Pozdravljeni, to je drugi članek o rešitvi NGFW podjetja . Namen tega članka je prikazati, kako namestiti požarni zid UserGate na virtualni sistem (uporabljal bom programsko opremo za virtualizacijo VMware Workstation) in izvesti začetno konfiguracijo (omogočiti dostop iz lokalnega omrežja prek UserGate prehoda v internet).
1. Uvod
Najte začel opisovati različne načine implementacije tega prehoda v omrežje. Želim opomniti, da je od izbrane možnosti povezave lahko določen funkcionalnost prehoda nedostopna. Rešitev UserGate podpira naslednje načine povezovanja:
L3-L7 požarni zid
L2 prozoren most
L3 prozoren most
Virtualno v pretrganju, z uporabo protokola WCCP
Virtualno v pretrganju, z uporabo usmerjanja na podlagi politike
Router on a Stick
Izrecno določen WEB-proxy
UserGate, kot privzeti prehod
Nadzor Mirror-portov
UserGate podpira 2 vrste grozdov:
Konfiguracijski grozd. Vozlišča, združena v konfiguracijski grozd, podpirajo enotne nastavitve znotraj grozda.
Grozd za zagotavljanje neprekinjenega delovanja. Do 4 vozlišča konfiguracijskega grozda lahko združimo v grozd za zagotavljanje neprekinjenega delovanja, ki podpira delovanje v aktivno-aktivnem ali aktivno-pasivnem načinu. Možno je sestaviti več grozdov za zagotavljanje neprekinjenega delovanja.
2. Namestitev
Kot je bilo omenjeno v prejšnjem članku, se UserGate dobavlja v obliki programsko-strojnega kompleta ali se namešča v virtualnem okolju. Iz osebnega računa na spletni strani prenesite sliko v formatu OVF (Open Virtualization Format), ta format ustreza prodajalcem VMWare in Oracle Virtualbox. Za Microsoft Hyper-v in KVM so na voljo diski virtualnega stroja.
Po podatkih spletne strani UserGate je za pravilno delovanje virtualnega stroja priporočljivo uporabiti najmanj 8 GB RAM-a in 2-jedrni virtualni procesor. Hipervizor mora podpirati delovanje 64-bitnih operacijskih sistemov.
Namestitev se začne z uvozom slike v izbran hipervizor (VirtualBox in VMWare). V primeru Microsoft Hyper-v in KVM je potrebno ustvariti virtualni stroj in kot disk določiti preneseno sliko, po čemer je treba v nastavitvah ustvarjenega virtualnega stroja izklopiti storitve integracije.
Privzeto se po uvozu v VMWare ustvari virtualni stroj s sledečimi nastavitvami:
Kot je bilo navedeno zgoraj, mora biti RAM vsaj 8Gb, poleg tega pa dodajte še 1Gb za vsakih 100 uporabnikov. Privzeta velikost trdega diska je 100Gb, vendar to običajno ni dovolj za shranjevanje vseh dnevnikov in nastavitev. Priporočena velikost je 300Gb ali več. Zato v lastnostih virtualnega stroja spremenimo velikost diska na zahtevano. Prvotno je virtualni UserGate UTM opremljen s štirimi vmesniki, dodeljenimi območjem:
Management — prvi vmesnik virtualnega stroja, območje za povezovanje zaupanja vrednih omrežij, iz katerih je dovoljena upravljanje UserGate.
Trusted — drugi vmesnik virtualnega stroja, območje za povezovanje zaupanja vrednih omrežij, na primer LAN-omrežij.
Untrusted — tretji vmesnik virtualnega stroja, območje za vmesnike, povezanih s nezaupnimi omrežji, na primer z internetom.
DMZ — četrti vmesnik virtualnega stroja, območje za vmesnike, povezanih z omrežjem DMZ.
Nato zaženite virtualne stroje, čeprav je v navodilih zapisano, da je treba izbrati Support Tools in izvesti Factory reset UTM, vendar kot vidimo obstaja le ena izbira (UTM First Boot). Med tem korakom UTM nastavi omrežne adapterje in poveča velikost particije na trdem disku na celotno velikost diska:
Za povezavo z uporabniškim vmesnikom UserGate morate vstopiti prek Management območja, za kar je odgovoren vmesnik eth0, ki je nastavljen za prejemanje IP-naslova v avtomatskem načinu (DHCP). Če ni mogoče dodeliti naslova za Management-vmesnik v avtomatskem načinu z uporabo DHCP, ga lahko izrecno določite z uporabo CLI (vmesnik ukazne vrstice). Zato se morate prijaviti v CLI z uporabniškim imenom in geslom uporabnika z pravicami Full administrator (privzeto Admin z veliko začetnico). Če naprava UserGate še ni bila prvotno inicializirana, je za dostop do CLI treba uporabiti kot uporabniško ime Admin, kot geslo — utm. In vpišite ukaz podobno iface config –name eth0 –ipv4 192.168.1.254/24 –enable true –mode static. Kasneje preidemo na spletno konzolo UserGate na navedenem naslovu, ki naj bi izgledal približno takole:https://UserGateIPaddress:8001:
V spletni konzoli nadaljujemo z namestitvijo, izbrati moramo jezik vmesnika (trenutno sta na voljo ruščina ali angleščina), časovni pas, nato pa preberemo in se strinjamo s pogodbo o licenciranju. Določimo uporabniško ime in geslo za vstop v spletni vmesnik za upravljanje.
3. Nastavitev
Po namestitvi tako izgleda okno spletnega vmesnika za upravljanje platforme:
Nato je potrebno nastaviti omrežne vmesnike. V razdelku 'Vmesniki' je potrebno omogočiti njihov delovanje, nastaviti pravilne IP-naslove in dodeliti ustrezne cone.
Razdelek 'Vmesniki' prikazuje vse fizične in virtualne vmesnike, ki so na voljo v sistemu, omogoča spreminjanje njihovih nastavitev ter dodajanje VLAN-vmesnikov. Prikazuje tudi vse vmesnike vsakega vozlišča znotraj gruče. Nastavitve vmesnikov so specifične za vsako od vozlišč, torej niso globalne.
V lastnostih vmesnika:
Omogoči ali onemogoči vmesnik
Določi vrsto vmesnika — Layer 3 ali Mirror
Dodeli cono vmesniku
Dodeli profil Netflow za pošiljanje statističnih podatkov na Netflow zbiralnik
Spremeni fizične parametre vmesnika — MAC-naslov in velikost MTU
Izberi vrsto dodelitve IP-naslova — brez naslova, statični IP-naslov ali pridobljen preko DHCP
Nastavi delovanje DHCP-relaya na izbranem vmesniku.
Gumb 'Dodaj' omogoča dodajanje naslednjih vrst logičnih vmesnikov:
VLAN
Bond
Most
PPPoE
VPN
Tunel
Poleg prej omenjenih con, s katerimi je dostavljen slika Usergate, obstajajo še tri vrste prednastavljenih:
Cluster — cona za vmesnike, uporabljene za delovanje gruče
VPN for Site-to-Site — cona, v katero so vključeni vsi odjemalci tipa Office-Office, povezani na UserGate preko VPN
VPN for remote access — cona, v katero so vključeni vsi mobilni uporabniki, povezani na UserGate preko VPN
Administratorji UserGate lahko spreminjajo nastavitve prednastavljenih con, kot tudi ustvarjajo dodatne cone, vendar pa, kot je navedeno v priročniku za različico 5, lahko ustvarijo največ 15 con. Za spremembo ali ustvarjanje je potrebno preiti v razdelek cone. Za vsako cono je mogoče nastaviti prag za zavračanje paketov, podprta sta SYN in UDP, ICMP. Prav tako se nastavi nadzor dostopa do storitev Usergate in vklopi zaščita pred lažnim predstavljanje.
Po nastavitvi vmesnikov je treba v razdelku „Prehodi“ nastaviti privzeto pot. To pomeni, da je za povezavo UserGate z internetom potrebno navesti IP-naslov enega ali več prehodov. Če se za povezavo z internetom uporablja več ponudnikov, je treba navesti več prehodov. Nastavitev prehoda je edinstvena za vsak vozliščni del kloosterja. Če je določeno dva ali več prehodov, sta možna dva načina delovanja:
Porazdelitev prometa med prehodi.
Glavni prehod s preklopom na rezervni.
Stanje prehoda (na voljo – zeleno, ni na voljo – rdeče) se določi na naslednji način:
Preverjanje omrežja je izklopljeno – prehod velja za dostopen, če lahko UserGate pridobi njegov MAC-naslov s pomočjo ARP-poizvedbe. Preverjanje dostopa do interneta preko tega prehoda se ne izvaja. Če MAC-naslov prehoda ni mogoče določiti, se prehod šteje za nedostopen.
Preverjanje omrežja je vklopljeno – prehod velja za dostopen, če:
UserGate lahko pridobi njegov MAC-naslov s pomočjo ARP-poizvedbe.
Preverjanje dostopa do interneta preko tega prehoda se je uspešno zaključilo.
V nasprotnem primeru se prehod šteje za nedostopen.
V razdelku „DNS“ je treba dodati DNS strežnike, ki jih bo uporabljal UserGate. Ta nastavitev se navede na področju Sistemski DNS strežniki. Spodaj so nastavitve za upravljanje z DNS-poizvedbami uporabnikov. UserGate omogoča uporabo DNS-proksija. Storitev DNS-proksi omogoča zajemanje DNS-poizvedb uporabnikov in njihovo spreminjanje glede na potrebe skrbnika. S pomočjo pravil DNS-proksija lahko določite DNS strežnike, na katere se preusmerjajo poizvedbe za določene domene. Poleg tega je z DNS-proksijem možno določiti statične zapise tipa host (A-zapis).
V razdelu «NAT in usmerjanje» je treba ustvariti potrebna pravila NAT. Za dostop do interneta uporabnikov omrežja Trusted je bilo pravilo NAT že ustvarjeno — «Trusted—>Untrusted», potrebno ga je le še vključiti. Pravila se uporabljajo od zgoraj navzdol v tistem vrstnem redu, kot so navedena v konzoli. Izvedeno je vedno le prvo pravilo, kjer se ujemajo pogoji, navedeni v pravilu. Za sprožitev pravila je potrebno, da se ujemajo vsi pogoji, navedeni v parametrih pravila. UserGate priporoča, da se ustvarijo splošna pravila NAT, na primer pravilo NAT iz lokalnega omrežja (običajno območje Trusted) v internet (običajno območje Untrusted), dostop pa se razmejuje po uporabnikih, storitvah in aplikacijah s pomočjo pravil požarnega zidu.
Obstaja tudi možnost ustvarjanja pravil DNAT, port-forwarding, usmerjanje temelji na pravilih, mrežno kartiranje.
Po tem je v razdelku «Požarni zid» potrebno ustvariti pravila požarnega zidu. Za neomejen dostop do interneta uporabnikov omrežja Trusted je bilo pravilo požarnega zidu prav tako že ustvarjeno — «Internet for Trusted» in ga je potrebno vključiti. S pomočjo pravil požarnega zidu lahko skrbnik dovoli ali prepove katerikoli tip tranzitnega omrežnega prometa, ki potuje skozi UserGate. Kot pogoji pravila lahko delujejo območja in IP naslovi izvora/namen, uporabniki in skupine, storitve in aplikacije. Pravila se uporabljajo prav tako kot v razdelku «NAT in usmerjanje», torej od zgoraj navzdol. Če ni ustvarjeno nobeno pravilo, je vsak tranzitni promet skozi UserGate prepovedan.
4. Zaključek
S tem je članek prišel do konca. Namestili smo požarni zid UserGate na virtualni stroj in izvedli minimalno potrebna nastavitev, da je internet deloval v omrežju Trusted. Nadaljnje nastavitve bomo obravnavali v okviru naslednjih člankov.
Spremljajte novosti na naših kanalih (, , , )!
Izvor: habr.com
