Инициализация Шлюза КВ при первом старте
Инициализация Шлюза КВ при первом старте
При старте ПАК после загрузки ОС и процедуры аутентификации администратора сети появляется предупреждение о необходимости инициализировать ПК:
******************************************************************
"System is not initialized. Please run “initialize role_network” or “initialize role_management"
*******************************************************************
Шаг 1: Подключите к аппаратной платформе:
• USB-носитель, подготовленный администратором безопасности, который является рабочим носителем.
Шаг 2: Запустите скрипт инициализации с ролью network:
sterragate] initialize role_network
Процедура инициализации может быть прервана нажатием комбинации клавиш Ctrl+C.
Шаг 3: Далее запрашивается лицензионная информация на программный комплекс «С-Терра Шлюз КВ ST» (эти данные можно взять из «Лицензии на использование программного Продукта компании ООО «С-Терра СиЭсПи», входящей в комплект поставки):
init] Snippet "license_req.sh" start
INFO: You have to enter license for S-Terra Gate
Предлагаются следующие пункты для ввода:
Available product codes:
GATE
MVPN
Enter product code:
Enter customer code:
Enter license number:
Enter license code:
Your license:
CustomerCode =
ProductCode =
LicenseNumber=
LicenseCode =
Шаг 4: Следует вопрос о корректности введенных данных:
"Is the above data correct?"yes
После получения подтверждения инициализация продолжается. Если подтверждение не получено, то предлагается ввести лицензию еще раз:
INFO: License accepted
[init] Snippet "license_req.sh" end
Шаг 5: Далее будет сгенерирован новый ключ для подключения по SSH и перезапущен SSH-сервис:
INFO: SSH server was successfully enabled and started
Шаг 6: Предлагается ввести идентификатор Шлюза КВ, для которого созданы данные на подключенном рабочем носителе:
INFO: Successfully found device mounted at /var/s-terra/media/st_network
INFO: Possible gate-id:
kv
Enter gate-id [kv]: kv
При наличии нескольких каталогов на рабочем носителе по умолчанию выбирается первый из списка. После данного шага происходит переименование файла контейнера initcont.s50 в rndcont.s50 в каталоге st_network/{device-id}/ рабочего носителя.
Шаг 7: Далее появляется предложение о включении переадресации IPv6-пакетов:
[init] Snippet "set_internet.sh" start
Would you like to enable IPv6 forwarding? [No] yes
INFO: IP forwarding status:
INFO: IPv4: enabled
INFO: IPv6: enabled.
[init] Snippet "set_internet.sh" end
При утвердительном ответе включенный IP forwarding позволяет автоматически перенаправлять пакет, приходящий на один сетевой интерфейс, на все остальные интерфейсы согласно таблице маршрутизации. После инициализации ПК данные настройки можно посмотреть, выполнив команду:
run sysctl net.ipv6.conf.all.forwarding
Для IPv4-пакетов по умолчанию переадресация включена, т.е. net.ipv4.ip_forward = 1.
Шаг 8: Далее формируется карта сетевых интерфейсов с предложением пересоздать ее:
[init] Snippet "netifcfg_enumap.sh" start
WARNING: Network interface mapping file (/etc/ifaliases.cf) сan't be used or not found
Are you willing to recreate it? [Yes] yes
INFO: Generated interfaces enumeration:
pci:
0000:03:00.0:
if_name: eth0
if_alias: TenGigabitEthernet0/0
0000:0b:00.0:
if_name: eth1
if_alias: TenGigabitEthernet0/1
0000:13:00.0:
if_name: eth2
if_alias: TenGigabitEthernet0/2
hotplug: {}
restricted: {}
Accept these interfaces? [Yes] yes
INFO: File /etc/ifaliases.cf was created successfully
[init] Snippet "netifcfg_enumap.sh" end
Шаг 9: Происходит проверка текущей политики безопасности:
Network traffic is blocked, except on management interface (if using one).
To unblock network traffic, please setup the network security policy.
При инициализации устанавливается политика безопасности, которая блокирует все пакеты, за исключением на интерфейсе управления. Для разблокировки создайте политику безопасности.
Шаг 10: Далее предлагается сменить пароли пользователей ОС - для предустановленных учетных записей admin, user и root:
[init] Snippet "change_passwd_management.sh" start
Do you want to change the password for "admin" user? [Yes] yes
New password:
Retype new password:
passwd: password updated successfully
Do you want to change the password for "user" user? [Yes] yes
New password:
Retype new password:
passwd: password updated successfully
Do you want to change the password for "root" user? [Yes] yes
New password:
Retype new password:
passwd: password updated successfully
[init] Snippet "change_passwd_management.sh" end
Шаг 11: Появляется информационное сообщение о наличии Management interface (MGMT), в данном случае это TenGigabitEthernet0/0 (eth0):
INFO: Management interface is TenGigabitEthernet0/0 (eth0)
После следует сообщение о том, политика безопасности будет применена к MGMT-интерфейсу только после перезагрузки ПАК:
NOTICE: The policy applied to the management interface will be effective only after OS is rebooted
Шаг 12: Если инициализация завершилась успешно, то выдается соответствующие сообщение и просьба перезагрузить ПАК:
INFO [init]: Initialization completed
INFO [init]: Some settings will take effect after OS reboot only.
При последующих стартах системы предупреждение о необходимости инициализации системы не выдается.
Если инициализация завершилась неуспешно, то об этом выдаётся соответствующее сообщение. При следующем старте комплекса администратору сети снова будет выдаваться предупреждение о необходимости инициализации.
Программный комплекс «С-Терра Шлюз КВ ST» размещается в каталог /opt/VPNagent/.