PracticU

הגדרת Site-to-Site VPN
חלק 3

בלי כתוביותעם כתוביות
PracticU › קורס צ'ק פוינט - Check Point Gaia R81 › הגדרת Site-to-Site VPN חלק 3
הגדרת Site-to-Site VPN חלק 3
בשיעור הזה מגדירים ב-SmartConsole את הצד של סניף ירושלים כ-firewall חיצוני, ובוחרים את פרמטרי ההצפנה והמבנה של ה-VPN.
השלבים העיקריים
1. הגדרת הסניף המרוחק: מכיוון שאין ניהול מרכזי, יוצרים את סניף ירושלים ידנית. ל-firewall שאינו Check Point בוחרים interoperable device (למשל Cisco, Palo Alto או Fortinet), ובמקרה שלנו, כשהוא Check Point אחר, בוחרים externally managed firewall ונותנים לו שם fwgr.
2. כתובת ה-IP של ה-VPN: בוחרים כתובת אחת מכל קווי האינטרנט של הסניף שתייצג אותו מול הטאנל. אין SIC כי ה-firewall אינו מנוהל על ידינו.
3. Blades וטופולוגיה: מסמנים רק Firewall ו-IPsec. מגדירים את ממשקי ETH0 ו-ETH1 ואת ה-encryption domain של תל אביב.
4. הגדרות הצפנה: לא בוחרים ב-default. בוחרים IKEv2 וקובעים ידנית AES256 ו-SHA256 עם Group 14, כי Group 2 כבר לא מאובטח. אותה טבלה משמשת את שני ה-firewalls.
5. Permanent tunnel: אפשרי רק בין Check Point ל-Check Point. מול ענן כמו Azure, שסופר ביטים לפי פעילות הטאנל, לא מסמנים אותו.
6. טאנל לכל gateway: הנפוץ ביותר הוא טאנל אחד לכל gateway, שבו עוברת כל התעבורה בין תל אביב לירושלים.
7. סוגי טופולוגיה: בצורת star הסניפים רואים רק את המרכז. כדי שסניף יראה סניפים אחרים בוחרים satellite, וכדי שיצא לאינטרנט דרך המרכז בוחרים באפשרות השלישית. הנפוץ ביותר הוא לראות רק את המרכז.
8. Multi entry point: שימושי כשיש כמה קווי אינטרנט, או כשיש firewall נוסף בדרך אל הסניף.
שימו לב
- גם כשיש קו פיזי בין הסניפים עדיין מקימים VPN, כי מישהו יכול להתחבר לקו בארון תקשורת ולראות את הנתונים.
אחרי השיעור אפשר להגדיר gateway חיצוני ולבחור עבורו הצפנה וטופולוגיית VPN.
השיעור הבא בקורס: הגדרת Site-to-Site VPN חלק 4
מילון מושגים:
VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.
חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.
הצפנה - המרת מידע לצורה בלתי קריאה בעזרת מפתח, כך שרק מי שמחזיק במפתח המתאים יכול לפענח ולקרוא אותו.
Cisco - חברה מובילה בציוד רשת, כמו ראוטרים ומתגים, ובהסמכות מקצועיות בתחום הרשתות.
IPsec - אוסף פרוטוקולים להצפנה ולאימות של תעבורת IP, המשמש בעיקר לחיבורי VPN מאובטחים.
ענן - אספקת משאבי מחשוב כשירות דרך האינטרנט, כמו שרתים, אחסון ותוכנות, במקום להחזיק אותם מקומית.
Azure - פלטפורמת הענן של מיקרוסופט, המספקת שרתים, אחסון, מסדי נתונים ושירותים רבים לפי שימוש.
שער - התקן או נקודה שמחברים בין רשתות ומעבירים דרכם תעבורה החוצה, למשל שער ברירת המחדל ליציאה לאינטרנט.

פרקי ההרצאה: הגדרת Site-to-Site VPN חלק 3

  1. 00:00

    הגדרת הסטאר והסאטלייט

  2. 00:40

    הגדרת Interoperable Device

  3. 01:17

    בחירת IP ל-VPN

  4. 01:54

    סימון בלייד IPSec

  5. 02:38

    הגדרת Encryption Domain

תמלול ההרצאה: הגדרת Site-to-Site VPN חלק 3

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Site-to-Site VPN חלק 3» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    כאן אני מגדיר מי הסטאר, מי הפיירוול הראשי שאליו כולם מתחברים. כמובן שבמעבדה שלנו אין יותר מדי אפשרויות, יש לנו פיירוול אחד, ואנחנו צריכים להגדיר את הסאטליי, זאת אומרת את סניף ירושלים.

  2. 00:18

    אם היינו בניהול מרכזי אז הוא כבר היה מופיע לנו, אבל אנחנו לא בניהול מרכזי בתצורה הזאת, אז אנחנו נקים אותו, וכדי להקים אותו יש לנו שתי אפשרויות, דיברנו שאם הניהול הוא לא מרכזי, יש לנו אופציה לעבוד מול firewall צ'קפוינט אחר שהוא לא מנוהל ומול firewall אחר שהוא בכלל לא צ'קפוינט אז interoperable device

  3. 00:40

    זה firewall שהוא לא צ'קפוינט זה יכול להיות cisco זה יכול להיות פאילו זה יכול להיות 40-gate אלא פופולריים אבל יש עוד מלא מלא סוגים אם הוא צ'קפוינט אחר במקרה שלנו אנחנו במעבדת צ'קפוינט אז אנחנו בוחרים externally managed firewall אני יוצר אותו עכשיו תוך כדי תנועה אנחנו נקרא לו fwgr, נחזור רגע לסרטוט, זה ה-firewall שלנו, fwgr, זה ה-IP הראשי שלו, יש חשיבות גדולה ל-IP,

  4. 01:11

    כי זו ה-IP שמולה עושים את ה-VPN. יכולים להיות פה עוד מלא כתובות IP, גם יכול להיות שלסניף ירושלים יהיו כמה קווי אינטרנט, אבל אנחנו בוחרים IP אחד מבין כל הקווים שהוא זה שמייצג את ה-VPN.

  5. 01:27

    אז אנחנו מגדירים שימו לב שאין לנו פה סיק כי הוא לא שלנו אנחנו יכולים לראות לרשום פה firewall Jerusalem site אפשר לרשום פה גרסה אפשר לרשום איש קשר סלולרי מלא דברים כשאנחנו מסתכלים על הטאנל אנחנו רואים את הfirewall יודעים למי לפנות אנחנו יכולים לרשום פה איזו מכונה זאת איזה דגם

  6. 01:54

    אנחנו במעבדה הווירטואלית הזה open server במעבדה הזאת אני משתמש ב-R8110 שיהיו קצת בעיות לא בטוח שיהיו אבל שיהיה קצת אקשן R8110 הפיירוול שלנו הוא R8120 אני פשוט מסמן לו firewall ו-IPsec זה כל מה שמעניין אותנו יכול להיות לו פה עוד מיליון בליידים עוד מיליון

  7. 02:17

    הגנות כל מה שאפשר לעשות היה לנו כבר שיעור שסוקר פה את הבליידים אבל לצורך ה-VPN זה מה שמעניין אותנו אז בטופולוג'י אנחנו אומרים לו ETH0-10882 ואנחנו אומרים לו ETH1-10992 בכוונה בחרתי את הכתובות שיהיה קל לזכור אבל זה שרירותי זה יכול להיות כתובות אחרות פה אנחנו אומרים

  8. 02:46

    לו שזה TLV Encryption Domain וזהו פחות או

לקורס המלא: קורס צ'ק פוינט – Check Point

ההרצאה הקודמת: הגדרת Site-to-Site VPN - חלק 2

ההרצאה הבאה: הגדרת Site-to-Site VPN - חלק 4

הרצאות קשורות מקורסים אחרים

  • הגדרת VPN site-to-site
  • הקמת VPN Site-to-Site - הגדרת NAT
  • VPN
  • הגדרת VPN Tunnel

קורסים נוספים במסלול

  • קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301
  • קורס CCNP
  • קורס פורטיגייט - FortiGate