3. UserGate alustamine. Võrgu poliitikad

Tere tulemast lugema artiklite seeriat UserGate Getting Started, kus räägitakse ettevõtte NGFW lahendusest. UserGateEelmises artiklis käsitleti tulemüüri paigaldamise protsessi ja selle esialgset seadistamist. Nüüd vaatleme lähemalt reeglite loomist sellistes osades nagu "Tulemüür", "NAT ja suunamine" ning "Läbilaskevõime."

UserGate'i reeglite töö ideoloogia põhineb reeglite täitmisel üksteise kohal, kuni esimesele aktiveerunud reeglile. Eeltoodust lähtuvalt järeldub, et spetsiifilisemad reeglid peaksid olema üldistest reeglitest kõrgemal. Siiski tuleks märkida, et kuna reegleid kontrollitakse järjestuses, on jõudluse aspektist parem luua üldisi reegleid. Igasuguste reeglite loomise tingimused rakendatakse "JA" loogika kohaselt. Kui on vajalik kasutada "VÕI" loogikat, saavutatakse see mitme reegli loomisega. Seega on artiklis kirjeldatud põhimõtted rakendatavad ka teistele UserGate'i poliitikatele.

Tulekahju seina

UserGate'i paigaldamise järel on jaotises "Tulekahju seinale" juba olemas lihtne poliitika. Esimesed kaks reeglit keelavad liikluse botivõrkude jaoks. Edasi tuleb näiteid pääsureeglitest erinevates tsoonides. Viimast reeglit nimetatakse alati „Blokeeri kõik“ ja see on tähistatud luku sümboliga (see tähendab, et reeglit ei saa kustutada, muuta, ümber paigutada ega keelata, selle ainus võimalus on lubada logimise valik). Seega blokeerib see reegel kogu selgelt lubamatu liikluse. Kui on vaja lubada kogu liiklus UserGate'i kaudu (kuigi seda ei soovitata), saab alati luua eelviimase reegli „Luba kõik“.

Tulekahju seina reegli redigeerimise või loomise ajal on esimene vahekaart "Üldine", millel tuleb teha järgmised toimingud: 

• Märkeruuduga "Käivita" lubada või keelata reegel.

• sisestada reegli nimi.

• määrata reegli kirjeldus.

• valida kahe tegevuse hulgast:

  • Keela — blokeerib liikluse (antud tingimuse seadmisel on võimalus saata ICMP host unreachable, piisab, kui lihtsalt jätate vastava märkeruudu märgitud).

  • Lubama — lubab tükeldatud andmepakettide liikumist.

• Skenaaria element — võimaldab valida stsenaariumi, mis on reegli aktiveerimise täiendav tingimus. Nii rakendab UserGate SOAR (Security Orchestration, Automation and Response) kontseptsiooni.

• Logimine — salvestab reegli aktiveerimise hetkel teabe liiklustest.

  • Logida sessiooni algust. Sellisel juhul salvestatakse liikluslogisse ainult sessiooni alguse teave (esimene paket). See on soovituslik logimise variant.

  • Logida iga paketti. Sellisel juhul salvestatakse teave iga edastatava võrgu paketi kohta. Selle režiimi puhul on soovitatav logimise piirmäära aktiveerimine, et vältida seadme ülemäärast koormust.

• Rakenda reegel:

  • Kõikidele pakettidele

  • tükeldatud pakettidele

  • tükeldamata pakettidele

• Uue reegli loomisel on võimalik valida koht poliitikas.

Järgmine vahekaart "Allikas". Siin määrame liiklusallika, see võib olla ala, kust liiklus tuleb, või võime määrata nimekirja või konkreetse IP-aadressi (Geoip). Peaaegu kõigis reeglites, mida seadmes seadistada saab, on objekt, mille saab reeglist luua, näiteks ei pea minema sektsiooni "Alad", vaid saab nuppu "Loo ja lisa uus objekt" kasutades luua vajaliku ala. Samuti on sageli leida checkbox "Invertida", mis muudab reegli tingimuse tegevuse vastupidiseks, mis on sarnane loogilise tegevuse eitamisega. Vahekaart «Määramine» on sarnane allika vahekaardile, kuid liikluse allika asemel määrame liikluse sihtkoha. Vahekaart «Kasutajad» — siin on võimalik lisada kasutajate või rühmade nimekiri, kellele seda reeglit rakendatakse. Vahekaart «Teenused» — valime teenuse tüübi juba ette määratletud valikute seast või saame määrata omaenda. Vahekaart «Rakendus» — siin valitakse konkreetsed rakendused või rakenduste grupid. Ja vahekaart «Aeg» määra aeg, millal see reegel kehtib. 

Eelmise tunni järgi on meil reegel internetiühenduse loomiseks tsoonist “Trust”, nüüd näitan näitena, kuidas luua keelav reegel ICMP liikluse jaoks tsoonist “Trust” tsooni “Untrusted”.

Alustuseks loome reegli, klikkides nupule “Lisa”. Avanevas aknas vahekaardil Üldine täidame nime (Keelatud ICMP trusted’ist untrusted’isse), märgime linnukese kastikeses “Käivitada”, valime tegevuseks keelata ja mis kõige tähtsam, valime õigesti selle reegli asukoha. Vastavalt minu poliitikale peab see reegel olema kõrgemal reeglist “Luba trusted’ist untrusted’isse”:

Vahekaardil “Allikas” on minu ülesande jaoks võimalik kaks varianti:

• Valides tsooni “Trusted”

• Valides kõik tsoonid välja arvatud “Trusted” ja märkides linnukese kastikeses “Pöörata ümber”

Vahekaart “Sihtkoht” seadistatakse analoogselt vahekaartiga “Allikas”.

Järgmisena liigume vahekaardile “Teenused”, kuna UserGate'is on ICMP liiklusele eelmääratud teenus, siis klikates nuppu «Lisa» valime pakutud loendist teenuse nimega “Any ICMP”:

Võib-olla soovisid UserGate'i arendajad just seda, kuid ma suudsin luua mitu täiesti sarnast reeglit. Kuigi loetelu pealt töötab ainult esimene reegel, võib erinevate funktsioonide, kuid sarnaste nimedega reeglite loomine tekitada segadust, kui mitmed administraatorid töötlust teevad.

NAT ja marsruutimine

NAT reeglite loomisel näeme mitmeid sarnaseid vahekaartide, nagu ka tulemüüris. „Üldine“ vahekaardil on ilmnenud väli „Tüüp“, mis võimaldab valida, mille eest see reegel vastutab:

• NAT — Võrguaadresside tõlkimine.

• DNAT — Suunab liikluse määratud IP-aadressile.

• Portide forwardimine — Suunab liikluse määratud IP-aadressile, kuid võimaldab muuta avaliku teenuse pordi numbrit

• Poliitikapõhine marsruutimine — Lubab marsruutida IP-pakette põhjaliku teabe alusel, näiteks teenuste, MAC-aadresside või serverite (IP-aadresside) põhjal.

• Võrgu kaardistamine — Lubab asendada ühe võrgu lähte- või sihtaadressid teise võrgu aadressidega.

Pärast vastava tüübi valimist on reegli seadistamine saadaval.

SNAT IP (väline aadress) väljale kirjeldame selgelt IP-aadressi, millele allika aadress asendatakse. See väli on vajalik, kui sihtmärgi liidestele on määratud mitu IP-aadressi. Kui see väli jätta tühjaks, kasutab süsteem suvalist aadressi kergesti saadaolevate IP-aadresside loendist, mis on määratud sihtmärgi liideste jaoks. UserGate soovitab SNAT IP-t määrata tulemüüride töö tõhususe suurendamiseks.

Näiteks avaldan SSH-teenuse Windows-serveri kohta, mis asub "DMZ" tsoonis, kasutades "port edastamise" reeglit. Selleks vajutame nuppu "Lisa" ja täidame "Üldine" vahekaart, määrates reegli nimeks "SSH to Windows" ja tüübiks "Port edastamine":

Vahe “Allikas” valime tsooni “Usaldamatu” ja liigume “Portide edastamine” vahelehele. Siin peame määrama protokolli “TCP” (saadaval on neli varianti — TCP, UDP, SMTP, SMTPS). Algne siport 9922 — see on see port, kuhu kasutajad saadavad päringud (ei tohi kasutada porte: 2200, 8001, 4369, 9000-9100). Uus siport (22) — see on see port, kuhu kasutajate päringud suunatakse sisemisele, avalikustatud serverile.

Vahe “DNAT” määrame IP-aadressi arvutile kohalikus võrgus, mis on avaldatud internetis (192.168.3.2). Ja soovi korral saab lubada SNAT’i, siis UserGate muudab välise võrgu paketid päritolu aadressi oma IP-aadressiks.

Kõikide seadete järel saadakse reegel, mis võimaldab pääseda “Usaldamatu” tsoonist serverile IP-aadressiga 192.168.3.2 SSH-protokolli kaudu, kasutades ühendamisel UserGate'i väliseid aadresse.

Läbivool

Selles jaotises määratakse reeglid, mida kasutatakse ribalaiuse haldamiseks. Need võivad olla kasutajate, hostide, teenuste ja rakenduste ribalaiuse piiramiseks.

Reeglite loomisel määratleme vahekaartidel trafik, millele piirangud kehtivad. Laiuse valik on võimalik valida esitatud valikutest või määrata oma. Laiuse loomisel saab määrata trafik prioritiseerimise sildi DSCP. Näide DSCP siltide kasutamisest: kui reeglisse on määratud stsenaarium, siis võib see reegel automaatselt neid silte muuta. Veel üks stsenaariumi töö näide: reegel töötab kasutaja jaoks ainult siis, kui tuvastatakse torrent või kui trafik ületab määratud piiri. Ülejäänud vahekaardid täidame samuti nagu teistes poliitikates, tuginedes trafik tüübile, millele reegel peaks kehtima.

Kokkuvõte

Selles artiklis käsitlesin reeglite loomist jaotustes "Tulekahju seina", "NAT ja marsruutimine" ning "Laius". Ja artikli alguses kirjeldasin UserGate poliitikate loomise reegleid ning reeglite loomise tingimuste tööpõhimõtteid. 

Jälgige meie uuendusi kanalites (Telegram, Facebook, VK, TS Solution Blog)!

Allikas: habr.com