3. UserGate Komma igång. Nätverkspolicies

Välkomna läsare till den tredje artikeln i vår artikelserie "UserGate Kom igång", där vi berättar om NGFW-lösningen från företaget UserGate. I den föregående artikeln beskrevs installationsprocessen för brandväggen och dess första konfiguration. Nu kommer vi att gå mer i detalj på hur man skapar regler inom områden som "Brandvägg", "NAT och routing" och "Bandbredd".

Idén bakom reglerna i UserGate är att de tillämpas från topp till botten, fram till den första som aktiveras. Baserat på detta bör mer specifika regler placeras ovanför mer generella regler. Men det bör nämnas att eftersom reglerna kontrolleras i ordning, är det mer effektivt att skapa generella regler. Villkor för att skapa en regel tillämpas enligt logiken "OCH". Om man vill använda logiken "ELLER", kan detta uppnås genom att skapa flera regler. Så det som beskrivs i denna artikel är även tillämpligt på andra policys i UserGate.

Brandvägg

Efter installationen av UserGate finns redan en enkel policy i avsnittet "Brandvägg". De första två reglerna blockerar trafik för bot-nätverk. Därefter följer exempel på åtkomstregler från olika zoner. Den sista regeln kallas alltid "Blockera allt" och är markerad med en låsikon (den betyder att regeln inte kan tas bort, ändras, flyttas eller inaktiveras; man kan endast aktivera loggning för den). På så sätt kommer hela tydligt oauktoriserad trafik att blockeras av den sista regeln. Om man behöver tillåta all trafik genom UserGate (även om detta starkt avråds), kan man alltid skapa en näst sista regel "Tillåt allt".

Vid redigering eller skapande av en regel för brandväggen är det första fliken "Allmänt", där du behöver utföra följande åtgärder: 

• Använd kryssrutan "Aktivera" för att slå på eller stänga av regeln.

• ange regelnamn.

• ange en beskrivning av regeln.

• välja mellan två åtgärder:

  • Blockera — blockerar trafiken (om detta villkor sätts, finns det möjlighet att skicka ICMP host unreachable, du behöver bara aktivera motsvarande kryssruta).

  • Tillåta — tillåter trafiken.

• Skriptpunkten — möjliggör att välja ett scenario som är ett tilläggsvillkor för att utlösa regeln. Så implementerar företaget UserGate konceptet SOAR (Security Orchestration, Automation and Response).

• Loggning — registrera information om trafiken vid utlösning av regeln. Möjliga alternativ:

  • Logga sessionsstart. I så fall registreras endast information om början av sessionen (första paketet) i trafikloggen. Detta är det rekommenderade loggningsalternativet.

  • Logga varje paket. I så fall registreras information om varje överfört nätverkspaket. För detta läge rekommenderas det att aktivera loggningsgränser för att förhindra hög belastning på enheten.

• Tillämplig regel på:

  • Alla paket

  • fragmenterade paket

  • icke-fragmenterade paket

• Vid skapandet av en ny regel kan en plats i policyn väljas.

Nästa fliken "Källa". Här anger vi trafikens källa, det kan vara en zon från vilken trafiken kommer, eller så kan en lista eller specifik ip-adress (Geoip) anges. Praktiskt taget i alla regler som kan ställas in i enheten kan ett objekt skapas från regeln, till exempel utan att gå till avsnittet "Zoner" kan knappen "Skapa och lägg till nytt objekt" användas för att skapa den zon vi behöver. Ofta finns också en kryssruta "Invertera", som ändrar villkoret för regeln till dess motsats, vilket motsvarar den logiska operationen negation. Fliken "Mål" är liknande fliken Källa, endast istället för trafikens källa anger vi trafikens mål. Fliken "Användare" — här kan en lista med användare eller grupper läggas till för vilka denna regel gäller. Fliken "Tjänst" — välj tjänstetyp från de fördefinierade alternativen eller specificera din egen. Fliken "Applikation" — här väljs specifika applikationer eller grupper av applikationer. Och fliken "Tid" anger tiden då denna regel är aktiv. 

Från förra lektionen har vi en regel för utgång till internet från zonen "Trust", nu ska jag som exempel visa hur man skapar en blockerande regel för ICMP-trafik från zonen "Trust" till zonen "Untrusted".

För att börja skapar vi en regel genom att klicka på knappen ”Lägg till”. I det öppnade fönstret på fliken allmänt fyller vi i namnet (Förbjud ICMP från trusted till untrusted), markerar rutan ”På”, väljer åtgärden förbjuda och viktigast av allt väljer vi rätt plats för denna regel. Enligt min policy ska denna regel placeras ovanför regeln ”Tillåt trusted till untrusted”:

På fliken ”Källa” finns det två alternativ för min uppgift:

• Genom att välja zonen ”Trusted”

• Genom att välja alla zoner utom ”Trusted” och markera rutan ”Invertera”

Fliken ”Destination” konfigureras på samma sätt som fliken ”Källa”.

Vi går vidare till fliken ”Tjänst”, eftersom UserGate har en fördefinierad tjänst för ICMP-trafik, klickar vi på knappen «Lägg till» och väljer tjänsten med namnet ”Any ICMP” från den föreslagna listan:

Kanske var det så skaparna av UserGate tänkte, men jag kunde skapa flera helt identiska regler. Även om endast den första regeln i listan kommer att utföras, kan möjligheten att skapa olika funktionella regler med samma namn orsaka förvirring när flera administratörer arbetar med enheten.

NAT och routing

Vid skapande av NAT-regler ser vi flera liknande flikar som för brandväggen. På fliken ”Allmänt” har ett fält ”Typ” lagts till, vilket gör att vi kan välja vad denna regel ska ansvarar för:

• NAT — Nätverksadressöversättning.

• DNAT — Omdirigerar trafik till angiven IP-adress.

• Portforwarding — Omdirigerar trafik till angiven IP-adress, men tillåter att ändra portnumret för den publicerade tjänsten.

• Policybaserad routing — Gör det möjligt att routa IP-paket baserat på utökad information, till exempel tjänster, MAC-adresser eller servrar (IP-adresser).

• Nätverkskartläggning — Gör det möjligt att ersätta IP-adresser från en källa eller destination i ett nätverk med ett annat nätverk.

Efter att ha valt rätt typ av regel kommer inställningar för den att bli tillgängliga.

I fältet SNAT IP (extern adress) anger vi tydligt den IP-adress som källadressen kommer att ersättas med. Detta fält behövs när det finns flera IP-adresser tilldelade nätverksgränssnitt i destinationszonen. Om detta fält lämnas tomt kommer systemet att använda en godtycklig adress från listan över tillgängliga IP-adresser som är tilldelade gränssnitten i destinationszonen. UserGate rekommenderar att ange SNAT IP för att öka prestandan hos brandväggen.

Som exempel publicerar jag SSH-tjänsten på Windows-servern som finns i zonen "DMZ" genom regeln "port forwarding". För detta klickar vi på knappen "Lägg till" och fyller i fliken "Allmänt", anger regelnamnet "SSH till Windows" och typ "Port forwarding":

I fliken "Källa" väljer vi zonen "Untrusted" och går till fliken "Port forwarding". Här måste vi ange protokollet "TCP" (det finns fyra alternativ — TCP, UDP, SMTP, SMTPS). Den ursprungliga destinationsporten 9922 — portnumret dit användare skickar förfrågningar (använd inte portar: 2200, 8001, 4369, 9000-9100). Den nya destinationsporten (22) — portnumret dit användarnas förfrågningar kommer att vidarebefordras till den interna publika servern.

I fliken "DNAT" anger vi IP-adressen till datorn i det lokala nätverket som publiceras på internet (192.168.3.2). Och valfritt kan man aktivera SNAT, så kommer UserGate att ändra källadressen i paketen från det externa nätverket till sin IP-adress.

Efter alla inställningar får vi en regel som möjliggör åtkomst från zonen "Untrusted" till servern med IP-adressen 192.168.3.2 över protokollet SSH, vilket använder den externa adressen från UserGate vid anslutning.

Bandbredd

I denna sektion ställs regler för hantering av bandbredd in. De kan användas för att begränsa kanalen för vissa användare, värdar, tjänster och applikationer.

När du skapar en regel definierar du i flikarna den trafik som begränsningarna ska tillämpas på. Du kan välja bandbredd från de föreslagna, eller ange din egen. När du skapar bandbredd kan du ange en prioriteringslabel för trafiken, DSCP. Ett exempel på när DSCP-labels tillämpas: genom att ange i regeln ett scenario där denna regel gäller, kan regeln automatiskt ändra dessa labels. Ett annat exempel på scenariet: regeln triggas för användaren endast när en torrent upptäcks eller om trafikvolymen överskrider det angivna gränsvärdet. De andra flikarna fylls i på samma sätt som i andra policyer, baserat på den typ av trafik som regeln ska tillämpas på.

Slutsats

I den här artikeln har jag gått igenom skapandet av regler i sektionerna "Brandvägg", "NAT och routning" samt "Bandbredd". Och i början av artikeln beskrev jag reglerna för att skapa policyer i UserGate, samt principen för hur villkoren fungerar när en regel skapas. 

Följ våra uppdateringar på våra kanaler (Telegram, Facebook, VK, TS Solution Blog)!

Källa: habr.com