2. UserGate सुरु गर्दै। आवश्यकताहरू, स्थापना

नमस्कार, यो कम्पनीबाट NGFW समाधानको बारेमा दोस्रो लेख हो UserGate। यस लेखको उद्देश्य भर्चुअल प्रणालीमा UserGate फायरवाल कसरी स्थापना गर्ने भनेर देखाउनु हो (म VMware Workstation भर्चुअलाइजेशन सफ्टवेयर प्रयोग गर्नेछु) र यसको प्रारम्भिक कन्फिगरेसन प्रदर्शन गर्नुहोस् (इन्टरनेटमा UserGate गेटवे मार्फत स्थानीय नेटवर्कबाट पहुँच अनुमति दिनुहोस्)।   

२. परिचय

सुरु गर्न, म नेटवर्कमा यो गेटवे लागू गर्ने विभिन्न तरिकाहरू वर्णन गर्नेछु। म नोट गर्न चाहन्छु कि चयन गरिएको जडान विकल्पको आधारमा, गेटवेको निश्चित कार्यक्षमता उपलब्ध नहुन सक्छ। UserGate समाधान निम्न जडान मोड समर्थन गर्दछ: 

• L3-L7 फायरवाल

• L2 पारदर्शी पुल

• L3 पारदर्शी पुल

• वास्तवमा, WCCP प्रोटोकल प्रयोग गरी खाली ठाउँमा

• वस्तुतः ग्यापमा, नीति आधारित रूटिङ प्रयोग गरेर

• स्टिकमा राउटर

• स्पष्ट रूपमा निर्दिष्ट WEB प्रोक्सी

• UserGate पूर्वनिर्धारित गेटवेको रूपमा

• मिरर पोर्ट निगरानी

UserGate ले २ प्रकारका क्लस्टरहरूलाई समर्थन गर्दछ:

1. क्लस्टर कन्फिगरेसन। कन्फिगरेसन क्लस्टरमा जोडिएका नोडहरूले क्लस्टरभरि एकरूप सेटिङहरू कायम राख्छन्।

2. फेलओभर क्लस्टर। 4 सम्म कन्फिगरेसन क्लस्टर नोडहरू फेलओभर क्लस्टरमा जोड्न सकिन्छ जसले सक्रिय-सक्रिय वा सक्रिय-निष्क्रिय मोडमा सञ्चालनलाई समर्थन गर्दछ। धेरै फेलओभर क्लस्टरहरू जम्मा गर्न सम्भव छ।

2. स्थापना

अघिल्लो लेखमा उल्लेख गरिए अनुसार, UserGate लाई हार्डवेयर र सफ्टवेयर प्याकेजको रूपमा आपूर्ति गरिएको छ वा भर्चुअल वातावरणमा तैनात गरिएको छ। वेबसाइटमा तपाईंको व्यक्तिगत खाताबाट UserGate OVF (ओपन भर्चुअलाइजेसन ढाँचा) मा छवि डाउनलोड गर्नुहोस्, यो ढाँचा VMWare र Oracle Virtualbox विक्रेताहरूको लागि उपयुक्त छ। भर्चुअल मेसिन डिस्क छविहरू Microsoft Hyper-v र KVM को लागि आपूर्ति गरिन्छ।

UserGate वेबसाइटका अनुसार भर्चुअल मेसिन सही तरिकाले सञ्चालन गर्नको लागि, कम्तिमा 8Gb RAM र 2-कोर भर्चुअल प्रोसेसर प्रयोग गर्न सिफारिस गरिन्छ। हाइपरभाइजरले 64-बिट अपरेटिङ सिस्टमलाई समर्थन गर्नुपर्छ।

चयन गरिएको हाइपरभाइजर (VirtualBox र VMWare) मा छवि आयात गरेर स्थापना सुरु हुन्छ। Microsoft Hyper-v र KVM को अवस्थामा, तपाईंले भर्चुअल मेसिन सिर्जना गर्न र डाउनलोड गरिएको छविलाई डिस्कको रूपमा निर्दिष्ट गर्न आवश्यक छ, र त्यसपछि सिर्जना गरिएको भर्चुअल मेसिनको सेटिङहरूमा एकीकरण सेवाहरू असक्षम गर्नुहोस्।

पूर्वनिर्धारित रूपमा, VMWare मा आयात गरेपछि, निम्न सेटिङहरूसँग भर्चुअल मेसिन सिर्जना गरिएको छ:

माथि लेखिएको अनुसार, त्यहाँ कम्तिमा 8Gb RAM हुनुपर्दछ र साथै तपाईंले प्रत्येक 1 प्रयोगकर्ताहरूको लागि 100Gb थप्नुपर्छ। पूर्वनिर्धारित हार्ड ड्राइभ आकार 100Gb हो, तर यो सामान्यतया सबै लग र सेटिङहरू भण्डारण गर्न पर्याप्त हुँदैन। सिफारिस गरिएको आकार 300Gb वा बढी हो। त्यसकारण, भर्चुअल मेसिनको गुणहरूमा, हामी डिस्क साइजलाई इच्छितमा परिवर्तन गर्छौं। प्रारम्भमा, भर्चुअल UserGate UTM क्षेत्रहरूमा तोकिएका चार इन्टरफेसहरूसँग आउँछ:

व्यवस्थापन - भर्चुअल मेसिनको पहिलो इन्टरफेस, विश्वसनीय सञ्जालहरू जडान गर्ने क्षेत्र जसबाट UserGate व्यवस्थापनलाई अनुमति दिइएको छ।

विश्वसनीय भर्चुअल मेसिनको दोस्रो इन्टरफेस हो, विश्वसनीय नेटवर्कहरू जडान गर्ने क्षेत्र, उदाहरणका लागि, LAN नेटवर्कहरू।

अविश्वसनीय भर्चुअल मेसिनको तेस्रो इन्टरफेस हो, अविश्वस्त नेटवर्कहरूमा जडान गरिएका इन्टरफेसहरूको लागि क्षेत्र, उदाहरणका लागि, इन्टरनेटमा।

DMZ भर्चुअल मेसिनको चौथो इन्टरफेस हो, DMZ नेटवर्कमा जडान भएका इन्टरफेसहरूको लागि क्षेत्र।

अर्को, हामी भर्चुअल मेसिन सुरु गर्छौं, यद्यपि म्यानुअलले भन्छ कि तपाईंले समर्थन उपकरणहरू चयन गर्न र फ्याक्ट्री रिसेट UTM प्रदर्शन गर्न आवश्यक छ, तर तपाईंले देख्न सक्नुहुन्छ, त्यहाँ एउटा मात्र विकल्प छ (UTM पहिलो बुट)। यस चरणमा, UTM ले नेटवर्क एडेप्टरहरू कन्फिगर गर्दछ र हार्ड ड्राइभ विभाजनको आकारलाई पूर्ण डिस्क आकारमा बढाउँछ:

UserGate वेब इन्टरफेसमा जडान गर्न, तपाईंले व्यवस्थापन क्षेत्र मार्फत लग इन गर्नुपर्छ; यो eth0 इन्टरफेसको जिम्मेवारी हो, जुन स्वचालित रूपमा IP ठेगाना (DHCP) प्राप्त गर्न कन्फिगर गरिएको छ। यदि DHCP प्रयोग गरेर व्यवस्थापन इन्टरफेसको लागि स्वचालित रूपमा ठेगाना तोक्न सम्भव छैन भने, यसलाई CLI (कमांड लाइन इन्टरफेस) प्रयोग गरेर स्पष्ट रूपमा सेट गर्न सकिन्छ। यो गर्नको लागि, तपाईंले पूर्ण प्रशासक अधिकारहरू (पूर्वनिर्धारित रूपमा क्यापिटल अक्षरको साथ प्रशासक) को साथ प्रयोगकर्ता नाम र पासवर्ड प्रयोग गरेर CLI मा लग इन गर्न आवश्यक छ। यदि UserGate यन्त्रले प्रारम्भिकताबाट गुज्रिएको छैन भने, CLI मा पहुँच गर्नको लागि तपाईले Admin लाई प्रयोगकर्ता नाम र utm को पासवर्डको रूपमा प्रयोग गर्नुपर्छ। र iface config -name eth0 –ipv4 192.168.1.254/24 जस्ता आदेश टाइप गर्नुहोस् - true-mode static सक्षम गर्नुहोस्। पछि हामी निर्दिष्ट ठेगानामा UserGate वेब कन्सोलमा जान्छौं, यो केहि यस्तो देखिनु पर्छ: https://UserGateIPaddress:8001:

वेब कन्सोलमा हामी स्थापना जारी राख्छौं, हामीले इन्टरफेस भाषा चयन गर्न आवश्यक छ (अहिले यो रूसी वा अंग्रेजी हो), समय क्षेत्र, त्यसपछि पढ्नुहोस् र इजाजतपत्र सम्झौतामा सहमत हुनुहोस्। वेब व्यवस्थापन इन्टरफेसमा लगइन गर्न लगइन र पासवर्ड सेट गर्नुहोस्।

3. सेटअप

स्थापना पछि, यो प्लेटफर्म व्यवस्थापन वेब इन्टरफेस विन्डो जस्तो देखिन्छ:

त्यसपछि तपाइँ नेटवर्क इन्टरफेस कन्फिगर गर्न आवश्यक छ। यो गर्नको लागि, "इन्टरफेस" खण्डमा तपाईंले तिनीहरूलाई सक्षम गर्न आवश्यक छ, सही आईपी ठेगानाहरू सेट गर्नुहोस् र उपयुक्त क्षेत्रहरू असाइन गर्नुहोस्।

"इन्टरफेस" खण्डले प्रणालीमा उपलब्ध सबै भौतिक र भर्चुअल इन्टरफेसहरू प्रदर्शन गर्दछ, तपाइँलाई तिनीहरूको सेटिङहरू परिवर्तन गर्न र VLAN इन्टरफेसहरू थप्न अनुमति दिन्छ। यसले प्रत्येक क्लस्टर नोडका सबै इन्टरफेसहरू पनि देखाउँछ। इन्टरफेस सेटिङहरू प्रत्येक नोडको लागि विशिष्ट छन्, त्यो हो, तिनीहरू विश्वव्यापी छैनन्।

इन्टरफेस गुणहरूमा:

• इन्टरफेस सक्षम वा असक्षम गर्नुहोस् 

• इन्टरफेस प्रकार निर्दिष्ट गर्नुहोस् - तह 3 वा मिरर

• इन्टरफेसमा एक क्षेत्र तोक्नुहोस्

• नेटफ्लो कलेक्टरमा तथ्याङ्कीय डेटा पठाउनको लागि नेटफ्लो प्रोफाइल असाइन गर्नुहोस्

• इन्टरफेसको भौतिक प्यारामिटरहरू परिवर्तन गर्नुहोस् - MAC ठेगाना र MTU साइज

• IP ठेगाना असाइनमेन्टको प्रकार चयन गर्नुहोस् - कुनै ठेगाना छैन, स्थिर IP ठेगाना वा DHCP मार्फत प्राप्त गरिएको

• चयन गरिएको इन्टरफेसमा DHCP रिले कन्फिगर गर्नुहोस्।

"थप्नुहोस्" बटनले तपाईंलाई निम्न प्रकारका तार्किक इन्टरफेसहरू थप्न अनुमति दिन्छ:

• VLANs

• बन्ड

• पुल

• PPPoE

• VPN

• सुरुnel

पहिले सूचीबद्ध क्षेत्रहरू बाहेक जुन Usergate छविले पठाउँछ, त्यहाँ तीन थप पूर्वनिर्धारित प्रकारहरू छन्:

क्लस्टर - क्लस्टर सञ्चालनका लागि प्रयोग गरिने इन्टरफेसहरूको लागि क्षेत्र

साइट-टु-साइटका लागि VPN - VPN मार्फत UserGate मा जडान भएका सबै Office-Office ग्राहकहरूलाई राखिएको क्षेत्र।

रिमोट पहुँचको लागि VPN - VPN मार्फत UserGate मा जडान भएका सबै मोबाइल प्रयोगकर्ताहरू समावेश गर्ने क्षेत्र।

UserGate प्रशासकहरूले पूर्वनिर्धारित क्षेत्रहरूको सेटिङहरू परिवर्तन गर्न सक्छन् र थप क्षेत्रहरू पनि सिर्जना गर्न सक्छन्, तर संस्करण 5 म्यानुअलमा भने अनुसार, अधिकतम 15 जोनहरू सिर्जना गर्न सकिन्छ। तिनीहरूलाई परिवर्तन गर्न वा सिर्जना गर्न, तपाईंले क्षेत्र खण्डमा जानुपर्छ। प्रत्येक क्षेत्रको लागि, तपाइँ प्याकेट ड्रप थ्रेसहोल्ड सेट गर्न सक्नुहुन्छ; SYN, UDP, ICMP समर्थित छन्। Usergate सेवाहरूमा पहुँच नियन्त्रण पनि कन्फिगर गरिएको छ, र स्पूफिङ विरुद्ध सुरक्षा सक्षम गरिएको छ।

इन्टरफेसहरू कन्फिगर गरेपछि, तपाईंले "गेटवे" खण्डमा पूर्वनिर्धारित मार्ग कन्फिगर गर्न आवश्यक छ। ती। UserGate लाई इन्टरनेटमा जडान गर्न, तपाईंले एक वा बढी गेटवेहरूको IP ठेगाना निर्दिष्ट गर्नुपर्छ। यदि तपाइँ इन्टरनेटमा जडान गर्न धेरै प्रदायकहरू प्रयोग गर्नुहुन्छ भने, तपाइँले धेरै गेटवेहरू निर्दिष्ट गर्नुपर्छ। प्रत्येक क्लस्टर नोडको लागि गेटवे कन्फिगरेसन अद्वितीय छ। यदि दुई वा बढी गेटवे निर्दिष्ट गरिएको छ भने, 2 विकल्पहरू सम्भव छन्:

1. गेटवे बीच ट्राफिक सन्तुलन।

2. एउटा अतिरिक्तमा स्विच गर्ने मुख्य गेटवे।

गेटवे स्थिति (उपलब्ध - हरियो, अनुपलब्ध - रातो) निम्नानुसार निर्धारण गरिएको छ:

1. नेटवर्क जाँच असक्षम गरिएको छ - यदि UserGate ले ARP अनुरोध प्रयोग गरेर आफ्नो MAC ठेगाना प्राप्त गर्न सक्छ भने गेटवे पहुँचयोग्य मानिन्छ। यस गेटवे मार्फत इन्टरनेट पहुँचको लागि कुनै जाँच छैन। यदि गेटवेको MAC ठेगाना निर्धारण गर्न सकिँदैन भने, गेटवे पहुँचयोग्य मानिन्छ।

2. नेटवर्क जाँच सक्षम छ - गेटवे पहुँचयोग्य मानिन्छ यदि:

• UserGate ले आफ्नो MAC ठेगाना ARP अनुरोध प्रयोग गरेर प्राप्त गर्न सक्छ।

• यस गेटवे मार्फत इन्टरनेट पहुँचको लागि जाँच सफलतापूर्वक सम्पन्न भयो।

अन्यथा, गेटवे अनुपलब्ध मानिन्छ।

"DNS" खण्डमा तपाईंले प्रयोगकर्तागेटले प्रयोग गर्ने DNS सर्भरहरू थप्न आवश्यक छ। यो सेटिङ प्रणाली DNS सर्भर क्षेत्रमा निर्दिष्ट गरिएको छ। प्रयोगकर्ताहरूबाट DNS अनुरोधहरू प्रबन्ध गर्नका लागि तल सेटिङहरू छन्। UserGate ले तपाईंलाई DNS प्रोक्सी प्रयोग गर्न अनुमति दिन्छ। DNS प्रोक्सी सेवाले तपाइँलाई प्रयोगकर्ताहरूबाट DNS अनुरोधहरू रोक्न र प्रशासकको आवश्यकता अनुसार परिवर्तन गर्न अनुमति दिन्छ। DNS प्रोक्सी नियमहरू DNS सर्भरहरू निर्दिष्ट गर्न प्रयोग गर्न सकिन्छ जुन विशेष डोमेनहरूको लागि अनुरोधहरू फर्वार्ड गरिन्छ। थप रूपमा, DNS प्रोक्सी प्रयोग गरेर, तपाइँ होस्ट प्रकार (ए रेकर्ड) को स्थिर रेकर्डहरू सेट गर्न सक्नुहुन्छ।

"NAT र रूटिङ" खण्डमा तपाईंले आवश्यक NAT नियमहरू सिर्जना गर्न आवश्यक छ। विश्वसनीय सञ्जालका प्रयोगकर्ताहरूद्वारा इन्टरनेटमा पहुँचको लागि, NAT नियम पहिले नै सिर्जना गरिएको छ - "विश्वसनीय->अविश्वसनीय", यसलाई सक्षम गर्न बाँकी छ। नियमहरू माथिदेखि तलसम्म लागू हुन्छन् जसरी तिनीहरू कन्सोलमा सूचीबद्ध छन्। केवल पहिलो नियम जसको लागि नियम मिलानमा निर्दिष्ट सर्तहरू सधैं कार्यान्वयन गरिन्छ। नियम ट्रिगर गर्नको लागि, नियम प्यारामिटरहरूमा निर्दिष्ट गरिएका सबै सर्तहरू मिल्नुपर्छ। UserGate ले सामान्य NAT नियमहरू सिर्जना गर्न सिफारिस गर्दछ, उदाहरणका लागि, स्थानीय नेटवर्क (सामान्यतया एक विश्वसनीय क्षेत्र) बाट इन्टरनेटमा NAT नियम (सामान्यतया एक अविश्वसनीय क्षेत्र), र फायरवाल नियमहरू प्रयोग गरेर प्रयोगकर्ताहरू, सेवाहरू र अनुप्रयोगहरू द्वारा पहुँच प्रतिबन्धित।

DNAT नियमहरू, पोर्ट फर्वार्डिङ, नीति-आधारित राउटिङ, नेटवर्क म्यापिङ सिर्जना गर्न पनि सम्भव छ।

यस पछि, "फायरवाल" खण्डमा तपाईंले फायरवाल नियमहरू सिर्जना गर्न आवश्यक छ। विश्वसनीय नेटवर्कका प्रयोगकर्ताहरूको लागि इन्टरनेटमा असीमित पहुँचको लागि, फायरवाल नियम पनि पहिले नै सिर्जना गरिएको छ - "विश्वसनीयका लागि इन्टरनेट" र सक्षम हुनुपर्छ। फायरवाल नियमहरू प्रयोग गरेर, प्रशासकले UserGate मार्फत जाने कुनै पनि प्रकारको ट्रान्जिट नेटवर्क ट्राफिकलाई अनुमति दिन वा अस्वीकार गर्न सक्छ। नियम सर्तहरूले क्षेत्रहरू र स्रोत/गन्तव्य IP ठेगानाहरू, प्रयोगकर्ताहरू र समूहहरू, सेवाहरू र अनुप्रयोगहरू समावेश गर्न सक्छन्। नियमहरू "NAT र रूटिङ" खण्डमा जस्तै लागू हुन्छन्, अर्थात्। माथि देखि तल। यदि कुनै नियमहरू सिर्जना गरिएको छैन भने, त्यसपछि UserGate मार्फत कुनै पनि ट्राफिक ट्राफिक निषेध गरिएको छ।

Con. निष्कर्ष

यो लेख समाप्त हुन्छ। हामीले भर्चुअल मेसिनमा UserGate फायरवाल स्थापना गर्यौं र विश्वसनीय नेटवर्कमा काम गर्न इन्टरनेटको लागि न्यूनतम आवश्यक सेटिङहरू बनायौं। हामी निम्न लेखहरूमा थप कन्फिगरेसन विचार गर्नेछौं।

हाम्रा च्यानलहरूमा अद्यावधिकहरूको लागि सम्पर्कमा रहनुहोस् (तार, फेसबुक, VK, TS समाधान ब्लग)!

स्रोत: www.habr.com