PracticU

הגדרת Site-to-Site VPN
חלק 2

בלי כתוביותעם כתוביות
PracticU › קורס צ'ק פוינט - Check Point Gaia R81 › הגדרת Site-to-Site VPN חלק 2
הגדרת Site-to-Site VPN חלק 2
חלק שני של Site-to-Site VPN מתחיל בהגדרת הפיירוול של תל אביב: Encryption Domain, הוספת ה-Blade, והבחירה בין מבנה Star ל-Mesh.
השלבים העיקריים
1. Encryption Domain: קבוצה שרק האובייקטים שבה נגישים לתעבורת הטאנל. אם תחנה לא נמצאת בה, היא לא תוכל לדבר עם השרת גם אם יש חוק שמתיר זאת. יוצרים Network Group בשם TLV-ENC-DOM ושמים בה את השרת, ובירושלים Jerusalem-ENC-DOM עם התחנה 10.90.9.10, שקוראים לה jrvm1.
2. הוספת IPsec VPN: ב-Blade של הגטוויי מפעילים IPsec VPN, שמטפל ב-Site-to-Site. Mobile Access מטפל בחיבור תחנות כמו MyHomeLab (יש סרטון נפרד).
3. בחירת Domain: אפשר All IP Addresses, שאומר שהכול עובר בטאנל ואין הקשחה, אבל זה פחות מומלץ. אפשר גם Encryption Domain נפרד לחיבור משתמשים מהבית.
4. VPN Community: יוצרים את הטאנל כ-Community, שיכול להיות Star או Mesh.
Star מול Mesh
1. Star: סניף ראשי כמרכז וסניפים כלווייני. כל סניף רואה רק את המרכז. ירושלים וחיפה מדברים עם תל אביב אבל לא רואים אחד את השני, אלא אם מגדירים שיראו דרך המרכז, בלי טאנל ישיר ביניהם.
2. Mesh: כולם רואים את כולם. כל פיירוול מחזיק טאנל מול כל האחרים: עם 20 פיירוולים לכל אחד 19 טאנלים פעילים.
3. שילוב: תל אביב כסניף ראשי בישראל ו-ניו יורק כסניף ראשי עם סניפים משלו (למשל סיאטל, סן פרנסיסקו). הסניפים במבנה Star, והראשיים ב-Mesh. חיפה יגיע לסיאטל דרך תל אביב.
מה כדאי
Star פשוט יותר ופחות בעייתי, והוא הנפוץ. עקרון האבטחה: לפתוח כמה שפחות. אין סיבה שסניף יראה סניף אחר, או שמחשב יראה את המחשב הסמוך לו או מחשב בקומה אחרת.
אחרי ההרצאה אפשר להגדיר Encryption Domain ולבחור מבנה Community מתאים לסניפים.
השיעור הבא בקורס: הגדרת Site-to-Site VPN חלק 3
מילון מושגים:
VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.
חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.
הצפנה - המרת מידע לצורה בלתי קריאה בעזרת מפתח, כך שרק מי שמחזיק במפתח המתאים יכול לפענח ולקרוא אותו.
קבוצה - אוסף של משתמשים או אובייקטים שמנוהלים יחד, כדי להעניק הרשאות או הגדרות משותפות בבת אחת.
שרת - מחשב או תוכנה שמספקים שירות למחשבים אחרים (לקוחות) ברשת, למשל אחסון קבצים, אתר אינטרנט או מסד נתונים, ומגיבים לבקשות שלהם.
DOM - ייצוג עץ של מבנה דף HTML בזיכרון, שמאפשר לקוד לקרוא ולשנות את תוכן הדף ומבנהו.
IPsec - אוסף פרוטוקולים להצפנה ולאימות של תעבורת IP, המשמש בעיקר לחיבורי VPN מאובטחים.
כתובת IP - מספר שמזהה באופן ייחודי מכשיר ברשת מבוססת פרוטוקול IP, ומאפשר לשלוח אליו ולקבל ממנו מידע.

פרקי ההרצאה: הגדרת Site-to-Site VPN חלק 2

  1. 00:00

    הגדרת Encryption Domain

  2. 00:38

    יצירת קבוצות לכל סניף

  3. 01:18

    הוספת בלייד IPSec

  4. 01:52

    יצירת VPN Community

  5. 02:28

    תצורת Star מול Mesh

  6. 03:05

    שילוב תצורות ברשת גדולה

תמלול ההרצאה: הגדרת Site-to-Site VPN חלק 2

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Site-to-Site VPN חלק 2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    אוקיי, אז אנחנו מתחילים להגדיר, אמרנו קודם כל אנחנו מגדירים בסניף תל אביב. הדבר הראשון שאני מגדיר זה Encryption Domain. Encryption Domain זו קבוצה שאני תכף יוצר, ורק אובייקטים שנמצאים בקבוצה נגישים לתעבורה בתל אביב.

  2. 00:17

    זאת אומרת, אם אנחנו רוצים שתחנה אחת תוכל לדבר עם שרת אחד, אז ב-Encryption Domain של תל אביב נשים את השרת, ב-Encryption Domain של ירושלים נשים את התחנה.

  3. 00:29

    אם תהיה פה תחנה נוספת והיא לא ב-Encryption Domain, לא תוכל לדבר עם שרת אחת אפילו אם יהיה חוק שמאפשר את התעבורה זה לא נכנס ל-Encryption Domain זה לא עובר אז אני יוצר פה עכשיו קבוצה אמרנו Network Group אני קורא לקבוצה TLV-ENC-DOM שזה קיצור של-Encryption Domain ואני שם פה את השרת עכשיו אני יוצר את אותה קבוצה עבור

  4. 00:55

    Jerusalem-ENC-DOM ואני שם בה את התחנה אם אין לי פה את התחנה אני יוצר אותה 10.90.9.10 אז אני קורא לה jrvm1 10.90.9.10. כשנתחיל להגדיר את סניף תל אביב את סניף ירושלים נעשה את אותו דבר אז יש לי שני encryption domain אני באובייקט של ה-getway מוסיף את ה-ipsec ה-ipsec הזה מטפל בסייט וסייט

  5. 01:26

    vpn המובייל מטפל בחיבור של תחנות כמו המי-הום-לאפ הזה, יש לנו סרטון אחר שמתעסק בזה. אז הוספתי את ה-IPsec, encryption domain אנחנו שמים אותו פה, אפשר all IP address, זה לא מומלץ, all IP address זה אומר שהכל עובר בטאנל, אין הגדרה שמקשיחה מה מורשה, זה פחות מומלץ, אנחנו TLV,

  6. 01:50

    אפשר לעשות encryption domain נפרד לחיבור של משתמשים מהבית. אז דבר ראשון שמתי את ה-Blade של ה-VPN, שמתי את ה-encryption domain, עכשיו אנחנו ניצור את הטאנל VPN Community זה נקרא ויש לנו סטאר ויש לנו מש.

  7. 02:07

    סטאר זה חיבור של סניף ראשי כמו לוויינים אם זה הסטאר שלנו הוא המרכז אז הטאנל הם מחוברים אליו. זאת אומרת סניף ירושלים יכול לדבר מול תל אביב סניף חיפה יכול לדבר מול תל אביב אבל בהגדרת ברירת מחדל בדיפולט חיפה לא יכול לראות את ירושלים.

  8. 02:28

    זאת אומרת שיש לנו סניף ראשי ומלא מלא סניפים מרוחקים שכולם יכולים לראות רק את המרכז. אפשר לעשות הגדרה שהם יוכלו לראות אחד את השני אבל דרך המרכז אין טאנל בין חיפה לירושלים.

  9. 02:44

    ההגדרה של מש זה שכולם רואים את כולם. אם אנחנו נחפש טאנלים שהם מוגדרים בfirewall אנחנו נראה מלא טאנלים בין כולם לכולם, זה המש. יהיה טאנל חיפה ירושלים, חיפה תל אביב, תל אביב ירושלים.

  10. 03:00

    תחשבו שיש לנו פה 20 פיירוולים, אז כל פיירוול יש לו 19 טאנלים פעילים, כי כולם יש להם טאנל מול כולם. יש תצורות שזה מתאים ויש תצורות שהסטאר מתאים, בדרך כלל הסטאר יותר פופולרי.

  11. 03:14

    האופציה הנוספת היא לשלב, נגיד סניף תל אביב הוא הסניף הראשי בישראל, כל הסניפים בישראל רואים את הסניף של תל אביב. עכשיו נגיד ויש לנו פה סניף ניו יורק וגם לו יש כל מיני סיאטלים ודברים אחרים סן פרנסיסקו הם מחוברים אליו אלה עדיין יהיו בתצורת סטאר והסניפים המרכזיים יהיו מחוברים במש זאת אומרת תל אביב יראה את ניו יורק אם יש עוד

לקורס המלא: קורס צ'ק פוינט – Check Point

ההרצאה הקודמת: הגדרת Site-to-Site VPN - חלק 1

ההרצאה הבאה: הגדרת Site-to-Site VPN - חלק 3

הרצאות קשורות מקורסים אחרים

  • הגדרת VPN site-to-site
  • הקמת VPN Site-to-Site - הגדרת NAT
  • VPN
  • הגדרת VPN Tunnel

קורסים נוספים במסלול

  • קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301
  • קורס CCNP
  • קורס פורטיגייט - FortiGate