- tocdepth
2
Решение проблем
Целевой трафик не проходит через NGFW UserGate
Убедитесь, что трафик не блокируется на NGFW.
Убедитесь, что включено разрешающее правило для целевого трафика в разделе
и в настройках этого правила включено .В веб-интерфейсе UserGate в разделе
проверьте наличие сообщений о прохождении целевого трафика.Если требуемый трафик не отображается:
Убедитесь, что зоны источника и назначения указаны корректно и присутствуют необходимые правила маршрутизации.
Если зоны источника и назначения указаны верно, убедитесь, что нет блокировок по остальным модулям проверки трафика. При их отсутствии причину нужно искать на стороне конечных взаимодействующих хостов, иного транзитного оборудования или участков сетей.
Если трафик не отображается в разделе мониторинга UserGate, то проверьте корректность прохождения трафика на доступном промежуточном и смежном оборудовании.
Убедитесь, что трафик не блокируется на МЭ облачной платформы.
Зайдите в консоль управления облачной инфраструктурой и убедитесь, что присутствует разрешающее правило для целевого трафика в разделе Firewall и при необходимости правило трансляции адресов в разделе NAT на IP-адрес внешнего интерфейса UserGate;
Если у вас нет критических ресурсов в облачной инфраструктуре, доступ к которым настроен не через UserGate, в разделе Firewall настройте временное правило вида «Any to Any» с действием «Allow» и выполните повторно действия пункта 1.
Не устанавливается Site-to-Site VPN между UserGate и иным VPN-шлюзом
Проверьте корректность настроек в интерфейсе UserGate. Обратите внимание на правильное указание адресов локальных и удаленных подсетей, адреса удаленного участника подключения, алгоритмов и ключей шифрования, правил NAT и межсетевого экранирования.
Проверьте наличие сообщений об ошибках в разделе
.Убедитесь, что между участниками VPN-соединения разрешено обоюдное межсетевое взаимодействие и сетевой трафик не блокируется на транзитных интернет-сетях.
Выгрузите системные журналы из раздела
.В поле debug.
установите уровеньНажмите Очистить журналы.
Смоделируйте действия, приводящие к некорректному результату работы UserGate для записи данных событий.
Вернитесь в пункт Скачать журналы.
и нажмитеПосле завершения процедуры архивирования журналов будет сформирован ZIP-архив, внутри которого находятся системные логи в каталоге utm/utm.log.
В поле info.
установите уровень
Не устанавливается Client-to-Site VPN между UserGate и клиентским устройством
Проверьте корректность настроек в интерфейсе UserGate. Обратите внимание на правильное указание адресов локальных и удаленных подсетей, адреса удаленного участника подключения, алгоритмов и ключей шифрования, правил NAT и межсетевого экранирования.
Проверьте необходимые настройки на целевых операционных системах. Попробуйте подключиться к VPN с другого хоста из иной подсети. Убедитесь в отсутствии проблем на стороне хостовой операционной системы или используемого интернет-провайдера.
Проверьте наличие сообщений об ошибках в разделе
.Убедитесь, что между участниками VPN-соединения разрешено обоюдное межсетевое взаимодействие и сетевой трафик не блокируется на транзитных интернет-сетях.
Выгрузите системные журналы из раздела
.В поле debug.
установите уровеньНажмите Очистить журналы.
Смоделируйте действия, приводящие к некорректному результату работы UserGate для записи данных событий.
Вернитесь в пункт Скачать журналы.
и нажмитеПосле завершения процедуры архивирования журналов будет сформирован ZIP-архив, внутри которого находятся системные логи в каталоге utm/utm.log.
В поле info.
установите уровень
Ошибки при организации кластера UserGate
При создании кластера NGFW необходимо производить подключение новой резервной ВМ к уже существующей на этапе ее первичной инициализации через веб-интерфейс UserGate.
Если вторая нода NGFW уже развернута, ее необходимо удалить и провести развертывание заново.
При развертывании резервной ноды убедитесь в правильном назначении сетевых интерфейсов и их IP-адресации как на платформе виртуализации, так и в совместных сетевых настройках основной и вновь разворачиваемой резервной ноды. Сетевые интерфейсы, включая интерфейсы синхронизации, должны располагаться в общих сетевых сегментах со смежной IP адресацией. Повторно выполните шаги по инструкции.
Общие рекомендации по решению проблем с NGFW Usergate
Изучите последние изменения, внесенные в конфигурацию NGFW, чтобы убедиться, что они не являются причиной некорректного поведения.
:doc:` Инструкция по конфигурированию <guides>` позволит настроить требуемые функциональные возможности без ошибок.
Выполните проверку корректности встраивания NGFW в облачную платформу.
Выполните базовый и расширенный анализ неисправностей.
Обратитесь к документации и к базе знаний <https://sd.usergate.com/ru/Knowledgebase/List/Index/94> вендора, чтобы найти подробные инструкции по вашему сценарию.
Воспроизведите ошибку, чтобы убедиться, что проблема заключена именно в межсетевом экране, а не конечном хосте или нестабильных сетевых соединениях. Результаты проверки прикрепите к обращению в техническую поддержку.
Дополнительные материалы
Поиск ошибок в платформе виртуализации
Проверьте корректность выполнения действий, описанных в следующих инструкциях:
Ссылки на инструкции по настройке NGFW от производителя:
Руководство администратора UserGate
Архитектура и примеры настройки UserGate
Способы внедрения межсетевого экрана UserGate
Авторизация и аутентификация
Управление SSL сертификатами
Маршрутизация и виртуальные маршрутизаторы (VRF)
Межсетевое экранирование и правила пропускной способности
Контентная фильтрация
Система обнаружения и предотвращения вторжений (IDS/IPS)
Публикация внешних ресурсов в интернет
Удаленный доступ и VPN
Интерфейс командной строки CLI
Взаимодействие со сторонними системами
Обновление UserGate
Проверка корректности встраивания NGFW UserGate в платформу Облако VMware
Корректное развертывание ВМ UserGate подразумевает выделение требуемого ресурсного пула, правильное назначение сетевых интерфейсов и их IP-адресации с возможностью выхода преднастроенной ВМ NGFW в интернет для удаленной настройки. Если у вас обнаружены проблемы с IP-связностью или подозрение на некорректное размещение сетевых интерфейсов ВМ, аутентифицируйтесь в своем тенанте и выполните следующие действия.
Проверьте состояние виртуальной машины в платформе гипервизора. Убедитесь в выделении требуемого пула ресурсов и в том, что она включена.
Откройте свойства виртуальной машины UserGate и в разделе NIC0 устанавливается внешний IP-адрес. Сверьте отображаемые данные в веб-интерфейсе UserGate раздела . Обратите внимание на совпадение МАС-адресов в платформе гипервизора и интерфейсах UserGate. Чтобы переназначить сетевые интерфейсы UserGate, штатно выключите ВМ, измените настройки, а затем включите ВМ, нажав Power ON.
проверьте правильность назначения сетевых сегментов на платформе гипервизора и самом UserGate. Обратите внимание, что на адаптереЕсли веб-интерфейс UserGate недоступен, нажмите Launch Web Console и Launch Remote Console для получения доступа к виртуальной CLI консоли управления.
Откройте раздел Network Type и корректность IP-адресации сетевого шлюза облачной платформы. При использовании сети типа Isolated использовать шлюзовые интерфейсы облачной платформы запрещено, потому что маршрутизация настраивается на самом UserGate. Из-за особенностей облачной платформы создавать подсети без назначения IP-адресации невозможно.
и проверьте настройки сетевых сегментов на облачной платформе. Обратите внимание на тип сетиОткройте раздел Edit Rules, чтобы создать правило вида «Any-Any» с действием «Allow». Это снимает ограничение на движение трафика внутри облачной платформы, что рекомендуется в случае переноса всей маршрутизации с облачной платформы строго на UserGate.
и убедитесь в функционировании облачного шлюза платформы виртуализации. Откройте настройки сетевого шлюза и нажмитеЕсли у вас используется гибридная модель межсетевого взаимодействия с одновременным применением маршрутизации в облачной платформе и UserGate (например, NGFW установлен в разрыв), то необходимо в целях безопасности создать выделенные правила МСЭ, разрешающие доступ строго к UserGate.
Откройте раздел
и убедитесь в назначении блока внешних IP-адресов для выхода в интернет. Используя CLI-консоль UserGate, выполните ICMP- и traceroute-запросы к интернет-шлюзу облачной платформы, а затем к любому ресурсу в интернете. Если запросы выполнены без ошибок, то выход в интернет со стороны облачной платформы функционирует корректно.
Если вы не обнаружили ошибок в облачной платформе и сетевые интересы UserGate назначены верно, обеспечивая базовую межсетевую связность, необходимо выполнить дополнительные шаги по поиску ошибок в настройке NGFW UserGate.
Базовый анализ неисправностей UserGate
Проанализируйте архитектуру сети вашей облачной инфраструктуры, разворачиваемых виртуальных машин и целевую схему их внедрения. Убедитесь в правильности назначения сетевых интерфейсов на платформе гипервизора и самом UserGate. На платформе гипервизора назначьте разворачиваемые хостовые ВМ в соответствующие сетевые сегменты UserGate.
Проанализируйте информацию о сетевых зонах, сетевых интерфейсах и их IP-адресации в разделах веб-интерфейса UserGate
. Оформите полученную информацию в виде таблицы, чтобы отправить технической поддержке.Проверьте базовую сетевую связность, используя тестовые ICMP/traceroute-запросы в разделе веб-интерфейса UserGate
. Убедитесь в доступности сетевых интерфейсов UserGate, отправив ICMP-запрос с конечного хоста на адрес шлюза по умолчанию, которым является UserGate. Обратите внимание на то, что некоторые хостовые операционные системы блокируют входящие ICMP-запросы, поэтому можно не получить от них ответ в случае проверки сетевой связности со стороны UserGate.В случае проблем с выходом в интернет через UserGate проверьте, что на платформе гипервизора ему назначен внешний белый IP-адрес и в правилах сетевого доступа на платформе виртуализации прописано разрешающее правило МСЭ, обеспечивающее прохождение всего интернет-трафика на внешний сетевой интерфейс UserGate. Проверьте настройки в разделе
и убедитесь, что там указан шлюз облачной платформы для выхода в интернет. Проверьте доступность внешнего шлюза и внешних ресурсов, отправив ICMP/traceroute-запроса.Проверьте настройки статических маршрутов в разделе
, если вы используете взаимодействие с другими внутренними подсетями (VPN-филиалы и удаленные подсети), помимо тех, которые напрямую подключены к UserGate.При отсутствии сетевой связности между внутренними подсетями NGFW, выполните со стороны хостов и самого UserGate ICMP-запросы к внутренним хостам, внешним и внутренним подсетям. При этом возможно прохождение сетевого трафика лишь в одном направлении, что соответствует логике работы NGFW. Для более простого поиска ошибок в написании правил межсетевого экранирования создайте общую политику межсетевого экрана вида «Any-Any», с указанием в качестве источника и назначения всех существующих сетевых зон, с разрешением доступа по всем IP-адресам, и расположите ее первой в списке правил. Правило такого вида разрешает прохождение всего сетевого трафика между всеми сетевыми зонами NGFW.
При отсутствии выхода в интернет проверьте настройки в разделе
. В этом разделе должны быть созданы соответствующие правила взаимодействия.
Расширенный анализ неисправностей UserGate:
В разделе
отображаются системные сообщения, в том числе о блокировке сетевого трафика. Проанализируйте информацию из журналов, в том числе системные сообщения в разделе .Если используется множество сложных правил межсетевого экрана, возможны ошибки в их написании. Из-за этого требуемый сетевой трафик может быть заблокирован. Убедитесь, что в неработающих правилах установлен флаг логирования, чтобы записывать такие события. Для этого в разделе Журналировать начало сессии в пункте Журналирование.
откройте требуемое правило и укажитеВ разделе
отображаются события, когда транзитный сетевой трафик попадает под заданное правило межсетевого экрана.Возможна ситуация, когда трафик не попадает под пользовательские политики межсетевого взаимодействия. В таком случае откройте самое последнее правило в разделе
и активируйте логирование. Вы сможете увидеть сетевой трафик, не совпадающий ни с одной из вышестоящих политик.Если вы обнаружили наличие ошибок в написании правил, необходимо упростить критерии их написания, а также отключить все функции активной защиты сетевого трафика в разделе
, которые также могут блокировать межсетевое взаимодействие.Создайте общую политику межсетевого экрана вида «Any-Any» с указанием в качестве источника и назначения всех существующих сетевых зон, с доступом по всем IP-адресам и расположите ее первой в списке правил. Правило такого вида разрешает прохождение всего сетевого трафика между всеми сетевыми зонами.
Используйте инструменты в разделе
для базовой диагностики сетевой связности.Если проблема все еще не определена, выгрузите системные журналы из раздела debug. Нажмите Очистить журналы. Смоделируйте некорректную работу UserGate для записи событий. Вернитесь в пункт и нажмите Скачать журналы. После завершения процедуры архивирования журналов будет сформирован ZIP-архив, внутри которого находятся системные логи в каталоге «utm/utm.log». В поле установите уровень info.
. В поле установите уровеньПроведите процедуру захвата сетевого трафика на UserGate и при необходимости на хостовой операционной системе клиентского хоста, чтобы определить корректность межсетевого взаимодействия и факт движения сетевого трафика. Откройте раздел Фильтры –> Добавить. В появившемся окне задайте критерии для захвата трафика. Нажмите Правило –> Добавить, в появившемся окне Правило PCAP укажите сетевые интерфейсы, на которых необходимо произвести захват трафика, а в пункте Фильтры –> Добавить укажите фильтр захвата трафика, который был создан ранее. Выделите созданное правило и нажмите Начать запись. Выполните действия для генерирования необходимого трафика внутри вашей IT-инфраструктуры. Нажмите Остановить запись и в пункте Файл справа вверху скачайте созданный файл дампа трафика. Откройте его в любой программе-анализаторе сетевого трафика (например, WireShark) и проведите анализ для поиска потенциальных проблем.
и нажмите
Обращение в техническую поддержку Cloud.ru
Если не удалось решить проблему с работоспособностью NGFW самостоятельно, сформируйте обращение в техническую поддержку. Чтобы ваша заявка была быстро рассмотрена и решена, перед обращением соберите следующие данные:
Подробное описание проблемы с учетом проведенных процедур поиска неисправностей по инструкциям из этого руководства.
Сведения о конфигурации NGFW: схема сети, план IP-адресации, список NAT-трансляций.
Настройки сети облачной платформы и факт проверки их корректности.
Выгруженные лог-сообщения и дампы трафика, отражающие неисправности.
Любая дополнительная информация, которую вы считаете важной для решения проблемы.
Была ли статья полезной?
для Dev & Test