{"id":90211,"date":"2020-07-30T01:42:13","date_gmt":"2020-07-29T23:42:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn"},"modified":"2020-07-30T01:42:13","modified_gmt":"2020-07-29T23:42:13","slug":"4-ngfw-dlya-malogo-biznesa-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn","title":{"rendered":"4. NGFW dla ma\u0142ych firm. VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"4.
\n<\/p>\n

Kontynuujemy nasz cykl artyku\u0142\u00f3w o NGFW dla ma\u0142ych firm, przypominam, \u017ce omawiamy now\u0105 seri\u0119 modeli 1500. 1 cz\u0119\u015bci<\/a><\/noindex> W tym cyklu wspomnia\u0142em o jednej z najbardziej przydatnych opcji przy zakupie urz\u0105dzenia SMB \u2014 dostarczaniu bramek z wbudowanymi licencjami Mobile Access (od 100 do 200 u\u017cytkownik\u00f3w w zale\u017cno\u015bci od modelu). W niniejszym artykule om\u00f3wimy konfiguracj\u0119 VPN dla bramek serii 1500, kt\u00f3re s\u0105 dostarczane z preinstalowanym systemem Gaia 80.20 Embedded. Oto kr\u00f3tki zarys:<\/p>\n

<\/p>\n

    \n
  1. Mo\u017cliwo\u015bci VPN dla SMB.<\/li>\n
  2. Organizacja dost\u0119pu zdalnego dla ma\u0142ego biura.<\/li>\n
  3. Dost\u0119pne klienci do po\u0142\u0105czenia.<\/li>\n<\/ol>\n

    <\/a><\/noindex><\/p>\n

    1. Mo\u017cliwo\u015bci VPN dla SMB<\/h3>\n

    <\/p>\n

    Aby przygotowa\u0107 dzisiejszy materia\u0142, wykorzystano oficjalny przewodnik administratora<\/a><\/noindex> wersji R80.20.05 (w momencie publikacji artyku\u0142u \u2014 aktualny). Zgodnie z tym, w zakresie VPN w Gaia 80.20 Embedded jest wsparcie:<\/p>\n

    <\/p>\n

      \n
    1. Site-To-Site. Tworzenie tuneli VPN mi\u0119dzy twoimi biurami, gdzie u\u017cytkownicy b\u0119d\u0105 mogli pracowa\u0107 jak w jednej \"lokalnej\" sieci.\n

      \"4.\n<\/li>\n

    2. Remote Access. Zdalny dost\u0119p do zasob\u00f3w twojego biura za pomoc\u0105 urz\u0105dze\u0144 u\u017cytkownik\u00f3w (PC, telefony kom\u00f3rkowe itd.). Dodatkowo dost\u0119pny jest SSL Network Extender, kt\u00f3ry umo\u017cliwia publikacj\u0119 pojedynczych aplikacji i uruchamianie ich za pomoc\u0105 Java Applet, \u0142\u0105cz\u0105c si\u0119 przez SSL. Uwaga:<\/u> nie myli\u0107 z Mobile Access Portal (wsparcie w Gaia Embedded jest niedost\u0119pne).
      \n<\/i>
      \n\"4.\n<\/li>\n<\/ol>\n

      <\/p>\n

      Dodatkowo<\/u><\/b> Zalecam kurs autorstwa TS Solution \u2014 Check Point Remote Access VPN<\/a><\/noindex> omawia on technologie Check Point w zakresie VPN, porusza kwestie licencjonowania oraz zawiera szczeg\u00f3\u0142owe instrukcje dotycz\u0105ce konfiguracji.<\/p>\n

      <\/p>\n

      2. Zdalny dost\u0119p dla ma\u0142ego biura<\/h3>\n

      \nRozpoczniemy organizacj\u0119 zdalnego po\u0142\u0105czenia z twoim biurem:<\/p>\n

        \n
      1. Aby u\u017cytkownicy mogli zbudowa\u0107 tunel VPN z bramk\u0105, musisz mie\u0107 publiczny adres IP. Je\u015bli przeszed\u0142e\u015b ju\u017c przez wst\u0119pn\u0105 konfiguracj\u0119 (2 artyku\u0142<\/a><\/noindex> z cyklu), to zazwyczaj \u2014 External Link jest ju\u017c aktywny. Informacje mo\u017cna uzyska\u0107 przechodz\u0105c na Gaia Portal: Device \u2192 Network \u2192 Internet<\/b>\n

        \"4.
        \n<\/p>\n

        W przypadku, gdy twoja firma korzysta z dynamicznego publicznego adresu IP, mo\u017cesz ustawi\u0107 Dynamic DNS. Przejd\u017a do Device <\/strong>\u2192 DDNS & Device Access<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Na chwil\u0119 obecn\u0105 istnieje wsparcie od dw\u00f3ch dostawc\u00f3w: DynDns i no-ip.com. Aby aktywowa\u0107 opcj\u0119, nale\u017cy wprowadzi\u0107 swoje dane logowania (login, has\u0142o).\n<\/p>\n<\/li>\n

      2. Nast\u0119pnie utworzymy konto u\u017cytkownika, kt\u00f3re b\u0119dzie przydatne do testowania ustawie\u0144: VPN \u2192 Zdalny dost\u0119p \u2192 U\u017cytkownicy zdalnego dost\u0119pu<\/strong>\n

        \"4.
        \n<\/p>\n

        W grupie (na przyk\u0142adzie: remoteaccess) utworzymy u\u017cytkownika, post\u0119puj\u0105c zgodnie z instrukcjami na zrzucie ekranu. Ustawienie konta jest standardowe, wprowadzamy login i has\u0142o, dodatkowo w\u0142\u0105czamy opcj\u0119 uprawnie\u0144 dost\u0119pu zdalnego. \n<\/p>\n

        \"4.
        \n<\/p>\n

        Je\u015bli pomy\u015blnie zastosowa\u0142e\u015b ustawienia, powinny pojawi\u0107 si\u0119 dwa obiekty: lokalny u\u017cytkownik, lokalna grupa u\u017cytkownik\u00f3w.<\/p>\n

        \"4.<\/li>\n

      3. Kolejnym krokiem jest przej\u015bcie do VPN \u2192 Remote Access \u2192 Blade Control. <\/strong>Upewnij si\u0119, \u017ce masz w\u0142\u0105czony blade i zezwolenie na ruch od zdalnych u\u017cytkownik\u00f3w.\n

        \"4. <\/li>\n

      4. *Powy\u017cej przedstawiono minimalny zestaw krok\u00f3w do skonfigurowania dost\u0119pu zdalnego. Zanim jednak przetestujemy po\u0142\u0105czenie, zapoznajmy si\u0119 z dodatkowymi ustawieniami, przechodz\u0105c do zak\u0142adki VPN \u2192 Remote Access \u2192 Advanced <\/strong>\n

        \"4.
        \n<\/p>\n

        Na podstawie bie\u017c\u0105cych ustawie\u0144 widzimy, \u017ce zdalni u\u017cytkownicy po po\u0142\u0105czeniu otrzymaj\u0105 adres IP z sieci 172.16.11.0\/24, dzi\u0119ki opcji trybu biurowego. To w zupe\u0142no\u015bci wystarcza do korzystania z 200 r\u00f3wnoleg\u0142ych licencji (wykazano dla 1590 NGFW Check Point). \n<\/p>\n

        <\/p>\n

        Opcja \u201eRouting ruchu internetowego od pod\u0142\u0105czonych klient\u00f3w przez t\u0119 bram\u0119\u201d<\/i> jest opcjonalne i odpowiada za routowanie ca\u0142ego ruchu od zdalnego u\u017cytkownika przez bram\u0119 (w tym tak\u017ce po\u0142\u0105czenie z Internetem). Umo\u017cliwia to inspekcj\u0119 ruchu u\u017cytkownika i zabezpieczenie jego stacji roboczej przed r\u00f3\u017cnymi zagro\u017ceniami i z\u0142o\u015bliwym oprogramowaniem. \n<\/p>\n<\/li>\n

      5. *Praca z politykami dost\u0119pu dla dost\u0119pu zdalnego \n

        Po skonfigurowaniu dost\u0119pu zdalnego utworzono automatyczn\u0105 regu\u0142\u0119 dost\u0119pu na poziomie zapory, aby j\u0105 zobaczy\u0107, nale\u017cy przej\u015b\u0107 do zak\u0142adki: Access Policy \u2192 Firewall \u2192 Policy <\/strong><\/p>\n

        \n\"4.
        \n<\/p>\n

        W tym przypadku zdalni u\u017cytkownicy nale\u017c\u0105cy do wcze\u015bniej utworzonej grupy b\u0119d\u0105 mieli dost\u0119p do wszystkich wewn\u0119trznych zasob\u00f3w firmy, zauwa\u017c, \u017ce regu\u0142a znajduje si\u0119 w og\u00f3lnym dziale \u201eNadchodz\u0105cy, wewn\u0119trzny i ruch VPN\u201d<\/i>. Aby zezwoli\u0107 na ruch u\u017cytkownik\u00f3w VPN w Internecie, b\u0119dzie konieczne utworzenie oddzielnej regu\u0142y w og\u00f3lnym dziale \u201eOutgoing access to the Internet<\/i>\u201d.<\/p>\n<\/li>\n

      6. \n

        W ko\u0144cu musimy upewni\u0107 si\u0119, \u017ce u\u017cytkownik mo\u017ce pomy\u015blnie utworzy\u0107 tunel VPN do naszej bramy NGFW i uzyska\u0107 dost\u0119p do wewn\u0119trznych zasob\u00f3w firmy. Aby to zrobi\u0107, nale\u017cy zainstalowa\u0107 klienta VPN na testowanym ho\u015bcie, w za\u0142\u0105czeniu mamy link<\/a><\/noindex> do pobrania. Po zainstalowaniu nale\u017cy przeprowadzi\u0107 standardow\u0105 procedur\u0119 dodawania nowej witryny (wprowadza si\u0119 publiczny adres IP twojej bramy). Dla wygody proces przedstawiono w formie GIF.<\/p>\n

        \n\"4.
        \n
        \nGdy po\u0142\u0105czenie jest ju\u017c nawi\u0105zane, sprawdzimy otrzymany adres IP na ho\u015bcie za pomoc\u0105 polecenia w CMD: ipconfig<\/i><\/p>\n

        \"4.
        \n<\/p>\n

        Upewnili\u015bmy si\u0119, \u017ce wirtualny adapter sieciowy otrzyma\u0142 adres IP z trybu Office Mode naszego NGFW, pakiety s\u0105 wysy\u0142ane pomy\u015blnie. Na koniec mo\u017cemy przej\u015b\u0107 do portalu Gaia: VPN \u2192 Zdalny dost\u0119p \u2192 Po\u0142\u0105czeni zdalni u\u017cytkownicy<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        U\u017cytkownik \u201entuser\u201d jest wy\u015bwietlany jako po\u0142\u0105czony, sprawd\u017amy logi zdarze\u0144, przechodz\u0105c do Logi & Monitoring \u2192 Logi bezpiecze\u0144stwa<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Logowanie po\u0142\u0105czenia odbywa si\u0119, jako \u017ar\u00f3d\u0142o pojawia si\u0119 adres IP: 172.16.10.1 \u2014 to adres, kt\u00f3ry nasz u\u017cytkownik otrzyma\u0142 w trybie Office Mode. \n<\/p>\n

        <\/p>\n

        3. Obs\u0142ugiwani klienci dla Zdalnego Dost\u0119pu<\/h3>\n

        <\/p>\n

        Po om\u00f3wieniu procedury konfiguracji zdalnego po\u0142\u0105czenia do biura za pomoc\u0105 rodziny NGFW Check Point SMB, chcia\u0142bym napisa\u0107 o wspieranych klientach dla r\u00f3\u017cnych urz\u0105dze\u0144:<\/p>\n

        <\/p>\n