3. UserGate શરૂઆત કરવી. નેટવર્ક નીતિઓ

હું યુઝરગેટ ગેટીંગ સ્ટાર્ટેડ લેખ શ્રેણીના ત્રીજા લેખમાં વાચકોનું સ્વાગત કરું છું, જે કંપની તરફથી NGFW ઉકેલ વિશે વાત કરે છે. યુઝરગેટ. છેલ્લા લેખમાં, ફાયરવોલ ઇન્સ્ટોલ કરવાની પ્રક્રિયા વર્ણવવામાં આવી હતી અને તેનું પ્રારંભિક રૂપરેખાંકન કરવામાં આવ્યું હતું. હમણાં માટે, અમે ફાયરવોલ, NAT અને રૂટીંગ અને બેન્ડવિડ્થ જેવા વિભાગોમાં નિયમો બનાવવા પર નજીકથી નજર નાખીશું.

UserGate નિયમોની વિચારધારા, જેમ કે નિયમોને ઉપરથી નીચે સુધી અમલમાં મૂકવામાં આવે છે, જ્યાં સુધી પ્રથમ કામ ન કરે ત્યાં સુધી. ઉપરોક્તના આધારે, તે અનુસરે છે કે વધુ વિશિષ્ટ નિયમો વધુ સામાન્ય નિયમો કરતા વધારે હોવા જોઈએ. પરંતુ તે નોંધવું જોઈએ, કારણ કે નિયમો ક્રમમાં ચકાસવામાં આવે છે, સામાન્ય નિયમો બનાવવા માટે કામગીરીની દ્રષ્ટિએ તે વધુ સારું છે. કોઈપણ નિયમ બનાવતી વખતે, શરતો "અને" તર્ક અનુસાર લાગુ કરવામાં આવે છે. જો "OR" તર્કનો ઉપયોગ કરવો જરૂરી છે, તો આ ઘણા નિયમો બનાવીને પ્રાપ્ત થાય છે. તેથી આ લેખમાં જે વર્ણવેલ છે તે અન્ય UserGate નીતિઓને પણ લાગુ પડે છે.

ફાયરવોલ

યુઝરગેટ ઇન્સ્ટોલ કર્યા પછી, "ફાયરવોલ" વિભાગમાં પહેલેથી જ એક સરળ નીતિ છે. પ્રથમ બે નિયમો બોટનેટ માટે ટ્રાફિકને પ્રતિબંધિત કરે છે. નીચેના વિવિધ ઝોનના ઍક્સેસ નિયમોના ઉદાહરણો છે. છેલ્લા નિયમને હંમેશા "બધાને અવરોધિત કરો" કહેવામાં આવે છે અને તેને લૉક સિમ્બોલથી ચિહ્નિત કરવામાં આવે છે (તેનો અર્થ એ છે કે નિયમ કાઢી શકાતો નથી, સુધારી શકાતો નથી, ખસેડી શકાતો નથી, અક્ષમ કરી શકાતો નથી, તે ફક્ત લૉગિંગ વિકલ્પ માટે જ સક્ષમ કરી શકાય છે). આમ, આ નિયમને કારણે, છેલ્લા નિયમ દ્વારા તમામ સ્પષ્ટ રીતે મંજૂરી ન હોય તેવા ટ્રાફિકને અવરોધિત કરવામાં આવશે. જો તમે UserGate દ્વારા તમામ ટ્રાફિકને મંજૂરી આપવા માંગતા હો (જોકે આને સખત રીતે નિરાશ કરવામાં આવે છે), તો તમે હંમેશા "બધાને મંજૂરી આપો" નો અંતિમ નિયમ બનાવી શકો છો.

ફાયરવોલ નિયમ સંપાદિત કરતી વખતે અથવા બનાવતી વખતે, પ્રથમ સામાન્ય ટેબ, તમારે નીચેના કરવાની જરૂર છે: 

• ચેકબોક્સ "ચાલુ" નિયમને સક્ષમ અથવા અક્ષમ કરો.

• નિયમનું નામ દાખલ કરો.

• નિયમનું વર્ણન સેટ કરો.

• બે ક્રિયાઓમાંથી પસંદ કરો:

  • નકારો - ટ્રાફિકને અવરોધે છે (આ સ્થિતિ સેટ કરતી વખતે, ICMP હોસ્ટને અગમ્ય મોકલવાનું શક્ય છે, તમારે ફક્ત યોગ્ય ચેકબોક્સ સેટ કરવાની જરૂર છે).

  • મંજૂરી આપો - ટ્રાફિકને મંજૂરી આપે છે.

• દૃશ્ય આઇટમ - તમને એક દૃશ્ય પસંદ કરવાની મંજૂરી આપે છે, જે નિયમને ફાયર કરવા માટેની વધારાની શરત છે. આ રીતે UserGate SOAR (સિક્યોરિટી ઓર્કેસ્ટ્રેશન, ઓટોમેશન અને રિસ્પોન્સ) ના ખ્યાલને અમલમાં મૂકે છે.

• લોગીંગ - જ્યારે નિયમ ટ્રિગર થાય ત્યારે લોગ પર ટ્રાફિક વિશેની માહિતી લખો. સંભવિત વિકલ્પો:

  • સત્રની શરૂઆત લોગ કરો. આ કિસ્સામાં, ફક્ત સત્રની શરૂઆત વિશેની માહિતી (પ્રથમ પેકેટ) ટ્રાફિક લોગ પર લખવામાં આવશે. આ ભલામણ કરેલ લોગીંગ વિકલ્પ છે.

  • દરેક પેકેટ લોગ કરો. આ કિસ્સામાં, દરેક પ્રસારિત નેટવર્ક પેકેટ વિશેની માહિતી રેકોર્ડ કરવામાં આવશે. આ મોડ માટે, ઉચ્ચ ઉપકરણ લોડને રોકવા માટે લોગીંગ મર્યાદાને સક્ષમ કરવાની ભલામણ કરવામાં આવે છે.

• આના પર નિયમ લાગુ કરો:

  • બધા પેકેજો

  • ખંડિત પેકેટો માટે

  • અનફ્રેગમેન્ટેડ પેકેજો માટે

• નવો નિયમ બનાવતી વખતે, તમે પોલિસીમાં સ્થાન પસંદ કરી શકો છો.

આગામી સ્ત્રોત ટેબ. અહીં અમે ટ્રાફિકનો સ્ત્રોત સૂચવીએ છીએ, તે તે ઝોન હોઈ શકે છે જ્યાંથી ટ્રાફિક આવે છે, અથવા તમે સૂચિ અથવા ચોક્કસ ip-સરનામું (Geoip) નો ઉલ્લેખ કરી શકો છો. ઉપકરણમાં સેટ કરી શકાય તેવા લગભગ તમામ નિયમોમાં, નિયમમાંથી ઑબ્જેક્ટ બનાવી શકાય છે, ઉદાહરણ તરીકે, "ઝોન્સ" વિભાગમાં ગયા વિના, તમે ઝોન બનાવવા માટે "નવા ઑબ્જેક્ટ બનાવો અને ઉમેરો" બટનનો ઉપયોગ કરી શકો છો. અમને જરૂર છે. "ઉલટું" ચેકબોક્સ પણ ઘણીવાર જોવા મળે છે, તે નિયમની સ્થિતિમાં ક્રિયાને ઉલટાવે છે, જે તાર્કિક ક્રિયા નકારવા જેવું છે. ગંતવ્ય ટૅબ સ્ત્રોત ટેબ જેવું જ છે, પરંતુ ટ્રાફિક સ્ત્રોતને બદલે, અમે ટ્રાફિક ગંતવ્ય સેટ કરીએ છીએ. વપરાશકર્તાઓ ટેબ - આ જગ્યાએ તમે વપરાશકર્તાઓ અથવા જૂથોની સૂચિ ઉમેરી શકો છો કે જેના માટે આ નિયમ લાગુ થાય છે. સેવા ટૅબ - પહેલેથી જ પૂર્વવ્યાખ્યાયિત સેવામાંથી સેવાનો પ્રકાર પસંદ કરો અથવા તમે તમારી પોતાની સેટ કરી શકો છો. એપ્લિકેશન ટેબ - ચોક્કસ એપ્લિકેશનો અથવા એપ્લિકેશન્સના જૂથો અહીં પસંદ કરવામાં આવ્યા છે. અને સમય ટેબ આ નિયમ સક્રિય હોય તે સમયનો ઉલ્લેખ કરો. 

છેલ્લા પાઠથી, અમારી પાસે "ટ્રસ્ટ" ઝોનમાંથી ઇન્ટરનેટ ઍક્સેસ કરવાનો નિયમ છે, હવે હું ઉદાહરણ તરીકે બતાવીશ કે "ટ્રસ્ટ" ઝોનથી "અવિશ્વસનીય" ઝોન સુધી ICMP ટ્રાફિક માટે નકારવાનો નિયમ કેવી રીતે બનાવવો.

પ્રથમ, "ઉમેરો" બટન પર ક્લિક કરીને એક નિયમ બનાવો. ખુલતી વિંડોમાં, સામાન્ય ટૅબ પર, નામ ભરો (ICMP ને વિશ્વસનીયમાંથી અવિશ્વસનીય સુધી પ્રતિબંધિત કરો), "ચાલુ" ચેકબોક્સને ચેક કરો, અક્ષમ ક્રિયા પસંદ કરો અને સૌથી અગત્યનું, આ નિયમ માટે યોગ્ય સ્થાન પસંદ કરો. મારી નીતિ અનુસાર, આ નિયમ "વિશ્વસનીયને અવિશ્વસનીયને મંજૂરી આપો" નિયમની ઉપર મૂકવો જોઈએ:

મારા કાર્ય માટે "સ્રોત" ટેબ પર, બે વિકલ્પો છે:

• "વિશ્વસનીય" ઝોન પસંદ કરીને

• "વિશ્વસનીય" સિવાયના તમામ ઝોન પસંદ કરીને અને "ઉલટાનું" ચેકબોક્સ પર ટિક કરીને

ગંતવ્ય ટેબ સોર્સ ટેબની જેમ જ ગોઠવેલ છે.

આગળ, "સેવા" ટૅબ પર જાઓ, કારણ કે યુઝરગેટ પાસે ICMP ટ્રાફિક માટે પૂર્વવ્યાખ્યાયિત સેવા છે, પછી "ઉમેરો" બટનને ક્લિક કરીને, અમે સૂચિત સૂચિમાંથી "કોઈપણ ICMP" નામવાળી સેવા પસંદ કરીએ છીએ:

કદાચ આ યુઝરગેટના નિર્માતાઓનો હેતુ હતો, પરંતુ મેં ઘણા સમાન નિયમો બનાવવામાં વ્યવસ્થાપિત કર્યા. જો કે સૂચિમાંથી ફક્ત પ્રથમ નિયમ જ ચલાવવામાં આવશે, મને લાગે છે કે સમાન નામ સાથે નિયમો બનાવવાની ક્ષમતા જે કાર્યક્ષમતામાં અલગ હોય છે ત્યારે ઘણા ઉપકરણ સંચાલકો કામ કરે છે ત્યારે મૂંઝવણ પેદા કરી શકે છે.

NAT અને રૂટીંગ

NAT નિયમો બનાવતી વખતે, આપણે ફાયરવોલની જેમ ઘણી સમાન ટેબ્સ જોઈએ છીએ. "સામાન્ય" ટૅબ પર "પ્રકાર" ફીલ્ડ દેખાયું, તે તમને આ નિયમ માટે જવાબદાર રહેશે તે પસંદ કરવાની મંજૂરી આપે છે:

• NAT - નેટવર્ક એડ્રેસ ટ્રાન્સલેશન.

• DNAT - ટ્રાફિકને ઉલ્લેખિત IP સરનામા પર રીડાયરેક્ટ કરે છે.

• પોર્ટ ફોરવર્ડિંગ - ટ્રાફિકને ઉલ્લેખિત IP સરનામા પર રીડાયરેક્ટ કરે છે, પરંતુ તમને પ્રકાશિત સેવાનો પોર્ટ નંબર બદલવાની મંજૂરી આપે છે

• નીતિ-આધારિત રૂટીંગ - તમને વિસ્તૃત માહિતી, જેમ કે સેવાઓ, MAC સરનામાં અથવા સર્વર્સ (IP સરનામાં) પર આધારિત IP પેકેટોને રૂટ કરવાની મંજૂરી આપે છે.

• નેટવર્ક મેપિંગ - તમને એક નેટવર્કના સ્ત્રોત અથવા ગંતવ્ય IP સરનામાંને બીજા નેટવર્ક સાથે બદલવાની મંજૂરી આપે છે.

યોગ્ય નિયમ પ્રકાર પસંદ કર્યા પછી, તેના માટે સેટિંગ્સ ઉપલબ્ધ થશે.

SNAT IP (બાહ્ય સરનામું) ફીલ્ડમાં, અમે સ્પષ્ટપણે IP સરનામું સ્પષ્ટ કરીએ છીએ કે જેના પર સ્ત્રોત સરનામું બદલવામાં આવશે. જો ડેસ્ટિનેશન ઝોનમાં ઇન્ટરફેસને બહુવિધ IP એડ્રેસ અસાઇન કરેલ હોય તો આ ફીલ્ડ જરૂરી છે. જો તમે આ ક્ષેત્ર ખાલી છોડો છો, તો સિસ્ટમ ગંતવ્ય ઝોન ઈન્ટરફેસને સોંપેલ ઉપલબ્ધ IP સરનામાઓની સૂચિમાંથી રેન્ડમ સરનામાંનો ઉપયોગ કરશે. UserGate ફાયરવોલ કામગીરી સુધારવા માટે SNAT IP નો ઉલ્લેખ કરવાની ભલામણ કરે છે.

ઉદાહરણ તરીકે, હું “પોર્ટ-ફોરવર્ડિંગ” નિયમનો ઉપયોગ કરીને “DMZ” ઝોનમાં સ્થિત Windows સર્વરની SSH સેવા પ્રકાશિત કરીશ. આ કરવા માટે, "ઉમેરો" બટનને ક્લિક કરો અને "સામાન્ય" ટૅબ ભરો, નિયમનું નામ "SSH ટુ વિન્ડોઝ" અને "પોર્ટ ફોરવર્ડિંગ" પ્રકારનો ઉલ્લેખ કરો:

"સ્રોત" ટૅબ પર, "અવિશ્વસનીય" ઝોન પસંદ કરો અને "પોર્ટ ફોરવર્ડિંગ" ટૅબ પર જાઓ. અહીં આપણે પ્રોટોકોલ "TCP" નો ઉલ્લેખ કરવો આવશ્યક છે (ચાર વિકલ્પો ઉપલબ્ધ છે - TCP, UDP, SMTP, SMTPS). મૂળ ગંતવ્ય પોર્ટ 9922 — પોર્ટ નંબર કે જેના પર વપરાશકર્તાઓ વિનંતીઓ મોકલે છે (પોર્ટ્સ: 2200, 8001, 4369, 9000-9100 નો ઉપયોગ કરી શકાતો નથી). નવું ગંતવ્ય પોર્ટ (22) એ પોર્ટ નંબર છે કે જેના પર આંતરિક પ્રકાશિત સર્વર પર વપરાશકર્તા વિનંતીઓ ફોરવર્ડ કરવામાં આવશે.

"DNAT" ટૅબ પર, સ્થાનિક નેટવર્ક પર કમ્પ્યુટરનું ip-સરનામું સેટ કરો, જે ઇન્ટરનેટ પર પ્રકાશિત થાય છે (192.168.3.2). અને તમે વૈકલ્પિક રીતે SNAT ને સક્ષમ કરી શકો છો, પછી UserGate બાહ્ય નેટવર્કમાંથી તેના પોતાના IP સરનામાંમાં પેકેટોમાં સ્ત્રોત સરનામું બદલશે.

બધી સેટિંગ્સ પછી, એક નિયમ પ્રાપ્ત થાય છે જે કનેક્ટ કરતી વખતે બાહ્ય વપરાશકર્તાગેટ સરનામાંનો ઉપયોગ કરીને SSH પ્રોટોકોલ દ્વારા ip-address 192.168.3.2 સાથે સર્વર સુધી "અવિશ્વસનીય" ઝોનમાંથી ઍક્સેસ કરવાની મંજૂરી આપે છે.

બેન્ડવિડ્થ

આ વિભાગ બેન્ડવિડ્થ નિયંત્રણ માટેના નિયમોને વ્યાખ્યાયિત કરે છે. તેનો ઉપયોગ ચોક્કસ વપરાશકર્તાઓ, યજમાનો, સેવાઓ, એપ્લિકેશનોની ચેનલને પ્રતિબંધિત કરવા માટે થઈ શકે છે.

નિયમ બનાવતી વખતે, ટૅબ્સ પરની શરતો ટ્રાફિક નક્કી કરે છે કે જેના પર પ્રતિબંધો લાગુ કરવામાં આવે છે. બેન્ડવિડ્થ સૂચિતમાંથી પસંદ કરી શકાય છે અથવા તમારી પોતાની સેટ કરી શકાય છે. બેન્ડવિડ્થ બનાવતી વખતે, તમે DSCP ટ્રાફિક અગ્રતા લેબલનો ઉલ્લેખ કરી શકો છો. જ્યારે DSCP લેબલ્સ લાગુ કરવામાં આવે છે તેનું ઉદાહરણ: એક નિયમમાં આ નિયમ લાગુ કરવામાં આવે છે તે દૃશ્યનો ઉલ્લેખ કરીને, પછી આ નિયમ આ લેબલોને આપમેળે બદલી શકે છે. સ્ક્રિપ્ટ કેવી રીતે કામ કરે છે તેનું બીજું ઉદાહરણ: નિયમ ત્યારે જ વપરાશકર્તા માટે કામ કરશે જ્યારે ટૉરેંટ શોધાય અથવા ટ્રાફિકની માત્રા નિર્દિષ્ટ મર્યાદા કરતાં વધી જાય. બાકીના ટૅબ અન્ય પૉલિસીની જેમ જ ભરવામાં આવે છે, જે ટ્રાફિકના પ્રકાર પર આધારિત છે કે જેના પર નિયમ લાગુ કરવો જોઈએ.

નિષ્કર્ષ

આ લેખમાં, મેં ફાયરવોલ, NAT અને રૂટીંગ અને બેન્ડવિડ્થ વિભાગોમાં નિયમોની રચનાને આવરી લીધી છે. અને લેખની શરૂઆતમાં, તેણે યુઝરગેટ નીતિઓ બનાવવા માટેના નિયમો તેમજ નિયમ બનાવતી વખતે શરતોના સિદ્ધાંતનું વર્ણન કર્યું. 

અમારી ચેનલોમાં અપડેટ્સ માટે ટ્યુન રહો (Telegram, ફેસબુક, VK, ટીએસ સોલ્યુશન બ્લોગ)!

સોર્સ: www.habr.com