2. NGFW väikeettevõtetele. Lahtivõtmine ja seadistamine

Jätkame artiklite sarja uue SMB CheckPoint mudelivaliku kohta, meenutame, et esimeses osas oleme kirjeldanud uute mudelite omadusi ja võimalusi, juhtimis- ja haldamismeetodeid. Täna vaatleme suurema mudeli seeriast: CheckPoint 1590 NGFW. Esitame lühikese ülevaate sellest osast:

1. Seadme lahti pakkimine (komponentide kirjeldus, füüsiline ja võrguühendus).
2. Seadme esialgne aktiveerimine.
3. Esialgne konfigureerimine.
4. Töökindluse hindamine.

Seadme lahti pakkimine

Seadmest tutvumine algab seadme välja võtmisest karbist, komponentide lahti võtmisest ja detailide paigaldamisest, klõpsake spoileril, kus on lühidalt tutvustatud protsessi

NGFW 1590 tarnimine

Lühidalt komponentidest:

• NGFW 1590;
• Toiteadapter;
• 2 Wifi-antennid (2.4 GHz ja 5 GHz);
• 2 LTE-antennid;
• Brošüürid dokumentatsiooniga (lühike juhend esialgseks ühendamiseks, litsentsileping jne.)

Mis puutub võrguportidesse ja liidestesse, siis siin on kõik kaasaegsed võimalused liikluse edastamiseks ja suhtlemiseks, eraldi on välja toodud DMZ-ala port, USB 3.0 arvuti sünkroniseerimiseks.

Mudel 1590 on saanud uuendatud disaini, kaasaegsed valikud traadita ühendamiseks ja mälu laiendamiseks: 2 pesa Micro/Nano SIMi jaoks LTE režiimis. (sellest võimalusest plaanime üksikasjalikult kirjutada ühes järgnevates artiklites, mis on pühendatud traadita ühendustele); SD-kaardi pesa.

1590 NGFW võimaluste ja teiste uute mudelite kohta saate lugeda 1. osa SMB CheckPoint lahenduste artiklite sarjast. Alustame seadme esialgse aktiveerimisega.

Esialgne aktiveerimine

Meie pidevad lugejad peaksid juba olema kursis, et 1500 seeria SMB mudelitel on uus operatsioonisüsteem 80.20 Embedded, mis sisaldab uuendatud liidest ja täiustatud võimalusi.

Et alustada seadme aktiveerimist, on vajalik:

1. Tagada toide värava jaoks.
2. Ühendada võrgujuhe teie arvutist LAN-1 väravas.
3. Valikuliselt saab seadmele kohe internetiühenduse tagamiseks ühendada liidese WAN-porti.
4. Liigutage Gaia Embedded portaali: https://192.168.1.1:4434/

Kui eelnevalt nimetatud sammud on tehtud, peate Gaia portaali lehele minnes kinnitama, et avate lehe usaldamata sertifikaadiga, pärast mida käivitub portaali seadistuste wizard:

Teid tervitab leht, kus on näidatud teie seadme mudel, peate minema järgmisse sektsiooni:

Küsimus on konto loomises, et autentida, samuti on võimalus täpsustada kõrged paroolinõuded administraatorile ja märkida riik, kus plaanite värava kasutada.

Järgmine aken käsitleb kuupäeva ja kellaaja seadistusi, on võimalik seada need käsitsi või kasutada ettevõtte NTP-serverit.

Järgmine samm on seadme nime määramine ja ettevõtte domeeni määramine värava teenuste korrektseks toimimiseks Internetis.

Järgmine samm käsitleb NGFW halduse liigi valimist, siin on oluline märkida:

1. Kohalik haldus. See on saadaval variant lokaalseks haldamiseks Gaia Portaali veebilehe kaudu.
2. Tsentraalse halduse. See halduse liik hõlmab sünkroniseerimist pühendatud CheckPoint haldusserveriga, sünkroniseerimist Smart1-Cloud'i või SMP (SMB haldusteenus) abil.

Käesolevas artiklis keskendume Kohaliku halduse meetodile, saate valida vajaliku meetodi. Pühendatud haldusserveriga sünkroniseerimise protsessi tundmaõppimiseks pakume link CheckPoint Getting Started koolitusprogrammist, mille on koostanud TS Solution.

Seejärel kuvatakse aken, kus määratakse värava liideste töörežiim:

• Switch režiim tähendab, et alamvõrk on kergesti ligipääsetav ühelt liidese juurest teise.
• Disable Switch režiim deaktiveerib Switch režiimi, iga port marsruutib liiklust nagu eraldi võrgu fragment.

Samuti on soovitatav määrata DHCP aadresside ala, mida kasutatakse värava kohalike liidestega ühendamisel.

Järgmine samm on värava seadistamine juhtmevaba režiimi tööks, plaanime seda aspekti põhjalikumalt käsitleda ühes artiklis, seetõttu oleme seadistused edasi lükanud. Te võite luua uue juhtmevaba pääsupunkti, määrata parooli ja valida juhtmevaba kanali töörežiimi (2.4 GHz või 5 GHz).

Järgmine samm pakub välja juurdepääsu konfiguratsiooni ettevõtte administraatoritele. Vaikimisi on juurdepääsuõigused lubatud, kui ühendus toimub järgmistelt:

1. Ettevõtte sisemine alamvõrk
2. Usaldusväärne traadita võrk
3. VPN tunnel

Valik juurdepääsuks väravale Interneti kaudu on vaikimisi keelatud, see toob kaasa suuri riske ja selle lubamiseks peab olema mõjuv põhjus, vastasel juhul soovitame jätta nagu meie näites. Samuti on võimalus määrata, millised IP-aadressid saavad ühendust väravaga.

Järgmine aken käsitleb litsentside aktiveerimist, seadme esialgse algatamise ajal esitatakse teile 30-päevane prooviperiood. Aktiveerimiseks on saadaval kaks meetodit:

1. Kui on olemas Interneti-ühendus, aktiveeritakse litsents automaatselt.
2. Kui aktiveerite litsentsi offline, tuleb teha järgmist: laadige litsents alla UserCenterist, registreerige oma seade spetsiaalses portaalis. Edasi mõlemas juhus, peate käsitsi importima alla laaditud litsentsi.

Lõpuks pakub seadistuste wizard viimases aknas valikute lubamiseks blade'id, märkides, et blade QOS lubatakse ainult pärast esialgset algatamist. Lõpetuseks peaksite saama lõpetamise akna, mis summeerib teie seade.

Esialgne seadistus

Esmalt soovitame kontrollida litsentside seisundit, sellest sõltub edasine seadistamine. Liikuge vahekaardile “KODU” → “Litsents”:

Kui litsentsid on aktiveeritud, soovitame kohe värskendada uusimale versioonile, selleks liikuge vahekaardile “SEADE” → “Süsteemi toimingud”:

Süsteemi värskendused asuvad Firmware Upgrade punktis. Meie puhul on installitud uusim ja viimane versioon.

Järgmine soovin lühidalt selgitada süsteemi blade'ide võimalusi ja seadistusi. Loogiliselt võib jagada juurdepääsu poliitikateks (Firewall, Rakenduse kontroll, URL filtreerimine) ja Ohu ennetamine (IPS, Viirusetõrje, Anti-Bot, Ohu simuleerimine).

Liigume vahekaardile Juurdepääsu poliitika → Blade Control:

Vaikimisi kasutatakse STANDARD režiimi, mis lubab: väljaminev liiklus Internetti, liiklus kohalikus võrgus, kuid blokib sissetuleva liikluse Internetist.

Mis osas bлейдов APPLICATIONS & URL FILTERING, siis on vaikimisi seadistatud kõrge riskitasemega veebisaitide blokeerimine, samuti failivahetusprogrammide (Torrent, File Storage jne) blokeerimine. Samuti on võimalik käsitsi blokkeerida veebisaite kategooriate alusel.

Tuletame meelde valikut kasutajate liikluse jaoks 'Limit bandwidth consuming applications', mis võimaldab piirata väljamineva/sisse tuleva liikluse kiirus grupi rakenduste jaoks.

Edasi avame jaotise Policy, kus vaikimisi reeglid on automaatselt genereeritud vastavalt eelnevalt kirjeldatud seadistustele.

Jaotis NAT töötab vaikimisi režiimis Global Hide Nat Automatic, st kõik sisemised hostid saavad Internetti pääseda avaliku IP-aadressiga. On võimalus seadistada NAT reeglid käsitsi, et avaldada teie veebirakendusi või teenuseid.

Edasi jaotis, mis käsitleb kasutajate autentimist võrgus, pakub kahte võimalust: Active Directory Queries (integreerimine teie AD-ga), Browser-Based-Authentication (kasutaja sisestab domeeni mandaadid portaalis).

Eraldi tasub rääkida SSL-inspektsioonist, kuna HTTPS-liiklus osakaal globaalses võrgus kasvab aktiivselt. Vaatame, milliseid võimalusi pakub CheckPoint SMB-lahenduste jaoks, selleks liikuda jaotisse SSL-Inspection → Policy:

Seadetes on võimalik auditeerida HTTPS-liiklust, tuleb impordida sertifikaat ja installida see usaldusväärsete sertifikaatide keskusse lõppkasutaja masinates.

Mugav valik on BYPASS režiim eelnevalt määratud kategooriate jaoks, mis säästab oluliselt aega inspektsiooni sisselülitamisel.

Pärast reeglite seadistamist Firewall/Application tasemel peaks liikuma turvapoliitikate häälestamise juurde (Threat Prevention), selleks siseneme vastavasse jaotisse:

Avatud lehel näeme aktiveeritud bлейde, allkirjade ja andmebaaside uuenduste olekuid. Samuti pakutakse valida profiil võrgu perimeetri kaitseks, kuvatakse vastavad seadistused.

Erinev jaotis 'IPS Protections' võimaldab konfigureerida tegevust kindla turvaallkirja suhtes.

Hiljuti kirjutasime oma blogis globaalsetest haavatavustest Windows Serveri jaoks — SigRed. Kontrollime selle olemasolu Gaia Embedded 80.20-s, viies sisse päringu 'CVE-2020-1350'

Antud signatuuri kohta on avastatud kirje, millele saab rakendada üht tegevust. (vaikimisi Prevent kriitilise ohu taseme jaoks). Vastavalt SMB lahendusega ei jääte ilma värskendustest ja toest, see on täisväärtuslik NGFW lahendus filiaalide jaoks kuni 200 inimesele CheckPointilt.

Töötavuse hindamine

Artikli lõpetuseks tahaksin märkida, et pärast algse seadistamise ja konfigureerimise etappe on olemas tööriistad probleemide tõrkeotsimiseks SMB lahendustes. Saate minna sektsiooni “HOME” → “Tools”. Saadaval olevad valikud:

• süsteemiressursside jälgimine;
• suunamisdiagramm;
• CheckPointi pilveteenuste kättesaadavuse kontrollimine;
• CPinfo genereerimine;

Samuti on saadaval sisseehitatud võrgu käsud: Ping, Traceroute, Traffic Capture.

Nii oleme täna vaadanud ja uurinud NGFW 1590 esmast ühendamist ja seadistamist, sarnaseid toiminguid teete kogu 1500 SMB Checkpoint seeria puhul. Saadavad valikud näitasid meile kõrget varieeruvust seadeteks, toetades kaasaegseid liiklust kaitsemeetodeid võrgu perimeetril.

Praeguseks on CheckPointi lahendused väikeste kontorite ja filiaalide kaitseks (kuni 200 inimest) varustatud laia valiku vahenditega ning kasutavad kõige uuemaid tehnoloogiaid (pilvepõhine haldamine, SIM-kaartide tugi, mälumahu laiendamine SD-kaartide abil jne). Jätkake meiega ja lugedes TS Solution artikleid, plaanime jätkuvalt välja anda osasid NGFW CheckPoint SMB perest, kohtumiseni!

Suur kogumik materjale Check Pointi kohta TS Solutionilt. Jälgige uuendusi (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Allikas: habr.com