Филиалы и главный офис

Данный тип соединения позволяет объединять локальные сети нескольких серверов Ideco UTM.

PreviousIPsec NextУстройства

Last updated 1 year ago

Was this helpful?

Филиалы и главный офис

Данный тип соединения позволяет объединять локальные сети нескольких серверов Ideco UTM.

Особенности реализации технологии IPsec в Ideco UTM предполагают две роли использования Ideco UTM:

Главный офис - Ideco UTM должен иметь публичный адрес в сети Интернет и принимать подключения от других Ideco UTM (Филиалы), сетевого оборудования или рабочих станций (Удаленные пользователи);
Филиал - Ideco UTM, подключающийся к Главному офису и, как правило, не имеющий публичного адреса в сети Интернет. Но если Филиал имеет публичный адрес, то к нему тоже можно подключать любые другие устройства.

Настройка подключения между Филиалом и Главным офисом

Добавление Главных офисов и Филиалов производится на одноименных вкладках в разделе Сервисы -> IPsec. IPsec-подключения создаются через внешние адреса всех настроенных провайдеров. Если в системе настроены несколько провайдеров, то создаются несколько IPsec-подключений между Филиалом и Головным офисом. Приоритет использования подключений определяется таблицей .

Перед тем как создать подключение между Филиалом и Главным офисом, убедитесь, что в каждой из подключаемых сторон правильно настроена временная зона. Без этого установить подключение невозможно;
Убедитесь, что пользовательские правила из раздела Правила -> трафика Файрвол -> INPUT, не блокируют входящий трафик, поступающий на внешние интерфейсы UTM для протоколов ESP и UDP (порты 500 и 4500);
Перед настройкой IPsec нужно учесть, что для его работы все IP-подсети, участвующие в соединениях, включая сети Главного офиса и всех Филиалов, не должны пересекаться и, тем более, не должны совпадать;
Сети локальных интерфейсов Главных офисов и Филиалов, до которых требуется дать доступ, должны быть заданы статически;
Перед настройкой соединения нужно убедиться в том, что один из серверов имеет публичный (белый) IP-адрес от интернет-провайдера. Если окажется, что Главный офис не имеет публичного IP-адреса, а Филиал имеет такой адрес, то роли серверов для этого соединения следует поменять местами;
При замене/перевыпуске корневого сертификата в разделе , IPsec-подключения Главный офис <–> Филиал перестанут работать и их необходимо будет пересоздать.

Если соединение по IPsec не устанавливается, воспользуйтесь .

Шаг 1. Создание подключения в Филиале

Для того чтобы создать подключение на Ideco UTM, который будет выступать в роли Филиала, необходимо в веб-интерфейсе этого UTM выполнить следующие настройки:

1. Откройте раздел Сервисы -> IPsec -> Филиал нажмите кнопку Добавить.

2. Заполните следующие поля:

Название Главного офиса - максимальное количество символов - 42;
Внешний адрес Главного офиса - доменное имя или внешний IP-адрес главного офиса, выданный провайдером. Если есть необходимость, то можно ввести Дополнительный адрес главного офиса;
Локальная сеть Филиала - IP-адрес подсети Филиала, которая будет доступна пользователям в Главном офисе в формате IP-адрес/маска.

3. После заполнения полей нажмите кнопку Добавить Главный офис.

4. Нажмите на иконку редактирования у добавленного Главного офиса:

Шаг 2. Создание подключения в Главном офисе

Для того чтобы создать подключение на Ideco UTM, который будет выступать в роли Главного офиса, необходимо в веб-интерфейсе этого UTM выполнить следующие настройки:

1. Откройте раздел Сервисы -> IPsec -> Главный офис и нажмите кнопку Добавить.

2. Заполните следующие поля:

Название Филиала - максимальное количество символов - 42;

3. Нажмите кнопку Добавить Филиал.

4. Нажмите на иконку редактирования у добавленного Филиала.

5. Выберите локальные сети Главного офиса и нажмите кнопку Сохранить.

Для доступа к локальным сетям Филиала из Главного офиса при подключении по VPN укажите в поле Локальные сети главного офиса сеть, используемую для VPN в Главном Офисе.

Сети для VPN-подключений у Главного офиса и Филиала не должны пересекаться.

Шаг 3. Окончательная настройка Филиала

Для того чтобы завершить создание подключения на Ideco UTM, который будет выступать в роли Филиала, необходимо в веб-интерфейсе этого UTM выполнить следующие настройки:

1. Откройте раздел Сервисы -> IPsec -> Филиал.

2. Выберите нужный главный офис и нажмите кнопку Редактировать.

4. Нажмите кнопку Сохранить.

5. Откройте раздел Сервисы -> IPsec -> Филиал на UTM, выступающем в роли Филиала и раздел Сервисы -> IPsec -> Главный офис на UTM, выступающем в роли Главного офиса и убедитесь, что подключение к Главному офису установлено. Должна появиться надпись Установлено.

Маршрутизация дополнительных сетей, находящихся за роутером в локальной сети UTM, через IPsec туннель.

Для настройки маршрутизации сетей, находящихся за роутером в локальной сети UTM, создайте маршрут в дополнительную сеть через IP роутера, с обязательным указанием адресов локальных сетей за роутером. Пример: Нужно настроить маршрутизацию между сетями 192.168.105.0/24 и 192.168.110.0/24, где:

UTM - главный офис;
UTM-2 - филиал.

1. Выполните инструкцию из Шага 1,

2. При выполнении Шага 2 пункт 4 укажите в строке Локальные сети главного офиса 192.168.105.0/24 и 192.168.100.0/24:

Если не указать 192.168.100.0/24, то доступ по IPsec будет только до сети 192.168.105.0/24 и 192.168.100.0/24 будет вне доступа.

3. Выполните пункт 5 и 6 из Шага 2 и завершите настройку, перейдя к Шагу 3.

Если Ideco UTM находится за NAT, то для работы с IPsec нужно пробросить 500 и 4500 порты UDP;
При установке IPsec туннеля между серверами Ideco UTM (Филиалом и Главным офисом) всегда используется 256-битное AES-шифрование, так как оно является распространенным и очень надежным.