Безопасность
тестирование
Визитка Сергей Яремчук, фрилансер. Автор более 800 статей и шести книг. С «СА» с первого номера. Интересы: сетевые технологии, защита информации, свободные ОС
Знакомимся со StoneGate SSL VPN Решения StoneGate SSL VPN позволяет легко организовать защищенный удаленный доступ клиентам к внутренним ресурсам. Для подключения понадобится обычный веб-браузер
Сегодня все больше сотрудников работают за пределами корпоративной сети и требуют оперативного и, главное, безопасного доступа к данным, которое обычно решается при помощи виртуальной частной сети (VPN, Virtual Private Network). Традиционными протоколами здесь являются IPSec, PPTP и OpenVPN. При этом во время выбора конкретного решения VPN необходимо учитывать ряд факторов: >> необходимость установки агента на клиентский ПК; >> блокировку нестандартных портов провайдером; >> возможность работы из-за NAT; >> и другие. Именно поэтому сегодня все более популярны решения для организации VPN, базирующиеся на SSL и использующие стандартный порт (как правило, 443). Они обеспечивают требуемую безопасность и одновременно являются простыми в эксплуатации. Все настройки производятся на серверной стороне, пользователю не требуется устанавливать и настраивать клиентское ПО. Одним из популярных решений является StoneGate SSL VPN [1], реализованный как в виде аппаратных устройств нескольких модификаций, поддерживающих от 10 до 15000 соединений, так и в виде OVF x64-образа, который можно запустить в любой современной виртуальной машине (продукт имеет статус VMware Ready).
Возможности StoneGate SSL VPN Сервер StoneGate SSL VPN выступает в роли своеобразного прокси между клиентом и сервисом, к которому необходимо подключиться, обеспечивая аутентификацию, контроль состояния устройства и шифрование. Принцип работы очень прост. Пользователь для доступа к корпоративным ресурсам запускает веб-браузер, подключается к порталу и выбирает способ аутентификации. После проверки учетных данных пользователю остается только подключиться к требуемому ресурсу, просто выбрав значок, причем в списке показываются только разрешенные. Это может быть веб-сервис, запуск определенных приложений на локальной системе, поддерживается синхро-
42
низация устройств посредством Microsoft Active Sync, есть передача видео и голоса. Если приложение сложное и требует туннелирование трафика, то в браузере потребуется поддержка технологий Java или ActiveX. Тогда после выбора значка приложения будет загружен агент, который и обеспечит создание туннеля для приложения. Какое-либо особое обучение сотрудника не требуется, он общается с обычным веб-порталом, все происходит прозрачно для пользователя. Установки и политики настраиваются и применяются автоматически на шлюзе, в том числе администратор публикует доступные ресурсы. Сервер StoneGate при этом является единой точкой доступа ко всем приложениям, обеспечивая, в том числе, и однократную аутентификацию (SSO) избавляя пользователя от необходимости каждый раз вводить пароль для регистрации. Подключение производится по 443 порту, которое используется для защищенного входа на веб-сайты, а поэтому не блокируется провайдерами. По умолчанию шифруется только подключение между клиентом и сервером StoneGate, трафик между StoneGate и самим сервисом остается открытым, но возможность его шифрования предусмотрена. Поддерживаются более 20 методов аутентификации, в том числе при помощи сертификатов, смарт-карт и одноразового пароля. Для реализации OTP используются SMS-сообщение или специальный клиент StoneGate SSL VPN MobileID Client, доступный для всех популярных платформ iOS/OS X, Android, Windows/WinPhone, Linux, Java ME и других. Расширенные политики паролей позволяют устанавливать нужный уровень сложности. Ввод учетных данных можно произвести при помощи веб-клавиатуры, это поможет избежать перехвата программой кейлогером. Доступ также может быть предоставлен или запрещен на основе: IP-адреса клиента, устройства, метода аутентификации, дате и времени, членстве в группе. Еще один важный момент. При подключении и в процессе работы производится анализ удаленной системы, позволяя выполнить принятые политики безопасности (уста-
апрель 2013 системный администратор
тестирование новлен и активен антивирус и брандмауэр, тип устройства и его состав, сетевые настройки, запущенные процессы и открытые порты и т.д.). Администратор может использовать скрипты, выполняющие дополнительные проверки. В результате всех факторов пользователю предоставляется полный или ограниченный доступ. Например, при работе на неизвестном компьютере с неработающим антивирусом может быть запрещена передача файлов и подключение к особо охраняемым сервисам. Предусмотрено принудительное удаление всех данных по окончании сессии (временных файлов, истории, кэша, документов и т.д.), позволяя сохранить конфиденциальность. Управление учетными записями упрощается за счет интеграции с LDAP-сервисами, включая Active Directory, полный список серверов приведен в документации. Сам StoneGate SSL VPN поставляется с встроенным LDAP-сервером OpenDJ. Продукт легко масштабируется, предусмотрена возможность автономной работы или работы в кластере. В этом случае один сервер играет роль основного. Реализовано простое резервирование и восстановление настроек, управление сертификатами, обновление, аудит и многое другое. Все настройки производятся при помощи веб-браузера (Web Console) или Stonesoft Management Center, используемого для централизованного управления несколькими устройствами и поставляемого как отдельное приложение (для Linux или Windows). Продукт ориентирован на организации разного уровня, в том числе и требующих особых мер безопасности, и обладает сертификатами ФСБ и ФСТЭК России. В частности, StoneGate SSL VPN имеет сертификат, удостоверяющий соответствие требованиям ФСБ России к СКЗИ класса КС1 и КС2 для криптографической защиты информации, не содержащей сведений, составляющих государственную тайну. Лицензируется по количеству одновременно подключенных пользователей.
Знакомимся ближе Наличие образа для виртуальной машины позволяет легко протестировать StoneGate SSL VPN или быстро развернуть Рисунок 1. Настройка сетевых интерфейсов к консоли StoneGate SSL VPN
системный администратор апрель 2013
Безопасность VPN на имеющемся оборудовании, не ожидая поставки устройства. Возможности по количеству соединений в этом случае полностью зависят от мощности компьютера. В настоящее время актуальной является версия 1.5.200, ее и будем дальше рассматривать. Процесс получения образа тривиален. Вначале необходимо зарегистрироваться, указав рабочий почтовый ящик, на который придет ключ, после чего номер ключа указываем в форме для закачки, затем откроются нужные ссылки. После запуска виртуальной машины потребуется указать сетевые настройки для интерфейса конфигурирования, имя узла, установить пароль root и веб-администратора (admin, по умолчанию Pass1234) и активировать SSH. Остальное можно задать уже в веб-консоли, которая доступна на 10000 порту (например, https://192.168.1.100:10000/). Настроек немного, они разбиты на группы, назначение которых понятно и без перевода. Последовательность действий хорошо расписана в руководстве, от администратора не требуется правка конфигурационных файлов, следует просто внимательно заполнить предложенные поля. После загрузки активны только два сетевых интерефейса (LAN eth0 и lo), поэтому первым шагом необходимо добавить остальные сетевые интерфейсы, прописав имя и параметры, разрешив активацию при загрузке, затем настроить маршрутизацию, сгенерировать сертификат и активировать сервисы. При наличии Stonesoft Management Center подключение к нему настраивается в «Initial contact». Остальные настройки производятся в Stonesoft SSL VPN Administrator, который слушает на 8443 порту. Именно здесь подключается файл лицензии, прописываются правила доступа и настраиваются ресурсы. *** На поверку StoneGate SSL VPN - это больше чем средство организации безопасного доступа к сети. Его возможности на порядок больше и позволяют контролировать состояние устройства, определять правила доступа и метод аутентификации, обеспечивать SSO. При этом настройки гораздо проще, чем другие системы для организации VPN. ADV 1. Сайт StoneSoft – http://ssl.stonesoft.ru.
Рисунок 2. Настройки параметров доступа и публикация сервисов производится в Stonesoft SSL VPN Administrator
43