Helló, ez a második cikk a UserGate NGFW megoldásáról. A cikk célja, hogy bemutassa, hogyan lehet telepíteni a UserGate tűzfalat egy virtuális rendszeren (a VMware Workstation virtualizáló szoftver használatával), és elvégezni az elsődleges beállításokat (engedélyezni a helyi hálózat hozzáférését a UserGate átjárón keresztül az internethez).
1. Bevezetés
Első lépésként a tűzfal közvetítésének különböző módjait írom le. Szeretném megjegyezni, hogy a választott csatlakozási lehetőségtől függően a tűzfal egyes funkciói nem állnak rendelkezésre. A UserGate a következő csatlakozási módokat támogatja:
L3-L7 tűzfal
L2 áttetsző híd
L3 áttetsző híd
Virtuális megszakítás WCCP protokoll alkalmazásával
Virtuális megszakítás Policy Based Routing alkalmazásával
Router on a Stick
Kifejezetten megadott WEB-proxy
UserGate mint alapértelmezett átjáró
Mirror-porti megfigyelés
A UserGate 2 típusú klasztert támogat:
Konfigurációs klaszter. A konfigurációs klaszterbe tartozó csomópontok egységes beállításokkal rendelkeznek a klaszter keretein belül.
Hibatűrő klaszter. Legfeljebb 4 konfigurációs klaszter csomópont összevont hibatűrő klasztert alkothat, amely aktív-aktív vagy aktív-passzív módban működik. Több hibatűrő klaszter is létrehozható.
2. Telepítés
Ahogy az előző cikkben említésre került, a UserGate szoftver- és hardverkomplexum formájában kerül forgalomba, vagy virtuális környezetben telepítik. A weboldalról a fiókomból letölthető az OVF (Open Virtualization Format) formátumú image, amely a VMWare és az Oracle VirtualBox gyártók számára megfelelő. A Microsoft Hyper-V és a KVM számára virtuális gép lemezképeket biztosítanak.
A UserGate weboldala szerint a virtuális gép optimális működéséhez minimum 8 GB RAM és 2 magnak megfelelő virtuális processzor használata javasolt. A hypervisor-nak támogatnia kell a 64 bites operációs rendszerek futtatását.
A telepítést az image importálásával kezdjük a kiválasztott hypervisorba (VirtualBox és VMWare). Microsoft Hyper-V és KVM esetén virtuális gépet kell létrehozni és az letöltött image-t kell lemezként megadni, majd a virtuális gép beállításaiban ki kell kapcsolni az integrációs szolgáltatásokat.
Alapértelmezés szerint az importálás után a VMWare egy virtuális gépet hoz létre a következő beállításokkal:
Ahogy fentebb említve lett, legalább 8 GB RAM-ra van szükség, és minden 100 felhasználóra további 1 GB-ot kell hozzáadni. Az alapértelmezett merevlemez mérete 100 GB, azonban ez általában nem elegendő az összes napló és beállítás tárolásához. A javasolt méret 300 GB vagy annál nagyobb. Ezért a virtuális gép tulajdonságaiban módosítjuk a lemez méretét a kívánt értékre. Az alapértelmezett UserGate UTM négy interfésszel érkezik, melyek zónákhoz vannak hozzárendelve:
Management — a virtuális gép első interfésze, zóna megbízható hálózatokhoz, ahonnan a UserGate kezelése engedélyezett.
Trusted — a virtuális gép második interfésze, zóna megbízható hálózatokhoz, például LAN-hálózatokhoz.
Untrusted — a virtuális gép harmadik interfésze, zóna azokhoz az interfészekhez, amelyek nem megbízható hálózatokhoz csatlakoznak, például az internethez.
DMZ — a virtuális gép negyedik interfésze, zóna azokhoz az interfészekhez, amelyek a DMZ hálózathoz csatlakoznak.
Ezután elindítjuk a virtuális gépeket, bár a kézikönyvben az áll, hogy válasszuk a Support Tools-t és hajtsuk végre a Factory reset UTM-et, de mint látjuk, csak egy lehetőség van (UTM First Boot). E lépés során az UTM konfigurálja a hálózati adaptereket, és növeli a merevlemez partíciójának méretét a teljes lemez méretére:
A UserGate webes felületére való csatlakozáshoz a Management zónán keresztül kell belépni, ezt az eth0 interfész kezeli, amely automatikusan IP-címet kap (DHCP-n keresztül). Ha nem lehetséges automatikusan IP-címet rendelni a Management interfészhez DHCP-n keresztül, akkor azt kifejezetten be lehet állítani a CLI (Command Line Interface) használatával. Ehhez be kell lépni a CLI-be, a Full administrator jogokkal rendelkező felhasználónév és jelszó használatával (alapértelmezés szerint Admin, nagybetűvel). Ha a UserGate eszköz nem ment át a kezdeti inicializáción, akkor a CLI-hez való hozzáféréshez Admin felhasználónevet és utm jelszót kell használni. A parancsot a következő módon kell megadni: iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. Később a UserGate webkonzoljához navigálunk a megadott címen, ami körülbelül így fog kinézni:https://UserGateIPaddress:8001:
A web console-ban folytatjuk a telepítést, választanunk kell a felhasználói felület nyelvét (jelenleg orosz vagy angol), az időzónát, majd elolvassuk és elfogadjuk a licencszerződést. Megadjuk a belépési nevet és jelszót a kezelőfelülethez.
3. Beállítás
A telepítés után így néz ki a platform kezelőfelületének ablaka:
Ezután be kell állítani a hálózati interfészeket. Ehhez az "Interfészek" szekcióban be kell őket kapcsolni, meg kell adni a megfelelő IP-címeket és hozzárendelni a megfelelő zónákat.
Az "Interfészek" szekció megjeleníti az összes fizikai és virtuális interfészt, amely a rendszerben elérhető, lehetővé teszi a beállítások módosítását és VLAN-interfészek hozzáadását. Ezenkívül megjeleníti a klaszter minden csomópontjának interfészeit. Az interfészbeállítások minden csomópont számára specifikusak, tehát nem globálisak.
Az interfész tulajdonságainál:
Interfész engedélyezése vagy letiltása
Az interfész típusának megadása - Layer 3 vagy Tükör
Zóna hozzárendelése az interfészhez
Netflow profil hozzárendelése a statisztikai adatok Netflow gyűjtőre történő küldéséhez
Az interfész fizikai paramétereinek módosítása - MAC-cím és MTU méret
IP-cím hozzárendelésének típusa - cím nélküli, statikus IP-cím vagy DHCP által kapott cím
DHCP átkapcsoló működésének beállítása a kiválasztott interfészen.
A "Hozzáadás" gomb lehetővé teszi a következő típusú logikai interfészek hozzáadását:
VLAN
Bond
Híd
PPPoE
VPN
Alagút
A Usergate képmásával szállított zónákon kívül még három előre definiált zóna létezik:
Cluster - zóna a klaszter működéséhez használt interfészek számára
VPN Site-to-Site - zóna, amelybe minden Ooffice-to-Ooffice típusú ügyfél belekerül, akik VPN-en keresztül csatlakoznak a UserGate-hez
VPN távoli hozzáférés - zóna, amelybe minden mobil felhasználó belekerül, aki VPN-en keresztül csatlakozik a UserGate-hez
A UserGate rendszergazdái módosíthatják az alapértelmezett zónák beállításait, valamint új zónákat hozhatnak létre, de a 5-ös verzió használati útmutatója szerint nem hozhatnak létre több mint 15 zónát. A zónák módosításához vagy létrehozásához a zónák szekcióba kell navigálni. Minden zónához beállítható a csomagok eldobásának küszöbe, támogatott a SYN, UDP, ICMP. Továbbá beállítható a Usergate szolgáltatásokhoz való hozzáférés ellenőrzése, és aktiválható a hamisítvány védelem.
A felületek beállítása után a „Gerendák” részben be kell állítani az alapértelmezett útvonalat. Tehát a UserGate internetre való csatlakoztatásához meg kell adni egy vagy több gerenda IP-címét. Ha több szolgáltató használatával csatlakozik az internethez, akkor több gerendát kell megadni. A gerenda beállítása egyedi minden egyes klasztercsomópont számára. Ha két vagy több gerenda van megadva, akkor két működési lehetőség áll fenn:
A forgalom elosztása a gerendák között.
Fő gerenda átkapcsolással tartalékra.
A gerenda állapotát (elérhető - zöld, nem elérhető - piros) a következőképpen határozzák meg:
Ha a hálózati ellenőrzés ki van kapcsolva, a gerenda elérhetőnek számít, ha a UserGate meg tudja szerezni a MAC-címét ARP-kérdéssel. Az internethez való hozzáférés ellenőrzése ezen a gerendán nem történik. Ha a gerenda MAC-címét nem lehet meghatározni, a gerenda nem elérhető.
Ha a hálózati ellenőrzés be van kapcsolva, a gerenda elérhetőnek számít, ha:
A UserGate meg tudja szerezni a MAC-címét ARP-kérdéssel.
Az internethez való hozzáférés ellenőrzése ezen a gerendán sikeresen befejeződött.
Ellenkező esetben a gerenda nem elérhetőnek számít.
A „DNS” részben hozzá kell adni azokat a DNS szervereket, amelyeket a UserGate használni fog. Ezt a beállítást a Rendszer DNS-szerverek területen kell megadni. Az alábbiakban a felhasználók DNS-kérdéseinek kezelésére vonatkozó beállítások találhatók. A UserGate lehetővé teszi a DNS-proxy használatát. A DNS-proxy szolgáltatás lehetővé teszi, hogy a felhasználók DNS-kéréseit felügyeljük és igény szerint módosítsuk. A DNS-proxy szabályaival meg lehet adni azokat a DNS-szervereket, amelyekre a meghatározott domainekre vonatkozó kérések továbbítódnak. Ezen kívül a DNS-proxy segítségével statikus host (A-rekord) bejegyzéseket is lehet megadni.
A "NAT and Routing" section must be created with the necessary NAT rules. For internet access for users of the Trusted network, the NAT rule "Trusted->Untrusted" has already been created — it just needs to be enabled. Rules are applied from top to bottom in the order they are listed in the console. Only the first rule that meets the specified conditions will be executed. For the rule to trigger, all conditions specified in the rule parameters must match. UserGate recommends creating common NAT rules, for example, a NAT rule from the local network (usually the Trusted zone) to the internet (usually the Untrusted zone), while differentiating access by users, services, and applications through firewall rules.
It is also possible to create DNAT rules, port forwarding, Policy-based routing, and Network mapping.
After that, in the "Firewall" section, it is necessary to create firewall rules. For unrestricted internet access for users of the Trusted network, the firewall rule "Internet for Trusted" has also been created — it needs to be enabled. With the help of firewall rules, the administrator can allow or deny any type of transit network traffic passing through UserGate. As conditions, zones and source/destination IP addresses, users and groups, services, and applications can serve as conditions for the rules. The rules are applied just as in the "NAT and Routing" section, i.e., from top to bottom. If no rules have been created, any transit traffic through UserGate is prohibited.
4. Következtetés
This concludes the article. We have installed the UserGate firewall on a virtual machine and made the minimal necessary configurations to ensure that the internet works in the Trusted network. Further configurations will be covered in the following articles.
Kövessen minket frissítéseinkért a csatornánkon (, , , )!
Forrás: habr.com
