{"id":90211,"date":"2020-07-30T01:42:13","date_gmt":"2020-07-29T23:42:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn"},"modified":"2020-07-30T01:42:13","modified_gmt":"2020-07-29T23:42:13","slug":"4-ngfw-dlya-malogo-biznesa-vpn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/4-ngfw-dlya-malogo-biznesa-vpn","title":{"rendered":"4. NGFW pre mal\u00e9 podniky. VPN","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"4.
\n<\/p>\n

Pokra\u010dujeme v na\u0161om cykle \u010dl\u00e1nkov o NGFW pre mal\u00e9 firmy, pripom\u00ednam, \u017ee sa zaober\u00e1me novou modelovou radou s\u00e9rie 1500. V 1. \u010dasti<\/a><\/noindex> cykle som spomenul jednu z naju\u017eito\u010dnej\u0161\u00edch mo\u017enost\u00ed pri n\u00e1kupe zariadenia SMB \u2014 dod\u00e1vka br\u00e1n s predin\u0161talovan\u00fdmi licenciami Mobile Access (od 100 do 200 pou\u017e\u00edvate\u013eov v z\u00e1vislosti od modelu). V tomto \u010dl\u00e1nku sa pozrieme na nastavenie VPN pre br\u00e1ny s\u00e9rie 1500, ktor\u00e9 prich\u00e1dzaj\u00fa s predin\u0161talovanou Gaia 80.20 Embedded. Tu je kr\u00e1tke zhrnutie:<\/p>\n

<\/p>\n

    \n
  1. Mo\u017enosti VPN pre SMB.<\/li>\n
  2. Organiz\u00e1cia Remote Access pre mal\u00fa kancel\u00e1riu.<\/li>\n
  3. Dostupn\u00ed klienti na pripojenie.<\/li>\n<\/ol>\n

    <\/a><\/noindex><\/p>\n

    1. Mo\u017enosti VPN pre SMB<\/h3>\n

    <\/p>\n

    Na pr\u00edpravu dne\u0161n\u00e9ho materi\u00e1lu bol pou\u017eit\u00fd ofici\u00e1lny sprievodca administr\u00e1tora<\/a><\/noindex> verzie R80.20.05 (v \u010dase vydania \u010dl\u00e1nku \u2014 aktu\u00e1lny). V s\u00favislosti s VPN pri Gaia 80.20 Embedded existuje podpora:<\/p>\n

    <\/p>\n

      \n
    1. Site-To-Site. Vytvorenie VPN tunelov medzi va\u0161imi kancel\u00e1riami, kde pou\u017e\u00edvatelia m\u00f4\u017eu pracova\u0165, ako v jednej \"lok\u00e1lnej\" sieti.\n

      \"4.\n<\/li>\n

    2. Remote Access. Dia\u013ekov\u00e9 pripojenie k zdrojom va\u0161ej kancel\u00e1rie pomocou koncov\u00fdch zariaden\u00ed pou\u017e\u00edvate\u013eov (PC, mobiln\u00e9 telef\u00f3ny a pod.). Navy\u0161e existuje SSL Network Extender, ktor\u00fd umo\u017e\u0148uje publikova\u0165 jednotliv\u00e9 aplik\u00e1cie a sp\u00fa\u0161\u0165a\u0165 ich pomocou Java Applet, pripojen\u00edm sa cez SSL. Pozn\u00e1mka:<\/u> nemie\u0161a\u0165 s Mobile Access Portal (podpora na Gaia Embedded ch\u00fdba).
      \n<\/i>
      \n\"4.\n<\/li>\n<\/ol>\n

      <\/p>\n

      \u010eal\u0161ie<\/u><\/b> odpor\u00fa\u010dam autoritn\u00fd kurz TS Solution \u2014 Check Point Remote Access VPN<\/a><\/noindex> ten odha\u013euje technol\u00f3gie Check Point v oblasti VPN, zaober\u00e1 sa ot\u00e1zkami licencovania a obsahuje podrobn\u00e9 pokyny na nastavenie.<\/p>\n

      <\/p>\n

      2. Remote Access pre mal\u00fa kancel\u00e1riu<\/h3>\n

      \nNastav\u00edme sa na organiz\u00e1ciu dia\u013ekov\u00e9ho pripojenia k va\u0161ej kancel\u00e1rii:<\/p>\n

        \n
      1. Aby pou\u017e\u00edvatelia mohli vytvori\u0165 VPN tunel s br\u00e1nou, mus\u00edte ma\u0165 verejn\u00fa IP adresu. Ak ste u\u017e pre\u0161li predbe\u017en\u00fdm nastaven\u00edm (2. \u010dl\u00e1nok<\/a><\/noindex> z cyklu), v z\u00e1sade je \u2014 External Link u\u017e akt\u00edvny. Inform\u00e1cie m\u00f4\u017eete z\u00edska\u0165 prechodom na Gaia Portal: Device \u2192 Network \u2192 Internet<\/b>\n

        \"4.
        \n<\/p>\n

        V pr\u00edpade, \u017ee va\u0161a spolo\u010dnos\u0165 vyu\u017e\u00edva dynamick\u00fa verejn\u00fa IP adresu, m\u00f4\u017eete nastavi\u0165 Dynamic DNS. Prejdite na Zariadenie <\/strong>\u2192 DDNS & Device Access<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Moment\u00e1lne existuje podpora od dvoch poskytovate\u013eov: DynDns a no-ip.com. Aby ste aktivovali t\u00fato mo\u017enos\u0165, je potrebn\u00e9 zada\u0165 svoje \u00fadaje (u\u017e\u00edvate\u013esk\u00e9 meno, heslo).\n<\/p>\n<\/li>\n

      2. \u010ealej vytvor\u00edme pou\u017e\u00edvate\u013esk\u00fd \u00fa\u010det, ktor\u00fd bude u\u017eito\u010dn\u00fd na testovanie nastaven\u00ed: VPN \u2192 Remote Access \u2192 Remote Access Users<\/strong>\n

        \"4.
        \n<\/p>\n

        V skupine (na pr\u00edklade: remoteaccess) vytvor\u00edme pou\u017e\u00edvate\u013ea pod\u013ea pokynov na sn\u00edmke. Nastavenie \u00fa\u010dtu je \u0161tandardn\u00e9, nastavujeme prihlasovacie meno a heslo, navy\u0161e aktivujeme vo\u013ebu povolen\u00ed na vzdialen\u00fd pr\u00edstup. \n<\/p>\n

        \"4.
        \n<\/p>\n

        Ak ste \u00faspe\u0161ne aplikovali nastavenia, mali by sa objavi\u0165 dva objekty: miestny pou\u017e\u00edvate\u013e, miestna skupina pou\u017e\u00edvate\u013eov.<\/p>\n

        \"4.<\/li>\n

      3. \u010eal\u0161\u00edm krokom prech\u00e1dzame do VPN \u2192 Vzdialen\u00fd pr\u00edstup \u2192 Ovl\u00e1danie b\u013eadu. <\/strong>Uistite sa, \u017ee m\u00e1te zapnut\u00fd b\u013ead a povolen\u00fd prenos od vzdialen\u00fdch pou\u017e\u00edvate\u013eov.\n

        \"4. <\/li>\n

      4. *Vy\u0161\u0161ie bol uveden\u00fd minim\u00e1lny s\u00fabor krokov na nastavenie vzdialen\u00e9ho pr\u00edstupu. Ale predt\u00fdm, ne\u017e otestujeme pripojenie, po\u010fme presk\u00fama\u0165 dodato\u010dn\u00e9 nastavenia, prech\u00e1dzaj\u00fac na kartu VPN \u2192 Vzdialen\u00fd pr\u00edstup \u2192 Pokro\u010dil\u00e9 <\/strong>\n

        \"4.
        \n<\/p>\n

        Na z\u00e1klade s\u00fa\u010dasn\u00fdch nastaven\u00ed vid\u00edme, \u017ee vzdialen\u00ed pou\u017e\u00edvatelia pri pripojen\u00ed dostan\u00fa IP adresu zo siete 172.16.11.0\/24, v\u010faka mo\u017enosti Office Mode. To je viac ne\u017e dostato\u010dn\u00e9 pre pou\u017e\u00edvanie 200 konkuren\u010dn\u00fdch licenci\u00ed (uveden\u00e9 pre 1590 NGFW Check Point). \n<\/p>\n

        <\/p>\n

        Mo\u017enos\u0165 \u201eSmerova\u0165 internetov\u00fd prenos od pripojen\u00fdch klientov cez t\u00fato br\u00e1nu\u201c<\/i> je volite\u013en\u00e9 a zodpoved\u00e1 za smerovanie v\u0161etk\u00e9ho prenosu od vzdialen\u00e9ho pou\u017e\u00edvate\u013ea cez br\u00e1nu (vr\u00e1tane spojen\u00ed do internetu). To umo\u017e\u0148uje kontrolova\u0165 prenos pou\u017e\u00edvate\u013ea a chr\u00e1ni\u0165 jeho pracovn\u00fa stanicu pred r\u00f4znymi hrozbami a malv\u00e9rom. \n<\/p>\n<\/li>\n

      5. *Pr\u00e1ca s politikami pr\u00edstupu pre vzdialen\u00fd pr\u00edstup \n

        Po tom, \u010do sme nastavili vzdialen\u00fd pr\u00edstup, bolo vytvoren\u00e9 automatick\u00e9 pravidlo pr\u00edstupu na \u00farovni firewallu, aby ste ho mohli zobrazi\u0165, prejdite na kartu: Politika pr\u00edstupu \u2192 Firewall \u2192 Politika <\/strong><\/p>\n

        \n\"4.
        \n<\/p>\n

        V tomto pr\u00edpade bud\u00fa vzdialen\u00ed pou\u017e\u00edvatelia, ktor\u00ed spadaj\u00fa do predt\u00fdm vytvorenej skupiny, ma\u0165 pr\u00edstup ku v\u0161etk\u00fdm vn\u00fatorn\u00fdm zdrojom spolo\u010dnosti, poznamen\u00e1vam, \u017ee pravidlo sa nach\u00e1dza v spolo\u010dnom oddieli \u201ePrich\u00e1dzaj\u00faci, intern\u00fd a VPN prenos\u201c<\/i>. Aby sme povolili prenos VPN pou\u017e\u00edvate\u013eov do internetu, bude potrebn\u00e9 vytvori\u0165 samostatn\u00e9 pravidlo v spolo\u010dnom oddieli \u201eOdchodov\u00fd pr\u00edstup na internet<\/i>\u201d.<\/p>\n<\/li>\n

      6. \n

        Nakoniec n\u00e1m zost\u00e1va uisti\u0165 sa, \u017ee pou\u017e\u00edvate\u013e m\u00f4\u017ee \u00faspe\u0161ne vytvori\u0165 VPN tunel k na\u0161ej NGFW br\u00e1ne a z\u00edska\u0165 pr\u00edstup k vn\u00fatorn\u00fdm zdrojom spolo\u010dnosti. Na tento \u00fa\u010del je potrebn\u00e9 nain\u0161talova\u0165 VPN klienta na testovan\u00fd hostite\u013e, v s\u00favislosti s \u010d\u00edm sa pon\u00faka odkaz<\/a><\/noindex> na stiahnutie. Po in\u0161tal\u00e1cii bude potrebn\u00e9 vykona\u0165 \u0161tandardn\u00fd postup pridania novej str\u00e1nky (uvedie sa verejn\u00e1 IP adresa va\u0161ej br\u00e1ny). Pre pohodlie je proces zobrazen\u00fd vo forme GIF.<\/p>\n

        \n\"4.
        \n
        \nKe\u010f je pripojenie u\u017e nadviazan\u00e9, skontrolujeme z\u00edskan\u00fa IP adresu na hostite\u013eskom po\u010d\u00edta\u010di pomocou pr\u00edkazu v CMD: ipconfig<\/i><\/p>\n

        \"4.
        \n<\/p>\n

        Uistili sme sa, \u017ee virtu\u00e1lny sie\u0165ov\u00fd adapt\u00e9r z\u00edskal IP adresu z Office Mode n\u00e1\u0161ho NGFW, pakety sa \u00faspe\u0161ne odosielaj\u00fa. Na dokon\u010denie m\u00f4\u017eeme prejs\u0165 na Gaia Portal: VPN \u2192 Remote Access \u2192 Connected Remote Users<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Pou\u017e\u00edvate\u013e \u201cntuser\u201d sa zobrazuje ako pripojen\u00fd, skontrolujeme logovanie udalost\u00ed prech\u00e1dzaj\u00fac na Logs & Monitoring \u2192 Security Logs<\/strong>\n<\/p>\n

        \"4.
        \n<\/p>\n

        Logovanie pripojenia prebieha, ako zdroj vystupuje IP adresa: 172.16.10.1 \u2014 to je adresa, ktor\u00fa z\u00edskal n\u00e1\u0161 pou\u017e\u00edvate\u013e cez re\u017eim Office Mode. \n<\/p>\n

        <\/p>\n

        3. Podporovan\u00e9 klienti pre Remote Access<\/h3>\n

        <\/p>\n

        Po tom, \u010do sme pre\u0161li postupom nastavenia vzdialen\u00e9ho pripojenia do va\u0161ej kancel\u00e1rie, pomocou NGFW Check Point zo s\u00e9rie SMB, by som r\u00e1d nap\u00edsal o podpore klientov pre r\u00f4zne zariadenia:<\/p>\n

        <\/p>\n