Dobrý deň, toto je druhý článok o NGFW riešení od spoločnosti . Úlohou tohto článku je ukázať, ako nainštalovať firewall UserGate na virtuálny systém (použijem virtualizačný softvér VMware Workstation) a vykonať jeho počiatočné nastavenie (umožniť prístup z lokálnej siete cez bránu UserGate na internet).
1. Úvod
Na začiatok opíšem rôzne spôsoby nasadenia tejto brány do siete. Chcem zdôrazniť, že v závislosti od zvoleného spôsobu pripojenia môže byť určitá funkcionalita brány nedostupná. Riešenie UserGate podporuje nasledujúce režimy pripojenia:
L3-L7 firewall
L2 priehľadný most
L3 priehľadný most
Virtuálne v prerušení, pomocou protokolu WCCP
Virtuálne v prerušení, pomocou Policy Based Routing
Router on a Stick
Explicitne zadaný WEB-proxy
UserGate ako predvolená brána
Sledovanie Mirror-portu
UserGate podporuje 2 typy klastrov:
Klastr konfigurácie. Uzly, ktoré sú združené do klastra konfigurácie, podporujú jednotné nastavenia v rámci klastra.
Klastr odolnosti voči poruchám. Až 4 uzly klastra konfigurácie môžu byť združené do klastra odolnosti voči poruchám, ktorý podporuje prevádzku v režime Aktívne-Aktívne alebo Aktívne-Pasívne. Je možné vytvoriť niekoľko klastrov odolnosti voči poruchám.
2. Inštalácia
Ako bolo uvedené v predchádzajúcom článku, UserGate sa dodáva vo forme softvérovo-hardvérovej súpravy alebo sa nasadzuje vo virtuálnom prostredí. Z osobného účtu na webovej stránke stiahneme obraz vo formáte OVF (Open Virtualization Format), tento formát je vhodný pre dodávateľov VMWare a Oracle Virtualbox. Pre Microsoft Hyper-v a KVM sú dodávané obrazy diskov virtuálneho stroja.
Podľa údajov na stránke UserGate sa na korektnú funkciu virtuálneho stroja odporúča použiť minimálne 8 Gb operačnej pamäte a 2-jadrový virtuálny procesor. Hypervízor musí podporovať prevádzku 64-bitových operačných systémov.
Inštalácia sa začína importovaním obrazu do vybraného hypervízora (VirtualBox a VMWare). V prípade Microsoft Hyper-v a KVM je potrebné vytvoriť virtuálny stroj a zadať stiahnutý obraz ako disk, po čom je potrebné vypnúť integračné služby v nastaveniach vytvoreného virtuálneho stroja.
Predvolene, po importe do VMWare sa vytvorí virtuálny stroj s nasledujúcimi nastaveniami:
Ako bolo uvedené vyššie, operačná pamäť by mala byť minimálne 8 Gb a navyše je potrebné pridať 1 Gb na každých 100 užívateľov. Predvolená veľkosť pevného disku je 100 Gb, avšak to zvyčajne nestačí na uloženie všetkých protokolov a nastavení. Odporúčaná veľkosť je 300 Gb alebo viac. Preto v nastaveniach virtuálneho stroja zmeníme veľkosť disku na požadovanú. Pôvodne virtuálny UserGate UTM je dodávaný so štyrmi rozhraním, ktorým sú priradené zóny:
Management — prvé rozhranie virtuálneho stroja, zóna pre pripojenie dôveryhodných sietí, z ktorých je povolené spravovať UserGate.
Trusted — druhé rozhranie virtuálneho stroja, zóna pre pripojenie dôveryhodných sietí, napríklad LAN sietí.
Untrusted — tretie rozhranie virtuálneho stroja, zóna pre rozhrania pripojené k nedôveryhodným sieťam, napríklad k internetu.
DMZ — štvrté rozhranie virtuálneho stroja, zóna pre rozhrania pripojené k sieti DMZ.
Následne spustíme virtuálny stroj, aj keď v príručke je napísané, že by sme mali vybrať Support Tools a vykonať Factory reset UTM, ale ako vidíme, je tu len jedna možnosť (UTM First Boot). Počas tohto kroku UTM nastaví sieťové adaptéry a zvýši veľkosť oddielu na pevnom disku na celkovú veľkosť disku:
Na pripojenie k webovému rozhraniu UserGate je potrebné prihlásiť sa cez Management zónu, za čo zodpovedá rozhranie eth0, ktoré je nastavené na získavanie IP adresy automaticky (DHCP). Ak nie je možné priradiť adresu pre Management rozhranie automaticky pomocou DHCP, môže sa explicitne zadať pomocou CLI (Command Line Interface). Na to treba vstúpiť do CLI s menom a heslom používateľa s právami Full administrator (predvolene Admin s veľkým písmenom). Ak zariadenie UserGate neprešlo počiatočnou inicializáciou, na prístup k CLI je potrebné použiť meno užívateľa Admin a heslo – utm. A zadať príkaz typu iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. Následne prejdeme do webovej konzoly UserGate na uvedenej adrese, ktorej vzhľad by mal byť približne takýto:https://UserGateIPaddress:8001:
V webovom rozhraní pokračujeme v inštalácii, musíme si vybrať jazyk rozhrania (aktuálne ruštinu alebo angličtinu), časové pásmo, potom si prečítame a súhlasíme s licenčnou zmluvou. Zadáme používateľské meno a heslo na prihlásenie do webového rozhrania správy.
3. Nastavenie
Po inštalácii takto vyzerá okno webového rozhrania správy platformy:
Potom je potrebné nastaviť sieťové rozhrania. Na to je potrebné v sekcii „Rozhrania“ ich aktivovať, nastaviť správne IP adresy a priradiť príslušné zóny.
Sekcia „Rozhrania“ zobrazuje všetky fyzické a virtuálne rozhrania v systéme, umožňuje meniť ich nastavenia a pridávať VLAN rozhrania. Tiež zobrazuje všetky rozhrania každého uzla klastru. Nastavenia rozhraní sú špecifické pre každý z uzlov, teda nie sú globálne.
V parametroch rozhrania:
Aktivovať alebo deaktívovať rozhranie
Určiť typ rozhrania — Layer 3 alebo Mirror
Priradiť zónu k rozhraniu
Priradiť profil Netflow na odosielanie štatistických údajov do Netflow zberného zariadenia
Zmeniť fyzické parametre rozhrania — MAC adresu a veľkosť MTU
Vybrať typ priradenia IP adresy — bez adresy, statická IP adresa alebo získaná cez DHCP
Nastaviť prácu DHCP relé na vybranom rozhraní.
Tlačidlo „Pridať“ umožňuje pridať nasledujúce typy logických rozhraní:
VLAN
Bond
Most
PPPoE
VPN
Tunel
Okrem predtým uvedených zón, s ktorými sa dodáva obraz Usergate, existujú ešte tri typy preddefinovaných:
Cluster — zóna pre rozhrania používané na prácu klastru
VPN for Site-to-Site — zóna, do ktorej sú umiestnení všetci klienti typu Office-Office pripojení k UserGate cez VPN
VPN for remote access — zóna, do ktorej sú umiestnení všetci mobilní používatelia pripojení k UserGate cez VPN
Administrátori UserGate môžu meniť nastavenia zón vytvorených predvolene a tiež vytvárať ďalšie zóny, avšak ako je uvedené v príručke k verzii 5, je možné vytvoriť najviac 15 zón. Na ich zmenu alebo vytvorenie je potrebné prejsť do sekcie zóny. Pre každú zónu je možné nastaviť prah zahodenia paketov, podporuje sa SYN, UDP, ICMP. Taktiež sa nastavuje kontrola prístupu k službám Usergate a zapína sa ochrana pred spoofingom.
Po nastavení rozhraní je nutné v sekci „Brány“ nakonfigurovat výchozí trasu. Tj. pro připojení UserGate k internetu je třeba uvést IP adresu jedné nebo několika bran. Pokud se pro připojení k internetu používá více poskytovatelů, je třeba uvést více bran. Nastavení brány je unikátní pro každou z uzlů clusteru. Pokud je zadáno dvě nebo více bran, jsou možné dva provozní režimy:
Vyvažování provozu mezi bránami.
Hlavní brána s přepnutím na záložní.
Stav brány (dostupná – zelená, nedostupná – červená) se určuje následujícím způsobem:
Kontrola sítě je vypnuta – brána se považuje za dostupnou, pokud si UserGate může vyžádat její MAC adresu pomocí ARP dotazu. Kontrola přístupu na internet přes tuto bránu se neprovádí. Pokud nelze určit MAC adresu brány, brána se považuje za nedostupnou.
Kontrola sítě je zapnuta — brána se považuje za dostupnou, pokud:
UserGate může vyžádat její MAC adresu pomocí ARP dotazu.
Kontrola přístupu na internet přes tuto bránu byla úspěšná.
V opačném případě se brána považuje za nedostupnou.
V sekci „DNS“ je nutné přidat DNS servery, které bude UserGate používat. Toto nastavení se uvádí v oblasti Systémové DNS servery. Níže jsou uvedena nastavení pro správu DNS dotazů od uživatelů. UserGate umožňuje používat DNS proxy. Služba DNS proxy umožňuje zachytávat DNS dotazy od uživatelů a měnit je podle potřeb správce. Pomocí pravidel DNS proxy lze uvést DNS servery, na které se přesměrovávají dotazy na určité domény. Kromě toho lze pomocí DNS proxy nastavovat statické záznamy typu host (A-záznam).
V sekcii „NAT a smerovanie“ je potrebné vytvoriť potrebné pravidlá NAT. Pre prístup na internet používateľov siete Trusted už existuje pravidlo NAT — „Trusted→Untrusted“, stačí ho len aktivovať. Pravidlá sa uplatňujú zhora nadol v tom poradí, v akom sú uvedené v konzole. Vždy sa vykoná len prvé pravidlo, pre ktoré sa splnili podmienky uvedené v pravidle. Na aktiváciu pravidla je potrebné, aby sa splnili všetky podmienky uvedené v parametroch pravidla. UserGate odporúča vytvárať všeobecné pravidlá NAT, napríklad pravidlo NAT z lokálnej siete (zvyčajne zóna Trusted) na internet (zvyčajne zóna Untrusted), a delimitať prístup podľa používateľov, služieb a aplikácií pomocou pravidiel firewalu.
Existuje tiež možnosť vytvoriť pravidlá DNAT, port forwarding, policy-based routing, network mapping.
Potom v sekciu „Firewall“ je potrebné vytvoriť pravidlá firewalu. Pre neobmedzený prístup na internet používateľov siete Trusted je už vytvorené pravidlo firewalu — „Internet for Trusted“, ktoré treba aktivovať. Pomocou pravidiel firewalu môže administrátor povoliť alebo zakázať akýkoľvek typ prenosového sieťového trafficu prechádzajúceho cez UserGate. Ako podmienky pravidla môžu slúžiť zóny a IP adresy zdroja/cieľa, používatelia a skupiny, služby a aplikácie. Pravidlá sa aplikujú rovnako ako v sekcii „NAT a smerovanie“, teda zhora nadol. Ak nie je vytvorené žiadne pravidlo, akýkoľvek prenosový traffic cez UserGate je zakázaný.
4. Záver
Týmto článok končí. Nainštalovali sme firewall UserGate na virtuálny stroj a vykonali minimálne potrebné nastavenia, aby internet fungoval v sieti Trusted. Ďalšie nastavenia budeme skúmať v nasledujúcich článkoch.
Sledujte aktualizácie na našich kanáloch (, , , )!
Zdroj: habr.com
