שלום לכולם! מאמר זה יסקור את פונקציונליות ה-VPN במוצר Sophos XG Firewall. בקודם статье בדקנו איך להשיג את פתרון ההגנה על הרשת הביתית הזה בחינם עם רישיון מלא. היום נדבר על פונקציונליות ה-VPN המובנית ב-Sophos XG. אני אנסה לספר לך מה המוצר הזה יכול לעשות, וגם לתת דוגמאות להגדרת IPSec אתר לאתר VPN ו-SSL VPN מותאם אישית. אז בואו נתחיל עם הסקירה.

קודם כל, בואו נסתכל על טבלת הרישוי:

אתה יכול לקרוא עוד על אופן הרישיון של Sophos XG Firewall כאן:
קשר
אבל במאמר זה נתעניין רק באותם פריטים המודגשים באדום.

פונקציונליות ה-VPN העיקרית כלולה ברישיון הבסיסי ונרכשת פעם אחת בלבד. זהו רישיון לכל החיים ואינו דורש חידוש. מודול אפשרויות ה-VPN הבסיסי כולל:

אתר לאתר:

• SSL VPN
• VPN של IPSec

גישה מרחוק (VPN של לקוח):

• SSL VPN
• IPsec VPN ללא לקוחות (עם אפליקציה מותאמת אישית בחינם)
• L2TP
• PPTP

כפי שאתה יכול לראות, כל הפרוטוקולים הפופולריים וסוגי חיבורי VPN נתמכים.

כמו כן, ל-Sophos XG Firewall יש שני סוגים נוספים של חיבורי VPN שאינם כלולים במנוי הבסיסי. אלה הם RED VPN ו-HTML5 VPN. חיבורי VPN אלו כלולים במנוי Network Protection, מה שאומר שכדי להשתמש בסוגים אלו עליך להיות בעל מנוי פעיל, הכולל גם פונקציונליות של הגנת רשת - מודולי IPS ו-ATP.

RED VPN הוא VPN L2 קנייני מבית Sophos. לסוג זה של חיבור VPN יש מספר יתרונות על פני Site-to-site SSL או IPSec בעת הגדרת VPN בין שני XGs. בניגוד ל-IPSec, המנהרה האדומה יוצרת ממשק וירטואלי בשני קצוות המנהרה, מה שעוזר בפתרון בעיות, ובניגוד ל-SSL, ממשק וירטואלי זה ניתן להתאמה אישית לחלוטין. למנהל המערכת יש שליטה מלאה על רשת המשנה בתוך המנהרה האדומה, מה שמקל על פתרון בעיות ניתוב והתנגשויות רשת משנה.

HTML5 VPN או VPN ללא לקוחות – סוג ספציפי של VPN המאפשר להעביר שירותים באמצעות HTML5 ישירות בדפדפן. סוגי שירותים שניתן להגדיר:

• RDP
• Telnet
• SSH
• VNC
• fTP
• FTPS
• SFTP
• SMB

אבל כדאי לקחת בחשבון שסוג זה של VPN משמש רק במקרים מיוחדים ומומלץ, במידת האפשר, להשתמש בסוגי VPN מהרשימות למעלה.

עיסוק

בואו נסתכל באופן מעשי כיצד להגדיר כמה מסוגי המנהרות הללו, כלומר: IPSec מאתר לאתר וגישה מרחוק ל-SSL VPN.

IPSec VPN מאתר לאתר

נתחיל עם איך להגדיר מנהרת IPSec VPN מאתר לאתר בין שתי חומות אש של Sophos XG. מתחת למכסה המנוע הוא משתמש ב-strongSwan, המאפשר לך להתחבר לכל נתב התומך IPSec.

אתה יכול להשתמש באשף התקנה נוח ומהיר, אבל אנחנו נלך בדרך הכללית כך שבהתבסס על הוראות אלה, תוכל לשלב את Sophos XG עם כל ציוד המשתמש ב-IPSec.

בואו נפתח את חלון הגדרות המדיניות:

כפי שאנו יכולים לראות, יש כבר הגדרות מוגדרות מראש, אבל אנחנו ניצור הגדרות משלנו.

בואו נגדיר את פרמטרי ההצפנה לשלב הראשון והשני ונשמור את המדיניות. באנלוגיה, אנו עושים את אותם השלבים ב-Sophos XG השני ועוברים להגדרת מנהרת IPSec עצמה

הזן את השם, מצב ההפעלה והגדר את פרמטרי ההצפנה. לדוגמה, נשתמש במפתח משותף מראש

ומציינים רשתות משנה מקומיות ומרוחקות.

החיבור שלנו נוצר

באנלוגיה, אנו מבצעים את אותן הגדרות ב-Sophos XG השני, למעט מצב ההפעלה, שם נגדיר את התחל את החיבור

עכשיו יש לנו שתי מנהרות מוגדרות. לאחר מכן, עלינו להפעיל אותם ולהפעיל אותם. זה נעשה בצורה פשוטה מאוד, אתה צריך ללחוץ על העיגול האדום מתחת למילה Active כדי להפעיל ועל העיגול האדום מתחת לחיבור כדי להתחיל את החיבור.
אם נראה את התמונה הזו:

זה אומר שהמנהרה שלנו עובדת כמו שצריך. אם המחוון השני אדום או צהוב, אז משהו מוגדר שגוי במדיניות הצפנה או ברשתות משנה מקומיות ומרוחקות. הרשו לי להזכיר לכם שההגדרות חייבות להיות שיקוף.

בנפרד, אני רוצה להדגיש שאתה יכול ליצור קבוצות Failover ממנהרות IPSec לסובלנות תקלות:

גישה מרחוק SSL VPN

בואו נעבור ל-VPN SSL לגישה מרחוק למשתמשים. מתחת למכסה המנוע, יש תקן OpenVPNזה מאפשר למשתמשים להתחבר דרך כל לקוח שתומך בקבצי תצורה של .ovpn (כגון לקוח החיבור הסטנדרטי).

ראשית, עליך להגדיר מדיניות. OpenVPN שרתים:

ציין את התחבורה לחיבור, הגדר את היציאה, טווח כתובות IP לחיבור משתמשים מרוחקים

אתה יכול גם לציין הגדרות הצפנה.

לאחר הגדרת השרת, אנו ממשיכים להגדרת חיבורי לקוח.

כל כלל חיבור SSL VPN נוצר עבור קבוצה או עבור משתמש בודד. לכל משתמש יכולה להיות רק מדיניות חיבור אחת. לפי ההגדרות, מה שמעניין הוא שלכל כלל כזה ניתן לציין משתמשים בודדים שישתמשו בהגדרה זו או קבוצה מ-AD, ניתן להפעיל את תיבת הסימון כך שכל התעבורה תהיה עטופה במנהרת VPN או לציין את כתובות ה-IP, רשתות משנה או שמות FQDN זמינים למשתמשים. בהתבסס על מדיניות זו, פרופיל .ovpn עם הגדרות עבור הלקוח ייווצר באופן אוטומטי.

באמצעות פורטל המשתמש, המשתמש יכול להוריד הן קובץ .ovpn עם הגדרות עבור לקוח VPN, והן קובץ התקנת לקוח VPN עם קובץ הגדרות חיבור מובנה.

מסקנה

במאמר זה, עברנו בקצרה על פונקציונליות ה-VPN במוצר Sophos XG Firewall. בדקנו איך אתה יכול להגדיר IPSec VPN ו-SSL VPN. זו אינה רשימה מלאה של מה שהפתרון הזה יכול לעשות. במאמרים הבאים אנסה לסקור את RED VPN ולהראות איך זה נראה בפתרון עצמו.

תודה על זמנך.

אם יש לך שאלות לגבי הגרסה המסחרית של XG Firewall, אתה יכול לפנות אלינו, החברה קבוצת גורמים, מפיץ Sophos. כל שעליכם לעשות הוא לכתוב בצורה חופשית ב- sophos@fgts.ru.

מקור: www.habr.com