4. NGFW მცირე ბიზნესისთვის. VPN

ჩვენ ვაგრძელებთ სტატიების სერიას NGFW-ს შესახებ მცირე ბიზნესისთვის, შეგახსენებთ, რომ განვიხილავთ ახალი 1500 სერიის მოდელების დიაპაზონს. IN 1 ნაწილები ციკლი, მე აღვნიშნე ერთ-ერთი ყველაზე სასარგებლო ვარიანტი SMB მოწყობილობის შეძენისას - კარიბჭეების მიწოდება ჩაშენებული მობილური წვდომის ლიცენზიებით (100-დან 200 მომხმარებელამდე, მოდელის მიხედვით). ამ სტატიაში განვიხილავთ VPN-ის დაყენებას 1500 სერიის კარიბჭეებისთვის, რომლებსაც მოყვება წინასწარ დაინსტალირებული Gaia 80.20 Embedded. აქ არის რეზიუმე:

1. VPN შესაძლებლობები SMB-ისთვის.
2. დისტანციური წვდომის ორგანიზაცია პატარა ოფისისთვის.
3. ხელმისაწვდომი კლიენტები კავშირისთვის.

1. VPN პარამეტრები SMB-ისთვის

დღევანდელი მასალის მოსამზადებლად ჩინოვნიკმა ადმინისტრატორის სახელმძღვანელო ვერსია R80.20.05 (მიმდინარეობს სტატიის გამოქვეყნების დროს). შესაბამისად, VPN-ის თვალსაზრისით Gaia 80.20 Embedded არის მხარდაჭერა:

1. საიტიდან-საიტამდე. თქვენს ოფისებს შორის VPN გვირაბების შექმნა, სადაც მომხმარებლებს შეუძლიათ იმუშაონ ისე, თითქოს ისინი იყვნენ იმავე „ლოკალურ“ ქსელში.

   

2. დისტანციური წვდომა. დისტანციური კავშირი თქვენი ოფისის რესურსებთან მომხმარებლის ბოლო მოწყობილობების გამოყენებით (კომპიუტერები, მობილური ტელეფონები და ა.შ.). გარდა ამისა, არსებობს SSL ქსელის გაფართოება, რომელიც საშუალებას გაძლევთ გამოაქვეყნოთ ინდივიდუალური აპლიკაციები და გაუშვათ ისინი Java აპლეტის გამოყენებით, SSL-ის საშუალებით დაკავშირება. შენიშვნა: არ უნდა აგვერიოს მობილური წვდომის პორტალთან (Gaia Embedded-ის მხარდაჭერა არ არის).
   
   

გარდა ამისა უაღრესად გირჩევთ ავტორის კურსს TS Solution - შეამოწმეთ Point Remote Access VPN ის ავლენს Check Point ტექნოლოგიებს VPN-ის თვალსაზრისით, ეხება ლიცენზირების საკითხებს და შეიცავს დეტალურ დაყენების ინსტრუქციებს.

2. დისტანციური წვდომა მცირე ოფისისთვის

ჩვენ დავიწყებთ თქვენს ოფისთან დისტანციური კავშირის ორგანიზებას:

1. იმისათვის, რომ მომხმარებლებმა ააშენონ VPN გვირაბი კარიბჭით, თქვენ უნდა გქონდეთ საჯარო IP მისამართი. თუ თქვენ უკვე დაასრულეთ საწყისი დაყენება (2 სტატია ციკლიდან), შემდეგ, როგორც წესი, გარე ბმული უკვე აქტიურია. ინფორმაციის ნახვა შეგიძლიათ Gaia პორტალზე გადასვლით: მოწყობილობა → ქსელი → ინტერნეტი

   
   

   თუ თქვენი კომპანია იყენებს დინამიურ საჯარო IP მისამართს, მაშინ შეგიძლიათ დააყენოთ Dynamic DNS. Წადი მოწყობილობა → DDNS და მოწყობილობაზე წვდომა

   
   

   ამჟამად არსებობს ორი პროვაიდერის მხარდაჭერა: DynDns და no-ip.com. ოფციის გასააქტიურებლად თქვენ უნდა შეიყვანოთ თქვენი რწმუნებათა სიგელები (შესვლა, პაროლი).

2. შემდეგი, მოდით შევქმნათ მომხმარებლის ანგარიში, ის სასარგებლო იქნება პარამეტრების შესამოწმებლად: VPN → დისტანციური წვდომა → დისტანციური წვდომის მომხმარებლები

   
   

   ჯგუფში (მაგალითად: დისტანციური წვდომა) ჩვენ შევქმნით მომხმარებელს სკრინშოტის ინსტრუქციის მიხედვით. ანგარიშის დაყენება სტანდარტულია, დააყენეთ შესვლა და პაროლი და დამატებით ჩართეთ დისტანციური წვდომის ნებართვების ვარიანტი.

   
   

   თუ თქვენ წარმატებით გამოიყენეთ პარამეტრები, უნდა გამოჩნდეს ორი ობიექტი: ადგილობრივი მომხმარებელი, მომხმარებელთა ადგილობრივი ჯგუფი.

   

3. შემდეგი ნაბიჯი არის წასვლა VPN → დისტანციური წვდომა → Blade Control. დარწმუნდით, რომ თქვენი დანა ჩართულია და დისტანციური მომხმარებლების მოძრაობა დაშვებულია.

   

4. *ზემოაღნიშნული იყო საფეხურების მინიმალური ნაკრები დისტანციური წვდომის დასაყენებლად. მაგრამ სანამ ჩვენ შევამოწმებთ კავშირს, მოდით გამოვიკვლიოთ გაფართოებული პარამეტრები ჩანართზე გადასვლით VPN → დისტანციური წვდომა → გაფართოებული

   
   

   მიმდინარე პარამეტრებიდან გამომდინარე, ჩვენ ვხედავთ, რომ დისტანციური მომხმარებლების დაკავშირებისას ისინი მიიღებენ IP მისამართს ქსელიდან 172.16.11.0/24, Office Mode ვარიანტის წყალობით. ეს საკმარისია რეზერვთან ერთად 200 კონკურენტული ლიცენზიის გამოსაყენებლად (მითითებულია 1590 NGFW Check Point-ისთვის).

   ვარიანტი "ინტერნეტ ტრაფიკის მარშრუტი დაკავშირებული კლიენტებიდან ამ კარიბჭის გავლით" არის სურვილისამებრ და პასუხისმგებელია დისტანციური მომხმარებლისგან მთელი ტრაფიკის მარშრუტიზაციაზე კარიბჭის გავლით (ინტერნეტ კავშირების ჩათვლით). ეს საშუალებას გაძლევთ შეამოწმოთ მომხმარებლის ტრაფიკი და დაიცვათ მისი სამუშაო ადგილი სხვადასხვა საფრთხეებისა და მავნე პროგრამებისგან.

5. * დისტანციური წვდომის წვდომის პოლიტიკასთან მუშაობა

   მას შემდეგ, რაც ჩვენ დავაკონფიგურირეთ დისტანციური წვდომა, შეიქმნა ავტომატური წვდომის წესი Firewall-ის დონეზე, მის სანახავად უნდა გადახვიდეთ ჩანართზე: წვდომის პოლიტიკა → Firewall → პოლიტიკა

   
   

   ამ შემთხვევაში, დისტანციურ მომხმარებლებს, რომლებიც არიან ადრე შექმნილი ჯგუფის წევრები, შეეძლებათ წვდომა კომპანიის ყველა შიდა რესურსზე; გაითვალისწინეთ, რომ წესი განთავსებულია ზოგად განყოფილებაში. "შემომავალი, შიდა და VPN ტრაფიკი". იმისათვის, რომ დაუშვათ VPN მომხმარებლის ტრაფიკი ინტერნეტში, თქვენ უნდა შექმნათ ცალკე წესი ზოგად განყოფილებაში ”გამავალი წვდომა ინტერნეტში".

6. დაბოლოს, ჩვენ უბრალოდ უნდა დავრწმუნდეთ, რომ მომხმარებელს შეუძლია წარმატებით შექმნას VPN გვირაბი ჩვენს NGFW კარიბჭეზე და მიიღოს წვდომა კომპანიის შიდა რესურსებზე. ამისათვის თქვენ უნდა დააინსტალიროთ VPN კლიენტი შესამოწმებელ ჰოსტზე, მოწოდებულია დახმარება ლინკები ჩატვირთვისთვის. ინსტალაციის შემდეგ, თქვენ უნდა განახორციელოთ ახალი საიტის დამატების სტანდარტული პროცედურა (მიუთითეთ თქვენი კარიბჭის საჯარო IP მისამართი). მოხერხებულობისთვის, პროცესი წარმოდგენილია GIF სახით

   
   
   როდესაც კავშირი უკვე დამყარებულია, მოდით შევამოწმოთ მიღებული IP მისამართი მასპინძელ მანქანაზე CMD ბრძანების გამოყენებით: ipconfig

   
   

   ჩვენ დავრწმუნდით, რომ ვირტუალური ქსელის ადაპტერმა მიიღო IP მისამართი ჩვენი NGFW ოფისის რეჟიმიდან, პაკეტები წარმატებით გაიგზავნა. დასასრულებლად შეგვიძლია გადავიდეთ Gaia პორტალზე: VPN → დისტანციური წვდომა → დაკავშირებული დისტანციური მომხმარებლები

   
   

   მომხმარებლის „ntuser“ ნაჩვენებია როგორც დაკავშირებული, მოდით შევამოწმოთ მოვლენის აღრიცხვა გადასვლით ჟურნალები და მონიტორინგი → უსაფრთხოების ჟურნალები

   
   

   კავშირი დარეგისტრირებულია IP მისამართის გამოყენებით, როგორც წყარო: 172.16.10.1 - ეს არის ჩვენი მომხმარებლის მიერ მიღებული მისამართი Office Mode-ის საშუალებით.

   3. მხარდაჭერილი კლიენტები დისტანციური წვდომისთვის

   მას შემდეგ რაც განვიხილეთ თქვენს ოფისთან დისტანციური კავშირის დაყენების პროცედურა SMB ოჯახის NGFW Check Point-ის გამოყენებით, მსურს დავწერო კლიენტის მხარდაჭერის შესახებ სხვადასხვა მოწყობილობებისთვის:

   • Endpoint VPN Windows/Mac OS-ისთვის
   • მობილური კლიენტი (Android / IOS)
   • L2TP Native Client (Check Point აცხადებს მხარდაჭერას Microsoft-ის მშობლიური VPN აპისთვის).

   მხარდაჭერილი ოპერაციული სისტემებისა და მოწყობილობების მრავალფეროვნება საშუალებას მოგცემთ სრულად ისარგებლოთ თქვენი ლიცენზიით, რომელიც მოყვება NGFW. ცალკე მოწყობილობის კონფიგურაციისთვის არის მოსახერხებელი ვარიანტი "როგორ დაკავშირება"

   

   ის ავტომატურად წარმოქმნის ნაბიჯებს თქვენი პარამეტრების მიხედვით, რაც საშუალებას მისცემს ადმინისტრატორებს უპრობლემოდ დააინსტალირონ ახალი კლიენტები.

   დასკვნა: ამ სტატიის შესაჯამებლად, ჩვენ გადავხედეთ NGFW Check Point SMB ოჯახის VPN შესაძლებლობებს. შემდეგი, ჩვენ აღვწერეთ დისტანციური წვდომის დაყენების ნაბიჯები, მომხმარებლების ოფისთან დისტანციური კავშირის შემთხვევაში და შემდეგ შევისწავლეთ მონიტორინგის ინსტრუმენტები. სტატიის ბოლოს ვისაუბრეთ ხელმისაწვდომი კლიენტებისა და დისტანციური წვდომის კავშირის ვარიანტებზე. ამრიგად, თქვენი ფილიალი შეძლებს უზრუნველყოს თანამშრომელთა მუშაობის უწყვეტობა და უსაფრთხოება VPN ტექნოლოგიების გამოყენებით, მიუხედავად სხვადასხვა გარე საფრთხეებისა და ფაქტორებისა.

   მასალების დიდი არჩევანი Check Point-ზე TS Solution-ისგან. Ადევნეთ თვალყური (დეპეშა, Facebook, VK, TS Solution ბლოგი, Yandex Zen).

წყარო: www.habr.com