2. NGFW för små företag. Udpaketering och installation

Vi fortsätter cykeln av artiklar om att arbeta med den nya modellserien SMB CheckPoint, låt oss påminna om att vi första delen har beskrivit egenskaperna och möjligheterna hos de nya modellerna, hur man hanterar och administrerar dem. Idag ska vi titta på scenariot för att implementera den högre modellen i serien: CheckPoint 1590 NGFW. Här är en sammanfattning av denna del:

1. Uppackning av utrustning (beskrivning av komponenter, fysisk och nätverksanslutning).
2. Primär initiering av enheten.
3. Primär konfiguration.
4. Utvärdering av funktionaliteten.

Uppackning av utrustning

Bekantskap med utrustningen börjar med att ta ut den ur lådan, gå igenom komponenterna och installera delarna, klicka på spoiler där processen kortfattat presenteras

Leverans av NGFW 1590

Kort om komponenterna:

• NGFW 1590;
• Strömadapter;
• 2 Wifi-antennor (2.4 GHz och 5 GHz);
• 2 LTE-antennor;
• Broschyrer med dokumentation (kort guide för initial anslutning, licensavtal och så vidare)

Vad gäller nätverksportar och gränssnitt, så finns här alla moderna möjligheter för trafiköverföring och interaktion, en port för DMZ-zonen är särskilt markerad, USB 3.0 för synkronisering med PC.

Version 1590 har fått en uppdaterad design, moderna alternativ för trådlös kommunikation och minnesutvidgning: 2 platser för att använda Micro/Nano SIM i LTE-läge. (Vi planerar att skriva mer ingående om detta alternativ i en av våra kommande artiklar i cykeln, dedikerad till trådlösa anslutningar); en plats för SD-kort.

Mer detaljerad information om möjligheterna med 1590 NGFW och andra nya modeller kan läsas i del 1 cykeln av artiklar om SMB CheckPoint-lösningar. Nu börjar vi med den primära initieringen av enheten.

Primär initiering

Våra trogna läsare bör redan vara medvetna om att den 1500 serien av SMB använder det nya operativsystemet 80.20 Embedded, som inkluderar ett uppdaterat gränssnitt och förbättrade möjligheter.

För att börja initiera enheten behöver du:

1. Säkerställa strömförsörjning till gatewayen.
2. Ansluta nätverkskabeln från din pc till LAN-1 på gatewayen.
3. Det är valfritt att direkt ge enheten internetåtkomst genom att ansluta gränssnittet till WAN-porten.
4. Gå till portalen Gaia Embedded: https://192.168.1.1:4434/

Om de tidigare nämnda stegen har följts, måste du bekräfta öppnandet av sidan med det osäkra certifikatet när du går till Gaia-portalen, varefter guiden för portalinställningar startar:

Du kommer att mötas av en sida som visar modellen av din enhet, du måste gå vidare till nästa avsnitt:

Vi kommer att bli ombedda att skapa ett konto för autentisering, det finns möjlighet att ange strikta krav på lösenordet för administratören samt ange det land där vi kommer att använda portalen.

Det följande fönstret handlar om inställningarna för datum och tid, det finns möjlighet att ställa in dessa manuellt eller använda företagets NTP-server.

Nästa steg innebär att ange namn för enheten och ange företagets domän för korrekt funktion av gatewaytjänster på Internet.

Nästa steg handlar om att välja typ av styrning för NGFW, här bör det noteras:

1. Local Management. Detta alternativ är tillgängligt för lokal hantering av gatewayen via Gaia Portal-webbsidan.
2. Central Management. Denna typ av hantering inkluderar synkronisering med en dedikerad Management-server från CheckPoint, synkronisering med Smart1-Cloud eller med SMP (Management-tjänsten för SMB).

I denna artikel kommer vi att fokusera på metoden för Local Management, du kan ange den metod som behövs. För att bekanta dig med processen för synkronisering med en dedikerad Management-server erbjuds länk från utbildningscykeln CheckPoint Getting Started, förberedd av TS Solution.

Därefter kommer ett fönster som definierar driftsläget för gränssnitten på gatewayen att presenteras:

• Switch-läget innebär tillgång till subnet från en gränssnitt till subnet för ett annat gränssnitt.
• Disable Switch-läget inaktiverar switch-läget, varje port dirigerar trafik som en separat nätverksdel.

Det erbjuds också att ange en pool av DHCP-adresser som kommer att användas vid anslutning till gatewayens lokala gränssnitt.

Nästa steg är att konfigurera arbetar av gatewayen i trådlöst läge, vi planerar att gå igenom denna aspekt mer ingående i en artikel i cykeln, så vi har skjutit upp konfigurationen. Du kan skapa en ny trådlös åtkomstpunkt, ange ett lösenord för anslutning och definiera driftsläget för den trådlösa kanalen (2,4 GHz eller 5 GHz).

Nästa steg kommer att föreslå hur man konfigurerar åtkomst till gatewayen för företagets administratörer. Som standard är åtkomsträttigheterna tillåtna om anslutningen kommer från:

1. Företagets interna nätverk
2. Betrodd trådlös nätverk
3. VPN-tunnel

Alternativet för att ansluta till gatewayen via Internet är som standard avstängt, vilket medför stora risker och bör motiveras för att aktiveras; i annat fall rekommenderas det att lämna det som i vårt exempel. Det finns också möjlighet att specificera vilka IP-adresser som kommer att tillåtas att ansluta till gatewayen.

Det nästa fönstret handlar om aktivering av licenser; vid den första initialiseringen av enheten kommer du att erbjudas en 30-dagars provperiod. Det finns två tillgängliga sätt att aktivera:

1. Om du har en Internetanslutning aktiveras licensen automatiskt.
2. Om du aktiverar licensen offline måste du göra följande: ladda ner licensen från UserCenter, registrera din enhet på en särskild portal. För båda fallen behöver du sedan importera den nedladdade licensen manuellt.

Slutligen erbjuder det sista fönstret i installationsguiden att välja de aktiverade bladen; vi noterar att QOS-bladet endast aktiveras efter den första initialiseringen. Du ska i slutändan få ett slutvittnesmål som sammanfattar dina inställningar.

Initial konfiguration

Först rekommenderar vi att kontrollera statusen på licenserna, eftersom detta kommer att påverka den fortsatta konfigurationen. Gå till fliken “HOME” → “License”:

Om licenserna har aktiverats rekommenderar vi att du omedelbart uppdaterar till den senaste aktuella programvaran; för detta syfte gå till fliken “DEVICE” → “System Operations”:

Systemuppdateringar finns i avsnittet Firmware Upgrade. I vårt fall är den senaste versionen av programvaran installerad.

Härnäst vill jag kortfattat berätta om möjligheterna och inställningarna på systembladen. Logiskt kan de delas upp i Access-policyer (Firewall, Application Control, URL Filtering) och Threat Prevention (IPS, Antivirus, Anti-Bot, Threat Emulation).

Låt oss gå till fliken Access Policy → Blade Control:

Som standard används STANDARD-läget, vilket tillåter: utgående trafik till Internet, trafik inom det lokala nätverket, men blockerar samtidigt inkommande trafik från Internet.

När det gäller bladen APPLICATIONS & URL FILTERING är webbplatser med hög risk blockerade som standard, liksom fildelningstjänster (Torrent, File Storage osv.). Dessutom kan du manuellt blockera kategorier av webbplatser.

Vi noterar alternativet för användartrafik “Limit bandwidth consuming applications” med möjlighet att begränsa hastigheten för utgående/in kommande trafik för grupper av applikationer.

Därefter öppnar vi avsnittet Policy, där reglerna automatiskt har genererats enligt de tidigare beskrivna inställningarna.

Avsnittet NAT fungerar som standard i Global Hide Nat Automatic, vilket innebär att alla interna värdar kommer att få tillgång till Internet via en offentlig IP-adress. Det finns möjlighet att manuellt ställa in NAT-regler för att publicera dina webbapplikationer eller tjänster.

Nästa avsnitt som handlar om autentisering av användare i nätverket erbjuder två alternativ: Active Directory Queries (integration med din AD) och Browser-Based-Authentication (användaren anger domänuppgifter på portalen).

Vi bör särskilt nämna SSL-inspektion, där andelen all HTTPS-trafik på det globala nätet växer snabbt. Låt oss titta på vilka möjligheter CheckPoint erbjuder för SMB-lösningar, för detta går vi till avsnittet SSL-Inspection → Policy:

I inställningarna finns det möjlighet att inspektera HTTPS-trafik, det krävs att importera ett certifikat och installera det i centrum för betrodda certifikat på slutanvändarmaskiner.

En bekväm funktion är BYPASS-läget för förinställda kategorier, vilket sparar betydligt tid vid aktivering av inspektionen.

Efter att ha ställt in regler på brandväggs- / applikationsnivå bör vi gå vidare till justering av säkerhetspolicys (Threat Prevention), för detta går vi in i motsvarande avsnitt:

På den öppna sidan ser vi aktiverade blad, status för signatur- och databasuppdateringar. Vi erbjuds också att välja en profil för att skydda nätverksperimtern, och motsvarande inställningar visas.

Ett separat avsnitt “IPS Protections” gör det möjligt att konfigurera åtgärder för en viss säkerhetssignatur.

För inte så länge sedan skrev vi i vår blogg om en global sårbarhet för Windows Server — SigRed. Låt oss kontrollera dess närvaro i Gaia Embedded 80.20 genom att ange förfrågan “CVE-2020-1350”

Det har upptäckts en post för denna signatur som ett av åtgärderna kan tillämpas på. (som standard Prevent för kritisk risknivå). Eftersom du har en SMB-lösning kommer du inte att bli utan uppdateringar och support, det är en komplett NGFW-lösning för filialkontor med upp till 200 personer från CheckPoint.

Utvärdering av funktionalitet

Avslutningsvis i artikeln vill jag nämna att det finns verktyg för att felsöka problem efter den initiala konfigurationen och inställningen av SMB-lösningen. Du kan gå till avsnittet 'HEM' → 'Verktyg'. Möjliga alternativ:

• övervakning av systemresurser;
• ruttningstabell;
• kontroll av tillgänglighet för CheckPoint-molntjänster;
• generera CPinfo;

Det finns också inbyggda nätverkskommandon: Ping, Traceroute, Traffic Capture.

Således har vi idag behandlat och studerat den initiala anslutningen och konfigurationen av NGFW 1590, liknande åtgärder kommer du att utföra för hela serien 1500 SMB CheckPoint. De tillgängliga alternativen visade oss hög variation för inställningar, stöd för moderna metoder för att skydda trafiken på nätverksperimeter.

I dag har CheckPoint-lösningar för att skydda små kontor och filialer (upp till 200 personer) en bred uppsättning funktioner och använder den senaste teknologin (molnhantering, stöd för SIM-kort, minnesexpansion med SD-kort, etc.). Fortsätt att hålla dig informerad och läsa artiklar från TS Solution, vi planerar att vidare publicera delar om NGFW CheckPoint-familjen av SMB, vi ses!

Ett omfattande urval av material om Check Point från TS Solution. Håll dig uppdaterad (Telegram, Facebook, VK, TS Solution Blog, Yandex.Dzen).

Källa: habr.com