Настройка VPN туннеля между UserGate NGFW и CheckPoint

Описание

Рассмотрим ситуацию, при которой необходимо объединить две сети, одна из которых защищена с помощью UserGate NGFW, а другая – с помощью CheckPoint. 

В данном примере предполагается использование следующих адресов:

• Адрес сети, защищенной UserGate NGFW: 172.21.10.0/24.

• IP-адрес внешнего интерфейса UserGate NGFW: 91.107.67.230.

• Адрес сети, защищенной CheckPoint: 10.10.10.0/24.

• IP-адрес внешнего интерфейса ChrckPoint: 91.107.67.228.

Схема сети

Настройка на стороне CheckPoint

1. Указать параметры сетевых интерфейсов:

2. Активировать блейд IPSec VPN:

3. Выбрать внешний адрес для подключения IPsec:

4. Указать VPN-домен объектом локальной сети CheckPoint:

5. Создать Interoperable Device с именем UserGate:

6. Указать топологию объектом локальной сети за UserGate:

7. Добавить сетевые устройства CheckPoint и UserGate в Meshed Community:

8. Задать параметры первой и второй фаз согласования туннеля:

9. Создать правило для взаимодействия удаленных сегментов:

Настройка на стороне CheckPoint завершена.

Настройка на стороне UserGate

1. В разделе Сеть ➜ Зоны разрешить доступ по VPN для зоны Untrusted:

2. В разделе Сеть ➜ Интерфейсы создать или использовать созданный по умолчанию интерфейс VPN for Site-to-Site:

Назначить данному интерфейсу IP-адрес. IP-адрес может быть любым при условии, что он не будет пересекаться с адресами других подсетей, с любой маской, за исключением маски с префиксом /32:

3. В разделе VPN ➜ Профили безопасности VPN создать профиль безопасности VPN. В свойствах профиля указать общий ключ (pre-shared key) и указать параметры первой и второй фаз согласования туннеля, заданные на CheckPoint:

4. В разделе VPN ➜ Клиентские правила создать правило, выбрав созданный ранее профиль безопасности VPN. В поле адреса сервера указать IP-адрес внешнего интерфейса CheckPoint, через который присходит соединение. В поле протокола VPN выбрать IPsec-туннель. Далее указать разрешенные подсети со стороны UserGate и CheckPoint:

6. В разделе Политики сети ➜ Межсетевой экран создать двустороннее правило доступа с указанием Trusted и VPN Site-to-Site зон. Разрешить трафик между Trusted и S2S:

7. В разделе VPN ➜ Клиентские правила включить правило CheckPoint IPsec. При успешном подключении должен гореть зеленый индикатор:

8. В разделе Диагностика и мониторинг ➜ VPN проверить статус туннеля:

Настройка на стороне UserGate завершена.