Шаг 1. Первое включение

1. Подключитесь к консоли (COM порт) межсетевого экрана Kaspersky NGFW с помощью консольного кабеля, скорость 115200 бит/с.

   По умолчанию на Kaspersky NGFW моделей KX-400, 1000 и 3500 на выделенном интерфейсе mgmt настроен IP-адрес 192.168.7.1/24, для которого активирован протокол SSH.

2. Авторизуйтесь, используя имя пользователя и пароль по умолчанию:
   • имя пользователя – root
   • пароль – ngfwadmin
3. Измените пароль пользователя root.
   Пароль должен содержать не менее 8 символов и при этом включать строчные и заглавные буквы, цифры и специальные символы.
4. Перейдите к управлению параметрами Kaspersky NGFW с помощью команды:
   knsh
5. Прочитайте Лицензионное соглашение и Политику конфиденциальности из комплекта поставки и введите yes в запросах на принятие Лицензионного соглашения и Политики конфиденциальности.
6. Прочитайте Положение о Kaspersky Security Network из комплекта поставки и введите yes или no в запросе на принятие Положения о Kaspersky Security Network.
7. Войдите в system shell Kaspersky NGFW:
   system shell
8. Задайте имя устройства, которое будет использоваться при отображении Kaspersky NGFW в списке устройств на платформе OSMP:
   hostnamectl set-hostname <имя устройства>
9. Выйдите из system shell Kaspersky NGFW:
   exit

Шаг 2. Настройка сетевого интерфейса управления

1. Настройте параметры сетевого интерфейса управления: задайте IP-адрес интерфейса в формате записи CIDR (IP/prefix), включите интерфейс и добавьте IP-адрес сервера DNS.

   Интерфейс управления по умолчанию находится в VRF Management, остальные интерфейсы находятся в VRF Main.

   Для Kaspersky NGFW модели KX-100 обычно используется интерфейс port1, а для KX-400, 1000 и 3500 используется интерфейс mgmt.

   interface <название интерфейса>
     ip <IP-адрес интерфейса>/<маска подсети>
     up
     dns-list
       add <IP-адрес сервера DNS>
     exit
   exit
   

2. Добавьте маршрут по умолчанию в VRF Management:
   ip route 0.0.0.0 netmask 0.0.0.0 vrf Management gateway <IP-адрес шлюза соединений> interface <название интерфейса>
3. Проверьте изменения в кандидат-конфигурации (candidate config):
   show config candidate json

   Чтобы отменить изменения в кандидат-конфигурации, выполните команду:

   rollback
4. Примените кандидат-конфигурацию в оперативной конфигурации (running config):
   commit
5. Сохраните оперативную конфигурацию:
   config save
6. Проверьте настройки сетевого интерфейса управления:
   show interfaces name <название интерфейса>
7. Проверьте установленные в RIB-таблице маршруты в VRF Management:
   show routes rib vrf Management
8. Проверьте сетевую связанность в VRF Management:
   1. Перейдите в раздел системных утилит:
      utils
   2. Проверьте соединения с помощью утилиты Ping:
      ping <IP-адрес шлюза соединений>

      ping <IP-адрес сервера DNS>

      ping www.kaspersky.com

      Для проверки соединения таким способом потребуется доступ в интернет, без этого доступ к сайту www.kaspersky.com будет ограничен.

      Пример вывода команды

      
   3. Выйдите из раздела системных утилит:
      exit

Шаг 3. Настройка подключения к Консоли OSMP

1. Задайте адрес для подключения к Консоли OSMP:

   Вы можете использовать IP-адрес сервера OSMP или доменное имя, заданное при развертывании OSMP.

   ksc-server address console.<домен>
2. Задайте VRF Management для подключения к платформе OSMP (Серверу управления):
   ksc-server vrf Management
3. Примените кандидат-конфигурацию в оперативной конфигурации и сохраните конфигурацию:
   commit

   config save
4. Проверьте подключение Kaspersky NGFW к Серверу управления:
   show ksc-server status

   Убедитесь, что в параметре Server address указан адрес для подключения к Консоли OSMP, а подключения к Серверу администрирования и Агенту администрирования успешны.

Шаг 4. Настройка подключения к оркестратору KNBE

1. Загрузите на Kaspersky NGFW самоподписанный корневой CA сертификат, созданный при установке оркестратора KNBE, чтобы подключить Kaspersky NGFW к оркестратору.

   Например, загрузите файл с помощью утилиты SCP или добавьте содержимое сертификата в файл с помощью текстового редактора vi из system shell.

   vi /root/<имя файла>.pem
2. Выполните команду knbe-agent и задайте параметры подключения Kaspersky NGFW к оркестратору KNBE:
   • address — IP-адрес устройства с установленным оркестратором KNBE;
   • protocol — протокол https для подключения к оркестратору KNBE;
   • port — порт 8080 для подключения к оркестратору KNBE;
   • interval — интервал в секундах, с которым Kaspersky NGFW будет обращаться к оркестратору за обновлениями сетевых настроек;
   • vrf — сегмент сети Management для подключения к оркестратору KNBE;
   • ca-cert — путь к файлу самоподписанного CA сертификата в формате .pem, расположенному в директории /root.
   Пример заполнения параметров:

   knbe-agent
   address 10.1.1.23
   protocol https
   port 8080
   interval 5
   vrf Management
   ca-cert /root/ca.pem
   exit
   

3. Примените кандидат-конфигурацию в оперативной конфигурации и сохраните конфигурацию:
   commit

   config save
4. Проверьте настройки подключения к KNBE:
   show knbe-agent

   Пример вывода команды

   

Шаг 5. Настройка подключения к UAWS (опционально)

1. Загрузите на Kaspersky NGFW сертификаты для взаимодействия с UAWS:
   1. Перейдите в system shell Kaspersky NGFW:
      system shell
   2. Загрузите на Kaspersky NGFW файлы цепочки сертификатов с устройства с установленной службой UAWS, например с помощью утилиты SCP.
   3. Убедитесь, что загрузка выполнена успешно и сертификаты находятся в директории /root:
      ls
   4. Выйдите из system shell:
      exit
2. Настройте интеграцию Kaspersky NGFW с UAWS:
   1. Выполните команду user-database-settings и задайте параметры подключения NGFW к UAWS:
      • update-enabled — включение интеграции с UAWS.
      • user-service-host — FQDN-имя в формате mapapp.<домен> компонента mapapp UAWS, выполняющего сопоставление IP-адреса устройства и доменной учетной записи, с которой пользователь авторизовался на этом устройстве.
      • load-ca-cert — путь к файлу сертификата удостоверяющего центра, загруженного на Kaspersky NGFW в директорию /root на шаге 4.
      • load-client-cert — путь к файлу сертификата NGFW, загруженного на NGFW в директорию /root на шаге 4.
      • load-client-private-key — путь к файлу ключа для сертификата NGFW, загруженного на Kaspersky NGFW в директорию /root на шаге 4.
      • user-service-port — порт 8443 для подключения Kaspersky NGFW к компоненту mapapp UAWS.
      • user-service-update-period — период опроса Kaspersky NGFW компонента mapapp UAWS для обновления информации, в секундах.
      • groups-service-host — FQDN-имя в формате groupapp.<домен> компонента groupapp UAWS, выполняющего хранение данных о доменных группах, используемых в правилах фильтрации, и состав учетных записей, содержащихся в данных группах.
      • groups-service-port — порт 8444 для подключения Kaspersky NGFW к компоненту groupapp UAWS.
      • groups-service-update-period — период опроса Kaspersky NGFW компонента groupapp UAWS в секундах для обновления информации, в секундах.

      Пример заполнения параметров:

      user-database-settings
      user-database-settings> update-enabled
      user-database-settings> user-service-host mapapp.example.space
      user-database-settings> load-ca-cert /root/ca.pem
      user-database-settings> load-client-cert /root/ngfwcert.pem
      user-database-settings> load-client-private-key /root/ngfwkey.key
      user-database-settings> user-service-port 8443
      user-database-settings> user-service-update-period 5
      user-database-settings> groups-service-host groupapp.example.space
      user-database-settings> groups-service-port 8444
      user-database-settings> groups-service-update-period 10
3. Примените кандидат-конфигурацию в оперативной конфигурации и сохраните конфигурацию:
   commit

   config save
4. Убедитесь, что настройки интеграции Kaspersky NGFW с UAWS применены:
   show user-database-settings

   Пример вывода команды

   

При наличии выхода в интернет

1. Перейдите в Операции → Лицензии «Лаборатории Касперского» в Консоли OSMP.
2. Нажмите Добавить и выберите Ввести код активации.
3. Введите код активации и нажмите Отправить.
4. Установите флажок Автоматически распространить лицензионный ключ на управляемые устройства.

5. Нажмите Сохранить.

В отсутствие выхода в интернет

Если у вас нет возможности обеспечить сетевой доступ Kaspersky NGFW к серверам активации «Лаборатории Касперского», загрузите файл ключа на Kaspersky NGFW, например через SCP, и установите с помощью команды:

licensing install /root/<лицензия>.key active

Проверьте статус установленного ключа:

show licensing state

Пример вывода команды

Управление сетевыми настройками NGFW осуществляет оркестратор KNBE при помощи шаблонов. Сетевые параметры применяются к NGFW после подключения к оркестратору KNBE.

Шаг 1. Создание сетевого шаблона

1. Откройте Консоль OSMP и перейдите в Приложения и сервисы → NGFW → Сетевые шаблоны.
2. Нажмите Создать и выберите вашу модель Kaspersky NGFW.

3. Перейдите в Система → Основное и укажите название шаблона в поле Название.

4. Перейдите в Система → Подключение к оркестратору и задайте параметры:
   • в поле IP/FQDN оркестратора — IP-адрес устройства с установленным оркестратором KNBE;
   • в поле Порт оркестратора — порт 8080 для подключения к оркестратору KNBE;
   • в поле Протокол оркестратора — протокол HTTPS для подключения к оркестратору KNBE;
   • в поле Интервал обновления — интервал в секундах, с которым NGFW будет обращаться к оркестратору за обновлениями сетевых настроек.

При подключении к оркестратору Kaspersky NGFW получит и применит новые сетевые настройки вместо ранее выполненных в интерфейсе командной строки, в том числе параметры подключения к платформе OSMP.

Шаг 2. Настройка сетевого интерфейса управления

1. Установите флажок напротив сетевого шаблона для вашей модели Kaspersky NGFW и нажмите Изменить или просто нажмите на название нужного сетевого шаблона.

2. Перейдите в раздел Интерфейсы.
3. Установите флажок напротив сетевого интерфейса управления и нажмите Изменить или просто нажмите на название нужного сетевого интерфейса.

4. Задайте параметры сетевого интерфейса управления в разделе Общее:
   • В поле Роль — Выделенный порт управления.
     Такая роль означает, что интерфейс используется только для управления Kaspersky NGFW и не участвует в передаче пользовательского трафика через Kaspersky NGFW.
   • В поле Протокол — Статический IPv4-адрес.
   • 
5. Нажмите Добавить в секции IPv4-адреса и укажите IP-адрес сетевого интерфейса управления NGFW в формате записи CIDR (IP/prefix): <IP-адрес>/<маска подсети>.

6. Нажмите Добавить в секции DNS-серверы и укажите IP-адрес сервера DNS.

7. Нажмите Сохранить.

Шаг 3. Добавление статических маршрутов по умолчанию

1. Установите флажок напротив сетевого шаблона для вашей модели Kaspersky NGFW и нажмите Изменить.
2. Перейдите в Маршрутизация → Статические маршруты и нажмите Добавить.

3. Добавьте маршрут по умолчанию для VRF Management со следующими параметрами:
   • в поле VRF — Management;
   • в поле Destination — 0.0.0.0;
   • в поле IPv4 netmask — 0.0.0.0;
   • в поле Gateway — IP-адрес шлюза соединений.
4. Добавьте маршрут по умолчанию для VRF Main со следующими параметрами:
   • в поле VRF — main/254;
   • в поле Destination — 0.0.0.0;
   • в поле IPv4 netmask — 0.0.0.0;
   • в поле Gateway — IP-адрес шлюза соединений.
5. Нажмите Сохранить.

Шаг 4. Добавление Kaspersky NGFW в оркестратор KNBE

В качестве идентификатора Kaspersky NGFW в системе управления используется MAC-адрес интерфейса управления.

1. Посмотрите настройки сетевого интерфейса управления с помощью команды и скопируйте MAC-адрес:
   show interfaces name <название интерфейса>

   Пример вывода команды

   Пример для Kaspersky NGFW моделей KX-400, 1000 и 3500:

   

   Пример для Kaspersky NGFW моделей KX-400, 1000 и 3500:

   
2. Откройте Консоль OSMP.
3. Перейдите в Приложения и сервисы → NGFW → Устройства и нажмите Добавить.
4. Задайте параметры Kaspersky NGFW:
   • в поле Название — имя устройства Kaspersky NGFW;
   • в поле DPID — MAC-адрес сетевого интерфейса управления;
   • в поле Шаблон устройства — созданный сетевой шаблон.
5. Нажмите Добавить.

6. Убедитесь, что устройство перешло из статуса Ожидание в статус Зарегистрировано.

7. Перейдите в Приложения и сервисы → NGFW → Устройства → выберите ваш Kaspersky NGFW → Мониторинг → Статус конфигурации оркестратора, чтобы проверить изменения в сетевых настройках.

   В таблице отображаются задачи на изменения сетевых настроек Kaspersky NGFW, которые создаются при внесении изменения в сетевые настройки шаблона или устройства. В случае успешного применения настроек задачи оркестратора перейдут в статус Завершено.

1. При ошибках выполнения задач проверьте журнал событий Kaspersky NGFW и выполните в system shell команду:
   journalctl -e

8. Проверьте применение сетевых настроек:
   1. Проверьте настройки сетевых интерфейсов:
      show interfaces name <название интерфейса>
   2. Проверьте установленные в RIB маршруты:
      show routes rib all

Шаг 1. Создание группы управления

1. Откройте Консоль OSMP.
2. Перейдите в Активы (Устройства) → Иерархия групп → Управляемые устройства.
3. Нажмите Добавить, укажите название группы и нажмите Добавить.

Шаг 2. Перемещение Kaspersky NGFW в группу управления

1. Перейдите в Обнаружение устройств и развертывание → Нераспределенные устройства.
2. Установите флажок напротив NGFW и нажмите Переместить в группу.
3. Выберите группу, созданную на шаге 1, и нажмите Переместить.

Шаг 3. Настройка постоянного соединения Kaspersky NGFW с OSMP

Если Kaspersky NGFW размещен за устройством NAT, то платформа OSMP не может установить с ним соединение. В таком случае необходимо настроить постоянное соединение с платформой OSMP, которое будет инициировать Kaspersky NGFW.

1. Перейдите в Активы (Устройства) → Управляемые устройства.
2. Нажмите Изменить область действия, выберите политику Kaspersky NGFW и нажмите на NGFW.

3. Установите флажок Не разрывать соединение с Сервером администрирования.

4. Нажмите Сохранить.

Изменения вступят в силу в течение 15 минут после повторного подключения агента klnagent к платформе OSMP.

После применения параметра Не разрывать соединение с Сервером администрирования Kaspersky NGFW будет применять вносимые изменения в главную политику безопасности без задержек.