Check Point NGFW [Lab 04 I]: Cấu hình Policy cơ bản trên Firewall

Từ các lý thuyết về Next Generation Firewall, bài Lab này sẽ hướng dẫn cách triển khai Firewall CheckPoint trên môi trường Pnetlab và cấu hình các Policy cơ bản của CheckPoint

Nội dung

1. Cấu hình các Policy cơ bản của CheckPoint

Mục tiêu: cấu hình NAT trên CheckPoint sao cho VPC4 và VPC5 ra được Internet, chặn Ping từ VPC4 đến Win

• Trên CheckPoint, Network Management > Network Interfaces, cấu hình IP cho các Port, đối với port eth1 (kết nối với Internet) thì cấu hình DHCP

• Cấu hình Default Route trên CheckPoint để có thể ra ngoài Internet, Network Management > IPv4 Static Routes

• Với Destination Address là Default > Edit, đặt Gateway của Default Route là 10.120.170.250 > Save

• Kiểm tra bảng định tuyến trên Console của CheckPoint

• Ping đến 8.8.8.8 để kiểm tra

• Trên Smart Console, cấu hình Policy cho VPC4 trong LAN có thể đi được Internet (còn các VPC khác thì không), Security & Policy > Access Control > Policy. Sau đó chọn Network Objects > Hosts > Chuột phải > New Hosts ​

• Tạo Rule mới bằng chuột phải > New Rule > Above/Below

• Đặt tên cho Rule, chọn Source là VPC4, Destination là Any, VPN là Any, Action là Accept

• Sau khi tạo Rule thành công, trên góc trái màn hình > Install Policy

• Thêm Description (nếu cần) > Publish & Install

• Thực hiện chặn hành động Ping từ VPC4 -> Win 11 DEV​

Quy tắc đặt rule trên Firewall: Vì thứ tự xử lý rule của Firewall là từ trên xuống dưới, tức là rule nào nằm ở trên (ID thấp hơn) thì rule đó sẽ xử lý trước. Do đó, hãy cấu hình các rule có tính chất cụ thể (specific) lên trên còn các rule mang tính khái quát (general) xuống xử lý dưới. Vì trên ví dụ đã cấu hình cho Rule VPC4 đi Internet với Destination là Any -> là một rule mang tính general. Do đó, rule chặn hành động ping từ VPC 4 đến máy Win 11 DEV mang tính specific nên sẽ cấu hình trên rule general.

• Tạo Object VPC4: Objects -> New Host

• Tương tự, tạo Object Win 11 DEV

• Tạo Rule mới -> Source là VPC4 -> Destination là Win11 -> Services & Application là echo-request và echo-reply -> Action là Drop

• Sau khi tạo rule xong, Install Policy và kiểm tra kết quả bằng cách ping từ VPC4 đến Win 11 DEV

Trên đây là bài lab cấu hình các Policy cơ bản của CheckPoint. Chúc các bạn thành công!

Cho mình hỏi nếu trong trường hợp nếu chỉ chặn gói Echo-reply thì chuyện gì sẽ xảy ra?

HanaLink nói:

Cho mình hỏi nếu trong trường hợp nếu chỉ chặn gói Echo-reply thì chuyện gì sẽ xảy ra?

Nhấn để mở rộng...

Trong trường hợp nếu chỉ chặn gói EchoReply thì bên phía VPC4 chỉ gửi được yêu cầu ping đến máy Win, nhưng không nhận về được câu trả lời (tức là bên Win11 phản hồi lại yêu cầu ping của VPC4 và đến CheckPoint bị drop). Kết quả là timeout vì không nhận được gói EchoReply từ Win11