Для подключения VPN-клиентов к корпоративной сети необходимо настроить UserGate для выполнения роли VPN-сервера. Для этого необходимо выполнить следующие шаги:
|
Наименование |
Описание |
|---|---|
|
Шаг 1. Разрешить сервис VPN на зоне, к которой будут подключаться VPN-клиенты |
В разделе Сеть --> Зоны отредактировать параметры контроля доступа для той зоны, к которой будут подключаться VPN-клиенты, разрешить сервис VPN. Как правило, это зона Untrusted. |
|
Шаг 2. Создать зону, в которую будут помещены подключаемые по VPN клиенты |
В разделе Сеть --> Зоны создать зону, в которую будут помещены подключаемые по VPN клиенты. Эту зону в дальнейшем можно использовать в политиках безопасности. Рекомендуется использовать уже существующую по умолчанию зону VPN for remote access. |
|
Шаг 3. Создать правило NAT для созданной зоны |
Клиенты подключаются к VPN с использованием Point-to-Point протокола. Чтобы трафик мог ходить из созданной на предыдущем шаге зоны, необходимо создать правило NAT из этой зоны во все необходимые зоны. Создайте соответствующее правило в разделе Политики сети --> NAT и маршрутизация. По умолчанию в UserGate создано правило NAT from VPN for remote access to Trusted and Untrusted, разрешающее наттирование из зоны VPN for remote access в зоны Trusted и Untrusted. |
|
Шаг 4. Создать разрешающее правило межсетевого экрана для трафика из созданной зоны |
В разделе Политики сети --> Межсетевой экран создать правило межсетевого экрана, разрешающее трафик из созданной зоны в другие зоны. По умолчанию в UserGate создано правило межсетевого экрана VPN for remote access to Trusted and Untrusted, разрешающее весь трафик из зоны VPN for remote access в зоны Trusted и Untrusted. |
|
Шаг 5. Создать профиль авторизации |
В разделе Пользователи и устройства --> Профили авторизации создать профиль авторизации для пользователей VPN. Допускается использовать тот же профиль авторизации, что используется для авторизации пользователей для получения доступа к сети интернет. Следует учесть, что для авторизации VPN нельзя использовать методы прозрачной авторизации, такие как Kerberos, NTLM, SAML IDP. VPN поддерживает многофакторную авторизацию. Второй фактор авторизации может быть получен через одноразовые коды TOTP, sms или e-mail. Для ввода второго фактора авторизации пользователь при подключении к VPN серверу должен указать свой пароль в виде: пароль:одноразовый_код где пароль - это пароль пользователя : - разделитель одноразовый_код - второй фактор авторизации. Подробно о профилях авторизации смотрите в разделе данного руководства Профили авторизации. |
|
Шаг 6. Создать профиль безопасности VPN |
Профиль безопасности VPN определяет такие настройки, как общий ключ шифрования (Preshared key) и алгоритмы для шифрования и аутентификации. Допускается иметь несколько профилей и использовать их для построения соединений с разными типами клиентов. Для создания профиля необходимо перейти в раздел VPN --> Профили безопасности VPN, нажать кнопку Добавить и заполнить следующие поля:
По умолчанию в UserGate создан серверный профиль Remote access VPN profile, задающий необходимые настройки. Если вы собираетесь использовать этот профиль, то необходимо изменить общий ключ шифрования. |
|
Шаг 7. Создать VPN-интерфейс |
VPN-интерфейс -- это виртуальный сетевой адаптер, который будет использоваться для подключения клиентов VPN. Данный тип интерфейса является кластерным, это означает, что он будет автоматически создаваться на всех узлах UserGate, входящих в кластер конфигурации. При наличии кластера отказоустойчивости клиенты VPN будут автоматически переключаться на запасной сервер в случае обнаружения проблем с активным сервером без разрыва существующих VPN-соединений. В разделе Сеть --> Интерфейсы нажмите кнопку Добавить, и выберите Добавить VPN. Задайте следующие параметры:
По умолчанию в системе уже создан VPN-интерфейс tunnel1, который рекомендовано использовать для Remote access VPN. |
|
Шаг 8. Создать сеть VPN |
VPN-сеть определяет сетевые настройки, которые будут использованы при подключении клиента к серверу. Это в первую очередь назначение IP-адресов клиентам внутри туннеля, настройки DNS и - опционально - маршруты, которые будут переданы клиентам для применения, если клиенты поддерживает применение назначенных ему маршрутов. Допускается иметь несколько туннелей с разными настройками для разных клиентов. Для создания туннеля VPN перейдите в раздел VPN --> Сети VPN, нажмите кнопку Добавить и заполните следующие поля:
В UserGate создана сеть Remote access VPN network с рекомендуемыми настройками. |
|
Шаг 9. Создать серверное правило VPN |
Создать серверное правило VPN, используя в нем созданные ранее сеть VPN, интерфейс VPN и профиль VPN. Для создания правила необходимо перейти в раздел VPN --> Серверные правила, нажать кнопку Добавить и заполнить следующие поля:
По умолчанию в UserGate создано серверное правило Remote access VPN rule, в котором используются необходимые настройки для Remote Access VPN, а доступ к VPN разрешен членам локальной группы VPN users. Важно! Для применения различных серверных правил к разным клиентам необходимо использовать параметры Исходная зона и Адрес источника. Параметр Пользователь не является условием выбора серверного правила, проверка пользователя происходит уже после установления соединения VPN. |
|
Шаг 10. Настроить VPN на клиентском компьютере |
Для настройки клиентского подключения к VPN на компьютере пользователя необходимо указать следующие параметры:
Важно! Операционные системы Microsoft Windows требуют изменения параметров реестра для корректной работы с VPN-сервером L2TP/IPSec. Обратитесь к статье Microsoft https://support.microsoft.com/en-us/help/926179/how-to-configure-an-l2tp-ipsec-server-behind-a-nat-t-device-in-windows за подробной инструкцией. |