Филиалы и главный офис
Данный тип соединения позволяет объединять локальные сети нескольких серверов Ideco UTM.
Особенности реализации технологии IPsec в Ideco UTM предполагают две роли использования Ideco UTM.
Главный офис: Ideco UTM должен иметь публичный адрес в сети Интернет и принимать подключения от других шлюзом Ideco UTM (Филиалы), сетевого оборудования, рабочих станций по сети Интернет (Удаленные пользователи)
Филиал: Ideco UTM, подключающийся к главному офису и, как правило, не имеющий публичного адреса в сети Интернет. С другой стороны, если филиал имеет публичный адрес, то к нему тоже можно подключать любые устройства.
Настройка подключения между Филиалом и Главным офисом
Добавление Главных офисов и Филиалов производится на вкладке Настройки в подразделах IPsec главный офис и IPsec филиалы раздела Сервер.
Перед тем как создавать подключение между филиалом и главным офисом, убедитесь, что в каждой из подключаемых сторон правильно настроена временная зона. Без этого установить подключение невозможно.
Перед настройкой IPsec нужно учесть, что для его работы все IP-подсети, участвующие в соединениях, включая сети главного офиса и всех филиалов, не должны пересекаться и, тем более, не должны совпадать.
Если на Ideco UTM в филиале настроено несколько локальных подсетей, для каждой подсети на данный момент нужно создать отдельное подключение к главному офису.
Перед настройкой соединения нужно убедиться в том, что один из серверов имеет публичный ("белый") IP-адрес от интернет-провайдера. Если окажется, что главный офис не имеет публичного IP-адреса, а филиал имеет такой адрес, то роли серверов для этого соединения следует поменять местами.
Шаг 1. Создание подключения в Филиале
Сделать следующие настройки на Ideco UTM, расположенной в филиале:
Открыть раздел Сервисы -> IPsec -> Филиалы -> Настройки в веб-интерфейсе филиала.
Нажать кнопку Добавить главный офис.
Заполнить поля:
- Название главного офиса.
- Внешний адрес главного офиса: доменное имя или внешний IP-адрес главного офиса, выданный провайдером.
- Локальная сеть филиала: Введите IP-адрес подсети филиала, которая будет доступна пользователям в главном офисе в формате 192.168.0.0/24.
Нажать кнопку Сохранить.
Скопировать содержимое поля Настройки филиала и передать его в главный офис, к которому производится подключение.
Шаг 2. Создание подключения в главном офисе
Сделать следующие настройки на Ideco UTM, расположенной в главном офисе, к которому производится подключение:
Открыть раздел Сервисы -> IPsec -> Главный офис -> Настройки.
Нажать кнопку Добавить филиал.
Заполнить предлагаемые поля:
- Название филиала.
- Настройки филиала: вставьте в это поле настройки, полученные из филиала после выполнения шага 1.
Нажать кнопку Сохранить.
Скопировать содержимое поля Настройки главного офиса и передать его в филиал, к которому производится подключение.
Шаг 3. Окончательная настройка филиала
Открыть раздел Сервисы -> IPsec -> Филиалы -> Настройки.
Выбрать нужный главный офис, нажать кнопку Редактировать.
Вставить в поле Настройки главного офиса текст настроек, полученный из Главного офиса.
Нажать кнопку Сохранить.
Открыть раздел Сервисы -> IPsec -> Филиалы -> Подключения и убедиться, что подключение к главному офису установлено.
Управление подключениями
На вкладке Подключения выводится статус настроенных подключений и кнопка для переподключения.
Нажатие кнопки Разорвать подключение в главном офисе приведёт к разрыву существующего соединения, при этом филиал сразу же автоматически произведёт переподключение.
Нажатие кнопки Переподключение в филиале - разрывает существующее подключение к главному офису и открывает новое.
Маршрутизация дополнительных сетей, находящихся за роутером в локальной сети UTM, через IPsec туннель.
IPsec-туннель может маршрутизировать через себя только IP-сети, добавленные на локальные интерфейсы UTM. Т.е. UTM должен непосредственно присутствовать в этих сетях. Для этого надо:
Добавить свободный IP из сети, находящейся за роутером на локальный интерфейс UTM как дополнительный адрес с маской этой сети.
На UTM надо создать маршрут в эту сеть через IP роутера (UTM, роутер и целевой хост будут в одной сети).
Если сетей несколько, то повторить шаги 2 и 3 для всех сетей, или агрегировать сети по большей маске.
На внешних и локальных интерфейсах, участвующих в прохождении пакетов, установить признак Автоматический proxy arp.
Если Ideco UTM стоит за NAT, то для работы с IPsec надо пробросить 500, 1701 и 4500 порты UDP. - При установке IPsec туннеля м/у серверами Ideco UTM (Филиалом и Главным офисом) всегда используется 256-битное AES-шифрование, как очень надежное и распространенное.
Last updated