3. UserGate alustamine. Võrgu poliitikad

Tere tulemast UserGate alustamise artiklite kolmandasse artiklisse, kus räägitakse ettevõtte NGFW lahendusest. UserGateEelmises artiklis kirjeldati tulemüüripaigaldamise protsessi ja tehti selle algne seadistamine. Nüüd vaatleme lähemalt reeglite loomist jaotistes nagu “Tulemüür”, “NAT ja marsruutimine” ning “Läbilaskevõime”.

UserGate reeglite tööideoloogia on selline, et reeglid täidetakse ülalt alla kuni esimese aktiveerimise korral. Sellest tuleneb, et spetsiifilisemad reeglid peaksid olema üle üldisemate reeglite. Kuid tuleb märkida, et kuna reeglid kontrollitakse järjest, on tootlikkuse osas parem luua üldised reeglid. Kõikide reeglite loomisel rakendatakse tingimusi loogika “JA” alusel. Kui on vajalik kasutada loogikat “VÕI”, saavutatakse see, luues mitu reeglit. Seega kehtib selles artiklis kirjeldatud ka teistele UserGate poliitikatele.

Tulemüür

UserGate'i paigaldamise järel on jaotises “Tulemüür” juba olemas lihtne poliitika. Esimesed kaks reeglit keelavad liikluse botnetide jaoks. Järgnev on näidis erinevate tsoonide juurdepääsureeglitest. Viimane reegel on alati nimetatud “Luba kõik” ja märgistatud lukusümboliga (mis tähendab, et reeglit ei saa kustutada, muuta, ümber paigutada, keelata, vaid seda saab ainult ajakirjastada). Seega blokeerib see reegel kogu selgelt mitte lubatud liikluse. Kui on vaja lubada kogu liiklus UserGate'i kaudu (kuigi seda ei soovitata), saab alati luua eelviimase reegli “Luba kõik”.

Reegli redigeerimisel või loomisel tulemüüri jaoks on esimene vahekaart “Üldine”, kus tuleb teha järgmised toimingud: 

• Tšeki kast “Käivitamine” lubab või keelab reegli.

• sisestage reegli nimi.

• määrake reegli kirjeldus.

• valige kahte tegevust:

  • Keelata — blokeerib liikluse (selle tingimuse seadmisel on võimalus saata ICMP host unreachable, selleks tuleb lihtsalt aktiveerida vastav märkeruut).

  • Lubada — lubab liikluse.

• Skenaarioni valik — võimaldab valida skenaarioni, mis on reegli aktiveerimiseks täiendav tingimus. Nii rakendab ettevõte UserGate SOAR (Security Orchestration, Automation and Response) kontseptsiooni.

• Logimine — salvestada logisse teavet liikluse kohta reegli aktiveerimise korral. Saadaval on järgmised valikud:

  • Logi seansi algus. Sel juhul salvestatakse liikluselogi ainult teave seansi alguse kohta (esimene pakett). See on soovitatav logimise valik.

  • Logi iga pakett. Sel juhul salvestatakse teave iga edastatava võrgu paketi kohta. Selle režiimi puhul on soovitatav sisse lülitada logimise limiit, et vältida seadme kõrget koormust.

• Rakenda reegel:

  • Kõikidele pakettidele

  • fraktsioonilistele pakettidele

  • mittefraktsioonilistele pakettidele

• Uue reegli loomisel saab valida koha poliitikas.

Edasi vahekaart "Allikas". Siin määrame liikluse allika, mis võib olla tsoon, kust liiklus pärineb, või võib määrata nimekirja või konkreetse IP-aadressi (Geoip). Praktikas võib kõiki seadmes määratavaid reegleid luua objekti, näiteks ei pea minema jaossa "Tsoonid", saab nupuga "Loo ja lisa uus objekt" luua vajaliku tsooni. Samuti esineb sageli märkeruut "Pööra ümber", mis muudab reegli tingimuse vastupidiseks, mis on sarnane loogilisele toimingule eitamine. Vahekaart "Sihtkoht" on sarnane allika vahekaardile, ainult et allika asemel määrame liikluse sihtkoha. Vahekaart "Kasutajad" — siin saab lisada nimekirja kasutajatest või rühmadest, kellele reegel kehtib. Vahekaart "Teenused" — valime teenuse tüübi juba eelnevalt määratletud hulgast või saame määrata omaette teenuse. Vahekaart "Rakendus" — siin valitakse konkreetsed rakendused või rakenduste rühmad. Ja vahekaart "Aeg" määra aeg, millal reegel on aktiivne. 

Eelmise õppetunni põhjal on meil reegel, mis võimaldab internetiühendust tsoonist "Trust"; nüüd näitan näitena, kuidas luua keelav reegel ICMP-liikluse jaoks tsoonist "Trust" tsooni "Untrusted".

Esmaltame loome reegli, klõpsates nuppu „Lisa“. Avanevas aknas vahekaardil „Üldine“ täidame nime (ICMP keeld trusted-st untrusted-isse), paneme linnukese kasti „Käivita“, valime toimingu keelduda ja kõige tähtsam - valime õigesti reegli asukoha. Minu poliitika kohaselt peaks see reegel asuma kõrgemal reeglist „Luba trusted-st untrusted-isse“:

Vahekaardil „Allikas“ on minu ülesande jaoks võimalik kaks varianti:

• Valides tsooni „Trusted“

• Valides kõik tsoonid, välja arvatud „Trusted“, ja pannes linnukese kasti „Pöörata ümber“

Vahekaart „Sihtkoht“ seadistatakse analoogselt vahekaardile „Allikas“.

Seejärel liikume vahekaardile „Teenused“, kuna UserGate'is on ICMP liikluse jaoks ette antud teenus, klõpsates nuppu „Lisa“, valime pakutud nimekirjast teenuse nimega „Any ICMP“:

Võib-olla oli UserGate'i loojate eesmärk see, aga mul õnnestus luua mitu täiesti sarnast reeglit. Kuigi loogitakse vaid esimest reeglit loendis, võivad erineva funktsionaalsusega sarnase nimega reeglite loomise võimalused minu arvates tekitada segadust, kui mitmed administraatorid töötlust teevad.

NAT ja marsruutimine

NAT reeglite loomisel näeme mitmeid sarnaseid vahekaarte, nagu ka tulemüüris. Vahekaardil „Üldine“ on tekinud väli „Tüüp“, mis võimaldab valida, mille eest see reegel vastutab:

• NAT - Võrgu aadressi teisendamine.

• DNAT - Suunab liikluse määratud IP-aadressile.

• Portide edastamine - Suunab liikluse määratud IP-aadressile, kuid võimaldab muuta avaliku teenuse portaali numbrit.

• Poliitikapõhine marsruutimine - Lubab IP-paketid marsruutida tuginedes laiendatud teabele, näiteks teenustele, MAC-aadressidele või serveritele (IP-aadressidele).

• Võrgu kaardistamine - Vaatab allika või sihtvõrgu IP-aadresse ning asendab need teise võrgu IP-aadressidega.

Pärast vastava tüübi valimist on seadistused sellele reeglile saadaval.

SNAT IP (välisadresse) väljale märkime selgelt IP-aadressi, millele allika aadress asendatakse. Seda välja on vajalik kasutada, kui sihtala liidesele on määratud mitu IP-aadressi. Kui see väli jätta tühjaks, kasutab süsteem juhuslikku aadressi loendist, mis on määratud sihtala liidesele. UserGate soovitab SNAT IP-d määrata, et suurendada tulemüüriga töötamise tõhusust.

Näiteks avaldan Windows serveri SSH teenuse, mis asub 'DMZ' tsoonis, 'port-forwarding' reegli abil. Selleks vajutame nuppu 'Lisa' ja täidame vahekaart 'Üldine', määrates reegli nimeks 'SSH to Windows' ja tüübiks 'Port-forwarding':

Vahekaart 'Allikas' valime tsooni 'Untrusted' ja liigume vahekaardile 'Port-forwarding'. Siin peame määrama protokolliks 'TCP' (saadaval on neli võimalust — TCP, UDP, SMTP, SMTPS). Originaalne sihtport 9922 — port, millele kasutajad saadavad päringuid (ei tohi kasutada porte: 2200, 8001, 4369, 9000-9100). Uus sihtport (22) — port, kuhu kasutajate päringud edastatakse sisemisele avaldatud serverile.

Vahekaardil 'DNAT' määrame kohalikus võrgus olevale arvutile IP-aadressi, mida avaldatakse internetis (192.168.3.2). Ja valikuliselt saab sisse lülitada SNAT, siis UserGate muudab välisvõrgust tulevate pakettide allika aadressi oma IP-aadressiks.

Pärast kõiki seadeid on reegel, mis võimaldab saada juurdepääsu tsoonist 'Untrusted' serverile IP-aadressiga 192.168.3.2 SSH protokolli kaudu, kasutades ühendust luues UserGate'i välist aadressi.

Läbivusvõime

Selles jaotises määratletakse reeglid, mis reguleerivad läbivusvõimet. Neid saab kasutada teatud kasutajate, hostide, teenuste, rakenduste kanali piiramiseks.

Reeglite seadmisel määrame vahekaartidel liikluse tingimused, millega piirangud kehtivad. Laius võib olla valitud pakutud seast või määrata oma. Laiuse seadmisel saab määrata liikluse prioriseerimise sildi DSCP. Näide DSCP siltide rakendamise kohta: määrates reegli stsenaariumi, millega antud reegel kehtib, võib antud reegel automaatselt neid silte muuta. Teine näide stsenaariumi toimimisest: reegel kehtib kasutajale ainult siis, kui avastatakse torrent või liiklus ületab määratud piiri. Teised vahekaardid täidame samuti nagu muudes poliitikates, lähtudes liikluse tüübist, millele reegel peab kehtima.

Kokkuvõte

Selles artiklis vaatasin reeglite loomist sektsioonides "Tulemüür", "NAT ja marsruutimine" ning "Läbivool". Ja artikli alguses kirjeldasin UserGate poliitikate loomise reegleid ning ka tingimuste toimimise põhimõtteid reegli loomisel. 

Jälgige meie kanaleid (Telegram, Facebook, VK, TS Solution Blog)!

Allikas: habr.com