Vi fortsĂ€tter vĂ„r serie av artiklar om NGFW för smĂ„företag; lĂ„t mig pĂ„minna om att vi behandlar den nya modellserien 1500. I denna serie nĂ€mnde jag en av de mest anvĂ€ndbara funktionerna vid köp av en SMB-enhet â leveransen av gateways med inbyggda licenser för Mobile Access (frĂ„n 100 till 200 anvĂ€ndare beroende pĂ„ modellen). I den hĂ€r artikeln kommer vi att gĂ„ igenom instĂ€llningen av VPN för 1500-seriens gateways som levereras med den förinstallerade Gaia 80.20 Embedded. HĂ€r Ă€r en sammanfattning:
- VPN-möjligheter för SMB.
- Organisering av fjÀrrÄtkomst för smÄ kontor.
- TillgÀngliga klienter för anslutning.
1. VPN-möjligheter för SMB
För att förbereda dagens material har den officiella för version R80.20.05 (vid tidpunkten för artikelns publicering â aktuell) anvĂ€nts. SĂ„ledes finns det stöd för VPN-funktioner i Gaia 80.20 Embedded:
- Site-To-Site. Skapa VPN-tunnlar mellan dina kontor, dÀr anvÀndarna kan arbeta som i ett enda "lokalt" nÀtverk.
- Remote Access. FjÀrranslutning till resurser i ditt kontor med hjÀlp av anvÀndarens enheter (PC, mobiltelefoner, etc.). Dessutom finns SSL Network Extender, som gör det möjligt att publicera specifika applikationer och köra dem via Java Applet genom att ansluta via SSL. AnmÀrkning: inte att förvÀxla med Mobile Access Portal (stöd pÄ Gaia Embedded saknas).
Ytterligare Jag rekommenderar starkt kursen TS Solution â den ger en förstĂ„else för Check Point-teknologier i samband med VPN, berör licensieringsfrĂ„gor och innehĂ„ller detaljerade instruktioner för konfigurering.
2. FjÀrrÄtkomst för smÄ kontor
Vi kommer att börja organisera fjÀrranslutningen till ditt kontor:
- För att anvĂ€ndarna ska kunna bygga en VPN-tunnel med gatewayen mĂ„ste du ha en offentlig IP-adress. Om du redan har genomfört den första instĂ€llningen ( i serien), Ă€r det vanligtvis â External Link redan aktiv. Informationen kan erhĂ„llas genom att gĂ„ till Gaia Portal: Device â Network â Internet
Om ditt företag anvĂ€nder en dynamisk offentlig IP-adress kan du ange Dynamic DNS. GĂ„ till Enhet â DDNS & Device Access
För nÀrvarande finns det stöd frÄn tvÄ leverantörer: DynDns och no-ip.com. För att aktivera alternativet behöver du ange dina autentiseringsuppgifter (anvÀndarnamn, lösenord).
- Sedan skapar vi ett anvĂ€ndarkonto, vilket kommer att vara anvĂ€ndbart för att testa instĂ€llningarna: VPN â Remote Access â Remote Access Users
I gruppen (med exemplet: remoteaccess) skapar vi en anvÀndare enligt anvisningarna pÄ skÀrmdumpen. KontoinstÀllningen Àr standard, vi anger anvÀndarnamn och lösenord, samt aktiverar alternativet för Remote Access-behörigheter.
Om du har tillÀmpat instÀllningarna framgÄngsrikt bör tvÄ objekt visas: lokal anvÀndare och lokal grupp av anvÀndare.
- NĂ€sta steg Ă€r att gĂ„ till VPN â Remote Access â Blade Control. Se till att du har aktiverat bladet och tillĂ„tit trafik frĂ„n fjĂ€rranvĂ€ndare.
- *Ovan har den minimiuppsĂ€ttning steg som behövs för att konfigurera Remote Access angetts. Men innan vi testar anslutningen, lĂ„t oss gĂ„ igenom ytterligare instĂ€llningar genom att gĂ„ till fliken VPN â Remote Access â Advanced
Baserat pÄ de aktuella instÀllningarna ser vi att fjÀrranvÀndare kommer att fÄ IP-adresser frÄn nÀtverket 172.16.11.0/24 vid anslutning, tack vare alternativet Office Mode. Detta Àr mer Àn tillrÀckligt för att stödja 200 samtidiga licenser (anges för 1590 NGFW Check Point).
Alternativ «Routa Internet-trafik frÄn anslutna klienter genom denna gateway» Àr valfritt och ansvarar för att routa all trafik frÄn den fjÀrranvÀndaren genom gatewayn (inklusive anslutningar till Internet). Detta gör det möjligt att inspektera anvÀndarens trafik och skydda hans eller hennes arbetsstation frÄn olika hot och skadlig programvara.
- *Arbete med Ätkomstpolicyer för Remote Access
Efter att vi har konfigurerat Remote Access skapades en automatisk Ă„tkomstregel pĂ„ brandvĂ€ggsnivĂ„; för att se den behöver du gĂ„ till fliken: Access Policy â Firewall â Policy
I det hĂ€r fallet kommer fjĂ€rranvĂ€ndare som ingĂ„r i den tidigare skapade gruppen att kunna fĂ„ Ă„tkomst till alla interna resurser i företaget; observera att regeln finns i den allmĂ€nna sektionen âInkommande, interna och VPN-trafikâ. För att tillĂ„ta VPN-anvĂ€ndares trafik pĂ„ Internet behöver ett separat regel i den allmĂ€nna sektionen skapas âUtgĂ„ende Ă„tkomst till Internetâ.
Till slut behöver vi se till att anvÀndaren kan skapa en VPN-tunnel till vÄr NGFW-gateway och fÄ Ätkomst till företagets interna resurser. För detta ÀndamÄl mÄste VPN-klienten installeras pÄ den testade vÀrden, med en hjÀlpfil bifogad för nedladdning. Efter installationen mÄste en standardprocedur för att lÀgga till en ny webbplats genomföras (den offentliga IP-adressen till din gateway anges). För bekvÀmlighetens skull Àr processen representerad i GIF-format.
NÀr anslutningen har etablerats, kontrollerar vi den mottagna IP-adressen pÄ vÀrddatorn med hjÀlp av kommandot i CMD: ipconfig
Vi har bekrĂ€ftat att den virtuella nĂ€tverksadaptern har fĂ„tt en IP-adress frĂ„n Office Mode pĂ„ vĂ„r NGFW, och paketen skickas framgĂ„ngsrikt. För att avsluta kan vi gĂ„ till Gaia Portal: VPN â FjĂ€rrĂ„tkomst â Anslutna fjĂ€rranvĂ€ndare
AnvĂ€ndaren ântuserâ visas som ansluten, vi kontrollerar hĂ€ndelseloggen genom att gĂ„ till Loggar & Ăvervakning â SĂ€kerhetsloggar
Anslutningsloggen registreras, med IP-adressen som kĂ€lla: 172.16.10.1 â detta Ă€r adressen som vĂ„r anvĂ€ndare fĂ„tt genom Office Mode.
3. Stödda klienter för FjÀrrÄtkomst
Efter att vi har gÄtt igenom proceduren för att stÀlla in en fjÀrranslutning till ditt kontor med hjÀlp av NGFW Check Point av SMB-familjen, skulle jag vilja nÀmna stödet för klienter för olika enheter:
- Mobil klient ( / )
- L2TP inbyggd klient (Check Point pÄstÄr sig stödja den inbyggda VPN-applikationen frÄn Microsoft).
MĂ„ngfalden av stödda OS och enheter gör att du kan anvĂ€nda din licens, som ingĂ„r med NGFW, fullt ut. För att stĂ€lla in en specifik enhet finns det ett bekvĂ€mt alternativ âHow to connectâ
I den genereras automatiskt stegen, baserat pÄ dina instÀllningar, vilket gör att administratörer enkelt kan installera nya klienter.
Slutsats: Sammanfattningsvis har vi i denna artikel gÄtt igenom möjligheterna med VPN för NGFW Check Point av SMB-familjen. Vi har dÀrefter beskrivit stegen för att stÀlla in FjÀrrÄtkomst, vid anslutning av anvÀndare pÄ distans till kontoret, och efterÄt undersökt övervakningsverktygen. I slutet av artikeln diskuterade vi de tillgÀngliga klienterna och anslutningsalternativen för FjÀrrÄtkomst. PÄ sÄ sÀtt kan ditt filialkontor sÀkerstÀlla kontinuitet och sÀkerhet för anstÀlldas arbete med hjÀlp av VPN-teknologier, trots olika externa hot och faktorer.
. HĂ„ll dig uppdaterad (, , , , ).
KĂ€lla: habr.com
