Continuamos a série de artigos sobre o novo modelo da linha SMB CheckPoint, lembrando que em descrevemos as características e possibilidades dos novos modelos, formas de gerenciamento e administração. Hoje, vamos analisar o cenário de implantação do modelo mais avançado da série: CheckPoint 1590 NGFW. Apresentamos um resumo desta parte:
- Desembalagem do equipamento (descrição dos componentes, conexão física e de rede).
- Inicialização do dispositivo.
- Configuração inicial.
- Avaliação da funcionalidade.
Desembalagem do equipamento
O familiarização com o equipamento começa com a retirada do equipamento da caixa, a análise dos componentes e a instalação das peças, clique no spoiler, onde o processo é apresentado de forma resumida.
Entrega do NGFW 1590
Breve descrição dos componentes:
- NGFW 1590;
- Adaptador de energia;
- 2 Antenas Wifi (2.4 GHz e 5 GHz);
- 2 antenas LTE;
- Folhetos com documentação (guia rápido para conexão inicial, contrato de licença, etc.)
No que diz respeito às portas e interfaces de rede, todas as opções modernas para transmissão de tráfego e interação estão presentes, com destaque para a porta da zona DMZ, USB 3.0 para sincronização com o PC.
A versão 1590 recebeu um design atualizado, opções modernas para conexões sem fio e expansão de memória: 2 slots para trabalhar com Micro/Nano SIM no modo LTE. (sobre esta opção planejamos escrever em detalhe em um dos nossos próximos artigos da série dedicada a conexões sem fio); slot para cartão SD.
Você pode ler detalhadamente sobre as capacidades do 1590 NGFW e outros novos modelos em da série de artigos sobre soluções SMB CheckPoint. Agora, vamos começar a inicialização do dispositivo.
Inicialização do dispositivo
Nossos leitores habituais devem estar cientes de que na linha 1500 da série SMB é utilizada um novo sistema operacional 80.20 Embedded, que inclui uma interface atualizada e recursos aprimorados.
Para iniciar a inicialização do dispositivo, é necessário:
- Fornecer energia para o gateway.
- Conectar o cabo de rede do seu PC na LAN-1 no gateway.
- Opcionalmente, pode-se garantir imediatamente ao dispositivo o acesso à internet, conectando a interface na porta WAN.
- Acesse o portal Gaia Embedded:
Se você seguiu os passos mencionados anteriormente, ao acessar a página do portal Gaia, será necessário confirmar a abertura da página com um certificado não confiável, após o que o assistente de configuração do portal será iniciado:
Você será recebido por uma página informando o modelo do seu dispositivo, e precisará avançar para a próxima seção:
Seremos convidados a criar uma conta para autenticação, havendo a opção de especificar requisitos elevados para a senha do administrador, indicando o país onde o gateway será utilizado.
A próxima janela refere-se às configurações de data e hora, onde você pode definir manualmente ou usar um servidor NTP da empresa.
O próximo passo envolve atribuir um nome ao dispositivo e especificar o domínio da empresa para o funcionamento correto dos serviços do gateway na Internet.
O próximo passo diz respeito à escolha do tipo de gerenciamento NGFW, onde é importante notar:
- Gerenciamento Local. Esta é uma opção disponível para o gerenciamento local do gateway através da página web do Gaia Portal.
- Gerenciamento Central. Este tipo de gerenciamento inclui sincronização com um servidor de gerenciamento dedicado da CheckPoint, sincronização com a nuvem Smart1-Cloud ou com o SMP (serviço de gerenciamento para SMB).
Neste artigo, vamos nos concentrar na opção de gerenciamento Local Management, mas você pode optar pelo método que for necessário. Para conhecer o processo de sincronização com um servidor de gerenciamento dedicado, recomenda-se o ciclo de aprendizado CheckPoint Getting Started, elaborado pela empresa TS Solution.
A seguir, será apresentada uma janela definindo o modo de operação das interfaces do gateway:
- O Modo Switch implica na disponibilidade da sub-rede de uma interface para a sub-rede de outra interface.
- O modo Disable Switch, por sua vez, desabilita o modo Switch; cada porta roteia o tráfego como um segmento separado da rede.
Também é possível definir um pool de endereços DHCP que serão utilizados ao conectar-se às interfaces locais do gateway.
O próximo passo é configurar o funcionamento do gateway em modo sem fio; planejamos abordar esse aspecto mais detalhadamente em um dos artigos da série, portanto, adiamos a configuração. Você pode criar um novo ponto de acesso sem fio, definir uma senha para conexão a ele e determinar o modo de operação do canal sem fio (2.4 GHz ou 5 GHz).
A seguir, será proposta uma etapa para configurar o acesso ao gateway para administradores da empresa. Por padrão, os direitos de acesso são permitidos se a conexão for feita a partir de:
- A sub-rede interna da empresa
- Uma rede sem fio confiável
- Um túnel VPN
A opção de conectar ao gateway pela Internet está desativada por padrão, pois isso implica grandes riscos e deve ser justificada para ser habilitada; caso contrário, recomenda-se mantê-la como em nosso exemplo. Também há a possibilidade de especificar quais endereços IP serão permitidos para conexão ao gateway.
A próxima janela diz respeito à ativação de licenças; ao inicializar o dispositivo pela primeira vez, você terá um período de teste de 30 dias. Existem duas formas disponíveis de ativação:
- Se houver conexão à Internet, a licença é ativada automaticamente.
- Se você ativar a licença offline, deve fazer o seguinte: baixar a licença do UserCenter e registrar seu dispositivo em um . Em seguida, para ambos os casos, você precisará importar manualmente a licença carregada.
Finalmente, a última janela do assistente de configuração oferece a opção de escolher os blades a serem ativados; cabe ressaltar que o blade QOS é habilitado apenas após a inicialização. No final, você deve obter uma janela de conclusão que resume suas configurações.
Configuração inicial
Primeiramente, recomendamos verificar o estado das licenças, pois a configuração futura dependerá disso. Acesse a aba “HOME” → “License”:
Se as licenças estiverem ativadas, é recomendável atualizar imediatamente para a versão mais recente do firmware; para isso, vá para a aba “DEVICE” → “System Operations”:
As atualizações do sistema estão na seção Firmware Upgrade. Em nosso caso, a versão do firmware instalada é a mais recente.
Agora, vou apresentar brevemente as funcionalidades e configurações dos blades do sistema. Esses podem ser logicamente divididos em políticas de nível Access (Firewall, Controle de Aplicações, Filtragem de URLs) e Prevenção de Ameaças (IPS, Antivírus, Anti-Bot, Emulação de Ameaças).
Vamos para a aba Access Policy → Blade Control:
Por padrão, é utilizado o modo STANDARD, que permite: tráfego de saída para a Internet, tráfego dentro da rede local, mas bloqueia o tráfego de entrada da Internet.
No que diz respeito aos blades APPLICATIONS & URL FILTERING, a bloqueio de sites com alto nível de risco e o bloqueio de aplicativos de compartilhamento (Torrent, File Storage, etc.) estão ativados por padrão. Além disso, é possível bloquear manualmente categorias de sites.
Destacamos a opção para tráfego personalizado “Limitar aplicativos que consomem largura de banda” com a possibilidade de restringir a velocidade de tráfego de saída/entrada para grupos de aplicativos.
A seguir, abriremos a subseção Policy, onde as regras são geradas automaticamente de acordo com as configurações descritas anteriormente.
A subseção NAT opera por padrão no Global Hide Nat Automatic, ou seja, todos os hosts internos terão acesso à Internet através de um endereço IP público. É possível definir regras NAT manualmente para publicar suas aplicações web ou serviços.
Em seguida, o capítulo que se refere à Autenticação de usuários na rede, são oferecidas duas opções: Active Directory Queries (integração com seu AD), Browser-Based Authentication (o usuário insere suas credenciais de domínio no portal).
Vale a pena mencionar a inspeção de SSL, a proporção do tráfego HTTPS geral na rede global está crescendo ativamente. Vamos ver quais possibilidades o CheckPoint oferece para soluções SMB, para isso precisamos acessar a seção SSL-Inspection → Policy:
Nas configurações, há a possibilidade de inspecionar o tráfego HTTPS, será necessário importar um certificado e instalá-lo no centro de certificados confiáveis nas máquinas dos usuários finais.
Consideramos útil a opção de modo BYPASS para categorias predefinidas, que economiza tempo significativamente ao habilitar a inspeção.
Após configurar as regras no nível de Firewall / Application, devemos proceder ao ajuste das políticas de segurança (Threat Prevention), para isso, acesse a seção correspondente:
Na página aberta, vemos os blades ativados, os status das atualizações de assinaturas e bases. Também nos é oferecida a escolha de um perfil para proteger o perímetro da rede, exibindo as configurações correspondentes.
Uma seção separada chamada “IPS Protections” permite configurar ações para uma determinada assinatura de segurança.
Recentemente, escrevemos em nosso blog para Windows Server — SigRed. Vamos verificar sua presença no Gaia Embedded 80.20, inserindo a consulta “CVE-2020-1350”
Foi detectada uma entrada para esta assinatura, à qual uma das ações pode ser aplicada. (por padrão, Prevenir para o nível de perigo — Crítico). Portanto, com uma solução SMB, você não ficará sem atualizações e suporte, pois é uma solução NGFW completa para escritórios filiais com até 200 pessoas da CheckPoint.
Avaliação de desempenho
Ao concluir o artigo, gostaria de destacar a presença de ferramentas para solucionar problemas após a inicialização e configuração da solução SMB. Você pode acessar a seção “HOME” → “Tools”. Opções disponíveis:
- monitoramento de recursos do sistema;
- tabela de roteamento;
- verificação da disponibilidade dos serviços em nuvem da CheckPoint;
- geração de CPinfo;
Também estão disponíveis comandos de rede integrados: Ping, Traceroute, Captura de Tráfego.
Assim, hoje examinamos e exploramos a conexão inicial e a configuração do NGFW 1590; ações semelhantes serão realizadas para toda a linha da série 1500 SMB da Checkpoint. As opções disponíveis nos mostraram alta variabilidade nas configurações, suportando métodos modernos de proteção de tráfego na borda da rede.
Atualmente, as soluções da CheckPoint para proteção de pequenos escritórios e filiais (até 200 pessoas) possuem um amplo conjunto de ferramentas e utilizam as tecnologias mais recentes (gerenciamento em nuvem, suporte a cartões SIM, expansão de memória com cartões SD, etc.). Continue acompanhando e lendo artigos da TS Solution, planejamos publicar mais partes sobre o NGFW da CheckPoint da família SMB, até a próxima!
. Fique de olho nas atualizações (, , , , ).
Fonte: habr.com
