3. UserGate-ის დაწყება. ქსელის პოლიტიკა

მივესალმები მკითხველებს UserGate Getting Started სტატიების სერიის მესამე სტატიაში, რომელიც საუბრობს კომპანიის NGFW გადაწყვეტაზე. UserGate. ბოლო სტატიაში აღწერილი იყო firewall-ის დაყენების პროცესი და გაკეთდა მისი საწყისი კონფიგურაცია. ახლა ჩვენ უფრო დეტალურად განვიხილავთ წესების შექმნას ისეთ სექციებში, როგორიცაა Firewall, NAT და Routing და Bandwidth.

UserGate-ის წესების იდეოლოგია, ისეთი, რომ წესები შესრულებულია ზემოდან ქვემოდან, სანამ პირველი მუშაობს. ზემოაღნიშნულიდან გამომდინარე, გამოდის, რომ უფრო სპეციფიკური წესები უფრო მაღალი უნდა იყოს ვიდრე უფრო ზოგადი წესები. მაგრამ უნდა აღინიშნოს, რადგან წესები შემოწმებულია თანმიმდევრობით, შესრულების თვალსაზრისით უკეთესია ზოგადი წესების შექმნა. ნებისმიერი წესის შექმნისას პირობები გამოიყენება "AND" ლოგიკის მიხედვით. თუ საჭიროა "OR" ლოგიკის გამოყენება, მაშინ ეს მიიღწევა რამდენიმე წესის შექმნით. ასე რომ, რაც აღწერილია ამ სტატიაში, ეხება სხვა UserGate პოლიტიკასაც.

Firewall

UserGate-ის დაყენების შემდეგ, უკვე არის მარტივი პოლიტიკა "Firewall" განყოფილებაში. პირველი ორი წესი უარყოფს ტრაფიკს ბოტნეტებზე. ქვემოთ მოცემულია სხვადასხვა ზონიდან დაშვების წესების მაგალითები. ბოლო წესს ყოველთვის უწოდებენ "ყველას დაბლოკვას" და აღინიშნება დაბლოკვის სიმბოლოთი (ეს ნიშნავს, რომ წესის წაშლა, შეცვლა, გადატანა, გამორთვა შეუძლებელია, მისი ჩართვა შესაძლებელია მხოლოდ ჟურნალის ოფციისთვის). ამრიგად, ამ წესის გამო, ყველა აშკარად დაუშვებელი მოძრაობა დაიბლოკება ბოლო წესით. თუ გსურთ დაუშვათ მთელი ტრაფიკი UserGate-ის მეშვეობით (თუმცა ეს კატეგორიულად არ არის საჭირო), ყოველთვის შეგიძლიათ შექმნათ ბოლო წესი "Allow All".

Firewall-ის წესის რედაქტირების ან შექმნისას, პირველი ზოგადი ჩანართი, თქვენ უნდა შეასრულოთ შემდეგი ნაბიჯები მასზე: 

• მონიშვნის ველი "ჩართვა" ჩართეთ ან გამორთეთ წესი.

• შეიყვანეთ წესის სახელი.

• დააყენეთ წესის აღწერა.

• აირჩიეთ ორი მოქმედებიდან:

  • უარყოფა - ბლოკავს ტრაფიკს (როდესაც ეს პირობა დაყენებულია, შესაძლებელია ICMP ჰოსტის გაგზავნა მიუწვდომელი, თქვენ უბრალოდ უნდა დააყენოთ შესაბამისი ჩამრთველი).

  • დაშვება - საშუალებას აძლევს მოძრაობას.

• სცენარის ელემენტი - გაძლევთ საშუალებას აირჩიოთ სცენარი, რომელიც დამატებითი პირობაა წესის გასროლისთვის. ასე ახორციელებს UserGate SOAR-ის კონცეფციას (უსაფრთხოების ორკესტრირება, ავტომატიზაცია და რეაგირება).

• შესვლა — ჩაწერეთ ინფორმაცია ტრაფიკის შესახებ, როდესაც წესი ამოქმედდება. შესაძლო ვარიანტები:

  • ჩაწერეთ სესიის დასაწყისი. ამ შემთხვევაში, მხოლოდ ინფორმაცია სესიის დაწყების შესახებ (პირველი პაკეტი) ჩაიწერება ტრაფიკის ჟურნალში. ეს არის რეკომენდირებული შესვლის ვარიანტი.

  • დაარეგისტრირეთ ყველა პაკეტი. ამ შემთხვევაში, ინფორმაცია თითოეული გადაცემული ქსელის პაკეტის შესახებ ჩაიწერება. ამ რეჟიმისთვის რეკომენდებულია ჩართვის ლიმიტის ჩართვა მოწყობილობის მაღალი დატვირთვის თავიდან ასაცილებლად.

• გამოიყენე წესი:

  • ყველა პაკეტი

  • ფრაგმენტულ პაკეტებამდე

  • არაფრაგმენტირებული პაკეტებისკენ

• ახალი წესის შექმნისას შეგიძლიათ აირჩიოთ მდებარეობა პოლიტიკაში.

შემდეგი წყაროს ჩანართი. აქ მივუთითებთ ტრაფიკის წყაროს, ეს შეიძლება იყოს ზონა, საიდანაც მოდის ტრაფიკი, ან შეგიძლიათ მიუთითოთ სია ან კონკრეტული ip-მისამართი (Geoip). თითქმის ყველა წესში, რომელიც შეიძლება დაყენდეს მოწყობილობაში, ობიექტი შეიძლება შეიქმნას წესიდან, მაგალითად, "ზონების" განყოფილებაში გადასვლის გარეშე, შეგიძლიათ გამოიყენოთ ღილაკი "შექმნა და დაამატეთ ახალი ობიექტი" ზონის შესაქმნელად. გვჭირდება. ასევე ხშირია ჩამრთველი „ინვერსია“, ის აბრუნებს მოქმედებას წესის პირობებში, რაც მსგავსია ლოგიკური მოქმედების უარყოფისა. დანიშნულების ჩანართი წყაროს ჩანართის მსგავსი, მაგრამ ტრაფიკის წყაროს ნაცვლად, ჩვენ ვაყენებთ ტრაფიკის დანიშნულებას. მომხმარებლების ჩანართი - ამ ადგილას შეგიძლიათ დაამატოთ იმ მომხმარებლების ან ჯგუფების სია, რომლებზეც ეს წესი ვრცელდება. სერვისის ჩანართი - აირჩიეთ სერვისის ტიპი უკვე წინასწარ განსაზღვრულიდან ან შეგიძლიათ დააყენოთ საკუთარი. განაცხადის ჩანართი - აქ არჩეულია კონკრეტული აპლიკაციები ან აპლიკაციების ჯგუფები. და დროის ჩანართი მიუთითეთ დრო, როდესაც ეს წესი მოქმედებს. 

ბოლო გაკვეთილიდან ჩვენ გვაქვს ინტერნეტში წვდომის წესი "ნდობის" ზონიდან, ახლა მე გაჩვენებთ როგორც მაგალითს, როგორ შევქმნათ ICMP ტრაფიკის უარყოფის წესი "ნდობის" ზონიდან "არასანდო" ზონამდე.

პირველი, შექმენით წესი ღილაკზე „დამატება“ დაწკაპუნებით. ფანჯარაში, რომელიც იხსნება, გენერალურ ჩანართზე, შეავსეთ სახელი (შეზღუდეთ ICMP სანდოდან არასანდოზე), მონიშნეთ ჩამრთველი „ჩართვა“, აირჩიეთ გამორთვის მოქმედება და, რაც მთავარია, სწორად აირჩიეთ ამ წესის მდებარეობა. ჩემი პოლიტიკის მიხედვით, ეს წესი უნდა განთავსდეს წესზე "დაუშვას სანდო და არასანდო" წესზე მაღლა:

ჩემი ამოცანის "წყარო" ჩანართზე ორი ვარიანტია:

• "სანდო" ზონის არჩევით

• ყველა ზონის არჩევა, გარდა "სანდო" და მონიშნეთ "ინვერსია" ჩამრთველი

დანიშნულების ჩანართი კონფიგურირებულია წყაროს ჩანართის მსგავსად.

შემდეგი, გადადით "სერვისის" ჩანართზე, რადგან UserGate-ს აქვს წინასწარ განსაზღვრული სერვისი ICMP ტრაფიკისთვის, შემდეგ ღილაკზე "დამატება" დაჭერით, ჩვენ ვირჩევთ სერვისს სახელწოდებით "ნებისმიერი ICMP" შემოთავაზებული სიიდან:

შესაძლოა, ეს იყო UserGate-ის შემქმნელების განზრახვა, მაგრამ მე მოვახერხე რამდენიმე სრულიად იდენტური წესის შექმნა. მიუხედავად იმისა, რომ სიიდან მხოლოდ პირველი წესი შესრულდება, ვფიქრობ, რომ იგივე სახელით წესების შექმნის შესაძლებლობა, რომლებიც განსხვავდება ფუნქციონალურობით, შეიძლება გამოიწვიოს დაბნეულობა, როდესაც რამდენიმე მოწყობილობის ადმინისტრატორი მუშაობს.

NAT და მარშრუტიზაცია

NAT წესების შექმნისას ჩვენ ვხედავთ რამდენიმე მსგავს ჩანართს, როგორც firewall-ისთვის. "ზოგადი" ჩანართზე გამოჩნდა "ტიპი" ველი, რომელიც საშუალებას გაძლევთ აირჩიოთ რაზე იქნება პასუხისმგებელი ეს წესი:

• NAT - ქსელის მისამართის თარგმანი.

• DNAT - გადამისამართებს ტრაფიკს მითითებულ IP მისამართზე.

• პორტის გადამისამართება - გადამისამართებს ტრაფიკს მითითებულ IP მისამართზე, მაგრამ საშუალებას გაძლევთ შეცვალოთ გამოქვეყნებული სერვისის პორტის ნომერი

• პოლიტიკაზე დაფუძნებული მარშრუტიზაცია - გაძლევთ საშუალებას გაუშვათ IP პაკეტები გაფართოებულ ინფორმაციაზე დაყრდნობით, როგორიცაა სერვისები, MAC მისამართები ან სერვერები (IP მისამართები).

• ქსელის რუკა - გაძლევთ საშუალებას შეცვალოთ ერთი ქსელის წყაროს ან დანიშნულების IP მისამართები სხვა ქსელით.

შესაბამისი წესის ტიპის არჩევის შემდეგ, ხელმისაწვდომი იქნება მისი პარამეტრები.

SNAT IP (გარე მისამართი) ველში ჩვენ ცალსახად ვაზუსტებთ IP მისამართს, რომლითაც შეიცვლება საწყისი მისამართი. ეს ველი აუცილებელია, თუ დანიშნულების ზონაში ინტერფეისებისთვის მინიჭებული მრავალი IP მისამართია. თუ ამ ველს ცარიელი დატოვებთ, სისტემა გამოიყენებს შემთხვევით მისამართს ხელმისაწვდომი IP მისამართების სიიდან, რომლებიც მინიჭებულია დანიშნულების ზონის ინტერფეისებისთვის. UserGate რეკომენდაციას უწევს SNAT IP-ის მითითებას firewall-ის მუშაობის გასაუმჯობესებლად.

მაგალითად, მე გამოვაქვეყნებ Windows სერვერის SSH სერვისს, რომელიც მდებარეობს "DMZ" ზონაში "პორტის გადამისამართების" წესის გამოყენებით. ამისათვის დააჭირეთ ღილაკს "დამატება" და შეავსეთ "ზოგადი" ჩანართი, მიუთითეთ წესის სახელი "SSH to Windows" და ტიპი "პორტის გადაგზავნა":

"წყარო" ჩანართზე აირჩიეთ "არასანდო" ზონა და გადადით "პორტის გადამისამართების" ჩანართზე. აქ ჩვენ უნდა მივუთითოთ "TCP" პროტოკოლი (ხელმისაწვდომია ოთხი ვარიანტი - TCP, UDP, SMTP, SMTPS). თავდაპირველი დანიშნულების პორტი 9922 — პორტის ნომერი, რომელზეც მომხმარებლები აგზავნიან მოთხოვნებს (პორტები: 2200, 8001, 4369, 9000-9100 არ გამოიყენება). ახალი დანიშნულების პორტი (22) არის პორტის ნომერი, რომელზეც მომხმარებლის მოთხოვნები გადაიგზავნება შიდა გამოქვეყნებულ სერვერზე.

„DNAT“ ჩანართზე დააყენეთ კომპიუტერის ip-მისამართი ლოკალურ ქსელში, რომელიც გამოქვეყნებულია ინტერნეტში (192.168.3.2). თქვენ შეგიძლიათ სურვილისამებრ ჩართოთ SNAT, შემდეგ UserGate შეცვლის წყაროს მისამართს პაკეტებში გარე ქსელიდან საკუთარ IP მისამართზე.

ყველა პარამეტრის შემდეგ მიიღება წესი, რომელიც საშუალებას იძლევა წვდომა "არასანდო" ზონიდან სერვერზე ip-მისამართით 192.168.3.2 SSH პროტოკოლის მეშვეობით, დაკავშირებისას გარე UserGate მისამართის გამოყენებით.

გამტარუნარიანობა

ეს განყოფილება განსაზღვრავს გამტარუნარიანობის კონტროლის წესებს. მათი გამოყენება შესაძლებელია გარკვეული მომხმარებლების, ჰოსტების, სერვისების, აპლიკაციების არხის შესაზღუდად.

წესის შექმნისას, ჩანართების პირობები განსაზღვრავს ტრაფიკს, რომელზეც გამოიყენება შეზღუდვები. გამტარუნარიანობა შეიძლება შეირჩეს შემოთავაზებულიდან, ან დააყენოთ საკუთარი. გამტარუნარიანობის შექმნისას შეგიძლიათ მიუთითოთ DSCP ტრაფიკის პრიორიტეტიზაციის ეტიკეტი. მაგალითი იმისა, თუ როდის გამოიყენება DSCP ლეიბლები: წესში მითითებული სცენარით, რომელშიც ეს წესი გამოიყენება, მაშინ ამ წესს შეუძლია ავტომატურად შეცვალოს ეს ლეიბლები. კიდევ ერთი მაგალითი იმისა, თუ როგორ მუშაობს სკრიპტი: წესი მომხმარებლისთვის იმუშავებს მხოლოდ მაშინ, როდესაც აღმოჩენილია ტორენტი ან ტრაფიკის რაოდენობა აღემატება მითითებულ ლიმიტს. დარჩენილი ჩანართები ივსება ისევე, როგორც სხვა პოლიტიკაში, ტრაფიკის ტიპის მიხედვით, რომელზედაც ეს წესი უნდა იყოს გამოყენებული.

დასკვნა

ამ სტატიაში მე გავაშუქე წესების შექმნა Firewall, NAT და Routing და Bandwidth სექციებში. და სტატიის დასაწყისშივე მან აღწერა UserGate პოლიტიკის შექმნის წესები, ასევე წესების შექმნის პირობების პრინციპი. 

თვალყური ადევნეთ განახლებებს ჩვენს არხებზე (დეპეშა, Facebook, VK, TS Solution ბლოგი)!

წყარო: www.habr.com