Настройка параметров шаблонов конечных устройств

Вы можете настраивать параметры выбранного шаблона конечных устройств в следующих разделах:

• Консоль администратора ➜ Настройки — общие параметры работы UserGate Client. С помощью этих параметров вы можете настроить:

  • сбор данных конечных устройств;

  • сетевую доступность конечного устройства при остановке UserGate Client;

  • режим отключения правил межсетевого экрана;

  • режим удаления UserGate Client;

  • оповещения на конечном устройстве;

  • интеграцию с сервером журналирования (UserGate Log Analyzer или UserGate SIEM).

• Консоль администратора ➜ Настройка VPN — параметры VPN-профилей. В профиле вы можете указать адрес VPN-сервера, протокол VPN-соединения, алгоритм шифрования и способ аутентификации.

• Политики сети ➜ Межсетевой экран — правила межсетевого экрана для фильтрации трафика конечных устройств.

• Библиотеки — списки элементов (например, IP-адресов, URL-адресов, типов контента) для использования в правилах межсетевого экрана.

При настройке параметров шаблона конечных устройств следует учитывать следующее:

• Если в шаблоне не указано значение параметра, используется значение по умолчанию.

• Библиотеки элементов шаблона (например, IP-адреса, URL-списки, а также типы контента) по умолчанию не содержат данных. Перед настройкой параметров шаблона следует добавить необходимые элементы библиотек.

Настройка общих параметров

Чтобы настроить общие параметры шаблона конечных устройств:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Консоль администратора ➜ Настройки.

3. В блоке параметров Настройки инсталляции UserGate Client выполните следующие действия:

• Если требуется, отключите сбор информации о конечном устройстве.

При этом UserGate MC будет получать только основную информацию о конечном устройстве: IP-адрес, имя, версию UserGate Client, версию Windows, текущее время на устройстве и время его последнего подключения к UserGate MC, а также данные об объеме используемой памяти и о загрузке центрального процессора конечного устройства.

• Если требуется, запретите сетевой доступ к конечному устройству при остановке работы UserGate Client.

• Если требуется, настройте режим отключения правил межсетевого экрана.

Вы можете запретить или разрешить пользователям конечного устройства самостоятельно отключать правила межсетевого экрана. Кроме того, вы можете установить доступное количество и продолжительность отключений, а также указать код для подтверждения отключения на конечном устройстве.

• Если требуется, настройте режим удаления UserGate Client на конечном устройстве.

Вы можете запретить или разрешить пользователям конечного устройства самостоятельно удалять UserGate Client. Кроме того, вы можете указать код подтверждения удаления на конечном устройстве.

4. В блоке параметров Оповещения выполните следующие действия:

• Если требуется, отключите отображение иконки UserGate Client в области уведомлений панели задач Windows.

• Если требуется, настройте показ оповещений на конечном устройстве с помощью параметра Показывать тултипы оповещений:

  • при включенном параметре оповещения отображаются;

  • при отключенном параметре оповещения не отображаются (даже если они настроены для конкретных событий).

• Если требуется, настройте оповещения для конкретных событий: о блокировании и разблокировании конечного устройства, а также о блокировании адреса ресурса.

5. Если требуется отправлять данные конечных устройств в UserGate Log Analyzer или UserGate SIEM, в блоке параметров Настройки устройства LogAn/SIEM настройте интеграцию с внешним сервером журналирования. Подробная информация приведена в разделе «Журналирование данных конечных устройств».

Настройка параметров VPN-профиля

Чтобы настроить параметры VPN-профиля шаблона конечных устройств:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Консоль администратора ➜ Настройка VPN.

3. Нажмите Добавить.

3. На вкладке Общие выполните следующее:

• Включите VPN-профиль.

• Укажите название и при необходимости описание VPN-профиля.

• Укажите доменное имя или IP-адрес VPN-сервера.

• Выберите протокол:

  • IPSec L2TP: для создания туннеля используется протокол L2TP, для защиты передаваемых данных — протокол IPSec.

При выборе IPSec L2TP также необходимо выбрать режим работы протокола IKE для согласования алгоритмов шифрования и аутентификации и указать общий ключ шифрования.

• IKEv2 с сертификатом: для создания туннеля используется протокол IKEv2, для проверки подлинности сервера и клиента — сертификаты.

• IKEv2 с именем и паролем: для создания туннеля используется IKEv2, для проверки клиента — логин и пароль (EAP-MSCHAP v2). Метод доступен только для пользователей доменного RADIUS-сервера.

4. На вкладке Фаза 1 укажите параметры первой фазы создания VPN-соединения:

• Время жизни ключа — время, по истечении которого выполняется повторная аутентификация.

• Dead peer detection — проверка доступности соседнего устройства:

  • Отключена — проверка не выполняется.

  • Всегда включена — проверка выполняется с указанным интервалом. При отсутствии ответа каждые 5 секунд отправляются дополнительные DPD-запросы. Количество этих запросов задается в поле Неудачных попыток. При отсутствии ответа соединение разрывается.

  • При отсутствии трафика — проверка выполняется только когда нет трафика через туннель. Если в течение двойного указанного интервала нет пакетов, отправляется DPD-запрос. При отсутствии ответа каждые 5 секунд отправляются дополнительные DPD-запросы. Количество этих запросов задается в поле Неудачных попыток. При отсутствии ответа соединение разрывается.

• Diffie-Hellman группы — выбор группы для обмена ключами (чем выше номер группы, тем надежнее ключ шифрования).

• Безопасность — выбор способов аутентификации и алгоритмов шифрования (применяются поочередно сверху вниз).

5. На вкладке Фаза 2 укажите параметры второй фазы создания VPN-соединения:

• Время жизни ключа — время, по истечении которого ключ шифрования будет изменен.

• Максимальный размер данных — объем данных, после передачи которого ключ шифрования будет изменен.

• Безопасность — выбор способов аутентификации и алгоритмов шифрования (применяются поочередно сверху вниз).

6. Нажмите Сохранить.

Настройка правил межсетевого экрана

Чтобы настроить правила межсетевого экрана шаблона конечных устройств:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Политики сети ➜ Межсетевой экран.

3. Нажмите Добавить.

4. На вкладке Общие выполните следующее:

• Включите правило, установив флажок.

• Укажите название и при необходимости описание правила.

• Выберите область применения правила:

  • Везде — правило будет применяться всегда, независимо от местоположения конечного устройства.

  • Внутри периметра — правило будет применяться, если конечное устройство находится в доменной сети.

  • Снаружи периметра — правило будет применяться, если конечное устройство находится вне доменной сети.

• Выберите действие при срабатывании правила.

• При необходимости включите журналирование срабатываний правила.

• Укажите местоположение правила в списке правил.

5. На соответствующих вкладках укажите условия срабатывания правила.

• На вкладке Пользователи укажите пользователей или группы пользователей LDAP, для которых будет применяться правило. Подробнее — в разделе «Каталоги пользователей».

• На вкладках Источник, Назначение, Сервис, Приложения, URL, Категории URL, Типы контента, Время выберите соответствующие объекты библиотек или создайте новые по ссылке Создать и добавить новый объект.

• На вкладке HIP-профили выберите HIP-профили конечных устройств из списка (по кнопке Добавить) или создайте новые (по ссылке Создать и добавить новый объект).

• На вкладке Устройства выберите конечные устройства, на которые будет распространяться правило.

6. Нажмите Сохранить.

Управление библиотеками

Библиотеки содержат списки и группы таких элементов, как сервисы, IP-адреса, приложения, URL-адреса, URL-категории, типы контента и календари. Вы можете использовать эти списки и группы в правилах межсетевого экрана.

Настройка библиотеки сервисов

В библиотеке Сервисы вы можете добавлять сервисы, содержащие списки сетевых протоколов и портов. Для сервисов конечных устройств доступен выбор протоколов TCP и UDP.

Чтобы добавить сервис:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Библиотеки ➜ Сервисы.

3. Нажмите Добавить.

4. В открывшемся окне выполните следующее:

• укажите название и при необходимости описание сервиса;

• нажмите Добавить и укажите сетевой протокол и порт;

• нажмите Сохранить;

• при необходимости добавьте другие порты и протоколы.

5. Нажмите Сохранить.

Настройка библиотеки групп сервисов

В библиотеке Группы сервисов вы можете объединять сервисы в группы. Это может понадобиться, например, если в нескольких правилах межсетевого экрана необходимо использовать одни и те же наборы сервисов.

Чтобы добавить группу сервисов:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Библиотеки ➜ Группы сервисов.

3. В таблице Группы сервисов нажмите Добавить.

4. Укажите название и при необходимости описание группы сервисов.

5. Нажмите Сохранить.

6. Выберите добавленную группу сервисов.

7. В таблице Элементы нажмите Добавить.

8. C помощью клавиши Ctrl или Shift выберите сервисы из списка и нажмите Добавить.

9. Нажмите Закрыть.

Добавленные сервисы отобразятся в таблице Элементы для выбранной группы.

Настройка библиотеки IP-адресов

В библиотеке IP-адреса вы можете добавлять локальные группы IP-адресов (хранятся на устройстве) и обновляемые группы IP-адресов (загружаются с внешнего сервера).

Чтобы добавить локальную группу IP-адресов:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Библиотеки ➜ IP-адреса.

3. В таблице Группы нажмите Добавить.

4. На вкладке Общие укажите параметры группы IP-адресов:

• название и при необходимости описание;

• уровень угрозы;

• тип Локальный.

5. Нажмите Сохранить.

6. Выберите добавленную группу IP-адресов.

7. В таблице Адреса из выбранной группы нажмите Добавить ➜ Добавить элемент.

8. Укажите IP-адрес.

9. Нажмите Сохранить.

10. Для добавления других IP-адресов в группу повторите шаги 7–9 инструкции.

Добавленные IP-адреса отобразятся в таблице Адреса из выбранной группы для выбранной группы.

При необходимости вы можете добавить в локальную группу IP-адресов другие группы. Для этого в таблице Адреса из выбранной группы нажмите Добавить ➜ Добавить список.

Настройка библиотеки групп приложений

В библиотеке Группы приложений вы можете добавлять локальные группы приложений (хранятся на устройстве) и обновляемые группы приложений (загружаются с внешнего сервера).

Чтобы добавить локальную группу приложений:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Библиотеки ➜ Группы приложений.

3. В таблице Группы приложений нажмите Добавить.

4. На вкладке Общие укажите параметры группы приложений:

• название и при необходимости описание;

• уровень угрозы;

• тип Локальный.

5. Нажмите Сохранить.

6. Выберите добавленную группу приложений.

7. В блоке параметров Приложения нажмите Добавить.

8. Укажите название приложения и хеш-сумму его исполняемого файла (по алгоритму SHA1).

9. Нажмите Сохранить.

10. Для добавления других приложений в группу повторите шаги 7–9 инструкции.

Добавленные приложения отобразятся в таблице Приложения для выбранной группы.

Настройка библиотеки URL-списков 

В библиотеке Списки URL вы можете добавлять локальные URL-списки (хранятся на устройстве) и обновляемые URL-списки (загружаются с внешнего сервера).

Чтобы добавить локальный URL-список:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Библиотеки ➜ Списки URL.

3. В таблице Списки URL нажмите Добавить.

4. На вкладке Общие укажите параметры URL-списка:

• название и при необходимости описание;

• тип Локальный;

• содержимое:

  • Чувствительный к регистру — URL-адреса с учетом регистра (для контентной фильтрации);

  • Нечувствительный к регистру — URL-адреса без учета регистра (для контентной фильтрации);

  • Домен —  доменные имена (для DNS-фильтрации).

5. Нажмите Сохранить.

6. Выберите добавленный URL-список.

7. В таблице URL нажмите Добавить.

8. Укажите URL-адрес или доменное имя.

Например:

• ^example.domain.com$ — доменное имя без поддоменов (с любыми протоколами и путями);

• ^http://domain.com/example$  — только указанный URL-адрес;

• domain.com — доменное имя и все его поддомены (с любыми протоколами и путями);

• *example* — любые URL-адреса или доменные имена, содержащие example;

• ^example.domain.com/$ — некорректное значение (символ «/» требует указания протокола).

9. Нажмите Сохранить.

10. Для добавления других URL-адресов и доменных имен повторите шаги 7–9 инструкции.

Добавленные URL-адреса и доменные имена отобразятся в таблице URL для выбранного списка.

Настройка библиотеки URL-категорий

В библиотеке Категории URL вы можете объединять URL-категории в локальные группы URL-категорий (хранятся на устройстве) и обновляемые группы URL-категорий (загружаются с внешнего сервера). Это может понадобиться, например, если в нескольких правилах межсетевого экрана необходимо использовать одни и те же наборы URL-категорий.

Чтобы добавить локальную группу URL-категорий:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Библиотеки ➜ Категории URL.

3. В таблице Группы URL категорий нажмите Добавить.

4. На вкладке Общие укажите параметры группы URL-категорий:

• название и при необходимости описание;

• тип Локальный.

5. Нажмите Сохранить.

6. Выберите добавленную группу URL-категорий.

7. В таблице Категории нажмите Добавить.

8. С помощью клавиши Ctrl или Shift выберите URL-категории из списка категорий UserGate URL filtering и нажмите Добавить.

9. Нажмите Закрыть.

Добавленные URL-категории отобразятся в таблице Категории для выбранной группы.

Настройка библиотеки типов контента

В библиотеке Типы контента вы можете добавлять локальные группы типов контента (хранятся на устройстве) и обновляемые группы типов контента (загружаются с внешнего сервера). Это может понадобиться, например, если в нескольких правилах межсетевого экрана необходимо использовать одни и те же наборы типов контента.

Чтобы добавить локальную группу типов контента:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Библиотеки ➜ Типы контента.

3. В таблице Категории нажмите Добавить.

4. На вкладке Общие укажите параметры группы типов контента:

• название и при необходимости описание;

• тип Локальный.

5. Нажмите Сохранить.

6. Выберите добавленную группу типов контента.

7. В таблице Типы контента нажмите Добавить.

8. Укажите тип контента в формате MIME.

Например, для ZIP-архивов необходимо указать application/zip.

9. Нажмите Сохранить.

10. Для добавления других типов контента повторите шаги 7–9 инструкции.

Добавленные типы контента отобразятся в таблице Типы контента для выбранной группы.

Настройка библиотеки календарей

В библиотеке Календари вы можете добавлять локальные группы календарей (хранятся на устройстве) и обновляемые группы календарей (загружаются с внешнего сервера). Это может понадобиться, например, если для нескольких правил межсетевого экрана необходимо использовать одно и то же расписание.

Чтобы добавить локальную группу календарей:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. Выберите раздел Библиотеки ➜ Календари.

3. В таблице Группы нажмите Добавить.

4. На вкладке Общие укажите параметры группы календарей:

• название и при необходимости описание;

• тип Локальный.

5. Нажмите Сохранить.

6. Выберите добавленную группу календарей.

7. В таблице Элементы нажмите Добавить.

8. Укажите параметры календаря:

• название;

• тип повторения (ежедневно, еженедельно, ежемесячно, единоразово, повтор событий, диапазон времени);

• расписание повторения (набор параметров зависит от выбранного типа повторения).

9. Нажмите Сохранить.

10. Для добавления других календарей повторите шаги 7–9 инструкции.

Добавленные календари отобразятся в таблице Элементы для выбранной группы.

Настройка обновляемых списков (групп) элементов

Списки и группы некоторых элементов могут автоматически пополняться из файлов, размещенных на внешнем сервере. Вы можете настраивать такие списки (группы) для IP-адресов, приложений, URL-адресов, URL-категорий, типов контента и календарей. Для этого необходимо подготовить файл со списком элементов (создать его и разместить на внешнем сервере), а затем добавить обновляемый список (группу) в соответствующей библиотеке шаблона.

Чтобы подготовить файл со списком элементов:

1. Создайте текстовый файл (например, list.txt) и добавьте в него список элементов.

2. Поместите файл в архив (например, list.txt в list.zip).

3. Создайте текстовый файл (например, version.txt) и укажите в нем номер версии списка (например, 3).

4. Разместите архив со списком элементов и файл с номером версии списка (например,  list.zip и version.txt) на внешнем сервере, чтобы они были доступны для скачивания.

Чтобы добавить обновляемый список (группу) элементов:

1. В разделе Конечные устройства-конфигурация для объекта Шаблон в выпадающем списке выберите шаблон, параметры которого необходимо настроить.

2. В разделе Библиотеки выберите нужную библиотеку: IP-адреса, Группы приложений, Списки URL, Категории URL, Типы контента или Календари.

3. В таблице слева нажмите Добавить.

4. На вкладке Общие укажите параметры списка (группы):

• Название и при необходимости описание.

• Тип Обновляемый.

• URL-адрес внешнего сервера для получения обновлений. В формате http://<IP-адрес или доменное имя сервера> или ftp://<IP-адрес или доменное имя сервера>.

5. При необходимости на вкладке Настройка расписания автоматических обновлений настройте расписание получения обновлений от внешнего сервера.

Вы можете выбрать одно из предустановленных значений или указать время вручную в cron-формате: <минуты: 0–59> <часы: 0–23> <дни месяца: 1–31> <месяцы: 1–12> <дни недели: 0–6, где 0 — воскресенье>.

При ручном вводе также можно использовать следующие символы:

• Звездочка (*) — для выбора всех значений. Например, в поле для ввода часов символ означает, что обновление должно выполняться каждый час.

• Дефис (-) — для указания диапазона значений.

• Запятая (,) — в качестве разделителя значений.

• Косая черта (/) — для указания шага между значениями.

6. Нажмите Сохранить.