EndPoint Client for Windows 7.5.x

Работа UserGate Client в связке с UserGate NGFW

UserGate NGFW при работе в связке с конечными устройствами c установленным приложением UserGate Client может выполнять функции VPN-сервера, сервера контроля сетевого доступа и межсетевого экрана.

После установления VPN-соединения конечные устройства автоматически регистрируются на UserGate NGFW. Взаимодействие конечных устройств с UserGate NGFW производится по порту 4045 с использованием протокола HTTPS.

После регистрации на UserGate NGFW каждому новому конечному устройству присваивается уникальный идентификатор, который хранится в базе UserGate NGFW.

Конечное устройство периодически отправляет на UserGate NGFW данные телеметрии. UserGate NGFW на основе полученных данных выполняет проверку соответствия конечных устройств требованиям безопасности с помощью HIP-профилей. Информация о результате проверки передается далее для использования в правилах межсетевого экрана UserGate NGFW.

ПримечаниеЕсли конечное устройство подключено к UserGate Management Center, регистрации на NGFW после установки VPN-соединения не произойдет. Функция проверки соответствия конечного устройства правилам политики безопасности будет производиться на UserGate MC.

Тайм-аут активности конечных устройств составляет две минуты, то есть, если в течение двух минут на UserGate NGFW не поступает информация от конечного устройства, оно считается неактивным. По истечении трех периодов неактивности запись о конечном устройстве удаляется из базы UserGate NGFW. При повторном подключении конечное устройство будет заново зарегистрировано. Если конечное устройство будет подключено до истечения этого времени, его запись будет обновлена.

После подключения к другому VPN-серверу конечное устройство будет зарегистрировано на новом UserGate NGFW.

Проверка HIP на UserGate NGFW

Проверка на соответствие требованиям безопасности (комплаенса) на UserGate NGFW происходит по следующей схеме.

Конечное устройство отправляет на UserGate NGFW данные телеметрии:

информацию о пользователях;
данные о системе (версия, издание, netbios-имя);
список запущенных процессов;
список запущенных служб;
список установленного программного обеспечения (название, вендор, версия);
ключи реестра, которые используются в HIP-объектах;
список обновлений системы;
элементы автозагрузки;
информацию о защищенности системы (антивирус, межсетевой экран, BitLocker и т. п.);
информацию о точках восстановления системы.

Полученные от конечного устройства данные расшифровываются и передаются для сравнения с HIP-профилями. Информация о результате проверки используется в правилах межсетевого экрана UserGate NGFW. Если конечное устройство соответствует всем условиям правила межсетевого экрана на UserGate NGFW, это правило становится активным для данного конечного устройства.

ПримечаниеУсловия HIP-объекта при проверке не выполняются, если используется критерий «Ключи реестра» со строковым значением ключа, содержащим символы кириллицы.

ПримечаниеДля работы с конечными устройствами UserGate Client необходимо наличие соответствующей лицензии на UserGate NGFW. Подробнее — в разделе «Лицензирование». В случае отсутствия соответствующей лицензии регистрации конечного устройства на UserGate NGFW не произойдет; будет установлено только VPN-соединение.

Для подключения конечного устройства к UserGate NGFW:

1. В выбранной зоне UserGate NGFW разрешите подключение конечных устройств. Для этого в параметрах зоны разрешите сервис «Подключение конечных устройств».

2. Укажите данные для установки защищенного соединения между конечным устройством и UserGate NGFW. Для этого в веб-консоли UserGate NGFW в разделе Настройки ➜ Консоль администратора ➜ Настройки укажите сертификат и профиль для установки защищенного соединения. При подключении конечное устройство будет проверять актуальность сертификата UserGate NGFW. В случае смены сертификата на UserGate NGFW при наличии уже подключенных конечных устройств необходимо распространить корневой сертификат удостоверяющего центра (Root CA); сертификат необходимо поместить в хранилище локального компьютера «Доверенные корневые центры сертификации».

3. Настройте UserGate NGFW в качестве VPN-сервера. Подробнее о настройке UserGate NGFW в качестве VPN-сервера для сценария удаленного подключения конечных устройств — в разделе «VPN для удаленного доступа клиентов (Remote access VPN)».

После установки VPN-соединения регистрация конечного устройства произойдет автоматически. Политики безопасности, настроенные на UserGate NGFW, также будут применены к конечным устройствам. Для проверки на соответствие требованиям безопасности (комплаенса) конечное устройство будет отправлять телеметрию на UserGate NGFW с периодичностью в 1 минуту.

Конечное устройство будет производить попытку регистрации каждый раз после подключения к новому VPN-серверу.

Работа UserGate Client в связке с UserGate MC

Интеграция конечных устройств с UserGate Management Center (UserGate MC) позволяет администратору централизованно управлять их конфигурацией и режимами работы.

Через платформу UserGate MC доступны следующие функции:

Управление параметрами UserGate Client на конечных устройствах.
Гибкая настройка политик безопасности через правила межсетевого экрана на конечном устройстве.
Проверка соответствия конечных устройств требованиям безопасности с помощью HIP-профилей.
Централизованное создание и распространение параметров VPN-подключений для UserGate Client.
Передача данных телеметрии и событий безопасности конечных устройств на устройства UserGate LogAn и UserGate SIEM для анализа и автоматического реагирования на угрозы безопасности.

Регистрация конечных устройств на UserGate MC происходит через порт 4045. В процессе регистрации применяется пин-код, созданный на UserGate MC. Конечному устройству присваивается уникальный идентификатор, который будет использован в дальнейшем для взаимодействия с платформой управления. Подробнее о добавлении конечных устройств под управление UserGate MC — в разделе «Добавление конечных устройств под управление UGMC».

После регистрации конечное устройство запрашивает параметры конфигурации у UserGate MC каждые 10 секунд. UserGate MC отправляет на конечное устройство:

параметры межсетевого экрана;
параметры VPN-подключений;
общие параметры шаблонов;
библиотеки элементов;
HIP-объекты и профили, если они используются в правилах межсетевого экрана.

Отправка конфигурации на конечное устройство происходит автоматически при ее изменении на управляющем UserGate MC.

Конечное устройство передает на UserGate MC следующие данные:

Телеметрию системы:
- данные о загрузке центрального процессора;
- сведения о накопителях;
- время непрерывной работы;
- другую статистику производительности.
Параметры для проверки соответствия HIP (подробнее — в разделе «Проверка HIP на UserGate MC»):
- статус средств безопасности (состояние антивируса, межсетевого экрана, автоматических обновлений системы, BitLocker);
- список активных процессов и служб;
- перечень установленного программного обеспечения;
- список установленных обновлений.

Данные о конфигурации отправляются конечным устройством только в случае наличия изменений.

При выполнении операций поиска в соответствующем разделе UserGate MC, конечное устройство отправляет на UserGate MC следующую дополнительную информацию:

временные метки — текущее время и время последней загрузки конечного устройства с указанием часового пояса;
сведения о подключенных USB-устройствах;
сведения об элементах автозагрузки;
данные о точках восстановления системы;
расширенные данные о производительности;
данные об обновлениях и ключах реестра.

UserGate Log Analyzer получает данные с конечных устройств не напрямую, а через UserGate Management Center (MC). Соединение между UserGate LogAn и UserGate MC защищено SSH-туннелем, по которому передается вся информация: телеметрия, журналы Windows и иные данные безопасности. Эти данные используются для последующего анализа и автоматического реагирования на угрозы.

Подробнее о централизованном управлении конечными устройствами с помощью UserGate MC — в разделе «Централизованное управление конечными устройствами».

Проверка HIP на UserGate MC

В UserGate MC реализована возможность проверки конечного устройства на соответствие требованиям безопасности (комплаенса) с помощью HIP-профилей.

Технология HIP (Host Information Profile) предназначена для сбора и анализа данных о состоянии защиты конечных устройств. Она позволяет оценивать уровень соответствия устройств заданным требованиям безопасности и использовать эти данные для управления доступом к сетевым ресурсам.

С помощью HIP проверяется наличие и актуальность антивирусного ПО, состояние локального межсетевого экрана, версия операционной системы, установленные обновления и другие параметры безопасности. Администратор сети может настраивать HIP-объекты (например, требования к наличию антивируса или установленным обновлениям операционной системы). Эти объекты объединяются в HIP-профили, которые задают правила проверки устройств. Результаты проверки HIP могут использоваться как условие для предоставления доступа. Например, доступ в корпоративную сеть или к критически важным приложениям может быть разрешен только устройствам, соответствующим заданным HIP-профилям.

Проверка соответствия конечных устройств требованиям безопасности производится следующим образом:

Конечное устройство отправляет на UserGate MC следующие данные:

информацию о пользователях;
данные о системе (версия, издание, NetBIOS-имя);
список запущенных процессов;
список запущенных служб;
список установленного программного обеспечения (название, производитель ПО, версия);
ключи реестра;
список обновлений системы;
элементы автозагрузки;
информацию о защищенности системы (антивирус, межсетевой экран, BitLocker и т. п.);
информацию о точках восстановления системы.

Для проверки на соответствие требованиям безопасности используются только HIP-профили, указанные в правилах межсетевого экрана в качестве одного из условий фильтрации. В случае успешной проверки правило межсетевого экрана будет отправлено на конечное устройство с установленным клиентом.

ПримечаниеЕсли HIP-профиль не указан в параметрах правила межсетевого экрана на UserGate MC, такое правило применяется на всех конечных устройствах.

Установка UserGate Client

UserGate Client для Windows поставляется в формате установочного MSI- или EXE-файла, позволяющего выполнить установку вручную или с использованием инструментов автоматизации.

Минимальные системные требования

Минимальные системные требования для установки приложения:

Операционная система: Windows 10 (64-bit) или Windows 11 (64-bit).
Оперативная память (ОЗУ): не менее 2 ГБ.
Процессор: тактовая частота от 2 ГГц.
Свободное дисковое пространство: минимум 200 МБ.

Порядок установки приложения

Для установки приложения в ручном режиме запустите установочный файл. Во время установки запустится мастер настройки клиента, который предложит задать параметры подключения к UserGate Management Center — IP-адрес и код конечного устройства, созданный в центре управления. При работе без UserGate Management Center нажмите Cancel и введите параметры подключения к VPN-серверу UserGate NGFW.

ПримечаниеПосле установки UserGate Client компьютер будет перезагружен. Это необходимо для корректной работы приложения.

Установка приложения в автоматическом режиме осуществляется с помощью групповых политик Microsoft Active Directory. Для публикации приложения в Active Directory требуется MSI-файл с инсталлятором и административный шаблон UserGateClient.adm, который используется для указания IP-адреса UserGate Management Center и кода устройства пользователя, созданного в центре управления.

После завершения установки UserGate Client получает конфигурацию, назначенную ему в UserGate Management Center, и передает информацию об устройстве пользователя в центр управления.

Приложение UserGate Client для Windows имеет несколько вкладок для настройки параметров.

Вкладка	Описание
General	Информация об устройстве пользователя (пользователь, имя компьютера, IP-адрес для выхода в Интернет, версия Windows) и VPN-подключении (статус подключения; VPN IP-адрес подключения конечного устройства; количество байтов, переданных и полученных с момента подключения по VPN; длительность соединения). Параметры для настройки: Флажок Save login — сохранение логина пользователя для VPN-подключения после перезагрузки конечного устройства. Флажок Reconnect — переподключение к VPN-серверу в случае обрыва связи. В случае потери соединения будет отображено начальное окно интерфейса приложения. Если опция переподключения активна, приложение будет производить повторные попытки подключения к серверу; если функция отключена — будет отображено начальное окно с выбором сервера. Флажок Popup in center — отображение начального окна интерфейса приложения в центре экрана в случае обрыва VPN-соединения
Logs	Настройка параметров журналирования. Logging level — уровень детализации: Off — отключить ведение журнала диагностики; Critical — критические события; Error — журналировать только ошибки; Warning — журналировать ошибки и предупреждения; Info — журналировать ошибки, предупреждения и дополнительную информацию; Debug — максимальная детализация. Журнал находится в разделе: `%ALLUSERSPROFILE%\UserGate\UserGate Client\var\log\usergateclient\ug_client.log`. Tooltips history — история оповещений. Export logs — скачать журнал диагностики (после скачивания откроется архив с файлом журнала диагностики)
Network	Просмотр информации о сетевых параметрах и параметрах маршрутизации: IPCONFIG — информация о всех сетевых адаптерах и текущей конфигурации TCP/IP. ROUTING — записи локальной таблицы маршрутизации. SOCKETS — список активных подключений (тип порта, адреса, состояние соединения, идентификатор процесса). Чтобы скопировать информацию, нажмите Copy
Policy	Просмотр информации о безопасности устройства пользователя (статус межсетевого экрана, антивируса, центров обновления и безопасности Windows). Значение индикации: желтый — отключен; зеленый — включен; красный — не соответствует политикам безопасности
Advanced	Управление контентной фильтрацией (возможность самостоятельного отключения контентной фильтрации в соответствии с политиками, настроенными на сервере UserGate Management Center)

Параметры подключения к UserGate MC (IP-адрес UserGate MC и код для подключения устройства пользователя) можно посмотреть в файле C:\ProgramData\UserGate\UserGate Client\etc\main.cfg.

Важно!В случае обновления операционной системы конечного устройства с Windows 10 до Windows 11 требуется удалить приложение UserGate Client средствами операционной системы и выполнить его повторную установку. О порядке корректного удаления приложения — в разделе «Удаление приложения».

Журналирование

События работы UserGate Client фиксируются во внутреннем журнале и в журнале приложений Windows.

В журнале приложений Windows документируются следующие типы событий:

Запуск и остановка сервиса (события UG0101 Service started и UG0102 Service stopped).
Подключение к UserGate Management Center и потеря связи (события UG0201 MC connected и UG0202 MC connection lost).
Подключение по VPN и завершение сессии, в том числе ошибки подключения — недоступность сервера, неправильно указанные данные (события UG0301 VPN connected и UG0302 VPN disconnected).
Получение конфигурации от UserGate Management Center (событие UG0401 MC rules propagated).

Удаление приложения

Чтобы удалить приложение на устройстве пользователя перейдите в раздел Пуск ➜ Параметры ➜ Приложения ➜ Установленные приложения (Панель управления ➜ Программы ➜ Программы и компоненты в Windows 10), найдите в списке приложений UserGate Client и выберите Удалить.

Важно!Для корректного удаления и обновления UserGate Client на конечном устройстве не должно быть активных правил локального межсетевого экрана, синхронизированных с UserGate MC.

После удаления приложения необходимо перезагрузить компьютер.

Лицензирование

UserGate Client не является самостоятельным продуктом и предназначен для интеграции с UserGate Management Center (MC) или UserGate NGFW, а его функциональные возможности зависят от выбранного варианта интеграции и приобретенных лицензий.

Функция	UserGate NGFW	UserGate MC
Функция	Подписка UserGate Client	Базовая лицензия UserGate Client	Базовая лицензия UserGate Client + подписка на модуль NAC
VPN	+	+	+
Настройка параметров VPN	Диалоговое окно на конечном устройстве	Централизованно на MC	Централизованно на MC
Пользователи	Только VPN-пользователи	Все	Все
Телеметрия состояния	+	+	+
Телеметрия событий	−	+	+
Host Information Profile (HIP)	+	−	+
Настройка локального межсетевого экрана конечного устройства	−	+	+
Блокировка на локальном межсетевом экране конечного устройства	−	−	+

Интеграция с UserGate NGFW

При интеграции UserGate Client с UserGate NGFW доступны следующие функции клиента:

VPN-подключение — установление защищенного туннеля между конечным устройством с установленным UserGate Client и VPN-сервером UserGate. Настройка параметров VPN выполняется непосредственно в приложении UserGate Client на конечном устройстве.
Сбор телеметрии — передача на UserGate NGFW информации о состоянии конечного устройства.
Контроль доступа с использованием HIP-профилей — управление доступом конечных устройств к сетевым ресурсам с помощью правил межсетевого экрана UserGate NGFW, в которых HIP-профиль используется в качестве одного из условий применения правила.

Лицензирование

Для интеграции с UserGate NGFW требуется приобрести подписку UserGate Client для UserGate NGFW. Подписка приобретается на срок от 1 года до 5 лет и определяет количество интегрируемых конечных устройств. Поставка лицензий осуществляется наборами: 10, 100 или 1000 устройств.

По истечении срока действия подписки:

правила межсетевого экрана на UserGate NGFW, использующие HIP-профили в качестве условий фильтрации, перестают действовать;
остается возможность установления VPN-подключений с VPN-серверами UserGate.

Для продолжения работы функции контроля доступа с использованием HIP-профилей необходимо продлить подписку.

Подробнее об интеграции UserGate Client с UserGate NGFW — в разделе «Работа UserGate Client в связке с UserGate NGFW».

Подробнее о лицензировании UserGate NGFW — в разделе «Лицензирование UserGate NGFW».

Интеграция с UserGate Management Center

При интеграции UserGate Client с UserGate MC доступны следующие функции клиента:

Централизованное управление конечными устройствами (за исключением контроля соответствия требованиям безопасности через HIP-профили).
VPN-подключение — установление защищенного туннеля между конечным устройством с установленным UserGate Client и VPN-сервером UserGate. Параметры VPN-подключений централизованно настраиваются администратором на UserGate MC и автоматически передаются на управляемые конечные устройства.
Сбор телеметрии и событий безопасности с конечных устройств.
Проверка конечных устройств на соответствие требованиям безопасности с помощью HIP-профилей (контроль комплаенса).
Управление доступом в сеть по результатам проверки комплаенса непосредственно на уровне конечного устройства.

Лицензирование

Для интеграции конечных устройств с UserGate Management Center предусмотрены следующие лицензии:

базовая лицензия UserGate Client;
подписка на модуль NAC.

Базовая лицензия UserGate Client

Базовая лицензия UserGate Client является обязательной для интеграции конечных устройств с UserGate MC.

С базовой лицензией конечным устройствам доступны функции централизованного управления (за исключением контроля соответствия требованиям безопасности через HIP-профили), VPN-подключения и сбор телеметрии.

Лицензия приобретается наборами по 10, 100, 1000 или 10 000 устройств. Срок действия лицензии не ограничен.

Дополнительный модуль NAC

Подписка на модуль NAC приобретается дополнительно к базовой лицензии. Поставляется на срок от 1 до 5 лет наборами по 10, 100, 1000 или 10 000 устройств.

Модуль NAC предоставляет доступ к функциям контроля комплаенса и управления доступом в сеть на уровне межсетевого экрана на конечном устройстве.

По истечении срока действия лицензии NAC контроль доступа на основе комплаенса прекращается. Правила межсетевого экрана, использующие HIP-профиль в качестве условия фильтрации, перестают работать. Для продолжения работы необходимо продлить подписку.

Подробнее об интеграции с UserGate MC — в разделе «Работа UserGate Client в связке с UserGate MC».

Подробнее о лицензировании UserGate MC — в разделе «Лицензирование UserGate MC».

Журналирование и диагностика UserGate Client

В этой статье описан порядок диагностики неисправностей в работе UserGate Client с использованием журнала приложений Windows и журнала диагностики приложения. Рассмотрены типы регистрируемых событий, способы сбора диагностических данных и рекомендации по устранению типичных ошибок.

Диагностика работы приложения

Для диагностики работы UserGate Client используйте следующие источники данных:

Журнал приложений Windows — содержит события, связанные с запуском и остановкой службы, подключением к UserGate MC, VPN-соединениями и применением конфигурации.
Журнал приложения UserGate Client — содержит диагностическую информацию о работе приложения.

Журнал приложений Windows

Чтобы просматривать события UserGate Client:

Откройте окно «Просмотр событий» командой eventvwr.msc.
Перейдите в раздел Журналы Windows ➜ Приложение.
Найдите события с источником UserGate Client.

В журнале регистрируются следующие типы событий:

Код события	Событие	Условие регистрации
`UG0101`	Service started	Служба UserGate Client запущена
`UG0102`	Service stopped	Служба UserGate Client остановлена
`UG0201`	MC connected	Конечное устройство подключено к UserGate MC
`UG0202`	MC connection lost	Потеряна связь с UserGate MC
`UG0301`	VPN connected	VPN-соединение установлено
`UG0302`	VPN disconnected	VPN-сессия завершена, в том числе из-за ошибки подключения
`UG0401`	MC rules propagated	Конфигурация от UserGate MC получена и применена

Примечание

Текст сообщений и состав записей могут различаться в зависимости от версии приложения. При анализе ориентируйтесь прежде всего на код события UGxxxx и время их регистрации.

Журнал приложения UserGate Client

Журнал приложения содержит информацию о работе UserGate Client. Используйте его для анализа ошибок и уточнения причин событий, обнаруженных в журнале Windows.

Чтобы сформировать файл с журналом приложения для дальнейшего анализа ошибок:

Откройте приложение UserGate Client.
Перейдите в раздел Logs ➜ Export logs.
Сохраните сформированный архив.

Вы можете изменить детализацию записей в журнале приложения. Для этого в разделе Logs ➜ Logging level выберите нужный уровень:

Off — журналирование отключено;
Critical — критические события;
Error — ошибки;
Warning — предупреждения;
Info — информационные сообщения;
Debug — подробная диагностическая информация.

Для поиска причины неисправности установите уровень Debug и воспроизведите проблему. После завершения диагностики восстановите прежний уровень журналирования: при включенном Debug журнал увеличивается быстрее и занимает больше места на диске.

Общий порядок диагностики

При возникновении проблемы выполните следующие действия:

Проверьте журнал Windows. Найдите событие, соответствующее проблеме, и зафиксируйте его код и время регистрации.
Включите подробное журналирование. В настройках UserGate Client установите уровень Debug.
Воспроизведите проблему. Повторите действия, при которых возникает ошибка.
Проанализируйте журнал приложения. Экспортируйте журнал через Logs ➜ Export logs, найдите записи, соответствующие времени возникновения проблемы, и изучите сообщение об ошибке и предшествующие записи.
Проверьте основные условия работы приложения:
- синхронизацию системного времени;
- разрешение доменных имен;
- доступность UserGate MC по TCP-портам 9712 и 4045;
- доступность VPN-сервера по UDP-портам 500 и 4500;
- срок действия сертификатов и лицензий.
Выберите соответствующий сценарий диагностики и выполните рекомендуемые действия.
Если установить причину не удалось, экспортируйте журналы и передайте их в службу технической поддержки UserGate. Укажите время возникновения проблемы и последовательность действий, при которых она воспроизводится.
Восстановите прежний уровень журналирования, если для диагностики включали Debug.

Сценарии диагностики и устранения ошибок приложения

Запуск и остановка службы UserGate Client

События UG0101 Service started и UG0102 Service stopped регистрируются при запуске и остановке службы UserGate Client. Они могут появляться при включении или перезагрузке компьютера, обновлении и удалении приложения.

Сценарий	Признаки	Диагностика	Действие
Штатный запуск и остановка	При запуске службы регистрируется событие `UG0101`, при остановке — `UG0102`	—	Дополнительные действия не требуются. Это штатная работа приложения
Служба не запускается	После включения компьютера событие `UG0101` отсутствует. Значок UserGate Client отсутствует в области уведомлений	1. Откройте окно «Службы» (`services.msc`) и проверьте состояние службы UserGate Client и тип ее запуска. 2. Проверьте журнал приложения (`ug_client.txt`), установив уровень журналирования `Error` или `Debug`. 3. Проверьте журнал событий Windows и карантин антивируса или EDR на наличие записей о блокировке службы или драйвера	1. Запустите службу UserGate Client. 2. При необходимости добавьте приложение и его службу в исключения антивируса и других средств защиты конечных устройств. 3. Перезагрузите компьютер

Сценарий

Признаки

Диагностика

Действие

Штатный запуск и остановка

При запуске службы регистрируется событие UG0101, при остановке — UG0102

—

Дополнительные действия не требуются. Это штатная работа приложения

Служба не запускается

После включения компьютера событие UG0101 отсутствует. Значок UserGate Client отсутствует в области уведомлений

1. Откройте окно «Службы» (services.msc) и проверьте состояние службы UserGate Client и тип ее запуска.

2. Проверьте журнал приложения (ug_client.txt), установив уровень журналирования Error или Debug.

3. Проверьте журнал событий Windows и карантин антивируса или EDR на наличие записей о блокировке службы или драйвера

1. Запустите службу UserGate Client.

2. При необходимости добавьте приложение и его службу в исключения антивируса и других средств защиты конечных устройств.

3. Перезагрузите компьютер

Подключение к UserGate MC

Событие UG0201 MC connected регистрируется при подключении конечного устройства к UserGate MC. Событие UG0202 MC connection lost указывает на потерю связи.

Регистрация устройства выполняется через TCP-порты 9712 и 4045 с использованием кода подключения, созданного на UserGate MC. После регистрации устройство запрашивает параметры конфигурации каждые 10 секунд.

Сценарий	Признаки	Диагностика	Действия
Штатное подключение и потеря связи	После успешного подключения регистрируется событие `UG0201`. При потере связи регистрируется событие UG0202. Потеря связи может быть вызвана перезагрузкой или недоступностью UserGate MC, а также разрывом сетевого соединения	1. Проверьте, появляется ли событие `UG0201` после `UG0202`. 2. Если связь восстановилась автоматически, дополнительных действий не требуется	Если подключение не восстанавливается, выполните диагностику по сценариям «Устройство не регистрируется на UserGate MC» и «Связь с UserGate MC периодически теряется»
Устройство не регистрируется на UserGate MC	Событие `UG0201` отсутствует. Устройство отсутствует на UserGate MC или отображается как неподключенное	1. Проверьте параметры подключения к UserGate MC (IP-адрес UserGate MC и токен подключения) в файле `C:\ProgramData\UserGate\UserGate Client\etc\main.cfg`. 2. Проверьте доступность TCP-портов 9712, 4045 на UserGate MC, в PowerShell: `Test-NetConnection <адрес UserGate MC> -Port 9712` `Test-NetConnection <адрес UserGate MC> -Port 4045` 3. Установите для журнала UserGate Client уровень `Debug`. Найдите записи о согласовании защищенного соединения и ответах сервера. 4. На UserGate MC проверьте состояние конечного устройства, настройки подключения конечных устройств и наличие свободных лицензий. 5. Убедитесь, что системное время на конечном устройстве синхронизировано	1. Создайте новый код подключения на UserGate MC и повторите регистрацию. 2. Укажите корректный адрес UserGate MC. 3. Обеспечьте доступность TCP-портов 9712 и 4045 на всем пути до UserGate MC. 4. Синхронизируйте системное время. 5. При необходимости удалите запись устройства на UserGate MC и зарегистрируйте устройство повторно. Если используется клонированный образ виртуальной машины или диска, исключите дублирование идентификатора устройства. 6. Проверьте наличие свободных лицензий на UserGate MC
Связь с UserGate MC периодически теряется	События `UG0201` и `UG0202` чередуются, а параметры конфигурации применяются с задержкой	1. Проверьте журнал UserGate Client и определите причину разрыва соединения. 2. Изучите журналы UserGate MC за тот же период. 3. Проверьте сетевой канал между конечным устройством и UserGate MC на наличие потерь пакетов и повышенных задержек	1. Обеспечьте стабильность канала связи и при необходимости настройте приоритет трафика к UserGate MC. 2. Синхронизируйте системное время. 3. Проверьте, не прерывают ли соединение промежуточные сетевые устройства. При использовании трансляции адресов проверьте тайм-ауты удержания сессий и при необходимости увеличьте их

Сценарий

Признаки

Диагностика

Действия

Штатное подключение и потеря связи

После успешного подключения регистрируется событие UG0201. При потере связи регистрируется событие UG0202. Потеря связи может быть вызвана перезагрузкой или недоступностью UserGate MC, а также разрывом сетевого соединения

1. Проверьте, появляется ли событие UG0201 после UG0202.

2. Если связь восстановилась автоматически, дополнительных действий не требуется

Если подключение не восстанавливается, выполните диагностику по сценариям «Устройство не регистрируется на UserGate MC» и «Связь с UserGate MC периодически теряется»

Устройство не регистрируется на UserGate MC

Событие UG0201 отсутствует. Устройство отсутствует на UserGate MC или отображается как неподключенное

1. Проверьте параметры подключения к UserGate MC (IP-адрес UserGate MC и токен подключения) в файле C:\ProgramData\UserGate\UserGate Client\etc\main.cfg.

2. Проверьте доступность TCP-портов 9712, 4045 на UserGate MC, в PowerShell:

Test-NetConnection <адрес UserGate MC> -Port 9712

Test-NetConnection <адрес UserGate MC> -Port 4045

3. Установите для журнала UserGate Client уровень Debug. Найдите записи о согласовании защищенного соединения и ответах сервера.

4. На UserGate MC проверьте состояние конечного устройства, настройки подключения конечных устройств и наличие свободных лицензий.

5. Убедитесь, что системное время на конечном устройстве синхронизировано

1. Создайте новый код подключения на UserGate MC и повторите регистрацию.

2. Укажите корректный адрес UserGate MC.

3. Обеспечьте доступность TCP-портов 9712 и 4045 на всем пути до UserGate MC.

4. Синхронизируйте системное время.

5. При необходимости удалите запись устройства на UserGate MC и зарегистрируйте устройство повторно. Если используется клонированный образ виртуальной машины или диска, исключите дублирование идентификатора устройства.

6. Проверьте наличие свободных лицензий на UserGate MC

Связь с UserGate MC периодически теряется

События UG0201 и UG0202 чередуются, а параметры конфигурации применяются с задержкой

1. Проверьте журнал UserGate Client и определите причину разрыва соединения.

2. Изучите журналы UserGate MC за тот же период.

3. Проверьте сетевой канал между конечным устройством и UserGate MC на наличие потерь пакетов и повышенных задержек

1. Обеспечьте стабильность канала связи и при необходимости настройте приоритет трафика к UserGate MC.

2. Синхронизируйте системное время.

3. Проверьте, не прерывают ли соединение промежуточные сетевые устройства. При использовании трансляции адресов проверьте тайм-ауты удержания сессий и при необходимости увеличьте их

Подключение по VPN

Событие UG0301 VPN connected регистрируется при успешном установлении VPN-соединения. Событие UG0302 VPN disconnected регистрируется при завершении VPN-сессии, в том числе из-за ошибки подключения, например при недоступности сервера или некорректных параметрах подключения.

Сценарий	Признаки	Порядок диагностики	Действия
Штатное подключение и отключение	При установлении соединения регистрируется событие `UG0301`, в окне приложения отображается статус VPN Connected и информация о соединении. При завершении соединения регистрируется событие `UG0302`	На вкладке General приложения проверьте VPN IP-адрес подключения, количество переданных и полученных байтов, а также длительность соединения	Если подключение и отключение происходят штатно, дополнительные действия не требуются
Ошибка аутентификации	Регистрируется событие `UG0302` с указанием ошибки аутентификации. Событие `UG0301` отсутствует. Приложение отображает сообщение об ошибке аутентификации и повторно предлагает выбрать сервер или профиль	1. Установите уровень журналирования `Debug` и проверьте в журнале UserGate Client этап аутентификации и причину отказа. 2. Изучите событие `UG0302` в журнале приложений Windows. 3. Проверьте журнал событий на UserGate NGFW. 4. Проверьте состояние учетной записи пользователя. 5. При использовании аутентификации по сертификату проверьте сертификат клиента на конечном устройстве. 6. Убедитесь, что системное время синхронизировано	1. Убедитесь в корректности используемых имени пользователя и пароля. При необходимости снимите и повторно установите флажок Save login. 2. Убедитесь, что в имени пользователя или пароле не используются символы кириллического алфавита. 3. Проверьте состояние учетной записи пользователя. 4. Используйте формат имени пользователя, соответствующий настройкам сервера. 5. Проверьте параметры VPN-подключения на UserGate NGFW и выберите поддерживаемые клиентом методы: X.509, EAP или PEAP. 6. Проверьте привязку сертификата к учетной записи в параметрах VPN-подключения на UserGate NGFW. 7. При использовании многофакторной аутентификации синхронизируйте системное время и запросите новый код TOTP. Не используйте код, который уже применялся. 8. Установите доверенный корневой сертификат и проверьте разрешенные методы аутентификации на VPN-сервере. После устранения причин повторите подключение
VPN-сервер недоступен или не отвечает	Регистрируется событие `UG0302` с указанием отсутствия ответа сервера или истечения времени ожидания. VPN-соединение не устанавливается	1. Проверьте разрешение имени VPN-сервера и доступность сервера. 2. Установите уровень журналирования `Debug` и изучите в журнале UserGate Client этап обмена `IKE_SA_INIT` и причину отсутствия ответа. 3. Проверьте параметры правил VPN-подключения на UserGate NGFW	1. Проверьте адрес VPN-сервера. Если указан FQDN, которому соответствуют несколько IP-адресов, попробуйте указать IP-адрес напрямую. Клиент подключается по первому ответившему адресу, который может не принадлежать VPN-серверу. 2. Обеспечьте прохождение UDP-трафика через порты 500 и 4500, а также протокола ESP на всем пути до VPN-сервера. 3. Если VPN-сервер перегружен, проверьте его состояние и при необходимости перераспределите нагрузку
VPN-соединение устанавливается, но затем разрывается	Событие `UG0301` сменяется событием `UG0302` через некоторое время. Возможны повторяющиеся циклы подключения и разрыва	1. Найдите в журнале UserGate Client причину разрыва: отсутствие ответа на проверку доступности узла, истечение времени ожидания или удаление соединения сервером. 2. Проверьте события сетевых адаптеров в журнале системы. 3. Учитывайте, что по умолчанию механизм DPD проверяет доступность соседнего узла каждые 15 секунд при отсутствии трафика. После 6 неудачных попыток соединение разрывается. 4. Проверьте, не совпадает ли время разрыва со сменой сетевого подключения (Wi-Fi, проводная или сотовая сеть), переходом устройства в спящий режим или обрывом канала связи	1. Для автоматического восстановления соединения при обрыве установите флажок Reconnect. 2. Обеспечьте стабильное сетевое подключение на конечном устройстве
VPN-соединение установлено, но доступ к ресурсам отсутствует	Событие `UG0301` зарегистрировано, в приложении отображается статус VPN Connected, но ресурсы корпоративной сети недоступны	1. В приложении откройте раздел Network: • ROUTING — записи локальной таблицы маршрутизации; • SOCKETS — список активных подключений. 2. Проверьте разделы Policy (состояние средств защиты) и General (статус соединения, VPN IP-адрес, количество переданных и полученных байтов). 3. На UserGate MC проверьте состояние устройства и срабатывание правил межсетевого экрана. 4. При необходимости включите уровень журналирования `Debug` и изучите журнал	1. При раздельном туннелировании добавьте необходимые маршруты в параметры VPN-подключения на сервере. В таблицу маршрутизации клиента попадают только маршруты, полученные от VPN-сервера. 2. Приведите конечное устройство в соответствие с HIP-профилем. В противном случае правило межсетевого экрана с этим HIP-профилем не активируется. 3. Если не разрешаются имена внутренних ресурсов, настройте использование внутренних DNS-серверов для VPN-подключения. 4. Проверьте правила межсетевого экрана и условия их применения

Получение конфигурации от UserGate MC

Событие UG0401 MC rules propagated регистрируется после получения и применения конфигурации от UserGate MC.

После регистрации конечное устройство запрашивает параметры конфигурации каждые 10 секунд. При изменении конфигурации на UserGate MC ее отправка выполняется автоматически.

Сценарий	Признаки	Порядок проверки	Действия
Конфигурация получена и применена	После изменения конфигурации на UserGate MC регистрируется событие `UG0401 MC rules propagated`. На конечном устройстве применяются параметры межсетевого экрана, VPN-подключений, общие параметры шаблонов, библиотеки элементов	—	Если конфигурация получена и применена, дополнительные действия не требуются
Событие отсутствует, конфигурация не применяется	Событие `UG0401` не регистрируется; изменения конфигурации на UserGate MC не применяются на конечном устройстве	1. Проверьте события `UG0201` и `UG0202` за тот же период, чтобы определить, сохранялась ли связь с UserGate MC. 2. Проверьте события `UG0101` и `UG0102`, чтобы убедиться, что служба UserGate Client работает. 3. Установите уровень журналирования `Debug` и изучите журнал UserGate Client. Найдите записи о запросе и применении конфигурации. 4. На UserGate MC проверьте состояние конечного устройства и время последней отправки конфигурации. 5. Проверьте, не блокируется ли трафик к UserGate MC межсетевым экраном или промежуточным сетевым устройством	1. Если отсутствует связь с UserGate MC, восстановите ее в соответствии со сценариями диагностики подключения к UserGate MC. 2. Если служба UserGate Client не работает, выполните диагностику по сценарию запуска и остановки службы UserGate Client. 3. После устранения неисправности проверьте, регистрируется ли событие `UG0401` и применяется ли конфигурация

Сценарий

Признаки

Порядок проверки

Действия

Конфигурация получена и применена

После изменения конфигурации на UserGate MC регистрируется событие UG0401 MC rules propagated. На конечном устройстве применяются параметры межсетевого экрана, VPN-подключений, общие параметры шаблонов, библиотеки элементов

—

Если конфигурация получена и применена, дополнительные действия не требуются

Событие отсутствует, конфигурация не применяется

Событие UG0401 не регистрируется;

изменения конфигурации на UserGate MC не применяются на конечном устройстве

1. Проверьте события UG0201 и UG0202 за тот же период, чтобы определить, сохранялась ли связь с UserGate MC.

2. Проверьте события UG0101 и UG0102, чтобы убедиться, что служба UserGate Client работает.

3. Установите уровень журналирования Debug и изучите журнал UserGate Client. Найдите записи о запросе и применении конфигурации.

4. На UserGate MC проверьте состояние конечного устройства и время последней отправки конфигурации.

5. Проверьте, не блокируется ли трафик к UserGate MC межсетевым экраном или промежуточным сетевым устройством

1. Если отсутствует связь с UserGate MC, восстановите ее в соответствии со сценариями диагностики подключения к UserGate MC.

2. Если служба UserGate Client не работает, выполните диагностику по сценарию запуска и остановки службы UserGate Client.

3. После устранения неисправности проверьте, регистрируется ли событие UG0401 и применяется ли конфигурация

Передача данных в техническую поддержку

Если после выполнения рекомендаций причина неисправности не установлена, подготовьте диагностические данные:

Код и время регистрации события в журнале приложений Windows.
Журнал диагностики UserGate Client за период возникновения проблемы.
Краткое описание действий, после которых возникла проблема, и результатов выполненных проверок.

Перед передачей данных убедитесь, что в журнале зафиксирован период возникновения проблемы. После завершения диагностики верните уровень журналирования к прежнему значению.