Сценарий: Настройка шлюза соединения для подключения мобильных устройств к Kaspersky Security Center Web Console

Шлюз соединения – это Агент администрирования, работающий в особом режиме. Агент администрирования является компонентом Kaspersky Security Center, который осуществляет взаимодействие между Сервером администрирования и приложениями "Лаборатории Касперского". Шлюз соединения принимает соединения от мобильных устройств и туннелирует их к Серверу администрирования через собственное соединение с Сервером. Можно настроить шлюз соединения так, чтобы он ожидал соединения от Сервера администрирования, а не устанавливал соединения с ним.

Шлюз соединения позволяет более эффективно применять средства безопасности для защиты сетевой инфраструктуры от потенциальных уязвимостей.

• Использование шлюза соединения упрощает мониторинг подозрительной активности на отдельном сетевом узле за пределами локальной сети (LAN). Это позволяет избежать прямых вредоносных атак по мобильному протоколу за счет реализации отдельного протокола для связи между шлюзом соединения и Kaspersky Security Center.
• Уменьшается поверхность потенциальных сетевых атак, поскольку шлюз соединения принимает соединения от Сервера администрирования в демилитаризированной зоне по одному TLS-порту (по умолчанию 13000), через который обрабатываются все запросы.

  Так как шлюз соединения в демилитаризованной зоне не может получить доступ к портам Сервера администрирования, Сервер администрирования создает и поддерживает постоянное сигнальное соединение с шлюзом соединения. Сигнальное соединение не используется для передачи данных - оно используется только для отправки приглашения к сетевому взаимодействию. Когда шлюзу соединения необходимо подключиться к Серверу администрирования, он уведомляет Сервер через сигнальное соединение, а затем Сервер устанавливает необходимое соединение для передачи данных.

• Использование шлюза соединения позволяет проверять мобильный сертификат за пределами локальной сети и запрещать устройствам отправлять данные в Kaspersky Security Center до их аутентификации, что защищает сетевую инфраструктуру от уязвимостей протоколов более низкого уровня, таких как TLS/SSL.

Требования

Чтобы шлюз соединения корректно работал с мобильными устройствами, должны соблюдаться следующие требования:

• На хосте со шлюзом соединения должен быть открыт один из портов - 13293 или 13292.

  Эти порты предназначены для подключения и синхронизации мобильных устройств.

  • При использовании порта 13293 на шлюзе соединения проверяется TLS-сертификат (без отправки сертификата на Сервер администрирования).
  • При использовании порта 13292 сертификат не проверяется (при этом игнорируется флаг LP_MobileMustUseTwoWayAuthOnPort13292 Сервера администрирования Kaspersky Security Center).
• Между шлюзом соединения и Kaspersky Security Center должен быть открыт порт 13000, по которому шлюз соединения принимает подключение от Сервера администрирования. Его открытие наружу из демилитаризованной зоны не требуется.
• Хост должен иметь статический адрес, доступный из интернета.

Этапы

Настройка включает в себя следующие шаги:

1. Установка Агента администрирования на хост, который будет выполнять роль шлюза соединения

   Сначала нужно установить Агент администрирования на выбранном устройстве-хосте, который будет выступать в качестве шлюза соединения.

   Информация о создании инсталляционного пакета Агента администрирования приведена в справке Kaspersky Security Center.

   Вы можете установить Агент администрирования в интерактивном режиме, указав параметры установки шаг за шагом. Вы также можете использовать файл ответов – текстовый файл, который содержит пользовательский набор параметров установки: переменные и их соответствующие значения. Использование файла ответов позволяет запустить установку в тихом режиме, то есть без участия пользователя. Информация об установке Агента администрирования в тихом режиме приведена в справке Kaspersky Security Center.

   Во время установки Агента администрирования укажите адрес Сервера администрирования в качестве шлюза соединения.

2. Перемещение устройства с установленным Агентом администрирования в группу администрирования

   После завершения процедуры установки Агент администрирования автоматически подключится к Серверу администрирования. По умолчанию устройство с установленным Агентом администрирования появится в группе Управление активами → Нераспределенные устройства.

   Переместите устройство из группы Нераспределенные устройства в существующую группу администрирования в папке Управляемые устройства или создайте новую группу при необходимости. Информация о том, как вручную добавлять устройства в группы в Kaspersky Security Center Web Console, приведена в справке Kaspersky Security Center.

3. Назначение устройства точкой распространения

   Перед настройкой шлюза соединения вам необходимо назначить устройство с установленным Агентом администрирования точкой распространения.

   Чтобы назначить устройство точкой распространения:

   1. В главном окне Kaspersky Security Center Web Console нажмите на имя Сервера администрирования.
   2. В открывшемся окне свойств Сервера администрирования на вкладке Общие выберите раздел Точки распространения.
   3. Выберите параметр Вручную назначать точки распространения.
   4. Нажмите Назначить.
   5. В открывшемся окне выберите устройство, которое будет выполнять роль точки распространения. Подробная информация о назначении точек распространения вручную приведена в справке Kaspersky Security Center.
   6. Нажмите Назначить.

      Выбранное устройство появится в списке точек распространения.

   7. Нажмите Сохранить.

      Устройство, которое будет выполнять роль точки распространения, назначено.

4. Настройка точки распространения в роли шлюза соединения

   Устройство, назначенное точкой распространения, необходимо настроить для работы в качестве шлюза соединения на Сервере администрирования Kaspersky Security Center.

   Чтобы настроить точку распространения для работы в качестве шлюза соединения:

   1. В главном окне Kaspersky Security Center Web Console нажмите на имя Сервера администрирования.
   2. В открывшемся окне свойств Сервера администрирования на вкладке Общие выберите раздел Точки распространения.
   3. Нажмите на имя точки распространения.
   4. В открывшемся окне свойств точки распространения перейдите в раздел Шлюз соединения.
   5. Включите переключатель Шлюз соединения.
   6. Установите следующие флажки и укажите необходимые номера портов, либо оставьте номера портов по умолчанию:
      • Открыть порт для мобильных устройств (SSL-аутентификация только Сервера администрирования)
      • Открыть порт для мобильных устройств (двусторонняя SSL-аутентификация)
   7. Укажите имя DNS-домена или IP-адрес точки распространения. Вы можете указать значение, которое отличается от адреса Kaspersky Security Center Web Console. Указанное значение будет включено в SSL-сертификат точки распространения, используемый для подключения мобильных устройств.

      Точка распространения настроена для работы в качестве шлюза соединения.

   Если в основных ограничениях пользовательского мобильного сертификата Сервера администрирования не установлено свойство "CA: true", на шлюзе соединения будет использоваться тот же сертификат, что и на Сервере администрирования. Если свойство "CA: true" установлено, на шлюзе соединения будет использоваться отдельный сертификат, выпущенный от пользовательского мобильного сертификата Сервера администрирования.

   Также, если вы укажете в этом поле более одного DNS-имени или IP-адреса, выпущенный сертификат Веб-сервера будет содержать все указанные значения. Однако в качестве адреса Веб-сервера при выпуске инсталляционных пакетов будет использоваться только первое значение. При добавлении нескольких значений разделяйте их запятыми или точками с запятой.

5. Перевыпуск мобильного сертификата с адресом шлюза соединения

   Перевыпуск мобильного сертификата с адресом шлюза соединения требуется только в том случае, если для пользовательского мобильного сертификата Сервера администрирования не установлено свойство "CA: true".

   Перевыпустите мобильный сертификат с адресом подключения, указанном при настройке шлюза соединения (в окне свойств Сервера администрирования выберите Общие → Сертификаты). Дополнительная информация о перевыпуске мобильных сертификатов приведена в разделе Перевыпуск мобильного сертификата Сервера администрирования.

Результаты

Будет настроен шлюз соединения. Теперь вы можете добавлять новые мобильные устройства, указав адрес шлюза соединения.

Чтобы мобильные устройства синхронизировались с Kaspersky Security Center на шлюзе соединения, в свойствах инсталляционных пакетов Kaspersky Endpoint Security для Android необходимо указать адрес подключения, заданный при настройке шлюза соединения (Операции → Хранилища → Инсталляционные пакеты).

После настройки шлюза соединения для мобильных устройств вы можете настроить параметры Веб-сервера на шлюзе соединения.