Continuiamo il nostro ciclo di articoli sui NGFW per le piccole imprese, ricordo che stiamo analizzando la nuova serie 1500. Nel ciclo ho menzionato una delle opzioni più utili nell'acquisto di un dispositivo SMB: la fornitura di gateway con licenze integrate per l'accesso mobile (da 100 a 200 utenti a seconda del modello). In questo articolo esamineremo la configurazione del VPN per i gateway della serie 1500, forniti con Gaia 80.20 Embedded preinstallato. Ecco un riepilogo:
- Capacità VPN per SMB.
- Organizzazione dell'accesso remoto per piccoli uffici.
- Client disponibili per la connessione.
1. Capacità VPN per SMB
Per preparare il materiale di oggi, è stata utilizzata la guida ufficiale della versione R80.20.05 (al momento della pubblicazione dell'articolo - attuale). Di conseguenza, per quanto riguarda il VPN con Gaia 80.20 Embedded, è prevista la supporto:
- Site-To-Site. Creazione di tunnel VPN tra i vostri uffici, dove gli utenti possono lavorare come se fossero in una rete "locale".
- Accesso remoto. Connessione alle risorse del tuo ufficio tramite dispositivi finali degli utenti (PC, telefoni cellulari, ecc.). In aggiunta, c'è SSL Network Extender, che consente di pubblicare singole applicazioni e di eseguirle tramite Java Applet, collegandosi attraverso SSL. Nota: non confondere con Mobile Access Portal (supporto su Gaia Embedded non disponibile).
Inoltre raccomando vivamente il corso ufficiale TS Solution — esso esplora le tecnologie Check Point in relazione a VPN, affronta le questioni di licenza e contiene istruzioni dettagliate per la configurazione.
2. Accesso remoto per piccole imprese
Iniziamo a organizzare il collegamento remoto al tuo ufficio:
- Affinché gli utenti possano costruire un tunnel VPN con il gateway, è necessario disporre di un indirizzo IP pubblico. Se hai già completato la configurazione iniziale ( del ciclo), di solito l'External Link è già attivo. Puoi ottenere informazioni accedendo al Gaia Portal: Dispositivo → Rete → Internet
Nel caso in cui la tua azienda utilizzi un indirizzo IP pubblico dinamico, puoi impostare il Dynamic DNS. Vai a Dispositivo → DDNS & Device Access
Attualmente sono supportati due provider: DynDns e no-ip.com. Per attivare l'opzione, è necessario inserire le proprie credenziali (nome utente, password).
- Successivamente, creeremo un'account utente, che sarà utile per testare le impostazioni: VPN → Remote Access → Remote Access Users
Nel gruppo (ad esempio: remoteaccess) creeremo un utente seguendo le istruzioni nello screenshot. La configurazione dell'account è standard, impostiamo nome utente e password, e attiviamo l'opzione Remote Access permissions.
Se hai applicato correttamente le impostazioni, dovresti vedere due oggetti: un utente locale e un gruppo locale di utenti.
- Il passo successivo è andare a VPN → Remote Access → Blade Control. Assicurati che il blade sia attivato e che il traffico da utenti remoti sia consentito.
- *Quelli sopra sono stati i passaggi minimi necessari per configurare il Remote Access. Ma prima di testare la connessione, esaminiamo le impostazioni avanzate, andando alla scheda VPN → Remote Access → Advanced
In base alle impostazioni attuali, vediamo che gli utenti remoti al momento della connessione riceveranno un indirizzo IP dalla rete 172.16.11.0/24, grazie all'opzione Office Mode. Questo è più che sufficiente per utilizzare 200 licenze concorrenti (specificato per 1590 NGFW Check Point).
Opzione «Route Internet traffic from connected clients through this gateway» è facoltativa e si occupa della gestione di tutto il traffico dell'utente remoto attraverso il gateway (compresi i collegamenti a Internet). Questo consente di ispezionare il traffico dell'utente e di proteggere il suo workstation da varie minacce e malware.
- *Gestione delle politiche di accesso per Remote Access
Dopo aver configurato il Remote Access, è stata creata una regola di accesso automatica a livello Firewall; per visualizzarla, è necessario andare alla scheda: Access Policy → Firewall → Policy
In questo caso, gli utenti remoti appartenenti al gruppo precedentemente creato potranno accedere a tutte le risorse interne dell'azienda; si noti che la regola si trova nella sezione comune “Incoming, Internal and VPN traffic”. Per consentire il traffico degli utenti VPN verso Internet, sarà necessario creare una regola separata nella sezione comune.Accesso in uscita a Internet”.
Infine, dobbiamo assicurarci che l'utente possa creare con successo un tunnel VPN verso il nostro gateway NGFW e accedere alle risorse interne dell'azienda. A tal fine, è necessario installare il client VPN sull'host di test, in allegato c'è per il download. Dopo l'installazione, sarà necessario seguire la procedura standard per aggiungere un nuovo sito (indicare l'indirizzo IP pubblico del proprio gateway). Per comodità, il processo è presentato sotto forma di GIF
Una volta stabilita la connessione, verifichiamo l'indirizzo IP ottenuto sulla macchina host utilizzando il comando nel CMD: ipconfig
Abbiamo verificato che l'adattatore di rete virtuale ha ricevuto un indirizzo IP dalla modalità Office del nostro NGFW e i pacchetti vengono inviati correttamente. Per completare, possiamo accedere al Gaia Portal: VPN → Accesso remoto → Utenti remoti connessi
L'utente “ntuser” appare come connesso, controlliamo il log degli eventi, andando in Logs & Monitoring → Security Logs
Il log della connessione è attivo, con l'indirizzo IP: 172.16.10.1 come fonte — questo è l'indirizzo ottenuto dal nostro utente tramite la modalità Office.
3. Client supportati per l'accesso remoto
Dopo aver esaminato la procedura di configurazione della connessione remota al tuo ufficio utilizzando il firewall NGFW Check Point della famiglia SMB, vorremmo parlare del supporto clienti per vari dispositivi:
- Mobile Client ( / )
- L2TP Native Client ( Check Point dichiara di supportare l'applicazione VPN nativa di Microsoft).
La varietà di sistemi operativi e dispositivi supportati ti consentirà di utilizzare appieno la tua licenza inclusa con il NGFW. Per configurare un singolo dispositivo, c'è un'opzione comoda “How to connect”
In essa vengono automaticamente generati i passaggi in base alle tue impostazioni, consentendo agli amministratori di configurare nuovi client senza problemi.
Risultato: In sintesi, in questo articolo abbiamo esaminato le funzionalità VPN per i firewall di nuova generazione Check Point della famiglia SMB. Abbiamo poi descritto i passaggi per configurare l'accesso remoto, nel caso di connessioni da remoto degli utenti all'ufficio, e infine abbiamo esplorato gli strumenti di monitoraggio. In conclusione, abbiamo parlato dei client disponibili e delle opzioni di connessione per l'accesso remoto. In questo modo, il tuo ufficio secondario potrà garantire la continuità e la sicurezza del lavoro dei dipendenti attraverso le tecnologie VPN, nonostante le varie minacce e fattori esterni.
. Rimanete aggiornati (, , , , ).
Fonte: habr.com
