содержание      ..      1       2         ..

Программный продукт С-Терра КП (Версия 4.1). Руководство администратора РЛКЕ.00009-03 90 01 - часть 1

1. Продукт С-Терра КП 4.1

1.1.

Назначение продукта

«Программный продукт С-Терра КП. Версия 4.1» предназначен для централизованного удаленного

управления всей линии продуктов, производимых компанией «С-Терра СиЭсПи», а именно:

«Программного комплекса CSP VPN Server. Версия 3.1/3.11»

«Программного комплекса CSP VPN Client/S-Terra Client. Версия 3.1/3.11/4.1»

«Программного комплекса CSP VPN Gate/S-Terra Gate. Версия 3.1/3.11/4.1»,

установленных на конечных устройствах, банкоматах, платежных терминалах, СЗН (специальном

загрузочном носителе) «СПДС-USB-01» и др.

Далее продукты CSP VPN Server/CSP VPN Client/CSP VPN Gate будем именовать CSP VPN Agent, а

S-Terra Client/S-Terra Gate - S-Terra Agent.

«Программный продукт С-Терра КП. Версия 4.1» (далее Продукт С-Терра КП 4.1, С-Терра КП)

состоит из двух частей:

 Сервер управления - серверная часть продукта, устанавливается на выделенный компьютер

и предназначена для управления процессом обновления продуктов CSP VPN Agent/S-Terra

Agent и их настроек, инсталлированных на управляемых устройствах;

 Клиент управления - клиентская часть продукта, устанавливается на управляемое

устройство с инсталлированным продуктом CSP VPN Agent/S-Terra Agent и предназначена для

его управления.

Общая схема использования продукта С-Терра КП 4.1

Рисунок 1

Сервер управления устанавливается на аппаратную платформу в архитектуре Intel (x86/x86-64

совместимых) и функционирует под управлением операционных систем:

 Windows Server 2003 SP2 Edition (32-bit)

 Windows Server 2008 SP1 Edition (32-bit,64-bit)

 Windows Server 2008R2 SP1 Edition (64-bit)

 Windows Server 2012 Edition (64-bit).

5

основе построения цепочки сертификатов до CA сертификата Сервера управления. CA сертификат

Сервера управления устанавливается на каждый Клиент управления во время инсталляции

Клиента управления на устройство.

Перевыпуск рабочего сертификата Сервера управления производится по мере необходимости на

Сервере управления. Время жизни рабочего сертификата, среди прочего, зависит и от объема

подписываемых данных, то есть от количества обслуживаемых Клиентов управления и частоты

обновлений. Рекомендуемое время жизни рабочего сертификата - от 1 месяца до 1 года.

В комплект поставки продукта С-Терра КП входят каталоги и файлы:

setup.exe

setup.ini

updater_server.cab

updater_server.msi

upweb.war

version.txt

LINUXDEBIAN6

LINUXRHEL5

OTHERS

SOLARIS

WINDOWS

Если на управляемом устройстве уже инсталлирован продукт CSP VPN Server/CSP

VPN Client/S-Terra Client версии 3.1,3.11,4.1 то рекомендуется его деинсталлировать, а

затем создать заново его инсталляционный файл и файл Клиента управления, как

описано в данном документе. При невозможности выполнить деинсталляцию

(большое количество клиентов или др.причины) обращайтесь в службу поддержки по

адресу support@s-terra.com.

Если на управляемом устройстве инсталлирован продукт CSP VPN Server/CSP VPN

Client версии 3.0, то необходимо перейти на версию 3.1, 3.11, 4.1 для сохранения

полной функциональности продукта после выполнения обновления.

Для управления шлюзом безопасности CSP VPN Gate/S-Terra Gate на устройстве уже

должен быть инсталлирован продукт CSP VPN Gate/S-Terra Gate версии не ниже 3.1.

Шлюз безопасности CSP VPN Gate версии 3.11, 4.1 поставляется с инсталлированным

Клиентом управления, который следует инициализировать.

Перед использованием продуктов компании «С-Терра СиЭсПи» и СКЗИ «КриптоПро

CSP 3.6(R2)» в режиме КС1/КС2/КС3, изучите документ «Правила пользования»,

входящий в комплект поставки.

8

Схема стенда

Рисунок 2

В дальнейшем описании документа приведены примеры для стенда (Рисунок 2), в который включен

шлюз безопасности с установленным продуктом S-Terra Gate, защищающий подсеть с конечным

устройством, на котором установлен Сервер управления. Для удаленного управления устройством с

Сервера управления в стенде присутствует компьютер с IP-адресом 40.0.0.101/16. Взаимодействие

между управляемым устройством и Сервером управления осуществляется по IPsec-туннелю.

9

Рисунок 3

3. Выполняется сбор информации для Microsoft Visual C++ Redistributable Package и

подготовка к инсталляции.

Рисунок 4

4. Установка Microsoft Visual C++ Redistributable Package выполняется без вмешательства

администратора (Рисунок 5).

12

Рисунок 5

5. Далее инсталлируется продукт FileZilla Server (Рисунок 6). Примите условия

лицензионного соглашения - нажмите кнопку I Agree.

Рисунок 6

13

6. В следующем окне (Рисунок 7) предлагается выбрать компоненты для инсталляции.

Оставьте настройки по умолчанию и нажмите кнопку Next.

Рисунок 7

7. Укажите папку, в которую будет установлен продукт FileZilla Server (Рисунок 8).

Рисунок 8

14

8. В окне выбора настроек для запуска сервиса продукта FileZilla Server оставьте значения

по умолчанию и нажмите кнопку Next (Рисунок 9).

Рисунок 9

9. В окне с настройками старта консоли управления продуктом FileZilla Server оставьте

значения по умолчанию и нажмите кнопку Install (Рисунок 10), после чего запустится

процесс установки.

Рисунок 10

15

10. По завершению процесса установки FileZilla Server нажмите кнопку Close (Рисунок 11).

Рисунок 11

11. Далее устанавливается компонент PostgreSQL Server, нажмите кнопку Next> (Рисунок

12).

Рисунок 12

12. Задайте каталог установки продукта PostgreSQL Server, можно оставить по умолчанию

или указать другой (Рисунок 13).

16

Рисунок 13

13. Задайте каталог инсталляции файлов базы данных (Рисунок 14).

Рисунок 14

17

14. Далее появится окно с запросом пароля суперпользователя для работы с базой данных

(Рисунок 15). По умолчанию задан пароль 1234567890. Этот пароль не должен

изменяться администратором в процессе инсталляции, так как это не позволит

модернизировать базу данных нужным образом в процессе инсталляции. Если есть

потребность изменить этот пароль, администратор может это сделать после

завершения инсталляции, изменив пароль в самой базе данных и в конфигурационном

файле Сервера управления (чтобы Сервер управления мог взаимодействовать с базой

данной).

Рисунок 15

15. Далее появится окно с указанием порта - 5432, по которому будет происходить

обращение к базе данных (Рисунок 16). Рекомендуется оставить это значение, в

противном случае придется вносить новое значение в конфигурационный файл Сервера

управления. Нажмите кнопку Next.

Рисунок 16

18

16. В окне задания языка хранения данных (Рисунок 17) оставьте значение по умолчанию.

Рисунок 17

17. Далее начнется инсталляция PostgreSQL (Рисунок 18).

Рисунок 18

19

18. По окончании инсталляции PostgreSQL нажмите кнопку Finish (Рисунок 19).

Рисунок 19

19. Далее устанавливается Java JRE (Рисунок 20). Нажмите кнопку Install.

Рисунок 20

20

20. Инсталляция занимает некоторое время (Рисунок 21).

Рисунок 21

21. По окончании инсталляции Java JRE нажмите кнопку Close (Рисунок 22).

Рисунок 22

21

22. Устанавливается компонента Apache Tomcat Server, нажмите кнопку Next (Рисунок 23).

Рисунок 23

23. Согласитесь с лицензионным соглашением, нажав кнопку I Agree (Рисунок 24).

Рисунок 24

22

24. Выбранные компоненты для инсталляции по умолчанию можно оставить и нажать Next

(Рисунок 25).

Рисунок 25

25. Основные параметры работы продукта оставьте по умолчанию (Рисунок 26).

Рисунок 26

23

26. Укажите папку, в которую был инсталлирован Java SE, можно оставить путь по умолчанию и

нажать кнопку Next (Рисунок 27).

Рисунок 27

27. Для инсталляции бинарных кодов Apache Tomcat Server папку можно оставить по

умолчанию и нажать Install (Рисунок 28).

Рисунок 28

24

28. Начнется процесс инсталляции (Рисунок 29).

Рисунок 29

29. По окончании инсталляции нажмите кнопку Finish, предварительно отменив запуск

сервиса Apache и показа информации о продукте, если нужно (Рисунок 30).

Рисунок 30

25

30. Если запуск сервиса Apache не был отменен, то происходит его запуск (Рисунок 31).

Рисунок 31

31. Появляется окно с адресом лицензионного соглашения и ограничениями к применению.

Рисунок 32

26

32. Начинается инсталляция Сервера управления (Рисунок 33). Нажмите кнопку Next.

Рисунок 33

33. Каталог, в который устанавливается Сервер управления, можно оставить по умолчанию

и нажать Next (Рисунок 34).

Рисунок 34

27

34. После установки Сервера управления и запуска сервиса, который может быть

продолжительным порядка двух минут, так как проверяется целостность файлов

программной части, выдается окно об окончании установки, нажмите в нем кнопку Finish.

Рисунок 35

28

4. Настройка Сервера управления

4.1.

Настройка механизма идентификации и аутентификации в Сервер

управления

Для настройки механизма идентификации и аутентификации для доступа к Серверу управления

выполните следующее:

1. Запустите консоль Сервера управления - VPN UPServer Console (Пуск-Программы-S-

Terra-S-Terra KP-VPN UPServer Console).

2. В консоли выберите меню Tools и предложение User editor… (Рисунок 36).

Рисунок 36

3. Появится окно UPServer login для ввода пароля пользователя с именем «superuser».

Для этого пользователя предустановлен пустой пароль. Нажмите кнопку ОК (Рисунок

37).

Рисунок 37

4. В окне UPServer user list назначьте непустой пароль пользователю «superuser», нажав

кнопку кнопку Edit« (Рисунок 38).

Рисунок 38

29

5. В окне UPServer user введите пароль дважды и нажмите ОК (Рисунок 39).

Рисунок 39

6. Только пользователь с идентификатором «superuser» и знающий его пароль может в

дальнейшем назначать администратора, имеющего право доступа к Серверу

управления.

7. Для назначения администратора нажмите кнопку Add« (Рисунок 40).

Рисунок 40

8. Назначьте имя и пароль администратору и нажмите кнопку ОК дважды (Рисунок 41).

Рисунок 41

9. Закройте консоль Сервера управления - VPN UPServer Console.

30

10. В дальнейшем при запуске консоли Сервера управления (Пуск-Программы-S-Terra-

S-Terra KP-VPN UPServer Console) будет появляться окно UPServer login для

ввода имени и пароля администратора для доступа к Серверу управления (Рисунок 42).

Рисунок 42

11. В этом же окне назначенный администратор может изменить свой пароль, нажав кнопку

Change« (Рисунок 43).

Рисунок 43

12. После нажатия кнопки ОК при успешном вводе данных запустится консоль Сервера

управления - VPN UPServer Console (Рисунок 44).

13. После трех общих неуспешных попыток ввода идентификатора и пароля

администратора, окно консоли Сервера управления не откроется, а появится сообщение

о трех неуспешных попытках ввода данных и закрытии системы.

14. Если администратор с именем «superuser» не назначит еще одного администратора,

кроме себя, для доступа к Серверу управления, то при запуске консоли Сервера

управления окно UPServer login появляться не будет.

31

4.2. Настройка Сервера управления

Начальная настройка Сервера управления производится во вкладке Settings, а настройка и

управление клиентами - во вкладке Clients (Рисунок 44).

Рисунок 44

Меню графического интерфейса описано в главе «Описание интерфейса Сервера управления».

Начальная настройка Сервера управления производится во вкладке Settings, а настройка и

управление клиентами - во вкладке Clients.

При первом запуске приложения VPN UPServer Console выводится предупреждение о

необходимости задать настройки продукта Сервер управления (Рисунок 45).

Рисунок 45

Нажмите кнопку OK, откроется окно настроек продукта Сервер управления (Рисунок 46). Во вкладке

Settings введите данные лицензии, создайте CA-сертификат и рабочий сертификат (work certificate)

Сервера управления, а также задайте сетевые адреса Сервера управления, что далее описано

подробно по пунктам.

32

Рисунок 46

4.2.1. Ввод лицензии

Для ввода лицензии на продукт Сервер управления нажмите кнопку Set«(Рисунок 46).

В появившемся окне Set license (Рисунок 47):

в поле Product выберите тип продукта из выпадающего списка:

UPDATER10 - продукт будет работать с количеством Клиентов управления не более 10

UPDATER100 - продукт будет работать с количеством Клиентов управления не более 100

UPDATER500

- продукт будет работать с неограниченным количеством Клиентов

управления

в поле Customer code укажите название организации, которой выдана лицензия

в поле License number введите номер лицензии

в поле License code введите код лицензии.

Все эти данные можно взять с бланка лицензии, поставляемой вместе с продуктом.

Если лицензия была получена в виде файла, то нажмите кнопку Load from file« и данные для

заполнения полей будут взяты из этого файла.

33

Если лицензия на продукт не введена, то продукт будет работать с пятью Клиентами управления и

не больше.

Рисунок 47

4.2.2. Создание СА сертификата

Создать СА сертификат и рабочий сертификат Сервера управления можно с

помощью доверенного УЦ, а потом импортировать их на Сервер управления.

Существует одно ограничение: поле CN такого сертификата должно начинаться с

зарезервированной строки CN=UPServer CA certificate.

Можно выполнить создание СА сертификата прямо на Сервере управления.

1. В группе CA certificate (Рисунок 46) нажмите кнопку Create и заполните поля в окне

Create new CA certificate, например, следующими значениями (Рисунок 48):

Рисунок 48

где

Public key algorithm - алгоритм генерации открытого ключа СА сертификата и ЭЦП,

доступны два алгоритма:

RSA - длина открытого ключа - 2048 бит

GOST_341001 (ГОСТ Р

34.10-2001)

- длина открытого ключа - 512 бит, для

использования этого алгоритма на Сервере управления должен быть установлен СКЗИ

«КриптоПро CSP 3.6(R2)»

Organization - название организации

Organization Unit - название отдела в организации

34

Common Name - имя владельца сертификата, заполняется автоматически

Lifetime - срок действия сертификата в месяцах.

2. После этого нажмите кнопку Create, будет выдано Предупреждение (Рисунок 49),

нажмите ОК.

Рисунок 49

3. В процессе создания СА сертификата может быть выдано окно с запросом носителя для

размещения контейнера с секретным ключом. Выберите Реестр и нажмите ОК.

Рисунок 50

4. Если на сервере не установлен аппаратный ДСЧ, например, ПАК «Соболь» или Аккорд-

АМДЗ, (что обязательно для режима КС2 «КриптоПро CSP»), то появляется окно для

биологической инициализации ДСЧ - понажимайте клавиши или перемещайте

указатель мыши.

Рисунок 51

35

5. Введите пароль на контейнер с секретным ключом СА сертификата и подтвердите его.

Рисунок 52

6. СА сертификат создан и хранится в сертификатном хранилище операционной системы,

нажмите ОК.

Рисунок 53

Рекомендуется СА сертификат и секретный ключ к нему сохранить на другом

компьютере для предотвращения потери CA-сертификата при поломке

компьютера, на котором установлен Сервер управления.

Можно создать два СА сертификата (Рисунок 54), например, один с использованием алгоритма

RSA, а другой - алгоритма GOST для генерации открытого ключа. Если у сертификата скоро истечет

срок действия, можно заранее создать новый СА сертификат. Выбор из списка актуального для

работы сертификата осуществляется его выделением и нажатием кнопки Set default. В результате

напротив этого сертификата в столбце Active появится звездочка (*).

Рисунок 54

36

4.2.3. Создание рабочего сертификата

1. В группе Work certificate (Рисунок 46) заполните поля рабочего (локального)

сертификата Сервера управления и нажмите кнопку Create. Перед созданием будет

выдано Предупреждение (Рисунок 55):

Рисунок 55

2. Если поля заполнены верно - нажмите кнопку ОК. Возможен запрос ключевого носителя

для размещения контейнера с секретным ключом рабочего сертификата (Рисунок 56).

Рисунок 56

3. Если на сервере не установлен аппаратный ДСЧ, например, ПАК «Соболь» или Аккорд-

АМДЗ, (что обязательно для режима КС2 «КриптоПро CSP»), то появляется окно для

биологической инициализации ДСЧ - понажимайте клавиши или перемещайте

указатель мыши.

Рисунок 57

37

4. Введите пароль на контейнер с секретным ключом рабочего сертификата и подтвердите его.

Рисунок 58

5. Введите пароль на контейнер с секретным ключом соответствующего СА сертификата.

Рисунок 59

6. Серверу управления необходимо сообщить пароль на контейнер рабочего сертификата,

если он не пустой, введя в поле Key container password. Имя и пароль на контейнер

будут использованы при подписании обновлений для клиентов (Рисунок 60).

Рисунок 60

38

7. После успешного создания сертификата будет выдано подтверждение, нажмите кнопку

ОК (Рисунок 61).

Рисунок 61

После этого кнопка Create в группе Work certificate изменится на Renew (Рисунок 46).

По истечению срока действия рабочего сертификата пересоздайте его, нажав кнопку Renew.

4.2.4. Задание адресов Сервера управления

1. В группе Default server addresses (Рисунок 46) задайте список сетевых адресов

Сервера управления, которые доступны с управляемых устройств, следуя при этом

следующим правилам:

 каждый адрес должен располагаться на отдельной строке, перевод строки

осуществляется нажатием клавиши Enter или Ctrl-Enter

 сетевой адрес представляет собой IP-адрес или DNS-имя, которое будет

транслироваться в IP-адрес на устройстве в момент создания соединения с

Сервером управления

 Сервер управления должен размещаться в подсети, защищенной шлюзом

безопасности (центральным). Согласно Рисунку 2 адрес Сервера управления -

10.0.10.111.

2. После задания адресов обязательно нажмите кнопку Save, появится

предупреждение (Рисунок 62).

3. Если адреса введены верно, то нажмите кнопку ОК, при этом происходит проверка

введенных данных и только после этого во все создаваемые дистрибутивы Клиентов

управления по умолчанию будет вноситься список адресов Сервера управления.

Рисунок 62

На данном этапе категорически не рекомендуется задавать адреса, не

принадлежащие Серверу управления. Адреса, не принадлежащие Серверу

управления, могут быть указаны только при процедуре перевода клиентов на

другой Сервер управления. Инструкция по переводу клиентов на другой Сервер

управления будет выдаваться по запросу пользователя при появлении такой

потребности.

Далее перейдите во вкладку Clients и выполните настройки для центрального шлюза.

39

5. Настройка и управление центральным шлюзом

Создание и удаление учетных записей клиентов управляемых устройств, создание для них

Клиентов управления, обновлений будем выполнять во вкладке Сlients (Рисунок 63) Сервера

управления, интерфейс которой описан в разделе «Описание интерфейса Сервера управления». Во

вкладке Clients отражается информация обо всех управляемых устройствах. Шлюз безопасности,

защищающий подсеть с Сервером управления, будем называть центральным. Приведем

сценарий для настройки центрального шлюза. Будем выполнять настройку центрального шлюза для

стенда, приведенного на Рисунок 2.

Рисунок 63

5.1.

Создание учетной записи клиента для центрального шлюза

1. В меню Clients выберите предложение Create (Рисунок 64).

Рисунок 64

40

Появившееся окно Create new client (Рисунок 65) создания нового клиента имеет следующие

поля:

Client ID - уникальный идентификатор клиента, может состоять из любых символов, за

исключением следующих: <ПРЯМОЙ СЛЕШ>, <ОБРАТНЫЙ СЛЕШ>, <ДВОЕТОЧИЕ>,

<ЗВЕЗДОЧКА>,

<СИМВОЛ ВОПРОСА>,gate0<ДВОЙНЫЕ КАВЫЧКИ>,

<ЗНАК

МЕНЬШЕ>,

<ЗНАК БОЛЬШЕ>,

<ВЕРТИКАЛЬНАЯ ЧЕРТА>,

<ТАБУЛЯЦИЯ>.

Идентификатор не должен начинаться или заканчиваться символами <ПРОБЕЛ> или

<ТОЧКА>, и не должен быть равен “NUL” или “CON”, или “PRN”, или “AUX”, или “COMx”,

где x[1..9], или “LPTx”, где x[1..9]

Product package - имя инсталляционного файла S-Terra Gate 4.1/CSP VPN Gate

3.11/3.1 , созданного с помощью окна VPN data maker, вызываемого кнопкой E

Кнопка E - вызывает окно VPN data maker (Рисунок 66) для задания политики

безопасности и настроек продукта S-Terra Gate/CSP VPN Gate

Device password - пароль устройства для выполнения дополнительных действий на

нем, в данной версии поле не используется

UPAgent settings - имя файла c настройками Клиента управления, по умолчанию имя

файла уже задано (см. главу «Настройки Клиента управления»).

Рисунок 65

2. В поле Client ID введите идентификатор клиента, например, gate0.

3. Поле UPAgent settings оставьте без изменений, в нем указано имя файла с

настройками Клиента управления.

4. В поле Product package нажмите кнопку E, появится окно VPN data maker (Рисунок 66).

Рисунок 66

41

5. В окне VPN data maker выберите продукт S-Terra Gate 4.1/CSP VPN Gate 3.11/3.1 и

криптопровайдера, например, CryptoPro (Рисунок 66).

6. Далее нужно задать политику безопасности для шлюза и другие настройки. Сложную

политику можно задать во вкладке LSP (Рисунок 66) в текстовом виде или в виде cisco-

like конфигурации, или загрузить из файла, предварительно создав его. А остальные

настройки ввести в других вкладках.

Для создания несложной политики можно использовать окна мастера, нажав кнопку Run

Wizard в окне VPN data maker, появится окно для выбора метода аутентификации

шлюза при взаимодействии со своими партнерами (Рисунок 67). Интерфейс этого окна

описан в разделе «Задание политики и настроек с использованием мастера».

Рисунок 67

7. Для примера выберем аутентификацию с использованием предопределенного ключа. В

разделе Preshared keys нажмите кнопку Add (Рисунок 67).

42

8. В открывшемся окне Preshared key (Рисунок 68) введите имя ключа, например, key0, и

значение ключа, нажмите кнопку ОК.

Рисунок 68

9. Предопределенный ключ добавился в проект, нажмите кнопку Next (Рисунок 69).

Рисунок 69

43

10. В следующем окне задайте правила обработки трафика, согласно которым центральный

шлюз будет пропускать трафик от управляемых устройств к Серверу управления и

обратно. При этом трафик между управляемыми устройствами и центральным шлюзом

должен быть защищен (Рисунок 70). Для создания правила нажмите кнопку Add.

Рисунок 70

Рисунок 71

44

11. Создаваемое правило привяжите к интерфейсу шлюза с логическим именем

FastEthernet0/0, который смотрит во внешнюю сеть (Рисунок 2). В области Local IP

Addresses (Рисунок 71) укажите адрес защищаемой подсети - 10.0.0.0/16, в эту подсеть

смотрит интерфейс шлюза с именем eth1. Шлюз должен взаимодействовать с любыми

партнерами, поэтому в области Partner IP Addresses поставьте переключатель в

положение Any. В области Action - переключатель в положение Protect using IPsec, не

указывая адрес IPsec партнера (адрес может быть любым).

12. После нажатия кнопки ОК появится предупреждение (Рисунок 72). Нажмите кнопку Yes.

Рисунок 72

13. Увеличьте приоритет созданного правила (Рисунок 73), нажав кнопку Up.

Рисунок 73

Рисунок 74

45

14. Нажмите кнопку Next (Рисунок 74).

15. Введите данные лицензии на продукт S-Terra Gate/CSP VPN Gate и серийный номер

лицензии на продукт криптопровайдера (КриптоПро CSP 3.6) (Рисунок 75). Если на

шлюзе лицензия на КриптоПро CSP 3.6 уже задана и не требуется ее замена, то поле

Serial number оставьте пустым.

Рисунок 75

16. Сохраните введенные данные в окнах мастера, нажав кнопку Save«(Рисунок 75), и

укажите имя файла-проекта в любом созданном вами каталоге (Рисунок 76).

Рисунок 76

17. В окне мастера нажмите кнопку Finish (Рисунок 75). Все введенные данные будут

отражены во вкладках проекта (Рисунок 77), за исключением вкладки Interfaces.

46

Рисунок 77

47

18. Перейдите во вкладку Interfaces и задайте соответствие между логическими и физическими

именами интерфейсов шлюза безопасности. Для получения имен интерфейсов используйте:

утилиту /opt/VPNagent/bin/if_mgr show - для CSP VPN Gate 3.1, 3.11

утилиту /opt/VPNagent/bin/if_show - для S-Terra Gate 4.1.

Во вкладке Interfaces установите флажок Network interface aliases, нажмите кнопку Add и в

окне Network interface alias введите логическое и физическое имя интерфейсов (Рисунок 78).

Рисунок 78

48

Адреса сетевых интерфейсов шлюза, заданные через cisco-like консоль,

игнорируются Сервером управления. Для корректного задания адресов

рекомендуется пользоваться либо средствами операционной системы, либо вкладкой

Interfaces Сервера управления.

19. Для задания интерфейсам шлюза адресов установите флажок Network interface

description и, воспользовавшись кнопкой Add, назначьте интерфейсам с физическими

именами адреса (Рисунок 79).

Рисунок 79

49

20. Во вкладке Interfaces нажмите кнопку ОК, появится окно с настройками нового клиента

(Рисунок 80), опять нажмите кнопку ОК.

Рисунок 80

21. На Сервере управления в таблице клиентов появился новый клиент gate0. Переведите

его в активное состояние, выбрав в контекстном меню предложение Enable (Рисунок

81).

Рисунок 81

5.2.

Подготовка скриптов для Клиента управления и S-Terra Gate/CSP VPN

Gate

22. Для установки Клиента управления, дистрибутив которого размещен на шлюзе в

каталоге /packages, и обновления настроек S-Terra Gate/CSP VPN Gate следует

подготовить два скрипта. Для клиента gate0 выберите предложение Get packages в

контекстном меню (Рисунок 82).

50

Рисунок 82

23. В открывшемся окне укажите каталог для сохранения скриптов (Рисунок 83).

Рисунок 83

В указанный каталог будут сохранены два файла (Рисунок 84), (Рисунок 85):

 setup_upagent.sh - скрипт для инициализации Клиента управления

 setup_product.sh - скрипт для настройки продукта S-Terra Gate/CSP VPN Gate.

Рисунок 84

Рисунок 85

51

Рисунок 86

На шлюзе создайте каталог, например, /tmp. Скопируйте каждый скрипт в буфер,

предварительно открыв его, например, в Wordpad, так как они являются текстовыми

файлами. После открытия терминальной сессии со шлюзом задайте команду:

cat > /tmp/setup_upagent.sh

После нажатия Enter вставьте скопированный скрипт и нажмите Ctrl-D (Рисунок 87).

53

Рисунок 87

Аналогичным образом доставьте на шлюз второй скрипт setup_product.sh.

2. Измените права доступа к скриптам, выполнив локально на шлюзе команды:

[root@cspgate ~]# chmod +x /tmp/setup_upagent.sh

[root@cspgate ~]# chmod +x /tmp/setup_product.sh

3. Запустите локально скрипты на выполнение (для класса защиты КС1 и КС2):

54

cd /packages

tar xvf vpnupagent.tar

Запустите второй скрипт:

[root@cspgate ~]# /tmp/setup_product.sh

4. Для продукта S-Terra Gate/CSP VPN Gate класса защиты КС3 запустите локально

скрипты на выполнение следующим образом:

[root@cspgate ~]#/opt/UPAgent/bin/run_setup.sh /tmp/setup_upagent.sh

[root@cspgate ~]#/opt/UPAgent/bin/run_setup.sh /tmp/setup_product.sh

5. При успешном выполнении скриптов установится соединение с Сервером управления

для проверки возможности скачивания обновлений. Состояние клиента сначала

изменится с waiting на updating.

Рисунок 88

6. А затем с updating на active. В состоянии active клиент готов для получения новых

обновлений.

Рисунок 89

56

6. Настройка и управление устройством с S-Terra Client/CSP VPN

Client/CSP VPN Server

6.1.

Создание учетной записи клиента на Сервере управления

Во вкладке Clients создадим группу, в ней учетную запись клиента для управляемого устройства, на

котором установлен или будет установлен продукт S-Terra Client/CSP VPN Client/CSP VPN Server.

Рисунок 90

1. Для создания группы выделите группу All clients, а в меню Groups выберите

предложение Create (Рисунок 91).

Рисунок 91

В поле Group name введите имя группы, например, Office1, в которой будут созданы в

дальнейшем клиенты (Рисунок 92), и нажмите ОК.

Рисунок 92

57

2. В меню Clients выберите предложение Create (Рисунок 93).

Рисунок 93

3. В окне создания нового клиента Create new client введите идентификатор клиента,

например, client01, а в поле Product package нажмите кнопку E (Рисунок 94).

Рисунок 94

4. В окне VPN data maker (Рисунок 95) задайте политику безопасности и все настройки

продукта, например, S-Terra Client 4.1, выбрав его в поле VPN product, а в поле Crypto

provider - CryptoPro. Политику и настройки можно ввести во вкладки или загрузить из

файла, а можно воспользоваться окнами мастера, нажав кнопку Run Wizard«

Рисунок 95

58

5. Выберите метод аутентификации такой же как и у партнера - шлюза S-Terra Gate,

введите такое же значение ключа (Рисунок 96), нажмите кнопку Next.

Рисунок 96

6. В следующем окне задайте правило для создания соединения между устройством с

установленным продуктом S-Terra Client и Сервером управления, при этом соединение с

центральным шлюзом должно быть защищенным, для этого нажмите кнопку Add

(Рисунок 97).

59

содержание      ..      1       2         ..

///////////////////////////////////////