3. UserGate Einstieg. Netzwerkpolitiken

Ich begrüße die Leser im dritten Artikel der UserGate Getting Started-Serie, der sich mit der NGFW-Lösung des Unternehmens befasst. UserGateIm vorherigen Artikel wurde der Installationsprozess der Firewall beschrieben und ihre erste Konfiguration durchgeführt. Jetzt werden wir genauer auf die Erstellung von Regeln in den Bereichen „Firewall“, „NAT und Routing“ und „Durchsatz“ eingehen.

Die Ideologie der Arbeitsweise von UserGate-Regeln besteht darin, dass die Regeln von oben nach unten ausgeführt werden, bis die erste Regel zutrifft. Aus dem oben Beschriebenen folgt, dass spezifischere Regeln über allgemeineren Regeln stehen sollten. Es sollte jedoch beachtet werden, dass, da die Regeln der Reihe nach überprüft werden, es hinsichtlich der Leistung besser ist, allgemeinere Regeln zu erstellen. Die Bedingungen bei der Erstellung einer Regel gelten nach der Logik „UND“. Wenn die Logik „ODER“ verwendet werden muss, wird dies erreicht, indem mehrere Regeln erstellt werden. Daher ist das in diesem Artikel Beschriebene auch auf andere UserGate-Richtlinien anwendbar.

Firewall

Nach der Installation von UserGate ist im Bereich „Firewall“ bereits eine einfache Richtlinie vorhanden. Die ersten beiden Regeln verbieten den Datenverkehr für Bot-Netzwerke. Danach folgen Beispiele für Zugriffsregeln aus verschiedenen Zonen. Die letzte Regel trägt immer den Namen „Alles blockieren“ und ist mit einem Schloss-Symbol gekennzeichnet (dies bedeutet, dass die Regel nicht gelöscht, geändert, verschoben oder deaktiviert werden kann; sie kann lediglich für die Protokollierungsoption aktiviert werden). Daher wird aufgrund dieser Regel aller nicht ausdrücklich erlaubte Datenverkehr durch die letzte Regel blockiert. Wenn der gesamte Datenverkehr über UserGate erlaubt werden soll (was dringend nicht empfohlen wird), kann immer eine vorletzte Regel „Alles erlauben“ erstellt werden.

Beim Bearbeiten oder Erstellen einer Regel für die Firewall ist die erste Registerkarte „Allgemein“, auf der folgende Schritte ausgeführt werden müssen: 

• Mit dem Kontrollkästchen „Ein“ die Regel aktivieren oder deaktivieren.

• den Namen der Regel eingeben.

• eine Beschreibung der Regel festlegen.

• aus zwei Aktionen wählen:

  • Verbieten – blockiert den Datenverkehr (bei Festlegung dieser Bedingung kann eine ICMP-Meldung „Host unerreichbar“ gesendet werden; dazu einfach das entsprechende Kontrollkästchen aktivieren).

  • Erlauben — erlaubt den Verkehr.

• Szenariopunkt — ermöglicht die Auswahl eines Szenarios, das eine zusätzliche Bedingung für das Auslösen der Regel ist. So implementiert UserGate das Konzept SOAR (Security Orchestration, Automation and Response).

• Protokollierung — zeichnet Informationen über den Verkehr auf, wenn die Regel ausgelöst wird. Mögliche Optionen:

  • Protokolliere den Sitzungsstart. In diesem Fall wird nur die Information über den Sitzungsstart (das erste Paket) im Verkehr Protokoll aufgezeichnet. Dies wird als empfohlene Protokollierungsoption angesehen.

  • Protokolliere jedes Paket. In diesem Fall wird die Information über jedes übertragene Netzwerkpaket aufgezeichnet. Für diesen Modus wird empfohlen, ein Protokollierungslimit einzustellen, um eine hohe Belastung des Geräts zu vermeiden.

• Regel anwenden auf:

  • Alle Pakete

  • auf fragmentierte Pakete

  • auf nicht-fragmentierte Pakete

• Bei der Erstellung einer neuen Regel kann ein Ort in der Politik ausgewählt werden.

Weiter Registerkarte „Quelle“. Hier geben wir die Traffic-Quelle an, dies kann eine Zone sein, aus der der Traffic stammt, oder eine Liste bzw. eine spezifische IP-Adresse (Geoip). In nahezu allen Regelungen, die im Gerät erstellt werden können, kann aus einer Regel ein Objekt erstellt werden. Beispielsweise kann man durch einen Klick auf „Erstellen und neuen Objekt hinzufügen“ im Bereich „Zonen“ die benötigte Zone anlegen. Auch gibt es häufig das Kontrollkästchen „Umkehren“, welches die Aktion des Regelbedingungen umkehrt, was dem logischen Negations-Aktionsverhältnis entspricht. Registerkarte „Ziel“ ist ähnlich wie die Registerkarte Quelle, nur dass wir hier das Ziel des Traffics angeben. Registerkarte „Benutzer“ — an dieser Stelle kann eine Liste von Benutzern oder Gruppen hinzugefügt werden, für die diese Regel gilt. Registerkarte „Dienst“ — hier wählen wir den Diensttyp aus einer bereits vordefinierten Liste oder können unseren eigenen festlegen. Registerkarte „Anwendung“ — hier werden spezifische Anwendungen oder Gruppen von Anwendungen ausgewählt. Und Registerkarte „Zeit“ geben wir die Uhrzeit an, zu der diese Regel aktiv ist. 

Seit der letzten Lektion haben wir eine Regel für den Internetzugang aus der Zone „Trust“. Jetzt zeige ich am Beispiel, wie man eine verbietende Regel für ICMP-Verkehr von der Zone „Trust“ zur Zone „Untrusted“ erstellt.

Zunächst erstellen wir eine Regel, indem wir auf die Schaltfläche „Hinzufügen“ klicken. Im sich öffnenden Fenster füllen wir im Tab ‚Allgemein‘ den Namen aus (Verbot ICMP von trusted zu untrusted), aktivieren das Kontrollkästchen „Aktiv“, wählen die Aktion ‚Verbieten‘ und ganz wichtig, legen richtig den Standort dieser Regel fest. Gemäß meiner Richtlinie sollte diese Regel über der Regel „Allow trusted to untrusted“ liegen:

Im Tab „Quelle“ gibt es für meine Aufgabe zwei Möglichkeiten:

• Wählen Sie die Zone „Trusted“

• Wählen Sie alle Zonen außer „Trusted“ und setzen Sie das Kontrollkästchen „Invertieren“

Der Tab „Ziel“ wird ähnlich wie der Tab „Quelle“ konfiguriert.

Als nächstes wechseln wir zum Tab „Dienst“. Da es in UserGate einen vordefinierten Dienst für ICMP-Verkehr gibt, klicken wir auf die Schaltfläche „Hinzufügen“ und wählen aus der vorgeschlagenen Liste den Dienst mit dem Namen „Any ICMP“:

Vielleicht war das so von den Entwicklern von UserGate gedacht, aber ich konnte mehrere völlig identische Regeln erstellen. Obwohl nur die erste Regel in der Liste ausgeführt wird, könnte die Möglichkeit, unterschiedliche funktionale Regeln mit denselben Namen zu erstellen, Verwirrung bei mehreren Administratoren des Geräts stiften.

NAT und Routing

Bei der Erstellung von NAT-Regeln sehen wir mehrere ähnliche Registerkarten, wie auch für die Firewall. Auf der Registerkarte „Allgemein“ gibt es ein Feld „Typ“, das es ermöglicht auszuwählen, wofür diese Regel zuständig sein wird:

• NAT — Netzwerkadressübersetzung.

• DNAT — Leitet den Verkehr an die angegebene IP-Adresse weiter.

• Port-Forwarding — Leitet den Verkehr an die angegebene IP-Adresse weiter, ermöglicht jedoch die Änderung der Portnummer des veröffentlichten Dienstes.

• Policy-basiertes Routing — Ermöglicht die Weiterleitung von IP-Paketen basierend auf erweiterten Informationen, wie z.B. Diensten, MAC-Adressen oder Servern (IP-Adressen).

• Netzwerkkartierung — Ermöglicht die Ersetzung von Quell- oder Ziel-IP-Adressen eines Netzwerks durch ein anderes Netzwerk.

Nachdem der entsprechende Typ ausgewählt wurde, stehen die Einstellungen dafür zur Verfügung.

Im SNAT IP-Feld (äußere Adresse) geben wir die IP-Adresse an, auf die die Quelladresse ersetzt wird. Dieses Feld ist erforderlich, wenn mehrere IP-Adressen den Schnittstellen der Zielzone zugewiesen sind. Wenn dieses Feld leer bleibt, verwendet das System eine beliebige Adresse aus der Liste der verfügbaren IP-Adressen, die den Schnittstellen der Zielzone zugewiesen sind. UserGate empfiehlt, die SNAT IP anzugeben, um die Leistung der Firewall zu optimieren.

Als Beispiel veröffentliche ich den SSH-Dienst des Windows-Servers, der sich in der "DMZ"-Zone befindet, mittels einer "Port-Forwarding"-Regel. Dazu klicken wir auf die Schaltfläche "Hinzufügen" und füllen den Tab "Allgemein" aus, geben den Regelname "SSH zu Windows" und den Typ "Port-Forwarding" an:

Im Tab „Quelle“ wählen wir die Zone „Untrusted“ aus und gehen zum Tab „Port-Forwarding“. Hier müssen wir das Protokoll „TCP“ angeben (es stehen vier Varianten zur Verfügung: TCP, UDP, SMTP, SMTPS). Der ursprüngliche Zielport 9922 ist die Nummer des Ports, an den die Benutzer Anfragen senden (Ports 2200, 8001, 4369, 9000-9100 können nicht verwendet werden). Der neue Zielport (22) ist die Nummer des Ports, an den die Anfragen der Benutzer an den internen veröffentlichten Server weitergeleitet werden.

Im Tab „DNAT“ geben wir die IP-Adresse des Computers im lokalen Netzwerk an, die im Internet veröffentlicht wird (192.168.3.2). Optional kann SNAT aktiviert werden, wodurch UserGate die Quelladresse in Paketen aus dem externen Netzwerk in seine eigene IP-Adresse ändert.

Nach allen Einstellungen ergibt sich eine Regel, die den Zugriff aus der Zone „Untrusted“ auf den Server mit der IP-Adresse 192.168.3.2 über das Protokoll SSH ermöglicht, wobei die externe Adresse von UserGate bei der Verbindung verwendet wird.

Durchsatz

In diesem Abschnitt werden Regeln zur Verwaltung der Bandbreite festgelegt. Diese können verwendet werden, um den Kanal bestimmter Nutzer, Hosts, Dienste oder Anwendungen zu begrenzen.

Bei der Erstellung einer Regel definieren wir in den Reitern den Datenverkehr, auf den die Beschränkungen angewendet werden. Die Bandbreite kann aus den angebotenen Optionen gewählt oder individuell festgelegt werden. Bei der Festlegung der Bandbreite kann ein DSCP-Priorisierungslabel angegeben werden. Ein Beispiel dafür, wann DSCP-Labels angewendet werden: Wenn im Regel-Szenario angegeben wird, unter welchen Bedingungen diese Regel angewendet wird, kann die Regel diese Labels automatisch ändern. Ein weiteres Beispiel für das Szenario: Die Regel wird nur für den Benutzer aktiviert, wenn ein Torrent entdeckt wird oder das Verkehrsvolumen einen festgelegten Grenzwert überschreitet. Die anderen Reiter füllen wir ebenso aus wie in anderen Politiken, basierend auf dem Typ des Datenverkehrs, auf den die Regel angewendet werden soll.

Fazit

In diesem Artikel habe ich die Erstellung von Regeln in den Bereichen „Firewall“, „NAT und Routing“ sowie „Bandbreite“ behandelt. Zu Beginn des Artikels habe ich die Regeln zur Erstellung von UserGate-Richtlinien und das Funktionsprinzip der Bedingungen bei der Erstellung einer Regel beschrieben. 

Folgen Sie unseren Updates auf unseren Kanälen (Telegram, Facebook, VK, TS Solution Blog)!

Quelle: habr.com