Телеграмм чат группы chkpchat страница 1650

2020 August 21

IA

Ilia Anokhin in Check Point Community (RUS)

Напомните, пожалуйста, как завернуть весь трафик через впн клиента cp secure remote. Создать community и указать маршрут вида 0.0.0.0/0?

Включить hub mode

источник

16:25пожаловаться #1

IA

Ilia Anokhin in Check Point Community (RUS)

Просто 0/0 не достаточно

источник

16:25пожаловаться #2

К

Капитан Себастьян Пе... in Check Point Community (RUS)

Коллеги, подскажите, пожалуйста. Есть кластер их 2х 4400 (77.30)
Создал правило (115). Залил политики на кластер. Но правило 115 не работает, блокируется 189 (блокировать все, что не разрешено). Уже пробовал политики перезаливать, ноды менять местами (активные). Толку нет.

источник

16:26пожаловаться #3

К

Капитан Себастьян Пе... in Check Point Community (RUS)

источник

16:26пожаловаться #4

К

Капитан Себастьян Пе... in Check Point Community (RUS)

Капитан Себастьян Перейра

Коллеги, подскажите, пожалуйста. Есть кластер их 2х 4400 (77.30)
Создал правило (115). Залил политики на кластер. Но правило 115 не работает, блокируется 189 (блокировать все, что не разрешено). Уже пробовал политики перезаливать, ноды менять местами (активные). Толку нет.

189

источник

16:28пожаловаться #5

Y

Yuriy in Check Point Community (RUS)

Ilia Anokhin

Включить hub mode

Еще в глобал опциях галочку поставить

источник

16:30пожаловаться #6

A

Artur in Check Point Community (RUS)

Капитан Себастьян Перейра

а почему на первом скрине политика инсталится на шлюз ...01, а блочит на втором скрине шлюз ...02?

источник

16:30пожаловаться #7

A

Artur in Check Point Community (RUS)

Artur

а почему на первом скрине политика инсталится на шлюз ...01, а блочит на втором скрине шлюз ...02?

нода кластера, понятно

источник

16:31пожаловаться #8

К

Капитан Себастьян Пе... in Check Point Community (RUS)

Artur

а почему на первом скрине политика инсталится на шлюз ...01, а блочит на втором скрине шлюз ...02?

Кластер EKT01FW01 (EKT01FW0101 + EKT01FW0102)

источник

16:31пожаловаться #9

Y

Yuriy in Check Point Community (RUS)

Konstantin Староверов

Напомните, пожалуйста, как завернуть весь трафик через впн клиента cp secure remote. Создать community и указать маршрут вида 0.0.0.0/0?

sk101239

источник

16:33пожаловаться #10

KС

Konstantin Староверо... in Check Point Community (RUS)

Ilia Anokhin

Включить hub mode

это первым делом включил..

источник

16:38пожаловаться #11

KС

Konstantin Староверо... in Check Point Community (RUS)

Yuriy

sk101239

спс. почитаем..

источник

16:38пожаловаться #12

A

Artur in Check Point Community (RUS)

Капитан Себастьян Перейра

Кластер EKT01FW01 (EKT01FW0101 + EKT01FW0102)

из-за кастомного сервиса может быть, может есть еще такой же похожий сервис.
есть подобная проблема, к примеру, здесь
https://community.checkpoint.com/t5/Policy-Management/Rule-with-custom-Service-not-being-matched/m-p/84409#M4487

Check Point CheckMates

Re: Rule with custom Service not being matched

First of all, it's not recommend you create a new service when we already have one pre-defined. In fact, I think the UI warns when you do this. There are a couple cases where it's necessary (for example, when the service has a protocol handler pre-defined and you need that protocol handler not to be...

источник

16:39пожаловаться #13

К

Капитан Себастьян Пе... in Check Point Community (RUS)

Artur

из-за кастомного сервиса может быть, может есть еще такой же похожий сервис.
есть подобная проблема, к примеру, здесь
https://community.checkpoint.com/t5/Policy-Management/Rule-with-custom-Service-not-being-matched/m-p/84409#M4487

Check Point CheckMates

Re: Rule with custom Service not being matched

First of all, it's not recommend you create a new service when we already have one pre-defined. In fact, I think the UI warns when you do this. There are a couple cases where it's necessary (for example, when the service has a protocol handler pre-defined and you need that protocol handler not to be...

Выше было правило для одного из dst хостов. Правда там "срока действия" не было, но не критично, добавил. До этого хоста доступ появился.

В 115 оставил доступ по 3389 (Remote_Desktop_Protocol) так и не работает, блочит 189

источник

17:17пожаловаться #14

К

Капитан Себастьян Пе... in Check Point Community (RUS)

dst-хост вообще нигде не используется, конфликта быть не должно быть

источник

17:17пожаловаться #15

AK

Arka Kor in Check Point Community (RUS)

Тут удостовериться тспдампом что действительно идёт этот трафик, а то вдруг какие наты/pbr. Плюс fw ctl zdebug drop

источник

17:31пожаловаться #16