DFL210+ INFOSEC

Назначение

Оборудование D-Link DFL-210

ПО АП-"Континент"

Практическая реализация

Настройка DFL-210

Решение проблем

Ссылки


Назначение интеграции оборудования D-Link DFL-210

и

ПО Абонентский Пункт "Континент-АП"

1. ПО Абонентский пункт (АП) "Континент-АП" используется для подключения к Серверам доступа ПАК "Континент-К". Данное оборудование используется, н.п. в орагнах федерального казначейства (ФК) для организации защищенных каналов связи клиентов ФК (Финансовых органов, получателей бюджетных средств, администраторов поступлений) через ПО "СЭД" с серверами "СЭД" ФК находящимися внутри сети ФК. В качестве транспорта используется Интернет.

2. По умолчанию "Континент-АП" использует БЕЛЫЕ адреса интернета или СЕРЫЕ выделяемые тем же провайдером у которого зарегистрирован адрес Сервера доступа ПАК "Континент-К" . И чтобы защитить сеть клиента, у которого установлен "Континент-АП" приходилось выделять отдельный компьютер для работы с интернетом и устанавливать программные межсетевые экраны (типа ISA 2006-2004 или Kerio Winrote), на данный момент легально сделать это очень дорого.

3. И основное: !!!!!!!!!!!!!!данная инструкция позволяет установить "Континент-АП" внутри сети клиента за Межсетевым экраном (МСЭ), на пример D-link DFL210
Т.е. получается и сеть защищена и канал до ФК работает и еще много чего что можно реализвать на DFL-210.
Плюс Цена D-link DFL 210 всего порядка 8000 р. и не надо никаких компьютеров для доступа в Интернет.
Примечание: Это можно реализовать только для DSL соединений с Интернет

.


Разрешение проблем

1. Не запускается программа
2. Значек соединения вечно желтый
3. Разъединение поле 1-2 минут
4. Не проходит информация, хотя значек зеленый
5.Значек соединения красный

Не запускается программа

1.Проверьте наличие не триал лицензий на криптопро
2.Проверьте время на компьютере (сроки лицензий и сертификатов)
вверх
 Значек соединения вечно желтый

1.Есть ли разрешение в брандмауере windows на запуск данного приложения
2.Слетело хранилище сертифкикатов -переусатновите АП
3. Не удается устанвить соединение по TCP4439 (при включенном

проверьте действие фильтра по порту 4439 в DFL210
4.Поставлен АП в автозапуск- сетевое соединение еще не запустилось и повисло
5.Меняли настройки сетевых соединений-но забыли про программыSetAdapter
(Снятие и установку привязок)
6. Нет соединения с интернет
7. Сбойная дискета -замените её.

вверх

Разъединение поле 1-2 минут

1. Не проходит ответ от сервера по UDP4440 (проверьте настройки DFL)
2. Ваш провайдре ЛЕВЫЙ (у ВАС IP адрес не виде сос стороны сервера)

вверх

Не проходит информация, хотя значек зеленый

1.Нет прохода протокола 250(проверьте настройки DFL)
2.Плохое качество линии связи большая задержка
3. НЕправильно прописаны правила на Сервере доступа
4.Не правильная маршрутизация у Вас (на тот адрес идет другим путем)
вверх

Значек соединения красный

1. Не посталены значки

и при обрыве связи , не произошло восстанволения
2 Не вставлена дискета и при разрыве канал не восстановился

вверх


Практическая реализация

Предлагается реализация данного соединения на базе

ПО "Континен-АП" (версия 3.1.18.00)

и МСЭ D-link DFL-210 (2.11.03)

но возможно и использование других версий даннх продуктов

Схема соединения может иметь два варианта, расположение ПО "Континент-АП" за интерфейсами DFL-210
LAN или DMZ, сервер доступа всегда находится за WAN интерфейсом

Из оборудования необходимо xDSL Modem с сетевым интерфейсом (не USB) (ADSL или SHDSL) подключенный к Интернет провайдеру.
Режим подключения Bridge, те. на сетевом интерфейсе будет БЕЛЫЙ адрес. Также сам межсетевой экранD-Link DFL -210 и ПО "Континент-АП" (вместе с Крипто-про)


Настройка D-Link DFL-210 для работы с "Континент-АП"

1.Основные понятия и константы
2. Сохрание настроек
3. Меню настроек
4. Адреса IP
5. Сервисы
6. Расписание
7. Правила
8. Отладка
9 Проверка
10.Запуск

1.Основные понятия и константы
Сетевые интерфейсы:
LAN -интерфейс DFL во внутреннюю сеть
WAN- интерфейс DFL в Интернет
DMZ -интерфейс DFL в демилиторизрованную зону
SNGATE-виртуальный интерфейс компьютера с АП

Адреса IP:
Lan_ip -IP адрес DFL на внутреннем интерфейсе , шлюз для доступа к IP Сont_server (Н.П. 10.1.20.201)
Dmz_ip-IP адрес DFL на DMZ интерфейсе , шлюз для доступа к IP Сont_server (при варианте нахожения АП в DMZ
Wan_ip-IP адрес DFL на WAN интерфейсе (белый адрес интернета( Н.П. 85.113.192.221))
Cont_client -IP адрес компьютера на котором стоит АП (Н.П. 10.1.20.19)
Cont_server-IP адрес сервера доступа " КОНТИНЕНТ -К" (Н.П. 85.158.54.14)

см. настройки АП

UFK_IP -IP за сервером доступа (Н.П. 10.71.60.1)
SNGate_IP -IP адрес выделяемый Сервером доступа на выируальном интерфейсе компьютера с АП,
если расшарить данное соединение то доступ к UFK_IP могут получить и другие компьютеры сети.

вверх

2. Сохрание настроек

После входа через Web интерфейс (Internet Explorer)

Сделайте резервную копию настроек DFL

Любые нужные изменния сопровождайте нажатем клавишы OK

После внесения изменения выполните сохрание настроек и активацию

и поэтапно нажимайте кнопку ОК в окнах

и ждем порядка 30 секунд пока всё сохранится и перезапустится

в конце должно получится следующее.

вверх

3. Меню настроек

всего нужно сделать изменения в 4 группах настроек расположенных в меню

в раскрытом виде:

вверх

далее подробней о каждой группе настроек.

4. Адреса IP

Помимо уже настроеных адресов lan_ip, wan_ip, dmz_ip необходимо внести

еще cont_client и cont_server , выберите пункт меню

выберите добавление Ip address

и введите два дополнительных адреса cont_client и cont_server

вверх

5. Сервисы

Добавьте сервисы для TCP 4439, UDP 4440 и IP протокола 250 используемые для соединения с СД и обмена

выберите пункт меню

добавьте TCP/UDP service

далее

далее

добавьте IP protocol service

далее

далее

вверх

6. Расписание

Если необходимо ограничить время доступа то
выберите пункт
добавьте новое рассписание

н.п. all

далее

вверх

7. Правила

создпдим восемь правил для прохождения даннх по 2 портам и одному пртоколу из внутренней сети и обратно

выберите пунки меню [image] и создадим новую группу правил PAK_Continent

- войдем в нее и добавим новые правила

Теперь подробнее: (или пропустить)

SAT_TO_SERV_TCP_UDP
ALLOW_TO_SERV_TCP_UDP
SAT_TO_CLIE_TCP_UDP
ALLOW_TO_CLIE_TCP_UDP
SAT_TO_SERV_IP250
FWD_TO_SERV_IP250
SAT_TO_CLIE_IP250
FWD_TO_CLI_IP250

вверх

SAT_TO_SERV_TCP_UDP

на закладке SAT

пункт 7
вверх

ALLOW_TO_SERV_TCP_UDP

пункт 7
вверх

SAT_TO_CLIE_TCP_UDP

особое внимание на то что назначение CORE

и на закладке SAT

пункт 7
вверх

ALLOW_TO_CLIE_TCP_UDP

пункт 7
вверх

SAT_TO_SERV_IP250

и на закладке SAT

пункт 7
вверх

FWD_TO_SERV_IP250

пункт 7
вверх

SAT_TO_CLIE_IP250

и на закладке SAT

пункт 7
вверх

FWD_TO_CLI_IP250

пункт 7
вверх

8. Отладка

При отладке можно использовать запись проходящих по правилам пакетов в лог
с дальнейшим его анализом.

на закладке Logsettings поставьте галочку в поле Enablr logging

и после сохранения настрое и перезапуска можно увидеть результат

если не наблюдается ошибок при работающем АП, настройки можно считать закончеными.

вверх

9 Проверка

Справка
1. АП не работает [image] значек красный второй интерфейс SNGate не подключен

2. АП Подключается [image] значек желтый

3. АП Полключен [image] значек зеленый второй интерфейс SNGate подключен

Если правилами на сервере доступа разрешен ping на адрес UFK_IP

то можно проверить соединение командой Н.П. PING 10.71.60.1

результат должен быть приблизительно таким

вверх

10.Запуск

Для чистоты эксперимента перезапустите компьютер и DFL210.

Призапуске АП Континент должен быть стабильный коннект и

вверх

Если возникаю проблемы то смотрите разрешение проблем


Cсылки

D-Link (русский) ) | http://www.dlink.ru/index.php
D-Link (com) | http://www.support.dlink.com/chooseCountry.asp
D-Link (ФОРУМ) | http://forum.dlink.ru/index.php
D-Link (SECURITY) | http://security.dlink.com.tw/
ИНФОРМ ЗАЩИТА | http://www.infosec.ru/

Автор


 DFL-210
NETDEFEND межсетевой экран для малого бизнеса

По мере того, как бизнес-процессы становятся все более зависимыми от сетевой инфраструктуры, капиталовложения, сделанные в решения по безопасности становятся все более значимыми. D-Link представляет ряд мощных решений нового поколения для защиты сетей предприятий Серия NetDefend учитывает растущие требования, предъявляемые к сетевой безопасности, защите от атак хакеров, вирусным угрозам и повышению конфиденциальности информации. Каждый межсетевой экран этой серии обеспечивает высокий процент возврата инвестиций, благодаря поддержке широкого набора функций, гибкой настройке и высокому уровню защиты сети.

Устройства серии NetDefend представляют собой законченное решение в области безопасности, включающее встроенную поддержку межсетевого экрана, балансировку нагрузки, функции отказоустойчивости, механизм Zone-Defense, фильтрацию содержимого, аутентификацию пользователей, блокировку «мгновенных» сообщений и приложений Р2Р, защиту от атак «отказ в обслуживании» DoS и поддержку виртуальных локальных сетей VPN. Эти устройства соответствуют требованиям предприятий различного масштаба, от SOHO до Enterprise к безопасности и удаленному доступу, обеспечивая высокопроизводительное решение по разумной цене. В межсетевых экранах эффективно объединены расширенные функции, предоставляющие администраторам сетей решение безопасности business-класса «все в одном».

Для того, чтобы минимизировать влияние аварийной ситуации на всю сеть, межсетевые экраны поддерживают специальную функцию - Zone-Defense, представляющую собой механизм, позволяющий им работать совместно с управляемыми коммутаторами D-Link и обеспечивающий активную сетевую безопасность. Функция Zone-Defense автоматически изолирует инфицированные компьютеры сети и предотвращает распространение ими вредоносного трафика.

Аппаратная спецификация межсетевых экранов NetDefend включает высокоскоростные процессоры, базы данных и вычислительные мощности, позволяющие обрабатывать до миллиона параллельных сессий. Эти межсетевые экраны поставляются с несколькими сетевыми интерфейсами, настраиваемыми пользователями, включая порты Gigabit Ethernet, позволяя развертывать гибкие, масштабируемые и свободные от «узких» мест сети, объединяющие между собой различные рабочие группы и предприятия.

Все межсетевые экраны серии NetDefend поддерживают удаленное управление через Web-интерфейс, как из локальной подсети, так и через выделенное VPN-соединение.
Устройства также включают в себя набор функций для мониторинга и поддержания состояния и безопасности сети, в том числе отправку уведомлений по электронной почте, ведение журнала системных событий и предоставление статистики в режиме реального времени. Эти функции, наряду с возможностью обновления программного обеспечения, гарантируют, что межсетевой экран сможет предоставить максимальную производительность и безопасность для сети.

Общие характеристики:
Интерфейсы
1 порт 10/100Base-TX WAN,
1 порт 10/100Base-TX DMZ,
4 порта 10/100Base-TX LAN

Производительность
Производительность межсетевого экрана 80 Мбит/с
Производительность VPN 25 Мбит/с
Количество параллельных сессий 12 000
Количество правил 500

Функции межсетевого экрана
РРРоЕ
Прозрачный режим
NAT, PAT
Настройка работы правил по расписанию
Application Layer Gateway (ALG)

Сетевые функции
DHCP клиент/север
DHCP relay
Маршрутизация на основе политик
IEEE 802.1Q VLAN

Виртуальные частные сети (VPN)
Шифрование (DES/3DES/AES/Twofish/Blowfish/CAST-128)
100 выделенных VPN-туннелей
Сервер PPTP/L2TP
Режим Hub and Spoke
IPSec NAT Traversal

Управление
Консоль
Web-интерфейс HTTP, HTTPS
Интерфейс командной строки /SSH
Обновление ПО/конфигурации
Резервирование/восстановление файла конфигурации
Настройка IP адреса станции управления
Централизованная система управления2

Аутентификация
Встроенная база данных
Внешняя база данных: RADIUS, LDAP1
Привязка IP к MAC-адресу
XAUTH для аутентификации IPSec

Регистрация и мониторинг
Внутренняя регистрация
Внешняя регистрация: сервер Syslog
Уведомление по email
Регистрация событий
SNMP v1, v2c1

Управление полосой пропускания
Traffic Shaping на основе политик
Гарантированная полоса пропускания
Максимальная полоса пропускания
Полоса пропускания на основе приоритета

Intrusion Detection (IDS)
Автоматическое обновление сигнатур атак
Защита от атак DoS, DDoS
Предупреждение об атаках по email

Фильтрация содержимого
Тип HTTP: URL, ключевые слова
Тип скриптов: Java Cookie, ActiveX, VB
Тип email1: «Черный» список, ключевые слова
Физические параметры и условия эксплуатации:
Питание
Внешний адаптер питания

Размеры
235 х 162 х 36 мм, настольный размер


Абонентский пункт "Континент"

Для доступа в сеть, защищаемую АПКШ "Континент", внешних пользователей используется специальное клиентское ПО - СКЗИ "Континент-АП" (абонентский пункт, АП). Оно устанавливается на компьютер пользователя, в качестве которого может выступать ноутбук, удаленный сервер, обычный компьютер. Абонентский пункт подключается к серверу доступа (СД) и позволяет осуществить:

Поддержку динамического распределения IP адресов - возможность удаленного доступа мобильных пользователей
Удаленный доступ к ресурсам защищаемой сети по шифрованному каналу
Доступ как по выделенным, так и по коммутируемым каналам связи
Связь с сетью, защищаемой АПКШ "Континент", через сервер доступа практически без снижения производительности соединения
Идентификацию и аутентификацию пользователя
Работу под управлением ОС Windows 2000 /XP

АП может функционировать в одном из трех режимов:

Режим ожидания команды пользователя.
В данном режиме никакого преобразования трафика не происходит и пользователь может взаимодействовать с любым внешним узлом.

Инициализация соединения с СД и криптошлюзом "Континент".

Активный режим функционирования.
В данном режиме, после установления соединения с СД и получения разрешения на доступ в защищаемую сеть, весь трафик, передаваемый между АП и защищаемой сетью, шифруется по ГОСТ 28147-89. При этом, в зависимости от конфигурации АП, он может либо запрещать все незащищенные соединения (например, с сетью Internet), либо разрешать их.
После запроса на соединение СД проводит идентификацию и аутентификацию удаленного пользователя, определяет его уровень доступа к защищаемым сетям и личные правила фильтрации, устанавливаемый администратором "Континент". На основании этой информации осуществляет подключение абонента к ресурсам сети. СД позволяет осуществить практически неограниченное количество одновременных сеансов связи с удаленными пользователями. В системе используется аутентификация пользователей при помощи сертификатов открытых ключей .

Личный сертификат пользователя создается администратором безопасности с помощью программы управления СД. Личный сертификат пользователя экспортируется в файл в зашифрованном на пароле виде и выдается администратором СД пользователю. Также пользователю выдается сертификат СД. Имеется возможность создания запроса на получение сертификата и ключей посредством самого АП с последующей выдачей сертификата администратором СД.

Аутентификация пользователя при подключении к комплексу "Континент" осуществляется на открытых ключах. Схема реализована с применением сертификатов Х.509 . Установленное соединение шифруется на симметричных ключах в соответствии с ГОСТ 28147-89.