Налаштування брандмауера Ng

Знайте, що ви налаштовуєте

Untangle NG Firewall перетворює додатковий комп’ютер або віртуальну машину на шлюз для всієї вашої мережі: коробка розташована між вашим інтернет-з’єднанням і офісним комутатором, кожен комп’ютер отримує доступ до Інтернету через неї, а його набір програм — веб-фільтрація, VPN, звіти тощо — згодом вмикається всередині цього шлюзу. Спочатку налаштування, потім програми.

Підготуйте машину з двома мережевими картами

Шлюз знаходиться між двома мережами, тому машині потрібні принаймні два мережеві інтерфейси: один стає зовнішнім (звернений до лінії провайдера), а інший — внутрішнім (звернений до вашого офісу). Класична збірка — це запасний робочий стіл із доданою однією додатковою мережевою картою PCI або PCIe; віртуальна машина VMware із двома віртуальними мережевими адаптерами працює так само добре — відео охоплює обидва маршрути. Позначте кожен кабель, коли ви його під’єднуєте: більшість проблем із налаштуванням цього виробу полягає в тому, що два кабелі поміняні місцями.

Завантажте програму встановлення лише з офіційного порталу Arista

Завантаження тепер доступні за допомогою безкоштовного облікового запису ETM Dashboard на офіційному сайті Arista: створіть обліковий запис, і портал запропонує інсталятор — образ ISO для фізичної машини, OVA для віртуальної машини. Завантажуйте тільки звідти. Образ брандмауера — це найгірший файл у вашій мережі, який можна отримати з дзеркала або сайту «безкоштовного завантаження», а плутанина з перейменованим продуктом — це саме те, що використовують підроблені сторінки завантаження.

Установіть, а потім запустіть майстер налаштування

Завантажте машину (або віртуальну машину) з інсталятора та дотримуйтесь інсталяції — пам’ятайте, що він стирає диск під час роботи. Під час першого завантаження Майстер налаштування відкривається самостійно. У поточних версіях це починається з облікового запису: увійдіть за допомогою облікового запису ETM Dashboard з попереднього кроку або створіть його, і ящик реєструється в ньому. Ця реєстрація є функціональною, а не паперовою роботою — це те, як пізніше активується пробна версія або ліцензія на пристрої. Майстер також можна повторно відкрити пізніше з Config > System > Support > Setup Wizard.

Установіть надійний пароль адміністратора

На початку роботи майстра ви створюєте обліковий запис адміністратора для ящика. Цей єдиний логін контролює вхідні двері всієї мережі, тому встановіть надійний унікальний пароль і зберігайте його в менеджері паролів компанії — ніколи не залишайте стандартний або спільний пароль, який можна вгадати.

Визначте зовнішній і внутрішній інтерфейси

Майстер запитає, який інтерфейс спрямований до Інтернету, а який – до вашого офісу. Зазвичай перший інтерфейс є зовнішнім — він підключається до модему провайдера або вихідної лінії та зазвичай отримує свою адресу через DHCP — а другий — як внутрішній, підключається до офісного комутатора. Сприймайте цей порядок як підказку, а не як доказ: визначте кожен порт за допомогою тесту. Підключайте лише той кабель, який ви вважаєте лінією провайдера, і спостерігайте, який інтерфейс показує посилання та адресу; від'єднайте його та подивіться, як спадає посилання. Після завершення роботи майстра консоль адміністратора відповідає із внутрішньої сторони за задокументованою адресою за замовчуванням:

http://192.168.2.1

У режимі маршрутизатора внутрішній інтерфейс знаходиться в 192.168.2.1 і передає адреси DHCP офісним ПК. Ноутбук, підключений до внутрішньої сторони та налаштований на DHCP, має отримати адресу 192.168.2.x — ця оренда є вашим доказом того, що всередині коробки живе. Якщо ваш офіс уже використовує діапазон 192.168.2.x для чогось іншого, змініть внутрішню адресу під час налаштування, а не дозволяйте двом мережам зіткнутися.

Виберіть режим маршрутизатора або прозорий міст

Це єдине рішення, яке потрібно приймати повільно, тому що майстер пропонує два способи приєднання ящика до мережі. У режимі маршрутизатора брандмауер стає шлюзом: він бере на себе NAT і DHCP для офісу та замінює роботу старого маршрутизатора — правильний вибір для більшості нових установок. У режимі Transparent Bridge коробка розміщується позаду існуючого маршрутизатора, зберігає наявну мережеву адресацію та фільтрує трафік під час його проходження — правильний вибір, коли поточні налаштування маршрутизатора мають залишатися такими, як вони є. Ні те, ні інше не є помилкою, але згодом це різні мережі, тому виберіть ту, яка відповідає сайту, перш ніж завершити роботу майстра.

Перевірте, оновіть, а потім сплануйте перехід

Перш ніж хтось покладеться на коробку, перевірте це на справжньому комп’ютері з внутрішньої сторони: консоль відкривається за вказаною вище адресою, комп’ютер має доступ до Інтернету через новий шлюз, а на сторінці інтерфейсу показано зовнішнє та внутрішнє під’єднання до кабелів, як ви думаєте. Потім перевірте наявність оновлень і запустіть їх, поки коробка ще нова, і ввімкніть програми, які вам справді потрібні — безкоштовні базові програми працюють необмежений час, а програми за підпискою можна спробувати через ваш обліковий запис; коли пробна версія закінчується, програма просто вимикається, а шлюз продовжує маршрутизацію.