- tocdepth
2
Первичная инициализация UserGate в Advanced
Первичная инициализация выполняется после развертывания UserGate в Advanced. При этом для подключения к интернету предполагается использование выделенного интерфейса на UserGate.
Целевая схема, которая должна быть реализована в ходе первичной инициализации:
![../../_images/sch__init_01.png](../../_images/sch__init_01.png)
Примечание
Перед выполнением этой инструкции рекомендуем изучить сценарий использования стороннего межсетевого экрана для очистки трафика сетей VPC.
Развертывание дополнительных виртуальных машин
Разверните тестовые виртуальные машины (ВМ)
ECS-A
иECS-B
, как описано в разделе Быстрый старт по созданию виртуальных машин ECS, и с помощью данных ECS проверьте сетевую связность через NGFW.При развертывании ECS настройте IP-адреса, как указано на целевой схеме.
Первичную инициализацию UserGate рекомендуем выполнить, подключаясь к графическому интерфейсу UserGate локально через внутренний интерфейс. Это обеспечит высокий уровень защиты ВМ UserGate в процессе настройки.
Разверните дополнительную ВМ
ECS-X
вVPC-X
и в подсетиsubnet-vpc-x
для реализации целевой схемы.Для первичной инициализации UserGate используется доступ к графическому интерфейсу UserGate, поэтому
ECS-X
нужно развернуть на базе ОС Windows. После выполнения первичной инициализации и настройки безопасного доступа к интерфейсу управления UserGate через интернет,ECS-X
может быть удалена.
Настройка порта управления UserGate
Войдите в консоль управления Advanced:
Чтобы открыть список сервисов, нажмите Service List.
Перейдите
.Выберите ВМ
ecs-UserGate
и нажмите Remote Login для подключения к командной строке UserGate.Укажите логин и пароль:
Admin/utm
.Выполните команду iface list. Она выводит список портов UserGate, их статусы (enabled: True или False), способ IP-адресации (dhcp или manual), настроенные зоны, IP- и MAC-адреса.
Примечание
В операционной системе UserGate сетевые интерфейсы (port0, port1 и т.д.) назначаются в соответствии с MAC-адресами сетевых адаптеров в порядке их возрастания.
В полученном списке портов определите, какой порт (port0 или port1) соответствует NIC ВМ UserGate, находящейся в
subnet-vpc-x
. Определить порт нужно по MAC-адресу. Список NIC и их MAC-адресов можно посмотреть в настройках ВМecs-UserGate
на вкладке Network Interfaces.NIC с MAC-адресом
fa:16:3e:5a:5b:65
, находящийся вsubnet-vpc-x
, соответствуетport0
в ОС UserGate.Для выбранного порта выполните команду:
iface config -name port0 -enabled true -mode dhcp -zone 1
Если определен
port1
, то команда будет выглядет так:iface config -name port1 -enabled true -mode dhcp -zone 1
Первоначальная настройка UserGate
Подключитесь к консоли управления
ECS-X
с помощью Remote Login.В адресной строке браузера введите
https://10.255.0.10:8001
.Укажите значения параметров для начальной установки:
язык;
часовой пояс;
согласие с лицензионным соглашением;
пароль для учетной записи локального администратора.
Нажмите Старт.
Через 1-2 минуты повторите подключение к графическому интерфейсу управления в браузере по адресу
https://10.255.0.10:8001
. Если доступ к графическому интерфейсу пропал, вернитесь к командной строке UserGate через Remote Login и выполните команду:iface config -name port0 -enabled true -mode dhcp -zone 1`
Укажите
port1
вместоport0
, если при настройке порта управления UserGate был выбранport1
.
Настройка статического шлюза
Перейдите
.Замените шлюз, полученный по протоколу boot, на шлюз, настроенный статически. Для этого нажмите Добавить и укажите значение параметров:
Название — default
Интерфейс — порт c IP-адресом
10.255.10.10
Виртуальный маршрутизатор — виртуальный маршрутизатор по умолчанию
IP шлюза —
10.255.10.1
Вес — 1
Балансировка — деактивироать
По умолчанию — активировать
Нажмите Сохранить.
Удалите шлюз, полученный по протоколу boot.
Настройка зон
На вкладке Настройки перейдите в .
Откройте свойства сетевой зоны Trusted.
Перейдите на вкладку Контроль доступа.
Активируйте чекбокс Консоль администрирования. При необходимости подключения к командной строке UserGate по SSH, активируйте чекбокс CLI по SSH. Укажите, для каких IP-адресов или подсетей доступ разрешен. Это нужно для ограничения доступа к консоли администрирования.
Нажмите Сохранить.
Откройте свойства сетевой зоны Untrusted.
Перейдите на вкладку Контроль доступа.
Если нужно подключиться к интерфейсу управления UserGate из интернета, активируйте чекбокс Консоль администрирования.
Если нужно подключиться к командной строке UserGate по SSH из интернета, активируйте чекбокс CLI по SSH.
Укажите, для каких IP-адресов или подсетей доступ разрешен. Это важно для органичения доступа к консоли администрирования и SSH.
Нажмите Сохранить.
Важно
Для зоны Untrusted обязательно ограничьте доступ к консоли администрирования и SSH, указав конкретные IP-адреса администраторов.
На вкладке Настройки перейдите в .
Включите сетевые порты (
port1
,port2
), если они отключены. Для этого нажмите на выбранный порт правой кнопкой мыши и выберите Включить.
Настройка статической адресации на интерфейсах
Для каждого сетевого порта (
port1
иport2
) откройте свойства интерфейса.На вкладке Общие укажите настройку зоны Trusted для внутреннего порта и Untrusted для внешнего порта.
Перейдите на вкладку Сеть и выберите режим Статический.
Нажмите Сохранить.
Примечание
При переключении режима с DHCP на Статический IP-адрес порта будет сохранен автоматически.
Настройка DNS
На вкладке Настройки перейдите в .
Проверьте наличие системных DNS из подсети
100.125.0.0/16
. Это внутренние DNS, которые получены от VPC облака автоматически (по DHCP). DNS доступны через основной NIC ECS (располагается первым в списке).Если первым по списку расположен внутренний интерфейс UserGate, нужно настроить статические маршруты к DNS:
Перейдите в
.Перейдите в настройки
.В выпадающем меню выберите Статические маршруты.
Добавьте маршруты к серверам DNS.
Подключение UserGate к интернету
Войдите в консоль управления Advanced.
Перейдите в
.См.также
Нажмите Bind рядом с EIP, который планируется использоваться для UserGate.
Выберите в списке доступных ECS виртуальную машину
ecs-UserGate
.В блоке NIC выберите внешний NIC UserGate с IP-адресом
10.255.10.10
.В адресной строке браузера введите
https://<EIP>:8001
, где EIP — привязанный к UserGate Elastic IP. Проверьте доступность из интернета графического интерфейса управления UserGate для IP-адресов, указанных при настройке «Контроль доступа» для зоны Untrusted.Проверьте доступ в интернет из консоли управления UserGate. Для этого перейдите на вкладку Диагностика и мониторинг, выберите и укажите значения параметров:
Ping host — usergate.com
Интерфейс —
10.255.10.10
(port1
илиport2
)
Если выделенная ВМ для управления не требуется, удалите
ECS-X
.
Установка лицензии
Примечание
Для получения лицензии UserGate обратитесь к вашему сейлз-менеджеру Cloud.ru.
Подключитесь к графическому интерфейсу управления UserGate.
В верхней левой части экрана нажмите Незарегистрированная версия.
Введите PIN-код лицензии.
Нажмите Дальше.
Заполните обязательные поля и нажмите Дальше.
В поле Регистрационное имя укажите название ВМ
ecs-UserGate
.Перейдите на вкладку Дашбоард и проверьте информацию в блоке Лицензия.
Настройка сетевых доступов
Настройка сетевых доступов состоит из трех этапов:
Настройка маршрутов к удаленным VPC.
Настройка NAT.
Настройка межсетевого экрана.
Нужно настроить на UserGate правила выхода в интернет ECS-A
и ECS-B
, а также правило, разрешающее ping от ECS-A
и ECS-B
.
Примечание
При настройке правила ping от ECS-B
к ECS-A
должен быть закрыт.
Настройка маршрутов к удаленным VPC
В графическом интерфейсе UserGate на вкладке Настройки перейдите в .
Выберите Статические маршруты.
Добавьте маршруты к подсетям
subnet-vpc-a
иsubnet-vpc-b
.Нажмите Сохранить.
Настройка NAT
В графическом интерфейсе UserGate на вкладке Настройки перейдите в .
Откройте преднастроенное правило NAT from Trusted to Untrusted.
Включите правило.
В поле SNAT IP (внешний адрес) укажите
10.255.10.10
.В поле Журналирование выберите Журналировать начало сессии.
Нажмите Сохранить.
Настройка межсетевого экрана
Перейдите в
.Добавьте две группы:
vpc-a-subnet
иvpc-b-subnet
.Для
vpc-a-subnet
добавьте IP-адрес подсети10.1.0.0/24
.Для
vpc-b-subnet
добавьте IP-адрес подсети10.2.0.0/24
.Перейдите в
.Откройте преднастроенное правило Default block.
В поле Журналирование выберите Журналировать начало сессии.
Нажмите Сохранить.
Примечание
Для правила Default block рекомендуем журналировать сессии на этапе тестирования. При переводе системы в промышленное использование отключите журналирование в этом правиле, чтобы сократить количество формируемых логов.
Откройте преднастроенное правило Allow trusted to untrusted и включите его.
В поле Журналирование выберите Журналировать начало сессии.
Скопируйте правило Allow trusted to untrusted.
Переименуйте правило в Allow VPC-A to VPC-B.
Перейдите на вкладку Источник.
В форме Адрес источника перейдите в и выберите
vpc-a-subnet
.Перейдите на вкладку Назначение.
В форме Зона назначения отключите Untrusted и включите Trusted.
В форме Адрес назначения перейдите в и выберите
vpc-b-subnet
.
Тестирование доступов
Подключитесь к ECS-A с помощью Remote Login.
Войдите в операционную систему.
Откройте окно терминала.
Запустите ping
usergate.com
и убедитесь в успешном прохождении ping.Запустите ping
10.2.0.10
и убедитесь в успешном прохождении ping.Подключитесь к ECS-B с помощью Remote Login.
Войдите в операционную систему.
Откройте окно терминала.
Запустите ping
usergate.com
и убедитесь в успешном прохождении ping.Запустите ping
10.1.0.10
и убедитесь в том, что ping не прошел. Созданные настройки UserGate залокировали доступ изVPC-B
кVPC-A
.Проверьте логи UserGate и убедитесь, что трафик прошел через NGFW. Для этого:
В графическом интерфейсе UserGate перейдите в
.Отфильтруйте события за Сегодня и выберите в качестве IP-источника
10.2.0.10
.Убедитесь в наличии логов в разрешенным трафиком ICMP до
usergate.com
и запрещенным трафиком ICMP до10.1.0.10
.
На этом процедура первичной инициализации ВМ UserGate и переназначения сетевых интерфейсов завершена. Виртуальный межсетевой экран UserGate (Virtual NGFW) полностью готов к эксплуатации.
При дальнейшей эксплуатации устройства активируйте и назначьте IP-адресацию и сетевые зоны на сетевые интерфейсы ВМ UserGate, сверяясь с реальным назначением сетевых сегментов на платформе виртуализации. Эту особенность установки нужно учитывать при настройке отказоустойчивого кластера.
Была ли статья полезной?
для Dev & Test