В процессе ковырякания с Sofaware из вне сетки, я поимел проблему относительно того, что установить VPN соединение со шлюзом можно с помощью родного клиента от CheckPoint SecuRemote / SecureClient . Данный VPN клиент уже отправлен на заслуженный отдых, поскольку последняя имеющаяся версия это SecuRemote NGX R60, и компания CheckPoint настоятельно просит пользоваться новыми версиями EndPoint клиента, в чей движок входит модуль старого клиента SecuRemote/SecureClient. Сам клиент конечно доступен из веб-морды управления шлюзом, но к сожалению по проблемам, описанным раннее, я этого доступа не имел- и одна надежда была на VPN соединение.
При этом, если искать его через стандартную форму поиска на офф.сайте, то все выпавшие ссылки на скачивание SecuRemote/SecureClient ограничиваются просьбой заполниться формочку по которой с вами свяжутся чуть позднее. По которым никто не отвечает, т.к я заполнял почти неделю назад и до сих тишина. Но тем не менее на офф.сайте эти клиенты доступны, правда как попасть в этот раздел, последовательно используя системы меню и навигации, я так и не понял, но тем не менее там доступны клиенты SecuRemote/SecureClient как для Windows так и для MaC OS X, a также SecureMobile Client.
Всю прошедшую неделю, вместо положенного отпуска, воевал с клиентской железякой Sofaware 500W. Удобный по управлению и настройке безопасности агрегат, для небольших сетей. Все в одном: фаервол с глубокой проверкой пакетов SPI, средство предотвращения вторжений IPS SmartDefense, антиспам и антивирусные фильтры реального времени, web фильтеринг для блокировки доступа к “плохим” сайтам, несколько видов антиспама (контентный, блок листинг и на основе IP репутации отправителя), регулировка нагрузки, порт DMZ, поддержка NAT, VPN-сервер- как на собственном движке посредством клиента от чекпоинт Secure Client, так и возможность поднять L2TP сервер, а также возможность VPN туннелирования, организация Wi-Fi сети и гостевой сети для VPN клиентов.
Такое вот прекрасное устройство, причем вместе с подпиской на год и безлимитное число пользователей, оно выходит чуть больше штуки грина. Все очень просто настраивается через веб морду по http или https. Но есть одно маленькое НО- коробка идет со стандартной прошивкой 7.х которая после того как подцепляешь подписку, без вопроса грейдится на самую последнюю 8.0.42 после чего начинается свистопляска. Все входящие DNS пакеты на внутренний сервер, который натится из сетки, начинаются дропаться по дефолтному правилу, не смотря на указанную политику о том чтобы их пропускать. Помимо этого, напрочь отрубается внешний доступ к веб морде, а при попытке поднять wi-fi в бридж моде, для того чтобы иметь доступ из wi-fi сети к сетевым ресурсам, вешается внутрисетевой трафик, т.ч. простейшие операции вроде отправки почтового сообщения вешаются наглухо. В общем пришел к тому что нужно откатываться на старую версию прошивки, но как это сделать чтобы устройство не обновилось снова, не могу понять, в этой связи открыл тикет на офф.сайте. Пока суть да дело, с разборкой логов и настроек, мне упало еженедельное письмо от sofaware со статистикой по неделе работы устройства, где также была анонсирована эта самая многострадальная прошивка 8.0.42 откуда я с радостью узнал, что дроп пакетов на 53 порт UDP оказывается “не бага, а фича”, т.к. это трактуется как domain атака, также прикрывается атака на порт 51376 и 54498.
Приятный и удобный сервис, но будем ждать разрешения проблемы, когда все заработает наконец то в полном объеме.
Перед заказчиком встала проблема обновления антивируса на шлюзе check point находящемся за прокси сервером, и служащего для защиты внутренней фермы серверов.
С ростом возможностей провайдеров, полос пропускания и числа провайдеров, также растет и количество с «качеством» потенциальных угроз, которые несет интернет любому хосту подключенному к глобальной сети. Ситуация выхода в интернет, для обычной машины, похожа на заплыв по ночному карибскому морю, кишащему злобными хищниками хотящими комиссарского тела. Не веселая статистика гласит, что время между первым подключением к интернету и первой попыткой атаки, за последние три-четыре года уменьшилось в 4-5 раз, с пяти минут до 50-70 секунд.
Забавная тема конечно, понять не могу, то ли я такой везучий, то ли еще что то. Сдал аттестации по Check Point: на CCSA в ноябре, на CCSE в феврале месяце. В итоге прислали только первый диплом, и то только в апреле, при том, что народ сдававший после меня уже давным давно все получил. Уже третий раз пишу вендору о том, что типо “алле, маруся, не плохо бы дослать”, и если до этого получал отмазы, что сегодня порадовали- оказывается я по их базу уже все давно получил.
Смешные зверьки конечно, выдают статус на год, при этом почти год не могут прислать сертификат, хорошо что для конторы достаточно иметь статус на офф.сайте, а то бы еще и здесь напряги бы были.
Данная процедура в CheckPoint довольно тривиальна, но нем не менее мне встречались умельцы, пытавшиеся провести данную процедуру в обратном порядке- по аналогии с ведьмиными заклятиями. Но, в отличии от обычных операционок, инсталляция правил после некорректной смены IP, на шлюзе от Check Point, чревата танцами с бубнами вокруг сотни конфигурационных файлов по которым распихивается информация, т.ч. наиболее простым решением будет являться полная перестановка системы.
Смена IP адреса на сервере Check Point FireWall-1, в большинстве конфигураций, происходит следующим образом: на сайте Check Point Software Ltd. , в разделе User center запрашивается новая лицензия на назначаемый IP адрес
