2. NGFW לעסקים קטנים. Unboxing והגדרה

אנו ממשיכים את סדרת המאמרים על עבודה עם מגוון הדגמים החדשים של SMB CheckPoint, הרשו לנו להזכיר לכם כי ב החלק הראשון תיארנו את המאפיינים והיכולות של המודלים החדשים, שיטות הניהול והניהול. היום נסתכל על תרחיש הפריסה של הדגם הישן יותר בסדרה: CheckPoint 1590 NGFW. להלן תקציר של חלק זה:

1. פריקת ציוד (תיאור רכיבים, חיבורים פיזיים ורשתות).
2. אתחול מכשיר ראשוני.
3. הגדרה ראשונית.
4. הערכת ביצועים.

פריקת ציוד

היכרות עם הציוד מתחילה בהוצאת הציוד מהקופסה, פירוק רכיבים והתקנת חלקים, לחץ על הספוילר, שם מוצג התהליך בקצרה

משלוח של NGFW 1590

בקצרה על הרכיבים:

• NGFW 1590;
• מתאם מתח;
• 2 אנטנות Wifi (2.4 הרץ ו-5 הרץ);
• 2 אנטנות LTE;
• חוברות עם תיעוד (מדריך קצר לחיבור ראשוני, הסכם רישיון וכו')

באשר ליציאות וממשקי רשת, יש את כל היכולות המודרניות להעברת תעבורה ואינטראקציה, יציאה נפרדת לאזור DMZ, USB 3.0 לסנכרון עם מחשב.

גרסה 1590 קיבלה עיצוב מעודכן, אפשרויות חדישות לתקשורת אלחוטית והרחבת זיכרון: 2 חריצים לעבודה עם Micro/Nano SIM במצב LTE. (אנו מתכננים לכתוב על אפשרות זו בפירוט באחד מהמאמרים הבאים שלנו בסדרה המוקדשת לחיבורים אלחוטיים); חריץ לכרטיס SD.

אתה יכול לקרוא עוד על היכולות של 1590 NGFW ודגמים חדשים אחרים ב 1 חלקים מתוך סדרת מאמרים על פתרונות SMB של CheckPoint. נמשיך לאתחול הראשוני של המכשיר.

אתחול ראשי

הקוראים הקבועים שלנו כבר צריכים להיות מודעים לכך שקו ה-SMB מסדרת 1500 משתמש במערכת ההפעלה החדשה 80.20 Embedded, הכוללת ממשק מעודכן ויכולות משופרות.

כדי להתחיל לאתחל את המכשיר עליך:

1. ספק כוח לשער.
2. חבר את כבל הרשת מהמחשב שלך ל-LAN -1 בשער.
3. לחלופין, תוכל לספק מיד למכשיר גישה לאינטרנט על ידי חיבור הממשק ליציאת ה-WAN.
4. עבור לפורטל Gaia Embedded: https://192.168.1.1:4434/

אם ביצעת את השלבים שצוינו קודם לכן, לאחר מעבר לדף הפורטל של Gaia, תצטרך לאשר את פתיחת הדף עם אישור לא מהימן, ולאחר מכן יופעל אשף הגדרות הפורטל:

את פניך יקבל עמוד המציין את דגם המכשיר שלך, עליך לעבור לסעיף הבא:

נתבקש ליצור חשבון להרשאה, ניתן לציין דרישות סיסמא גבוהות למנהל, ונציין את המדינה בה נשתמש בשער.

החלון הבא נוגע להגדרות תאריך ושעה; אתה יכול להגדיר זאת באופן ידני או להשתמש בשרת ה-NTP של החברה.

השלב הבא כולל הגדרת שם למכשיר וציון דומיין החברה כך ששירותי השער יפעלו כהלכה באינטרנט.

השלב הבא נוגע לבחירת סוג בקרת NGFW, כאן יש לציין:

1. ניהול מקומי. זוהי אפשרות זמינה לניהול השער באופן מקומי באמצעות דף האינטרנט של Gaia Portal.
2. ניהול מרכזי. ניהול מסוג זה כולל סנכרון עם שרת ניהול צ'ק פוינט ייעודי, סנכרון עם ענן Smart1-Cloud או עם SMP (שירות ניהול ל-SMB).

במאמר זה נתמקד בשיטת הניהול המקומי; ניתן לציין את השיטה הדרושה. כדי להכיר את תהליך הסנכרון עם שרת ניהול ייעודי, אנו מציעים קשר מסדרת ההדרכה של CheckPoint Getting Started שהוכנה על ידי TS Solution.

לאחר מכן, יוצג חלון המגדיר את מצב ההפעלה של הממשקים בשער:

• מצב מעבר מרמז על זמינות של רשת משנה מממשק אחד לרשת המשנה של ממשק אחר.
• מצב Disable Switch משבית בהתאם את מצב המתג; כל יציאה מנתבת תעבורה כמו עבור קטע רשת נפרד.

כמו כן, מוצע לציין מאגר כתובות DHCP שישמש בעת חיבור לממשקים המקומיים של השער.

השלב הבא הוא להגדיר את השער לעבוד במצב אלחוטי; אנו מתכננים לדון בהיבט זה ביתר פירוט במאמר אחד בסדרה, ולכן דחינו את הגדרת ההגדרות. ניתן ליצור נקודת גישה אלחוטית חדשה, להגדיר סיסמה לחיבור אליה ולקבוע את מצב הפעולה של הערוץ האלחוטי (2.4 הרץ או 5 הרץ).

השלב הבא יהיה להגדיר גישה לשער עבור מנהלי חברה. כברירת מחדל, זכויות גישה מותרות אם החיבור מגיע מ:

1. תת רשת פנימית של החברה
2. רשת אלחוטית מהימנה
3. מנהרת VPN

האפשרות להתחבר לשער דרך האינטרנט מושבתת כברירת מחדל, הדבר טומן בחובו סיכונים גדולים ויש להצדיק את ההכללה, אחרת מומלץ להשאיר זאת כמו בדוגמה שלנו, ניתן גם לציין אילו כתובות IP יתאפשרו כדי להתחבר לשער.

החלון הבא נוגע להפעלת רישיונות; עם האתחול הראשוני של המכשיר, תוצג לך תקופת ניסיון של 30 יום. קיימות שתי שיטות הפעלה זמינות:

1. אם יש חיבור לאינטרנט, הרישיון מופעל אוטומטית.
2. אם אתה מפעיל רישיון במצב לא מקוון, עליך לבצע את הפעולות הבאות: להוריד את הרישיון מ-UserCenter, לרשום את המכשיר שלך במכשיר מיוחד הפורטל. לאחר מכן, בשני המקרים, יהיה עליך לייבא את הרישיון שהורד ידנית.

לבסוף, החלון האחרון באשף ההגדרות מנחה אותך לבחור את הלהבים להפעלה; שים לב שהלהב QOS מופעל רק לאחר האתחול הראשוני. אתה אמור לסיים עם חלון השלמה שמסכם את ההגדרות שלך.

הגדרה ראשונית

קודם כל, אנו ממליצים לבדוק את מצב הרישיונות; תצורה נוספת תהיה תלויה בכך. עבור אל הכרטיסייה "בית" → "רישיון":

אם הרישיונות מופעלים, אנו ממליצים לעדכן באופן מיידי לקושחה העדכנית ביותר; לשם כך, עבור אל הכרטיסייה "התקן" → "פעולות מערכת":

עדכוני מערכת נמצאים בפריט שדרוג קושחה. במקרה שלנו, גרסת הקושחה העדכנית והעדכנית מותקנת.

לאחר מכן, אני מציע לדבר בקצרה על היכולות וההגדרות של להבי המערכת. באופן הגיוני, ניתן לחלק אותם למדיניות גישה (חומת אש, בקרת יישומים, סינון כתובות אתרים) ומניעת איומים (IPS, אנטי וירוס, אנטי-בוט, הדמיית איומים).

בוא נעבור למדיניות הגישה ← לשונית בקרת להב:

כברירת מחדל, נעשה שימוש במצב STANDARD, הוא מאפשר תעבורה יוצאת לאינטרנט, תעבורה בתוך הרשת המקומית, אך בו זמנית חוסם תעבורה נכנסת מהאינטרנט.

לגבי להבי APPLICATIONS & URL FILTERING, כברירת מחדל הם מוגדרים לחסום אתרים עם רמת סכנה גבוהה, לחסום יישומי החלפה (טורנט, אחסון קבצים וכו'). אתה יכול גם לחסום קטגוריות של אתרים באופן ידני.

בואו נבדוק את האפשרות לתעבורת משתמשים "הגבלת אפליקציות צורכות רוחב פס" עם יכולת להגביל את מהירות התעבורה היוצאת/נכנסת עבור קבוצות של אפליקציות.

לאחר מכן, פתח את סעיף המשנה מדיניות; כברירת מחדל, הכללים נוצרים באופן אוטומטי בהתאם להגדרות שתוארו קודם לכן.

סעיף המשנה NAT כברירת מחדל פועל ב-Global Hide Nat Automatic, כלומר לכל המארחים הפנימיים תהיה גישה לאינטרנט דרך כתובת ה-IP הציבורית. אפשר להגדיר באופן ידני כללי NAT ​​לפרסום יישומי האינטרנט או השירותים שלך.

לאחר מכן, הסעיף הנוגע לאימות משתמש ברשת מציע שתי אפשרויות: שאילתות Active Directory (אינטגרציה עם ה-AD שלך), אימות מבוסס-דפדפן (המשתמש מזין אישורי דומיין בפורטל).

ראוי להזכיר בנפרד את בדיקת SSL; חלקה של תעבורת ה-HTTPS הכוללת ברשת הגלובלית גדל באופן פעיל. הבה נבחן אילו תכונות מציעה CheckPoint עבור פתרונות SMB. לשם כך, עבור לקטע SSL-Inspection ← מדיניות:

בהגדרות אתה יכול לבדוק תעבורת HTTPS; תצטרך לייבא את האישור ולהתקין אותו במרכז האישורים המהימן במכונות משתמשי קצה.

אנו מחשיבים את מצב ה-BYPASS עבור קטגוריות מוגדרות מראש כאפשרות נוחה; זה חוסך זמן משמעותי בעת הפעלת בדיקה.

לאחר קביעת התצורה של הכללים ברמת חומת האש / יישום, עליך להמשיך לכוונון מדיניות האבטחה (מניעת איומים), לשם כך, עבור לסעיף המתאים:

בעמוד הפתוח אנו רואים סטטוסים של להבים מופעלים, חתימה ועדכון מסד נתונים. כמו כן, אנו מתבקשים לבחור פרופיל להגנה על היקף הרשת, וההגדרות המתאימות מוצגות.

סעיף נפרד "הגנות IPS" מאפשר לך להגדיר את הפעולה עבור חתימת אבטחה ספציפית.

לא מזמן כתבנו בבלוג שלנו על פגיעות גלובלית עבור Windows Server - SigRed. בואו נבדוק את נוכחותו ב- Gaia Embedded 80.20 על ידי הזנת השאילתה "CVE-2020-1350"

זוהתה רשומה עבור חתימה זו שניתן להחיל עליה אחת מהפעולות. (כברירת מחדל מניעה עבור רמת הסכנה היא קריטית). בהתאם, בעל פתרון SMB, לא תישאר בחוץ מבחינת עדכונים ותמיכה; זהו פתרון NGFW שלם לסניפים של עד 200 איש מ-CheckPoint.

הערכת ביצועים

לסיום המאמר, ברצוני לציין את הזמינות של כלים לפתרון בעיות לאחר האתחול וההגדרה הראשונית של פתרון ה-SMB. אתה יכול לעבור לקטע "בית" → "כלים". אפשרויות אפשריות:

• ניטור משאבי מערכת;
• טבלת ניתוב;
• בדיקת זמינות שירותי הענן של CheckPoint;
• יצירת CPinfo;

פקודות רשת מובנות זמינות גם: Ping, Traceroute, Traffic Capture.

לפיכך, היום סקרנו ולמדנו את החיבור והתצורה הראשונית של ה-NGFW 1590, אתה תבצע פעולות דומות עבור כל סדרת 1500 SMB Checkpoint. האפשרויות הזמינות הראו לנו שונות גבוהה להגדרות, תמיכה בשיטות מודרניות להגנה על תעבורה על היקף הרשת.

כיום, לפתרונות צ'ק פוינט להגנה על משרדים וסניפים קטנים (עד 200 איש) יש מגוון רחב של כלים ומשתמשים בטכנולוגיות החדישות ביותר (ניהול ענן, תמיכה בכרטיסי SIM, הרחבת זיכרון באמצעות כרטיסי SD וכו'). המשך להתעדכן ולקרוא מאמרים מ-TS Solution, אנו מתכננים מהדורות נוספות של חלקים על NGFW CheckPoint של משפחת SMB, נתראה!

מבחר גדול של חומרים בצ'ק פוינט מבית TS Solution. המשך לעקוב (מברק, פייסבוק, VK, בלוג פתרונות TS, יאנדקס זן).

מקור: www.habr.com