Nadaljujemo z našim ciklom člankov o NGFW za mala podjetja, spominjam vas, da obravnavamo novo modelno vrsto serije 1500. V cikla sem omeni eno izmed najuporabnejših možnosti pri nakupu naprave SMB — dobava prehodov z vgrajenimi licencami Mobile Access (od 100 do 200 uporabnikov, odvisno od modela). V tem članku bomo obravnavali nastavitev VPN za prehode serije 1500, ki prihajajo s prednamestitvijo Gaia 80.20 Embedded. Tukaj je kratek pregled:
- Možnosti VPN za SMB.
- Organizacija Remote Access za malo pisarno.
- Razpoložljivi odjemalci za povezovanje.
1. Možnosti VPN za SMB
Za pripravo današnjega materiala je bil uporabljen uradni različice R80.20.05 (ob času izdaje članka — aktualna). V skladu s tem, na področju VPN pri Gaia 80.20 Embedded obstaja podpora:
- Site-To-Site. Ustvarjanje VPN-tunelov med vašimi pisarnami, kjer lahko uporabniki delujejo, kot da so v eni "lokalni" mreži.
- Remote Access. Oddaljena povezava do virov vaše pisarne z uporabo uporabniških končnih naprav (računalnikov, mobilnih telefonov itd.). Poleg tega je na voljo SSL Network Extender, ki omogoča objavo posameznih aplikacij in njihovo zagon preko Java Appleta, povezavi skozi SSL. Opomba: ne zamenjati z Mobile Access Portal (podpora za Gaia Embedded ni na voljo).
Dodatno zelo priporočam avtorski tečaj TS Solution — razkriva tehnologije Check Point na področju VPN, obravnava vprašanja licenciranja in vsebuje podrobna navodila za nastavitev.
2. Remote Access za malo pisarno
Pričeli bomo z organizacijo oddaljene povezave do vaše pisarne:
- Da lahko uporabniki zgradijo VPN-tunel s prehodom, potrebujete javni IP-naslov. Če ste že opravili začetno nastavitev ( iz cikla), je ponavadi — External Link že aktiven. Informacije lahko dobite tako, da obiščete Gaia Portal: Device → Network → Internet
V primeru, da vaša družba uporablja dinamični javni IP-naslov, lahko nastavi Dynamic DNS. Pojdite na Device → DDNS & Device Access
Trenutno obstaja podpora dveh ponudnikov: DynDns in no-ip.com. Da aktivirate to možnost, morate vnesti svoje poverilnice (uporabniško ime, geslo).
- Nato bomo ustvarili uporabniški račun, ki bo koristen za testiranje nastavitev: VPN → Remote Access → Remote Access Users
V skupini (na primeru: remoteaccess) bomo ustvarili uporabnika, sledijoč navodilom na posnetku zaslona. Nastavitev računa je standardna, vnesite uporabniško ime in geslo, dodatno omogočite možnost Remote Access permissions.
Če ste uspešno uporabili nastavitve, bi se morali prikazati dva objekta: lokalni uporabnik in lokalna skupina uporabnikov.
- Naslednji korak je, da preidemo v VPN → Remote Access → Blade Control. Prepričajte se, da je vaš blade vklopljen in da je promet od oddaljenih uporabnikov dovoljen.
- *Zgoraj je bil naveden minimalen sklop korakov za nastavitev Remote Access. Preden preverimo povezavo, si oglejmo dodatne nastavitve, tako da preidemo na zavihek VPN → Remote Access → Advanced
Glede na trenutne nastavitve vidimo, da bodo oddaljeni uporabniki ob povezovanju pridobili IP naslov iz omrežja 172.16.11.0/24, zahvaljujoč možnosti Office Mode. To je več kot dovolj za uporabo 200 konkurenčnih licenc (navedeno za 1590 NGFW Check Point).
Možnost »Usmerite internetni promet povezanih strank skozi to prehod« je neobvezna in odgovarja za usmerjanje celotnega prometa od oddaljenega uporabnika skozi prehod (vključno s povezavami v internet). To omogoča pregledovanje prometa uporabnika in zaščito njegove delovne postaje pred različnimi grožnjami in zlonamerno programsko opremo.
- *Delo s politiko dostopa za Remote Access
Ko smo nastavili Remote Access, je bilo ustvarjeno avtomatsko pravilo dostopa na ravni požarnega zidu, da ga ogledate, prejdite na zavihek: Access Policy → Firewall → Policy
V tem primeru bodo oddaljeni uporabniki, vključeni v prej ustvarjeno skupino, imeli dostop do vseh notranjih virov podjetja, opazite, da se pravilo nahaja v skupnem razdelku »Prihajajoči, notranji in VPN promet«. Da bi omogočili promet VPN uporabnikov v internet, bo potrebno ustvariti posebno pravilo v skupnem razdelku »Izhodni dostop v internet”.
Nazadnje moramo le še preveriti, da uporabnik lahko uspešno ustvari VPN tunel do našega NGFW prehoda in dobi dostop do notranjih virov podjetja. Za to je potrebno namestiti VPN odjemalca na testirani gostitelj, priložena je za prenos. Po namestitvi bo potrebno izvesti standardni postopek dodajanja novega spletnega mesta (vnesite javni IP naslov vašega prehoda). Za lažjo predstavo je postopek predstavljen v obliki GIF.
Ko je povezava že vzpostavljena, preverimo pridobljeni IP naslov na gostitelju s pomočjo ukaza v CMD: ipconfig
Preverili smo, da je virtualni omrežni adapter prejel IP naslov iz Office Mode našega NGFW, paketi so uspešno poslani. Za zaključek se lahko preusmerimo na Gaia Portal: VPN → Oddaljeni dostop → Povezani oddaljeni uporabniki
Uporabnik “ntuser” je prikazan kot povezan, preverimo beleženje dogodkov tako, da preidemo na Dnevniki & Nadzor → Varnostni dnevniki
Beleženje povezave poteka, izvor je IP naslov: 172.16.10.1 — to je naslov, ki ga je naš uporabnik prejel preko Office Mode.
3. Podprti odjemalci za oddaljeni dostop
Po pregledu postopka nastavitve oddaljenega povezovanja v vaše pisarne z NGFW Check Point serije SMB, bi radi opisali podporo odjemalcev za različne naprave:
- Mobilni odjemalec ( / )
- L2TP Native Client (Check Point trdi, da podpira domačo aplikacijo za VPN od Microsofta).
Raznolikost podprtih OS in naprav vam omogoča, da v polni meri izkoristite svojo licenco, ki prihaja z NGFW. Za nastavitev posamezne naprave je na voljo priročna možnost “Kako se povezati”
V njej se avtomatsko oblikujejo koraki, skladno z vašimi nastavitvami, kar administratorjem omogoča brez težav namestitev novih odjemalcev.
Izvajanje: Zaključno v tem članku smo obravnavali možnosti VPN za NGFW Check Point serije SMB. Naslednje smo opisali korake za nastavitev oddaljenega dostopa, v primeru oddaljenega povezovanja uporabnikov s pisarno, in preučili pripomočke za monitoring. Na koncu članka smo govorili o razpoložljivih odjemalcih in možnostih povezovanja pri oddaljenem dostopu. Tako bo vaša podružnica lahko zagotovila neprekinjenost in varnost dela zaposlenih z uporabo VPN tehnologij, kljub različnim zunanjim grožnjam in dejavnikom.
. Spremljajte novice (, , , , ).
Izvor: habr.com
