PracticU

הגדרת Site-to-Site VPN
חלק 10 - סניף מרוחק בניהול מרכזי

בלי כתוביותעם כתוביות
PracticU › קורס צ'ק פוינט - Check Point Gaia R81 › הגדרת Site-to-Site VPN חלק 10 - סניף מרוחק בניהול מרכזי
הגדרת Site-to-Site VPN חלק 10 - סניף מרוחק בניהול מרכזי
בשיעור הזה משלימים את סניף חיפה בניהול מרכזי: חוקי גישה, הוספת חיפה ל-VPN, פתרון בעיית הניהול עם NAT וניתוב, ובדיקה שהטאנל עובד.
השלבים העיקריים
1. חוקי אינטרנט לחיפה: מתירים ל-firewall חיפה את cp-internet access לעדכוני Check Point, DNS ו-NTP (פורט 123). ההתקנה של חוקים אלה נעשית רק על חיפה.
2. הוספת חיפה ל-VPN: משכפלים את החוק, מחליפים את ה-install on ואת האובייקט של התחנה, ומוסיפים את חיפה ל-star community הקיים (שנקרא כעת TLV to remote sites). חיפה וירושלים לא רואות זו את זו, רק את gw2. כל הגדרות ההצפנה נשארות, ולא צריך להזין אותן שוב.
3. הניהול נתקע: ה-install מול חיפה לא מסתיים כי הניהול נחסם. מוסיפים חוק NAT שבו התעבורה ממכונת הניהול לחיפה נשארת original, ומתקינים אותו על gw2.
4. נתיב חזרה: ל-default gateway של חיפה יש רק את VMware, ולכן מלמדים את חיפה להגיע לרשת הניהול דרך 10.80.8.1, כולל ה-client. בסביבת production היה צריך IP חיצוני קבוע למכונת הניהול.
5. גישה מקומית: נכנסים לחיפה דרך מכונת הניהול עם SSH, ומוסיפים בה host access למכונת הניהול ול-client. בודקים עם expert שמי שמנהל אותה הוא 10.80.8.1.
6. Policy: משתמשים ב-section title בשם "חיפה policy" לחוקי חיפה בלבד, ובחוק cleanup שבו רואים מי נחסם. אפשר גם policy נפרד לכל סניף, אבל כל עוד הוא לא מורכב נשארים עם policy אחד. אפשר לבטל לוג לכתובות broadcast.
7. הטאנל: ב-vpn tu רואים שלב 1 מול gw2, ומחזירים IKEv2 שהופל בשיעור הקודם. ב-firewall של Windows בשרת מוסיפים את רשת חיפה ל-SMB, ואחרי install על שני ה-firewalls ה-RDP וה-ping עובדים. מעקב: ב-Tunnel and User Monitor רואים את ה-gateway מול חיפה.
טעויות נפוצות
- החוק מותקן רק על חיפה, ו-gw2 חוסם. חוק שמתיר תעבורת VPN צריך להיות מותקן על שני ה-firewalls.
- כתובות IP כפולות בין סניפים, שהקימו בהדרגה בלי סדר, עלולות להפיל את הטאנלים. בניסיון של המרצה הדבר התגלה רק כשבנה כל טאנל וקהילה בנפרד.
אחרי השיעור אפשר להרחיב VPN קיים לסניף נוסף בניהול מרכזי, ולהבין למה האובייקטים מוגדרים פעם אחת.
השיעור הבא בקורס: צ'ק פוינט קלאסטר - Cluster חלק 1
מילון מושגים:
NAT - מנגנון שמתרגם כתובות IP פרטיות לכתובת ציבורית אחת, כדי לאפשר למחשבים ברשת פנימית לגשת לאינטרנט.
NTP - פרוטוקול לסנכרון שעון המחשבים ברשת מול מקור זמן מדויק.
שער ברירת מחדל - כתובת ההתקן ברשת שאליו נשלחת תעבורה המיועדת לרשתות אחרות, בדרך כלל הראוטר ליציאה לאינטרנט.
SSH - פרוטוקול לחיבור מרוחק ומוצפן למחשב, בעיקר לשרתי Linux, לצורך ניהול דרך שורת הפקודה.
ברודקאסט - שידור של הודעה אחת לכל המכשירים ברשת המקומית בו-זמנית.
SMB - פרוטוקול של Windows לשיתוף קבצים ומדפסות ברשת ולגישה למשאבים מרוחקים.
RDP - פרוטוקול של מיקרוסופט לחיבור לשולחן עבודה מרוחק של מחשב Windows והפעלתו מרחוק.
Ping - פקודה שבודקת אם מכשיר ברשת מגיב ומודדת את זמן התגובה אליו.

פרקי ההרצאה: הגדרת Site-to-Site VPN חלק 10 - סניף מרוחק בניהול מרכזי

  1. 00:00

    חוקי אינטרנט ו-DNS לחיפה

  2. 00:39

    שכפול חוק ה-VPN לחיפה

  3. 01:57

    VPN Routing בין הסניפים

  4. 02:39

    חוקי DNS ו-NTP

  5. 03:14

    חסימת המנג'מנט בלוגים

  6. 04:14

    התקנה מול חיפה

  7. 05:22

    ניתוב חיפה למנג'מנט

  8. 06:26

    ניהול חיפה ב-SSH

תמלול ההרצאה: הגדרת Site-to-Site VPN חלק 10 - סניף מרוחק בניהול מרכזי

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Site-to-Site VPN חלק 10 - סניף מרוחק בניהול מרכזי» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    אנחנו מוסיפים פה שאם firewall חיפה יצא לאינטרנט אז הוא מורשה cp-internet access, אמרנו העדכונים של צ'קפוינט.

  2. 00:12

    מה עוד אנחנו רוצים שהוא יוכל לקבל dns מהסרבר שלנו. עכשיו אנחנו ניצור חוק vpn מול ירושלים אז אני מגביל אותו ל-getway 2. אני לא רוצה שה-vpn מול ירושלים יהיה גם בחיפה אז אני עושה את ה-install on רק על ה-firewall בתל אביב.

  3. 00:33

    עכשיו אני אעשה פה חוק חדש, אבל לפני כן אני אעשה פאבליש ראשון, add firewall חיפה to central management. אני למעשה משכפל את החוק הזה ועושה בו את השינויים כדי שזה יתפוס על חיפה.

  4. 00:49

    אני אעשה paste below, ודבר ראשון, במקום על gateway2 אני משנה את זה לחיפה, ופה במקום jrvm אני מוריד אותו ואני שם את חיפהvm, ובמקום TLV to JR אני יוצר VPN tunnel חדש, star community חדש ופה אנחנו ניהול מרכזי של TLV אז זה TLV to חיפה.

  5. 01:17

    כעיקרון אני יכול ליצור פה את ה-star החדש הזה אבל אני רוצה להתחכם עוד קצת, אני אחזיר את ה-TLV to JR ונשנה את TLV to JR, TLV to remote sites, ואז אני פשוט מוסיף פה את חיפה.

  6. 01:37

    אלה לא רואים אחד את השני כי זה סטאר קומיוניטים, הם רואים רק את GW2. הכל אותו דבר, אין צורך לשנן שוב פעם AES וכו' וכו', כל ההגדרות תופסות כי הוא סנטרל והוא יוצר את אותו טאנל בדיוק כמו מול JR שעשינו בשיעור הקודם, הפעם מול חיפה.

  7. 01:57

    ה-VPN ראוטינג מבטיח שחיפה וירושלים לא רואים אחד את השני, אקסקלוט סרוויסס כרגע אנחנו לא צריכים, יש לנו share secret אבל שימו לב use only share secret for all external member זאת אומרת חיפה לא נמצא פה כי הוא מנהל מקומית ואז אנחנו עושים פה אוקיי ואפשר לעשות install אני רק רוצה לוודא שוב יש לנו ניהול כל השאר נחסם הפיירוול

  8. 02:25

    של חיפה יש לו אינטרנט בשביל שיהיה לו dns אני משכפל את החוק הזה ומשאיר בו רק את חיפה כי חיפה לא יכול לקבל את ה-DNS מהשרת כרגע. בואו נרים, יש לי פה גוגל DNS.

  9. 02:42

    אם אין, אנחנו יוצרים אותו. זהו, הוא מקבל DNS מפה. אנחנו נוסיף פה NTP, port 123, ואז יש לנו לכולם NTP. אוקיי, Install Policy, FW, חיפה, WIT,

  10. 03:00

    VPN and Basic Internet. אני לא עושה install על gw2 אני עושה אותו על חיפה כתוב לנו not activate זה בסדר אנחנו עובדים פה עם רישוי זמני לשלושה שבועות לחודש נראה שהאינסטול תקוע אני רוצה לראות בלוגים בוא נעשה פה dst כרגע אני פחות מתעניין בגטוויי התל אביב ואני רוצה לראות שהניהול עובד לי אני רוצה להתמקד יותר במנג'מנט

  11. 03:30

    אז אנחנו רואים שעדיין המנג'מנט נחסם זה אומנם מלפני רבע שעה, 3.47, 10.80, 11.4. אתה רוצה לנסות משהו? אני אוסיף פה חוק נאט אם המנג'מנט פונה לפיירוול חיפה שלא יקרה נאט.

  12. 03:50

    אני אומר לו תשאיר אוריג'ינל, זאת אומרת שהוא יראה אותו כ-10.80, 11.4. מי שינהל את החוק הזה זה הפיירוול התל אביבי שלנו. נוט פרום מנג'מנט טו חיפה זה אינסטול אני לא יכול לעשות אינסטול כפול אבל זה אינסטול מול חיפה שהוא תקוע אז אני יכול לעשות את האינסטול על תל אביב בוא ננסה פעם אני אומר לו תעשה את האינסטול על gw2 אני לא רוצה שגטווי

  13. 04:28

    2 יעשה לנו נוט זאת אומרת 10.811.4 יגיע כמו שהוא ל-10.883 עכשיו בגלל ש-10.80.83 יוצא לדיפולט גטווי שלו באינטרנט ואנחנו בסביבת מעבדה, אז אני אלמד אותו לצאת דרך 10.80.81. בסביבת פרודקשן היינו צריכים IP קבוע חיצוני למנג'מנט כדי שהוא יוכל לנהל סניפים שונים.

  14. 04:55

    אז הדיפולט של חיפה זה 10.80.8200, אני חוזר לסרטוט, ה-VMWare נותן לנו דיפולט גטווי 10.80.8200. עכשיו אני אומר לו ל-10.80.11 לך ל-10.80.81.

  15. 05:09

    ובוא נראה איך עושים את זה. 10, 80, 11, אני יכול להגביל אותו רק ל-4. אז אני אומר פה route to management server on TLV site. שכחתי להגיד לו.

  16. 05:27

    10, 80, 81. אני חוזר שוב, מה עשינו פה? אני מלמד צניף חיפה של 10, 80, 11, 4 לגשת דרך 10, ואולי כדאי גם את 1111 אז אולי נשנה את זה לכל 1088 כדי שגם 108144 שלנו שזה הגווי קליינט 1111 פה שגם הוא יוכל להגיע דרך הגטווי 10811 דרך 10881 נחכה שהאינסטול הזה ייכשל ונעשה אינסטול חדש בינתיים אנחנו יכולים לבדוק את

  17. 06:04

    זה אם ניכנס למנג'מנט דיברנו על האקספרט שהוא למצב דיבג אז הנה פה אני יכול לראות 10.80.8.3 יפה אנחנו יכולים גם לנהל אותו אמרנו host access אז אנחנו יכולים להוסיף 10.80.11.4 אפשר גם להוסיף את הגוי client שלי 10.80.11.11.

  18. 06:31

    עכשיו מתוך המנג'מנט אני יכול לעשות ssh-l admin אסיים לו את ה-IP שלו ולראות שאני יכול לנהל יפה אני עכשיו שם סיסמה לפיירוול חיפה גם פה אין לי עדיין אקספרט בוא נעשה לו ככה לוק דאטה בייס אובר רייט הוא כותב את זה פה זה בגלל שאנחנו עובדים עם הדפדפן

לקורס המלא: קורס צ'ק פוינט – Check Point

ההרצאה הקודמת: הגדרת Site-to-Site VPN - חלק 9 - סניף מרוחק בניהול מרכזי

ההרצאה הבאה: צ'ק פוינט קלאסטר - Cluster - חלק 1

הרצאות קשורות מקורסים אחרים

  • הגדרת VPN site-to-site
  • הקמת VPN Site-to-Site - הגדרת NAT
  • VPN
  • הגדרת VPN Tunnel

קורסים נוספים במסלול

  • קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301
  • קורס CCNP
  • קורס פורטיגייט - FortiGate