Vi fortsĂŠtter vores serie af artikler om NGFW til smĂ„ virksomheder, og jeg vil minde om, at vi ser pĂ„ den nye modelrĂŠkke 1500-serien. I serien nĂŠvnte jeg en af de mest nyttige funktioner ved kĂžb af SMB-enheden â levering af gateways med indbyggede licenser til Mobile Access (fra 100 til 200 brugere afhĂŠngig af modellen). I denne artikel vil vi se pĂ„ opsĂŠtning af VPN til 1500-serien gateways, der leveres med forudinstalleret Gaia 80.20 Embedded. Her er et kort resumĂ©:
- VPN-muligheder for SMB.
- Oprettelse af Remote Access til et lille kontor.
- TilgĂŠngelige klienter til forbindelse.
1. VPN-muligheder for SMB
For at forberede dagens materiale blev den officielle for version R80.20.05 (pĂ„ tidspunktet for artiklens udgivelse â aktuel). Derfor understĂžtter Gaia 80.20 Embedded i VPN-delen:
- Site-To-Site. Oprettelse af VPN-tunneler mellem dine kontorer, hvor brugerne kan arbejde som i et enkelt "lokalt" netvĂŠrk.
- Remote Access. Fjernadgang til ressourcerne pÄ dit kontor ved hjÊlp af brugernes enheder (PC'er, mobiltelefoner osv.). Der er desuden SSL Network Extender, som tillader offentliggÞrelse af enkelte applikationer og udfÞrelse via Java Applet ved at oprette forbindelse gennem SSL. BemÊrk: mÄ ikke forveksles med Mobile Access Portal (understÞttelse pÄ Gaia Embedded findes ikke).
Yderligere Jeg anbefaler stĂŠrkt det autoriserede kursus TS Solution â som afslĂžrer Check Point-teknologier inden for VPN, berĂžrer spĂžrgsmĂ„l om licensering og indeholder detaljerede instruktioner til opsĂŠtning.
2. Remote Access til smÄ kontorer
Vi vil nu begynde at organisere fjernadgang til dit kontor:
- For at brugerne kan oprette en VPN-tunnel med gatewayen, skal du have en offentlig IP-adresse. Hvis du allerede har gennemfĂžrt den indledende opsĂŠtning ( fra serien), er External Link normalt allerede aktiv. Information kan findes ved at gĂ„ til Gaia Portal: Device â Network â Internet
Hvis din virksomhed bruger en dynamisk offentlig IP-adresse, kan du indstille Dynamic DNS. GĂ„ til Device â DDNS & Device Access
I Ăžjeblikket findes der support fra to udbydere: DynDns og no-ip.com. For at aktivere dette skal du indtaste dine legitimationsoplysninger (brugernavn, adgangskode).
- Derefter opretter vi en brugerkonto, som vil vĂŠre nyttig til at teste indstillingerne: VPN â Remote Access â Remote Access Users
I gruppen (for eksempel: remoteaccess) opretter vi en bruger ved at fĂžlge instruktionerne pĂ„ skĂŠrmbilledet. OpsĂŠtningen af ââkontoen er standard, vi angiver brugernavn og adgangskode, og aktiverer desuden indstillingen Remote Access permissions.
Hvis du har anvendt indstillingerne korrekt, bĂžr der vises to objekter: en lokal bruger og en lokal gruppe af brugere.
- Den nĂŠste skridt er at gĂ„ til VPN â Remote Access â Blade Control. SĂžrg for, at din blade er aktiveret, og at trafikken fra eksterne brugere er tilladt.
- *OvenstĂ„ende er det mindste sĂŠt skridt til at konfigurere Remote Access. Men fĂžr vi tester forbindelsen, lad os se pĂ„ de avancerede indstillinger ved at gĂ„ til fanen VPN â Remote Access â Advanced
Baseret pÄ de nuvÊrende indstillinger ser vi, at eksterne brugere ved tilslutning vil fÄ en IP-adresse fra netvÊrket 172.16.11.0/24 takket vÊre Office Mode-indstillingen. Dette er mere end tilstrÊkkeligt til 200 samtidige licenser (angivet for 1590 NGFW Check Point).
Mulighed «Rute internettrafik fra tilsluttede klienter gennem denne gateway» er valgfri og ansvarlig for at rute al trafik fra den eksterne bruger gennem gatewayen (herunder internetforbindelser). Dette gÞr det muligt at inspicere brugerens trafik og beskytte deres arbejdsstation mod forskellige trusler og malware.
- *Arbejdet med adgangspolitikker for Remote Access
Efter at have konfigureret Remote Access blev der oprettet en automatisk adgangsregel pĂ„ firewall-niveau; for at se den skal du gĂ„ til fanen: Access Policy â Firewall â Policy
I dette tilfĂŠlde vil eksterne brugere, der tilhĂžrer den tidligere oprettede gruppe, kunne fĂ„ adgang til alle interne ressourcer i virksomheden, jeg bemĂŠrker, at reglen findes i den generelle sektion âIndgĂ„ende, Intern og VPN-trafikâ. For at tillade trafikken fra VPN-brugere til internettet skal der oprettes en separat regel i den generelle sektion âUdgĂ„ende adgang til internettetâ.
Endelig skal vi sikre os, at brugeren kan oprette en VPN-tunnel til vores NGFW gateway og fÄ adgang til virksomhedens interne ressourcer. For at gÞre dette skal VPN-klienten installeres pÄ den testede vÊrt, vedhÊftet er til download. Efter installationen skal der gennemfÞres en standardprocedure for at tilfÞje et nyt site (den offentlige IP-adresse for din gateway angives). For nemheds skyld er processen prÊsenteret i form af en GIF
NÄr forbindelsen er etableret, vil vi kontrollere den modtagne IP-adresse pÄ vÊrtsmaskinen ved hjÊlp af en kommando i CMD: ipconfig
Vi har bekrĂŠftet, at den virtuelle netvĂŠrksadapter har modtaget en IP-adresse fra Office Mode pĂ„ vores NGFW, og pakker sendes succesfuldt. For at afslutte kan vi gĂ„ til Gaia Portal: VPN â Remote Access â Connected Remote Users
Brugeren ântuserâ vises som tilsluttet, lad os tjekke hĂŠndelseslogningen ved at gĂ„ til Logs & Monitoring â Security Logs
Logningen af forbindelsen finder sted, hvor kilden er IP-adressen: 172.16.10.1 â det er adressen, som vores bruger har fĂ„et gennem Office Mode.
3. UnderstĂžttede klientsystemer for Remote Access
Efter at have gennemgÄet proceduren for at opsÊtte en fjernforbindelse til dit kontor ved hjÊlp af NGFW Check Point af SMB-familien, vil jeg gerne nÊvne understÞttelsen af klienter til forskellige enheder:
- Mobile Client ( / )
- L2TP Native Client (Check Point hĂŠvder at understĂžtte den native VPN-app fra Microsoft).
Diversiteten af understĂžttede OS og enheder gĂžr det muligt for dig at bruge din licens, der fĂžlger med NGFW, fuldt ud. For at konfigurere en enkelt enhed er der en praktisk mulighed âHow to connectâ
Her genereres trin automatisk i henhold til dine indstillinger, hvilket giver administratorer mulighed for nemt at installere nye klienter.
Output: Sammenfattende har vi i denne artikel set pÄ VPN-mulighederne for NGFW Check Point af SMB-familien. Vi har derefter beskrevet trinene til opsÊtning af Remote Access i tilfÊlde af fjernforbindelse af brugere til kontoret, og efterfÞlgende undersÞgt overvÄgningsvÊrktÞjerne. Til slut talte vi om de tilgÊngelige klienter og forbindelsesmuligheder ved Remote Access. SÄledes kan dit filialkontor sikre kontinuitet og sikkerhed i medarbejdernes arbejde ved hjÊlp af VPN-teknologier pÄ trods af forskellige eksterne trusler og faktorer.
. FĂžlg med i opdateringerne (, , , , ).
Kilde: habr.com
