2. UserGate Sākumlapa. Prasības, uzstādīšana

Sveiki, šī ir otrā rakstu sērija par NGFW risinājumu no uzņēmuma UserGate. Šī raksta mērķis ir parādīt, kā uzstādīt ugunsmūri UserGate uz virtuālās sistēmas (es izmantoshu VMware Workstation virtualizācijas programmatūru) un veikt tā sākotnējo konfigurāciju (atļaut piekļuvi no lokālās tīkla uz UserGate vārteinu internetā).   

1. Ievads

Vispirms aprakstīšu dažādus veidus, kā ieviest šo vārteinu tīklā. Vēlos norādīt, ka atkarībā no izvēlētā savienojuma veida noteikts vārteina funkcionalitāte var būt nepieejama. UserGate risinājums atbalsta šādas savienojuma režīmus: 

• L3-L7 ugunsmūris

• L2 caurredzams tilts

• L3 caurredzams tilts

• Virtuāli vidū, izmantojot WCCP protokolu

• Virtuāli vidū, izmantojot politikas balstītu maršrutēšanu

• Router on a Stick

• Pārvaldīts WEB-prokssi

• UserGate kā noklusējuma vārteina

• Mirror-portu uzraudzība

UserGate atbalsta 2 veidu klasterus:

1. Konfigurācijas klasteris. Klusterā apvienoti mezgli atbalsta vienotas iestatījumus klastera ietvaros.

2. Kļūmes noturības klasteris. Līdz 4 konfigurācijas klastera mezgli var tikt apvienoti kļūmes noturības klasterī, kas atbalsta Aktīva-Aktīva vai Aktīva-Pasīva režīmus. Iespējams izveidot vairākus kļūmes noturības klasterus.

2. Uzstādīšana

Kā norādīts iepriekšējā rakstā, UserGate tiek piedāvāts programmatūras un aparatūras komplekta veidā vai tiek izvērsts virtuālajā vidē. No personīgā konta vietnē UserGate lejupielādējiet attēlu OVF (Open Virtualization Format) formātā, šis formāts ir piemērots VMWare un Oracle Virtualbox pārdevējiem. Microsoft Hyper-v un KVM nodrošina virtuālo mašīnu diska attēlus.

Saskaņā ar UserGate vietnes datiem ieteicams izmantot vismaz 8Gb operatīvās atmiņas un 2 kodolu virtuālo procesoru, lai nodrošinātu pareizu virtuālās mašīnas darbību. Hipervizoram jāatbalsta 64 bitu operētājsistēmas.

Uzstādīšana sākas ar attēla importēšanu izvēlētajā hipervizorā (VirtualBox un VMWare). Gadījumā ar Microsoft Hyper-v un KVM nepieciešams izveidot virtuālo mašīnu un norādīt lejupielādēto attēlu kā disku, pēc tam atslēgt integrācijas pakalpojumus izveidotās virtuālās mašīnas iestatījumos.

Pēc noklusējuma, importējot VMWare, tiek izveidota virtuālā mašīna ar šādām iestatījumiem:

Kā tika minēts iepriekš, operatīvās atmiņas jābūt vismaz 8 GB, un papildus jāpiešķir 1 GB katriem 100 lietotājiem. Noklusējuma cietā diska lielums ir 100 GB, tomēr šī parasti nav pietiekama, lai uzglabātu visus žurnālus un iestatījumus. Ieteicamais lielums ir 300 GB vai vairāk. Tādēļ virtuālās mašīnas īpašībās jāmaina diska izmērs uz nepieciešamo. Sākotnēji virtuālais UserGate UTM tiek piegādāts ar četriem interfeisiem, kas piešķirti zonām:

Management — pirmais virtuālās mašīnas interfeiss, zona, kas paredzēta uzticamu tīklu savienojumam, no kuriem ir atļauts pārvaldīt UserGate.

Trusted — otrais virtuālās mašīnas interfeiss, zona, kas paredzēta uzticamu tīklu savienojumam, piemēram, LAN tīkliem.

Untrusted — trešais virtuālās mašīnas interfeiss, zona interfeisiem, kas savienoti ar neuzticamiem tīkliem, piemēram, ar internetu.

DMZ — ceturtais virtuālās mašīnas interfeiss, zona interfeisiem, kas savienoti ar DMZ tīklu.

Tālāk mēs palaidīsim virtuālās mašīnas, lai gan vadlīnijās ir rakstīts, ka ir jāizvēlas Support Tools un jāveic Factory reset UTM, tomēr kā redzam, ir tikai viena izvēle (UTM First Boot). Šajā posmā UTM konfigurē tīkla adapterus un palielina nodalījuma lielumu cietajā diskā līdz pilnam diska izmēram:

Lai piekļūtu UserGate tīmekļa interfeisam, jāpieslēdzas caur Management zonu, ko nodrošina eth0 interfeiss, kas ir konfigurēts, lai automātiski saņemtu IP adresi (DHCP). Ja nav iespējas piešķirt adresi Management interfeisam automātiski, izmantojot DHCP, to var norādīt skaidri, izmantojot CLI (Command Line Interface). Lai to izdarītu, jāielogojas CLI, izmantojot lietotājvārdu un paroli ar pilnu administratora tiesībām (noklusējuma – Admin ar lielo burtu). Ja UserGate ierīce nav izgājusi sākotnējo inicializāciju, tad, lai piekļūtu CLI, jāizmanto lietotājvārds Admin, bet parole – utm. Un jāievada komanda līdzīga iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. Pēc tam pārejam uz UserGate tīmekļa konsoli norādītajā adresē, tai jāizskatās aptuveni šādi: https://UserGateIPaddress:8001:

Tālāk mēs turpinām instalāciju tīmekļa konsolē, mums jāizvēlas saskarnes valoda (šobrīd tā var būt krievu vai angļu valoda), laika zona, pēc tam izlasām un piekrītam licencēšanas līgumam. Uzstādām lietotājvārdu un paroli, lai piekļūtu pārvaldības tīmekļa saskarnei.

3. Iestatījumi

Pēc instalācijas pārvaldības platformas tīmekļa saskarne izskatās šādi:

Pēc tam ir nepieciešams iestatīt tīkla saskarnes. Lai to izdarītu, sadaļā "Saskarnes" jāieslēdz tās, jānorāda pareizie IP adrešu iestatījumi un jāpiešķir atbilstošās zonas.

Sadaļa "Saskarnes" attēlo visas fiziskās un virtuālās saskarnes, kas ir pieejamas sistēmā, ļauj mainīt to iestatījumus un pievienot VLAN saskarnes. Tā arī parāda visas saskarnes katram klastera mezglam. Saskarnes iestatījumi ir specifiski katram mezglam, tātad tie nav globāli.

Saskarnes īpašībās:

• Ieslēgt vai izslēgt saskarni 

• Norādīt saskarnes veidu — Layer 3 vai Mirror

• Piešķirt zonu saskarnei

• Piešķirt Netflow profilu statistikas datu sūtīšanai uz Netflow kolektoru

• Mainīt saskarnes fiziskos parametrus — MAC adresi un MTU izmēru

• Izvēlēties IP adreses piešķiršanas veidu — bez adreses, statisku IP adresi vai DHCP piešķirto

• Konfigurēt DHCP pārejas darbu izvēlētajā saskarnē.

Poga "Pievienot" ļauj pievienot šādus loģisko saskarnes tipus:

• VLAN

• Bonds

• Tilts

• PPPoE

• VPN

• Tunelis

Papildus iepriekš minētajām zonām, ar kurām tiek piegādāts Usergate attēls, ir vēl trīs iepriekš noteikta veida zonas:

Klasteris — zona saskarnēm, ko izmanto klastera darbam

VPN savienojumam starp vietām — zona, kurā tiek ievietoti visi klienti, kas savienojas ar UserGate, izmantojot VPN

VPN attālai piekļuvei — zona, kurā tiek ievietoti visi mobilie lietotāji, kas savienojas ar UserGate, izmantojot VPN

UserGate administratori var mainīt noklusējuma izveidoto zonu iestatījumus un veidot papildu zonas, taču, kā norādīts 5. versijas rokasgrāmatā, var izveidot ne vairāk kā 15 zonas. Lai tās mainītu vai izveidotu, ir jāiet uz zonu sadaļu. Katram zonai var noteikt paketu atmešanas slieksni, tiek atbalstīts SYN, UDP, ICMP. Tāpat tiek iestatīta piekļuves kontrole UserGate pakalpojumiem un tiek aktivizēta aizsardzība pret viltotām IP adresēm.

Pēc interfeisu iestatīšanas sadaļā "Vārtejas" jāiestata noklusējuma maršruts. T.i., lai pieslēgtu UserGate internetam, jānorāda viena vai vairāku vārteju IP adrese. Ja pieslēgumam internetam tiek izmantoti vairāki pakalpojumu sniedzēji, jānorāda vairākas vārtejas. Vārtejas iestatījums ir unikāls katram klastera mezglam. Ja ir norādītas divas vai vairāk vārtejas, ir iespējami 2 darbības varianti:

1. Sastrēguma līdzsvarošana starp vārtejām.

2. Galvenā vārteja ar pārslēgšanos uz rezerves.

Vārtejas stāvoklis (pieejama – zaļa, nepieejama – sarkana) tiek noteikts šādi:

1. Tīkla pārbaude ir atslēgta – vārteja tiek uzskatīta par pieejamu, ja UserGate spēj iegūt tās MAC adresi, izmantojot ARP pieprasījumu. Piekļuves internetam pārbaude caur šo vārteju netiek veikta. Ja vārtejas MAC adrese nevar tikt noteikta, vārteja tiek uzskatīta par nepieejamu.

2. Tīkla pārbaude ir ieslēgta — vārteja tiek uzskatīta par pieejamu, ja:

• UserGate var iegūt tās MAC adresi, izmantojot ARP pieprasījumu.

• Piekļuves internetam pārbaude caur šo vārteju ir veiksmīga.

Pretējā gadījumā vārteja tiek uzskatīta par nepieejamu.

Sadaļā "DNS" jāievada DNS serveri, kurus izmantos UserGate. Šis iestatījums tiek norādīts sistēmas DNS serveru apgabalā. Zemāk ir norādīti iestatījumi, lai pārvaldītu DNS pieprasījumus no lietotājiem. UserGate ļauj izmantot DNS proksī. DNS proksī pakalpojums ļauj pārņemt DNS pieprasījumus no lietotājiem un mainīt tos atbilstoši administratora vajadzībām. Ar DNS proksī noteikumiem var norādīt DNS serverus, uz kuriem tiek pārsūtīti pieprasījumi uz noteiktiem domēniem. Turklāt ar DNS proksī var norādīt statiskas ierakstu tipus, piemēram, host (A ieraksts).

Nodālā „NAT un Maršrutizācija” jāizveido nepieciešamie NAT noteikumi. Lai piekļūtu internetam Trusted tīkla lietotājiem, NAT noteikums jau ir izveidots — „Trusted→Untrusted”, to tikai jāieslēdz. Noteikumi tiek piemēroti no augšas uz leju, tādā secībā, kādā tie norādīti konsolē. Izpildās vienmēr tikai pirmais noteikums, kuram atbilst nosacījumi, kas norādīti noteikumā. Lai noteikums darbotos, ir nepieciešams, lai atbilstu visiem parametru nosacījumiem. UserGate iesaka izveidot vispārīgus NAT noteikumus, piemēram, NAT noteikumu no iekšējās tīkla (parasti zona Trusted) uz internetu (parasti zona Untrusted), bet piekļuves sadalīšana pēc lietotājiem, pakalpojumiem, lietojumprogrammām tiek veikta ar ugunsmūra noteikumiem.

Tāpat ir iespēja izveidot DNAT noteikumus, portu pārsūtīšanu, politikas balstītu maršrutizāciju, tīkla kartēšanu.

Pēc tam sadaļā „Ugunsmūris” jāizveido ugunsmūra noteikumi. Neierobežotai piekļuvei internetam Trusted tīkla lietotājiem ugunsmūra noteikums arī jau ir izveidots — „Internets Trusted” un tas ir jāieslēdz. Ar ugunsmūra noteikumiem administrators var atļaut vai aizliegt jebkāda veida tranzīta tīkla trafiku, kas šķērso UserGate. Noteikumu nosacījumi var ietvert zonas un IP adreses avotam/mērķim, lietotājus un grupas, pakalpojumus un lietojumprogrammas. Noteikumi tiek piemēroti tāpat kā sadaļā „NAT un Maršrutizācija”, t.i., no augšas uz leju. Ja nav izveidots neviens noteikums, tad jebkurš tranzīta trafiks caur UserGate tiek aizliegts.

4. Secinājums

Ar to raksts ir noslēdzies. Mēs esam uzstādījuši UserGate ugunsmūri uz virtuālās mašīnas un veikuši minimāli nepieciešamās konfigurācijas, lai internets darbotos Trusted tīklā. Turpmāko konfigurāciju apskatīsim nākošajos rakstos.

Sekojiet mūsu kanālu jaunumiem (Telegram, Facebook, VK, TS Solution Blog)!

Avots: habr.com