Continuiamo il ciclo di articoli sul nuovo modello della serie SMB CheckPoint, ricordiamo che in abbiamo descritto le caratteristiche e le funzionalità dei nuovi modelli, i metodi di gestione e amministrazione. Oggi esamineremo lo scenario di implementazione del modello più avanzato della serie: CheckPoint 1590 NGFW. Includiamo un sommario di questa parte:
- Scartare l'attrezzatura (descrizione dei componenti, connessione fisica e di rete).
- Inizializzazione iniziale del dispositivo.
- Impostazione iniziale.
- Valutazione delle prestazioni.
Scartare l'attrezzatura
La familiarizzazione con l'attrezzatura inizia estraendo il dispositivo dalla scatola, montando i componenti e installando i dettagli, fai clic su spoiler dove è presentato brevemente il processo
Fornitura NGFW 1590
Breve su i componenti:
- NGFW 1590;
- Adattatore di alimentazione;
- 2 Antenne Wifi (2,4 GHz e 5 GHz);
- 2 antenne LTE;
- Brochure con documentazione (guida rapida per la connessione iniziale, accordo di licenza ecc.)
Per quanto riguarda le porte e le interfacce di rete, qui ci sono tutte le moderne possibilità per il trasferimento del traffico e l'interazione, è riservata una porta per la zona DMZ, USB 3.0 per la sincronizzazione con il PC.
La versione 1590 ha ricevuto un design aggiornato, opzioni moderne per la connessione wireless e l'espansione della memoria: 2 slot per Micro/Nano SIM in modalità LTE. (Di questa opzione prevediamo di scrivere dettagliatamente in uno dei nostri prossimi articoli del ciclo dedicato alle connessioni wireless); slot per schede SD.
Puoi leggere in dettaglio le funzionalità del 1590 NGFW e degli altri nuovi modelli in nel ciclo di articoli sulle soluzioni SMB CheckPoint. Ora procederemo all'inizializzazione iniziale del dispositivo.
Inizializzazione iniziale
I nostri lettori abituali dovrebbero già sapere che nella serie 1500 della linea SMB viene utilizzato un nuovo sistema operativo 80.20 Embedded, che include un'interfaccia aggiornata e funzionalità migliorate.
Per iniziare l'inizializzazione del dispositivo è necessario:
- Fornire alimentazione al gateway.
- Collegare il cavo di rete dal vostro PC a LAN -1 sul gateway.
- In modo facoltativo, è possibile fornire immediatamente l'accesso a Internet al dispositivo collegando l'interfaccia alla porta WAN.
- Accedi al portale Gaia Embedded:
Se hai seguito i passaggi precedentemente indicati, dopo aver accesso alla pagina del portale Gaia, sarà necessario confermare l'apertura della pagina con un certificato non attendibile, dopo di che si avvierà la procedura guidata di configurazione del portale:
Ti verrà presentata una pagina con l'indicazione del modello del tuo dispositivo, sarà necessario passare alla sezione successiva:
Ci verrà proposta la creazione di un account per l'autenticazione, c'è la possibilità di indicare requisiti elevati per la password dell'amministratore, specificando il paese in cui utilizzeremo il gateway.
La finestra successiva riguarda le impostazioni di data e ora, c'è la possibilità di impostare manualmente o utilizzare un server NTP della società.
Il passaggio successivo prevede l'assegnazione di un nome all dispositivo e la specifica del dominio aziendale per il corretto funzionamento dei servizi del gateway su Internet.
Il passaggio successivo riguarda la scelta del tipo di gestione NGFW, qui va sottolineato:
- Gestione Locale. Questa opzione è disponibile per la gestione locale del gateway tramite la pagina web del Gaia Portal.
- Gestione Centrale. Questo tipo di gestione include la sincronizzazione con un server di gestione dedicato di CheckPoint, la sincronizzazione con il cloud Smart1-Cloud o con SMP (servizio di gestione per SMB).
In questo articolo ci focalizzeremo sul modo di gestione Local Management, puoi specificare il modo necessario. Per familiarizzare con il processo di sincronizzazione con un server di gestione dedicato, è proposto da un ciclo di formazione CheckPoint Getting Started, preparato dall'azienda TS Solution.
Successivamente verrà presentata la finestra con la definizione della modalità operativa delle interfacce sul gateway:
- La modalità Switch implica l'accessibilità di una sottorete da un'interfaccia a un'altra sottorete.
- La modalità Disable Switch disabilita rispettivamente la modalità Switch, ogni porta instrada il traffico come se fosse un frammento di rete separato.
È anche possibile impostare un pool di indirizzi DHCP che verranno utilizzati per la connessione alle interfacce locali del gateway.
Il passo successivo è la configurazione dell'operatività del gateway in modalità wireless, intendiamo trattare questo aspetto più dettagliatamente in un articolo del ciclo, quindi abbiamo rimandato la configurazione delle impostazioni. Puoi comunque creare un nuovo punto di accesso wireless, impostare una password per la connessione e definire la modalità operativa del canale wireless (2.4 GHz o 5 GHz).
Successivamente verrà proposta una fase di configurazione accesso al gateway per gli amministratori dell'azienda. Di default, i diritti di accesso sono consentiti se la connessione proviene da:
- Sottorete interna dell'azienda
- Rete wireless autorizzata
- Tunnel VPN
L'opzione per connettersi al gateway tramite Internet è disattivata per impostazione predefinita, comporta grandi rischi e deve essere giustificata per l'attivazione, altrimenti si consiglia di mantenere quanto descritto nel nostro esempio. È anche possibile specificare quali indirizzi IP saranno autorizzati per la connessione al gateway.
La finestra successiva riguarda l'attivazione delle licenze; durante l'inizializzazione iniziale del dispositivo verrà presentato un periodo di prova di 30 giorni. Ci sono due modalità disponibili per l'attivazione:
- Se è presente una connessione a Internet, la licenza si attiva automaticamente.
- Se attivi la licenza offline, devi eseguire i seguenti passaggi: scarica la licenza da UserCenter, registra il tuo dispositivo con un apposito . In entrambi i casi, dovrai quindi importare manualmente la licenza scaricata.
Infine, l'ultima finestra della procedura guidata di configurazione consente di selezionare i blade da attivare; si noti che il blade QOS si attiva solo dopo l'inizializzazione iniziale. Alla fine, dovresti ottenere una finestra di completamento che riassume le tue impostazioni.
Impostazione iniziale
Per prima cosa, ti consigliamo di controllare lo stato delle licenze, poiché questo influirà sulla configurazione successiva. Vai alla scheda “HOME” → “License” :
Se le licenze sono attivate, ti consigliamo di aggiornare subito all'ultima versione firmware disponibile; per farlo, vai alla scheda “DEVICE” → “System Operations”:
Gli aggiornamenti di sistema sono presenti nella voce Firmware Upgrade. Nel nostro caso, è installata l'ultima versione firmware attuale.
Successivamente, vi propongo una breve panoramica delle funzionalità e delle impostazioni dei blade del sistema. Possono essere logicamente suddivisi in politiche di Accesso (Firewall, Controllo applicazioni, Filtraggio URL) e Prevenzione delle minacce (IPS, Antivirus, Anti-Bot, Emulazione delle minacce).
Passiamo alla scheda Politica di Accesso → Controllo Blade:
Di default viene utilizzata la modalità STANDARD, che consente: il traffico in uscita verso Internet, il traffico all'interno della rete locale, bloccando però il traffico in ingresso da Internet.
Per quanto riguarda i blade APPLICATIONS & URL FILTERING, per impostazione predefinita è attivato il blocco dei siti con un alto livello di pericolo, il blocco delle applicazioni di sharing (Torrent, File Storage, ecc.). Inoltre, è possibile bloccare manualmente categorie di siti.
Notiamo l'opzione per il traffico utente “Limit bandwidth consuming applications” con la possibilità di limitare la velocità del traffico in uscita/in entrata per gruppi di applicazioni.
Poi apriremo la sezione Policy, dove per impostazione predefinita le regole vengono generate automaticamente in base alle impostazioni precedentemente descritte.
La sezione NAT per impostazione predefinita funziona in modalità Global Hide Nat Automatic, quindi tutti gli host interni avranno accesso a Internet tramite l'indirizzo IP pubblico. È possibile impostare regole NAT manualmente per pubblicare le vostre applicazioni web o servizi.
Segue la sezione relativa all'autenticazione degli utenti in rete, con due opzioni: Active Directory Queries (integrazione con il vostro AD) e Browser-Based-Authentication (l'utente inserisce le credenziali di dominio nel portale).
È importante menzionare l'ispezione SSL, la quota di traffico HTTPS nella rete globale è in crescita attiva. Vediamo quali possibilità offre CheckPoint per le soluzioni SMB, per questo bisogna andare alla sezione SSL-Inspection → Policy:
Nelle impostazioni è possibile ispezionare il traffico HTTPS, sarà necessario importare un certificato e installarlo nel centro certificati di fiducia sui computer degli utenti finali.
Consideriamo comoda l'opzione bypass per le categorie preimpostate, che consente un notevole risparmio di tempo nell'attivazione dell'ispezione.
Dopo aver configurato le regole a livello di Firewall/Application, occorre passare alla messa a punto delle politiche di sicurezza (Threat Prevention), per questo entriamo nella sezione corrispondente:
Nella pagina aperta vediamo i blade attivi, gli stati degli aggiornamenti delle firme e dei database. Inoltre, ci viene proposta la selezione di un profilo per la protezione del perimetro della rete, con le relative impostazioni.
La sezione separata “IPS Protections” consente di configurare l'azione su una determinata firma di sicurezza.
Non molto tempo fa abbiamo scritto nel nostro blog per Windows Server — SigRed. Verifichiamo la sua presenza in Gaia Embedded 80.20, inserendo la query “CVE-2020-1350”
È stata trovata una registrazione per questa firma, a cui si può applicare una delle azioni. (di default, Previeni per il livello di rischio — Critico). Pertanto, con una soluzione SMB, non sarete trascurati in termini di aggiornamenti e supporto; questa è una soluzione NGFW completa per uffici remoti fino a 200 persone di CheckPoint.
Valutazione delle prestazioni
Concludendo l'articolo, vorrei sottolineare la disponibilità di strumenti per la risoluzione dei problemi dopo l'inizializzazione e la configurazione iniziale della soluzione SMB. Puoi accedere alla sezione “HOME” → “Tools”. Opzioni disponibili:
- monitoraggio delle risorse di sistema;
- tabella di routing;
- verifica della disponibilità dei servizi cloud di CheckPoint;
- generazione di CPinfo;
Sono inoltre disponibili comandi di rete incorporati: Ping, Traceroute, Traffic Capture.
Oggi abbiamo esaminato e studiato la connessione iniziale e la configurazione del NGFW 1590; azioni analoghe saranno eseguite per l'intera serie 1500 SMB di CheckPoint. Le opzioni disponibili ci hanno mostrato una grande varietà di impostazioni, supportando metodi moderni di protezione del traffico all'interno del perimetro di rete.
Le soluzioni di CheckPoint per la protezione di piccoli uffici e filiali (fino a 200 persone) dispongono di un'ampia gamma di strumenti e utilizzano le tecnologie più recenti (gestione cloud, supporto per SIM, espansione della memoria tramite schede SD, ecc.). Continuate a rimanere aggiornati e a leggere gli articoli di TS Solution; abbiamo in programma ulteriori uscite di parti su NGFW CheckPoint della serie SMB, alla prossima!
. Seguite gli aggiornamenti (, , , , ).
Fonte: habr.com
