3. UserGate प्रारंभ करना। नेटवर्क नीतियां

मैं यूजरगेट गेटिंग स्टार्टेड लेख श्रृंखला के तीसरे लेख में पाठकों का स्वागत करता हूं, जो कंपनी के एनजीएफडब्ल्यू समाधान के बारे में बात करता है। उपयोगकर्ता. पिछले लेख में फ़ायरवॉल स्थापित करने की प्रक्रिया का वर्णन किया गया था और इसका प्रारंभिक कॉन्फ़िगरेशन किया गया था। अभी, हम फ़ायरवॉल, NAT और रूटिंग और बैंडविड्थ जैसे अनुभागों में नियम बनाने पर करीब से नज़र डालेंगे।

यूजरगेट नियमों की विचारधारा ऐसी है कि नियमों को ऊपर से नीचे तक निष्पादित किया जाता है, जब तक कि पहला काम न हो जाए। उपरोक्त के आधार पर, यह निष्कर्ष निकलता है कि अधिक विशिष्ट नियम अधिक सामान्य नियमों से ऊंचे होने चाहिए। लेकिन यह ध्यान दिया जाना चाहिए, चूंकि नियमों की जाँच क्रम से की जाती है, इसलिए सामान्य नियम बनाना प्रदर्शन की दृष्टि से बेहतर है। कोई भी नियम बनाते समय शर्तें "AND" तर्क के अनुसार लागू की जाती हैं। यदि तर्क "OR" का उपयोग करना आवश्यक है, तो यह कई नियम बनाकर प्राप्त किया जाता है। तो इस आलेख में जो वर्णित है वह अन्य यूजरगेट नीतियों पर भी लागू होता है।

फ़ायरवॉल

UserGate स्थापित करने के बाद, "फ़ायरवॉल" अनुभाग में पहले से ही एक सरल नीति मौजूद है। पहले दो नियम बॉटनेट के लिए ट्रैफ़िक को प्रतिबंधित करते हैं। विभिन्न क्षेत्रों से पहुंच नियमों के उदाहरण निम्नलिखित हैं। अंतिम नियम को हमेशा "ब्लॉक ऑल" कहा जाता है और इसे लॉक प्रतीक के साथ चिह्नित किया जाता है (इसका मतलब है कि नियम को हटाया, संशोधित, स्थानांतरित, अक्षम नहीं किया जा सकता है, इसे केवल लॉगिंग विकल्प के लिए सक्षम किया जा सकता है)। इस प्रकार, इस नियम के कारण, स्पष्ट रूप से अनुमत सभी ट्रैफ़िक को अंतिम नियम द्वारा अवरुद्ध कर दिया जाएगा। यदि आप UserGate के माध्यम से सभी ट्रैफ़िक को अनुमति देना चाहते हैं (हालाँकि यह दृढ़ता से हतोत्साहित किया जाता है), तो आप हमेशा अंतिम नियम "सभी को अनुमति दें" बना सकते हैं।

फ़ायरवॉल नियम को संपादित या बनाते समय, सबसे पहले सामान्य टैब, आपको निम्नलिखित कार्य करने होंगे: 

• चेकबॉक्स "चालू" नियम को सक्षम या अक्षम करें।

• नियम का नाम दर्ज करें.

• नियम का विवरण सेट करें.

• दो क्रियाओं में से चुनें:

  • अस्वीकार - ट्रैफ़िक को अवरुद्ध करता है (इस शर्त को सेट करते समय, ICMP होस्ट को पहुंच से बाहर भेजना संभव है, आपको बस उचित चेकबॉक्स सेट करने की आवश्यकता है)।

  • अनुमति दें - यातायात की अनुमति देता है।

• परिदृश्य आइटम - आपको एक परिदृश्य का चयन करने की अनुमति देता है, जो नियम को सक्रिय करने के लिए एक अतिरिक्त शर्त है। इस प्रकार UserGate SOAR (सुरक्षा ऑर्केस्ट्रेशन, स्वचालन और प्रतिक्रिया) की अवधारणा को लागू करता है।

• लॉगिंग - नियम लागू होने पर लॉग में ट्रैफ़िक के बारे में जानकारी लिखें। संभावित विकल्प:

  • सत्र की शुरुआत लॉग करें. इस मामले में, ट्रैफ़िक लॉग में केवल सत्र की शुरुआत (पहला पैकेट) के बारे में जानकारी लिखी जाएगी। यह अनुशंसित लॉगिंग विकल्प है.

  • प्रत्येक पैकेट को लॉग करें. इस मामले में, प्रत्येक प्रेषित नेटवर्क पैकेट के बारे में जानकारी दर्ज की जाएगी। इस मोड के लिए, उच्च डिवाइस लोड को रोकने के लिए लॉगिंग सीमा को सक्षम करने की अनुशंसा की जाती है।

• नियम इस पर लागू करें:

  • सभी पैकेज

  • खंडित पैकेटों के लिए

  • अखण्डित पैकेजों के लिए

• नया नियम बनाते समय आप पॉलिसी में जगह चुन सकते हैं।

अगला स्रोत टैब. यहां हम ट्रैफ़िक के स्रोत को इंगित करते हैं, यह वह क्षेत्र हो सकता है जहां से ट्रैफ़िक आता है, या आप एक सूची या एक विशिष्ट आईपी-पता (जियोआईपी) निर्दिष्ट कर सकते हैं। डिवाइस में सेट किए जा सकने वाले लगभग सभी नियमों में, किसी नियम से एक ऑब्जेक्ट बनाया जा सकता है, उदाहरण के लिए, "ज़ोन" अनुभाग पर जाए बिना, आप ज़ोन बनाने के लिए "नया ऑब्जेक्ट बनाएं और जोड़ें" बटन का उपयोग कर सकते हैं ज़रुरत है। "इनवर्ट" चेकबॉक्स भी अक्सर पाया जाता है, यह नियम की स्थिति में कार्रवाई को उलट देता है, जो तार्किक कार्रवाई निषेध के समान है। गंतव्य टैब स्रोत टैब के समान, लेकिन ट्रैफ़िक स्रोत के बजाय, हम ट्रैफ़िक गंतव्य निर्धारित करते हैं। उपयोगकर्ता टैब - इस स्थान पर आप उन उपयोगकर्ताओं या समूहों की सूची जोड़ सकते हैं जिनके लिए यह नियम लागू होता है। सेवा टैब - पहले से ही पूर्वनिर्धारित में से सेवा का प्रकार चुनें या आप अपना खुद का सेट कर सकते हैं। एप्लिकेशन टैब - विशिष्ट एप्लिकेशन या एप्लिकेशन के समूह यहां चुने गए हैं। और समय टैब वह समय निर्दिष्ट करें जब यह नियम सक्रिय हो. 

पिछले पाठ के बाद से, हमारे पास "ट्रस्ट" ज़ोन से इंटरनेट तक पहुंचने का एक नियम है, अब मैं एक उदाहरण के रूप में दिखाऊंगा कि "ट्रस्ट" ज़ोन से "अनट्रस्टेड" ज़ोन तक ICMP ट्रैफ़िक के लिए एक इनकार नियम कैसे बनाया जाए।

सबसे पहले, "जोड़ें" बटन पर क्लिक करके एक नियम बनाएं। खुलने वाली विंडो में, सामान्य टैब पर, नाम भरें (ICMP को विश्वसनीय से अविश्वसनीय तक सीमित करें), "चालू" चेकबॉक्स को चेक करें, अक्षम कार्रवाई का चयन करें, और सबसे महत्वपूर्ण बात, इस नियम के लिए सही स्थान चुनें। मेरी नीति के अनुसार, इस नियम को "विश्वसनीय को अविश्वसनीय की अनुमति दें" नियम से ऊपर रखा जाना चाहिए:

मेरे कार्य के लिए "स्रोत" टैब पर, दो विकल्प हैं:

• "विश्वसनीय" क्षेत्र का चयन करके

• "विश्वसनीय" को छोड़कर सभी क्षेत्रों का चयन करके और "इनवर्ट" चेकबॉक्स पर टिक करके

गंतव्य टैब को स्रोत टैब के समान ही कॉन्फ़िगर किया गया है।

इसके बाद, "सेवा" टैब पर जाएं, क्योंकि UserGate के पास ICMP ट्रैफ़िक के लिए एक पूर्वनिर्धारित सेवा है, फिर "जोड़ें" बटन पर क्लिक करके, हम प्रस्तावित सूची से "कोई भी ICMP" नाम वाली एक सेवा का चयन करते हैं:

शायद यह यूजरगेट के रचनाकारों का इरादा था, लेकिन मैं कई बिल्कुल समान नियम बनाने में कामयाब रहा। हालाँकि सूची में से केवल पहला नियम ही क्रियान्वित किया जाएगा, मुझे लगता है कि एक ही नाम से ऐसे नियम बनाने की क्षमता जो कार्यक्षमता में भिन्न हैं, कई डिवाइस प्रशासकों के काम करने पर भ्रम पैदा कर सकते हैं।

NAT और रूटिंग

NAT नियम बनाते समय, हम फ़ायरवॉल की तरह कई समान टैब देखते हैं। "प्रकार" फ़ील्ड "सामान्य" टैब पर दिखाई देती है, यह आपको यह चुनने की अनुमति देती है कि यह नियम किसके लिए ज़िम्मेदार होगा:

• NAT - नेटवर्क एड्रेस ट्रांसलेशन।

• डीएनएटी - ट्रैफ़िक को निर्दिष्ट आईपी पते पर पुनर्निर्देशित करता है।

• पोर्ट फ़ॉरवर्डिंग - ट्रैफ़िक को निर्दिष्ट आईपी पते पर पुनर्निर्देशित करता है, लेकिन आपको प्रकाशित सेवा के पोर्ट नंबर को बदलने की अनुमति देता है

• नीति-आधारित रूटिंग - आपको विस्तारित जानकारी, जैसे सेवाओं, मैक पते, या सर्वर (आईपी पते) के आधार पर आईपी पैकेट को रूट करने की अनुमति देता है।

• नेटवर्क मैपिंग - आपको एक नेटवर्क के स्रोत या गंतव्य आईपी पते को दूसरे नेटवर्क से बदलने की अनुमति देता है।

उपयुक्त नियम प्रकार का चयन करने के बाद, इसके लिए सेटिंग्स उपलब्ध होंगी।

एसएनएटी आईपी (बाहरी पता) फ़ील्ड में, हम स्पष्ट रूप से उस आईपी पते को निर्दिष्ट करते हैं जिससे स्रोत पता बदला जाएगा। यदि गंतव्य क्षेत्र में इंटरफेस के लिए एकाधिक आईपी पते निर्दिष्ट हैं तो यह फ़ील्ड आवश्यक है। यदि आप इस फ़ील्ड को खाली छोड़ देते हैं, तो सिस्टम गंतव्य क्षेत्र इंटरफ़ेस को निर्दिष्ट उपलब्ध आईपी पते की सूची से एक यादृच्छिक पते का उपयोग करेगा। UserGate फ़ायरवॉल प्रदर्शन को बेहतर बनाने के लिए SNAT IP निर्दिष्ट करने की अनुशंसा करता है।

उदाहरण के लिए, मैं "पोर्ट-फ़ॉरवर्डिंग" नियम का उपयोग करके "डीएमजेड" ज़ोन में स्थित विंडोज सर्वर की एसएसएच सेवा प्रकाशित करूंगा। ऐसा करने के लिए, "जोड़ें" बटन पर क्लिक करें और "सामान्य" टैब भरें, नियम का नाम "विंडोज के लिए एसएसएच" और "पोर्ट अग्रेषण" प्रकार निर्दिष्ट करें:

"स्रोत" टैब पर, "अविश्वसनीय" क्षेत्र का चयन करें और "पोर्ट-फ़ॉरवर्डिंग" टैब पर जाएं। यहां हमें प्रोटोकॉल "टीसीपी" निर्दिष्ट करना होगा (चार विकल्प उपलब्ध हैं - टीसीपी, यूडीपी, एसएमटीपी, एसएमटीपीएस)। मूल गंतव्य पोर्ट 9922 - पोर्ट संख्या जिस पर उपयोगकर्ता अनुरोध भेजते हैं (पोर्ट: 2200, 8001, 4369, 9000-9100 का उपयोग नहीं किया जा सकता)। नया गंतव्य पोर्ट (22) वह पोर्ट नंबर है जिस पर आंतरिक प्रकाशित सर्वर के उपयोगकर्ता अनुरोधों को अग्रेषित किया जाएगा।

"डीएनएटी" टैब पर, स्थानीय नेटवर्क पर कंप्यूटर का आईपी-पता सेट करें, जो इंटरनेट पर प्रकाशित होता है (192.168.3.2)। और आप वैकल्पिक रूप से एसएनएटी को सक्षम कर सकते हैं, फिर यूजरगेट बाहरी नेटवर्क से पैकेट में स्रोत पते को अपने आईपी पते में बदल देगा।

सभी सेटिंग्स के बाद, एक नियम प्राप्त होता है जो कनेक्ट करते समय बाहरी यूजरगेट पते का उपयोग करके एसएसएच प्रोटोकॉल के माध्यम से आईपी-एड्रेस 192.168.3.2 के साथ "अविश्वसनीय" ज़ोन से सर्वर तक पहुंच की अनुमति देता है।

क्षमता

यह अनुभाग बैंडविड्थ नियंत्रण के नियमों को परिभाषित करता है। उनका उपयोग कुछ उपयोगकर्ताओं, होस्टों, सेवाओं, अनुप्रयोगों के चैनल को प्रतिबंधित करने के लिए किया जा सकता है।

नियम बनाते समय, टैब पर स्थितियाँ उस ट्रैफ़िक को निर्धारित करती हैं जिस पर प्रतिबंध लागू होते हैं। बैंडविड्थ को प्रस्तावित में से चुना जा सकता है, या अपना खुद का सेट किया जा सकता है। बैंडविड्थ बनाते समय, आप डीएससीपी ट्रैफ़िक प्राथमिकताकरण लेबल निर्दिष्ट कर सकते हैं। डीएससीपी लेबल कब लागू किए जाते हैं इसका एक उदाहरण: किसी नियम में उस परिदृश्य को निर्दिष्ट करके जिसमें यह नियम लागू किया जाता है, तो यह नियम स्वचालित रूप से इन लेबलों को बदल सकता है। स्क्रिप्ट कैसे काम करती है इसका एक और उदाहरण: नियम उपयोगकर्ता के लिए तभी काम करेगा जब टोरेंट का पता चलेगा या ट्रैफ़िक की मात्रा निर्दिष्ट सीमा से अधिक हो जाएगी। ट्रैफ़िक के प्रकार के आधार पर, जिस पर नियम लागू किया जाना चाहिए, शेष टैब अन्य नीतियों की तरह ही भरे जाते हैं।

निष्कर्ष

इस लेख में, मैंने फ़ायरवॉल, NAT और रूटिंग और बैंडविड्थ अनुभागों में नियमों के निर्माण पर चर्चा की। और लेख की शुरुआत में, उन्होंने यूजरगेट नीतियां बनाने के नियमों के साथ-साथ नियम बनाते समय शर्तों के सिद्धांत का वर्णन किया। 

हमारे चैनलों में अपडेट के लिए बने रहें (Telegram, फेसबुक, VK, टीएस समाधान ब्लॉग)!

स्रोत: www.habr.com