PracticU

הסבר על חיבור מרחוק
VPN - Remote Access
חלק 3

בלי כתוביותעם כתוביות
PracticU › קורס צ'ק פוינט - Check Point Gaia R81 › הסבר על חיבור מרחוק VPN - Remote Access חלק 3
הסבר על חיבור מרחוק VPN - Remote Access חלק 3
אחרי שהיוזר מזדהה ומתחבר מרחוק, צריך חוק שמאפשר לו משהו ברשת, אחרת התעבורה שלו נופלת על חוק ה-Drop האחרון. ההרצאה מוסיפה את החוק, מתקינה Policy ומתחילה בדיקה עם קליינט.
בניית החוק
1. החוק: במעבדה מאפשרים ליוזר גישת RDP לשרת. משנים ל-Accept ומפעילים Log. הפורט הוא 3389.
2. Access Role: הוא שנתפס על ידי Mobile Access Blade. נותנים לו שם ברור, RA RDP to SRV, כי יכולים להיות הרבה Roles שכל אחד מאפשר משהו אחר. משאירים Any מכל רשת, ומגבילים ל-ra-group. אפשר להגביל גם למכונה ספציפית ולסוג קליינט, למשל לא לאפשר SSL אלא רק Agent.
3. תיעוד: שם וגם Comment, ואפשר מספרי קריאה ובקשה. בפוליסי של אלף חוקים קשה לקרוא, ולכן אפשר להשתמש ב-Sections. כאן Section לחוקי חיבור מרחוק, ו-Section Cleanup לחוק האחרון, כולל חוקי Cleanup נוספים כמו לא לרשום ברודקאסטים בלוגים.
4. Install Policy: אי אפשר בלעדיו.
5. מבט על Office Mode: בזמן ההתקנה רואים ש-CP default office mode נותן ליוזר כתובת מ-172.16 (ברירת המחדל). אפשר לשנות או ליצור רשת אחרת. אם רואים בלוג כתובת מהסאבנט הזה, זה יוזר בחיבור מרחוק.
בדיקה עם Agent
1. הורדת הקליינט: על התחנה (MyHomeLab) מורידים את ה-Remote Access Client של Check Point. לא את ה-Complete Endpoint Security, שהוא נושא אחר ושוקל כגיגה. הקליינט שוקל כ-35 מגה.
2. שני קליינטים לשני Blades: Endpoint Security VPN מדבר עם IPsec VPN, ו-Check Point for Mobile מדבר עם Mobile Access. אמורים היו לבטל את השני, אבל לקוחות סירבו ו-Check Point נשארה תואמת אחורה. הראשון נחשב מאובטח יותר, אבל חסרים בו כלים שיש ב-Mobile.
3. רישוי: חיבור מרחוק מצריך רישוי בכל Blade. ברירת המחדל היא חמישה משתמשים, והשישי לא מצליח להתחבר.
4. יצירת Site: ב-Agent נותנים כתובת הפיירוול (10.80.81.1), שם כמו GW Yaniv Lab, ובוחרים Trust על הטביעת האצבע (Fingerprint) של החותמת. היא מאפשרת לוודא שמתחברים לפיירוול שלנו, ולא למתחזה, כשהפיירוול באינטרנט. אחרי זה נשארים עם יוזר וסיסמה (vpn1) ומתחברים.
אחרי ההרצאה אפשר לכתוב חוק לגישה מרחוק, להתקין Policy ולהגדיר Site בקליינט.
השיעור הבא בקורס: הסבר על חיבור מרחוק VPN - Remote Access חלק 4
מילון מושגים:
VPN: רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.
RDP: פרוטוקול של מיקרוסופט לחיבור לשולחן עבודה מרוחק של מחשב Windows והפעלתו מרחוק.
SSL: פרוטוקול להצפנת תקשורת ברשת ולאימות זהות השרת. קודמו של TLS, והשם עדיין נפוץ בשימוש.
הערה: טקסט בקוד שמסביר אותו לבני אדם ואינו מבוצע על ידי המחשב.
תת-רשת: חלוקה של רשת גדולה לרשתות משנה קטנות יותר, לשם ארגון, ביצועים ואבטחה.
Endpoint: נקודת קצה שאליה פונים ב-API, המזוהה בכתובת ומטפלת בסוג מסוים של בקשות. גם מכשיר קצה ברשת.
IPsec: אוסף פרוטוקולים להצפנה ולאימות של תעבורת IP, המשמש בעיקר לחיבורי VPN מאובטחים.
יחסי אמון: קשר מוגדר בין שני דומיינים שמאפשר למשתמשים מדומיין אחד לגשת למשאבים בדומיין האחר.

פרקי ההרצאה: הסבר על חיבור מרחוק VPN - Remote Access חלק 3

  1. 00:00

    הוספת חוק לחיבור מרחוק

  2. 00:42

    יצירת Access Role

  3. 01:42

    ארגון הפוליסי בסקשנים

  4. 02:21

    התקנת הפוליסי

  5. 03:05

    בדיקה עם Agent

  6. 03:42

    התקנת Remote Access Client

תמלול ההרצאה: הסבר על חיבור מרחוק VPN - Remote Access חלק 3

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על חיבור מרחוק VPN - Remote Access חלק 3» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    עכשיו אנחנו נוסיף חוק. אוקיי, היוזר הזדהה, התחבר מרחוק. עכשיו אנחנו צריכים לראות, להגדיר איזשהו חוק שמשהו ברשת, אחרת הוא ייפול על החוק דרופ.

  2. 00:15

    כרגע החוק האחרון דרופ, זאת אומרת שאם יוזר הצליח להתחבר, הוא לא נופל פה בשום קטגוריה. אז אנחנו רוצים ליצור חוק, ובמעבדה שלנו אנחנו מאפשרים ליוזר rdp לשרת. עדיין אני משנה את זה ל-accept, אני שם פה לוג 3389 אז יש לנו פה ועכשיו אני רוצה רק לקבוצה r a group להתחבר אז אני עושה משהו שנקרא access role וה access role הוא תופס למובייל access blade אז אני קורא לזה r a rdp to

  3. 00:53

    srv כי יכולים להיות מלא access role וכל role מאפשר משהו אחר. אז כרגע אני משאיר את זה ב-any מכל רשת שהיא וכאן אני מגביל את זה ל-ra group, יכול להגביל את זה למשין ספציפי ולסוג של קליינט כרגע אין לי פה כלום אבל אני יכול להגיד אם זה ssl הוא לא מורשה רק אם יש לו קליינט agent אז אפשר לשחק עם זה אנחנו כרגע נשאיר את זה ב-any אז יש לנו

  4. 01:25

    ra-group access to srv with rdp חשוב לתת שמות יש לנו גם מקום לתת comment כדי שיהיה לנו שליטה בפוליסי שנדע מי הגדיר ומה ולמה אפשר לשים פה מספרי קריאה מספרי בקשה דמיינו שזה פוליסי עם אלף חוקים יהיה קשה לקרוא את הפוליסי יש עוד מנגנונים שמאפשרים לקרוא טוב את הפוליסי זה נדבר במקום אחר אבל אפשר לעשות פשוט סקשנים נגיד זה סקשן שמטפל נדגים את זה פה אם כבר

  5. 02:04

    נגעתי ra rule אלה חוקים לחיבור מרחוק פה אני עושה סקשן שנקרא קלינאפ זה החוק האחרון אפשר להוסיף פה עוד חוקי קלינאפ לדוגמה שלא יהיה לוגים על ברודקסטים זה מה שנפוץ ואנחנו לא יכולים בלי install אז אני עושה פה ra-configuration או ra-rules ra-policy remote access ra remote access עכשיו אנחנו מחכים מחכים שהאינסטול יתבצע ונוכל לבדוק בזמן שהאינסטול רץ אמרנו נראה את הרשת שמקבל user office mode אז הנה זה cp

  6. 02:47

    default office mode ברגע שיוזר יתחבר הוא מקבל IP מ-172.16 שזה ה-default אפשר לשנות את ה-Default ואפשר פשוט ליצור רשת אחרת ולתת כתובות IP אחרות. אבל אם נראה לוג מה-Subnet הזה, אז נדע, זה יוזר בחיבור מרחוק.

  7. 03:07

    ה-Policy עודכן בהצלחה. בואו נחזור לסדר פעולות. אנחנו מתחילים בדיקה עם agent. אז קודם כל אנחנו צריכים תחנה שיש לה agent. זה ה-MyHomelab, זו התחנה הזאת בסרטוט שאיתה אנחנו נעשה את הבדיקות.

  8. 03:25

    אז אמרנו צ'ק פוינט VPN קליינט אני יודע שהגרסה האחרונה היא E87 52 אז אני מחפש אותה אנחנו לא רוצים את ה-complete endpoint security זה נושא אחר בוא ננסה את זה זה 1 ג'יגה בטוח שאנחנו לא רוצים אותו אני אחפש שנייה את הקליינט endpoint home page פה יש לנו את כל הדאונלוגים ואנחנו רוצים remote access client, הייתי

  9. 03:56

    צריך להוסיף את ה remote וזה כבר client שלא שוקל הרבה, כמעט 35 מגה עושים download, ברגע שהורדנו פעם אחת אפשר לרשום שזה 128.410 לחיפושים הבאים אני מתקין את ה client, הדפולט שלי הוא endpoint security vpn ה-endpoint מדבר עם המודול הזה, עם ה-IPsec VPN ולעומת זאת ה-checkpoint for mobile מדבר

  10. 04:27

    עם המודול הזה.

לקורס המלא: קורס צ'ק פוינט – Check Point

ההרצאה הקודמת: הסבר על חיבור מרחוק - VPN - Remote Access - חלק 2

ההרצאה הבאה: הסבר על חיבור מרחוק - VPN - Remote Access - חלק 4

הרצאות קשורות מקורסים אחרים

  • הדגמה של VPN Remote Access
  • חיבור מרחוק עם SSH
  • VPN
  • חיבור VPN לתוך HackTheBox

קורסים נוספים במסלול

  • קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301
  • קורס CCNP
  • קורס פורטיגייט - FortiGate