejí. Pro dokončení můžeme přejít na Gaia Portal: VPN → Remote Access → Connected Remote Users
Uživatel "ntuser" se zobrazuje jako připojený, zkontrolujeme protokolování událostí tím, že přejdeme na Logs & Monitoring → Security Logs
Protokolování spojení probíhá, jakožto zdroj se používá IP adresa: 172.16.10.1 — to je adresa, kterou náš uživatel získal prostřednictvím režimu Office Mode.
3. Podporované klienty pro vzdálený přístup
Poté, co jsme probrali proces nastavení vzdáleného připojení do vaší kanceláře pomocí řady SMB NGFW Check Point, rád bych napsal o podpoře klientů pro různá zařízení:
- Mobilní klient ( / )
- L2TP Native Client ( Check Point tvrdí, že podporuje nativní aplikaci pro VPN od Microsoftu).
Různorodost podporovaných OS a zařízení vám umožní naplno využít vaši licenci dodávanou s NGFW. Pro nastavení jednotlivého zařízení je tu pohodlná volba “Jak se připojit”
V ní se automaticky vytvářejí kroky podle vašich nastavení, což usnadní administrátorům bez problémů nastavit nové klienty.
Výstup: Na závěr tohoto článku jsme probrali možnosti VPN pro NGFW Check Point série SMB. Dále jsme popisovali kroky pro nastavení Remote Access v případě vzdáleného připojení uživatelů do kanceláře, poté jsme prozkoumali monitorovací nástroje. Na závěr článku jsme hovořili o dostupných klientech a variantách připojení při Remote Access. Tímto způsobem váš pobočkový úřad může zajistit kontinuitu a bezpečnost práce zaměstnanců pomocí VPN technologií navzdory různým vnějším hrozbám a faktorům.
. Sledujte novinky (, , , , ).
Zdroj: habr.com
