tocdepth

2

Отказоустойчивая конфигурация UserGate (HA) на платформе Evolution

ВМ UserGate поддерживает режим отказоустойчивого кластера. В этом режиме две ВМ имеют общие настройки и заменяют друг друга в случае выхода из строя одной из них. Также реализована отказоустойчивость транзитных сетевых соединений для предотвращения разрыва при переключении на резервную ВМ.

Кластер отказоустойчивости функционирует по принципу разделения ролей:

• Активная ВМ обрабатывает сетевой трафик.

• Пассивная ВМ проверяет статус активной и синхронизирует с ней состояние сетевых сессий.

В случае неисправности активной ВМ пассивная ВМ становится активной и обрабатывает сетевой трафик. Создание отказоустойчивого кластера происходит в два этапа: создание кластера конфигурации и создание кластера отказоустойчивости.

Примечание

IP-адреса и параметры ВМ, которые используются в руководстве, даны в качестве примера. Руководства реализуются для версии «UserGate VE 100».

Если вы используете другую версию, настройте параметры ВМ в соответствии с ней. Если настраиваете UserGate для уже имеющихся ресурсов, используйте их IP-адреса.

Чтобы развернуть отказоустойчивый кластер UserGate:

1. Создайте VPC и подсети.

2. Создайте группы безопасности.

3. Создайте виртуальные машины на базе образа UserGate.

4. Отключите группы безопасности.

5. Организуйте ВМ «ug-vm» доступ к интернету.

6. Настройте первый узел кластера.

7. Настройте второй узел кластера.

8. Настройте кластер конфигурации.

9. Настройте кластер отказоустойчивости.

10. Протестируйте подключение UserGate к интернету.

11. Установите лицензию.

Перед началом работы

1. Авторизуйтесь в личном кабинете.

   Подробнее — в руководстве по личному кабинету.

2. Проверьте, что учетной записи назначена роль не ниже Администратор проекта.

   Если это не так, запросите права у администратора.

Шаг 1. Создайте VPC и подсети

Создайте VPC

1. Выберите сервис VPC.

2. Нажмите Создать VPC.

3. В поле Название введите «ug-vpc».

4. Нажмите Создать.

Создайте внешнюю подсеть

1. Выберите сервис Подсети.

2. Нажмите Создать подсеть.

3. В поле Название введите «public-subnet-ug».

4. В поле VPC выберите «ug-vpc».

5. В поле Адрес введите «10.2.2.0/24».

6. В поле Шлюз введите «10.2.2.1».

7. В поле DNS-серверы введите «8.8.8.8».

8. Нажмите Создать.

Создайте подсеть управления

1. Нажмите Создать подсеть.

2. В поле Название введите «management-subnet-ug».

3. Выберите локальный тип подсети.

4. В поле Адрес введите «10.1.1.0/24».

5. Нажмите Создать.

Создайте подсеть для внутреннего трафика

1. Нажмите Создать подсеть.

2. В поле Название введите «internal-subnet-ug».

3. Выберите локальный тип подсети.

4. В поле Адрес введите «10.3.3.0/24».

5. Нажмите Создать.

Создайте подсеть для кластера

1. Нажмите Создать подсеть.

2. В поле Название введите «cluster-subnet-ug».

3. Выберите локальный тип подсети.

4. В поле Адрес введите «10.10.10.0/29».

5. Нажмите Создать.

Шаг 2. Создайте группы безопасности

1. Выберите сервис Группы безопасности.

2. Нажмите Создать группу безопасности.

3. В поле Название введите «ug-mgmt-sec-group».

4. В разделе Правила входящего трафика нажмите Добавить правило.

5. Создайте правило вида:

   • Протокол — «Любой».

   • Тип источника — «IP-адрес».

   • Источник — «0.0.0.0/0».

6. Нажмите Создать.

7. Нажмите Создать.

8. Нажмите на имя группы безопасности.

9. Перейдите на вкладку Правила.

10. Добавьте правила входящего и исходящего трафика согласно таблице:

    Трафик	Протокол	Порт	Тип источника / адресата	Источник / адресат	Описание
    Входящий	TCP	8001:8001	Группа безопасности	ug-mgmt-sec-group	Веб-консоль
    Входящий	ICMP	Любой	Группа безопасности	ug-mgmt-sec-group
    Входящий	TCP	2200:2200	Группа безопасности	ug-mgmt-sec-group	CLI по SSH
    Исходящий	ICMP	Любой	Группа безопасности	ug-mgmt-sec-group
    Исходящий	TCP	Любой	Группа безопасности	ug-mgmt-sec-group

11. Удалите правило, созданное в пункте 5:

    1. Справа от правила нажмите и выберите Удалить.

    2. В открывшемся окне нажмите Удалить.

Также может понадобиться настройка дополнительных правил. С полным списком правил можно ознакомиться на сайте UserGate.

Аналогичным образом создайте группу безопасности «ug-cluster-sec-group» и добавьте в нее правила:

Трафик	Протокол	Порт	Тип источника / адресата	Источник / адресат	Описание
Входящий	Любой	Любой	Группа безопасности	ug-cluster-sec-group
Исходящий	Любой	Любой	Группа безопасности	ug-cluster-sec-group

Шаг 3. Создайте виртуальные машины на базе образа UserGate

1. Выберите сервис Виртуальные машины.

2. Нажмите Создать виртуальную машину.

3. В поле Название введите «ug-vm».

4. В разделе Образ перейдите на вкладку Маркетплейс и выберите UserGate.

5. В разделе Вычислительный ресурс:

   1. В поле vCPU выберите «4».

   2. В поле RAM выберите «16».

6. В разделе Диски выберите объем загрузочного диска — «100 ГБ».

7. Нажмите Продолжить.

8. Подключите ВМ к внешней подсети:

   1. Нажмите Подключить к подсети.

   2. В поле VPC выберите «ug-vpc».

   3. В поле Подсети выберите «10.2.2.0/24».

   4. Нажмите Подключить.

9. Подключите ВМ к подсети управления:

   1. Нажмите Подключить к подсети.

   2. В поле VPC выберите «Изолированные подсети».

   3. В поле Подсети выберите «10.1.1.0/24».

   4. В поле Группы безопасности выберите «ug-mgmt-sec-group».

   5. Нажмите Подключить.

10. Подключите ВМ к подсети для внутреннего трафика:

    1. Нажмите Подключить к подсети.

    2. В поле VPC выберите «Изолированные подсети».

    3. В поле Подсети выберите «10.3.3.0/24».

    4. Нажмите Подключить.

11. Подключите ВМ к подсети кластера:

    1. Нажмите Подключить к подсети.

    2. В поле VPC выберите «Изолированные подсети».

    3. В поле Подсети выберите «10.10.10.0/24».

    4. В поле Группы безопасности выберите «ug-cluster-sec-group».

    5. Нажмите Подключить.

12. Нажмите Создать.

Аналогичным образом создайте ВМ с именем «ug-vm-2».

Шаг 4. Отключите группы безопасности

Группы безопасности по умолчанию блокируют весь транзитный трафик. Это может помешать работе UserGate.

Чтобы этого не произошло, отключите группы безопасности от интерфейсов, через которые проходит такой трафик:

1. В списке ВМ выберите «ug-vm».

2. Перейдите на вкладку Сетевые параметры.

3. В блоке Подсети выберите интерфейс «public-subnet-ug» и нажмите в его строке.

4. Выберите Свойства интефейса.

5. Отключите опцию «Проверка адреса источника/назначения» и нажмите Выключить.

6. Повторите действия для интерфейса «internal-subnet-ug».

Аналогичным образом отключите группы безопасности на ВМ «ug-vm-2».

Шаг 5. Организуйте ВМ «ug-vm» доступ к интернету

1. Выберите сервис Публичные IP.

2. Нажмите Арендовать публичный IP.

3. В поле Название введите «ug-ip».

4. Нажмите Арендовать.

5. В строке с IP-адресом «ug-ip» нажмите и выберите Назначить.

6. Выберите ВМ «ug-vm» из списка.

7. Выберите Плавающий тип IP-адреса.

8. Нажмите Назначить.

9. Составьте обращение в техническую поддержку для дополнительной настройки виртуального IP-адреса на стороне платформы Evolution.

   В тексте обращения укажите идентификатор ВМ и IP-адрес, который необходимо настроить.

Шаг 6. Настройте первый узел кластера

1. Из ВМ в подсети «management-subnet-ug» перейдите в браузере на страницу https://10.1.1.4:8001.

2. Авторизуйтесь в сервисе:

   • Логин — «Admin».

   • Пароль — «usergate».

3. Выберите Русский язык и нажмите Continue.

4. Выберите часовой пояс и нажмите Продолжить.

5. Ознакомьтесь и примите условия лицензионного соглашения.

6. Смените пароль администратора и нажмите Старт.

7. Настройте статическую адресацию и зоны первого узла:

   port0

   1. Нажмите port0.

   2. В поле Зона выберите «Management».

   3. В разделе IP интерфейса нажмите Добавить и укажите:

      • IP интерфейса — «10.1.1.4».

      • Маска — «255.255.255.0».

   4. Нажмите Сохранить.

   port1

   1. Нажмите port1.

   2. В поле Зона выберите «Untrusted».

   3. В разделе IP интерфейса нажмите Добавить и укажите:

      • IP интерфейса — «10.2.2.4».

      • Маска — «255.255.255.0».

   4. Нажмите Сохранить.

   port2

   1. Нажмите port2.

   2. В поле Зона выберите «Cluster».

   3. В разделе IP интерфейса нажмите Добавить и укажите:

      • IP интерфейса — «10.10.10.4».

      • Маска — «255.255.255.248».

   4. Нажмите Сохранить.

   port3

   1. Нажмите port3.

   2. В поле Зона выберите «Trusted».

   3. В разделе IP интерфейса нажмите Добавить и укажите:

      • IP интерфейса — «10.3.3.4».

      • Маска — «255.255.255.0».

   4. Нажмите Сохранить.

8. Настройте статический шлюз:

   1. В списке слева выберите Сеть → Шлюзы.

   2. Нажмите Добавить.

   3. В поле Название введите «default».

   4. В поле Интерфейс выберите port1.

   5. В поле IP шлюза введите «10.2.2.1».

   6. В поле Вес введите «1».

   7. Нажмите Сохранить.

9. Настройте DNS:

   1. В списке слева выберите Сеть → DNS.

   2. Нажмите Добавить.

   3. В поле Адрес сервера введите «8.8.8.8».

   4. Нажмите Сохранить.

10. В списке слева выберите Сеть → Зоны.

11. Нажмите Trusted.

12. Установите флаг VRRP.

13. Повторите шаги 5-6 для зоны «Untrusted».

14. В списке слева выберите UserGate → Управление устройством.

15. В разделе Кластер конфигурации нажмите Редактировать.

16. В поле IP-адрес введите «10.10.10.4».

17. Нажмите Сохранить.

18. Нажмите Перезагрузить сейчас.

    Перезагрузка занимает до 10 минут.

19. В списке слева выберите UserGate → Управление устройством.

20. В разделе Кластер конфигурации нажмите Сгенерировать секретный код.

    Сохраните код. Он потребуется при настройке второго узла кластера.

Шаг 7. Настройте второй узел кластера

1. Из ВМ в подсети «management-subnet-ug» перейдите в браузере на страницу https://10.1.1.5:8001.

2. Авторизуйтесь в сервисе:

   • Логин — «Admin».

   • Пароль — «usergate».

3. Выберите Русский язык и нажмите Continue.

4. Выберите часовой пояс и нажмите Продолжить.

5. Ознакомьтесь c условиями лицензионного соглашения и нажмите Принять.

6. Нажмите Установка дополнительного узла кластера.

7. В поле Интерфейс выберите port3.

8. В поле IP-адрес введите «10.10.10.5».

9. В поле Маска введите «255.255.255.248».

10. В поле IP-адрес мастер-сервера введите «10.10.10.4».

11. В поле Секретный код введите секретный код, полученный ранее.

12. Нажмите Продолжить.

Шаг 8. Настройте кластер конфигурации

1. Авторизируйтесь в интерфейсе UserGate на ВМ «UserGate-vm».

2. В списке слева выберите UserGate → Управление устройством.

3. В разделе Кластер конфигурации выберите второй узел кластера и нажмите Редактировать.

4. В поле Имя узла введите «utmcore@oulratranale».

5. Нажмите Сохранить.

6. Перейдите на вкладку Настройки.

7. В списке слева выберите Сеть → Интерфейсы.

8. Настройте статическую адресацию и зоны второго узла кластера:

   port0

   1. Нажмите port0.

   2. В поле Зона выберите «Management».

   3. В разделе IP интерфейса нажмите Добавить и укажите:

      • IP интерфейса — «10.1.1.5».

      • Маска — «255.255.255.0».

   4. Нажмите Сохранить.

   port1

   1. Нажмите port1.

   2. В поле Зона выберите «Untrusted».

   3. В разделе IP интерфейса нажмите Добавить и укажите:

      • IP интерфейса — «10.2.2.5».

      • Маска — «255.255.255.0».

   4. Нажмите Сохранить.

   port2

   1. Нажмите port2.

   2. В поле Зона выберите «Cluster».

   3. В разделе IP интерфейса нажмите Добавить и укажите:

      • IP интерфейса — «10.10.10.5».

      • Маска — «255.255.255.248».

   4. Нажмите Сохранить.

   port3

   1. Нажмите port3.

   2. В поле Зона выберите «Trusted».

   3. В разделе IP интерфейса нажмите Добавить и укажите:

      • IP интерфейса — «10.3.3.5».

      • Маска — «255.255.255.0».

   4. Нажмите Сохранить.

9. Настройте статический шлюз второго узла:

   1. В списке слева выберите Сеть → Шлюзы.

   2. Нажмите Добавить.

   3. В поле Название введите «default».

   4. В поле Интерфейс выберите port1.

   5. В поле IP шлюза введите «10.2.2.1».

   6. В поле Вес введите «1».

   7. Нажмите Сохранить.

10. Настройте DNS второго узла:

    1. Из ВМ в подсети «management-subnet-ug» перейдите в браузере на страницу https://10.1.1.5:8001.

    2. В списке слева выберите Сеть → DNS.

    3. Нажмите Добавить.

    4. В поле Адрес сервера введите «8.8.8.8».

    5. Нажмите Сохранить.

Шаг 9. Настройте кластер отказоустойчивости

1. В списке слева выберите UserGate → Управление устройством.

2. В разделе Кластеры отказоустойчивости нажмите +.

3. Перейдите на вкладку Узлы и выберите оба узла.

4. Перейдите на вкладку Виртуальные IP.

5. Добавьте виртуальный IP для зоны «Untrusted»:

   1. Нажмите Добавить.

   2. В поле Виртуальный IP введите «10.2.2.6».

   3. В поле Маска введите «255.255.255.0».

   4. В разделе Интерфейсы для обоих узлов выберите port1.

   5. Нажмите Сохранить.

6. Добавьте виртуальный IP для зоны «Trusted»:

   1. Нажмите Добавить.

   2. В поле Виртуальный IP введите «10.3.3.6».

   3. В поле Маска введите «255.255.255.0».

   4. В разделе Интерфейсы для обоих узлов выберите port3.

   5. Нажмите Сохранить.

7. Нажмите Сохранить.

8. В списке слева выберите Сеть → Интерфейсы.

9. Убедитесь, что для указанных интерфейсов появились виртуальные IP:

   

Шаг 10. Протестируйте подключение UserGate к интернету

1. Авторизируйтесь в интерфейсе UserGate на ВМ «UserGate-vm».

2. Перейдите на вкладку Диагностика и мониторинг.

3. В списке слева выберите Сеть → Ping.

4. В поле Ping host введите «8.8.8.8».

5. В поле Интерфейс выберите port1.

6. Нажмите Старт.

В результате должна отобразиться статистика по шести отправленным пакетам.

Шаг 11. Установите лицензию

1. Нажмите Активировать продукт.

2. Введите PIN-код лицензии.

3. Нажмите Дальше.

4. Заполните обязательные поля и нажмите Дальше.

5. Перейдите на вкладку Дашборд и в разделе Лицензия нажмите Проверить лицензию.

Откроется окно с информацией о лицензии.

Настройка отказоустойчивого кластера UserGate завершена.

Следующие шаги

После настройки UserGate вы можете ознакомиться со сценариями использования.

Была ли статья полезной?

Да Нет

Предыдущая статья

Отказоустойчивая конфигурация UserGate (HA) на платформе Облако VMware

Следующая статья

Настройка VPN на UserGate

Запустили Evolution free tier
для Dev & Test

Получить