Fáilte roimh léitheoirí chuig an tríú alt sa tsraith earraí UserGate Getting Started, a labhraíonn faoi réiteach NGFW ón gcuideachta . Chuir an t-alt roimhe seo síos ar an bpróiseas chun balla dóiteáin a shuiteáil agus rinne sé a chumraíocht tosaigh. Anois déanfaimid breathnú níos géire ar rialacha a chruthú i gcodanna mar “Balla Dóiteáin”, “NAT agus Ródú” agus “Bandaleithead”.
Is é an idé-eolaíocht rialacha UserGate ná go ndéantar na rialacha a fhorghníomhú ó bhun go barr, go dtí an chéad cheann a oibríonn. Bunaithe ar an méid thuas, leanann sé gur cheart go mbeadh rialacha níos sonraí níos airde ná rialacha níos ginearálta. Ach ba chóir a thabhairt faoi deara, ós rud é go ndéantar na rialacha a sheiceáil in ord, i dtéarmaí feidhmíochta is fearr rialacha ginearálta a chruthú. Cuirtear na coinníollacha agus aon riail á cruthú i bhfeidhm de réir loighic “AND”. Más gá loighic “NÓ” a úsáid, baintear é seo amach trí roinnt rialacha a chruthú. Mar sin baineann an méid a thuairiscítear san Airteagal seo le polasaithe eile UserGate.
Balla dóiteáin
Tar éis UserGate a shuiteáil, tá polasaí simplí ann cheana féin sa rannóg “Balla Dóiteáin”. Diúltaíonn an chéad dá riail trácht ar botnets. Seo a leanas samplaí de rialacha rochtana ó chriosanna éagsúla. Tugtar “Blocáil ar fad” ar an riail dheireanach i gcónaí agus tá sé marcáilte le siombail glas clap (ciallaíonn sé nach féidir an riail a scriosadh, a mhodhnú, a bhogadh, a dhíchumasú, ní féidir leat ach an rogha logála a chumasú dó). Mar sin, mar gheall ar an riail seo, cuirfear bac ar gach trácht nach gceadaítear go sainráite leis an riail dheireanach. Más mian leat an trácht go léir a cheadú trí UserGate (cé nach moltar go láidir é seo), is féidir leat an riail leathdhéanach “Ceadaigh do chách” a chruthú i gcónaí.
Nuair a eagarthóireacht nó a chruthú riail balla dóiteáin, an chéad Cluaisín ginearálta, ní mór duit na céimeanna seo a leanas a dhéanamh air:
-
Úsáid an ticbhosca “Ar” chun an riail a chumasú nó a dhíchumasú.
-
cuir isteach ainm na rialach.
-
cuir síos ar an riail.
-
roghnaigh as dhá ghníomh:
-
Diúltú - bloic tráchta (nuair a leagtar an coinníoll seo, is féidir a sheoladh óstach ICMP unreachable, is gá duit ach a shocrú ar an ticbhosca cuí).
-
Ceadaigh - ceadaíonn trácht.
-
-
Mír Cás - is féidir leat cás a roghnú, ar coinníoll breise é chun an riail a chur i ngníomh. Seo mar a chuireann UserGate an coincheap SOAR (Ceolfhoireann Slándála, Uathoibriú agus Freagra) i bhfeidhm.
-
Logáil - logáil isteach faisnéis faoi thrácht nuair a chuirtear riail i bhfeidhm. Roghanna féideartha:
-
Logáil tús an tseisiúin. Sa chás seo, ní dhéanfar ach faisnéis faoi thús an tseisiúin (an chéad phaicéad) a thaifeadadh sa logáil tráchta. Is é seo an rogha logáil molta.
-
Logáil gach paicéad. Sa chás seo, déanfar faisnéis faoi gach paicéad líonra tarchurtha a thaifeadadh. Maidir leis an modh seo, moltar an teorainn logála a chumasú chun ualach ard gléas a chosc.
-
-
Cuir an riail i bhfeidhm ar:
-
Gach pacáiste
-
go paicéid ilroinnte
-
chuig paicéid neamhroinnte
-
-
Agus riail nua á cruthú agat, is féidir leat suíomh a roghnú sa pholasaí.
An chéad Cluaisín “Foinse”.. Anseo cuirimid foinse na tráchta in iúl; is féidir gurb é seo an crios óna dtagann an trácht, nó is féidir leat liosta nó seoladh IP sonrach (Geoip) a shonrú. I mbeagnach gach riail is féidir a shocrú i bhfeiste, is féidir réad a chruthú ó riail, mar shampla, gan dul go dtí an rannán "Criosanna", is féidir leat an cnaipe "Cruthaigh agus cuir réad nua leis" a úsáid chun an crios a chruthú. caithfimid. Is minic a bhíonn an ticbhosca “Inbhéartaigh” ann freisin; athraíonn sé an gníomh sa choinníoll rialach go dtí an mhalairt, atá cosúil leis an ngníomh loighciúil diúltaithe. Cluaisín Ceann Scríbe cosúil leis an táb foinse, ach amháin in ionad an fhoinse tráchta a shocraigh muid an ceann scríbe tráchta. Úsáideoir tab — san áit seo is féidir leat liosta úsáideoirí nó grúpaí a bhfuil feidhm ag an riail seo maidir leo a chur leis. Cluaisín seirbhíse — roghnaigh an cineál seirbhíse ón gceann réamhshainithe nó is féidir leat do cheann féin a shocrú. Cluaisín Feidhmchláir — anseo roghnaítear feidhmchláir shonracha nó grúpaí feidhmchlár. AGUS Cluaisín ama cuir in iúl an t-am a bhfuil an riail seo gníomhach.
Ón gceacht deireanach tá riail againn maidir le rochtain a fháil ar an Idirlíon ón gcrios “Iontaobhas”, anois taispeánfaidh mé, mar shampla, conas riail shéanadh a chruthú do thrácht ICMP ón gcrios “Iontaobhas” go dtí an crios “Neamhiontaofa”.
Ar dtús, cruthaigh riail trí chliceáil ar an gcnaipe "Add". Sa fhuinneog a osclaíonn, ar an táb ginearálta, líon isteach an t-ainm (Toirmeasc ar ICMP ó iontaofa go neamhiontaofa), seiceáil an ticbhosca “Ar”, roghnaigh an gníomh chun blocáil agus, níos tábhachtaí fós, roghnaigh an suíomh ceart don riail seo. De réir mo pholasaí, ba chóir go mbeadh an riail seo suite os cionn na rialach “Ceadaigh do dhaoine nach bhfuil muinín agat as muinín”:
Ar an táb “Foinse”, tá dhá rogha le haghaidh mo thasc:
-
Roghnú an crios "Iontaofa".
-
Gach crios a roghnú ach amháin "Iontaofa" agus seiceáil an ticbhosca "Inbhéartaigh".
Tá an táb “Ceann Scríbe” cumraithe mar an gcéanna leis an táb “Foinse”.
Ansin, téann muid chuig an táb “Seirbhís”, ós rud é go bhfuil seirbhís réamhshainithe ag UserGate le haghaidh tráchta ICMP, ansin trí chliceáil ar an gcnaipe “Cuir leis”, roghnaimid ón liosta molta seirbhís ar a dtugtar “Aon ICMP”:
B'fhéidir gurb é seo a bhí beartaithe ag cruthaitheoirí UserGate, ach bhí mé in ann roinnt rialacha go hiomlán comhionann a chruthú. Cé nach ndéanfar ach an chéad riail ón liosta a fhorghníomhú, is dóigh liom go bhféadfadh an cumas rialacha feidhmiúlachta éagsúla a chruthú leis an ainm céanna mearbhall a chur faoi deara nuair a oibríonn roinnt riarthóirí gléasanna.
NAT agus ródú
Agus rialacha TAN á gcruthú, feicimid go leor cluaisíní cosúil leis an mballa dóiteáin. Ar an táb “Ginearálta”, tá an réimse “Cineál” le feiceáil; ceadaíonn sé duit a roghnú cad a bheidh an riail seo freagrach as:
-
NAT - Aistriúchán Seoladh Líonra.
-
DNAT - Atreoraíonn sé trácht chuig an seoladh IP sonraithe.
-
Cur ar aghaidh calafoirt - Atreoraíonn sé trácht chuig seoladh IP sonraithe, ach ligeann sé duit uimhir phoirt na seirbhíse foilsithe a athrú
-
Ródú bunaithe ar bheartais - Ligeann sé seo paicéid IP a ródú bunaithe ar ardfhaisnéis, amhail seirbhísí, seoltaí MAC, nó freastalaithe (seoltaí IP).
-
Mapáil líonra - Ligeann sé duit seoltaí IP foinse nó ceann scríbe líonra amháin a athsholáthar le líonra eile.
Tar éis an cineál riail chuí a roghnú, beidh socruithe dó ar fáil.
Sa réimse SNAT IP (seoladh seachtrach), cuirimid in iúl go sainráite an seoladh IP a n-athrófar an seoladh foinseach chuige. Tá an réimse seo ag teastáil má tá roinnt seoltaí IP sannta do chomhéadain an chrios cinn scríbe. Má fhágann tú an réimse seo folamh, úsáidfidh an córas seoladh randamach ón liosta seoltaí IP atá ar fáil a shanntar do na comhéadain crios cinn scríbe. Molann UserGate go sonrófar SNAT IP chun feidhmíocht balla dóiteáin a fheabhsú.
Mar shampla, foilseoidh mé seirbhís SSH ar fhreastalaí Windows atá lonnaithe sa chrios “DMZ” ag baint úsáide as an riail “port ar aghaidh”. Chun seo a dhéanamh, cliceáil ar an gcnaipe “Add” agus líon isteach an táb “Ginearálta”, sonraigh ainm na rialach “SSH to Windows” agus an cineál “Port ar aghaidh”:
Ar an táb “Foinse”, roghnaigh an crios “Neamhiontaofa” agus téigh go dtí an táb “Port Ar Aghaidh”. Anseo ní mór dúinn an prótacal “TCP” a shonrú (tá ceithre rogha ar fáil - TCP, UDP, SMTP, SMTPS). Is é 9922 an calafort cinn scríbe bunaidh - uimhir an phoirt a sheolann úsáideoirí iarratais chuige (ní féidir calafoirt a úsáid: 2200, 8001, 4369, 9000-9100). Calafort cinn scríbe nua (22) - an uimhir phoirt a gcuirfear iarratais úsáideora chuig an bhfreastalaí foilsithe inmheánaigh ar aghaidh chuige.
Ar an táb “DNAT”, socraigh seoladh IP an ríomhaire ar an líonra áitiúil, a fhoilsítear ar an Idirlíon (192.168.3.2). Agus go roghnach is féidir leat SNAT a chumasú, ansin athróidh UserGate an seoladh foinse i bpacáistí ón líonra seachtrach chuig a sheoladh IP.
Tar éis na socruithe go léir, gheobhaidh tú riail a ligeann duit rochtain a fháil ón gcrios “Neamhiontaofa” chuig freastalaí le seoladh IP 192.168.3.2 trí SSH, ag baint úsáide as an seoladh UserGate seachtrach agus tú ag nascadh.
Bandaleithid
Sonraíonn an chuid seo rialacha chun bandaleithead a bhainistiú. Is féidir iad a úsáid chun teorainn a chur le cainéal úsáideoirí, óstaigh, seirbhísí, feidhmchláir áirithe.
Agus riail á chruthú, cinneann na coinníollacha ar na cluaisíní an trácht lena mbaineann srianta. Is féidir leat an bandaleithead a roghnú as na cinn a thairgtear, nó do chuid féin a shocrú. Agus bandaleithead á chruthú agat, is féidir leat lipéad tosaíochta tráchta DSCP a shonrú. Sampla de nuair a chuirtear lipéid DSCP i bhfeidhm: tríd an gcás ina gcuirtear an riail seo i bhfeidhm a shonrú i riail, is féidir leis an riail seo na lipéid sin a athrú go huathoibríoch. Sampla eile den chaoi a n-oibríonn an script: ní oibreoidh an riail don úsáideoir ach amháin nuair a aimsítear torrent nó nuair a sháraíonn an méid tráchta teorainn shonraithe. Líonaimid na cluaisíní atá fágtha ar an mbealach céanna agus a dhéantar i mbeartais eile, bunaithe ar an gcineál tráchta ar cheart an riail a chur i bhfeidhm ina leith.
Conclúid
San Airteagal seo, d’fhéach mé ar rialacha a chruthú sna rannáin “Balla Dóiteáin”, “NAT agus Ródú” agus “Bandaleithead”. Agus ag tús an-an t-alt, rinne mé cur síos ar na rialacha maidir le cruthú beartais UserGate, chomh maith le prionsabal oibriú na gcoinníollacha nuair a bhíonn riail á chruthú.
Lean ár gcainéal le haghaidh nuashonruithe (, , , )!
Foinse: will.com