Witam czytelników w trzecim artykule cyklu artykułów UserGate Getting Started, w którym omawiane jest rozwiązanie NGFW firmy . W poprzednim artykule opisano proces instalacji zapory sieciowej oraz wstępną konfigurację. Teraz przyjrzymy się bliżej tworzeniu reguł w sekcjach takich jak „Zapora”, „NAT i routowanie” oraz „Przepustowość”.
Ideologia działania reguł UserGate polega na tym, że reguły są wykonywane od góry do dołu, do pierwszej, która zostanie spełniona. Z tego wynika, że bardziej szczegółowe reguły powinny znajdować się powyżej bardziej ogólnych. Należy jednak zauważyć, że ponieważ reguły są sprawdzane w kolejności, w aspekcie wydajności lepiej jest tworzyć ogólne reguły. Warunki przy tworzeniu dowolnej reguły są stosowane zgodnie z logiką „I”. Jeśli potrzebna jest logika „LUB”, można to osiągnąć przez stworzenie kilku reguł. Tak więc opisane w tym artykule odnosi się również do innych polityk UserGate.
Zapora
Po zainstalowaniu UserGate w sekcji „Zapora” znajduje się już prosta polityka. Pierwsze dwa reguły blokują ruch dla botnetów. Następnie znajdują się przykłady reguł dostępu z różnych stref. Ostatnia reguła zawsze nazywa się „Zablokuj wszystko” i jest oznaczona symbolem kłódki (oznacza to, że reguły nie można usunąć, zmienić, przenieść ani wyłączyć, jedynie można włączyć opcję rejestrowania). W ten sposób z powodu tej reguły cały wyraźnie niedozwolony ruch będzie blokowany przez ostatnią regułę. Jeśli trzeba zezwolić na cały ruch przez UserGate (chociaż zdecydowanie się to odradza), zawsze można utworzyć przedostatnią regułę „Zezwól na wszystko”.
Podczas edytowania lub tworzenia reguły dla zapory pierwsza zakładka „Ogólne”, należy wykonać następujące czynności:
Za pomocą pola wyboru „Włącz” włączyć lub wyłączyć regułę.
wprowadzić nazwę reguły.
ustalić opis reguły.
wybrać z dwóch działań:
Zabroń — blokuje ruch (przy ustaleniu tego warunku istnieje możliwość wysłania komunikatu ICMP host unreachable, wystarczy zaznaczyć odpowiednie pole wyboru).
Zezwól — zezwala na ruch.
Punkt scenariusza — umożliwia wybór scenariusza, który jest dodatkowym warunkiem do uruchomienia reguły. W ten sposób firma UserGate wdraża koncepcję SOAR (Security Orchestration, Automation and Response).
Rejestrowanie — zapisanie do dziennika informacji o ruchu w momencie uruchomienia reguły. Możliwe opcje:
Rejestrować początek sesji. W tym przypadku do dziennika ruchu będzie zapisywana tylko informacja o początku sesji (pierwsza paczka). To zalecana opcja rejestrowania.
Rejestrować każdą paczkę. W tym przypadku będzie rejestrowana informacja o każdej przesyłanej paczce sieciowej. Dla tego trybu zaleca się włączenie limitu rejestrowania, aby zapobiec dużemu obciążeniu urządzenia.
Zastosować regułę do:
Wszystkich paczek
do paczek fragmentowanych
do paczek niefragmentowanych
Podczas tworzenia nowej reguły można wybrać miejsce w polityce.
Następna zakładka ‘Źródło’. Tutaj wskazujemy źródło ruchu, może to być strefa, z której pochodzi ruch, lub można wskazać listę lub konkretny adres IP (Geoip). W praktycznie wszystkich regułach, które można ustawić w urządzeniu, obiekt można utworzyć z reguły, na przykład nie przechodząc do sekcji ‘Strefy’, można przyciskiem ‘Utwórz i dodaj nowy obiekt’ stworzyć potrzebną strefę. Często spotyka się również pole wyboru ‘Odwróć’, które zmienia działanie warunku reguły na odwrotne, co odpowiada operacji logicznej negacji. Zakładka ‘Przeznaczenie’ jest podobna do zakładki źródło, tylko zamiast źródła ruchu określamy przeznaczenie ruchu. Zakładka ‘Użytkownicy’ — w tym miejscu można dodać listę użytkowników lub grup, dla których stosuje się tę regułę. Zakładka ‘Usługa’ — wybieramy typ usługi z już zdefiniowanych lub można określić swoją własną. Zakładka ‘Aplikacja’ — tutaj wybierane są konkretne aplikacje lub grupy aplikacji. I zakładka ‘Czas’ określamy czas, kiedy ta reguła jest aktywna.
Z poprzedniej lekcji mamy regułę do wyjścia do internetu z obszaru ‘Trust’, teraz pokażę na przykład, jak utworzyć regułę blokującą dla ruchu ICMP z obszaru ‘Trust’ do obszaru ‘Untrusted’.
Na początek tworzymy regułę, klikając przycisk „Dodaj”. W otwartym oknie na zakładce ogólnej wypełniamy nazwę (Zabraniaj ICMP z zaufanego do niezaufanego), zaznaczamy pole wyboru „Włącz”, wybieramy działanie zabronić i co najważniejsze, prawidłowo wybieramy miejsce umiejscowienia tej reguły. Zgodnie z moją polityką, ta reguła powinna znajdować się powyżej reguły „Zezwalaj z zaufanego do niezaufanego”:
Na zakładce „Źródło” dla mojego zadania są możliwe dwie opcje:
Wybierając strefę „Zaufana”
Wybierając wszystkie strefy oprócz „Zaufanej” i zaznaczając pole wyboru „Odwróć”
Zakładka „Cel” jest konfigurowana analogicznie do zakładki „Źródło”.
Następnie przechodzimy do zakładki „Usługa”, ponieważ w UserGate istnieje predefiniowana usługa dla ruchu ICMP, klikamy przycisk „Dodaj” i wybieramy z proponowanej listy usługę o nazwie „Dowolny ICMP”:
Może to było zamierzone przez twórców UserGate, ale ja mogłem stworzyć kilka całkowicie identycznych reguł. Chociaż będzie wykonywana tylko pierwsza reguła z listy, możliwość stworzenia różnych reguł funkcjonalnych o tych samych nazwach może wywołać zamieszanie przy pracy wielu administratorów urządzenia.
NAT i routowanie
Podczas tworzenia reguł NAT widzimy kilka podobnych zakładek, jak w przypadku zapory sieciowej. Na zakładce „Ogólne” pojawiło się pole „Typ”, które pozwala wybrać, za co będzie odpowiadała ta reguła:
NAT — Translacja adresów sieciowych.
DNAT — Przekierowuje ruch na podany adres IP.
Przekierowanie portów — Przekierowuje ruch na podany adres IP, ale pozwala na zmianę numeru portu publikowanej usługi.
Routowanie oparte na polityce — Pozwala na routowanie pakietów IP na podstawie rozszerzonych informacji, takich jak usługi, adresy MAC lub serwery (adresy IP).
Mapowanie sieci — Pozwala na zamianę adresów IP źródła lub docelowego jednej sieci na inną sieć.
Po wyborze odpowiedniego typu reguły dostępne będą ustawienia dla niej.
W polu SNAT IP (adres zewnętrzny) wyraźnie wskazujemy adres IP, na który zostanie zamieniony adres źródłowy. To pole jest potrzebne w przypadku posiadania kilku adresów IP przypisanych do interfejsów strefy docelowej. Jeśli zostawimy to pole puste, system użyje losowego adresu z listy dostępnych adresów IP przypisanych do interfejsów strefy docelowej. UserGate zaleca wskazanie SNAT IP w celu zwiększenia wydajności działania zapory sieciowej.
Na przykład opublikuję usługę SSH na serwerze Windows znajdującym się w strefie „DMZ” za pomocą reguły „przekierowanie portów”. Aby to zrobić, klikamy przycisk „Dodaj” i wypełniamy zakładkę „Ogólne”, podajemy nazwę reguły „SSH do Windows” i typ „Przekierowanie portów”:
W zakładce „Źródło” wybieramy strefę „Niezaufana” i przechodzimy do zakładki „Przekierowanie portów”. Tutaj musimy wskazać protokół „TCP” (dostępne są cztery opcje – TCP, UDP, SMTP, SMTPS). Oryginalny port docelowy 9922 – numer portu, na który użytkownicy wysyłają zapytania (nie można używać portów: 2200, 8001, 4369, 9000-9100). Nowy port docelowy (22) – numer portu, na który będą przekazywane zapytania użytkowników do wewnętrznego serwera publikowanego.
W zakładce „DNAT” określamy adres IP komputera w sieci lokalnej, który jest publikowany w internecie (192.168.3.2). Opcjonalnie można włączyć SNAT, wtedy UserGate zmieni adres źródłowy w pakietach z sieci zewnętrznej na swój adres IP.
Po wszystkich ustawieniach otrzymujemy regułę, która umożliwia dostęp ze strefy „Niezaufana” do serwera z adresem IP 192.168.3.2 protokołem SSH, używając przy połączeniu zewnętrznego adresu UserGate.
Przepustowość
W tej sekcji określane są reguły dotyczące zarządzania przepustowością. Mogą być używane do ograniczenia pasma dla określonych użytkowników, hostów, usług, aplikacji.
Podczas tworzenia reguły, warunkami na zakładkach definiujemy ruch, do którego są stosowane ograniczenia. Pasmo prędkości można wybrać spośród dostępnych opcji lub określić własne. Przy tworzeniu pasma prędkości można wskazać znacznik priorytetyzacji ruchu DSCP. Przykład zastosowania znaczników DSCP: określając w regule scenariusz, w którym ta reguła ma zastosowanie, może ona automatycznie zmienić te znaczniki. Inny przykład działania scenariusza: reguła zadziała dla użytkownika tylko wtedy, gdy wykryty zostanie torrent lub wielkość ruchu przekroczy określony limit. Pozostałe zakładki wypełniamy tak samo, jak w innych politykach, w zależności od rodzaju ruchu, do którego reguła powinna być zastosowana.
Podsumowanie
W tym artykule omówiłem tworzenie reguł w sekcjach „Zapora sieciowa”, „NAT i routowanie” oraz „Pasmo prędkości”. Na początku artykułu opisałem zasady tworzenia polityk UserGate oraz zasady działania warunków przy tworzeniu reguły.
Śledź aktualizacje na naszych kanałach (, , , )!
Źródło: habr.com
