Лекція 10 Управление межсетевыми экранами d-Link NetDefend
Система NetDefendOS разработана для обеспечения высокой производительности и надежной работоспособности. Система предоставляет не только расширенный набор функций, но и дает администратору возможность полного управления каждой деталью системы, что позволяет применять межсетевые экраны NetDefend в самых разнообразных ситуациях.
NetDefendOS поддерживает следующие интерфейсы управления:
Web-интерфейс пользователя или WebUI. Доступен через стандартный Web-браузер (рекомендуется Microsoft Internet Explorer или Firefox, но могут использоваться и другие). Браузер подключается к одному из Ethernet-интерфейсов оборудования с помощью протокола HTTP или HTTPS и система NetDefendOS выступает в роли Web-сервера, позволяя использовать Web-страницы в качестве интерфейса управления.
Интерфейс командной строки CLI. Доступен локально через консольный порт или удаленно с помощью протокола Secure Shell (SSH), обеспечивает управление всеми параметрами в NetDefendOS.
Secure Copy. Secure Copy (SCP) – широко распространенный протокол обмена данными, используемый для передачи файлов. NetDefendOS не предоставляет определенного SCP-клиента, однако, существует широкий выбор SCP-клиентов, доступных для всех платформ рабочих станций. SCP является дополнением к CLI и обеспечивает защиту файлов, передаваемых между рабочей станцией администратора и межсетевым экраном NetDefend. Различные файлы, используемые системой NetDefendOS, могут быть скачены и загружены с помощью SCP.
Удаленный доступ . Удаленный доступ к интерфейсам управления может быть организован с помощью политики удаленного управления. Таким образом, администратор может ограничить доступ к управлению на основе: сети источника, интерфейса источника, имени пользователя и пароля. Может быть разрешен удаленный доступ к интерфейсу командной строки CLI при подключении по IPSec-туннелю.
По умолчанию, доступ к Web-интерфейсу открыт пользователям в сети при подключении через LAN-интерфейс межсетевого экрана D-Link (при наличии устройства более одного LAN-интерфейса, LAN1 является интерфейсом по умолчанию).
Управление межсетевыми экранами NetDefend через интерфейс командной строки (cli)
Система NetDefendOS предоставляет интерфейс командной строки (CLI) администраторам, которым предпочтительнее или требуется использовать командную строку, или которым необходимо более тщательное управление системными настройками. Интерфейс командной строки (CLI) доступен как локально через консольный порт, так и удаленно через Ethernet-интерфейс с использованием протокола Secure Shell (SSH) клиента SSH.
Консольный порт – это локальный порт RS-232 (на моделях DFL-210/260/260E/800/860/1600/1660/2500/2560) и локальный порт RJ-45 через кабель RJ45-to-DB9 (для моделей DFL-260E/860E) межсетевых экранов NetDefend, обеспечивающий прямой доступ к интерфейсу командной строки NetDefendOS CLI при подключении к компьютеру или терминалу без сетевых связей.
При настройке соединения компьютер (com-порт)-межсетевой экран NetDefend (консольный порт) необходимо запустить программу эмуляции терминала VT100
Например, настройки программы Putty-клиент putty.exe выглядят следующим образом:
Наиболее часто используемые команды CLI:
add – Добавление объекта, например, IP-адреса или правила в настройки NetDefendOS.
set – Установка какого-либо свойства объекта в качестве значения. Например, может использоваться для настройки интерфейса источника в IP-правиле.
show– Отображение текущих категорий или значений объекта.
delete– Удаление определенного объекта.
Как правило, команды CLI обычно начинаются со структуры: <command> <object_type> <object_name>. Например, для отображения IP-адреса объекта my_address, используется команда:
gw-world:/> show Address IP4Address my_address
Для просмотра адресов в папке InterfaceAddresses указывается следующий путь:
gw-world:/> show Address IP4Address InterfaceAddresses/my_address
Приглашение ко вводу команд " gw-world:/>" может быть другим. Например, по умолчанию в межсетевых экранах серии DFL приглашение выглядит следующим образом: в DFL-860E: DFL-860E:/>, в DFL-1660: DFL-1660:/> и т.д.
Вторая часть команды определяет тип объекта (object_type) и необходима для идентификации категории объекта, к которой относится имя объекта (принимая во внимание, что одно и то же имя может существовать в двух разных категориях).
Команда add может содержать свойства объекта. Для добавления нового объекта IP4Address с IP-адресом 140.168.2.8 используется команда:
gw-world:/> add IP4Address my_address Address=140.168.2.8
Типу объекта может опционально предшествовать категория объекта. Группы категорий совместно с набором типов используются с функцией tab completion. Достаточно сложно запомнить все команды и их опции. Система NetDefendOS предоставляет функцию, которая называется tab completion. Нажатие клавиши tab вызовет автоматическое завершение текущей части команды. Если завершение невозможно, нажатие клавиши tab вызовет автоматическое отображение доступных опций возможной команды.
Функция tab completion для данных. Преимущество функции tab completion заключается в отображении автоматического завершения команды или параметра данных возможными значениями. Это выполняется нажатием клавиши tab после ввода начального символа. Например, если при наборе незаконченной команды:
set Add
нажать клавишу tab, в командной строке автоматически отобразится
set Address
Если при наборе команды необходимо уточнить, например, возможности ввода значений IP-адресации, нужно ввести символ "=" (равно) и нажать tab:
set Address IP4Address lan_ip Address=
В командной строке отобразится:
add Address IP4Address lan_ip Address= Type: IP4Address Description: IP address, e.g. "172.16.50.8", "192.168.30.7,192.168.30.11", "192.168.7.0/24" or "172.16.25.10-172.16.25.50".
Выбор категории объектов. Для некоторых категорий (например, тип IP4Address принадлежит категории Address) сначала необходимо выбрать элемент данной категории с помощью команды cc (change category – изменение категории) до того, как отдельные объекты могут быть обработаны. Это касается, например, маршрутов. Если существует более одной таблицы маршрутизации, при добавлении или управлении маршрутом, прежде всего, необходимо использовать команду cc для идентификации именно той таблицы маршрутизации, которая требуется.
Предположим, что main – таблицa маршрутизации, в которую необходимо добавить маршрут. Первой командой будет:
gw-world:/> cc RoutingTable main gw-world:/main>
Cтрока команды изменилась для указания текущей категории. Теперь можно добавить маршрут:
gw-world:/main> add Route Interface=lan Network=InterfaceAddresses/lannet
Для отмены категории используется команда cc:
gw-world:/main> cc gw-world:/>
Иногда определенным параметрам присваивается несколько значений. Например, некоторые команды используют параметр AccountingServers, и данному параметру можно назначить более одного значения, разделяя их запятой. Например, если необходимо определить три сервера server1, server2, server3, назначение параметра в команде будет следующим:
AccountingServers=server1,server2,server3
Порядок правил, определенный в списках, например, набор IP-правил, является крайне важным. С помощью команды add, используемой CLI, по умолчанию добавляется новое правило в конец списка. Если размещение на определенной позиции является критичным, команда add может включить параметр Index= в качестве опции. Вставка на первую позицию в списке определена с помощью параметра Index=1 в команде add, на вторую позицию – с помощью параметра Index=2 и т.д.
Использование имен хоста в CLI. Для некоторых команд CLI, IP-адреса могут опционально определяться как текстовое имя хоста вместо объекта IP4Address. При этом перед именем хоста должен стоять префикс, состоящий из символов "dns:", указывающий на то, что таблица поиска DNS решает какому имени хоста соответствует какой IP-адрес. Например, имя хоста host.company.com будет определено в CLI как dns:host.company.com.
Параметры, где могут употребляться URN (Uniform Resource Names –унифицированные имена ресурсов) с CLI:
Remote Endpoint(Удаленная конечная точка) для IPsec, L2TP и PPTP-туннелей.
Хост для LDAP-серверов.
Если требуется выполнить поиск с помощью DNS, в системе NetDefendOS должен быть настроен хотя бы один публичный DNS-сервер для преобразования имен хостов в IP-адреса.
Доступ к CLI по протоколу SSH (Secure Shell). Протокол SSH (Secure Shell) используется для доступа к CLI с удаленного хоста в сети и необходим, в первую очередь, для обеспечения безопасного соединения в незащищенных сетях, а также строгой аутентификации и целостности данных. SSH-клиенты доступны для большинства платформ.
Система NetDefendOS поддерживает версии 1, 1.5 и 2 SSH-протокола. Доступ по SSH-протоколу выполняется с помощью политики удаленного управления в NetDefendOS, и по умолчанию отключен.
Пример включения удаленного доступа по SSH-протоколу и сети lannet через lan- интерфейс с помощью добавления правила в политику удаленного управления:
Интерфейс командной строки
gw-world:/> add RemoteManagement RemoteMgmtSSH ssh Network=lannet Interface=lan LocalUserDatabase=AdminUsers
Web-интерфейс
Перейдите в System> Remote Management> Add> Secure Shell Management
Введите Имя (Name) для политики удаленного управления по SSH-протоколу, например, ssh_policy
Выберите следующее из выпадающих списков:
User Database: AdminUsers
Interface: lan
Network: lannet
OK
CLI Prompt. CLI Prompt – это имя устройства, которое отражается в меню Web-интерфейса межсетевого экрана NetDefend на домашней странице (Home).
По умолчанию CLI Prompt:
gw-world:/>
Если необходимо изменить имя устройства (например, на DFL-860E_centre), в командную строку нужно ввести:
gw-world:/> set device name="DFL-860E_centre"
Тогда после активации и сохранения изменений, CLI Prompt примет вид:
DFL-860E_centre:/>
А на домашней странице Web-интерфейса имя устройства отобразится, как показано на рисунке:
Рис. 10.1. Отображение имени межсетевого экрана NetDefend в Web-интерфейсе
Активация и применение изменений. Если в текущих настройках с помощью CLI выполнены какие-либо изменения, данные изменения не будут загружены в NetDefendOS, пока не будет выполнена команда:
gw-world:/> activate
Через 3-5 секунд после ввода команды activate должна быть выполнена команда commit для применения изменений:
gw-world:/> commit
Если в течение 30 секунд (время по умолчанию) не выполнена команда commit, сделанные изменения автоматически отменяются, и происходит восстановление прежней конфигурации.
gw-world:/> show -errors
Система NetDefendOS просканирует настройки на наличие активации и отобразит список проблем. Одна из возможных проблем, которая может быть обнаружена таким способом, - ссылка на IP-объект в Адресной книге, несуществующий в восстановленной резервной копии настроек.
Завершение работы в CLI. После завершения работы в интерфейсе командной строки CLI рекомендуется выйти из системы во избежание неавторизованного доступа к системе. Выход осуществляется с помощью команды exit или logout.
Использование команды sessionmanager. Интерфейс командной строки CLI предоставляет команду sessionmanager для самостоятельного управления сессиями. Команда используется для управления всеми типами сессий управления, включая:
Сессии CLI по протоколу Secure Shell (SSH).
Любая сессия CLI через интерфейс консоли.
Сессии по протоколу Secure Copy (SCP).
Сессии Web-интерфейса по протоколу HTTP или HTTPS.
Команда без ввода каких-либо опций предоставляет краткую информацию о текущих открытых сессиях:
gw-world:/> sessionmanager
Session Manager status
----------------------
Active connections : 3
Maximum allowed connections :64
Local idle session timeout : 900
Для просмотра списка всех сессий используется опция -list. Ниже отображены типичные выходные данные локальной сессии:
gw-world:/> sessionmanager -list
User Database IP Type Mode Access
-------- ---------------- --------- ------- ------- -------
local (none) 0.0.0.0 local console admin
Если пользователь обладает правами администратора, можно завершить любую сессию с помощью опции -disconnect команды sessionmanager .
Сценарии (скрипты) CLI. Для хранения загрузочных файлов и выполнения команд CLI администратором, NetDefendOS поддерживает функцию CLI scripting . CLI script – это предварительно определенная последовательность команд CLI, которые можно выполнить после их сохранения в файл и последующей загрузки файла на межсетевой экран NetDefend.
Для создания CLI script нужно выполнить следующие шаги:
Создайте текстовый файл в текстовом редакторе, содержащим последовательный список команд, по одной на строку. Для этих файлов D-Link рекомендует использовать расширение .sgs (Security Gateway Script). Имя файла, включая расширение, не должно содержать более 16 символов.
Загрузите файл на межсетевой экран NetDefend, используя Secure Copy (SCP). Файлы-сценарии должны храниться в папке script. Загрузка SCP подробно описана ниже.
Используйте команду CLI script -execute для запуска файла.
ВНИМАНИЕ: В файлах скриптов используются только четыре команды:
add
set
delete
cc
С помощью команды script –execute запускается именованный файл сценария (скрипта), предварительно загруженный на межсетевой экран. Например, для выполнения файла сценария my_script.sgs, который был предварительно загружен, используется следующая команда CLI:
gw-world:/> script -execute -name=my_script.sgs
Переменные скриптов. Файлы скриптов могут содержать любое количество переменных сценария, которые выглядят следующим образом:
$1, $2, $3, $4…. $n
Значения, используемые как имена переменных, определены в списке в конце командной строки script –execute. Числa 1…n в имени переменной указывают на положение значения переменной в списке. Первым идет значение $1, затем $2 и т.д. Переменная $0 является зарезервированной и перед выполнением всегда заменяется именем файла скрипта.
Например, выполняется скрипт с IP-адресом 126.12.11.1 и комментарием If1 Address , везде заменяя имеющуюся в скрипте переменную $1 на 126.12.11.1, и, соответственно, переменную $2 на строку If1 address.
Файл my_script.sgs содержит одну командную строку CLI:
add IP4Address If1_ip Address=$1 Comments=$2
Для запуска файла скрипта после загрузки, используется команда CLI:
> script -execute -name=my_script.sgs 126.12.11.01 "If1 address"
После запуска файла скрипта и замены переменных файл будет содержать:
add IP4Address If1_ip Address=126.12.11.01 Comments="If1 address"
По умолчанию, скрипты CLI не подтверждены. Это означает, что написание порядка скриптов не будет иметь значения. В начале скрипта может быть ссылка на объект конфигурации, которая создается только в конце (для улучшения читаемости скриптов). Для того, чтобы подобные действия не приводили к запутанному и бессвязному файлу, в файлах скриптов с большим объемом предпочтительнее группировать аналогичные команды CLI.
Если в существующем файле скрипта встречается ошибка, по умолчанию сценарий будет завершен. Завершение может быть прервано с помощью опции -force . Для запуска файла с именем my_script2.sgs таким способом используется команда CLI:
gw-world:/> script -execute -name=my_script2.sgs -force
Все выходные данные выполненного скрипта появятся в консоли CLI. Обычно эти данные состоят из любых сообщений об ошибках, которые произошли во время выполнения. Для просмотра подтверждения выполнения каждой команды, используется опция –verbose:
gw-world:/> script -execute -name=my_script2.sgs -verbose
Сохранение скриптов. При загрузке файла скрипта на межсетевой экран NetDefend, первоначально он хранится только во временной памяти RAM. При перезапуске NetDefendOS все загруженные скрипты будут потеряны из этой энергозависимой памяти, и для их запуска потребуется повторная загрузка. Для хранения скриптов между перезапусками следует переместить их на диск NetDefendOS с энергонезависимой памятью Disk с помощью команды script –store.
Для перемещения файла с именем my_script.sgs в энергонезависимую память используется команда:
gw-world:/> script -store -name=my_script.sgs
В качестве альтернативного варианта, все скрипты могут быть перемещены в энергонезависимую память с помощью команды:
gw-world:/> script -store -all
Команда script без каких-либо параметров отображает список всех скриптов, доступных в настоящее время с указанием размера каждого скрипта и типа памяти.
gw-world:/> script
Name Storage Size (bytes)
-------------- ------------ --------------
my_script.sgs RAM 8
my_script2.sgs Disk 10
Загрузка файлов через SCP. Для загрузки файлов (Upload) на межсетевой экран NetDefend или с него (Download), может использоваться протокол Secure Copy (SCP). Протокол SCP основан на протоколе SSH и поддерживается множеством свободно доступных SCP-клиентов, существующих практически для всех платформ (например, для OC Windows можно воспользоваться свободным приложением – консольной утилитой PSCP).
Для того чтобы использовать SSH-подключение, необходимо разрешить управление межсетевого экрана NetDefend через SSH-протокол. Данную функцию можно задать через меню Web-интерфейса в папке System → Remote Management → Add → SSH Management с указанием интерфейса, через который будет осуществляться SSH-управление.
Синтаксис команд SCP является простым для большинства клиентов на оadmin@192.168.10.1:config.bak . снове консоли. Основная используемая здесь команда – scp, за которой следует источник (source) и назначение (destination) для передачи файлов.
Загрузка с локального ресурса – компьютера – на межсетевой экран NetDefend (Upload) выполняется с помощью команды:
> scp <local_filename> <destination_firewall>
Загрузка с межсетевого экрана NetDefend на компьютер (Download) выполняется с помощью команды:
> scp <source_firewall> <local_filename>
Где local_filename – это имя файла, а source_firewall и destination_firewall – источник и назначение устройств – вводится в форме:
<user_name (имя пользователя, назначенное в NetDefendOS)>@<firewall_ip_address (IP-адрес устройства) >:<filepath (тип файла)>.
Например, admin@192.168.10.1:config.bak .
После ввода команды будет предложено ввести пароль, назначенный в NetDefendOS.
Типы файлов, которые можно загружать Upload-Download между SCP-клиентом и NetDefendOS:
Как и все изменения настроек, загруженные файлы с использованием SCP активируются только после выполнения команд CLI activate, а затем – commit для применения изменений.
Загруженные файлы обновленного программного обеспечения (в формате файлов .upg) или полная резервная копия системы (full.bak) являются исключениями. Оба из этих типов файлов приводят к автоматической перезагрузке системы.
Примеры использования скриптов
Приведем пример № 1 использования скрипта общей конфигурации для импорта конфигурации во все модели серии NetDefend. Решение должно поддерживать следующие условия:
статическое подключение к Интернет-провайдеру;
DHCP-подключение компьютеров пользователей ко внутренней сети.
Для выполнения поставленной задачи необходимо выполнить шаги:
Изменить адресную книгу – назначить IP-адресацию для WAN-интерфейса (IP-адрес интерфейса, адрес сети, IP-адрес шлюза по умолчанию, IP-адреса DNS-серверов) – в нашем примере интерфейс назовем ISP1.
Добавить DHCP-сервер для автоматического получения IP-адресов компьютерами пользователей внутренней локальной сети – в нашем примере сервер назовем Lan_DHCPServer.
В любом текстовом редакторе (например, Блокноте) создаем текстовый файл с расширением .sgs , в котором прописываем команды, которые будут выполняться в соответствии с заданными шагами; сохраняем как, например, conf_b.sgs .
ВНИМАНИЕ: Имя скрипта должно содержать не более 16 символов!
Рис. 10.2. Скрипт без использования переменных
Ethernet 1 – это интерфейс WAN/WAN1 (в зависимости от модели DFL) по умолчанию, как показано на рисунке:
Рис. 10.3. Нумерация Ethernet-интерфейсов в межсетевых экранах NetDefend
Далее, загружаем созданный скрипт (например, через PSCP-клиента):
ВНИМАНИЕ: Файл скрипта должен находиться в той же папке, что и файл pscp.exe .
Рис. 10.4. Загрузка скрипта в межсетевых экранах NetDefend
Проверяем, загрузился ли скрипт в папку script межсетевого экрана. Можно использовать подключение через консоль:
Рис. 10.5. Отображение доступного скрипта в устройстве через консольное подключение
или через Ethernet-интерфейс с использованием SSH-протокола:
Рис. 10.6. Отображение доступного скрипта в устройстве через SSH-подключение
Далее, через консоль или SSH-клиента запускаем файл с именем conf_b.sgs .
Рис. 10.7. Запуск скрипта в межсетевых экранах NetDefend
Файл загружен успешно, проверяем результат либо с помощью CLI-команд,
Рис. 10.8. Отображение изменений Ethernet-интерфейса в устройстве через консольное подключение
либо через Web-интерфейс:
Рис.
10.9. Отображение
изменений Ethernet-интерфейса в устройстве
через Web-интерфейс
Рис. 10.10. Отображение изменений интерфейсов в адресной книге через Web-интерфейс
В первом примере использована конкретная IP-адресация и конкретный интерфейс для DHCP-сервиса. В случае если указанные значения меняются, можно использовать переменные (пример № 2):
Рис. 10.11. Скрипт с использованием переменных
Выполняем аналогичные шаги, что и в первом примере. Только при запуске файла (например, с именем conf_v.sgs) через консоль или SSH-клиента указываем значения переменных ($1=5.5.5.2 $2=5.5.5.0/24 $3=5.5.5.1 $4=1.1.1.1 $5=2.2.2.2 $6=lan):
Рис. 10.12. Запуск скрипта через SSH-клиента
Меню загрузки (Boot menu) через консоль. Загрузчик NetDefendOS – это основное программное обеспечение для управления системой NetDefendOS. Меню загрузки доступно только через консоль устройства, подключенного непосредственно к консольному порту межсетевого экрана NetDefend. Доступ осуществляется через консоль после включения межсетевого экрана NetDefend и запуска системы NetDefendOS.
После включения межсетевого экрана NetDefend запуск системы NetDefendOS произойдет через 3 секунды, в то же время появится сообщение Press any key to abort and load boot menu (Нажмите любую кнопку для прерывания или загрузки меню загрузки), отображенное ниже:
Рис. 10.13. Запуск системы NetDefendOS
При нажатии любой консольной клавиши в течение 3 секунд, происходит остановка запуска системы NetDefendOS и отображается меню загрузки.
При первоначальном запуске системы NetDefendOS без установки пароля для доступа к консоли, отображается полный набор опций загрузки меню, как показано ниже:
Рис. 10.14. Запуск системы NetDefendOS
Start firewall.Обеспечивает запуск программного обеспечения NetDefendOS на межсетевом экране NetDefend.
Reset unit to factory defaults. Обеспечивает сброс устройства к заводским настройкам по умолчанию. При выборе данной опции выполняются следующие операции:
удаляется пароль на доступ к консоли;
восстанавливаются параметры по умолчанию системы NetDefendOS в соответствии с конфигурацией по умолчанию.
Revert to default configuration. В данном случае выполняется восстановление только конфигурации по умолчанию, что не влияет на остальные опции, например, безопасность консоли.
Set console password. Установка пароля для доступа к консоли. Пока пароль не установлен, любой может использовать консоль, поэтому рекомендуется устанавливать пароль. После установки пароля, консоль выполнит запрос пароля прежде, чем будет разрешен доступ к меню загрузки или интерфейсу командной строки (CLI). Удалить консольный пароль можно, если при выборе данной опции оставить поле пароля незаполненным и нажать клавишу Enter.
Установка пароля для консоли не связана с именем пользователя/пароля, используемым для доступа администратора через Web-браузер.