2. NGFW მცირე ბიზნესისთვის. ყუთის ამოღება და დაყენება

ჩვენ ვაგრძელებთ სტატიების სერიას ახალი SMB CheckPoint მოდელის დიაპაზონთან მუშაობის შესახებ, შეგახსენებთ, რომ ქ პირველი ნაწილი ჩვენ აღვწერეთ ახალი მოდელების მახასიათებლები და შესაძლებლობები, მართვისა და ადმინისტრირების მეთოდები. დღეს ჩვენ გადავხედავთ სერიის ძველი მოდელის განლაგების სცენარს: CheckPoint 1590 NGFW. აქ არის ამ ნაწილის მოკლე შინაარსი:

1. აღჭურვილობის ამოხსნა (კომპონენტების აღწერა, ფიზიკური და ქსელური კავშირები).
2. მოწყობილობის საწყისი ინიციალიზაცია.
3. Თავდაპირველი წყობა.
4. შესრულების შეფასება.

აღჭურვილობის ამოლაგება

აღჭურვილობის გაცნობა იწყება მოწყობილობის ყუთიდან ამოღებით, კომპონენტების დაშლით და ნაწილების დამონტაჟებით; დააწკაპუნეთ სპოილერზე, სადაც მოკლედ არის წარმოდგენილი პროცესი.

NGFW 1590-ის მიწოდება

მოკლედ კომპონენტების შესახებ:

• NGFW 1590;
• დენის ადაპტერი;
• 2 Wifi ანტენა (2.4 Hz და 5 Hz);
• 2 LTE ანტენა;
• ბუკლეტები დოკუმენტაციით (საწყისი კავშირის მოკლე გზამკვლევი, სალიცენზიო ხელშეკრულება და ა.შ.)

რაც შეეხება ქსელის პორტებს და ინტერფეისებს, არის ყველა თანამედროვე შესაძლებლობა ტრაფიკის გადაცემისა და ურთიერთქმედებისთვის, ცალკე პორტი DMZ ზონისთვის, USB 3.0 კომპიუტერთან სინქრონიზაციისთვის.

1590 ვერსიამ მიიღო განახლებული დიზაინი, უსადენო კომუნიკაციისა და მეხსიერების გაფართოების თანამედროვე ვარიანტები: 2 სლოტი Micro/Nano SIM-თან LTE რეჟიმში მუშაობისთვის. (ამ ვარიანტის შესახებ დეტალურად დავწეროთ უსადენო კავშირებისადმი მიძღვნილ სერიის ერთ-ერთ მომდევნო სტატიაში); SD ბარათის სლოტი.

შეგიძლიათ მეტი წაიკითხოთ 1590 NGFW-ის და სხვა ახალი მოდელების შესაძლებლობების შესახებ 1 ნაწილები სტატიების სერიიდან CheckPoint SMB გადაწყვეტილებების შესახებ. ჩვენ გავაგრძელებთ მოწყობილობის თავდაპირველ ინიციალიზაციას.

პირველადი ინიციალიზაცია

ჩვენმა რეგულარულმა მკითხველმა უკვე უნდა იცოდეს, რომ 1500 Series SMB ხაზი იყენებს ახალ 80.20 Embedded OS, რომელიც მოიცავს განახლებულ ინტერფეისს და გაუმჯობესებულ შესაძლებლობებს.

მოწყობილობის ინიციალიზაციის დასაწყებად საჭიროა:

1. მიაწოდეთ ელექტროენერგია კარიბჭეს.
2. შეაერთეთ ქსელის კაბელი თქვენი კომპიუტერიდან LAN -1-ზე კარიბჭეზე.
3. სურვილისამებრ, შეგიძლიათ დაუყოვნებლივ მიაწოდოთ მოწყობილობას ინტერნეტთან წვდომა ინტერფეისის WAN პორტთან დაკავშირებით.
4. გადადით Gaia Embedded პორტალზე: https://192.168.1.1:4434/

თუ თქვენ მიჰყევით ადრე მითითებულ ნაბიჯებს, მაშინ Gaia-ს პორტალის გვერდზე გადასვლის შემდეგ, თქვენ უნდა დაადასტუროთ გვერდის გახსნა არასანდო სერთიფიკატით, რის შემდეგაც დაიწყება პორტალის პარამეტრების ოსტატი:

თქვენ მოგხვდებათ გვერდი, რომელშიც მითითებულია თქვენი მოწყობილობის მოდელი, თქვენ უნდა გადახვიდეთ შემდეგ განყოფილებაში:

ავტორიზაციისთვის მოგვთხოვენ ანგარიშის შექმნას, შესაძლებელია ადმინისტრატორისთვის პაროლის მაღალი მოთხოვნების მითითება და ჩვენ მივუთითებთ ქვეყანას, სადაც გამოვიყენებთ კარიბჭეს.

შემდეგი ფანჯარა ეხება თარიღისა და დროის პარამეტრებს; შეგიძლიათ ხელით დააყენოთ ან გამოიყენოთ კომპანიის NTP სერვერი.

შემდეგი ნაბიჯი გულისხმობს მოწყობილობის სახელის დაყენებას და კომპანიის დომენის მითითებას, რათა კარიბჭის სერვისებმა სწორად იმუშაონ ინტერნეტში.

შემდეგი ნაბიჯი ეხება NGFW კონტროლის ტიპის არჩევას, აქ უნდა აღინიშნოს:

1. ლოკალური მენეჯმენტი. ეს არის ხელმისაწვდომი ვარიანტი, რომ მართოთ კარიბჭე ადგილობრივად Gaia Portal ვებგვერდის გამოყენებით.
2. ცენტრალური მენეჯმენტი. ამ ტიპის მენეჯმენტი მოიცავს სინქრონიზაციას გამოყოფილი CheckPoint Management სერვერთან, სინქრონიზაციას Smart1-Cloud ღრუბელთან ან SMP-თან (მართვის სერვისი SMB-ისთვის).

ამ სტატიაში ჩვენ ყურადღებას გავამახვილებთ ლოკალური მართვის მეთოდზე, შეგიძლიათ მიუთითოთ ის მეთოდი, რომელიც აუცილებელია. იმისათვის, რომ გაეცნოთ ერთგულ მენეჯმენტ სერვერთან სინქრონიზაციის პროცესს, გთავაზობთ ლინკები TS Solution-ის მიერ მომზადებული CheckPoint Getting Started სასწავლო სერიიდან.

შემდეგი, გამოჩნდება ფანჯარა, რომელიც განსაზღვრავს კარიბჭეზე ინტერფეისების მუშაობის რეჟიმს:

• გადართვის რეჟიმი გულისხმობს ქვექსელის ხელმისაწვდომობას ერთი ინტერფეისიდან სხვა ინტერფეისის ქვექსელში.
• გამორთვის გადართვის რეჟიმი შესაბამისად გამორთავს გადართვის რეჟიმს; თითოეული პორტი მარშრუტებს ტრაფიკს, როგორც ცალკე ქსელის ფრაგმენტისთვის.

ასევე შემოთავაზებულია DHCP მისამართების ჯგუფის მითითება, რომელიც გამოყენებული იქნება კარიბჭის ლოკალურ ინტერფეისებთან დაკავშირებისას.

შემდეგი ნაბიჯი არის კარიბჭის კონფიგურაცია უკაბელო რეჟიმში მუშაობისთვის; ჩვენ ვგეგმავთ ამ ასპექტის უფრო დეტალურად განხილვას სერიის ერთ სტატიაში, ამიტომ გადავდეთ პარამეტრების კონფიგურაცია. შეგიძლიათ შექმნათ ახალი უკაბელო წვდომის წერტილი, დააყენოთ პაროლი მასთან დასაკავშირებლად და განსაზღვროთ უკაბელო არხის მუშაობის რეჟიმი (2.4 ჰც ან 5 ჰც).

შემდეგი ნაბიჯი იქნება კომპანიის ადმინისტრატორებისთვის კარიბჭეზე წვდომის კონფიგურაცია. ნაგულისხმევად, წვდომის უფლებები დაშვებულია, თუ კავშირი მოდის:

1. კომპანიის შიდა ქვექსელი
2. სანდო უკაბელო ქსელი
3. VPN გვირაბი

ინტერნეტის საშუალებით კარიბჭესთან დაკავშირების ოფცია ნაგულისხმევად გამორთულია, ეს დიდ რისკებს შეიცავს და უნდა იყოს დასაბუთებული ჩართვისთვის, წინააღმდეგ შემთხვევაში რეკომენდებულია დატოვოთ ის, როგორც ჩვენს მაგალითში. ასევე შესაძლებელია მიუთითოთ რომელი IP მისამართები იქნება დაშვებული. კარიბჭესთან დასაკავშირებლად.

შემდეგი ფანჯარა ეხება ლიცენზიების გააქტიურებას; მოწყობილობის პირველადი ინიციალიზაციისას თქვენ წარმოგიდგენთ 30-დღიან საცდელ პერიოდს. გააქტიურების ორი ხელმისაწვდომი მეთოდი არსებობს:

1. თუ არის ინტერნეტი, ლიცენზია ავტომატურად გააქტიურდება.
2. თუ თქვენ გაააქტიურებთ ლიცენზიას ოფლაინში, თქვენ უნდა გააკეთოთ შემდეგი: ჩამოტვირთეთ ლიცენზია UserCenter-დან, დაარეგისტრირეთ თქვენი მოწყობილობა სპეციალურზე. პორტალი. შემდეგი, ორივე შემთხვევაში, თქვენ დაგჭირდებათ ხელით გადმოწერილი ლიცენზიის იმპორტი.

დაბოლოს, პარამეტრების ოსტატის ბოლო ფანჯარა მოგთხოვთ აირჩიოთ ჩართული პირები; გაითვალისწინეთ, რომ QOS დანა ჩართულია მხოლოდ საწყისი ინიციალიზაციის შემდეგ. თქვენ უნდა დაასრულოთ დასრულების ფანჯარა, რომელიც აჯამებს თქვენს პარამეტრებს.

Თავდაპირველი წყობა

უპირველეს ყოვლისა, ჩვენ გირჩევთ შეამოწმოთ ლიცენზიების სტატუსი; შემდგომი კონფიგურაცია ამაზე იქნება დამოკიდებული. გადადით "მთავარი" → "ლიცენზია" ჩანართზე:

თუ ლიცენზიები გააქტიურებულია, ჩვენ გირჩევთ დაუყოვნებლივ განაახლოთ უახლესი მიმდინარე პროგრამული უზრუნველყოფა; ამისათვის გადადით "DEVICE" → "სისტემის ოპერაციები" ჩანართზე:

სისტემის განახლებები განთავსებულია Firmware Upgrade პუნქტში. ჩვენს შემთხვევაში, დაინსტალირებულია firmware მიმდინარე და უახლესი ვერსია.

შემდეგი, მე გთავაზობთ მოკლედ ვისაუბროთ სისტემის პირების შესაძლებლობებსა და პარამეტრებზე. ლოგიკურად, ისინი შეიძლება დაიყოს Access (Firewall, Application Control, URL Filtering) და Threat Prevention (IPS, Antivirus, Anti-Bot, Threat Emulation) დონის პოლიტიკად.

მოდით გადავიდეთ წვდომის პოლიტიკაზე → Blade Control ჩანართზე:

ნაგულისხმევად, გამოიყენება სტანდარტული რეჟიმი, ის საშუალებას აძლევს გამავალი ტრაფიკს ინტერნეტში, ტრაფიკს ადგილობრივ ქსელში, მაგრამ ამავე დროს ბლოკავს შემომავალ ტრაფიკს ინტერნეტიდან.

რაც შეეხება APPLICATIONS & URL FILTERING blades-ს, ისინი ნაგულისხმევად დაყენებულია საფრთხის მაღალი დონის მქონე საიტების დასაბლოკად, აპლიკაციების გაცვლის ბლოკად (ტორენტი, ფაილების შენახვა და ა.შ.). თქვენ ასევე შეგიძლიათ ხელით დაბლოკოთ საიტების კატეგორიები.

მოდით შევამოწმოთ მომხმარებლის ტრაფიკის ვარიანტი „შეზღუდოს გამტარუნარიანობა მომხმარებელმა აპლიკაციებმა“ აპლიკაციების ჯგუფებისთვის გამავალი/შემავალი ტრაფიკის სიჩქარის შეზღუდვის შესაძლებლობით.

შემდეგ გახსენით პოლიტიკის ქვეგანყოფილება; ნაგულისხმევად, წესები ავტომატურად გენერირებულია ადრე აღწერილი პარამეტრების მიხედვით.

NAT ქვეგანყოფილება ნაგულისხმევად მუშაობს Global Hide Nat Automatic-ში, ანუ ყველა შიდა ჰოსტს ექნება წვდომა ინტერნეტზე საჯარო IP მისამართის მეშვეობით. შესაძლებელია NAT წესების ხელით დაყენება თქვენი ვებ აპლიკაციების ან სერვისების გამოქვეყნებისთვის.

შემდეგი, განყოფილება, რომელიც ეხება მომხმარებლის ავთენტიფიკაციას ქსელში, გთავაზობთ ორ ვარიანტს: Active Directory Queries (ინტეგრაცია თქვენს AD-თან), ბრაუზერზე დაფუძნებული ავტორიზაცია (მომხმარებელმა შეაქვს დომენის სერთიფიკატები პორტალში).

ცალკე უნდა აღინიშნოს SSL ინსპექტირება, გლობალურ ქსელში მთლიანი HTTPS ტრაფიკის წილი აქტიურად იზრდება. მოდით შევხედოთ რა ფუნქციებს გვთავაზობს CheckPoint SMB გადაწყვეტილებებს. ამისათვის გადადით SSL-ინსპექტირების → პოლიტიკის განყოფილებაში:

პარამეტრებში შეგიძლიათ შეამოწმოთ HTTPS ტრაფიკი; თქვენ დაგჭირდებათ სერთიფიკატის იმპორტი და მისი ინსტალაცია სანდო სერტიფიკატის ცენტრში საბოლოო მომხმარებლის აპარატებზე.

ჩვენ მიგვაჩნია BYPASS რეჟიმი წინასწარ განსაზღვრული კატეგორიებისთვის მოსახერხებელ ვარიანტად; ეს მნიშვნელოვნად დაზოგავს დროს ინსპექტირების ჩართვისას.

Firewall / აპლიკაციის დონეზე წესების კონფიგურაციის შემდეგ, თქვენ უნდა გააგრძელოთ უსაფრთხოების პოლიტიკის რეგულირება (საფრთხის პრევენცია), ამისათვის გადადით შესაბამის განყოფილებაში:

ღია გვერდზე ჩვენ ვხედავთ ჩართულ პირებს, ხელმოწერას და მონაცემთა ბაზის განახლების სტატუსებს. ჩვენ ასევე გვთხოვენ ავირჩიოთ პროფილი ქსელის პერიმეტრის დასაცავად და ნაჩვენები იქნება შესაბამისი პარამეტრები.

ცალკე განყოფილება "IPS Protections" საშუალებას გაძლევთ დააკონფიგურიროთ მოქმედება კონკრეტული უსაფრთხოების ხელმოწერისთვის.

არც ისე დიდი ხნის წინ დავწერეთ ჩვენს ბლოგზე გლობალური დაუცველობის შესახებ Windows სერვერისთვის - SigRed. მოდით შევამოწმოთ მისი არსებობა Gaia Embedded 80.20-ში მოთხოვნის შეყვანით „CVE-2020-1350“

ამ ხელმოწერისთვის აღმოჩენილია ჩანაწერი, რომლის მიმართაც შესაძლებელია ერთ-ერთი ქმედება. (ნაგულისხმევად პრევენცია საფრთხის დონე კრიტიკულია). შესაბამისად, თუ გაქვთ SMB გადაწყვეტა, თქვენ არ დარჩებით გამოტოვებული განახლებებისა და მხარდაჭერის მხრივ; ეს არის სრული NGFW გადაწყვეტა CheckPoint-დან 200-მდე ადამიანის ფილიალებისთვის.

შესრულების შეფასება

სტატიის დასასრულს, მსურს აღვნიშნო პრობლემების მოგვარების ხელსაწყოების ხელმისაწვდომობა SMB გადაწყვეტის საწყისი ინიციალიზაციისა და კონფიგურაციის შემდეგ. შეგიძლიათ გადახვიდეთ "მთავარი" → "ინსტრუმენტები" განყოფილებაში. შესაძლო ვარიანტები:

• მონიტორინგის სისტემის რესურსები;
• მარშრუტიზაციის მაგიდა;
• CheckPoint ღრუბლოვანი სერვისების ხელმისაწვდომობის შემოწმება;
• CPinfo გენერაცია;

ასევე ხელმისაწვდომია ჩაშენებული ქსელის ბრძანებები: Ping, Traceroute, Traffic Capture.

ამრიგად, დღეს ჩვენ განვიხილეთ და შევისწავლეთ NGFW 1590-ის საწყისი კავშირი და კონფიგურაცია, თქვენ შეასრულებთ მსგავს მოქმედებებს მთელი 1500 SMB საკონტროლო პუნქტის სერიისთვის. ხელმისაწვდომმა ვარიანტებმა გვიჩვენა პარამეტრების მაღალი ცვალებადობა, ქსელის პერიმეტრზე ტრაფიკის დაცვის თანამედროვე მეთოდების მხარდაჭერა.

დღეს CheckPoint გადაწყვეტილებებს მცირე ოფისებისა და ფილიალების დასაცავად (200 ადამიანამდე) აქვს ინსტრუმენტების ფართო სპექტრი და იყენებს უახლეს ტექნოლოგიებს (ღრუბელის მართვა, SIM ბარათის მხარდაჭერა, მეხსიერების გაფართოება SD ბარათების გამოყენებით და ა.შ.). განაგრძეთ ინფორმირება და წაიკითხეთ სტატიები TS Solution-დან, ჩვენ ვგეგმავთ ნაწილების შემდგომ გამოშვებას SMB ოჯახის NGFW CheckPoint-ის შესახებ, გნახავთ!

მასალების დიდი არჩევანი Check Point-ზე TS Solution-ისგან. Ადევნეთ თვალყური (დეპეშა, Facebook, VK, TS Solution ბლოგი, Yandex Zen).

წყარო: www.habr.com