Создание профиля управляемого VPN устройства с использованием вкладок VPN data maker

VPN product  только в режиме шаблона профиля – выпадающий список, из которого выбирается VPN продукт, для которого далее задаются все настройки во вкладках:

CSP VPN Client 3.1

CSP VPN Server 3.1

CSP VPN Gate 3.1

CSP VPN Gate 3.1 on token

CSP VPN Client 3.11

CSP VPN Server 3.11

CSP VPN Gate 3.11

CSP VPN Gate 3.11 on token

S-Terra Client 4.0

S-Terra Server 4.0

S-Terra Gate 4.0

S-Terra Client 4.1

S-Terra Gate 4.1

S-Terra Client 4.2

S-Terra Gate 4.2

Crypto provider – выпадающий список с используемой криптобиблиотекой в VPN продукте:

•      CryptoPro – КриптоПро CSP 3.9/4.0 компании «Крипто-Про»

•      S-Terra – криптобиблиотека компании «С-Терра СиЭсПи»

LSP – вкладка для задания LSP (Рисунок 372):

•      LSP format is cisco-like – установка этого флажка говорит о том, что политика безопасности будет представлена в формате cisco-like конфигурации

•      Load from file… - нажатие этой кнопки вызывает окно для загрузки LSP из файла

•    Check – запускает процесс проверки синтаксиса LSP. В этой версии продукта проверка синтаксиса в cisco-like конфигурации не производится

•      Run Wizard… – вызывает окно мастера задания настроек.

Certificates – вкладка для задания СА, локальных, партнерских и списков отозванных сертификатов для VPN продукта (Рисунок 373).

Рисунок 373

Область Trusted CA certificates содержит информацию о текущем СА сертификате Удостоверяющего Центра, которым подписаны локальные сертификаты управляемых VPN устройств, и содержит поля:

•      Subject – поле идентификации субъекта (владельца) сертификата

•      Issuer – поле идентификации издателя, выпустившего сертификат

•      Serial number – серийный номер сертификата

View… - нажатие этой кнопки доступно при выделенном сертификате и вызывает окно Certificate description с более подробной информацией.

Add… – кнопка предназначена для добавления СА сертификата, сохраненного в удаленном файловом хранилище.

Add from CA… –вызывает окно Issued certificates и позволяет добавить CA сертификат, используемый для подписи локальных сертификатов, выпущенных при помощи инструмента CA Tools.

Remove – удаляет выделенный сертификат.

Область Local certificates содержит информацию о локальных сертификатах для данного управляемого VPN устройства и содержит поля:

•      Subject – поле идентификации субъекта (владельца) сертификата

•      Issuer – поле идентификации издателя, выпустившего сертификат

•      Serial number – серийный номер сертификата

•      Container name – имя контейнера

Modify… - нажатие этой кнопки доступно при выделенном сертификате и вызывает окно Certificate description с более подробной информацией и возможностью задать/изменить имя контейнера и пароль к нему на управляемом VPN устройстве.

Add… – кнопка предназначена для добавления локального сертификата, сохраненного в удаленном файловом хранилище.

Add from CA… –вызывает окно Issued certificates и позволяет добавить локальный сертификат, выпущенный при помощи инструмента CA Tools.

Remove – удаляет выделенный сертификат.

Область Remote certificates содержит информацию о всех сертификатах партнеров для данного управляемого VPN устройства, а также возможные промежуточные СА сертификаты. Область содержит поля:

•      Subject – поле идентификации субъекта (владельца) сертификата

•      Issuer – поле идентификации издателя, выпустившего сертификат

•      Serial number – серийный номер сертификата

View… - нажатие этой кнопки доступно при выделенном сертификате и вызывает окно Certificate description с более подробной информацией.

Add… – кнопка предназначена для добавления сертификата партнера, сохраненного в удаленном файловом хранилище.

Add from CA… –вызывает окно Issued certificates и позволяет добавить локальный сертификат партнера, выпущенный при помощи инструмента CA Tools.

Remove – удаляет выделенный сертификат.

Область CRLs содержит список отозванных сертификатов и имеет поля:

•      Issuer – поле идентификации издателя, выпустившего сертификат

•      Effective date – дата начала помещения сертификата в список отозванных

•      Next update – дата следующего обновления

View… - нажатие этой кнопки доступно при выделенном сертификате и вызывает окно Certificate description с более подробной информацией.

Add… – кнопка предназначена для добавления сертификата, сохраненного в удаленном файловом хранилище, в список отозванных.

Remove – удаляет выделенный сертификат.

Keys – вкладка для задания предопределенных ключей для взаимодействия VPN продукта с партнерами (Рисунок 374).

Рисунок 374

Область Preshared keys содержит информацию о предопределенных ключах и имеет поля:

•      Name – имя ключа

•      Value – значение ключа

•      Hex value – значение ключа в шестнадцатеричном представлении

Modify… - нажатие этой кнопки доступно при выделенном ключе и вызывает окно Preshared key для редактирования имени или значения ключа.

Add… – открывает окно Preshared key для добавления предопределенного ключа.

Remove – удаляет выделенный предопределенный ключ.

Settings – вкладка для задания настроек управляемого VPN устройства (Рисунок 375).

Рисунок 375

Область Syslog settings содержит информацию о настройках протоколирования и имеет поля:

•      Server IP address – адрес компьютера, на который будут посылаться cообщения о протоколируемых событиях. Значение по умолчанию – 127.0.0.1 означает, что сообщения посылаются на локальный хост.

•      Severity – задание общего уровня протоколирования. Содержит выпадающий список значений – emerg, alert, crit, err, warning, notice, info, debug. Значение по умолчанию – info.

•      Facility – источник выдаваемых сообщений. Значение по умолчанию – local7.

Область Default policy содержит информацию о политике безопасности по умолчанию и имеет поля:

•      Default driver policy (DDP) – политика драйвера по умолчанию:

•      pass all - пропускать весь трафик. Значение по умолчанию

•      pass dhcp - пропускать пакеты только по протоколу DHCP

•      drop all - не пропускать трафик.

Политика DDP загружается в следующих случаях:

•      при ошибке загрузки конфигурации,

•      до старта VPN Service,

•      при остановке VPN Service.

•      Log-out policy – специальная политика безопасности, которая задается администратором при подготовке инсталляционного пакета, и служит для безопасности работы пользователя, при которой управляемое VPN устройство не может создавать защищенных соединений. Эта политика работает по одному из двух правил:

•      Default Driver Policy (DDP) – политика драйвера по умолчанию

•      pass dhcp – пропускать пакеты только по протоколу DHCP. Будут уничтожаться все пакеты, кроме исходящих UDP-пакетов на порт 67 и входящих UDP-пакетов на порт 68.

Политика Log-out policy загружается автоматически в следующих случаях:

•      до тех пор, пока пользователь не ввел свой пароль,

•      при вводе неверного пароля три раза,

•      при отказе от регистрации (login), если нажать кнопку Cancel,

•      при выходе пользователя из системы,

•      при смене пользователя,

•      если при загрузке конфигурации обнаружены ошибки (если была ранее загружена Log-out policy).

Область Loggining доступна только для S-Terra Client и содержит/не содержит отметку об использовании неинтерактивного логина пользователя.

•      Use non interactive user login – при установке этого флажка S-Terra Client будет использовать неинтерактивный режим логина, а при снятии – интерактивный режим логина:

•      Неинтерактивный режим – при входе пользователя в систему производится попытка логина в продукт S-Terra Client с пустым паролем (в качестве пароля используется пустая строка). При таком успешном логине окно с запросом пароля не выводится. При неуспешном логине – Продукт ведет себя как при интерактивном режиме.

•      Интерактивный режим – выдается окно запроса пароля для регистрации в Продукте S-Terra Client. Этот режим используется по умолчанию.

В случае неинтерактивного логина Log-off policy при старте не загружается.

Область Installing доступна только для S-Terra Client и предназначена для задания дополнительных параметров запуска Windows Installer. В поле Additional msiexec parameters можно установить параметры:

•      /l* C:\Client\install_log_file.txt - протоколирование событий в файл C:\Client\install_log_file.txt при установке S-Terra Client (рекомендуется при режиме silent). 

•      INSTALLDIR=директория установки продукта – переопределение директории. Указание директории, недоступной на компьютере пользователя, приведет к ошибке установки.

•      Можно часть текста заключить в символы % (процент) и она будет рассматриваться как имя переменной окружения. И эта часть текста будет заменяться на значение переменной окружения (значения переменных окружения можно просмотреть командой set). Если переменная окружения отсутствует, в команде остается исходный текст.

Поддерживается специальная переменная окружения SfxDir – полный путь к директории, в которую распакованы данные. Таким образом, последовательность символов %SfxDir% заменяется на полный путь к директории, в которую распакованы данные. 

•      REBOOT=F – обязательно запрашивать перезагрузку системы в конце установки, даже если она не инициируется инсталлятором.

•      REBOOT=S – отключить запрос на перезагрузку системы в конце установки. Не блокировать перезагрузку в случае ForceReboot action.

•      REBOOT=R – полностью отключить все запросы на перезагрузку системы, включая ForceReboot action. Используется для установки нескольких продуктов и/или выполнения дополнительных действий после установки. После этого перезапустить систему вручную или с помощью сторонних инструментальных средств.

•      MAX_SERVICE_START_TIMEOUT= … – время (в секундах) ожидания старта VPN сервиса (vpnsvc). Максимальное значение – 600 секунд. Значение по умолчанию – 30. Можно использовать для предотвращения появления сообщений об ошибке связи с сервисом на этапе логина для медленных и/или находящихся под сильной нагрузкой систем

•      AGENT_DB_REMOVE=1 – автоматически (без дополнительных запросов) будет удаляться база локальных настроек при установке или при удалении VPN продукта. Рекомендуется использовать для режима инсталляции silent

•      AGENT_DB_REMOVE=0 – база локальных настроек удаляться не будет, запросы пользователю выдаваться не будут. По умолчанию (параметр пустой) - пользователю выдается запрос на удаление базы локальных настроек.

•      DISABLE_ANTIVIRUS_WARNING=1 – при установке не будет показываться предупреждение 25036 (о необходимости отключения антивирусных программ).

•      REBOOT_REQUIRED=1 – принудительно инициировать запрос на перезагрузку системы в конце установки. Параметр обычно выставляется автоматически (при необходимости).

•   DISABLE_CALL_LOGIN=1 – в конце установки логин не запустится. Устанавливать параметр имеет смысл только для интерактивного логина (NON_INTERACTIVE_LOGIN=0) на Windows Vista и более поздних версиях.

•      DISABLE_LOGIN_PROTECTION=1 – отключает функциональность по защите до логина в ОС (опция «Allow IPsec protection before user login»). По умолчанию защита включена.

Эти параметры можно посмотреть по ссылке http://msdn.microsoft.com/library/default.asp?url=/library/en-us/msi/setup/command_line_options.asp 

License – вкладка для ввода данных лицензии на VPN продукт, а также лицензии на СКЗИ «КриптоПро» (Рисунок 376).

Рисунок 376

Область VPN product licence содержит поля для ввода данных лицензии на VPN продукт:

•      Product – VPN продукт

•      Customer code – код пользователя

•      License number – номер лицензии

•      License code – код лицензии

Load from file… - при нажатии этой кнопки происходит загрузка данных лицензии из указанного текстового файла. В файле данные лицензии должны быть записаны в виде:

[license]

CustomerCode=NNNN

ProductCode=CLIENT/GATE/…/…

LicenseNumber=NNNN

LicenseCode=XXXXX-XXXXX-XXXXX-XXXXX-XXXXX 

Check license – проверка правильности введенных данных лицензии

После ввода лицензии, нижеприведенные параметры будут отображать ограничения, устанавливаемые текущей лицензией:

•      Maximum SAs – максимальное число SA или Unlimited

•      Expiration date – дата окончания действия лицензии или Unlimited

•      Transit SA – разрешение/запрещение транзитного трафика.

Область Crypto provider license содержит поле для ввода серийного номера лицензии на использование СКЗИ «КриптоПро».

Interfaces – вкладка для задания настроек сетевых интерфейсов управляемого VPN устройства (Рисунок 377).

Рисунок 377

Virtual device address – поле доступно только для продукта CSP VPN Gate on token. В это поле вносится адрес, с которым будут приходить пакеты к партнерам от СПДС «ПОСТ», подключенному к любому компьютеру или терминалу (описано в разделе «Настройка СПДС «ПОСТ»).

Network interface descriptions –раздел в котором можно задать интерфейсы и сетевые настройки, содержит поля:

•      Name – физическое имя интерфейса

•      Description – значения адресов и масок интерфейсов

Для активации области необходимо установить флажок “Network interface descriptions”, тогда справа станут доступны кнопки управления интерфейсами.

Modify… - нажатие этой кнопки доступно при выделенной записи об интерфейсе и вызывает окно Network interface description для редактирования имени или адреса интерфейса

Add… - вызывает окно Network interface description для задания настроек сетевых интерфейсов (Рисунок 378): в поле Interface name указывается физическое имя интерфейса, и при нажатии кнопки Add… назначается IP-адрес и маска подсети. В поле Interface MTU указывается значение MTU для данного интерфейса.

Рисунок 378

Remove – удаляет запись об интерфейсе

Up – поднимает запись об интерфейсе на строчку вверх. Доступно только для Gate on token.

Down - опускает запись об интерфейсе на строчку вниз. Доступно только для Gate on token.

Load… - позволяет загрузить настройки сетевых интерфейсов из заранее подготовленных профайлов. Доступно только для Gate on token.

Save… - позволяет сохранить настройки сетевых интерфейсов в профайл. Доступно только для Gate on token.

Редактирование настроек для продукта CSP VPN Gate on token выполняется в окне Edit connection, появляющемся при нажатии кнопки Add...

Окно Edit connection

В этом окне настраиваются для СПДС «ПОСТ» профили как проводных соединений (Ethernet) так и беспроводных (Wi-Fi). Для настройки соединения с мобильной сетью WiMAX см. примечание в разделе «Проводное соединение».

Проводное соединение (Ethernet)

Для настройки проводного соединения следует установить в поле Connection type значение Wired (Рисунок 379).

Connection type – тип соединения: Wired – проводное соединение, Wireless – беспроводное соединение Wi-Fi.

Connection ID – идентификатор соединения, свободное текстовое поле.

Method – метод получения IP-адреса для соединения: Auto – автоматическое получение адреса по протоколу DHCP, Manual – задание адресов вручную.

Рисунок 379

DHCP client ID – идентификатор профиля, передается на сервер DHCP при запросе адреса. Свободное текстовое поле.

Interface addresses – область для задания IP-адресов интерфейса. Доступна только при настройке вручную.

DNS servers – список IP-адресов DNS-серверов. Если в поле Method установлено значение «Auto», то перечисленные здесь адреса добавляются к списку, полученному от сервера DHCP. IP-адреса в списке разделяются двоеточием или запятой или пробелом.

Search domains – список DNS-суффиксов по умолчанию, которые используются при разрешении доменных имён. Формат поля – список доменных имён, разделенных двоеточием или запятой, или пробелом.

MTU – MTU соединения, значение по умолчанию – 0. Допустимые значения 0-65535.

MAC address – MAC-адрес сетевой платы, для которой описывается соединение. Формат - шесть пар шестнадцатеричных символов без разделителя или разделенных двоеточием, или запятой, или пробелом. Поле можно оставить пустым, тогда соединение будет устанавливаться с использованием первой попавшейся сетевой карты в компьютере, но это может привести к невозможности установления соединения, если в компьютере установлено несколько сетевых карт.

Autoconnect –устанавливать соединение автоматически при старте сеанса работы пользователя.

Connection check – скрипт для проверки возможности установления соединения с удалённым сервером. Выбор из списка фиксированных значений, с возможностью редактирования.

•      Speed test – скрипт для проверки качества (скорости) соединения. Выбор из списка фиксированных значений, с возможностью редактирования.

Беспроводное соединение Wi-Fi

Во вкладке General задаются общие настройки для беспроводного соединения, такие же, как и описанные в разделе проводного соединения. Во вкладке WiFi settings задаются специфичные настройки для беспроводного соединения (Рисунок 380). Эта вкладка изменяется в зависимости от настройки оборудования и безопасности сети. Некоторые настройки имеют очень специальное техническое значение и не описываются даже в документации на Network Manager, а дается ссылка на документацию wpa_supplicant (это утилита для настройки беспроводной сети).

Рисунок 380

SSID – идентификатор беспроводной сети. Свободное текстовое поле.

Security – базовый алгоритм безопасности сети. Предустановленный список значений: «None» – открытая сеть, «WEP 40/128-bit key (hex or ASCII)» и «WEP 128-bit passphrase» – варианты защиты сети по алгоритму WEP, различаются способом задания ключа (в настоящий момент объявлены устаревшими, т.к. используют криптографические алгоритмы недостаточной стойкости), «WPA & WPA2 Personal» – сеть защищена с помощью алгоритма WPA с использованием разделяемого ключа, «WPA & WPA2 Enterprise» – аутентификация пользователя в сети производится с помощью сервера RADIUS с использованием протокола EAP, предназначено для использования в корпоративных сетях.

Mode – режим настройки сети: «Infrastructure» – доступ к сети обеспечивается через точку доступа, «Ad-hoc» – децентрализованная самоорганизующаяся беспроводная сеть, не имеющая постоянной структуры, нет точек доступа.

Band – поле доступно, если в поле Mode выбрано значение «Ad-hoc» (Рисунок 381).  Диапазон работы беспроводной сети: «Automatic» – нет предпочтения, «A (5 GHz)» и «B/G (2,4 GHz)».

Channel – поле доступно, если в поле Mode выбрано значение «Ad-hoc». Номер канала в выбранном диапазоне. Свободное текстовое поле, можно вводить только цифры.

Рисунок 381

Key – поле доступно, если в поле Security выбран один из вариантов WEP. Ключ доступа к беспроводной сети, защищённой с помощью алгоритма WEP. Допустимые значения зависят от выбранного варианта в поле Security: «WEP 40/128-bit key (hex or ASCII)» – длина ключа фиксирована ровно 5 или 13 символов, или второй вариант - ровно 10 или 26 шестнадцатеричных цифр, «WEP 128-bit passphrase» – нет ограничений, но перед доставкой профиля на СПДС «ПОСТ» вычисляется контрольная сумма введённого ключа, который и используется в дальнейшем, и обратно получить исходный ключ не представляется возможным (так работает Network Manager, если сказать другими словами, то исходный ключ в профиле сохраняется пока профиль находится на Сервере управления, а на СПДС «ПОСТ» передается контрольная сумма этого ключа).

Show key – Доступно только при выборе одного из вариантов WEP в поле Security. Установка флажка позволяет показать открытым текстом ключ доступа к сети.

WEP index – поле доступно, если в поле Security выбран один из вариантов WEP. Задает используемый индекс ключа WEP. Выбор из списка предустановленных значений: «1 (default)», «2», «3» и «4». Примечание: Редактор позволяет задать до четырёх ключей, переключая значения в этом поле.

Authentication – выбор алгоритма аутентификации пользователя для доступа к сети. Допустимые значения зависят от выбранного варианта в поле Security: для любого из вариантов WEP – «Open system» и «Shared key»; для «WPA & WPA2 Enterprise» – «LEAP», «Tunneled TLS» и «Protected EAP (PEAP)»; с другими значениями поля Security данное поле не используется.

Anonymous ID – нулевой идентификатор. Доступно только при выборе в поле Security значения «WPA & WPA2 Enterprise», а в поле Authentication - значения «Tunneled TLS» или «Protected EAP (PEAP)».

Username – имя пользователя для входа в сеть. Доступно только при выборе в поле Security значения «WPA & WPA2 Enterprise» (Рисунок 382).

Рисунок 382

Password – пароль пользователя для входа в сеть. Доступно только при выборе в поле Security значения «WPA & WPA2 Enterprise».

Show password – установка флажка позволяет значение пароля доступа к сети. Доступно только при выборе одного из вариантов WPA в поле Security.

Inner authentication – протокол аутентификации второй фазы. Выбор из списка предустановленных значений зависит от значения, установленного в поле Authentication – для «Tunneled TLS»: «PAP», «CHAP», «MSCHAP» или «MSCHAPv2»; для «Protected EAP (PEAP)»: «MSCHAPv2» или «MD5». С другими значениями поле Authentication не используется.

PEAP version – версия протокола PEAP: «Version 0» и «Version 1».

Extending routing – область предназначена для добавления сетевых маршрутов и содержит поля:

•      Destination – адрес назначения

•      Gateway – адрес шлюза до сети назначения

Modify… - нажатие этой кнопки доступно при выделенном маршруте и вызывает окно Route description для редактирования адреса назначения или шлюза.

Add… – открывает окно Route description (Рисунок 383) для задания параметров маршрутизации:

•      Destination address– адрес назначения и маска подсети

•      Gateway type – тип сетевого адреса, через который будет задаваться сетевой маршрут

•      normal – обычный, доступный для устройства, сетевой адрес

•      default gateway – адрес шлюза по умолчанию

•      virtual device address - адрес виртуального интерфейса, поднимаемого при построении защищенного соединения (актуально только для Gate on token)

•      Gateway address– адрес шлюза до сети назначения

Рисунок 383

Remove – удаляет выделенный маршрут.

Рисунок 384

Network interface aliases – установка этого флажка позволяет добавлять, модифицировать, удалять логические и физические имена сетевых интерфейсов (Рисунок 384). Область содержит поля:

•      Logical name – логическое имя интерфейса

•      Physical name – физическое имя интерфейса

Modify… - нажатие этой кнопки доступно при выделенном интерфейсе и вызывает окно Network interface alias для редактирования имен интерфейсов.

Add… – открывает окно Network interface alias (Рисунок 385) для задания имен интерфейсов.

Рисунок 385

Remove – удаляет выделенный интерфейс.

Driver settings – установка флажка позволяет изменить настройки IPsec драйвера, установленные по умолчанию. При нажатии кнопки Add… открывается окно Driver settings description (Рисунок 386) в котором можно выбрать имя переменной и задать ее значение. Эти настройки имеются только у продукта CSP VPN Gate/S-Terra Gate. Описание этих настроек (утилита drv_mgr) см. в документе «Специализированные команды», входящем в состав «Руководства администратора Программного комплекса С-Терра Шлюз».

Рисунок 386

RNG container – вкладка задания местоположения криптографического (RNG) контейнера, содержащего инициализационные данные для датчика случайных чисел (ДСЧ). RNG контейнер представляет собой директорию, поэтому имя контейнера – имя директории (Рисунок 387). Используется только для криптопровайдера SignalCOM.

При создании дистрибутива продукта CSP VPN Client/CSP VPN Server надо указать имя директории для нового контейнера, если указанной директории нет - она будет создана. При создании обновления для этих продуктов указывается уже существующий RNG контейнер. Для продукта CSP VPN Gate процедура инициализации выполняется только один раз, поэтому в этой вкладке указывается уже существующий RNG контейнер, как при создании инициализационного скрипта, так и при создании обновления.

В этой вкладке может использоваться подстановка %INSTALLDIR%, которая означает директорию, в которую установлен CSP VPN Agent. Значения по умолчанию – директории CSP VPN Client, CSP VPN Server, CSP VPN Gate.

Рисунок 387

Software – вкладка для задания настроек дополнительных продуктов, установленных на управляемом устройстве (Рисунок 388). Эта вкладка доступна для редактирования только для продукта CSP VPN Gate, установленного на СЗН «СПДС-USB-01».

Рисунок 388

Область User target software предназначена для задания параметров целевого ПО и содержит поля:

•      Software type – содержит выпадающий список типов ПО, установленных на управляемом VPN устройстве (Web client, RDP client, Other client)

•      Web client – целевое ПО для удаленного доступа к защищаемым ресурсам в качестве Web-клиента

•      RDP client – целевое ПО для удаленного доступа к защищаемым ресурсам в качестве RDP-клиента

•      Other client – другое целевое ПО

•      Software server address – адрес защищаемого сервера, к которому осуществляется удаленный доступ с управляемого VPN устройства. Это может быть один IP-адрес (IPv4) либо список адресов, разделенных точкой с запятой. Для целевого ПО Firefox – указывается полный URL-адрес.

•      Software user name – имя пользователя, который будет иметь доступ к удаленному серверу

•      Software options – дополнительные настройки для целевого ПО

Установка флажка Allow manual network connections в области User privileges позволяет пользователю редактировать сетевые настройки.