הגדרת Site-to-Site VPN
חלק 4

תמלול ההרצאה: הגדרת Site-to-Site VPN חלק 4

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Site-to-Site VPN חלק 4» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   אנחנו יכולים להחליט שסרוויסים מסוימים לא נכנסים לטאנל אפילו אם יש תעבורה והיא מורשית בחוקים אנחנו לא מכניסים אותה לטאנל לדוגמה פינגים לדוגמה אם אני מנהל את הסייט המרוחק ואני לא רוצה שהתעבורה הזאת תיכנס לטאנל אני רוצה שגם עם הטאנל למטה אני אוכל להמשיך לנהל את הסניף שזו גם נקודה שצריך לחשוב עליה אז אני מחריג את

2. 00:28

   הפרוטוקול ניהול המכונת ניהול תראה את הסניף ברגע שיש קו ויש אינטרנט, וזה בלי קשר עם הטאנל למעלה או למטה. התעבורה של צ'קפוינט היא אוטומטית מוצפנת, זה מובנה בפרוטוקול.

3. 00:42

   ברגע שמכונת הניהול מדברת מול הסניף, היא מדברת בצורה מוצפנת שאף אחד לא יוכל לראות אותה. אז הטאנל פה רק מוסיף, אבל אפשר גם בלעדיו.

4. 00:53

   אז כמו שאמרנו, לוקח זמן להרים את הטאנל, וגם אם אין טאנל אנחנו עדיין רוצים לנהל את הfirewall באמצעות המכונת ניהול, אפשר להחריג פה את הפרוטוקול ניהול בגלל שאנחנו בניהול שהוא לא מרכזי וזה Externally Managed אנחנו חייבים להגדיר סיסמה ברגע שנהיה ניהול מרכזי יש לנו חותמת לכל Firewall יש חותמת בואו נראה את החותמת אנחנו הולכים פה

5. 01:19

   ל-IPsec יש לנו פה חותמת זה התוקף שלה אנחנו עדיין בתוקף וההצפנה מבוססת על החותמת הזאת זה עולם שלם החותמות סרטיפיקייט באנגלית יש לה הרבה תפקידים אחד התפקידים זה להצפין תעבורה אנחנו עובדים פה בשארט סיקרט אז ריכזתי פה את השארט סיקרט זה כרגע בתצורה של צילום מסך כדי שיהיה לנו נוח לראות שמרתי את זה גם באקסל אז אני אפתח רגע את האקסל ואני פשוט אעשה העתק-הדבק.

6. 01:55

   ה-Best Practice הוא להוסיף לפני ואחרי, להוסיף איזשהו מספר או איזשהו משפט שמחליטים עליו מראש בטלפון. הרעיון הוא שאם מישהו מקבל באימייל את הסיסמה הזאת, זו עדיין לא הסיסמה האמיתית, זה בסיס לסיסמה.

7. 02:15

   כלומר, נוסיף לפני איזשהו סלולרי, נוסיף אחרי איזשהו משפט, ואז יהיה לנו את הסיסמה האמיתית. זה סוג של two-factor authentication שהוא אנושי.

8. 02:29

   אני עושה רגע אוקיי כדי שנוכל להגדיר את הסיסמה, הוא עדיין לא מזהה את ה-firewall שלנו. אה, צריך שם לטאנל, אז אני עושה TLV2JR. ככה אני קורא לטאנל, גם פה לשים איזשהו צבע.

9. 02:45

   בואו נחזור לטאנל הזה ונגדיר את ה-shared secret, אני עושה פה הדבק כמו שאמרתי אפשר נגיד להוסיף את הסלולרי מה שצריך רק לזכור שגם בצד השני נעשה את התוספת עכשיו ווייר מוד אנחנו בדרך כלל לא עובדים זה מדמה כאילו אנחנו מחוברים עם כבל והכל פתוח ופה יש לנו כמה פרמטרים מאוד חשובים כשאנחנו עובדים צ'ק פוינט מול צ'ק פוינט זה יותר קל מי שעובד צ'ק פוינט

10. 03:17

    גם כן רואה את אותם הגדרות וזה הדיפולט אז משאירים אבל בפיירוולים אחרים זה יכול להיות לא בדקות אלא בשניות וצריך לעשות הכפלה ב-60 זו הטעות הכי נפוצה מישהו בצד הרחוק שהוא לא צ'ק פוינט רושם 1440 אבל אצלו זה שניות ואצלנו זה דקות או ההפך במקום 3600 הוא צריך לשים 60 דקות זו אחת ההגדרות הכי קריטיות שהתענה לא עולה בגללם הדבר הנוסף שמאוד חשוב פה זה Disable NAT

11. 03:50

    Inside VPN מה שזה אומר זה ה-Best Practice לעשות Disable אם אנחנו עובדים עם NAT אז תחנה אחת מיוצגת על ידי ה-IP