Hallo, dies ist der zweite Artikel über die NGFW-Lösung von der . Ziel dieses Artikels ist es, zu zeigen, wie man die Benutzeroberfläche von UserGate auf einem virtuellen System installiert (ich werde die Virtualisierungssoftware VMware Workstation verwenden) und sie initial konfiguriert (Zugang aus dem lokalen Netzwerk über das UserGate-Gateway zum Internet ermöglichen).
1. Einleitung
Zunächst werde ich die verschiedenen Möglichkeiten beschreiben, wie dieses Gateway in das Netzwerk integriert werden kann. Ich möchte darauf hinweisen, dass je nach gewählter Anschlussart bestimmte Funktionalitäten des Gateways möglicherweise nicht verfügbar sind. Die UserGate-Lösung unterstützt die folgenden Verbindungsmodi:
L3-L7 Firewall
L2 transparenter Bridge
L3 transparenter Bridge
Virtuell in den Datenverkehr, mit Verwendung des WCCP-Protokolls
Virtuell in den Datenverkehr, mit Verwendung von Policy Based Routing
Router on a Stick
Explizit festgelegter WEB-Proxy
UserGate als Standardgateway
Überwachung des Mirror-Ports
UserGate unterstützt 2 Arten von Clustern:
Konfigurationscluster. Knoten, die zu einem Konfigurationscluster zusammengefasst sind, unterstützen einheitliche Einstellungen innerhalb des Clusters.
Hochverfügbarkeits-Cluster. Bis zu 4 Knoten einer Konfiguration können zu einem Hochverfügbarkeits-Cluster zusammengeschlossen werden, der den Betrieb im Active-Active- oder Active-Passive-Modus unterstützt. Es ist möglich, mehrere Hochverfügbarkeits-Cluster zu erstellen.
2. Installation
Wie im vorherigen Artikel erwähnt, wird UserGate als Software-Hardware-Komplex bereitgestellt oder in einer virtuellen Umgebung implementiert. Von Ihrem persönlichen Konto auf der Webseite laden wir das Image im OVF-Format (Open Virtualization Format) herunter, dieses Format eignet sich für die Anbieter VMWare und Oracle Virtualbox. Für Microsoft Hyper-V und KVM werden Images von virtuellen Maschinen bereitgestellt.
Laut den Informationen von UserGate wird empfohlen, für einen reibungslosen Betrieb der virtuellen Maschine mindestens 8 GB RAM und einen 2-Kern-Virtual-CPU zu verwenden. Der Hypervisor muss 64-Bit-Betriebssysteme unterstützen.
Die Installation beginnt mit dem Import des Images in den gewählten Hypervisor (VirtualBox und VMWare). Im Fall von Microsoft Hyper-V und KVM muss eine virtuelle Maschine erstellt und das heruntergeladene Image als Festplatte angegeben werden, gefolgt von der Deaktivierung der Integrationsdienste in den Einstellungen der erstellten virtuellen Maschine.
Standardmäßig wird nach dem Import in VMWare eine virtuelle Maschine mit den folgenden Einstellungen erstellt:
Wie bereits erwähnt, sollte der Arbeitsspeicher mindestens 8 GB betragen, und es ist erforderlich, zusätzlich 1 GB pro 100 Benutzer hinzuzufügen. Die Standardgröße der Festplatte beträgt 100 GB, was jedoch normalerweise nicht ausreicht, um alle Protokolle und Einstellungen zu speichern. Die empfohlene Größe liegt bei 300 GB oder mehr. Daher ändern wir in den Eigenschaften der virtuellen Maschine die Größe der Festplatte auf die benötigte.
Management — die erste Schnittstelle der virtuellen Maschine, Zone für den Anschluss vertrauenswürdiger Netzwerke, von denen aus die Verwaltung von UserGate erlaubt ist.
Trusted — die zweite Schnittstelle der virtuellen Maschine, Zone für den Anschluss vertrauenswürdiger Netzwerke, wie z.B. LAN-Netzwerke.
Untrusted — die dritte Schnittstelle der virtuellen Maschine, Zone für Schnittstellen, die an nicht vertrauenswürdige Netzwerke angeschlossen sind, z.B. das Internet.
DMZ — die vierte Schnittstelle der virtuellen Maschine, Zone für Schnittstellen, die an das DMZ-Netzwerk angeschlossen sind.
Jetzt starten wir die virtuellen Maschinen. Obwohl im Handbuch steht, dass man Support Tools auswählen und einen Werksreset des UTM durchführen soll, sehen wir, dass es nur eine Auswahl gibt (UTM First Boot). In diesem Schritt konfiguriert der UTM die Netzwerkkarten und erweitert die Partition auf der Festplatte auf die volle Größe des Datenträgers:
Um auf die Web-Oberfläche von UserGate zuzugreifen, müssen Sie über den Management-Bereich gehen. Dafür ist das Interface eth0 zuständig, welches so konfiguriert ist, dass es automatisch eine IP-Adresse über DHCP erhält. Falls es keine Möglichkeit gibt, die Adresse für das Management-Interface automatisch über DHCP zuzuweisen, kann diese auch manuell im CLI (Command Line Interface) festgelegt werden. Dazu müssen Sie sich im CLI mit dem Benutzernamen und Passwort eines Benutzers mit Volladministrationsrechten anmelden (standardmäßig 'Admin' mit einem großen A). Sollte das UserGate-Gerät die initiale Einrichtung nicht durchlaufen haben, verwenden Sie als Benutzernamen Admin und als Passwort – utm. Geben Sie dann einen Befehl wie iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static ein. Anschließend wechseln wir zur Web-Konsole von UserGate unter der angegebenen Adresse, die ungefähr folgendermaßen aussehen sollte:https://UserGateIPaddress:8001:
Im Web-Interface setzen wir die Installation fort, wir müssen die Sprache der Benutzeroberfläche wählen (aktuell Russisch oder Englisch), die Zeitzone einstellen, dann lesen und dem Lizenzvertrag zustimmen. Wir legen einen Benutzernamen und ein Passwort für den Zugang zur Verwaltungsoberfläche fest.
3. Konfiguration
Nach der Installation sieht das Fenster der Verwaltungsoberfläche folgendermaßen aus:
Anschließend müssen die Netzwerkschnittstellen konfiguriert werden. Dazu müssen im Abschnitt „Schnittstellen“ diese aktiviert, die korrekten IP-Adressen eingestellt und die entsprechenden Zonen zugewiesen werden.
Der Abschnitt „Schnittstellen“ zeigt alle physischen und virtuellen Schnittstellen im System an, ermöglicht es, deren Einstellungen zu ändern und VLAN-Schnittstellen hinzuzufügen. Zudem werden alle Schnittstellen jedes Knotens im Cluster angezeigt. Die Schnittstelleneinstellungen sind spezifisch für jeden Knoten und nicht global.
In den Eigenschaften der Schnittstelle:
Schnittstelle aktivieren oder deaktivieren
Schnittstellentyp angeben – Layer 3 oder Mirror
Zone der Schnittstelle zuweisen
Netflow-Profil zur Übermittlung von Statistiken an den Netflow-Collector zuweisen
Physikalische Parameter der Schnittstelle ändern – MAC-Adresse und MTU-Größe
Wählen Sie den IP-Adressvergabe-Typ — ohne Adresse, statische IP-Adresse oder über DHCP zugewiesen.
Konfigurieren Sie den DHCP-Relay-Betrieb auf der gewählten Schnittstelle.
Die Schaltfläche „Hinzufügen“ ermöglicht das Hinzufügen der folgenden Typen von logischen Schnittstellen:
VLAN
Bond
Bridge
PPPoE
VPN
Tunnel
Neben den zuvor genannten Zonen, die mit dem Usergate-Image geliefert werden, gibt es noch drei weitere vordefinierte Typen:
Cluster — Zone für Schnittstellen, die für den Clusterbetrieb verwendet werden.
VPN für Site-to-Site — Zone, in die alle Büro-Büro-Kunden eingefügt werden, die über VPN mit UserGate verbunden sind.
VPN für den Fernzugriff — Zone, in die alle mobilen Benutzer, die über VPN mit UserGate verbunden sind, eingefügt werden.
UserGate-Administratoren können die Standardeinstellungen der Zonen ändern sowie zusätzliche Zonen erstellen, aber wie im Handbuch zur Version 5 angegeben, können nicht mehr als 15 Zonen erstellt werden. Um diese zu ändern oder zu erstellen, müssen Sie den Bereich der Zonen aufrufen. Für jede Zone kann eine Paketdiscard-Schwelle festgelegt werden, SYN, UDP, ICMP werden unterstützt. Der Zugriff auf UserGate-Dienste kann ebenfalls kontrolliert und Spoofing-Schutz aktiviert werden.
Nach der Einrichtung der Schnittstellen müssen im Abschnitt „Gateways“ die Standardroute konfiguriert werden. Das bedeutet, dass für die Verbindung von UserGate zum Internet die IP-Adresse eines oder mehrerer Gateways angegeben werden muss. Wenn mehrere Provider für die Internetverbindung verwendet werden, sind mehrere Gateways anzugeben. Die Gateway-Konfiguration ist für jeden Knoten im Cluster einzigartig. Wenn zwei oder mehr Gateways angegeben sind, sind zwei Betriebsvarianten möglich:
Lastenausgleich zwischen den Gateways.
Hauptgateway mit Umschaltung auf ein Backup.
Der Status des Gateways (verfügbar – grün, nicht verfügbar – rot) wird wie folgt bestimmt:
Netzwerkprüfung ist deaktiviert – das Gateway gilt als verfügbar, wenn UserGate dessen MAC-Adresse über eine ARP-Anfrage erhalten kann. Die Überprüfung des Internetzugangs über dieses Gateway erfolgt nicht. Wenn die MAC-Adresse des Gateways nicht bestimmt werden kann, gilt das Gateway als nicht verfügbar.
Netzwerkprüfung ist aktiviert – das Gateway gilt als verfügbar, wenn:
UserGate dessen MAC-Adresse über eine ARP-Anfrage erhalten kann.
Die Überprüfung des Internetzugangs über dieses Gateway war erfolgreich.
Andernfalls gilt das Gateway als nicht verfügbar.
Im Abschnitt „DNS“ müssen die DNS-Server hinzugefügt werden, die UserGate verwenden wird. Diese Einstellung wird im Bereich der System-DNS-Server angegeben. Unten finden Sie die Einstellungen zur Verwaltung von DNS-Anfragen der Benutzer. UserGate ermöglicht die Verwendung von DNS-Proxy. Der DNS-Proxy-Dienst ermöglicht es, die DNS-Anfragen der Benutzer abzufangen und sie nach den Bedürfnissen des Administrators zu ändern. Mit den Regeln des DNS-Proxys können Sie die DNS-Server angeben, an die Anfragen für bestimmte Domains weitergeleitet werden. Darüber hinaus können Sie mit dem DNS-Proxy statische Einträge vom Typ Host (A-Eintrag) festlegen.
Im Abschnitt „NAT und Routing“ müssen die erforderlichen NAT-Regeln erstellt werden. Für den Internetzugang der Benutzer im Trusted-Netzwerk wurde bereits eine NAT-Regel erstellt – „Trusted->Untrusted“, die nur noch aktiviert werden muss. Die Regeln werden von oben nach unten in der Reihenfolge angewendet, in der sie in der Konsole aufgeführt sind. Es wird immer nur die erste Regel ausgeführt, deren Bedingungen erfüllt sind. Damit eine Regel aktiv wird, müssen alle Bedingungen erfüllt sein, die in den Regelparametern angegeben sind. UserGate empfiehlt, allgemeine NAT-Regeln zu erstellen, zum Beispiel eine NAT-Regel von einem lokalen Netzwerk (in der Regel der Trusted-Bereich) ins Internet (in der Regel der Untrusted-Bereich), während die Benutzer-, Dienst- und Anwendungszugriffe durch Firewall-Regeln gesteuert werden.
Es besteht auch die Möglichkeit, DNAT-Regeln, Port-Forwarding, policybasiertes Routing und Netzwerk-Mapping zu erstellen.
Anschließend müssen im Abschnitt „Firewall“ Firewall-Regeln erstellt werden. Für den uneingeschränkten Internetzugang der Benutzer im Trusted-Netzwerk wurde bereits eine Firewall-Regel erstellt — „Internet für Trusted“, die aktiviert werden muss. Mit Hilfe der Firewall-Regeln kann der Administrator jeden Typ von Transit-Netzwerkverkehr, der durch UserGate läuft, zulassen oder blockieren. Bestimmte Bedingungen für die Regeln können Zonen und IP-Adressen der Quelle/Ziel, Benutzer und Gruppen, Dienste und Anwendungen sein. Die Regeln werden ebenfalls in der Reihenfolge von oben nach unten angewendet, wie im Abschnitt „NAT und Routing“. Falls keine Regeln erstellt wurden, ist jeder Transitverkehr durch UserGate verboten.
4. Fazit
Damit ist der Artikel zu Ende. Wir haben die UserGate-Firewall auf einer virtuellen Maschine installiert und die minimal erforderlichen Einstellungen vorgenommen, damit das Internet im Trusted-Netzwerk funktioniert. Eine weitergehende Konfiguration werden wir in kommenden Artikeln betrachten.
Folgen Sie unseren Updates auf unseren Kanälen (, , , )!
Quelle: habr.com
