3. UserGate प्रारंभ करणे. नेटवर्क धोरणे

मी युजरगेट गेटिंग स्टार्ट लेख मालिकेतील तिसर्‍या लेखात वाचकांचे स्वागत करतो, जे कंपनीकडून NGFW सोल्यूशनबद्दल बोलते. युजरगेट. शेवटच्या लेखात, फायरवॉल स्थापित करण्याच्या प्रक्रियेचे वर्णन केले गेले आणि त्याचे प्रारंभिक कॉन्फिगरेशन केले गेले. आत्तासाठी, आम्ही फायरवॉल, NAT आणि राउटिंग आणि बँडविड्थ यांसारख्या विभागांमध्ये नियम तयार करण्यावर बारकाईने विचार करू.

UserGate नियमांची विचारधारा, जसे की नियम वरपासून खालपर्यंत अंमलात आणले जातात, जोपर्यंत प्रथम कार्य करत नाही. वरील आधारावर, हे अनुसरण करते की अधिक विशिष्ट नियम अधिक सामान्य नियमांपेक्षा जास्त असावेत. परंतु हे लक्षात घ्यावे की नियम क्रमाने तपासले जातात, सामान्य नियम तयार करणे कार्यप्रदर्शनाच्या दृष्टीने चांगले आहे. कोणताही नियम तयार करताना, "आणि" तर्कानुसार अटी लागू केल्या जातात. "OR" तर्क वापरणे आवश्यक असल्यास, अनेक नियम तयार करून हे साध्य केले जाते. त्यामुळे या लेखात जे वर्णन केले आहे ते इतर UserGate धोरणांना देखील लागू होते.

फायरवॉल

UserGate स्थापित केल्यानंतर, "फायरवॉल" विभागात आधीपासूनच एक साधे धोरण आहे. पहिले दोन नियम botnets साठी रहदारी प्रतिबंधित करतात. वेगवेगळ्या झोनमधील प्रवेश नियमांची उदाहरणे खालीलप्रमाणे आहेत. शेवटचा नियम नेहमी "ब्लॉक ऑल" असे म्हटले जाते आणि त्याला लॉक चिन्हाने चिन्हांकित केले जाते (याचा अर्थ असा की नियम हटविला, सुधारित, हलविला, अक्षम केला जाऊ शकत नाही, तो फक्त लॉगिंग पर्यायासाठी सक्षम केला जाऊ शकतो). अशा प्रकारे, या नियमामुळे, सर्व स्पष्टपणे परवानगी नसलेली रहदारी शेवटच्या नियमाद्वारे अवरोधित केली जाईल. जर तुम्हाला युजरगेटद्वारे सर्व ट्रॅफिकला अनुमती द्यायची असेल (जरी हे जोरदारपणे नाउमेद केले जात असले तरी), तुम्ही नेहमी "सर्वांना परवानगी द्या" हा अंतिम नियम तयार करू शकता.

फायरवॉल नियम संपादित किंवा तयार करताना, प्रथम सामान्य टॅब, आपल्याला खालील गोष्टी करण्याची आवश्यकता आहे: 

• चेकबॉक्स "चालू" नियम सक्षम किंवा अक्षम करा.

• नियमाचे नाव प्रविष्ट करा.

• नियमाचे वर्णन सेट करा.

• दोन क्रियांमधून निवडा:

  • नकार द्या - रहदारी अवरोधित करते (ही स्थिती सेट करताना, ICMP होस्ट अगम्य पाठवणे शक्य आहे, तुम्हाला फक्त योग्य चेकबॉक्स सेट करणे आवश्यक आहे).

  • परवानगी द्या - रहदारीला परवानगी देते.

• परिस्थिती आयटम - तुम्हाला एक परिस्थिती निवडण्याची परवानगी देते, जी नियम सक्रिय करण्यासाठी अतिरिक्त अट आहे. अशा प्रकारे UserGate SOAR (Security Orchestration, Automation and Response) ची संकल्पना राबवते.

• लॉगिंग — नियम ट्रिगर झाल्यावर लॉगवर रहदारीबद्दल माहिती लिहा. संभाव्य पर्याय:

  • सत्राची सुरूवात लॉग करा. या प्रकरणात, केवळ सत्राच्या सुरूवातीची माहिती (प्रथम पॅकेट) रहदारी लॉगवर लिहिली जाईल. हा शिफारस केलेला लॉगिंग पर्याय आहे.

  • प्रत्येक पॅकेट लॉग करा. या प्रकरणात, प्रत्येक प्रसारित नेटवर्क पॅकेटबद्दल माहिती रेकॉर्ड केली जाईल. या मोडसाठी, उच्च डिव्हाइस लोड टाळण्यासाठी लॉगिंग मर्यादा सक्षम करण्याची शिफारस केली जाते.

• यावर नियम लागू करा:

  • सर्व पॅकेजेस

  • खंडित पॅकेट्ससाठी

  • अखंडित पॅकेजेससाठी

• नवीन नियम तयार करताना, तुम्ही पॉलिसीमध्ये जागा निवडू शकता.

पुढील स्रोत टॅब. येथे आम्ही रहदारीचा स्त्रोत सूचित करतो, ते ज्या क्षेत्रातून रहदारी येते ते क्षेत्र असू शकते किंवा तुम्ही सूची किंवा विशिष्ट ip-पत्ता (Geoip) निर्दिष्ट करू शकता. डिव्हाइसमध्ये सेट करता येणार्‍या जवळजवळ सर्व नियमांमध्ये, नियमातून ऑब्जेक्ट तयार केला जाऊ शकतो, उदाहरणार्थ, "झोन" विभागात न जाता, तुम्ही झोन ​​तयार करण्यासाठी "नवीन ऑब्जेक्ट तयार करा आणि जोडा" बटण वापरू शकता. आम्हाला गरज आहे. "इन्व्हर्ट" चेकबॉक्स देखील अनेकदा आढळतो, तो नियमाच्या स्थितीत क्रिया उलट करतो, जी तार्किक क्रिया नाकारण्यासारखी असते. गंतव्य टॅब स्त्रोत टॅब प्रमाणेच, परंतु रहदारी स्त्रोताऐवजी, आम्ही रहदारी गंतव्य सेट करतो. वापरकर्ते टॅब - या ठिकाणी तुम्ही वापरकर्त्यांची किंवा गटांची यादी जोडू शकता ज्यासाठी हा नियम लागू होतो. सेवा टॅब - आधीच पूर्वनिर्धारित सेवा प्रकार निवडा किंवा तुम्ही स्वतः सेट करू शकता. अनुप्रयोग टॅब - विशिष्ट अनुप्रयोग किंवा अनुप्रयोगांचे गट येथे निवडले आहेत. आणि वेळ टॅब हा नियम सक्रिय असताना वेळ निर्दिष्ट करा. 

शेवटच्या धड्यापासून, आमच्याकडे “ट्रस्ट” झोनमधून इंटरनेटवर प्रवेश करण्याचा नियम आहे, आता मी उदाहरण म्हणून “ट्रस्ट” झोनपासून “अविश्वसनीय” झोनपर्यंत ICMP रहदारीसाठी नकार नियम कसा तयार करायचा ते दाखवेन.

प्रथम, "जोडा" बटणावर क्लिक करून एक नियम तयार करा. उघडणार्‍या विंडोमध्ये, सामान्य टॅबवर, नाव भरा (ICMP विश्वसनीय पासून अविश्वासू पर्यंत प्रतिबंधित करा), “चालू” चेकबॉक्स तपासा, अक्षम करा कृती निवडा आणि सर्वात महत्त्वाचे म्हणजे, या नियमासाठी योग्य स्थान निवडा. माझ्या धोरणानुसार, हा नियम "विश्वासूंना अविश्वासूंना परवानगी द्या" नियमाच्या वर ठेवला पाहिजे:

माझ्या कार्यासाठी "स्रोत" टॅबवर, दोन पर्याय आहेत:

• "विश्वसनीय" झोन निवडून

• “विश्वसनीय” वगळता सर्व झोन निवडून आणि “उलटा” चेकबॉक्सवर टिक करून

गंतव्य टॅब स्त्रोत टॅब प्रमाणेच कॉन्फिगर केला आहे.

पुढे, “सेवा” टॅबवर जा, कारण UserGate कडे ICMP रहदारीसाठी पूर्वनिर्धारित सेवा आहे, त्यानंतर “जोडा” बटणावर क्लिक करून, आम्ही प्रस्तावित सूचीमधून “Any ICMP” नावाची सेवा निवडतो:

कदाचित हा युजरगेटच्या निर्मात्यांचा हेतू होता, परंतु मी अनेक पूर्णपणे समान नियम तयार करण्यात व्यवस्थापित केले. जरी सूचीतील फक्त पहिला नियम अंमलात आणला जाईल, मला वाटते की कार्यक्षमतेमध्ये भिन्न असलेल्या समान नावाचे नियम तयार करण्याची क्षमता जेव्हा अनेक डिव्हाइस प्रशासक कार्य करतात तेव्हा गोंधळ निर्माण करू शकतात.

NAT आणि राउटिंग

NAT नियम तयार करताना, आपल्याला फायरवॉल प्रमाणेच अनेक समान टॅब दिसतात. "सामान्य" टॅबवर "प्रकार" फील्ड दिसले, ते तुम्हाला हा नियम कशासाठी जबाबदार असेल ते निवडण्याची परवानगी देते:

• NAT - नेटवर्क पत्ता अनुवाद.

• DNAT - निर्दिष्ट IP पत्त्यावर रहदारी पुनर्निर्देशित करते.

• पोर्ट फॉरवर्डिंग - निर्दिष्ट IP पत्त्यावर रहदारी पुनर्निर्देशित करते, परंतु आपल्याला प्रकाशित सेवेचा पोर्ट क्रमांक बदलण्याची परवानगी देते

• धोरण-आधारित राउटिंग - तुम्हाला सेवा, MAC पत्ते किंवा सर्व्हर (IP पत्ते) यांसारख्या विस्तारित माहितीवर आधारित IP पॅकेट रूट करण्याची परवानगी देते.

• नेटवर्क मॅपिंग - तुम्हाला एका नेटवर्कचे स्त्रोत किंवा गंतव्य IP पत्ते दुसर्‍या नेटवर्कसह बदलण्याची परवानगी देते.

योग्य नियम प्रकार निवडल्यानंतर, त्यासाठी सेटिंग्ज उपलब्ध होतील.

SNAT IP (बाह्य पत्ता) फील्डमध्ये, आम्ही स्पष्टपणे IP पत्ता निर्दिष्ट करतो ज्यावर स्त्रोत पत्ता बदलला जाईल. गंतव्य झोनमधील इंटरफेससाठी एकाधिक IP पत्ते नियुक्त केले असल्यास हे फील्ड आवश्यक आहे. तुम्ही हे फील्ड रिकामे सोडल्यास, सिस्टीम डेस्टिनेशन झोन इंटरफेसला नियुक्त केलेल्या उपलब्ध IP पत्त्यांच्या सूचीमधून यादृच्छिक पत्ता वापरेल. फायरवॉल कार्यप्रदर्शन सुधारण्यासाठी युजरगेट SNAT IP निर्दिष्ट करण्याची शिफारस करते.

उदाहरणार्थ, मी “पोर्ट-फॉरवर्डिंग” नियम वापरून “DMZ” झोनमध्ये असलेल्या Windows सर्व्हरची SSH सेवा प्रकाशित करेन. हे करण्यासाठी, “जोडा” बटणावर क्लिक करा आणि “सामान्य” टॅब भरा, “SSH to Windows” या नियमाचे नाव आणि “पोर्ट फॉरवर्डिंग” टाइप करा:

"स्रोत" टॅबवर, "अविश्वसनीय" झोन निवडा आणि "पोर्ट फॉरवर्डिंग" टॅबवर जा. येथे आपण प्रोटोकॉल "TCP" निर्दिष्ट करणे आवश्यक आहे (चार पर्याय उपलब्ध आहेत - TCP, UDP, SMTP, SMTPS). मूळ गंतव्य पोर्ट 9922 — पोर्ट नंबर ज्यावर वापरकर्ते विनंत्या पाठवतात (पोर्ट: 2200, 8001, 4369, 9000-9100 वापरले जाऊ शकत नाहीत). नवीन गंतव्य पोर्ट (22) हा पोर्ट क्रमांक आहे ज्यावर अंतर्गत प्रकाशित सर्व्हरवर वापरकर्त्याच्या विनंत्या अग्रेषित केल्या जातील.

"DNAT" टॅबवर, स्थानिक नेटवर्कवर संगणकाचा ip-पत्ता सेट करा, जो इंटरनेटवर प्रकाशित झाला आहे (192.168.3.2). आणि आपण वैकल्पिकरित्या SNAT सक्षम करू शकता, नंतर UserGate बाह्य नेटवर्कमधील पॅकेटमधील स्त्रोत पत्ता त्याच्या स्वतःच्या IP पत्त्यावर बदलेल.

सर्व सेटिंग्जनंतर, एक नियम प्राप्त होतो जो कनेक्ट करताना बाह्य UserGate पत्ता वापरून SSH प्रोटोकॉलद्वारे 192.168.3.2 ip-address सह सर्व्हरवर “अविश्वसनीय” झोनमधून प्रवेश करण्यास अनुमती देतो.

बँडविड्थ

हा विभाग बँडविड्थ नियंत्रणासाठी नियम परिभाषित करतो. ते विशिष्ट वापरकर्ते, होस्ट, सेवा, अनुप्रयोगांचे चॅनेल प्रतिबंधित करण्यासाठी वापरले जाऊ शकतात.

नियम तयार करताना, टॅबवरील अटी कोणत्या रहदारीवर निर्बंध लागू केले जातात हे निर्धारित करतात. प्रस्तावितमधून बँडविड्थ निवडली जाऊ शकते किंवा तुमची स्वतःची सेट केली जाऊ शकते. बँडविड्थ तयार करताना, तुम्ही DSCP रहदारी प्राधान्य लेबल निर्दिष्ट करू शकता. DSCP लेबले केव्हा लागू केली जातात याचे उदाहरण: हा नियम ज्या परिस्थितीमध्ये लागू केला जातो त्या नियमामध्ये निर्दिष्ट करून, हा नियम आपोआप ही लेबले बदलू शकतो. स्क्रिप्ट कसे कार्य करते याचे आणखी एक उदाहरण: नियम वापरकर्त्यासाठी फक्त तेव्हाच कार्य करेल जेव्हा टोरेंट आढळला किंवा रहदारीचे प्रमाण निर्दिष्ट मर्यादेपेक्षा जास्त असेल. उर्वरित टॅब इतर पॉलिसींप्रमाणेच भरले आहेत, ज्यावर नियम लागू केला जावा अशा रहदारीच्या प्रकारावर आधारित.

निष्कर्ष

या लेखात, मी फायरवॉल, NAT आणि राउटिंग आणि बँडविड्थ विभागांमध्ये नियमांची निर्मिती समाविष्ट केली आहे. आणि लेखाच्या अगदी सुरुवातीस, त्याने UserGate धोरणे तयार करण्याचे नियम तसेच नियम तयार करताना अटींचे तत्त्व वर्णन केले. 

आमच्या चॅनेलमधील अद्यतनांसाठी संपर्कात रहा (तार, फेसबुक, VK, टीएस सोल्यूशन ब्लॉग)!

स्त्रोत: www.habr.com