Endian UTM Yapılanması

Merhaba bu makalede çoğu kişinin bilmediği açık kaynak bir UTM yani firewall dan bahsedeceğim. Endian Firewall (güvenlik duvarı), İtalyan şirketi Endian tarafından geliştirilen açık kaynaklı bir yönlendirici, güvenlik duvarı ve ağ geçidi güvenliği Linux dağıtımıdır. Ürün hem özgür yazılım olarak, hemde ücretli donamım olarak bulabilirsiniz. Bu makalede Endian 3.3.0 sürümünün kurulumunu ve bazı yapılanmalarına değineceğim. Firewall nedir, bunun faydaları nelerdir, bu makalede hangi yapılanmalarından bahsedeceğimize değinelim,

Endian UTM

Endian UTM yukarıda da bahsettiğim gibi İtalyan bir şirket tarafından kurulan ve açık kaynak olarak dağıtılan bir linux tabanlı bir Firewall yazılımıdır. pFsense den çok bir farkı olmasa da orta ölçekli bir işletme için ideal bir yapısı vardır, kurulumu kullanımı çok kolay ve aşırı sistem tüketmeyen bir yapıya sahiptir,

Endian UTM Özellikleri

• Proxy ile hem http hem https ağınızı filtreleyebilirsiniz,
• NAT, DMZ, Prot yönendirmelerini yaparak ağ trafiğinizi yönlendirebilirsiniz,
• VPN kullanarak uzaktan iş yerinize güvenli bir şekilde bağlanabilirsiniz,
• Log tutarak, herhangi bir adli soruşturmada kayıtları sunabilirsiniz,

ve daha sayamadığım bir çok özellikleri de mevcuttur, Endian UTM de en çok beğendiğim tarafı çok ayar olmaması, sade ve herkesin kullanabileceği bir yapıda olması, makaleyi inceledikten sonra ne kadar kolay bir kurulumu olduğunu siz de fark edeceksiniz,

Endian UTM Nerden İndirebilirim

Açık kaynak bir yazılım olan Endian 3.3.0 https://sourceforge.net/projects/efw/ bu siteden indirebilirsiniz, indiriğiniz iso dosyasını bir cd yada flash diske aktararak, 1 GHZ (VIA, AMD Athlon, Athlon 64, Opteron, Intel Core 2 Duo, Xeon, Pentium, Celeron) işlemci 1 GB (2gb tavsiye ediyorum) rem ve 100 gb hdd ağ yöneldirmesi için 2 adet ethernet karı ile çok rahat kullanabilirsiniz,

Endian UTM Kurulumu

İso dosyasını indirdikten sonra rufush yardımı ile bir flash diske dosyayı kopyalayın ve kuracağınız bilgisayarı Flash disk (cd çekecekseniz cd) ile başlatınız.

Kurulum Aşaması

Herhangi bir dil seçiniz (İngilizce seçili),

Ok seçiniz,

Kurulumu başlatmak için Yes seçiniz,

Kurulum başlıyor,

Firewall ip atamak için Yes seçiniz,

Herhangi bir ip verebilirsiniz, ben 192.168.1.254 numaralı ip tanımladım,

Ok seçtikten sonra biraz bekleyiniz, sistem kendini kapatıp yeniden açacaktır, bilgisayarda usb diski yada cd varsa çıkartınız,

Biraz bekledikten sonra bu ekran karşılayacak bizi, artık iç ağda herhangi bir pc den işlemlere başlayabiliriz,

İç ağda açtığımız bir bilgisayardan baktığımızda DHCP çalıştığını görebilirsiniz,

İlk Yapılandırmalar

Kurulum aşaması bittikten sonra kontrol paneline bağlanıp belirli ayarlar yapmamız gerekmektedir,

Management URL herhangi bir web tarayıcı yardımı ile bağlanıp ayarlara başlayalım,

SSL sertifikası olmadığı için SSL hatası verdi, 192.168.1.254 sitesinde ilerle (güvenli değil) linkine tıklayarak devam ediniz,

İleri (>>>) butonuna tıklayınız,

Dil be Tarih zamanını seçip ileri butonuna tıklayınız,

Sözleşmeyi kabul ediniz ve ileri butonuna tıklayınız,

Yedeğiniz varsa eski yedeğinizi yükleyebilirsiniz ve ekstra bir ayar yapmanıza gerek kalmaz, ben sıfır kurulum yapacağım için ileri butonuna tıklıyorum,

Yönetici ve ssh şifrelerini belirleyiniz ve ileri butonuna tıklayınız,

İleri butonuna tıklayınız,

İleri butonuna tıklayınız, DMZ yada Wifi yapısı oluşturmayacağım için,

LAN bacağında dağıtılacak ip ve UTM’nin ip adresini değiştirebilirsiniz, ben değiştirmedim, Bilgisayar adı ve bir alan adı belirleyip ileri butonuna tıklıyorum,

Wan bacağı ile ilgili bir değişiklik yapmaya gerek duymuyorum ve ileri butonuna tıklıyorum,

İleri butonuna tıklıyoruz,

Boş bırakabilirsiniz, ileri butonu ile devam ediyoruz,

Tama butonuna tıklıyoruz,

Yapılanmanın tam oturması için biraz bekliyoruz,

Demin belirlediğimiz admin ve şifresini girip kontrol paneline giriş yapıyoruz,

Güncellemelerden haberdar olmak isterseniz, yeni hesap oluşturup mail adresinizle kayıt olabilirsiniz, ben geçiyorum burayı, Güncelleme istemiyorum linkine tıklayarak geçebilirsiniz,

Evet sistem çalışır halde bir sıkıntımız yok, internet bağlantısı var mı diye bir kontrol edelim,

Evet internetimiz de var,

Saat ile ilgili bir problem yaşamamak için Servisler > Zaman sunucusu na tıklayınız, Zaman dilimini İstanbul, ve saati de kendi saat diliminize göre ayarlayıp Zamanı ayarla butonuna tıklayınız, SSL sertifikaları saat farkı olacağından sorun yaşamamak için bunu yapmak zorundasınız,

Port Yönlendirme

İçeri ve dışarı iletişimini sağlamak için, firewall üzerinden port işlemleri yapmanız gerekmektedir, içerideki istemciler firewall da belirlenen portlar dışında dışarı ve içeri iletişim sağlayamamaktadır,

İç Ağdan Dışarı

Güvenlik duvarı > Dışa akan trafik linklerini takip ediniz, Güvenlik duvarına yeni kural ekle diyerek bir port belirleyelim,

Arayüzlerden Yeşil (Yeşil Lan bacağı oluyor) Hede olarak Kırmızı (Kırmızı Wan bacağı oluyor) seçiyoruz, hangi porta izin verecekseniz belirliyorsunuz, örneğin, yandex üzerinden mail gönderemeyeceğim için ben Yandexin SMT portu olan 465 tanımlıyorum, Kural oluştur butonuna tıklayınız karşınıza çıkacak uygula butonuna tıklayarak kuralı aktif edebilirsiniz,

Dış Ağdan İçeri

Dış ağdan da içeri erişim için NAT yapacağız, örneğin bir RDP bağlantısı oluşturmak için port yönendirelim,

Yine güvenlik duvarı > Port yönlendirme / NAT > Yeni bir Port Yöneldirme linklerini kullanınız,

Yukarıdaki gibi, port ve hangi ip ile iletişim kurulacaksa belirleyiniz, Yeni kural butonuna tıklayınız,

Uygula butonuna tıklayınız,

NAT kuralımız aktif oldu,

Firewall ekranından da gördüğünüz gibi dış bacak (Kırmızı) ipsi ile iç bacaktaki bir pc ile RDP ile erişmeye çalışalım,

UTM ipsini girdik, bağlan dedik

İç bacaktaki pc oturum açma ekranı geldi, sorunsuz çalışıyor,

Proxy İle Ağı Yönlendirme

Ağ trafiğimizi filtrelemek ve izleyebilmek için proxy kullanacağız, kullanımı ve kurulumu çok basit, pFsense gibi çok karmaşık olmaması çok hoşuma gitti, ve https trafiğini de çok kolay filtreleyebiliyorsunuz,

Önce proxy türünü belirleyelim, ben her bilgisayara port ve ip girmemek için transparan kullanacağım, transparan ile bilgisayarlara ip ve port girmenize gerek kalmadan direk filtrelemeye başlayabiliyorsunuz,

HTTPS protokolünü filtreleyeceğimiz için HTTPS Proxy giriniz, ve Yeni bir sertifika yarat butonuna tıklayınız,

Proxy sertifikası ekle yazısının yanında bir download linki geldi, SSL sertifikasını download ederek bilgisayarımıza tanımlayalım,

Sertifikaya dağ tıkla ve Sertifika Yükle tıklayınız,

İleri butonlarına tıklayın ve bu ekranda Güvenli Kök Sertifika Yetkilileri seçip Tamam butonuna tıklayın ve ileri diyerek sertifikayı yükleyelim,

Evet butonuna tıklayarak sertifikayı bilgisayara yükleyelim, AD bir yapınız varsa GPO ile bu sertifikayı tüm bilgisayarlara yükleyebilirsiniz,

HTTPS proxy modunu Decrypt and scan seçip kaydet butonuna tıklayınız, Bu domain ismi/iP adreslerinden etikelnmesini istemediğiniz domainler varsa yazabilirsiniz, örneğin google etkilenmesi için google.com yazabilirsiniz,

Uygula diyerek aktif edelim,

Bazı siteleri engellemek için Web Filtresi linkine tıklayınız, ardından yeni profil ekle linkine tıklayarak açılan erkandan Özel kara – ve Beyaz listeyi seçiniz,

Bir profil simi verelim, engellenecek siteleri başında www olmadan yazalım  ve ekle butonuna tıklayınız, Kuralımızı aktif edelim şimdi,

Yetkilendirme kuralları linkine girelim ve Actions dan düzenle (kalem simgesi) tıklayın,

Filtre profiline belirlediğimiz profili seçelim,

Uygula diyerek aktif edelim, ve sitelerimizi kontrol edelim

Yukarıda gördüğünüz gibi hem HTTPS protokolü hem de HTTP protokolü engellendi,

Dosya türü bazında da engelleme yapabilirsiniz, örneğin, exe, zip, avi, mpeg, mp3 gibi dosyaları engelleyebilirsiniz,

Erişim kuralı ekle linkine tıklayınız,

Erişim kuralı olarak Erişimi engelle seçelim, dosya mime taype türünü yazalım,  poliçe güncelle butonuna tıklayınız, örnek mime taype türleri şu şekilde

MIME Type	Dosya Uzantısı
application/SLA	stl
application/STEP	step
application/STEP	stp
application/acad	dwg
application/andrew-inset	ez
application/clariscad	ccad
application/drafting	drw
application/dsptype	tsp
application/dxf	dxf
application/excel	xls
application/i-deas	unv
application/java-archive	jar
application/mac-binhex40	hqx
application/mac-compactpro	cpt
application/vnd.ms-powerpoint	pot
application/vnd.ms-powerpoint	pps
application/vnd.ms-powerpoint	ppt
application/vnd.ms-powerpoint	ppz
application/msword	doc
application/octet-stream	bin
application/octet-stream	class
application/octet-stream	dms
application/octet-stream	exe
application/octet-stream	lha
application/octet-stream	lzh
application/oda	oda
application/ogg	ogg
application/ogg	ogm
application/pdf	pdf
application/pgp	pgp
application/postscript	ai
application/postscript	eps
application/postscript	ps
application/pro_eng	prt
application/rtf	rtf
application/set	set
application/smil	smi
application/smil	smil
application/solids	sol
application/vda	vda
application/vnd.mif	mif
application/vnd.ms-excel	xlc
application/vnd.ms-excel	xll
application/vnd.ms-excel	xlm
application/vnd.ms-excel	xls
application/vnd.ms-excel	xlw
application/vnd.rim.cod	cod
application/x-arj-compressed	arj
application/x-bcpio	bcpio
application/x-cdlink	vcd
application/x-chess-pgn	pgn
application/x-cpio	cpio
application/x-csh	csh
application/x-debian-package	deb
application/x-director	dcr
application/x-director	dir
application/x-director	dxr
application/x-dvi	dvi
application/x-freelance	pre
application/x-futuresplash	spl
application/x-gtar	gtar
application/x-gunzip	gz
application/x-gzip	gz
application/x-hdf	hdf
application/x-ipix	ipx
application/x-ipscript	ips
application/x-javascript	js
application/x-koan	skd
application/x-koan	skm
application/x-koan	skp
application/x-koan	skt
application/x-latex	latex
application/x-lisp	lsp
application/x-lotusscreencam	scm
application/x-mif	mif
application/x-msdos-program	bat
application/x-msdos-program	com
application/x-msdos-program	exe
application/x-netcdf	cdf
application/x-netcdf	nc
application/x-perl	pl
application/x-perl	pm
application/x-rar-compressed	rar
application/x-sh	sh
application/x-shar	shar
application/x-shockwave-flash	swf
application/x-stuffit	sit
application/x-sv4cpio	sv4cpio
application/x-sv4crc	sv4crc
application/x-tar-gz	tar.gz
application/x-tar-gz	tgz
application/x-tar	tar
application/x-tcl	tcl
application/x-tex	tex
application/x-texinfo	texi
application/x-texinfo	texinfo
application/x-troff-man	man
application/x-troff-me	me
application/x-troff-ms	ms
application/x-troff	roff
application/x-troff	t
application/x-troff	tr
application/x-ustar	ustar
application/x-wais-source	src
application/x-zip-compressed	zip
application/zip	zip
audio/TSP-audio	tsi
audio/basic	au
audio/basic	snd
audio/midi	kar
audio/midi	mid
audio/midi	midi
audio/mpeg	mp2
audio/mpeg	mp3
audio/mpeg	mpga
audio/ulaw	au
audio/x-aiff	aif
audio/x-aiff	aifc
audio/x-aiff	aiff
audio/x-mpegurl	m3u
audio/x-ms-wax	wax
audio/x-ms-wma	wma
audio/x-pn-realaudio-plugin	rpm
audio/x-pn-realaudio	ram
audio/x-pn-realaudio	rm
audio/x-realaudio	ra
audio/x-wav	wav
chemical/x-pdb	pdb
chemical/x-pdb	xyz
image/cmu-raster	ras
image/gif	gif
image/ief	ief
image/jpeg	jpe
image/jpeg	jpeg
image/jpeg	jpg
image/png	png
image/tiff	tif tiff
image/tiff	tif
image/tiff	tiff
image/x-cmu-raster	ras
image/x-portable-anymap	pnm
image/x-portable-bitmap	pbm
image/x-portable-graymap	pgm
image/x-portable-pixmap	ppm
image/x-rgb	rgb
image/x-xbitmap	xbm
image/x-xpixmap	xpm
image/x-xwindowdump	xwd
model/iges	iges
model/iges	igs
model/mesh	mesh
model/mesh	msh
model/mesh	silo
model/vrml	vrml
model/vrml	wrl
text/css	css
text/html	htm
text/html	html htm
text/html	html
text/plain	asc txt
text/plain	asc
text/plain	c
text/plain	cc
text/plain	f90
text/plain	f
text/plain	h
text/plain	hh
text/plain	m
text/plain	txt
text/richtext	rtx
text/rtf	rtf
text/sgml	sgm
text/sgml	sgml
text/tab-separated-values	tsv
text/vnd.sun.j2me.app-descriptor	jad
text/x-setext	etx
text/xml	xml
video/dl	dl
video/fli	fli
video/flv	flv
video/gl	gl
video/mpeg	mp2
video/mp4	mp4
video/mpeg	mpe
video/mpeg	mpeg
video/mpeg	mpg
video/quicktime	mov
video/quicktime	qt
video/vnd.vivo	viv
video/vnd.vivo	vivo
video/x-fli	fli
video/x-ms-asf	asf
video/x-ms-asx	asx
video/x-ms-wmv	wmv
video/x-ms-wmx	wmx
video/x-ms-wvx	wvx
video/x-msvideo	avi
video/x-sgi-movie	movie
www/mime	mime
x-conference/x-cooltalk	ice
x-world/x-vrml	vrm
x-world/x-vrml	vrml

Uygula diyerek kuralı aktif edelim ve piyasam.net sitesine girelim,

Gördüğünüz gibi resim dosyaları açılmıyor,

Transparan proxy baypas da belirleyeceğiniz ip adresleri (yada mac adresi) filitrelemelerden etkilenmeyecektir

Önbellek kullanarak internet hızınızı artırabilirsiniz, bu sayede daha önce indirilen resim vb dosyalar ön bellekten çekilerek internet trafiğiniz de azalmış olacaktır,

Yaptığınız bazı işlemlerin aktif olması için uygula butonuna mutlaka tıklamanız gerekmektedir,

VPN Yapısı

Şimdi sıra VPN yapılanmasına geldi, VPN ile internetin olduğu herhangi bir yerden iş yerinize kolaylıkla ulaşabilirsiniz, bu sayede bilgisayarınız ile iş yerindeymiş gibi çalışabilirsiniz, ortam cihazlarına (yazıcı, kamera vbb.. ) erişebilirsiniz.

Menüden VPN linkine tıklayınız,

VPN sunucusunu aç karşında bulunan butona tıklayınız ve VPN sunucusunu aktif edelim,

Kimlik denetimi kullanıcı adı parola olsun ve yeni bir Sertifika oluştur diyelim, herhangi bir parola belirleyelim ve Kaydet butonuna basalım,

Uygula diyerek aktif edelim,

Oluşturduğumuz sertifikayı indirelim, bu sertifika bize lazım olacak uzak bağlantı yapmak isteyen istemci bu dosya olmadan VPN bağlantısı sağlayamayacaktır,

Az aşağı indiğimizde VPN sunucu konfigürasyonu var, burada gelen kullanıcı hangi ip aralığını alsın hangi port kullanılacak gibi ayarlar var, Herhangi bir iç ağ aralığı belirleyip Kaydet butonuna basınız,

Kullanıcı ekleyelim,

Kullanıcı doğrulamaya tıklayınız,

Bir kullanıcı adı şifre oluşturup Ekle butonuna tıklayınız,

Kullanıcımız oluştu, OpenVPN programını kuralım istemci olacak bilgisayarımıza,

https://openvpn.net/community-downloads/ adresine giriniz,

Sayfada az aşağı ininiz ve (makaleyi yazdığım zaman 2.5 beta sürümü var sorun olmasın diye kullanmıyorum betayı) 2.4.9 sürümünü indirip bilgisayarımıza kuralım, direk indirme linki https://swupdate.openvpn.org/community/releases/openvpn-install-2.4.6-I602.exe

Normal kurulum adımları Next Next işlemleri,

Kurulum başladı,

Ve kurulum bitti,

Masa üstünde oluşan simgeye sağ tıklayarak dosya dizinini açalım, OpenVPN klasörüne gelelim ve config dosyasına girelim,

Firewalldan VPN için indiriğimiz pem dosyasını buraya kopyalalyalım, ve herhangi bir isimde ovpn uzantılı bir dosya oluşturalım, dosyanın içeriğine şu komutları giriniz,

Uzak ip adresinizi girip kaydetmeniz yeterli, ben local sanal ağdaki pc için kullandığım için local ip kullandım,

Görev çubuğunda bulunan kilitli monitör simgesine sağ tıklayınız,

Belirlediğimiz dosya isminde bir bağlantı var ona tıklayarak Bağlan butonuna tıklayınız,

Belirlenen kullanıcı bilgilerini giriniz,

Bağlantımız tamam, artık dışarıdan iç ağa müdahale edebiliyoruz,

Aldığımız ip bakalım, 192.168.1.181 numaralı ip tanmış bize,

Firewall arkasında bulunan 192.168.1.1 numaralı bilgisayara RDP yapalım,

RDP de de kullanıcı ekranı geldi,

VPN loglara bakalım, bağlandığımızı buradan da görebiliyorsunuz,

Anlatmak istediklerim bu kadar, Türkçe bunlarla ilgili fazla bir makale olmadığı için her aşamayı tek tek anlatmaya çalıştım, belki biraz karmaşık gelebilir; ama elimden geldiğince sade ve anlaşılır bir şekilde anlattım, yine takılan olursa yorumlar kısmından yardımcı olabilirim, lütfen mail göndermeyiniz, sizle aynı sorunu yaşayan başka insanlarda olabilir, bu yüzden yorumlar kısmını çekinmeden kullanabilirsiniz,

İyi çalışmalar.