В качестве решения работы кластера UserGate NGFW необходимо использовать версию 7.5.х и выше. Работоспособность кластера на платформе Advanced версий ниже 7.5 не гарантируется.
Перед выполнением инструкции рекомендуется изучить сценарий использования стороннего межсетевого экрана для очистки трафика сетей VPC.
Создание отказоустойчивой конфигурации UserGate в Advanced выполняется после развертывания и первичной инициализации UserGate в Advanced.
Для корректной работы кластера необходимо выделить Virtual IP для сетевых интерфейсов Usergate, осуществляющих маршрутизацию трафика.
IP-адреса и параметры ВМ даны в качестве примера. Если вы настраиваете UserGate для уже имеющихся ресурсов, используйте их IP-адреса.
Целевая схема отказоустойчивой конфигурации:
Для подключения к интернету используйте выделенный интерфейс на UserGate.
Для создания кластера NGFW UserGate требуется выделенный кластерный интерфейс. Минимально рекомендуемый набор интерфейсов для кластера UserGate в Advanced: in, out и cluster.
Для UserGate в Advanced доступны три и более интерфейса для всех моделей, кроме 2 vCPU. Устройства должны иметь одинаковую версию ОС, чтобы объединить их в кластер. Для кластера конфигурации допустимо использование разного числа vCPU на моделях UserGate. В кластер отказоустойчивости может входить до четырех виртуальных устройств.
Установка первого узла кластера
Для настройки кластера нужна лицензия с возможностями кластеризации. Чтобы получить лицензии, обратитесь к менеджеру Cloud.ru.
Разверните ВМ UserGate согласно инструкции, указав следующие параметры:
На шаге «Создание VPC» после создания дополнительной подсети subnet-vpc-x-outside для подключения к интернету создайте еще одну подсеть subnet-vpc-x-cluster. Подсеть используется для организации кластерного интерфейса UserGate.
В главном меню перейдите в Network → Virtual Private Cloud.
В левой части экрана перейдите в Subnets.
В правом верхнем углу нажмите Create Subnet.
В поле VPC выберите VPC-X.
В поле Name введите «subnet-vpc-x-cluster».
В поле IPv4 CIDR Block введите «10.255.255.0/24».
Нажмите OK.
На шаге «Создание виртуального сервера на базе образа UserGate» кроме подсетей subnet-vpc-x и subnet-vpc-x-outside добавьте NIC с подсетью subnet-vpc-x-cluster.
В качестве IP-адресов введите «.10».
В качестве имени виртуального сервера UserGate рекомендуется использовать «ecs-UserGate-Pri».
Настройка Virtual IP
Для корректной маршрутизации в VPC необходимо выделить Virtual IP платформы Advanced для последующей настройки в кластере UserGate.
В этом примере настроены следующие VRRP Virtual IP:
Зона Trusted — 10.255.0.12.
Зона Untrusted — 10.255.10.12.
Для настройки:
Войдите в консоль управления Advanced.
Перейдите в Network → Virtual Private Cloud.
В левой части экрана нажмите Subnets.
Выберите subnet-vpc-x и перейдите на вкладку IP-addresses.
Нажмите Assign Virtual IP Address.
Выберите Manual и введите IP-адрес «10.255.0.12».
Напротив вновь созданного Virtual IP Address нажмите Bind to Server.
Выберите первый узел UserGate и его NIC с адресом 10.255.0.10.
Нажмите ОК.
Напротив вновь созданного Virtual IP Address повторно нажмите Bind to Server.
Выберите второй узел UserGate и его NIC с адресом 10.255.0.11.
Нажмите ОК.
Сверьте настройку со скриншотом:
Вернитесь в Subnets в консоли Advanced.
Выберите subnet-vpc-x-outside и перейдите на вкладку IP-addresses.
Нажмите Assign Virtual IP Address.
Выберите Manual и введите IP-адрес «10.255.10.12».
Выберите первый узел UserGate и его NIC с адресом 10.255.10.10.
Нажмите ОК.
Напротив вновь созданного Virtual IP Address повторно нажмите Bind to Server.
Выберите второй узел UserGate и его NIC с адресом 10.255.10.11.
Нажмите ОК.
Напротив Virtual IP Address нажмите Bind to EIP.
Выберите свободный EIP.
При отсутствии — создайте новый EIP в разделе Network → Elastic IP консоли Advanced и вернитесь к этому шагу.
Сверьте настройку со скриншотом:
Подключитесь к графическому интерфейсу UserGate, используя EIP, привязанный к Virtual IP платформы Advanced.
В нашем примере 188.72.109.178: https://188.72.109.178:8001.
Перейдите в Сеть → Интерфейсы и убедитесь, что вы подключились к основному узлу кластера.
Настройка NAT
Чтобы организовать выход в интернет с помощью кластера отказоустойчивости UserGate, настройте правило NAT.
Разрешите прохождение трафика из зоны Trusted в Untrusted. Важно указать в качестве SNAT-адреса виртуальный адрес внешней подсети, например «10.255.10.12».
Если в правилах трансляции не указан SNAT-адрес, синхронизации сессий в момент переключения кластера не будет. По умолчанию трафик уходит по адресу активной ноды.
Корректировка default Route Table для VPC-X
Для обеспечения отказоустойчивости необходимо использовать VRRP Virtual IP и соответствующий объект Virtual IP платформы Advanced в таблице маршрутизации VPC.
В этом примере VRRP Virtual IP и объект Virtual IP Advanced отказоустойчивого шлюза для внутренних подсетей имеют IP-адрес 10.255.0.12. Для реализации этого требования внесите изменение в настройку таблицы маршрутизации по умолчанию для VPC-X – rtb-VPC-X:
Войдите в консоль управления Advanced.
Перейдите в Network → Virtual Private Cloud.
В левой части экрана перейдите в Virtual Private Cloud → Route tables.
Выберите таблицу по умолчанию для VPC-X — rtb-VPC-X.
Отредактируйте маршрут по умолчанию:
В поле Destination Type выберите IP address.
В поле Destination введите «0.0.0.0/0».
В поле Next Hop Type выберите Virtual IP Address.
В поле Next Hop введите «10.255.0.12».
(Опционально) В поле Description введите описание маршрута.
Первичная инициализация UserGate
Выполните первичную инициализация UserGate в Advanced по инструкции, указав следующие параметры:
На шаге «Настройка порта управления UserGate» убедитесь в наличии третьего порта UserGate port2, который будет использоваться для создания кластера.
На шаге «Настройка статической адресации на интерфейсах» во время назначения зон убедитесь, что зоны Trusted и Untrusted назначаются на порты с IP-адресами 10.255.0.10 и 10.255.10.10 соответственно.
На порт с адресом 10.255.255.10 требуется назначить зону Cluster. Не удаляйте ВМ ECS-X на данном этапе. ВМ потребуется для начальной инициализации второго узла кластера.
Выполните шаг «Тестирование доступов» по инструкции первичной инициализации UserGate в Advanced.
Настройка первого узла для создания кластера конфигурации и отказоустойчивости
Выполните настройку в соответствии с документацией вендора, указав следующие параметры:
Для созданного интерфейса subnet-vpc-x-outside назначьте зону Cluster.
Для зон Trusted и Untrusted включите разрешение VRRP.
В разделе UserGate - Управление устройством введите имя узла «ecs-UserGate-Pri» и IP-адрес «10.255.255.10».
Установка второго узла кластера
Создайте виртуальный сервер UserGate с названием «ecs-UserGate-Sec», указав при настройке NIC IP-адреса интерфейсов «.11».
Выполните настройку порта управления.
Выполните настройку дополнительных параметров в соответствии с документацией вендора, указав следующие параметры на шагах первоначальной установки:
В поле Интерфейс укажите порт по MAC-адресу.
В поле IP-адрес введите «10.255.255.11».
В поле Маска введите «255.255.255.0».
В поле IP-адрес мастер-сервера введите «10.255.255.10».
Настройка кластера конфигурации
Выполните настройку в соответствии с документацией вендора, указав следующие параметры:
Для сетевого интерфейса с IP-адресом 10.255.10.11 назначьте IP-адрес шлюза 10.255.10.1.
Настройте статические маршруты для виртуального маршрутизатора второго узла кластера аналогично статическим маршрутам для виртуального маршрутизатора первого узла кластера.
Настройка кластера отказоустойчивости
Выполните настройку в соответствии с документацией вендора, указав параметры ниже. Также можно использовать cli.
Чтобы исключить дублирование трафика, отключите опцию транзита трафика через пассивные узлы.
Для зоны Trusted укажите виртуальный IP-адрес «10.255.0.12».
Выберите соответствующие интерфейсы UserGate.
Тестирование доступов
В качестве тестов рекомендуется:
Проверить IP-адрес, с которого ECS-A и ECS-B выходят в интернет.
IP-адрес должен соответствовать EIP, назначенному активному узлу кластера отказоустойчивости UserGate. Для проверки используйте утилиту curl, например curl ifconfig.me.
Полученный результат должен соответствовать EIP.
Выполнить тестирование доступов при отключенной основной ноде UserGate и повторить тестирование доступов при отключенной резервной ноде UserGate.