Check Point CloudGuard Network көмегімен инфрақұрылымды қорғау

Сіз өз инфрақұрылымыңызды ықтимал веб-қауіптерден Check Point CloudGuard Network сервисінің көмегімен қорғай аласыз. Бұл сервис кез келген типтегі бұлтта қауіптердің алдын алуға және желіні қорғауға арналған кешенді шешім болып табылады. Check Point CloudGuard Network сервисі мыналарды қамтиды:

• Security Gateway BYOL — виртуалды шлюз (келесі буындағы файервол);
• Security Management BYOL — сервисті басқару сервері.

Нұсқаулықтың барлық қадамдарынан өткеннен кейін, сіз:

1. Виртуалды шлюзді өрістетіп, баптайсыз.
2. Басқару серверін өрістетіп, баптайсыз.
3. Шлюз бен басқару серверіне желілік қолжетімділікті баптайсыз.
4. Шлюздің желілік интерфейстерін баптайсыз.
5. Қауіпсіздік саясатын баптайсыз.
6. Резервтік көшіру нұсқаларымен танысасыз.

Check Point CloudGuard Network сервисін пайдалана отырып, сіз қолданбалар дүкенінің лицензиялық келісімімен, сондай-ақ Check Point лицензиялық келісімімен келісесіз.

1. VK Cloud-та тіркеліңіз.

2. Желі топологиясы мен адрестеуді жоспарлаңыз: виртуалды шлюз бен басқару сервері бір желіде ме, әлде әртүрлі желілерде ме орналасатынын ойластырыңыз. Әдепкі бойынша шлюз бен басқару серверін өрістету кезінде бір желі пайдаланылады.

3. (Опционалды) Сатып алынған Check Point лицензияларына байланысты Check Point CloudGuard Network басқару сервері өрістетілетін ВМ дискінің қажетті көлемін бағалаңыз.

   Требования к инфраструктуре виртуального шлюза
   Требования к инфраструктуре сервера управления

4. (Опционалды) Егер бұрын жасалмаған болса, интернетке қолжетімділігі бар желіні жасаңыз.

1. Security Gateway BYOL шлюзін өрістетіңіз:

   1. VK Cloud жеке кабинетіне өтіңіз.

   2. Магазин приложений бөліміне өтіңіз.

   3. Check Point CloudGuard Network — Security Gateway BYOL сервисінің карточкасында Подробнее батырмасын басыңыз.

   4. Сервис бетінде Подключить батырмасын басыңыз.

   5. Сервисті баптау бетінде шлюз параметрлерін орнатыңыз:

      • Сеть: интернетке қолжетімділігі бар бұрын жасалған желіні таңдаңыз немесе оның типін және ішкі желі мекенжайын көрсетіп, жаңасын жасаңыз.
      • Қалған параметрлерді өзгертусіз қалдырыңыз.

   6. Следующий шаг батырмасын басыңыз.

   7. Растау бетінде қосылудың қорытынды параметрлерін тексеріп, Подключить тариф батырмасын басыңыз.

   Өрістету аяқталғаннан кейін поштаңызға шлюзді баптау нұсқаулығына арналған бір реттік сілтеме келеді. Осы нұсқаулықты сақтап қойыңыз.

2. Security Management BYOL басқару серверін өрістетіңіз:

   1. VK Cloud жеке кабинетіне өтіңіз.

   2. Магазин приложений бөліміне өтіңіз.

   3. Check Point CloudGuard Network — Security Management BYOL сервисінің карточкасында Подробнее батырмасын басыңыз.

   4. Сервис бетінде Подключить батырмасын басыңыз.

   5. Сервисті баптау бетінде басқару серверінің параметрлерін орнатыңыз:

      • Сеть: өрістетілген сервисі бар ВМ орналастырылатын, интернетке қолжетімділігі бар бұрын жасалған желіні таңдаңыз немесе оның типін (Neutron немесе Sprut) және ішкі желі мекенжайын көрсетіп, жаңа желі жасаңыз.
      • Қалған параметрлерді ұсынымдарға сәйкес таңдаңыз немесе әдепкі мәндерді қалдырыңыз.

   6. Следующий шаг батырмасын басыңыз.

   7. Растау бетінде қосылудың қорытынды параметрлерін тексеріп, Подключить тариф батырмасын басыңыз.

   Өрістету аяқталғаннан кейін поштаңызға басқару серверін баптау нұсқаулығына арналған бір реттік сілтеме келеді. Осы нұсқаулықты сақтап қойыңыз.

1. VK Cloud жеке кабинетіне өтіңіз.

2. Облачные вычисления → Виртуальные машины бөліміне өтіңіз.

3. Виртуалды машиналар тізімінде виртуалды шлюз ретінде жасалған ВМ атауын басыңыз.

4. ВМ бетінде Консоль қойындысына өтіңіз.

5. GAiA операциялық жүйесінің CLISH пәрмен жолына кіру үшін шлюзді баптау нұсқаулығында берілген логин мен құпиясөзді енгізіңіз.

6. Шлюз ВМ-де жаңа құпиясөзді келесі пәрменнің көмегімен орнатыңыз:

    
   set user admin password

7. Пәрмендерді орындаңыз:

    
   set hostname <ИМЯ_ХОСТА>set interface eth0 ipv4-address <ВНУТРЕННИЙ_IP> subnet-mask <МАСКА_ПОДСЕТИ>set static-route default nexthop gateway address <IP_ШЛЮЗА_ПО_УМОЛЧАНИЮ> onsave config

   Мұнда:

   • <ИМЯ_ХОСТА> — шлюздің виртуалды машинасының атауы. ВМ атауы Security Gateway BYOL сервисін өрістету кезінде автоматты түрде жасалады. Осы параметрдің көмегімен ВМ атауын өзгерте аласыз.
   • <ВНУТРЕННИЙ_IP> — шлюзді баптау нұсқаулығында көрсетілген шлюздің ішкі IP мекенжайы.
   • <МАСКА_ПОДСЕТИ> — шлюзді баптау нұсқаулығында көрсетілген ішкі желі маскасы.
   • <IP_ШЛЮЗА_ПО_УМОЛЧАНИЮ> — шлюзді баптау нұсқаулығында көрсетілген әдепкі шлюзге дейінгі статикалық маршрут.

1. VK Cloud жеке кабинетіне өтіңіз.

2. Облачные вычисления → Виртуальные машины бөліміне өтіңіз.

3. Виртуалды машиналар тізімінде басқару сервері ретінде жасалған ВМ атауын басыңыз.

4. ВМ бетінде Консоль қойындысына өтіңіз.

5. GAiA операциялық жүйесінің CLISH пәрмен жолына кіру үшін басқару серверін баптау нұсқаулығында берілген логин мен құпиясөзді енгізіңіз.

6. Басқару сервері ВМ-де жаңа құпиясөзді келесі пәрменнің көмегімен орнатыңыз:

    
   set user admin password

7. Пәрмендерді орындаңыз:

    
   set hostname <ИМЯ_ХОСТА>set interface eth0 ipv4-address <ВНУТРЕННИЙ_IP> subnet-mask <МАСКА_ПОДСЕТИ>set static-route default nexthop gateway address <IP_ШЛЮЗА_ПО_УМОЛЧАНИЮ> onsave config

   Мұнда:

   • <ИМЯ_ХОСТА> — басқару сервисінің виртуалды машинасының атауы. ВМ атауы Security Management BYOL сервисін өрістету кезінде автоматты түрде жасалады. Осы параметрдің көмегімен ВМ атауын өзгерте аласыз.
   • <ВНУТРЕННИЙ_IP> — басқару серверін баптау нұсқаулығында көрсетілген басқару серверінің ішкі IP мекенжайы.
   • <МАСКА_ПОДСЕТИ> — басқару серверін баптау нұсқаулығында көрсетілген ішкі желі маскасы.
   • <IP_ШЛЮЗА_ПО_УМОЛЧАНИЮ> — басқару серверін баптау нұсқаулығында көрсетілген әдепкі басқару серверіне дейінгі статикалық маршрут.

Егер шлюз бен басқару сервері дискісі 100 ГБ-тан үлкен виртуалды машиналарда өрістетілсе, осы ВМ-дер үшін lv_current немесе lv_log логикалық томдарының өлшемін үлкейтіңіз:

1. VK Cloud жеке кабинетіне өтіңіз.

2. Облачные вычисления → Виртуальные машины бөліміне өтіңіз.

3. Виртуалды машиналар тізімінде шлюз немесе Check Point CloudGuard Network басқару сервері ретінде жасалған ВМ атауын басыңыз.

4. ВМ бетінде Консоль қойындысына өтіңіз.

5. Қажетті ВМ-ді баптау нұсқаулығында берілген логинді және ВМ-ді баптау кезінде таңдалған құпиясөзді енгізіңіз.

6. GRUB 2 жүктеушісі үшін құпиясөз орнатыңыз:

    
   set grub2-password

7. Сараптамалық режим үшін құпиясөз орнатыңыз (Linux жүйесіндегі бір пайдаланушылық режимнің баламасы):

    
   set expert-password

8. Баптаулардағы өзгерістерді сақтаңыз:

    
   save config

9. ВМ-ді қайта жүктеңіз:

    
   reboot

10. Жүктеу кезінде Press any key to see the boot menu шақыруы пайда болғанда, кез келген пернені басыңыз.

11. Start in maintenance mode режимін таңдаңыз.

12. Шлюзді (немесе басқару серверін) баптау кезінде орнатылған логинді және GRUB2 жүктеушісі үшін орнатылған құпиясөзді енгізіңіз.

13. LVM логикалық томдар менеджерін іске қосыңыз:

     
    lvm_manager

14. Resize lv_current/lv_log Logical Volume опциясын таңдау үшін 2 енгізіңіз.

15. Пернетақтадан тиісті санды енгізіп, қажетті логикалық томды таңдаңыз.

16. Ұсынылған ауқымнан кез келген мәнді орнатыңыз.

Қосымша ақпарат sk95566 мақаласында берілген (мақалаға қолжетімділік Check Point CloudGuard Network өнімін сатып алғаннан кейін ашылады).

1. VK Cloud жеке кабинетіне өтіңіз.

2. Виртуальные сети → Настройки firewall бөліміне өтіңіз.

3. Шлюзді баптау нұсқаулығында көрсетілген қауіпсіздік тобы үшін желіңіздегі IP мекенжайларынан келетін кіріс трафикке рұқсат беретін ережелерді қосыңыз:

   1. Қажетті қауіпсіздік тобының атауын басыңыз.

   2. Входящий трафик блогында + Добавить правило түймесін басыңыз.

   3. Трафик түрін таңдап, порттарды көрсетіңіз:

      Все протоколы и все порты

      HTTPS

      SSH

      Желіңіздегі IP мекенжайларынан кез келген кіріс трафикке рұқсат беру үшін:

      1. Тип өрісінде Все протоколы и все порты таңдаңыз.
      2. Удаленный адрес бөлімінде Диапазон IP-адресов таңдаңыз және желіңіздегі IP мекенжайлары ауқымын автоматты түрде қою үшін Использовать мой IP түймесін басыңыз.

      Кез келген IP мекенжайларынан TCP 443 портына кіріс трафикке рұқсат беру үшін HTTPS таңдап, 443 портын көрсетіңіз.

      Кез келген IP мекенжайларынан TCP 22 портына кіріс трафикке рұқсат беру үшін SSH таңдап, 22 портын көрсетіңіз.

   4. Сохранить правило түймесін басыңыз.

4. GAiA Portal веб-интерфейсі арқылы виртуалды шлюзге қосылып, First Time Configuration Wizard баптау шеберінің көмегімен шлюзді баптауды аяқтаңыз:

   1. https://<ВНЕШНИЙ_IP_АДРЕС>:443 адресіне өтіңіз, мұнда <ВНЕШНИЙ_IP_АДРЕС> — шлюзді баптау нұсқаулығында көрсетілген шлюздің сыртқы IP мекенжайы.
   2. Шлюзді баптау нұсқаулығында берілген логинді және баптау кезінде орнатылған құпиясөзді енгізіңіз.
   3. Пайда болған терезеде SIC бөлімінде Activation Key өрісіне құпиясөз орнатыңыз. Бұл құпиясөзді жазып қойыңыз. Ол шлюзді басқару серверіне қосу кезінде қажет болады.

Енді сіз GAiA Portal веб-интерфейсі арқылы https://<ВНЕШНИЙ_IP_АДРЕС> адресі бойынша (немесе SSH арқылы <ВНЕШНИЙ_IP_АДРЕС>:22) шлюз ВМ-іне қосыла аласыз.

1. VK Cloud жеке кабинетіне өтіңіз.

2. Виртуальные сети → Настройки firewall бөліміне өтіңіз.

3. Басқару серверін баптау нұсқаулығында көрсетілген қауіпсіздік тобы үшін желіңіздегі IP мекенжайларынан келетін кіріс трафикке рұқсат беретін ережелерді қосыңыз:

   1. Қажетті қауіпсіздік тобының атауын басыңыз.

   2. Входящий трафик блогында + Добавить правило түймесін басыңыз.

   3. Трафик түрін таңдап, порттарды көрсетіңіз:

      Все протоколы и все порты

      HTTPS

      SSH

      Другое

      Желіңіздегі IP мекенжайларынан кез келген кіріс трафикке рұқсат беру үшін:

      1. Тип өрісінде Все протоколы и все порты таңдаңыз.
      2. Удаленный адрес бөлімінде Диапазон IP-адресов таңдаңыз және желіңіздегі IP мекенжайлары ауқымын автоматты түрде қою үшін Использовать мой IP түймесін басыңыз.

      Кез келген IP мекенжайларынан TCP 443 портына кіріс трафикке рұқсат беру үшін HTTPS таңдап, 443 портын көрсетіңіз.

      Кез келген IP мекенжайларынан TCP 22 портына кіріс трафикке рұқсат беру үшін SSH таңдап, 22 портын көрсетіңіз.

      SmartConsole қолданбасы арқылы басқару серверіне қосылу үшін басқа порттарды орната аласыз:

      1. Тип өрісінде Другое таңдаңыз.
      2. Кез келген IP мекенжайларынан осы порттарға кіріс трафикке рұқсат беру үшін TCP 19009, 18210, 18190, 443 порттарын көрсетіңіз.

   4. Сохранить правило түймесін басыңыз.

4. GAiA Portal веб-интерфейсі арқылы басқару серверіне қосылып, First Time Configuration Wizard баптау шеберінің көмегімен баптауды аяқтаңыз:

   1. https://<ВНЕШНИЙ_IP_АДРЕС>:443 адресіне өтіңіз, мұнда <ВНЕШНИЙ_IP_АДРЕС> — басқару серверін баптау нұсқаулығында көрсетілген басқару серверінің сыртқы IP мекенжайы.
   2. Басқару серверін баптау нұсқаулығында берілген логинді және баптау кезінде орнатылған құпиясөзді енгізіңіз.
   3. First Time Configuration Wizard баптау шебері терезесінде Next түймесін басыңыз.
   4. Deployment Options қадамында баптауларды өзгертпей, Next түймесін басыңыз.
   5. Management Connection қадамында баптауларды өзгертпей, Next түймесін басыңыз.
   6. Device Information қадамында баптауларды өзгертпей, Next түймесін басыңыз.
   7. Date and Time Settings қадамында баптауларды өзгертпей, Next түймесін басыңыз.
   8. Installation Type қадамында Security Gateway and/or Security Management таңдаңыз.
   9. Products қадамында Check Point CloudGuard Network — Security Management BYOL сервисін басқару сервері ретінде баптау үшін жалауша арқылы тек Security Management таңдаңыз. Қажет болған жағдайда сервисті шлюз және басқару сервері ретінде бір уақытта баптай аласыз. Бұл туралы толығырақ сервистің ресми құжаттамасынан оқыңыз.
   10. Security Management Administrator қадамында баптауларды өзгертпей, Next түймесін басыңыз.
   11. Security Management GUI Clients қадамында баптауларды өзгертпей, Next түймесін басыңыз.
   12. First Time Configuration Wizard Summary қадамында Finish түймесін басып, жүйені қайта жүктеуді растаңыз.

Енді сіз GAiA Portal веб-интерфейсі арқылы https://<ВНЕШНИЙ_IP_АДРЕС> адресі бойынша (немесе SSH арқылы <ВНЕШНИЙ_IP_АДРЕС>:22) басқару серверінің ВМ-іне қосыла аласыз, мұнда <ВНЕШНИЙ_IP_АДРЕС> — басқару серверін баптау нұсқаулығында көрсетілген басқару серверінің сыртқы IP мекенжайы.

Әдепкі бойынша ВМ үшін бір желілік интерфейс жасалады. Шлюзге желілік интерфейс қосу үшін:

1. VK Cloud жеке кабинетіне өтіңіз.

2. Облачные вычисления → Виртуальные машины бөліміне өтіңіз.

3. Виртуалды машиналар тізімінде шлюз ретінде жасалған ВМ атауын басыңыз.

4. Сети қойындысына өтіңіз.

5. Қажетті желіні шлюз ВМ-іне қосыңыз және осы желі үшін қауіпсіздік тобына ережелерді қосыңыз.

6. GAiA Portal веб-интерфейсін немесе SSH пайдаланып, GAiA ОЖ-сында желілік интерфейсті баптаңыз.

1. Check Point CloudGuard Network сервисін басқаруға арналған SmartConsole қолданбасын сілтеме арқылы орнатыңыз немесе оны шлюздің не басқару серверінің GAiA Portal веб-интерфейсі арқылы жүктеп алыңыз:

   1. https://<ВНЕШНИЙ_IP_АДРЕС> адресіне өтіңіз, мұнда <ВНЕШНИЙ_IP_АДРЕС> — баптау нұсқаулығында көрсетілген шлюздің немесе басқару серверінің сыртқы IP мекенжайы.
   2. Сол жақ мәзірден Maintenance → Download SmartConsole таңдаңыз.
   3. SmartConsole дистрибутивін жүктеп алу үшін Download түймесін басыңыз.
   4. SmartConsole орнату файлын іске қосыңыз.
   5. Орнатушының барлық ұсыныстарын қабылдап, оның жұмысы аяқталғанша күтіңіз.

2. SmartConsole көмегімен басқару серверіне қосылыңыз, ол үшін басқару сервері үшін орнатылған логин мен құпиясөзді, сондай-ақ баптау нұсқаулығында көрсетілген басқару серверінің сыртқы IP мекенжайын көрсетіңіз.

3. Шлюзді басқару серверіне қосыңыз, ол үшін мыналарды көрсетіңіз:

   • Name: шлюзді баптау кезінде hostname параметрінде берілген шлюз ВМ-інің атауы.
   • IPv4 Address: шлюзді баптау кезінде <ВНУТРЕННИЙ_IP> параметрінде берілген шлюздің ішкі IP мекенжайы.

   Қосу кезеңінде шлюзге желілік қолжетімділікті баптау кезінде көрсеткен SIC-құпиясөзді енгізіңіз.

4. Шлюз үшін қажетті бағдарламалық blade-терді қосыңыз:

   1. Тізімдегі қажетті шлюз атауын екі рет басыңыз.
   2. Шлюз қасиеттерінде Network Security қойындысында қажетті баптауларды белгілеңіз.

5. Access Control Policy саясатын жасаңыз.

6. Қажет болған жағдайда Custom Threat Prevention немесе Autonomous Threat Prevention режимінде Threat Prevention Policy саясатын, сондай-ақ QoS Policy және HTTPS Inspection саясаттарын баптаңыз.

7. Шлюз бен басқару серверіне лицензияларды орнатыңыз.

8. Access Control Policy және Threat Prevention Policy саясаттарын шлюзге орнатыңыз.

Резервтік көшіру нұсқалары sk108902 мақаласында сипатталған және GAiA-ның келесі кіріктірілген резервтік көшіру рәсімдерін қамтиды:

• System Backup — GAiA ОЖ конфигурациясы мен басқару сервері базасының резервтік көшірмесін орындайды және мерзімдік резервтік көшіру үшін пайдаланылады. Резервтік көшірменің өлшемі:

  • шлюздер үшін ондаған немесе жүздеген МБ;
  • басқару сервері үшін жүздеген немесе мыңдаған МБ.

• Snapshot — жүйелік баптаулар мен келесі өнімдердің суретін жасайды:

  • файлдық жүйе (root);
  • жүйе конфигурациясы (интерфейстер, маршруттау, хост атауы және т.б.);
  • бағдарламалық blade-тер конфигурациясы;
  • басқару дерекқоры (басқару серверінде).

  Сурет өлшемі — бірнеше гигабайт. Негізінен GAiA операциялық жүйесін жаңа нұсқаға жаңарту алдында немесе Jumbo Hotfix бағдарламалық пакетін орнату алдында пайдаланылады.

Сервистің жұмыс істеп тұрған инфрақұрылымы есептеу ресурстарын тұтынады. Егер ол енді қажет болмаса:

• Check Point CloudGuard Network сервисінің инстансын жойыңыз.
• Шлюз және басқару сервері ретінде жасалған ВМ-дерді жойыңыз.
• ВМ-дермен бірге барлық дискілердің жойылғанына көз жеткізіңіз.
• Сервис үшін пайдаланылған желіні жойыңыз.