4. NGFW väikestele ettevõtetele. VPN

Jätkame meie artiklite seeriat NGFW väikesele äritegevusele, meenutades, et vaatleme uut 1500 seeria mudelite valikut. 1. osa seeriast mainisin ühte kasulikku võimalust SMB seadme ostmisel - seadmete tarnimine koos sisseehitatud Mobile Access litsentsidega (alates 100 kuni 200 kasutajat, olenevalt mudelist). Käesolevas artiklis käsitleme 1500 seeria seadmete VPN-i seadistamist, mis tulevad koos eelinstallitud Gaia 80.20 Embedded'iga. Siin on lühike kokkuvõte:

1. VPN-i võimalused SMB-le.
2. Kaugtöötamise korraldamine väikesele büroole.
3. Saadaval olevad kliendid ühendamiseks.

1. VPN-i võimalused SMB-le

Täna käesoleva materjali ettevalmistamiseks on kasutatud ametlikku administratori juhendit versioonile R80.20.05 (artikli avaldamise ajal - aktuaalne). Vastavalt sellele toetab Gaia 80.20 Embedded VPN-i osas:

1. Site-To-Site. VPN-tunnelite loomine teie kontorite vahel, kus kasutajad saavad töötada nagu ühes 'kohalikus' võrgus.

   

2. Kaugtöö. Ühendus teie kontori ressurssidele kasutajate lõppseadmest (PC, mobiiltelefon jne). Lisaks on olemas SSL Network Extender, mis võimaldab eraldi rakenduste avaldamist ja nende käivitamist Java Appleti kaudu, ühendudes SSL-iga. Märkus: ärge segage Mobile Access Portaaliga (tugi Gaia Embedded'is puudub).
   
   

Lisaks Soovitan tungivalt TS Solutioni autori koolitust - Check Point Remote Access VPN see avab Check Pointi tehnoloogiaid VPN-i osas, käsitleb litsentseerimise küsimusi ning sisaldab üksikasjalikke juhiseid seadistamiseks.

2. Kaugtöö väikesele büroole

Alustame kaugtöö ühenduse korraldamist teie bürooga:

1. Kuna kasutajad peavad tunneli loomiseks Gateway'ga looma VPN-tunneli, peab teil olema avalik IP-aadress. Kui olete juba läbinud esialgse seadistuse (2 artikkel seeriast), siis tavaliselt on - External Link juba aktiivne. Teavet saab saada, minnes Gaia Portaalile: Device → Network → Internet

   
   

   Kui teie ettevõte kasutab dünaamilist avalikku IP-aadressi, saate määrata dünaamilise DNS-i. Liiguge Seade → DDNS & Seadmepõhine juurdepääs

   
   

   Praegu toetavad kahte teenusepakkujat: DynDns ja no-ip.com. Funktsiooni aktiveerimiseks tuleb sisestada oma mandaadi andmed (kasutajanimi, parool).

2. Seejärel loome kasutajakonto, mis on vajalik seadistuste testimiseks: VPN → Kaugtöö → Kaugtöö kasutajad

   
   

   Grupis (näiteks: remoteaccess) loome kasutaja, järgides märkmepildi juhiseid. Konto seadistamine on standardne, määrame kasutajanime ja parooli, lisaks lülitame sisse Remote Access permissions valiku.

   
   

   Kui olete seadeid edukalt rakendanud, peaks olema nähtavad kaks objekti: lokaalne kasutaja ja lokaalne kasutajate grupp.

   

3. Järgmiseks sammuks liigume VPN → Remote Access → Blade Control. Veenduge, et teie bleyid oleks sisselülitatud ja kaugkasutajatelt lubatud liiklus.

   

4. *Ülaltoodud on kõige väiksem sammude kogum Remote Access seadistamiseks. Enne ühenduse testimist uurime siiski täiendavaid seadeid, minnes vahekaardile VPN → Remote Access → Advanced

   
   

   Praeguste seadete põhjal näeme, et kaugkasutajad saavad ühenduse loomisel IP-aadressi võrgust 172.16.11.0/24, tänu Office Mode valikule. Seda on piisavalt 200 konkurentsielitsentsi kasutamiseks (mainitud on 1590 NGFW Check Pointi jaoks).

   Valik „Route Internet traffic from connected clients through this gateway“ on valikuline ja vastutab kogu kaugkasutaja liikluse marsruutimise eest läbi värava (sealhulgas ka Interneti-ühendused). See võimaldab kasutaja liiklust kontrollida ja kaitsta nende tööjaama erinevate ohtude ja kahjulike programmide eest.

5. *Kaugjuhtimise juurdepääsupoliitikate haldamine

   Pärast Remote Accessi seadistamist loodi automaatne juurdepääsureegel tulemüüril, et seda vaadata, tuleb minna vahekaardile: Access Policy → Firewall → Policy

   
   

   Antud juhul saavad kaugkasutajad, kes kuuluvad eelnevalt loodud gruppi, juurdepääsu kõikidele ettevõtte sisemistele ressurssidele, märkides ära, et reegel asub üldosas “Incoming, Internal and VPN traffic”. VPN-kasutajate liikluse lubamiseks Internetti tuleb luua eraldi reegel üldosas “Outgoing access to the Internet”.

6. Lõpuks peame veenduma, et kasutaja suudab edukalt luua VPN-tunneli meie NGFW väravani ja pääseda ettevõtte sisemistele ressurssidele. Selleks on vajalik installida VPN-klient testitavale hostile, abiks on link allalaadimiseks. Pärast installimist tuleb läbi viia standardne protseduur uue saidi lisamiseks (tuleb märkida teie värava avalik IP-aadress). Mugavuse huvides on protsess esitatud GIF-vormingus.

   
   
   Kui ühendus on juba loodud, kontrollime saadud IP-aadressi serverimasinast kasutades käsklust CMD-s: ipconfig

   
   

   Oleme veendunud, et virtuaalne võrkaadapter sai IP-aadressi meie NGFW Office Mode'ist, paketid saadetakse edukalt. Lõpetamiseks võime minna Gaia Portaalile: VPN → Kaugjuurdepääs → Ühendatud kaugkasutajad

   
   

   Kasutaja “ntuser” kuvatakse kui ühendatud, kontrollime sündmuste logimist, minnes Logid & Jälgimine → Turvalogid

   
   

   Ühenduse logimine toimub, allikana on IP-aadress: 172.16.10.1 — see on aadress, mille meie kasutaja sai Office Mode'i kaudu.

   3. Toetatud kliendid Kaugjuurdepääsuks

   Pärast seda, kui oleme vaadanud kaugühenduse loomise protseduuri teie büroosse, kasutades NGFW Check Point SMB-seeriat, sooviksime rääkida toetatud klientidest erinevatele seadmetele:

   • Endpoint VPN Windowsi / Mac OS-i jaoks
   • Mobiiliklient (Android / IOS)
   • L2TP Native Client (Check Point kinnitab Microsofti VPN-i kohandatud rakenduse toetust).

   Toetatud operatsioonisüsteemide ja seadmete mitmekesisus võimaldab teil täielikult kasutada teie NGFW komplektiga kaasatavat litsentsi. Eraldi seadme seadistamiseks on mugav valik “Kuidas ühendada”

   

   Selles genereeritakse automaatselt sammud vastavalt teie seadistustele, mis võimaldab administraatoritel muretseda uusi kliente.

   Kokkuvõte: Kokkuvõttes arutasime käesolevas artiklis VPN-i võimalusi NGFW Check Point SMB seerias. Järgnesid sammud kaugjuurdepääsu seadistamiseks, kui kasutajad ühenduvad kontoriga, ning seejärel tutvustasime jälgimisvahendeid. Artikli lõpetuseks rääkisime saadaval olevatest klientidest ja ühendamisvõimalustest kaugjuurdepääsul. Seeläbi suudab teie filiaaltaguse büroo tagada töötajate töö katkematu turvalisuse VPN-tehnoloogiate kaudu erinevate väliste ohtude ja tegurite tõttu.

   Suur kogumik materjale Check Pointi kohta TS Solutionilt. Jälgige uuendusi (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Allikas: habr.com