2. यूजरगेट प्रारंभ करना। आवश्यकताएँ, स्थापना

नमस्कार, कंपनी की ओर से एनजीएफडब्ल्यू समाधान के बारे में यह दूसरा लेख है उपयोगकर्ता. इस आलेख का उद्देश्य यह दिखाना है कि वर्चुअल सिस्टम पर यूजरगेट फ़ायरवॉल कैसे स्थापित करें (मैं वीएमवेयर वर्कस्टेशन वर्चुअलाइजेशन सॉफ़्टवेयर का उपयोग करूंगा) और इसकी प्रारंभिक कॉन्फ़िगरेशन निष्पादित करें (इंटरनेट पर यूजरगेट गेटवे के माध्यम से स्थानीय नेटवर्क से पहुंच की अनुमति दें)।   

1। परिचय

आरंभ करने के लिए, मैं इस गेटवे को नेटवर्क में लागू करने के विभिन्न तरीकों का वर्णन करूंगा। मैं यह नोट करना चाहूंगा कि चयनित कनेक्शन विकल्प के आधार पर, गेटवे की कुछ कार्यक्षमता उपलब्ध नहीं हो सकती है। UserGate समाधान निम्नलिखित कनेक्शन मोड का समर्थन करता है: 

• L3-L7 फ़ायरवॉल

• L2 पारदर्शी पुल

• L3 पारदर्शी पुल

• WCCP प्रोटोकॉल का उपयोग करते हुए, वस्तुतः अंतराल में

• वस्तुतः अंतराल में, नीति आधारित रूटिंग का उपयोग करते हुए

• एक छड़ी पर राउटर

• स्पष्ट रूप से निर्दिष्ट वेब प्रॉक्सी

• यूजरगेट को डिफ़ॉल्ट गेटवे के रूप में

• मिरर पोर्ट मॉनिटरिंग

UserGate 2 प्रकार के क्लस्टर का समर्थन करता है:

1. क्लस्टर विन्यास. कॉन्फ़िगरेशन क्लस्टर में संयुक्त नोड्स पूरे क्लस्टर में लगातार सेटिंग्स बनाए रखते हैं।

2. फेलओवर क्लस्टर। अधिकतम 4 कॉन्फ़िगरेशन क्लस्टर नोड्स को एक फेलओवर क्लस्टर में जोड़ा जा सकता है जो सक्रिय-सक्रिय या सक्रिय-निष्क्रिय मोड में ऑपरेशन का समर्थन करता है। कई फेलओवर क्लस्टरों को इकट्ठा करना संभव है।

2. स्थापना

जैसा कि पिछले आलेख में बताया गया है, UserGate को हार्डवेयर और सॉफ़्टवेयर पैकेज के रूप में आपूर्ति की जाती है या वर्चुअल वातावरण में तैनात किया जाता है। वेबसाइट पर आपके व्यक्तिगत खाते से उपयोगकर्ता छवि को OVF (ओपन वर्चुअलाइजेशन फॉर्मेट) में डाउनलोड करें, यह प्रारूप VMWare और Oracle वर्चुअलबॉक्स विक्रेताओं के लिए उपयुक्त है। वर्चुअल मशीन डिस्क छवियाँ Microsoft हाइपर-v और KVM के लिए प्रदान की जाती हैं।

यूजरगेट वेबसाइट के अनुसार, वर्चुअल मशीन को सही ढंग से संचालित करने के लिए, कम से कम 8 जीबी रैम और 2-कोर वर्चुअल प्रोसेसर का उपयोग करने की सिफारिश की जाती है। हाइपरविजर को 64-बिट ऑपरेटिंग सिस्टम का समर्थन करना चाहिए।

इंस्टॉलेशन छवि को चयनित हाइपरविजर (वर्चुअलबॉक्स और वीएमवेयर) में आयात करके शुरू होता है। माइक्रोसॉफ्ट हाइपर-वी और केवीएम के मामले में, आपको एक वर्चुअल मशीन बनाने और डाउनलोड की गई छवि को डिस्क के रूप में निर्दिष्ट करने की आवश्यकता है, और फिर बनाई गई वर्चुअल मशीन की सेटिंग्स में एकीकरण सेवाओं को अक्षम करना होगा।

डिफ़ॉल्ट रूप से, VMWare में आयात करने के बाद, निम्नलिखित सेटिंग्स के साथ एक वर्चुअल मशीन बनाई जाती है:

जैसा कि ऊपर लिखा गया था, कम से कम 8 जीबी रैम होनी चाहिए और इसके अलावा आपको प्रत्येक 1 उपयोगकर्ताओं के लिए 100 जीबी जोड़ना होगा। डिफ़ॉल्ट हार्ड ड्राइव का आकार 100 जीबी है, लेकिन यह आमतौर पर सभी लॉग और सेटिंग्स को संग्रहीत करने के लिए पर्याप्त नहीं है। अनुशंसित आकार 300 जीबी या अधिक है। इसलिए, वर्चुअल मशीन के गुणों में, हम डिस्क आकार को वांछित आकार में बदलते हैं। प्रारंभ में, वर्चुअल यूजरगेट यूटीएम ज़ोन को निर्दिष्ट चार इंटरफेस के साथ आता है:

प्रबंधन - वर्चुअल मशीन का पहला इंटरफ़ेस, विश्वसनीय नेटवर्क को जोड़ने के लिए एक क्षेत्र जहां से यूजरगेट प्रबंधन की अनुमति है।

ट्रस्टेड वर्चुअल मशीन का दूसरा इंटरफ़ेस है, विश्वसनीय नेटवर्क को जोड़ने के लिए एक ज़ोन, उदाहरण के लिए, LAN नेटवर्क।

अनट्रस्टेड वर्चुअल मशीन का तीसरा इंटरफ़ेस है, जो अविश्वसनीय नेटवर्क से जुड़े इंटरफेस के लिए एक क्षेत्र है, उदाहरण के लिए, इंटरनेट से।

डीएमजेड वर्चुअल मशीन का चौथा इंटरफ़ेस है, जो डीएमजेड नेटवर्क से जुड़े इंटरफेस के लिए एक क्षेत्र है।

इसके बाद, हम वर्चुअल मशीन लॉन्च करते हैं, हालांकि मैनुअल कहता है कि आपको सपोर्ट टूल्स का चयन करने और फैक्ट्री रीसेट यूटीएम करने की आवश्यकता है, लेकिन जैसा कि आप देख सकते हैं, केवल एक ही विकल्प है (यूटीएम फर्स्ट बूट)। इस चरण के दौरान, UTM नेटवर्क एडेप्टर को कॉन्फ़िगर करता है और हार्ड ड्राइव विभाजन के आकार को पूर्ण डिस्क आकार तक बढ़ाता है:

यूजरगेट वेब इंटरफ़ेस से कनेक्ट करने के लिए, आपको प्रबंधन क्षेत्र के माध्यम से लॉग इन करना होगा; यह eth0 इंटरफ़ेस की जिम्मेदारी है, जो स्वचालित रूप से एक आईपी पता (डीएचसीपी) प्राप्त करने के लिए कॉन्फ़िगर किया गया है। यदि डीएचसीपी का उपयोग करके स्वचालित रूप से प्रबंधन इंटरफ़ेस के लिए एक पता निर्दिष्ट करना संभव नहीं है, तो इसे सीएलआई (कमांड लाइन इंटरफ़ेस) का उपयोग करके स्पष्ट रूप से सेट किया जा सकता है। ऐसा करने के लिए, आपको पूर्ण व्यवस्थापक अधिकारों (डिफ़ॉल्ट रूप से बड़े अक्षर के साथ व्यवस्थापक) के साथ उपयोगकर्ता नाम और पासवर्ड का उपयोग करके सीएलआई में लॉग इन करना होगा। यदि यूजरगेट डिवाइस प्रारंभिक आरंभीकरण से नहीं गुजरा है, तो सीएलआई तक पहुंचने के लिए आपको उपयोगकर्ता नाम के रूप में एडमिन और पासवर्ड के रूप में यूटीएम का उपयोग करना होगा। और iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static जैसा कमांड टाइप करें। बाद में हम निर्दिष्ट पते पर यूजरगेट वेब कंसोल पर जाते हैं, इसे कुछ इस तरह दिखना चाहिए: https://UserGateIPaddress:8001:

वेब कंसोल में हम इंस्टॉलेशन जारी रखते हैं, हमें इंटरफ़ेस भाषा (फिलहाल यह रूसी या अंग्रेजी है), समय क्षेत्र का चयन करना होगा, फिर लाइसेंस समझौते को पढ़ना और सहमत होना होगा। वेब प्रबंधन इंटरफ़ेस में लॉग इन करने के लिए लॉगिन और पासवर्ड सेट करें।

3. सेटअप

इंस्टालेशन के बाद, प्लेटफ़ॉर्म प्रबंधन वेब इंटरफ़ेस विंडो इस तरह दिखती है:

फिर आपको नेटवर्क इंटरफेस को कॉन्फ़िगर करने की आवश्यकता है। ऐसा करने के लिए, "इंटरफ़ेस" अनुभाग में आपको उन्हें सक्षम करना होगा, सही आईपी पते सेट करना होगा और उपयुक्त क्षेत्र निर्दिष्ट करना होगा।

"इंटरफ़ेस" अनुभाग सिस्टम में उपलब्ध सभी भौतिक और आभासी इंटरफेस प्रदर्शित करता है, आपको उनकी सेटिंग्स बदलने और वीएलएएन इंटरफेस जोड़ने की अनुमति देता है। यह प्रत्येक क्लस्टर नोड के सभी इंटरफेस भी दिखाता है। इंटरफ़ेस सेटिंग्स प्रत्येक नोड के लिए विशिष्ट हैं, अर्थात, वे वैश्विक नहीं हैं।

इंटरफ़ेस गुणों में:

• इंटरफ़ेस सक्षम या अक्षम करें 

• इंटरफ़ेस प्रकार निर्दिष्ट करें - परत 3 या मिरर

• किसी इंटरफ़ेस को एक ज़ोन निर्दिष्ट करें

• नेटफ़्लो कलेक्टर को सांख्यिकीय डेटा भेजने के लिए नेटफ़्लो प्रोफ़ाइल असाइन करें

• इंटरफ़ेस के भौतिक पैरामीटर बदलें - मैक पता और एमटीयू आकार

• आईपी ​​एड्रेस असाइनमेंट के प्रकार का चयन करें - कोई पता नहीं, स्थिर आईपी पता या डीएचसीपी के माध्यम से प्राप्त किया गया

• चयनित इंटरफ़ेस पर डीएचसीपी रिले को कॉन्फ़िगर करें।

"जोड़ें" बटन आपको निम्नलिखित प्रकार के तार्किक इंटरफेस जोड़ने की अनुमति देता है:

• VLAN

• बंधन

• पुल

• PPPoE

• वीपीएन

• सुरंग

पहले सूचीबद्ध ज़ोन के अलावा, जिनके साथ यूजरगेट छवि शिप करती है, तीन और पूर्वनिर्धारित प्रकार हैं:

क्लस्टर - क्लस्टर संचालन के लिए उपयोग किए जाने वाले इंटरफेस के लिए क्षेत्र

साइट-टू-साइट के लिए वीपीएन - एक ज़ोन जिसमें वीपीएन के माध्यम से यूजरगेट से जुड़े सभी ऑफिस-ऑफिस क्लाइंट रखे जाते हैं

रिमोट एक्सेस के लिए वीपीएन - एक ज़ोन जिसमें वीपीएन के माध्यम से यूजरगेट से जुड़े सभी मोबाइल उपयोगकर्ता शामिल हैं

यूजरगेट प्रशासक डिफ़ॉल्ट जोन की सेटिंग्स बदल सकते हैं और अतिरिक्त जोन भी बना सकते हैं, लेकिन जैसा कि संस्करण 5 मैनुअल में बताया गया है, अधिकतम 15 जोन बनाए जा सकते हैं। इन्हें बदलने या बनाने के लिए आपको ज़ोन सेक्शन में जाना होगा। प्रत्येक ज़ोन के लिए, आप एक पैकेट ड्रॉप थ्रेशोल्ड सेट कर सकते हैं; SYN, UDP, ICMP समर्थित हैं। यूजरगेट सेवाओं तक पहुंच नियंत्रण भी कॉन्फ़िगर किया गया है, और स्पूफिंग के खिलाफ सुरक्षा सक्षम है।

इंटरफ़ेस को कॉन्फ़िगर करने के बाद, आपको "गेटवे" अनुभाग में डिफ़ॉल्ट रूट को कॉन्फ़िगर करना होगा। वे। UserGate को इंटरनेट से कनेक्ट करने के लिए, आपको एक या अधिक गेटवे का IP पता निर्दिष्ट करना होगा। यदि आप इंटरनेट से कनेक्ट करने के लिए कई प्रदाताओं का उपयोग करते हैं, तो आपको कई गेटवे निर्दिष्ट करने होंगे। प्रत्येक क्लस्टर नोड के लिए गेटवे कॉन्फ़िगरेशन अद्वितीय है। यदि दो या अधिक गेटवे निर्दिष्ट हैं, तो 2 विकल्प संभव हैं:

1. गेटवे के बीच यातायात को संतुलित करना।

2. एक अतिरिक्त पर स्विच करने के साथ मुख्य प्रवेश द्वार।

गेटवे स्थिति (उपलब्ध - हरा, अनुपलब्ध - लाल) निम्नानुसार निर्धारित की जाती है:

1. नेटवर्क जांच अक्षम है - यदि यूजरगेट एआरपी अनुरोध का उपयोग करके अपना मैक पता प्राप्त कर सकता है तो गेटवे को पहुंच योग्य माना जाता है। इस गेटवे के माध्यम से इंटरनेट एक्सेस की कोई जांच नहीं है। यदि गेटवे का मैक पता निर्धारित नहीं किया जा सकता है, तो गेटवे को पहुंच से बाहर माना जाता है।

2. नेटवर्क जाँच सक्षम है - गेटवे को सुलभ माना जाता है यदि:

• UserGate ARP अनुरोध का उपयोग करके अपना MAC पता प्राप्त कर सकता है।

• इस गेटवे के माध्यम से इंटरनेट एक्सेस की जांच सफलतापूर्वक पूरी हो गई।

अन्यथा, गेटवे अनुपलब्ध माना जाता है।

"DNS" अनुभाग में आपको उन DNS सर्वरों को जोड़ना होगा जिनका उपयोग UserGate करेगा। यह सेटिंग सिस्टम DNS सर्वर क्षेत्र में निर्दिष्ट है। उपयोगकर्ताओं के DNS अनुरोधों को प्रबंधित करने के लिए नीचे सेटिंग्स दी गई हैं। UserGate आपको DNS प्रॉक्सी का उपयोग करने की अनुमति देता है। DNS प्रॉक्सी सेवा आपको उपयोगकर्ताओं से DNS अनुरोधों को रोकने और व्यवस्थापक की आवश्यकताओं के आधार पर उन्हें बदलने की अनुमति देती है। DNS प्रॉक्सी नियमों का उपयोग उन DNS सर्वरों को निर्दिष्ट करने के लिए किया जा सकता है जिन पर विशिष्ट डोमेन के लिए अनुरोध अग्रेषित किए जाते हैं। इसके अलावा, DNS प्रॉक्सी का उपयोग करके, आप होस्ट प्रकार (ए रिकॉर्ड) के स्थिर रिकॉर्ड सेट कर सकते हैं।

"NAT और रूटिंग" अनुभाग में आपको आवश्यक NAT नियम बनाने होंगे। विश्वसनीय नेटवर्क के उपयोगकर्ताओं द्वारा इंटरनेट तक पहुंच के लिए, NAT नियम पहले ही बनाया जा चुका है - "विश्वसनीय->अविश्वसनीय", जो कुछ बचा है उसे सक्षम करना है। नियम कंसोल में सूचीबद्ध क्रम में ऊपर से नीचे तक लागू होते हैं। केवल पहला नियम जिसके लिए नियम में निर्दिष्ट शर्तें हमेशा निष्पादित होती हैं। नियम को ट्रिगर करने के लिए, नियम मापदंडों में निर्दिष्ट सभी शर्तों का मिलान होना चाहिए। UserGate सामान्य NAT नियम बनाने की अनुशंसा करता है, उदाहरण के लिए, एक स्थानीय नेटवर्क (आमतौर पर एक विश्वसनीय क्षेत्र) से इंटरनेट (आमतौर पर एक अविश्वसनीय क्षेत्र) के लिए एक NAT नियम, और फ़ायरवॉल नियमों का उपयोग करके उपयोगकर्ताओं, सेवाओं और अनुप्रयोगों तक पहुंच को प्रतिबंधित करना।

डीएनएटी नियम, पोर्ट फ़ॉरवर्डिंग, नीति-आधारित रूटिंग, नेटवर्क मैपिंग बनाना भी संभव है।

इसके बाद, “फ़ायरवॉल” अनुभाग में आपको फ़ायरवॉल नियम बनाने होंगे। विश्वसनीय नेटवर्क के उपयोगकर्ताओं के लिए इंटरनेट तक असीमित पहुंच के लिए, एक फ़ायरवॉल नियम भी पहले ही बनाया जा चुका है - "विश्वसनीय के लिए इंटरनेट" और इसे सक्षम किया जाना चाहिए। फ़ायरवॉल नियमों का उपयोग करके, व्यवस्थापक UserGate से गुजरने वाले किसी भी प्रकार के पारगमन नेटवर्क ट्रैफ़िक को अनुमति या अस्वीकार कर सकता है। नियम शर्तों में क्षेत्र और स्रोत/गंतव्य आईपी पते, उपयोगकर्ता और समूह, सेवाएँ और एप्लिकेशन शामिल हो सकते हैं। नियम उसी तरह लागू होते हैं जैसे "NAT और रूटिंग" अनुभाग में, अर्थात। उपर से नीचे। यदि कोई नियम नहीं बनाया गया है, तो यूजरगेट के माध्यम से कोई भी पारगमन यातायात निषिद्ध है।

4। निष्कर्ष

इससे लेख समाप्त होता है। हमने वर्चुअल मशीन पर यूजरगेट फ़ायरवॉल स्थापित किया और विश्वसनीय नेटवर्क पर इंटरनेट के काम करने के लिए न्यूनतम आवश्यक सेटिंग्स बनाईं। हम निम्नलिखित लेखों में आगे के कॉन्फ़िगरेशन पर विचार करेंगे।

हमारे चैनलों में अपडेट के लिए बने रहें (Telegram, फेसबुक, VK, टीएस समाधान ब्लॉग)!

स्रोत: www.habr.com