3. UserGate Kom godt i gang. Netværkspolitikker

Velkommen til læserne i den tredje artikel i UserGate Kom godt i gang-serien, hvor der fortælles om NGFW-løsningen fra virksomheden UserGate. I den foregående artikel blev installationsprocessen for firewallen beskrevet, og den blev initialt konfigureret. I dag vil vi se nærmere på oprettelse af regler i sektioner som “Firewall”, “NAT og routing” samt “Båndbredde”.

Ideologien bag UserGate-reglerne er, at regler udføres fra top til bund, indtil den første regel udløses. Baseret på ovenstående følger det, at mere specifikke regler skal være ovenfor mere generelle regler. Men det skal bemærkes, at da reglerne kontrolleres i rækkefølge, er det bedre for ydeevnen at oprette generelle regler. Betingelserne ved oprettelse af en hvilken som helst regel anvendes i henhold til “OG”-logikken. Hvis der er behov for at bruge “ELLER”-logikken, opnås dette ved at oprette flere regler. Så det, der er beskrevet i denne artikel, gælder også for andre UserGate-politikker.

Firewall

Efter installationen af UserGate er der allerede en simpel politik i sektionen “Firewall”. De første to regler blokerer trafik for botnet. Herefter følger eksempler på adgangsregler fra forskellige zoner. Den sidste regel kaldes altid “Bloker alt” og er markeret med et låsesymbol (det betyder, at reglen ikke kan slettes, ændres, flyttes eller deaktiveres; man kan kun aktivere logningsmuligheden for den). Dermed vil al tydeligt ikke tilladt trafik blive blokeret af den sidste regel. Hvis man ønsker at tillade al trafik gennem UserGate (selvom det stærkt ikke anbefales), kan man altid oprette en næstsidste regel “Tillad alt”.

Når man redigerer eller opretter en regel for firewallen, skal man først fanen “Generelt”, her skal man udføre følgende handlinger: 

• Aktivér eller deaktiver reglen med afkrydsningsfeltet “Tænd” .

• indtaste et reglenavn.

• angive en beskrivelse af reglen.

• vælge mellem to handlinger:

  • Forbud — blokerer trafik (ved angivelse af denne betingelse er det muligt at sende ICMP host unreachable; det kræver blot at aktivere det relevante afkrydsningsfelt).

  • Tillad — tillader trafik.

• Seniorscene — giver mulighed for at vælge et scenarie, der fungerer som et ekstra betingelse for udløsning af reglen. Sådan implementerer UserGate konceptet SOAR (Sikkerhedsorkestrering, Automatisering og Respons).

• Logning — at registrere oplysninger om trafik i loggen, når reglen udløses. Mulige varianter:

  • Logge start af sessionen. I dette tilfælde vil kun oplysninger om starten af sessionen (den første pakke) blive registreret i trafikloggen. Dette er den anbefalede logningsmulighed.

  • Logge hver pakke. I dette tilfælde vil oplysninger om hver overført netværkspakke blive registreret. For denne tilstand anbefales det at aktivere logningsgrænsen for at forhindre høj belastning på enheden.

• Anvend reglen på:

  • Alle pakker

  • fragmenterede pakker

  • ikke-fragmenterede pakker

• Ved oprettelse af en ny regel kan man vælge placering i politikken.

Næste fane "Kilde". Her angiver vi kilden til trafikken; dette kan være zonen, hvorfra trafikken kommer, eller vi kan angive en liste eller en specifik IP-adresse (Geoip). I stort set alle regler, der kan defineres i enheden, kan objektet oprettes fra reglen; for eksempel, uden at gå ind i "Zoner", kan vi ved at klikke på "Opret og tilføj nyt objekt" oprette den ønskede zone. Der er også ofte en checkbox "Invert", som ændrer betingelsen for reglen til det modsatte, hvilket er analogt med den logiske handling negation. Fanen "Destination" ligner fanen for kilde, kun i stedet for kilden til trafik angiver vi destinationen for trafikken. Fanen "Brugere" — her kan man tilføje en liste over brugere eller grupper, som denne regel gælder for. Fanen "Service" — vælger servicetype fra allerede foruddefinerede eller kan definere sin egen. Fanen "Applikation" — her vælges specifikke applikationer eller grupper af applikationer. Og fanen "Tid" angiver vi det tidspunkt, hvor denne regel er aktiv. 

Fra sidste lektion har vi en regel for adgang til internettet fra zonen "Trust"; nu vil jeg vise som eksempel, hvordan man opretter en forbudt regel for ICMP-traffik fra zonen "Trust" til zonen "Untrusted".

For starters, we create a rule by clicking the “Add” button. In the opened window on the general tab, we fill in the name (ICMP blocking from trusted to untrusted), check the box “Enable”, choose the action to deny, and most importantly, correctly select the placement of this rule. According to my policy, this rule should be placed above the “Allow trusted to untrusted” rule:

On the “Source” tab for my task, there are two options:

• Selecting the “Trusted” zone

• Selecting all zones except “Trusted” and checking the box “Invert”

The “Destination” tab is configured similarly to the “Source” tab.

Next, we move to the “Service” tab, as UserGate has a predefined service for ICMP traffic, so by clicking the “Add” button, we choose from the proposed list the service named “Any ICMP”:

Perhaps this is how the creators of UserGate intended, but I ended up being able to create several completely identical rules. Although only the first rule in the list will be executed, the ability to create different functional rules with the same name can cause confusion when multiple administrators work with the device.

NAT and routing

When creating NAT rules, we see several similar tabs, just like for the firewall. On the “General” tab, a “Type” field has appeared, allowing us to choose what this rule will be responsible for:

• NAT — Network Address Translation.

• DNAT — Redirects traffic to a specified IP address.

• Port forwarding — Redirects traffic to a specified IP address but allows changing the port number of the published service.

• Policy-based routing — Allows routing IP packets based on extended information, such as services, MAC addresses, or servers (IP addresses).

• Network mapping — Allows replacing source or destination IP addresses of one network with another network.

After selecting the corresponding type, the settings for it will be available.

I felt SNAT IP (external address) clearly states the IP address that will replace the source address. This field is necessary when there are multiple IP addresses assigned to the interfaces of the destination zone. If this field is left empty, the system will use a random address from the list of available IP addresses assigned to the interfaces of the destination zone. UserGate recommends specifying the SNAT IP to enhance the firewall performance.

As an example, I will publish the SSH service of the Windows server located in the 'DMZ' zone using the 'port forwarding' rule. To do this, we click the 'Add' button and fill in the 'General' tab, specifying the rule name 'SSH to Windows' and the type 'Port forwarding':

In the 'Source' tab, we select the 'Untrusted' zone and go to the 'Port forwarding' tab. Here we need to specify the protocol 'TCP' (four options are available — TCP, UDP, SMTP, SMTPS). The original destination port 9922 — is the port number that users send requests to (the following ports cannot be used: 2200, 8001, 4369, 9000-9100). The new destination port (22) — is the port number that user requests will be forwarded to the internal published server.

In the 'DNAT' tab, we set the IP address of the computer in the local network that is published on the internet (192.168.3.2). Optionally, you can enable SNAT, then UserGate will change the source address in packets from the external network to its own IP address.

After all configurations, the rule allows access from the 'Untrusted' zone to the server with the IP address 192.168.3.2 via the SSH protocol, using the external address of UserGate for the connection.

Båndbredde

I dette afsnit angives regler for at styre båndbredden. De kan bruges til at begrænse båndbredden for specifikke brugere, værter, tjenester, applikationer.

Når du opretter en regel, definerer du på fanerne den trafik, som begrænsningerne gælder for. Du kan vælge en båndbredde fra de foreslåede, eller angive din egen. Når du opretter båndbredden, kan du angive en prioriteringsmærkning for DSCP-trafikken. Et eksempel på, hvornår DSCP-mærker anvendes: ved at angive i reglen, hvornår dette regel er anvendt, kan denne regel automatisk ændre disse mærker. Et andet eksempel på scenariets funktion: reglen vil kun træde i kraft for brugeren, når en torrent opdages, eller trafikmængden overstiger den angivne grænse. De øvrige faner udfyldes på samme måde som i andre politikker, baseret på den type trafik, som reglen skal anvendes på.

Konklusion

I denne artikel har jeg gennemgået oprettelse af regler i sektionerne "Firewall", "NAT og routing" og "Båndbredde". Og i begyndelsen af artiklen har jeg beskrevet reglerne for oprettelse af UserGate-politikker, samt princippet for betingelserne ved oprettelse af en regel. 

Hold øje med opdateringer i vores kanaler (Telegram, Facebook, VK, TS Solution Blog)!

Kilde: habr.com