Endian firewall community настройка

Обновлено: 03.07.2024

Web Content Filter Module - Endian Firewall 1.1
- URL filter
- Web content analysis/filter
- Whitelists and blacklists management
- Web surfing time limits

Добавлено:
Release Name: 1.1-rc8

VPN:
* openvpn allows real hub/spoke topology and automatically pushes
all known configured networks to each openvpn user
* openvpn does not set up local routing entries if they match the
green network, which in fact is a misconfiguration
* openvpn server displays ca certificate
* openvpn server gives the possibility to configure port and protocol
* openvpn server allows to configure multiple networks per user
* no more need to dynamically add/remove openpvn related firewall
rules after connect/disconnect, they now are static. fixed
problem of not purged outdated rules

Rewrite of Backup Service:
* each backup can be downloaded with a single click
* user can decide what to include: settings, database dumps, log files, log file archives
* each restore creates a backup before the restore
* backups can be automatically encrypted with a gpg public key.
* factory default erases logfiles, databases and additional data files

А не встречал ли автор ветки или кто-то еще похожий дистриб, но в виде LiveCD, который хранит логи и настройки на HDD (так поступает Frenzy) или даже в сети?

Было бы просто идеально - машина загружается с CD, подхватывает настройки из сохраненного конфига и в конторе есть инет. Сдохло железо - берем любую другую тачку с сидюком, втыкаем вторую сетевую, загружаемся на ней, скармливаем конфиг из бекапа с минимальной его правкой и доступ в инет восстановлен максимум за 15 минут.

Если ещё не работали с продуктами этого класса рекомендую по убыванию в порядке простоты
IPCop
SmoothWall
ClarkConnect
Endian Firewall
Vyatta

Название этого продукта наводит на мысли о путешествиях Гулливера, остро- и тупоконечниках или, на худой конец, порядке следования байтов. Подозреваю, что на родном языке его разработчиков – итальянском – это слово тоже значит что-нибудь хорошее, хотя документальных подтверждений тому мне обнаружить не удалось. Как бы там ни было, под именем Endian скрывается специализированный дистрибутив Linux, реализующий функции брандмауэра, интернет-шлюз (с поддержкой нескольких подключений), хот-спота (только в коммерческой версии) и контроля за сетевыми угрозами (Unified Threat Management, UTM).

Endian Firewall (EFW) поставляется в двух основных редакциях: свободной (GPLv2) и бесплатной Community и коммерческой Appliance. Последняя, в свою очередь, подразделяется на аппаратные (Mini, Mercury, Macro, Macro X2 – в порядке наращивания возможностей) и программную (Software) разновидности. Endian Firewall Software Appliance можно установить на любой x86-совместимый компьютер подходящей мощности (рекомендуется 1 ГГц и 512 МБ оперативной памяти, а также не менее 4 ГБ на жестком диске, привод CD-ROM, клавиатура и монитор понадобятся только на этапе инсталляции и устранения неполадок). Фирменные аппаратные решения Endian (за исключением младшей модели – Mini – обладающей пассивным-охлаждением и настольным корпусом) монтируются в стандартной девятнадцатидюймовой стойке и имеют высоту 1U.

Как правило, в продуктах, обладающих открытой и закрытой версиями, первая служит своего рода тестовым полигоном для второй: на ней обкатываются новые идеи и функции, которые (после стабилизации) ложатся в основу бизнес-решения. В случае с Endian, похоже, все происходит наоборот: Community-версия получается путем урезания стандартного Endian Firewall (он же – Software Appliance) и при этом еще проходит свое собственное тестирование! Так, на момент написания обзора, Endian Firewall Community 2.2 находился в стадии релиз-кандидата, тогда как коммерческая версия готовилась отметить первый месяц продаж.

На первый взгляд

Рисунок 1. Веб-интерфейс Endian Firewall выполнен не слишком просто, но со вкусом

Endian Firewall использует стандартную нотацию сетевых зон: зеленая (GREEN) – локальная (доверяемая) сеть, оранжевая (DMZ) – демилитаризированная зона, красная (RED) – Интернет и синяя (BLUE) для беспроводных клиентов. В каждой зоне должен находиться как минимум один сетевой интерфейс, при этом каждый интерфейс может быть ассоциирован лишь с одной зоной. Для красной зоны поддерживаются следующие типы подключений: Ethernet (статический и DHCP), PPPoE, ADSL (PCI и USB), ISDN, аналоговый/UMTS-модем (только в коммерческой версии – и почему бы?), а также специальный вариант Gateway (шлюз), который используется в тех редких случаях, когда машина с EFW не имеет красного интерфейса (то есть не подключена к Интернету напрямую), а для доступа в сеть используется внешний маршрутизатор. Все эти варианты подробно описаны в распространяющемся по лицензии GFDL англоязычном руководстве Endian Firewall [2], которое, на момент написания материала, было помечено как «разрабатываемое» («work in progress»).

На наш взгляд, подсистема настройки сети реализована в EFW не самым лучшим образом. Она, должно быть, прекрасно справлялась со своей задачей в предыдущих версиях продукта, но в 2.2, после реализации поддержки нескольких внешних каналов (uplink), стала несколько путаной. Предположим, у вас есть два Ethernet-интерфейса, подключенных к различным провайдерам, и вы хотите организовать с их помощью отказоустойчивость; красная зона же, по определению, одна. Вы не можете просто расширить ее на обе сетевых карты, поскольку в данном случае они будут включены в мост с одним общим IP-адресом. Для решения данной задачи и были предложены внешние каналы, редактор которых доступен в меню «Networking -> Interfaces». Внешний канал обладает таким же набором параметров, что и красная зона (впрочем, здесь есть одно, но важное исключение: uplink может быть PPTP-подключеним. Будем считать, что это не архитектурное решение, а просто ошибка) – уже это наталкивает на мысль о «неполной нормализации», хотя сама идея – разделить «локальные» параметры настройки (IP-адрес, маску подсети, имя хоста и т. п.) от глобальных (адрес шлюза в сети провайдера) кажется вполне здравой, особенно если рассмотреть систему, у которой будет более одного канала в Сеть в каждый момент времени. Внешний канал может служить назначением (destination) правила маршрутизации, задаваемого по соседству («Networking -> Routing»). Прискорбно, но маршрутизация на основе политик (policy routing) в Community-версии не поддерживается, так что решать, что и куда посылать, можно лишь на основании сетевых адресов отправителя и получателя.

Правила взаимодействия между зонами более простые – их суть сводится к тому, чтобы полностью изолировать DMZ (оранжевая зона) и беспроводных клиентов от локальной сети. Опять же, в реальной ситуации может потребоваться оставить некоторые хорошо определенные лазейки – скажем, активировать для зоны BLUE доступ по протоколу SMB. Разрешать все бессмысленно – тогда уж проще не выделять специальную зону. Как и в случае с исходящим трафиком, межзонный брандмауэр можно выключить.

Правила доступа к системе стоят особняком. Во-первых, встроенные записи нельзя редактировать (возможно, разработчики опасаются, что излишне ретивый пользователь отрежет себе доступ к административному интерфейсу), во-вторых, они всегда активны. Доступ к административному веб-интерфейсу разрешается из любой внутренней зоны (т.е. GREEN,BLUE,ORANGE и VPN), а вот SSH-соединение можно установить только из «зеленой» сети. По умолчанию, ICMP-запросы из красной сети не принимаются, и это следует иметь в виду при общении со службами поддержки интернет-провайдеров.

Только через мой. шлюз

Рисунок 2. «Диаграммы Ганта» для фильтров Squid

Мы – за безопасные связи

Разумеется, Endian Firewall может быть не только посредником, но и предоставлять сервисы сам по себе. Особого упоминания заслуживает VPN. EFW поддерживает две технологии: IpSec и OpenVPN; мы будем говорить о последней. Доступны два режима работы: OpenVPN-сервер и OpenVPN-клиент (также известный как Gw2Gw – «шлюз/шлюз»; он пригодится, например, при подключении сети филиала к центральному офису). Примечательно, что OpenVPN-сервер запускается в режиме Bridged (а значит, удаленные клиенты смогут работать со всеми протоколами, полагающимися на широковещательную доставку: от Half-Life до SMB Browse) и перевести его в Routing средствами GUI нет никакой возможности. Для VPN-клиентов зарезервированы адреса 192.168.0.129-192.168.0.190 (разумеется, если вы не меняли подсеть, выбранную по умолчанию).

Из других сервисов можно перечислить систему обнаружения вторжений Snort [5] и сетевой монитор Ntop [6]. А вот чего в EFW, по сравнению с его предком – SmoothWall – не достает, так это системы обновлений. Это тем более странно для дистрибутива, обеспечивающего безопасность целой сети, единственная уязвимость в котором может привести к очень серьезным последствиям.

В целом же Endian Firewall можно назвать весьма развитым и законченным решением.

Огорчает только отсутствие в свободной редакции некоторых функций, строго говоря, не являющихся корпоративными (той же маршрутизации по политикам). Схема поддержки нескольких внешних каналов также могла бы быть более удобной, но если перед вами стоит задача обеспечить доступ в Интернет для малой или средней сети и возможностей IPCop/SmoothWall уже не хватает, на данный продукт определенно стоит обратить свое внимание.

В данной статье пойдет речь о бесплатных межсетевых экранах, которые отличаются от своих «родственников» в сфере веб-приложений. Они предназначены для защиты инфраструктуры, а не определенного кода или приложения.

По статистике, миллионы данных крадутся или считаются утерянными каждый день.

Насколько безопасна сеть, которую использует человек? Активен ли межсетевой экран, обеспечивающий защиту сетевой инфраструктуры?

1. pfSense

Решение для обеспечения безопасности с открытым исходным кодом и пользовательским ядром на базе ОС FreeBSD. pfSense является одним из ведущих межсетевых экранов для коммерческих целей. Он доступен в виде аппаратного устройства, виртуальной машины и загружаемого двоичного файла (многопользовательская версия)

Бесплатным является последний вариант.

Из преимуществ можно выделить подробное описание условий использования и простота применения. Характерные особенности pfSense включают в себя:

Межсетевой экран — фильтрация IP / портов, ограничение соединений, поддержка приема и передачи данных, клининг.
Таблица состояний – по умолчанию все правила являются статусными, доступно несколько конфигураций для обработки состояний.
Балансировка нагрузки на сервер – встроенный LB, который способен распределить нагрузку между несколькими бэкендами сервера.
NAT (трансляция сетевых адресов) — переадресация и отражения портов.
HA (возможность обеспечения бесперебойной работы) — переход на вторичный ресурс при отказе работы первичного.
Multi-WAN (глобальная вычислительная сеть) – возможность использовать более одного подключения к интернету.
VPN — поддержка IPsec и OpenVPN.
Отчетность – пользователь способен хранить информацию о посещенных и использованных ресурсах.
Мониторинг в реальном времени.
Динамический DNS – использование нескольких DNS-клиентов одновременно.
Ретрансляция и DHCP .

Функции межсетевого экрана, которые предоставляются бесплатно.

Кроме того, у пользователя также есть возможность устанавливать пакеты всего одним щелчком мыши. Например:

Безопасность — stunner, snort, tinc, nmap, arpwatch
Мониторинг — iftop, ntopng, softflowd, urlsnarf, darkstat, mailreport
Сеть – netio, nut, Avahi
Маршрутизация — frr, olsrd, routed, OpenBGPD
Услуги – iperf, widentd, syslog-ng, bind, acme, imspector, git, dns-server.

pfSense действительно выглядит многообещающе и заслуживает внимания. О хостинге подробнее можно прочитать, перейдя по ссылке .

2. IPFire

IPFire был разработан на основе межсетевого экрана Netfilter и уже завоевал доверие тысячи компаний по всему миру.

Endian Firewall Linux — дистрибутив для создания шлюзов. Один из многих существующих (Smoothwall, pfSense, eBox), но один из немногих по-настоящему удобных. Дистрибутив проработан вплоть до мелочей. Далее перечислю некоторые функции которые мне особенно понравились…

Удобный, информативный дашбоард. Показывает нагрузку, текущюю скорость на интерфейсах, состояние кеширования web прокси и т.п.:

Фильтры для прозрачного прокси по-настоящему работают. Например, блокируем youtube:

Не составляет труда заблокировать онлайн видео, музыку и прочее по mac адресам, добавив фильтрацию на основе mime типов. Можно указать типы video/*, audio/* а не указывать каждый отдельно:

Состояние кеша веб прокси — сколько было соединений, сколько раз воспользовались кешем:

Трекинг текущих соединений:

IPS SNORT с автоматическим обновлением правил:

Endian provides several „community driven“ solutions to solve any problems you may encounter with the EFW Community Version. This means, the support is free but depends solely on the good will of other people in the Open Source Community to help you.

How to choose the appropriate support

In order to promptly find the solution of your problem, follow these steps:

Read the Endian Firewall Documentation.
Read the FAQ page.
Check the Bug tracker known issues.
Check for a solution using the below mailing lists. These serve as knowledge bases for many users.

You can subscribe to Endian Firewall mailing lists kindly hosted by Sourceforge.
You can browse mailing list archives on Sourceforge (efw-user) and Mail-archive (efw-user).

How to ask

If submitting a question to the mailing list, bear in mind that you are relying on the good-will of other community users and not official Endian staff. They are under no obligation to respond to your request, nor does Endian validate support responses.
As a matter of professional courtesy, please exercise decorum when requesting community-supported assistance. We recommend you supply the following:

Describe the issue in detail. (“It does not work” is not a sufficient description)
What changes (if any) were made that may have caused the incident?
Provide your exact hardware specifications.
What steps did you take to troubleshoot the issue on your own?
Which version of Endian CE are you running?
Any other info you can provide: log files, outputs generated, etc.

Access our full Endian documentation!

Endian FAQs

If I have a problem with Endian appliance, how do I get support?
First, in order to get support you must have a current (valid) active maintenance subscription on your Endian appliance. Next, you should contact your local Endian partner from whom you initially purchased your Endian appliance. To learn more, please read more about our support process.
I am interested in selling and supporting Endian, how do I become a partner?
If you are a business, reseller, system integrator or distributor interested in selling Endian solutions, you can begin the process by completing our initial partner application form.
How do I learn about all Endian products and get pricing information?
To learn more about all of our solutions, please start by visiting our product page and you can get more details for each product line. To get pricing information, please fill out this short sales inquiry form or contact your local Endian sales office.
How can I test-drive or get a demo of Endian products?
First, you should check out the appropriate online demo (see below) to get a feel for the Endian features and easy web interface. If you want a deeper test drive, contact your local Endian sales office to request a demo appliance you can run in your own environment (hardware, software and virtual demo programs are available).
Endian UTM/Hotspot Online Demo
Where can I find more information about Endian (beyond the documentation)?
Endian Knowledge Base
Endian Configuration Guides
Endian Video Tutorials

Getting help with EFW Community version

Just check out the EFW Community Support Forums. Thanks to all to the creators of these sites, we really appreciate your support!

Архив номеров / 2008 / Выпуск №6 (67) / Endian Firewall 2.2: из Италии с любовью

Endian Firewall 2.2: из Италии с любовью

Организация шлюза в Интернет – типовая задача, которую с разным успехом решает множество специализированных продуктов. Нужен ли нам еще один?

На первый взгляд

Рисунок 1. Веб-интерфейс Endian Firewall выполнен не слишком просто, но со вкусом

Только через мой. шлюз

Рисунок 2. «Диаграммы Ганта» для фильтров Squid

Мы – за безопасные связи

В целом же Endian Firewall можно назвать весьма развитым и законченным решением.

Список доменных пользователей

Добавить контроллер домена Microsoft в списке Endian хозяев. Перейти к [Сеть] [Добавить хост] Набор: адрес IP, имя хоста и домена.

После сохранения настроек, нажмите на [присоединиться к домену]:

Если все правильно:

Смотрите список AD компьютер обновляется с сервера EndianFW

После вступления в EndianFW в области AD, пришло время, чтобы проверить подлинность на основе пользователей домена. Перейти [Прокси] [Политики доступа] [Добавить политику доступа]

Мы можем установить [источник], который будет иметь доступ и [место], который будет иметь доступ.

Em [Аутентификация], чтобы изменить режим на "в зависимости от пользователя" и увидеть список наряду импортируемых пользователей AD. Теперь вы можете включить зрителей на определенных пользователей или групп пользователей. Другой вариант заключается в ограничении времени. Разрешение доступа к Facebook только в обеденное время, например. Запомнить действие разрешить или запретить [Создать политику]

Повторите шаги настроить правила по желанию:

Другими инструментами является веб-профиля фильтр. Делайте, как на скриншоте ниже, чтобы создать новый профиль.

Задайте имя для профиля и тип содержимого (по желанию), что будет рассматриваться как запрет. Просто нажмите на "стрелки", чтобы включить зеленый и не запрещать содержание .

Теперь просто применить и сохранить:

После настройки, вы должны активировать прокси на клиентском браузере. Запомнить отрицать инструменты доступа браузера с помощью групповой политики, местные, или даже через ключ реестра с Windows:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
* HKLM/software/policies/microsoft/internet explorer/control panel/proxy

Откройте браузер, перейдите к [Инструменты] [Связи] [Настройка LAN]

становите IP-адрес (EndianFW) и порт 8080 (используемый EndianFW)

Как создаются правила, прокси позволяет получить доступ к любой другой сайт, смотрите пример ниже, где я открыл две вкладки, по одной с Google и другие с Facebook. См Google обычно открыты.

Но Facebook . Прокси поросил авторизоваться. Обратите внимание, что пользователи создаются в AD контроллер домена.

Как я не права (я в группе людей, которые лишены доступа) не может открыть facebook..

EndianFW хранит несколько журналов и отчетов, которые должны быть видны часто администраторами.

EndianFW является отличным сервер для малого бизнеса и приносит легкость не сосредоточиться на командной строке, это делает жизнь легче для начинающих администраторов и тех, кто нуждается, что другие также сделать настройки на сервере.

Читайте также: