Подключение компонентов Endpoint Agent через прокси-узел

Развернуть всё | Свернуть всё

В этом разделе описан сценарий развертывания Endpoint Agents для Kaspersky EDR Expert и серверов, которым они передают данные, если находятся в разных сетях. Такой подход упрощает настройку сети, обеспечивая при этом надежное подключение между Endpoint Agents и серверами.

В этом сценарии данные от Endpoint Agent, передаются через промежуточный прокси-узел. Это позволяет установить одно сетевое соединение между прокси-узлом и решением, вместо того, чтобы устанавливать несколько соединений от каждого Endpoint Agent к решению. Этот подход может быть применен как к развертыванию Kaspersky EDR Expert на одном узле, так и к развертыванию на нескольких узлах.

В разделе описана настройка прокси-сервера Nginx на Linux-устройстве. Допускается использование другого прокси-сервера с поддержкой mTLS Passthrough и, если требуется, другой операционной системы.

В этом сценарии используются примеры FQDN публичных серверов Kaspersky EDR Expert, указанных при развертывании решения <agentserver>.<smp_domain>, <ksc_host>.<smp_domain> и <kuma_host>.<smp_domain>), а также пути к файлам и директориям. Вам нужно заменить эти значения соответствующими значениями для вашей инфраструктуры.

Если вы изменили порт, используемый Endpoint Agents для подключения к компоненту agentserver, вам также нужно указать новый номер порта в конфигурационном файле Nginx.

Этапы развертывания

Развертывание с настройкой проксирования данных из Endpoint Agent через промежуточный прокси-узел состоит из следующих этапов:

1. Установка и настройка Nginx

   Установите прокси-сервер Nginx на сервер, расположенный в той же сети (или подсети), где расположен Endpoint Agent.

   1. Выполните следующие команды:

      sudo apt update

      sudo apt install nginx-full

   2. Убедитесь, что модули stream, stream_ssl и stream_ssl_preread добавлены в Nginx и загружены:

      nginx -V 2>&1 | grep -E 'stream|stream_ssl|stream_ssl_preread

      В выводе команды должны быть упомянуты модули stream, stream_ssl и stream_ssl_preread.

      На сервере установлен прокси-сервер Nginx с модулями stream, stream_ssl и stream_ssl_preread.

   3. Убедитесь, что конфигурационный файл Nginx (по умолчанию /etc/nginx/nginx.conf) содержит блок stream {}, и что в этом блоке настроено подключение к директории stream.d. Если блок stream отсутствует, добавьте этот блок на том же уровне, что и блок http {}:

      /etc/nginx/nginx.conf

      ...

      http {

      ...

      }

      stream {

      include /etc/nginx/stream.d/*.conf;

      }

   4. Создайте или отредактируйте в соответствии с приведенным ниже шаблоном файл конфигурации NGINX в формате CONF в директории /etc/nginx/stream.d/.

      Если директория /etc/nginx/stream.d/ не существует, создайте ее.

      Путь и имя конфигурационного файла Nginx: /etc/nginx/stream.d/asproxy.conf.

      Переменные шаблона (подставьте значения, соответствующие вашей инфраструктуре):

      FQDN хостов публичных сервисов Kaspersky EDR Expert, с которыми взаимодействует Endpoint Agent:

      • <agentserver>.<smp_domain> – FQDN компонента, позволяющего выполнять действия по реагированию над активами с помощью интеграции с агентом.
      • in.<какие-либо_символы>.<kuma_host>.<smp_domain> – FQDN целевого backend-сервера для телеметрии.

        Способы получения адреса сервера

        1. В главном окне приложения перейдите в раздел Мониторинг → Ресурсы и службы → Работа с сервисами → Активные сервисы.
        2. В списке служб найдите службу [OOTB] Kaspersky EDR, выберите его и в меню выберите Развернуть.
        3. В открывшемся окне скопируйте адрес сервера из поля URL шлюза API.

           Имя сервера должно соответствовать формату – in.blh4zjhm4edckdt8qyprkpm2b.kuma_host.smp_domain.

           smp_domain – имя домена, которое используется в FQDN публичных служб Kaspersky EDR Expert. Значение параметра должно соответствовать требованиям назначения имен доменов до четвертого уровня.

           Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

           kuma_host – имя устройства, которое используется в FQDN публичных служб Kaspersky EDR Expert. Имя устройства службы и доменное имя (значение параметра smp_domain) являются частью FQDN-службы.

           Значение по умолчанию параметра kuma_host: kuma.

      • <kuma_host>.<smp_domain> – FQDN целевого backend-сервера для управления агентом. Это может быть FQDN компонента OSMP для управления Endpoint Agent или FQDN подчиненного Сервера администрирования Kaspersky Security Center.

      IP-адреса:

      • <ingress_ip> – IP-адрес на входе кластера OSMP.
      • <ksc_ip> – IP-адрес подчиненного Сервера OSMP или KSC (если таковой используется).

      Существует три способа подключения агентов Endpoint Agent:

      • С помощью политики. В этом случае настройте проксирование для обмена данными между Endpoint Agent и прокси-сервером Nginx: укажите <ksc_host>.<smp_domain> и порты TCP 13000, TCP 14000 и TCP 13292.

        Пример

        # ----- SNI → upstream -------------------------------------------------

        map_hash_bucket_size 256;

        map $ssl_preread_server_name $upstream_osmp {

        hostnames;

        <agentserver>.<smp_domain> osmp-ingress;

        in.<some_symbols>.<kuma_host>.<smp_domain> osmp-ingress;

        <ksc_host>.<smp_domain> ksc_ingress;

        default deny-backend;

        }

        # ----- Backends-------------------------------------------------------

        upstream osmp-ingress {

        server <ingress_ip>:443;

        }

        upstream ksc-ingress {

        server <ingress_ip>:13000;

        server <ingress_ip>:14000;

        server <ingress_ip>:13292;

        }

        upstream deny-backend {

        server 127.0.0.1:1;

        }

        # ----- Logging---------------------------------------------------------

        log_format basic '$remote_addr [$time_local] '

        '$protocol $status $bytes_sent $bytes_received '

        '$session_time "$upstream_addr" '

        'sni="$ssl_preread_server_name" '

        '"$upstream_connect_time"';

        access_log /var/log/nginx/passthrough_access.log basic;

        error_log /var/log/nginx/passthrough_error.log notice;

        # ----- Timeouts-----------------------------------------

        preread_timeout 10s;

        proxy_connect_timeout 5s;

        proxy_timeout 30s;

        # ----- Server (port 443) ---------------------------------------------

        server {

        listen 443; # regular TCP‑port, no TLS termination

        listen 13000;

        listen 14000;

        listen 13292;

        ssl_preread on; # reads only ClientHello

        proxy_pass $upstream_osmp; # var from map

        }

      • Через политику на подчиненном сервере OSMP или KSC. В этом случае настройте проксирование для обмена данными между Endpoint Agent и прокси-сервером Nginx: укажите <ksc_host>.<smp_domain> и порты TCP 13000, TCP 14000 и TCP 13292.

        Пример

        # ----- SNI → upstream -------------------------------------------------

        map_hash_bucket_size 256;

        map $ssl_preread_server_name $upstream_osmp {

        hostnames;

        <agentserver>.<smp_domain> osmp-ingress;

        in.<some_symbols>.<kuma_host>.<smp_domain> osmp-ingress;

        <ksc_host>.<smp_domain> ksc_ingress;

        default deny-backend;

        }

        # ----- Backends-------------------------------------------------------

        upstream osmp-ingress {

        server <ingress_ip>:443;

        }

        upstream ksc-ingress {

        server <ksc_ip>:13000;

        server <ksc_ip>:14000;

        server <ksc_ip>:13292;

        }

        upstream deny-backend {

        server 127.0.0.1:1;

        }

        # ----- Logging---------------------------------------------------------

        log_format basic '$remote_addr [$time_local] '

        '$protocol $status $bytes_sent $bytes_received '

        '$session_time "$upstream_addr" '

        'sni="$ssl_preread_server_name" '

        '"$upstream_connect_time"';

        access_log /var/log/nginx/passthrough_access.log basic;

        error_log /var/log/nginx/passthrough_error.log notice;

        # ----- Timeouts-----------------------------------------

        preread_timeout 10s;

        proxy_connect_timeout 5s;

        proxy_timeout 30s;

        # ----- Server (port 443) ---------------------------------------------

        server {

        listen 443; # regular TCP‑port, no TLS termination

        listen 13000;

        listen 14000;

        listen 13292;

        ssl_preread on; # reads only ClientHello

        proxy_pass $upstream_osmp; # var from map

        }

      • Локально. В этом случае на прокси-сервере Nginx не нужно настраивать <ksc_host>.<smp_domain> и TCP-порты. Подробнее см. шаг 3 этого сценария.

        Пример

        # ----- SNI → upstream -------------------------------------------------

        map_hash_bucket_size 256;

        map $ssl_preread_server_name $upstream_osmp {

        hostnames;

        <agentserver>.<smp_domain> osmp-ingress;

        in.<some_symbols>.<kuma_host>.<smp_domain> osmp-ingress;

        default deny-backend;

        }

        # ----- Backends-------------------------------------------------------

        upstream osmp-ingress {

        server <ingress_ip>:443;

        }

        upstream deny-backend {

        server 127.0.0.1:1;

        }

        # ----- Logging---------------------------------------------------------

        log_format basic '$remote_addr [$time_local] '

        '$protocol $status $bytes_sent $bytes_received '

        '$session_time "$upstream_addr" '

        'sni="$ssl_preread_server_name" '

        '"$upstream_connect_time"';

        access_log /var/log/nginx/passthrough_access.log basic;

        error_log /var/log/nginx/passthrough_error.log notice;

        # ----- Timeouts-----------------------------------------

        preread_timeout 10s;

        proxy_connect_timeout 5s;

        proxy_timeout 30s;

        # ----- Server (port 443) ---------------------------------------------

        server {

        listen 443; # regular TCP-port, no TLS termination

        ssl_preread on; # reads only ClientHello

        proxy_pass $upstream_osmp; # var from map

        }

   5. Проверьте конфигурацию NGINX:

      nginx -t

      Вывод команды при успешном прохождении теста:

      nginx: the configuration file /etc/nginx/nginx.conf syntax is ok

      nginx: configuration file /etc/nginx/nginx.conf test is successful

   6. Перезагрузите NGINX для применения изменений в конфигурационном файле:

      nginx -s reload

   Установленный прокси-сервер Nginx настроен для проксирования данных Endpoint Agent.

2. Настройка связи по сети между прокси-узлом NGINX и Kaspersky EDR Expert
   1. Настройка сетевых подключений. Убедитесь, что параметры сети (сетевой экран, маршрутизация) разрешают исходящие подключения от прокси-сервера к платформе OSMP и вторичному серверу OSMP или KSC через порты TCP 13000, TCP 14000, TCP 13292 и TCP 443.
   2. Конфигурация сети должна обеспечивать маршутизацию запросов узлов Endpoint Agent к <smp_domain> на прокси-узел.
3. Настройка Endpoint Agent в Kaspersky Endpoint Security для Windows для работы через прокси-узел
   1. Настройка сетевых подключений. Убедитесь, что параметры сети (сетевой экран, маршрутизация) разрешают исходящие подключения от Endpoint Agents к прокси-узлу через порты TCP 13000, TCP 14000, TCP 13292 и TCP 443.
   2. Скачайте следующие сертификаты OSMP:
      • certificate.pem – сертификат сервера реагирования
      • certificate.pfx – сертификат Endpoint Agent
      • [OOTB] Kaspersky EDR – сертификат сервера телеметрии
   3. Скопируйте файлы сертификатов на сервер, где установлен Endpoint Agent (для примера в этом разделе – C:\Users\TestUser\).
   4. Откройте командную строку cmd.exe с правами администратора.
   5. Перейдите в директорию, содержащую исполняемый файл Endpoint Agent, и выполните следующую команду:

      ./avp.com EDREXPERTONPREM `

      /SET /mode=EDRExpertOnPrem `

      /servers=<agentserver>.<smp_domain>:443 `

      /server-certificate=C:\Users\TestUser\certificate.pem `

      /client-certificate=C:\Users\TestUser\certificate.pfx `

      /client-certificate-password=client certificate password`

      /telemetry-servers=in.blh4zjhm4edckdt8qyprkpm2b.<kuma_host>.<smp_domain>:443 `

      /telemetry-server-certificate='C:\Users\TestUser\[OOTB] Kaspersky EDR' `

      /telemetry-client-certificate=C:\Users\TestUser\certificate.pfx `

      /telemetry-client-certificate-password=client certificate password

   6. Запустите Kaspersky EDR Expert, если решение еще не запущено:

      ./avp.com start EDREXPERTONPREM

Подробнее о настройке Endpoint Agent с помощью командной строки см. в документации Kaspersky Endpoint Security.