Manual del dispositivo ProSecure UTM10/UTM25 para la Gestión Unificada de las Amenazas

Transcripción

1 Manual del dispositivo ProSecure UTM10/UTM25 para la Gestión Unificada de las Amenazas Septiembre 2009 v1.0 NOTA de la traductora: el texto en rojo se refiere a información que no está en este documento, ver si se queda o se quita.

2 CAPÍTULO 1 INTRODUCCIÓN Este capítulo ofrece una explicación general de las características y capacidades del Dispositivo ProSecure UTM10/UTM25 para la Gestión Unificada de las Amenazas. Este capítulo contiene las siguientes secciones: Qué es un dispositivo ProSecure UTM10/UTM25 para la gestión Unificada de las Amenazas? en esta página. Características y Capacidades página 2. Tarjeta de registro de servicio con claves de licencia página 8. Contenido del Paquete página 9. Características del Hardware página 9. Escoger el enclave adecuado para el UTM página 14. Qué es un dispositivo ProSecure UTM10 o UTM25 para la Gestión Unificada de la Amenazas? El dispositivo ProSecure UTM10 o UTM25 para la Gestión Unificada de las Amenazas, de aquí en adelante UTM, conecta su red local (LAN) a Internet mediante uno o dos dispositivos de acceso externos de banda ancha tales como módems de cable o módems ADSL. Los puertos WAN permiten aumentar el rendimiento del dispositivo, utilizando estos puertos para llevar todo el peso del tráfico de la sesión o para mantener una conexión de backup en caso de fallo de la conexión primaria a Internet. Como una solución de seguridad completa, el dispositivo UTM combina un firewall potente y flexible con un escáner de contenido que utiliza la tecnología Stream Scanning de NETGEAR para proteger la red de ataques DoS (Denial of Service), tráfico no deseado, tráfico con contenido dudoso, spam, phishing y amenazas Web como virus, spyware y otras amenazas de programas malignos. El dispositivo UTM ofrece tecnología avanzada Ipsec y VPN SSL para conexiones remotas seguras. La utilización de los puertos LAN y WAN Ethernet Gigabit asegura una velocidad de transferencia de datos extremadamente alta. El dispositivo UTM es plug-and-play y puede instalarse y configurarse en cuestión de minutos. Página 2-16

3 Principales Características y Capacidades El dispositivo UTM ofrece las siguientes características y capacidades: En el dispositivo UTM10 un puerto WAN Ethernet Gigabit de 10/100/1000 Mbps. En el UTM25, dos puertos WAN Ethernet Gigabit de 10/100/1000 Mbps que permiten equilibrio de carga del tráfico o una protección contra fallos de la conexión a Internet, y ofrecen un aumento de la fiabilidad del sistema y/o un incremento de su rendimiento. Cuatro puertos LAN Ethernet Gigabit de 10/100/1000 Mbps incorporados para una transferencia de datos extremadamente rápida entre equipos de la red local. Soporta hasta 15 (UTM10) ó 30 (UTM25) usuarios concurrentes y hasta (UTM10) ó (UTM25) sesiones simultáneas. Soporta tecnología VPN Ipsec y VPN SSL avanzada con soporte para hasta 10 (UTM10) ó 25 (UTM25) túneles VPN IPsec site-to-site y hasta 5 (UTM10) ó 13 (UTM25) túneles VPN SSL dedicados. Software ProSafe VPN cliente de NETGEAR, con licencia para 1 usuario (VPN01L). Soporta firewall SPI (Stateful Packet Inspection) avanzado con multi-nat. Tecnología Stream Scanning que permite escanear en tiempo real protocolos, como por ejemplo HTTP. Seguridad completa para Web y mail, incluyendo los seis protocolos principales: HTTP, HTTPS, FTP, SMTP, POP3, y IMAP Base de datos de malware que contiene cientos de miles de registros de spyware, virus y otras amenazas malware. Actualización frecuente de los registros malware, cada hora si es necesario. El dispositivo UTM puede comprobar automáticamente si existen nuevos registros de malware con una frecuencia de hasta cada 15 minutos. Múltiples tecnologías antispam para ofrecer una protección ampliada contra el mail no deseado. Asistente de configuración basado en Web para una instalación y gestión sencillas. SNMP-gestionable. Incluye LEDs en la parte frontal para controlar la actividad y el estado del dispositivo Memoria Flash para las actualizaciones del firmware Fuente de alimentación interna de enchufe universal. Página 3-16

4 Dos Puertos WAN para aumentar la fiabilidad o el equilibrio de carga del tráfico de salida (sólo en el dispositivo UTM25) El dispositivo UTM25 tiene dos puertos WAN de banda ancha. El segundo puerto WAN permite conectar una segunda línea de banda ancha que puede configurarse para: Ofrecer un backup y recuperación de datos en caso de fallo de una línea, asegurando que nunca estará desconectado. Disponer de equilibrio de carga de tráfico o utilizar ambas líneas de forma simultánea para el tráfico de salida. El dispositivo UTM25 distribuye los usuarios entre dos líneas para conseguir la mayor eficacia del ancho de banda. Ver Planteamiento de Red para Puertos Dual WAN (sólo UTM25) en la página B-1 para plantear los factores a considerar cuando se implementa las siguientes capacidades en los gateways con puertos dual WAN: Uno o multiples hosts expuestos. Redes Virtuales Privadas (VPN). Soporta VPN avanzado para IPsec y SSL Los UTM soportan conexiones VPN (Redes Virtuales Privadas) mediante Ipsec y SSL. VPN IPsec ofrece un acceso completo a la red entre las oficinas centrales y sus sucursales o entre las oficinas centrales y los puestos remotos. El acceso remoto requiere la instalación de un software cliente VPN en el ordenador remoto. El VPN Ipsec soporta protocolo de ancho de banda seguro para la conexión con otros gateways y clientes IPsec. Software ProSafe VPN cliente de NETGEAR, con licencia para 1 usuario (VPN01L) Soporta hasta 10 (UTM10) ó 25 (UTM25) túneles VPN IPsec site-tosite. VPN SSL ofrece acceso remoto para usuarios a recursos corporativos seleccionados sin necesidad de instalar un cliente VPN en sus ordenadores. Utiliza el conocido protocolo SSL (Secure Sockets Layer), comúnmente utilizado para transacciones electrónicas comerciales, ofreciendo al cliente acceso libre con portales de usuario personalizables y soportando una gran variedad de tipo de usuario. Basado en navegador Web independientemente de la plataforma, permite el acceso remoto a través de un gran número de navegadores Web populares como Microsoft Internet Explorer, Mozilla Firefox, o Apple Safari. Ofrece acceso granular a los recursos corporativos tomando como base el tipo de usuario o miembro de grupo Soporta hasta 5 (UTM10) ó 13 (UTM25) túneles VPN SSL dedicados. Página 4-16

5 Un Firewall real y potente Manual del Dispositivo ProSecure UTM10/UTM25 A diferencia de los routers NAT compartidos para Internet, el dispositivo UTM es un firewall real, que utiliza SPI (Stateful Packet Inspection) para defenderse de los ataques de los hackers. Sus características de firewall tienen las siguientes capacidades: Protección DoS. Detecta e impide de manera automática los ataques DoS (Denial of Service) como Ping of Death y SYN Flood. Firewall seguro. Bloquea el tráfico no deseado entre Internet y la red LAN. Configuración de Políticas de seguridad. Permite configurar las políticas de seguridad por día y hora. Log de incidencias en la seguridad. Logs de incidencias en la seguridad como tráfico de entrada bloqueado, escaneado de puerto, ataques y logins del administrador. El firewall se puede configurar para enviar un con el log a intervalos de tiempo específicos. También se puede configurar para enviar un mensaje de o SMS de alerta inmediato cuando ocurra algo significativo. Filtrado del contenido mediante Stream Scanning La tecnología Stream Scanning está basada en la simple observación de que el tráfico en la red viaja en corrientes (streams). El motor de escaneado del dispositivo UTM comienza a recibir y analizar el tráfico en cuanto entra el stream en la red. El proceso de escaneado comienza en el momento en el que una cantidad de bites está disponible. El motor de escaneado seguirá escaneando más bites a medida que estén disponibles, mientras que por otra parte se va distribuyendo los bites que ya han sido escaneados. Este proceso en el cual la recepción, el escaneado y la distribución ocurre al mismo tiempo asegura que el rendimiento de la red permanece intacto, dando como resultado un escaneado de ficheros que es hasta 5 veces más rápido que con las soluciones antivirus tradicionales. La tecnología Stream Scanning también permite a las empresas soportar picos masivos de tráfico, como por ejemplo un ataque malware. El motor de escaneado tiene las siguientes capacidades: Protección en tiempo real. La tecnología Stream Scanning permite escanear los protocolos como HTTP, antes indefensos, en tiempo real. Las actividades de la red susceptibles a latencia (por ejemplo navegación por Web) ya no suponen una pérdida de tiempo. Protección completa. Ofrece seguridad Web y , abarcando los seis protocolos más importantes: HTTP, HTTPS, FTP, SMTP, POP3, y IMAP. El dispositivo UTM utiliza motores de escaneado de nivel corporativo utilizando la tecnología del Análisis de Spam Distribuido y tecnología basada en registros para parar las amenazas conocidas y desconocidas. La base de Página 5-16

6 datos de malware contiene cientos de miles de registros de spyware, virus y otros malware. Protección de tráfico censurable. El dispositivo UTM previene que el contenido censurable llegue a nuestro ordenador. Se puede controlar el acceso al contenido de Internet mediante un rastreo de los servicios Web, direcciones Web y palabras clave dentro de las direcciones Web. Es posible crear un log y reportes de los intentos de acceso a páginas de Internet censurables. Actualización automática de registros. Los registros de malware se actualizan cada hora, y el dispositivo UTM puede comprobar automáticamente si hay nuevos registros con una frecuencia de hasta cada 15 minutos. Características de Seguridad El dispositivo UTM está equipado con diferentes características diseñadas para salvaguardar la seguridad: PCs ocultados por un NAT. NAT abre una ruta temporal a Internet mediante peticiones que se originan en la red local. Las peticiones que se originan fuera de la LAN se desestiman, para prevenir que usuarios de fuera de la LAN puedan encontrar y acceder directamente a los equipos que componen la LAN. Fowarding de puerto con NAT. Aunque NAT previene la localización directa y acceso a los equipos que componen la LAN, el dispositivo UTM permite dirigir el tráfico de entrada a un equipo específico basándose en el número de puerto de la petición entrante. Se puede especificar el forwarding de un puerto o de un rango de puertos. Puerto DMZ (Demilitarized Zone). El dispositivo UTM normalmente descarta el tráfico entrante proveniente de Internet a no ser que sea una respuesta de uno de los equipos o servicios de la red local al cual se le haya configurado para que acepte la entrada. En lugar de descartar este tráfico se puede utilizar un puerto dedicado DMZ para llevar el tráfico a un equipo de la red local. Conexiones Ethernet Autosensing con Auto Uplink El dispositivo UTM con sus 4 puertos de 10/100/1000 Mbps y uno (UTM10) o dos (UTM25) puertos WAN de 10/100/1000 Mbps, se puede conectar a 10 Mbps a la red Ethernet estándar, a 100 Mbps a la red Fast Ethernet o a 1000 Mbps a la red Ethernet Gigabit. Las cuatro conexiones LAN y una o dos WAN son autosensing y capaz de funcionar en modo full-duplex o half-duplex. El dispositivo UTM incorpora la tecnología Auto Uplink TM. Cada puerto Ethernet detecta automáticamente si el cable Ethernet conectado en el puerto debe tener una conexión normal a un PC o una conexión uplink a un switch o hub. Este puerto se autoconfigura para cada ocasión. Esta Página 6-16

7 característica elimina la necesidad de pensar en los diferentes cables ya que el Auto Uplink se acomoda al tipo de cable que recibe y realiza la conexión correcta. Amplio Soporte de Protocolos El dispositivo UTM soporta TCP/IP (Transmissión Control Protocol/Internet Protocol) y RIP (Routing Information Protocol). Para más información sobre TCP/IP, ver Requisitos de Configuración de Internet en la página B-3. El dispositivo UTM soporta los siguientes protocolos: Dirección IP compartida por NAT. El dispositivo UTM permite que muchos equipos de la red compartan una cuenta de Internet utilizando sólo una dirección IP, la cual puede ser asignada de forma estática o dinámica por el proveedor de servicios de Internet (ISP). Esta técnica conocida como NAT, permite el uso de una cuenta de usuario ISP. Configuración automática para añadir PCs a la red por DHCP. El dispositivo UTM asigna de forma dinámica la información de la configuración de la red a los equipos de la LAN usando el protocolo DHCP (Dynamic Host Configuration Protocol). Esta información incluye: direcciones IP, de gateway y de servidores de dominios (DNS). Esta característica simplifica enormemente el proceso de configuración de los equipos en la red local. Proxy DNS. Cuando el protocolo DHCP está disponible y no se especifica ninguna dirección DNS, el firewall ofrece su propia dirección, como un servidor DNS, al equipo que se incorpora a la red. El firewall obtiene las direcciones DNS del ISP durante la configuración de la conexión y las va enviando a medida que recibe peticiones de la LAN. PPP sobre Ethernet (PPPoE). PPPoE es un protocolo que sirve para conectar hosts remotos a Internet mediante una conexión ADSL simulando una conexión telefónica. QoS (Quality of Service). El dispositivo UTM soporta QoS, incluyendo priorización del tráfico y clasificación del tráfico señalando el Tipo de Servicio (ToS Type Of Service) y Diferenciación de Servicios por código (DSCP Differenctiated Services Code Point). Instalación y Gestión sencillos El dispositivo UTM se puede instalar, configurar y poner en funcionamiento en cuestión de minutos después de conectarlo a la red. Las siguientes características simplifican las tareas de instalación y gestión. Asistente de Gestión basado en navegador. La configuración basada en navegación permite configurar sencillamente el firewall en casi cualquier tipo de ordenador equipado con Windows, Macintosh, o Linux. Incorpora un Página 7-16

8 asistente de configuración fácil de manejar y el interfaz de gestión basado en navegador Web incluye documentación de ayuda online. Autodetección del ISP. El dispositivo UTM detecta automáticamente el tipo de conexión a Internet que se realiza, preguntando sólo la información que se necesita relacionada al tipo de cuenta del ISP. Asistente VPN IPsec. El dispositivo UTM incluye un asistente VPN IPsec de NETGEAR para configurar fácilmente los túneles VPN IPsec de acuerdo a las recomendaciones del consorcio VPNC (Virtual Private Network Consortium) para asegurar que los túneles VPN IPsec son compatibles con otros VPNC y con routers y clientes VPN. Asistente VPN SSL. El dispositivo UTM incluye un asistente VPN SSL de NETGEAR para configurar fácilmente conexiones SSL sobre VPN de acuerdo a las recomendaciones del VPNC para asegurar que las conexiones SSL son compatibles con otros VPNC y con clientes y routers VPN. SNMP. El dispositivo UTM soporta el protocolo SNMP (Simple Network Management Protocol) para permitir controlar y gestionar los recursos del log desde un gestor del sistema compatible con SNMP. El sistema de configuración SNMP permite cambiar las variables de sistema para MIB2. Funciones de diagnóstico. El dispositivo UTM incorpora funcionalidades de diagnóstico tales como Ping, localización de ruta, búsqueda de DNS y reinicio remoto. Gestión remota. El dispositivo UTM permite el acceso al interfaz de gestión basado en Web de forma remota a través de Internet. Por seguridad se puede limitar el acceso de gestión remota especificando una dirección IP o un rango de direcciones Control visual. El dispositivo UTM incorpora LEDS en su parte frontal para controlar fácilmente su estado y actividad. Soporte y Mantenimiento NETGEAR ofrece las siguientes características para ayudar a maximizar el uso del dispositivo UTM: Memoria Flash para actualizar el firmware Soporte técnico los 7 días de la semana, las 24 horas del día de acuerdo a los términos especificados en la tarjeta de información de Garantía y Soporte que se incluye con el producto. Página 8-16

9 Tarjeta de Registro de Servicio con Claves de Licencia Asegúrese de guardar la tarjeta de la licencia con la claves de activación que incluye el dispositivo UTM en un lugar seguro. Necesitará estas claves para activar el producto durante la configuración inicial. Imagen 1-1 Nota: Cuando se restaura el dispositivo UTM a la configuración de fábrica por defecto después de haber utilizado las claves de la licencia para activar el dispositivo (ver Registrar el UTM con NETGEAR página 2-27), las claves de la licencia se borrarán. Las claves de la licencia y los diferentes tipos de licencias disponibles en el dispositivo UTM no se volverán a mostrar en la pantalla de Registro. Sin embargo, después de reconfigurar el dispositivo UTM para conectarse a Internet y al servidor de registro de NETGEAR, el dispositivo UTM recupera y restablece toda la información del registro basándose en su dirección MAC y el número de serie del hardware. No se necesita introducir de nuevo las claves de la licencia y reactivar el dispositivo UTM. Página 9-16

10 Contenido del Paquete Manual del Dispositivo ProSecure UTM10/UTM25 El paquete del dispositivo UTM contiene lo siguiente: Dispositivo ProSecure UTM10/UTM25 Un cable AC Patas de goma (4). Un kit de montaje en rack (sólo en el UTM25). Guía de Intalación. CD de recursos que incluye: Notas del aplicativo y otra infomación de ayuda. Software cliente ProSafe VPN (VPN01L) Tarjeta de Registro con claves de licencia. Tarjeta de información de Soporte y Grantía. Si alguna de la partes son incorrectas, faltan o están dañadas, contacte a su distribuidor NETGEAR. Es recomendable guardar la caja, incluyendo los materiales originales de embalaje, en caso de necesitar devolver el producto para reparación. Características del Hardware Los puertos frontales y los LEDs, los puertos de la parte posterior y la etiqueta inferior del dispositivo UTM se describen a continuación. Parte frontal Visto de izquierda a derecha, el dispositivo UTM tiene en su panel frontal los siguientes puertos (ver imagen 1-2 de la página 1-10, que muestra el UTM25): Un puerto USB que no funciona: este puerto se ha incluido para futuras mejoras en la gestión. Este puerto no está operativo actualmente en el dispositivo UTM. Puertos Ethernet LAN: 4 puertos RJ45 Ethernet Gigabit con tecnología N para negociar la velocidad automáticamente y Auto MDI/MDIX. Puertos Ethernet WAN: Uno (UTM10) o dos (UTM25) puertos RJ45 Ethernet Gigabit independientes con tecnología N para negociar la velocidad automáticamente y Auto MDI/MDIX. Página 10-16

11 El panel frontal también incluye tres grupos de indicadores de estado en forma de diodos que emiten luz (LEDs): Encendido y LEDs de chequeo, LEDs de LAN y LEDs de WAN. Todos ellos se explican en la tabla 1-1. LED de Encendido Puerto USB LEDs de LAN izq. LED DMZ LEDs de WAN izq. LED de Chequeo LEDs de LAN dcha. LEDs de ac tividad WAN LEDs de WAN dc ha. Imagen 1-2 Nota: La imagen 1-2 muestra el dispositivo UTM25 con dos puertos WAN. El UTM10 tiene un único puerto WAN (el puerto WAN de la izquierda que se muestra en la imagen 1-2) y no dispone de LEDs de actividad WAN. La función de cada LED se explica en la siguiente Tabla1-1. (Tabla 1.1 en la siguiente página) Página 11-16

12 Tabla 1-1. Descripciones de los LEDs Objetivo Actividad Descripción Energía Encendido (verde) La energía se suministra al dispositivo UTM Apagado La energía no se suministra al dispositivo UTM Encendido (ambar) durante el encendido Modo Comprobación: El dispositivo UTM se está iniciando. Después de aproximadamente 2 minutos cuando el UTM complete la inicialización, el LED de Chequeo se apagará Chequeo Encendido (ambar) en cualquier otro momento La inicialización ha fallado o hay un fallo en el hardware Parpadeando (ambar) Escribiendo en la memoria flash (durante una actualización o reseteo por defecto) Apagado El sistema se ha arrancado correctamente. Puertos LAN LED izquierdo LED derecho LED DMZ Puertos WAN LED izquierdo LED derecho LED de actividad (sólo para el UTM25) Apagado El puerto LAN no se ha conectado Encendido (verde) El puerto LAN ha detectado una conexión con un dispositivo Ethernet conectado Parpadeando (verde) La información se está transmitiendo o recibiendo por un puerto LAN Apagado El puerto LAN está trabajando a 10 Mbps Encendido (ambar) El puerto LAN está trabajando a 100 Mbps Encendido (verde) El puerto LAN está trabajando a 1000 Mbps Apagado El puerto 4 está trabajando como un puerto LAN normal Encendido (verde) El puerto 4 está trabajando como un puerto de hardware DMZ dedicado Apagado El puerto WAN no tiene conexión física, es decir, el cable Ethernet no esta enchufado en el dispositivo UTM Encendido (verde) El puerto WAN no tiene una conexión válida con un dispositivo que ofrece conexión a Internet Parpadeando (ambar) La información se está transmitiendo o recibiendo por el puerto WAN Apagado El puerto WAN está trabajando a 10 Mbps Encendido (ambar) El puerto WAN está trabajando a 100 Mbps Encendido (verde) El puerto WAN está trabajando a 1000 Mbps Apagado El puerto WAN no esta disponible o no tiene conexión con Internet. Encendido (verde) El puerto WAN tiene una conexión a Internet válida. Página 12-16

13 Parte Trasera La parte trasera del dispositivo UTM incluye un enchufe de seguridad para cable, un puerto consola, un botón para resetear el dispositivo y un enchufe eléctrico AC. Enchufe de seguridad Puerto consola Botón Reset Enchufe eléctrico AC Imagen 1-3 Visto desde izquierda a derecha la parte de atrás dispone de los siguientes componentes: 1. Un enchufe de seguridad para cable. 2. Puerto Consola. Un puerto para conectarse a una consola. Los puertos tienen un conector macho DB9. El índice de baudios por defecto es de 9.600k. Las clavijas de salida son: (2) Tx, (3) Rx, (5) y (7) Gnd. 3. El botón de resetear y reiniciar el dispositivo con la configuración de fábrica por defecto. Utilizando un objeto punzante, apretar y mantener este botón durante unos 8 segundos hasta que la luz de Comprobando de la parte frontal parpadee para reiniciar el dispositivo UTM con la configuración de fábrica por defecto. Los parámetros de configuración se perderán y se restaurarán las claves por defecto. 4. Enchufe eléctrico AC. Enchufe AC universal ( V, Hz). Etiqueta de producto situada en la parte inferior La etiqueta del producto de la parte inferior del dispositivo UTM muestra la información del fabricante, la compatibilidad con la regulación vigente y otra información (ver imagen 1-4 y 1-5 de la página 1-13) Página 13-16

14 Imagen 1-4 muestra la etiqueta del producto de un UTM10. Figure 1-4 Imagen 1-5 muestra la etiqueta de producto de un UTM25. Figure 1-5 Página 14-16

15 Elegir un lugar para el dispositivo UTM El dispositivo UTM es perfecto para un entorno de oficina donde puede colocarse suelto (encima de sus patas de goma) o montado en un rack estándar. También se puede realizar el montaje en rack de UTM en un armario de cableado o en una sala de equipos. El kit de montaje en rack incluido en el paquete del dispositivo UTM25 contiene dos soportes de montaje y cuatro tornillos. Cuestiones a tener en cuenta a la hora de decidir dónde colocar el dispositivo UTM: Que la unidad sea accesible y los cables de pueden conectar fácilmente. Que lo cables estén fuera del alcance de fuentes de ruido eléctrico, como huecos de ascensor, hornos microondas y unidades de aire acondicionado. Que el agua o la humedad no puedan entrar en la caja de la unidad. Que no se limite el aire de alrededor de la unidad y de los ventiladores de los lados de la caja. Intentar que el dispositivo tenga como mínimo una zona libre de 0,5 X 2,5cm. Que el aire esté lo más libre de polvo posible. Los límites de temperatura de funcionamiento no deben superarse. Debe instalar la unidad en un entorno limpio y con aire acondicionado. Para más información sobre la temperatura de funcionamiento recomendada ver Apéndice A, Configuración por Defecto y Especificaciones Técnicas. Como utilizar el kit de montaje en rack Para instalar el dispositivo UTM en un rack debe utilizarse el kit de montaje. (Se incluye un kit de montaje en el paquete del dispositivo UTM25). Colocar los soportes utilizando los materiales suministrados en el kit de montaje. Imagen 1-6 Página 15-16

16 Antes de montar el dispositivo UTM en un rack, verificar que: Dispone de los tornillos correctos (suministrados en el kit de instalación) El rack donde se va a montar el dispositivo tiene la situación correcta. Página 16-16