2. लहान व्यवसायांसाठी NGFW. अनबॉक्सिंग आणि सेटअप

आम्ही नवीन एसएमबी चेकपॉईंट मॉडेल श्रेणीसह कार्य करण्यासाठी लेखांची मालिका सुरू ठेवतो, आम्ही तुम्हाला याची आठवण करून देतो पहिला भाग आम्ही नवीन मॉडेल, व्यवस्थापन आणि प्रशासन पद्धतींची वैशिष्ट्ये आणि क्षमतांचे वर्णन केले. आज आम्ही मालिकेतील जुन्या मॉडेलसाठी तैनाती परिस्थिती पाहू: CheckPoint 1590 NGFW. या भागाचा सारांश येथे आहे:

1. उपकरणे अनपॅक करणे (घटकांचे वर्णन, भौतिक आणि नेटवर्क कनेक्शन).
2. प्रारंभिक डिव्हाइस आरंभीकरण.
3. प्राथमिक आस्थापना.
4. कार्यक्षमतेची तपासणी.

उपकरणे अनपॅक करणे

उपकरणे जाणून घेणे बॉक्समधून उपकरणे काढून टाकणे, घटक वेगळे करणे आणि भाग स्थापित करणे यापासून सुरू होते; स्पॉयलरवर क्लिक करा, जिथे प्रक्रिया थोडक्यात सादर केली जाते.

NGFW 1590 ची डिलिव्हरी

घटकांबद्दल थोडक्यात:

• NGFW 1590;
• पॉवर अडॅ टर;
• 2 वायफाय अँटेना (2.4 Hz आणि 5 Hz);
• 2 एलटीई अँटेना;
• दस्तऐवजांसह पुस्तिका (प्रारंभिक कनेक्शन, परवाना करार इ.साठी एक लहान मार्गदर्शक)

नेटवर्क पोर्ट आणि इंटरफेससाठी, ट्रॅफिक ट्रान्समिशन आणि परस्परसंवादासाठी सर्व आधुनिक क्षमता आहेत, डीएमझेड झोनसाठी स्वतंत्र पोर्ट, पीसीसह सिंक्रोनाइझेशनसाठी यूएसबी 3.0.

आवृत्ती 1590 ला अद्ययावत डिझाइन, वायरलेस कम्युनिकेशन आणि मेमरी विस्तारासाठी आधुनिक पर्याय प्राप्त झाले: एलटीई मोडमध्ये मायक्रो/नॅनो सिमसह काम करण्यासाठी 2 स्लॉट. (वायरलेस कनेक्शनला समर्पित असलेल्या मालिकेतील आमच्या पुढील लेखांपैकी एका लेखात या पर्यायाबद्दल तपशीलवार लिहिण्याची आमची योजना आहे); SD कार्ड स्लॉट.

तुम्ही 1590 NGFW आणि इतर नवीन मॉडेल्सच्या क्षमतांबद्दल अधिक वाचू शकता 1 भाग चेकपॉइंट एसएमबी सोल्यूशन्सबद्दलच्या लेखांच्या मालिकेतून. आम्ही डिव्हाइसच्या प्रारंभिक प्रारंभाकडे जाऊ.

प्राथमिक आरंभ

आमच्‍या नियमित वाचकांना हे आधीच माहित असले पाहिजे की 1500 मालिका SMB लाइन नवीन 80.20 एम्बेडेड OS वापरते, ज्यात एक अद्ययावत इंटरफेस आणि सुधारित क्षमतांचा समावेश आहे.

डिव्हाइस सुरू करण्यासाठी तुम्हाला हे करणे आवश्यक आहे:

1. गेटवेला वीज द्या.
2. तुमच्या PC वरून गेटवेवरील LAN-1 शी नेटवर्क केबल कनेक्ट करा.
3. वैकल्पिकरित्या, इंटरफेसला WAN पोर्टशी कनेक्ट करून तुम्ही ताबडतोब डिव्हाइसला इंटरनेट प्रवेश प्रदान करू शकता.
4. Gaia एम्बेडेड पोर्टलवर जा: https://192.168.1.1:4434/

जर तुम्ही आधी सांगितलेल्या पायऱ्या फॉलो केल्या असतील, तर Gaia पोर्टल पेजवर गेल्यानंतर, तुम्हाला अविश्वासू प्रमाणपत्रासह पेज उघडण्याची पुष्टी करावी लागेल, त्यानंतर पोर्टल सेटिंग्ज विझार्ड लॉन्च होईल:

आपल्या डिव्हाइसचे मॉडेल दर्शविणार्‍या पृष्ठाद्वारे आपले स्वागत केले जाईल, आपल्याला पुढील विभागात जाण्याची आवश्यकता आहे:

आम्हाला अधिकृततेसाठी खाते तयार करण्यास सांगितले जाईल, प्रशासकासाठी उच्च संकेतशब्द आवश्यकता निर्दिष्ट करणे शक्य आहे आणि आम्ही ते देश सूचित करतो जेथे आम्ही गेटवे वापरू.

पुढील विंडो तारीख आणि वेळ सेटिंग्जशी संबंधित आहे; तुम्ही ते व्यक्तिचलितपणे सेट करू शकता किंवा कंपनीचा NTP सर्व्हर वापरू शकता.

पुढील चरणात डिव्हाइससाठी नाव सेट करणे आणि कंपनी डोमेन निर्दिष्ट करणे समाविष्ट आहे जेणेकरून गेटवे सेवा इंटरनेटवर योग्यरित्या कार्य करू शकतील.

पुढील पायरी NGFW नियंत्रण प्रकाराच्या निवडीशी संबंधित आहे, येथे हे लक्षात घेतले पाहिजे:

1. स्थानिक व्यवस्थापन. Gaia पोर्टल वेब पृष्ठ वापरून स्थानिक पातळीवर गेटवे व्यवस्थापित करण्यासाठी हा उपलब्ध पर्याय आहे.
2. केंद्रीय व्यवस्थापन. या प्रकारच्या व्यवस्थापनामध्ये समर्पित चेकपॉइंट मॅनेजमेंट सर्व्हरसह सिंक्रोनाइझेशन, Smart1-क्लाउड क्लाउडसह किंवा SMP (SMB साठी व्यवस्थापन सेवा) सह सिंक्रोनाइझेशन समाविष्ट आहे.

या लेखात, आम्ही स्थानिक व्यवस्थापन पद्धतीवर लक्ष केंद्रित करू; आपण आवश्यक असलेली पद्धत निर्दिष्ट करू शकता. समर्पित व्यवस्थापन सर्व्हरसह सिंक्रोनाइझेशन प्रक्रियेसह स्वतःला परिचित करण्यासाठी, आम्ही सुचवितो ссылка TS सोल्यूशनने तयार केलेल्या चेकपॉईंट गेटिंग स्टार्ट प्रशिक्षण मालिकेतून.

पुढे, गेटवेवरील इंटरफेसच्या ऑपरेटिंग मोडची व्याख्या करणारी एक विंडो सादर केली जाईल:

• स्विच मोड एका इंटरफेसमधून दुसऱ्या इंटरफेसच्या सबनेटवर सबनेटची उपलब्धता सूचित करते.
• डिसेबल स्विच मोड त्यानुसार स्विच मोड अक्षम करतो; प्रत्येक पोर्ट वेगळ्या नेटवर्क फ्रॅगमेंटसाठी रहदारीला मार्ग देतो.

गेटवेच्या स्थानिक इंटरफेसशी कनेक्ट करताना वापरल्या जाणार्‍या DHCP पत्त्यांचा एक पूल देखील निर्दिष्ट करण्याचा प्रस्ताव आहे.

पुढील पायरी म्हणजे वायरलेस मोडमध्ये कार्य करण्यासाठी गेटवे कॉन्फिगर करणे; आम्ही या पैलूवर मालिकेतील एका लेखात अधिक तपशीलवार चर्चा करण्याची योजना आखत आहोत, म्हणून आम्ही सेटिंग्जचे कॉन्फिगरेशन पुढे ढकलले आहे. तुम्ही एक नवीन वायरलेस ऍक्सेस पॉईंट तयार करू शकता, त्यास कनेक्ट करण्यासाठी पासवर्ड सेट करू शकता आणि वायरलेस चॅनेलचा ऑपरेटिंग मोड (2.4 Hz किंवा 5 Hz) निर्धारित करू शकता.

कंपनी प्रशासकांसाठी गेटवे प्रवेश कॉन्फिगर करणे ही पुढील पायरी असेल. डीफॉल्टनुसार, कनेक्शन येथून येत असल्यास प्रवेश अधिकारांना अनुमती दिली जाते:

1. अंतर्गत कंपनी सबनेट
2. विश्वसनीय वायरलेस नेटवर्क
3. VPN बोगदा

इंटरनेटद्वारे गेटवेशी कनेक्ट होण्याचा पर्याय डीफॉल्टनुसार अक्षम केलेला आहे, यामध्ये मोठ्या जोखीम आहेत आणि ते समाविष्ट करण्यासाठी न्याय्य असणे आवश्यक आहे, अन्यथा आमच्या उदाहरणाप्रमाणे ते सोडण्याची शिफारस केली जाते. कोणत्या IP पत्त्यांना अनुमती दिली जाईल हे निर्दिष्ट करणे देखील शक्य आहे गेटवेशी जोडण्यासाठी.

पुढील विंडो लायसन्सच्या सक्रियतेशी संबंधित आहे; डिव्हाइसच्या सुरुवातीच्या वेळी, तुम्हाला 30-दिवसांच्या चाचणी कालावधीसह सादर केले जाईल. सक्रिय करण्याच्या दोन पद्धती उपलब्ध आहेत:

1. इंटरनेट कनेक्शन असल्यास, परवाना स्वयंचलितपणे सक्रिय केला जातो.
2. तुम्ही ऑफलाइन परवाना सक्रिय केल्यास, तुम्हाला पुढील गोष्टी करण्याची आवश्यकता आहे: UserCenter वरून परवाना डाउनलोड करा, तुमच्या डिव्हाइसची विशेष नोंदणी करा. पोर्टल. पुढे, दोन्ही प्रकरणांसाठी, तुम्हाला व्यक्तिचलितपणे डाउनलोड केलेला परवाना आयात करावा लागेल.

शेवटी, सेटिंग विझार्डमधील शेवटची विंडो तुम्हाला चालू करण्यासाठी ब्लेड्स निवडण्यास प्रॉम्प्ट करते; लक्षात ठेवा की QOS ब्लेड फक्त सुरुवातीनंतरच चालू केले जाते. तुम्‍ही तुमच्‍या सेटिंग्‍जचा सारांश देणार्‍या पूर्णतेच्‍या विंडोसह समाप्त होणे आवश्‍यक आहे.

प्राथमिक आस्थापना

सर्व प्रथम, आम्ही परवान्यांची स्थिती तपासण्याची शिफारस करतो; पुढील कॉन्फिगरेशन यावर अवलंबून असेल. "होम" → "परवाना" टॅबवर जा:

परवाने सक्रिय केले असल्यास, आम्ही नवीनतम वर्तमान फर्मवेअरवर त्वरित अद्यतनित करण्याची शिफारस करतो; हे करण्यासाठी, "डिव्हाइस" → "सिस्टम ऑपरेशन्स" टॅबवर जा:

सिस्टम अद्यतने फर्मवेअर अपग्रेड आयटममध्ये स्थित आहेत. आमच्या बाबतीत, वर्तमान आणि नवीनतम फर्मवेअर आवृत्ती स्थापित केली आहे.

पुढे, मी सिस्टम ब्लेडच्या क्षमता आणि सेटिंग्जबद्दल थोडक्यात बोलण्याचा प्रस्ताव देतो. तार्किकदृष्ट्या, ते प्रवेश (फायरवॉल, ऍप्लिकेशन कंट्रोल, URL फिल्टरिंग) आणि धोका प्रतिबंध (IPS, अँटीव्हायरस, अँटी-बॉट, थ्रेट इम्युलेशन) स्तर धोरणांमध्ये विभागले जाऊ शकतात.

चला ऍक्सेस पॉलिसी → ब्लेड कंट्रोल टॅब वर जाऊया:

डीफॉल्टनुसार, मानक मोड वापरला जातो, तो इंटरनेटवर जाणार्‍या रहदारीला, स्थानिक नेटवर्कमधील रहदारीला परवानगी देतो, परंतु त्याच वेळी इंटरनेटवरून येणारी रहदारी अवरोधित करतो.

APPLICATIONS आणि URL FILTERING ब्लेड्ससाठी, ते डीफॉल्टनुसार उच्च पातळीच्या धोक्याच्या साइट्स ब्लॉक करण्यासाठी सेट केले जातात, एक्सचेंज ऍप्लिकेशन्स (टोरेंट, फाइल स्टोरेज इ.) ब्लॉक करतात. तुम्ही याव्यतिरिक्त साइट्सच्या श्रेणी मॅन्युअली ब्लॉक करू शकता.

चला वापरकर्ता रहदारीसाठी पर्याय तपासूया "लिमिट बँडविड्थ वापरणारे ऍप्लिकेशन्स" अनुप्रयोगांच्या गटांसाठी आउटगोइंग/इनकमिंग ट्रॅफिकची गती मर्यादित करण्याच्या क्षमतेसह.

पुढे, पॉलिसी उपविभाग उघडा; डीफॉल्टनुसार, पूर्वी वर्णन केलेल्या सेटिंग्जनुसार नियम स्वयंचलितपणे व्युत्पन्न केले जातात.

डीफॉल्टनुसार NAT उपविभाग ग्लोबल हाइड नॅट ऑटोमॅटिकमध्ये कार्य करतो, म्हणजे सर्व अंतर्गत होस्टना सार्वजनिक IP पत्त्याद्वारे इंटरनेटवर प्रवेश असेल. तुमचे वेब ऍप्लिकेशन किंवा सेवा प्रकाशित करण्यासाठी NAT नियम मॅन्युअली सेट करणे शक्य आहे.

पुढे, नेटवर्कवरील वापरकर्ता प्रमाणीकरणाशी संबंधित विभाग दोन पर्याय ऑफर करतो: सक्रिय निर्देशिका क्वेरी (तुमच्या AD सह एकत्रीकरण), ब्राउझर-आधारित-प्रमाणीकरण (वापरकर्ता पोर्टलमध्ये डोमेन क्रेडेन्शियल्स प्रविष्ट करतो).

SSL तपासणीचा स्वतंत्रपणे उल्लेख करणे योग्य आहे; ग्लोबल नेटवर्कवरील एकूण HTTPS रहदारीचा वाटा सक्रियपणे वाढत आहे. SMB सोल्यूशन्ससाठी चेकपॉइंट कोणती वैशिष्ट्ये ऑफर करते ते पाहू. हे करण्यासाठी, SSL-निरीक्षण → धोरण विभागात जा:

सेटिंग्जमध्ये तुम्ही HTTPS रहदारीची तपासणी करू शकता; तुम्हाला प्रमाणपत्र आयात करावे लागेल आणि ते अंतिम वापरकर्ता मशीनवरील विश्वसनीय प्रमाणपत्र केंद्रामध्ये स्थापित करावे लागेल.

आम्ही पूर्वनिर्धारित श्रेण्यांसाठी बायपास मोडला सोयीस्कर पर्याय मानतो; हे तपासणी सक्षम करताना वेळेची लक्षणीय बचत करते.

फायरवॉल / ऍप्लिकेशन स्तरावर नियम कॉन्फिगर केल्यानंतर, तुम्ही सुरक्षा धोरणे (धोका प्रतिबंधक) ट्यूनिंग करण्यासाठी पुढे जा, हे करण्यासाठी, योग्य विभागात जा:

उघडलेल्या पृष्ठावर आम्ही सक्षम ब्लेड, स्वाक्षरी आणि डेटाबेस अद्यतन स्थिती पाहतो. आम्हाला नेटवर्क परिमिती संरक्षित करण्यासाठी प्रोफाइल निवडण्यास देखील सांगितले जाते आणि संबंधित सेटिंग्ज प्रदर्शित केल्या जातात.

एक वेगळा विभाग “IPS संरक्षण” तुम्हाला विशिष्ट सुरक्षा स्वाक्षरीसाठी क्रिया कॉन्फिगर करण्याची परवानगी देतो.

काही काळापूर्वी आम्ही आमच्या ब्लॉगवर लिहिले जागतिक असुरक्षा बद्दल विंडोज सर्व्हरसाठी - SigRed. "CVE-80.20-2020" क्वेरी प्रविष्ट करून Gaia एम्बेडेड 1350 मध्ये त्याची उपस्थिती तपासूया

या स्वाक्षरीसाठी एक रेकॉर्ड शोधला गेला आहे ज्यावर एक क्रिया लागू केली जाऊ शकते. (डिफॉल्टनुसार धोक्याच्या पातळीसाठी प्रतिबंध गंभीर आहे). त्यानुसार, SMB सोल्यूशन असल्यास, तुम्हाला अपडेट्स आणि सपोर्टच्या बाबतीत सोडले जाणार नाही; चेकपॉईंटवरील 200 लोकांपर्यंतच्या शाखा कार्यालयांसाठी हा संपूर्ण NGFW उपाय आहे.

कार्यक्षमतेची तपासणी

लेखाचा समारोप करताना, मी SMB सोल्यूशनच्या प्रारंभिक आरंभ आणि कॉन्फिगरेशननंतर समस्यानिवारण समस्यांसाठी साधनांची उपलब्धता लक्षात घेऊ इच्छितो. तुम्ही “होम” → “टूल्स” विभागात जाऊ शकता. संभाव्य पर्याय:

• देखरेख प्रणाली संसाधने;
• राउटिंग टेबल;
• चेकपॉईंट क्लाउड सेवांची उपलब्धता तपासत आहे;
• CPinfo निर्मिती;

बिल्ट-इन नेटवर्क कमांड देखील उपलब्ध आहेत: पिंग, ट्रेसराउट, ट्रॅफिक कॅप्चर.

अशा प्रकारे, आज आम्ही NGFW 1590 चे प्रारंभिक कनेक्शन आणि कॉन्फिगरेशनचे पुनरावलोकन आणि अभ्यास केला, तुम्ही संपूर्ण 1500 SMB चेकपॉईंट मालिकेसाठी समान क्रिया कराल. उपलब्ध पर्यायांनी आम्हाला सेटिंग्जसाठी उच्च परिवर्तनशीलता, नेटवर्क परिमितीवर रहदारीचे संरक्षण करण्याच्या आधुनिक पद्धतींसाठी समर्थन दर्शवले.

आज, लहान कार्यालये आणि शाखांचे संरक्षण करण्यासाठी (200 लोकांपर्यंत) चेकपॉईंट सोल्यूशन्समध्ये विस्तृत उपकरणे आहेत आणि नवीनतम तंत्रज्ञान (क्लाउड व्यवस्थापन, सिम कार्ड समर्थन, SD कार्ड वापरून मेमरी विस्तार इ.) वापरतात. माहिती मिळवत राहा आणि TS सोल्युशनचे लेख वाचा, आम्ही SMB कुटुंबाच्या NGFW चेकपॉईंटच्या पुढील भागांच्या प्रकाशनाची योजना करत आहोत, भेटूया!

TS सोल्यूशन कडून चेक पॉइंटवर सामग्रीची मोठी निवड. संपर्कात राहा (तार, फेसबुक, VK, टीएस सोल्यूशन ब्लॉग, यांडेक्स झेन).

स्त्रोत: www.habr.com