Gli Updatable Objects rispondono a un problema che nessuna Rule Base scritta a mano risolve: gli indirizzi dei servizi esterni cambiano, e cambiano senza avvisare. Invece di inseguire le liste di IP di un provider a colpi di modifiche e installazioni di policy, si usa un oggetto che quelle liste se le procura da solo.

Da dove arrivano gli indirizzi

Un Updatable Object rappresenta un servizio esterno — la documentazione cita Office 365, AWS e le GEO locations — e ricava il proprio contenuto dalle liste pubblicate dai provider, che Check Point carica nel Check Point cloud. Il gateway, cioè, non interroga il fornitore del servizio: interroga il cloud di Check Point, che fa da intermediario e normalizza quelle liste.

Il punto che fa la differenza in esercizio, e nelle domande, è il modo in cui l’aggiornamento arriva a destinazione: gli Updatable Objects sono aggiornati automaticamente sul Security Gateway ogni volta che il provider cambia una lista, e non serve installare la policy perché l’aggiornamento abbia effetto. La regola resta identica; cambia il contenuto dell’oggetto che la regola cita. È un comportamento diverso da quasi tutto il resto della configurazione Check Point, dove una modifica vale solo dopo Install Policy, ed è proprio su questa asimmetria che si gioca più di un quesito.

Dove si possono usare

Gli Updatable Objects sono oggetti di rete a tutti gli effetti nelle colonne che li accettano, ma l’elenco di quelle colonne è chiuso e conviene saperlo a memoria:

  • in Access Control, nelle colonne Source e Destination, da Security Policies > Access Control > Policy;
  • in Threat Prevention, nelle colonne Source, Destination e Protected Scope della Custom Policy;
  • in HTTPS Inspection, nelle colonne Source e Destination delle policy Inbound e Outbound.

Si inseriscono dalla colonna della regola con Import > Updatable Objects. Nelle colonne Source e Destination convivono con gli altri oggetti che l’Access Control Rule Base accetta: Networks e Network Groups, Hosts, Security Zones, Dynamic Objects, Domain Objects, Access Roles.

C’è però un limite esplicito, e molto amato dagli autori dei quesiti: un Updatable Object non può essere aggiunto a un network group. Se il disegno prevede «un gruppo che contiene le reti interne più Office 365», quel disegno non si realizza in questo modo: l’oggetto va referenziato direttamente nella colonna della regola.

Prerequisiti di rete

Perché il meccanismo funzioni, sia il Security Management Server o Domain Management Server sia il Security Gateway devono poter raggiungere il Check Point cloud su Internet. Quando un gateway non ha accesso diretto, è previsto instradare le sue richieste attraverso il Management Server usato come proxy, con una configurazione che si appoggia al file dl_prof_ONLINE_SERVICES.xml. Un oggetto che non si aggiorna, quasi sempre, è un oggetto che non ha una strada verso il cloud: prima di sospettare la regola, verifica la raggiungibilità.

Trappole tipiche d’esame

Updatable Objects che non scaricano gli aggiornamenti. Il sintomo è un oggetto vuoto o fermo a una lista vecchia, e la causa è quasi sempre la raggiungibilità del Check Point cloud: manca dal gateway, dal Management Server, o da entrambi. Attenzione alla trappola logica opposta, che compare spesso fra le risposte plausibili: siccome l’aggiornamento non richiede installazione di policy, reinstallare la policy non è il rimedio e non dimostra nulla.

Il Management Server dietro NAT. Quando l’indirizzo con cui il Management Server è raggiungibile non è quello che i suoi interlocutori si aspettano, le connessioni di SmartConsole non si stabiliscono e la gestione si ferma — anche se il traffico degli utenti continua a passare. Lo stesso ragionamento vale nella direzione opposta, verso Internet: un server che «vede la rete» solo attraverso un NAT o un proxy non dichiarato non scarica nulla dal cloud, e gli Updatable Objects restano fermi.

Regole NAT costruite su indirizzi copiati a mano. La tentazione è di espandere una volta la lista del provider e ricopiarne gli indirizzi in regole statiche di NAT o di Access Control. È esattamente l’errore che gli Updatable Objects esistono per evitare: quelle regole invecchiano in silenzio e diventano, a seconda dei casi, un blocco di traffico legittimo oppure un permesso lasciato aperto verso indirizzi che il provider non usa più. In un quesito, la soluzione che «congela» il contenuto di un Updatable Object è quasi sempre quella sbagliata.