Мы уже много писали об универсальном средстве vGate R2 для защиты виртуальных инфраструктур VMware vSphere от компании Код Безопасности. Этот продукт позволяет автоматически настроить серверы ESX / ESXi и виртуальные машины в соответствии требованиями и регламентами безопасности, а также защитить инфраструктуру от несанкционированного доступа. Сегодня мы расскажем о том, как правильно развернуть средство защиты vGate R2 в вашей тестовой или производственной среде.
Для начала напомним, что vGate R2 имеет сертификат ФСТЭК (что очень полезно в разрезе закона ФЗ 152 о персональных данных), а также поддерживает серверы ESXi и сертифицирован для защиты информации представляющей собой гостайну. Обзор возможностей vGate R2 представлен у нас в этой статье.
Начнем, с того, как можно развернуть vGate R2 в тестовой лаборатории и что вам для этого понадобится:
Серверы VMware ESX / ESXi, которые нужно настроить в соответствии с требованиями и защитить от НСД.
Сервер vCenter, куда устанавливается vGate Personal Firewall.
Выделенный сервер для установки сервера авторизации vGate R2
Машина - рабочее место администратора безопасности, куда можно поставить консоль управления vGate R2. Кроме того, консоль управления можно поставить и на сервер авторизации (как мы и сделали). Сюда же ставится агент аутентификации.
Рабочая станция с клиентом VMware vSphere, куда ставится агент аутентификации.
Сервер авторизации можно поставить в виртуальной машине, поэтому дополнительного сервера вам не потребуется. Напоминаю, что в соответствии на настройками сетевого окружения для vGate R2, на сервере авторизации должно быть 2 сетевых интерфейса: один - для внешней сети (откуда администратор vSphere получает доступ к vCenter и хостам через vSphhere Client), другой - для доступа сервер авторизации к серверам виртуализации и vCenter.
Опишем системные требования vGate R2 для различных компонентов:
Обратите внимание, что сервер авторизации vGate R2 в домен включать не нужно.
Теперь приведем план установки vGate R2, которого желательно придержиться:
Настройка локальной сети в соответствии с лучшими практиками для vGate R2.
Установка и настройка
сервера авторизации.
Установка и настройка
резервного сервера
авторизации (этот шаг опционален - мы его делать не будем).
Установка ПО
на компьютер АИБ (администратор информационной безопасности). Это консоль управления vGate R2, ее мы будем ставить на сервер авторизации. Сюда же поставим агент аутентификации.
Устанавливается агент аутентификации на рабочие станции с vSphere Client.
Агент аутентификации нужно установить также на серверы внешнего периметра по отношению к виртуальной инфраструктуре (DNS, AD).
Установка vGate Personal Firewall - компонента защиты vCenter.
Установка сервера авторизации vGate R2
Запускаем установку vGate R2 на виртуальной или физической машине (не забывайте, что должно быть 2 сетевых адаптера для внешней и внутренней сети):
Выбираем пункт "Сервер Авторизации".
После принятия соглашения, выбираем устанавливаемые компоненты. Консоль управления ставим на этот же сервер:
Резервирование конфигурации - это установка резервного сервера, которую мы здесь рассматривать не будем.
Далее выбираем сетевые интерфейсы для внутреннего и внешнего периметров. На рисунке у нас адреса из одной подсети, но на самом деле эти подсети должны быть разнесены физически или логически, чтобы администратор с vSphere Client мог получить доступ к управлению виртуальной инфраструктурой только через сервер авторизации. Это очень важный момент в развертывании vGate R2, чтобы он мог контролировать все происходящее.
Далее вводим параметры подсети защищаемого периметра (то есть того, где у нас находятся хосты ESX / ESXi и сервер vCenter):
Далее вводим имя сферы для vGate R2 и задаем пароль главного администратора информационной безопасности в вашей виртуальной инфраструктуре. Кому попало говорить его не нужно.
Собственно, все - далее начнется установка СУБД PostgreSQL. Если вы не устанавливали консоль администрирования vGate R2, то ее можно поставить на отдельный сервер. Для этого при установке клиента аутентификации нужно будет выбрать соответствующий пункт (см. далее).
Установка агента аутентификации vGate R2
Агент аутентификации устанавливается как на рабочем месте администратора ИБ (где консоль администрирования), так и на рабочей станции, откуда происходит управление через vSphere Clinet. Запускаем мастер установки и на сплэш-скрине выбираем пункт "Агент аутентификации".
Далее принимаем условия лицензионного соглашения и запускаем установку:
Если агент аутентификации устанавливается на рабочее место администратора безопасности во внешнем периметре сети администрирования, то на данный компьютер необходимо установить также консоль
управления. Для установки консоли управления раскройте дерево компонентов, нажмите мышью на значок слева от названия компонента и в раскрывшемся меню выберите нужный пункт.
Вводим имя сервера авторизации и пароль администратора ИБ, который мы задавали при установке сервера авторизации:
Далее нажимаем кнопку "Установить". После установки у вас будет либо просто агент аутентификации, либо агент+консоль администрирования. На остальные серверы во внешнем периметре (DNS, AD) агент аутентификации устанавливается подобным образом.
При попытке несанкционированного доступа к vCenter будет выдан стандартный отлуп клиента:
Установка компонента защиты vCenter - vGate Personal Firewall
Этот компонент представляет собой сетевой экран, и предназначен он для фильтрации входящего трафика на vCenter для защиты от несанкционированного доступа. На сервере vCenter запускаем установочный диск vGate R2 и на сплэше выбираем "Компонент защиты vCenter".
После принятия лицензионного соглашения, продолжаем установку:
Далее указываем IP-адрес сервера авторизации (это адрес защищаемого периметра, а не адрес внешнего адаптера) и адрес внешней подсети (то, что мы задавали при установке сервера авторизации).
Далее нажимаем кнопку "Установить". У этого компонента нет GUI, поэтому после установки можно о нем забыть.
Установка сервера отчетов vGate R2
Для установки сервера отчетов вам понадобится установить на сервер авторизации следующие компоненты:
Reporting Services для СУБД Microsoft SQL 2005 Server SP3 (любой редакции, за исключением Express
Edition). Предварительно придется поставить Microsoft IIS.
Microsoft Visual C++ 2008 Redistributable Package. Для установки компонента следует запус-
тить vcredist_x86.exe из каталога \redistributables установочного диска vGate и следовать ука-
заниям мастера установки.
Далее на сервер отчетов следует установить отчеты для vGate, запустив утилиту
report_setup.exe с параметрами. Предварительно утилиту следует скопировать на ПК с установочного диска. Описание параметров вы можете увидеть в документации на vGate R2, идущей в комплекте с продуктом.
Для установки сервера отчетов на сервер авторизации, нужно воспользоваться командой:
report_setup.exe –server 192.168.1.121
В vGate 2 можно настроить специализированный сервер отчетности, который будет генерировать репорты, в которых будут отражены основные конфигурации и изменения с точки зрения информационной безопасности.
Подготовленный отчет можно выгрузить в следующие форматы:
XML-файл с данными отчета;
текстовый файл с разделителями (CSV);
графический файл (TIFF);
файл Acrobat (PDF);
веб-архив (MHT);
файл Excel (XLS)
Выглядит это так:
Более подробно сервер отчетов vGate R2 мы рассмотрим в следующих статьях.
Первичная настройка vGate R2
На этом этапе установка vGate R2 завершена. Теперь давайте запустим консоль администрирования и посмотрим на основные экраны. Вводим имя пользователя и пароль администратора ИБ:
Появляется главный экран:
Сразу видим пункт начальная настройка в панели "Главная" и начинаем с первой задачи - параметры соединения с vCenter или ESX-сервером. Нажимаем кнопку изменить и указываем IP-адрес сервера ESX / ESXi или vCener и параметры их учетной записи.
После успешного соединения с сервером мы сможем увидеть список виртуальных машин на вкладке "Виртуальные машины":
Теперь нужно настроить учетные записи пользователей на вкладке "Учетные записи".
Для аутентификации пользователей (АВИ) в vGate нельзя использовать существующие доменные или локальные учетные записи пользователей Windows
(или другой ОС). Поэтому для каждого пользователя vGate следует создать
свою учетную запись средствами консоли управления.
Далее можно приступить к добавлению защищаемых серверов ESX:
И созданию новых политик безопасности, о которых написано вот в этой статье.
На этом вкратце все об установке vGate R2. В следующих статьях мы более подробно расскажем об использовании основных элементов управления продукта и администрировании решения.
RSS
