Работа с VSS

Kaspersky NGFW поддерживает технологию VSS (Virtual Secure System) для разделения Kaspersky NGFW на несколько виртуальных устройств.

Каждый VSS представляет собой отдельный логический контур с собственными интерфейсами, VRF и политикой безопасности. Настройки VSS не наследуются от родительского устройстве автоматически.

Если на устройстве создан хотя бы один VSS, основное устройство считается родительским устройством. Один VSS может принадлежать только одному родительскому устройству. Для управления VSS с помощью консольных команд используются учетные записи родительского устройства.

При создании VSS система создает VRF по умолчанию. Этот VRF принадлежит VSS, используется по умолчанию и удаляется только вместе с VSS. Невозможно изменить имя и номер таблицы маршрутизации VRF.

Вы можете использовать VSS как на отдельном устройстве, так и в отказоустойчивом кластере. При создании VSS в кластере его конфигурация реплицируется между узлами.

Ограничения VSS

Для VSS действуют следующие ограничения:

• В VSS не поддерживается использование сетевых шаблонов.
• Для VSS невозможно переопределение сетевого интерфейса.
• В VSS можно добавить только интерфейс, который имеет роль интерфейс плоскости передачи данных (англ. data plane interface).
• Невозможно изменить роль интерфейса после добавления его в VSS.
• Между родительским устройством и VSS, а также между разными VSS отсутствует встроенный обмен маршрутами.
• Явный прокси поддерживается только на родительском устройстве.
• Настройка отправки файлов на проверку по протоколу ICAP или в KATA выполняется только на родительском устройстве.
• Для инспектирования TLS в VSS используются сертификаты родительского устройства.
• В VSS не создаются отдельные учетные записи для использования консольных команд.
• VSS использует общие аппаратные ресурсы родительского устройства. Высокая нагрузка в одном VSS может влиять на работу других VSS и родительского устройства.
• Невозможно назначить L2-интерфейс на VSS. Если на интерфейсе назначена зона типа L2, этому интерфейсу невозможно назначить VSS.
• Невозможно назначить BVI-интерфейс на VSS.
• BGP AS задается только на родительском устройстве.

Особенности использования VSS

Вы можете использовать одинаковые IP-адреса в разных VSS. В одном VSS одинаковые IP-адреса можно назначать только интерфейсам, относящимся к разным VRF.

Для настройки системных служб на родительском устройстве вы можете выбрать VRF, созданный в VSS. Пока этот VRF используется системной службой, вы не можете удалить данный VRF.

Встроенная передача трафика между родительским устройством и VSS, а также между разными VSS не поддерживается. Если требуется передавать трафик между такими контурами, используйте внешнее соединение, например коммутатор или отдельную маршрутизируемую сеть. В этом случае трафик обрабатывается как новый входящий трафик.

Не используйте конфигурации, которые создают обмен маршрутами между родительским устройством и VSS или между VSS средствами маршрутизации. Такой сценарий не поддерживается и может приводить к некорректной маршрутизации и непредсказуемой обработке трафика.