Инициализация исполнений «С-Терра Шлюз DP ST» при первом старте

Инициализация исполнений «С-Терра Шлюз DP ST» при первом старте

При старте ПАК после загрузки ОС и процедуры аутентификации появляется предупреждение о необходимости инициализировать ПК:

**********************************************************************************************
"System is not initialized. Please run “initialize” command to start initialization procedure".

********************************************************************************************

При проведении процедуры инициализации в качестве ДСЧ может использоваться «Криптон USB ДСЧ». Для работоспособности «Криптон USB ДСЧ» дополнительных настроек выполнять не требуется, достаточно его подключения в USB-разъем АП перед началом инициализации.

Ниже пошагово описаны действия, которые необходимо выполнить для инициализации исполнений «С-Терра Шлюз DP ST».

Шаг 1: Выполните команду initialize для старта процедуры начальной инициализации ПК.

administrator@sterragate] initialize

Процедура инициализации может быть прервана нажатием комбинации клавиш Ctrl+C.

При возникновении ошибки процесс инициализации прерывается и на экран выдается сообщение об ошибке.

Шаг 2: Инициализируется ДСЧ.

Для исполнений класса защиты КС1 проводится «биологическая» инициализация начального значения ДСЧ (нужно нажимать предлагаемые клавиши).

При использовании «Криптон USB ДСЧ» инициализация начального значения ДСЧ выполняется без участия пользователя, необходимо лишь подтвердить использование данного ДСЧ:

Crypton USB RNG device detected. Do you want to use it to initialize RNG? [Yes] Yes

Затем появится сообщение об успешной настройке «Криптон USB ДСЧ»:

INFO: Crypton USB RNG device was added successfully

• Для исполнений класса защиты КС2 и КС3 инициализация начального значения ДСЧ выполняется без участия пользователя. (Если АПМДЗ функциональность ДСЧ не поддерживает, то для инициализации ДСЧ может применяться внешняя гамма. Использование внешней гаммы описано в документе "Настройка шлюза" в соответствующем разделе).

После успешной инициализации ДСЧ выводится сообщение:

Successfully ininialized RND.

Шаг 3: Далее запрашивается лицензионная информация на ПК «С-Терра Шлюз ST» (эти данные можно взять из «Лицензии на использование программного Продукта компании ООО «С-Терра СиЭсПи», входящей в комплект поставки):

You have to enter license for S-Terra Gate DP

Предлагаются следующие пункты для ввода:

Available product codes:

GATEDP

MVPN

Enter product code: – введите код продукта – GATEDP.

Enter customer code: – введите код конечного пользователя

Enter license number: – введите номер лицензии

Enter license code: – введите код лицензии.

Шаг 4: Следует вопрос о корректности введенных данных:"Is the above data correct?". После получения подтверждения инициализация продолжается без дополнительных вопросов. Если подтверждение не получено, то предлагается ввести Лицензию еще раз.

Шаг 5: Далее будет сгенерирован новый ключ для подключения по SSH.

ssh-keygen: generating new host keys: RSA ECDSA ED99999

INFO: SSH server was successfully enabled and started

Шаг 6: После появляется предложение о включении переадресации IPv6-пакетов:

Would you like to enable IPv6 forwarding? [No] Yes

INFO: IP forwarding status:

INFO: IPv4: enabled

INFO: IPv6: enabled

Включенный IP forwarding позволяет автоматически перенаправлять пакет, приходящий на один сетевой интерфейс, на все остальные интерфейсы согласно таблице маршрутизации. После инициализации ПК данные настройки можно посмотреть, выполнив команду:

run sysctl net.ipv6.conf.all.forwarding

Для IPv4-пакетов по умолчанию переадресация включена, т.е. net.ipv4.ip_forward = 1.

Шаг 7: Далее выполняется настройка IPSM. Останавливается работа ipsm-app демона, выполняющего перехват пакетов. Запускается скрипт configure_dp.sh.

Configuring IPSM:

Trying to load drivers:

This script will stop ipsmapp daemon and create new ipsm_pdk.cfg. All ipsmapp settings will be reset. Do you want to continue? [Yes]

Пользователю интерактивно задается ряд вопросов (в прямоугольных скобках предлагается значение по умолчанию) и, в соответствии с введенными параметрами создается новый конфигурационный файл ipsm-dpdk.cfg.

Задайте чётное количество портов (предлагаемые цифры зависят от количества обнаруженных сетевых интерфейсов), например:

Enter amount of ports (2-4) [4]:

Задайте количество вычислительных потоков (предлагаемые цифры зависят от количества процессорных модулей и используемых сетевых портов, максимально возможное количество потоков – 247), например:

threads (1-4) [4]:

Параметр threads должен быть одинаковым для партнёров по соединению.

Шаг 8: Далее выводятся адреса интерфейсов сетевых карт (10G) на шине PCI, которые предлагается настроить, например:

Port# pci_id Configured

- 03:00.0

- 03:00.1

- 03:00.2

- 03:00.3

Далее производится настройка пар портов:

Configuring PORT0

Интерфейсы должны работать в паре при передаче трафика. Один из пары интерфейсов надо настроить для подключения к внешней сети (WAN), другой - для подключения к защищаемой сети (LAN).

Укажите адрес порта для подключения к внешней сети, например:

Enter pci_id for WAN interface : 03:00.0

Введите IP-адрес внешнего интерфейса.

Enter IP-address for WAN interface (l3_ip):

Введите маску подсети для внешнего интерфейса.

Enter netmask for WAN interface (l3_mask) (1-31) [24]:

Введите IP-адрес шлюза по умолчанию. (Используется для определения destination MAC-адреса исходящих кадров ethernet за исключением декапсулированных из EtherIP).

Enter default gateway IP-address (gw_ip):

Настройки одного интерфейса выполнены (в конфигурационном файле ipsm-dpdk.cfg будет создана секция PORTn, содержащая заданные выше параметры), о чем выдается сообщение, например:

Port# pci_id Configured

PORT0 03:00.0 *

- 03:00.1

- 03.00.2

- 03:00.3

Шаг 9: Далее необходимо настроить порт для подключения к локальной сети.

Укажите адрес порта для подключения к локальной сети, который будет работать в паре с уже заданным портом, например:

Enter pci_id to pair with 03:00.0: 03:00.1

Введите исходящий IP-адрес для L2 туннеля.

Enter source IP-address for l2-tunnel (l2_src_ip):

Введите IP-адрес назначения для L2 туннеля.

Enter destination IP-address for l2-tunnel (l2_dst_ip):

Задайте MTU для WAN интерфейса.

Enter MTU for WAN interface (68-9700) [9700]:

Задайте MTU для LAN интерфейса.

Enter MTU for LAN interface (68-9700) [9700]:

На этом настройка IPSM закончена.

SUCCESS: Operation was successful.

Port# pci_id Configured

PORT0 03:00.0 *

PORT1 03:00.1 *

- 03:00.2

- 03:00.3

OK

Заданные настройки будут использованы при создании конфигурационного файла ipsm-dpdk.cfg. Эти настройки минимально необходимые. Возможно ручное редактирование конфигурационного файла для оптимизации работы шлюза.

Шаг 10: Затем появится предложение о смене пароля для системного пользователя root:

Do you want to change the password for root user? [Yes] Yes

New password:

Retype new password:

passwd: password updated successfully

По умолчанию пароль пустой.

Шаг 11: Далее запускается сервис vpngate:

INFO: S-Terra VPN services were successfully enabled and started

При инициализации устанавливается политика безопасности, которая блокирует все пакеты (default driver policy – dropall), об этом предупреждает информационное сообщение:

NOTICE:

Network traffic is blocked.

To unblock network traffic, please setup the network security policy or use "run csconf_mgr activate" command to activate the predefined permissive network security policy now.

Активируйте предустановленную политику безопасности, разрешающую прохождение любого ipv4-трафика, при помощи команды run csconf_mgr activate. По умолчанию в политике безопасности заданы запрещающие правила на прохождение всего ipv6-трафика.

Шаг 12: Если инициализация завершилась успешно, то выдается соответствующее сообщение:

INFO: Initialization completed.

NOTICE: Some settings will take effect after OS reboot only.

На этом инициализация заканчивается.

Если инициализация завершилась неуспешно, то об этом выдаётся соответствующее сообщение. При следующем старте комплекса администратору снова будет выдаваться предупреждение об инициализации.

Программный комплекс размещается в каталог /opt/VPNagent.

В консоли разграничения доступа смените пароль пользователя administrator, при необходимости создайте пользователей с разными ролями для разграничения прав доступа к управлению (см. документ «Консоль разграничения доступа»).

Активируйте предустановленную политику безопасности, разрешающую прохождение любого ipv4-трафика, при помощи команды run csconf_mgr activate. По умолчанию в политике безопасности заданы запрещающие правила на прохождение всего ipv6-трафика.

Перейдите к настройке ПАК согласно документу «Настройка С-Терра Шлюз».

Для перехода в cisco-like консоль используется команда configure (документ «Консоль разграничения доступа», раздел «Команды уровня администратора»).

По этой команде осуществляется запуск исполняемого файла cs_console (интерфейс командной строки Cisco-like).

Подробная документация по работе с cisco-like консолью – «Cisco-like команды».