{"id":90211,"date":"2020-07-30T01:42:13","date_gmt":"2020-07-29T23:42:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn"},"modified":"2020-07-30T01:42:13","modified_gmt":"2020-07-29T23:42:13","slug":"4-ngfw-dlya-malogo-biznesa-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn","title":{"rendered":"4. NGFW a kisv\u00e1llalkoz\u00e1sok sz\u00e1m\u00e1ra. VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"4.
\n<\/p>\n

Folytatjuk a kisv\u00e1llalkoz\u00e1sok sz\u00e1m\u00e1ra k\u00e9sz\u00fclt NGFW cikksorozatunkat, eml\u00e9keztetn\u00e9k, hogy az \u00faj 1500-as sorozatot vizsg\u00e1ljuk. A 1. r\u00e9sz\u00e9ben<\/a><\/noindex> ciklusomban eml\u00edt\u00e9st nyert egyike a legfontosabb opci\u00f3knak a SMB eszk\u00f6z v\u00e1s\u00e1rl\u00e1sakor \u2014 a gateway-ek sz\u00e1ll\u00edt\u00e1sa be\u00e9p\u00edtett Mobile Access licenszekkel (100-t\u00f3l 200 felhaszn\u00e1l\u00f3ig a modellt\u0151l f\u00fcgg\u0151en). Ebben a cikkben a 1500-as sorozat\u00fa gateway-ek VPN be\u00e1ll\u00edt\u00e1s\u00e1t n\u00e9zz\u00fck meg, amelyek a Gaia 80.20 Embedded-tel \u00e9rkeznek. \u00cdme egy r\u00f6vid \u00f6sszefoglal\u00f3:<\/p>\n

<\/p>\n

    \n
  1. VPN lehet\u0151s\u00e9gek SMB sz\u00e1m\u00e1ra.<\/li>\n
  2. T\u00e1vhozz\u00e1f\u00e9r\u00e9s a kis irod\u00e1k sz\u00e1m\u00e1ra.<\/li>\n
  3. El\u00e9rhet\u0151 kliensek csatlakoz\u00e1shoz.<\/li>\n<\/ol>\n

    <\/a><\/noindex><\/p>\n

    1. VPN lehet\u0151s\u00e9gek SMB sz\u00e1m\u00e1ra<\/h3>\n

    <\/p>\n

    A mai anyag el\u0151k\u00e9sz\u00edt\u00e9s\u00e9hez az official adminisztr\u00e1tori \u00fatmutat\u00f3t<\/a><\/noindex> haszn\u00e1ltuk az R80.20.05 verzi\u00f3j\u00e1r\u00f3l (a cikk megjelen\u00e9sekor \u2014 aktu\u00e1lis). Ennek megfelel\u0151en a Gaia 80.20 Embedded VPN r\u00e9sz\u00e9ben t\u00e1mogat\u00e1s \u00e9rhet\u0151 el:<\/p>\n

    <\/p>\n

      \n
    1. Site-To-Site. VPN-alag\u00fat l\u00e9trehoz\u00e1sa az irod\u00e1i k\u00f6z\u00f6tt, ahol a felhaszn\u00e1l\u00f3k \u201ehelyi\u201d h\u00e1l\u00f3zaton dolgozhatnak.\n

      \"4.\n<\/li>\n

    2. T\u00e1vhozz\u00e1f\u00e9r\u00e9s. T\u00e1voli csatlakoz\u00e1s az irod\u00e1d er\u0151forr\u00e1saihoz a felhaszn\u00e1l\u00f3k v\u00e9gberendez\u00e9seivel (PC, mobiltelefon stb.). Tov\u00e1bb\u00e1, van SSL Network Extender is, amely lehet\u0151v\u00e9 teszi egyes alkalmaz\u00e1sok k\u00f6zz\u00e9t\u00e9tel\u00e9t \u00e9s Java Applet seg\u00edts\u00e9g\u00e9vel t\u00f6rt\u00e9n\u0151 ind\u00edt\u00e1s\u00e1t SSL-en kereszt\u00fcl. Megjegyz\u00e9s:<\/u> ne keverd \u00f6ssze a Mobile Access Portal-lal (t\u00e1mogat\u00e1s Gaia Embedded-en nem \u00e1ll rendelkez\u00e9sre).
      \n<\/i>
      \n\"4.\n<\/li>\n<\/ol>\n

      <\/p>\n

      Tov\u00e1bbi inform\u00e1ci\u00f3<\/u><\/b> Nagyon aj\u00e1nlom a TS Solution szerz\u0151i kurzust \u2014 Check Point Remote Access VPN<\/a><\/noindex> Ez felt\u00e1rja a Check Point technol\u00f3gi\u00e1it a VPN ter\u00e9n, \u00e9rinti a licencel\u00e9si k\u00e9rd\u00e9seket \u00e9s r\u00e9szletes \u00fatmutat\u00f3kat tartalmaz a be\u00e1ll\u00edt\u00e1shoz.<\/p>\n

      <\/p>\n

      2. T\u00e1vhozz\u00e1f\u00e9r\u00e9s a kis irod\u00e1k sz\u00e1m\u00e1ra<\/h3>\n

      \nMost pedig elkezdj\u00fck a t\u00e1voli hozz\u00e1f\u00e9r\u00e9s szervez\u00e9s\u00e9t az irod\u00e1dhoz:<\/p>\n

        \n
      1. Ahhoz, hogy a felhaszn\u00e1l\u00f3k VPN-alagutat \u00e9p\u00edthessenek a gateway-jel, k\u00f6z public IP-c\u00edmmel kell rendelkezned. Ha m\u00e1r elv\u00e9gezted az alapbe\u00e1ll\u00edt\u00e1st (2 cikk<\/a><\/noindex> a ciklusb\u00f3l), \u00e1ltal\u00e1ban \u2014 External Link m\u00e1r aktiv\u00e1lva van. Az inform\u00e1ci\u00f3kat a Gaia Port\u00e1lon kereszt\u00fcl tudod megkapni: Device \u2192 Network \u2192 Internet<\/b>\n

        \"4.
        \n<\/p>\n

        Abban az esetben, ha a c\u00e9ged dinamikus nyilv\u00e1nos IP-c\u00edmet haszn\u00e1l, be\u00e1ll\u00edthatod a Dynamic DNS-t. L\u00e9pj be a Device <\/strong>\u2192 DDNS & Device Access<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Jelenleg k\u00e9t szolg\u00e1ltat\u00f3 t\u00e1mogat\u00e1sa \u00e1ll rendelkez\u00e9sre: DynDns \u00e9s no-ip.com. Az opci\u00f3 aktiv\u00e1l\u00e1s\u00e1hoz be kell \u00edrnunk a felhaszn\u00e1l\u00f3i adatokat (felhaszn\u00e1l\u00f3n\u00e9v, jelsz\u00f3).\n<\/p>\n<\/li>\n

      2. Tov\u00e1bb\u00e1 l\u00e9trehozunk egy felhaszn\u00e1l\u00f3i fi\u00f3kot, amely hasznos lesz a be\u00e1ll\u00edt\u00e1sok tesztel\u00e9s\u00e9hez: VPN \u2192 Remote Access \u2192 Remote Access Users<\/strong>\n

        \"4.
        \n<\/p>\n

        A csoportban (p\u00e9ld\u00e1ul: remoteaccess) l\u00e9trehozunk egy felhaszn\u00e1l\u00f3t a k\u00e9perny\u0151k\u00e9pen l\u00e1that\u00f3 utas\u00edt\u00e1sok alapj\u00e1n. A fi\u00f3kbe\u00e1ll\u00edt\u00e1sok standard m\u00f3don t\u00f6rt\u00e9nnek, megadjuk a felhaszn\u00e1l\u00f3nevet \u00e9s jelsz\u00f3t, valamint bekapcsoljuk a Remote Access permissions opci\u00f3t. \n<\/p>\n

        \"4.
        \n<\/p>\n

        Ha a be\u00e1ll\u00edt\u00e1sokat sikeresen alkalmazt\u00e1k, akkor k\u00e9t objektumnak kell megjelennie: egy helyi felhaszn\u00e1l\u00f3nak \u00e9s egy helyi felhaszn\u00e1l\u00f3i csoportnak.<\/p>\n

        \"4.<\/li>\n

      3. A k\u00f6vetkez\u0151 l\u00e9p\u00e9sben l\u00e9pj\u00fcnk a VPN \u2192 Remote Access \u2192 Blade Control. <\/strong>Gy\u0151z\u0151dj\u00f6n meg r\u00f3la, hogy a blade enged\u00e9lyezve van, \u00e9s a t\u00e1voli felhaszn\u00e1l\u00f3kb\u00f3l \u00e9rkez\u0151 forgalom enged\u00e9lyezve van.\n

        \"4. <\/li>\n

      4. *A fenti l\u00e9p\u00e9sek minimalista csomagj\u00e1t a Remote Access konfigur\u00e1l\u00e1s\u00e1hoz adtuk meg. Azonban miel\u0151tt tesztelni tudn\u00e1nk a kapcsolatot, n\u00e9zz\u00fck meg a tov\u00e1bbi be\u00e1ll\u00edt\u00e1sokat, l\u00e9pjen a VPN \u2192 Remote Access \u2192 Advanced <\/strong>\n

        \"4.
        \n<\/p>\n

        Jelenlegi be\u00e1ll\u00edt\u00e1sok szerint l\u00e1thatjuk, hogy a t\u00e1voli felhaszn\u00e1l\u00f3k 172.16.11.0\/24 h\u00e1l\u00f3zati IP-c\u00edmet kapnak a Office Mode opci\u00f3 j\u00f3volt\u00e1b\u00f3l. Ez elegend\u0151 200 p\u00e1rhuzamos licenc haszn\u00e1lat\u00e1hoz (a 1590 NGFW Check Point-ra vonatkoz\u00f3an). \n<\/p>\n

        <\/p>\n

        Opci\u00f3 \u201eRoute Internet traffic from connected clients through this gateway\u201d<\/i> nem k\u00f6telez\u0151, \u00e9s a t\u00e1voli felhaszn\u00e1l\u00f3k \u00e1ltal gener\u00e1lt forgalom \u00e1tir\u00e1ny\u00edt\u00e1s\u00e1\u00e9rt felel\u0151s a gateway-en (bele\u00e9rtve az internetkapcsolatokat is). Ez lehet\u0151v\u00e9 teszi a felhaszn\u00e1l\u00f3i forgalom fel\u00fcgyelet\u00e9t \u00e9s a munka\u00e1llom\u00e1s v\u00e9delm\u00e9t k\u00fcl\u00f6nb\u00f6z\u0151 fenyeget\u00e9sek \u00e9s k\u00e1rt\u00e9kony programok ellen. \n<\/p>\n<\/li>\n

      5. *Az Remote Access hozz\u00e1f\u00e9r\u00e9si politik\u00e1kkal val\u00f3 munka \n

        Miut\u00e1n be\u00e1ll\u00edtottuk a Remote Access-t, automatikus hozz\u00e1f\u00e9r\u00e9si szab\u00e1ly ker\u00fclt l\u00e9trehoz\u00e1sra a t\u0171zfal szintj\u00e9n, amelyet a k\u00f6vetkez\u0151 f\u00fclre l\u00e9pve tekinthet meg: Access Policy \u2192 Firewall \u2192 Policy <\/strong><\/p>\n

        \n\"4.
        \n<\/p>\n

        Ebben az esetben a kor\u00e1bban l\u00e9trehozott csoportba tartoz\u00f3 t\u00e1voli felhaszn\u00e1l\u00f3k hozz\u00e1f\u00e9rhetnek a v\u00e1llalat \u00f6sszes bels\u0151 er\u0151forr\u00e1s\u00e1hoz, megjegyzem, hogy a szab\u00e1ly egy k\u00f6z\u00f6s szakaszban tal\u00e1lhat\u00f3 \u201cIncoming, Internal and VPN traffic\u201d<\/i>. Annak \u00e9rdek\u00e9ben, hogy enged\u00e9lyezz\u00fck a VPN-felhaszn\u00e1l\u00f3k internetes forgalm\u00e1t, k\u00fcl\u00f6n szab\u00e1lyt kell l\u00e9trehoznunk a k\u00f6z\u00f6s szakaszban \u201cOutgoing access to the Internet<\/i>\u201d.<\/p>\n<\/li>\n

      6. \n

        V\u00e9g\u00fcl gy\u0151z\u0151dj\u00fcnk meg arr\u00f3l, hogy a felhaszn\u00e1l\u00f3 sikeresen l\u00e9tre tud hozni egy VPN-alagutat a NGFW gateway-\u00fcnkh\u00f6z, \u00e9s hozz\u00e1f\u00e9rhet a v\u00e1llalat bels\u0151 er\u0151forr\u00e1saihoz. Ehhez VPN-kliens telep\u00edt\u00e9se sz\u00fcks\u00e9ges a tesztelt hosztra, a seg\u00edts\u00e9g\u00e9rt l\u00e1sd a link<\/a><\/noindex> let\u00f6lt\u00e9shez. A telep\u00edt\u00e9s ut\u00e1n el kell v\u00e9gezni a szok\u00e1sos \u00faj webhely hozz\u00e1ad\u00e1si elj\u00e1r\u00e1st (meg kell adni a gateway nyilv\u00e1nos IP-c\u00edm\u00e9t). A folyamatot GIF form\u00e1ban \u00e1br\u00e1zoltuk a k\u00e9nyelmesebb felhaszn\u00e1l\u00e1s \u00e9rdek\u00e9ben.<\/p>\n

        \n\"4.
        \n
        \nMiut\u00e1n a kapcsolat l\u00e9trej\u00f6tt, ellen\u0151rizz\u00fck a kapott IP-c\u00edmet a gazdag\u00e9pen a CMD-ban kiadott parancs seg\u00edts\u00e9g\u00e9vel: ipconfig<\/i><\/p>\n

        \"4.
        \n<\/p>\n

        Meggy\u0151z\u0151dt\u00fcnk arr\u00f3l, hogy a virtu\u00e1lis h\u00e1l\u00f3zati adapter az NGFW Office Mode-j\u00e1b\u00f3l kapott IP-c\u00edmet, a csomagok sikeresen elk\u00fcld\u00e9sre ker\u00fclnek. A befejez\u00e9shez l\u00e9pj\u00fcnk a Gaia Port\u00e1lra: VPN \u2192 T\u00e1voli hozz\u00e1f\u00e9r\u00e9s \u2192 Csatlakoztatott t\u00e1voli felhaszn\u00e1l\u00f3k<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Az 'ntuser' felhaszn\u00e1l\u00f3 csatlakoztatottk\u00e9nt jelenik meg, ellen\u0151rizz\u00fck az esem\u00e9nynapl\u00f3z\u00e1st, l\u00e9pjen be a Napl\u00f3k & Figyel\u00e9s \u2192 Biztons\u00e1gi Napl\u00f3k<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        A kapcsolat napl\u00f3z\u00e1sa folyamatban van, mint forr\u00e1s az IP-c\u00edm m\u0171k\u00f6dik: 172.16.10.1 \u2014 ez a c\u00edm, amelyet felhaszn\u00e1l\u00f3nk az Office Mode-on kereszt\u00fcl kapott. \n<\/p>\n

        <\/p>\n

        3. T\u00e1mogatott kliensek a T\u00e1voli Hozz\u00e1f\u00e9r\u00e9shez<\/h3>\n

        <\/p>\n

        Miut\u00e1n \u00e1ttekintett\u00fck az irodai t\u00e1voli csatlakoztat\u00e1s be\u00e1ll\u00edt\u00e1s\u00e1nak elj\u00e1r\u00e1s\u00e1t a Check Point SMB csal\u00e1d NGFW-j\u00e9vel, szeretn\u00e9nk besz\u00e9lni a k\u00fcl\u00f6nb\u00f6z\u0151 eszk\u00f6z\u00f6khez tartoz\u00f3 kliensekr\u0151l:<\/p>\n

        <\/p>\n