Hallo, dies ist der zweite Artikel über die NGFW-Lösung des Unternehmens . Ziel dieses Artikels ist es, zu zeigen, wie man die Firewall UserGate in ein virtuelles System installiert (ich werde die Virtualisierungssoftware VMware Workstation verwenden) und ihre Ersteinrichtung durchführt (Zugang aus dem lokalen Netzwerk über das UserGate-Gateway ins Internet zu ermöglichen).
1. Einführung
Zunächst werde ich verschiedene Methoden zur Implementierung dieses Gateways in das Netzwerk beschreiben. Ich möchte darauf hinweisen, dass je nach gewählter Anschlussvariante bestimmte Funktionalitäten des Gateways möglicherweise nicht verfügbar sind. Die Lösung UserGate unterstützt die folgenden Anschlussmodi:
L3-L7 Firewall
L2 transparenter Bridge
L3 transparenter Bridge
Virtuell in den Durchsatz, unter Verwendung des WCCP-Protokolls
Virtuell in den Durchsatz, unter Verwendung des Policy Based Routing
Router auf einem Stick
Explicit definierter WEB-Proxy
UserGate als Standard-Gateway
Überwachung des Mirror-Ports
UserGate unterstützt 2 Arten von Clustern:
Konfigurationscluster. Knoten, die in einem Konfigurationscluster vereint sind, unterstützen einheitliche Einstellungen innerhalb des Clusters.
Hochverfügbarkeitscluster. Bis zu 4 Knoten eines Konfigurationsclusters können in ein Hochverfügbarkeitscluster verbunden werden, das im Aktive-Aktive- oder Aktive-Passive-Modus arbeitet. Es ist möglich, mehrere Hochverfügbarkeitscluster zu erstellen.
2. Installation
Wie im vorherigen Artikel erwähnt, wird UserGate als Software-Hardware-Komplex geliefert oder in einer virtuellen Umgebung bereitgestellt. Aus dem persönlichen Bereich auf der Website laden wir das Image im OVF-Format (Open Virtualization Format) herunter, dieses Format eignet sich für die Anbieter VMWare und Oracle Virtualbox. Für Microsoft Hyper-V und KVM werden die Images von virtuellen Maschinen bereitgestellt.
Laut der Website von UserGate wird für den ordnungsgemäßen Betrieb der virtuellen Maschine empfohlen, mindestens 8 GB RAM und einen 2-Kern virtuellen Prozessor zu verwenden. Der Hypervisor muss die Arbeit mit 64-Bit-Betriebssystemen unterstützen.
Die Installation beginnt mit dem Import des Images in den gewählten Hypervisor (VirtualBox und VMWare). Bei Microsoft Hyper-V und KVM ist es erforderlich, eine virtuelle Maschine zu erstellen und das heruntergeladene Image als Festplatte anzugeben, bevor die Integrationsdienste in den Einstellungen der neu erstellten virtuellen Maschine deaktiviert werden.
Standardmäßig wird nach dem Import in VMWare eine virtuelle Maschine mit folgenden Einstellungen erstellt:
Wie oben erwähnt, sollte der Arbeitsspeicher mindestens 8 GB betragen, und zusätzlich sind 1 GB für jeweils 100 Benutzer erforderlich. Die Standardgröße der Festplatte beträgt 100 GB, was jedoch normalerweise nicht ausreicht, um alle Protokolle und Einstellungen zu speichern. Die empfohlene Größe liegt bei 300 GB oder mehr. Daher ändern wir in den Eigenschaften der virtuellen Maschine die Größe der Festplatte auf das gewünschte Maß. Ursprünglich wird UserGate UTM mit vier Schnittstellen geliefert, die den Zonen zugewiesen sind:
Management — die erste Schnittstelle der virtuellen Maschine, Zone für den Anschluss vertrauenswürdiger Netzwerke, von denen die Verwaltung von UserGate erlaubt ist.
Trusted — die zweite Schnittstelle der virtuellen Maschine, Zone für den Anschluss vertrauenswürdiger Netzwerke, wie z.B. LAN-Netzwerken.
Untrusted — die dritte Schnittstelle der virtuellen Maschine, Zone für Schnittstellen, die mit nicht vertrauenswürdigen Netzwerken verbunden sind, z.B. dem Internet.
DMZ — die vierte Schnittstelle der virtuellen Maschine, Zone für Schnittstellen, die mit dem DMZ-Netzwerk verbunden sind.
Dann starten wir die virtuellen Maschinen. Obwohl im Handbuch steht, dass man Support Tools auswählen und Factory reset UTM ausführen sollte, gibt es während dieses Schrittes nur die eine Auswahl (UTM First Boot). Während dieses Schrittes konfiguriert UTM die Netzwerkadapter und vergrößert die Partition auf der Festplatte auf die volle Größe der Festplatte:
Um auf die Web-Oberfläche von UserGate zuzugreifen, muss man über die Management-Zone gehen, dafür ist die Schnittstelle eth0 zuständig, die so konfiguriert ist, dass sie automatisch eine IP-Adresse erhält (DHCP). Falls es nicht möglich ist, eine Adresse für die Management-Schnittstelle automatisch über DHCP zuzuweisen, kann sie explizit festgelegt werden, indem man CLI (Command Line Interface) verwendet. Dazu muss man sich in die CLI einloggen, indem man den Benutzernamen und das Passwort eines Benutzers mit Volladministrator-Rechten verwendet (standardmäßig Admin mit Großbuchstaben). Wenn das Gerät UserGate die anfängliche Initialisierung nicht bestanden hat, muss man als Benutzernamen Admin und als Passwort utm verwenden, um auf die CLI zuzugreifen. Man muss dann einen Befehl wie iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static eingeben. Danach wechseln wir zur Web-Konsole von UserGate unter der angegebenen Adresse, die ungefähr so aussehen sollte:https://UserGateIPaddress:8001:
In der Web-Konsole setzen wir die Installation fort, wir müssen die Sprache der Benutzeroberfläche auswählen (derzeit Russisch oder Englisch), die Zeitzone festlegen, und dann lesen und dem Lizenzvertrag zustimmen. Wir legen einen Benutzernamen und ein Passwort für den Zugriff auf die Web-Verwaltungsoberfläche fest.
3. Einrichtung
Nach der Installation sieht das Fenster der Web-Verwaltungsoberfläche der Plattform so aus:
Dann müssen die Netzwerkschnittstellen konfiguriert werden. Dazu müssen im Abschnitt „Schnittstellen“ diese aktiviert, die korrekten IP-Adressen festgelegt und die entsprechenden Zonen zugewiesen werden.
Der Abschnitt „Schnittstellen“ zeigt alle physischen und virtuellen Schnittstellen im System an, ermöglicht das Ändern ihrer Einstellungen und das Hinzufügen von VLAN-Schnittstellen. Außerdem zeigt er alle Schnittstellen jedes Knotens im Cluster an. Die Schnittstelleneinstellungen sind spezifisch für jeden der Knoten, das heißt, sie sind nicht global.
In den Eigenschaften der Schnittstelle:
Schnittstelle aktivieren oder deaktivieren
Schnittstellentyp angeben – Layer 3 oder Mirror
Eine Zone für die Schnittstelle zuweisen
Netflow-Profil für die Übermittlung von Statistiken an den Netflow-Kollektor zuweisen
Physikalische Parameter der Schnittstelle ändern – MAC-Adresse und MTU-Größe
Schnittstellen-IP-Zuweisungstyp wählen – ohne Adresse, statische IP-Adresse oder per DHCP erhalten
DHCP-Relay auf der gewählten Schnittstelle konfigurieren.
Die Schaltfläche „Hinzufügen“ ermöglicht das Hinzufügen der folgenden Typen von logischen Schnittstellen:
VLAN
Bond
Brücke
PPPoE
VPN
Tunnel
Neben den zuvor genannten Zonen, die mit dem Usergate-Image geliefert werden, gibt es noch drei weitere vordefinierte Zonentypen:
Cluster – Zone für Schnittstellen, die für die Clusterarbeit verwendet werden
VPN für Site-to-Site – Zone, in die alle Kunden vom Typ Office-Office, die über VPN mit UserGate verbunden sind, platziert werden
VPN für Remotezugriff – Zone, in die alle mobilen Benutzer, die über VPN mit UserGate verbunden sind, platziert werden
Die Administratoren von UserGate können die Standardzoneneinstellungen ändern und zusätzliche Zonen erstellen, aber wie im Handbuch zur Version 5 angegeben, können nicht mehr als 15 Zonen erstellt werden. Um diese zu ändern oder zu erstellen, muss man in den Abschnitt Zonen gehen. Für jede Zone kann eine Paketdiscard-Schwelle festgelegt werden; SYN, UDP, ICMP werden unterstützt. Außerdem wird der Zugriff auf die Usergate-Dienste kontrolliert, und es wird ein Spoofing-Schutz aktiviert.
Nach der Konfiguration der Schnittstellen muss im Abschnitt „Gateways“ die Standardroute eingestellt werden. Das bedeutet, dass für die Verbindung von UserGate zum Internet die IP-Adresse eines oder mehrerer Gateways angegeben werden muss. Wenn mehrere Anbieter für die Internetverbindung verwendet werden, müssen mehrere Gateways angegeben werden. Die Konfiguration des Gateways ist für jeden Knoten des Clusters einzigartig. Wenn zwei oder mehr Gateways angegeben sind, sind zwei Betriebsvarianten möglich:
Lastenausgleich zwischen den Gateways.
Hauptgateway mit Umschaltung auf Backup.
Der Status des Gateways (verfügbar – grün, nicht verfügbar – rot) wird wie folgt bestimmt:
Netzwerkprüfung ist deaktiviert – das Gateway wird als verfügbar betrachtet, wenn UserGate dessen MAC-Adresse mit einer ARP-Anfrage abrufen kann. Eine Überprüfung des Internetzugangs über dieses Gateway erfolgt nicht. Wenn die MAC-Adresse des Gateways nicht bestimmt werden kann, wird das Gateway als nicht verfügbar angesehen.
Netzwerkprüfung ist aktiviert – das Gateway wird als verfügbar betrachtet, wenn:
UserGate dessen MAC-Adresse mit einer ARP-Anfrage abrufen kann.
Die Überprüfung des Internetzugangs über dieses Gateway war erfolgreich.
Andernfalls wird das Gateway als nicht verfügbar angesehen.
Im Abschnitt „DNS“ müssen die DNS-Server hinzugefügt werden, die UserGate verwenden wird. Diese Einstellung wird im Bereich System-DNS-Server angegeben. Unten befinden sich die Einstellungen zur Verwaltung von DNS-Anfragen von Benutzern. UserGate ermöglicht die Verwendung von DNS-Proxy. Der DNS-Proxy-Service ermöglicht es, DNS-Anfragen von Benutzern abzufangen und sie je nach Bedarf des Administrators zu ändern. Mit Hilfe von DNS-Proxy-Regeln können die DNS-Server festgelegt werden, an die Anfragen für bestimmte Domains weitergeleitet werden. Darüber hinaus können mit dem DNS-Proxy statische Einträge vom Typ Host (A-Record) erstellt werden.
Im Abschnitt „NAT und Routing“ müssen die erforderlichen NAT-Regeln erstellt werden. Für den Internetzugang der Benutzer im Trusted-Netzwerk wurde bereits eine NAT-Regel erstellt – „Trusted→Untrusted“, diese muss nur aktiviert werden. Die Regeln werden von oben nach unten in der Reihenfolge angewendet, in der sie in der Konsole angegeben sind. Es wird immer nur die erste Regel ausgeführt, für die die im Regel angegebenen Bedingungen zutreffen. Damit eine Regel wirksam wird, müssen alle Bedingungen erfüllt sein, die in den Regelparametern angegeben sind. UserGate empfiehlt die Erstellung von allgemeinen NAT-Regeln, z.B. eine NAT-Regel vom lokalen Netzwerk (normalerweise die Trusted-Zone) ins Internet (normalerweise die Untrusted-Zone), während der Zugang für Benutzer, Dienste und Anwendungen über Firewalls Regeln geregelt wird.
Es besteht auch die Möglichkeit, DNAT-Regeln, Portweiterleitung, policy-basiertes Routing und Netzwerkabbildung zu erstellen.
Danach müssen im Abschnitt „Firewall“ die Firewall-Regeln erstellt werden. Für den uneingeschränkten Internetzugang der Benutzer im Trusted-Netzwerk wurde ebenfalls eine Firewall-Regel erstellt – „Internet für Trusted“, die aktiviert werden muss. Mit den Firewall-Regeln kann der Administrator jeden Typ des Transit-Netzwerkverkehrs, der durch UserGate läuft, zulassen oder blockieren. Bedingungen der Regel können Zonen und IP-Adressen von Quelle/Ziel, Benutzer und Gruppen, Dienste und Anwendungen sein. Die Regeln werden ebenso wie im Abschnitt „NAT und Routing“ angewendet, d.h. von oben nach unten. Wenn keine Regel erstellt wurde, ist jeder Transitverkehr durch UserGate verboten.
4. Fazit
Damit ist der Artikel zu Ende. Wir haben die UserGate-Firewall auf einer virtuellen Maschine installiert und die minimal notwendigen Einstellungen vorgenommen, um die Internetverbindung im Trusted-Netzwerk zu aktivieren. Weitere Einstellungen werden in den folgenden Artikeln behandelt.
Bleiben Sie über Updates in unseren Kanälen informiert (, , , )!
Quelle: habr.com
