Wir setzen unsere Artikelreihe über die neuen SMB CheckPoint Modelle fort und erinnern daran, dass wir die technischen Daten und Möglichkeiten der neuen Modelle sowie deren Verwaltung und Administration beschrieben haben. Heute betrachten wir das Einsatzszenario des älteren Modells der Serie: CheckPoint 1590 NGFW. Hier ist eine kurze Zusammenfassung dieses Teils:
- Entpacken der Hardware (Beschreibung der Komponenten, physische und Netzwerkverbindung).
- Erstinitialisierung des Geräts.
- Erstkonfiguration.
- Funktionsbewertung.
Entpacken der Hardware
Das Kennenlernen der Hardware beginnt mit dem Herausnehmen der Geräte aus dem Karton, dem Zusammenbauen der Komponenten und der Installation der Teile. Klicken Sie auf den Spoiler, wo der Prozess kurz dargestellt wird.
Lieferung des NGFW 1590
Kurzinformation zu den Komponenten:
- NGFW 1590;
- Netzteil;
- 2 Wifi-Antennen (2,4 GHz und 5 GHz);
- 2 LTE-Antennen;
- Broschüren mit Dokumentation (kurze Anleitung zur Erstverbindung, Lizenzvereinbarung usw.)
Was die Netzwerkports und -schnittstellen betrifft, so stehen hier alle modernen Möglichkeiten zur Verfügung, um Datenverkehr zu übertragen und zu interagieren, darunter ein separater Port für die DMZ-Zone und USB 3.0 zum Synchronisieren mit dem PC.
Die Version 1590 hat ein überarbeitetes Design, moderne Optionen für drahtlose Verbindungen und Speichererweiterungen erhalten: 2 Steckplätze für die Verwendung von Micro/Nano SIM im LTE-Modus. (Über diese Option planen wir, in einem unserer nächsten Artikel der Reihe zu drahtlosen Verbindungen ausführlich zu schreiben); SD-Kartensteckplatz.
Details zu den Möglichkeiten des 1590 NGFW und anderen neuen Modellen finden Sie in unserer Artikelreihe über SMB-Lösungen von CheckPoint. Wir beginnen nun mit der Erstkonfiguration des Geräts.
Erstkonfiguration
Unsere treuen Leser sollten bereits wissen, dass in der 1500er Serie der SMB eine neue OS 80.20 Embedded verwendet wird, die eine überarbeitete Benutzeroberfläche und verbesserte Funktionen umfasst.
Um die Konfiguration des Geräts zu starten, müssen Sie:
- Stellen Sie die Stromversorgung für das Gateway sicher.
- Verbinden Sie das Netzwerkkabel von Ihrem PC mit LAN-1 am Gateway.
- Optional können Sie dem Gerät gleich einen Internetzugang ermöglichen, indem Sie die Schnittstelle mit dem WAN-Port verbinden.
- Gehen Sie zum Gaia Embedded-Portal:
Wenn die zuvor genannten Schritte abgeschlossen sind, müssen Sie nach dem Wechsel zur Gaia-Portal-Seite das Öffnen der Seite mit dem nicht vertrauenswürdigen Zertifikat bestätigen. Danach startet der Assistent zur Portal-Konfiguration:
Sie werden von einer Seite begrüßt, die das Modell Ihres Geräts angibt. Sie müssen zum nächsten Abschnitt wechseln:
Wir werden aufgefordert, ein Konto zur Authentifizierung zu erstellen, wobei die Möglichkeit besteht, hohe Anforderungen an das Passwort für den Administrator festzulegen. Geben Sie das Land an, in dem Sie das Gateway verwenden werden.
Das nächste Fenster betrifft die Einstellungen für Datum und Uhrzeit. Sie haben die Möglichkeit, diese manuell festzulegen oder einen NTP-Server des Unternehmens zu verwenden.
Der nächste Schritt beinhaltet die Vergabe eines Namens für das Gerät und die Angabe der Unternehmensdomäne für einen ordnungsgemäßen Betrieb der Gateway-Services im Internet.
Der nächste Schritt betrifft die Auswahl der Verwaltungsart für NGFW. Hier sollten Sie beachten:
- Lokale Verwaltung. Diese verfügbare Option ermöglicht die lokale Verwaltung des Gateways über die Gaia Portal-Webseite.
- Zentrale Verwaltung. Diese Verwaltungsart umfasst die Synchronisierung mit einem dedizierten Management-Server von CheckPoint, die Synchronisierung mit der Smart1-Cloud oder mit SMP (Service Management für SMB).
In diesem Artikel werden wir die Verwaltung des Local Managements erörtern. Sie können die für Sie benötigte Methode angeben. Um den Prozess der Synchronisierung mit dem dedizierten Management-Server kennenzulernen, bieten wir Ihnen ein Schulungstutorial aus dem CheckPoint Getting Started-Kurs, der von der Firma TS Solution vorbereitet wurde.
Als nächstes wird ein Fenster mit der Definition des Betriebsmodus der Schnittstellen am Gateway angezeigt:
- Der Switch-Modus ermöglicht den Zugriff von einem Interface auf das Subnetz eines anderen Interfaces.
- Der Disable Switch-Modus schaltet entsprechend den Switch-Modus aus; jeder Port routet den Verkehr wie für einen separaten Netzwerkbereich.
Es wird auch vorgeschlagen, einen Pool von DHCP-Adressen festzulegen, die bei der Verbindung mit den lokalen Schnittstellen des Gateways verwendet werden.
Der nächste Schritt besteht darin, das Gateway im drahtlosen Modus zu konfigurieren. Wir planen, diesen Aspekt in einem unserer folgenden Artikel ausführlicher zu behandeln, daher haben wir die Konfiguration dieser Einstellungen aufgeschoben. Sie können jedoch einen neuen Access Point erstellen, ein Passwort für die Verbindung festlegen und den Betriebsmodus des Drahtloskanals (2,4 GHz oder 5 GHz) bestimmen.
Im Folgenden wird ein Schritt zur Konfiguration des Zugangs zum Gateway für Unternehmensadministratoren angeboten. Standardmäßig sind die Zugriffsrechte erlaubt, wenn die Verbindung von:
- dem internen Netzwerk des Unternehmens
- einem vertrauenswürdigen WLAN
- einem VPN-Tunnel
Die Option, sich standardmäßig über das Internet mit dem Gateway zu verbinden, ist deaktiviert. Dies birgt erhebliche Risiken und sollte nur bei entsprechender Begründung aktiviert werden. Andernfalls empfehlen wir, die Einstellung wie in unserem Beispiel zu belassen. Außerdem gibt es die Möglichkeit, spezifische IP-Adressen anzugeben, die für den Zugang zum Gateway erlaubt sind.
Das nächste Fenster befasst sich mit der Lizenzaktivierung. Bei der ersten Initialisierung des Geräts wird Ihnen ein 30-tägiger Testzeitraum angeboten. Es gibt zwei verfügbare Aktivierungsmethoden:
- Wenn eine Internetverbindung besteht, wird die Lizenz automatisch aktiviert.
- Wenn Sie die Lizenz offline aktivieren, müssen Sie Folgendes tun: die Lizenz aus dem UserCenter herunterladen und Ihr Gerät auf einem speziellen . Anschließend müssen Sie die heruntergeladene Lizenz manuell importieren.
Das letzte Fenster im Einrichtungsassistenten bietet Ihnen schließlich die Möglichkeit, die zu aktivierenden Blades auszuwählen. Bitte beachten Sie, dass das Blade QOS erst nach der Erstinitialisierung aktiviert werden kann. Am Ende sollten Sie ein Abschlussfenster erhalten, das Ihre Einstellungen zusammenfasst.
Erste Einrichtung
Zunächst empfehlen wir, den Status der Lizenzen zu überprüfen, da dies für die weitere Konfiguration entscheidend ist. Gehen Sie zum Tab „HOME“ → „License“:
Wenn die Lizenzen aktiviert sind, empfehlen wir, sofort auf die neueste verfügbare Firmware zu aktualisieren. Gehen Sie dazu zum Tab „DEVICE“ → „System Operations“:
Die Systemupdates finden Sie im Punkt Firmware Upgrade. In unserem Fall ist die aktuelle und letzte Version der Firmware installiert.
Im Folgenden möchte ich kurz die Funktionen und Einstellungen der Blades des Systems erläutern. Logisch kann man sie in Access-Level-Richtlinien (Firewall, Application Control, URL Filtering) und Threat Prevention (IPS, Antivirus, Anti-Bot, Threat Emulation) unterteilen.
Lassen Sie uns zum Tab Access Policy → Blade Control wechseln:
Standardmäßig wird der Modus STANDARD verwendet, der Folgendes erlaubt: ausgehenden Verkehr ins Internet, Verkehr innerhalb des lokalen Netzwerks, während eingehender Verkehr aus dem Internet blockiert wird.
Bezüglich der Blades APPLICATIONS & URL FILTERING ist standardmäßig die Blockierung von Websites mit hohem Gefahrenpotenzial sowie die Blockierung von File-Sharing-Anwendungen (Torrent, File Storage usw.) aktiviert. Zusätzlich können bestimmte Kategorien von Websites manuell blockiert werden.
Wir weisen auf die Option für benutzerdefinierten Datenverkehr „Limit bandwidth consuming applications“ hin, die es ermöglicht, die Geschwindigkeit des ausgehenden/eingehenden Datenverkehrs für Gruppen von Anwendungen zu beschränken.
Im nächsten Schritt öffnen wir den Abschnitt Policy, wo die Regeln standardmäßig automatisch basierend auf den zuvor beschriebenen Einstellungen generiert wurden.
Der Abschnitt NAT funktioniert standardmäßig im Global Hide Nat Automatic-Modus, d.h. alle internen Hosts haben Zugang zum Internet über die öffentliche IP-Adresse. Es besteht die Möglichkeit, NAT-Regeln manuell festzulegen, um Ihre Webanwendungen oder Dienste zu veröffentlichen.
Im nächsten Abschnitt, der sich mit der Benutzer-Authentifizierung im Netzwerk befasst, stehen zwei Optionen zur Verfügung: Active Directory Queries (Integration mit Ihrem AD) und Browser-Based-Authentication (der Benutzer gibt seine Domänenanmeldedaten im Portal ein).
Es ist wichtig, auf die SSL-Inspektion einzugehen, da der Anteil des allgemeinen HTTPS-Datenverkehrs im globalen Netzwerk aktiv wächst. Lassen Sie uns die Möglichkeiten betrachten, die CheckPoint für SMB-Lösungen bietet; dazu müssen wir zum Abschnitt SSL-Inspection → Policy wechseln:
In den Einstellungen gibt es die Möglichkeit, HTTPS-Datenverkehr zu inspizieren. Dazu ist es erforderlich, das Zertifikat zu importieren und in das Zentrum der vertrauenswürdigen Zertifikate auf den Endbenutzermaschinen zu installieren.
Eine bequeme Option ist der BYPASS-Modus für vordefinierte Kategorien, was erheblich Zeit beim Aktivieren der Inspektion spart.
Nach der Konfiguration der Regeln auf Firewall- / Anwendungsebene sollte man die Sicherheitsrichtlinien (Threat Prevention) anpassen. Dafür gehen wir in den entsprechenden Abschnitt:
Auf der geöffneten Seite sehen wir die aktivierten Blades, den Status der Signature- und Datenbank-Updates. Außerdem werden wir aufgefordert, ein Profil zum Schutz des Netzwerkperimeters auszuwählen, und die entsprechenden Einstellungen werden angezeigt.
Ein separater Abschnitt "IPS Protections" ermöglicht die Konfiguration der Aktionen für eine bestimmte Sicherheits-Signatur.
Vor nicht allzu langer Zeit haben wir in unserem Blog für Windows Server — SigRed. Lassen Sie uns die Verfügbarkeit in Gaia Embedded 80.20 überprüfen, indem wir die Anfrage „CVE-2020-1350“ eingeben.
Für diese Signatur wurde ein Eintrag gefunden, auf den eine der Aktionen angewendet werden kann. (Standardmäßig Prevent für die Gefahrenstufe — Kritisch). Mit einer SMB-Lösung sind Sie nicht benachteiligt, was Updates und Unterstützung betrifft, denn dies ist eine vollwertige NGFW-Lösung für Filialbüros mit bis zu 200 Personen von CheckPoint.
Bewertung der Funktionalität
Abschließend möchte ich die verfügbaren Tools zur Fehlersuche nach der initialen Einrichtung und Konfiguration der SMB-Lösung hervorheben. Sie können zum Bereich „HOME“ → „Tools“ wechseln. Mögliche Optionen:
- Überwachung der Systemressourcen;
- Routingtabelle;
- Überprüfung der Verfügbarkeit von CheckPoint Cloud-Diensten;
- Generierung von CPinfo;
Zudem stehen integrierte Netzwerkbefehle zur Verfügung: Ping, Traceroute, Traffic Capture.
So haben wir heute die grundlegende Verbindung und Konfiguration der NGFW 1590 betrachtet und gelernt; ähnliche Schritte werden Sie für die gesamte Reihe der 1500 SMB CheckPoint-Serie durchführen. Die verfügbaren Optionen haben uns hohe Variabilität für die Einstellungen gezeigt und unterstützen moderne Methoden zum Schutz des Datenverkehrs am Netzwerkperimeter.
Aktuell bieten die Lösungen von CheckPoint zum Schutz kleiner Büros und Filialen (bis zu 200 Personen) eine umfassende Palette von Funktionen und nutzen die neuesten Technologien (Cloud-Management, Unterstützung von SIM-Karten, Speichererweiterung durch SD-Karten usw.). Bleiben Sie informiert und lesen Sie Artikel von TS Solution. Wir planen weitere Veröffentlichungen zu den NGFW-Lösungen der SMB-Familie von CheckPoint. Bis bald!
. Bleiben Sie auf dem Laufenden (, , , , ).
Quelle: habr.com
