{"id":90211,"date":"2020-07-30T01:42:13","date_gmt":"2020-07-29T23:42:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn"},"modified":"2020-07-30T01:42:13","modified_gmt":"2020-07-29T23:42:13","slug":"4-ngfw-dlya-malogo-biznesa-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn","title":{"rendered":"Canary Deployment em Kubernetes #1: Gitlab CI","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Canary
\n<\/p>\n

Continuamos nosso ciclo de artigos sobre NGFW para pequenas empresas; lembro que estamos analisando a nova linha de modelos da s\u00e9rie 1500. No 1\u00aa parte<\/a><\/noindex> do ciclo, mencionei uma das op\u00e7\u00f5es mais \u00fateis ao comprar um dispositivo SMB \u2014 fornecimento de gateways com licen\u00e7as integradas de Acesso M\u00f3vel (de 100 a 200 usu\u00e1rios, dependendo do modelo). Neste artigo, iremos explorar a configura\u00e7\u00e3o de VPN para os gateways da s\u00e9rie 1500, que v\u00eam com Gaia 80.20 Embedded pr\u00e9-instalado. Aqui est\u00e1 um resumo:<\/p>\n

<\/p>\n

    \n
  1. Recursos de VPN para SMB.<\/li>\n
  2. Organiza\u00e7\u00e3o de Acesso Remoto para pequenos escrit\u00f3rios.<\/li>\n
  3. Clientes dispon\u00edveis para conex\u00e3o.<\/li>\n<\/ol>\n

    <\/a><\/noindex><\/p>\n

    1. Recursos de VPN para SMB<\/h3>\n

    <\/p>\n

    Para preparar o material de hoje, foi utilizado o guia oficial do administrador<\/a><\/noindex> da vers\u00e3o R80.20.05 (no momento da publica\u00e7\u00e3o do artigo \u2014 atual). Portanto, no que diz respeito \u00e0 VPN com a Gaia 80.20 Embedded, h\u00e1 suporte para:<\/p>\n

    <\/p>\n

      \n
    1. Site-To-Site. Cria\u00e7\u00e3o de t\u00faneis VPN entre seus escrit\u00f3rios, onde os usu\u00e1rios poder\u00e3o trabalhar como se estivessem em uma \u00fanica rede \u201clocal\u201d.\n

      \"Canary\n<\/li>\n

    2. Acesso Remoto. Conex\u00e3o remota aos recursos do seu escrit\u00f3rio usando dispositivos finais dos usu\u00e1rios (PCs, telefones m\u00f3veis, etc.). Al\u00e9m disso, h\u00e1 o SSL Network Extender, que permite publicar aplicativos individuais e execut\u00e1-los com Java Applet, conectando-se via SSL. Nota:<\/u> n\u00e3o confundir com o Mobile Access Portal (suporte na Gaia Embedded n\u00e3o est\u00e1 dispon\u00edvel).
      \n<\/i>
      \n\"Canary\n<\/li>\n<\/ol>\n

      <\/p>\n

      Al\u00e9m disso<\/u><\/b> recomendo fortemente o curso do TS Solution \u2014 Check Point Remote Access VPN<\/a><\/noindex> ele revela as tecnologias da Check Point em rela\u00e7\u00e3o \u00e0 VPN, aborda quest\u00f5es de licenciamento e cont\u00e9m instru\u00e7\u00f5es detalhadas de configura\u00e7\u00e3o.<\/p>\n

      <\/p>\n

      2. Acesso Remoto para pequenos escrit\u00f3rios<\/h3>\n

      \nVamos come\u00e7ar a organizar a conex\u00e3o remota com seu escrit\u00f3rio:<\/p>\n

        \n
      1. Para que os usu\u00e1rios possam construir um t\u00fanel VPN com o gateway, \u00e9 necess\u00e1rio ter um endere\u00e7o IP p\u00fablico. Se voc\u00ea j\u00e1 passou pela configura\u00e7\u00e3o inicial (2 artigos<\/a><\/noindex> da s\u00e9rie), geralmente \u2014 o External Link j\u00e1 est\u00e1 ativo. Voc\u00ea pode obter essa informa\u00e7\u00e3o acessando o Gaia Portal: Device \u2192 Network \u2192 Internet<\/b>\n

        \"Canary
        \n<\/p>\n

        Caso sua empresa utilize um endere\u00e7o IP p\u00fablico din\u00e2mico, voc\u00ea pode configurar o Dynamic DNS. V\u00e1 para Device <\/strong>\u2192 DDNS & Device Access<\/strong>\n<\/p>\n

        \"Canary
        \n<\/p>\n

        Atualmente, h\u00e1 suporte de dois provedores: DynDns e no-ip.com. Para ativar a op\u00e7\u00e3o, \u00e9 necess\u00e1rio inserir suas credenciais (login e senha).\n<\/p>\n<\/li>\n

      2. Em seguida, criaremos uma conta de usu\u00e1rio, que ser\u00e1 \u00fatil para testar as configura\u00e7\u00f5es: VPN \u2192 Remote Access \u2192 Remote Access Users<\/strong>\n

        \"Canary
        \n<\/p>\n

        No grupo (exemplo: remoteaccess), criaremos um usu\u00e1rio seguindo as instru\u00e7\u00f5es na captura de tela. A configura\u00e7\u00e3o da conta \u00e9 padr\u00e3o, definimos o login e a senha, al\u00e9m de ativar a op\u00e7\u00e3o Remote Access permissions. \n<\/p>\n

        \"Canary
        \n<\/p>\n

        Se voc\u00ea aplicou as configura\u00e7\u00f5es com sucesso, devem aparecer dois objetos: um usu\u00e1rio local e um grupo local de usu\u00e1rios.<\/p>\n

        \"Canary<\/li>\n

      3. O pr\u00f3ximo passo \u00e9 ir para VPN \u2192 Remote Access \u2192 Blade Control. <\/strong>Certifique-se de que o blade est\u00e1 ativado e o tr\u00e1fego de usu\u00e1rios remotos est\u00e1 permitido.\n

        \"Canary <\/li>\n

      4. *Acima foi apresentado o conjunto m\u00ednimo de passos para configurar o Remote Access. Mas antes de testarmos a conex\u00e3o, vamos explorar as configura\u00e7\u00f5es adicionais acessando a aba VPN \u2192 Remote Access \u2192 Advanced <\/strong>\n

        \"Canary
        \n<\/p>\n

        Com base nas configura\u00e7\u00f5es atuais, vemos que usu\u00e1rios remotos ao se conectarem receber\u00e3o um endere\u00e7o IP da rede 172.16.11.0\/24, gra\u00e7as \u00e0 op\u00e7\u00e3o Office Mode. Isso \u00e9 suficiente para usar 200 licen\u00e7as concorrentes (indicado para 1590 NGFW Check Point). \n<\/p>\n

        <\/p>\n

        Op\u00e7\u00e3o \u00abRoute Internet traffic from connected clients through this gateway\u00bb<\/i> \u00e9 opcional e \u00e9 respons\u00e1vel pela rotea\u00e7\u00e3o de todo o tr\u00e1fego do usu\u00e1rio remoto atrav\u00e9s do gateway (incluindo conex\u00f5es com a Internet). Isso permite inspecionar o tr\u00e1fego do usu\u00e1rio e proteger sua esta\u00e7\u00e3o de trabalho contra diversas amea\u00e7as e malwares. \n<\/p>\n<\/li>\n

      5. *Trabalhando com pol\u00edticas de acesso para Remote Access \n

        Depois que configuramos o Remote Access, uma regra de acesso autom\u00e1tica foi criada no n\u00edvel do Firewall, para visualiz\u00e1-la, voc\u00ea precisa acessar a aba: Access Policy \u2192 Firewall \u2192 Policy <\/strong><\/p>\n

        \n\"Canary
        \n<\/p>\n

        Neste caso, usu\u00e1rios remotos que pertencem ao grupo criado anteriormente poder\u00e3o acessar todos os recursos internos da empresa. Observe que a regra est\u00e1 na se\u00e7\u00e3o geral \u201cIncoming, Internal and VPN traffic\u201d<\/i>. Para permitir o tr\u00e1fego dos usu\u00e1rios VPN na Internet, ser\u00e1 necess\u00e1rio criar uma regra separada na se\u00e7\u00e3o geral \u201cOutgoing access to the Internet<\/i>\u201d.<\/p>\n<\/li>\n

      6. \n

        Finalmente, precisamos garantir que o usu\u00e1rio pode criar com sucesso um t\u00fanel VPN at\u00e9 o nosso gateway NGFW e acessar os recursos internos da empresa. Para isso, \u00e9 necess\u00e1rio instalar o cliente VPN no host de teste; anexo um link link<\/a><\/noindex> para download. Ap\u00f3s a instala\u00e7\u00e3o, ser\u00e1 necess\u00e1rio seguir o procedimento padr\u00e3o para adicionar um novo site (o endere\u00e7o IP p\u00fablico do seu gateway deve ser informado). Para facilitar, o processo \u00e9 apresentado em formato GIF.<\/p>\n

        \n\"Canary
        \n
        \nUma vez estabelecida a conex\u00e3o, vamos verificar o endere\u00e7o IP obtido na m\u00e1quina host usando o comando no CMD: ipconfig<\/i><\/p>\n

        \"Canary
        \n<\/p>\n

        Confirmamos que o adaptador de rede virtual recebeu um endere\u00e7o IP do Modo Office do nosso NGFW, e os pacotes est\u00e3o sendo enviados com sucesso. Para finalizar, podemos acessar o Gaia Portal: VPN \u2192 Acesso Remoto \u2192 Usu\u00e1rios Remotos Conectados<\/strong>\n<\/p>\n

        \"Canary
        \n<\/p>\n

        O usu\u00e1rio \u201cntuser\u201d aparece como conectado, vamos verificar o registro de eventos, acessando Logs & Monitoring \u2192 Logs de Seguran\u00e7a<\/strong>\n<\/p>\n

        \"Canary
        \n<\/p>\n

        O registro da conex\u00e3o est\u00e1 ocorrendo, com o seguinte endere\u00e7o IP como origem: 172.16.10.1 \u2014 este \u00e9 o endere\u00e7o obtido pelo nosso usu\u00e1rio atrav\u00e9s do modo Office. \n<\/p>\n

        <\/p>\n

        3. Clientes suportados para Acesso Remoto<\/h3>\n

        <\/p>\n

        Depois de revisar o procedimento de configura\u00e7\u00e3o da conex\u00e3o remota ao seu escrit\u00f3rio utilizando o NGFW Check Point da linha SMB, gostaria de abordar o suporte a clientes para diversos dispositivos:<\/p>\n

        <\/p>\n