3. UserGate 시작하기. 네트워크 정책

회사의 NGFW 솔루션에 대해 이야기하는 UserGate 시작하기 기사 시리즈의 세 번째 기사에 독자를 환영합니다. UserGate. 지난 글에서는 방화벽을 설치하는 과정과 초기 설정에 대해 설명했습니다. 지금은 방화벽, NAT 및 라우팅, 대역폭과 같은 섹션에서 규칙 생성에 대해 자세히 살펴보겠습니다.

UserGate 규칙의 이데올로기는 작동하는 첫 번째 규칙이 나올 때까지 규칙이 위에서 아래로 실행된다는 것입니다. 위의 내용을 바탕으로 보다 구체적인 규칙이 보다 일반적인 규칙보다 높아야 한다는 결론이 나옵니다. 그러나 규칙은 순서대로 확인되므로 일반적인 규칙을 만드는 것이 성능면에서 더 좋습니다. 규칙을 만들 때 "AND" 논리에 따라 조건이 적용됩니다. "OR" 논리를 사용해야 하는 경우 여러 규칙을 생성하여 이를 달성합니다. 따라서 이 문서에서 설명하는 내용은 다른 UserGate 정책에도 적용됩니다.

방화벽

UserGate를 설치하면 이미 "방화벽" 섹션에 간단한 정책이 있습니다. 처음 두 규칙은 봇넷에 대한 트래픽을 금지합니다. 다음은 다른 영역의 액세스 규칙에 대한 예입니다. 마지막 규칙은 항상 "모두 차단"이라고 하며 잠금 기호로 표시됩니다(규칙을 삭제, 수정, 이동, 비활성화할 수 없음을 의미하며 로깅 옵션에 대해서만 활성화할 수 있음). 따라서 이 규칙으로 인해 명시적으로 허용되지 않은 모든 트래픽은 마지막 규칙에 의해 차단됩니다. UserGate를 통한 모든 트래픽을 허용하려는 경우(권장하지 않음) 항상 두 번째 규칙 "모두 허용"을 만들 수 있습니다.

방화벽 규칙을 편집하거나 생성할 때 첫 번째 일반 탭, 다음을 수행해야 합니다. 

• 확인란 "켜기" 규칙을 활성화하거나 비활성화합니다.

• 규칙의 이름을 입력합니다.

• 규칙의 설명을 설정합니다.

• 다음 두 가지 작업 중에서 선택합니다.

  • 거부 - 트래픽을 차단합니다(이 조건을 설정하면 ICMP 호스트에 연결할 수 없도록 보낼 수 있으므로 적절한 확인란을 설정하기만 하면 됩니다).

  • 허용 - 트래픽을 허용합니다.

• 시나리오 항목 - 규칙을 실행하기 위한 추가 조건인 시나리오를 선택할 수 있습니다. 이것이 UserGate가 SOAR(Security Orchestration, Automation and Response)의 개념을 구현하는 방법입니다.

• 로깅 — 규칙이 트리거될 때 트래픽에 대한 정보를 로그에 기록합니다. 가능한 옵션:

  • 세션 시작을 기록합니다. 이 경우 세션 시작(첫 번째 패킷)에 대한 정보만 트래픽 로그에 기록됩니다. 이것은 권장되는 로깅 옵션입니다.

  • 모든 패킷을 기록합니다. 이 경우 전송되는 각 네트워크 패킷에 대한 정보가 기록됩니다. 이 모드의 경우 높은 장치 부하를 방지하기 위해 로깅 제한을 활성화하는 것이 좋습니다.

• 다음에 규칙 적용:

  • 모든 패키지

  • 조각난 패킷에

  • 조각화되지 않은 패키지로

• 새 규칙을 만들 때 정책에서 위치를 선택할 수 있습니다.

다음 소스 탭. 여기에서 트래픽 소스를 표시하고 트래픽이 발생하는 영역이 될 수 있으며 목록 또는 특정 IP 주소(Geoip)를 지정할 수 있습니다. 장치에서 설정할 수 있는 거의 모든 규칙에서 규칙에서 개체를 만들 수 있습니다. 예를 들어 "영역" 섹션으로 이동하지 않고 "새 개체 만들기 및 추가" 버튼을 사용하여 영역을 만들 수 있습니다. 우리는 필요합니다. "반전" 체크박스도 종종 발견되는데, 이는 논리적 동작 부정과 유사한 규칙 조건에서 동작을 반전시킵니다. 목적지 탭 소스 탭과 유사하지만 트래픽 소스 대신 트래픽 목적지를 설정합니다. 사용자 탭 - 이 위치에서 이 규칙이 적용되는 사용자 또는 그룹 목록을 추가할 수 있습니다. 서비스 탭 - 이미 사전 정의된 서비스 유형에서 선택하거나 직접 설정할 수 있습니다. 애플리케이션 탭 - 여기에서 특정 애플리케이션 또는 애플리케이션 그룹을 선택합니다. 그리고 시간 탭 이 규칙이 활성화되는 시간을 지정합니다. 

지난 강의 이후로 "신뢰" 영역에서 인터넷에 액세스하는 규칙이 있습니다. 이제 "신뢰" 영역에서 "신뢰할 수 없는" 영역으로의 ICMP 트래픽에 대한 거부 규칙을 만드는 방법을 예로 보여드리겠습니다.

먼저 "추가" 버튼을 클릭하여 규칙을 만듭니다. 열리는 창의 일반 탭에서 이름(Restrict ICMP to untrusted로 ICMP 제한)을 입력하고 "켜기" 확인란을 선택하고 비활성화 작업을 선택하고 가장 중요한 것은 이 규칙의 올바른 위치를 선택하는 것입니다. 내 정책에 따르면 이 규칙은 "신뢰할 수 없는 사용자 허용" 규칙 위에 있어야 합니다.

내 작업의 "소스" 탭에는 두 가지 옵션이 있습니다.

• "신뢰할 수 있는" 영역 선택

• "Trusted"를 제외한 모든 영역을 선택하고 "Invert" 확인란을 선택하여

대상 탭은 소스 탭과 유사하게 구성됩니다.

다음으로 UserGate에는 ICMP 트래픽에 대한 사전 정의된 서비스가 있으므로 "서비스" 탭으로 이동한 다음 "추가" 버튼을 클릭하여 제안 목록에서 "Any ICMP"라는 이름의 서비스를 선택합니다.

아마도 이것은 UserGate 제작자의 의도였을 것입니다. 그러나 저는 완전히 동일한 규칙을 여러 개 만들었습니다. 목록의 첫 번째 규칙만 실행되지만 기능이 다른 동일한 이름으로 규칙을 만드는 기능은 여러 장치 관리자가 작업할 때 혼란을 일으킬 수 있다고 생각합니다.

NAT 및 라우팅

NAT 규칙을 생성할 때 방화벽과 같은 몇 가지 유사한 탭이 표시됩니다. "일반" 탭에 "유형" 필드가 표시되어 이 규칙이 담당할 항목을 선택할 수 있습니다.

• NAT - 네트워크 주소 변환.

• DNAT - 트래픽을 지정된 IP 주소로 리디렉션합니다.

• 포트 전달 - 트래픽을 지정된 IP 주소로 리디렉션하지만 게시된 서비스의 포트 번호를 변경할 수 있습니다.

• 정책 기반 라우팅 - 서비스, MAC 주소 또는 서버(IP 주소)와 같은 확장 정보를 기반으로 IP 패킷을 라우팅할 수 있습니다.

• 네트워크 매핑 - 한 네트워크의 소스 또는 대상 IP 주소를 다른 네트워크로 바꿀 수 있습니다.

적절한 규칙 유형을 선택하면 이에 대한 설정을 사용할 수 있습니다.

SNAT IP(외부 주소) 필드에서 소스 주소가 대체될 IP 주소를 명시적으로 지정합니다. 대상 영역의 인터페이스에 할당된 여러 IP 주소가 있는 경우 이 필드는 필수입니다. 이 필드를 공백으로 두면 시스템은 대상 영역 인터페이스에 할당된 사용 가능한 IP 주소 목록에서 임의의 주소를 사용합니다. UserGate는 방화벽 성능을 향상시키기 위해 SNAT IP를 지정할 것을 권장합니다.

예를 들어 "포트 포워딩" 규칙을 사용하여 "DMZ" 영역에 있는 Windows 서버의 SSH 서비스를 게시합니다. 이렇게 하려면 "추가" 버튼을 클릭하고 "일반" 탭을 채우고 "SSH to Windows" 규칙 이름과 "포트 전달" 유형을 지정합니다.

"소스" 탭에서 "신뢰할 수 없는" 영역을 선택하고 "포트 전달" 탭으로 이동합니다. 여기에서 프로토콜 "TCP"를 지정해야 합니다(TCP, UDP, SMTP, SMTPS의 네 가지 옵션 사용 가능). 원래 대상 포트 9922 — 사용자가 요청을 보내는 포트 번호(포트: 2200, 8001, 4369, 9000-9100은 사용할 수 없음). 새 대상 포트(22)는 내부 게시 서버에 대한 사용자 요청이 전달될 포트 번호입니다.

"DNAT" 탭에서 인터넷에 게시된 로컬 네트워크에 있는 컴퓨터의 IP 주소(192.168.3.2)를 설정합니다. 선택적으로 SNAT를 활성화하면 UserGate가 외부 네트워크에서 패킷의 소스 주소를 자체 IP 주소로 변경합니다.

모든 설정 후 연결 시 외부 UserGate 주소를 사용하여 SSH 프로토콜을 통해 IP 주소가 192.168.3.2인 서버에 "신뢰할 수 없는" 영역에서 액세스를 허용하는 규칙을 얻습니다.

처리량

이 섹션은 대역폭 제어 규칙을 정의합니다. 특정 사용자, 호스트, 서비스, 애플리케이션의 채널을 제한하는 데 사용할 수 있습니다.

규칙을 만들 때 탭의 조건에 따라 제한이 적용되는 트래픽이 결정됩니다. 대역폭은 제안된 것 중에서 선택하거나 직접 설정할 수 있습니다. 대역폭을 생성할 때 DSCP 트래픽 우선 순위 레이블을 지정할 수 있습니다. DSCP 레이블이 적용되는 경우의 예: 이 규칙이 적용되는 시나리오를 규칙에 지정하면 이 규칙이 이러한 레이블을 자동으로 변경할 수 있습니다. 스크립트 작동 방식의 또 다른 예: 토렌트가 감지되거나 트래픽 양이 지정된 제한을 초과하는 경우에만 규칙이 사용자에게 작동합니다. 나머지 탭은 규칙을 적용해야 하는 트래픽 유형에 따라 다른 정책과 동일한 방식으로 채워집니다.

결론

이 기사에서는 방화벽, NAT 및 라우팅, 대역폭 섹션에서 규칙 생성에 대해 다루었습니다. 그리고 기사의 시작 부분에서 그는 UserGate 정책을 만드는 규칙과 규칙을 만들 때 조건의 원칙을 설명했습니다. 

우리 채널(텔레그램, 페이스북, VK, TS 솔루션 블로그)!

출처 : habr.com