Конфигурация работы через прокси-сервер

В версии 2.5 Kaspersky Container Security предоставляет возможность проксирования запросов из закрытых контуров корпоративной сети во внешнюю информационную среду. Настройка параметров, обеспечивающих взаимодействие через прокси-сервер, осуществляется с помощью следующих переменных окружения в пакете Helm Chart, который входит в комплект поставки решения:

• HTTP_PROXY – прокси-сервер для запросов по протоколу HTTP.
• HTTPS_PROXY – прокси-сервер для запросов по протоколу HTTPS.
• NO_PROXY – переменная, в которой указываются доменные имена, IP-адреса и CIDR серверов или соответствующие им маски для исключения из проксирования.

  Если используется HTTP_PROXY или HTTPS_PROXY, то переменная NO_PROXY формируется в пакете Helm Chart автоматически, в ней указываются все применяемые решением компоненты.

  Вы можете указать значение переменной NO_PROXY, если вам нужно определить дополнительные доменные имена, IP-адреса и CIDR серверов и маски инфраструктуры для работы Kaspersky Container Security, к которым требуется прямой доступ.

• SCANNER_PROXY – специализированная переменная для указания прокси-сервера, на который направляются запросы сканера компонента Защита от файловых угроз к серверам "Лаборатории Касперского" для актуализации баз данных.
• LICENSE_PROXY – специализированная переменная для указания прокси-сервера, на который направляются запросы модуля kcs-licenses к серверам "Лаборатории Касперского" для проверки и актуализации информации о действующей лицензии.

Вы можете указать значения переменных для взаимодействия через прокси-сервер следующим образом:

• Для переменных HTTP_PROXY, HTTPS_PROXY, SCANNER_PROXY, LICENSE_PROXY значение указывается в формате веб-адреса (URL) прокси-сервера:

  http://{user_name}:{password}@{server_address}:{server_port}

  где

  • {user_name}:{password} – имя пользователя и пароль, которые должны быть преобразованы в закодированный формат URL с помощью функции URLEncode. Без преобразования используются цифры, заглавные и строчные буквы латинского алфавита и следующие специальные символы: - _ . ~. Все остальные символы (в том числе символы национальных языков) заменяются знаком процента (%), за которым идут два шестнадцатеричных числа, например:

    !	#	$	&	'	(	)	*	+	,
    %21	%23	%24	%26	%27	%28	%29	%2A	%2B	%2C

    Мы реĸомендуем пользоваться специальными средствами для преобразования символов.

    Например, в утилите jq преобразование пароля в случае использования специальных символов выполняется с помощью следующей команды:

    printf %s '''<пароль>''' | jq -sRr @uri

  • {server_address} – IP-адрес или доменное имя прокси-сервера.

    Если используется доменное имя, в котором содержатся символы национальных алфавитов (например, кириллические символы), мы рекомендуем преобразовать его в последовательность символов ASCII (латинские буквы, цифры, дефис) с помощью Punycode.

  • {server_port} – серверный порт, который используется для направления сетевого трафика к конкретному приложению или процессу на сервере. Порт указывается в виде целого положительного числа.

  Необходимо экранировать специальные символы.

• Для переменной NO_PROXY значение можно указать как список доменных имен, IP-адресов и CIDR серверов, к которым обращение будет осуществляться без использования прокси-сервера. Элементы в этом списке нужно разделять запятыми, например:

  NO_PROXY: "localhost,123.0.0.1,123.0.0.0/1,10.0.0.0/1,example-domain.com,subdomain.example.com,company.com:8080,.example.com:1234"

  При указании значения переменной NO_PROXY нужно учитывать следующее:

  • Указание CIDR может работать не со всеми приложениями и процессами на сервере.
  • Доменные имена не всегда разрешаются в IP. В некоторых приложениях IP-адреса и CIDR будут использоваться только при прямом обращении по IP-адресу.
  • При указании домена из проксирования будут исключены все его поддомены. Например, для example.com прямое обращение без использования прокси-сервера также будет осуществляться для поддоменов subdomain1.example.com и subdomain2.example.com.
  • Если доменное имя начинается с точки, в большинстве случаев исключение из проксирования будет делаться для поддоменов, а не для основного домена.
  • Для доменного имени можно указать порт для исключения из проксирования (например, example.com:1234). Если порт не указан, для доменного имени применяются все порты.

Kaspersky Container Security обращается к серверам "Лаборатории Касперского" для получения информации о лицензии, обновлении антивирусных баз и баз данных уязвимостей.

Реестр "Лаборатории Касперского" также может использоваться для загрузки образов решения при развертывании и обновлении, если вы не используете частный реестр или прокси-реестр.

В конфигурации прокси-сервера требуется добавить маски доменных имен серверов "Лаборатории Касперского" в список разрешенных. Поддерживаемые варианты масок: *.kaspersky.com, .kaspersky.com, *.kaspersky-labs.com, .kaspersky-labs.com (синтаксис, который поддерживает ваш прокси-сервер, указан в документации к прокси-серверу). Для доступа к ресурсам требуется открыть порты 80 и 443.

В таблице ниже представлены компоненты Kaspersky Container Security, которые могут использовать переменные окружения, а также указаны цели использования таких переменных окружения.

Использование переменных окружения компонентами Kaspersky Container Security

Вы можете настроить работу агентов с помощью прокси-сервера, и прокси-сервер будет пропускать запросы на адрес установки Kaspersky Container Security.

Чтобы настроить работу агентов с помощью прокси-сервера:

1. В разделе Компоненты → Агенты в таблице со списком групп агентов нажмите на ссылку на названии группы агентов.
2. В открывшемся окне перейдите на вкладку Мониторинг состояния узлов и выполните следующие действия:
   • Убедитесь, что компонент Защита от файловых угроз активирован с помощью переключателя Выключить / Включить.
   • В блоке Защита от файловых угроз в значении параметра Прокси-сервер обновлений антивирусных баз укажите прокси-сервер.
   • Нажмите на кнопку Сохранить.
3. Перейдите на вкладку Данные для развертывания агентов.
4. Скопируйте или скачайте обновленную инструкцию для развертывания агентов в виде файла в формате YAML, а затем примените ее с помощью следующей команды:

   kubectl apply -f <файл> -n <пространство имен>.

5. Настройте переменные окружения HTTP_PROXY, HTTPS_PROXY или NO_PROXY в объектах Deployment и DaemonSet агентов.