{"id":90211,"date":"2020-07-30T01:42:13","date_gmt":"2020-07-29T23:42:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn"},"modified":"2020-07-30T01:42:13","modified_gmt":"2020-07-29T23:42:13","slug":"4-ngfw-dlya-malogo-biznesa-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn","title":{"rendered":"4. NGFW pro mal\u00e9 podniky. VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"4.
\n<\/p>\n

Pokra\u010dujeme v na\u0161em cyklu \u010dl\u00e1nk\u016f o NGFW pro mal\u00e9 podniky, p\u0159ipom\u00edn\u00e1m, \u017ee se zam\u011b\u0159ujeme na novou modelovou \u0159adu 1500. V 1. \u010d\u00e1sti<\/a><\/noindex> cyklu jsem zm\u00ednil jednu z neju\u017eite\u010dn\u011bj\u0161\u00edch mo\u017enost\u00ed p\u0159i n\u00e1kupu za\u0159\u00edzen\u00ed SMB \u2013 dod\u00e1n\u00ed bran s integrovan\u00fdmi licencemi Mobile Access (od 100 do 200 u\u017eivatel\u016f v z\u00e1vislosti na modelu). V tomto \u010dl\u00e1nku se zam\u011b\u0159\u00edme na nastaven\u00ed VPN pro br\u00e1ny \u0159ady 1500, kter\u00e9 p\u0159ich\u00e1zej\u00ed s p\u0159edinstalovanou Gaia 80.20 Embedded. Zde je kr\u00e1tk\u00fd p\u0159ehled:<\/p>\n

<\/p>\n

    \n
  1. Mo\u017enosti VPN pro SMB.<\/li>\n
  2. Organizace Remote Access pro mal\u00e9 kancel\u00e1\u0159e.<\/li>\n
  3. Dostupn\u00ed klienti pro p\u0159ipojen\u00ed.<\/li>\n<\/ol>\n

    <\/a><\/noindex><\/p>\n

    1. Mo\u017enosti VPN pro SMB<\/h3>\n

    <\/p>\n

    Abychom p\u0159ipravili dnes p\u0159ednesen\u00fd materi\u00e1l, byl pou\u017eit ofici\u00e1ln\u00ed pr\u016fvodce administr\u00e1tora<\/a><\/noindex> verze R80.20.05 (v dob\u011b zve\u0159ejn\u011bn\u00ed \u010dl\u00e1nku \u2013 aktu\u00e1ln\u00ed). Podle toho, co se t\u00fd\u010de VPN p\u0159i Gaia 80.20 Embedded, je zde podpora:<\/p>\n

    <\/p>\n

      \n
    1. Site-To-Site. Vytv\u00e1\u0159en\u00ed VPN tunel\u016f mezi va\u0161imi kancel\u00e1\u0159emi, kde u\u017eivatel\u00e9 budou moci pracovat, jako by byli v jedn\u00e9 \u201elok\u00e1ln\u00ed\u201c s\u00edti.\n

      \"4.\n<\/li>\n

    2. Remote Access. Vzd\u00e1len\u00fd p\u0159\u00edstup k zdroj\u016fm va\u0161\u00ed kancel\u00e1\u0159e prost\u0159ednictv\u00edm koncov\u00fdch za\u0159\u00edzen\u00ed u\u017eivatel\u016f (PC, mobiln\u00ed telefony atd.). D\u00e1le je k dispozici SSL Network Extender, kter\u00fd umo\u017e\u0148uje publikovat jednotliv\u00e9 aplikace a spou\u0161t\u011bt je pomoc\u00ed Java Applet, p\u0159ipojen\u00edm p\u0159es SSL. Pozn\u00e1mka:<\/u> nezam\u011b\u0148ovat s Mobile Access Portal (podpora na Gaia Embedded nen\u00ed k dispozici).
      \n<\/i>
      \n\"4.\n<\/li>\n<\/ol>\n

      <\/p>\n

      Dodate\u010dn\u011b<\/u><\/b> D\u016frazn\u011b doporu\u010duji autorsk\u00fd kurz TS Solution \u2013 Check Point Remote Access VPN<\/a><\/noindex> ten odhaluje technologie Check Point v oblasti VPN, dot\u00fdk\u00e1 se ot\u00e1zek licencov\u00e1n\u00ed a obsahuje velmi podrobn\u00e9 pokyny k nastaven\u00ed.<\/p>\n

      <\/p>\n

      2. Remote Access pro mal\u00e9 kancel\u00e1\u0159e<\/h3>\n

      \nNyn\u00ed se pust\u00edme do organizace vzd\u00e1len\u00e9ho p\u0159ipojen\u00ed k va\u0161\u00ed kancel\u00e1\u0159i:<\/p>\n

        \n
      1. Aby u\u017eivatel\u00e9 mohli vybudovat VPN tunel s br\u00e1nou, mus\u00edte m\u00edt ve\u0159ejnou IP adresu. Pokud jste ji\u017e pro\u0161li po\u010d\u00e1te\u010dn\u00edm nastaven\u00edm (2 \u010dl\u00e1nky<\/a><\/noindex> v cyklu), obvykle je pak \u2013 External Link ji\u017e aktivn\u00ed. Informace m\u016f\u017eete zjistit p\u0159echodem na Gaia Portal: Device \u2192 Network \u2192 Internet<\/b>\n

        \"4.
        \n<\/p>\n

        V p\u0159\u00edpad\u011b, \u017ee va\u0161e spole\u010dnost pou\u017e\u00edv\u00e1 dynamickou ve\u0159ejnou IP adresu, m\u016f\u017eete nastavit Dynamic DNS. P\u0159ejd\u011bte na Device <\/strong>\u2192 DDNS & Device Access<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        V sou\u010dasn\u00e9 dob\u011b existuje podpora od dvou poskytovatel\u016f: DynDns a no-ip.com. Aby byla mo\u017enost aktivov\u00e1na, je t\u0159eba zadat sv\u00e9 p\u0159ihla\u0161ovac\u00ed \u00fadaje (u\u017eivatelsk\u00e9 jm\u00e9no, heslo).\n<\/p>\n<\/li>\n

      2. D\u00e1le vytvo\u0159\u00edme u\u017eivatelsk\u00fd \u00fa\u010det, kter\u00fd bude u\u017eite\u010dn\u00fd pro testov\u00e1n\u00ed nastaven\u00ed: VPN \u2192 Remote Access \u2192 Remote Access Users<\/strong>\n

        \"4.
        \n<\/p>\n

        Ve skupin\u011b (na p\u0159\u00edkladu: remoteaccess) vytvo\u0159\u00edme u\u017eivatele podle pokyn\u016f na screenshotu. Nastaven\u00ed \u00fa\u010dtu je standardn\u00ed, nastav\u00edme p\u0159ihl\u00e1\u0161en\u00ed a heslo, nav\u00edc aktivujeme mo\u017enost Remote Access permissions. \n<\/p>\n

        \"4.
        \n<\/p>\n

        Pokud jste \u00fasp\u011b\u0161n\u011b pou\u017eili nastaven\u00ed, m\u011bly by se objevit dva objekty: m\u00edstn\u00ed u\u017eivatel a m\u00edstn\u00ed skupina u\u017eivatel\u016f.<\/p>\n

        \"4.<\/li>\n

      3. Dal\u0161\u00edm krokem p\u0159ech\u00e1z\u00edme na VPN \u2192 Remote Access \u2192 Blade Control. <\/strong>Ujist\u011bte se, \u017ee m\u00e1te blade zapnut\u00e9 a povolen\u00fd provoz od vzd\u00e1len\u00fdch u\u017eivatel\u016f.\n

        \"4. <\/li>\n

      4. *V\u00fd\u0161e uveden\u00fd minim\u00e1ln\u00ed soubor krok\u016f slou\u017e\u00ed k nastaven\u00ed Remote Access. Ale ne\u017e otestujeme p\u0159ipojen\u00ed, pod\u00edvejme se na dal\u0161\u00ed nastaven\u00ed, p\u0159ech\u00e1zej\u00edc\u00ed na z\u00e1lo\u017eku VPN \u2192 Remote Access \u2192 Advanced <\/strong>\n

        \"4.
        \n<\/p>\n

        Na z\u00e1klad\u011b aktu\u00e1ln\u00edch nastaven\u00ed vid\u00edme, \u017ee p\u0159i p\u0159ipojen\u00ed z\u00edskaj\u00ed vzd\u00e1len\u00e9 u\u017eivatel\u00e9 IP adresu ze s\u00edt\u011b 172.16.11.0\/24, d\u00edky mo\u017enosti Office Mode. To je v\u00edce ne\u017e dostate\u010dn\u00e9 pro vyu\u017eit\u00ed 200 konkuren\u010dn\u00edch licenc\u00ed (uvedeno pro 1590 NGFW Check Point). \n<\/p>\n

        <\/p>\n

        Volba \u201eSm\u011brovat internetov\u00fd provoz od p\u0159ipojen\u00fdch klient\u016f p\u0159es tuto br\u00e1nu\u201c<\/i> je voliteln\u00e1 a zodpov\u00edd\u00e1 za sm\u011brov\u00e1n\u00ed ve\u0161ker\u00e9ho provozu od vzd\u00e1len\u00e9ho u\u017eivatele p\u0159es br\u00e1nu (v\u010detn\u011b p\u0159ipojen\u00ed k internetu). To umo\u017e\u0148uje inspekci u\u017eivatelsk\u00e9ho provozu a chr\u00e1n\u00ed jeho pracovn\u00ed stanici p\u0159ed r\u016fzn\u00fdmi hrozbami a \u0161kodliv\u00fdmi programy. \n<\/p>\n<\/li>\n

      5. *Pr\u00e1ce s politikami p\u0159\u00edstupu pro Remote Access \n

        Pot\u00e9, co jsme nastavili Remote Access, bylo vytvo\u0159eno automatick\u00e9 pravidlo p\u0159\u00edstupu na \u00farovni firewalu, pro jeho zobrazen\u00ed je pot\u0159eba p\u0159ej\u00edt na z\u00e1lo\u017eku: Access Policy \u2192 Firewall \u2192 Policy <\/strong><\/p>\n

        \n\"4.
        \n<\/p>\n

        V tomto p\u0159\u00edpad\u011b budou moct vzd\u00e1len\u00ed u\u017eivatel\u00e9, kte\u0159\u00ed pat\u0159\u00ed do d\u0159\u00edve vytvo\u0159en\u00e9 skupiny, p\u0159istupovat ke v\u0161em intern\u00edm zdroj\u016fm spole\u010dnosti, p\u0159i\u010dem\u017e pravidlo je ve spole\u010dn\u00e9 sekci \u201eP\u0159\u00edchoz\u00ed, intern\u00ed a VPN provoz\u201c<\/i>. Pro povolen\u00ed provozu VPN u\u017eivatel\u016f na internet bude nutn\u00e9 vytvo\u0159it samostatn\u00e9 pravidlo ve spole\u010dn\u00e9 sekci \u201eOdchoz\u00ed p\u0159\u00edstup na internet<\/i>\u201d.<\/p>\n<\/li>\n

      6. \n

        Nakonec zb\u00fdv\u00e1 zajistit, aby u\u017eivatel mohl \u00fasp\u011b\u0161n\u011b vytvo\u0159it VPN tunel k na\u0161emu NGFW br\u00e1n\u011b a z\u00edskat p\u0159\u00edstup k intern\u00edm zdroj\u016fm spole\u010dnosti. K tomu je nutn\u00e9 nainstalovat VPN klienta na testovan\u00fd host, k dispozici je odkaz<\/a><\/noindex> ke sta\u017een\u00ed. Po instalaci bude t\u0159eba prov\u00e9st standardn\u00ed postup p\u0159id\u00e1n\u00ed nov\u00e9ho webu (uvede se ve\u0159ejn\u00e1 IP adresa va\u0161\u00ed br\u00e1ny). Pro p\u0159ehlednost je proces p\u0159edstaven ve form\u011b GIF<\/p>\n

        \n\"4.
        \n
        \nJakmile je p\u0159ipojen\u00ed nav\u00e1z\u00e1no, zkontrolujeme p\u0159ijatou IP adresu na hostitelsk\u00e9 ma\u0161in\u011b pomoc\u00ed p\u0159\u00edkazu v CMD: ipconfig<\/i><\/p>\n

        \"4.
        \n<\/p>\n

        Ujistili jsme se, \u017ee virtu\u00e1ln\u00ed s\u00ed\u0165ov\u00fd adapt\u00e9r z\u00edskal IP adresu z re\u017eimu Office Mode na\u0161\u00ed NGFW, pak pakety \u00fasp\u011b\u0161n\u011b odch\u00e1zej\u00ed. Pro dokon\u010den\u00ed m\u016f\u017eeme p\u0159ej\u00edt na Gaia Portal: VPN \u2192 Remote Access \u2192 Connected Remote Users<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        U\u017eivatel \"ntuser\" se zobrazuje jako p\u0159ipojen\u00fd, zkontrolujeme protokolov\u00e1n\u00ed ud\u00e1lost\u00ed t\u00edm, \u017ee p\u0159ejdeme na Logs & Monitoring \u2192 Security Logs<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Protokolov\u00e1n\u00ed spojen\u00ed prob\u00edh\u00e1, jako\u017eto zdroj se pou\u017e\u00edv\u00e1 IP adresa: 172.16.10.1 \u2014 to je adresa, kterou n\u00e1\u0161 u\u017eivatel z\u00edskal prost\u0159ednictv\u00edm re\u017eimu Office Mode. \n<\/p>\n

        <\/p>\n

        3. Podporovan\u00e9 klienty pro vzd\u00e1len\u00fd p\u0159\u00edstup<\/h3>\n

        <\/p>\n

        Pot\u00e9, co jsme probrali proces nastaven\u00ed vzd\u00e1len\u00e9ho p\u0159ipojen\u00ed do va\u0161\u00ed kancel\u00e1\u0159e pomoc\u00ed \u0159ady SMB NGFW Check Point, r\u00e1d bych napsal o podpo\u0159e klient\u016f pro r\u016fzn\u00e1 za\u0159\u00edzen\u00ed:<\/p>\n

        <\/p>\n