Ciao, questo è il secondo articolo sulla soluzione NGFW di . L'obiettivo di questo articolo è quello di mostrare come installare il firewall UserGate su un sistema virtuale (utilizzerò il software di virtualizzazione VMware Workstation) e eseguire la sua configurazione iniziale (abilitare l'accesso dalla rete locale tramite il gateway UserGate a Internet).
1. Introduzione
Inizialmente descriverò i vari modi per integrare questo gateway nella rete. Vorrei sottolineare che a seconda dell'opzione di collegamento scelta, alcune funzionalità del gateway potrebbero non essere disponibili. La soluzione UserGate supporta le seguenti modalità di connessione:
Firewall L3-L7
Bridge trasparente L2
Bridge trasparente L3
Virtuale in rottura, utilizzando il protocollo WCCP
Virtuale in rottura, utilizzando il Policy Based Routing
Router on a Stick
Proxy WEB esplicitamente definito
UserGate come gateway predefinito
Monitoraggio della porta Mirror
UserGate supporta 2 tipi di cluster:
Cluster di configurazione. I nodi uniti in un cluster di configurazione supportano impostazioni comuni all'interno del cluster.
Cluster di alta disponibilità. Fino a 4 nodi di configurazione possono essere uniti in un cluster di alta disponibilità, supportando le modalità Attivo-Attivo o Attivo-Passivo. È possibile costruire più cluster di alta disponibilità.
2. Installazione
Come accennato nell'articolo precedente, UserGate è fornito come soluzione hardware-software o può essere implementato in un ambiente virtuale. Dal tuo pannello personale sul sito scarichiamo l'immagine nel formato OVF (Open Virtualization Format), che è adatto per i fornitori VMware e Oracle VirtualBox. Per Microsoft Hyper-V e KVM, vengono forniti immagini dei dischi della macchina virtuale.
Secondo il sito di UserGate, per un funzionamento corretto della macchina virtuale si raccomanda di utilizzare almeno 8 GB di RAM e una CPU virtuale a 2 core. L'hypervisor deve supportare sistemi operativi a 64 bit.
L'installazione inizia con l'importazione dell'immagine nell'hypervisor scelto (VirtualBox e VMware). Nel caso di Microsoft Hyper-V e KVM, è necessario creare una macchina virtuale e specificare l'immagine scaricata come disco, quindi disabilitare i servizi di integrazione nelle impostazioni della macchina virtuale creata.
Per impostazione predefinita, dopo l'importazione in VMWare viene creata una macchina virtuale con le seguenti impostazioni:
Come già accennato, la memoria RAM deve essere di almeno 8 GB e, in aggiunta, è necessario aggiungere 1 GB per ogni 100 utenti. La dimensione del disco rigido di default è di 100 GB, ma spesso ciò non è sufficiente per memorizzare tutti i log e le impostazioni. La dimensione raccomandata è di 300 GB o superiore. Pertanto, nelle proprietà della macchina virtuale, modifichiamo la dimensione del disco secondo le necessità. Inizialmente, UserGate UTM viene fornito con quattro interfacce assegnate a zone:
Management — la prima interfaccia della macchina virtuale, zona per la connessione di reti fidate, da cui è consentita la gestione di UserGate.
Trusted — la seconda interfaccia della macchina virtuale, zona per la connessione di reti fidate, ad esempio, reti LAN.
Untrusted — la terza interfaccia della macchina virtuale, zona per le interfacce connesse a reti non fidate, ad esempio, a Internet.
DMZ — la quarta interfaccia della macchina virtuale, zona per le interfacce connesse alla rete DMZ.
Successivamente, avviamo le macchine virtuali. Anche se nel manuale si dice di scegliere Support Tools e di eseguire un ripristino di fabbrica dell'UTM, come possiamo vedere c'è solo un'opzione disponibile (UTM First Boot). Durante questo passaggio, l'UTM configura gli adattatori di rete e aumenta la dimensione della partizione sul disco rigido fino alla dimensione totale del disco.
Per connettersi all'interfaccia web di UserGate, è necessario accedere attraverso la zona di Management, gestita dall'interfaccia eth0, che è configurata per ricevere un indirizzo IP in modo automatico (DHCP). Se non è possibile assegnare un indirizzo all'interfaccia di Management in modo automatico tramite DHCP, è possibile specificarlo esplicitamente utilizzando la CLI (Command Line Interface). Per farlo, bisogna accedere alla CLI utilizzando il nome utente e la password dell'amministratore completo (di default Admin con la lettera maiuscola). Se il dispositivo UserGate non ha completato l'inizializzazione iniziale, per accedere alla CLI è necessario usare Admin come nome utente e utm come password. Poi bisogna digitare un comando simile a iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. Dopodiché, si procederà alla web console di UserGate all'indirizzo specificato, che dovrebbe apparire più o meno come segue:https://UserGateIPaddress:8001:
Nella web console continuiamo l'installazione, dobbiamo scegliere la lingua dell'interfaccia (attualmente sono disponibile il russo o l'inglese), il fuso orario, quindi leggiamo e accettiamo il contratto di licenza. Impostiamo un login e una password per accedere all'interfaccia web di gestione.
3. Configurazione
Dopo l'installazione, l'interfaccia della piattaforma appare così:
Dopo, è necessario configurare le interfacce di rete. A tal fine, nella sezione «Interfacce» bisogna attivarle, impostare indirizzi IP corretti e assegnare le zone appropriate.
La sezione «Interfacce» mostra tutte le interfacce fisiche e virtuali disponibili nella sistema, consente di modificare le loro impostazioni e aggiungere interfacce VLAN. Inoltre, visualizza tutte le interfacce di ogni nodo del cluster. Le impostazioni delle interfacce sono specifiche per ciascun nodo, cioè non sono globali.
Nelle proprietà dell'interfaccia:
Attivare o disattivare l'interfaccia
Specifica il tipo di interfaccia — Layer 3 o Mirror
Assegna una zona all'interfaccia
Assegna un profilo Netflow per inviare dati statistici al collector Netflow
Modifica i parametri fisici dell'interfaccia — indirizzo MAC e dimensione MTU
Selezionare il tipo di assegnazione dell'indirizzo IP - senza indirizzo, indirizzo IP statico o assegnato tramite DHCP
Configurare il funzionamento del relay DHCP sull'interfaccia selezionata.
Il pulsante «Aggiungi» consente di aggiungere i seguenti tipi di interfacce logiche:
VLAN
Bond
Bridge
PPPoE
VPN
Tunnel
Oltre alle zone precedentemente elencate, fornite con l'immagine di Usergate, ci sono altre tre zone predefinite:
Cluster — zona per le interfacce utilizzate per il funzionamento del cluster
VPN per Site-to-Site — zona in cui vengono collocati tutti i client di tipo Ufficio-Ufficio connessi a UserGate tramite VPN
VPN per accesso remoto — zona in cui vengono collocati tutti gli utenti mobili connessi a UserGate tramite VPN
Gli amministratori di UserGate possono modificare le impostazioni delle zone create di default e creare zone aggiuntive, ma come indicato nella guida alla versione 5, è possibile creare un massimo di 15 zone. Per modificare o crearle, è necessario accedere alla sezione zone. Per ciascuna zona è possibile impostare la soglia di scarto dei pacchetti, supportando SYN, UDP, ICMP. È inoltre possibile configurare il controllo degli accessi ai servizi di Usergate e attivare la protezione contro lo spoofing.
Dopo la configurazione delle interfacce, è necessario impostare la rotta predefinita nella sezione "Gateway". Cioè, per connettere UserGate a Internet, è necessario specificare l'indirizzo IP di uno o più gateway. Se si utilizzano più provider per la connessione a Internet, è necessario specificare più gateway. La configurazione del gateway è unica per ciascuno dei nodi del cluster. Se sono stati specificati due o più gateway, sono possibili 2 modalità operative:
Bilanciamento del traffico tra i gateway.
Gateway principale con commutazione al secondario.
Lo stato del gateway (disponibile – verde, non disponibile – rosso) è determinato nel seguente modo:
Il controllo della rete è disattivato – il gateway è considerato disponibile se UserGate può ottenere il suo indirizzo MAC tramite una richiesta ARP. Non viene eseguita la verifica della connessione a Internet tramite questo gateway. Se l'indirizzo MAC del gateway non può essere determinato, il gateway è considerato non disponibile.
Il controllo della rete è abilitato – il gateway è considerato disponibile se:
UserGate può ottenere il suo indirizzo MAC tramite una richiesta ARP.
La verifica della disponibilità di accesso a Internet tramite questo gateway ha avuto esito positivo.
In caso contrario, il gateway è considerato non disponibile.
Nella sezione "DNS" è necessario aggiungere i server DNS che UserGate utilizzerà. Questa configurazione viene specificata nell'area Server DNS di sistema. Di seguito sono riportate le impostazioni per la gestione delle richieste DNS degli utenti. UserGate consente di utilizzare un proxy DNS. Il servizio proxy DNS permette di intercettare le richieste DNS degli utenti e modificarle in base alle esigenze dell'amministratore. Con le regole del proxy DNS è possibile specificare i server DNS a cui inoltrare le richieste per domini specifici. Inoltre, tramite il proxy DNS è possibile impostare record statici di tipo host (record A).
Nella sezione «NAT e Routing» è necessario creare le regole NAT necessarie. Per l'accesso a Internet degli utenti della rete Trusted, la regola NAT è già stata creata — «Trusted → Untrusted», basta attivarla. Le regole vengono applicate dall'alto verso il basso nell'ordine in cui sono elencate nella console. Viene eseguita sempre solo la prima regola per cui sono soddisfatte le condizioni indicate nella regola. Affinché la regola si attivi, devono essere soddisfatte tutte le condizioni indicate nei parametri della regola. UserGate consiglia di creare regole NAT generali, come ad esempio una regola NAT dalla rete locale (di solito la zona Trusted) a Internet (di solito la zona Untrusted), mentre la delimitazione dell'accesso in base a utenti, servizi e applicazioni viene effettuata tramite regole del firewall.
C'è anche la possibilità di creare regole DNAT, port forwarding, routing basato su politiche e mappatura di rete.
Successivamente, nella sezione «Firewall», è necessario creare le regole del firewall. Per consentire un accesso illimitato a Internet agli utenti della rete Trusted, è già stata creata la regola del firewall — «Internet for Trusted» e deve essere abilitata. Con le regole del firewall, l'amministratore può consentire o vietare qualsiasi tipo di traffico di rete transitante attraverso UserGate. Le condizioni delle regole possono includere zone e indirizzi IP di origine/destinazione, utenti e gruppi, servizi e applicazioni. Le regole vengono applicate anche come nella sezione «NAT e Routing», quindi dall'alto verso il basso. Se non è stata creata alcuna regola, tutto il traffico transitante attraverso UserGate è vietato.
4. Conclusione
L'articolo è giunto al termine. Abbiamo installato il firewall UserGate su una macchina virtuale e abbiamo effettuato le impostazioni minime necessarie affinché Internet funzionasse nella rete Trusted. Ulteriori configurazioni saranno trattate nei prossimi articoli.
Seguite gli aggiornamenti sui nostri canali (, , , )!
Fonte: habr.com
