חוקים ליציאה לאינטרנט

תמלול ההרצאה: חוקים ליציאה לאינטרנט

הטקסט המלא של הדקות הראשונות בהרצאה «חוקים ליציאה לאינטרנט» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   סיימנו להגדיר את הגטוויי כגטוויי יש לו כרטיסי רשת יש לו גישה לאינטרנט עכשיו אנחנו צריכים לדאוג שלמנג'מנט תהיה אינטרנט יש לי כבר מותקן מראש סמארט קונסום יצרתי את היוזר הזה שהוא לא שהוא לא של הגאיה בוא נראה מה המצב הCPUים שלנו אם הCPU גבוה לא נצליח להתחבר אנחנו רואים שצנחנו ל-0.44 44 יש לנו רק שני CPU אסור לעבור את האחד

2. 00:31

   אפילו אם CPU אחד אמור זה חצי מהעומס אז אנחנו במצב טוב כרגע הסמארט קונסול שלנו עלה ככה זה מגיע בדיפולט החוק הראשון חוסם הכל אני אוסיף פה לוג ואנחנו נגדיר את החוק הראשון החוק הראשון שלנו יהיה קודם כל אנחנו צריכים גישה למנג'מנט ולגטוויי אם לא נגדיר את הגישה הזאת

3. 00:56

   התעבורה תיפול על החוק הזה ולא נוכל להתקדם. אז דבר ראשון אני ממציא, אני קורא לזה גוי 11. כל הניהול אני אוהב לשים בצבע כתום, אבל כמובן שרירותי, תבחרו לכם מה שאתם רוצים.

4. 01:11

   אז יש לנו 10, 80, 11, 11 ואני יוצר לי את הגוי 8 גם, 10, 80, 8, 11 שזה כאילו מהרשת החיצונית.

5. 01:23

   יש לנו, מובנה לנו המנג'מנט, גם אותו אני משנה לצבע כתום, ככה זה נראה. אנחנו בהמשך נוכל להוסיף עוד דברים.

6. 01:33

   כרגע אני רק רוצה שיהיה לנו אינטרנט כדי שנוכל להתקדם. עכשיו אני צריך להוסיף את ה-Gateway כדי שנוכל ליצור את החוק.

7. 01:43

   אז אנחנו אומרים לו Gatway חדש, אמרנו לו GW2. גטוויים, אני נותן להם צבע אדום, וה-Gatway שלנו 1811. זוכרים שהיה לנו איזושהי סיסמה שמחברת בין המנג'מנט לגטוויי, אז הנה הגענו אליה, סיסמה ראשונית, בחיבור הראשון הוא מזהה את כל כתובות ה-IP שיש לנו, עם השמות של האינטרפייסים,

8. 02:09

   צריך רק לוודא שזה נכון, אין לנו איזושהי שגיאה, וזהו, יש לנו גטוויי, אפשר לשים פה איזשהו comment, אם יש לנו הרבה גטוויים אפשר לשאול מאיפה הוא ממוקם, כל מיני דברים שילמדו אותנו באיזה גטוויי אנחנו מתעסקים, כרגע אני לא נוגע פה בכלום,

9. 02:26

   ואיפה שיש לנו קומנט, תחשבו שפה יש שורה עכשיו של 30 כרטיסי רשת, פה אנחנו רושמים שזה אינטרנט ואם נט שמונה יש גם פה אופציה להגדיר security zone כי זה אינטרנט אז קוראים לו external zone, תכף תראו שזה מאוד יעיל, מאוד עוזר, ה external אומר למעשה

10. 02:46

    שזה רגל שמובילה אותנו לכל מה שהfirewall לא מכיר פה ברשימה. כמו שאמרתי תדמיינו שיש פה עכשיו 30 כרטיסי רשת שהם כתובות, אז אקסטרנל אומר כל מה שהוא לא פה, שזה מאוד עוזר להגדיר חוק לאינטרנט.

11. 03:01

    אז 11.1. אמרנו שזה mgmt/vmnet/10 ופה זה usernet/vmnet/2. גם פה יש הרבה מה ללמוד, תכף נגיע לזה. זהו, זו ההגדרה הראשונית, אני בינתיים לא מוסיף שום פיצ'ר, ברגע שיצרתי את האובייקט אני יכול להכין עליו פוליסי, קודם כל פה נגדיר שנוכל לנהל אותו, איפה הגטוויי שלנו,

12. 03:30

    זה חוק ראשון, אני משאיר אותו כרגע בהניח, אז אפשר להמשיך להקשיח אותו. עכשיו החוק הבא בתור שלנו זה מנג'מנט וגטוויי, יוכלו לצאת לאינטרנט, אז עשינו external zone ואני אומר לו פה מה אנחנו צריכים מהאינטרנט, בואו ננסה מונים 443, אז קודם כל אני מאפשר אותם,

13. 03:55

    החוק הבא בגלל שהגדרנו את הסרבר שלנו שהוא ה-DNS אז אנחנו צריכים לפתוח DNS שימו לב כמה הגדרות בשביל אינטרנט וזה האינטרנט הכי הכי בסיסי אז בואו יש לנו 10, 80, 1, 2 אפשר לתת לו צבע אחר וגם הוא אני נותן פה external zone מה אנחנו רוצים שהשירות שלנו יהיה?

14. 04:21

    בשלב ראשון אנחנו רוצים שהוא יכול לעשות שאילתות DNS ולא פחות חשוב שהמנג'מנט והגטווי יוכלו לתשאל את הסרבר ב-DNS.

15. 04:33

    כמובן שאם לא נעשה אקספט, אני תמיד שם לוגים, לא חייב. תלוי במערכת כמה לוגים היא יכולה לאגור, אנחנו בסביבת מעבדה אז אני שם את כל הלוגים, אבל בשטח תלוי כמה לוגים אפשר לאגור, מלא מקומות מורידים את הלוגים מהדומיין UDP, כי יש מלא פניות.

16. 04:54

    בואו ניתן לזה דסקריפשינים פשוטים: גוי אקסס cp-internet access ו-cp-dns-services פה אנחנו מאפשרים לשרת שלנו dns srv dns services כי השרת שלנו צריך ללכת לעשות ריזולט dns בגוגל אז אנחנו מאפשרים לה.

17. 05:18

    מה עוד עושים בדרך כלל? הבא בתור זה לחסום גישה לגטוויים מכל מקום אחר לגטוויי ולמנג'מנט זה אפשרתי לגוי קליינט שלי גישה כל השאר אנחנו חוסמים כמובן שגם אם לא נשים את החוק הזה יהיה לנו פודרופ אבל כשיש מלא מלא חוקים איפשהו בדרך יכול להיווצר מצב שעוד מחשבים יכולים לגשת לניהול ולגטוויי אז ברגע ששמים את החוק הזה

18. 05:49

    אנחנו מכוסים, אנחנו יודעים, אין סיכוי שמישהו יכול לנהל את הפארולר. זה קריטי כי ברגע שמישהו יכול לנהל את הפארולר הוא יכול לפתוח מה שהוא רוצה.

19. 05:59

    בואו נראה אם פספסתי משהו, יש לנו גישה, אנחנו לא חוסמים את עצמנו, כל השאר אין להם גישה, יש להם HTTP ו-HTTPs, אנחנו צריכים את זה כדי להתעדכן מהאתר של צ'ק פוינט, כדי לעשות את העדכונים, יש לנו דומיין UDP וגם לשרת יש דומיין UDP מהאינטרנט.

20. 06:18

    עכשיו אני קורא לזה first policy. למה first? כי יש פה אפשרות לעשות rollback לפוליסי. ככה אם אני רוצה להתחיל את המעבדה הזאת מחדש מאיזושהי סיבה, אז יש פה בתפריט אופציה ללכת ל-manage and settings ולחזור לפוליסי הזה, ואז זה מוחק את כל האובייקטים שהגדרתי מהרגע, את כל החוקים,

21. 06:41

    כל דבר שעשיתי מהרגע, אני יכול פשוט לחזור כאילו למצב הראשוני הזה. המעבדה זה מאוד קריטי זה מאוד יעיל בשטח לפעמים טועים בחוק שלא נדע עושים איזשהו חוק שגורם לשיבוש של המערכות הדרך הכי מהירה לצאת מזה עושים סוג של rollback עוד שנייה שהמערכת פה תזוז נראה איך עושים את

22. 07:03

    הרולבק הזה אנחנו מתקינים את הפוליסי אוקיי האינסטול שלנו הסתיים פה אני יכול לראות את זה אמרנו שיש לנו סוג של rollback דבר גאוני פעם זה היה זה הרבה יותר מסובך.

23. 07:17

    אז איפה אנחנו רואים את ה-Rollback? אנחנו באים לפה, Revision, וזה ה-Rollback הראשון שלנו, זו השורה הראשונה, First Policy.

24. 07:25

    מעכשיו והלאה כל שינוי שנעשה יהיו פה עוד ועוד שורות. לפעמים רוצים לראות מה היה לפני שנגענו, אז אנחנו יכולים לעשות פה קליק ימני ו-View, וזה פותח לנו עוד דשבורד לפני שנגענו.

25. 07:39

    ממש ככה זה מאוד יעיל. זה ה-Policy שפתחנו ב-Revision, Read Only. רק נציץ בזה. כן, נמשיך הלאה. זה הפוליסי הראשון שלנו, אם טעינו במשהו אנחנו יכולים להציץ פה ולראות.

26. 07:54

    כרגע אין לנו פוליסים אחרים אז זה לא רלוונטי, אבל שכחתי להפעיל nut. יש דרך מאוד פשוטה ל-nut. עיד אינטרנל ביין גטוויי, ברגע שעושים פה אוקיי, כל היציאה לאינטרנט, האינטרנט נראה כאילו יוצאים עם 1088, תכף נראה את זה בלוגים, כעיקרון גם עדיף

27. 08:16

    זה יהיה 10.80.8.1 שזה ה-IP של האינטרנט שלנו. בייס פרקטיס שפה יהיה הכתובת מול האינטרנט. אם הפיירול הזה הולך להיות לטובת VPN זה חושך