Инициализация исполнений «С-Терра Шлюз ST» при первом старте
Инициализация исполнений «С-Терра Шлюз ST» при первом старте
Внимание! | В случае использования совместно предустановленных на одной аппаратной платформе ПК «С-Терра Шлюз ST. Версия 5.0» и ПК «С-Терра TLS Шлюз ST. Версия 5.0» необходимо выполнить процедуру инициализации в соответствии с разделом «Инициализация С-Терра TLS Шлюз при первом старте» документа «ПК «С-Терра TLS Шлюз ST. Версия 5.0». Руководство администратора». |
При старте ПАК после загрузки ОС и процедуры аутентификации появляется предупреждение о необходимости инициализировать ПК:
***************************************************************************************
"System is not initialized. Please run “initialize” command to start initialization procedure".
**************************************************************************************
При проведении процедуры инициализации в качестве ДСЧ может использоваться «Криптон USB ДСЧ». Для работоспособности «Криптон USB ДСЧ» дополнительных настроек выполнять не требуется, достаточно его подключения в USB-разъем АП перед началом инициализации.
Ниже пошагово описаны действия, которые необходимо выполнить для инициализации ПК «С-Терра Шлюз ST. Версия 5.0».
Шаг 1: Выполните команду для старта процедуры начальной инициализации ПК:
administrator@sterragate] initialize
или
root@sterragate:~# /opt/VPNagent/bin/init.sh
Процедура инициализации может быть прервана нажатием комбинации клавиш Ctrl+C.
При возникновении ошибки процесс инициализации прерывается и на экран выдается сообщение об ошибке.
Шаг 2: Инициализируется ДСЧ.
Для исполнений класса защиты КС1 проводится «биологическая» инициализация начального значения ДСЧ (нужно нажимать предлагаемые клавиши).
При использовании «Криптон USB ДСЧ» инициализация начального значения ДСЧ выполняется без участия пользователя, необходимо лишь подтвердить использование данного ДСЧ:
Crypton USB RNG device detected. Do you want to use it to initialize RNG? [Yes] Yes
Затем появится сообщение об успешной настройке «Криптон USB ДСЧ»:
INFO: Crypton USB RNG device was added successfully
Внимание! | На ПАК версии 5.0.25337, работающих на базе АП СТК-120 и СТК-130, необходимо отказаться от использования в процессе инициализации «Криптон USB ДСЧ». Для этого при появлении предложения об использовании данного ФДСЧ укажите No: Crypton USB RNG device detected. Do you want to use it to initialize RNG? [Yes] No |
Для исполнений класса защиты КС2 и КС3 инициализация начального значения ДСЧ выполняется без участия пользователя. (Если АПМДЗ функциональность ДСЧ не поддерживает, то для инициализации ДСЧ может применяться внешняя гамма. Использование внешней гаммы описано в документе "Настройка шлюза" в соответствующем разделе).
После успешной инициализации ДСЧ выводится сообщение:
Successfully ininialized RND.
Шаг 3: Далее запрашивается лицензионная информация на ПК (эти данные можно взять из «Лицензии на использование программного Продукта компании ООО «С-Терра СиЭсПи», входящей в комплект поставки):
You have to enter license for S-Terra Gate
Предлагаются следующие пункты для ввода:
Available product codes:
GATE
MVPN
Enter product code: – введите код продукта
Enter customer code: – введите код конечного пользователя
Enter license number: – введите номер лицензии
Enter license code: – введите код лицензии.
Шаг 4: Следует вопрос о корректности введенных данных:"Is the above data correct?". После получения подтверждения инициализация продолжается без дополнительных вопросов. Если подтверждение не получено, то предлагается ввести Лицензию еще раз.
Шаг 5: Далее будет сгенерирован новый ключ для подключения по SSH.
ssh-keygen: generating new host keys: RSA ECDSA ED99999
INFO: SSH server was successfully enabled and started
Шаг 6: После появляется предложение о включении переадресации IPv6-пакетов:
Would you like to enable IPv6 forwarding? [No] Yes
INFO: IP forwarding status:
INFO: IPv4: enabled
INFO: IPv6: enabled
Включенный IP forwarding позволяет автоматически перенаправлять пакет, приходящий на один сетевой интерфейс, на все остальные интерфейсы согласно таблице маршрутизации. После инициализации ПК данные настройки можно посмотреть, выполнив команду:
run sysctl net.ipv6.conf.all.forwarding
Для IPv4-пакетов по умолчанию переадресация включена, т.е. net.ipv4.ip_forward = 1.
Шаг 7: Затем появится предложение о смене пароля для системного пользователя root:
Do you want to change the password for root user? [Yes] Yes
New password:
Retype new password:
passwd: password updated successfully
По умолчанию пароль пустой.
Шаг 8: Далее появляется информационное сообщение о наличии Management interface (MGMT), в данном случае это TenGigabitEthernet0/0 (eth0):
INFO: management interface is TenGigabitEthernet0/0 (eth0)
После следует сообщение о том, политика безопасности будет применена к MGMT-интерфейсу только после перезагрузки С-Терра Шлюз:
NOTICE: The policy applied to the management interface will be effective only after OS is rebooted
Шаг 9: Далее запускается сервис vpngate:
INFO: S-Terra VPN services were successfully enabled and started
При инициализации устанавливается политика безопасности, которая блокирует все пакеты (default driver policy – dropall), об этом предупреждает информационное сообщение:
NOTICE:
Network traffic is blocked.
To unblock network traffic, please setup the network security policy or use "run csconf_mgr activate" command to activate the predefined permissive network security policy now.
Активируйте предустановленную политику безопасности, разрешающую прохождение любого ipv4-трафика, при помощи команды run csconf_mgr activate. По умолчанию в политике безопасности заданы запрещающие правила на прохождение всего ipv6-трафика.
Шаг 10: Если инициализация завершилась успешно, то выдается соответствующие сообщение:
INFO: Initialization completed.
NOTICE: Some settings will take effect after OS reboot only.
На этом инициализация заканчивается.
При последующих стартах системы предупреждение о необходимости инициализации системы не выдается.
Если инициализация завершилась неуспешно, то об этом выдаётся соответствующее сообщение. При следующем старте комплекса администратору снова будет выдаваться предупреждение об инициализации.
Программный комплекс «С-Терра Шлюз ST» размещается в каталог /opt/VPNagent.
В консоли разграничения доступа смените пароль пользователя administrator, при необходимости создайте пользователей с разными ролями для разграничения прав доступа к управлению (см. документ «Консоль разграничения доступа»).
Активируйте предустановленную политику безопасности, разрешающую прохождение любого ipv4-трафика, при помощи команды run csconf_mgr activate. По умолчанию в политике безопасности заданы запрещающие правила на прохождение всего ipv6-трафика.
Перейдите к настройке ПАК согласно документу «Настройка С-Терра Шлюз».
Внимание! | Сразу после инициализации программного комплекса, в случае исполнения класса защиты КС1 и КС2, автоматически запускается утилита cspvpn_verify для проверки целостности установленного ПК, которая описана в документе «Специализированные команды». При нарушении целостности ПК восстановите содержимое жесткого диска АП из образа жесткого диска, который входит в комплект поставки. Выполните эту процедуру согласно документу – «Инструкции по восстановлению и обновлению С-Терра Шлюз». |
Внимание! | Если в процессе инициализации возникло сообщение о наличии в системе MGMT-интерфейса, то для дальнейшей настройки политики безопасности выполните перезагрузку С-Терра Шлюз с помощью команды reboot. По умолчанию MGMT-интерфейс считается неконтролируемым, поэтому до перезагрузки привязка каких-либо правил к данному интерфейсу – невозможна, т.е. vpn‑драйвер (vpndrv.service) не будет обрабатывать пакеты должном образом на данном интерфейсе. Проверить к какому интерфейсу привязаны правила обработки трафика можно выполнив команду if_mgr show. |