הגדרת Site-to-Site VPN
חלק 9 - סניף מרוחק בניהול מרכזי

בלי כתוביותעם כתוביות

הגדרת Site-to-Site VPN חלק 9 - סניף מרוחק בניהול מרכזי

מעכשיו מדגימים סניף מרוחק בניהול מרכזי, סניף חיפה, שמוסיפים למכונת הניהול הקיימת. השיעור מכסה את ההכנה של ה-firewall ואת חיבורו לניהול.

השלבים העיקריים

1. הכנת ה-firewall: ה-VM מועבר לסניף חיפה והמכונה חוזרת ל-image בלי ניהול. מגדירים ל-ETH0 כתובת חדשה ושומרים, ואז מתחברים אליה.

2. First time wizard: נותנים שם, דומיין, DNS ו-NTP. מסמנים security gateway בלבד, בלי management, בניגוד ל-firewall של ירושלים שהיה all in one. לא מגדירים קלאסטר.

3. SIC: בניהול מרכזי מגדירים סיסמה ל-SIC, שהוא Secure Internal Communication ומחבר את מכונת הניהול ל-gateway. בסביבת production רק מי שמחזיק בסיסמה יכול לנהל את ה-firewall, ולכן משתמשים במחרוזת מורכבת.

4. הגדרות מקומיות: נותנים כתובת לממשק של רשת חיפה ולממשק מול האינטרנט, מגבילים את גישת הניהול ב-SSH וב-web לכתובת של המחשב, ומוחקים את any.

5. הוספה לניהול המרכזי: יוצרים אובייקט FW חיפה עם כתובת הניהול שלו, ואז Initialize לכל SIC. התקשורת נחסמת בהתחלה, ולכן מוסיפים חוק שמתיר למכונת הניהול לגשת ל-firewall חיפה. התעבורה עוברת דרך ה-gateway של תל אביב, gw2.

6. המשך ההגדרה: אחרי שה-SIC עובד, ה-firewall לומד את הממשקים ואת הגרסה R81.10. מוסיפים את ה-VPN blade, יוצרים encryption domain מסוג user defined עם קבוצה חיפה EMC דום (רשת 10.90.11), ומגדירים את ETH0 כ-external zone. לממשק הפנימי מסמנים internal network כדי שלתחנה יהיה אינטרנט.

שימו לב

- מכיוון שהניהול עובר דרך הטאנל, צריך לזכור בהמשך להחריג אותו (bypass), כדי שאפשר יהיה לנהל גם כשהטאנל למטה.

אחרי השיעור אפשר לצרף firewall חדש לניהול מרכזי ולהכין אותו להצטרף ל-VPN.

השיעור הבא בקורס: הגדרת Site-to-Site VPN חלק 10 - סניף מרוחק בניהול מרכזי

מילון מושגים:

VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.

חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.

מכונה וירטואלית - מחשב מדומה שרץ כתוכנה על גבי מחשב פיזי, עם מערכת הפעלה ומשאבים משלו, בבידוד מהמערכת המארחת.

NTP - פרוטוקול לסנכרון שעון המחשבים ברשת מול מקור זמן מדויק.

שער - התקן או נקודה שמחברים בין רשתות ומעבירים דרכם תעבורה החוצה, למשל שער ברירת המחדל ליציאה לאינטרנט.

קלאסטר - קבוצת מחשבים או שרתים שעובדים יחד כמערכת אחת, לשם זמינות גבוהה, ביצועים או חלוקת עומס.

SSH - פרוטוקול לחיבור מרוחק ומוצפן למחשב, בעיקר לשרתי Linux, לצורך ניהול דרך שורת הפקודה.

הצפנה - המרת מידע לצורה בלתי קריאה בעזרת מפתח, כך שרק מי שמחזיק במפתח המתאים יכול לפענח ולקרוא אותו.

פרקי ההרצאה: הגדרת Site-to-Site VPN חלק 9 - סניף מרוחק בניהול מרכזי

תמלול ההרצאה: הגדרת Site-to-Site VPN חלק 9 - סניף מרוחק בניהול מרכזי

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Site-to-Site VPN חלק 9 - סניף מרוחק בניהול מרכזי» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
אני אדגים את הניהול מרכזי דווקא על סניף חיפה כדי שיהיה קצת יותר מעניין. אני פשוט גורר את ה-VM שלי לסניף חיפה ואנחנו נעשה 10-90-10-10.
00:17
אני לקחתי את ה-firewall הזה והחזרתי אותו ל-image שהוא בלי ניהול עדיין ועשיתי rename firewall חיפה. עכשיו אני נכנס ל-firewall ומשנה לו את הכתובת IP, Show Configuration Interface אנחנו רואים Set Interface ETH0 IPv4 במקום 1080 82 אני נותן לו 3 מסלנג 24 סיימנו
00:51
עם זה אני שומר את ההגדרה אני מתחבר לפיירוול עם 10.80.83 והפעם ב-first time wizard אני מלמד אותו שהוא ניהול מרכזי ההתחברות הראשונה אחרי התקנה יש לנו first time wizard אני משנה פה את השם fw.kifa כולם פה בדומיין yaniv.lab.local זה דומיין שאני המצאתי כרגע ה-dns זה 88 אפשר לעבור ל-NTP אנחנו נשארים
01:23
security gateway אבל בלי management והסרטונים של firewall ירושלים זה היה all in one זה שניהם היו מסומנים גם gateway וגם management כרגע אנחנו לא בשיעור של קלאסטר אז אין לנו קלאסטר ואנחנו לא שמים IP אוטומט בגלל שזה ניהול מרכזי אני מגדיר לו seek, השיק מחבר בין המנג'מנט לגטוויי תכף נראה איך
01:48
זה קורה רק צריך לזכור ניהול מרכזי צריך להגדיר לגטוויי עדיף שזה יהיה גטסיק מסובך כי בסביבת פרודקשן שהפיירוול באינטרנט אנחנו לא רוצים שאף אחד ינהל לנו את הפיירוול אז רק מי שיש לו את הסיק יכול לנהל את הפיירוול בסביבת פרודקשן לוקחים איזשהו סטרינג וזה הסיק שלנו עכשיו רק נחכה שהפירסטיים וויזארד יסיים
02:14
סיימנו את הפירסטיים וויזארד הפיירוול עובר ריבוט אני ממשיך להגדיר את הפיירוול שלנו פעם כאילו סניף חיפה אז קודם כל אני מגדיר לו כתובת IP ואמרנו חיפה lan vmnet 11 בוא נראה שאני לא טועה 10.90.11 בוא ניתן פה description vmnet 8 אינטרנט וזה eth 0 אוקיי פה נתנו 8.8 ופה זה במהלך ההתקנה נתנו שמנו mtp, מה עוד צריך לתת לו, בוא נשנה את זה
03:00
1088 זה המחשב שלי ואני מוחק any שלא כל אחד יוכל לתקשר ולנהל את הfirewall בssh או בweb, זהו בינתיים אפשר להגדיר פה עוד כמה דברים להוסיף יוזרים אבל כרגע זה מספיק לנו user admin בשביל המעבדה, אני עכשיו הולך לניהול המרכזי, יש לנו את ה-Getway של תל אביב, אנחנו הגדרנו את Firewall תל אביב, עכשיו אני מוסיף לו את Firewall חיפה.
03:31
אני קורא לו FW חיפה, אפשר גם GW חיפה, כאילו גטוויי, הוא יהיה 10-80-83. אמרנו, זה ה-seek, ככה אני מחבר, Seek זה Secure Internal Communication, ככה אני מחבר את ה-Management ל-Firewall הספציפי הזה.
03:51
בגלל זה אמרנו שצריך סיסמה חדשה, חזקה ופה אנחנו בלאב כרגע 10.80.11.4 מנסה לדבר עם 10.80.83 לא מצליח אנחנו יכולים לראות בלוג 10.80.83 אנחנו אמורים לראות ש-10.80.11.4 ניסה לגשת אבל נחסם ואנחנו פשוט נוסיף את זה לחוק נוסיף פה כרגע יצרנו את חיפה פאוול חיפה ואז התעבורה אליו fw חיפה מנג'מנט אז mng
04:28
מנהל עכשיו גם את פיירוול חיפה וזה התעבורה עוברת דרך גטוויי 2 שזה הגטוויי התל אביבי שלנו. תכף שהאינסטול יתחיל אז כרגע אני מבטל את האינסטול על חיפה אני מלמד את גטוויי 2 להעביר את התעבורה הזאת נסתכל רגע על השרטוט זו המכונת ניהול שלנו כדי להגיע לפיירוול חיפה