Přístup k internetu z podnikové sítě: tipy pro správce. Přehled možností organizace přístupu k firemním síťovým službám z Internetu

Před diskusí o autentizaci uživatelů sítě je nutné vytvořit pravidla pro řízení přístupu do sítě. Sítě již nejsou monolitické entity. Ve většině případů je k dispozici jeden externí přístupový bod – připojení k internetu prostřednictvím ISP ( Poskytovatel internetových služeb- poskytovatel internetových služeb). Pravidla řízení přístupu k síti určí, jaké zabezpečení musí být nainstalováno na vstupních bodech sítě.

Brány

Brány jsou body, ve kterých je síťový provoz přenášen ze sítě organizace do jiné sítě. U bodů brány musí pravidla řízení přístupu brát v úvahu povahu sítě, na které je most nainstalován.

• Pravidla řízení přístupu pro příchozí a odchozí telefonní hovory (Dial-in a Dial-out). Pokrývá požadavky na autentizaci. Skrýt přístupový bod telefonní sítě je poměrně obtížné. Proto je důležité definovat ovládací prvky pro tento přístup. Existuje mnoho úvah týkajících se pravidel přístupu, jako je vytvoření modemů pouze pro zpracování odchozích signálů ( pouze ven) pro vytáčený přístup. Je nutné sepsat pravidlo, které bude předepisovat použití vhodných kontrol.

  Veškerý telefonní přístup k síti musí být zabezpečen pomocí silných autentizačních kontrol. Modemy musí být nakonfigurovány buď pro telefonický přístup, nebo pro telefonický přístup, nikdy však pro oba. Správce sítě musí poskytnout postupy pro zaručený přístup k modemovým systémům. Uživatelé by neměli instalovat modemy na jiná místa v síti bez příslušných sankcí.

• Další externí připojení. Jsou možná různá připojení k síti mimo organizaci. Pravidla mohou stanovit přímý přístup klientů do sítě prostřednictvím virtuální privátní sítě VPN(Virtual Private Network) a prostřednictvím rozšíření sítě organizace známých jako extranety.
• Internetové připojení. Liší se od ostatních připojení, protože lidé chtějí mít otevřený přístup k internetu, zatímco povolení k přístupu poskytují služby organizace. Pravidla, jimiž se tato připojení řídí, jsou popsána v kapitole 6, Pravidla zabezpečení Internetu.

Stejně jako u jiných pravidel byste měli očekávat, že se objeví požadavky na změnu pravidel řízení přístupu. Bez ohledu na důvody, proč je třeba pravidla upravit, by mělo být možné udělovat výjimky z pravidel prostřednictvím mechanismu přezkumu pravidel. Pokud politika zřídila výbor pro řízení bezpečnosti (viz kapitola 3, Odpovědnosti za bezpečnost informací), může být výbor požádán, aby pravidla přezkoumal.

Žádná brána navržená k instalaci v podnikové síti, která může porušovat pravidla nebo postupy předepsané těmito pravidly, by neměla být instalována bez předchozího souhlasu bezpečnostního řídícího výboru.

Virtuální privátní sítě a extranety

Nárůst počtu sítí v organizaci nás nutí hledat nové možnosti propojení vzdálených poboček, klientů a zjednodušení přístupu pro protistrany služeb nebo potenciální protistrany. Tento růst vyvolal dva typy externích připojení: virtuální privátní sítě ( VPN- Virtuální privátní síť) a extranety. VPN představují levný způsob, jak navázat informační komunikaci mezi dvěma nebo více organizačními jednotkami umístěnými na různých územích. Organizace vytvářejí VPN připojením všech oddělení k internetu a instalací zařízení, která budou šifrovat a dešifrovat informace v obou odděleních, která spolu komunikují. Pro uživatele bude práce přes VPN vypadat, jako by se obě oddělení nacházela na stejném území a pracovala v jedné síti.

Kontrola autority pomocných systémů

Než budeme pokračovat, je důležité si uvědomit, že každá z bran nebo podpůrných systémů je vstupním bodem do sítě organizace. V každém vstupním bodě musí být nějakým způsobem ověřena autorita toku dat vstupujících a vystupujících ze sítě. Jedním z problémů, který je třeba zvážit, je požadavek na autorizaci externích připojení k systémům podpory sítě. To může být problém pro pomocné systémy, které jsou neustále připojeny k síti. U takových podpůrných systémů je nutné určit, jak bude jejich přítomnost v síti autorizována. Ve skutečnosti i dočasná síťová připojení, jako jsou příchozí modemová připojení, mohou mít přísné požadavky na autentizaci.

Požadavky na autentizaci by neměly být v této části pravidla popisovány – jsou popsány v další části „Zabezpečení přihlášení“. Zde můžeme pouze poznamenat nutnost požadavků na autentizaci. Pravidla týkající se standardů autentizace budou probrána v další části. Aby se však zajistilo, že problém autentizace bude řešen pro sekundární systémy, lze do klauzule pravidel brány firewall přidat následující.

Aplikace vyžadované pro fungování bran musí být ověřeny sítí. Pokud nelze ověřit samotnou aplikaci, musí se na podpůrné systémy připojené přes brány vztahovat autentizační pravidla popsaná v tomto dokumentu.

Školní portál podporuje správu přístupu k internetu.

Správa se provádí prostřednictvím integrace s proxy serverem Squid.

Chcete-li změnit přístupová práva, přejděte do nabídky: Služba → Přístup k internetu....

Tato akce je dostupná pouze zástupcům vedení školy.

Pro udělení přístupu k internetu stačí zaškrtnout políčko vedle uživatelského jména (žák, učitel) nebo celé třídy. Chcete-li zrušit přístup, musíte zrušit zaškrtnutí políčka. Změny se použijí po kliknutí na tlačítko "Uložit".

Aby mohl počítač v místní síti přistupovat k Internetu podle oprávnění nakonfigurovaného na portálu, musíte jej nakonfigurovat tak, aby používal proxy server.

Adresa proxy serveru je adresa vašeho školního serveru v místní síti, kde je nainstalován školní portál. Proxy port - 3128 .

Když uživatel přistupuje k internetu přes proxy server, bude vyžadováno přihlašovací jméno a heslo ze školního portálu.

Aby bylo možné spolehlivě zabránit přístupu k internetu obcházením proxy serveru, je vhodné zkontrolovat, že školní server neposkytuje směrování internetu do zájmových strojů a také, že stroje nemají přístup přes switch, modem, router, Wi- Fi a další vybavení vzdělávací instituce, ke kterému mají zaměstnanci a studenti síťový přístup.

Systémy filtrace obsahu (SCF)

Podporována je jak absence SCF, tak integrace s více poskytovateli.

Nastavení SCF se nachází v levém sloupci stránky správy přístupu k internetu.

Některé SCF vyžadují registraci, aby mohly spravovat seznamy zakázaných zdrojů (například sociální sítě, obscénní materiály, sbírky abstraktů atd.). Taková nastavení se mění ve webových rozhraních na samotném webu SCF, nikoli na Portálu. Uživatelskou podporu v otázkách kvality filtrace poskytuje organizace obsluhující SCF. Portál vám umožňuje pouze povolit nebo zakázat odesílání dotazů na servery DNS SCF ze školního proxy serveru a nic víc.

SCF, podobně jako přístup k internetu, se vztahuje pouze na počítače, které jsou konfigurovány výhradně přes školní proxy server.

Důležité! Fungování SCF po zapnutí musí být zkontrolováno podle vašich očekávání, protože Portál to nemůže automaticky zkontrolovat za vás. Podmínky pro poskytování SCF mohou být jejich výrobci kdykoliv změněny. Vyplatí se přihlásit k odběru novinek ze služby, kterou používáte.

Co dělat, když se na portálu zobrazí zpráva „Funkce zakázána“ nebo něco nefunguje.

Kontroly a akce v této části článku jsou uvedeny pouze pro Ubuntu Server 10.04 LTS:

Všechny akce musí být provedeny jako uživatel root.

1. Je nainstalován oliheň?

Dpkg -s chobotnice3 | verze grep -i

Pokud ne, nainstalujte:

Apt-get install squid3

2. Jsou tyto parametry v konfiguračním souboru portálu?

Auth = základní htpasswd = /var/www/sp_htpasswd sp_users_allowed = /var/www/sp_users_allowed

Pokud ne, přidejte a spusťte

Pkill rychle

3. Běží Squid? Posloucháte na portu 3128?

Zkouška:

Netstat -ntlp | grep 3128

Odpověď by měla být něco takového (1234 je příklad, můžete mít jiné číslo procesu):

Tcp 0 0 0.0.0.0:3128 0.0.0.0:* LISTEN 1234/(chobotnice)

Jak spustit Squid:

/etc/init.d/squid3 start

* Spuštění Squid HTTP Proxy 3.0 squid3

4. Nastavte Squid na autostart:

Update-rc.d squid3 povolit

5. Vytvořte, pokud ne, a nastavte přístupová práva k souborům služeb odpovědným za správu Portálem:

Klepněte na /var/www/sp_htpasswd /var/www/sp_users_allowed chown www-data.proxy /var/www/sp_htpasswd /var/www/sp_users_allowed chmod 660 /var/www/sp_htpasswd /var/www/sp_users_allowed

6. Konfigurační soubor Squid není připraven k integraci;

Nejprve se ujistěte, že NEMÁ integraci portálu (vícenásobné opravy nejsou přijatelné):

Grep "School Portal Internet Control" /etc/squid3/squid.conf

Pokud je na výstupu výše uvedený příkazový řádek, pak by měl být tento krok přeskočen.

Pokud však byl konfigurační soubor změněn tak, že tam linka je a integrace nefunguje, vezměte původní konfigurační soubor z Squidu a proveďte na něm tento krok.

Takže pokud NENÍ ŘÁDEK:

6.1. Odebrání pravidel, která brání integraci, a změna chybových stránek na ruské verze:

Perl -i-original -p -e "s!^http_access odepřít vše$!#http_access odepřít vše!; s!^# error_directory /usr/share/squid3/errors/templates$!error_directory /usr/share/squid-langpack /ru!;" /etc/squid3/squid.conf

6.2. Přidání integračního fragmentu:

Echo " # ============================= # Internetová kontrola školního portálu # Chcete-li zakázat, nahraďte /etc/squid3/squid.conf /etc/squid3/squid.conf-original # ========================================= ==== auth_param basic program /usr/lib/ squid3/ncsa_auth /var/www/sp_htpasswd auth_param basic children 5 auth_param basic realm Squid proxy-caching webový server auth_param basic credentialsttl 2 hours auth_param sp_casesensitive on proxy www/sp_users_allowed" http_access povolit sp_users_allowed http_access zakázat vše " > > /etc/squid3/squid.conf

Pokud se takový blok objeví v souboru squid.conf více než jednou, odstraňte duplikáty, i když vše funguje. Při opakování, pokaždé, když je seznam přijímacích aktualizován z portálu, Squid zasype varování o předefinování pravidel ve svém protokolu.

6.3. Po provedení změn je třeba Squid restartovat.

/etc/init.d/squid3 restartujte

7. Dále využít webové rozhraní Školního portálu k distribuci přístupu k internetu. Po kliknutí na tlačítko "Použít" ve webovém rozhraní portálu byste měli vidět změnu v seznamu povolených přihlášení uživatelů portálu v souboru /var/www/sp_users_allowed.

Protokoly přístupu Squid (/var/log/squid3) budou obsahovat přihlášení uživatelů portálu. Můžete použít jakékoli analyzátory protokolů, které jsou kompatibilní s formátem protokolu Squid. Integrace s Portálem neporušuje výchozí formát logů, rozdílem je přítomnost přihlášení z portálu v místě, kde by při absenci autorizace uživatele byla pomlčka.

8. Zkontrolujte, zda firewall na školním serveru a na klientských počítačích neblokuje připojení. Ve výchozím nastavení na čistém serveru Ubuntu firewall umožňuje všechna připojení, pokud jste jakýmkoli způsobem zasáhli do jeho konfigurace, zajistěte, aby byla povolena připojení z místní sítě školy k portu 3128 serveru a odchozí připojení ze serveru.

Kromě účtování provozu umožňuje ICS omezit přístup k internetu a také zcela řídit rychlost přenosu dat. Jedná se o jeden z nejúčinnějších systémů, který umožňuje řídit přístup uživatelů podnikové sítě k Internetu.

Plná kontrola pro efektivní využití podnikové sítě

Omezení internetu je jedním z naléhavých úkolů při vytváření a údržbě podnikové sítě. Není žádným tajemstvím, že zaměstnanci kanceláře často nepoužívají přístup k internetu pro řešení pracovních problémů. V důsledku toho je produktivita práce výrazně snížena, což znamená, že obchodní efektivita trpí.

ICS má rozsáhlé možnosti, včetně toho, že umožňuje omezit přístup a také umožňuje nastavit omezení internetového provozu podle IP nebo podle vybraných URL v síti. Všechna omezení se mohou vztahovat na různé kategorie a skupiny uživatelů. To zajišťuje efektivní využití podnikové sítě, což zvyšuje produktivitu a také snižuje náklady na služby poskytovatele.

Pomocí Proxy-serveru a Firewallu je možné snadno ovládat rychlost internetu ve vaší firemní síti. To dává jistotu, že všichni zaměstnanci používají World Wide Web pouze k řešení pracovních problémů. V důsledku toho se výrazně zvyšuje efektivita kanceláře a rostou zisky.

Řízení používání internetu pomocí ICS

Díky použití ICS je zajištěno pohodlné řízení přístupu uživatelů k internetu v podnikové síti, které lze realizovat více způsoby. Internetový provoz můžete omezit pomocí flexibilních nastavení. Nabízí se následující funkce:

• pokud je blokování porušeno, je vydána konkrétní zpráva nebo je uživatel přesměrován na konkrétní stránku;
• je možné nastavit dočasné omezení přístupu k internetu;
• kontrola návštěvnosti a navštívených zdrojů pomocí filtrování obsahu - přístup ke zdrojům určité kategorie je blokován.

Kromě toho vám program umožňuje konfigurovat různé způsoby autorizace. Omezení a kontrola přístupu k internetu lze tedy provádět pomocí následujících metod:

• zadání přihlašovacího jména a individuálního hesla;
• získání přístupu k internetu při přihlášení pod osobním účtem („ActiveDirectory“);
• autorizace pro konkrétní IP;
• použití speciálního agentského programu.

Možnosti správy uživatelů

Uživatele podnikové lokální sítě je možné sdružovat do skupin v závislosti na libovolných charakteristikách, například organizační struktuře, pracovních povinnostech atd. To výrazně zvyšuje efektivitu řízení přístupu v lokálních sítích. Každé z těchto skupin lze přiřadit samostatného správce. Kontrola používání internetu může zahrnovat blokování nebo omezení přístupu samostatně pro kteroukoli ze stávajících skupin s možností nastavení podrobných pravidel.

Přístup k internetu může být poskytnut také jiným podnikům s možností nastavit určitá omezení. V tomto případě lze pro každý z těchto podniků vytvořit samostatnou skupinu s heslem poskytnutým jeho správci. To lze nazvat převodem virtuálního ICS pro použití třetí stranou.

Práce se vzdálenými pobočkami

Zakoupením ICS získáte hotový VPN server, který zajistí komunikaci se vzdálenými pobočkami společnosti pomocí šifrovaného tunelu s možností řídit rychlost internetu pro každou z nich. Komunikace je poskytována stejně efektivně, jako kdyby byly vzdálené kanceláře fyzicky připojeny k obecné podnikové síti společnosti.

Nákup ICS

ICS si můžete zakoupit pomocí objednávkového formuláře na našem webu.

Naše společnost poskytuje zákazníkům aktivní technickou podporu ve všech otázkách souvisejících s používáním programu. Zakoupením další Aktualizační licence (Premium) svěříte všechny starosti s instalací, konfigurací a údržbou ICS do rukou našich specialistů – ideální volba pro ty, kteří chtějí nakoupit a zapomenout a zároveň získat maximální výhody z používání ICS. . Pro jakoukoli radu se obraťte na obchodní oddělení.

Správce distribuuje internetové zdroje pro zaměstnance společnosti, vytváří seznamy zakázaných nebo povolených doménových jmen, IP adres atd. Zároveň může nastavit omezení času nebo objemu provozu. V případě překročení útraty je přístup k internetu automaticky uzavřen.

Upozornění: Správce může vždy poskytnout správě zprávu o využití sítě každého zaměstnance.

• Flexibilní systém pravidel pro kontrolu přístupu k internetu:
  • omezení provozní doby, množství odeslaného/přijatého provozu (provozní účtování) za den a/nebo týden a/nebo měsíc, množství využitého času za den a/nebo týden a/nebo měsíc;
  • filtry, které řídí přístup uživatelů k nežádoucím zdrojům (sexuální, herní stránky);
  • rozvinutý systém dopravní omezení A přístupová rychlost pro každého uživatele. V případě nadměrného provozu je přístup k internetu automaticky uzavřen;
  • seznamy zakázaných nebo povolených doménových jmen, IP adres, částí URL řetězce, ke kterým je administrátorem zakázán/povolen přístup;
  • možnost nastavit rozsah povolených a zakázaných IP adres;
  • hodinový rozvrh práce uživatele na internetu;
  • filtry, které umožňují konfigurovat vysoce efektivní „řezání bannerů“.
• Počítání a prohlížení statistik aktivitu uživatele podle různých parametrů (dny, stránky) po libovolný časový interval. Prohlížení internetových statistik aktivity uživatelů za aktuální měsíc přes HTTP je možné pouze pro uživatele v lokální síti.
• Vestavěný fakturační systém automaticky vypočítává cenu práce uživatele na internetu na základě ceny, času a/nebo objemu provozu. Tarify můžete nastavit pro každého uživatele individuálně nebo pro skupinu uživatelů. Je možné přepínat tarify v závislosti na denní době, dni v týdnu nebo adrese pracoviště.

Bezpečnost informací v kanceláři

• podpora VPN Virtuální privátní síť je kombinace jednotlivých strojů nebo lokálních sítí v síti, jejíž bezpečnost je zajištěna mechanismem pro šifrování dat a autentizaci uživatelů.
• Vestavěný firewall zabraňuje neoprávněnému přístupu k datům serveru a místní sítě tím, že zakáže připojení na určitých portech a protokolech. Funkce brány firewall řídí přístup k nezbytným portům, například pro publikování firemního webového serveru na internetu.
• Kaspersky Antivirus a Panda integrované do proxy serveru UserGate fungují jako filtry: zachycují data přenášená prostřednictvím protokolů HTTP a FTP. Podpora poštovních protokolů POP3 a SMTP je implementována na nejvyšší úrovni. To vám umožní používat vestavěný antivirus ke kontrole poštovního provozu. Pokud dopis obsahuje přiložený soubor s virem, proxy server UserGate smaže přílohu a upozorní na to uživatele změnou textu dopisu. Všechny infikované nebo podezřelé soubory z dopisů jsou umístěny ve speciální složce v adresáři UserGate.
  Správce UserGate si můžete vybrat, zda chcete používat jeden antivirový modul nebo oba současně. V druhém případě můžete určit pořadí, ve kterém jsou jednotlivé typy provozu kontrolovány. Například HTTP provoz bude nejprve kontrolován antivirem od Kaspersky Lab a poté modulem od Panda Software
• Podpora poštovního protokolu
  POP3 – a SMTP – proxy v UserGate může pracovat s ovladačem NAT nebo bez něj. Při práci bez ovladače je účet v poštovním klientovi na straně uživatele konfigurován zvláštním způsobem. Při práci s ovladačem (proxy provoz v transparentním režimu) se nastavení pošty na straně uživatele provádí stejně jako u přímého přístupu k internetu. V budoucnu bude podpora protokolů POP3 a SMTP na nejvyšší úrovni využita k vytvoření antispamového modulu.

Administrace pomocí proxy serveru UserGate

• Pravidla sítě
  V proxy serveru UserGate Byla implementována podpora NAT (Network Address Translation) a technologie mapování portů. Technologie NAT se používá k vytváření transparentních proxy a podporuje jiné protokoly než HTTP nebo FTP.
  Transparentní proxy umožňuje uživatelům pracovat bez speciálních nastavení a správci nemusí ručně konfigurovat uživatelské prohlížeče.
• Doplňkový modul Usergate Cache Explorer navržený pro zobrazení obsahu mezipaměti. Práce s touto funkcí je jednoduchá: stačí zadat umístění souboru ug_cache.lst ze složky cache při jeho spuštění. Po přečtení obsahu tohoto souboru Průzkumník mezipaměti uživatelské brány zobrazí seznam zdrojů uložených v mezipaměti. Ovládací panel Cache Explorer má několik tlačítek, která umožňují filtrovat obsah mezipaměti podle velikosti, rozšíření atd. Filtrovaná data lze uložit do složky na vašem pevném disku pro další pečlivé studium.
• Funkce přiřazení portů(Mapování portů) umožňuje svázat libovolný vybraný port jednoho z lokálních IP rozhraní s požadovaným portem vzdáleného hostitele. Přiřazení portů se používá k organizaci provozu klientských aplikací, her a dalších programů, které vyžadují předávání paketů na konkrétní IP adresu. Pokud potřebujete přístup z Internetu ke konkrétnímu síťovému zdroji, lze toho dosáhnout také pomocí funkce přiřazení portů.
• Správa provozu: řiďte a zohledněte svůj síťový provoz
  Funkce „Traffic Management“ je určena k vytváření pravidel, která řídí přístup uživatelů místní sítě k internetu, k vytváření a změně používaných tarifů UserGate.
  Upozornění: Ovladač NAT zabudovaný do proxy serveru UserGate, poskytuje nejpřesnější účtování internetového provozu.
  V proxy serveru UserGate je možné oddělit různé typy provozu, například místní a zahraniční internetový provoz. V reálném čase také monitoruje provoz, IP adresy aktivních uživatelů, jejich přihlášení a navštívené URL.
• Vzdálená správa umožňuje správci systému být mobilní, protože je nyní možné spravovat proxy server UserGate na dálku.
• Automatické a ruční zasílání uživatelům informace o jejich provozu prostřednictvím e-mailu, a to i prostřednictvím serverů s autorizací SMTP.
• Připojení k kaskádový proxy s možností autorizace.
• Flexibilní generátor sestav s možností exportu do MS Excel a HTML.
• Různé způsoby autorizace uživatelů: podle všech protokolů; podle IP adresy, podle IP+MAC, IP+MAC (předplatné); podle uživatelského jména a hesla; pomocí autorizace Windows a Active Directory.
• Import uživatelů z Active Directory- nyní nemusíte ručně vytvářet několik stovek uživatelů, program udělá vše za vás.
• Plánovač úloh umožňuje v určený čas provést jednu z předdefinovaných akcí: odeslat statistiku, spustit program, navázat nebo ukončit vytáčené připojení, aktualizovat antivirové databáze.
• UserGate podporuje následující protokoly:
  • HTTP (mezipaměti);
  • FTP (mezipaměti);
  • Ponožky4, Ponožky5;
  • POP3;
  • SMTP;
  • Jakýkoli protokol UDP/TCP přes NAT (Network Address Translation) a přes přiřazení portů.

Úspora peněz za používání internetu

Pomocí vestavěných filtrů UserGate blokuje načítání reklam z internetu a zakazuje přístup k nechtěným zdrojům.

Upozornění: Správce může zakázat stahování souborů určité přípony, například jpeg, mp3.

Program si také může zapamatovat (cachovat) všechny navštívené stránky a obrázky, čímž uvolní kanál pro stahování užitečných informací. To vše výrazně snižuje nejen provoz, ale i čas strávený na lince.

Proxy server UserGate: účtování vašeho síťového provozu!