# 環境說明

172.20.10.x Management 可用 IP : 172.20.10.100-172.20.10.199 GW:172.20.10.10
172.20.11.x Firewall-Ext 可用 IP : 172.20.11.100-172.20.11.199 GW:172.20.11.10
172.20.12.x Client-Int 可用 IP : 172.20.12.100-172.20.12.199
172.20.13.x Heartbeat可用 IP : 172.20.13.100-172.20.13.199

---
# Lab1
## Lab1.1 安裝一台SMS
### GAIA安裝
點選桌面瀏覽器,選取書籤host-client進入ESXi介面
帳號密碼
root/VMware1!
右鍵點選虛擬機器->建立/登錄虛擬機器
選擇建立新的虛擬機器
輸入名稱與系統資訊
輸入資訊如下
* 名稱:CP-SMS
* 相容性:ESXi 8.0虛擬機器
* 客體作業系統系列:Linux
* 客體作業系統版本:其他6.x或更新版本的Linux(64位元)


選取儲存區->下一步

CPU:4core
RAM:8G
HDD:200GB
SCSI控制器:LSI Logic Parallel
網路介面卡:Management
CD/DVD光碟機:資料存放區->ISOs->Check_Point_R81.20_T631.iso

選取第二個頁籤 虛擬開機選項 並將啟用UEFI安全開機反勾選

最後檢查設定->完成

開啟電源 ->在新視窗中點擊主控台

完成後點選虛擬機器 選取剛剛的CP-SMS 開始安裝作業
警告開始安裝作業按下Enter
要求選擇語系 按下Enter
設定磁區 按下Enter
輸入自定義密碼 以P@ssw0rd為例
下一個是Maintenance mode密碼 以P@ssw0rd為例

設定管理機介面使用的IP
設定內容如下
IP address 172.20.10.100
Netmask 255.255.255.0
Default gateway 172.20.10.101


下一步會警告要開始安裝->選擇ok

這個畫面按下Enter手動離開

### WEB初始化

這邊會需要等一些時間,完成安裝步驟後
打開Web瀏覽器 輸入
https://172.20.10.100

首次進入頁面會出現憑證警告,按下advanced - Process to 172.20.10.100

輸入帳號密碼登入 開始First Wizard

進入First Time Configuration 按Next
設定Deployment Options Continue with R81.20 configuration
設定介面IP 直接Next
設定Device Information 資訊如下
* Host Name/CP-SMS
* Primary DNS Server/172.20.10.10

設定時區
設定Installation Type
選擇Security Management
Gatewaye記得反勾選
設定admin
設定GUI Client
按下Finish
按下Yes
等設備重開

## Lab 1.2 安裝兩台GW
### GAIA安裝
新建兩台GW-右鍵點選建立/登陸虛擬機器


建立新的虛擬機器


輸入設備資訊兩台分別
* 名稱:**CP-SG1/CP-SG2**
* 相容性:ESXi 8.0
* 客體作業系統系列:Linux
* 客體作業系統版本:其他6.x或更新版本的Linux(64位元)

選取儲存區 ->下一步
設定虛擬機器 注意新增網路介面卡 共四張
CPU/4core
RAM/8G
HDD/100GB
SCSI控制器/LSI Logic Parallel
網路介面卡/Management
網路介面卡/Firewall-Ext
網路介面卡/Client-Int
網路介面卡/Heartbeat
CD/DVD光碟機/資料存放區 -> ISOs ->Check_Point_R81.20_T631.iso

選取第二個頁籤 虛擬開機選項 並將啟用UEFI安全開機反勾選
完成設定
點擊主控台->開啟瀏覽器主控台
將設備開機並進入安裝畫面
選擇語系
設定partition
注意System-root
調整為19G
log為20

輸入密碼 以P@ssw0rd為例
輸入Maintenance Mode密碼 以P@ssw0rd為例
設定Interface 選擇eth0 剩下的後續再進行設定
設定資訊如下 兩台分別
IP address:**172.20.10.101/172.20.10.102**
Netmask:255.255.255.0
Default Gateway:172.20.10.10
開始進行安裝
完成後OK按下Enter

### WEB初始化

這邊會需要等一些時間,完成安裝步驟後
打開web瀏覽器 輸入
https://172.20.10.101/102


進入First Time Configuration 按Next
設定Deployment Options Continue with R81.20 configuration

設定介面IP 直接Next
其他介面最後一起設定,這邊先下一步


設定Device Information 資訊如下
* Host Name:CP-SG1/CP-SG2
* Primary DNS Server/172.20.10.10

設定時區
設定Installation Type
選擇Security Gateway
DAIP可以先跳過,按Next

Gateway需要輸入SIC,這邊以1234為例

按下Finish -> Yes

等設備重開

重新回到WebUI 設定Network Interface 點選未設定的interface 按下edit
設定介面資訊 勾選Enable 並輸入對應IP

最終結果如下圖 SG1設定101 SG2設定102
注意link status是否為綠燈
點到IPv4 Static Routes 設定default Gateway
Default Gateway 172.20.11.10

最後CP-SG2重複執行一次上述動作並注意修改IP

## Lab 1.3管理機納管GW

回到桌面開啟SmartConsole 輸入帳密後Login
第一次登入會有一個fingerprint確認,確認後按下proceed
於第一個GateWay& Services選擇新增->Gateway
選擇Wizard Mode
輸入要納管的GW資訊
Gateway Name:CP-SG1/CP-SG2
Gateway platform: Open server
IP address: CP-SG1 172.20.10.101/CP-SG2 172.20.10.102
輸入前面設定的SIC 1234

按下Next 若沒問題就可以get topology 並按下Finsh

第二台重複一次,並確保完成後會看到SMS/CP-SG1/CP-SG2
並按下Publish
完成後進行第一次的install policy
按下install

# Lab2
## Lab 2.1 設定NAT Rule
點選右側object 設定Network Object
建立外腳物件與內腳物件 參考架構圖
External:172.20.11.0/24
Internal:172.20.12.0/24


點選第二個NAT介面
勾選 add automatic address translation rules
選擇Hide behind Gateway後按下OK

轉到NAT Rule相關頁面,可以看到剛剛設定好的Rule自動出現在Policy內

## Lab 2.2 網路測試
回到VM ESXi
點開Window10 Client IP:172.20.12.150
測試ping Gateway內腳172.20.12.101
測試ping 外部IP 8.8.8.8
此時發現不通

## Lab 2.3 設定Access Policy
for lab測試 點選第二個頁面Security Policies 將預設Rule改成ANY ANY Accept

按下Install Policy
publish & Install

按下Install

左下角點開Detail可以看到目前Install狀態

完成後回到第一個Gateway & Servers 確認均處於綠色勾勾狀態

回到VM ESXi
點開Window10 Client
測試ping 外部IP 8.8.8.8

# Lab3
## Lab3.1 License更新
回到SmartConsole 左上角 點開Manage licenses and packages

會出現一個提示視窗 按下OK

會開啟SmartUpdate介面

匯入license 點選 左上角 License & Contracts -> add License -> From File
選取桌面的License資料夾 分兩次選取CPlicense

選取成功後 會出現提示訊息
點到第二個頁籤Licenses & Contracts 會注意到SMS已經綁定IP出現紅色的trail license
右鍵點選其中一台GW 選擇Attach Licenses
會出現unattach的license在上面
完成後注意到GW上也出現紅色的trial key

重複執行一遍確認兩個GW都有license
最終呈現畫面如下
## Lab3.2 update contract
完成License後點選license&Contracts -> Update Contracts -> From File
選取剛剛license資料夾內的ServiceContract.xml 按下Open
完成後會注意到最後一排Has Contracts 變成Yes

## Lab3.3 更新DA&hotfix
開啟瀏覽器並輸入IP進入WebUI管理介面,左側選單拉到最下面選擇CPUSE的Status and Actions
點選圖片中的Showing Recommended packages改成All
手動更新Depoly Agent 按下Install DA -> 按下Browse
選取Downloads裡面的DeploymentAgent

按下Install
手動更新hotfix 首先import hotfix package
選取Import Packages -> Browse
選取Downloads裡面的JUMBO_HF_MAIN_Bundle
按下Import 這裡會需要一點時間
完成後會出現Downloaded Successful 在上面點選右鍵 Verify Update 做檢查
檢查OK
右鍵點選Install Update
更新Hotfix會重開 故建議安排在維護時間進行

# Lab4

## Lab4.1 啟用Access Policy
回到Gateways & Services點選SG1/SG2,並將Application Control & URL Filter勾選
系統會跳出一個畫面詢問是不是內腳IP 按下Yes

切換到Security Policies 右鍵點選Policy -> Edit Policy
點選後按下Edit Layer
勾選Application & URL filtering 讓這層Policy開啟功能
完成後Publish & Install
測試設定以下幾條Policy

第一條不允許source:172.20.12.0/24使用Youtube、Facebook，Drop要使用Blocked Message
第二條不允許source:172.20.12.0/24使用icmp
第三條允許source:172.20.12.0/24到任何地方
第四條不允許其他所有traffic
記得Track要更改為Log，才會有紀錄
另外點選More -> 選到Detail Log 才可以看到application log細項

記得要publish後install policy
回到Window10 測試ping
開啟win10的瀏覽器 測試facebook youtube

## Lab4.2 使用Log&Monitor檢視事件
點選Logs&Monitor -> log

於上方Search Bar篩選Facebook 檢查剛剛被drop掉的紀錄
也可以透過預設的queries 搜尋 application control 上方會帶入參數blade:"application control"

回到Policy 設定一筆 Social Networking 並設定Extended log
Install Policy
回到Win10 測試其他網站,測試 Youtube Twitter

檢視Log 會看到 分別Accept與Drop

# Lab5
## Lab5.1 設定Inline Layer
設定Address Range
分別包含下面兩個網段
172.20.12.1~ 172.20.12.127和172.20.12.128~172.20.12.254

刪除所有Rule
建立兩條rule分別是來源172.20.12.1-127和172.20.12.128-254允許到任何地方
建立第三條rule允許任何人連到CP-SMS、CP-SG1、CP-SG2
建立第四條deny all rule
Publish、install policy
Install policy之後，client要能連線管理 和 連到internet
並設定section title
第一筆分類為Stealth Rule
二三筆為Social Network
最後一筆分類為Cleanup Rule

滑鼠右鍵點選第2條rule的Action欄位，選擇Inline Layer > New layer

輸入Rule Name，勾選Applications & URL Filtering，點選OK
可以注意到此時出現了.1Rule
修改Rule1的inline rule
1.1 阻擋facebook，Track為Detailed Log
1.2 允許Social Networking，Track為Detailed Log
1.3 允許其他所有traffic，Track為Log


同樣方式 新增 修改Rule2的inline rule
2.1阻擋YouTube，Track為Detailed Log
2.2允許Social Networking，Track為Detailed Log
2.3允許其他所有traffic，Track為Log
調整完畢記得publish再install policy

測試原有IP172.20.12.150,可以連上FB,不能連YT
修改本機IP到172.20.12.110
可以連YT,不能連FB

172.20.12.110能看到阻擋facebook連線事件
是因為Policy終止對Social Networking做log
Youtube為Media Steam沒有做log和允許其他連線的Track不是Detailed Log
所以沒事件資料

## Lab5.2 設定Order Layer Policy
移除所有Access Rule

新增第一條允許172.20.12.0/24到CP-SMS,CP-SG1,CP-SG2，Track為Log
新增第二條 阻擋172.20.12.0/24的icmp，Track為Log
新增第三條允許其他http、https、icmp、dns封包，Track為Log
新增第四條阻擋其他所有封包，Track為Log
開始新增Order Layer Policy
滑鼠右鍵點選Access Control > Policy，選擇Edit Policy
點選Edit Layer
取消勾選Applications & URL Filtering，點OK
點選Access Control的 + 然後點選New Layer
輸入此Order Layer Name : App Layer，再勾選Applications & URL Filtering，點選OK
此時可看到Access Control有兩條Policy分別為Network和App Layer，點選OK
點選App Layer開始新增application control rule
新增第一條 阻擋Facebook，Track為Detailed Log
新增第二條 允許Social Networking、Media Stream，Track為Detailed Log
新增第三條允許其他所有，Track為Detailed Log
Publish在install policy
Client不能連facebook，可以連youtube
在LOGS & MONITOR中可看到事件紀錄
點選阻擋facebook的事件，可再詳細內容裡的Matched Rules看到觸發那一個Layer的哪一條rule
測試Dropbox App Layer的Track為Detailed Log，所以有紀錄Dropbox資訊
## Lab5.3 建立第二個管理者同時並登入修改設定
切換到MANAGE & SETTINGS > Permissions & Administrator，點選新增

設定User名稱為Metaage
Authentication Method:Check Point Password
Set New Password
Permission:Super User
點選左上角Install Database
按下Install 然後Publish&Install
開一個新的SmartConsole並使用Metaage帳號登入
會看到admin/Metaage是同時登入的

此時使用Metaage的SmatConsole修改一條rule，可在admin的SmartConsole看到同一條rule是被鎖定的，且是未修改的狀態
當admin做的publish後該條rule會解除鎖定，admin才可以看到Metaage修改後的內容
請注意，publish只是把修改退送給所有連線的管理者SmartConsole
還是要執行install policy後，新的設定在防火牆才會生效