Схема стенда

Практика. Создание Групп IP Адресов

Создадим необходимые группы IP адресов согласно таблице:

Также создадим динамическую группу:

На web ресурсе:

1. Создаём фал списка list.txt
   

   touch list.txt

   Редактируем его:

   77.88.8.8
   77.88.8.1

2. Архивируем файл списка:
   

   zip list.zip list.txt

3. Создаём файл версии:
   

   touch version.txt

   Редактируем его: в нем должно быть только "1"

4. В конечном итоге в директории должно быть три файла:
   list.txt
   list.zip
   version.txt
5. Для проверки используем команды:
   

   netcheck http://10.2.2.51/list.zip
   netcheck http://10.2.2.51/version.txt

Теперь, при изменении списка необходимо также увеличивать и его версию.

Как результат:

Практика. Настройка базовой политики безопасности

Базовая настройка будет блокировать доступ к Ботнет сетям, а также IP адресам, блокированных RKN.
Во всех правилах включить "Журналирование начала сессии" (включая Default Block)

Практика. Создание правил доступа к внутренним ресурсам

В данном примере мы обеспечим доступ от зон Trusted и Management к ресурсам зоны DMZ:
http://10.2.2.51
http://10.2.2.52
В правиле 4 необходимо включить "Журналирование начала сессии"

Практика. Разрешение DNS к DC-A

Сервер DC-A используется как DNS для подсетей 10.1.1.0/24 и 10.3.3.0/24.
В нашем случает нам необходимо сделать разрешение из зоны Management -> DC-A
В правиле 5 необходимо включить "Журналирование начала сессии"

Практика. Разрешение доступа к файловым ресурсам на DC-A

В данном случае мы разрешим доступ от 10.2.2.0/24 и 10.3.3.0/24 на DC-A по протоколу SMB
В правиле 6 необходимо включить "Журналирование начала сессии"

Практика. Настройка подключения в Интернет

Создадим правило, разрешающее DNS запросы от DC-A
В правиле необходимо включить "Журналирование начала сессии"

Создадим правило, разрешающее доступ из LAN и MGT в Интернет
В правиле необходимо включить "Журналирование начала сессии"

Настроим правила NAT для доступа из внутренних сетей наружу.
В правиле необходимо включить "Журналирование начала сессии"

Практика. Эмуляция сбоя и проверка работы кластера

В данном примере, мы сэмулируем сбой через проверку шлюзов. Кластер должен обнаружить проблему, и осуществить переключение на резервный узел.

Проверим конфигурацию:

Кластер в норме. В данный момент активный узел UTM-A1
MGT-A видит один и тот же MAC для 10.3.3.1 и 10.3.3.2:

Для проверки мы отключим интерфейс 203.0.113.254/24 на R1:

После переключения вкладку придется обновить, т.к. поменялся MAC адрес.

После восстановления интерфейса, возврат кластера в исходное состояние произойдёт автоматически.

Практика. Обновление Библиотек

Перейдём в Настройки - Usergate - Настройки

Здесь мы можем обновить вручную

В левой вкладке настроим автоматическое обновление библиотек:

Информация об обновлениях сохраняется в локальном журнале "Журнал событий"