- Implementácia VPN tunelov typu site-to-site pomocou rutiny cmdlets služby Azure a správa lokálnych brán.
- Automatizácia sieťovej bezpečnosti prostredníctvom modulu NetSecurity na vytváranie a úpravu pokročilých pravidiel firewallu.
- Konfigurácia bezpečnostných politík IPsec na zabezpečenie autentifikácie, šifrovania a izolácie domény v prostrediach Windows.
Problémy s grafickými rozhraniami pri konfigurácii sieťového zabezpečenia môžu byť poriadnou otravou. Preto je použitie PowerShellu najlepším rozhodnutím, aké môžete urobiť, pretože vám umožňuje automatizovať úlohy, ktoré by inak vyžadovali hodiny opakovaných kliknutí a náhodných chýb. Vysvetlíme vám to. Ako dotazovať a spravovať pravidlá IPsec pomocou PowerShellu.
Od vzniku VPN tunely v Azure Od implementácie politík izolácie domény, všetko, čo potrebujete vedieť, aby ste zaistili bezpečnosť svojej siete a nemuseli reštartovať notebooky pri každom nasadení bezpečnostného klienta.
Pripojenie VPN typu Site-to-Site v Azure pomocou PowerShellu
Keď potrebujeme prepojiť lokálnu sieť s virtuálnou sieťou (VNet) v Azure, najefektívnejším spôsobom je nastaviť... Pripojenie k VPN bráneAby to fungovalo, je nevyhnutné mať lokálne VPN zariadenie s verejnou IP adresou, ktorá je kompatibilná so štandardmi Azure a používa tunely IPsec/IKE (verzie 1 alebo 2).
Prvým krokom je definovať lokálna sieťová brána (LNG)Tu oznamujeme službe Azure IP adresu nášho zariadenia v kancelárii a rozsahy IP adries, ktoré naň majú smerovať. Ak máte jednu podsieť, príkaz New-AzLocalNetworkGateway Je to váš najlepší spojenec, ale ak ich máte k dispozícii viacero, môžete odovzdať zoznam prefixov v poli, aby bolo všetko správne prepojené.
Pre tých, ktorí hľadajú vysokú dostupnosť, je ideálne nakonfigurovať režim aktívny-aktívnyTo znamená, že budeme mať dve inštancie brány, každú s vlastnou verejnou IP adresou, čo zabráni prerušeniu pripojenia v prípade zlyhania jedného zo strojov. Po nakonfigurovaní fyzického zariadenia s spoločný kľúč, pokračujeme vo vytváraní virtuálneho pripojenia pomocou New-AzVirtualNetworkGatewayConnectiona uistite sa, že typ pripojenia je striktne IPsec.
Ak musíte spravovať zložité prostredia, kde sa nachádzajú lokálne a virtuálne siete rôzne predplatné alebo nájomníciNebojte sa. Stačí sa prihlásiť každému nájomníkovi samostatne pomocou Connect-AzAccount a pred spustením príkazu link vyberte príslušné predplatné.
Pokročilá správa brány firewall systému Windows
Zabudnite na staré príkazy netshDnes je dôležitý modul. NetSecurity de PowerShellTento modul nám umožňuje ovládať tri profily firewallu: doménový, súkromný a verejný. Je dôležité pochopiť, že firewall systému Windows štandardne blokuje všetku prichádzajúcu prevádzku, ktorá nie je povolená, zatiaľ čo odchádzajúca prevádzka prúdi voľne, pokiaľ ju nezablokujeme.
Ak chcete povoliť alebo zakázať ochranu vo všetkých profiloch, použite cmdlet Set-NetFirewallProfile Je to kľúčový nástroj. Ak chcete byť presnejší, môžete vypnúť ochranu len pre jeden. špecifické sieťové rozhranieVďaka tomu sa počas testovania nezablokujete zo servera.
Pokiaľ ide o vytváranie pravidiel, New-NetFirewallRule Umožňuje nám definovať všetko: od lokálneho portu a protokolu TCP/UDP až po vzdialenú IP adresu. Veľmi užitočnou technikou, ako sa vyhnúť zápisu IP adries jednu po druhej, je vytvorenie textový súbor so všetkými povolenými adresami a načítať ich do premennej pomocou Get-Contentčím sa hromadné pravidlo použije v jednom kroku.
Ak potrebujete upraviť existujúce pravidlo, nemusíte ho odstrániť a začať odznova. Môžeme použiť filtre portov alebo aplikácií nájsť presné pravidlo a potom použiť zmeny pomocou Set-NetFirewallRuleNapríklad, ak chceme zmeniť cieľovú IP adresu pravidla webového prístupu, filtrujeme podľa portu 80 a aktualizujeme vzdialenú adresu.
Implementácia IPsec a bezpečnostných politík
IPsec ide o krok ďalej ako jednoduchý firewall, pretože sa zaoberá... autentifikácia a šifrovanie údajov. Bezpečnostná politika IPsec definuje, ako sa pakety budú správať: či sa vyžaduje autentifikácia, či má byť obsah šifrovaný a aké hašovacie (napríklad SHA256) alebo šifrovacie (napríklad AES-256) algoritmy sa použijú.
Existujú dva hlavné režimy zapuzdrenia: transportný režim, ideálny pre komunikáciu medzi koncovými bodmi, a tunelový režimčo je štandard pre VPN, kde je celý pôvodný paket zapuzdrený v novom pakete, ktorý sa potom prenáša cez verejnú sieť.
Jednou z najsilnejších funkcií je izolácia doményTo znamená, že každé zariadenie, ktoré chce komunikovať v rámci podnikovej siete, musí preukázať svoju identitu. Pomocou pravidiel, ktoré vyžadujú overenie Kerberos, môžeme zariadenia, ktoré nie sú pripojené k doméne, zneviditeľniť alebo im automaticky odoprieť prístup.
Aby sme zvýšili bezpečnosť na maximum, môžeme implementovať izolácia serveraTu nielenže vyžadujeme, aby bol počítač v doméne, ale tiež obmedzujeme prístup na konkrétne skupiny používateľov pomocou reťazcov. SDDL (jazyk definície bezpečnostného deskriptora)Takto by napríklad k databázovému serveru mali prístup iba oprávnení administrátori a všetka prevádzka by bola povinne šifrovaná.
Manažérske triky a riešenie problémov
Pri práci so skriptami na nasadenie je veľmi bežné, že príkaz zlyhá, pretože pravidlo, ktoré sa pokúšate odstrániť, neexistuje. Ak chcete zabrániť ukončeniu skriptu s dôraznou červenou chybou, použite parameter -ErrorAction SilentlyContinueVďaka tomu bude PowerShell ignorovať zlyhanie a pokračovať v ďalšej inštrukcii.
Ak potrebujete klonovať konfiguráciu zabezpečenia z jedného servera na druhý, môžete na to použiť konzolu rozšíreného zabezpečenia Exportujte politiku vo formáte .WFW Alebo ešte lepšie, použite Copy-NetIPsecRule na presun konkrétnych pravidiel medzi rôznymi úložiskami skupinových politík (GPO).
Na monitorovanie funkčnosti všetkého je k dispozícii cmdlet Get-NetFirewallRule v kombinácii s Format-Table Vďaka tomu na prvý pohľad vidíme, ktoré porty sú otvorené a ktoré IP adresy sú povolené. Ak máte podozrenie, že pravidlo GPO prepisuje vašu lokálnu konfiguráciu, parameter -TracePolicyStore Presne ti to povie z ktorého GPO to pochádza pravidlo, ktoré ovplyvňuje systém.
Zvládnutie týchto nástrojov vám umožňuje transformovať zraniteľnú sieť na bezpečné a automatizované prostredie. Od správy VPN tunelov v cloude až po podrobné riadenie prevádzky pomocou IPsec a lokálneho firewallu, používanie skriptov eliminuje ľudské chyby a zaisťuje konzistentnú bezpečnosť na všetkých počítačoch v organizácii.
Redaktor špecializovaný na problematiku technológií a internetu s viac ako desaťročnými skúsenosťami v rôznych digitálnych médiách. Pracoval som ako redaktor a tvorca obsahu pre e-commerce, komunikáciu, online marketing a reklamné spoločnosti. Písal som aj na ekonomické, finančné a iné sektorové weby. Moja práca je zároveň mojou vášňou. Teraz prostredníctvom mojich článkov v Tecnobits, snažím sa každý deň preskúmať všetky novinky a nové možnosti, ktoré nám svet technológií ponúka na zlepšenie nášho života.