3. UserGate Erste Schritte. Netzwerkrichtlinien

Ich begrüße die Leser im dritten Artikel der Artikelreihe "UserGate Getting Started", der sich mit der NGFW-Lösung des Unternehmens beschäftigt. UserGateIm vorherigen Artikel wurde der Installationsprozess der Firewall beschrieben und ihre erste Konfiguration vorgenommen. Jetzt werden wir detaillierter auf die Erstellung von Regeln in den Bereichen "Firewall", "NAT und Routing" und "Durchsatz" eingehen.

Die Ideologie der Funktionsweise von UserGate-Regeln ist so, dass die Regeln von oben nach unten ausgeführt werden, bis die erste Regel zutrifft. Daraus folgt, dass spezifischere Regeln über allgemeinen Regeln stehen sollten. Es ist jedoch zu beachten, dass, da die Regeln der Reihe nach überprüft werden, es in Bezug auf die Leistung besser ist, allgemeine Regeln zu erstellen. Bedingungen bei der Erstellung einer Regel unterliegen der Logik "UND". Wenn die Logik "ODER" verwendet werden muss, wird dies erreicht, indem mehrere Regeln erstellt werden. Daher ist das, was in diesem Artikel beschrieben wird, auch auf andere Richtlinien von UserGate anwendbar.

Firewall

Nach der Installation von UserGate gibt es im Abschnitt "Firewall" bereits eine einfache Richtlinie. Die ersten beiden Regeln verbieten den Datenverkehr für Bot-Netze. Danach folgen Beispiele für Zugriffsregeln aus verschiedenen Zonen. Die letzte Regel wird immer "Alle blockieren" genannt und mit dem Schlosssymbol versehen (dies bedeutet, dass die Regel nicht gelöscht, geändert, verschoben oder deaktiviert werden kann; es kann nur die Protokollierungsoption aktiviert werden). Daher wird durch diese Regel der gesamte eindeutig nicht erlaubte Datenverkehr durch die letzte Regel blockiert. Wenn es erforderlich ist, den gesamten Datenverkehr über UserGate zuzulassen (obwohl dies dringend nicht empfohlen wird), kann immer vorletzte Regel "Alle erlauben" erstellt werden.

Beim Bearbeiten oder Erstellen einer Regel für die Firewall ist die erste Registerkarte "Allgemein", auf der die folgenden Aktionen ausgeführt werden müssen: 

• Mit dem Kontrollkästchen "Ein" die Regel aktivieren oder deaktivieren.

• Einen Namen für die Regel eingeben.

• Eine Beschreibung der Regel festlegen.

• Eine der zwei Aktionen auswählen:

  • Verweigern — blockiert den Datenverkehr (bei festgelegtem Bedingung besteht die Möglichkeit, ICMP host unreachable zu senden; es muss nur das entsprechende Kontrollkästchen aktiviert werden).

  • Erlauben — erlaubt den Datenverkehr.

• Der Szenarienpunkt ermöglicht die Auswahl eines Szenarios, das eine zusätzliche Bedingung für das Auslösen der Regel darstellt. So setzt die Firma UserGate das Konzept SOAR (Security Orchestration, Automation and Response) um.

• Protokollierung – Informationen über den Datenverkehr beim Auslösen der Regel ins Protokoll zu schreiben. Mögliche Optionen:

  • Protokollierung des Sitzungsbeginns. In diesem Fall werden im Verkehrstagebuch nur Informationen über den Sitzungsbeginn (das erste Paket) aufgezeichnet. Dies ist die empfohlene Protokollierungsoption.

  • Protokollierung jedes Pakets. In diesem Fall werden Informationen über jedes übertragene Netzwerkpaket aufgezeichnet. Für diesen Modus wird empfohlen, eine Protokollierungslimitierung zu aktivieren, um eine hohe Geräteleistung zu verhindern.

• Regel anwenden auf:

  • Alle Pakete

  • auf fragmentierte Pakete

  • auf nicht fragmentierte Pakete

• Beim Erstellen einer neuen Regel kann der Ort in der Richtlinie ausgewählt werden.

Weiter Tab „Quelle“. Hier geben wir die Quelle des Datenverkehrs an, dies kann eine Zone sein, aus der der Datenverkehr stammt, oder es kann eine Liste oder eine bestimmte IP-Adresse (Geoip) angegeben werden. In praktisch allen Regeln, die im Gerät festgelegt werden können, kann ein Objekt aus der Regel erstellt werden, zum Beispiel kann man die gewünschte Zone, ohne in den Abschnitt „Zonen“ zu wechseln, mit der Schaltfläche „Erstellen und neues Objekt hinzufügen“ erstellen. Oft gibt es auch das Kontrollkästchen „Invertieren“, das das Handeln in der Regelbedingung umkehrt, was dem logischen Handeln der Negation entspricht. Tab „Ziel“ ist ähnlich wie der Tab Quelle, nur dass wir anstelle der Quelle des Datenverkehrs das Ziel des Datenverkehrs festlegen. Tab „Benutzer“ – an dieser Stelle können wir eine Liste von Benutzern oder Gruppen hinzufügen, für die diese Regel gilt. Tab „Dienst“ – wir wählen den Diensttyp aus, der bereits vordefiniert ist, oder wir können unseren eigenen festlegen. Tab „Anwendung“ – hier werden bestimmte Anwendungen oder Gruppen von Anwendungen ausgewählt. Und der Tab „Zeit“ gibt die Zeit an, zu der diese Regel aktiv ist. 

Seit der letzten Lektion haben wir eine Regel für den Internetzugang aus der Zone „Trust“. Jetzt zeige ich als Beispiel, wie man eine verbietende Regel für ICMP-Datenverkehr von der Zone „Trust“ zur Zone „Untrusted“ erstellen kann.

Zunächst erstellen wir eine Regel, indem wir auf die Schaltfläche „Hinzufügen“ klicken. Im sich öffnenden Fenster füllen wir im Tab Allgemein den Namen aus (ICMP-Verbot von trusted nach untrusted), aktivieren das Kontrollkästchen „Aktiv“, wählen die Aktion Verweigern und ganz wichtig, wir wählen den Standort dieser Regel korrekt aus. Entsprechend meiner Richtlinie sollte diese Regel über der Regel „Allow trusted to untrusted“ platziert werden:

Im Tab „Quelle“ gibt es für meine Aufgabe zwei Optionen:

• Die Zone „Trusted“ auswählen

• Alle Zonen außer „Trusted“ auswählen und das Kontrollkästchen „Invertieren“ aktivieren

Der Tab „Ziel“ wird ähnlich wie der Tab „Quelle“ konfiguriert.

Dann wechseln wir zum Tab „Dienst“. Da es in UserGate einen vordefinierten Dienst für ICMP-Verkehr gibt, wählen wir beim Klicken auf die Schaltfläche „Hinzufügen“ aus der vorgeschlagenen Liste den Dienst mit dem Namen „Any ICMP“:

Es mag so vorgesehen sein von den Entwicklern von UserGate, aber ich konnte mehrere völlig identische Regeln erstellen. Auch wenn nur die erste Regel aus der Liste ausgeführt wird, kann die Möglichkeit, unterschiedliche Regeln mit demselben Namen zu erstellen, während der Arbeit mehrerer Administratoren des Geräts Verwirrung stiften.

NAT und Routing

Beim Erstellen von NAT-Regeln sehen wir mehrere ähnliche Tabs wie bei der Firewall. Im Tab „Allgemein“ ist ein Feld „Typ“ hinzugekommen, das es ermöglicht auszuwählen, wofür diese Regel zuständig sein wird:

• NAT — Netzwerkadressübersetzung.

• DNAT — Leitet den Verkehr an die angegebene IP-Adresse weiter.

• Portweiterleitung — Leitet den Verkehr an die angegebene IP-Adresse weiter, erlaubt jedoch die Änderung der Portnummer des veröffentlichten Dienstes.

• Policy-basiertes Routing — Ermöglicht das Routen von IP-Paketen basierend auf erweiterten Informationen, z. B. Diensten, MAC-Adressen oder Servern (IP-Adressen).

• Netzwerkkartierung — Ermöglicht den Austausch von Quell- oder Ziel-IP-Adressen eines Netzwerks mit einem anderen Netzwerk.

Nach der Auswahl des entsprechenden Typs sind die Einstellungen dafür verfügbar.

Im SNAT-IP-Feld (Externe Adresse) geben wir die IP-Adresse an, auf die die Quelladresse ersetzt wird. Dieses Feld ist erforderlich, wenn mehrere IP-Adressen den Schnittstellen der Zielzone zugeordnet sind. Wenn dieses Feld leer gelassen wird, verwendet das System eine beliebige Adresse aus der Liste der verfügbaren IP-Adressen, die den Schnittstellen der Zielzone zugeordnet sind. UserGate empfiehlt, die SNAT-IP anzugeben, um die Leistung der Firewall zu verbessern.

Als Beispiel veröffentliche ich den SSH-Dienst des Windows-Servers, der sich in der Zone „DMZ“ befindet, mithilfe der Regel „Port-Forwarding“. Dazu klicken wir auf die Schaltfläche „Hinzufügen“ und füllen den Tab „Allgemein“ aus, geben den Regelname „SSH to Windows“ und den Typ „Port-Forwarding“ an:

Im Tab „Quelle“ wählen wir die Zone „Untrusted“ und gehen zum Tab „Port-Forwarding“. Hier sollten wir das Protokoll „TCP“ angeben (es stehen vier Optionen zur Verfügung: TCP, UDP, SMTP, SMTPS). Der ursprüngliche Zielport 9922 ist die Portnummer, an die die Benutzer Anfragen senden (die Ports 2200, 8001, 4369, 9000-9100 dürfen nicht verwendet werden). Der neue Zielport (22) ist die Portnummer, an die die Benutzeranfragen an den internen veröffentlichten Server weitergeleitet werden.

Im Tab „DNAT“ geben wir die IP-Adresse des Computers im lokalen Netzwerk an, der im Internet veröffentlicht wird (192.168.3.2). Optional kann SNAT aktiviert werden, dann ändert UserGate die Quelladresse in Paketen aus dem externen Netzwerk in seine eigene IP-Adresse.

Nach allen Einstellungen ergibt sich die Regel, die den Zugriff aus der Zone „Untrusted“ auf den Server mit der IP-Adresse 192.168.3.2 über das Protokoll SSH ermöglicht, indem die externe Adresse von UserGate für die Verbindung verwendet wird.

Bandbreite

In diesem Abschnitt werden die Regeln zur Verwaltung der Bandbreite festgelegt. Diese können verwendet werden, um die Bandbreite bestimmter Benutzer, Hosts, Dienste oder Anwendungen zu beschränken.

Bei der Erstellung von Regeln legen wir in den Registerkarten die Bedingungen für den Verkehr fest, auf den die Beschränkungen angewendet werden. Die Bandbreite kann aus den angebotenen Optionen gewählt oder individuell festgelegt werden. Bei der Erstellung der Bandbreite kann ein Priorisierungs-Tag für den Verkehr (DSCP) angegeben werden. Beispielhafte Anwendung von DSCP-Tags: Wenn im Regelwerk ein Szenario festgelegt wird, in dem diese Regel angewendet wird, kann diese Regel automatisch diese Tags ändern. Ein weiteres Beispiel für die Funktionsweise eines Szenarios: Die Regel wird für den Benutzer nur aktiviert, wenn ein Torrent entdeckt wird oder das Verkehrsvolumen einen festgelegten Grenzwert überschreitet. Die anderen Registerkarten füllen wir ebenfalls aus, wie in anderen Richtlinien, basierend auf dem Verkehrstyp, auf den die Regel angewendet werden soll.

Fazit

In diesem Artikel habe ich die Erstellung von Regeln in den Abschnitten „Firewall“, „NAT und Routing“ sowie „Bandbreite“ behandelt. Zu Beginn des Artikels habe ich die Regeln für die Erstellung von UserGate-Richtlinien sowie den Grundsatz der Funktionsweise von Bedingungen bei der Erstellung von Regeln beschrieben. 

Bleiben Sie über Updates in unseren Kanälen informiert (Telegram, Facebook, VK, TS Solution Blog)!

Quelle: habr.com