PC360

L2TP/IPSec на Huawei USG6510E – это технология организации защищённого удалённого доступа, где протокол L2TP используется для создания логического туннеля, а IPSec обеспечивает шифрование и аутентификацию трафика. В сочетании они позволяют безопасно подключать удалённых пользователей к корпоративной сети через Интернет. В данной инструкции представлен простейший вариант настройки L2TP/IPSec без использования сертификатов. На стороне клиента используется ОС Windows и UniVPN .   Настройка сервера. Интерфейс. Выбираем любой ... Читать далее

Диагностика трафика в USG выполняется с помощью различных инструментов. Инструменты – это разделы, предоставляющие функции анализа, тестирования и диагностики трафика или конфигурации сетевого экрана с целью выявления и устранения сетевых проблем. Все доступные инструменты можно найти в центре диагностики. Diagnostic Center – центр диагностики. Это раздел, предназначенный для диагностики работы USG и прохождения сетевого трафика. Он объединяет инструменты, позволяющие выполнять тесты, анализировать пакеты, ... Читать далее

Отчёты – это один из важных механизмов сетевого экрана, который дает целостное представление о работе сети и её безопасности, помогает выявлять угрозы, контролировать пользователей, соблюдать политики и принимать обоснованные решения по защите и оптимизации инфраструктуры. С технической стороны отчёты – это агрегированные, обработанные данные логов. Если логи не пишутся – отчёт не формируется соответственно. Поэтому перед началом работы с отчетами нужно ... Читать далее

На этой страницы приведены настройки для активации логирования в сетевом экране, рассмотрено содержание различных типов логов и способ их отправки на внешний syslog-сервер. Настройка даты и время. Для корректного отображения логов и точности воспроизведения событий необходимо настроить синхронизацию даты и время с внешним источником. Без корректного времени невозможно правильно воспроизвести цепочку событий. Актуальный IP-адрес NTP-сервера можно найти через pool.ntp.org. После ввода настроек нужно нажать ... Читать далее

Сетевой экран является организатором локальной сети. Необходимо настроить VLAN и изоляцию между сегментами. Настройку этого сетевого экрана без VLAN можно посмотреть тут.   Создание VLAN. Для меж-вилановой маршрутизации на USG нужны виртуальные L3 под-интерфейсы (dot1q) на первичном физическом интерфейсе. Создадим их для каждого ID.   Аналогичными действиями создаются под-интерфейсы для всех VLAN. В доп. настройках можно активировать разрешение для ping, чтоб находить интерфейс в сети. Временно можно ... Читать далее

L2TP (Layer 2 Tunneling Protocol) – это протокол туннелирования, который позволяет создавать виртуальные сети путем инкапсуляции данных на канальном уровне L2 модели OSI. Данные в нём передаются в открытом виде. По сути, это виртуальный провод (туннель) без какой-либо защиты. Из-за этого возможен перехват трафика, подмена пакетов, подмена сервера, подбор логинов/паролей и тп. L2TP-туннели нельзя использовать без дополнительной защиты шифрованием. Обычно ... Читать далее

IPS (Intrusion Prevention System) – система предотвращения вторжений. Анализирует сетевой трафик и обнаруживает попытки атак, вредоносные пакеты и эксплойты, затем блокирует их до того, как они достигнут целевой системы. IPS работает на основе: -сигнатур атак (signature-based); -анализа поведения (anomaly-based); -контекста сессии – понимает, какое приложение или сервис вызывает трафик. Сигнатура – это уникальный шаблон, признак или набор характеристик, по которому система IPS/IDS идентифицирует конкретную известную ... Читать далее

Расшифровка трафика на сетевом экране нужна для дальнейшей его обработки различными модулями и службами такими как AV, IPS, URL-Filtering, AppControl и т.п.  Такая обработка позволяет эффективно устранять угрозу до того, как она попадёт на конечное устройство. Для корректной работы SSL расшифровки есть два важных требования: -отключение Fast Forwarding; -активная лицензия Content Security Group.   Fast forwarding. Fast forwarding – это режим аппаратного ускорения обработки трафика, при ... Читать далее

Блокировать будем социальные сети, торренты, видеохостинги. На основании приказа руководителя три названные категории должны быть недоступны даже пользователям с полным доступом в Интернет. Политики безопасности по разграничению доступа настраивались тут. Существуют разные способы блокировки. На этой странице рассмотрены варианты блокировок по URL-фильтрации, DNS-фильтрации и URL-категориям через политику. У каждого способа есть достоинства и недостатки. Рассмотрим их далее.   URL-фильтрация. URL-фильтрации – это самый логичный ... Читать далее

Продолжаем рассматривать ограничение скорости в сетевом экране. В первой части было представлено простое ограничение скорости. В данном случае настройка сложнее, и нужно начинать вникать в глубины Huawei USG. Без понимания происходящего выполнить такую настройку под свою инфраструктуру будет сложно. Как и в первой части, план предполагает разделение скорости двум группам пользователей ADMINS и USERS. Дополнением в данном случае является родительская политика, с ... Читать далее