Wir setzen unseren Artikelzyklus über die Arbeit mit der neuen Modellreihe SMB CheckPoint fort und erinnern daran, dass wir die Merkmale und Möglichkeiten der neuen Modelle, sowie die Verwaltung und Administration beschrieben haben. Heute betrachten wir das Bereitstellungsszenario des oberen Modells der Reihe: CheckPoint 1590 NGFW. Hier ist eine kurze Zusammenfassung dieses Teils:
- Auspacken der Hardware (Beschreibung der Komponenten, physische und Netzwerkverbindungen).
- Erstkonfiguration des Geräts.
- Erstsetup.
- Bewertung der Betriebsfähigkeit.
Auspacken der Hardware
Das Kennenlernen der Hardware beginnt mit dem Herausnehmen der Geräte aus der Box, dem Auspacken der Komponenten und der Installation der Teile. Klicken Sie auf den Spoiler, wo der Prozess kurz dargestellt wird.
Lieferumfang NGFW 1590
Kurzinformation über die Komponenten:
- NGFW 1590;
- Netzteil;
- 2 Wifi-Antennen (2,4 GHz und 5 GHz);
- 2 LTE-Antennen;
- Broschüren mit Dokumentation (kurzer Leitfaden für die Erstverbindung, Lizenzvereinbarung usw.)
Was die Netzwerkports und -schnittstellen betrifft, so stehen hier alle modernen Möglichkeiten für den Datenverkehr und die Interaktion zur Verfügung, zusätzlich gibt es einen Port für die DMZ-Zone und USB 3.0 zur Synchronisation mit einem PC.
Die Version 1590 hat ein aktualisiertes Design, moderne Optionen für drahtlose Kommunikation und Speicherkapazitätserweiterung: 2 Slots für Micro/Nano SIM im LTE-Modus (über diese Option planen wir, in einem unserer nächsten Artikel des Zyklus, der sich mit drahtlosen Verbindungen befasst, ausführlich zu berichten); Slot für eine SD-Karte.
Detaillierte Informationen zu den Funktionen des 1590 NGFW und anderen neuen Modellen finden Sie in unserem Zyklus von Artikeln über SMB CheckPoint-Lösungen. Wir beginnen mit der Erstkonfiguration des Geräts.
Erstkonfiguration
Unsere regelmäßigen Leser sollten bereits wissen, dass in der 1500er Serie der SMB-Reihe ein neues Betriebssystem 80.20 Embedded verwendet wird, das ein aktualisiertes Interface und verbesserte Funktionen bietet.
Um die Konfiguration des Geräts zu starten, müssen Sie:
- Die Stromversorgung für das Gateway sicherstellen.
- Das Netzwerkkabel von Ihrem PC an LAN-1 am Gateway anschließen.
- Optional kann dem Gerät sofort eine Internetverbindung bereitgestellt werden, indem der Anschluss an den WAN-Port angeschlossen wird.
- Gehen Sie zum Gaia Embedded-Portal:
Wenn die zuvor genannten Schritte abgeschlossen sind, müssen Sie nach dem Wechsel zur Seite des Gaia-Portals das Öffnen der Seite mit dem nicht vertrauenswürdigen Zertifikat bestätigen, wonach der Konfigurationsassistent des Portals gestartet wird:
Sie werden von einer Seite begrüßt, die das Modell Ihres Geräts angibt. Sie müssen in den nächsten Abschnitt wechseln:
Es wird Ihnen angeboten, ein Konto für die Authentifizierung zu erstellen. Es besteht die Möglichkeit, hohe Anforderungen an das Passwort für den Administrator anzugeben und das Land anzugeben, in dem Sie das Gateway verwenden werden.
Das nächste Fenster betrifft die Einstellungen von Datum und Uhrzeit. Es besteht die Möglichkeit, dies manuell festzulegen oder den NTP-Server des Unternehmens zu verwenden.
Der nächste Schritt besteht darin, einen Namen für das Gerät festzulegen und die Domain des Unternehmens anzugeben, um sicherzustellen, dass die Dienste des Gateways im Internet ordnungsgemäß funktionieren.
Der nächste Schritt betrifft die Auswahl der Art der NGFW-Verwaltung. Hier sollten Sie Folgendes beachten:
- Lokale Verwaltung. Diese verfügbare Option dient zur lokalen Verwaltung des Gateways über die Webseite des Gaia-Portals.
- Zentrale Verwaltung. Diese Art der Verwaltung umfasst die Synchronisierung mit einem dedizierten Management-Server von CheckPoint, die Synchronisierung mit der Cloud Smart1-Cloud oder mit SMP (Service Management für SMB).
In diesem Artikel konzentrieren wir uns auf die Methode der lokalen Verwaltung. Sie können die benötigte Methode angeben. Für Informationen zum Synchronisationsprozess mit dem dedizierten Management-Server wird empfohlen, aus dem Schulungszyklus CheckPoint Getting Started, der von der Firma TS Solution vorbereitet wurde.
Es wird Ihnen dann ein Fenster angezeigt, das den Betriebsmodus der Schnittstellen am Gateway definiert:
- Der Switch-Modus ermöglicht den Zugriff auf das Subnetz von einem Interface zum Subnetz eines anderen Interfaces.
- Der Disable Switch-Modus schaltet entsprechend den Switch-Modus ab; jeder Port routet den Datenverkehr wie für einen separaten Netzwerkabschnitt.
Es wird auch angeboten, einen Pool von DHCP-Adressen anzugeben, die verwendet werden, wenn eine Verbindung zu den lokalen Schnittstellen des Gateways hergestellt wird.
Der nächste Schritt ist die Konfiguration des Betriebs des Gateways im drahtlosen Modus. Wir planen, diesen Aspekt in einem der Artikel des Zyklus genauer zu behandeln, daher haben wir die Konfiguration der Einstellungen verschoben. Sie können jedoch einen neuen drahtlosen Zugangspunkt erstellen, ein Passwort dafür festlegen und den Betriebsmodus des drahtlosen Kanals (2,4 GHz oder 5 GHz) definieren.
Im Folgenden wird ein Schritt zur Konfiguration des Zugangs zum Gateway für Unternehmensadministratoren angeboten. Standardmäßig sind die Zugriffsrechte erlaubt, wenn die Verbindung von kommt:
- Das interne Unternehmensnetzwerk
- Vertrautes drahtloses Netzwerk
- VPN-Tunnel
Die Option zur Verbindung mit dem Gateway über das Internet ist standardmäßig deaktiviert, da dies erhebliche Risiken birgt, und eine Begründung für die Aktivierung erforderlich ist. Andernfalls wird empfohlen, es wie in unserem Beispiel zu belassen. Es besteht auch die Möglichkeit anzugeben, welche IP-Adressen für die Verbindung zum Gateway erlaubt sind.
Das nächste Fenster betrifft die Aktivierung von Lizenzen. Bei der Erstinitialisierung des Geräts wird Ihnen ein 30-tägiger Testzeitraum angeboten. Es gibt zwei verfügbare Methoden zur Aktivierung:
- Wenn eine Internetverbindung besteht, wird die Lizenz automatisch aktiviert.
- Wenn Sie die Lizenz offline aktivieren, müssen Sie Folgendes tun: Laden Sie die Lizenz aus UserCenter herunter, registrieren Sie Ihr Gerät auf einem speziellen . Für beide Fälle müssen Sie danach die heruntergeladene Lizenz manuell importieren.
Schließlich bietet das letzte Fenster im Einrichtungsassistenten an, die aktivierten Blades auszuwählen. Beachten Sie, dass das Blade QOS nur nach der Erstinitialisierung aktiviert wird. Am Ende sollten Sie ein Abschlussfenster erhalten, das Ihre Einstellungen zusammenfasst.
Ersteinrichtung
Zunächst empfehlen wir, den Status der Lizenzen zu überprüfen, da dies die weitere Konfiguration beeinflusst. Gehen Sie zu „HOME“ → „License“:
Wenn die Lizenzen aktiviert sind, empfehlen wir, sofort auf die neueste Firmware zu aktualisieren. Gehen Sie dazu zu „DEVICE“ → „System Operations“:
Systemaktualisierungen finden Sie unter Firmware Upgrade. In unserem Fall ist die aktuelle und letzte Firmware-Version installiert.
Ich möchte Ihnen nun kurz die Funktionen und Einstellungen der Systemblades vorstellen. Diese lassen sich logisch in Zugangspolicen (Firewall, Application Control, URL Filtering) und Bedrohungsschutz (IPS, Antivirus, Anti-Bot, Bedrohungsemulation) unterteilen.
Gehen wir zu Access Policy → Blade Control:
Standardmäßig wird der STANDARD-Modus verwendet, der ausgehenden Datenverkehr ins Internet, innerbetrieblichen Datenverkehr erlaubt, während eingehender Datenverkehr aus dem Internet blockiert wird.
Bei den Blades APPLICATIONS & URL FILTERING besteht standardmäßig eine Blockierung von Webseiten mit hohem Risiko, sowie eine Blockierung von Tausch-Anwendungen (Torrent, File Storage usw.). Darüber hinaus können bestimmte Webseitenkategorien manuell blockiert werden.
Wir weisen auf die Option für den benutzerdefinierten Datenverkehr „Limit bandwidth consuming applications“ hin, mit der die Geschwindigkeit des ausgehenden/eingehenden Datenverkehrs für Anwendungsgruppen begrenzt werden kann.
Nun öffnen wir den Abschnitt Policy, die Regeln wurden standardmäßig automatisch gemäß den zuvor beschriebenen Einstellungen generiert.
Der Abschnitt NAT funktioniert standardmäßig im Global Hide Nat Automatic-Modus, d.h. alle internen Hosts haben über die öffentliche IP-Adresse Zugriff auf das Internet. Es besteht die Möglichkeit, NAT-Regeln manuell festzulegen, um Ihre Webanwendungen oder Dienste zu veröffentlichen.
Im nächsten Abschnitt, der sich mit der Authentifizierung von Benutzern im Netzwerk beschäftigt, stehen zwei Optionen zur Verfügung: Active Directory Queries (Integration mit Ihrem AD) und Browser-Based-Authentication (der Benutzer gibt seine Anmeldedaten in das Portal ein).
Besonders hervorzuheben ist die SSL-Inspektion, da der Anteil des gesamten HTTPS-Datenverkehrs im Globalen Netz aktiv wächst. Lassen Sie uns erörtern, welche Möglichkeiten CheckPoint für SMB-Lösungen bietet; dazu gehen wir zum Abschnitt SSL-Inspection → Policy:
In den Einstellungen gibt es die Möglichkeit, den HTTPS-Datenverkehr zu inspizieren, hierfür ist es erforderlich, ein Zertifikat zu importieren und im Zentrum der vertrauenswürdigen Zertifikate auf den Endbenutzermaschinen zu installieren.
Eine nützliche Option ist der BYPASS-Modus für vordefinierte Kategorien, da dies die Zeit zur Aktivierung der Inspektion erheblich verkürzt.
Nach der Konfiguration der Regeln auf der Ebene Firewall / Application sollten Sie zur Feinabstimmung der Sicherheitsrichtlinien (Threat Prevention) übergehen, dazu gehen wir in den entsprechenden Abschnitt:
Auf der geöffneten Seite sehen wir die aktivierten Blades, die Statusupdates für Signaturen und Datenbanken. Zudem werden uns Profile zum Schutz des Netzwerkperimeters angeboten, die entsprechenden Einstellungen werden angezeigt.
Ein separater Abschnitt „IPS Protections“ ermöglicht die Konfiguration des Verhaltens bei bestimmten Sicherheits-Signaturen.
Kürzlich haben wir in unserem Blog über für Windows Server – SigRed. Lassen Sie uns deren Vorhandensein in Gaia Embedded 80.20 überprüfen, indem wir die Abfrage „CVE-2020-1350“ eingeben.
Für dieses Signatur wurde ein Eintrag gefunden, auf den eine der Maßnahmen angewendet werden kann. (standardmäßig Prevent für die Gefahrenstufe — Critical). Mit einer SMB-Lösung sind Sie daher in Bezug auf Updates und Unterstützung gut versorgt, es handelt sich um eine vollständige NGFW-Lösung für Filialen mit bis zu 200 Personen von CheckPoint.
Bewertung der Funktionsfähigkeit
Abschließend möchte ich auf die Verfügbarkeit von Tools zur Fehlersuche bei Problemen nach der ersten Einrichtung und Konfiguration der SMB-Lösung hinweisen. Sie können den Abschnitt “HOME” → “Tools” aufrufen. Mögliche Optionen:
- Überwachung der Systemressourcen;
- Routingtabelle;
- Prüfung der Verfügbarkeit der Cloud-Dienste von CheckPoint;
- Generierung von CPinfo;
Zusätzlich sind eingebaute Netzwerbefehle verfügbar: Ping, Traceroute, Traffic Capture.
So haben wir heute die anfängliche Verbindung und Konfiguration der NGFW 1590 betrachtet und die gleichen Schritte werden Sie für die gesamte Serie der 1500 SMB Checkpoint-Reihe durchführen. Die verfügbaren Optionen haben uns eine hohe Variabilität bei den Einstellungen gezeigt und unterstützen moderne Methoden zum Schutz des Datenverkehrs an der Netzwerkrand.
Heutzutage bieten CheckPoint-Lösungen für den Schutz kleiner Büros und Filialen (bis zu 200 Personen) eine breite Palette an Werkzeugen und nutzen die neuesten Technologien (Cloud-Management, Unterstützung für SIM-Karten, Speichererweiterung mit SD-Karten usw.). Bleiben Sie informiert und lesen Sie Artikel von TS Solution, wir planen weitere Teile zur NGFW CheckPoint-Produktfamilie SMB, bis zum nächsten Mal!
. Bleiben Sie auf dem Laufenden (, , , , ).
Quelle: habr.com
