Для централизованного управления конечными устройствами UserGate в управляемой области необходимо создать шаблоны и группы шаблонов, описывающие настройки конечных устройств, затем добавить управляемые конечные устройства и применить к ним созданные ранее шаблоны.
В интерфейсе CLI создание шаблонов, групп шаблонов и добавление управляемых конечных устройств происходит на уровне endpoint.
Шаблоны устройств
Для создания шаблона конечных устройств используется команда:
После создания шаблона конечных устройств можно начать производить настройку его параметров. Для этого необходимо перейти в режим настройки параметров шаблона управляемых устройств следующей командой:
realmadmin/realm@nodename# go endpoint-template <template-name>
При настройке параметров шаблона следует придерживаться следующих правил:
1. Если значение настройки не определено в шаблоне, то ничего передаваться в управляемое устройство не будет. В данном случае будет использована настройка по умолчанию.
2. Библиотеки, например, такие как IP-адреса, списки URL, списки типов контента MIME, приложения и другие, по умолчанию не содержат никакого контента в UGMC. Для использования библиотек в политиках фильтрации, необходимо предварительно добавить элементы в эти библиотеки.
3. Рекомендуется создавать отдельные шаблоны для разных групп настроек, это позволит избежать конфликтов настроек при объединении шаблонов в группы шаблонов и упростит понимание результирующей настройки, которая будет применена к управляемому устройству.
При создании шаблона администратор может использовать следующие разделы — Общие настройки, Настройки VPN, Библиотеки.
Общие настройки
В этом разделе устанавливаются параметры общих настроек управляемого устройства. Для настройки параметров используется следующая команда:
realmadmin/realm@nodename# set settings general <parameters>
Параметры для настройки:
Параметр
Описание
installation-settings
Настройки инсталляции ПО UserGate Client:
collect-ep-data: сбор информации о конечном устройстве (IP-адрес, время последнего подключения к UGMC, пользователь, имя компьютера, версия ОС, версия ПО UserGate Client, загрузка CPU и памяти, запущенные процессы, сервисы и т.д.).
Значение по умолчанию: enabled.
Если отключить данную функцию, то UGMC будет получать информацию только об IP-адресе, имени конечного устройства, версии ПО UserGate Client и ОС Windows, текущем времени и времени загрузки устройства, загрузке CPU и памяти.
Важно! Отключение сбора информации о конечном устройстве влияет на работу профилей HIP.
network-access: настройка сетевого доступа при остановленном ПО UserGate Client.
Значение по умолчанию: enabled.
firewall-access: разрешение пользователю самостоятельно, используя графический интерфейс, отключать контентную фильтрацию на конечном устройстве:
off — не разрешать самостоятельно отключать контентную фильтрацию.
on — разрешить самостоятельно отключать контентную фильтрацию.
by code — разрешить самостоятельно отключать контентную фильтрацию с использованием кода. Для разрешения пользователю самостоятельно отключать контентную фильтрацию необходимо указать/сгенерировать код, который клиент должен ввести на конечном устройстве; также можно указать срок действия кода (code-expiration-date).
При разрешении пользователю отключать фильтрацию самостоятельно можно указать количество разрешённых отключений (number-of-shutdowns) и/или время, на которое фильтрация будет отключена (duration).
Значение по умолчанию: on (отключение фильтрации на 10 минут без использования кода).
Важно! В случае использования счётчика количества отключений: если внести изменения в настройки разрешения отключения межсетевого экрана, то счётчик на конечном устройстве обнулится.
uninstall-access: возможность удаления ПО UserGate Client. При использовании опции uninstall-code (Разрешить с использованием кода) необходимо указать/сгенерировать код, который необходимо ввести клиенту при удалении ПО.
Значение по умолчанию: enabled.
Важно! Настройки не будут применены, если не включена синхронизация (параметр sync on). Иначе будут использованы значения по умолчанию.
notification
Настройка оповещений:
show-icons: отображение иконки UserGate Client в области уведомлений на панели задач.
notification-tooltips: включение/отключение отправки оповещений на конечное устройство.
Если оповещения отключены, то уведомления не будут отображаться на конечном устройстве вне зависимости от настроек отдельных уведомлений (о добавлении/удалении устройства из карантина, блокировке ресурса).
add-to-quarantine-message: отправка уведомлений о блокировке устройства. Для настройки уведомления необходимо указать текст сообщения и тип. Уведомление будет отображено в виде всплывающего окна.
remove-from-quarantine-message: отправка уведомлений о разблокировке устройства. Для настройки уведомления необходимо указать текст сообщения и тип. Уведомление будет отображено в виде всплывающего окна.
resource-blocked-message: отправка уведомления при блокировке перехода по адресу электронного ресурса. Для настройки уведомления необходимо указать текст сообщения и тип. Уведомление будет отображено в виде всплывающего окна.
Важно! Настройки не будут применены, если не включена синхронизация (араметр sync on). Иначе будут использованы значения по умолчанию.
logan-device
Установка для конечного устройства сервера LogAn, на которое устройство будет отсылать информацию о событиях. Сервер LogAn должен быть предварительно зарегистрирован в UGMC.
Важно! Настройки не будут применены, если не включена синхронизация (араметр sync on). Иначе будут использованы значения по умолчанию.
Настройка VPN
Данный раздел позволяет настроить профили безопасности VPN, которые определяют такие настройки, как общий ключ шифрования (Pre-shared key), протокол соединения и алгоритмы для шифрования и аутентификации. Настройки VPN передаются на управляемое устройство UserGate Client; пользователь сможет выбрать необходимый VPN-сервер для подключения в начальном окне графического интерфейса.
ПримечаниеНастройка VPN-соединений возможна только для конечных устройств с версией ОС Windows 10 и выше. После разрыва соединения попытки подключения будут производиться в течение 40 секунд. Если за это время соединение не будет установлено, то у пользователя отобразится окно для выбора VPN-сервера.
Для настройки параметров используется следующая команда:
Для настройки профиля VPN-сервера необходимо указать:
Параметр
Описание
enabled
Включение/отключение правила.
name
Название профиля безопасности для подключения к серверу VPN.
descriptipon
Описание профиля.
vpn-address
Имя хоста (FQDN) или IP-адрес VPN-сервера.
Важно! Необходимо учитывать, что при указании адреса VPN-сервера в виде FQDN перебор IP-адресов не предусмотрен. В случае, если DNS-сервер вернет несколько адресов, будет выполнена попытка подключения к первому адресу в списке.
protocol
VPN-протоколы для создания туннеля:
ipsec2. Для создания туннелей используется протокол Layer 2 Tunnelling Protocol (L2TP), а для защиты передаваемых данных — протокол IPsec.
ikev2-with-certificate. Для создания защищенного канала будет использоваться протокол IKEv2, а для взаимной проверки подлинности сервера и клиента — сертификаты.
Важно! При генерации клиентского сертификата обязательно должно быть указано поле CN — идентификатор пользователя, которому этот сертификат предназначается.
ikev2. Для создания защищенного канала будет использоваться протокол IKEv2, а для проверки клиента — логин и пароль (EAP-MSCHAP v2). Данный метод доступен только для пользователей доменного RADIUS-сервера.
ike-mode
Режим IKE (указать при выборе опции протоколаIPsec L2TP): main, aggressive.
Разница между режимами: в агрессивном режиме используется меньшее количество пакетов, что позволяет достичь более быстрого установления соединения. Агрессивный режим не передает некоторые параметры согласования, что требует предварительной идентичной настройки их на точках подключения.
psk
Cтрока, которая должна совпадать на сервере и клиенте для успешного подключения. Указывается для протокола IPsec L2TP.
Фаза 1
Во время первой фазы происходит согласование защиты IKE. Аутентификация происходит на основе общего ключа в режиме, выбранном ранее. Необходимо указать следующие параметры:
phase1-key-lifetime – по истечению данного времени происходят повторные аутентификация и согласование настроек первой фазы.
dpd-interval – для проверки состояния и доступности соседних устройств используется механизм Dead Peer Detection (DPD). DPD периодически отправляет сообщения R-U-THERE для проверки доступности IPsec-соседа. Минимальный интервал проверки: 10 секунд; значение 0 отключает проверку.
dpd-max-failures – максимальное количество запросов обнаружения недоступных IPsec-соседей, которое необходимо отправить до того, как IPsec-сосед будет признан недоступным.
dh-groups – выбор группы Диффи-Хеллмана, которая будет использоваться для обмена ключами. Сам ключ не передаётся, а передаются общие сведения, необходимые алгоритму определения ключа DH для создания общего секретного ключа. Чем больше номер группы Диффи-Хеллмана, тем больше бит используется для обеспечения надёжности ключа.
phase1-security – алгоритмы аутентификации и шифрования используются в порядке, в котором они отображены. Для изменения порядка перетащите необходимую пару вверх/вниз или используйте кнопки Выше/Ниже.
Фаза 2
Во второй фазе осуществляется выбор способа защиты IPsec подключения. Необходимо указать:
phase2-key-lifetime. По истечению данного времени узлы должны сменить ключ шифрования. Время жизни, заданное во второй фазе, меньше, чем у первой фазы, т.к. ключ необходимо менять чаще.
key-lifesize-enabled, key-lifesize. Время жизни ключа может быть задано в байтах. Если заданы оба значения (key-lifetime и key-lifesize), то счётчик, первый достигнувший лимита, запустит пересоздание ключей сессии.
phase2-security – алгоритмы аутентификации и шифрования.
Библиотеки элементов
Данный раздел содержит в себе адреса-сайтов, IP-адреса, приложения и прочие элементы, которые используются при настройке правил управляемых устройств UGC.
Настройка библиотек в шаблонах конечных устройств происходит на уровне libraries.
Раздел Cервисы содержит список общеизвестных сервисов, основанных на протоколе TCP/IP, например, таких, как HTTP, HTTPS, FTP и другие. Данные сервисы могут быть использованы при построении правил управляемых устройств UGC. Первоначальный список сервисов поставляются вместе с продуктом. Администратор может добавлять необходимые ему элементы в процессе работы.
Для создания списков сервисов используется команда:
updatable — если cписок является обновляемым, то необходимо указать адрес, с которого загружаются обновления (url). Периодичность обновления списка указывается параметром shedule в формате crontab.
Crontab-формат: (минуты: 0-59) (часы: 0-23) (дни месяца: 1-31) (месяц: 1-12) (день недели: 0-6; 0 — вс). Каждое из поле может быть задано следующим образом:
Звездочка (*) — обозначает весь диапазон (от первого до последнего).
Дефис (-) — обозначает диапазон чисел. Например, "5-7" будет означать 5,6 и 7.
Списки. Это числа (или диапазоны), разделенные запятыми. Например, "1,5,10,11" или "1-11,19-23".
Звездочка или диапазон с шагом. Используется для пропусков в диапазонах. Шаг указывается после косой черты. Например, "2-10/2" будет значить "2,4,6,8,10", а выражение "*/2" в поле "часы" будет означать "каждые два часа".
lists
Выбор существующих IP-листов для добавления в создаваемый лист.
ips
IP-адреса или диапазон IP-адресов, которые необходимо включить в список. Указывается в формате: <ip>, <ip/mask> или <ip_range_start-ip_range_end>.
Для редактирования списка (список параметров, доступных для обновления, аналогичен списку параметров команды создания списка):
realmadmin/realm@nodename# set libraries ip-list <ip-list-name> <parameter>
Чтобы добавить в список новые адреса:
realmadmin/realm@nodename# set libraries ip-list <ip-list-name> [ <ip1> <ip2> ... ]
Следующие команды используются для удаления всего списка адресов или IP-адресов, содержащихся в нём:
Команда отображения информации о всех имеющихся списках:
realmadmin/realm@nodename# show libraries ip-list
Чтобы отобразить информацию об определённом списке, необходимо указать название интересующего списка IP-адресов:
realmadmin/realm@nodename# show libraries ip-list <ip-list-name>
Также доступен просмотр содержимого списка IP-адресов:
realmadmin/realm@nodename# show libraries ip-list <ip-list-name> items
Группы приложений
Элемент библиотеки Группы приложений позволяет создать группы приложений для более удобного использования в правилах фильтрации сетевого трафика.
ПО UserGate Client определяет приложение по его контрольной сумме, что дает администратору возможность очень точно и выборочно управлять доступом в сеть для определенных приложений, например, разрешать доступ в сеть только для определенной версии приложения, блокируя при это все остальные версии данного приложения.
Для добавления новой группы приложений используется команда:
updatable — если cписок является обновляемым, то необходимо указать адрес, с которого загружаются обновления (url). Периодичность обновления списка указывается параметром shedule в формате crontab.
Crontab-формат: (минуты: 0-59) (часы: 0-23) (дни месяца: 1-31) (месяц: 1-12) (день недели: 0-6; 0 — вс). Каждое из поле может быть задано следующим образом:
Звездочка (*) — обозначает весь диапазон (от первого до последнего).
Дефис (-) — обозначает диапазон чисел. Например, "5-7" будет означать 5,6 и 7.
Списки. Это числа (или диапазоны), разделенные запятыми. Например, "1,5,10,11" или "1-11,19-23".
Звездочка или диапазон с шагом. Используется для пропусков в диапазонах. Шаг указывается после косой черты. Например, "2-10/2" будет значить "2,4,6,8,10", а выражение "*/2" в поле "часы" будет означать "каждые два часа".
apps
Указание названия (name) и контрольной суммы (hash) приложения. Контрольная сумма исполняемого файла Windows должна быть определена по алгоритму SHA1, например, с помощью утилиты fciv.
Для редактирования группы приложений используется команда:
realmadmin/realm@nodename# set libraries application-groups <group-name> <parameter>
Чтобы добавить в список новые приложения:
realmadmin/realm@nodename# set libraries application-groups <group-name> apps new name <app-name> hash <app-hash>
Следующие команды используются для удаления всего списка адресов или IP-адресов, содержащихся в нём:
Команда отображения информации о всех имеющихся списках:
realmadmin/realm@nodename# show libraries application-groups
Чтобы отобразить информацию об определённом списке, необходимо указать название интересующего списка IP-адресов:
realmadmin/realm@nodename# show libraries application-groups <group-name>
Также доступен просмотр содержимого списка IP-адресов:
realmadmin/realm@nodename# show libraries application-groups <group-name> apps
Списки URL
Раздел предназначен для задания списков указателей URL, которые могут быть использованы в правилах контентной фильтрации в качестве черных и белых списков.
Настройка списков URL производится на уровне libraries url-list.
Для добавления нового списка URL предназначена следующая команда:
updatable — если cписок является обновляемым, то необходимо указать адрес, с которого загружаются обновления (url). Периодичность обновления списка указывается параметром shedule в формате crontab.
Crontab-формат: (минуты: 0-59) (часы: 0-23) (дни месяца: 1-31) (месяц: 1-12) (день недели: 0-6; 0 –вс). Каждое из поле может быть задано следующим образом:
Звездочка (*) — обозначает весь диапазон (от первого до последнего).
Дефис (-) — обозначает диапазон чисел. Например, "5-7" будет означать 5,6 и 7.
Списки. Это числа (или диапазоны), разделенные запятыми. Например, "1,5,10,11" или "1-11,19-23".
Звездочка или диапазон с шагом. Используется для пропусков в диапазонах. Шаг указывается после косой черты. Например, "2-10/2" будет значить "2,4,6,8,10", а выражение "*/2" в поле "часы" будет означать "каждые два часа".
urls
URL, которые необходимо добавить в список.
case-sensitivity
Чувствительность к регистру в написании адреса URL:
sensitive — чувствительно к регистру букв в адресе.
insensitive — нечувствительно к регистру букв в адресе.
domain — список адресов доменов.
Для редактирования списка URL используется команда:
realmadmin/realm@nodename# set libraries url-list <url-list-name> <parameters>
Параметры, значения которых можно обновить, представлены в таблицы выше.
Далее представлены команды, с использованием которых доступно удаление всего списка URL или отдельных адресов URL:
Для просмотра информации о всех списках URL, об определённом списке URL или об адресах, входящих в определённый список, используются команды:
realmadmin/realm@nodename# show libraries url-list <url-list-name>
realmadmin/realm@nodename# show libraries url-list <url-list-name> urls
Категории URL
Элемент библиотеки Категории URL позволяет создать группы категорий UserGate URL filtering для более удобного использования в правилах фильтрации контента. Например, администратор может создать группу категорий «Бизнес категории» и поместить в нее необходимые категории.
Раздел находится на уровне libraries url-categories.
Для создания группы категорий URL используется следующая команда:
updatable — если cписок является обновляемым, то необходимо указать адрес, с которого загружаются обновления (url). Периодичность обновления списка указывается параметром shedule в формате crontab.
Crontab-формат: (минуты: 0-59) (часы: 0-23) (дни месяца: 1-31) (месяц: 1-12) (день недели: 0-6; 0 — вс). Каждое из поле может быть задано следующим образом:
Звездочка (*) — обозначает весь диапазон (от первого до последнего).
Дефис (-) — обозначает диапазон чисел. Например, "5-7" будет означать 5,6 и 7.
Списки. Это числа (или диапазоны), разделенные запятыми. Например, "1,5,10,11" или "1-11,19-23".
Звездочка или диапазон с шагом. Используется для пропусков в диапазонах. Шаг указывается после косой черты. Например, "2-10/2" будет значить "2,4,6,8,10", а выражение "*/2" в поле "часы" будет означать "каждые два часа".
Следующие команды используются для отображения информации о списках типов контента:
realmadmin/realm@nodename# show libraries content-types
realmadmin/realm@nodename# show libraries content-types <content-types-list-name>
Для отображения типов контента, содержащихся в списке, используется команда:
realmadmin/realm@nodename# show libraries content-types <content-types-list-name> mime
Календари
Календари позволяют создать временные интервалы, которые затем можно использовать в правилах. Администратор может добавлять необходимые ему элементы в процессе работы.
Данный раздел находится на уровне libraries time-sets.
Для создания группы используется следующая команда:
realmadmin/realm@nodename# show libraries time-sets
Для отображения информации об определённом календаре:
realmadmin/realm@nodename# show libraries time-sets <time-sets-name>
Для отображения информации об элементах группы с одинаковым типом повторения:
realmadmin/realm@nodename# show libraries time-sets <time-sets-name> <time-set-type>
Группы шаблонов
Группы шаблонов объединяют несколько шаблонов в единую конфигурацию, которая применяется к управляемому устройству. Результирующие настройки, применяемые к устройству, формируются в результате слияния всех настроек шаблонов, входящих в группу шаблонов, с учетом расположения шаблонов внутри группы.
Для создания группы шаблонов конечных устройств используется команда:
realmadmin/realm@nodename# create endpoint groups name <group-name> description <group description> templates [ teplate1-name template2-name ... ]
Для редактирования группы шаблонов конечных устройств используется команда:
realmadmin/realm@nodename# set endpoint groups name <group-name> <description, templates>
Для просмотра созданных ранее групп шаблонов конечных устройств используется команда:
realmadmin/realm@nodename# show endpoint groups <group-name>
Для удаления созданных ранее групп шаблонов конечных устройств используется команда:
realmadmin/realm@nodename# delete endpoint groups <group-name>
В созданной ранее группе шаблонов возможно удаление входящих в нее шаблонов:
Добавление конечных устройств UGC под управление UGMC
Для управления устройствами они должны быть добавлены в UGMC. Добавление конечных устройств UGC возможно двумя способами:
1. Добавление конечных устройств UGC по одному устройству. Данный вариант подходит для компаний с небольшим количеством управляемых устройств UGC.
2. Массовое добавление устройств. Вариант для компаний с большим количеством устройств.
Добавление по одному устройству
1. На UGMC необходимо разрешить сервис Контроль конечных устройств в свойствах контроля доступа зоны, к интерфейсу которой подключаются управляемое устройство.
2. Необходимо создать запись для конечного устройства UGC в UGMC.
3. Получить уникальный код созданного устройства.
4. Установить ПО UGC на конкретное устройство (компьютер) пользователя.
Для разрешения сервиса Контроль конечных устройств в свойствах контроля доступа зоны, к интерфейсу которой подключаются управляемое устройство, необходимо в режиме администратора UGMC выполнить следующую команду:
Admin/system@nodename# set network zone <zone-nfme> enabled-services [ "Device net" ]
Для создания записи для конечного устройства UGC используется команда:
Лицензирование конечного устройства: on/off. Если on, то он использует одну лицензию.
В случае отсутствия лицензии конечное устройство не сможет подключиться к UGMC.
Если параметр будет поставлен в off после регистрации устройства на UGMC, то:
правила межсетевого экрана, полученные от МС ранее, продолжают работать;
подключение по VPN с настройками, полученными ранее от МС доступно;
новые настройки конечное устройство от MC не получает.
name
Название для управляемого устройства UGC. Можно вводить произвольное название.
description
Описание управляемого устройства UGC.
templates-group
Группа шаблонов, настройки которой следует применить к этому управляемому устройству UGC. Настройки (политики) применятся после синхронизации с UGMC.
sync-mode
Режим синхронизации: отключено (disabled), автоматическая (auto) или ручная (manual) синхронизация.
Для получения уникального кода созданного устройства (device-code) используется команда:
realmadmin/realm@nodename# show endpoint devices <device-name>
name : <device-name>
enabled : on
device-code : g8wkh31z
templates-group : <group-name>
sync-mode : auto
1. На UGMC необходимо разрешить сервис Контроль конечных устройств в свойствах контроля доступа зоны, к интерфейсу которой подключаются управляемое устройство.
2. Создать код для группы конечных устройств.
3. Получить уникальный код для группы устройств.
4. Установить ПО UGC на конкретное устройство (компьютер) пользователя.
Для разрешения сервиса Контроль конечных устройств в свойствах контроля доступа зоны, к интерфейсу которой подключаются управляемое устройство, необходимо в режиме администратора UGMC выполнить следующую команду:
Admin/system@nodename# set network zone <zone-nfme> enabled-services [ "Device net" ]
Для создания кода для группы конечных устройств используется команда:
Объекты HIP позволяют настроить критерии соответствия для конечных устройств и могут быть использованы в качестве одного из условий при настройке политик безопасности.
Проверка процессов, запущенных на конечном устройстве.
running-services
Проверка служб, запущенных на конечном устройстве.
registry-keys
Ключ реестра Microsoft Windows — каталог, в котором хранятся настройки и параметры операционной системы.
Поддерживаются следующие типы параметров реестра:
REG_SZ: строка Unicode или ANSI с нулевым символом в конце.
REG_BINARY: двоичные данные в любой форме.
REG_DWORD: 32-разрядное число.
Доступна проверка ключей следующих разделов реестра:
HKEY_LOCAL_MACHINE
HKEY_USERS
Важно! Путь указывается с использованием обратного слэша (\), например, \HKEY_LOCAL_MACHINE, после которых через (\) указывается полный путь к параметру.
Проверка наличия указанного обновления на конечном устройстве. Необходимо указать номер статьи базы знаний Microsoft (KB), например, KB5013624.
HIP-профили
HIP-профили представляют собой набор объектов HIP и предназначены для проверки соответствия конечного устройства требованиям безопасности (комплаенса). С использованием профилей HIP можно настроить гибкие политики доступа к зоне сети или приложению.
