4. NGFW für kleine Unternehmen. VPN

Wir setzen unseren Artikelzyklus über NGFW für kleine Unternehmen fort und erinnern daran, dass wir die neue Modellreihe der 1500-Serie betrachten. In Teil 1 des Zyklus erwähnte ich eine der nützlichsten Optionen beim Kauf eines SMB-Geräts — die Lieferung von Gateways mit integrierten Lizenzen für Mobile Access (für 100 bis 200 Benutzer, je nach Modell). In diesem Artikel werden wir die VPN-Einrichtung für die Gateways der 1500-Serie betrachten, die mit dem vorinstallierten Gaia 80.20 Embedded geliefert werden. Hier ist eine kurze Zusammenfassung:

1. VPN-Funktionen für SMB.
2. Einrichtung von Remote Access für kleine Büros.
3. Verfügbare Clients für die Verbindung.

1. VPN-Funktionen für SMB

Um das heutige Material vorzubereiten, wurde das offizielle Administratorhandbuch der Version R80.20.05 (zum Zeitpunkt der Veröffentlichung des Artikels — aktuell) verwendet. Entsprechend gibt es im Teil VPN bei Gaia 80.20 Embedded Unterstützung für:

1. Site-To-Site. Erstellung von VPN-Tunneln zwischen Ihren Büros, in denen Benutzer so arbeiten können, als befänden sie sich im selben "lokalen" Netzwerk.

   

2. Remote Access. Remoter Zugriff auf die Ressourcen Ihres Büros über Benutzerendgeräte (PCs, Mobiltelefone usw.). Zusätzlich gibt es den SSL Network Extender, der es ermöglicht, einzelne Anwendungen zu veröffentlichen und sie über ein Java-Applet zu starten, indem man sich über SSL verbindet. Hinweis: nicht zu verwechseln mit dem Mobile Access Portal (Unterstützung auf Gaia Embedded fehlt).
   
   

Zusätzlich Ich empfehle dringend den Autorenkurs TS Solution — Check Point Remote Access VPN er behandelt die Technologien von Check Point bezüglich VPN, behandelt Lizenzierungsfragen und enthält ausführliche Anleitungen zur Konfiguration.

2. Remote Access für kleine Büros

Nun werden wir mit der Organisation des Remote-Zugriffs auf Ihr Büro beginnen:

1. Damit die Benutzer ein VPN-Tunnel mit dem Gateway herstellen können, benötigen Sie eine öffentliche IP-Adresse. Wenn Sie die Ersteinrichtung bereits abgeschlossen haben (Artikel 2 aus der Reihe), ist in der Regel der External Link bereits aktiv. Die Informationen sind im Gaia Portal zu finden: Gerät → Netzwerk → Internet

   
   

   Falls Ihr Unternehmen eine dynamische öffentliche IP-Adresse verwendet, können Sie Dynamic DNS festlegen. Gehen Sie zu Gerät → DDNS & Gerätzugriff

   
   

   Derzeit werden zwei Anbieter unterstützt: DynDns und no-ip.com. Um die Funktion zu aktivieren, müssen Sie Ihre Anmeldedaten (Benutzername, Passwort) eingeben.

2. Lassen Sie uns nun ein Benutzerkonto erstellen, das für die Testkonfiguration nützlich sein wird: VPN → Remote Access → Remote Access Users

   
   

   In der Gruppe (hier: remoteaccess) erstellen wir einen Benutzer, indem wir den Anweisungen im Screenshot folgen. Die Einrichtung des Kontos ist standardmäßig, wir legen den Benutzernamen und das Passwort fest und aktivieren zusätzlich die Option für Remote Access Berechtigungen.

   
   

   Wenn Sie die Einstellungen erfolgreich angewendet haben, sollten zwei Objekte angezeigt werden: ein lokaler Benutzer und eine lokale Benutzergruppe.

   

3. Der nächste Schritt besteht darin, zu VPN → Remote Access → Blade Control. Stellen Sie sicher, dass Ihr Blade aktiviert ist und der Datenverkehr von entfernten Benutzern erlaubt ist.

   

4. *Oben waren die Mindestschritte zur Einrichtung des Remote Access aufgeführt. Bevor wir die Verbindung testen, lassen Sie uns jedoch zusätzliche Einstellungen überprüfen, indem wir zum Tab wechseln VPN → Remote Access → Advanced

   
   

   Basierend auf den aktuellen Einstellungen sehen wir, dass entfernte Benutzer beim Verbindungsaufbau eine IP-Adresse aus dem Netzwerk 172.16.11.0/24 erhalten, dank der Option Office Mode. Dies reicht aus, um 200 gleichzeitige Lizenzen zu unterstützen (angegeben für 1590 NGFW Check Point).

   Option „Internetverkehr von verbundenen Clients über dieses Gateway leiten“ ist optional und verantwortlich für die Weiterleitung des gesamten Verkehrs von entfernten Benutzern über das Gateway (einschließlich Internetverbindungen). Dies ermöglicht die Inspektion des Benutzerverkehrs und schützt deren Arbeitsstation vor verschiedenen Bedrohungen und Malware.

5. *Arbeiten mit Zugriffsrichtlinien für Remote Access

   Nachdem wir Remote Access konfiguriert haben, wurde eine automatische Zugriffsregel auf Firewall-Ebene erstellt. Um diese anzuzeigen, gehen Sie zum Tab: Access Policy → Firewall → Policy

   
   

   In diesem Fall können entfernte Benutzer, die einer zuvor erstellten Gruppe angehören, auf alle internen Ressourcen des Unternehmens zugreifen. Ich möchte darauf hinweisen, dass sich die Regel im allgemeinen Abschnitt befindet „Eingehender, interner und VPN-Verkehr“. Um den Verkehr von VPN-Benutzern ins Internet zuzulassen, muss eine separate Regel im allgemeinen Abschnitt erstellt werden.Ausgehender Zugriff auf das Internet”.

6. Zunächst müssen wir sicherstellen, dass der Benutzer erfolgreich ein VPN-Tunnel zu unserem NGFW-Gateway erstellen und auf die internen Ressourcen des Unternehmens zugreifen kann. Dazu ist es erforderlich, den VPN-Client auf dem zu testenden Host zu installieren, eine Hilfestellung hierfür finden Sie Link zum Download. Nach der Installation ist es notwendig, das Standardverfahren zur Hinzufügung einer neuen Site durchzuführen (geben Sie die öffentliche IP-Adresse Ihres Gateways an). Zum besseren Verständnis wird der Prozess in Form eines GIF-Animaions dargestellt.

   
   
   Sobald die Verbindung hergestellt ist, überprüfen wir die erhaltene IP-Adresse auf dem Host mit dem Befehl im CMD: ipconfig

   
   

   Wir haben festgestellt, dass der virtuelle Netzwerkadapter eine IP-Adresse aus dem Office Mode unseres NGFW erhalten hat und die Pakete erfolgreich gesendet werden. Um abzuschließen, können wir zum Gaia Portal wechseln: VPN → Remote Access → Verbundene Remote-Benutzer

   
   

   Der Benutzer “ntuser” wird als verbunden angezeigt. Lassen Sie uns die Ereignisprotokollierung überprüfen, indem wir zu Logs & Monitoring → Sicherheitsprotokolle

   
   

   Die Verbindung wird protokolliert, als Quelle fungiert die IP-Adresse: 172.16.10.1 — dies ist die Adresse, die unser Benutzer im Office Mode erhalten hat.

   3. Unterstützte Clients für den Remote-Zugriff

   Nachdem wir den Prozess zur Einrichtung einer Remote-Verbindung in Ihr Büro mit der NGFW der Check Point SMB-Familie betrachtet haben, möchte ich nun über den Support für verschiedene Geräte schreiben:

   • Endpoint VPN für Windows / Mac OS
   • Mobiler Client (Android / iOS)
   • L2TP-Native-Client (Check Point gibt an, dass die native VPN-App von Microsoft unterstützt wird).

   Die Vielfalt unterstützter Betriebssysteme und Geräte ermöglicht es Ihnen, Ihre Lizenz, die mit der NGFW geliefert wird, voll auszuschöpfen. Um ein einzelnes Gerät einzurichten, gibt es eine praktische Option „Wie verbinde ich mich?“

   

   Darin werden die Schritte automatisch gemäß Ihren Einstellungen erstellt, sodass Administratoren problemlos neue Clients installieren können.

   Fazit: Zusammenfassend haben wir die VPN-Funktionen für die NGFW Check Point SMB-Serie untersucht. Anschließend haben wir die Schritte zur Einrichtung des Remote Access beschrieben, um Benutzern eine Verbindung zu ihrem Büro zu ermöglichen, und uns dann mit Monitoring-Tools beschäftigt. Am Ende des Artikels haben wir die verfügbaren Clients und Verbindungsmöglichkeiten für Remote Access besprochen. So kann Ihr Zweigbüro Kontinuität und Sicherheit der Arbeit der Mitarbeiter durch VPN-Technologien gewährleisten, trotz verschiedener externer Bedrohungen und Faktoren.

   Eine große Sammlung von Materialien zu Check Point von TS Solution. Bleiben Sie auf dem Laufenden (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Quelle: habr.com