Salve lettori nel terzo articolo della serie di articoli UserGate Getting Started, in cui si parla della soluzione NGFW dell'azienda . Nell'articolo precedente è stato descritto il processo di installazione del firewall e sono state effettuate le sue impostazioni iniziali. Ora esamineremo più nel dettaglio la creazione di regole nelle sezioni come 'Firewall', 'NAT e routing' e 'Larghezza di banda'.
L'ideologia del funzionamento delle regole di UserGate è tale che le regole vengono eseguite dall'alto verso il basso, fino alla prima attivazione. Da quanto sopra, segue che le regole più specifiche devono trovarsi sopra le regole più generali. Tuttavia, va notato che poiché le regole vengono controllate in ordine, dal punto di vista delle prestazioni, è meglio creare regole generali. Le condizioni nella creazione di qualsiasi regola sono applicate secondo la logica 'E'. Se è necessario utilizzare la logica 'O', ciò si ottiene creando più regole. Pertanto, quanto descritto in questo articolo è applicabile anche ad altre politiche di UserGate.
Firewall
Dopo l'installazione di UserGate, nella sezione 'Firewall' è già presente una politica semplice. Le prime due regole vietano il traffico per le botnet. Seguono poi esempi di regole di accesso da diverse zone. L'ultima regola è sempre chiamata 'Blocca tutto' ed è contrassegnata dal simbolo di un lucchetto (che indica che la regola non può essere eliminata, modificata, spostata o disattivata; è possibile solo attivare l'opzione di registrazione). Pertanto, a causa di questa regola, tutto il traffico non esplicitamente autorizzato sarà bloccato dall'ultima regola. Se è necessario consentire tutto il traffico attraverso UserGate (anche se ciò è fortemente sconsigliato), è sempre possibile creare un penultimo comando 'Consenti tutto'.
Quando si modifica o si crea una regola per il firewall, la prima scheda 'Generale', su cui è necessario eseguire le seguenti azioni:
Attivare o disattivare la regola utilizzando la casella di controllo 'Attiva'.
Inserire il nome della regola.
Fornire una descrizione della regola.
Scegliere tra due azioni:
Negare — blocca il traffico (quando si imposta questa condizione, è possibile inviare ICMP host unreachable; è sufficiente selezionare la casella di controllo corrispondente).
Consentire — consente il traffico.
Il punto scenario consente di scegliere uno scenario che funge da condizione aggiuntiva per l'attivazione della regola. In questo modo, l'azienda UserGate realizza il concetto di SOAR (Security Orchestration, Automation and Response).
Logging - registrare nel log le informazioni sul traffico quando si attiva la regola. Sono possibili le seguenti opzioni:
Registrare l'inizio della sessione. In questo caso, nel registro del traffico verranno memorizzate solo le informazioni relative all'inizio della sessione (primo pacchetto). Questa è l'opzione di logging consigliata.
Registrare ogni pacchetto. In questo caso, verranno memorizzate informazioni su ogni pacchetto di rete trasmesso. Per questa modalità, è consigliabile attivare un limite di logging per evitare un carico eccessivo sul dispositivo.
Applicare la regola a:
Tutti i pacchetti
ai pacchetti frammentati
ai pacchetti non frammentati
Quando si crea una nuova regola, è possibile scegliere la posizione nella politica.
Successivo la scheda 'Sorgente'. Qui indichiamo la fonte del traffico che può essere una zona da cui proviene il traffico, oppure è possibile specificare un elenco o un singolo indirizzo IP (Geoip). In quasi tutte le regole che possono essere impostate nel dispositivo, è possibile creare un oggetto dalla regola; ad esempio, non è necessario passare alla sezione 'Zone' per creare la zona desiderata utilizzando il pulsante 'Crea e aggiungi un nuovo oggetto'. Molto frequentemente si trova anche la casella di controllo 'Inverti', che cambia l'azione nella condizione della regola in quella opposta, simile all'azione logica della negazione. La scheda 'Destinazione' è simile alla scheda sorgente, ma invece di indicare la sorgente del traffico, definiamo la destinazione del traffico. La scheda 'Utenti' qui è possibile aggiungere un elenco di utenti o gruppi a cui si applica questa regola. La scheda 'Servizio' consente di selezionare il tipo di servizio da quelli già predefiniti o di definire il proprio. La scheda 'Applicazione' qui si selezionano applicazioni specifiche o gruppi di applicazioni. E la scheda 'Tempo' indica il momento in cui questa regola è attiva.
Dalla lezione precedente, abbiamo una regola per l'accesso a Internet dalla zona 'Trust', ora mostrerò come esempio come creare una regola di divieto per il traffico ICMP dalla zona 'Trust' alla zona 'Untrusted'.
Per iniziare, creiamo una regola premendo il pulsante "Aggiungi". Nella finestra aperta nella scheda generale, compiliamo il nome (Divieto ICMP da trusted a untrusted), spuntiamo la casella "Attiva", selezioniamo l'azione di vietare e, cosa più importante, scegliamo correttamente la posizione di questa regola. Secondo la mia politica, questa regola deve trovarsi sopra la regola "Consenti da trusted a untrusted":
Nella scheda "Origine" per il mio compito ci sono due opzioni:
Selezionando la zona "Trusted"
Selezionando tutte le zone tranne "Trusted" e spuntando la casella "Inverti"
La scheda "Destinazione" viene configurata in modo analogo alla scheda "Origine".
Successivamente passiamo alla scheda "Servizio"; poiché in UserGate esiste un servizio predefinito per il traffico ICMP, premendo il pulsante "Aggiungi" selezioniamo dal elenco proposto il servizio chiamato "Any ICMP":
Forse era l'intento degli sviluppatori di UserGate, ma io riuscivo a creare più regole completamente identiche. Anche se verrà eseguita solo la prima regola dell'elenco, la possibilità di creare regole diverse per funzionalità con lo stesso nome può generare confusione quando ci sono più amministratori del dispositivo.
NAT e routing
Durante la creazione delle regole NAT vediamo diverse schede simili a quelle del firewall. Nella scheda "Generali" è apparso un campo "Tipo", che consente di selezionare per cosa risponderà questa regola:
NAT — Traduzione degli indirizzi di rete.
DNAT — Reindirizza il traffico a un indirizzo IP specificato.
Port forwarding — Reindirizza il traffico a un indirizzo IP specificato, ma consente di modificare il numero di porta del servizio pubblicato.
Routing basato su policy — Permette di instradare pacchetti IP basati su informazioni avanzate, come servizi, indirizzi MAC o server (indirizzi IP).
Mappatura di rete — Permette di sostituire gli indirizzi IP di origini o destinazioni di una rete con quelli di un'altra rete.
Dopo aver selezionato il tipo corrispondente, saranno disponibili le impostazioni per esso.
Nel campo SNAT IP (indirizzo esterno) specifichiamo esplicitamente l'indirizzo IP al quale verrà sostituito l'indirizzo sorgente. Questo campo è necessario in caso di più indirizzi IP assegnati alle interfacce della zona di destinazione. Se si lascia questo campo vuoto, il sistema utilizzerà un indirizzo casuale dall'elenco degli indirizzi IP disponibili assegnati alle interfacce della zona di destinazione. UserGate consiglia di specificare un SNAT IP per migliorare le prestazioni del firewall.
Come esempio, pubblicherò il servizio SSH di un server Windows situato nella zona "DMZ" utilizzando la regola "port-forwarding". A tal fine, premiamo il pulsante "Aggiungi" e compiliamo la scheda "Generale", specificando il nome della regola "SSH to Windows" e il tipo "Port-forwarding":
Nella scheda "Sorgente" selezioniamo la zona "Untrusted" e passiamo alla scheda "Port-forwarding". Qui dobbiamo specificare il protocollo "TCP" (sono disponibili quattro opzioni: TCP, UDP, SMTP, SMTPS). La porta di destinazione originale 9922 è il numero della porta a cui gli utenti inviano le richieste (non è possibile utilizzare le porte: 2200, 8001, 4369, 9000-9100). La nuova porta di destinazione (22) è il numero della porta a cui verranno inoltrate le richieste degli utenti verso il server pubblicato interno.
Nella scheda "DNAT" impostiamo l'indirizzo IP del computer nella rete locale che sarà pubblicato su Internet (192.168.3.2). E facoltativamente si può attivare SNAT, così UserGate modificherà l'indirizzo sorgente nei pacchetti dalla rete esterna al proprio indirizzo IP.
Dopo tutte le impostazioni, si ottiene una regola che consente di accedere dalla zona "Untrusted" al server con indirizzo IP 192.168.3.2 tramite il protocollo SSH, utilizzando l'indirizzo esterno di UserGate per la connessione.
Larghezza di banda
In questa sezione si definiscono le regole per gestire la larghezza di banda. Possono essere utilizzate per limitare la banda di determinati utenti, host, servizi, applicazioni.
Quando si crea una regola, nelle schede si definiscono il traffico a cui si applicano le restrizioni. È possibile scegliere il limite di banda tra quelli proposti o impostarne uno personalizzato. Durante la creazione del limite di banda, è possibile specificare un'etichetta di priorità per il traffico DSCP. Un esempio di quando viene applicata l'etichetta DSCP: specificando nella regola lo scenario in cui si applica questa regola, essa può automaticamente modificare queste etichette. Un altro esempio di scenario: la regola scatta per un utente solo quando viene rilevato un torrent o quando il volume di traffico supera il limite impostato. Compiliamo le altre schede nello stesso modo di altre politiche, in base al tipo di traffico a cui deve essere applicata la regola.
Conclusione
In questo articolo ho esaminato la creazione di regole nelle sezioni "Firewall", "NAT e routing" e "Banda disponibile". E all'inizio dell'articolo ho descritto le regole per la creazione delle politiche di UserGate, così come il principio di funzionamento delle condizioni al momento della creazione della regola.
Seguite gli aggiornamenti sui nostri canali (, , , )!
Fonte: habr.com
