Вебинар: "Начальная настройка NGFW UserGate с помощью графического интерфейса управления (v. 2.0)"

• Вебинар начинается в 10:00 утра.  

• Ведущий Евгений Дьяконов представляет вендора.  

• В вебинаре участвуют Денис Бондаренко, Андрей Гурьянов и Светлана Стадникова.  

• Вебинар будет проходить в формате демонстрации.  

• Будет показано развертывание и настройка Firewal UserGate.  

• Вебинар продлится полтора-два часа с учетом вопросов.  

• Вебинар записывается и будет доступен до утра вторника.  

• Материалы вебинара будут включать мини-презентацию и справочные материалы.  

• Планируется серия вебинаров на различные темы.  

• Вопросы можно задавать в специальном разделе интерфейса.  

• После демонстрации будет время для ответов на вопросы.  

• Демонстрация включает развертывание и настройку Firewal UserGate версии 7.1.2.  

• Будут показаны три этапа: настройка виртуальной машины, настройка сетевых служб и создание объектов для работы.  

• Настройка сервисов операционной системы UserGate и интеграция с корпоративной инфраструктурой.  

• Создание сертификатов и настройка доверия к ним.  

• Создание базовых правил для настройки Firewal UserGate.  

• Настройка политики трансляции адресов и дошифрование трафика.  

• Работа с журналами и фильтрация данных.  

• Демонстрация экрана и подключение к лабораторному стенду.  

• Настройка шлюза UserGate и подключение к интернет-провайдерам.  

• Управление устройством с помощью станции управления MGT.  

• Возможность создания нескольких VIP-адресов в рамках кластера.  

• Использование VIP-адресов для повышения отказоустойчивости.  

• В версии 7.0 используется пользователь без пароля, в версии 7.1 - пароль "usergate".  

• Новый интерфейс управления стал более привычным для сетевых администраторов.  

• Интерфейс поддерживает автозаполнение и имеет два режима работы: диагностический и конфигурационный.  

• В диагностическом режиме можно просматривать различные настройки.  

• Интерфейс поддерживает автозаполнение, что помогает избежать орфографических ошибок.  

• В режиме конфигурации приглашение становится рутовым, что позволяет настраивать интерфейс управления.  

• Существуют два курса обучения: базовый и дополнительный.  

• Базовый курс предназначен для использования веб-интерфейса, дополнительный - для использования CLI.  

• Разрабатываются дополнительные курсы для расширения знаний.  

• Настройка интерфейса включает назначение зоны менеджмента и настройку физического интерфейса.  

• В версии 7.1 режим "ману" заменил режим "статик".  

• Все действия в интерфейсе управления вступают в силу немедленно, что важно учитывать при работе с оборудованием.  

• После настройки интерфейса можно подключиться через веб-интерфейс и выполнить мастер начального развертывания.  

• Мастер создает дефолтные объекты и определяет режим работы firewall.  

• Можно настроить дефолтного администратора и выбрать режим работы шлюза.  

• Активация продукта возможна в режиме онлайн и офлайн.  

• В режиме онлайн требуется доступ в интернет и резолвинг имен.  

• В режиме офлайн нужно сгенерировать специальный файл и отправить его менеджеру для активации.  

• Интерфейс управления разделен на несколько рабочих столов: диагностика, мониторинг, журналы, отчеты, настройки, гостевой портал.  

• В интерфейсе есть возможность настроить любимые разделы настроек и включить ночную схему для удобства.  

• Рассматриваются физические интерфейсы и их распределение по зонам.  

• Настраиваются интерфейсы, включая назначение IP-адресов и режимы выдачи IP-адресов.  

• Для кластеров рекомендуется использовать кластерные IP-адреса или VIP-адреса.  

• Интерфейсы должны принадлежать зонам, описывающим работу интерфейсов и доступ к сервисам.  

• Можно настроить профили для взаимодействия с сервером и протоколы, такие как LDP и ALAS.  

• Интерфейс может работать в режиме релай или быть физическим или логическим.  

• Шлюзы описывают маршруты по умолчанию и используются для доступа в интернет.  

• Можно настроить несколько шлюзов с разными IP-адресами и весами маршрутов.  

• Параметры балансировки и по умолчанию определяют, через какой шлюз будет отправляться трафик.  

• Для диагностики работы используется пинг и сервис резолвинга имен DNS.  

• Настраиваются системные DNS-серверы и параметры DNS-прокси.  

• Операционная система YGS сама перенаправляет DNS-запросы на системные DNS-серверы.  

• В YGS разделяются два типа трафика: транзитный и адресованный на интерфейсе.  

• Настраиваются политики доступа и защита интерфейсов от флуда.  

• Определяются разрешенные IP-адреса и настраивается IP-спуфинг.  

• Для активации лицензии в режиме онлайн вводится ключ.  

• Обновляются библиотеки операционной системы YGS.  

• Перезапускается веб-интерфейс и проверяется работа обновлений.  

• Активирована лицензия, и продолжается настройка сетевых сервисов.  

• Настраиваются шлюзы по умолчанию, сервисы DNS и создаются необходимые объекты.  

• Обсуждаются сетевые сервисы и их настройка.  

• Шлюз UserGate используется для предоставления сетевых сервисов пользователям.  

• Необходимо настроить маршруты, политику файервола и сервис резолдинга имен.  

• Шлюз может выступать в качестве DNS прокси.  

• Интерфейс зоны может выступать в роли прокси-сервера для пользователей.  

• DNS фильтрация требует специальной подписки и блокирует запросы к зловредным именам.  

• Кэширование DNS включено по умолчанию, время сохранения записи - 86400 секунд.  

• Запросы к домену UserGate Test перенаправляются на внутренний DNS сервер.  

• Можно добавлять статические записи для перенаправления запросов на конкретные интерфейсы.  

• Пользователи получают IP-адреса с DHCP сервера на Firewall.  

• Настройки сервера относятся к конкретному узлу кластера и интерфейсу.  

• Можно настроить диапазон IP-адресов, время аренды и другие параметры.  

• Объекты используются в политиках на шлюзе и хранятся в библиотеках.  

• Создаются диапазоны IP-адресов и объекты для настроек анти-пуфинга.  

• Объекты могут быть локальными или обновляемыми с веб-сервера.  

• Сервисы описывают пространство IP-адресов и портов.  

• В ходе начального развертывания создается набор дефолтных сервисов.  

• Следующий шаг - работа с сертификатами, которая займет больше времени.  

• Операционная система использует цифровые сертификаты для различных сервисов.  

• Веб-консоль, коптев портал и ССР VPN портал требуют доверенных сертификатов.  

• Для дешифрования трафика используется подписывающий сертификат.  

• Настройка антипуфинга для зоны DMZ.  

• Добавление пространства IP-адресов для DMZ сервиса.  

• Настройка антипуфинга для внешнего интерфейса.  

• Включение доступа к веб-интерфейсу из зоны Trust.  

• Настройка DNS для веб-интерфейса управления.  

• Создание имен для веб-интерфейса и коптев портала.  

• Использование сертификата менеджера для генерации сертификатов.  

• Генерация доверенного сертификата для веб-консоли.  

• Заполнение полей для генерации сертификата.  

• Экспорт сертификатов для коптев портала и веб-консоли.  

• Генерация сертификатов на основе ссср запросов.  

• Сохранение и назначение сертификатов для использования.  

• Загружаем файл с сертификатом веб-консоли.  

• Назначаем сертификат на использование в качестве сервиса веб-консоли.  

• Перезапускаем веб-консоль и переоткрываем браузер для корректной работы.  

• Проверяем валидность сертификата.  

• Если сертификат не принимается, выгружаем и загружаем его как доверенный корневой сертификат.  

• Перезагружаем браузер для корректной работы сертификата.  

• Пишем правила политики и дошифрования SSL.  

• Импортируем сертификат корпоративного сертификата.  

• Настраиваем доверительные отношения с сертификатом.  

• Настраиваем трансляцию IP-адресов в разделе политики сети.  

• Создаем собственное правило трансляции адресов.  

• Описываем источник и назначение трафика.  

• Создаем правило межсетевого экрана для доступа в интернет.  

• Описываем параметры правила и зоны назначения.  

• Проверяем и отслеживаем изменения правил.  

• Настраиваем доступ к веб-консоли в свойствах зоны.  

• Разрешаем доступ к консоли администрирования.  

• Описываем пространство IP-адресов для доступа.  

• В седьмой версии появился новый сигнатурный движок.  

• Возможность создания кастомных сигнатур для приложений и IP-систем.  

• Настройка профилей приложений и профилей СОВ для аудита трафика.  

• Применение профилей приложений для аудита трафика.  

• Идентификация приложений в журналах трафика.  

• Работа с неизвестными приложениями и создание кастомных сигнатур.  

• Работа с приложениями и сигнатурами включена в базовую подписку NGFW.  

• Возможность распознавания трафика приложений и блокировки угроз.  

• Весь интернет-трафик зашифрован, и UserGate пока не умеет дешифровать HTTPS.  

• Рекомендуется заблокировать протокол QUIC в начале политики.  

• Для дешифрования HTTPS используется метод атаки Menezes MDL.  

• Для дешифрования HTTPS требуется доверенный сертификат.  

• Генерируется новый запрос и сертификат для веб-сервера.  

• Сертификат используется для подписания других сертификатов.  

• Определяются правила, какой трафик дешифровать, а какой нет.  

• Нецелесообразно дешифровать трафик, который не содержит угроз.  

• Некоторые типы трафика, такие как финансовые организации и госуслуги, не могут быть дешифрованы.  

• Создаются категории для дешифрования трафика.  

• Определяются категории, которые не будут дешифроваться, например, азартные игры, алкоголь, табак.  

• Доверяем детским сайтам и сайтам с безопасным контентом.  

• Добавляются правила для дешифрования и блокировки плохих сайтов.  

• Не нужно дешифровать трафик обновлений для UserGate.  

• Профиль SSL проверяет подключение и определяет, какие алгоритмы шифрования можно использовать.  

• Проверяется работа дешифрования на примере сайта Яндекс.  

• Дешифрование не сработало из-за неправильного сертификата.  

• После перезагрузки браузера и проверки сертификата, дешифрование заработало.  

• Проверяется выполнение плана по настройке дешифрования.  

• В настройках политик безопасности проверяется работа с журналами.  

• Политики безопасности позволяют инспектировать контент и регулировать доступ пользователей к ресурсам интернета.  

• Можно использовать категории для управления доступом пользователей к ресурсам.  

• Можно ограничивать доступ к различным типам контента, таким как JavaScript, видео, документы, музыка и изображения.  

• Морфологические словари помогают анализировать содержимое веб-страниц.  

• Словари содержат слова и словосочетания, относящиеся к определенной тематике.  

• При наличии определенных слов и выражений, веб-страница категоризируется как принадлежащая определенной тематике.  

• Можно ограничивать пользователей работой с безопасными браузерами.  

• Разрешать доступ к корпоративным ресурсам только через совместимые браузеры.  

• Ограничивать пользователей методами работы и указывать, с каких ресурсов можно перемещаться.  

• Можно записывать все веб-транзакции в журнал веб-доступа.  

• Блокировать рекламу и формировать исключения для рекламы.  

• Инжектировать код JavaScript для проверки компьютера пользователя на наличие уязвимостей.  

• Активировать безопасный поиск для пользователей.  

• Фиксировать историю поиска и блокировать приложения социальных сетей.  

• Пример: блокировка доступа к Яндекс.  

• Правила фильтрации контента блокируют доступ к запрещенным ресурсам.  

• Можно активировать страницу блокировки для пользователей.  

• Настройка страниц аутентификации, выхода и блокировки в пользовательском портале.  

• Невозможно отключить дефолтного админа в версии 7.1.2.  

• Можно активировать лицензию без подключения к интернету.  

• Настройка L3 моста и работа с пользовательским порталом.  

• Вес маршрута влияет на балансировку, когда шлюзы равноценны.  

• Вес маршрута определяет дефолтный шлюз при отсутствии балансировки.  

• Проблемы с бэкапом системы и выгрузкой конфигурации.  

• Проблемы с лицензией и фильтрацией соцсетей.  

• Жалобы на переход на новую версию из-за недостаточной функциональности.  

• Переход на более новую версию рекомендуется для устранения багов.  

• Версия 7.1.2 содержит много исправлений.  

• Рекомендуется устанавливать более новые стабильные версии.  

• VPN-сервисы операционной системы UserGate обычно сопоставляются с дефолтным роутером.  

• Внешний интерфейс для VPN и других сервисов должен быть в дефолтном роутере.  

• Сервисы проверки лицензии и обновления сигнатур также связаны с дефолтным роутером.  

• Вопрос о работе с 582: ответ положительный.  

• Запись вебинара можно скачать, но это зависит от сервиса МТС.  

• Вопрос о сохранении сертификатов: сохраняется только корневой сертификат.  

• В правилах URL можно указывать только IP-адреса.  

• Вопрос о разбиении материала на видео: автор предпочитает живое общение.  

• Аварийный режим для быстрого отключения фильтров: создание правила ACCEPT ALL.  

• В текущей реализации IPsec создаются два зеркальных правила.  

• UserGate Firewall использует stateful inspection для обработки трафика.  

• Вопрос о разрушенной верстке: рекомендуется обратиться в техподдержку для детального анализа.  

• Планируется серия вебинаров раз в месяц.  

• Вебинары будут посвящены новому сигнатурному движку и настройке правил.  

• Обратная связь от участников поможет запланировать будущие вебинары.  

• Вопросы можно задавать по QR-коду.  

• Запись вебинара будет доступна для скачивания.  

• Благодарность участникам и завершение вебинара.  

• Пожелания успеха и приглашение учиться.  

• Продукт интенсивно развивается и предлагает много интересного.  

• Надежда, что продукт может стать серьезной заменой файерволам и чек-поинтам.  

• Уверенность в хорошем будущем продукта UserGate.  

• Поддержка продукта.  

• Благодарность и прощание.