» Настройка CheckPoint

Vxd2000
Лицензий от QoS в свободном доступе нет. Надо покупать.
Последняя версия, вроде как, R65.

Народ, есть ли возможность заставить подключаться к CheackPoint VPN стандартный виндовый клиет?

По R55 и ниже
Если под стандартным понимается PPTP (т.н. удаленное VPN соеденение в сетевых подключениях) - то нет.
Но в винде можно создать IPSec туннель через оснастку "Локальная политика безопасности" - это вполне работает.

BGPeR
а можно сылочку на иструкцию ?

mpioner
Применительно к NG FP3 инструкция здесь - _http://rapidshare.com/files/133797921/CPFWNG_L2TP.rar.html

В новых версиях аналогично.

2 mpioner
Какая у вас версия CP? Делать-то можно по разному.
Если NG выше FP3 - г-н Artempv подсказал.

dshf21391

Цитата:

Там есть объект - сам сервер checkpoint.

Он относится к Internal, external объектам или сам по себе ?

Он, что вполне логично, сам по себе. Но ты можешь создать любую группу и включить этот объект туда.

Цитата:

Он, что вполне логично, сам по себе. Но ты можешь создать любую группу и включить этот объект туда

Это радует (что хоть в этой программе есть логика) .
Скачал R65, там вся настройка через dashboard идет ?

Можно через CLI, если сдюжишь.

Vxd2000

Если Check Point стоит на своей родной платформе SecurePlatform, то первоначальная настройка только через Web-интерфейс или CLI. И только потом уже через SmartDashboard.

Hi, all!
проблема: перестал работать GUI на CheckPoint NG. При попытке подсоединиться пишет "Connection cannot be intiated". Причем локально, с консоли, то же самое.
При этом основные функции по защите выполняет безукоризненно.
Как вылечить?
Или как из командной строки сделать экспорт правил, чтобы потом их залить на свежеустановленный CP NG?

под GUI понимается HTTPS GUI ? Если да то с консоли попробуй запустить
этот сервис вручную webui enable

[Expert@cp]# webui enable
Running cp_http_server_wd: [FAILED]
[Expert@cp]#
[Expert@cp]#
Если получается то что выше - проверь или он уже работает -
[Expert@cp]# ps ax | grep cp_http_server_wd
1009 ? S 0:00 /bin/sh /opt/spwm/bin/cp_http_server_wd
20564 ttyp0 S 0:00 grep cp_http_server_wd

Касаемо експорт - какая платформа ? WIndows/SPLAT/Linux/Solaris/etc. ?

iva66

На 10 странице форума я ответил человеку с подобной проблемой, т.к. сталкивался с этим. Решения найти не удалось, хотя перепробовал много всего.

Aluf
Windows

Добавлено:
Artempv
спасибо, я тоже перепробовал все варианты, результат 0. переустановка, думаю, поможет, но без экспорта/импорта правил простой будет недопустимо большим...

Кое-что из литературы по NGX:

Официальные курсы от Check Point
hxxp://rapidshare.com/files/85661302/Check_Point_Security_Administration_II_NGX.rar
hxxp://rapidshare.com/files/85662377/Check_Point_Security_Administration_III_NGX.rar

Интерактивные обучалки от SkillSoft:
hxxp://rapidshare.com/files/82931719/SkillSoft_Press_Check_Point_NGX_Security_Policies.zip
hxxp://rapidshare.com/files/82932597/SkillSoft_Press_Check_Point_NGX_SmartDefense_and_Content.zip
hxxp://rapidshare.com/files/82933538/SkillSoft_Press_Check_Point_NGX_VPN_Configuration_and_Disaster_Recovery.zip

Artempv
Спасибо, камрад! Очень полезные вещички.

Artempv
А нет ли у тебя Check_Point_Security_Administration_I_NGX.rar ? Так сказать для полной коллекции.
Хорошо бы ещё и "Managing and Deploying ClusterXL" где-нибудь раздобыть.

idiMAN

Первого курса по админке и ClusterXL для NGX к сожалению нет.
Для NG и первый есть, и ClusterXL, в форуме ссылки выкладывал, но уже наверное не актуально.


Добавлено:
Скан
hxxp://rapidshare.com/files/141976718/Check_Point_Security_Administration_I_NGX.part1.rar
hxxp://rapidshare.com/files/141974707/Check_Point_Security_Administration_I_NGX.part2.rar

Artempv
Спасибо, будет теперь почём молодежь учить...

Приветствую всех.

Не подскажите, каким образом можно настроить checkpoint firewall R65 для работы с двумя независимыми провайдерами. Во всех книгаг описана схема кластера из firewall-1, но все они имеют ОДИН внешний адрес, т.е. всего 1 ISP, а нужно подключить к 2-м разным ISP.
Инетересуют оба режима: Failover connection и Load Balansing

Такое возможно только при использовании SecurePlatform Pro вроде бы.
Или ещё есть специальное ПО RainConnect for Checkpoint.

dshf21391

а тогда вопрос вдогонку: лицензии для SPLAT Pro и для Win различаются?
Могу я поставить SPLAT Pro с лицензиями, которые нашёл тут на сайте (в соответствующей теме)?

andreyp2
1. Х/з. Думаю, что не различаются. Вот для SPLAT Pro нужна отдельная лицензия.
2. Поставить можешь, только там нет лицензии для SPLAT Pro.

andreyp2
dshf21391
В SecurePlatform Pro реализована поддержка протоколов динамической маршрутизации, (BGP, OSPF, RIPv1 и RIPv2) и широковещательных протоколов (IGMP, PIM-DM и PIM-SM). Это основное ее отличие от SecurePlatform.
Для ее работы нужна отдельная лицензия - лицензия именно на эту ОС.
Без этой лицензии при инсталляции SecurePlatform Pro она будет работать как обычная SecurePlatform.
Сами лицензии на Firewall, VPN, QoS и т.д. - они не зависят от платформы, на которую инсталлируется Check Point. Т.е. будут работать и на Windows, и на SecurePlatform, и на SecurePlatform Pro.

На счет работы с 2-мя провайдерами - это надо смотреть в свойствах Check Point Gateway -> Topology -> ISP Redundаncy. Там есть достаточно внятный хелп.
И в документации описано это.

Artempv
Подскажите пожалуйста, как поставить лицензию под SPLAT.
Я поднял SPLAT под VMWare, добавил 2 адаптера.
прописал одному из них адрес из лицензии.
Потом зашёл через WEB на комп со SPLAT и при попытке добавить лицензию всегда получаю "Error. Failed to install license". Эти же самые лицензии без проблем подключаются под Windows Server 2003

andreyp2
У меня тоже такой косяк со сплатом был. Получилось только через SmartUpdate лицензию из файла подсосать.
Причём совсем никак не получилось прицепить лицензии на разные IP: прописывал и дополнительный IP на интерфейсе и на loopback - не прокатило, берёт только на IP, который основным прописан.
Забил на сплат и поставил на w2k3 - всё работает замечательно, прописаны три IP на одном интерфесе и все лицензии цепляются отлично.

Я вроде как смог установить лицензии через SmartUpdate под SPLAT.
Идея в том, что :
1. через web задаём все левые IP на интерфейсе Loopback.
2. Потом заходим через dashboard и в свойствах объекта "cfwirewall" ставим первый IP из тех, на которые у нас лицензии. Не забываем сохранить изменения.
3. Смотрим в SmartUpdate. Там должен светиться IP из пункта "2".
4. Загружаем лицензии для выбранного IP через SmartUpdate.
5. Повторяем пункты 2-4 для остальных IP адресов.
6. Когда все лицензии загружены можно в совйствах "cpfirewall" поставить свой public IP.

После всего через WEB интерфейс проверяем, что лицензии всё ещё валидные.

У меня в VMWare пока всё работает. Буду тестировать дальше...

andreyp2
До такого шаманства я не додумался Но w2k3 всяко проще обслуживать.

У меня теперь вопрос, как поднять dial-up соединение с интернетом, когда основной канал упадёт.
Т.е. проблема именно в том, как создать dial-up. Ничего похожего я не нашёл в SPLAT