UserGate NGFW позволяет создавать каскадную иерархию прокси-серверов. В этой иерархии межсетевой экран выступает в роли явного прокси-сервера и перенаправляет входящий веб-трафик на другой (вышестоящий) прокси-сервер, создавая тем самым цепочку прокси-серверов.

С помощью каскадной иерархии вы можете управлять доступом пользователей к веб-ресурсам. Например, используя вышестоящий прокси-сервер, можно обойти региональные ограничения или получить доступ к веб-ресурсам, обращение к которым возможно только через определенные сети.

Также вы можете использовать вышестоящий прокси-сервер для получения лицензий и обновлений продукта. Это может понадобиться, например, если UserGate NGFW установлен в изолированной сети (без доступа в интернет).

Опционально на вышестоящем прокси-сервере вы можете настроить аутентификацию по логину и паролю. Кроме того, начиная с версии 7.4.0 и выше вы можете управлять доступом к отдельным веб-ресурсам с помощью правил вышестоящих прокси-серверов.

Использование вышестоящего прокси-сервера

Для перенаправления трафика. Входящий веб-трафик, отфильтрованный правилами UserGate NGFW, перенаправляется на вышестоящий прокси-сервер. В этом случае вышестоящим может быть прокси-сервер HTTP, HTTPS или SOCKS5. Процесс перенаправления трафика представлен на рисунке ниже.

При запросе клиентом внешнего ресурса устанавливаются две TCP-сессии: первая — между клиентом и UserGate NGFW, вторая — между UserGate NGFW и вышестоящим прокси-сервером. Адрес назначения трафика — это IP-адрес вышестоящего прокси-сервера, для межсетевого экрана трафик является транзитным. Если ранее на UserGate NGFW было настроено запрещающее правило по IP-адресам назначения, то оно не будет срабатывать.

Для получения лицензий и обновлений продукта. Вы можете настроить получение лицензий и обновлений продукта через вышестоящий прокси-сервер. В этом случае вышестоящим может быть прокси-сервер HTTP или HTTPS. Процесс получения лицензий и обновлений представлен на рисунке ниже.

При активации лицензии или установке обновлений UserGate NGFW обращается к серверу лицензирования или серверу обновления UserGate не напрямую, а через вышестоящий прокси-сервер. Для каждого обращения в журнале событий межсетевого экрана отображается IP-адрес и порт вышестоящего прокси-сервера, например proxy: https://192.0.2.1:1080.

Настройка прокси-сервера для перенаправления трафика

ПримечаниеВы можете настраивать вышестоящий прокси-сервер для перенаправления трафика как в веб-интерфейсе, так и в интерфейсе командной строки UserGate NGFW. Ниже приведены инструкции для веб-интерфейса продукта.

Чтобы настроить вышестоящий прокси-сервер для перенаправления трафика, необходимо:

Подключить прокси-сервер к UserGate NGFW.
Создать профиль вышестоящего прокси-сервера. С помощью профилей вы можете выбирать прокси-серверы, которые будут использоваться в качестве вышестоящего прокси-сервера, а также изменять параметры проверки их состояния. Это обеспечивает отказоустойчивое подключение вышестоящего прокси-сервера к UserGate NGFW.
Создать правило вышестоящего прокси-сервера. С помощью правил вы можете управлять доступом к выбранным веб-ресурсам. В качестве условий срабатывания правила можно выбрать зоны и адреса источника, пользователей и их группы, URL-категории и URL-списки.

ПримечаниеЕсли в UserGate NGFW версий 7.1–7.3.2 был настроен вышестоящий прокси-сервер, то при обновлении продукта до версии 7.4.0 и выше автоматически будут добавлены один прокси-сервер, один профиль, одно правило.

Чтобы подключить прокси-сервер к UserGate NGFW:

1. В разделе Настройки ➜ Вышестоящие прокси ➜ Серверы нажмите Добавить.

2. Укажите параметры подключения прокси-сервера.

ПримечаниеЕсли в качестве прокси-сервера вы подключаете UserGate NGFW, то вы можете выбрать только режим HTTP(S).

3. Нажмите Сохранить.

Подключенный прокси-сервер отобразится в списке серверов раздела. Напротив прокси-сервера отображается статус его подключения к UserGate NGFW. Доступные серверы помечаются значком зеленого цвета. Проверка подключения прокси-сервера выполняется автоматически каждые 30 секунд.

Чтобы создать профиль вышестоящего прокси-сервера:

1. В разделе Настройки ➜ Вышестоящие прокси ➜ Профили нажмите Добавить.

2. На вкладке Общие укажите название и описание профиля.

3. На вкладке Серверы вышестоящего прокси выберите прокси-серверы.

ПримечаниеЕсли выбрано несколько прокси-серверов, то в качестве вышестоящего прокси-сервера будет использоваться первый доступный сервер из списка.

4. На вкладке Проверка состояния укажите параметры проверки состояния вышестоящего прокси-сервера:

адрес веб-ресурса, к которому будет подключаться вышестоящий прокси-сервер;
метод HTTP-запроса, посредством которого выполняется подключение к веб-ресурсу;
интервал проверки;
время ожидания ответа.

5. Нажмите Сохранить.

Созданный профиль отобразится в списке профилей раздела.

Чтобы создать правило вышестоящего прокси-сервера:

1. В разделе Настройки ➜ Вышестоящие прокси ➜ Правила нажмите Добавить.

2. На вкладке Общие укажите параметры правила:

состояние;
название и описание;
действие при срабатывании правила: Напрямую — трафик будет направлен через шлюз по умолчанию, Через прокси — трафик будет направлен через вышестоящий прокси-сервер;
журналирование срабатываний правила;
местоположение в списке правил.

При выборе действия Через прокси укажите дополнительные параметры правила:

профиль вышестоящего прокси-сервера;
действие в случае, если недоступны прокси-серверы, указанные в профиле.

3. На вкладках Источник, Пользователи, Категории URL и URL укажите объекты, для которых будет срабатывать правило.

Вы можете выбирать объекты из списков или создавать новые по кнопке Создать и добавить новый объект. При установке флажка Инвертировать (соответствует логическому отрицанию) указанные объекты будут исключены из условий срабатывания правила.

4. На вкладке Время укажите расписание работы правила.

Вы можете выбирать календари из списка или создавать новые по кнопке Создать и добавить новый объект.

5. Нажмите Сохранить.

Созданное правило отобразится в списке правил раздела. Правила применяются поочередно в том порядке, в котором они указаны в списке. Срабатывает первое правило среди тех, в которых совпали все указанные условия. Для изменения порядка применения правил используйте кнопки Выше, Ниже, Наверх, Вниз или перетащите правила курсором.

Настройка прокси-сервера для получения лицензий и обновлений

Чтобы настроить получение лицензий и обновлений продукта через вышестоящий прокси-сервер:

1. В разделе Дашборды в виджете Лицензия нажмите Нет лицензии (при активации лицензии) или Зарегистрированная версия (при обновлении лицензии).

2. В окне активации продукта установите флажок Использовать прокси-сервер для активации и апдейтов и укажите параметры вышестоящего прокси-сервера.

3. Выполните активацию или обновление лицензии.