最近，我們接到了某客戶的一起故障——BlueCoat代理服務器因為斷電故障無法啟動，導致用戶無法訪問互聯網，客戶無Bluecoat的備機，讓我們來看看能否借一臺備機臨時抵用，BlueCoat的備機一時半會兒協(xié)調不到，正好我們在研究CheckPoint的一些新功能，Checkpoint是可以當作代理服務器使用，于是，經過一番設置，我們就用CheckPoint實現了代理服務器的功能，解決了用戶的燃眉之急。下面就來詳細看看CheckPoint的代理服務器功能如何部署。

一、部署場景

        CheckPoint 代理服務可以使用兩種方式進行部署：串接模式和旁路模式。

1.

>>>互聯網出口<<<

        防火墻串接在互聯網出口，可以當作防火墻進行安全防護，同時充當代理服務器。

2.

>>>旁路部署<<<

        使用單臂模式，不影響現網環(huán)境，靈活部署。

二、Checkpoint 代理配置

1、登錄SmartConsole雙擊打開防火墻對象

2、切換到HTTP/HTTPS Proxy配置面版進行操作

3、勾選Use this gateway as an HTTP/HTTPS Proxy打開代理開關

 

4、proxy mode代理模式包含兩種，透明模式和非透明模式。

透明：

        指定端口和接口上的所有HTTP流量都由安全網關中的代理攔截和處理?？蛻舳藷o需配置。

非透明：

        指定端口和接口上的所有HTTP / HTTPS流量都由安全網關中的代理攔截和處理?？蛻舳擞嬎銠C上需要配置代理地址和端口一般配置選擇非透明模式。

 

5、設置訪問控制，從哪些接口接受HTTP請求

所有內部接口：

        來自所有內部接口的HTTP / HTTPS流量由安全網關中的代理處理。

特定接口：

        來自列表中指定的接口的 HTTP / HTTPS流量由安全網關中的代理處理。

6、端口設置

        默認情況下，僅在端口8080上攔截流量?？梢愿鶕枰砑踊蚓庉嫸丝凇?/span>

 

7、高級設置

X-Forward-For heade：

        在http報文中插入實際的源地址信息，對于需要溯源的應用必須開啟。

Proxy related headers：

        默認情況下，HTTP標頭包含“ Via ”代理相關標頭。如果不想包含此信息，可以清除此復選框。

8、防火墻策略

        需要放行被代理的網段或者主機到防火墻代理IP的指定端口的流量（8080），如

192.168.1.0/24 --> 192.168.2.254:8080

        其中，192.168.1.0/24是需要代理的網段，192.168.2.254是防火墻接受代理的內網口，8080是代理端口。

 

9、安全防護

        CheckPoint威脅防御提供了一種多層級感染前，感染后的防御方式，以及進行安全檢測并攔截惡意軟件的統(tǒng)一安全威脅防御平臺，提供了相應的威脅防御軟件刀片：

應用控制(APP Control)和URL過濾(URL Filter)

        應用程序控制軟件刀片為各種規(guī)模的組織提供應用程序安全性和身份控制。它使IT團隊能夠輕松地基于用戶或組創(chuàng)建精細策略，以識別、阻止或限制Web應用程序、網絡協(xié)議和其他非標準應用程序的使用。

 

入侵防御系統(tǒng)（IPS）

        Check Point入侵防御系統(tǒng)（IPS）軟件刀片將業(yè)界領先的IPS保護與突破性性能相結合，成本低于傳統(tǒng)的獨立IPS解決方案。 IPS軟件刀片提供完整、主動的入侵防護，具有統(tǒng)一和可擴展的下一代防火墻解決方案的部署和管理優(yōu)勢。

 

防僵尸（Anti-Bot）和防病毒（AV）

        今天的企業(yè)正面臨來自先進和復雜惡意軟件的安全威脅的多樣性和數量的前所未有的增長。這些惡意攻擊可能會集中于竊取數據，破壞業(yè)務連續(xù)性以及破壞企業(yè)的聲譽。為了幫助保持領先于現代惡意軟件，早期檢測和快速響應至關重要。安全團隊應積極尋求在感染環(huán)境之前識別和確認感染。這種主動方法有助于節(jié)省企業(yè)資源并最大限度地減少惡意軟件損壞。Check Point全面的威脅防御解決方案有助于保護網絡免受當今復雜的惡意軟件和網絡攻擊。Check Point引入了多層防御，包括Anti-Bot和Anti-Bot軟件刀片。此刀片提供了一種感染后解決方案，可通過阻止僵尸網絡通信渠道來檢測和預防機器人威脅。

 

10、日志

        安全網關打開兩個連接（一個與客戶端的連接和一個與實際目標服務器的連接），但只有防火墻模塊可以記錄兩個連接。

        其他刀片（如IPS，AV，AB）僅顯示客戶端與安全網關之間的連接。

        日志的“目標”字段僅顯示安全網關，而不顯示實際的目標服務器，“資源”字段顯示實際目的地。

三、客戶端設置

1 網絡設置

        對于客戶端的網絡，正常配置IP、掩碼、網關和DNS，如果代理服務器和客戶端在同一個網段里，網關都不需要設置，當然設置網關也方便訪問內網其他網段。DNS可以設置內網的一個DNS服務器，也可以設置為代理服務器。

2 瀏覽器設置

        以主流的Chorme、Firefox和IE瀏覽器為例：

2.1、Chrome和IE瀏覽器

        在Chrome或IE瀏覽器設置中找到代理設置,下圖以chorme示例

        在打開的界面中，選擇連接-局域網設置,這一步IE和Chorme設置一樣。

        在局域網設置里，勾選“在局域網中使用代理服務器”，輸入checkpoint防火墻上代理的IP和端口，192.168.1.100和8080。

2.2、Firefox瀏覽器

        在設置項中找到網絡設置。

        打開settings，選擇手工代理配置，在http proxy,輸入代理IP和端口。