2. UserGate תחילת העבודה. דרישות, התקנה

שלום, זה המאמר השני על פתרון NGFW מהחברה משתמש. מטרת מאמר זה היא להראות כיצד להתקין את חומת האש של UserGate על מערכת וירטואלית (אשתמש בתוכנת וירטואליזציה של VMware Workstation) ולבצע את התצורה הראשונית שלה (לאפשר גישה מהרשת המקומית דרך שער UserGate לאינטרנט).   

1. מבוא

כדי להתחיל, אתאר את הדרכים השונות ליישם את השער הזה לרשת. ברצוני לציין כי בהתאם לאפשרות החיבור שנבחרה, ייתכן שפונקציונליות מסוימת של השער לא תהיה זמינה. פתרון UserGate תומך במצבי החיבור הבאים: 

• חומת אש L3-L7

• גשר שקוף L2

• גשר שקוף L3

• כמעט לתוך הפער, באמצעות פרוטוקול WCCP

• כמעט בפער, באמצעות ניתוב מבוסס מדיניות

• נתב על מקל

• פרוקסי WEB שצוין במפורש

• UserGate כשער ברירת מחדל

• ניטור יציאת מראה

UserGate תומך בשני סוגים של אשכולות:

1. תצורת אשכול. צמתים המשולבים לאשכול תצורה שומרים על הגדרות עקביות ברחבי האשכול.

2. אשכול כשל. ניתן לשלב עד 4 צמתי אשכול תצורה לאשכול כשל התומך בפעולה במצב אקטיבי-אקטיבי או אקטיבי-פאסיבי. אפשר להרכיב מספר אשכולות כשל.

2. התקנה

כפי שהוזכר במאמר הקודם, UserGate מסופק כחבילת חומרה ותוכנה או פרוס בסביבה וירטואלית. מהחשבון האישי שלך באתר משתמש הורד את התמונה ב-OVF (Open Virtualization Format), פורמט זה מתאים לספקי VMWare ו-Oracle Virtualbox. תמונות דיסק של מכונות וירטואליות מסופקות עבור Microsoft Hyper-v ו-KVM.

לפי אתר UserGate, כדי שהמכונה הוירטואלית תפעל בצורה תקינה, מומלץ להשתמש לפחות ב-8Gb של RAM ומעבד וירטואלי 2 ליבות. ה-Hypervisor חייב לתמוך במערכות הפעלה של 64 סיביות.

ההתקנה מתחילה בייבוא ​​התמונה ל-hypervisor שנבחר (VirtualBox ו-VMWare). במקרה של Microsoft Hyper-v ו-KVM, עליך ליצור מכונה וירטואלית ולציין את התמונה שהורדת בתור הדיסק, ולאחר מכן להשבית את שירותי האינטגרציה בהגדרות של המכונה הווירטואלית שנוצרה.

כברירת מחדל, לאחר הייבוא ​​ל-VMWare, נוצרת מכונה וירטואלית עם ההגדרות הבאות:

כפי שנכתב למעלה, חייב להיות לפחות 8Gb RAM ובנוסף צריך להוסיף 1Gb לכל 100 משתמשים. ברירת המחדל של גודל הכונן הקשיח הוא 100Gb, אבל זה בדרך כלל לא מספיק כדי לאחסן את כל היומנים וההגדרות. הגודל המומלץ הוא 300Gb או יותר. לכן, במאפיינים של המכונה הוירטואלית, אנו משנים את גודל הדיסק לרצוי. בתחילה, UserGate UTM הוירטואלי מגיע עם ארבעה ממשקים המוקצים לאזורים:

ניהול - הממשק הראשון של המכונה הוירטואלית, אזור לחיבור רשתות מהימנות שממנו מותר ניהול UserGate.

מהימן הוא הממשק השני של המכונה הוירטואלית, אזור לחיבור רשתות מהימנות, למשל, רשתות LAN.

Untrusted הוא הממשק השלישי של המכונה הוירטואלית, אזור לממשקים המחוברים לרשתות לא מהימנות, למשל, לאינטרנט.

DMZ הוא הממשק הרביעי של המכונה הוירטואלית, אזור לממשקים המחוברים לרשת DMZ.

לאחר מכן, אנו משיקים את המכונה הוירטואלית, למרות שהמדריך אומר שעליך לבחור בכלי תמיכה ולבצע UTM איפוס להגדרות היצרן, אך כפי שאתה יכול לראות, יש רק אפשרות אחת (UTM First Boot). במהלך שלב זה, UTM מגדיר את מתאמי הרשת ומגדיל את גודל מחיצת הכונן הקשיח לגודל הדיסק המלא:

כדי להתחבר לממשק האינטרנט של UserGate, עליך להיכנס דרך אזור הניהול; זה באחריות ממשק eth0, המוגדר לקבל כתובת IP באופן אוטומטי (DHCP). אם לא ניתן להקצות כתובת עבור ממשק הניהול באופן אוטומטי באמצעות DHCP, אז ניתן להגדיר אותה במפורש באמצעות ה-CLI (ממשק שורת הפקודה). לשם כך, עליך להיכנס ל-CLI באמצעות שם משתמש וסיסמה עם זכויות מנהל מלאות (אדמין עם אות גדולה כברירת מחדל). אם התקן UserGate לא עבר אתחול ראשוני, אז כדי לגשת ל-CLI עליך להשתמש ב-Admin כשם המשתמש וב-utm כסיסמה. והקלד פקודה כמו iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. מאוחר יותר נעבור למסוף האינטרנט של UserGate בכתובת שצוינה, זה אמור להיראות בערך כך: https://UserGateIPaddress:8001:

במסוף האינטרנט אנו ממשיכים בהתקנה, עלינו לבחור את שפת הממשק (כרגע זה רוסית או אנגלית), אזור זמן, ואז לקרוא ולהסכים להסכם הרישיון. הגדר את פרטי הכניסה והסיסמה כדי להיכנס לממשק ניהול האינטרנט.

3. התקנה

לאחר ההתקנה, כך נראה חלון ממשק האינטרנט של ניהול הפלטפורמה:

לאחר מכן עליך להגדיר את ממשקי הרשת. כדי לעשות זאת, בסעיף "ממשקים" עליך להפעיל אותם, להגדיר את כתובות ה-IP הנכונות ולהקצות את האזורים המתאימים.

הסעיף "ממשקים" מציג את כל הממשקים הפיזיים והווירטואליים הזמינים במערכת, מאפשר לך לשנות את ההגדרות שלהם ולהוסיף ממשקי VLAN. זה גם מציג את כל הממשקים של כל צומת אשכול. הגדרות הממשק הן ספציפיות לכל צומת, כלומר הן אינן גלובליות.

במאפייני הממשק:

• הפעל או השבת את הממשק 

• ציין סוג ממשק - שכבה 3 או מראה

• הקצה אזור לממשק

• הקצה פרופיל Netflow כדי לשלוח נתונים סטטיסטיים לאספן Netflow

• שנה את הפרמטרים הפיזיים של הממשק - כתובת MAC וגודל MTU

• בחר את סוג הקצאת כתובת ה-IP - ללא כתובת, כתובת IP סטטית או מתקבלת באמצעות DHCP

• הגדר את ממסר ה-DHCP בממשק שנבחר.

כפתור "הוסף" מאפשר לך להוסיף את סוגי הממשקים הלוגיים הבאים:

• VLAN

• בונד

• גשר

• PPPoE

• VPN

• מִנהָרָה

בנוסף לאזורים המפורטים קודם לכן שתמונת Usergate נשלחת איתם, ישנם עוד שלושה סוגים מוגדרים מראש:

אשכול - אזור עבור ממשקים המשמשים לתפעול אשכול

VPN עבור אתר לאתר - אזור בו ממוקמים כל לקוחות Office-Office המחוברים ל-UserGate באמצעות VPN

VPN לגישה מרחוק - אזור הכולל את כל המשתמשים הניידים המחוברים ל-UserGate באמצעות VPN

מנהלי UserGate יכולים לשנות את הגדרות אזורי ברירת המחדל וגם ליצור אזורים נוספים, אך כאמור במדריך לגרסה 5, ניתן ליצור מקסימום 15 אזורים. כדי לשנות או ליצור אותם, עליך לעבור לקטע אזור. עבור כל אזור, אתה יכול להגדיר סף הפלת מנות; SYN, UDP, ICMP נתמכים. בקרת גישה לשירותי Usergate מוגדרת גם היא, וההגנה מפני זיוף מופעלת.

לאחר הגדרת הממשקים, עליך להגדיר את מסלול ברירת המחדל בסעיף "שערים". הָהֵן. כדי לחבר את UserGate לאינטרנט, עליך לציין את כתובת ה-IP של שער אחד או יותר. אם אתה משתמש במספר ספקים כדי להתחבר לאינטרנט, עליך לציין מספר שערים. תצורת השער היא ייחודית עבור כל צומת אשכול. אם צוינו שני שערים או יותר, 2 אפשרויות אפשריות:

1. איזון תנועה בין שערים.

2. השער הראשי עם מעבר לשער רזרבי.

מצב השער (זמין - ירוק, לא זמין - אדום) נקבע באופן הבא:

1. בדיקת הרשת מושבתת - שער נחשב נגיש אם UserGate יכול להשיג את כתובת ה-MAC שלו באמצעות בקשת ARP. אין בדיקה לגישה לאינטרנט דרך שער זה. אם לא ניתן לקבוע את כתובת ה-MAC של השער, השער נחשב בלתי ניתן לגישה.

2. בדיקת הרשת מופעלת - השער נחשב נגיש אם:

• UserGate יכול להשיג את כתובת ה-MAC שלו באמצעות בקשת ARP.

• בדיקת הגישה לאינטרנט דרך שער זה הושלמה בהצלחה.

אחרת, השער נחשב כלא זמין.

בקטע "DNS" עליך להוסיף את שרתי ה-DNS שבהם UserGate ישתמש. הגדרה זו מצוינת באזור שרתי DNS של מערכת. להלן הגדרות לניהול בקשות DNS ממשתמשים. UserGate מאפשר לך להשתמש בפרוקסי DNS. שירות פרוקסי DNS מאפשר ליירט בקשות DNS ממשתמשים ולשנות אותן בהתאם לצרכי המנהל. ניתן להשתמש בכללי פרוקסי DNS כדי לציין את שרתי ה-DNS שאליהם מועברות בקשות לדומיינים ספציפיים. בנוסף, באמצעות פרוקסי DNS, ניתן להגדיר רשומות סטטיות מסוג המארח (רשומה A).

בקטע "NAT וניתוב" עליך ליצור את כללי ה-NAT הדרושים. עבור גישה לאינטרנט על ידי משתמשים ברשת מהימנה, כלל ה-NAT כבר נוצר - "אמין->לא מהימן", כל שנותר הוא להפעיל אותו. הכללים מיושמים מלמעלה למטה בסדר שהם מופיעים במסוף. רק הכלל הראשון שעבורו התנאים שצוינו בכלל תואמים תמיד מבוצעים. כדי שהכלל יופעל, כל התנאים שצוינו בפרמטרי הכלל חייבים להתאים. UserGate ממליץ ליצור כללי NAT ​​כלליים, למשל, כלל NAT מרשת מקומית (בדרך כלל אזור מהימן) לאינטרנט (בדרך כלל אזור לא מהימן), והגבלת גישה למשתמשים, שירותים ויישומים באמצעות חוקי חומת אש.

אפשר גם ליצור כללי DNAT, העברת פורטים, ניתוב מבוסס מדיניות, מיפוי רשת.

לאחר מכן, בסעיף "חומת אש" עליך ליצור כללי חומת אש. עבור גישה בלתי מוגבלת לאינטרנט עבור משתמשי רשת מהימנה, כבר נוצר כלל חומת אש - "אינטרנט לאמין" ויש להפעילו. באמצעות כללי חומת אש, המנהלן יכול לאפשר או לדחות כל סוג של תעבורת רשת מעבר העוברת דרך UserGate. תנאי הכלל יכולים לכלול אזורים וכתובות IP של מקור/יעד, משתמשים וקבוצות, שירותים ויישומים. הכללים חלים באותו אופן כמו בסעיף "NAT וניתוב", כלומר. מלמעלה למטה. אם לא נוצרו כללים, אזי כל תעבורת תחבורה דרך UserGate אסורה.

4. מסקנה

בכך מסתיים המאמר. התקנו את חומת האש של UserGate על מכונה וירטואלית ועשינו את ההגדרות המינימליות הדרושות כדי שהאינטרנט יפעל ברשת מהימנה. נשקול תצורה נוספת במאמרים הבאים.

הישאר מעודכן לעדכונים בערוצים שלנו (מברק, פייסבוק, VK, בלוג פתרונות TS)!

מקור: www.habr.com