1. Подключитесь к консоли (COM порт) межсетевого экрана Kaspersky NGFW с помощью консольного кабеля, скорость 115200 бит/с.

   По умолчанию на Kaspersky NGFW моделей KX-400, 1000 и 3500 на выделенном интерфейсе mgmt настроен IP-адрес 192.168.7.1/24, для которого активирован протокол SSH.

2. Авторизуйтесь, используя имя пользователя и пароль по умолчанию:
   • имя пользователя – root
   • пароль – ngfwadmin
3. Измените пароль пользователя root.
   Пароль должен содержать не менее 8 символов и при этом включать строчные и заглавные буквы, цифры и специальные символы.
4. Перейдите к управлению параметрами Kaspersky NGFW с помощью команды:
   knsh
5. Прочитайте Лицензионное соглашение и Политику конфиденциальности из комплекта поставки и введите yes в запросах на принятие Лицензионного соглашения и Политики конфиденциальности.
6. Прочитайте Положение о Kaspersky Security Network из комплекта поставки и введите yes или no в запросе на принятие Положения о Kaspersky Security Network.
7. Войдите в system shell Kaspersky NGFW:
   system shell
8. Задайте имя устройства, которое будет использоваться при отображении Kaspersky NGFW в списке устройств на платформе OSMP:
   hostnamectl set-hostname <имя устройства>
9. Выйдите из system shell Kaspersky NGFW:
   exit

1. Настройте параметры сетевого интерфейса управления: задайте IP-адрес интерфейса в формате записи CIDR (IP/prefix), включите интерфейс и добавьте IP-адрес сервера DNS.

   Интерфейс управления по умолчанию находится в VRF Management, остальные интерфейсы находятся в VRF Main.

   Для Kaspersky NGFW модели KX-100 обычно используется интерфейс port1, а для KX-400, 1000 и 3500 используется интерфейс mgmt.

   interface <название интерфейса>
     ip <IP-адрес интерфейса>/<маска подсети>
     up
     dns-list
       add <IP-адрес сервера DNS>
     exit
   exit
   

2. Добавьте маршрут по умолчанию в VRF Management:
   ip route 0.0.0.0 netmask 0.0.0.0 vrf Management gateway <IP-адрес шлюза соединений> interface <название интерфейса>
3. Проверьте изменения в кандидат-конфигурации (candidate config):
   show config candidate json

   Чтобы отменить изменения в кандидат-конфигурации, выполните команду:

   rollback
4. Примените кандидат-конфигурацию в оперативной конфигурации (running config):
   commit
5. Сохраните оперативную конфигурацию:
   config save
6. Проверьте настройки сетевого интерфейса управления:
   show interfaces name <название интерфейса>
7. Проверьте установленные в RIB-таблице маршруты в VRF Management:
   show routes rib vrf Management
8. Проверьте сетевую связанность в VRF Management:
   1. Перейдите в раздел системных утилит:
      utils
   2. Проверьте соединения с помощью утилиты Ping:
      ping <IP-адрес шлюза соединений>

      ping <IP-адрес сервера DNS>

      ping www.kaspersky.com

      Для проверки соединения таким способом потребуется доступ в интернет, без этого доступ к сайту www.kaspersky.com будет ограничен.

      Пример вывода команды

      
   3. Выйдите из раздела системных утилит:
      exit

1. Задайте адрес для подключения к Консоли OSMP:

   Вы можете использовать IP-адрес сервера OSMP или доменное имя, заданное при развертывании OSMP.

   ksc-server address console.<домен>
2. Задайте VRF Management для подключения к платформе OSMP (Серверу управления):
   ksc-server vrf Management
3. Примените кандидат-конфигурацию в оперативной конфигурации и сохраните конфигурацию:
   commit

   config save
4. Проверьте подключение Kaspersky NGFW к Серверу управления:
   show ksc-server status

   Убедитесь, что в параметре Server address указан адрес для подключения к Консоли OSMP, а подключения к Серверу администрирования и Агенту администрирования успешны.

Создайте группу управления

1. Откройте Консоль OSMP.
2. Перейдите в Активы (Устройства) → Иерархия групп → Управляемые устройства.
3. Нажмите Добавить, укажите название группы и нажмите Добавить.

Переместите Kaspersky NGFW в группу управления

1. Перейдите в Обнаружение устройств и развертывание → Нераспределенные устройства.
2. Установите флажок напротив NGFW и нажмите Переместить в группу.
3. Выберите созданную группу и нажмите Переместить.

Настройте постоянное соединение Kaspersky NGFW с OSMP

Если Kaspersky NGFW размещен за устройством NAT, то платформа OSMP не может установить с ним соединение. В таком случае необходимо настроить постоянное соединение с платформой OSMP, которое будет инициировать Kaspersky NGFW.

1. Перейдите в Активы (Устройства) → Управляемые устройства.
2. Нажмите Изменить область действия, выберите политику Kaspersky NGFW и нажмите на NGFW.

3. Установите флажок Не разрывать соединение с Сервером администрирования.

4. Нажмите Сохранить.

Изменения вступят в силу в течение 15 минут после повторного подключения агента klnagent к платформе OSMP.

После применения параметра Не разрывать соединение с Сервером администрирования Kaspersky NGFW будет применять вносимые изменения в главную политику безопасности без задержек.

Управление сетевыми настройками NGFW осуществляет оркестратор KNBE при помощи шаблонов. Сетевые параметры применяются к NGFW после подключения к оркестратору KNBE.

Создайте новый сетевой шаблон

1. Откройте Консоль OSMP и перейдите в Приложения и сервисы → NGFW → Сетевые шаблоны.
2. Нажмите Создать и выберите вашу модель Kaspersky NGFW.

3. Перейдите в Система → Основное и укажите название шаблона в поле Название.

4. Перейдите в Система → Подключение к оркестратору и задайте параметры:
   • в поле IP/FQDN оркестратора — IP-адрес устройства с установленным оркестратором KNBE;
   • в поле Порт оркестратора — порт 8080 для подключения к оркестратору KNBE;
   • в поле Протокол оркестратора — протокол HTTPS для подключения к оркестратору KNBE;
   • в поле Интервал обновления — интервал в секундах, с которым NGFW будет обращаться к оркестратору за обновлениями сетевых настроек.

При подключении к оркестратору Kaspersky NGFW получит и применит новые сетевые настройки вместо ранее выполненных в интерфейсе командной строки, в том числе параметры подключения к платформе OSMP.

5. Установите флажок напротив сетевого шаблона для вашей модели Kaspersky NGFW и нажмите Изменить или просто нажмите на название нужного сетевого шаблона.

6. Перейдите в раздел Интерфейсы.

7. Установите флажок напротив сетевого интерфейса управления и нажмите Изменить или просто нажмите на название нужного сетевого интерфейса.

8. Задайте параметры сетевого интерфейса управления в разделе Общее:
   • В поле Роль — Выделенный порт управления.
     Такая роль означает, что интерфейс используется только для управления Kaspersky NGFW и не участвует в передаче пользовательского трафика через Kaspersky NGFW.
   • В поле Протокол — Статический IPv4-адрес.

9. Нажмите Добавить в секции IPv4-адреса и укажите IP-адрес сетевого интерфейса управления NGFW в формате записи CIDR (IP/prefix): <IP-адрес>/<маска подсети>.

10. Нажмите Добавить в секции DNS-серверы и укажите IP-адрес сервера DNS.

11. Нажмите Сохранить.

Добавьте статические маршруты по умолчанию

1. Установите флажок напротив сетевого шаблона для вашей модели Kaspersky NGFW и нажмите Изменить.
2. Перейдите в Маршрутизация → Статические маршруты и нажмите Добавить.

3. Добавьте маршрут по умолчанию для VRF Management со следующими параметрами:
   • в поле VRF — Management;
   • в поле Destination — 0.0.0.0;
   • в поле IPv4 netmask — 0.0.0.0;
   • в поле Gateway — IP-адрес шлюза соединений.
4. Добавьте маршрут по умолчанию для VRF Main со следующими параметрами:
   • в поле VRF — main/254;
   • в поле Destination — 0.0.0.0;
   • в поле IPv4 netmask — 0.0.0.0;
   • в поле Gateway — IP-адрес шлюза соединений.
5. Нажмите Сохранить.

В качестве идентификатора Kaspersky NGFW в системе управления используется MAC-адрес интерфейса управления.

1. Посмотрите настройки сетевого интерфейса управления с помощью команды и скопируйте MAC-адрес:
   show interfaces name <название интерфейса>

   Пример вывода команды

   Пример для Kaspersky NGFW моделей KX-400, 1000 и 3500:

   

   Пример для Kaspersky NGFW моделей KX-400, 1000 и 3500:

   
2. Откройте Консоль OSMP.
3. Перейдите в Приложения и сервисы → NGFW → Устройства и нажмите Добавить.
4. Задайте параметры Kaspersky NGFW:
   • в поле Название — имя устройства Kaspersky NGFW;
   • в поле DPID — MAC-адрес сетевого интерфейса управления;
   • в поле Шаблон устройства — созданный сетевой шаблон.
5. Нажмите Добавить.

6. Установите флажок напротив добавленного устройства и нажмите Изменить.

7. Перейдите в Система → Подключение к оркестратору и скопируйте уникальное значение из поля Токен.

1. Загрузите на Kaspersky NGFW самоподписанный корневой CA сертификат, созданный при установке оркестратора KNBE, чтобы подключить Kaspersky NGFW к оркестратору.

   Например, загрузите файл с помощью утилиты SCP или добавьте содержимое сертификата в файл с помощью текстового редактора vi из system shell.

   vi /root/<имя файла>.pem

2. Задайте параметры подключения Kaspersky NGFW к оркестратору KNBE с помощью команд семейства knbe-agent:
   • address — IP-адрес устройства с установленным оркестратором KNBE;
   • protocol — протокол https для подключения к оркестратору KNBE;
   • port — порт 8080 для подключения к оркестратору KNBE;
   • interval — интервал в секундах, с которым Kaspersky NGFW будет обращаться к оркестратору за обновлениями сетевых настроек;
   • vrf — сегмент сети Management для подключения к оркестратору KNBE;
   • ca-cert — путь к файлу самоподписанного CA сертификата в формате .pem, расположенному в директории /root.
   • token — вставьте токен, скопированный ранее.
   Пример заполнения параметров:

   show knbe-agent-settings
   {
       "ngfw-knbe-agent:agent": {
           "vrf": "Management",
           "address": "10.1.1.23",
           "port": "8080",
           "protocol": "https",
           "token": "[SECRET]",
           "interval": "5",
           "ca-cert": /root/ca.pem
           }
   }
   

3. Примените кандидат-конфигурацию в оперативной конфигурации и сохраните конфигурацию:
   commit

   config save

4. Проверьте настройки подключения к KNBE:
   show knbe-agent-settings

   Пример вывода команды

   

1. Откройте Консоль OSMP и перейдите в Приложения и сервисы → NGFW → Устройства.
2. Убедитесь, что устройство перешло из статуса Ожидание в статус Зарегистрировано.

2. Перейдите в Приложения и сервисы → NGFW → Устройства.

3. Нажмите на название вашего Kaspersky NGFW. Выберите вкладку Мониторинг → Статус конфигурации оркестратора, чтобы проверить изменения в сетевых настройках.

   В таблице отображаются задачи на изменения сетевых настроек Kaspersky NGFW. Эти задачи создаются при изменении сетевых настроек шаблона или устройства. В случае успешного применения настроек задачи оркестратора перейдут в статус Завершено.

1. При ошибках выполнения задач проверьте журнал событий Kaspersky NGFW и выполните в system shell команду:
   journalctl -e

3. Проверьте применение сетевых настроек:
   1. Проверьте настройки сетевых интерфейсов:
      show interfaces name <название интерфейса>
   2. Проверьте установленные в RIB маршруты:
      show routes rib all

1. Загрузите на Kaspersky NGFW сертификаты для взаимодействия с UAWS:
   1. Перейдите в system shell Kaspersky NGFW:
      system shell
   2. Загрузите на Kaspersky NGFW файлы цепочки сертификатов с устройства с установленной службой UAWS, например с помощью утилиты SCP.
   3. Убедитесь, что загрузка выполнена успешно и сертификаты находятся в директории /root:
      ls
   4. Выйдите из system shell:
      exit
2. Настройте интеграцию Kaspersky NGFW с UAWS:
   1. Выполните команду user-database-settings и задайте параметры подключения NGFW к UAWS:
      • update-enabled — включение интеграции с UAWS.
      • user-service-host — FQDN-имя в формате mapapp.<домен> компонента mapapp UAWS, выполняющего сопоставление IP-адреса устройства и доменной учетной записи, с которой пользователь авторизовался на этом устройстве.
      • load-ca-cert — путь к файлу сертификата удостоверяющего центра, загруженного на Kaspersky NGFW в директорию /root.
      • load-client-cert — путь к файлу сертификата NGFW, загруженного на NGFW в директорию /root.
      • load-client-private-key — путь к файлу ключа для сертификата NGFW, загруженного на Kaspersky NGFW в директорию /root.
      • user-service-port — порт 8443 для подключения Kaspersky NGFW к компоненту mapapp UAWS.
      • user-service-update-period — период опроса Kaspersky NGFW компонента mapapp UAWS для обновления информации, в секундах.
      • groups-service-host — FQDN-имя в формате groupapp.<домен> компонента groupapp UAWS, выполняющего хранение данных о доменных группах, используемых в правилах фильтрации, и состав учетных записей, содержащихся в данных группах.
      • groups-service-port — порт 8444 для подключения Kaspersky NGFW к компоненту groupapp UAWS.
      • groups-service-update-period — период опроса Kaspersky NGFW компонента groupapp UAWS в секундах для обновления информации, в секундах.

      Пример заполнения параметров:

      user-database-settings
      user-database-settings> update-enabled
      user-database-settings> user-service-host mapapp.example.space
      user-database-settings> load-ca-cert /root/ca.pem
      user-database-settings> load-client-cert /root/ngfwcert.pem
      user-database-settings> load-client-private-key /root/ngfwkey.key
      user-database-settings> user-service-port 8443
      user-database-settings> user-service-update-period 5
      user-database-settings> groups-service-host groupapp.example.space
      user-database-settings> groups-service-port 8444
      user-database-settings> groups-service-update-period 10
3. Примените кандидат-конфигурацию в оперативной конфигурации и сохраните конфигурацию:
   commit

   config save
4. Убедитесь, что настройки интеграции Kaspersky NGFW с UAWS применены:
   show user-database-settings

   Пример вывода команды

   

Если есть подключение к интернету

1. Перейдите в Операции → Лицензии «Лаборатории Касперского» в Консоли OSMP.
2. Нажмите Добавить и выберите Ввести код активации.
3. Введите код активации и нажмите Отправить.
4. Установите флажок Автоматически распространить лицензионный ключ на управляемые устройства.

5. Нажмите Сохранить.

Если нет подключения к интернету

Если у вас нет возможности обеспечить сетевой доступ Kaspersky NGFW к серверам активации «Лаборатории Касперского», загрузите файл ключа на Kaspersky NGFW, например через SCP, и установите с помощью команды:

licensing install /root/<лицензия>.key active

Проверьте статус установленного ключа:

show licensing state

Пример вывода команды