Настройка устройства

Общие настройки

В этом разделе описаны базовые параметры UserGate DCFW, настраиваемые в разделе Настройки ➜ UserGate ➜ Настройки.

Наименование

Описание

Часовой пояс

Часовой пояс, соответствующий вашему местоположению. Часовой пояс используется в расписаниях, применяемых в правилах, а также для корректного отображения времени и даты в отчетах, журналах и т. п.

Язык интерфейса по умолчанию

Язык, который будет использоваться по умолчанию в консоли.

Режим аутентификации веб-консоли

Возможны следующие способы аутентификации пользователя (администратора) при входе в веб-консоль управления:

  • По имени и паролю. Администратор должен ввести имя и пароль для получения доступа к веб-консоли.

  • По X.509-сертификату. Для аутентификации по сертификату необходимо иметь сертификат пользователя, подписанный сертификатом удостоверяющего центра веб-консоли и установленный в браузер. При включении этого режима аутентификации режим аутентификации по имени и паролю отключается. Вернуть режим аутентификации по имени и паролю можно с помощью команд CLI.

  • Профиль клиентского пользователя. Аутентификации посредством сертификатов (PKI) использует профиль пользовательского сертификата, это позволяет управлять сертификатами для обеспечения безопасности и подтверждения подлинности в сетевых соединениях.

Профиль SSL для веб-консоли

Выбор профиля SSL для построения защищенного канала доступа к веб-консоли. Подробнее о профилях SSL — в разделе «Профили SSL».

Профиль SSL для страниц блокировки/авторизации

Выбор профиля SSL для построения защищенного канала для отображения страниц блокировки доступа к веб-ресурсам и страницы авторизации captive-портала. Подробнее о профилях SSL — в разделе «Профили SSL».

Таймер автоматического закрытия сессии (мин.)

Настройка таймера автоматического закрытия сессии в случае отсутствия активности администратора в веб-консоли.

Профиль SSL конечного устройства

Выбор профиля SSL для построения защищенного канала общения DCFW и конечных устройств UserGate Client. Подробнее о профилях SSL — в разделе «Профили SS».

Сертификат конечного устройства

Сертификат, который будет использоваться для построения защищённого канала связи между DCFW и конечными устройствами UserGate Client.

Внимание!Конечные устройства запоминают сертификат, поэтому при изменении необходимо распространить корневой сертификат удостоверяющего центра (Root CA) на подключенные конечные устройства; сертификат должен быть установлен в хранилище доверенных корневых центров сертификации локального компьютера.

Настройка времени сервера

Настройка параметров установки точного времени.

  • Использовать NTP — использовать сервера NTP из указанного списка для синхронизации времени.

  • Основной сервер NTP — адрес основного сервера точного времени. Значение по умолчанию — pool.ntp.org.

  • Запасной сервер NTP — адрес запасного сервера точного времени.

  • Время на сервере — позволяет установить время на сервере. Время должно быть указано в часовом поясе UTC.

Настройка кэширования HTTP

Вы можете настроить следующие параметры кэша прокси-сервера:

  • Включен/Выключен — включение или отключение кэширования.

  • Исключения кэширования — список URL, которые не будут кэшироваться.

  • Максимальный размер объекта (МБ) — объекты с размером более, чем указано в данной настройке, не будут кэшироваться. Рекомендуется оставить значение по умолчанию — 1 МБ.

  • Размер RAM-кэша (МБ) — размер оперативной памяти, отведенный под кэширование. Не рекомендуется ставить более 20% от объема оперативной памяти системы.

Настройка PCAP

Настройка записи трафика при срабатывании сигнатур системы обнаружения вторжений. Настройка захвата пакетов:

  • Без захвата;

  • Один пакет;

  • Предшествующие пакеты (от 4 до 30 пакетов);

  • Предшествующие и последующие пакеты (предшествующие — от 4 до 30; последующие — от 2 до 15).

Внимание!Большой размер PCAP может вести к значительному замедлению обработки данных.

Учет изменений

При включенном учете изменений и создании Типов изменений любое изменение в конфигурацию, вносимое администратором через веб-консоль, будет требовать указания типа изменения и описания вносимого изменения. В качестве типов изменения могут быть, например, указаны:

  • распоряжение;

  • приказ;

  • регламентные работы.

Количество типов изменений не ограничено.

Центр обновлений

Настройки для управления скачиванием обновлений программного обеспечения UserGate (UGOS) и системных библиотек, предоставляемых по подписке (база категорий URL-фильтрации, СОВ, списки IP-адресов, URL, типов контента и другие).

Обновления ПО — настройка канала обновлений (стабильные, бета), проверки наличия новых обновлений UGOS и скачивание оффлайн-обновлений.

Обновления библиотек — проверка наличия обновлений библиотек, скачивание обновлений и настройка расписания автоматической проверки и скачивания библиотек.

Проверить наличие обновлений библиотек и скачать последние обновления можно по ссылке Проверить обновления.

Настроить автоматическое обновление библиотек можно по ссылке Настроить.

После активации лицензии автоматически будет обновляться следующий набор библиотек:

  • Сигнатуры приложений L7;

  • UserGate анти-вирус;

  • IP список бот-сетей;

  • Сигнатуры СОВ;

  • URL список фишинговых сайтов;

  • UserGate URL fileting (URLF) компактная и полная библиотеки;

  • Блокировка рекламы;

  • Доверенные УЦ;

Список автоматически обновляемых библиотек может быть изменен администратором в настройках расписания автоматических обновлений.  

Для каждой библиотеки можно настроить расписание автоматической проверки и скачивания обновлений. При задании расписания возможно указать следующие варианты:

  • Отключено. Проверка наличия обновлений для выбранного элемента производиться не будет.

  • Ежедневно.

  • Еженедельно.

  • Ежемесячно.

  • Каждые … часов.

  • Каждые … минут.

  • Задать вручную.

При задании вручную необходимо использовать crontab-подобный формат, при котором строка выглядит как шесть полей, разделенных пробелами. Поля задают время в следующем виде: (минуты: 0-59) (часы: 0-23) (дни месяца: 1-31) (месяц: 1-12) (день недели: 0-6, где 0 — воскресенье). Каждое из первых пяти полей может быть задано следующим образом:

  • Звездочка (*) — обозначает весь диапазон (от первого до последнего).

  • Дефис (-) — обозначает диапазон чисел. Например, "5-7" будет означать 5,6 и 7.

  • Списки. Это числа (или диапазоны), разделенные запятыми. Например, "1,5,10,11" или "1-11,19-23".

  • Звездочка или диапазон с шагом. Используется для пропусков в диапазонах. Шаг указывается после косой черты. Например, "2-10/2" будет значить "2,4,6,8,10", а выражение "*/2" в поле «часы» будет означать «каждые два часа».

При установке флажка Единое расписание для всех обновлений расписание текущей библиотеки будет применено ко всем библиотекам.

ПримечаниеВ целях уменьшения нагрузки на систему рекомендуется устанавливать автоматическое обновление только для используемых библиотек.

Модули

Вы можете настроить следующие модули DCFW:

  • HTTP(S)-прокси порт — позволяет указать нестандартный (дополнительный) номер порта, который будет использоваться для подключения к встроенному прокси-серверу. По умолчанию используется порт TCP 8090; при изменении порт продолжает функционировать.

    Невозможно использовать следующие порты, поскольку они используются внутренними сервисами DCFW: 2200, 8001, 4369, 9000-9100.

  • Домен auth captive-портала — служебный домен, который используется DCFW при авторизации пользователей через Captive-портал. Необходимо, чтобы пользователи могли преобразовывать указанный здесь домен в IP-адрес интерфейса UserGate, к которому они подключены. Если в качестве DNS-сервера у пользователей указан IP-адрес DCFW, то преобразование адресов (resolving) настроено автоматически. По умолчанию используется имя auth.captive, которое может быть изменено на другое доменное имя, принятое в организации.

  • Домен logout captive-портала — служебный домен, который используется пользователями DCFW для окончания сессии (logout). Необходимо, чтобы пользователи могли преобразовывать указанный здесь домен в IP-адрес интерфейса DCFW, к которому они подключены. Если в качестве DNS-сервера у пользователей указан IP-адрес DCFW, то преобразование адресов (resolving) настроено автоматически. По умолчанию используется имя logout.captive, которое может быть изменено на другое доменное имя, принятое в организации.

  • Домен страницы блокировки — служебный домен, который используется для отображения страницы блокировки пользователям. Необходимо, чтобы пользователи могли преобразовывать указанный здесь домен в IP-адрес интерфейса DCFW, к которому они подключены. Если в качестве DNS-сервера у пользователей указан IP-адрес DCFW, то преобразовывание адресов настроено автоматически. По умолчанию используется имя block.captive, которое может быть изменено на другое доменное имя, принятое в организации.

  • FTP поверх HTTP — включение или отключение модуля, позволяющего получать доступ к содержимому FTP-серверов из пользовательского браузера. Требуется явное указание прокси-сервера для протокола FTP в браузере пользователя. Администратор может ограничивать доступ к ресурсам FTP с помощь правил контентной фильтрации (только по условиям Пользователи и URL).

  • FTP поверх HTTP домен — служебный домен, который используется для предоставления пользователям сервиса FTP поверх HTTP. Необходимо, чтобы пользователи могли резолвить указанный здесь домен в IP-адрес интерфейса DCFW, к которому они подключены. Если в качестве DNS-сервера у пользователей указан IP-адрес сервера UserGate, то резолвинг настроен автоматически. По умолчанию используется имя ftpclient.captive, которое может быть изменено на другое доменное имя, принятое в организации.

  • Пароль агентов терминального сервиса — настройка пароля для подключения агентов авторизации терминальных серверов.

  • Настройка LLDP — настройка использования протокола канального уровня Link Layer Discovery Protocol (LLDP), который позволяет сетевому оборудованию, работающему в локальной сети, оповещать устройства о своём существовании, передавать им свои характеристики, а также получать от них аналогичную информацию. При настройке необходимо задать значения:

    • Transmit delay — задержка передачи, указывается время ожидания устройства перед отправкой объявлений соседям после изменения TLV в протоколе LLDP или состояния локальной системы, например, изменение имени хоста или адреса управления. Может принимать значения от 1 до 3600; задаётся в секундах.

    • Transmit hold — значение мультипликатора удержания; произведение значений transmit delay и transmit hold определяет время жизни (TTL) пакетов LLDP. Может принимать значения от 1 до 100.

Log Analyzer

В этом блоке указана информация о сервере базы данных журналов.

  • Локальный сервер/Внешний сервер. Локальный сервер или внешний сервер базы данных журналов — LogAn.

  • Версия Log Analyzer — версия ПО сервера базы данных журналов.

  • Версия устройства — версия ПО самого устройства.

  • Код устройства — уникальный код устройства для интеграции с внешним сервером Log Analyzer.

Внимание!При интеграции с внешним сервером LogAn обработка и экспорт журналов, создание отчётов и обработка других статистических данных производятся сервером LogAn.

Агент UserGate Management Center

Настройка подключения устройства к центральной консоли управления (UGMC), позволяющей управлять парком устройств UserGate из одной точки; для подключения к серверу UGMC используются порты TCP 2022 и TCP 9712. Среди параметров:

  • Включен/Выключен — включение или отключение управления с помощью UGMC.

  • Адрес UserGate Management Center — адрес сервера в формате IPv4-адреса или FQDN (возможно использование IDN-адреса).

  • Код устройства — токен, требуемый для подключения к UGMC.

UGMC может использоваться как источник обновления ПО и сигнатур.

ПримечаниеПодключение UserGate Management Сenter к DCFW возможно только в том случае, если порт DCFW находится в виртуальном маршрутизаторе по умолчанию. Подробнее об этом — в разделе «Виртуальные маршрутизаторы».

Вышестоящий прокси

Настройки параметров вышестоящего прокси-сервера для перенаправления пользовательского трафика. В качестве параметров указывается тип вышестоящего прокси-сервера (HTTP(S), SOCKS5), IP-адрес и порт вышестоящего прокси-сервера, логин и пароль при необходимости для аутентификации на вышестоящем прокси-сервере.
Управление устройством

Раздел Управление устройством определяет следующие настройки DCFW:

Подробнее о кластеризации — в разделе «Кластеризация и отказоустойчивость».

Диагностика

В этом разделе настраиваются параметры диагностики сервера, необходимые службе технической поддержки UserGate при решении возможных проблем.

Наименование

Описание

Детализация диагностики

Доступны следующие уровни журналирования:

  • Off — ведение журналов диагностики отключено.

  • Error — журналировать только ошибки работы сервера.

  • Warning — журналировать только ошибки и предупреждения.

  • Info — журналировать только ошибки, предупреждения и дополнительную информацию.

  • Debug — максимум детализации.

Рекомендуется установить значение параметра Детализация диагностики в Error (только ошибки) или Off (Отключено), если техническая поддержка UserGate не попросила вас установить иные значения. Любые значения, отличные от Error (только ошибки) или Off (Отключено), негативно влияют на производительность DCFW.

Журналы диагностики

Вы можете:

  • Скачать журналы — скачать диагностические журналы для передачи их в службу поддержки UserGate. Для скачивания доступны журналы веб-консоли и/или журналы системы. Для скачивания необходимо выбрать журналы и нажать Начать архивирование журналов. После архивирования журналы будут доступны для скачивания (Скачать).

  • Очистить журналы — удалить архивные (т. е. не активные в настоящий момент) журналы.

Удаленный помощник

Удаленный помощник позволяет инженеру технической поддержки UserGate безопасно подключаться к серверу UserGate NGFW для диагностики и решения проблем. Для активации удаленного помощника UserGate NGFW должен иметь доступ к серверу удаленного помощника по протоколу SSH.

  • Идентификатор удаленного помощника — полученное случайным образом значение. Уникально для каждого включения удаленного помощника.

  • Токен удаленного помощника — полученное случайным образом значение токена. Уникально для каждого включения удаленного помощника.

Операции с сервером

С помощью команд этого раздела можно произвести следующие операции с сервером:

Наименование

Описание

Операции с сервером

  • Перезагрузить — перезагрузка DCFW.

  • Выключить — выключение DCFW.

Настройки вышестоящего прокси для проверки лицензий и обновлений

Настройка параметров вышестоящего HTTP(S) прокси-сервера для обновления лицензии и обновления ПО DCFW.

Необходимо указать IP-адрес и порт вышестоящего прокси сервера. При необходимости указать логин и пароль для аутентификации на вышестоящем прокси-сервере.

Команда UserGate постоянно работает над улучшением качества своего программного обеспечения и предлагает обновления продукта UserGate в рамках подписки на модуль лицензии Security Update (подробнее о лицензировании — в разделе «Лицензирование»).

Управление резервным копированием

В этом разделе можно управлять функциями резервного копирования и восстановления DCFW.

Для создания резервной копии в разделе Управление устройством ➜ Управление резервным копированием нажмите Создание резервной копии. Система сохранит текущие настройки сервера под следующим именем:

backup_PRODUCT_NODE-NAME_DATE.gpg

Где:

Процесс создания резервной копии может быть прерван при нажатии Остановить. Запись о создании резервной копии отобразится в журнале событий устройства.

Для восстановления состояния устройства в разделе Управление устройством ➜ Управление резервным копированием нажмите Восстановление из резервной копии и укажите путь к ранее созданному файлу настроек для его загрузки на сервер. Восстановление будет предложено в консоли tty при перезагрузке устройства.

Администратор может настроить сохранение файлов конфигурации на внешние серверы (FTP, SSH) по расписанию. Для этого необходимо создать правило экспорта конфигурации:

1. В разделе Управление устройством ➜ Управление резервным копированием нажмите Добавить.

2. На вкладке Общие укажите имя и описание правила.

3. На вкладке Удаленный сервер укажите параметры внешнего сервера:

При использовании SSH-сервера возможна авторизации по ключу. Для импорта или генерации ключа выберите Настроить SSH-ключ и укажите Сгенерировать ключи или Импортировать ключ.

ПримечаниеПри повторном создании ключа существующий SSH-ключ будет удален. Публичный ключ должен находиться на SSH-сервере в директории пользовательских ключей /home/user/.ssh/ в файле authorized_keys.

При первоначальной настройке правила экспорта резервного копирования по SSH обязательна проверка соединения (нажмите Проверить соединение). При проверке соединения fingerprint помещается в файл known_hosts, без проверки файлы не будут отправляться.

Внимание!Если сменить или переустановить SSH-сервер, файлы резервного копирования будут недоступны, так как изменится fingerprint. Это защита от спуфинга.

3. На вкладке Расписание укажите необходимое время отправки настроек. В случае задания времени в crontab-формате, задайте его в виде: (минуты:0-59) (часы:0-23) (дни месяца:1-31) (месяц:1-12) (день недели:0-6, где 0 — воскресенье)

Каждое из первых пяти полей может быть задано следующим образом:

Экспорт и импорт настроек

Администратор может сохранить текущие настройки DCFW в файл и впоследствии восстановить эти настройки на этом же или другом устройстве DCFW. В отличие от резервного копирования, экспорт/импорт настроек не сохраняет текущее состояние всех компонентов комплекса, сохраняются только текущие настройки.

Экспорт настроек является кластерной функцией. Работает это следующим образом: при создании правила экспорта настроек на одном из узлов кластера оно автоматически реплицируется на остальные узлы кластера. При этом сами файлы экспорта создаются и отправляются отдельно на каждом узле.

ПримечаниеЭкспорт/импорт настроек не восстанавливает состояние кластера и информацию о лицензии. После окончания процедуры импорта необходимо повторно зарегистрировать DCFW с помощью имеющегося ПИН-кода и заново создать кластер, если это необходимо.
ПримечаниеВ случае использования мультифакторной аутентификации через TOTP, ключи TOTP не сохраняются. Необходима повторная инициализация.

Можно сделать экспорт всех настроек (за исключением перечисленных выше), либо сделать только экспорт сетевых настроек. При экспорте только сетевых настроек сохраняется информация:

Для экспорта настроек в разделе Управление устройством ➜ Экспорт и импорт настроек нажмите Экспорт ➜ Экспортировать все настройки или Экспортировать сетевые настройки. Система сохранит текущие настройки сервера под следующим именем:

utm-utmcore@nodename_version-YYYYMMDD_HHMMSS.bin

Где:

Например, utm-utmcore@heashostatot_6.1.1.10462R-1_20210511_095942

Для применения созданных ранее настроек в разделе Управление устройством ➜ Экспорт и импорт настроек нажмите Импорт и укажите путь к ранее созданному файлу настроек. Указанные настройки применятся к серверу, после чего сервер будет перезагружен.

ПримечаниеДля корректного импорта правил, использующих обновляемые списки UserGate, необходимо наличие лицензии на модуль SU а также загруженные списки UserGate.

Администратор может настроить сохранение настроек на внешние серверы (FTP, SSH) по расписанию. Для этого необходимо создать правило экспорта:

1. В разделе Управление устройством ➜ Экспорт и импорт настроек нажмите Добавить.

2. На вкладке Общие укажите имя и описание правила.

3. На вкладке Удаленный сервер укажите параметры внешнего сервера:

3. На вкладке Расписание укажите необходимое время отправки настроек. В случае задания времени в crontab-формате, задайте его в виде: (минуты:0-59) (часы:0-23) (дни месяца:1-31) (месяц:1-12) (день недели:0-6, где 0 — воскресенье)

Каждое из первых пяти полей может быть задано следующим образом:

Управление доступом к консоли UserGate DCFW

Доступ к веб-консоли UserGate DCFW регулируется с помощью создания дополнительных учетных записей администраторов, назначения им профилей доступа, создания политики управления паролями администраторов и настройки доступа к веб-консоли на уровне разрешения сервиса в свойствах зоны сети. Дополнительной мерой усиления безопасности доступа к консоли может быть включение режима авторизации администраторов с использованием сертификатов.

ПримечаниеПри первоначальной настройке DCFW создается локальный суперпользователь Admin.

Для создания дополнительных учетных записей администраторов устройства необходимо выполнить следующие действия:

Наименование

Описание

Шаг 1. Создать профиль доступа администратора.

В разделе Администраторы ➜ Профили администраторов нажать кнопку Добавить и указать необходимые настройки.

Шаг 2. Создать учетную запись администратора и назначить ей один из созданных ранее профилей администратора.

В разделе Администраторы нажать кнопку Добавить и выбрать необходимый вариант:

  • Добавить локального администратора — создать локального пользователя, задать ему пароль доступа и назначить созданный ранее профиль доступа.

  • Добавить пользователя LDAP — добавить пользователя из существующего домена. Для этого должен быть корректно настроен LDAP-коннектор в разделе Серверы авторизации. При входе в консоль администрирования необходимо указывать имя пользователя в формате user@domain. Назначить созданный ранее профиль.

  • Добавить группу LDAP — добавить группу пользователей из существующего домена. Для этого должен быть корректно настроен LDAP-коннектор в разделе Серверы авторизации. При входе в консоль администрирования необходимо указывать имя пользователя в формате user@domain. Назначить созданный ранее профиль.

  • Добавить администратора с профилем авторизации – создать пользователя, назначить созданный ранее профиль администратора и профиль авторизации (необходимы корректно настроенные серверы авторизации).

При создании профиля доступа администратора необходимо указать следующие параметры:

Наименование

Описание

Название

Название профиля.

Описание

Описание профиля.

Разрешения для API

Список объектов, доступных для делегирования доступа при работе через программный интерфейс (API). Объекты описаны документации API. В качестве доступа можно указать:

  • Нет доступа.

  • Чтение.

  • Чтение и запись.

Разрешения для веб-консоли

Список объектов дерева веб-консоли, доступных для делегирования. В качестве доступа можно указать:

  • Нет доступа.

  • Чтение.

  • Чтение и запись.

Разрешения для CLI

Позволяет разрешить доступ к CLI. В качестве доступа можно указать:

  • Нет доступа.

  • Чтение.

  • Чтение и запись.

Администратор DCFW может настроить дополнительные параметры защиты учетных записей администраторов, такие, как сложность пароля и блокировку учетной записи на определенное время при превышении количества неудачных попыток авторизации.

Для настройки этих параметров необходимо:

Наименование

Описание

Шаг 1. Настроить политику паролей.

В разделе Администраторы ➜ Администраторы нажать кнопку Настроить.

Шаг 2. Заполнить необходимые поля.

Указать значения следующих полей:

  • Сложный пароль — включает дополнительные параметры сложности пароля, задаваемые ниже, такие как — минимальная длина, минимальное число символов в верхнем регистре, минимальное число символов в нижнем регистре, минимальное число цифр, минимальное число специальных символов, максимальная длина блока из одного и того же символа.

  • Число неверных попыток аутентификации — количество неудачных попыток аутентификации администратора, после которых учетная запись заблокируется на Время блокировки.

  • Время блокировки — время, на которое блокируется учетная запись.
ПримечаниеДополнительные параметры защиты учетной записи администратора применимы только к локальным учетным записям. Если в качестве администратора устройства выбирается учетная запись из внешнего каталога (например, LDAP), то параметры защиты для такой учетной записи определяются этим внешним каталогом.

Администратор может указать зоны, с которых будет возможен доступ к сервису веб-консоли (порт TCP 8001).

ПримечаниеНе рекомендуется разрешать доступ к веб-консоли для зон, подключенных к неконтролируемым сетям, например, к сети интернет.

Для разрешения сервиса веб-консоли для определенной зоны необходимо в свойствах зоны в разделе Контроль доступа разрешить доступ к сервису Консоль администрирования. Более подробно о настройке контроля доступа к зонам можно прочитать в разделе Настройка зон.

Дополнительной мерой усиления безопасности доступа к консоли может быть включение режима авторизации администраторов с использованием сертификатов.

Для включения данного режима необходимо выполнить следующие действия (в качестве примера используется утилита openssl):

Наименование

Описание

Шаг 1. Создать учетные записи дополнительных администраторов.

Произвести настройку, как это описано ранее в этой главе, например, создать учетную запись администратора с именем Administrator54.

Шаг 2. Создать или импортировать существующий сертификат типа УЦ (удостоверяющего центра) авторизации веб-консоли.

Создать или импортировать существующий сертификат удостоверяющего центра (достаточно только публичного ключа) в соответствии с главой Управление сертификатами.

Важно! Существующий сертификат удостоверяющего центра — сертификат, которым непосредственно подписаны сертификаты администраторов, а не корневой.

Например, для создания eудостоверяющего центра с помощью утилиты openssl требуется выполнить команды:

openssl req -x509 -subj '/C=RU/ST=Moscow/O= MyCompany /CN=ca.mycompany.com' -newkey rsa:2048 -keyout ca-key.pem -out ca.pem -nodes
openssl rsa -in ca-key.pem -out ca-key.pem

В файле ca-key.pem будет находиться приватный ключ сертификата, в ca.pem — публичный ключ. Импортировать публичный ключ в DCFW.

Шаг 3. Создать сертификаты для учетных записей администраторов.

С помощью средств сторонних утилит (например, openssl) создать сертификаты для каждого из администраторов. Необходимо, чтобы поле сертификата Common name в точности совпадало с именем учетной записи администратора, как она была создана в DCFW.

Для openssl и пользователя Administrator54 команды будут следующими:

openssl req -subj '/C=RU/ST=Moscow/O= MyCompany /CN=Administrator54' -out admin.csr -newkey rsa:2048 -keyout admin-key.pem -nodes

Шаг 4. Подписать сертификаты администраторов, созданным на шаге 2 сертификатом удостоверяющего центра.

С помощью средств сторонних утилит (например, openssl) подписать сертификаты администраторов сертификатом удостоверяющего центра веб-консоли.

Для openssl команды будут следующими:

openssl x509 -req -days 9999 -CA ca.pem -CAkey ca-key.pem -set_serial 1 -in admin.csr -out admin.pem
openssl pkcs12 -export -in admin.pem -inkey admin-key.pem -out admin.p12 -name 'Administrator54 client certificate'

Файл admin.p12 содержит подписанный сертификат администратора.

Шаг 5. Добавить подписанные сертификаты в ОС, с которой администраторы будут авторизоваться в веб-консоль.

Добавить подписанные сертификаты администраторов (admin.p12 в нашем примере) в ОС (или в браузер Firefox, если он используется для доступа к консоли), с которой администраторы будут авторизоваться в веб-консоль. Более подробно смотрите руководство по используемой вами ОС.

Шаг 6. Переключите режим авторизации веб-консоли в авторизацию по сертификатам x.509.

В разделе Настройки поменяйте Режим авторизации веб-консоли на По X.509 сертификату.

ПримечаниеПереключить режим авторизации веб-консоли можно с помощью команд CLI.

В разделе Администраторы ➜ Сессии администраторов отображаются все администраторы, выполнившие вход в веб-консоль администрирования DCFW. При необходимости любую из сессий администраторов можно сбросить (закрыть).

Кластеризация и отказоустойчивость

UserGate DCFW поддерживает следующие типы кластеров:

Кластер конфигурации

Ряд параметров уникален для каждого из узлов кластера. К уникальным относятся параметры:

  • Log Analyzer,

  • диагностики,

  • интерфейсов,

  • шлюзов,

  • DHCP,

  • маршрутов,

  • OSPF,

  • BGP.

Чтобы создать кластер конфигурации:

1. Выполните первоначальную настройку на первом узле кластера.

2. Настройте на первом узле кластера зону, через интерфейсы которой будет выполняться репликация кластера: в разделе Настройки ➜ Сеть ➜ Зоны создайте выделенную зону для репликации кластера или используйте существующую (Cluster). В параметрах зоны в блоке Контроль доступа разрешите сервисы Консоль администрирования и Кластер.

ВниманиеНе используйте для репликации зоны, интерфейсы которых подключены к недоверенным сетям, например к интернету.

3. Укажите IP-адрес, который будет использоваться для связи с другими узлами кластера: в разделе Настройки ➜ UserGate ➜ Управление устройством ➜ Кластер конфигурации выберите текущий узел кластера, нажмите Редактировать и укажите IP-адрес интерфейса, входящего в зону, настроенную на шаге 2.

4. В блоке Кластер конфигурации нажмите Сгенерировать секретный код и скопируйте полученный код в буфер обмена. Код необходим для одноразовой авторизации второго узла при его добавлении в кластер.

5. Подключитесь к веб-консоли второго узла кластер, выберите язык установки. Укажите интерфейс, который будет использован для подключения к первому узлу кластера, и назначьте ему IP-адрес. Оба узла кластера должны находиться в одной подсети. Например, интерфейсам eth2 обоих узлов могут быть назначены IP-адреса 192.168.100.5/24 и 192.168.100.6/24. В противном случае необходимо указать IP-адрес шлюза, через который будет доступен первый узел кластера. 

Укажите IP-адрес первого узла, настроенный на шаге 3, вставьте секретный код и нажмите Подключить. Если IP-адреса кластера, настроенные на шаге 2, назначены корректно, то второй узел будет добавлен в кластер и все параметры первого кластера реплицируются на второй.

Состояние узлов кластера конфигурации можно определить по цветовой индикации напротив названия узла UserGate в разделе Настройки ➜ UserGate ➜ Управление устройством ➜ Кластер конфигурации:

  • Зеленый: узел доступен.

  • Желтый: происходит синхронизация между узлами кластера конфигурации.

  • Красный: связь с узлом потеряна, узел недоступен.

6. В веб-консоли второго узла кластера в разделе Настройки ➜ Сеть ➜ Интерфейсы назначьте каждому интерфейсу корректную зону. Зоны и их параметры получены в результате репликации данных с первого узла кластера.

7. Настройте шлюзы, маршруты, параметры OSPF, BGP, индивидуальные для каждого из узлов.

ПримечаниеПри вводе дополнительного узла в кластер конфигурации в явном виде указываются настройки интерфейса и шлюза для подключения к мастер-узлу. Тип присвоения IP-адреса этого интерфейса будет статическим.

До четырех узлов кластера конфигурации можно объединить в отказоустойчивый кластер. Самих кластеров отказоустойчивости может быть несколько, например в кластер конфигурации добавлены узлы A, B, C и D на основе которых будет создано два кластера отказоустойчивости — A-B и C-D.

Поддерживаются два режима кластера отказоустойчивости — активный-активный и активный-пассивный. Состояние узлов кластера можно определить по цвету индикатора около названия узла DCFW в разделе Настройки ➜ UserGate ➜ Управление устройством ➜ Кластеры отказоустойчивости:

  • Нет цветового индикатора: узел кластера доступен.

  • Жетый: кластер отказоустойчивости не запущен на узле.

  • Красный: нет связи с соседними узлами конфигурации.

Кластер отказоустойчивости «активный-пассивный»

В режиме активный-пассивный один из узлов выступает в роли мастер-узла, обрабатывающего трафик, а остальные — в качестве резервных. На каждом из узлов кластера выбираются сетевые интерфейсы, которым администратор назначает виртуальные IP-адреса. Между этими интерфейсами передаются VRRP-объявления (ADVERTISEMENT) — сообщения, с помощью которых узлы обмениваются информацией о своем состоянии.

ПримечаниеРежим активный-пассивный поддерживает синхронизацию пользовательских сессий  — обеспечивает прозрачное для пользователей переключение трафика с одного узла на другой, за исключением сессий, использующих прокси-сервер, например, трафик HTTP/S.

При переходе роли мастер на резервный сервер на него переносятся все виртуальные IP-адреса всех кластерных интерфейсов. Безусловный переход роли происходит при следующих событиях:

  • Резервный узел не получает подтверждения о том, что главный узел находится в сети (таймеры: Adver — 1 сек, MasterDown — 3 сек), например если он выключен или отсутствует сетевая доступность узлов.

  • На узле настроена проверка доступа в интернет (смотрите раздел «Настройка шлюзов»), и доступ в интернет отсутствует через все имеющиеся шлюзы.

    Если узел, указанный в свойствах проверки сети, недоступен на всех узлах кластера, то кластер отказоустойчивости будет отключен.

  • Сбой в работе ПО UserGate.

Отключение одного или нескольких сетевых интерфейсов, на которых назначены виртуальные IP-адреса понижает приоритет узла, но не обязательно приведет к изменению его роли. Переход на резервный узел произойдет, если приоритет резервного узла окажется выше, чем мастер-узла. По умолчанию приоритет узла, назначенный мастер-узлу, равен 250, приоритет резервного узла — 249. Приоритет узла уменьшается на 2 для каждого кластерного интерфейса, у которого отсутствует физическое подключение к сети. Соответственно, для кластера отказоустойчивости, состоящего из двух узлов, при пропадании физического подключения к сети одного интерфейса на мастер-узле, роль мастера переместится на резервный узел, если на резервном узле все кластерные интерфейсы подключены к сети (приоритет мастер-узла будет равен 248, приоритет резервного — 249). При восстановлении физического подключения на первоначальном мастер-узле роль мастера вернется обратно на него, поскольку его приоритет вернется в значение 250 (справедливо для случая, когда виртуальные адреса сконфигурированы на двух и более интерфейсах; если на одном, то роль мастера не возвращается).

Отключение одного или нескольких кластерных сетевых интерфейсов на резервном узле понижает приоритет узла, тем не менее этот резервный узел может стать мастер-узлом при безусловном переходе роли или в случае, когда приоритет мастер-узла станет меньше, чем приоритет резервного узла.

ПримечаниеЕсли кластерные IP-адреса назначены VLAN-интерфейсам, отсутствие подключения на физическом интерфейсе будет трактоваться кластером отказоустойчивости как потеря соединения на всех VLAN-интерфейсах, созданных на данном физическом интерфейсе.

ПримечаниеДля уменьшения времени, требуемого сетевому оборудованию для перевода трафика на резервный узел при переключении, DCFW посылается служебное оповещение GARP (Gratuitous ARP), извещающее сетевое оборудование о смене MAC-адресов для всех виртуальных IP-адресов. Пакет GARP отсылается DCFW каждую минуту и при переходе роли мастера на резервный узел.

Ниже представлен пример сетевой диаграммы отказоустойчивого кластера в режиме активный-пассивный. Интерфейсы настроены следующим образом:

  • Зона Trusted: IP1, IP2, IP3, IP4 и IP cluster (Trusted).

  • Зона Untrusted: IP5, IP6, IP7, IP8 и IP cluster (Untrusted).

  • Зона Cluster: IP9, IP10, IP11, IP12, IP13, IP14. Интерфейсы в зоне Cluster используются для репликации параметров.

Оба кластерных IP-адреса находятся на узле UG1. Если узел UG1 становится недоступным, то оба кластерных IP-адреса перейдут на следующий сервер, который станет мастер-сервером, например на UG2.

Кластер отказоустойчивости «активный-активный»

В режиме Актив-Актив один из серверов выступает в роли Мастер-узла, распределяющего трафик на все остальные узлы кластера. На каждом из узлов кластера выбираются сетевые интерфейсы, которым администратор назначает виртуальные IP-адреса. Между этими интерфейсами передаются VRRP-объявления (ADVERTISEMENT) — сообщения, с помощью которых узлы обмениваются информацией о своем состоянии.

Виртуальные IP-адреса всегда находятся на интерфейсах Мастер-узла, поэтому Мастер-узел получает ARP-запросы клиентов и отвечает на них, последовательно отдавая MAC-адреса всех узлов отказоустойчивого кластера, обеспечивая равномерное распределение трафика на все узлы кластера, учитывая при этом необходимость неразрывности пользовательских сессий.

ПримечаниеРежим Актив-Актив поддерживает синхронизацию пользовательских сессий, что обеспечивает прозрачное для пользователей переключение трафика с одного узла на другой, за исключением сессий, использующих прокси-сервер, например, трафик HTTP/S.

При переходе роли мастер на резервный сервер на него переносятся все виртуальные IP-адреса всех кластерных интерфейсов. Безусловный переход роли происходит при следующих событиях:

  • Запасной сервер не получает подтверждения о том, что главный узел находится в сети(Таймеры: Adver - 1сек, MasterDown - 3сек), например, если он выключен или отсутствует сетевая доступность узлов.

  • На узле настроена проверка доступа в интернет (смотрите раздел Настройка шлюзов), и доступ в интернет отсутствует через все имеющиеся шлюзы.

  • Сбой в работе ПО DCFW.

Отключение одного или нескольких сетевых интерфейсов мастер-узла, на которых назначены виртуальные IP-адреса, понижает приоритет узла, но не обязательно приведет к изменению роли сервера. Переход на запасной узел произойдет, если приоритет запасного узла окажется выше, чем мастер-узла. По умолчанию приоритет узла, назначенный мастер-узлу, равен 250, приоритет резервного узла равен 249. Приоритет узла уменьшается на 2 для каждого кластерного интерфейса, у которого отсутствует физическое подключение к сети. Соответственно, для кластера отказоустойчивости, состоящего из двух узлов, при пропадании физического подключения к сети одного интерфейса на мастер-узле, роль мастера переместится на запасной сервер, если на запасном сервере все кластерные интерфейсы подключены к сети (приоритет мастер-сервера будет равен 248, приоритет резервного — 249). При восстановлении физического подключения на первоначальном мастер-узле роль мастера вернется обратно на него, поскольку его приоритет вернется в значение 250.

Отключение одного или нескольких кластерных сетевых интерфейсов на запасном узле, понижает приоритет узла, а также исключает данный узел из балансировки трафика. Тем не менее данный запасной узел может стать мастер-узлом при безусловном переходе роли, или в случае, когда приоритет мастер узла станет меньше, чем приоритет данного запасного узла.

ПримечаниеЕсли кластерные IP-адреса назначены VLAN-интерфейсам, то отсутствие подключения на физическом интерфейсе будет трактоваться кластером отказоустойчивости как потеря соединения на всех VLAN-интерфейсах, созданных на данном физическом интерфейсе.

Примечание

Для уменьшения времени, требуемого сетевому оборудованию для перевода трафика на запасной узел при переключении, DCFW посылает служебное оповещение GARP (Gratuitous ARP), извещающий сетевое оборудование о смене MAC-адресов для всех виртуальных IP-адресов. В режиме Актив-Актив пакет GARP отсылается DCFW только при переходе роли мастера на запасной сервер.

Ниже представлен пример сетевой диаграммы отказоустойчивого кластера в режиме Актив-Актив. Интерфейсы настроены следующим образом:

  • Зона Trusted: IP1, IP2, IP3, IP4 и IP cluster (Trusted).

  • Зона Untrusted: IP5, IP6, IP7, IP8 и IP cluster (Untrusted).

  • Зона Cluster: IP9, IP10, IP11, IP12, IP13, IP14. Интерфейсы в зоне Cluster используются для репликации настроек.

Оба кластерных IP-адреса находятся на узле UG1. Если узел UG1 становится недоступным, то оба кластерных IP-адреса перейдут на следующий сервер, который станет мастер сервером, например, UG2.

Отказоустойчивый кластер в режиме Актив-Актив

ПримечаниеДля корректной обработки трафика необходимо, чтобы обратный трафик от сервера к клиенту вернулся через тот же узел DCFW, через который он был инициирован от клиента, то есть, чтобы сессия пользователя всегда проходила через один и тот же узел кластера. Самое простое решение данной задачи – это использование NAT из сети клиента в сеть сервера (NAT из Trusted в Untrusted).

Для создания отказоустойчивого кластера необходимо выполнить следующие шаги:

Наименование

Описание

Шаг 1. Создать кластер конфигурации.

Создать кластер конфигурации, как это описано на предыдущем шаге.

Шаг 2. Настроить зоны, интерфейсы которых будут участвовать в отказоустойчивом кластере.

В разделе Зоны следует разрешить сервис VRRP для всех зон, где планируется добавлять кластерный виртуальный IP-адрес (зоны Trusted и Untrusted на диаграммах выше).

Шаг 3. Создать кластер отказоустойчивости.

В разделе Управление устройством ➜ Кластер отказоустойчивости нажать на кнопку Добавить и указать параметры кластера отказоустойчивости.

Шаг 4. Указать виртуальный IP-адрес для хостов auth.captive, logout.captive, block.captive, ftpclient.captive.

Если предполагается использовать авторизацию с помощью Captive-портала, то необходимо, чтобы системные имена хостов auth.captive и logout.captive, которые используются процедурами авторизации в Captive, резолвились в IP-адрес, назначенный в качестве кластерного виртуального адреса. Более детально эти параметры описаны в разделе Общие настройки.

Параметры отказоустойчивого кластера:

Наименование

Описание

Включено

Включение/отключение отказоустойчивого кластера.

Название

Название отказоустойчивого кластера.

Описание

Описание отказоустойчивого кластера.

Режим кластера

Режим отказоустойчивого кластера:

  • Актив-Актив — нагрузка распределяется на все узлы кластера.

  • Актив-Пассив — нагрузка идет на Мастер-узел и переключается на запасной узел в случае недоступности Мастер-узла.

Синхронизировать сессии

Включает режим синхронизации пользовательских сессий между всеми узлами, входящими в кластер отказоустойчивости. Включение данной опции делает переключение пользователей с одного устройства на другое прозрачным для пользователей, но добавляет существенную нагрузку на платформу UserGate. Имеет смысл только для режима кластера Актив-Пассив.

Мультикаст идентификатор кластера

В одном кластере конфигурации может быть создано несколько кластеров отказоустойчивости. Для синхронизации сессий используется определенный мультикастовый адрес, определяемый данным параметром. Для каждой группы кластеров отказоустойчивости, в которой должна поддерживаться синхронизация сессий, требуется установить уникальный идентификатор.

Идентификатор виртуального роутера (VRID)

Идентификатор виртуального роутера должен быть уникален для каждого VRRP-кластера в локальной сети. Если в сети не присутствуют сторонние кластеры VRRP, то рекомендуется оставить значение по умолчанию.

Узлы

Выбираются узлы кластера конфигурации для объединения их в кластер отказоустойчивости. Здесь же можно назначить роль Мастер-сервера одному из выбранных узлов.

Виртуальные IP-адреса

Назначаются виртуальные IP-адреса и их соответствие интерфейсам узлов кластера.

Синхронизация UDP/ICMP

Управление режимом синхронизации пользовательских сессий:

  • Синхронизовать все сессии — включение/отключение режима синхронизации всех пользовательских сессий, включая UDP/ICMP сессии. В случае, если этот параметр не активирован, а настройка Синхронизировать сессии во вкладке Общие активирована, синхронизироваться будут только TCP сессии.  

  • Исключенные из синхронизации IP — указание IP-адресов, с которыми не будут синхронизироваться пользовательские cессии. 
Управление сертификатами

Общие сведения

UserGate DCFW использует защищенный протокол HTTPS для управления устройством, а также может производить авторизацию администраторов в веб-консоль на основе их сертификатов.

Для выполнения данных функций DCFW использует различные типы сертификатов:

Наименование

Описание

SSL веб-консоли

Используется для создания безопасного HTTPS-подключения администратора к веб-консоли DCFW.

SSL Captive-портала

Используется для создания безопасного HTTPS-подключения пользователей к странице авторизации Captive-портала, для отображения страницы блокировки, для отображения страницы Logout Captive-портала и для работы ftp-прокси. Этот сертификат должен быть выпущен со следующими параметрами:

  • Subject name — значение, установленное для домена Домен Auth captive-портала, определенного на странице Настройки.

  • Subject Alternative names — необходимо указать все домены, для которых используется данный сертификат, как они заданы на странице Настройки:

    • домен Auth сaptive-портала.

    • домен Logout сaptive-портала.

    • домен страницы блокировки.

    • домен FTP поверх HTTP.

    • домен для веб-портала, указанный в настройках веб-портала.

По умолчанию используется подписанный с помощью сертификата инспектирование SSL сертификат, выпущенный для домена auth.captive, со следующими параметрами:

  • Subject name = auth.captive

  • Sunject alternative names = auth.captive, logout.captive, block.captive, ftpclient.captive, sslvpn.captive

Если администратор не загрузил свой собственный сертификат для обслуживания этой роли, то DCFW самостоятельно в автоматическом режиме перевыпускает данный сертификат при изменении администратором одного из доменов на странице Настройки (домены для auth.captive, logout.captive, block.captive, ftpclient.captive, sslvpn.captive).

Примечание Если администратор использует отдельный сертификат для домена Captive-портала, то он обязательно должен в сертификате в расширении Subject Alternative name добавить не только свой домен Auth captive-портала, но также и фиксированный домен cert.captive. Если cert.captive не добавить, то при аутентификации через сертификат в браузере будет выдаваться ошибка безопасности.

Пользовательский сертификат

Сертификат, который назначается пользователю DCFW. Пользователь может быть, как заведен локально, так и получен из LDAP. Сертификат может быть использован для авторизации пользователей при их доступе к опубликованным ресурсам с помощью правил reverse-прокси.

УЦ для авторизации в веб-консоли

Сертификат удостоверяющего центра для доступа к веб-консоли. Для успешной авторизации сертификат администратора должен быть подписан сертификатом этого типа.

SAML server

Используется для работы DCFW с сервером SSO SAML IDP. Подробно о настройке работы DCFW с сервером авторизации SAML IDP смотрите в соответствующем разделе руководства.

Сертификатов для SSL веб-консоли, SSL Captive-портала может быть несколько, но только один сертификат каждого типа может быть активным и использоваться для выполнения своих задач. Сертификатов типа УЦ для авторизации в веб-консоли может быть несколько, и каждый из них может быть использован для проверки подлинности сертификатов администраторов.

Для того чтобы создать новый сертификат, необходимо выполнить следующие действия:

Наименование

Описание

Шаг 1. Создать сертификат

Нажать на кнопку Создать в разделе Сертификаты.

Шаг 2. Заполнить необходимые поля

Указать значения следующих полей:

  • Название — название сертификата, под которым он будет отображен в списке сертификатов.

  • Описание — описание сертификата.

  • Страна — страна, в которой выписывается сертификат.

  • Область или штат — область или штат, в котором выписывается сертификат.

  • Город — город, в котором выписывается сертификат.

  • Название организации — название организации, для которой выписывается сертификат.

  • Common name — имя сертификата. Рекомендуется использовать только символы латинского алфавита для совместимости с большинством браузеров.

  • E-mail — email вашей компании.

Шаг 3. Указать, для чего будет использован данный сертификат

После создания сертификата необходимо указать его роль в DCFW. Для этого необходимо выделить необходимый сертификат в списке сертификатов, нажать на кнопку Редактировать и указать тип сертификата (SSL веб-консоли,  УЦ для авторизации в веб-консоли). В случае, если вы выбрали SSL веб-консоли, DCFW перезагрузит сервис веб-консоли и предложит вам подключиться уже с использованием нового сертификата. 

DCFW позволяет экспортировать созданные сертификаты и импортировать сертификаты, созданные на других системах, например, сертификат, выписанный доверенным удостоверяющим центром вашей организации.

Для экспорта сертификата необходимо:

Наименование

Описание

Шаг 1. Выбрать сертификат для экспорта

Выделить необходимый сертификат в списке сертификатов.

Шаг 2. Экспортировать сертификат

Выбрать тип экспорта:

  • Экспорт сертификата — экспортирует данные сертификата в der-формате без экспортирования приватного ключа сертификата. Используйте файл, полученный в результате экспорта сертификата для инспектирования SSL, для установки его в качестве локального удостоверяющего центра на компьютеры пользователей. Подробнее об этом читайте в приложении Установка сертификата локального удостоверяющего центра.

  • Экспорт CSR — экспортирует CSR сертификата, например, для подписи его удостоверяющим центром.

ПримечаниеРекомендуется сохранять сертификат для возможности его последующего восстановления.

ПримечаниеВ целях безопасности UserGate не разрешает экспорт приватных ключей сертификатов.

ПримечаниеПользователи могут скачать себе для установки сертификат инспектирования SSL с UserGate по прямой ссылке: http://UserGate_IP:8002/cps/ca

Для импорта сертификата необходимо иметь файлы сертификата и — опционально — приватного ключа сертификата и выполнить следующие действия:

Наименование

Описание

Шаг 1. Начать импорт

Нажать на кнопку Импорт.

Шаг 2. Заполнить необходимые поля

Указать значения следующих полей:

  • Название — название сертификата, под которым он будет отображен в списке сертификатов.

  • Описание — описание сертификата.

  • Файл сертификата: загрузите файл, содержащий данные сертификата.

  • Приватный ключ: загрузите файл, содержащий приватный ключ сертификата.

  • Пароль для приватного ключа, если таковой требуется.

  • Цепочка сертификатов – файл, содержащий сертификаты вышестоящих центров сертификации, которые участвовали в создании сертификата. Необязательное поле.

Профили клиентских сертификатов

Профиль клиентского сертификата позволяет управлять сертификатами для обеспечения безопасности и подтверждения подлинности в сетевых соединениях. В профиле указываются сертификаты УЦ, методы проверки актуальности пользовательских сертификатов, методы выбора имени пользователя для аутентификации. 

Профиль клиентского сертификата используется для валидации предоставленного клиентом сертификата. Сертификат клиента проверяется на валидность для каждого сертификата УЦ из списка.

При выборе режима аутентификации посредством сертификатов (PKI) указывается сконфигурированный ранее профиль клиентского сертификата, который в дальнейшем можно будет использовать в различных подсистемах DCFW, например, Captive-портал, VPN, веб-портал, reverse proxy.

Чтобы создать профиль клиентского сертификата, необходимо в разделе Настройки ➜ UserGate ➜ Профили клиентских сертификатов  нажать на кнопку Добавить и указать необходимые параметры:

Наименование

Описание

Название

Название профиля клиентских сертификатов.

Описание

Опциональное описание профиля.

Получать имя пользователя из

Выбор поля в сертификате, по которому определяется имя пользователя, используемое при аутентификации:

  • Common-name —  доменное имя или имя хоста в поле Subject, для которых предназначен сертификат.

  • Subject altname email — для определения имени пользователя используется параметр с префиксом email в расширении SAN (Subject Alternative Name).

  • Principal name — для определения имени пользователя используется параметр Universal Principal Name (UPN), содержащийся в поле otherName в расширении SAN.

Если в полях расширения SAN сертификата указано несколько имен UPN или несколько адресов email, берется первый, указанный в сертификате.

Сертификаты УЦ

Сертификаты УЦ, назначаемые профилю.

Список сертификатов удостоверяющих центров. Используется для валидации предоставленного клиентом сертификата. Сертификат клиента проверяется на валидность для каждого сертификата УЦ из списка. Перебор списка идет сверху вниз.

Проверка отозванных сертификатов

В списках отзыва сертификатов (CRL) содержатся сертификаты, которые были отозваны и больше не могут использоваться. В этот список входят сертификаты, срок действия которых истек или они были скомпрометированы.

Параметр для проверки состояния отзыва сертификатов:

  • Не проверять — не проверять ни один сертификат.

  • Вся цепочка — проверять все сертификаты в цепочке и требовать, чтобы они все были валидными.

  • Сертификат пользователя  — проверять только сертификат клиента.

  • Считать валидным, если статус неизвестен — если проверить CRL не удалось по какой-то причине, то сертификат считается валидным (при этом он всё равно проверяется и может вернуть статус invalid, если сертификат есть в списке отозванных).

Тайм-аут проверки

Интервал времени, по истечению которого DCFW перестает ожидать ответа от службы списков отзыва сертификатов.
Расширение системного раздела

Для расширения системного раздела с сохранением конфигурации и данных узла UserGate необходимо выполнить следующие шаги:

Наименование

Описание

Шаг 1. Добавить дополнительный виртуальный диск.

Средствами гипервизора добавить новый диск необходимого размера в свойствах виртуальной машины UserGate.

Шаг 2. Расширить размер раздела в системных утилитах.

В меню загрузки узла UserGate войти в раздел Support menu.

В открывшемся разделе выбрать Expand data partition и запустить процесс расширения раздела.

Шаг 3. Проверить размер системного раздела.

После завершения процесса расширения загрузить узел и в разделе Дашборд ➜ Диски проверить размер системного раздела.
Примечание Расширение системного раздела путем увеличения размера имеющегося диска виртуальной машины возможно только при сбросе узла до заводских настроек, т.е. при выполнении операции factory reset. 
Системные утилиты

Системные утилиты доступны администратору во время загрузки DCFW через меню загрузки (boot menu). Для получения доступа к этому меню необходимо подключить монитор к разъему VGA(HDMI), клавиатуру к разъему USB (при наличии соответствующих разъемов на устройстве) или используя специальный кабель для последовательного порта или переходник USB-Serial, подключить свой компьютер к DCFW. Запустить терминал, позволяющий подключение через последовательный порт, например, Putty для Windows. Установить подключение через последовательный порт, указав параметры подключения 115200 8n1.

Во время загрузки администратор может выбрать один из нескольких пунктов загрузки в boot-меню:

Наименование

Описание

UGOS DCFW

Загрузка DCFW с выводом диагностической информации о загрузке в последовательный порт.

UGOS DCFW (failsafe)

Загрузка DCFW в упрощённом видеорежиме.

Support menu

Войти в раздел системных утилит с выводом информации в консоль tty1 (монитор).

Restore previous version

Раздел доступен после обновления или создания резервной копии.

Раздел системных утилит (Support menu) позволяет выполнить следующие действия:

Наименование

Описание

Check filesystems

Запуск проверки файловой системы устройства на наличие ошибок и их автоматическое исправление.

Expand data partition

Увеличение раздела для хранения данных. Эта операция обычно используется после увеличения дискового пространства, выделенного гипервизором для виртуальной машины DCFW.

Важно! Для расширения системного раздела с сохранением данных и настроек DCFW необходимо средствами гипервизора добавить новый диск и затем выполнить операцию Expand data partition, как указано в статье руководства администратора Расширение системного раздела. 

Create backup

Создать полную копию диска DCFW на внешний USB носитель.

Важно! Перед созданием резервной копии USB носитель будет отформатирован.

Restore from backup

Восстановление DCFW с внешнего USB носителя.

Factory reset

Сброс состояния DCFW. Версия ПО останется той, которая была установлена при запуске команды. Все данные и настройки будут утеряны.

Exit

Выход и перезагрузка устройства.

Документация -> DCFW -> DCFW 8.x Руководство администратора -> Настройка устройства
https://docs.usergate.com/573/