SSL-VPN yapmak
Yazıdaki ayarlar SecurePlatform R65’de yapılmıştır.
Ssl-vpn ayarında dikkat edilmesi gereken konulardan biri, varsayılan (default) ayarlarla kurulumu yapılan checkpoint’te web config ve (istenirse) smart portal 443 nolu port’ta çalışmaktadır.
Yazıda kullanılan 10.10.50.0/24 ip grubu rastgele seçilmiştir sizin ağ(larda)’ınızda farklı olabilir.
Yazıda kullanılan 89.89.89.0/24 ip grubu rastgele seçilmiştir sizin ağ(larda)’ınızda mutlaka farklı olacaktır.
Yazıda kullanılan 172.16.10.0/24 ip grubu CheckPoint’te varsayılan olarak tanımlı bir gruptur, varsayılan olarak tanımlı değilse yazıda tanımlamalar anlatılmıştır.
Not: Şuan için R65 ssl-vpn modülü "x64", "ia64", "mac os 10.4 ve üzeri" işletim sistemlerini desteklemez.
Yapının haritası bu şekildedir.
Not: İsimler ve ip adresleri sizin kullandığınız yapı ile değişkenlik gösterecektir.
443 nolu portu boşaltmak için console ekranında “expert”e geçip daha sonra “webui disable” komutunu girmek gerekir. Eğer web config veya smartportal’ı farklı bir port’ta çalıştırıyorsanız bu işlemi yapmanıza gerek yok.
Daha sonra ssl-vpn ile bağlanacak kullanıcılara verilecek vpn tüneli ip adreslerini ayarlayalım.
“echo mah,addr 172.16.10.1,deneme >> /opt/CPsuite-R65/fw1/conf/ipassignment.conf”
Yaptığımız komut doğru oldu mu bakalım.
“cat /opt/CPsuite-R65/fw1/conf/ipassignment.conf”
Örnekte; Ssl-vpn ile bağlanan “deneme” kullanıcısına “172.16.10.1” ip adresinin “mah” alt ağ geçidinde verilmesini sağladık.
Bundan sonraki ayarlar SmartDashboard’dan yapılacaktır.
Not: Aşağıdaki ayarların tümünü console’dan yapmak mümkündür fakat zor görüneceğinden gui kullanmak daha doğru olacaktır diye düşündüm.
İlk olarak “deneme” adında ki kullanıcımızı yaratalım.
Kullanıcımızın adı.
Kimlik tipi ve şifresi. Eğer farklı bir kimliklendirme tipi kullanıyorsanız bu yazıya dahil değildir.
Kullanıcı grubu yaratıyoruz.
Yarattığımız yeni gruba kullanıcımızı ekliyoruz “in group”. “add” – “ok”
Kullanıcı tanımlarında son durum bu.
“Networks” sağ tık “new network”.
Lokal genel ayarlarımızı yapalım.
Not: Bu “network” ayarı CheckPoint kurulumlarında otomatik olarak yaratılmaktadır. Bu yazıda ne olur ne olmaz diyerek tekrar üstünden geçiyoruz, eğer buna benzer network ayarınız varsa tekrar yaratmanıza gerek yok. “Netwoks” altında otomatik yaratılan ve/veya daha önceden yaratılmış network ayarlarını mutlaka kontrol edin, çakışma veya hata oluşmasın.
Lokal NAT ayarlarımızı yapalım.
Tekrar “networks” sağ tık “new network”.
Ssl-vpn ağ ayarlarımızı yapalım. NAT ayarları varsayılan (default) olarak kalsın.
Not: Bu “network” ayarı CheckPoint kurulumlarında otomatik olarak yaratılmaktadır. Bu yazıda ne olur ne olmaz diyerek tekrar üstünden geçiyoruz, eğer buna benzer network ayarınız varsa tekrar yaratmanıza gerek yok. “Netwoks” altında otomatik yaratılan ve/veya daha önceden yaratılmış network ayarlarını mutlaka kontrol edin, çakışma veya hata oluşmasın.
Ağ “Networks” tanımlarında son durum bu.
Not: Sizinkinde ilave network grupları olabilir.
CheckPoint objesini ayarlıyoruz.
VPN seçeneğini seçiyoruz, seçimle beraber soldaki menüye “remote access” menüsü otomatik olarak eklenecektir.
VPN ayarında “add” – “remoteaccess“ – “ok” seçiyoruz.
“Add” – “certificate nickname, defaultCert” yazıyoruz daha sonra “generate” tıklıyoruz. Çıkan uyarı mesajında “yes” seçiyoruz.
ssl-vpn’de kullanacağımız sertifika yaratıldı.
“Topology” ayarında “manually defined” – “lokal” seçiyoruz.
“remote access” menüsünde “support visitor mode” açılıp varsayılan ayarlarda bırakılacak.
“office mode” ayarını “offer Office mode to group” ayarından ssl-vpn için yarattığımız (veya daha önce CheckPoint tarafından otomatik olarak yaratılmış olan) ağ’ı seçiyoruz.
“ssl clients” – “ssl network extender” – “the gateway authenticates with this certificate, defaultCert”.
“remote access” – “edit” ayarını değiştiriyoruz.
“all users” seçip “remove” tıklayarak kaldırıyoruz.
“add” tıklayıp açılan pencereden “sslvpngrup1” seçiyoruz.
“remote access” son durumu.
Güvenlik kuralımızı ekleyelim. “security” sekmesinde yeni kural ekliyoruz, “source” sağ tık “add user access…” seçiyoruz.
Açılan pencereden “sslvpngrup1” seçiyoruz.
“destination” sağ tık “add” ufak pencereden “lokal” seçiyoruz.
“vpn” sağ tık “edit cell” ufak pencereden “only connections encrypted in specific vpn communities” – “add” – “remote access” – “ok” seçiyoruz.
Tekrar “ok” seçerek pencereyi kapatıyoruz.
“action” sağ tık “accept”, bir sebepten ssl-vpn’imiz çalışmazsa görebilelim diye “track” sağ tık “log” seçiyoruz.
Yaptığımız ayarları etkinleştirmesi için firewall’a gönderiyoruz.
Yaptığımız ayarlar etkinleştirilmeden (install) önce doğrulukları kontrol ediliyor.
Doğrulukları kontrol edilen ayarlarımız etkinleştiriliyor (install).
“close” seçerek pencereyi kapatıyoruz. Artık SmartDashBoard’dan çıkabiliriz.
Internet üzerinden bağlantı yaptığımız için, CheckPoint’in dış ip adresini (https://89.89.89.89) giriyoruz.
Sertifika uyarısına “evet” diyoruz.
IE varsayılan ayarlarında “açılır pencereler” engelleyicisi (popup blocker) açıktır, CheckPoint bunu otomatik olarak kontrol eder ve çalışmasını engelleyici bir durum olduğunda uyarı verir. “tamam”
CheckPoint’in adresini “Açılır pencereler” engelleyicisine ekliyoruz böylece bir daha bloklamayacak. Bu işlemi bir defaya mahsus olarak yapacağız.
“Bu siteden açılır pencerelere her zaman izin ver…”
İzin işleminin onay penceresi. “evet”
Yukarıdaki ve aşağıdaki işlemleri bir kereye mahsus olarak yapıyoruz.
Bu menü her bağlantı isteğimizde karşımıza çıkacaktır, kullanıcı adı ve şifre.
Bir defaya mahsus olarak CheckPoint, ssl network extender yazılımını ActiveX denetimlerini kullanarak bilgisayarınıza yükler. “ActiveX denetimini yükle…”
Ssl network extender yazılımı bir defaya mahsus yüklenecek. “yükle”
Ssl network extender yazılımı bir defaya mahsus olarak yüklenmekte.
Bağlanılan CheckPoint ssl-vpn servisinin kullanacağı sertifikanın onayı.
Birden fazla CheckPoint ssl-vpn servisine bağlanıyorsanız ilk bağlantınızda bu pencereyi göreceksiniz.
Daha sonraki bağlantılarda sertifika(lar) geçerliliğini yitirene kadar bu pencere(ler) görünmeyecektir.
Yukarıdaki sertifika penceresi bir kereye mahsus onaylandıktan sonra ssl-vpn bağlantısı otomatik olarak kurulmaktadır. Bağlantı kuruldu ve görüldüğü gibi 172’li ağ’dan bu bilgisayara bir ip adresi verildi.
Bu bilgisayar artık bizim 10’lu ağ’ımıza ulaşabilmekte.
Bundan sonra her bağlantı isteğinde https://89.89.89.89 adresine girip kullanıcı adını ve şifresini girmesi yeterli olacaktır.
Alıntı Yaparak Cevapla
CheckPoint SSL Network Extender PDA ayarları
powerfull Demiş ki:
