Hej alla! Den här artikeln kommer att ägnas åt en översikt över VPN-funktionaliteten i Sophos XG Firewall-produkten. I det föregående artikeln Vi diskuterade hur man får den här hemnätverksskyddslösningen gratis med en fullständig licens. Idag ska vi prata om VPN-funktionaliteten som är inbyggd i Sophos XG. Jag ska försöka berätta för dig vad den här produkten kan göra, och även ge exempel på att konfigurera IPSec Site-to-Site VPN och anpassad SSL VPN. Så låt oss börja med recensionen.

Först av allt, låt oss titta på licenstabellen:

Du kan läsa mer om hur Sophos XG Firewall är licensierad här:
Länk
Men i den här artikeln kommer vi bara att vara intresserade av de punkter som är markerade i rött.

Den grundläggande VPN-funktionaliteten ingår i grundlicensen och köps endast en gång. Detta är en livstidslicens och kräver ingen förnyelse. Modulen Base VPN Options inkluderar:

Webbplats till webbplats:

• SSL VPN
• IPSec VPN

Fjärråtkomst (klient-VPN):

• SSL VPN
• IPsec klientlös VPN (med gratis användarapp)
• L2TP
• PPTP

Som vi kan se stöds alla populära protokoll och typer av VPN-anslutningar.

Dessutom har Sophos XG Firewall ytterligare två typer av VPN-anslutningar som inte ingår i grundprenumerationen. Dessa är RED VPN och HTML5 VPN. Dessa VPN-anslutningar ingår i Nätverksskydd-prenumerationen, vilket innebär att för att kunna använda dessa typer måste du ha ett aktivt abonnemang, vilket även inkluderar nätverksskyddsfunktionalitet - IPS- och ATP-moduler.

RED VPN är en egenutvecklad L2 VPN från Sophos. Denna typ av VPN-anslutning har ett antal fördelar jämfört med Site-to-site SSL eller IPSec när du ställer in ett VPN mellan två XG:er. Till skillnad från IPSec skapar RED tunnel ett virtuellt gränssnitt i båda ändar av tunneln, vilket hjälper till med felsökning, och till skillnad från SSL är detta virtuella gränssnitt fullt konfigurerbart. Administratören har full kontroll över subnätet inuti den RÖDA tunneln, vilket gör det lättare att lösa routingproblem och subnätkonflikter.

HTML5 VPN eller Clientless VPN – En specifik typ av VPN som låter dig vidarebefordra tjänster via HTML5 direkt i webbläsaren. Typer av tjänster som kan konfigureras:

• RDP
• Telnet
• SSH
• VNC
• FTP
• FTP
• SFTP
• SMB

Men det är värt att tänka på att denna typ av VPN endast används i speciella fall och det rekommenderas, om möjligt, att använda VPN-typerna från listorna ovan.

Praxis

Låt oss ta en praktisk titt på hur man ställer in flera av dessa tunneltyper, nämligen: Site-to-Site IPSec och SSL VPN Remote Access.

Plats-till-plats IPSec VPN

Låt oss börja med hur man ställer in en Site-to-Site IPSec VPN-tunnel mellan två Sophos XG-brandväggar. Under huven använder den strongSwan, vilket gör att du kan ansluta till vilken router som helst som stöder IPSec.

Du kan använda den bekväma och snabba installationsguiden, men vi tar den allmänna vägen så att du baserat på denna instruktion kan kombinera Sophos XG med valfri utrustning via IPSec.

Låt oss öppna fönstret för policyinställningar:

Som vi kan se finns det redan förinstallerade inställningar, men vi kommer att skapa våra egna.

Låt oss konfigurera krypteringsparametrarna för den första och andra fasen och spara policyn. I analogi gör vi samma åtgärder på den andra Sophos XG och fortsätter med att konfigurera själva IPSec-tunneln

Vi anger namn, driftläge och konfigurerar krypteringsparametrar. Till exempel kommer vi att använda fördelad nyckel

och ange lokala och fjärrundernät.

Vår anslutning har skapats

I analogi gör vi samma inställningar på den andra Sophos XG, förutom driftläget, där ställer vi in ​​Initiera anslutningen

Nu har vi två tunnlar konfigurerade. Därefter måste vi aktivera och starta dem. Detta görs väldigt enkelt, du måste klicka på den röda cirkeln under ordet Aktiv för att aktivera och på den röda cirkeln under Anslutning för att starta anslutningen.
Om vi ​​ser en bild som denna:

Det betyder att vår tunnel fungerar korrekt. Om den andra indikatorn är röd eller gul är något felaktigt konfigurerat i krypteringspolicyerna eller lokala och fjärranslutna undernät. Låt mig påminna dig om att inställningarna bör speglas.

Jag skulle vilja betona separat att det är möjligt att skapa failover-grupper från IPSec-tunnlar för feltolerans:

Fjärråtkomst SSL VPN

Låt oss gå vidare till SSL VPN med fjärråtkomst för användare. Under huven finns en standard OpenVPNDetta gör det möjligt för användare att ansluta via vilken klient som helst som stöder .ovpn-konfigurationsfiler (t.ex. standardanslutningsklienten).

Först måste du ställa in policyer. OpenVPN servrar:

Ange transport för anslutning, konfigurera port, intervall av IP-adresser för att ansluta fjärranvändare

Du kan också ange krypteringsinställningar.

Efter att ha ställt in servern fortsätter vi med att konfigurera klientanslutningar.

Varje SSL VPN-anslutningsregel skapas för en grupp eller för en enskild användare. Varje användare kan bara ha en anslutningspolicy. Enligt inställningarna, från det intressanta, för varje sådan regel kan du specificera hur enskilda användare som kommer att använda den här inställningen eller en grupp från AD, kan du aktivera en kryssruta så att all trafik lindas in i en VPN-tunnel eller ange IP-adresser, subnät eller FQDN-namn tillgängliga för användare. Baserat på dessa policyer kommer en .ovpn-profil med inställningar för klienten att skapas automatiskt.

Med hjälp av användarportalen kan användaren ladda ner både .ovpn-filen med inställningarna för VPN-klienten och VPN-klientens installationsfil med den inbyggda anslutningsinställningarsfilen.

Slutsats

I den här artikeln gick vi kort över VPN-funktionaliteten i Sophos XG Firewall-produkten. Vi tittade på hur man ställer in IPSec VPN och SSL VPN. Detta är långt ifrån en komplett lista över vad den här lösningen kan göra. I följande artiklar ska jag försöka granska RED VPN och visa hur det ser ut i själva lösningen.

Tack för din tid.

Om du har några frågor om den kommersiella versionen av XG Firewall kan du kontakta oss - företaget Faktorgrupp, Sophos distributör. Allt du behöver göra är att skriva i fri form på sophos@fgts.ru.

Källa: will.com