/ DOCS
Evolution
Тема интерфейса

Развертывание UserGate в Advanced

В инструкции описаны предварительные настройки и подключение к консоли UserGate. IP-адреса и параметры ВМ даны в качестве примера. Если вы настраиваете UserGate для уже имеющихся ресурсов, используйте их IP-адреса.

В случае выявления значительного негативного влияния на сетевые соединения при прохождении East-West-трафика через NGFW UserGate, воспользуйтесь встроенными средствами платформы Advanced для фильтрации трафика — группами безопасности или Network ACL.

Целевая схема, которая может быть реализована в ходе развертывания:

../../_images/sch__deploy_01.png

Предварительные настройки подключения к UserGate

Создание VPC

Для начала работы создайте виртуальные сети VPC-A, VPC-B и VPC-X и соответствующие подсети:

  1. Войдите в консоль управления Advanced:

  2. В списке сервисов выберите Virtual Private Cloud.

  3. В правом верхнем углу нажмите Create VPC.

  4. В разделе Basic Information, в поле Name, введите название облачной сети VPC «VPC-A».

  5. В поле IPv4 CIDR Block введите диапазон IP-адресов: «10.1.0.0/16».

  6. В поле Enterprise Project выберите ранее созданный проект usergate.

  7. В разделе Default Subnet создайте подсеть subnet-vpc-a, указав в поле IPv4 CIDR Block диапазон IP-адресов «10.1.0.0/24».

    После создания подсети диапазон IP-адресов изменить нельзя.

    ../../_images/s__deploy_01.png

  8. Нажмите Create Now.

  9. Повторите шаги 3–8 для создания сетей VPC-B и VPC-X.

    Диапазон IP-адресов в IPv4 CIDR Block для сети VPC-B:

    • IPv4 CIDR Block — «10.2.0.0/16»;

    • Default Subnet Name — «subnet-vpc-b»;

    • Default Subnet IPv4 CIDR Block — «10.2.0.0/24».

    Диапазон IP-адресов в IPv4 CIDR Block для сети VPC-Х:

    • IPv4 CIDR Block — «10.255.0.0/16»;

    • Default Subnet Name — «subnet-vpc-x»;

    • Default SubnetIPv4 CIDR Block — «10.255.0.0/24».

Создание подсети

В VPC-X создайте дополнительную подсеть для дальнейшего подключения UserGate к интернету:

  1. Перейдите в Network → Virtual Private Cloud.

  2. В левой части экрана нажмите Subnets.

  3. В правом верхнем углу нажмите Create Subnet.

  4. В поле VPC выберите VPC-X.

  5. В поле Name введите «subnet-vpc-x-outside».

  6. В поле IPv4 CIDR Block укажите «10.255.10.0/24».

  7. Нажмите OK.

../../_images/s__deploy_02.png

Создание бакета OBS

В сервисе Object Storage Service создайте бакет для загрузки образа ВМ на основе образа формата qcow2:

  1. Перейдите в Storage → Object Storage Service.

  2. В правом верхнем углу нажмите Create Bucket.

  3. Введите название бакета.

    Например, «bucket-ngfw».

  4. В разделе Default Storage Class выберите класс хранения Standard.

  5. Чтобы просмотр и редактирование объектов были доступны только владельцу бакета, в разделе Bucket Policy выберите Private.

  6. В разделе Server-Side Encryption выберите Disable.

  7. В разделе WORM выберите Disable.

  8. В разделе Enterprise Project выберите предварительно созданный проект usergate.

  9. Нажмите Create Now.

../../_images/s__deploy_03.png

Загрузка образа

После приобретения UserGate предоставляется ссылка для скачивания актуального образа. После создания бакета загрузите образ:

  1. Нажмите на название бакета.

  2. Нажмите Upload Object.

  3. Выберите политику Private и класс хранения Standard.

  4. Нажмите add files и выберите предварительно сохраненный образ ВМ.

  5. Нажмите Upload.

../../_images/s__deploy_03_2.png

Создание образа из файла

В сервисе Image Management Service создайте образ из предварительно загруженного файла:

  1. Перейдите в Computing → Image Management Service.

  2. Нажмите Create Image.

  3. В поле Type выберите Import image.

  4. В поле Image Type выберите System disk image.

  5. В разделе Select Image File выберите из списка бакет c файлом образа, затем выберите файл образа.

    Например, ngfw-x86-64-7.1.2.33025R-release-public.qcow2.

    ../../_images/s__deploy_03_3.png

  6. В разделе Image Information убедитесь, что опция Enable automatic configuration включена.

  7. В поле Function выберите ECS system disk image.

  8. В поле Boot mode выберите BIOS.

  9. В поле OS выберите Other — Linux(64bit).

  10. В поле System Disk (GB) укажите значение в соответствии с параметрами ВМ UserGate.

  11. В поле Name введите название образа.

    Например, «UserGate_7.1.2».

  12. Выберите предварительно созданный проект Enterprise Project.

    Например, usergate.

  13. Нажмите Next.

    ../../_images/s__deploy_04.png

Подготовка группы безопасности для интерфейсов UserGate

Для интерфейсов UserGate используйте группу безопасности, разрешающую доступ с любых адресов на любые порты. Подробнее о группах безопасности.

  1. Перейдите в Network → Virtual Private Cloud.

  2. В левой части экрана нажмите Access Control → Security Groups.

  3. В правом верхнем углу нажмите Create Security Group.

  4. В поле Name введите название группы безопасности.

    Например, «sg-UserGate».

  5. В поле Enterprise Project выберите предварительно созданный проект usergate.

  6. В поле Template выберите All ports open.

  7. (Опционально) В поле Description введите описание группы безопасности.

  8. Нажмите Ok.

    ../../_images/s__deploy_05.png

  9. Откройте созданную группу безопасности и удалите правила с Type IPv6 для Inbound Rules и Outbound Rules.

    ../../_images/s__deploy_06.png

Создание виртуального сервера на базе образа UserGate

  1. В панели управления Advanced перейдите в Computing → Elastic Cloud Server.

  2. Нажмите Create ECS.

  3. В разделе AZ выберите зону доступности AZ1 или Random.

    При выборе Random система автоматически выберет одну из зон доступности.

  4. Выберите спецификацию, наиболее подходящую по параметрам ВМ UserGate.

  5. Выберите образ ОС Private Image.

  6. В выпадающем списке выберите ранее созданный образ.

    Например, UserGate_7.1.2 (100GB).

  7. Выберите системный диск типа SAS High I/O и укажите размер, подходящий по параметрам ВМ UserGate.

  8. Нажмите Next: Configure Network.

  9. Выберите ранее созданную сеть VPC VPC-X.

  10. Выберите subnet-vpc-x.

  11. Вручную создайте IP-адрес с окончанием .10.

  12. Нажмите Add NIC.

  13. Выберите subnet-vpc-x-outside.

  14. Вручную создайте IP-адрес с окончанием .10.

  15. Выберите ранее созданную группу безопасности sg-UserGate.

  16. Для EIP выберите Do not use.

    EIP подключается позже.

  17. Нажмите Next: Configure Advanced Settings.

  18. В поле ECS Name введите название ВМ «ecs-UserGate».

  19. Выберите способ авторизации в ВМ Password.

  20. Подтвердите создание ВМ.

  21. Проверьте спецификацию, выберите ранее созданный Enterprise Project и повторно подтвердите создание ВМ.

  22. Чтобы увидеть созданную ВМ, обновите список ВМ.

  23. Нажмите на название созданной ВМ ecs-UserGate.

  24. Перейдите на вкладку Network Interfaces и для NIC-адресов отключите проверку Source/Destination Check.

См.также

Настройка VPC Peering и таблиц маршрутизации

Для создания Custom-таблиц маршрутизации:

  1. В главном меню перейдите в Network → Virtual Private Cloud.

  2. В левой части экрана перейдите в Virtual Private Cloud → Route tables.

  3. В правом верхнем углу нажмите Create Route Table.

  4. В поле Name введите «rtb-NGFW-inside».

  5. В поле VPC выберите VPC-X.

  6. (Опциально) В поле Description введите описание таблицы маршрутизации.

  7. Нажмите ОК.

  8. Перейдите на вкладку Associated Subnets.

  9. Нажмите Associate Subnet и выберите subnet-vpc-x.

    ../../_images/s__deploy_09.png

  10. Нажмите ОК.

  11. Повторите шаги 1–10 для создания rtb-NGFW-outside, в поле Associate Subnet выберите subnet-vpc-x-outside.

  12. Перейдите в Virtual Private Cloud → Route tables и выберите таблицу по умолчанию для VPC-X — rtb-VPC-X.

  13. Нажмите Add Route.

  14. Добавьте маршрут по умолчанию через внутренний интерфейс UserGate:

    1. В поле Destination Type выберите IP address.

    2. В поле Destination введите «0.0.0.0/0».

    3. В поле Next Hop Type выберите Server.

    4. В поле Next Hop выберите ecs-UserGate(10.255.0.10).

    5. (Опционально) В поле Description введите описание маршрута.

    ../../_images/s__deploy_10.png

  15. Перейдите в Network → Virtual Private Cloud.

  16. В левой части экрана перейдите в Virtual Private Cloud → VPC Peering Connections.

  17. В правом верхнем углу нажмите Create VPC Peering Connection.

  18. В поле VPC Peering Connection Name введите «peering-VPC-A-to-X».

  19. В поле Local VPC выберите VPC-A.

  20. В поле Account выберите My account.

  21. В поле Peer project выберите название вашего текущего IAM-project.

  22. В поле Peer VPC выберите VPC-X.

  23. (Опционально) В поле Description введите описание подключения VPC peering.

    ../../_images/s__deploy_11.png

  24. Нажмите ОК.

  25. В открывшемся окне выберите Add Now.

  26. Нажмите Add Route.

  27. В поле VPC выберите VPC-A.

  28. В поле Route Table выберите rtb-VPC-A(Default).

  29. В поле Destination введите «0.0.0.0/0».

  30. Выберите Add a route for the other VPC.

  31. В поле Route Table выберите rtb-NGFW-inside.

  32. В поле Destination введите «10.1.0.0/24».

    ../../_images/s__deploy_12.png

  33. Повторите шаги 16–32 для создания VPC peering peering-VPC-B-to-X со следующими параметрами:

    1. VPC Peering Connection Name — «peering-VPC-B-to-X».

    2. Local VPC — VPC-B.

    3. Account — My account.

    4. Peer project — название текущего IAM-project.

    5. Peer VPC — VPC-X.

    6. (Опционально) Description — описание подключения VPC peering.

  34. При настройке маршрутов задайте значение параметров:

    1. В поле VPC выберите VPC-B.

    2. В поле Route Table выберите rtb-VPC-B(Default).

    3. В поле Destination введите «0.0.0.0/0».

    4. Выберите Add a route for the other VPC — выберите опцию.

    5. В поле Route Table выберите rtb-NGFW-inside.

    6. В поле Destination введите «10.2.0.0/24».

Чтобы избежать сетевого доступа в обход NGFW, не создавайте прямой VPC Peering между VPC-A и VPC-B. При некорректной настройке маршрутов, таблиц маршрутизации и VPC Peering сетевой доступ в обход NGFW может быть создан.

Для дальнейшей настройки UserGate следуйте инструкции по первичной инициализации UserGate в Advanced.

Предыдущая статья
Развертывание UserGate
Следующая статья
Развертывание UserGate на платформе Облако VMware
Была ли эта статья полезна?
Поддержка Юридические документы
© 2025 Cloud.ru