2. 중소기업을 위한 NGFW. 개봉 및 설정

우리는 새로운 SMB CheckPoint 모델 범위 작업에 대한 일련의 기사를 계속합니다. 첫 번째 부분 우리는 새로운 모델의 특징과 기능, 관리 및 관리 방법을 설명했습니다. 오늘은 이 시리즈의 이전 모델인 CheckPoint 1590 NGFW의 배포 시나리오를 살펴보겠습니다. 이 부분을 요약하면 다음과 같습니다.

1. 장비 포장 풀기(구성 요소, 물리적 및 네트워크 연결에 대한 설명)
2. 초기 장치 초기화.
3. 초기 설정.
4. 성능 평가.

포장 풀기 장비

장비에 대해 알아가는 것은 상자에서 장비를 꺼내고 구성 요소를 분해하고 부품을 설치하는 것부터 시작됩니다. 스포일러를 클릭하면 과정이 간략하게 표시됩니다.

NGFW 1590 납품

구성 요소에 대해 간략하게 설명하면 다음과 같습니다.

• NGFW 1590;
• 전원 어댑터;
• Wi-Fi 안테나 2개(2.4Hz 및 5Hz);
• 2개의 LTE 안테나;
• 문서가 포함된 소책자(초기 연결, 라이센스 계약 등에 대한 간단한 안내서)

네트워크 포트 및 인터페이스에는 트래픽 전송 및 상호 작용을 위한 모든 최신 기능, DMZ 영역을 위한 별도의 포트, PC 동기화를 위한 USB 3.0이 있습니다.

버전 1590은 업데이트된 디자인, 무선 통신 및 메모리 확장을 위한 현대적인 옵션을 받았습니다. LTE 모드에서 마이크로/나노 SIM 작업을 위한 2개의 슬롯. (이 옵션에 대해서는 무선 연결 관련 시리즈의 다음 기사 중 하나에서 자세히 작성할 계획입니다.) SD 카드 슬롯.

1590 NGFW 및 기타 새 모델의 기능에 대한 자세한 내용은 다음에서 확인할 수 있습니다. 1 부품 CheckPoint SMB 솔루션에 관한 일련의 기사에서 발췌. 기기 초기 초기화를 진행하겠습니다.

기본 초기화

일반 독자들은 1500 시리즈 SMB 라인이 업데이트된 인터페이스와 향상된 기능을 포함하는 새로운 80.20 임베디드 OS를 사용한다는 사실을 이미 알고 계실 것입니다.

장치 초기화를 시작하려면 다음을 수행해야 합니다.

1. 게이트웨이에 전원을 공급합니다.
2. PC의 네트워크 케이블을 게이트웨이의 LAN -1에 연결합니다.
3. 선택적으로 인터페이스를 WAN 포트에 연결하여 장치에 인터넷 액세스를 즉시 제공할 수 있습니다.
4. Gaia Embedded 포털로 이동하세요. https://192.168.1.1:4434/

이전에 설명한 단계를 따랐다면 Gaia 포털 페이지로 이동한 후 신뢰할 수 없는 인증서로 페이지 열기를 확인해야 하며 그 후에 포털 설정 마법사가 시작됩니다.

장치 모델을 나타내는 페이지가 나타나면 다음 섹션으로 이동해야 합니다.

인증을 위해 계정을 생성하라는 메시지가 표시되며 관리자에 대한 높은 비밀번호 요구 사항을 지정할 수 있으며 게이트웨이를 사용할 국가를 표시합니다.

다음 창은 날짜 및 시간 설정에 관한 것으로, 수동으로 설정하거나 회사의 NTP 서버를 사용할 수 있습니다.

다음 단계에서는 게이트웨이 서비스가 인터넷에서 올바르게 작동하도록 장치 이름을 설정하고 회사 도메인을 지정합니다.

다음 단계는 NGFW 제어 유형 선택에 관한 것입니다. 여기서는 다음 사항에 유의해야 합니다.

1. 로컬 관리. 이는 Gaia Portal 웹 페이지를 사용하여 로컬로 게이트웨이를 관리하는 데 사용할 수 있는 옵션입니다.
2. 중앙 관리. 이러한 유형의 관리에는 전용 CheckPoint 관리 서버와의 동기화, Smart1-Cloud 클라우드 또는 SMP(SMB용 관리 서비스)와의 동기화가 포함됩니다.

이 문서에서는 로컬 관리 방법에 중점을 두며 필요한 방법을 지정할 수 있습니다. 전용 관리 서버와의 동기화 프로세스를 익히려면 다음을 권장합니다. 링크 TS솔루션에서 준비한 CheckPoint 시작하기 교육 시리즈 중 하나입니다.

다음으로 게이트웨이 인터페이스의 작동 모드를 정의하는 창이 표시됩니다.

• 스위치 모드는 한 인터페이스에서 다른 인터페이스의 서브넷으로의 서브넷 가용성을 의미합니다.
• 스위치 비활성화 모드는 이에 따라 스위치 모드를 비활성화하며, 각 포트는 별도의 네트워크 조각처럼 트래픽을 라우팅합니다.

게이트웨이의 로컬 인터페이스에 연결할 때 사용될 DHCP 주소 풀을 지정하는 것도 제안됩니다.

다음 단계는 무선 모드에서 작동하도록 게이트웨이를 구성하는 것입니다. 이 측면에 대해서는 시리즈의 한 기사에서 더 자세히 논의할 계획이므로 설정 구성을 연기했습니다. 새로운 무선 액세스 포인트를 생성하고, 연결용 비밀번호를 설정하고, 무선 채널의 작동 모드(2.4Hz 또는 5Hz)를 결정할 수 있습니다.

다음 단계는 회사 관리자의 게이트웨이에 대한 액세스를 구성하는 것입니다. 기본적으로 다음에서 연결되는 경우 액세스 권한이 허용됩니다.

1. 내부 회사 서브넷
2. 신뢰할 수 있는 무선 네트워크
3. VPN 터널

인터넷을 통해 게이트웨이에 연결하는 옵션은 기본적으로 비활성화되어 있으며 이는 큰 위험을 수반하므로 포함해야 할 이유가 있어야 합니다. 그렇지 않으면 예제와 같이 그대로 두는 것이 좋습니다. 허용할 IP 주소를 지정할 수도 있습니다. 게이트웨이에 연결합니다.

다음 창은 라이센스 활성화에 관한 것입니다. 장치를 처음 초기화하면 30일 평가판 기간이 제공됩니다. 사용 가능한 활성화 방법에는 두 가지가 있습니다.

1. 인터넷에 연결되어 있으면 라이센스가 자동으로 활성화됩니다.
2. 오프라인으로 라이선스를 활성화하는 경우 다음을 수행해야 합니다. UserCenter에서 라이선스를 다운로드하고 특별 사이트에 장치를 등록하세요. 문. 다음으로 두 경우 모두 수동으로 다운로드한 라이센스를 가져와야 합니다.

마지막으로 설정 마법사의 마지막 창에서는 켜질 블레이드를 선택하라는 메시지가 표시됩니다. QOS 블레이드는 초기 초기화 후에만 켜집니다. 설정을 요약하는 완료 창이 나타나야 합니다.

초기 설정

우선 라이센스 상태를 확인하는 것이 좋으며 이에 따라 추가 구성이 달라집니다. "홈" → "라이센스" 탭으로 이동합니다.

라이선스가 활성화된 경우 즉시 최신 펌웨어로 업데이트하는 것이 좋습니다. 업데이트하려면 "장치" → "시스템 작동" 탭으로 이동하세요.

시스템 업데이트는 펌웨어 업그레이드 항목에 있습니다. 우리의 경우 현재 및 최신 펌웨어 버전이 설치되어 있습니다.

다음으로 시스템 블레이드의 기능과 설정에 대해 간략하게 설명하겠습니다. 논리적으로는 액세스(방화벽, 애플리케이션 제어, URL 필터링) 수준 정책과 위협 예방(IPS, 안티바이러스, 안티봇, 위협 에뮬레이션) 수준 정책으로 나눌 수 있습니다.

액세스 정책 → 블레이드 제어 탭으로 이동해 보겠습니다.

기본적으로 STANDARD 모드가 사용되며 인터넷으로 나가는 트래픽과 로컬 네트워크 내의 트래픽을 허용하지만 동시에 인터넷에서 들어오는 트래픽을 차단합니다.

애플리케이션 및 URL 필터링 블레이드의 경우 기본적으로 위험 수준이 높은 사이트, 교환 애플리케이션(Torrent, File Storage 등)을 차단하도록 설정되어 있습니다. 또한 수동으로 사이트 카테고리를 추가로 차단할 수도 있습니다.

애플리케이션 그룹에 대한 나가고 들어오는 트래픽의 속도를 제한하는 기능을 사용하여 사용자 트래픽 "대역폭 소비 애플리케이션 제한" 옵션을 확인해 보겠습니다.

그런 다음 정책 하위 섹션을 엽니다. 기본적으로 이전에 설명한 설정에 따라 규칙이 자동으로 생성됩니다.

기본적으로 NAT 하위 섹션은 Global Hide Nat Automatic에서 작동합니다. 즉, 모든 내부 호스트는 공용 IP 주소를 통해 인터넷에 액세스할 수 있습니다. 웹 애플리케이션이나 서비스 게시를 위해 NAT 규칙을 수동으로 설정할 수 있습니다.

다음으로, 네트워크의 사용자 인증과 관련된 섹션에서는 Active Directory 쿼리(AD와의 통합), 브라우저 기반 인증(사용자가 포털에 도메인 자격 증명 입력)의 두 가지 옵션을 제공합니다.

SSL 검사에 대해 별도로 언급할 가치가 있는데, 글로벌 네트워크에서 전체 HTTPS 트래픽의 점유율이 활발하게 증가하고 있습니다. CheckPoint가 SMB 솔루션을 위해 제공하는 기능을 살펴보겠습니다. 이를 수행하려면 SSL 검사 → 정책 섹션으로 이동하세요.

설정에서 HTTPS 트래픽을 검사할 수 있으며, 인증서를 가져와서 최종 사용자 컴퓨터의 신뢰할 수 있는 인증서 센터에 설치해야 합니다.

우리는 사전 정의된 카테고리에 대한 BYPASS 모드를 편리한 옵션으로 간주하므로 검사 활성화 시 시간이 크게 절약됩니다.

방화벽/응용 프로그램 수준에서 규칙을 구성한 후 보안 정책 조정(위협 예방)을 진행해야 합니다. 이를 수행하려면 해당 섹션으로 이동하십시오.

열린 페이지에는 활성화된 블레이드, 서명 및 데이터베이스 업데이트 상태가 표시됩니다. 또한 네트워크 경계를 보호하기 위한 프로필을 선택하라는 메시지가 표시되고 해당 설정이 표시됩니다.

별도의 "IPS 보호" 섹션을 사용하면 특정 보안 서명에 대한 작업을 구성할 수 있습니다.

얼마 전 우리 블로그에 글을 썼어요 글로벌 취약성에 대해 Windows 서버용 - SigRed. “CVE-80.20-2020” 쿼리를 입력하여 Gaia Embedded 1350에 존재하는지 확인해 보겠습니다.

작업 중 하나를 적용할 수 있는 이 서명에 대한 레코드가 감지되었습니다. (기본적으로 위험 수준에 대한 예방은 위험입니다). 따라서 SMB 솔루션이 있으면 업데이트 및 지원 측면에서 제외되지 않으며, 이는 CheckPoint의 최대 200명 규모의 지점을 위한 완벽한 NGFW 솔루션입니다.

성능 평가

기사를 마무리하면서 SMB 솔루션의 초기 초기화 및 구성 이후 문제 해결을 위한 도구를 사용할 수 있다는 점을 언급하고 싶습니다. “HOME” → “도구” 섹션으로 이동하실 수 있습니다. 가능한 옵션:

• 시스템 자원 모니터링;
• 라우팅 테이블;
• CheckPoint 클라우드 서비스의 가용성 확인
• CPinfo 생성;

Ping, Traceroute, Traffic Capture와 같은 내장 네트워크 명령도 사용할 수 있습니다.

따라서 오늘 우리는 NGFW 1590의 초기 연결 및 구성을 검토하고 연구했으며 전체 1500 SMB 체크포인트 시리즈에 대해 유사한 작업을 수행하게 됩니다. 사용 가능한 옵션은 설정에 대한 높은 가변성을 보여 주며, 네트워크 경계에서 트래픽을 보호하는 최신 방법을 지원합니다.

오늘날 소규모 사무실과 지점(최대 200명)을 보호하기 위한 CheckPoint 솔루션은 다양한 도구를 갖추고 있으며 최신 기술(클라우드 관리, SIM 카드 지원, SD 카드를 사용한 메모리 확장 등)을 사용합니다. 계속해서 정보를 얻고 TS 솔루션의 기사를 읽으십시오. 우리는 SMB 제품군의 NGFW CheckPoint에 대한 추가 릴리스를 계획하고 있습니다. 곧 뵙겠습니다!

TS솔루션의 체크포인트 소재 다양한 선택. 계속 지켜봐 주시기 바랍니다 (텔레그램, 페이스북, VK, TS 솔루션 블로그, Yandex.Dzena).

출처 : habr.com