2. UserGate प्रारंभ करणे. आवश्यकता, स्थापना

नमस्कार, कंपनीकडून NGFW सोल्यूशनबद्दलचा हा दुसरा लेख आहे युजरगेट. या लेखाचा उद्देश वर्च्युअल सिस्टीमवर युजरगेट फायरवॉल कसा स्थापित करायचा (मी VMware वर्कस्टेशन व्हर्च्युअलायझेशन सॉफ्टवेअर वापरेन) आणि त्याचे प्रारंभिक कॉन्फिगरेशन कसे करावे हे दाखवणे हा आहे (इंटरनेटच्या यूजरगेट गेटवेद्वारे स्थानिक नेटवर्कवरून प्रवेशास अनुमती द्या).   

1. परिचय

सुरू करण्यासाठी, मी नेटवर्कमध्ये या गेटवेची अंमलबजावणी करण्याच्या विविध मार्गांचे वर्णन करेन. मी हे लक्षात घेऊ इच्छितो की निवडलेल्या कनेक्शन पर्यायावर अवलंबून, गेटवेची काही कार्यक्षमता उपलब्ध नसू शकते. यूजरगेट सोल्यूशन खालील कनेक्शन मोडला समर्थन देते: 

• L3-L7 फायरवॉल

• L2 पारदर्शक पूल

• L3 पारदर्शक पूल

• अक्षरशः अंतर मध्ये, WCCP प्रोटोकॉल वापरून

• धोरण आधारित राउटिंग वापरून अक्षरशः अंतरात

• स्टिकवर राउटर

• स्पष्टपणे निर्दिष्ट WEB प्रॉक्सी

• यूजरगेट डीफॉल्ट गेटवे म्हणून

• मिरर पोर्ट मॉनिटरिंग

UserGate 2 प्रकारच्या क्लस्टरला सपोर्ट करते:

1. क्लस्टर कॉन्फिगरेशन. कॉन्फिगरेशन क्लस्टरमध्ये एकत्रित केलेले नोड्स संपूर्ण क्लस्टरमध्ये सातत्यपूर्ण सेटिंग्ज राखतात.

2. फेलओव्हर क्लस्टर. 4 पर्यंत कॉन्फिगरेशन क्लस्टर नोड्स फेलओव्हर क्लस्टरमध्ये एकत्र केले जाऊ शकतात जे सक्रिय-सक्रिय किंवा सक्रिय-पॅसिव्ह मोडमध्ये ऑपरेशनला समर्थन देतात. अनेक फेलओव्हर क्लस्टर्स एकत्र करणे शक्य आहे.

2. स्थापना

मागील लेखात नमूद केल्याप्रमाणे, UserGate हार्डवेअर आणि सॉफ्टवेअर पॅकेज म्हणून पुरवले जाते किंवा आभासी वातावरणात तैनात केले जाते. वेबसाइटवरील तुमच्या वैयक्तिक खात्यातून युजरगेट OVF (ओपन व्हर्च्युअलायझेशन फॉरमॅट) मध्ये इमेज डाउनलोड करा, हे फॉरमॅट VMWare आणि Oracle Virtualbox विक्रेत्यांसाठी योग्य आहे. Microsoft Hyper-v आणि KVM साठी व्हर्च्युअल मशीन डिस्क प्रतिमा प्रदान केल्या आहेत.

UserGate वेबसाइटनुसार, व्हर्च्युअल मशीन योग्यरित्या ऑपरेट करण्यासाठी, किमान 8Gb RAM आणि 2-कोर व्हर्च्युअल प्रोसेसर वापरण्याची शिफारस केली जाते. हायपरवाइजरने 64-बिट ऑपरेटिंग सिस्टमला समर्थन दिले पाहिजे.

निवडलेल्या हायपरवाइजरमध्ये (VirtualBox आणि VMWare) प्रतिमा आयात करून स्थापना सुरू होते. Microsoft Hyper-v आणि KVM च्या बाबतीत, तुम्हाला व्हर्च्युअल मशीन तयार करण्याची आणि डाउनलोड केलेली प्रतिमा डिस्क म्हणून निर्दिष्ट करण्याची आणि नंतर तयार केलेल्या व्हर्च्युअल मशीनच्या सेटिंग्जमध्ये एकत्रीकरण सेवा अक्षम करण्याची आवश्यकता आहे.

डीफॉल्टनुसार, VMWare मध्ये आयात केल्यानंतर, खालील सेटिंग्जसह एक आभासी मशीन तयार केली जाते:

वर लिहिल्याप्रमाणे, किमान 8Gb RAM असणे आवश्यक आहे आणि त्याव्यतिरिक्त तुम्हाला प्रत्येक 1 वापरकर्त्यांसाठी 100Gb जोडणे आवश्यक आहे. डीफॉल्ट हार्ड ड्राइव्हचा आकार 100Gb आहे, परंतु हे सहसा सर्व लॉग आणि सेटिंग्ज संचयित करण्यासाठी पुरेसे नसते. शिफारस केलेले आकार 300Gb किंवा अधिक आहे. म्हणून, व्हर्च्युअल मशीनच्या गुणधर्मांमध्ये, आम्ही डिस्कचा आकार इच्छित आकारात बदलतो. सुरुवातीला, व्हर्च्युअल यूजरगेट यूटीएम झोनसाठी नियुक्त केलेल्या चार इंटरफेससह येते:

व्यवस्थापन - व्हर्च्युअल मशीनचा पहिला इंटरफेस, विश्वसनीय नेटवर्क कनेक्ट करण्यासाठी एक झोन ज्यामधून वापरकर्ता गेट व्यवस्थापनास परवानगी आहे.

विश्वसनीय हा व्हर्च्युअल मशीनचा दुसरा इंटरफेस आहे, विश्वसनीय नेटवर्क कनेक्ट करण्यासाठी एक झोन, उदाहरणार्थ, LAN नेटवर्क.

अविश्वासू व्हर्च्युअल मशीनचा तिसरा इंटरफेस आहे, अविश्वासू नेटवर्कशी कनेक्ट केलेल्या इंटरफेससाठी एक झोन, उदाहरणार्थ, इंटरनेटशी.

DMZ हा आभासी मशीनचा चौथा इंटरफेस आहे, जो DMZ नेटवर्कशी जोडलेल्या इंटरफेससाठी एक झोन आहे.

पुढे, आम्ही व्हर्च्युअल मशीन लॉन्च करतो, जरी मॅन्युअलमध्ये असे म्हटले आहे की तुम्हाला सपोर्ट टूल्स निवडणे आणि फॅक्टरी रीसेट UTM करणे आवश्यक आहे, परंतु तुम्ही बघू शकता, फक्त एकच पर्याय आहे (UTM फर्स्ट बूट). या चरणादरम्यान, UTM नेटवर्क अडॅप्टर कॉन्फिगर करते आणि हार्ड ड्राइव्ह विभाजनाचा आकार पूर्ण डिस्क आकारात वाढवते:

UserGate वेब इंटरफेसशी कनेक्ट होण्यासाठी, तुम्ही मॅनेजमेंट झोनमधून लॉग इन केले पाहिजे; ही eth0 इंटरफेसची जबाबदारी आहे, जो स्वयंचलितपणे IP पत्ता (DHCP) मिळवण्यासाठी कॉन्फिगर केलेला आहे. DHCP वापरून व्यवस्थापन इंटरफेससाठी स्वयंचलितपणे पत्ता नियुक्त करणे शक्य नसल्यास, CLI (कमांड लाइन इंटरफेस) वापरून ते स्पष्टपणे सेट केले जाऊ शकते. हे करण्यासाठी, तुम्हाला पूर्ण प्रशासक अधिकारांसह वापरकर्तानाव आणि पासवर्ड वापरून CLI मध्ये लॉग इन करणे आवश्यक आहे (डिफॉल्टनुसार कॅपिटल अक्षर असलेले प्रशासन). जर UserGate डिव्‍हाइसने इनिशिएलायझेशन केले नसेल, तर CLI ला ऍक्‍सेस करण्‍यासाठी तुम्ही Admin वापरकर्तानाव आणि utm हा पासवर्ड म्हणून वापरला पाहिजे. आणि iface config –name eth0 –ipv4 192.168.1.254/24 सारखी कमांड टाइप करा – true –mode static सक्षम करा. नंतर आम्ही निर्दिष्ट पत्त्यावर UserGate वेब कन्सोलवर जाऊ, ते असे काहीतरी दिसले पाहिजे: https://UserGateIPaddress:8001:

वेब कन्सोलमध्ये आम्ही स्थापना सुरू ठेवतो, आम्हाला इंटरफेस भाषा (या क्षणी ती रशियन किंवा इंग्रजी आहे), टाइम झोन निवडणे आवश्यक आहे, नंतर परवाना करार वाचा आणि सहमती द्या. वेब व्यवस्थापन इंटरफेसमध्ये लॉग इन करण्यासाठी लॉगिन आणि पासवर्ड सेट करा.

3. सेटअप

स्थापनेनंतर, प्लॅटफॉर्म व्यवस्थापन वेब इंटरफेस विंडो असे दिसते:

मग तुम्हाला नेटवर्क इंटरफेस कॉन्फिगर करणे आवश्यक आहे. हे करण्यासाठी, "इंटरफेस" विभागात तुम्हाला ते सक्षम करणे आवश्यक आहे, योग्य IP पत्ते सेट करा आणि योग्य झोन नियुक्त करा.

"इंटरफेस" विभाग सिस्टीममध्ये उपलब्ध सर्व भौतिक आणि आभासी इंटरफेस दाखवतो, तुम्हाला त्यांची सेटिंग्ज बदलण्याची आणि VLAN इंटरफेस जोडण्याची परवानगी देतो. हे प्रत्येक क्लस्टर नोडचे सर्व इंटरफेस देखील दर्शवते. इंटरफेस सेटिंग्ज प्रत्येक नोडसाठी विशिष्ट आहेत, म्हणजेच ते जागतिक नाहीत.

इंटरफेस गुणधर्मांमध्ये:

• इंटरफेस सक्षम किंवा अक्षम करा 

• इंटरफेस प्रकार निर्दिष्ट करा - स्तर 3 किंवा मिरर

• इंटरफेसला एक झोन नियुक्त करा

• Netflow कलेक्टरला सांख्यिकीय डेटा पाठवण्यासाठी नेटफ्लो प्रोफाइल नियुक्त करा

• इंटरफेसचे भौतिक मापदंड बदला - MAC पत्ता आणि MTU आकार

• आयपी अॅड्रेस असाइनमेंटचा प्रकार निवडा - कोणताही पत्ता नाही, स्टॅटिक आयपी अॅड्रेस किंवा DHCP द्वारे मिळवलेला नाही

• निवडलेल्या इंटरफेसवर DHCP रिले कॉन्फिगर करा.

"जोडा" बटण तुम्हाला खालील प्रकारचे लॉजिकल इंटरफेस जोडण्याची परवानगी देते:

• व्हीएलएएन

• बाँड

• ब्रिज

• PPPoE

• व्हीपीएन

• बोगदा

पूर्वी सूचीबद्ध केलेल्या झोन व्यतिरिक्त, ज्यासह Usergate प्रतिमा पाठवते, तेथे आणखी तीन पूर्वनिर्धारित प्रकार आहेत:

क्लस्टर - क्लस्टर ऑपरेशनसाठी वापरल्या जाणार्‍या इंटरफेससाठी झोन

साइट-टू-साइटसाठी VPN - एक झोन ज्यामध्ये VPN द्वारे UserGate शी कनेक्ट केलेले सर्व ऑफिस-ऑफिस क्लायंट ठेवलेले असतात.

दूरस्थ प्रवेशासाठी VPN - एक झोन ज्यामध्ये VPN द्वारे UserGate शी कनेक्ट केलेले सर्व मोबाइल वापरकर्ते समाविष्ट आहेत

UserGate प्रशासक डीफॉल्ट झोनची सेटिंग्ज बदलू शकतात आणि अतिरिक्त झोन देखील तयार करू शकतात, परंतु आवृत्ती 5 मॅन्युअलमध्ये सांगितल्याप्रमाणे, कमाल 15 झोन तयार केले जाऊ शकतात. ते बदलण्यासाठी किंवा तयार करण्यासाठी, तुम्हाला झोन विभागात जाण्याची आवश्यकता आहे. प्रत्येक झोनसाठी, तुम्ही पॅकेट ड्रॉप थ्रेशोल्ड सेट करू शकता; SYN, UDP, ICMP समर्थित आहेत. युजरगेट सेवांवर प्रवेश नियंत्रण देखील कॉन्फिगर केले आहे आणि स्पूफिंगपासून संरक्षण सक्षम केले आहे.

इंटरफेस कॉन्फिगर केल्यानंतर, तुम्हाला "गेटवे" विभागात डीफॉल्ट मार्ग कॉन्फिगर करणे आवश्यक आहे. त्या. यूजरगेटला इंटरनेटशी कनेक्ट करण्यासाठी, तुम्ही एक किंवा अधिक गेटवेचा IP पत्ता निर्दिष्ट करणे आवश्यक आहे. तुम्ही इंटरनेटशी कनेक्ट होण्यासाठी अनेक प्रदाते वापरत असल्यास, तुम्ही अनेक गेटवे निर्दिष्ट करणे आवश्यक आहे. प्रत्येक क्लस्टर नोडसाठी गेटवे कॉन्फिगरेशन अद्वितीय आहे. दोन किंवा अधिक गेटवे निर्दिष्ट केले असल्यास, 2 पर्याय शक्य आहेत:

1. गेटवे दरम्यान रहदारी संतुलित करणे.

2. स्पेअरवर स्विच करून मुख्य प्रवेशद्वार.

गेटवे स्थिती (उपलब्ध - हिरवा, अनुपलब्ध - लाल) खालीलप्रमाणे निर्धारित केला जातो:

1. नेटवर्क तपासणी अक्षम केली आहे - जर UserGate ARP विनंती वापरून त्याचा MAC पत्ता मिळवू शकत असेल तर गेटवे प्रवेशयोग्य मानला जातो. या गेटवेद्वारे इंटरनेट प्रवेशासाठी कोणतीही तपासणी नाही. गेटवेचा MAC पत्ता निर्धारित केला जाऊ शकत नसल्यास, गेटवे अगम्य मानला जातो.

2. नेटवर्क तपासणी सक्षम केली आहे - गेटवे प्रवेशयोग्य मानले जाते जर:

• UserGate ARP विनंती वापरून त्याचा MAC पत्ता मिळवू शकतो.

• या गेटवेद्वारे इंटरनेट प्रवेशाची तपासणी यशस्वीरित्या पूर्ण झाली.

अन्यथा, गेटवे अनुपलब्ध मानला जातो.

“DNS” विभागात तुम्हाला UserGate वापरत असलेले DNS सर्व्हर जोडणे आवश्यक आहे. ही सेटिंग सिस्टम DNS सर्व्हर क्षेत्रामध्ये निर्दिष्ट केली आहे. खाली वापरकर्त्यांच्या DNS विनंत्या व्यवस्थापित करण्यासाठी सेटिंग्ज आहेत. UserGate तुम्हाला DNS प्रॉक्सी वापरण्याची परवानगी देतो. DNS प्रॉक्सी सेवा तुम्हाला वापरकर्त्यांकडील DNS विनंत्या रोखू देते आणि प्रशासकाच्या गरजेनुसार त्या बदलू देते. DNS प्रॉक्सी नियम DNS सर्व्हर निर्दिष्ट करण्यासाठी वापरले जाऊ शकतात ज्यावर विशिष्ट डोमेनसाठी विनंत्या अग्रेषित केल्या जातात. याव्यतिरिक्त, DNS प्रॉक्सी वापरून, तुम्ही होस्ट प्रकाराचे (A रेकॉर्ड) स्थिर रेकॉर्ड सेट करू शकता.

"NAT आणि राउटिंग" विभागात तुम्हाला आवश्यक NAT नियम तयार करावे लागतील. विश्वसनीय नेटवर्कच्या वापरकर्त्यांद्वारे इंटरनेटवर प्रवेश करण्यासाठी, NAT नियम आधीच तयार केला गेला आहे - “विश्वसनीय->अविश्वसनीय”, फक्त ते सक्षम करणे बाकी आहे. कन्सोलमध्ये सूचीबद्ध केलेल्या क्रमाने नियम वरपासून खालपर्यंत लागू केले जातात. फक्त पहिला नियम ज्यासाठी नियम जुळणीमध्ये निर्दिष्ट केलेल्या अटी नेहमी अंमलात आणल्या जातात. नियम ट्रिगर होण्यासाठी, नियम पॅरामीटर्समध्ये निर्दिष्ट केलेल्या सर्व अटी जुळल्या पाहिजेत. UserGate ने सामान्य NAT नियम तयार करण्याची शिफारस केली आहे, उदाहरणार्थ, स्थानिक नेटवर्क (सहसा विश्वासू झोन) पासून इंटरनेटवर (सामान्यत: एक अविश्वासू झोन) NAT नियम आणि फायरवॉल नियम वापरून वापरकर्ते, सेवा आणि अनुप्रयोगांद्वारे प्रवेश प्रतिबंधित करणे.

DNAT नियम, पोर्ट फॉरवर्डिंग, पॉलिसी-आधारित राउटिंग, नेटवर्क मॅपिंग तयार करणे देखील शक्य आहे.

यानंतर, “फायरवॉल” विभागात तुम्हाला फायरवॉल नियम तयार करावे लागतील. विश्वसनीय नेटवर्कच्या वापरकर्त्यांसाठी इंटरनेटवर अमर्यादित प्रवेशासाठी, एक फायरवॉल नियम देखील तयार केला गेला आहे - "विश्वसनीय इंटरनेट" आणि सक्षम करणे आवश्यक आहे. फायरवॉल नियमांचा वापर करून, प्रशासक UserGate मधून जाणार्‍या कोणत्याही प्रकारच्या ट्रान्झिट नेटवर्क रहदारीला परवानगी देऊ शकतो किंवा नाकारू शकतो. नियम अटींमध्ये झोन आणि स्त्रोत/गंतव्य IP पत्ते, वापरकर्ते आणि गट, सेवा आणि अनुप्रयोग समाविष्ट असू शकतात. नियम "NAT आणि राउटिंग" विभागाप्रमाणेच लागू होतात, उदा. वरुन खाली. जर कोणतेही नियम तयार केले गेले नसतील, तर युजरगेट द्वारे कोणतीही वाहतूक वाहतूक प्रतिबंधित आहे.

4 निष्कर्ष

यामुळे लेखाचा समारोप होतो. आम्ही व्हर्च्युअल मशीनवर UserGate फायरवॉल स्थापित केले आणि विश्वसनीय नेटवर्कवर काम करण्यासाठी इंटरनेटसाठी किमान आवश्यक सेटिंग्ज केल्या. आम्ही पुढील लेखांमध्ये पुढील कॉन्फिगरेशनचा विचार करू.

आमच्या चॅनेलमधील अद्यतनांसाठी संपर्कात रहा (तार, फेसबुक, VK, टीएस सोल्यूशन ब्लॉग)!

स्त्रोत: www.habr.com