Saluto i lettori nel terzo articolo della serie di articoli UserGate Getting Started, dove si parla della soluzione NGFW dell'azienda . Nell'articolo precedente è stato descritto il processo di installazione del firewall e sono state effettuate le impostazioni iniziali. Ora esamineremo più in dettaglio la creazione di regole nelle sezioni come “Firewall”, “NAT e routing” e “Larghezza di banda”.
L'ideologia alla base del funzionamento delle regole di UserGate è tale che le regole vengono eseguite dall'alto verso il basso, fino alla prima attivazione. Da quanto sopra si evince che le regole più specifiche devono essere posizionate sopra le regole più generali. Va notato, però, che poiché le regole vengono verificate in ordine, per quanto riguarda le prestazioni è meglio creare regole generali. Le condizioni per la creazione di qualsiasi regola si applicano secondo la logica “E”. Se è necessario utilizzare la logica “O”, questo si ottiene creando più regole. Pertanto, quanto descritto in questo articolo è valido anche per altre politiche di UserGate.
Firewall
Dopo l'installazione di UserGate, nella sezione "Firewall" è già presente una politica semplice. Le prime due regole vietano il traffico per le reti bot. Seguono esempi di regole di accesso provenienti da diverse zone. L'ultima regola è sempre chiamata "Blocca tutto" e contrassegnata dal simbolo del lucchetto (indica che la regola non può essere eliminata, modificata, spostata o disattivata, per essa è possibile solo attivare l'opzione di registrazione). Pertanto, a causa di questa regola, tutto il traffico chiaramente non autorizzato sarà bloccato dall'ultima regola. Se è necessario consentire tutto il traffico tramite UserGate (anche se questo è fortemente sconsigliato), è sempre possibile creare una regola penultima "Consenti tutto".
Quando si modifica o si crea una regola per il firewall, il primo tab "Generale", su di essa è necessario eseguire le seguenti azioni:
Attivare o disattivare la regola utilizzando la casella di controllo "Abilita".
Inserire il nome della regola.
Definire una descrizione per la regola.
Scegliere tra due azioni:
Nega — blocca il traffico (se si definisce questa condizione, c'è la possibilità di inviare ICMP host unreachable, basta selezionare la casella di controllo corrispondente).
Consentire — consente il traffico.
Voce del copione — consente di selezionare uno script che funge da condizione aggiuntiva per l'attivazione della regola. In questo modo, UserGate realizza il concetto di SOAR (Security Orchestration, Automation and Response).
Registrazione — registrare nel log le informazioni sul traffico quando viene attivata la regola. Le opzioni disponibili sono:
Registrare l'inizio della sessione. In questo caso, nel log del traffico verranno registrate solo le informazioni sull'inizio della sessione (il primo pacchetto). Questa è l'opzione di registrazione consigliata.
Registrare ogni pacchetto. In questo caso, verranno registrate le informazioni su ogni pacchetto di rete trasmesso. Per questa modalità, si raccomanda di impostare un limite alla registrazione per prevenire un carico elevato del dispositivo.
Applicare la regola a:
Tutti i pacchetti
ai pacchetti frammentati
ai pacchetti non frammentati
Durante la creazione di una nuova regola, è possibile scegliere la posizione nella politica.
Successivo scheda “Origine”. Qui indichiamo la fonte del traffico: può essere un'area da cui proviene il traffico, oppure è possibile specificare un elenco o un indirizzo IP specifico (Geoip). In praticamente tutte le regole che possono essere impostate nell'apparecchiatura, è possibile creare un oggetto da una regola; per esempio, senza dover entrare nella sezione “Aree”, si può creare la zona desiderata con il pulsante “Crea e aggiungi nuovo oggetto”. Inoltre, è comune imbattersi in una casella di controllo “Inverti”, che modifica l'azione della regola portando alla sua opposizione, simile all'operazione logica di negazione. Scheda «Destinazione» è simile alla scheda sorgente, ma invece della fonte del traffico definiamo la destinazione del traffico. Scheda «Utenti» — in questo punto è possibile aggiungere un elenco di utenti o gruppi ai quali si applica questa regola. Scheda «Servizio» — selezioniamo il tipo di servizio da quello già predefinito o possiamo impostarne uno nostro. Scheda «Applicazione» — qui si scelgono applicazioni specifiche o gruppi di applicazioni. E scheda «Tempo» indichiamo il momento in cui questa regola è attiva.
Dalla lezione precedente abbiamo una regola per l'accesso a Internet dalla zona “Trust”, ora vi mostrerò come creare una regola di blocco per il traffico ICMP dalla zona “Trust” alla zona “Untrusted”.
Iniziamo creando una regola cliccando sul pulsante “Aggiungi”. Nella finestra che si apre, nella scheda generale, compiliamo il nome (Blocco ICMP da trusted a untrusted), selezioniamo la casella “Attiva”, scegliamo l'azione di blocco e, cosa più importante, selezioniamo correttamente la posizione di questa regola. Secondo la mia politica, questa regola deve trovarsi sopra la regola “Consenti trusted a untrusted”:
Nella scheda “Fonte” per il mio compito ci sono due opzioni:
Selezionando la zona “Trusted”
Selezionando tutte le zone tranne “Trusted” e spuntando la casella “Inverti”
La scheda “Destinazione” si configura in modo simile alla scheda “Fonte”.
Passiamo alla scheda “Servizio”, poiché in UserGate c'è un servizio predefinito per il traffico ICMP, facendo clic sul pulsante «Aggiungi» selezioniamo dalla lista proposta il servizio denominato “Any ICMP”:
Forse era così che i creatori di UserGate avevano in mente, ma per me era possibile creare più regole identiche. Anche se verrà eseguita solo la prima regola nella lista, la possibilità di creare regole diverse per funzionalità con lo stesso nome potrebbe creare confusione quando ci sono più amministratori del dispositivo.
NAT e routing
Quando creiamo le regole NAT, vediamo diverse schede simili, come per il firewall. Nella scheda 'Generale' è comparso il campo 'Tipo', che consente di scegliere a cosa risponderà questa regola:
NAT — Traduzione degli indirizzi di rete.
DNAT — Reindirizza il traffico a un IP specificato.
Port forwarding — Reindirizza il traffico a un IP specificato, ma consente di modificare il numero di porta del servizio pubblicato.
Routing basato sulle policy — Consente di instradare i pacchetti IP sulla base di informazioni avanzate, come servizi, indirizzi MAC o server (indirizzi IP).
Mappatura della rete — Consente di sostituire gli indirizzi IP di origine o destinazione di una rete con un'altra rete.
Dopo aver selezionato il tipo appropriato, le impostazioni saranno disponibili per esso.
Nel campo SNAT IP (indirizzo esterno) specifichiamo esplicitamente l'indirizzo IP che sostituirà l'indirizzo sorgente. Questo campo è necessario in presenza di più indirizzi IP assegnati alle interfacce della zona di destinazione. Se questo campo viene lasciato vuoto, il sistema utilizzerà un indirizzo casuale dall'elenco degli indirizzi IP disponibili assegnati alle interfacce della zona di destinazione. UserGate consiglia di specificare l'IP SNAT per migliorare le prestazioni del firewall.
Ad esempio, pubblicherò il servizio SSH del server Windows situato nella zona “DMZ” utilizzando la regola “port-forwarding”. Per fare ciò, facciamo clic sul pulsante “Aggiungi” e compiliamo la scheda “Generale”, indicando il nome della regola “SSH to Windows” e il tipo “Port-forwarding”:
Nella scheda “Fonte” selezioniamo la zona “Non fidata” e passiamo alla scheda “Port Forwarding”. Qui dobbiamo specificare il protocollo “TCP” (sono disponibili quattro opzioni: TCP, UDP, SMTP, SMTPS). La porta di destinazione originale 9922 è il numero di porta a cui gli utenti inviano richieste (non possono essere utilizzate le porte: 2200, 8001, 4369, 9000-9100). La nuova porta di destinazione (22) è il numero di porta a cui verranno inoltrate le richieste degli utenti verso il server interno pubblicato.
Nella scheda “DNAT” impostiamo l'indirizzo IP del computer nella rete locale che viene pubblicato su Internet (192.168.3.2). E facoltativamente possiamo abilitare SNAT, in questo modo UserGate cambierà l'indirizzo sorgente nei pacchetti dalla rete esterna al proprio indirizzo IP.
Dopo tutte le impostazioni, si ottiene una regola che consente di accedere dalla zona “Non fidata” al server con indirizzo IP 192.168.3.2 utilizzando il protocollo SSH, utilizzando l'indirizzo esterno di UserGate per la connessione.
Larghezza di banda
In questa sezione vengono stabilite regole per gestire la larghezza di banda. Possono essere utilizzate per limitare il canale di determinati utenti, host, servizi o applicazioni.
Nella creazione di una regola, nelle schede si definisce il traffico a cui si applicano le restrizioni. La larghezza di banda può essere scelta tra quelle proposte o definita secondo le proprie esigenze. Durante la creazione della larghezza di banda, è possibile specificare un'etichetta di prioritizzazione del traffico DSCP. Un esempio di applicazione delle etichette DSCP: specificando nella regola uno scenario in cui si applica questa regola, la regola può automaticamente modificare queste etichette. Un altro esempio di funzionamento dello scenario: la regola entrerà in vigore per l'utente solo quando viene rilevato un torrent o quando il volume del traffico supera il limite stabilito. Le altre schede vengono compilate come nelle altre politiche, in base al tipo di traffico a cui la regola deve essere applicata.
Conclusione
In questo articolo ho esaminato la creazione di regole nelle sezioni "Firewall", "NAT e routing" e "Larghezza di banda". All'inizio dell'articolo ho descritto le regole per la creazione delle politiche di UserGate, oltre al principio di funzionamento delle condizioni nella creazione della regola.
Seguite gli aggiornamenti sui nostri canali (, , , )!
Fonte: habr.com
