Salve, questo è il secondo articolo sulla soluzione NGFW dell'azienda . Lo scopo di questo articolo è mostrare come installare il firewall UserGate su un sistema virtuale (utilizzerò il software di virtualizzazione VMware Workstation) e effettuare la sua configurazione iniziale (permettere l'accesso dalla rete locale attraverso il gateway UserGate a Internet).
1. Introduzione
Inizierò descrivendo i vari modi per implementare questo gateway nella rete. Vorrei sottolineare che a seconda dell'opzione di connessione scelta, alcune funzionalità del gateway potrebbero non essere disponibili. La soluzione UserGate supporta le seguenti modalità di connessione:
Firewall L3-L7
Bridge trasparente L2
Bridge trasparente L3
Virtualmente in rottura, utilizzando il protocollo WCCP
Virtualmente in rottura, utilizzando il Policy Based Routing
Router on a Stick
Proxy WEB esplicitamente configurato
UserGate, come gateway predefinito
Monitoraggio della porta Mirror
UserGate supporta 2 tipi di cluster:
Cluster di configurazione. I nodi uniti in un cluster di configurazione supportano impostazioni comuni all'interno del cluster.
Cluster di tolleranza ai guasti. Fino a 4 nodi di un cluster di configurazione possono essere uniti in un cluster di tolleranza ai guasti, supportando il funzionamento in modalità Attivo-Attivo o Attivo-Passivo. È possibile creare più cluster di tolleranza ai guasti.
2. Installazione
Come menzionato nell'articolo precedente, UserGate viene fornito come un sistema integrato hardware/software o viene implementato in un ambiente virtuale. Dalla propria area clienti sul sito scarichiamo l'immagine in formato OVF (Open Virtualization Format), questo formato è adatto per i fornitori VMWare e Oracle Virtualbox. Per Microsoft Hyper-v e KVM vengono forniti i dischi delle immagini delle macchine virtuali.
Secondo il sito di UserGate, per un funzionamento corretto della macchina virtuale si raccomanda di utilizzare almeno 8 GB di memoria RAM e un processore virtuale a 2 core. L'hypervisor deve supportare l'esecuzione di sistemi operativi a 64 bit.
L'installazione inizia con l'importazione dell'immagine nell'hypervisor scelto (VirtualBox e VMWare). Per Microsoft Hyper-v e KVM è necessario creare una macchina virtuale e indicare come disco l'immagine scaricata, dopo di che disabilitare i servizi di integrazione nelle impostazioni della macchina virtuale creata.
Per impostazione predefinita, dopo l'importazione in VMWare viene creata una macchina virtuale con le seguenti impostazioni:
Come scritto sopra, la memoria RAM deve essere di almeno 8 Gb e, in aggiunta, è necessario aggiungere 1 Gb per ogni 100 utenti. La dimensione del disco rigido di default è di 100 Gb, ma di solito non è sufficiente per memorizzare tutti i registri e le impostazioni. La dimensione consigliata è di 300 Gb o più. Pertanto, nelle proprietà della macchina virtuale, modifichiamo la dimensione del disco come necessario. Inizialmente, il UserGate UTM virtuale viene fornito con quattro interfacce assegnate a zone:
Management — la prima interfaccia della macchina virtuale, zona per la connessione di reti fidate, da cui è consentito gestire UserGate.
Trusted — la seconda interfaccia della macchina virtuale, zona per la connessione di reti fidate, come le reti LAN.
Untrusted — la terza interfaccia della macchina virtuale, zona per le interfacce collegate a reti non fidate, come a Internet.
DMZ — la quarta interfaccia della macchina virtuale, zona per le interfacce collegate alla rete DMZ.
Successivamente, avviamo la macchina virtuale, anche se nel manuale è scritto che bisogna scegliere Support Tools e eseguire il ripristino di fabbrica UTM, ma come vediamo c'è solo una scelta (UTM First Boot). Durante questo passaggio, UTM configura gli adattatori di rete e aumenta la dimensione della partizione sul disco rigido fino alla dimensione completa del disco:
Per collegarsi all'interfaccia web di UserGate, è necessario accedere tramite la zona Management, responsabile dell'interfaccia eth0, che è impostata per ricevere un indirizzo IP in modo automatico (DHCP). Se non è possibile assegnare un indirizzo all'interfaccia di Management in modo automatico tramite DHCP, può essere specificato esplicitamente utilizzando la CLI (Command Line Interface). Per fare ciò, è necessario accedere alla CLI utilizzando il nome utente e la password di un utente con diritti di amministratore completo (di default Admin con la lettera maiuscola). Se il dispositivo UserGate non ha completato l'inizializzazione iniziale, è necessario utilizzare Admin come nome utente e utm come password per accedere alla CLI. E digitare un comando simile a iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. Successivamente, ci spostiamo nella web console di UserGate all'indirizzo indicato, che dovrebbe apparire più o meno come segue:https://UserGateIPaddress:8001:
Nella console web continuiamo l'installazione, dobbiamo selezionare la lingua dell'interfaccia (attualmente è russo o inglese), fuso orario, poi leggiamo e accettiamo il contratto di licenza. Impostiamo il nome utente e la password per accedere all'interfaccia web di gestione.
3. Configurazione
Dopo l'installazione, la finestra dell'interfaccia web di gestione della piattaforma appare così:
Successivamente, è necessario configurare le interfacce di rete. A tal fine, nella sezione «Interfacce» è necessario abilitarle, impostare indirizzi IP corretti e assegnare le zone appropriate.
La sezione «Interfacce» visualizza tutte le interfacce fisiche e virtuali disponibili nel sistema, consente di modificare le loro impostazioni e di aggiungere interfacce VLAN. Mostra anche tutte le interfacce di ciascun nodo del cluster. Le impostazioni delle interfacce sono specifiche per ciascun nodo, quindi non sono globali.
Nelle proprietà dell'interfaccia:
Abilita o disabilita l'interfaccia
Specificare il tipo di interfaccia — Layer 3 o Mirror
Assegnare una zona all'interfaccia
Assegnare un profilo Netflow per l'invio dei dati statistici al collettore Netflow
Modificare i parametri fisici dell'interfaccia — indirizzo MAC e dimensione MTU
Scegliere il tipo di assegnazione dell'indirizzo IP — senza indirizzo, indirizzo IP statico o ottenuto tramite DHCP
Configurare il funzionamento del relay DHCP sull'interfaccia selezionata.
Il pulsante «Aggiungi» consente di aggiungere i seguenti tipi di interfacce logiche:
VLAN
Bond
Bridge
PPPoE
VPN
Tunnel
Oltre alle zone precedentemente menzionate, fornite con l'immagine Usergate, ci sono altri tre tipi predefiniti:
Cluster — zona per le interfacce utilizzate per il funzionamento del cluster
VPN per Site-to-Site — zona in cui vengono inseriti tutti i client del tipo Ufficio-Ufficio collegati a UserGate tramite VPN
VPN per accesso remoto — zona in cui vengono inseriti tutti gli utenti mobili collegati a UserGate tramite VPN
Gli amministratori di UserGate possono modificare le impostazioni delle zone create per impostazione predefinita e creare zone aggiuntive, ma come indicato nel manuale della versione 5, è possibile creare non più di 15 zone. Per modificarle o crearle, è necessario accedere alla sezione delle zone. Per ogni zona è possibile impostare una soglia di scarto dei pacchetti, supportando SYN, UDP, ICMP. Inoltre, si configura il controllo dell'accesso ai servizi Usergate e si attiva la protezione contro lo spoofing.
Dopo aver configurato le interfacce, è necessario impostare la rotta predefinita nella sezione «Gateway». Cioè, per connettere UserGate a Internet è necessario specificare l'indirizzo IP di uno o più gateway. Se si utilizzano più fornitori per la connessione a Internet, è necessario indicare più gateway. La configurazione del gateway è unica per ciascun nodo del cluster. Se sono specificati due o più gateway, ci sono 2 modalità di funzionamento possibili:
Bilanciamento del traffico tra i gateway.
Gateway principale con commutazione su quello di riserva.
Lo stato del gateway (disponibile – verde, non disponibile – rosso) viene determinato nel seguente modo:
Il controllo della rete è disattivato – il gateway viene considerato disponibile se UserGate può ottenere il suo indirizzo MAC tramite una richiesta ARP. Non viene effettuato il controllo della connessione a Internet tramite questo gateway. Se l'indirizzo MAC del gateway non può essere determinato, il gateway viene considerato non disponibile.
Il controllo della rete è attivo — il gateway viene considerato disponibile se:
UserGate può ottenere il suo indirizzo MAC tramite una richiesta ARP.
Il controllo della connessione a Internet tramite questo gateway è riuscito.
In caso contrario, il gateway viene considerato non disponibile.
Nella sezione «DNS» è necessario aggiungere i server DNS che UserGate utilizzerà. Questa configurazione è specificata nell'area Server DNS di sistema. Di seguito sono le impostazioni per la gestione delle richieste DNS da parte degli utenti. UserGate consente di utilizzare un proxy DNS. Il servizio proxy DNS consente di intercettare le richieste DNS degli utenti e modificarle a seconda delle necessità dell'amministratore. Tramite le regole del proxy DNS è possibile indicare i server DNS ai quali vengono inoltrate le richieste per determinati domini. Inoltre, attraverso il proxy DNS è possibile impostare registrazioni statiche di tipo host (record A).
Nella sezione «NAT e Routing» è necessario creare le regole NAT necessarie. Per l'accesso a Internet degli utenti della rete Trusted, la regola NAT è già stata creata — «Trusted→Untrusted», rimane solo attivarla. Le regole vengono applicate dall'alto verso il basso nell'ordine in cui sono indicate nella console. Viene eseguita sempre solo la prima regola per cui le condizioni specificate nella regola coincidono. Per l'attivazione della regola è necessario che tutte le condizioni specificate nei parametri della regola coincidano. UserGate consiglia di creare regole NAT generali, ad esempio, una regola NAT dalla rete locale (di solito zona Trusted) a Internet (di solito zona Untrusted), mentre la gestione dell'accesso in base a utenti, servizi e applicazioni può avvenire tramite regole del firewall.
È anche possibile creare regole DNAT, port forwarding, routing basato su policy, mappatura della rete.
Dopo ciò, nella sezione «Firewall» è necessario creare le regole del firewall. Per un accesso illimitato a Internet degli utenti della rete Trusted, la regola del firewall è anch'essa già stata creata — «Internet for Trusted» e deve essere attivata. Attraverso le regole del firewall, l'amministratore può autorizzare o vietare qualsiasi tipo di traffico di rete transitario che passa attraverso UserGate. Come condizioni, possono essere utilizzate zone e indirizzi IP di origine/destinazione, utenti e gruppi, servizi e applicazioni. Le regole vengono applicate esattamente come nella sezione «NAT e Routing», cioè dall'alto verso il basso. Se non è stata creata alcuna regola, qualsiasi traffico transitario attraverso UserGate è vietato.
4. Conclusione
Con questo, l'articolo giunge al termine. Abbiamo installato il firewall UserGate su una macchina virtuale e abbiamo effettuato le impostazioni minime necessarie affinché Internet funzionasse nella rete Trusted. La configurazione successiva sarà trattata nei prossimi articoli.
Seguite gli aggiornamenti sui nostri canali (, , , )!
Fonte: habr.com
