2. UserGate alustamine. Nõuded, paigaldamine

Tere, see on teine artikkel ettevõtte NGFW lahendustest UserGate. Antud artikli eesmärk on näidata, kuidas installida UserGate tulemüür virtuaalsesse süsteemi (kasutan virtualiseerimistarkvara VMware Workstation) ja teostada selle esialgne seadistamine (lubada kohaliku võrgu juurdepääsu läbi UserGate'i internetti).   

1. Sissejuhatus

Alustuseks kirjeldan erinevaid viise, kuidas see lüke võrku integreerida. Tahan märkida, et sõltuvalt valitud ühendusvõimalusest võivad mõned tulemüüri funktsioonid olla kättesaamatud. UserGate lahendus toetab järgmisi ühendusrežiime: 

• L3-L7 tulemüür

• L2 läbipaistev sild

• L3 läbipaistev sild

• Virtuaalselt katkestuses, kasutades WCCP protokolli

• Virtuaalselt katkestuses, kasutades Policy Based Routing

• Router on a Stick

• Selgelt määratud WEB-proksi

• UserGate, kui vaikimisi värav

• Mirror-porti jälgimine

UserGate toetab 2 tüüpi klastreid:

1. Konfiguratsioonikluster. Konfiguratsioonikliustrites ühendatud sõlmed toetavad ühtseid seadeid klastris.

2. Kliendile ei uhka genereerimise kluster. Kuni 4 kluster sõlme konfiguratsioon võib olla ühendatud kokku kluster nõrkuskluster, mis toetab tööd režiimis Aktiivne-Aktiivne või Aktiivne-Passiivne. Võimalik on kokku panna mitu nõrkuskluster.

2. Paigaldamine

Nagu eelnevas artiklis mainitud, tarnitakse UserGate kui tarkvara-hardware kompleks või paigaldatakse virtuaalsesse keskkonda. Isikliku konto kaudu veebisaidil UserGate laadige alla OVF (Open Virtualization Format) kujul olev pilt, mis sobib VMWare ja Oracle Virtualbox tootjatele. Microsoft Hyper-v ja KVM jaoks on saadaval virtuaalmasina ketaste pildid.

UserGate'i veebisaidi andmetel on virtuaalmasina nõuetekohaseks toimimiseks soovitatav kasutada vähemalt 8 Gb töömälu ja 2-tuuma virtuaalprotsessorit. Hüperezijaator peab toetama 64-bitiste opsüsteemide töötamist.

Installatsioon algab pildi impordist valitud hüperezijaatorisse (VirtualBox ja VMWare). Microsoft Hyper-v ja KVM puhul tuleb luua virtuaalne masin ja määrata allalaaditud pilt diskiks, millest pärast tuleb keelata integraatsiooniteenused loodud virtuaalse masina seadistustes.

Vaikimisi luuakse VMWare'is pärast importimist järgmiste seadetega virtuaalne masin:

Nagu eelnevalt mainitud, peab RAM-i olema vähemalt 8Gt ning lisaks tuleb iga 100 kasutaja kohta lisada 1Gt. Vaikimisi kõvaketta suurus on 100Gt, kuid seda on tavaliselt ebapiisavalt, et talletada kõiki logisid ja seadeid. Soovitatav suurus on 300Gt või rohkem. Seetõttu muudame virtuaalse masina omadustes ketta suurust vastavalt vajadusele. Alguses tarnitakse virtuaalne UserGate UTM nelja liidese ningotatud tsoonidega:

Management — virtuaalse masina esimene liides, tsoon, kuhu ühendatakse usaldusväärsed võrgud, millelt on lubatud UserGate'i haldamine.

Trusted — virtuaalse masina teine liides, tsoon usaldusväärsete võrgustike jaoks, näiteks LAN-võrgud.

Untrusted — virtuaalse masina kolmas liides, tsoon liidestele, mis on ühendatud mitteusaldusväärsete võrgudega, näiteks Internetiga.

DMZ — virtuaalse masina neljas liides, tsoon liidestele, mis on ühendatud DMZ võrguga.

Jätkame virtuaalse masina käivitamist, kuigi käsiraamatus on öeldud, et tuleb valida Support Tools ja teostada Factory reset UTM, kuid nagu näeme, on vaid üks valik (UTM First Boot). Sel ajal seadistab UTM võrgukaardid ja suurendab kettaosa mahtu kuni kogu kõvaketta suuruseni:

UserGate'i veebiliidesesse ühendamiseks tuleb minna Management tsooni, mida haldab eth0 liides, mis on seadistatud automaatse IP-aadressi saamiseks (DHCP). Kui Management liidesele ei ole võimalik automaatselt DHCP kaudu aadressi määrata, saab selle määrata ka käsurea (Command Line Interface) kaudu. Selleks tuleb sisse logida CLI-sse, kasutades täisadministratori õigustega kasutajanime ja parooli (vaikimisi Admin suure algustähega). Kui UserGate seade pole läbinud esialgset initsialiseerimist, tuleb CLI-sse sisenemiseks kasutada kasutajanime Admin ja paroolina utm. Seejärel tuleb sisestada käsk iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. Hiljem liigume UserGate'i veebikonsooli sellel adresseerimisel, mis peab välja nägema umbkaudu selline: https://UserGateIPaddress:8001:

Veebikonsolis jätkame installimist, kus peame valima liidese keele (praegu on saadaval vene või inglise keele variant), ajavööndi, seejärel loeme ja nõustume litsentsilepinguga. Seame sisse sisselogimise nime ja parooli veebihaldusliidesesse.

3. Seadistamine

Pärast installimist näeb veebihaldusliidese aken välja selline:

Seejärel on vajalik seadistada võrguliidesed. Selleks tuleb jaotises "Liidesed" need aktiveerida, määrata õiged IP-aadressid ja määrata vastavad tsoonid.

Jaotis "Liidesed" kuvab kõik füüsilised ja virtuaalsed liidesed, mis süsteemis olemas on, võimaldab muuta nende seadeid ja lisada VLAN-liideseid. Samuti kuvab see igas klastrihäringus olevat liidest. Liideste seaded on spetsiifilised iga väikese sõlme jaoks, st need ei ole globaalsete seadistuste osa.

Liidese omadustes:

• Lülita liides sisse või välja 

• Määra liidese tüüp — Layer 3 või Mirror

• Määra liidesele tsoon

• Määra Netflow profiil, et saata statistilisi andmeid Netflow kogumisse

• Muuda liidese füüsilisi parameetreid — MAC-aadress ja MTU suurus

• Vali IP-aadressi määramise tüüp — ilma aadressita, staatiline IP-aadress või DHCP kaudu saadud

• Konfigureeri DHCP-rääli töö valitud liidesel.

Nupp „Lisa” võimaldab lisada järgmisi loogiliste liideste tüüpide:

• VLAN

• Boonus

• Sild

• PPPoE

• VPN

• Tunnel

Lisaks ülaltoodud tsoonidele, millega koos Usergate’i pilt tarnitakse, on veel kolm eelmääratud tüüpi:

Cluster — tsoon liideste jaoks, mida kasutatakse klastrite tööks

VPN Site-to-Site jaoks — tsoon, kus asuvad kõik Ooffice-Ooffice tüüpi kliendid, kes ühendavad UserGate’i üle VPNi

VPN kaugjuurdepääsu jaoks — tsoon, kus asuvad kõik mobiilsed kasutajad, kes ühendavad UserGate’i üle VPNi

UserGate’i administraatorid saavad muuta vaikeseadistustega tsoonide seadeid ning luua täiendavaid tsoone, kuid nagu on öeldud versiooni 5 juhendis, saab luua mitte rohkem kui 15 tsooni. Tsoonide muutmiseks või loomiseks tuleb minna tsoonide jaotisse. Iga tsooni jaoks saab seada pakettide kõrvaldamise läve, toetatakse SYN, UDP, ICMP. Samuti seadistatakse juurdepääsukontroll Usergate'i teenustele ning aktiveeritakse spoofigute kaitse.

Pärast liideste seadistamist tuleb jaotises „Vaaluksed“ seadistada vaikimisi marsruut. See tähendab, et UserGate'i ühendamiseks Internetiga tuleb märkida ühe või mitme vaalu IP-aadress. Kui Interneti-ühendamiseks kasutatakse mitut teenusepakkujat, tuleb märkida mitu vaalu. Vaalu seadistus on igas klastrisõlmes unikaalne. Kui on määratud kaks või enam vaalu, on võimalikud kaks töövarianti:

1. Liiklusjaotus vaalde vahel.

2. Peamine vaal koos üleminemisega varu peale.

Vaalude olek (saadaval – roheline, mitte saadaval – punane) määratakse järgmiselt:

1. Võrgu kontrollimine on välja lülitatud – vaal loetakse saadaval, kui UserGate suudab saada selle MAC-aadressi ARP-päringu kaudu. Selle vaali kaudu Interneti-ühenduse kättesaadavuse kontrollimist ei tehta. Kui vaalu MAC-aadressi ei suudeta määrata, loetakse vaal mitte saadavaks.

2. Võrgu kontrollimine on sisse lülitatud – vaal loetakse saadaval, kui:

• UserGate suudab saada selle MAC-aadressi ARP-päringu kaudu.

• Internetisse pääsemise kontrollimine selle vaalu kaudu on olnud edukas.

Vastasel juhul loetakse vaal mitte saadavaks.

Jaotises «DNS» tuleb lisada DNS-serverid, mida UserGate kasutab. See seadistus on märgitud jaotises Süsteemi DNS-serverid. Allpool on seaded kasutajate DNS-päringute haldamiseks. UserGate võimaldab kasutada DNS-proksit. DNS-proksi teenus võimaldab tabada kasutajate DNS-päringuid ja neid muuta administraatori vajaduste kohaselt. DNS-proksi reeglite abil on võimalik määrata DNS-serverid, kuhu teatud domeenide päringud suunatakse. Lisaks sellele saab DNS-proksi kaudu määrata staatilisi host-kirjeid (A-kirjed).

Jaotises „NAT ja suunamine” tuleb luua vajalikud NAT-reeglid. Usaldusväärse võrgu kasutajate interneti juurdepääsuks on NAT-reegel juba loodud — „Usaldusväärne → Usaldusväärne”, seda tuleb ainult aktiveerida. Reeglid kehtivad ükshaaval, selles järjekorras, nagu need konsoolis on esitatud. Täidetakse ainult esimest reeglit, mille tingimused on täidetud. Et reegel aktiveeruks, peavad olema täidetud kõik tingimused, mis on reegli parameetrites märgitud. UserGate soovitab luua üldisi NAT-reegleid, näiteks NAT-reegel lokatsioonivõrgust (tavaliselt usaldusväärne tsoon) internetti (tavaliselt usaldusväärne tsoon), samal ajal kui juurdepääsu piiramine kasutajate, teenuste ja rakenduste järgi toimub firewalli reeglite kaudu.

Samuti on võimalik luua DNAT-reegleid, portide edastamist, poliitikat suunavat suunamist ja võrgu kaardistamist.

Pärast seda tuleb jaotises "Tulay" luua tulekahju reeglid. Piiramatu interneti juurdepääsu saamiseks Trusted võrgustiku kasutajatele on tulekahju reegel juba loodud — "Internet for Trusted" — ja see tuleb sisse lülitada. Tulekahju reeglite abil saab mees õigustada või keelata igasuguseid üleviimisi võrgu liiklust, mis liigub läbi UserGate'i. Reeglite tingimustena võivad olla tsoonid ja allika/sihipunkti IP-aadressid, kasutajad ja rühmad, teenused ja rakendused. Reeglid kehtivad samuti nagu jaotises "NAT ja Marsruudi", s.t. ülalt alla. Kui ühtegi reeglit pole loodud, on iga ülekanne UserGate'i kaudu keelatud.

4. Kokkuvõte

Selle artikli lõpetamiseks oleme paigaldanud UserGate tulekahju virtuaalmasinale ja teinud vähemalt vajalikud seadistused, et internet Trusted võrgus töötaks. Edasisi seadistusi käsitleme järgmistes artiklites.

Jälgige meie uuendusi kanalites (Telegram, Facebook, VK, TS Solution Blog)!

Allikas: habr.com