Progetto Firewall in alta affidabilità

Transcript

1 FEINROHREN Progetto Firewall in alta affidabilità Teconologia ISS Proventia M Hacking Team S.r.l. Via della Moscova, MILANO (MI) - Italy info@hackingteam.it Tel Fax Hacking Team Proprietà Riservata Numero Allegati: Pagina 1 di 7

2 INFORMAZIONI Data di Emissione 06/03/2008 Versione 1.1 Tipologia Documento Allegato Tecnico Numero di Protocollo Numero Pagine 7 Numero Allegati Descrizione Allegati 1 2 Redatto da Mauro Romeo Approvato da 2007 Hacking Team Proprietà Riservata Numero Allegati: Pagina 2 di 7

3 INDICE 1 Introduzione Ambiente di riferimento Hacking Team Proprietà Riservata Numero Allegati: Pagina 3 di 7

4 1 Introduzione Questo documento ha l obiettivo di sintetizzare l attività di sostituzione dei firewall Servgate presenti nell infrastruttura di Feinrohren con la nuova architettura in alta affidabilità basata su tecnologia IBM ISS proventi M. Questa tecnologia prevede un unità firewall attiva, che prende in carico il traffico di rete, e un unita firewall in stand-by, pronta cioè a diventare attiva qualora l altra unità presentasse un anomalia di funzionamento. 2 Ambiente di riferimento L infrastruttura informatica di Feinrohren è costituita da due sedi geografiche distinte: Passirano: sede principale Lumezzane: distaccamento vecchia sede In Figura 1 è sintetizzato lo schema di rete di Feinrohren dopo l installazione delle due coppie di firewall ISS IBM Proventia M: MX3006: Coppia in alta affidabilità installata presso la sede di Passirano MX1004: Coppia in alta affidabilità installata presso la sede di Lumezzane La coppia di firewall maggiormente performante, costituita dalla serie MX3006, è stata installata presso la sede principale di Passirano. Su questi firewall sono state attivate tutte le funzionalità applicative di protezione: Intrusion Prevention Antivirus Web Filter Antispam Sulla coppia di firewall MX1004 installata presso la sede di Lumezzane è attiva la sola funzionalità di Intrusion Prevention, questo poiché agli utenti di questa sede non e consentito navigare e la posta è già filtrata dalla coppia di firewall MX3006. Infatti, tra le due suddette sedi geografiche è instaurata una VPN IPSEC che consente la piena condivisione tra le tre LAN mostrate in Figura 1: LAN Lumezzane Interna ( /24) LAN Passirano Uffici ( /24) LAN Passirano Stabilimento ( /24) La sede di Lumezzane dipende dalla sede principale di Passirano per il servizio di posta, da qui la scelta di non attivare le funzionalità aggiuntive sui sistemi MX Hacking Team Proprietà Riservata Numero Allegati: Pagina 4 di 7

5 M 30 M (Monitor IP) Hostname senza HA MX3 LAN Lumezzane Interna / (VIP eth0).252 (eth0).253 (eth0) MX (eth3) HA Net MX /30.1 (eth1).2 (eth3).2 (eth1).3 (VIP eth1) LAN Lumezzane Pubblica /29.6 (Monitor IP) Hostname senza HA MX4 Internet VPN Passirano Lumezzane Tra MX3006 e MX (Monitor IP) LAN Passirano Pubblica /28.69 (VIP eth1) Site Protector.11 (Monitor IP).1.67 (eth1) MX3006 LAN Passirano Uffici /24 (Monitor IP).1 (eth5) HA Net.2 (eth5) /30 MX (VIP eth1).120 (eth0).121 (eth0).252 (eth2).253 (eth2).254 (VIP eth0) (VIP eth2) LAN Passirano Stabilimento /24 Figura 1 - Infrastruttura Feinrohren In Figura 1 sono indicati per ciascun segmento di rete, dei sistemi identificati con il termine Monitor IP, essi rappresentano dei sistemi per i quali i firewall controllano periodicamente la raggiungibilità. Nel caso in cui uno dei Monitor IP risultasse irraggiungibile al firewall attualmente attivo, l unità di stand-by verificherebbe la raggiungibilità di tale sistema. Se quest ultimo risultasse raggiungibile all unità di stand-by e non all unità attiva, avverrebbe il failover ovvero lo scambio di ruolo tra le due unità. Questo sistema garantisce un ulteriore meccanismo per garantire l alta affidabilità tre i sistemi firewall. Si tenga quindi in considerazione la seguente lista di sistemi che costiuiscono i Monitored IP dei firewall in caso di cambiamenti infrastrutturali: LAN Passirano Uffici: LAN Passirano Stabilimento: LAN Passirano esterna: Hacking Team Proprietà Riservata Numero Allegati: Pagina 5 di 7

6 LAN Lumezzante interna: LAN Lumezzane esterna: Presso la sede principale di Passirano è stato installato un server dedicato all amministrazione dei firewall e alla conservazione dei log, sul quale è stato opportunamente configurato il software Site Protector, ossia il sistema per la gestione centralizzata dei prodotti ISS IBM. Il sistema mostrato in Figura 1 è stato collocato nella rete Uffici con indirizzo IP Questa installazione non prevede l utilizzo di un database SQL server, ma della versione MSDE fornita con il software IBM SS, poiché i sistemi attualmente utilizzati da Feinrohren non producono un elevato numero di log. Utenza Password Descrizione SA Topaz123! Utenza SA del DB MSDE Admin mario1 Utenza admin Proventia MX3006 e MX1004 ProventiaM Topaz123! Utenza AgentManager Administartor mario1 Utenza Administrator locale site protector Console: Root mario1 Utenza amministrazione apparati Console: Admin mario1mario1 Utenza Gestione apparati 2007 Hacking Team Proprietà Riservata Numero Allegati: Pagina 6 di 7

7 3 VPN Client E stata configurata la possibilità di accedere remotamente in VPN IPSEC L2TP. Attualmente il range IP per la VPN L2TP è /24 con Gateway Per potersi connettere da Internet, è necessario configurare una connessione IPSEC lato client che terminerà sull'indirizzo pubblico del Firewall di Passirano Le utenze di accesso, devono essere create e abilitate tramite l'apposita configurazione sui Firewall Hacking Team Proprietà Riservata Numero Allegati: Pagina 7 di 7