Witaj, to drugi artykuł dotyczący rozwiązania NGFW od firmy . Celem tego artykułu jest pokazanie, jak zainstalować zaporę ogniową UserGate na systemie wirtualnym (będę używać oprogramowania wirtualizacyjnego VMware Workstation) i przeprowadzić jej wstępną konfigurację (zezwolić na dostęp z sieci lokalnej do internetu przez bramę UserGate).
1. Wprowadzenie
Na początek opiszę różne sposoby wdrożenia tej bramy w sieci. Chcę zauważyć, że w zależności od wybranego sposobu połączenia, określona funkcjonalność bramy może być niedostępna. Rozwiązanie UserGate obsługuje następujące tryby połączenia:
Zaporę ogniową L3-L7
Przezroczysty most L2
Przezroczysty most L3
Wirtualnie w przerwaniu, przy użyciu protokołu WCCP
Wirtualnie w przerwaniu, przy użyciu trasowania opartego na politykach
Router na patyku
Bezpośrednio określony proxy WEB
UserGate jako brama domyślna
Monitorowanie portu Mirror
UserGate obsługuje 2 typy klastrów:
Klaster konfiguracji. Węzły połączone w klaster konfiguracji obsługują wspólne ustawienia w ramach klastra.
Klaster zapewnienia ciągłości działania. Do 4 węzłów klastra konfiguracji można połączyć w klaster zapewnienia ciągłości działania, działający w trybie Aktywny-Aktywny lub Aktywny-Pasywny. Można stworzyć kilka klastrów zapewnienia ciągłości działania.
2. Instalacja
Jak wspomniano w poprzednim artykule, UserGate jest dostarczany w formie kompleksu sprzętowo-programowego lub wdrażany w środowisku wirtualnym. Z osobistego konta na stronie pobieramy obraz w formacie OVF (Open Virtualization Format), który jest odpowiedni dla dostawców VMWare i Oracle VirtualBox. Dla Microsoft Hyper-V i KVM udostępniane są obrazy dysków wirtualnych.
Z danych na stronie UserGate wynika, że do prawidłowego działania wirtualnej maszyny zaleca się użycie minimum 8 GB pamięci RAM i dwu rdzeniowego wirtualnego procesora. Hypervisor musi wspierać 64-bitowe systemy operacyjne.
Instalacja rozpoczyna się od importu obrazu do wybranego hypervisora (VirtualBox i VMWare). W przypadku Microsoft Hyper-V i KVM należy utworzyć wirtualną maszynę i wskazać jako dysk pobrany obraz, a następnie wyłączyć usługi integracji w ustawieniach utworzonej wirtualnej maszyny.
Domyślnie po imporcie do VMware tworzona jest wirtualna maszyna z następującymi ustawieniami:
Jak wspomniano wcześniej, minimalna ilość pamięci RAM powinna wynosić 8 GB, a dodatkowo należy dodać 1 GB na każde 100 użytkowników. Domyślny rozmiar dysku twardego wynosi 100 GB, jednak zazwyczaj to za mało, aby przechować wszystkie dzienniki i ustawienia. Zalecany rozmiar to 300 GB lub więcej. Dlatego w ustawieniach maszyny wirtualnej zmieniamy rozmiar dysku na wymagany. Początkowo wirtualny UserGate UTM dostarczany jest z czterema interfejsami przypisanymi do stref:
Management — pierwszy interfejs maszyny wirtualnej, strefa do podłączenia zaufanych sieci, z których możliwe jest zarządzanie UserGate.
Trusted — drugi interfejs maszyny wirtualnej, strefa do podłączenia zaufanych sieci, na przykład sieci LAN.
Untrusted — trzeci interfejs maszyny wirtualnej, strefa dla interfejsów podłączonych do sieci niezaufanych, na przykład do internetu.
DMZ — czwarty interfejs maszyny wirtualnej, strefa dla interfejsów podłączonych do sieci DMZ.
Następnie uruchamiamy wirtualne maszyny, chociaż w instrukcji napisano, że należy wybrać Support Tools i wykonać Factory reset UTM, jak widzimy, jest tylko jedna opcja (UTM First Boot). W tym kroku UTM konfiguruje karty sieciowe i zwiększa rozmiar partycji na dysku twardym do pełnego rozmiaru dysku:
Aby połączyć się z interfejsem webowym UserGate, należy wejść przez strefę Management, za co odpowiada interfejs eth0, który jest ustawiony na automatyczne pobieranie adresu IP (DHCP). Jeśli nie ma możliwości przypisania adresu dla interfejsu Management w trybie automatycznym za pomocą DHCP, można go jawnie ustawić, korzystając z CLI (Interfejsu Wiersza Poleceń). W tym celu należy zalogować się do CLI, używając nazwy użytkownika i hasła administratora z pełnymi uprawnieniami (domyślnie Admin z wielkiej litery). Jeśli urządzenie UserGate nie przeszło początkowej inicjalizacji, dostęp do CLI można uzyskać, używając nazwy użytkownika Admin i hasła utm. Należy wpisać polecenie podobne do iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. Następnie przechodzimy do konsoli webowej UserGate pod wskazanym adresem, który powinien wyglądać mniej więcej tak:https://UserGateIPaddress:8001:
W konsoli internetowej kontynuujemy instalację, musimy wybrać język interfejsu (obecnie jest to język rosyjski lub angielski), strefę czasową, a następnie przeczytać i zgodzić się na umowę licencyjną. Ustalamy login i hasło do logowania się w interfejsie zarządzania.
3. Konfiguracja
Po instalacji okno interfejsu zarządzania wygląda następująco:
Następnie należy skonfigurować interfejsy sieciowe. W tym celu w sekcji „Interfejsy” trzeba je włączyć, ustawić prawidłowe adresy IP i przypisać odpowiednie strefy.
Sekcja „Interfejsy” wyświetla wszystkie fizyczne i wirtualne interfejsy dostępne w systemie, umożliwia zmianę ich ustawień oraz dodawanie interfejsów VLAN. Pokazuje również wszystkie interfejsy każdego węzła klastra. Ustawienia interfejsów są specyficzne dla każdego z węzłów, więc nie są globalne.
W właściwościach interfejsu:
Włączyć lub wyłączyć interfejs
Określić typ interfejsu — Warstwa 3 lub Mirror
Przypisać strefę do interfejsu
Przypisać profil Netflow do przesyłania danych statystycznych do kolektora Netflow
Zmienić fizyczne parametry interfejsu — adres MAC i rozmiar MTU
Wybierać typ przypisania adresu IP — brak adresu, statyczny adres IP lub uzyskany przez DHCP
Skonfigurować działanie relaya DHCP na wybranym interfejsie.
Przycisk „Dodaj” umożliwia dodanie następujących typów logicznych interfejsów:
VLAN
Bond
Most
PPPoE
VPN
Tunel
Oprócz wcześniej wymienionych stref, które są dostarczane z obrazem Usergate, istnieją jeszcze trzy typy zdefiniowane z góry:
Cluster — strefa dla interfejsów używanych do pracy klastra
VPN dla Site-to-Site — strefa, do której trafiają wszyscy klienci typu Office-Office, łączący się z UserGate przez VPN
VPN dla dostępu zdalnego — strefa, do której trafiają wszyscy mobilni użytkownicy, łączący się z UserGate przez VPN
Administratorzy UserGate mogą zmieniać ustawienia stref utworzonych domyślnie, a także tworzyć dodatkowe strefy, ale jak wskazano w przewodniku do wersji 5, można utworzyć nie więcej niż 15 stref. Aby je zmienić lub utworzyć, należy przejść do sekcji strefy. Dla każdej strefy można ustalić próg odrzucania pakietów, wspierane są SYN, UDP, ICMP. Można również skonfigurować kontrolę dostępu do usług Usergate oraz włączyć ochronę przed spoofingiem.
Po skonfigurowaniu interfejsów należy w sekcji „Bramy” ustawić trasę domyślną. Tzn. aby połączyć UserGate z Internetem, konieczne jest wskazanie adresu IP jednej lub kilku bram. Jeśli do połączenia z Internetem używane jest kilku dostawców, należy wskazać kilka bram. Konfiguracja bramy jest unikalna dla każdego węzła klastra. Jeśli podano dwie lub więcej bram, istnieją dwa warianty pracy:
Balansowanie ruchu między bramami.
Główna brama z przełączeniem na zapasową.
Stan bramy (dostępna – zielona, niedostępna – czerwona) określa się w następujący sposób:
Sprawdzenie sieci jest wyłączone – brama uznawana jest za dostępną, jeśli UserGate może uzyskać jej adres MAC za pomocą żądania ARP. Sprawdzenie dostępności Internetu przez tę bramę nie jest przeprowadzane. Jeśli adres MAC bramy nie może być określony, brama uznawana jest za niedostępną.
Sprawdzenie sieci jest włączone – brama uznawana jest za dostępną, jeśli:
UserGate może uzyskać jej adres MAC za pomocą żądania ARP.
Sprawdzenie dostępności Internetu przez tę bramę zakończyło się sukcesem.
W przeciwnym razie brama uznawana jest za niedostępną.
W sekcji „DNS” należy dodać serwery DNS, które będzie używać UserGate. Ta konfiguracja określana jest w obszarze Systemowe serwery DNS. Poniżej znajdują się ustawienia dotyczące zarządzania zapytaniami DNS od użytkowników. UserGate pozwala na używanie serwera proxy DNS. Usługa proxy DNS umożliwia przechwytywanie zapytań DNS od użytkowników i ich modyfikację w zależności od potrzeb administratora. Za pomocą reguł proxy DNS można określić serwery DNS, do których przekazywane są zapytania do określonych domen. Ponadto za pomocą proxy DNS można ustawić statyczne rekordy typu host (rekord A).
W sekcji „NAT i Routing” należy utworzyć wymagane reguły NAT. Dla dostępu do internetu użytkowników sieci Trusted reguła NAT została już utworzona — „Trusted—>Untrusted”, pozostaje ją tylko włączyć. Reguły stosowane są od góry do dołu w takiej kolejności, w jakiej są wskazane w konsoli. Zawsze wykonywana jest tylko pierwsza reguła, dla której zgadzają się warunki określone w regule. Aby reguła mogła zadziałać, muszą zgadzać się wszystkie warunki określone w parametrach reguły. UserGate zaleca tworzenie ogólnych reguł NAT, na przykład reguły NAT z lokalnej sieci (zwykle strefa Trusted) do internetu (zwykle strefa Untrusted), a różnicowanie dostępu na podstawie użytkowników, usług, aplikacji należy realizować za pomocą reguł zapory sieciowej.
Istnieje również możliwość utworzenia reguł DNAT, port forwarding, routing opartej na politykach, mapowanie sieci.
Następnie w sekcji „Zapora sieciowa” należy utworzyć reguły zapory sieciowej. Dla nieograniczonego dostępu do internetu użytkowników sieci Trusted reguła zapory sieciowej została również już utworzona — „Internet dla Trusted” i należy ją włączyć. Dzięki regułom zapory sieciowej administrator może zezwolić na lub zabronić dowolnego typu tranzytowego ruchu sieciowego przechodzącego przez UserGate. Warunkami reguły mogą być strefy oraz adresy IP źródła/przeznaczenia, użytkownicy i grupy, usługi oraz aplikacje. Reguły są stosowane tak samo jak w sekcji „NAT i Routing”, tzn. od góry do dołu. Jeśli nie utworzono żadnej reguły, wszelki tranzytowy ruch przez UserGate jest zabroniony.
4. Podsumowanie
W ten sposób artykuł dobiegł końca. Zainstalowaliśmy zaporę sieciową UserGate na maszynie wirtualnej i wykonaliśmy minimalne niezbędne ustawienia, aby internet działał w sieci Trusted. Dalsze ustawienia omówimy w ramach następnych artykułów.
Śledź aktualizacje na naszych kanałach (, , , )!
Źródło: habr.com
