Новости Статьи VMware Veeam StarWind vStack Microsoft Nakivo Citrix Symantec События Релизы Видео Контакты Авторы RSS
Виртуализация и виртуальные машины

Все самое нужное о виртуализации и облаках

Более 6300 заметок о VMware, AWS, Azure, Veeam, Kubernetes и других

VM Guru / Articles / Настройка локальной сети для решения vGate R2 for Hyper-V и использование сетевых конфигураций.

Настройка локальной сети для решения vGate R2 for Hyper-V и использование сетевых конфигураций.

Настройка локальной сети для решения vGate R2 for Hyper-V и использование сетевых конфигураций.

Автор: Александр Самойленко
Дата: 28/11/2014

Поддержите VM Guru!

USDT / TRC20, адрес: TCDP7d9hBM4dhU2mBt5oX2x5REPtq9QdU1




Статья:

Продолжаем вас знакомить с решением vGate R2 от компании Код Безопасности, предназначенным для защиты виртуальной инфраструктуры Hyper-V от несанкционированного доступа, а также для ее безопасной настройки средствами политик. В этой статье мы расскажем о том, как правильно настроить локальную сеть в соответствии с рефернсной архитектурой vGate, а также установить продукт с использованием различных конфигураций (способы маршрутизации и варианты развертывания с основным и резервным сервером).

Перед установкой сервера авторизации vGate R2

Чтобы обеспечить надежный уровень защиты, необходимо до установки компонентов vGate R2 выполнить конфигурирование сети, руководствуясь следующими правилами:

  • Сеть администрирования виртуальной инфраструктуры и сеть виртуальных машин рекомендуется отделить от остальных сетей ИТ-инфраструктуры.
  • Если в виртуальной инфраструктуре используются функции динамической миграции (Live Migrations) и репликации, то рекомендуется организовать отдельную сеть репликации виртуальных машин, отделив ее от сетей администрирования и сетей виртуальных машин.
  • Если данные виртуальных машин хранятся за пределами серверов Hyper-V в отдельной системе хранения, то рекомендуется создать сеть передачи данных на основе технологии Ethernet (iSCSI) или SMB 3.0. При необходимости сеть передачи данныхи сеть репликации виртуальныхмашин могут быть совмещены.

Для работы в сети, сконфигурированной таким образом, серверы Hyper-V должны иметь необходимое число независимых Ethernet-интерфейсов.

Если вы будете вводить сервер авторизации в домен Active Directory, выполните следующие рекомендации:

  • Не размещайте контроллер домена внутри защищаемого периметра виртуальной инфраструктуры.
  • Сервер авторизации не поддерживает автоматическую смену паролей для служебных учетных записей vGate в домене Windows. Поэтому необходимо создать отдельное организационное подразделение (Organization Units — OU), в котором будут размещаться такие учетные записи, и отключить для него автоматическую смену паролей.
  • Для этого:
    • назначьте данному OU групповую политику, в которой в ветви "Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options"
    • присвойте параметру "Domain member: Disable machine account password changes" значение "Enabled" или параметру "Domain member:maximum machine accountpassword age" — значение "999 days". Данное OU выбирается на определенномшаге установки сервера авторизации.

Перед конфигурированием локальной сети вам, возомжно, потребуется дополнительно ознакомиться с документацией к продукту Microsoft Hyper-V.

Итак, возможно несколько вариантов развертывания решения vGate R2 в локальной сети.

1. Сервер vGate выступает как маршрутизатор трафика из внешней сети администрирования (рабочие места администраторов, а также DNS-серверы, контроллеры домена и т.п.):

2. Во втором варианте развертывания для маршрутизации используется отдельное решение (аппаратный защищенный маршрутизатор), а сервер авторизации vGate включается в сеть администрирования виртуальной инфраструктуры:

Настройка маршрутизации между подсетями

После конфигурирования локальной сети обязательно нужно настроить маршрутизацию между подсетями (внешняя сеть администрирования и внутренняя, где расположены хосты Hyper-V), а также убедиться в наличии доступа с рабочих мест администраторов Hyper-V к элементам управления виртуальной инфраструктурой. Только после этого можно приступать к установке и настройке компонентов vGate.

В таблице приведены варианты настройки маршрутизации:

Вариант Особенности настройки
Использование стороннего маршрутизатора На рабочих местах АВИ в качестве шлюза по умолчанию указывают
маршрутизатор, уже существующий во внешнем периметре
администрирования предприятия.
Использование сервера авторизации в качестве шлюза

На всех рабочих местах администраторов Hyper-V в качестве шлюза по умолчанию следует указать IP-адрес внешнего сетевого адаптера сервера авторизации.

На всех компьютерах защищаемого периметра (серверах Hyper-V) в
качестве шлюза по умолчанию следует указать IP-адрес адаптера
защищаемого периметра сервера авторизации.

Получение маршрута с сервера авторизации

На всех компьютерах защищаемого периметра (серверах Hyper-V) в качестве шлюза по умолчанию следует указать IP-адрес адаптера защищаемого периметра сервера авторизации.

В консоли управления следует настроить получение маршрута к
защищенной сети с сервера авторизации (см. ниже под таблицей).

В этом случае на рабочих местах АВИ маршрут к защищенной сети добавляется с сервера авторизации в момент запуска службы аутентификации vGate, после чего маршрут записывается в локальную таблицу маршрутизации ПК.

Для добавления маршрута к защищенной сети (последний вариант настройки маршрутизации):

  • В консоли vGate R2 откройте группу параметров "Дополнительные настройки".
  • В области параметров нажмите кнопку-ссылку "Настроить" рядом с заголовком "Настройки сети, контроля доступа и лицензирования". На экране появится диалог для настройки дополнительных параметров.
  • Отметьте поле "Добавлять на клиенте маршрут к защищенной сети" и наж-
    мите кнопку "ОК".

Если предполагается использование конфигурации с резервным сервером авторизации, то DNS-сервер рекомендуется разместить во внешней сети. Кроме того, в DNS необходимо настроить псевдоним (CNAME), указывающий на основной сервер. В этом случае при установке агентов аутентификации необходимо будет указывать псевдоним (CNAME) основного сервера.

Во время установки сервера авторизации vGate R2

Установка и последующая работа сервера авторизации vGate различаются в зависимости от рассмотренного выше способа маршрутизации управляющего трафика между внешним и защищаемым периметрами сети администроирования:

  • С помощью существующего маршрутизатора в сети.
    Режим не требует реконфигурации существующей сети и предусматривает наличие во внешней сети администрирования сертифицированного межсетевого экрана (маршрутизатора), фильтрующего сетевой трафик к защищаемым серверам. На маршрутизаторе необходимо закрыть доступ с рабочих мест администратора виртуальной инфраструктры (АВИ) и администратора информационной безопасности (АИБ, он же администратор vGate) в защищаемую подсеть или к серверам по отдельности и разрешить доступ к серверу авторизации.
  • Через сервер авторизации vGate.
    При выборе этого способа защищаемые серверы должны быть расположены в отдельной подсети. На всех компьютерах защищаемого периметра (серверах Hyper-V) в качестве шлюза по умолчанию следует указать IP-адрес
    адаптера защищаемого периметра сервера авторизации. На всех рабочих местах АВИ в качестве шлюза по умолчанию следует указать IP- адрес сетевого адаптера сервера авторизации во внешней сети. При выборе данного режима не требуется дополнительная настройка маршрутизатора.

На компьютере, предназначенном для сервера авторизации vGate, необходимо предварительно установить компонент Microsoft Visual C++ 2005 Redistributable. Для этого запустите с установочного диска из каталога \Redistributables\Microsoft Visual C++ 2005 Redistributable файл vcredist_x86.exe и следуйте указаниям мастера установки.

Примечание. Если на компьютере, предназначенном для сервера авторизации vGate, эксплу-
атируется ПО Security Studio Endpoint Protection (SSEP), то перед началом установки необходимо
отключить брандмауэр SSEP.

-------------------------

Важно! Если предполагается использование Active Directory, необходимо ввести компьютер, предназначенный для сервера vGate, в домен. Если компьютер сервера авторизации был добавлен в домен после установки ПО vGate, то необходимо добавить этот домен в список доверенных доменов в консоли управления vGate.

Для этого уже после установки vGate откройте группу параметров "Дополнительные настройки". В области параметров нажмите кнопку-ссылку "Настроить" рядом с заголовком "Доверенные домены".

На экране появится диалог для добавления и удаления доверенных доменов:

-------------------------

Установка при использовании маршрутизатора

Настройте на компьютере, предназначенном для сервера авторизации, одно соединение локальной сети.

Далее запустите установку и выберите способ маршрутизации трафика "С помощью существующего маршрутизатора в сети":

Затем укажите IP-адрес адаптера 1 сервера авторизации, через который будут проходить маршруты в защищаемый периметр и из него:

Если учетная запись данного компьютера входит в домен Windows, на одном из следующих шагов появится следующий диалог (если же используется учетная запись локального администратора,то на экране появится сообщение об ошибке "Не удалось поключиться к службе каталогов". Поле выбора контейнера для учетных записей vGate будет пустым, а кнопка "Обзор" недоступна):

Укажите организационное подразделение (OU), созданное при конфигурировании локальной сети (см. выше) для хранения служебных учетных записей vGate.

Отметьте пункт "Интеграция с Microsoft Active Directory не требуется", если не планируется аутентификация в vGate с указанием учетных данных пользователей из домена Windows.

Если учетная запись администратора не обладает правами группы Account Operators, то в процессе установки будет предложено ввести данные учетной записи, обладающей такими правами. В противном случае установка будет прекращена.

Установка для работы без отдельного маршрутизатора

Настройте на компьютере, предназначенном для сервера авторизации, два соединения локальной сети.

Выберите способ маршрутизации трафика "Маршрутизацию осуществляет сервер авторизации vGate":

Укажите сетевые параметры сервера авторизации из таблицы выше:

На экране появится диалог указания подсетей защищаемого периметра:

Если защищаемый периметр состоит из нескольких сетей, укажите их IP-адреса в текстовом поле, используя запятую в качестве разделителя:

Таким образом, передача данных внутрь защищаемого периметра будет разрешена только в том случае, если IP-адрес назначения соответствует одной из указанных подсетей.

Установка с резервным сервером авторизации vGate

Настройте на компьютере, предназначенном для основного сервера авторизации, два соединения локальной сети:

При отсутствии отдельного адаптера для сети резервирования (адаптер 2) можно присоединить IP-адрес для резервирования (172.28.1.2) к адаптеру 1 (сеть администрирования инфраструктуры) в качестве дополнительного адреса.

Затем настройте на компьютере, предназначенном для резервного сервера авторизации, два соединения локальной сети.

Затем в мастере установки выберите для установки компонент "Резервирование конфигурации". Для этого нажмите мышью на значок слева от названия компонента и в раскрывшемся меню выберите пункт "Будет установлен на локальный жесткий диск":

После установки сетевого адаптера в защищаемой подсети (см. выше), так как компонент "Резервирование конфигурации" был выбран для установки, на экране появится диалог настройки параметров репликации:

Выберите роль сервера авторизации "Основной сервер", укажите IP-адрес этого сервера, используемый для резервирования, и нажмите кнопку "Далее". На экране появится диалог настройки параметров резервного сервера:

Укажите параметры репликации для резервного сервера авторизации, используя следующие параметры:

После завершения установки основного сервера, приступаем к установке резервного сервера авторизации.

На соответствующем шаге установки vGate укажите IP-адрес сетевого адаптера резервного сервера авторизации и нажмите кнопку "Далее". На экране появится диалог настройки параметров репликации:

Выберите роль сервера авторизации "Резервный сервер", укажите IP-адрес этого сервера, используемый для резервирования, и нажмите кнопку "Далее".

На экране появится диалог настройки параметров основного сервера:

Укажите параметры репликации для основного сервера авторизации, используя следующие параметры:

Ну и, собственно, после этого начнется установка резервного сервера vGate. По завершении установки резервного сервера, настройка инфраструктуры vGate будет завершена и можно будет приступать к его эксплуатации.

Интересное:





Зал Славы Рекламодателя
Ближайшие события в области виртуализации:

Быстрый переход:
VMware Broadcom Offtopic Microsoft Veeam Cloud StarWind VMachines NAKIVO vStack Gartner Vinchin Nakivo IT-Grad Teradici VeeamON VMworld PowerCLI Citrix VSAN GDPR 5nine Hardware Nutanix vSphere RVTools Enterprise Security Code Cisco vGate SDRS Parallels IaaS HP VMFS VM Guru Oracle Red Hat Azure KVM VeeamOn 1cloud DevOps Docker Storage NVIDIA Partnership Dell Virtual SAN Virtualization VMTurbo vRealize VirtualBox Symantec Softline EMC Login VSI Xen Amazon NetApp VDI Linux Hyper-V IBM Google VSI Security Windows vCenter Webinar View VKernel Events Windows 7 Caravan Apple TPS Hyper9 Nicira Blogs IDC Sun VMC Xtravirt Novell IntelVT Сравнение VirtualIron XenServer CitrixXen ESXi ESX ThinApp Books P2V HCX vSAN Private AI VCPP VCF Workstation Labs Backup Explore vDefend Data Protection ONE Tanzu AI Intel Live Recovery VCP V2V Aria NSX DPU Update EUC Avi Community Skyline Host Client Chargeback Horizon SASE Workspace ONE Networking Ransomware Tools Performance Lifecycle Network AWS API USB SDDC Fusion Whitepaper SD-WAN Mobile VMUG SRM ARM HCI Converter Photon OS Operations VEBA App Volumes Certification VMConAWS Workspace Imager SplinterDB DRS SAN vMotion Open Source iSCSI Partners HA Monterey Kubernetes vForum Learning vRNI UAG Support Log Insight AMD vCSA NSX-T Graphics NVMe HCIBench SureBackup Carbon Black vCloud Обучение Web Client vExpert OpenStack UEM CPU PKS vROPs Stencils Bug VTL Forum Video Update Manager VVols DR Cache Storage DRS Visio Manager Virtual Appliance PowerShell LSFS Client Datacenter Agent esxtop Book Photon Cloud Computing SSD Comparison Blast Encryption Nested XenDesktop VSA vNetwork SSO VMDK Appliance VUM HoL Automation Replication Desktop Fault Tolerance Vanguard SaaS Connector Event Free SQL Sponsorship Finance FT Containers XenApp Snapshots vGPU Auto Deploy SMB RDM Mirage XenClient MP iOS SC VMM VDP PCoIP RHEV vMA Award Licensing Logs Server Demo vCHS Calculator Бесплатно Beta Exchange MAP DaaS Hybrid Monitoring VPLEX UCS GPU SDK Poster VSPP Receiver VDI-in-a-Box Deduplication Reporter vShield ACE Go nworks iPad XCP Data Recovery Documentation Sizing Pricing VMotion Snapshot FlexPod VMsafe Enteprise Monitor vStorage Essentials Live Migration SCVMM TCO Studio AMD-V KB VirtualCenter NFS ThinPrint Director Memory SIOC Troubleshooting Stretched Bugs ESA Android Python Upgrade ML Hub Guardrails CLI Driver Foundation HPC Orchestrator Optimization SVMotion Diagram Ports Plugin Helpdesk VIC VDS Migration Air DPM Flex Mac SSH VAAI Heartbeat MSCS Composer
Полезные постеры:

Постер VMware vSphere PowerCLI 10

Постер VMware Cloud Foundation 4 Architecture

Постер VMware vCloud Networking

Постер VMware Cloud on AWS Logical Design Poster for Workload Mobility

Постер Azure VMware Solution Logical Design

Постер Google Cloud VMware Engine Logical Design

Постер Multi-Cloud Application Mobility

Постер VMware NSX (референсный):

Постер VMware vCloud SDK:

Постер VMware vCloud Suite:

Управление памятью в VMware vSphere 5:

Как работает кластер VMware High Availability:

Постер VMware vSphere 5.5 ESXTOP (обзорный):

 

Популярные статьи:
Как установить VMware ESXi. Инструкция по установке сервера ESXi 4 из состава vSphere.

Включение поддержки технологии Intel VT на ноутбуках Sony VAIO, Toshiba, Lenovo и других.

Типы виртуальных дисков vmdk виртуальных машин на VMware vSphere / ESX 4.

Как работают виртуальные сети VLAN на хостах VMware ESX / ESXi.

Как настроить запуск виртуальных машин VMware Workstation и Server при старте Windows

Сравнение Oracle VirtualBox и VMware Workstation.

Что такое и как работает виртуальная машина Windows XP Mode в Windows 7.

Диски RDM (Raw Device Mapping) для виртуальных машин VMware vSphere и серверов ESX.

Работа с дисками виртуальных машин VMware.

Где скачать последнюю версию VMware Tools для виртуальных машин на VMware ESXi.

Подключение локальных SATA-дисков сервера VMware ESXi в качестве хранилищ RDM для виртуальных машин.

Как перенести виртуальную машину VirtualBox в VMware Workstation и обратно

Инфраструктура виртуальных десктопов VMware View 3 (VDI)

Как использовать возможности VMware vSphere Management Assistant (vMA).

Бесплатные утилиты для виртуальных машин на базе VMware ESX / ESXi.

Интервью:

Alessandro Perilli
virtualization.info
Основатель

Ратмир Тимашев
Veeam Software
Президент


Полезные ресурсы:

Последние 100 утилит VMware Labs

Новые возможности VMware vSphere 8.0 Update 1

Новые возможности VMware vSAN 8.0 Update 1

Новые документы от VMware

Новые технологии и продукты на VMware Explore 2022

Анонсы VMware весной 2021 года

Новые технологии и продукты на VMware VMworld 2021

Новые технологии и продукты на VMware VMworld 2020

Новые технологии и продукты на VMware VMworld Europe 2019

Новые технологии и продукты на VMware VMworld US 2019

Новые технологии и продукты на VMware VMworld 2019

Новые технологии и продукты на VMware VMworld 2018

Новые технологии и продукты на VMware VMworld 2017



Copyright VM Guru 2006 - 2025, Александр Самойленко. Правила перепечатки материалов.
vExpert Badge