{%hackmd @themes/dracula %}
###### tags: `防火牆`
# 防火牆 10天 01/30-31 2/1-2,10,14,15
Alpha 星狀架構，Bravo邊際架構
站台 業界定要求30公里的距離，做備援，自然災害的距離
Secutity 一定要有時間地理的區隔
分散式安裝 > 好集中管控
Console 網路連 -> configuration 配置
Smart console -> Policy 政策 原則
soft blade 軟體功能

A-SMS-17 & A-GW-17 & B-GW-17，在BIOS裡面的時間都會晚8小時是正常的，用console ping 連IP會是標準時間。
==組態控制 比如 硬體 設定主機==
==規則控制(防火牆 路由) 比如 設定軟體==




分散式安裝 > 好集中管控
Console 網路連 -> configuration 配置
Smart console -> Policy 政策 原則
soft blade 軟刀片 ?
:::info
使用VMware workstation 15版本以上 ，
下載 防火牆 和 設定客體與主機作業系統之間的時間同步化(免費使用有期限)
:::

# Alpha site

# 新增A-SMS-17 規則服務器 check point軟體
==A-SMS-17 在這主要任務 Security Managment 安全管理==

用VMware workstation 新開虛擬機 iso Check_Point_R81.10_T335 命名A-SMS-17 4core 8GB 80GB

:::spoiler



:::
.

下載Gaia  帳密admin 1qaz@wsx 網路IP10.1.1.101 255.255.255.0 10.1.1.1

:::spoiler


:::
.

打帳密 成功登入

把它強制關機，time sync off要關閉

設定客體與主機作業系統之間的時間同步化
開啟A-SMS-17這位置檔案 更改裡面檔案文字
新增文字
time.synchronize.continue = "FALSE"

time.synchronize.restore = "FALSE"

time.synchronize.resume.disk = "FALSE"

time.synchronize.shrink = "FALSE"

time.synchronize.tools.startup = "FALSE"

移除wm上面的A-GW-17,在加進去A-GW-17 登入 show date show time

==開啟韌體中心看時間 更改標準時間==

==更改順位==

==加入LAN2==

# 新增 A-GUI-17 W2016 (GUI:圖形使用者介面)
==防火牆設定要經過console==

用VMware workstation 新開虛擬機  關防火牆
掛載iso Windows Server 2016_EN-US.ISO 命名A-GUI-17 
4core 8GB 60GB administrator 1qaz@wsx 
設定IP 10.1.1.201  255.255.255.0  10.1.1.1 DNS server 指向自己10.1.1.201 
安裝VMware tool 改電腦名稱 A-GUI-17

:::spoiler






先關機，開網路 拿到授權後，關掉網路
:::
.

設定客體與主機作業系統之間的時間同步化
開啟A-GUI-17這位置檔案 A-GUI-17.vmx 新增裡面檔案文字

time.synchronize.continue = "FALSE"  

time.synchronize.restore = "FALSE"  

time.synchronize.resume.disk = "FALSE"  

time.synchronize.shrink = "FALSE"  

time.synchronize.tools.startup = "FALSE"  


==調整時區 BIOS 和 Hard Drive順序 & W2016 調整時區==
:::spoiler

==W2016 調整時區==
:::
.

==關機 新增LAN 1-4 ，加入LAN2==

==關掉off ( IE增強安全配置，不關掉會一直跟你確認安全)==



==A-GUI-17 網頁連 https://10.1.1.101 帳密admin 1qaz@wsx 類似console的概念==





==DNS 指向自己(要看自己的流量)==


==分散式 集中管理 分別安裝Security Managment (安全管理)==

==用在smartconsole設定規則 的帳密==

==設定只能這個IP能登入 10.1.1.201(A-GUI)==

==管理規則的伺服器==
==記得誰先登入，後登入者會被鎖起來不能使用，如果後登入其他帳號，會踢掉前一個登入者==

==訊息設定==

==新增使用者 admin2==

## A-GUI-17 打halt關機 和 A-SMS-17關機 做建立snapshot2023/01/30(VM>Snapshot>Take Snapshot)

==新增角色IIS(網際網路資訊服務) +FTP server(實際是要分開管控)，新增FTP站台==

# 新增 A-GW-17 check point軟體 (GW:gateway)

用VMware workstation 新開虛擬機 
iso Check_Point_R81.10_T335 命名A-GW-17 4core 8GB 80GB 新增2張網卡都是hostonly

:::spoiler




:::
.

進入BIOS 查看時間 hard Driver順位排1，是否正確，登入畫面


網卡選第2張(通常第一張是對外)

gateway 先不要填(都連內網)

時間同步 找檔案位置A-GW-17 開文字檔 增加文字
time.synchronize.continue = "FALSE"  
time.synchronize.restore = "FALSE"  
time.synchronize.resume.disk = "FALSE"  
time.synchronize.shrink = "FALSE"  
time.synchronize.tools.startup = "FALSE"  

==設定網路卡 eth0 Lan1,eth1 Lan2,eth2 Lan3==

A-GUI-17 關掉防火牆 互ping IP 是否連的到 10.1.1.101 & 10.1.1.1

==A-GUI-17 網頁ping 10.1.1.1 (A-GW-17)==

==10.1.1.201才對==

==選擇 Gateway==

==一次性密碼 1qaz@wsx==


==設定 網卡 eth0 eth1 eth2==




線路回送


==Ipv4 Static Routes Defaaulte更改gateway 172.22.102.1==


==A-GUI-17 登出 A-GW-17退iso檔 建立snalshot點==

# 新增 A-DMZ-17 W2016

跟 A-GUI-17 安裝方式一樣 4core 8GB 60GB 掛載ISO檔，下載VMware Tool 調整時區 
開網路卡 要授權後 關掉網卡 關機，移除ISO檔 加入LAN3 開機調整時間的控制
設定IP 192.0.2.10/24 192.0.2.1 DNS 10.1.1.201 關防火牆
ping 自己 192.0.2.10 改電腦名稱 A-DMZ-17
新增角色功能 IIS & FTP(all)
IIS 新增站台 > 新增文字檔 text.txt > 開網頁ftp://192.0.2.10 關機建立Snapshot點



1qaz@wsx











# 新增 smart console app規則管控

A-GUI-17 web 10.1.1.101 下載smartconsole 登出


之前security management administrator 安全管理管理員 設定的帳密

fingerpoint 只能使用一次

只能用退出 exit

# Bravo site

# 新增 B-GW-17
check point軟體 (GW:gateway)

用VMware workstation 新開虛擬機 做法跟 A-GW-17一樣
iso Check_Point_R81.10_T335 命名B-GW-17 4core 8GB 80GB 新增1張網卡都是hostonly
選擇eth1 帳密 admin 1qaz@wsx 設定IP 10.2.2.1/24 開啟 設定客體與主機作業系統之間的時間同步化 eth0加入LAN1 eth1加入LAN4


# 新增 B-GUI-17

用VMware worksation W10  4core 8GB hostonly  60GB 掛接 W10 ISO
使用者B-GUI-17-User 1qaz@wsx 下載VMware tools 開網卡到NAT 拿授權 後改成hostonly 
設定時區 IP 10.2.2.201/24 10.2.2.1 DNS 10.2.2.201 電腦名稱 B-GUI-17 加入LAN4 設定客體與主機作業系統之間的時間同步 關防火牆


==B-GUI-17 網頁web 打10.2.2.1(B-BW-17)==
DNS 指向 10.1.1.201(A-GUI)

1qaz@wsx

==設定 internet ipv4 static Routes messages eth1換成eth0==







==B-GW-17 要ping的到 10.2.2.201(B-GUI)==

==A-GW-17 要ping的到 192.0.2.1(自己),ping 192.0.2.10(A-DMZ-17),
ping 10.1.1.1(自己),ping 10.1.1.101(A-SMS-17),ping 10.1.1.201(A-GUI-17)==

B-GUI-17 & B-GW-17 建立snakshop點

==新增IIS + FTP server (Win10)==

# A-GW-17 & B-GW-17 要手動移除規則包 黑名單 (A-GUI-17 才可以ping的到 10.1.1.1 )

# fw stat (防火牆的狀態)
# fw unloadlocal (移除規則包，因為POLICY > InitialPolicy，只要沒有新增規則包，重新開機後，還是會回到預設值InitialPolicy，
這樣 A-GUI-17 才可以ping的到10.1.1.1 A-GW-17)



# show interfaces
# show interface eth1 



# show route (C:直接連結到)


# netstat -rn 路由器位置和介面


# 專家模式
A-GW-17 & B-GW-17 & A-SMS-17 要建立專家模式 & 儲存組態

一開始開專家模式 要先設立密碼 1qaz@wsx
# set expert-password
# save config 儲存組態
# tcpdump -nni eth0 動態網卡流量



# A-GW-17 新增帳號 joe & jane， B-GW-17 新增帳號 joe2 jane2

# add user joe uid 200 homedir /hime/joe
# set user joe newpass 1qaz@wsx  新增密碼
# add rba user joe roles adminRole
# show users


用A-GUI-17 打10.1.1.1(A-GW-17) 連上新增 jane 1qaz@wsx


# 備份 A-GW-17 & B-GW-17 A-SMS-17

# add backup local


## 備份還原

# set backup restore loacl


# 建立還原點2 命名 組態設定完成

# 規則控制

:::info
Direct Trust 直接信任
1.one way
2.two way
A-SMS-17信任A-GUI-17(因為有埋暗樁)(one way)
:::

# SmartConsole 規則控制

A-GUI-17 開啟smartconsole  帳密cpadmin 1qaz@wsx  10.1.1.101 (A-SMS-17)
A-SMS-17 一開始設定的改變顏色為磚紅色(業界常用) 發佈



# 新增網路物件 Gateway A-GW-17

新增物件 Gateway > 選擇Classic Mode > 命名 A-GW-17,IP 172.21.101.1,顏色磚紅色,溝通 密碼Trust established > 發布




SIC one time password 
(如果有問題:
1.連線問題 A-GW-17 ping 10.1.1.1 & 172.21.101.1，A-DUI-17 ping 10.1.1.1是否正常，如果連線順利 那就是one time password的問題。
2.one time password問題 A-GW-17 打#cpconfig > choice 5 > 重新打密碼>打之前編輯的Discard>再重新新增gateway)



A-GW-17 gateway 寫入eth0 eth1 eth2 打描述狀態 > 發布




:::info
Indirect Trust 間接信任
1.Vertical
3rd Party
:::

# 新增網路物件 主機host

A-GUI-17 smartconsole 新增主機host 命名A-GUI-17 敘述 IP 10.1.201 顏色水藍色 發布


新增物件：Network Lan2.IP 10.1.1.0 發佈  
(總共有4個物件 A-SMS-17 A-GW-17 host(A-GUI-17) LAN2)


# 防火牆規則
:::info
Access Control 防火牆
Policy 規則。預設的規則 第一條Cleanup rule (白名單)放在最後面的規則，越精細放越前面，範圍越小放越前面
:::

新增Policy 新增3個規則
第一個規則 來源A-GUI-17 目的 A-GW-17 https(網頁加密協定) Action:Accecpt(接受動作)  Track:log(留下紀錄紀)
第二個規則 來源A-SMS-17 目的 A-GW-17 ssh(是走smartConsole協定)
第三個規則 來源全部人    目的 A-GW-17 Action:Drop(停止，排除在外 除了上面兩條規則，其他都不准過)
發布


新增 規則 定義LAN2網路通過(同意全部可以出去，但不同意其他人進來)
全域設定 > ICMP frist (第一時間接收到訊息)& log lmplied Rules
發佈



# 新增規則包 stardrad

先檢視語法是否有錯誤
A-GUI-17 smartconsole新增 規則包 Install Policy
確認 你設定的規則包是否正確(通過gateway的ip)
A-GUI-17 ping 192.0.2.1(A-GW-17) ping 192.0.2.10(A-DMZ-17) ping 172.21.101.1(A-GW-17)
A-SMS-17 ping 192.0.2.1(A-GW-17) ping 192.0.2.10(A-DMZ-17)
A-DMZ ping 10.1.1.1(A-GW-17) ping 10.1.1.101(A-SMS-17) ping 10.1.1.201(A-GUI-17)



# 看流量

A-GUI-17 可以連的到 http://192.0.2.10 ftp://192.0.2.10 (A-DMZ-17)


A-DMZ-17 連不到 http://10.1.1.201 ftp://10.1.1.201 (A-GUI-17)
就要看流量行為紀錄，看為什麼連不到。


# 新增網路物件 Gateway B-GW-17

A-GUI-17 smartconsole 到 A-SMS-17 
新增物件 Gateway  > 選擇Classic Mode > one time password
敘述eth0 & eth1的狀態
發佈


## 新增Policy 命名 Bravo_standard



直接copy Standard的規則做修改




## 新增Policy A-B_Combine



## 新增New Network 命名 Bravo-internal




新增標題 
Management Rules-Traffic 1-4
Management Rules-Gateway 5-7
Traffic Rules-Alpha Site 8-9
Traffic Rules_Bravo Site 10-11
Disable Rules 12-14
ClearUp Rules 15


Global properties > 新增 Accept ICMP requests & log lmplied Rules
發佈 > Intall Policy



以上規則設定完
A-GUI-17 要ping B-GUI-17的到http & ftp
B-GUI-17 要ping A-GUI-17的到http & ftp
A-DMZ-17 只能ping A-GUI-17的到http & ftp,ping不到B-GUI-17 http & ftp

2023.2.14 防火牆虛擬機時間 & windows虛擬機時間2/4

## 新增 host 命名 A-DMZ-17

A-GUI-17 smartconsole 10.1.1.101 
新增 host 命名 A-DMZ-17 IP 192.0.2.10 顏色水藍色 > 發布

## 新增 Neteork 命名 Alpha-DMZ

新增 Neteork 命名 Alpha-DMZ > 發布
設定完後 A-DMZ-17 就可以連到B-GUI-17 http & ftp


A-B_Combine 新增規則 命名 Web Traffic-DMZ
調整 Alpha Incoming Rule 改成http
     Bravo Incoming Rule 改成ftp



## NAT
用NAT原因:不想給外網的人知道真實IP，造成資安隱患，所以要設一個假IP給外網連，連到邊界，自己會轉成真實IP連到內網。

Extranet：廠商外部連入,非內網；位於內部,也非外網
藏網段裡與藏FW裡

用NAT將A-DMZ藏起來

NAT會將封包檔頭的Src與Dst位子換掉

A-DMZ-17 新增 NAT > Static(靜態)
172.21.101.10 (新增假位置，是給A-GW-17看的)
NAT 內容


## 新增Policy 命名A-B_Combine_NAT

把之前設定過的A-B_Combine 給Clone(複製) 命名A-B_Combine_NAT
調整規則 Alpha Outgoing Traffic rute 新增 A-DMZ-17
發布 > Insrall Policy

檢查A-GW-17 & B-GW-17 #fw stat 看policy 是不是 A-B_Combine_NAT
A-GW-17 & B-GW-17 ping 172.21.101.10(假IP)是否連線成功
A-GW-17 & B-GW-17 打http://172.21.101.10(假IP，會連到是因為有NAT轉成192.0.2.10) 
& ftp://172.21.101.10 都是否成功連上


A-SMS-17 設定NAT Static靜態 設172.21.101.101(假IP) Gateway >A-GW-17
Alpha-internal 設定NAT Hide 設172.21.101.77 (假IP) Gateway >A-GW-17
發布 > Verify Access Control policy > install policy

B-GW-17 ping 172.21.101.101
看log A-SMS-17(172.21.101.101) 由外網連




A-GUI-17 ping 10.2.2.201(B-GUI-17)
看log A-GUI-17 連到 10.2.2.201 會過防火牆A-GW-17 NAT會轉成172.21.101.77給外面看的假IP 


## 新增使用者帳號 客戶端驗證

新增user 命名 Testuser,顏色紅色,驗證方式check point password 1qaz@wsx
新增usergroup 命名 Client_auth

## 新增規則 命名A-B_Combine_NAT_Tel(clone A-B_Combine_NAT)

新增規則 Policy
命名 Client Auth Rule 
命名 Telent Auth Rule
新增規則 命名A-B_Combine_NAT_Tel(clone A-B_Combine_NAT)
發布> verify policy > install policy



B-GUI-17 新增 Telnet
cmd > telent
ping 172.21.101.1 259, 259port沒開
查看B-GW與A-GW都正常未擋，
明天接著查看服務端口




2023.2.15 防火牆虛擬機時間 & windows虛擬機時間2/5

## 新增 identify Awareness

A-GW-17 新增 identify Awareness


## 新增 Aceess Role


Disable Web Traffic-DMZ(之前的規則)
新增規則 在 Traffic Rules - Alpha Site
命名 Web Traffic-Restricted
13 Alpha Outgoing Traffic rute 刪掉A-DMZ-17
發布>Verify policy>install policy


A-GUI-17 先刪除瀏覽的歷史紀錄
連 192.0.2.10 會自動轉載到 172.21.101.1/connect，之後連就會直接進去



## 新增Policy 命名A-B_Combine_NAT_Tel_VPN

新增Policy > 命名A-B_Combine_NAT_Tel_VPN(clone A-B_Combine_NAT_Tel)
調整 Web Traffic-Restricted > Disable
調整 Web Traffic-DMZ enable
調整 Alpha Outgoing Traffic rute > 加A-DMZ-17
發布 > verify policy > install policy


## 新增 VPN 虛擬私人網路
==Site to Site 站對站，A-GW-17為主站==

A-GW-17 新增IPSecVPN,VPN Domain> Alpha-internal 
B-GW-17 新增IPSecVPN,VPN Domain> Bravo-internal


新增 VPN communities(VPN公共)> 星狀結構 命名 Alpha-Bravo-Star,
Center Gateway > A-GW-17 Satellite Gateway > B-GW-17
Advanced > Disable NAT


新增 policy 命名 VPN Traffic Rules
新增 title 命名 VPN Rules
發布 > verify policy > install policy



## putty

把putty加到 B-GW-17，開putty ssh 10.1.1.101 admin 1qaz@wsx
開wireshark 去看封包 濾TCP，看三向交握


A-GW-17 
#vpn tu 打7(刪除GW) > 172.22.102.1(B-GW-17)
# 1 (沒有資料)



B-GUI-17
putty 10.1.1.101(A-SMS-17)，這樣就會重新連線，取得資訊
A-GW-17
#vpn
# 1 (就會有資料)