Astaro Internet Security - защита сети от хакеров, программ-шпионов, вирусов, фишинга, спама и других интернет-угроз.

Программный маршрутизатор с функциями брандмауэра

Для большинства из нас опыт работы с маршрутизаторами ограничивается аппаратными решениями от таких производителей как D-Link, Netgear, SonicWall, и других. Вы либо приобрели его сами, либо получили от своего Интернет-провайдера. Многим неизвестен сам факт существования программных маршрутизаторов, либо кажется, что они слишком сложны в настройке и обслуживании.

В этой статье мы попытаемся объяснить, что такое брандмауэры, маршрутизаторы и планирование сети. Потом мы разберем настройку маршрутизатора с функциями брандмауэра на примере решения Astaro. Компьютер, используемый для установки решения Astaro может быть из самого низкого ценового диапазона или который вы больше не используете, но хранили на всякий случай.  Шлюз безопасности Astaro лицензируется бесплатно в случае домашнего использования.

В марте 2009г. Пит Стэгман (Pete Stagman) написал статью в блоге из трех частей под названием “Создание персонального брандмауэра Astaro из старых или дешевых комплектующих.” В этом блоге достаточно подробно рассматриваются технические детали настройки шлюза безопасности Astaro, а также компьютерные технологии и концепции безопасности. Цель данной статьи – расширить статью Пита, сконцентрировавшись на легкости настройки для домашнего использования с использованием Windows Home Server.

На сайте Home Server Land имеется цикл из 16 статей под названием  «Защита ваших WHS и сети», в которой описаны лучшие практики защиты вашей сети от угроз безопасности и уязвимостей. Мы будем ссылаться на нее в своей статье.

Что такое маршрутизатор с функциями брандмауэра

Маршрутизатор с функциями брандмауэра – это устройство для соединения локальной сети с Интернетом и первая линия защиты, обеспечивающая безопасность локальной сети от нелегального проникновения. Маршрутизатор с функциями брандмауэра может быть программным решением, которое работает на выделенном компьютере, либо может идти как часть аппаратного маршрутизатора. Подробно маршрутизаторы с функциями брандмауэра и техническая терминология освещены в статье «Угрозы из Интернета и сетевой маршрутизатор», являющейся 8 частью «Защита ваших WHS и сети».

Не все маршрутизаторы являются маршрутизаторами с функциями брандмауэра. Некоторые маршрутизаторы обеспечивают соединение с Интернетом и блокирование некоторых сетевых портов. Они пропускают входящий трафик на определенные порты на основе трансляции сетевых адресов (NAT). В эту категорию попадают многие бытовые маршрутизаторы. Этот тип оборудования не считается маршрутизаторами с функциями брандмауэра, т.к. предоставляет лишь минимальную защиту сети. При их использовании крайне рекомендуется устанавливать на каждый компьютер защитный программный комплекс, включающий брандмауэр для защиты от сетевых угроз.

Маршрутизаторы следующего уровня производят контроль состояния соединений (SPI). Эти маршрутизаторы обеспечивают соединение с Интенетом, блокируют определенные порты и проводят ограниченный контроль состояния соединений в севом трафике. Производители иногда называют их маршрутизаторами с функциями брандмауэра, но мы их к таковым не относим. Они обеспечивают несколько большую защиту сети; однако, им удается обнаружить не все Интернет-угрозы. При их использовании рекомендуется устанавливать на каждый компьютер защитный программный комплекс, включающий брандмауэр.

Маршрутизатор с функциями брандмауэра – это тот, который производит глубокий анализ пакетов (DPI). Данные маршрутизаторы обеспечивают базовый функционал маршрутизации и, в соответствии с названием, активное исследование сетевого трафика. Этот тип маршрутизаторов с функциями брандмауэра обеспечивает лучший уровень защиты для вашей сети. Некоторые маршрутизаторы с функциями брандмауэра включают функции антивируса, обнаружения спама и спуфинга. Защитные программные комплексы при этом не требуются, а простого антивируса (например бесплатной версии AVG) более чем достаточно для защиты компьютера.

Сравнение аппаратных и программных маршрутизаторов с функциями брандмауэра

Функционально, и аппаратные и программные маршрутизаторы выполняют одни и те же задачи по обеспечению соединения локальной сети с Интернетом, блокированию портов, и глубокому анализу трафика. У каждого типа маршрутизаторов есть плюсы и минусы. Наша цель – выбрать экономичный и легкий в обслуживании вариант.

Покупка аппаратного маршрутизатора с функциями брандмауэра удобна с той точки зрения, что одно устройство будет выполнять подключение к Интернету и противостоять большинству угроз, не пропуская их в вашу сеть. У таких устройств обычно от четырех до восьми портов RJ-45 и беспроводная связь для подключения компьютеров в локальной сети.

Большинство аппартаных маршрутизаторов могут защищать лишь один внешний IP-адрес. Это не является проблемой в домашней сети, но в малых и средних компаниях, использующих несколько внешних адресов, обычно используется несколько маршрутизаторов.

Снижается необходимость в установке защитного программного обеспечения на компьютеры. В результате снижаются расходы на защитное ПО, что позволяет сделать сеть более экономичной.

Программирование маршрутизатора относительно простое. Однако, срок службы большинства маршрутизаторов – от 4 до 5 лет. Через 5 лет поддержка продукта заканчивается и к нему перестают выпускаться обновления и исправления. С этого момента маршрутизатор перестает быть способным противостоять новым угрозам.

Установка программного маршрутизатора требует наличия компьютера, выделенного под задачи Интернет-маршрутизации и обеспечения безопасности. У данного компьютера должно быть минимум 2 сетевые карты – одна для подключения к Интернет-провайдеру, а другая – для подключения к коммутатору локальной сети. Если требуется организовать беспроводное подключение, в сети должна быть установлена очка доступа.

Многие программные маршрутизаторы могут работать с несколькими внешними адресами. В результате домашним пользователям и малым офисам потребуется лишь одно устройство для защиты сети, а не отдельный маршрутизатор для каждого внешнего IP-адреса.

Преимущество заключается в том, что программное обеспечение маршрутизатора может постоянно совершенствоваться.  Аппаратный маршрутизатор в этом случае не требуется, т.к. маршрутизацию осуществляет программное обеспечение шлюза.  Поэтому сервер-брандмауэр может быть подключен напрямую к коммутатору.

Главным недостатком является то, что для данного решения требуется отдельный компьютер.  Компьютер должен быть постоянно включен, что ведет к повышенному потреблению электроэнергии.  Также сам компьютер – его центральный процессор и комплектующие должны быть достаточно производительными для того, чтобы справляться с объемом трафика; иначе он может ухудшить производительность Интернет-подключения и всей сети..

Планирование маршрутизатора с функциями брандмауэра

Перед установкой любого маршрутизатора с функциями брандмауэра следует провести небольшое планирование, которое поможет легко и успешно осуществить внедрение данного решения. Ниже приведена информация, которую желательно собрать перед установкой аппаратного или программного маршрутизатора.

• Внутренний IP-адрес, который будет присвоен маршрутизатору. Часто по умолчанию используют адрес 192.168.168.1;
• Внешний IP-адрес, маска подсети, сервера DNS, имя пользователя и пароль, необходимые для подключения к провайдеру;
• Диапазон адресов DHCP;
• Сетевое имя маршрутизатора;
• Имя пользователя и пароль администратора маршртизатора;
• MAC-адреса сетевых карт маршрутизатора (только для программного маршрутизатора);
• Внутренние IP и MAC адреса сетевых устройств, которым требуется статический адрес; 
• Внутренний IP адрес сервера-брандмауэра.

Запишите эту информацию на листе бумаги, либо в таблицу сетевых устройств, которая приведена ниже в статье. Сохраните ее на будущее в надежном месте.

Шлюз безопасности Astaro – Home Edition

Шлюз безопасности Astaro предоставляет полный спектр функций по объединенному управлению угрозами сетевого периметра. Astaro Home Edition – это программный маршрутизатор, обеспечивающий пользователям корпоративный уровень защиты. Этот брандмауэр обеспечивает лучший уровень защиты сети по сравнению с большинством аппаратных маршрутизаторов и маршрутизаторов с функциями брандмауэра, доступными на домашнем рынке. Подробнее о роли роутера с функциями брандмауэра и о том, как он устраняет угрозы безопасности, читайте в статье «Угрозы из Интернета и сетевой маршрутизатор» на сайте Home Server Land.

Почему стоит обратить внимание на шлюз безопасности Astaro

При использовании шлюза безопасности Astaro есть несколько преимуществ.

• Брандмауэр производит глубокий анализ пакетов (DPI) всех передаваемых по сети данных. Это превышает возможности большинства домашних маршрутизаторов;
• Программное обеспечение доступно. При использовании в домашних сетях, программное обеспечение является бесплатным. Все, что требуется - это лишний ПК для установки брандмауэра;
• Защитное программное обеспечение на компьютерах пользователей не требуется, поскольку брандмауэр защищает сеть от атак извне. В домашнюю редакцию включены подписки, обеспечивающие антивирусную защиту, фильтрацию спама и защиту от спуфинга.  Все, что потребуется на компьютерах защищаемой сети – это просой антивирус, который значительно дешевле;
• Брандмауэр легко настраивается; 
• Он может обслуживать более одного внешнего IP-адреса.

Аппаратные требования к ПК

Astaro рекомендует следующие компоненты в качестве минимальных требований к ПК, на котором бужет установлен шлюз безопасности Astaro.

• 1 ГБ оперативной памяти
• Жесткий диск 20 ГБ
• CD-ROM с возможностью загрузки
• 2 или более сетевых карт

Разумеется, более быстрый процессор, больший объем оперативной памяти и больший жесткий диск увеличат производительность брандмауэра. Требуются две сетевые карты – одна для подключения к Интернету, а другая - к локальной сети. Чтобы гарантировать максимальную скорость Интернет-соединения, мы рекомендуем использовать сетевые карты, которые поддерживают скорость передачи не менее 100 Мбит/сек.

Планирование шлюза безопасности Astaro

Для установки и настройки шлюза безопасности Astaro нужно выполнить следующие шаги.

• Убедитесь, что используемый вами для шлюза безопасности Astaro компьютер соответствует (либо превосходит) минимальным требованиям и находится в рабочем состоянии;
• Создайте учетную запись Astaro для получения программного обеспечения шлюза безопасности;
• Загрузите программное обеспечение шлюза безопасности Astaro;
• Запишите установочный CD-ROM диск;
• Спланируйте и задокументируйте сетевое оборудование; 
• Установите и настройте шлюз безопасности Astaro.

Учетная запись пользователя Astaro

Загрузка программного обеспечения брандмауэра Astaro требует наличия учетной записи. В Web-браузере введите адрес https://www.astaro.com/user/login. Войдите в существующую, либо создайте новую учетную запись пользователя. По мере создания учетной записи пользователя, вам будут приходить сообщения с инструкциями на электронную почту.

Получение учетной записи пользователя Astaro – простой и легкий процесс из 3 шагов. Для того, чтобы запросить учетную запись, вам понадобится лишь заполнить две формы с несколькими полями. Как только вы закончите заполнять формы, информация о вашей учетной записи и установочный ключ будут высланы на ваш электронный адрес.

Ниже детально рассмотрен процесс получения учетной записи

Шаг 1. Если у вас есть учетная запись Astaro, просто введите адрес электронной почты и пароль и нажмите кнопку Login to MyAstaro. Вы можете пропустить дальнейшее описание в этом разделе и сразу перейти к разделу загрузки шлюза безопасности Astaro. Если у вас нет учетной записи, щелкните на кнопке Join MyAstaro для ее создания. В этом разделе описаны шаги, которые требуются для создания учетной записи.
Шаг 2. Вы увидите экран «Join MyAstaro». Введите требуемую информацию и нажмите кнопку Sign up to MyAstaro. Письмо с подтверждением будет отправлено на ваш электронный адрес.
Шаг 3. Откройте письмо с подтверждением в вашей папке входящих писем и щелкните по находящейся там ссылке. После нажатия на ссылку, в браузере откроется страница с запросом личной информации. Обновите информацию и щелкните по кнопке Save My Personal Details.

Теперь создание учетной записи пользователя Astaro завершено. Следующая задача - загрузка программного обеспечения шлюза Astaro. Щелкните на кнопке “MyAstaro Login” в строке главного меню для входа в вашу учетную запись.

Загрузка программного обеспечения шлюза

После успешного входа появится страница «MyAstaro Licensing Portal». Для загрузки установочного файла требуется четыре шага. Необходимо заполнить форму с несколькими полями и на ваш электронный адрес придет письмо, содержащее ссылку на программное обеспечение и установочный ключ. Ссылка перенаправляет ваш браузер на FTP-ресурс, где начинается загрузка.

Для загрузки программного обеспечения шлюза безопасности Astaro требуется выполнить описанные ниже шаги.

Шаг 1. Выберите пункт Home в секции выбора вариантов шлюза безопасности Astaro, чтобы начать загрузку Astaro Home Edition .	Шаг 2. Появится страница с информацией о брандмауэре, бесплатном для использования дома, где описаны функции брандмауэра. Щелкните кнопку Download Free Firewall for Home Users.
Шаг 3. На следующей странице будет форма, которую необходимо заполнить, чтобы получить шлюз безопасности Astaro. Заполните форму и щелкните кнопку Request Home Use Package. На ваш адрес электронной почты будет отправлено письмо, содержащее ссылку на программное обеспечение и установочный ключ. Откройте письмо и щелкните по ссылке.	Шаг 4. В браузере отобразится страница FTP с разными версиями программного обеспечения брандмауэра. Щелкните на файле “latest_asg_v8_software.iso”. Начинается передача файла от Astaro на ваш компьютер. Сохраните файл на жестком диске.

Запись установочного диска шлюза безопасности Astaro

Файл, который вы только чо загрузили, необходимо записать на CD-ROM диск. Это можно сделать через Проводник Windows или другой менеджер файлов. Найдите файл на жестком диске и используйте опцию “Записать образ диска” для записи образа CD-ROM диска. Пометьте CD-ROM, написав “Astaro Security Gateway v8” на диске.

Теперь загрузка и создание установочного диска шлюза безопасности Astaro завершены. Следующая задача – спланировать и задокументировать сетевые устройства, образующие локальную сеть.

Планирование сетевого оборудования

Очень полезно устанавливать определенные стандарты для сети и используемого на ней оборудования. Например, конвенция имен устройств, локальные IP-адреса, и имя пользователя/пароль администратора должны быть предопределены где это возможно. При добавлении, изменении или удалении нового сервера, маршрутизатора или другого сетевого оборудования, следует использовать эти стандарты. Так достигается согласованность и облегчается управление сетью с течением времени, а документирование – отличный способ накапливания имен пользователя и паролей для администрирования устройств.

Мы рекомендуем человеку, управляющему сетью, использовать таблицу для записи данной информации. Таблица должна храниться в безопасном месте во избежание разглашения имен пользователей и паролей для административных учетных записей. Ниже приведен пример таблицы, в которой вы можете задокументировать стандартное сетевое оборудование.  Таблицу можно распечатать, щелкнув правой кнопкой мышее по картинке и выбрав пункт контекстного меню «Печать изображения».

Ниже приведен пример заполненной таблицы.

Установка шлюза безопасности Astaro

Вставьте CD, который вы создали для установки шлюза безопасности Astaro в привод CD-ROM с возможностью загрузки. Загрузите компьютер. Обратите внимание, что в процессе установки вся информация на жестком диске будет потеряна. Точно также, как Windows Home Server форматирует жесткий диск, установка брандмауэра удаляет с жесткого диска все данные.

Процесс установки довольно прямолинеен. Производится обнаружение аппаратных компонентов и установщик просит вас выбрать сетевой интерфейс, который будет использоваться для администрирования. Это – сетевая карта, используемая для доступа к локальной сети. Используя таблицу, сделайте выбор на основе MAC-адреса.

Далее, введите локальный адрес сервера, используемого в качестве шлюза безопасности Astaro. Это – IP-адрес, который нужно будет ввести в браузере для администрирования сервера безопасности. Не используйте 0, 1, или 255 в качестве последнего октета IP-адреса, т.к. данные адреса зарезервированы. Подробное описание DNS, DHCP и частных IP-адресов читайт в статье «Основные сетевые угрозы».

Теперь основная установка сервера для шлюза безопасности Astaro завершена. Последний экран установки укажет вам IP-адрес для управления брандмауэром, который вы ранее ввели с номером порта 4444 на конце. Запишите его в вашу таблицу.

Перезагрузите ваш сервер брандмауэра и подключите сетевую карту внутреннего интерфейса к локальной сети. В некоторых случаях бывает трудно опознать встроенную сетевую карту и для ее определения придется использовать метод проб и ошибок.

Теперь установка сервера для шлюза безопасности Astaro завершена. Последний шаг – настройка брандмауэра таким образом, чтобы вы могли подключиться к Интернету, а сервер брандмауэра защищал вашу сеть.

Настройка сервера брандмауэра

Настройка шлюза безопасности Astaro на сервере последовательная и легкая. Как и большинство маршрутизаторов, шлюз безопасности Astaro администрируется через Web-браузер. На вашей рабочей станции введите в браузере адрес https://192.168.X.Y:4444, где ‘X’ и ‘Y’ зависят от настроек в вашей таблице. После входа в административный интерфейс, запишите имя пользователя и пароль в административную таблицу.

Шаг 1. Введите ‘https://192.168.X.Y:4444’ в адресной строке браузера. Появится предупреждение о сертификате узла. Поскольку узлу по данному адресу можно доверять, щелкните вариант “Продолжить просмотр Web-сайта”. Это предупреждение будет появляться каждый раз, когда вы открываете страницу шлюза безопасности Astaro.

Шаг 2. Введите имя компьютера, принадлежащее серверу в поле «Имя узла». Введите вашу фамилию в поле Компания. Введите ваш город и выберите страну. Наконец, введите ваш пароль и адрес электронной почты. Выберите «принять лицензию» и нажмите кнопку Произвести основную настройку.

Войдите на страницу Web-интерфейса шлюза безопасности Astaro. Мастер основной настройки начнет собирать информацию о компьютере и его расположении, DHCP, и настройки WAN.

Шаг 3. Войдите на страницу Web-интерфейса. Имя пользователя и пароль записаны у вас в таблице.	Шаг 4. Выберите пункт “Продолжить выполнение мастера”.
Шаг 5. Найдите на жестком диске файл лицензии, который был выслан вам по электронной почте, когда вы создавали учетную запись Astaro.	Шаг 6. Введите локальный IP-адрес и маску подсети вашего брандмауэра. Эта информация записана в вашей таблице сетевого обррудования.
Шаг 7. Выберите сетевую карту и тип подключения к Интернету. В зависимости от типа подключения к Интернету, введите требуемую информацию. Значения этих настроек предоставляются вашим провайдером

Мастер продолжает работу и собирает информацию для настройки брандмауэра, системы предотвращения вторжений, служб обмена мгновенными сообщениями, использовании пиринговых сетей, Web-безопасности, и безопасности электронной почты. Начальная конфигурация интуитивно понятна и производится путем задания настроек с помощью флажков. После прохождения всех окон, брандмауэр полностью функционирует, но не разрешает никакому Web-трафику из Интернета проникнуть в локальную сеть.

Окончательная кнфигурация

Несколько областей необходимо настроить дополнительно для завершения настройки брандмауэра. Это – пункты конфигурации, которые необходимы на любом маршрутизаторе.

Диапазон адресов DHCP

Диапазон адресов для DHCP-сервера в брандмауэре Astaro - от 1 до 254. Используя этот диапазон, можно присвоить один IP-адрес двум компьютерам, если на компьютере включено ручное назначение адреса. Диапазон адресов для DHCP-сервера нужно изменить.

Чтобы изменить диапазон, зайдите в Сетевые службы/DHCP. Щелкните на вкладке Серверы и нажмите кнопку Изменить, чтобы изменить начало и конец диапазона IP-адресов, которые будут присваиваться DHCP-сервером. Нажмите кнопку Сохранить.

Статическая привязка IP

После того, как все статические привязки локальных серверов и порта доступа к Интернету завершены, ваш брандмауэр полностью настроен таким образом, чтобы к нему можно было надежно и безопасно получить доступ из Интернета. Проверьте вашу таблицу сетевого оборудования, чтобы убедиться в том. Что она точно отражает конфигурацию локальной сети.

Статического присвоения адресов компьютерам стоит избегать, поскольку в этом случае двум компьютерам может быть присвоен один IP-адрес. Предпочтительнее назначать компьютерам статические IP-адреса с использованием DHCP-сервера.

Статические привязки IP создаются для всех серверов и маршрутизаторов, используемых в локальной сети. Это означает соответствие MAC-адреса IP-адресу для таких устройств как брандмауэр и сервер Windows Home Server. Посмотрите в вашу таблицу сетевого оборудования, чтобы узнать MAC- и IP-адреса всех серверов или устройств, требующих статического IP-адреса.

Сервер Windows Home Server – это пример сетевого оборудования, которому следует назначить статический IP-адрес.

Для создания новой статической привязки, выберите пункт меню Сетевые службы/DHCP. Откройте вкладку Статические привязки и нажмите кнопку Создать привязку DHCP … . Используя вашу таблицу сетевого оборудования в качестве руководства, введите MAC- и локальный IP-адрес сервера. Введите имя сервера в поле Комментарий. Нажмите кнопку Сохранить.

Повторите этот процесс для каждого устройства, которое требует статический IP-адрес.

Привязки Интернет-портов

Правила привязки Интернет-портов необходимы для того, чтобы сервера или компьютеры могли быть доступны из Интернета. Например, для того, чтобы позволить удаленный доступ к Windows Home Server извне, должно быть создано правило для входящего удаленного подключения из Интернета.

Если необходимо, создайте правило, разрешающее прохождение в сеть трафика на порт 4125. Выберите пункт меню Сетевая безопасность/NAT и откройте вкладку DNAT/SNAT, а затем нажмите кнопку Создать правило NAT … .

Нажмите зеленый значок плюса у поля Службы трафика и создайте определение службы для ‘Удаленного доступа к WHS’ с портами источника и назначения ‘4125’. Нажмите кнопку Сохранить.

Нажмите зеленый значок плюса у поля Назначение и создайте сетевое определение для вашего сервера Windows Home Server. Введите имя вашего домашнего сервера, выберите «Узел» в поле «Тип», выберите Internal в поле «Интерфейс» и введите IP-адрес. Имя и IP-адрес можно посмотреть в таблице сетевого оборудования. Наконец, отметьте поле «Автоматическое создание правила в пакетном фильтре». Нажмите кнопку Сохранить.

Повторите этот процесс для каждого порта, переадресацию которого из Интернета необходимо разрешить.

После того, как все статические привязки локальных серверов и порта доступа к Интернету завершены, ваш брандмауэр полностью настроен таким образом, чтобы к нему можно было надежно и безопасно получить доступ из Интернета. Проверьте вашу таблицу сетевого оборудования, чтобы убедиться в том. Что она точно отражает конфигурацию локальной сети.

Заключение

Мы дали определение маршрутизатома с функциями брандмауэра и объяснили различия между аппаратными и программными маршрутизаторами. Потом мы объяснили важнось планирования установки маршрутизатора и показали, как настраивать сервер с шлюзом безопасности Astaro для домашней сети, в которой используется сервер Windows Home Server. Мы использовали техническую терминологию и предоставили ссылки на другие статьи, объясняющие ее.

Мы надеемся, что хорошо объяснили, что такое программные маршрутизаторы и легкость конфигурирования шлюза безопасности Astaro. Данное программное обеспечение является бесплатным для домашних сетей. Если вам нравится этот продукт, вы можете считать его экономичным решением для защиты периметра вашей сети от угроз из Интернета.

 

Данная статья является переводом статьи размещенной на сайте http://www.homeserverland.com.

http://www.homeserverland.com/2010/12/astaro-security-gateway-a-software-based-firewall-router/