HOWTO: WatchGuard FireCloud Total Access Grundinstallation

Die Anforderungen an die IT-Sicherheit steigen stetig. Mitarbeiter arbeiten zunehmend von unterschiedlichen Standorten aus, nutzen verschiedene Geräte und greifen auf Unternehmensdaten sowie Online-Dienste zu. Umso wichtiger ist es, dass der Zugriff auf das Internet und sensible Unternehmensressourcen zuverlässig geschützt wird.

Mit WatchGuard FireCloud bietet WatchGuard eine moderne Sicherheitslösung, die Benutzer unabhängig von ihrem Standort schützt. Dabei spielt es keine Rolle, ob sie im Büro, im Homeoffice oder unterwegs arbeiten.

Damit FireCloud optimal funktioniert und ein möglichst hohes Maß an Sicherheit bietet, kommt es auf die richtige Einrichtung und Konfiguration an. Bereits kleine Anpassungen können dazu beitragen, die Sicherheit zu verbessern und mögliche Schwachstellen zu vermeiden.

In diesem Artikel zeigen wir die Grundinstallation der WatchGuard FireCloud mit der Firebox als Gateway.

1. Vorraussetzungen

• WatchGuard Cloud Konto
• Gültige WatchGuard FireCloud Lizenz oder Testversion
• Fireware v2026.2 oder höher
• Fireware v12.12 oder höher – Im Moment funktioniert „Netzwerk Ressourcen“ noch nicht mit diesen Firmware Versionen.
• Ältere Modele wie die T20 und T40 werden nicht unterstützt, alternativ kann das virtuelle (Linux) oder Server (Windows) Gateway verwendet werden.

2. Grundinstallation in der WatchGuard Cloud

2.1 Konfiguration Firebox Gateway (Konfigurieren -> FireCloud -> Ressourcen -> Gateways -> FireCloud-Gateway hinzufügen)
Konfigurationsbeispiel anhand des Firebox Gateways. 

2.2 Inhaltsfilter (Konfigurieren -> FireCloud -> Inhaltsfilter -> Aktion hinzufügen )
Den Inhaltsfilter belassen wir im Default. Hier sind die wichtigsten Kategorien und Anwendungen geblockt.

2.3 Inhaltsscanning (Konfigurieren -> FireCloud -> Inhaltsscanning)
Das Inhaltsscanning belassen wir auch im Default. 

2.4 Geolocation (Konfigurieren -> FireCloud -> Geolocation)
Wir empfehlen hier die Zugriffe auf die Länder einzugrenzen, die notwendig sind! In unserem Beispiel haben wir den Zugriff nur auf Deutschland eingegrenzt.

2.5 Authentifizierung / Benutzer und Gruppen (Konfigurieren -> FireCloud -> Authenfizierung)
In diesem Beispiel beziehen wir uns auf die WatchGuard Verzeichnisse und Domänen-Dienste für die Benutzerverwaltung.

2.6 Tunnel-Bypass (Konfigurieren -> FireCloud -> Tunnel-Bypass)
Unter Tunnel-Bypass versteht man Ausnahmen, die an der FireCloud vorbei ins Internet berechtigt werden sollen, beispielsweise Banken. Diese FQDNs müssen hier definiert sein, um anschließend in Punkt 8 (Zugriffsregeln) verwendet werden zu können.
In unserem Beispiel haben wir einen Bypass zu einem Webserver (Owncloud) konfiguriert. 

2.7 Lokale Ressourcen (Konfigurieren -> FireCloud -> Ressourcen)
In diesem Bereich werden interne Ziele (Private Ressourcen) und Dienste definiert (in diesem Beispiel ein TerminalServer der per RDP erreichbar sein soll).

2.8 Zugriffsregeln (Konfigurieren -> FireCloud ->Zugriffsregeln)
In den Zugriffsregeln kommen die vorher definierten Punkte jetzt zusammen. Es ist sinnvoll eine neue Regel zu erstellen (hier BOC-Zugriffsregel), die Benutzergruppen, welche diese Regel nutzen sollen, zuzuweisen und die XFF-Header zusätzlich zu aktivieren. XFF-Header werden verwendet, um die Webseiten in der korrekten Sprache des Browsers anzuzeigen.

Im Bereich Internetzugang lassen wir wieder die Default-Einstellungen. Sollte es notwendig sein, bestimmte Webseiten von der DPI auszunehmen kann man diese im Bereich Tunnel-Bypass hinterlegten ausnahmen hier zuweisen.

Wenn gewünscht, können die lokalen Ressourcen aus Punkt 6 hier zugewiesen werden. Damit ist die Grundkonfiguration in der Cloud soweit abgeschlossen.

3. Agent-Installation auf den Endgeräten

Für die Nutzung der FireCloud gibt es verschiedene Clients je nach Endgerät, die unter Konfigurieren -> Endpoint-Installation ausgewählt und heruntergeladen werden können. Nach der erfolgreichen Installation verbindet sich der Client automatisch mit dem WatchGuard Account/der FireCloud, in dem die Konfiguration stattgefunden hat – es muss also nicht wie beim klassischen VPN ein Ziel eingetragen werden. Es reicht der Verbindungsaufbau mit Benutzernamen & Passwort – hier ist es sinnvoll einen zweiten Faktor wie AuthPoint/Passkey zu verwenden um die Sicherheit zu erhöhen.

3.1 Installation über die direkte Ausführung der Installationsdatei (Konfigurieren -> FireCloud -> Endpoint Installation -> Endpoint hinzufügen)
Hierfür muss lediglich die Installationsdatei heruntergeladen werden und auf dem Endgerät installiert werden.

3.2 Agent Bereitstellung (Konfigurieren -> FireCloud -> Endpoint Installation -> Agent Bereitstellung konfigurieren)
Über die Endpoint Gruppen kann der WatchGuard Universal Agent ausgerollt werden.

4. Fazit

Mit der FireCloud bietet WatchGuard eine einfach integrierbare ZTNA-Lösung, die die etablieten VPN-Lösungen ablösen kann, z.B. SSLVPN oder IKEv2. Die Verbindung der Clients erfolgt zu zentralen PoPs, und nicht wie bisher auf den Perimeter. Dadurch ist kein geöffneter Port mehr notwendig, was die Sicherheit erhöht.

Die Verbindungen basieren auf WireGuard, auch deshalb kann die WatchGuard FireCloud eine interessante Alternative zu den anderen VPN-Lösungen darstellen. Die WatchGuard FIreCloud sollte genauso wie die anderen VPN-Lösungen zusätzlich mit MFA, z.B. mit WatchGuard AuthPoint, abgesichert werden.

5. Links

• Voraussetzungen für FireCloud
• HOWTO: WatchGuard FireCloud mit Entra ID als Identitätsanbieter
• About FireCloud Firebox Gateways