- tocdepth
2
Настройка доступа в интернет через NGFW в удаленном VPC в Advanced
В этом разделе приведен пример сетевой топологии для доступа в интернет через NGFW в удаленном VPC, а также описан процесс настройки этого доступа.
На этой странице
Сетевая топология
Пример настройки для сетевой топологии:
В инфраструктуре присутствуют два VPC:
VPC, в котором расположен кластер NGFW — «vpс-usergate-test».
VPC, в котором расположена виртуальная машина ECS на базе Windows Server — «vpc-usergate-test2».
Развернут кластер NGFW на базе UserGate. Инструкция по развертыванию кластера.
Внешние интерфейсы UserGate расположены в подсети под названием «subnet-outside» и имеют адресацию в сети 192.168.0.0/24:
192.168.0.11 — адрес ВМ «ecs-UserGate_Pri».
192.168.0.12 — адрес ВМ «ecs-UserGate_Sec».
192.168.0.250 — виртуальный IP-адрес кластера.
В сети «subnet-outside» создан Virtual IP, соответствующий виртуальному IP-адресу кластера — 192.168.0.250.
К внешним интерфейсам каждой ноды UserGate привязаны EIP. EIP обеспечивают независимый доступ в интернет для каждого узла кластера и из внутренних подсетей.
Кластерные интерфейсы UserGate расположены в подсети под названием «subnet-cluster» и имеют адресацию в сети 192.168.255.0/24:
192.168.255.11 — адрес ВМ «ecs-UserGate_Pri».
192.168.255.12 — адрес ВМ «ecs-UserGate_Sec».
Внутренние интерфейсы UserGate расположены в подсети под названием «subnet-usergate-in3» и имеют адресацию в сети 192.168.3.0/24:
192.168.3.11 — адрес ВМ «ecs-UserGate_Pri».
192.168.3.12 — адрес ВМ «ecs-UserGateSec».
192.168.3.150 — виртуальный IP кластера.
В удаленном VPC под названием «vpc-usergate-test2» присутствует одна подсеть «subnet-inside10-1» c адресацией 10.10.1.0/24. IP-адрес ECS в этой подсети 10.10.1.10.
Внимание
В этой инструкции описан процесс настройки маршрутизации для организации доступа в интернет для ECS в удаленном VPC. На схеме это «ecs-WinSrv».
Перед дальнейшей работой необходимо заранее настроить NAT-правила и Firewall на UserGate. Подробнее об этом в инструкциях:
Настройка Custom Route Table для внешних интерфейсов UserGate
Войдите в консоль управления Advanced:
Чтобы открыть список сервисов, нажмите Service List.
Выберите
.В левой части экрана выберите Route Tables.
В правом верхнем углу нажмите Create Route Table.
Заполните необходимые параметры и нажмите OK:
Name — укажите название Route Table. Например, «rtb-UG-outside».
VPC — выберите сеть.
В списке таблиц маршрутизации напротив созданной таблицы «rtb-UG-outside» нажмите Associate Subnet.
Выберите подсеть внешних интерфейсов UserGate. В примере это «subnet-outside».
Создание Virtual IP во внутренней сети UserGate
В этом примере кластер UserGate имеет виртуальный IP-адрес на внутренних интерфейсах — 192.168.3.150. Необходимо создать соответствующий данному IP-адресу экземпляр Virtual IP.
В консоли управления Advanced выберите раздел
.В левой части экрана выберите Subnets.
Выберите подсеть для внутренних интерфейсов UserGate. В этом примере это подсеть «subnet-usergate-in3».
Перейдите на вкладку IP Addresses.
Выберите Assign Virtual IP Address.
Укажите параметры и нажмите OK:
Assignment mode — выберите Manual.
IP Address — укажите 192.168.3.150.
В списке подсетей выберите нужную и нажмите
.Поочередно выберите ноды кластера UserGate и соответствующие внутренние интерфейсы UserGate.
Проверьте настройки Virtual IP Address. В этом примере используются значения:
Virtual IP Address — 192.168.3.150. Этот адрес будет использоваться для UserGate.
Bound Server (NIC) — 192.168.3.11 (12).
![../../_images/s__virtual-ip-address.png](../../_images/s__virtual-ip-address.png)
Настройка VPC peering
В консоли управления Advanced выберите раздел
.В левой части экрана выберите VPC Peering.
В правом верхнем углу нажмите Create VPC Peering Connection.
Заполните параметры:
Name — название для соединения VPC Peering.
Local VPC — созданная ранее локальная сеть VPC.
Account — My Account.
Peer VPC — нужное соединение.
Нажмите OK.
Выберите Add Later.
В левой части экрана выберите Route Tables.
Выберите таблицу маршрутизации по умолчанию (Default) для VPC, в котором расположен UserGate (в примере это «rtb-vpc-usergate-test»).
Добавьте маршрут в удаленный VPC:
Destination — укажите 10.10.0.0/16.
Next Hop Type — выберите VPC peering connection.
Next Hop — выберите созданное ранее пиринговое соединение.
Добавьте маршрут по умолчанию в таблицу маршрутизации для VPC, в которой расположен UserGate (в этом примере «rtb-vpc-usergate-test»). Это необходимо для организации маршрутизации через UserGate.
Для того, чтобы маршрут по умолчанию указывал на виртуальный IP-адрес кластера UserGate, укажите в качестве Next Hop созданный ранее Virtual IP (в нашем примере это 192.168.3.150).
Проверьте созданные маршруты в таблице маршрутизации. В нашем примере это «rtb-vpc-usergate-test»:
Перейдите к настройке маршрутов для удаленной VPC (vpc-usergate-test2). Потребуется создать маршрут по умолчанию c next hop, указывающим в VPC peering. Выберите таблицу маршрутизации по умолчанию (Type = Default) для VPC, в которой расположена виртуальная машина WinSrv (в примере это «rtb-vpc-usergate-test2»).
Добавьте маршрут по умолчанию как показано на скриншоте ниже.
Проверьте созданный маршрут в таблице маршрутизации «rtb-vpc-usergate-test2».
Настройка маршрута к удаленному VPC в UserGate
Подключитесь в браузере к графическому интерфейсу UserGate.
Перейдите на вкладку Настройки.
Перейдите в раздел
.Выберите используемый виртуальный маршрутизатор для основной ноды UserGate.
Примечание
В большинстве случаев используется виртуальный маршрутизатор по умолчанию.
Выберите в выпадающем меню Статические маршруты.
Настройте статический маршрут в удаленную VPC.
Next Hop — укажите VPC Gateway для внутренней подсети. В этом примере это «subnet-usergate-in3».
По умолчанию это IP-адрес подсети имеющий в последнем октете значение «.1»
Повторите настройку статического маршрута в удаленную VPC для резервной ноды UserGate.
Проверка сетевого доступа со стороны UserGate
Подключитесь в браузере к графическому интерфейсу UserGate.
Перейдите на вкладку Диагностика и мониторинг.
Перейдите в раздел
.Убедитесь в наличии маршрута в удаленную VPC в таблице маршрутизации UserGate:
Перейдите в раздел
.На странице Настройка Ping укажите параметры:
Ping host — IP-адрес целевого хоста в удаленном VPC (в этом примере — 10.10.1.10).
Интерфейс — внутренний интерфейс UserGate.
Нажмите Старт.
Убедитесь в получении ответов от удаленного хоста как показано на скриншоте.
![../../_images/s__usergate-get-answers.png](../../_images/s__usergate-get-answers.png)
Внимание
Для успешного прохождения ping убедитесь, что соответствующий трафик (ICMP Requests) разрешен:
в Security Group в интерфейсе целевой ECS;
в настройках Firewall операционной системы.
Проверка сетевого доступа со стороны ECS
Запустите командную строку (cmd).
Запустите ping и убедитесь в получении ответов:
Ping до виртуального IP-адреса кластера UserGate (в этом примере — 192.168.3.150)
Ping до 8.8.8.8:
Запустите tracert до 8.8.8.8. Убедитесь, что запросы проходят через интерфейсы UserGate.
Запустите браузер, чтобы проверить доступность сайтов в интернете.
Была ли статья полезной?
для Dev & Test