צ'ק פוינט קלאסטר - Cluster
חלק 6

בלי כתוביותעם כתוביות

מילון מושגים:

קלאסטר - קבוצת מחשבים או שרתים שעובדים יחד כמערכת אחת, לשם זמינות גבוהה, ביצועים או חלוקת עומס.

חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.

כתובת IP - מספר שמזהה באופן ייחודי מכשיר ברשת מבוססת פרוטוקול IP, ומאפשר לשלוח אליו ולקבל ממנו מידע.

VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.

שער - התקן או נקודה שמחברים בין רשתות ומעבירים דרכם תעבורה החוצה, למשל שער ברירת המחדל ליציאה לאינטרנט.

שער ברירת מחדל - כתובת ההתקן ברשת שאליו נשלחת תעבורה המיועדת לרשתות אחרות, בדרך כלל הראוטר ליציאה לאינטרנט.

עדכון - שינוי שמביא תוכנה או מערכת לגרסה חדשה יותר, כדי לתקן תקלות, לסגור חולשות אבטחה או להוסיף יכולות.

צ'ק פוינט קלאסטר - Cluster חלק 6

אחרי ששוכפל firewall 1 והוגדר firewall 2 עם אותן הגדרות וכתובות IP שונות, בונים ב-SmartConsole קלאסטר אחד משני ה-firewalls.

בניית הקלאסטר

1. אובייקט הקלאסטר: מכונת הניהול מגדירה את כל האובייקטים, ואחר כך אותם מכניסים לפוליסי. יוצרים קלאסטר בשם TLV-GW ונותנים לו צבע. כתובת ה-IP הראשית היא של הרגל החיצונית, כי אליה מתחברים ב-VPN, ולא של רגל הניהול.

2. תיאור והערות: ב-Description וב-Comment כותבים מי עדכן ומתי, איש קשר באתר, וגם את ה-hotfix. כך ברשימה הגדולה רואים את הגרסה של כל firewall, כי אי אפשר לשדרג את כולם באותו יום.

3. הוספת החברים: מוסיפים את TLV-GW1 ו-TLV-GW2 כ-members ונותנים להם צבע. בשדה ה-SIC מכניסים את הסיסמה שהוגדרה ב-First Time Wizard, והיא מאפשרת למנג'מנט לנהל את ה-firewall. צריך סיסמה חזקה, כי כל מי שמחובר לאינטרנט יכול לנסות ליצור SIC מול ה-gateway.

4. התנהגות הקלאסטר: בוחרים ClusterXL עם High Availability, לא Load Sharing ולא Active Active, לפי המלצת Check Point. עם Switch to higher priority, GW1 חוזר להיות הראשי כשהוא מתאושש. עם Maintain current active, GW2 נשאר ראשי וחוסכים עוד מעבר בין ה-firewalls. הבחירה היא עניין של עדיפות.

5. למידת הרגליים: משתמשים ב-Get Interfaces with Topology כדי שה-firewall ילמד את הרגליים והרשתות שמאחוריהן. eth0 מזוהה כ-external כי יש לו default gateway. לכל רגל נותנים description, הופכים אותה ל-Cluster ומזינים כתובת. לרגל החיצונית מגדירים external zone, ומשתמשים בו אחר כך בפוליסי.

6. חמש רגליים: חיצונית, mgmt, servers, users ו-sync. את הרגליים מגדירים אחת אחת, ואפשר להכין את הטקסט ב-Notepad++ ולהעתיק. רגל ה-sync מוגדרת Sync ולא Cluster+Sync. זה ה-best practice, כשיש מספיק רגליים, ולרגל sync אין VIP.

7. Publish ו-Rollback: עושים Publish ראשון עם תיאור ברור. בלשונית Revisions אפשר לחזור לגרסה קודמת, קליק ימני, Action, Revert to this revision.

8. Policy ו-Install: מוסיפים את הקלאסטר לפוליסי. כללים: ניהול הקלאסטר מהכתובות המורשות וחסימת השאר, אינטרנט לעדכונים מול Check Point, ו-DNS מהשרת שהוגדר ב-First Time Wizard לצורך identity awareness וגלישה. אחרי Install Policy שני ה-firewalls נהפכים לקלאסטר.

שימו לב

- ללא Install Policy ע

השיעור הבא בקורס: צ'ק פוינט קלאסטר - Cluster חלק 7 - בדיקה של הקלאסטר

פרקי ההרצאה: צ'ק פוינט קלאסטר - Cluster חלק 6

תמלול ההרצאה: צ'ק פוינט קלאסטר - Cluster חלק 6

הטקסט המלא של הדקות הראשונות בהרצאה «צ'ק פוינט קלאסטר - Cluster חלק 6» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שכפלנו את firewall 1 והגדרנו איתו את firewall 2, אותן הגדרות בשינוי של הכתובות IP. עשינו את זה עם הנורקלד פלאס פלאס, זה היה מגניב. עכשיו אנחנו בונים את הקלאסטר בסמארט קונסול.
00:16
אני בונה את שני ה-firewallים האלה כיחידה אחת. הסימן שאלה זה בגלל שהרישוי תכף יפוג, המעבדה כולה על רישוי זמני של צ'ק פוינט ל-30 יום.
00:27
ניתן איזה בריף קטן, זו המכונת ניהול שלנו, זה המבשק. קונסול באמצעותה אני מגדיר את כל האובייקטים, אובייקטים תכף נראה, זה כל מה שאני רוצה להגדיר איזשהו חוק עבורו, אני קודם כל מגדיר את האובייקט ואז אני מכניס אותו לתוך הפוליסי.
00:44
כרגע האובייקט שלנו זה הקלאסטר שיאכוף את הפוליסי שאנחנו מגדירים, אז אני יוצר פה קלאסטר, אמרתי כבר כשיש לנו מכונת ניהול בנפרד אפשר לנהל פה מלא גטוויים, כמובן שזה דורש את הרישוי, מכונת ניהול מגיעה עם רישוי לכמה גטוויים היא יכולה לנהל.
01:05
אני נותן כרגע שם לקלאסטר TLV-GW, בוחר צבע. אני מגדיר את ה-GW שלנו עם הרגל החיצונית, כי זו הרגל שמתחברים אליה ב-VPN-10881. אם אני אגדיר את הרגל ניהול שלנו, אף אחד לא יכול להתחבר לרגל ניהול מבחוץ, אז זה מה שנהוג.
01:27
דבר ראשון הכתובת IP הראשית של הפיירוול זו הכתובת שמתחברים אליה מבחוץ כאן אני נותן לו כל מיני דסקריפשינים TLV gateway cluster אני נותן לו את האודפיקס אני יכול להגיד פה עודכן על ידי יוסי ומשה בתאריך ככה וככה איש קשר באתר אפשר לשים פה מיליון קומנטים אני אוהב גם לשים את האודפיקס כי אז ברשימה הגדולה אנחנו רואים פה בקומנט אנחנו רואים את כל האוטפיקסים של כולם ולא צריך להיכנס
02:03
אחד אחד לבדוק כי אי אפשר לשדרג את כל הפיירולים באותו יום אז נשים את זה בהדרגה כל פעם מתקדמים אני מסמן שזה על 8110 בשלב זה אנחנו לא מתעסקים עם VPN אני קודם כל רוצה לבנות את הקלאסדר ואמרנו TLV JW1 1080 אני מגדיר דבר ראשון את הרגל הניהולית זה שתיים TLV ממבר 1 גם לו אנחנו נותנים צבע
02:33
וכאן אני שם את הסיק שהגדרנו בפירס טיים ויזרד זה למעשה הסיסמה שמאפשרת למנג'מנט הזה לנהל את הפיירוול הספציפי הזה בלי הסיק אי אפשר לנהל את הפיירוול הזה צריך לשים סיק שהוא סיסמה חזקה כי ברגע שחיברנו גטוויי לאינטרנט מישהו באינטרנט יכול ליצור סיק מול הגטווי שלנו בלי שנדע, ולפיירוול אין דרך לדעת
03:04
שזה לא המנג'מנט הנכון שאמור לנהל אותו. TLV-GW2-1080113 גם פה אני אומר לו TLV1002 גם כן צבע אותו סיק כמובן שבפרוטקשן זאת תהיה סיסמה הרבה יותר ארוכה ואני עושה אוקיי.
03:27
עכשיו יש לנו בקלאסטר הזה את שני הגטוויים. כאן אני מגדיר איך הקלאסטר אמור להתנהג, זה ה-Default, זה הפרוטוקול של צ'אטפוינט. יש גם VRRP שהוא יותר נהוג בראוטרים. אנחנו עובדים קלאסטר אקסל, לא עובדים לואו צ'יירינג, עובדים High Availability.
03:44
גם לא עובדים אקטיב אקטיב, ששניהם אקטיביים. בהתאם להמלצות צ'אטפוינט, לא מתחכמים. פה אני קובע אם מי שאקטיבי נשאר אקטיבי. מה זה אומר?
03:57
אני אסביר גם קודם את השני ואז יהיה יותר קל להסביר את הראשון. סוויץ' טו וייר פריוריטי, מה זה אומר? שמי שראשון פה ברשימה הוא זה שהוא בעדיפות להיות ראשי.
04:08
עכשיו בהתקנה ראשונית, באינסטול הראשון, GW1 יהיה הראשי. אם קרה לו משהו והוא ירד לצורך תחזוקה או שהוא נפל מאיזושהי סיבה, GW נהיה הראשי.
04:20
ואז כשמסדרים את GW1 והוא חוזר לשגרה, אם זה סוויץ', אז GW1 יחזור להיות ראשי. אם הוא מיינטיין, אז GW2 יישאר הראשי כדי לחסוך הקפצה נוספת בין פיירוולים.
04:37
יש מלא מקומות שמעדיפים שתמיד אחד יהיה הראשי, בעיקר לצורכי בקרה שבודקים מערכות של עשרות פיירוולים. יותר קל לדעת אחד הוא הראשי מאשר להסתכל במערכת מי הראשי כרגע.
04:54
זה עניין של עדיפות, גם ככה גם ככה זה בסדר כאן אנחנו מלמדים את הפיירוול את כל הרגליים שלו אני מבקש ממנו שילמד באופן אוטומט ווי טופולוג'י טופולוג'י כולל גם את הניתובים אם נסתכל על הסכמה שלנו יכול להיות שמאחורי איזשהו רגל יש עוד רשתות שכרגע בסרטוט שלנו אין הפיירוול ילמד את הטופולוגיה של הרשתות הנוספות מאחורי או פיירוול נוסף או ראוטר נוסף או סוויץ' לאר שלוש נוסף ככה
05:25
זה נראה עשינו get interface with topology אז הוא לומד ש-eth0 זה external כי יש לנו default gateway. גם פה אני שם בדיוק את אותם description אז אני קורא לזה internet vmnet 8 not ואני הופך את הרגל הזאת לרגל קלאסטר אני יודע שהכתובת היא 10.80.81 אני מעתיק