3.11 Переход на UserGate NGFW

Технологию зеркалирования портов коммутатора можно использовать для проверки переноса сервисов и трафика с существующего межсетевого экрана (МЭ) на UserGate NGFW. Для этого необходимо продублировать правила существующего МЭ на МЭ UserGate и перевести копию трафика на МЭ UserGate.

image424

В соответствии с представленной схемой UserGate NGFW принимает копию трафика, который поступает и обрабатывается существующим межсетевым экраном, работающим в штатном режиме. UserGate NGFW обрабатывает копию трафика, но коммутаторы не принимают (порты Gi0/3) трафик от UserGate NGFW.

Примечание

При выполнении данных настроек рекомендуется включить журналирование срабатываний правил и на используемом МЭ, и на UserGate NGFW для возможности последующего анализа корректности обработки трафика. На МЭ UserGate необходимо включить журналирование начала сессии.

Для корректного перехода на UserGate NGFW необходимо произвести следующие настройки:

  1. На UserGate NGFW:

    • в разделе Сеть --> Интерфейсы произвести настройку интерфейсов, указав IP и MAC-адреса, идентичные адресам интерфейсов используемого МЭ;

    • произвести настройки политик: продублировать правила существующего МЭ на UserGate. Перенос правил может быть выполнен вручную или с использованием скриптов (доступно не для всех вендоров; обратитесь в техническую поддержку UserGate для уточнения информации). Включить журналирование правил.

  2. На обоих коммутаторах включить зеркалирование входящего трафика (порт Gi0/2) в сторону UserGate NGFW (порт Gi0/3). Для настройки зеркалирования портов обратитесь к соответствующей документации производителя вашего оборудования.

  3. После настройки произвести анализ журналов работы используемого МЭ и МЭ UserGate.

Примечание

В такой конфигурации доступна только проверка работы модулей СОВ и L7; анализ корректности обработки трафика правилами инспектирования SSL и контентной фильтрации невозможен.

В случае совпадения записей журналов принимается решение о корректности настройки UserGate NGFW. Далее возможен перенос реального трафика на порты UserGate через физическую коммутацию портов или настройки коммутаторов.