הגדרת FortiGate VPN - IPSEC
פרקי ההרצאה: הגדרת FortiGate VPN - IPSEC
תמלול ההרצאה: הגדרת FortiGate VPN - IPSEC
הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת FortiGate VPN - IPSEC» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום בהרצאה הזאת אנחנו הולכים לבנות IPSec VPN, VPN של IPSec מפורטי קליינט, מיוזרים לפטופ לפורטי גייט, לקופסה שלנו של פורטי גייט ואנחנו הולכים לעשות את זה עם הוויזרד החדש, לדבר על כל שדה שיש לנו ב-IPsec ולהבין בדיוק איך זה עובד.
בואו נתחיל. דבר ראשון, אתם צריכים לראות שאצלי הגרסה היא גרסה חדשה, למי שזה נראה קצת שונה, אולי הממשק גרפי אצלכם טיפה שונה כי יש לכם גרסה יותר ישנה, אבל השדות הם אותם שדות והמשמעות היא אותה משמעות כי התקן של IPSec זה תקן לא השתנה ולא
משנה איך נראה user interface יותר ישן יותר חדש מה שיש לי פשוט יש לי את הגרסה 522 אם יש לכם גרסה יותר ישנה אז פשוט או שתשדרגו או שאתם תראו שזה די דומה רק שאין לכם ויזרד יש לכם את כל השדות בלי ויזרד ואתם פשוט באים לטאנל מוד ובונים טאנל לבד.
אתם יודעים מה? לפני שנעשה את הוויזרד, בואו נבנה את הטאנל לבד, נדבר על כל השדות ואחרי זה נראה שהוויזרד מכה לי על החיים, כן? שיהיה לי את החיים קלים עם הוויזרד.
אז בואו נראה מה האפשרויות שלנו בטאנל ואיך נבנה הטאנל. יפה. אז ככה, בואו נתחיל לדבר על כל השדות. אה, הנה הוא עושה לי ויזרד.
למה הוא עושה לי ויזרד? טוב, הוא בונה טאנל רק עם וויזרדים. חשוב יש פה custom שאני יכול לבנות לבד את הטאנל וזה מה שהיה בגרסה הישנה שלא היה wizard היה רק כל השדות אבל בואו נעבור שנייה על הוויזרד ואחרי זה נחזור ונעבור על כל השדות זה לא משנה נעשה ככה VPN לפטופים של VPNים שלי עם 40 קליינט עם
IPsec יפה מאוד נקסט עכשיו הוא שואל אותי מאיפה הם יגיעו מבחוץ כן מאיפה לעשות authentication מבחוץ אני אומר מבחוץ הם יגיעו דרך אחד והשלב הראשון בהתחברות השלב הראשון נקרא פייז וואן זה נקרא איי.קי.אי החלפת מפתחות exchange keys הוא שואל אותי איך אתה רוצה בכלל לבדוק שהבן אדם הוא בכלל יש על מה לדבר או שייתן לך תעודה דיגיטלית כן וזה האבא של
התעודה דיגיטלית או שייתן סיסמה קבועה שימו לב הסיסמה הזאת זה לא סיסמה של user זה לא סיסמה שתעשה לו remote desktop זה סיסמה רק לעבור את השלב הראשון של ההתחברות של פייז וואן שנקראת איי.קי.אי.
אחרי שהוא עבר את השלב הראשון יש את התוספת אקסטראות אדיקיישן. אקסטראות אדיקיישן תבדוק גם שהוא שייך לאיזושהי קבוצת יוזרים.
אבל אין לנו קבוצת יוזרים אז אנחנו צריכים להפסיק את התהליך וללכת לבנות לנו קבוצה של יוזרים. אז השלב הכללי של איי.קי.אי ואחרי זה קבוצה של יוזרים.
בואו נבנה עכשיו קבוצה של יוזרים ונחזור חזרה ל-IPSEC, אוקיי? ל-Wizard של ה-IPSEC.
יפה מאוד. אחרי שאנחנו נבנה, דרך אגב, IPSEC, אנחנו נפתח את הקליינט הזה של 40 קליינט הזה, וב-40 קליינט נחבר אותו לשרת שלנו, ל-40 גייט.
יפה מאוד, אבל זה יהיה השלב האחרון. בואו נתחיל מזה שאנחנו צריכים לבנות פה קבוצה של יוזרים, ואנחנו רוצים לבדוק את היוזרים מ-Active Directory, אז אנחנו באים ל-users and devices ולפני שמתחילים לבנות פה קבוצה אנחנו רוצים להתחבר לשרת Active Directory LDAP.
עושים חיבור חדש, קוראים לו DC Server, שרת DC שלי, ה-IP הפנימי שלו זה 192.168.1.3, FortiGet יודע להתחבר אליו בפורט 3.8.9 כי זה הפורט של LDAP, LDAP זה תקן, Active Directory עובד בתקן של LDAP.
ככה אתה יכול לשאול אותו שאלות, בתקן הזה כל user ו-name ו-password שתרשום לו הוא יעשה cn שווה ויחפש אותו ופה הוא שואל אותו איפה לחפש עכשיו Distinguish Name זה שם מלא איפה מחפשים את ה-user בואו נלך לשרת ונמצא את ה-Distinguish Name שאני צריך Distinguish Name זה בשפת ה-LDAP יש תקן איך כותבים את המיקום בעץ
אוקיי אז LDAP מניח שיש לך עץ ואנחנו רוצים את המיקום של OU רק יוזרים ב-OU הזה נניח אנחנו יכולנו גם ללכת לרמת דומיין אנחנו אומרים תחפש רק ב-OU של אופיס בשביל שאני צריך את ה-Distinguish Name של OU אז אני עושה View Advanced שם V של Advanced אחרי ששמתי V של Advanced אני עושה Properties על אובייקט במקרה הזה OU
יצא לי פה פרופרטיז של אופיס אופיס פרופרטיז ופה יש Distinguish Name שם המלא בשפת שם ייחודי שם מבדיל שם ייחודי בשפת ה-LDAP על תקנית ואני מעתיק את זה בקופי יופי אתם יודעים שגם בלינוקס יש שרתי אלדאפ וכמו אקטיב דירקטורי בלינוקס גם קיים ואני אומר לו איפה לחפש ולמעשה כשאני בפורטי קליינט ארשום יוזרניים
בפסוורד הוא יעשה cn שווה יוזרניים בפסוורד הלאה בואו נמשיך הלאה אנחנו צריכים עכשיו להתחבר עם שם וסיסמה אז אנחנו נעשה פה regular נראה לי simple הזה לא יצליח בואו נראה סימפל, אתם רואים invalid אלדאפ סרבר הוא מסרב לו הוא לא רוצה אני אומר לו תתחבר עם יוזרנם ופסוורד ופה הוא רוצה דיסטינגוש ניים כמו זה dn זה דיסטינגוש
ניים של יוזר בתוך הדומיין שמותר לו לשאול שאלות על יוזרים אחרים בקיצור אני אתן לו אדמיניסטרטור כדי לא להסתבך פה אני הולך ליוזר לוחץ פרופרטיז על האדמיניסטרטור ושימו לב יש לי עדיין את הv של advanced ועושה פה פרופרטיז ועושה פה אטריבוט אדיטור מוצא את ה-Distinguished Name, לוחץ על Distinguished Name וזה ה-Distinguished
Name כאשר בסוף יש לנו את השם של היוזר. קופי, הולכים חזרה לפה ואומרים, תקשיב, אתה תיכנס ל-Active Directory עם השם הזה, תתחבר עם השם הזה ועם הסיסמה הזאת. בואו נעשה טסט, טסט סקסקספולי, בואו נבדוק עוד פעם, עוד פעם, טסט סקסקספולי, יופי.
תתחבר לנו ל-Active Directory עם שם והסיסמה האלו, אני יכול להגיד לו דרך אגב אם להוסיף גם תעודה דיגיטלית אם אני צריך, אני יכול להציג תעודה דיגיטלית לשרת, אין שום צורך בזה.
טוב, אנחנו לא נצפין את הסשן מול שרת. כשאני אכתוב דיוויד או דן או יוזרים שיש לי באקטיב דירקטורי, דרך אגב, מי שלא יודע, באקטיב דירקטורי אצלי יש דן ודייוויד, ויש לי קבוצה של נניח VPN Allowed Users, יש לי סלס, אבל אני אסתפק ב-VPN Allowed Users, דן ודייוויד, ב-VPN Allowed Users,
ובפנים יש לי דן ודייוויד. יפה מאוד. אז כשאני ארשום דייוויד או דן, הוא יעשה cn=david, cn=dan, ויוסיף את כל התוספת הזאת.
יופי. אז יש לנו שערת LDAP. עכשיו הולכים לבנות קבוצה, קבוצה ב-40-gate, שלמעשה הקבוצה הזאת בפורטיגייט תהיה מורכבת מ-VPN Active Directory Users.
נקרא לה VPN Active Directory Users ונגיד לממברים, חברים בקבוצה זה לא יוזרים פה מתוך ה-40 גט המקומיים אלא לך ל-Remote Groups, לך לקבוצה מרוחקת ותשלוף משם הנתונים, הוא אומר לאן ללכת, אני אומר לו לך לשרת ה-DC שלנו והנה הוא מראה לי מה יש לי בתוך האופיס, התחבר ל-DC ואני יכול פה לפתוח עץ והנה הקבוצה שאני רוצה ואני מוסיף אותה פה
ל-Selected הופה, הנה היא פה ב-Selected, אתם רואים? קפצה לי ל-Selected, אוקיי אז יש לי פה קבוצה בשם VPN Allowed Users, ולמעשה הקבוצה בתוך FortiGate הולכת ל-Active Directory ובודקת האם אתה חבר בקבוצה.
יכלתי גם להוסיף משתמשים מקומיים, בואו נוסיף כמה משתמשים מקומיים לקבוצה. לדוגמה, יכלתי פה ללכת ל-User Definitions ולהוסיף גם Local User, להגיד Local FortiTest, כן, FortiTest, ולתת לו איזושהי סיסמה.
זה למקרה שאין לי חיבור מול Active Directory שהרי ה-DC נופל שעדיין יהיה לי איכשהו להתחבר ל-FortiGate.
מה זה Factor Authentication? זה לחבר לו טוקן, אני יכול לחבר לו טוקן. זה אפליקציה שאתה מוריד לאייפון או אנדרואיד והיא כל דקה מייצרת לך סיסמה חדשה כל דקה.
אז חוץ משם והסיסמה של היוזר אתה צריך גם להכניס לו עוד Factor לאותטיקציה, עוד מרכיב לעימות וזה המרכיב שכל דקה משתנה וצריך לגנוב לך טלפון בשביל להשיג את זה. יפה מאוד.
אם הייתי רוצה לשייך את זה ליוזרים באקטיב דירקטורי, את הטוקן הזה, רציתי לשייך את הטוקן, הייתי צריך לייבא אותם, לעשות להם יוזר בפורטינט ולייבא אותם מתוך אקטיב דירקטורי.
אומרים remote held-up users, ואז אני מייבא אותו מתוך אקטיב דירקטורי, מייבא את היוזר מן ירדן. ברגע שאני מייבא את היוזר done, הנה יוזר done, הוא נשאר ב-Led-up אבל עשיתי אובייקט שמייצג אותו, אז לאובייקט הזה אני יכול לשייך טוקן, אוקיי? יפה מאוד.
יופי, ואז ב-user groups אני יכול בקבוצה שבניתי לשייך לא רק יוזרים מ-Active Directory, אלא לשייך יוזרים פה מתוך האובייקטים המקומיים שלי, כמו done, כמו 40-Test וכאלו.
יפה מאוד. היתרון באובייקט שהוא דן בזה שאפשר להישאר לו גם טוקן והשם והסיסמה שלו עדיין נשארו בתוך השרת של אלדאפ אוקיי אז ככה אני עושה אם אני רוצה טוקנים אם אני לא רוצה טוקנים אני יכול לעשות ישר קבוצה שמה וזהו יופי אנחנו נשאיר אנחנו עובדים עם טוקנים נשאיר אחד לטסט שיהיה חבר בקבוצה וגם כל מי ששמה גם חבר בקבוצה יש לנו קבוצה VPN Active Directory Users מצוין בואו נחזור לעשות
איי פי סק, באיי פי סק נתחיל מההתחלה אנחנו עושים ויזרד של דייל אפ יוזרס נקרא לו VPN לפטופס VPN לפטופס אנחנו עושים איי פי סק נקסט הוא שואל אותי מאיפה הם יגיעו באודיטיקיישן אני אומר מוואן אחד הוא אומר איך תעבור את הבדיקה של פייז וואן של איי קי אי בדיקה של השלב הראשון הראשון בכלל שאתה מותר לך להתחבר אני נותן לו סיסמה
זו סיסמה קבועה בעצם תהיה לכולם אחרי שעברת את הבדיקה הראשונית, אתה, בדיקה נוספת שאתה יודע שם וסיסמה מתוך כבר Active Directory, שאתה יודע שם וסיסמה של יוזר.
זה בדיקת extra by key. נקסט, אחרי שכבר עברת עימות, מה קורה איתך בפנים? לאן אתה רשאי לגשת? אני אומר, לכרטיס רשת פנימי.
בתוך כרטיס רשת פנימי לאיזה כתובות IP? אני יכול להגיד ל-IP מסוימים של הלאן הפנימי שלי בלבד. מצוין. עכשיו הוא אומר, תגיד לי, איזה כתובות IP לחלק ליוזרים שהולכים להתחבר?
הרי כל יוזר שמתחבר אליך, יש לו כרטיס רשת וירטואלי. יש לו פה פורטינט, כרטיס רשת וירטואלי, שמה שמתקין אותו זה הקליינט הזה, שעושה לי את כל ה-IP סק, 40 קליינט, מתקין לי כרטיס רשת. איזה IP לתת לו?
זה ה-IP כאילו בלאן שלך. אני אומר, תיתן לו 192, 168, סתם, 200.10 עד, אני ממציא טווח שלא יפריע לי לשום דבר, עד 200, 200 עד 200, בסדר? ככה? לא טוב ככה.
איך כותבים? ככה? ככה, עם סאבנט מאסק אפס. זה טווח IP שהוא הולך לחלק לכל היוזרים שהולכים להתחבר אליי ב-VPN. זה מה שאני מצפה לקבל מהם ב-VPN, אוקיי? יפה מאוד.
DNS, איזה שרת DNS לתת להם? האם לאפשר להם רישום ברגע שהם נרשמים הם מקבלים את הגרופוליסי את הפרופיל שכולל לדוגמה אנטי וירוס ועוד כל מיני הגדרות אבל זה עולה כסף הרישיון לרג'יסטריישן עולה כסף ואצלי יש עד 10 ואנחנו נראה את זה בואו נשאיר את זה אתם תראו את הרג'יסטריישן הרג'יסטריישן
הזה נמצא פה בצד כן פה בצד יש רג'יסטריישן ברגע שאתה נרשם הוא מקבל גרופוליסי בואו נראה את זה אני אשאיר את ה-v הזה של רג'יסטריישן נקסט האם יוזר יכול לעשות סייף פסוורט לשמור את הסיסמה בתוך הקליינט האם יוזר יכול אוטומטית להתחבר איך שהוא מחוץ לארגון אוטומט מתחבר האם הוא מתנתק או שהוא כל הזמן מתחזק את הקו
פתוח את הvpn פתוח או שאם הוא לא פעיל הוא מתנתק אני אומר לו רק תשמור את הסיסמה יוזרים מאוד אוהבים הוא אומר לי תקשיב יצרתי לך שלב ראשון שזה החלפת מפתחות בשם vpn לפטופס יצרת לך שלב שני IPSec מורכב משני שלבים, כן?
לפט, שזה בעצם השלב השני, תכלס כבר מעבירים בו מידע. אז בשלב השני הוא עשה אותו שם ויצר לי קבוצה חדשה בשם VPN Laptop Range ועשה לי פוליסה מספר אחת או בייקט אחת של פוליסה.
הוא יצר לי פוליסה. אנחנו הולכים לראות עכשיו גם את הכתובות שהוא עשה לי וגם את הפוליסה שהוא עשה לי. יופי, ויש לי פה הוראות להדפסה.
תראו איזה יופי. יש לי הוראות פה להדפסה שאני יכול ממש להדפיס ולחלק ליוזרים איך להגדיר את הקליינט הזה. אתם רואים מה לעשות ואיך לעשות את זה על האנדרואיד ואיך לעשות את זה על ווינדוס ואיך לעשות את זה.
וזה אני יכול ממש להדפיס פה הוראות עם איי-פי ואפילו יכול להראות את הסיסמה שצריך לרשום של השלב הראשון. יפה מאוד.
אז סיימנו את הוויזארד, בואו תראו, קודם כל בטאנלס יש לנו את הטאנל הזה שכרגע בנינו אותו ואנחנו יכולים לעשות לו אדיט ולשנות בו מה שאנחנו רוצים. דוגמא סיסמה או וואן או לאיזה קבוצת יוזרים הוא שייך.
אתם רואים, אני עושה פה אדיט, משנה מה שאני רוצה. אוקיי, אה, קליינט ריינג', תראו איזה קטע. אה, זה מה שהגדרתי לו? אני לא זוכר שזה מה שהגדרתי לו.
אוקיי, לא הגדרתי לו קליינט ריינג' אחר? מתי הגדרתי לו? כנראה שזה פה מהבדיקה הקודמת שלי נשאר. פרישרט קי, וזה, יופי, בואו נראה פה בפוליסי אובג'קטס.
הוא יצר לי חוק. הוא יצר לי חוק שאומר, חוק אומר שכשמגיעים לפטופים עם הרנט של לפטופים תכניס אותם ללאנה פנימי.
עכשיו שימו לב מה שקורה שפה לפטופים זה נהיה כמו אינטרפייס, תסתכלו זה כמו אינטרפייס, זה מאוד חשוב. יש לי ממש אינטרפייס כרטיס רשת וירטואלי שמייצג את היוזרים שמגיעים ב-VPN, כאילו VPN זה כרטיס רשת נפרד כמו SSL VPN, זה ה-VPN של IPSec, יש לו כרטיס רשת משלו.
יפה מאוד, ואת זה הוא עשה לבד. הדבר היחיד שלא אהבתי זה את ה-range. היה לי שם כנראה באותו שם range לפני כן. איפה ה-ranges? איפה ה-ranges? בתוך אובייקטים של policy and objects יש לי פה range.
Laptop range, הנה הוא יצר לי 210. אז את זה הוא עשה לי נכון, ו-VPN IPs זה משהו ישן, אני יכול למחוק את זה. עכשיו, איך אני יודע שאני יכול למחוק?
כי אין פה רפרנס. זה אומר שאף אחד לא משתמש בשורה הזאת. בגלל שאף אחד לא משתמש באובייקט, אני יכול למחוק אותו. יופי.
ה-range הוא תקין. זה הטווח שאני רוצה לחלק ליוזרים של ה-VPN שלי. בכרטיסי רשת, מה יש לי בכרטיסי רשת? שימו לב, יש לי פה 199, את ה-one החיצוני, ושימו לב, יש פה פלוס.
ומה קיבלתי פה? קיבלתי פה בעצם כרטיס רשת וירטואלי שמייצג לי את ה-VPN טאנר. אתם רואים? זה כרטיס רשת וירטואלי של מי שמגיע VPN ופה אני יכול להגדיר לו כל מיני הגדרות ואני כבר רואה שהגדרות האלו לא מוצאות חן בעיניי מה זה השטויות האלו שהוא הגדיר לי פה בוא ניתן לו 200 אחד 200 אחד אני יכול לתת להם גם לחלק אוקיי
עושים לי פה כתובות לא נכונות טוב בסדר ניתן 200 אחד 200 אחד על הכרטיס הווירטואלי הזה client access יש פה זה אומר 40 client access יכול לגשת אליו יופי הלאה ב-VPN בטאנל בואו בואו נבדוק מה הוא עשה לנו בטאנל.
יכולים לראות שבטאנל הוא נתן לי פה כתובות מפעם הקודמת שעשיתי בדיקה, לא מתאים לסיפור הזה. אני אומר תחלק ליוזרים את הכתובות 100 עד 200.
נחלק את זה ליוזרים, תן להם לגשת לכתובות הפנימיות של הלאן שלי, הלאה. זה כמו ויזארד, זה השינוי של ההגדרות של ויזארד.
פרישרט קי זה הסיסמה, תראה לי את הפסוורד, פס וורד של מייקרוסופט יופי ופה תבדוק אחרי שאתה בדקת כבר את השלב הראשון תבדוק שהם שייכים לקבוצת VPN Active Directory Users יופי אז זהו זה בגדול מה שצריך לעשות צריך לעשות לו פה את הוויזרד הזה לפני שאני אפעיל אותו אני אולי אעבור איתכם על כל ההגדרות שיש או שבואו נפעיל ואחרי זה נעבור על ההגדרות שיש
עכשיו אני עושה 40 קליינט אני הולך לקליינט מה אני עושה בקליינט בקליינט יש לי את ההוראות המודפסות אני אני יכול לעשות קונפיגר VPN ולהגדיר הכל ידנית, אני יכול להירשם לאנד פוינט ולקבל את זה בגרופוליסי את כל ההגדרות, אם אני הייתי רוצה לקבל את כל ההגדרות כמו
גרופוליסי פרופיל של יוזר, אני הולך פה ליוזרים ויש לי פה 40 קליין פרופיל ואני יכול להגיד לו תקבל את זה באוטומט את כל ההגדרות, אבל אני לא רוצה שהוא יקבל באוטומט את כל