Филиалы и главный офис
Данный тип соединения позволяет объединять локальные сети нескольких серверов Ideco UTM.
Особенности реализации технологии IPsec в Ideco UTM предполагают две роли использования Ideco UTM:
Главный офис - Ideco UTM должен иметь публичный адрес в сети Интернет и принимать подключения от других Ideco UTM (Филиалы), сетевого оборудования или рабочих станций (Удаленные пользователи);
Филиал - Ideco UTM, подключающийся к Главному офису и, как правило, не имеющий публичного адреса в сети Интернет. Но если Филиал имеет публичный адрес, то к нему тоже можно подключать любые другие устройства.
Настройка подключения между Филиалом и Главным офисом
Добавление Главных офисов и Филиалов производится на одноименных вкладках в разделе Сервисы -> IPsec. IPsec-подключения создаются через внешние адреса всех настроенных провайдеров. Если в системе настроены несколько провайдеров, то создаются несколько IPsec-подключений между Филиалом и Головным офисом. Приоритет использования подключений определяется таблицей Балансировка и резервирование.
Перед тем как создать подключение между Филиалом и Главным офисом, убедитесь, что в каждой из подключаемых сторон правильно настроена временная зона. Без этого установить подключение невозможно;
Убедитесь, что пользовательские правила из раздела Правила -> трафика Файрвол -> INPUT, не блокируют входящий трафик, поступающий на внешние интерфейсы UTM для протоколов ESP и UDP (порты 500 и 4500);
Перед настройкой IPsec нужно учесть, что для его работы все IP-подсети, участвующие в соединениях, включая сети Главного офиса и всех Филиалов, не должны пересекаться и, тем более, не должны совпадать;
Сети локальных интерфейсов Главных офисов и Филиалов, до которых требуется дать доступ, должны быть заданы статически;
Перед настройкой соединения нужно убедиться в том, что один из серверов имеет публичный (белый) IP-адрес от интернет-провайдера. Если окажется, что Главный офис не имеет публичного IP-адреса, а Филиал имеет такой адрес, то роли серверов для этого соединения следует поменять местами;
При замене/перевыпуске корневого сертификата в разделе Сертификаты, IPsec-подключения Главный офис <–> Филиал перестанут работать и их необходимо будет пересоздать.
Если соединение по IPsec не устанавливается, воспользуйтесь статьей.
Шаг 1. Создание подключения в Филиале
Для того чтобы создать подключение на Ideco UTM, который будет выступать в роли Филиала, необходимо в веб-интерфейсе этого UTM выполнить следующие настройки:
1. Откройте раздел Сервисы -> IPsec -> Филиал нажмите кнопку Добавить.
2. Заполните следующие поля:
Название Главного офиса - максимальное количество символов - 42;
Внешний адрес Главного офиса - доменное имя или внешний IP-адрес главного офиса, выданный провайдером. Если есть необходимость, то можно ввести Дополнительный адрес главного офиса;
Локальная сеть Филиала - IP-адрес подсети Филиала, которая будет доступна пользователям в Главном офисе в формате IP-адрес/маска.
3. После заполнения полей нажмите кнопку Добавить Главный офис.
4. Нажмите на иконку редактирования у добавленного Главного офиса:
5. Скопируйте содержимое поля Настройки Филиала. Содержимое нужно будет вставить при настройке Главного офиса, к которому производится подключение (см. шаг 2).
Шаг 2. Создание подключения в Главном офисе
Для того чтобы создать подключение на Ideco UTM, который будет выступать в роли Главного офиса, необходимо в веб-интерфейсе этого UTM выполнить следующие настройки:
1. Откройте раздел Сервисы -> IPsec -> Главный офис и нажмите кнопку Добавить.
2. Заполните следующие поля:
Название Филиала - максимальное количество символов - 42;
Настройки Филиала - вставьте в это поле настройки, которые скопировали из Филиала после выполнения шага 1.
3. Нажмите кнопку Добавить Филиал.
4. Нажмите на иконку редактирования у добавленного Филиала.
5. Выберите локальные сети Главного офиса и нажмите кнопку Сохранить.
Для доступа к локальным сетям Филиала из Главного офиса при подключении по VPN укажите в поле Локальные сети главного офиса сеть, используемую для VPN в Главном Офисе.
Сети для VPN-подключений у Главного офиса и Филиала не должны пересекаться.
6. Еще раз перейдите к редактированию добавленного Филиала и скопируйте содержимое поля Настройки главного офиса. Содержимое нужно будет добавить в настройки Филиала (см. шаг 3).
Шаг 3. Окончательная настройка Филиала
Для того чтобы завершить создание подключения на Ideco UTM, который будет выступать в роли Филиала, необходимо в веб-интерфейсе этого UTM выполнить следующие настройки:
1. Откройте раздел Сервисы -> IPsec -> Филиал.
2. Выберите нужный главный офис и нажмите кнопку Редактировать.
3. Вставьте в поле Настройки Главного офиса текст настроек, полученный из Главного офиса при выполнении шага 2.
4. Нажмите кнопку Сохранить.
5. Откройте раздел Сервисы -> IPsec -> Филиал на UTM, выступающем в роли Филиала и раздел Сервисы -> IPsec -> Главный офис на UTM, выступающем в роли Главного офиса и убедитесь, что подключение к Главному офису установлено. Должна появиться надпись Установлено.
Маршрутизация дополнительных сетей, находящихся за роутером в локальной сети UTM, через IPsec туннель.
Для настройки маршрутизации сетей, находящихся за роутером в локальной сети UTM, создайте маршрут в дополнительную сеть через IP роутера, с обязательным указанием адресов локальных сетей за роутером. Пример: Нужно настроить маршрутизацию между сетями 192.168.105.0/24 и 192.168.110.0/24, где:
UTM - главный офис;
UTM-2 - филиал.
1. Выполните инструкцию из Шага 1,
2. При выполнении Шага 2 пункт 4 укажите в строке Локальные сети главного офиса 192.168.105.0/24 и 192.168.100.0/24:
Если не указать 192.168.100.0/24, то доступ по IPsec будет только до сети 192.168.105.0/24 и 192.168.100.0/24 будет вне доступа.
3. Выполните пункт 5 и 6 из Шага 2 и завершите настройку, перейдя к Шагу 3.
Если Ideco UTM находится за NAT, то для работы с IPsec нужно пробросить 500 и 4500 порты UDP;
При установке IPsec туннеля между серверами Ideco UTM (Филиалом и Главным офисом) всегда используется 256-битное AES-шифрование, так как оно является распространенным и очень надежным.
Last updated
