Endian是一款開源整合型威脅管理(UTM)系統,內建Firewall與Proxy功能,也提供病毒防治、入侵偵測(IPS)、網站連線篩選(WebFilter)、VPN以及LDAP身分驗證等等的進階安全控管機制,延續上集的基礎設置介紹,本文將說明其他的進階操作。
上集文章已經詳細介紹Endian UTM多用途防火牆,說明如何下載及安裝Endian Firewall Community(EFW),而安裝完成後怎樣進行系統初始化設置,並提醒管理員首次登入時的注意事項,也示範了基礎防火牆功能的管理。接下來,將講解其他更為進階的功能操作。
使用HTTP Proxy功能
對於企業用戶端在Internet的連線使用,影響資訊安全最大的禍源,莫過於Email以及Web的存取。前者可以透過EFW所內建的AntiSpam與Antivirus來加以防治。至於在Internet網站的連線存取,除了要有必備的病毒防治措施外(包括EFW與用戶端),更積極的做法是強制用戶端必須透過HTTP Proxy服務來連線Internet網站,而它也是所有Proxy服務最重要的一個。
在開始設置HTTP Proxy服務之前,如圖1所示,建議先到Antivirus Engine頁面中查看有關於防毒引擎的啟動狀態。在此有兩項重點必須注意,第一是決定壓縮檔的處理方式,第二則是設定防毒程式的更新週期。
確認過Antivirus Engine的設置後,就可以開啟HTTP Proxy頁面。如圖2所示,在此先決定Proxy服務所要使用的Port(預設=8080),再選擇當連線發生錯誤時,頁面訊息所要使用的語言。接著,設定透過Proxy連線時所允許下載與上傳的檔案大小。
HTTP Proxy功能除了更加保護用戶端的上網安全外,也可以加速連線網站時的速度,因為它有一項重要的Cache管理功能。如圖3所示,在「Cache management」頁面中,可以分別設定Cache檔案的大小限制、Cache於記憶體的使用量限制、Cache Object的大小限制,以及是否要啟用Offline Cache功能。此外,也能夠設定不要進行Cache的網址清單。若想要清除伺服器中現行所有的Cache資料,就按下〔Clear cache〕按鈕。
完成上述的HTTP proxy設置後,來到用戶端的網頁瀏覽器,要如何設定才能讓使用者的上網連線透過HTTP Proxy呢?很簡單!在此以Microsoft IE瀏覽器為例,如圖4所示,先開啟「網際網路選項」視窗,再按下「連線」頁面中的〔LAN設定〕按鈕。
將出現「區域網路(LAN)設定」頁面,如圖5所示,先勾選啟用Proxy伺服器的連線設定,再輸入EFS伺服器的IP位址與Proxy的Port(預設=8080)。接著,勾選「近端網址不使用Proxy伺服器」並按下〔進階〕按鈕。然後,在「Proxy設定」頁面中額外設定例外的位址清單,可以將內部網路使用的IP位址加入,例如192.168.*或*.Local等等。
HTTP Proxy整合LDAP驗證管理
EFW的HTTP Proxy也支援以使用者與群組的Access Policy設置,只是針對這一項功能需求,在實務上通常不會是選擇以EFW本地的使用者或群組來進行登入身分的驗證,而是會選擇採用LDAP的驗證機制,像是連接Linux系統中的LDAP Service或是Windows Server的Active Directory,其次還有IBM Domino的LDAP Service和Novell的eDirectory。如此一來,上網的用戶端人員就不必再去記住第二組的帳密,而EFW系統管理人員也不用維護一個新的人員帳戶資料庫。
上述有關於幾種LDAP的身分驗證機制,在EFW系統中目前都有支援。在接下來的實戰講解中,將以如何結合Active Directory的驗證功能為例。先點選至「HTTP Proxy」,如圖6所示,開啟「Authentication」頁面,在「Choose Authentication Method」欄中建議選取「LDAP(v2,v3,Novell eDirectory,AD)」。
接著,就可以開始設定Active Directory伺服器的相關連線資訊。舉例來說,目前網域的名稱是lab03.com,因此這裡就必須先在「LDAP Server」欄位中設定Domain Controller伺服器的IP位址,在「Bind DN settings」欄位中輸入「DC=lab03,DC=com」,在「Bind DN username」欄位中輸入「CN=Administrator,CN=Users,DC=lab03,DC=com」。在「Port of LDAP Server」欄位中則輸入LDAP Port(預設=389)。另外,在LDAP type」欄位中選取Active Directory Server,在「Bind DN password」欄位中鍵入網域Administrator的密碼,最後按下〔Save〕按鈕完成設置。
緊接著開啟「Access Policy」頁面,如圖7所示,在「Authentication」欄位中挑選【user based】或【group based】。接下來,只要前面步驟中的LDAP驗證連線設定正確,就可以在「Allowed Users」清單中,選取所要驗證的使用者或群組。在「Time restrictions」區域內,則可以決定是否要啟用與設定存取的時間限制,例如設定僅開放每周五的上班時間,才能夠進行Internet網站的存取。
最後,在「Access Policy」欄位中決定根據上述的條件設定,是要允許存取(Allow access)還是拒絕存取(Deny access)。完成此Access Policy的新增後,未來如果只是暫時不套用此設定,只要取消勾選「Enable policy rule」選項即可。
完成HTTP Proxy中的Authentication與Access Policy設定後,就來測試一下LDAP使用者的上網驗證情形。當用戶端使用者以一個未經授權的帳戶來連線Internet網站時,如圖8所示,便會出現ERROR頁面訊息,表示該名人員在這個時間是無法連線上網的。
網站連線篩選設置
前面所介紹HTTP Proxy中的Access Policy設定,還只是對於LDAP使用者上網控制的基礎設置。現在假設一個情境,也就是讓某位使用者雖然可以瀏覽Internet網站,但卻無法開啟任何的Web Mail網站,像是Google Mail、Yahoo Mail、Outlook.com等等,該怎麼做呢?這時候就得善用Web Filter功能。
如圖9所示,先在「Web Filter」頁面中選擇自動更新URL filter的週期,此設定關係到未來所能使用的篩選類型與規則,接著點選「Add new Profile」超連結來新增Web Filter rule。
如圖10所示,在「Add a Profile」頁面中有各種的URL Filter分類,包括針對Web Mail、討論區、聊天室、多媒體、遊戲、運動、旅遊、購物等等的篩選設定,在此點選禁止連線Web Mail網站。
如圖11所示,緊接著在「Custom black and whitelists」區域中新增例外的白名單或黑名單,這裡新增了一個Outlook.com的網址至白名單中。完成儲存後,未來同樣可以繼續新增、刪除或是修改任何一個Web Filter規則設定,例如將某一個Web Filter規則暫時停用。
完成新增Web Filter規則設定後,必須回到「Proxy」頁面中修改曾建立過的Proxy設定。如圖12所示,在「Filter profile」欄位中選取所要關聯的Web Filter規則並完成儲存。
接下來,測試一下剛剛所套用的Web Filter規則是否已經生效。首先開啟Outlook.com的網站,發現可以正常連線與登入。而在同樣的網頁瀏覽器中改連線mail.google.com網址時,如圖13所示便會直接出現「無法顯示此網頁」的錯誤訊息。上述的用戶端測試結果,代表前面所建立的Web Filter規則已經生效。
系統狀態與網路流量
平日想要做好企業網路的維運任務,最基本的就是要定期性地檢視EFS網站上的各類狀態資訊。如圖14所示,在「Status」頁面中就可以分別檢視到針對系統狀態、網路狀態、系統圖表、網路流量圖表、Proxy圖表、連線狀態資訊、VPN連線、SMTP郵件統計以及Mail queue的分析。
其中,在系統狀態(System status)頁面中,便可以檢視到伺服器運作時的效能表現。當面對越來越多的內部與外部的連線數量時,就必須隨時掌握這一部分的資訊,以確保有足夠的硬體資源可以因應大量連線的衝擊。必要時,就得增加更多的RAM或硬碟空間,或是升級CPU的等級。
在網路流量分析上,先到「Services」頁面中,如圖15所示啟用Traffic Analyzer服務,並且建議勾選「Keep history for hosts」設定,記得按下〔Save〕按鈕。緊接著,就可以點選「administration interface」超連結。
如圖16所示,新開啟「ntop」頁面,事實上它也是一個開源套件,如今也被許多網管人員愛用,相關開源套件的完整資訊介紹,可以到ntop.org網站上查看。透過它可以讓管理人員輕鬆找出網路用量最大的用戶端、伺服器、應用程式以及寄件者。
即時記錄檔內容監視
身為網管人員有些時候所要查看的並非是歷史的記錄分析,而是即時的上網記錄監視,目的就是為了找出可能影響資訊安全的兇手。舉例來說,想要即時找出究竟是內部網路中的那一部電腦,在持續對Internet某個的網站或郵件主機發動大量的惡意攻擊,而導致公司的Internet之IP位址變成了許多組織的黑名單。
在EFW的伺服器中,若想要使用即時記錄的監視功能,都必須先針對所要監視的服務啟用記錄檔功能,這是因為記錄檔的功能會占用較多的硬體資源,主要包括RAM與Hard Disk。以HTTP Proxy服務來說,如圖17所示,就可以在「Configuration」頁面的「Log settings」區域內,選擇性啟用五種的記錄檔類型,其中的「HTTP proxy logging」與「Contentfilter logging」肯定是必要的選項。
完成所要啟用的服務記錄檔設定後,開啟「Logs and Reports」頁面。如圖18所示,在「Live Logs」分類頁面中,可以直接針對想要查看的記錄檔,點選「Show this log only」超連結。若想要自行選擇所要查看的記錄檔,則按下〔Show selected logs〕按鈕。
如圖19所示,這是一個HTTP Proxy即時記錄檔監視的範例,可以知道內部網路中的哪些IP位址,正在連線哪一些Internet的網站以及埠口等資訊。如果想要監視其他服務,在上方的「Settings」區域內勾選即可,例如想要同時監視防火牆的記錄時,就增加勾選「Firewall」,但必須注意的是,防火牆的記錄檔功能也必須預先完成啟用。
Endian系統更新
免費的Endian Firewall Community雖然不像付費的Endian UTM Professional有提供完善的技術支援以及進階的管理功能,但卻也有提供系統更新服務的連線,讓所有的用戶一樣享有持續的新功能或問題修正服務,只是該怎麼做呢?
其實早在初步完成EFW系統的安裝與登入之後,在「Dashboard」頁面中就可以看到Community Account等待Register的提示訊息。當點選「Register」後,便會開啟「Update」頁面。如圖20所示,如果已經預先在官方網站上註冊一個新帳戶,便只需要在此輸入所註冊的Email地址並按下〔Register〕按鈕,否則就得先點選「create a new account here」超連結。
開啟Endian Community註冊網站後,如圖21所示,在正確輸入所有必要的欄位資訊後按下〔Submit Form〕按鈕,即可完成會員註冊。稍等幾分鐘後,便能夠在所註冊的Email郵箱中收到一封來自Endian的Email確認訊息,點選其中的「Welcome to the Endian Community」超連結來完成最後的啟用步驟。
成功啟用Endian Community的註冊帳戶,並且在自家的EFW網站上執行Register後,開啟任一SSH Client,如圖22所示,以root帳戶遠端登入EFW伺服器,然後執行「efw-upgrade」命令,即可開始進行最新版本的檢查,並完成系統更新任務。
結語
Endian這款如此功能強操作易的開源UTM系統,在國內似乎只有極少數的IT人士知道。未來若有硬體設備廠商願意找Endian合作,推出支援繁體中文介面的UTM設備,甚至於發展專用的App,讓網管人員可以隨時隨地掌握到公司網路的運行狀態,相信一定可以在華人的世界中大放光彩。
此外,在這一兩年也發現了UTM系統與Storage系統的整合契機,也就是藉由軟體定義儲存(SDS)技術,提供用戶一個安全速度更快且無遠弗屆的雲端儲存環境。像這樣的一個整合架構概念若是真的推出,肯定可以獲得絕大多數中小型企業的青睞,因為它將一次解決建置成本、安全、速度以及大容量儲存的問題。
<本文作者:顧武雄,Microsoft MVP、MCITP與MCTS認證專家、台灣微軟Technet、TechDays、Webcast、MVA特約資深顧問講師、VMware vExpert、IBM Unified Communications/Notes/Domino/Connections Certified。>