Задача

Не создается виртуальный маршрутизатор

Решение

В названии VRF нельзя использовать русские буквы, заглавные буквы, а также оно не должно содержать имена интерфейсов, например port1 или tunnel1. Подробнее...

Вопрос

При использования явного прокси будет ли явный прокси использовать для маршрутизации наружу только основной шлюз? Будут ли правила PBR учитываться в работе явного прокси?

Ответ

Правила PBR применяются к соединениям устанавливаемым через явный прокси, IP и зона источника в них также работают. Подробнее об алгоритме обработки трафика в UserGate читайте в статье UserGate NGFW 6 packet flow.

Задача

Не удаётся создать 2 моста L2 и L3 на одном устройстве.

Решение

Это ограничения архитектуры. Мосты L2 и L3 отличаются возможностью использовать интерфейс моста L3 для исходящего трафика самого устройства и, как недостаток описанного выше, необходимостью иметь на устройстве полную таблицу маршрутизации для проходящего через мост L3 клиентского трафика; использование моста L2 требует также наличия интерфейсов L3 для связи устройства с внешними серверами.

Для решения поставленной задачи, т.е. создания аналога конфигурации с мостами L2 и L3 одновременно, необходимо:

1. Создать все мосты как L3.
2. Для мостов, которые должны выполнять функции L2, создать отдельные виртуальные маршрутизаторы.
3. Каждому мосту, выполняющему функции L2, выделить по одному адресу из сетей, в разрыв которых он включен, и создать полную таблицу маршрутизации.

Необходимо настроить правило типа NAT. Для этого перейдите в раздел Политики сети ➜ NAT и маршрутизация веб-интерфейса управления, нажмите Добавить и укажите следующие условия:

• Тип: NAT;
• SNAT IP: виртуальный адрес IP_address3;
• Источник: зона локальной сети или адреса отдельных устройств, для отправки трафика которых необходимо использовать виртуальный адрес;
• Назначение: зона, которой принадлежат внешние интерфейсы.

Для решения этой задачи необходимо настроить VPN тунель между граничными устройствами. В качестве таких устройств могут выступать UserGate NGFW, маршрутизаторы типа MikroTik и др.

Посмотреть настройки VPN site-to-site можно здесь или здесь.

После настройки VPN туннеля необходимо будет прописать маршруты для объединяемых сетей. Например, для случая на следующей схеме:

маршруты будут выглядеть следующим образом:

На устройстве с адресом 172.30.255.1:

На устройстве с адресом 172.30.255.2:

Где: 172.30.255.1 и 172.30.255.2 - адреса VPN интерфейсов граничных устройств, имена интерфейсов взяты для примера и их нужно поменять соответственно вашей рабочей схеме сети. Метрика - отвечает за приоритет маршрута и может быть любой, в общем случае можно оставить значение 0. Номера сетей вида 10.х.х.х нужно заменить на соответствующие вашей рабочей схеме.

Чаще всего проблема заключается в маршрутах до искомых сервисов. Надо иметь в виду, что сервисы ПО\HW UserGate запускаются в VRF "Маршрутизаторе по-умолчанию"(Default VRF), и необходимо внимательно следить за передачей маршрутов между виртуальными маршрутизаторами. Маршруты необходимо передавать в обе стороны(прямой и обратный).