Включение и выключение обработки сетевого трафика с ненулевой мандатной меткой

Инструкцию по включению обработки сетевого трафика с ненулевой мандатной меткой следует выполнять, если прокси-сервер Squid поддерживает обработку сетевых запросов с ненулевыми мандатными метками и будет направлять на ICAP-сервер сетевой трафик со значением мандатной метки больше 0. Подробнее о поддержке обработки мандатных меток сервисом Squid вы можете узнать в документации Astra Linux или обратившись в техническую поддержку Astra Linux.

Необходимо выполнить шаги инструкций на каждом узле кластера KWTS.

Чтобы включить возможность обработки сетевого трафика с ненулевой мандатной меткой:

1. В разделе Параметры → Общие → ICAP-сервер измените тип сокета ICAP-сервера на UDS.
2. В директории /usr/lib/systemd/system/ создайте файл kwts_klbp.service следующего содержания:

    

   [Unit]

   Description=kwts klbp

   Wants=local-fs.target

   After=local-fs.target

   Requires=kwts.create-runtime-dir.service

   After=kwts.create-runtime-dir.service

    

   [Service]

   CapabilitiesParsec=PARSEC_CAP_PRIV_SOCK

   Type=simple

   User=kluser

   Group=klusers

   UMask=007

   TimeoutSec=5sec

   SyslogIdentifier=kwts_klbp

   EnvironmentFile=/etc/opt/kaspersky/kwts/klbp.conf

   ExecStart=/bin/sh -c '/opt/kaspersky/kwts/libexec/klbp --downstream_socket=$downstream_socket --upstream_socket=$upstream_socket'

    

   [Install]

   WantedBy=multi-user.target

3. Назначьте файлу kwts_klbp.service следующие права:
   • Владелец: root.
   • Группа: root.
   • Права владельца: rw.
   • Права группы и others: r.
4. В конфигурационном файле /etc/opt/kaspersky/kwts/klbp.conf укажите следующие значения.
   • downstream_socket=<порт, на который Squid обращается к ICAP-серверу>

     Порт должен совпадать с портом, который указан в конфигурационном файле Squid в параметрах icap_service kwts_req reqmod_precache и icap_service kwts_res respmod_precache.

   • upstream_socket=unix:/var/run/kwts/icap_server.sock
5. С помощью утилит для управления systemd выполните следующие действия:
   1. Выполните перезагрузку systemd с помощью команды:

      systemctl daemon-reload

   2. Активируйте сервис kwts_klbp с помощью команды:

      systemctl start kwts_klbp.service

   3. Добавьте сервис kwts_klbp в автозапуск операционной системы с помощью команды:

      systemctl enable kwts_klbp.service

   4. Перезапустите сервис Squid с помощью команды:

      systemctl restart squid

6. Повторите шаги инструкции на каждом узле кластера KWTS.

Возможность обработки сетевого трафика с ненулевой мандатной меткой будет включена.

Чтобы выключить возможность обработки сетевого трафика с ненулевой мандатной меткой:

1. С помощью утилит для управления systemd выполните следующие действия:
   1. Остановите сервис kwts_klbp с помощью команды:

      systemctl stop kwts_klbp

   2. Удалите сервис kwts_klbp из автозапуска операционной системы с помощью команды:

      systemctl disable kwts_klbp

   Остановка и удаление сервиса kwts_klbp – обязательный для выполнения шаг на каждом узле кластера.

2. Удалите файл kwts_klbp.service из директории /usr/lib/systemd/system/ с помощью команды:

   rm -f /usr/lib/systemd/system/kwts_klbp.service

3. В разделе Параметры → Общие → ICAP-сервер измените тип сокета ICAP-сервера на TCP.
4. Перезапустите сервис Squid с помощью команды:

   systemctl restart squid

5. Повторите шаги инструкции на каждом узле кластера KWTS.

Возможность обработки сетевого трафика с ненулевой мандатной меткой будет выключена.