{"id":90211,"date":"2020-07-30T01:42:13","date_gmt":"2020-07-29T23:42:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn"},"modified":"2020-07-30T01:42:13","modified_gmt":"2020-07-29T23:42:13","slug":"4-ngfw-dlya-malogo-biznesa-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn","title":{"rendered":"4. NGFW f\u00fcr kleine Unternehmen. VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"4.
\n<\/p>\n

Wir setzen unseren Artikelzyklus \u00fcber NGFW f\u00fcr kleine Unternehmen fort. Ich erinnere daran, dass wir die neue Modellreihe 1500 Serie betrachten. In Teil 1<\/a><\/noindex> diesem Zyklus erw\u00e4hnte ich eine der n\u00fctzlichsten Optionen beim Kauf eines SMB-Ger\u00e4ts \u2013 die Bereitstellung von Gateways mit integrierten Lizenzen f\u00fcr Mobile Access (von 100 bis 200 Benutzer, je nach Modell). In diesem Artikel werden wir die VPN-Konfiguration f\u00fcr die 1500er Serie Gateways betrachten, die mit dem vorinstallierten Gaia 80.20 Embedded geliefert werden. Hier ist eine kurze Zusammenfassung:<\/p>\n

<\/p>\n

    \n
  1. VPN-Funktionen f\u00fcr SMB.<\/li>\n
  2. Remote Access f\u00fcr kleine B\u00fcros einrichten.<\/li>\n
  3. Verf\u00fcgbare Clients f\u00fcr die Verbindung.<\/li>\n<\/ol>\n

    <\/a><\/noindex><\/p>\n

    1. VPN-Funktionen f\u00fcr SMB<\/h3>\n

    <\/p>\n

    Um das heutige Material vorzubereiten, wurde das offizielle Administratorenhandbuch<\/a><\/noindex> der Version R80.20.05 (zum Zeitpunkt der Ver\u00f6ffentlichung des Artikels aktuell) verwendet. Folglich unterst\u00fctzt der Teil VPN bei Gaia 80.20 Embedded:<\/p>\n

    <\/p>\n

      \n
    1. Site-to-Site. Erstellung von VPN-Tunneln zwischen Ihren B\u00fcros, in denen die Benutzer wie in einem einzigen 'lokalen' Netzwerk arbeiten k\u00f6nnen.\n

      \"4.\n<\/li>\n

    2. Remote Access. Fernzugriff auf die Ressourcen Ihres B\u00fcros \u00fcber Benutzer-Endger\u00e4te (PCs, Mobiltelefone usw.). Zus\u00e4tzlich gibt es den SSL Network Extender, der es erm\u00f6glicht, bestimmte Anwendungen zu ver\u00f6ffentlichen und diese \u00fcber ein Java-Applet zu starten, indem man sich \u00fcber SSL verbindet. Hinweis:<\/u> nicht zu verwechseln mit dem Mobile Access Portal (Unterst\u00fctzung auf Gaia Embedded nicht vorhanden).
      \n<\/i>
      \n\"4.\n<\/li>\n<\/ol>\n

      <\/p>\n

      Zus\u00e4tzlich<\/u><\/b> Ich empfehle dringend den Autorenkurs TS Solution \u2013 Check Point Remote Access VPN<\/a><\/noindex> er vermittelt die Technologien von Check Point im Bereich VPN, behandelt Lizenzierungsfragen und enth\u00e4lt ausf\u00fchrliche Anleitungen zur Konfiguration.<\/p>\n

      <\/p>\n

      2. Remote Access f\u00fcr kleine B\u00fcros<\/h3>\n

      \nWir werden mit der Einrichtung des Remote Zugriffs auf Ihr B\u00fcro beginnen:<\/p>\n

        \n
      1. Damit Benutzer einen VPN-Tunnel mit dem Gateway herstellen k\u00f6nnen, ben\u00f6tigen Sie eine \u00f6ffentliche IP-Adresse. Wenn Sie die Erstkonfiguration bereits durchlaufen haben (2 Artikel<\/a><\/noindex> aus dem Zyklus), ist der External Link in der Regel bereits aktiviert. Informationen k\u00f6nnen auf dem Gaia Portal eingeholt werden: Ger\u00e4t \u2192 Netzwerk \u2192 Internet<\/b>\n

        \"4.
        \n<\/p>\n

        Falls Ihr Unternehmen eine dynamische \u00f6ffentliche IP-Adresse verwendet, k\u00f6nnen Sie Dynamic DNS einrichten. Gehen Sie zu Ger\u00e4t <\/strong>\u2192 DDNS & Ger\u00e4tezugriff<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Aktuell wird die Unterst\u00fctzung von zwei Anbietern angeboten: DynDns und no-ip.com. Um die Option zu aktivieren, m\u00fcssen Sie Ihre Zugangsdaten (Benutzername, Passwort) eingeben.\n<\/p>\n<\/li>\n

      2. Erstellen wir nun ein Benutzerkonto, das f\u00fcr die Testkonfiguration n\u00fctzlich sein wird: VPN \u2192 Remote Access \u2192 Remote Access Users<\/strong>\n

        \"4.
        \n<\/p>\n

        In der Gruppe (am Beispiel: remoteaccess) erstellen wir einen Benutzer, indem wir den Anweisungen im Screenshot folgen. Die Kontoeinrichtung ist standardm\u00e4\u00dfig, wir setzen einen Benutzernamen und ein Passwort und aktivieren zus\u00e4tzlich die Option Remote Access permissions. \n<\/p>\n

        \"4.
        \n<\/p>\n

        Wenn Sie die Einstellungen erfolgreich angewendet haben, sollten zwei Objekte erscheinen: ein lokaler Benutzer und eine lokale Benutzergruppe.<\/p>\n

        \"4.<\/li>\n

      3. Als n\u00e4chster Schritt gehen wir zu VPN \u2192 Remote Access \u2192 Blade Control. <\/strong>Stellen Sie sicher, dass Ihr Blade aktiviert ist und der Verkehr von entfernten Benutzern erlaubt ist.\n

        \"4. <\/li>\n

      4. *Oben wurde die minimale Menge an Schritten aufgef\u00fchrt, um Remote Access einzurichten. Bevor wir jedoch die Verbindung testen, lassen Sie uns die zus\u00e4tzlichen Einstellungen untersuchen, indem wir zur Registerkarte wechseln VPN \u2192 Remote Access \u2192 Advanced <\/strong>\n

        \"4.
        \n<\/p>\n

        Basierend auf den aktuellen Einstellungen sehen wir, dass entfernte Benutzer beim Verbindungsaufbau eine IP-Adresse aus dem Netzwerk 172.16.11.0\/24 erhalten, dank der Option Office Mode. Dies reicht gro\u00dfz\u00fcgig aus, um 200 gleichzeitige Lizenzen zu nutzen (angegeben f\u00fcr 1590 NGFW Check Point). \n<\/p>\n

        <\/p>\n

        Option \u201eLeiten Sie den Internetverkehr von verbundenen Clients \u00fcber dieses Gateway\u201c<\/i> ist optional und verantwortlich f\u00fcr die Weiterleitung des gesamten Verkehrs von entfernten Benutzern \u00fcber das Gateway (einschlie\u00dflich Internetverbindungen). Dadurch kann der Benutzerverkehr inspiziert und seine Arbeitsstation vor verschiedenen Bedrohungen und Malware gesch\u00fctzt werden. \n<\/p>\n<\/li>\n

      5. *Arbeiten mit Zugriffspolitiken f\u00fcr Remote Access \n

        Nachdem wir Remote Access eingerichtet haben, wurde eine automatische Zugriffspolitik auf Firewall-Ebene erstellt. Um diese einzusehen, wechseln Sie zur Registerkarte: Access Policy \u2192 Firewall \u2192 Policy <\/strong><\/p>\n

        \n\"4.
        \n<\/p>\n

        In diesem Fall k\u00f6nnen die entfernten Benutzer, die zur zuvor erstellten Gruppe geh\u00f6ren, auf alle internen Ressourcen des Unternehmens zugreifen. Ich m\u00f6chte beachten, dass die Regel im allgemeinen Abschnitt liegt \u201eEingehender, interner und VPN-Verkehr\u201c<\/i>. Um den Verkehr von VPN-Benutzern ins Internet zu erlauben, muss eine separate Regel im allgemeinen Abschnitt \u201eAusgehender Zugriff auf das Internet<\/i>\u201d.<\/p>\n<\/li>\n

      6. \n

        Schlie\u00dflich m\u00fcssen wir sicherstellen, dass der Benutzer erfolgreich einen VPN-Tunnel zu unserem NGFW-Gateway erstellen kann und Zugriff auf die internen Ressourcen des Unternehmens erh\u00e4lt. Dazu muss der VPN-Client auf dem Test-Host installiert werden, zur Hilfe liegt bereit Link<\/a><\/noindex> zum Download. Nach der Installation muss das Standardverfahren zur Hinzuf\u00fcgung eines neuen Standorts durchgef\u00fchrt werden (der \u00f6ffentliche IP-Adresse Ihres Gateways wird angegeben). Zur Vereinfachung ist der Prozess als GIF dargestellt.<\/p>\n

        \n\"4.
        \n
        \nSobald die Verbindung hergestellt ist, \u00fcberpr\u00fcfen wir die erhaltene IP-Adresse auf dem Host-Rechner mit dem Befehl in CMD: ipconfig<\/i><\/p>\n

        \"4.
        \n<\/p>\n

        Wir haben festgestellt, dass der virtuelle Netzwerkadapter eine IP-Adresse im Office Mode unserer NGFW erhalten hat und die Pakete erfolgreich gesendet werden. Um abzuschlie\u00dfen, k\u00f6nnen wir zum Gaia Portal wechseln: VPN \u2192 Remotezugang \u2192 Verbundene externe Benutzer<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Der Benutzer \u201entuser\u201c wird als verbunden angezeigt, wir \u00fcberpr\u00fcfen die Ereignisprotokollierung, indem wir zu Protokolle & \u00dcberwachung \u2192 Sicherheitsprotokolle<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Die Verbindungsprotokollierung erfolgt, wobei die Quelle die IP-Adresse ist: 172.16.10.1 \u2014 dies ist die Adresse, die unser Benutzer \u00fcber den Office Mode erhalten hat. \n<\/p>\n

        <\/p>\n

        3. Unterst\u00fctzte Clients f\u00fcr den Remotezugang<\/h3>\n

        <\/p>\n

        Nachdem wir das Verfahren zur Einrichtung eines Remotezugangs zu Ihrem B\u00fcro mit der NGFW Check Point SMB-Serie betrachtet haben, m\u00f6chten wir die unterst\u00fctzten Clients f\u00fcr verschiedene Ger\u00e4te auflisten:<\/p>\n

        <\/p>\n