הסבר על חיבור מרחוק
VPN - Remote Access
חלק 2

בלי כתוביותעם כתוביות

הסבר על חיבור מרחוק VPN - Remote Access חלק 2

בחלק השני של מעבדת Remote Access VPN מגדירים בפיירוול את מה שצריך כדי שחיבור מרחוק יעבוד: Encryption Domain, הוספת Blades והגדרות של IPSec VPN ושל Mobile Access.

השלבים העיקריים

1. Encryption Domain: קבוצה שקובעת לאן אפשר להגיע בחיבור מרחוק. מה שלא בקבוצה אי אפשר להגיע אליו, גם אם יש חוק Any. במעבדה רק השרת כלול, ושם הקבוצה כולל EMC DOM, וכל אובייקטי ה-VPN בצבע אחד.

2. Blades ב-Gateway: יש שני Blades של VPN שקשורים זה בזה. IPSec VPN נפוץ לחיבור בין סניפים ותומך גם בחיבור מרחוק עם קליינט, ו-Mobile Access מיועד ל-SSL VPN. את האפשרות הישנה והתואמת לגרסאות ישנות מורידים.

3. חותמת (Certificate): בגישה עם דפדפן, החותמת של הפיירוול לא Trusted בבדיקה, ובעבודה עם SSL הכול תלוי בה, ולכן חשוב לוודא שהיא בתוקף (כאן עד דצמבר 2024). אפליקציה בסיסית בשלב זה נשארת כ-I don't want to activate.

4. Identity Awareness: מודול שמזהה משתמשים, ומוסיפים אותו בלי AD כי עדיין אין. חשוב לסמן את החיבור מרחוק בו, אחרת הוא לא כולל חיבור מהבית.

5. VPN Client: יורש את ההגדרות, האותנטיקציה לפי היוזר vpn1 עם Check Point Password, והגבלת Office Mode למי שחבר ב-ra-group.

6. Office Mode: בהתחברות הפיירוול מקצה ליוזר כתובת IP נוספת על זו של כרטיס הרשת שלו, ונוצר במחשב כרטיס וירטואלי. החוק והלוגים רואים את ה-IP הזה, וזה קריטי כשיש סניפים: בלעדיו אי אפשר לדלג לרשתות אחרות ורק לפיירוול הספציפי. הסאבנט הוא CP default office mode, ואפשר ליצור אחר.

7. Mobile Access: דומה, בשיטה Unified (החדשה) מול Legacy, עם Web ו-Endpoints (שני סוגי קליינטים). אותו דבר: יוזר וסיסמה והורשת Office Mode. אפשר להוסיף טקסט ל-Portal.

8. פורט לממשק ה-Web של Gaia: בגלל ש-HTTPS נתפס על ידי ה-Portal, משנים את ממשק הניהול ל-:5505, אפשר גם 4434 או 9443, כל עוד הפורט לא תפוס.

Endpoint Compliance

אפשר לבדוק לפני חיבור אם יש אנטי וירוס ו-Windows מעודכן, ולחפש קי ברג'יסטרי, קובץ או אפליקציה רצה ברקע. מי שאין לו, הפיירוול יגיד שחסר משהו ואפשר להציג הודעה לאלפדסק. הרעיון: האקר יכול לנחש יוזר וסיסמה, אבל קשה לו לנחש שצריך לפתוח קלקולטור או קובץ בשם שהמצאנו (למשל calculator.exe ששינו לו שם).

אחרי ההרצאה אפשר להסביר מה צריך להפעיל ב-Gateway לחיבור מרחוק, ומהו Office Mode ולמה הוא חשוב.

השיעור הבא בקורס: הסבר על חיבור מרחוק VPN - Remote Access חלק 3

מילון מושגים:

IPsec – אוסף פרוטוקולים להצפנה ולאימות של תעבורת IP, המשמש בעיקר לחיבורי VPN מאובטחים.

DOM – ייצוג עץ של מבנה דף HTML בזיכרון, שמאפשר לקוד לקרוא ולשנות את תוכן הדף ומבנהו.

SSL – פרוטוקול להצפנת תקשורת ברשת ולאימות זהות השרת. קודמו של TLS, והשם עדיין נפוץ בשימוש.

תעודה דיגיטלית – מסמך מוצפן שמאשר את זהותו של אתר או שרת וקושר אותו למפתח ציבורי, ומונפק על ידי רשות אישורים.

תת-רשת – חלוקה של רשת גדולה לרשתות משנה קטנות יותר, לשם ארגון, ביצועים ואבטחה.

Endpoint – נקודת קצה שאליה פונים ב-API, המזוהה בכתובת ומטפלת בסוג מסוים של בקשות; גם מכשיר קצה ברשת.

אנטי וירוס – תוכנה שמזהה, חוסמת ומסירה תוכנות זדוניות מהמחשב, ומנטרת פעילות חשודה.

רג'יסטרי – מסד נתונים מרכזי ב-Windows ששומר הגדרות של מערכת ההפעלה ושל תוכנות מותקנות.

פרקי ההרצאה: הסבר על חיבור מרחוק VPN - Remote Access חלק 2

תמלול ההרצאה: הסבר על חיבור מרחוק VPN - Remote Access חלק 2

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על חיבור מרחוק VPN - Remote Access חלק 2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
יש לנו יוזר, יש לנו קבוצה עכשיו אני מוסיף encryption domain לאן בכלל אפשר להגיע בחיבור מהבית זאת אומרת אם משהו לא בקבוצה הזאת אי אפשר מהבית אי אפשר מרחוק לומר קוראים לקבוצה הזאת EMC DOM שימו לב שכל מה שקשור ל VPN אני שם אותו באותו צבע במקרה שלי אני רק מאפשר גישה לשרת זאת אומרת שגם אם ננסה להגיע לקומפוננטות אחרות ברשת
00:31
נניח והיו לי פה עוד עוד וילאנים, עוד בניינים, לא יעזור כלום, גם אם יש חוק Any לאיזשהו שרת חיבור מרחוק לא כלול ב-Any הזה, למה? כי היעד לא כלול ב-Encryption Domain, אז יש לי Encryption Domain.
00:45
עכשיו אני מתחיל להגדיר את הבליידים ב-FireWall, הוספת בלייד VPN. קודם כל אני הולך ל-Getway, יש לי שני בליידים של VPN שהם קשורים, תלויים אחד בשני, זה IPSec VPN, בדרך כלל נפוץ לחיבור בין סניפים יש לנו את המובייל אקסס שהוא מיועד לחיבור של ה-SSL
01:08
VPN אבל צ'ק פוינט חייבים לסבך את החיים והוא גם אפשרי עם איזשהו קליינט אז הוא תומך גם בחיבור מרחוק SSL Networking Sender זה נקרא אני אוריד כרגע את הסלולריים את זה אני מוריד כי זו שיטה מאוד ישנה תואמת לגרסאות הישנות דיברנו על חיבור עם דבדפן אז ככה אנחנו ניגשים עם הדפדפן אני יכול ליצור
01:34
חותמת כמו שניגשים לבנקים רואים חותמת שהיא Trusted תכף תראו שהחותמת שלנו היא לא Trusted זהו פה אני מגדיר איזושהי אפליקציה בסיסית כרגע אני אומר לו I don't want to activate זה בסרטון הבא שלנו פה אני מגדיר את ה-RA Group אני מנסה לבדוק אם אפשר ליצור פה קבוצה חדשה שימו לב פה אי אפשר ליצור את הקבוצה בגלל זה יצרנו אותה מראש סיימנו להוסיף את ה-Blade VPN עכשיו אנחנו
02:03
נוסיף את ה-Identity Awareness ה-Identity Awareness זה מודול שמזהה משתמשים אנחנו רוצים שה-Firewall יזהה מי מתחבר אלינו באמצעות ה-Identity Awareness כרגע אני אומר לו בלי AD כי כרגע אנחנו בלי AD אני פשוט עושה cancel ה-Identity Awareness נשאר מה שחשוב לזכור פה לשים את ה-V על זה
02:26
אחרת ה-Identity Awareness לא כולל את החיבור מהבית. אחרי זה אני מגדיר חיבור עם דפדפן ועם אג'נט אז אנחנו הולכים קודם כל אני רוצה להראות לכם שיש חותמת והיא בתוקף לפעמים שום דבר לא עובד כי החותמת לא בתוקף ברגע שעובדים SSL אנחנו תלויים
02:46
בחותמת וזאת חותמת עד 2024 עד דצמבר אז יש לנו מלא זמן מה שמעניין אותנו זה פה ה-VPN Client סימנו את זה בממשק הקודם הוא יורש את ההגדרות כאן אנחנו אומרים שהאותנטיקציה תלויה ביוזר עצמו יצרנו מקודם את היוזר vpn1 רשום שם שזה checkpoint password office mode אני עכשיו אסביר מה זה אני בינתיים מגביל את האופיס מוד
03:14
רק למי שחבר ב-ra group אם יש לי הרבה קבוצות אז אני צריך שהם יהיו חברים ב-ra group כדי לקבל אופיס מוד מה זה האופיס מוד ברגע שיוזר מתחבר מהבית הפיירוול כאילו מקצה ליוזר הזה עוד כתובת IP חוץ מהIP שיש לו נגיד לWi-Fi או לכרטיס רשת הביתי שלו נוצר במחשב עוד איזשהו
03:38
כרטיס רשת וירטואלי שאנחנו נראה בהמשך וצ'ק פוינט נותן לכרטיס הזה כתובת ומאותו רגע החוק מראה לנו שIP מסוים ניגש חוץ מהיוזר גם הIP ניגש ואנחנו יכולים להתחקות בלוגים איזה IP ה-IP הזה מקבל משמעות יותר רצינית אם יש לנו גם סניפים.