Pokračujeme v našom cykle článkov o NGFW pre malé firmy, pripomínam, že sa zaoberáme novou modelovou radou série 1500. V cykle som spomenul jednu z najužitočnejších možností pri nákupe zariadenia SMB — dodávka brán s predinštalovanými licenciami Mobile Access (od 100 do 200 používateľov v závislosti od modelu). V tomto článku sa pozrieme na nastavenie VPN pre brány série 1500, ktoré prichádzajú s predinštalovanou Gaia 80.20 Embedded. Tu je krátke zhrnutie:
- Možnosti VPN pre SMB.
- Organizácia Remote Access pre malú kanceláriu.
- Dostupní klienti na pripojenie.
1. Možnosti VPN pre SMB
Na prípravu dnešného materiálu bol použitý oficiálny verzie R80.20.05 (v čase vydania článku — aktuálny). V súvislosti s VPN pri Gaia 80.20 Embedded existuje podpora:
- Site-To-Site. Vytvorenie VPN tunelov medzi vašimi kanceláriami, kde používatelia môžu pracovať, ako v jednej "lokálnej" sieti.
- Remote Access. Diaľkové pripojenie k zdrojom vašej kancelárie pomocou koncových zariadení používateľov (PC, mobilné telefóny a pod.). Navyše existuje SSL Network Extender, ktorý umožňuje publikovať jednotlivé aplikácie a spúšťať ich pomocou Java Applet, pripojením sa cez SSL. Poznámka: nemiešať s Mobile Access Portal (podpora na Gaia Embedded chýba).
Ďalšie odporúčam autoritný kurz TS Solution — ten odhaľuje technológie Check Point v oblasti VPN, zaoberá sa otázkami licencovania a obsahuje podrobné pokyny na nastavenie.
2. Remote Access pre malú kanceláriu
Nastavíme sa na organizáciu diaľkového pripojenia k vašej kancelárii:
- Aby používatelia mohli vytvoriť VPN tunel s bránou, musíte mať verejnú IP adresu. Ak ste už prešli predbežným nastavením ( z cyklu), v zásade je — External Link už aktívny. Informácie môžete získať prechodom na Gaia Portal: Device → Network → Internet
V prípade, že vaša spoločnosť využíva dynamickú verejnú IP adresu, môžete nastaviť Dynamic DNS. Prejdite na Zariadenie → DDNS & Device Access
Momentálne existuje podpora od dvoch poskytovateľov: DynDns a no-ip.com. Aby ste aktivovali túto možnosť, je potrebné zadať svoje údaje (užívateľské meno, heslo).
- Ďalej vytvoríme používateľský účet, ktorý bude užitočný na testovanie nastavení: VPN → Remote Access → Remote Access Users
V skupine (na príklade: remoteaccess) vytvoríme používateľa podľa pokynov na snímke. Nastavenie účtu je štandardné, nastavujeme prihlasovacie meno a heslo, navyše aktivujeme voľbu povolení na vzdialený prístup.
Ak ste úspešne aplikovali nastavenia, mali by sa objaviť dva objekty: miestny používateľ, miestna skupina používateľov.
- Ďalším krokom prechádzame do VPN → Vzdialený prístup → Ovládanie bľadu. Uistite sa, že máte zapnutý bľad a povolený prenos od vzdialených používateľov.
- *Vyššie bol uvedený minimálny súbor krokov na nastavenie vzdialeného prístupu. Ale predtým, než otestujeme pripojenie, poďme preskúmať dodatočné nastavenia, prechádzajúc na kartu VPN → Vzdialený prístup → Pokročilé
Na základe súčasných nastavení vidíme, že vzdialení používatelia pri pripojení dostanú IP adresu zo siete 172.16.11.0/24, vďaka možnosti Office Mode. To je viac než dostatočné pre používanie 200 konkurenčných licencií (uvedené pre 1590 NGFW Check Point).
Možnosť „Smerovať internetový prenos od pripojených klientov cez túto bránu“ je voliteľné a zodpovedá za smerovanie všetkého prenosu od vzdialeného používateľa cez bránu (vrátane spojení do internetu). To umožňuje kontrolovať prenos používateľa a chrániť jeho pracovnú stanicu pred rôznymi hrozbami a malvérom.
- *Práca s politikami prístupu pre vzdialený prístup
Po tom, čo sme nastavili vzdialený prístup, bolo vytvorené automatické pravidlo prístupu na úrovni firewallu, aby ste ho mohli zobraziť, prejdite na kartu: Politika prístupu → Firewall → Politika
V tomto prípade budú vzdialení používatelia, ktorí spadajú do predtým vytvorenej skupiny, mať prístup ku všetkým vnútorným zdrojom spoločnosti, poznamenávam, že pravidlo sa nachádza v spoločnom oddieli „Prichádzajúci, interný a VPN prenos“. Aby sme povolili prenos VPN používateľov do internetu, bude potrebné vytvoriť samostatné pravidlo v spoločnom oddieli „Odchodový prístup na internet”.
Nakoniec nám zostáva uistiť sa, že používateľ môže úspešne vytvoriť VPN tunel k našej NGFW bráne a získať prístup k vnútorným zdrojom spoločnosti. Na tento účel je potrebné nainštalovať VPN klienta na testovaný hostiteľ, v súvislosti s čím sa ponúka na stiahnutie. Po inštalácii bude potrebné vykonať štandardný postup pridania novej stránky (uvedie sa verejná IP adresa vašej brány). Pre pohodlie je proces zobrazený vo forme GIF.
Keď je pripojenie už nadviazané, skontrolujeme získanú IP adresu na hostiteľskom počítači pomocou príkazu v CMD: ipconfig
Uistili sme sa, že virtuálny sieťový adaptér získal IP adresu z Office Mode nášho NGFW, pakety sa úspešne odosielajú. Na dokončenie môžeme prejsť na Gaia Portal: VPN → Remote Access → Connected Remote Users
Používateľ “ntuser” sa zobrazuje ako pripojený, skontrolujeme logovanie udalostí prechádzajúc na Logs & Monitoring → Security Logs
Logovanie pripojenia prebieha, ako zdroj vystupuje IP adresa: 172.16.10.1 — to je adresa, ktorú získal náš používateľ cez režim Office Mode.
3. Podporované klienti pre Remote Access
Po tom, čo sme prešli postupom nastavenia vzdialeného pripojenia do vašej kancelárie, pomocou NGFW Check Point zo série SMB, by som rád napísal o podpore klientov pre rôzne zariadenia:
- Mobilný klient ( / )
- L2TP Native Client ( Check Point uvádza podporu natívnej aplikácie pre VPN od Microsoftu).
Rozmanitosť podporovaných OS a zariadení vám umožní naplno využiť vašu licenciu, ktorá je súčasťou NGFW. Na nastavenie jednotlivého zariadenia je k dispozícii pohodlná možnosť „How to connect“
V nej sa automaticky zostavujú kroky podľa vašich nastavení, čo umožní administrátorom bez problémov nainštalovať nových klientov.
Výstup: Na záver tohto článku sme preskúmali možnosti VPN pre NGFW Check Point zo série SMB. Potom sme opísali kroky pre nastavenie Remote Access v prípade vzdialeného pripojenia používateľov do kancelárie, po ktorých sme preskúmali monitorovacie nástroje. Nakoniec článku sme sa rozprávali o dostupných klientoch a možnostiach pripojenia pri Remote Access. Týmto spôsobom váš pobočkový úrad zabezpečí kontinuitu a bezpečnosť práce zamestnancov prostredníctvom VPN technológií, napriek rôznym vonkajším hrozbám a faktorom.
. Sledujte aktualizácie (, , , , ).
Zdroj: habr.com
