6. NGFW для малого бизнеса. Smart-1 Cloud02.09.2020 10:18

Приветствую всех, кто продолжает читать цикл о новом поколении NGFW Check Point семейства SMB (1500 cерия). В 5 части мы рассмотрели решение SMP (портал управления для SMB шлюзов). Сегодня же хотелось бы рассказать о портале Smart-1 Cloud, он позиционирует себя как решение на базе SaaS Check Point, выполняет роль Management Server в облаке, поэтому будет актуален для любых NGFW Сheck Point. Для тех, кто только присоединился к нам, напомню ранее рассмотренные темы: инициализация и настройка , организация беспроводной передачи трафика (WiFi и LTE) , VPN.

Выделим основные возможности Smart-1 Cloud:

Единое централизованное решение управления всей вашей инфраструктурой Check Point (виртуальные и физические шлюзы различного уровня).
Общий набор политик для всех Блейдов позволяет упростить процессы администрирования (создание/редактирование правил для различных задач).
Поддержка профильного подхода при работе с настройками шлюзов. Отвечает за разделение прав доступа при работе в портале, где одновременно могут выполнять различные задачи администраторы сети, специалисты аудита и т.д.
Мониторинг угроз, который обеспечивает получение логов, просмотр событий в одном месте.
Поддержка взаимодействия через API. Пользователь может внедрять процессы автоматизации, упрощая рутинные ежедневные задачи.
Доступ по Web. Снимает ограничения, касающиеся поддержки отдельных ОС, интуитивно понятен.

Те, кто уже знаком с решениями от Check Point, могут заметить, что представленные основные возможности не отличаются от локального выделенного Management Server в вашей инфраструктуре. Отчасти они будут правы, но в случае с Smart-1 Cloud обслуживание сервера управления обеспечивается силами специалистов Check Point. Оно включает в себя: снятие бекапов, мониторинг свободного места на носителях, исправление ошибок, установка последних версий ПО. Также упрощается процесс миграции (переноса) настроек.

Лицензирование

Прежде чем знакомиться с функционалом облачного решения управления, изучим вопросы лицензирования из официального DataSheet.

Управление одним шлюзом:

Подписка зависит от выбранных блейдов управления, всего предусмотрено 3 направления:

Management. Хранилище в 50 ГБ, ежедневно под логи 1 ГБ.
Management + SmartEvent. Хранилище в 100 ГБ, ежедневно под логи 3 ГБ, генерация отчетов.
Management + Compliance + SmartEvent. Хранилище в 100 ГБ, ежедневно под логи 3 ГБ, генерация отчетов, рекомендации по настройкам из общих практик информационной безопасности.

*Выбор зависит от многих факторов: вид логов, количество пользователей, объемы трафика.

Также имеется подписка для управления 5 шлюзами. Подробно останавливаться на этом не будем — вы всегда сможете получить информацию из DataSheet.

Запуск Smart-1 Cloud

Опробовать решение может каждый желающий, для этого нужно зарегистрироваться в Infinity Portal — облачный сервис от Check Point, в котором можно получить триальный доступ к следующим направлениям:

Cloud Protection (CloudGuard SaaS, CloudGuard Native);
Network Protection (CloudGuard Connect, Smart-1 Cloud, Infinity SOC);
Endpoint Protection (Sandblast Agent Management Platform, SandBlast Agent Cloud Management, Sandblast Mobile).

Мы же авторизуемся c вами в системе (для новых пользователей требуется регистрация) и перейдем в решение Smart-1 Cloud:

Вам кратко расскажут о плюсах этого решения (Управление инфраструктурой, не требуется установки, обновляется автоматически).

После заполнения полей нужно будет дождаться подготовки формирования учетной записи для входа в портал:

В случае успешной операции вы получите на почту (указанную при входе в Infinity Portal) информацию о регистрации, также вы будете переадресованы на главную страницу Smart-1 Cloud.

В качестве доступных вкладок портала:

Запуск SmartConsole. С помощью установленного приложения на ваш ПК, либо использовать веб-интерфейс.
Синхронизация с объектом шлюза.
Работа с логами.
Настройки.

Cинхронизация со шлюзом

Начнем с синхронизации Security Gateway, для этого его нужно добавить как объект. Перейдите во вкладку «Connect Gateway»

Необходимо ввести уникальное имя шлюза, можно добавить комментарий к объекту. После чего нажать «Register».

Появится объект шлюза, который необходимо будет синхронизировать с Management Server, выполняя CLI-команды для шлюза:

Убедиться, что на шлюзе установлен последний JHF (Jumbo Hotfix).
Установить токен подключения: set security-gateway maas on auth-token
Проверить состояние тоннеля синхронизации:
MaaS Status: Enabled
MaaS Tunnel State: Up
MaaS domain-name:
Service-Identifier.maas.checkpoint.com
Gateway IP for MaaS Communication: 100.64.0.1

После того, как были подняты службы для Mass Tunnel, вы должны перейти к установке SIC-соединения между шлюзом и Smart-1 Cloud в Smartconsole. В случае успешной операции будет получена топология шлюза, приложим пример:

Таким образом, при использовании Smart-1 Cloud, шлюз подключается в «серую» сеть 10.64.0.1.

Дополню, что на нашем макете сам шлюз выходит в Интернет с помощью NAT, соответственно, публичного IP-адреса на его интерфейсе нет, тем не менее, мы можем им управлять извне. Это еще одна интересная особенность Smart-1 Cloud, благодаря которой создается отдельная подсеть управления со своим пулом IP-адресов.

Заключение

После того, как вы успешно добавили шлюз для управления через Smart-1 Cloud, вы получаете полноценный доступ, как и в Smart Console. На нашем макете мы запустили веб-версию, фактически, это поднятая виртуальная машина с запущенным клиентом управления.

О возможностях Smart Console и архитектуре Check Point вы всегда можете узнать более подробно в нашем авторском курсе.

На сегодня все, нас ждет завершающая статья цикла, в которой мы коснемся возможностей по тюнингу производительности семейства SMB 1500 серии с установленной Gaia 80.20 Embedded.

Большая подборка материалов по Check Point от TS Solution. Следите за обновлениями (Telegram, Facebook, VK, TS Solution Blog, Яндекс.Дзен)