Настройка развертывания с помощью Endpoint Agents через промежуточный прокси-сервер

В этом разделе описан сценарий развертывания Endpoint Agents для Kaspersky Symphony XDR и серверов, которым они передают данные, если находятся в разных сетях. Такой подход упрощает настройку сети, обеспечивая при этом надежное подключение между Endpoint Agents и серверами.

В этом сценарии данные от Endpoint Agent, передаются через промежуточный прокси-узел. Это позволяет установить одно сетевое соединение между прокси-узлом и решением, вместо того, чтобы устанавливать несколько соединений от каждого Endpoint Agent к решению. Этот подход может быть применен как к развертыванию Kaspersky Symphony XDR 2.1 на одном узле, так и к развертыванию на нескольких узлах.

В разделе описана настройка прокси-сервера Nginx на Linux-устройстве. При необходимости вы можете использовать другой пакет, поддерживающий завершение mTLS-трафика, и другую операционную систему.

В этом сценарии используются примеры доменных имен (proxy.example.com, backend.example.com) и путей к файлам и директориям. Вам нужно заменить эти значения соответствующими значениями для вашей сетевой инфраструктуры.

Этапы развертывания

Развертывание с настройкой проксирования данных из Endpoint Agent через промежуточный прокси-узел состоит из следующих этапов:

1. Генерация сертификатов для Nginx

   Сертификаты должны быть созданы на сервере, на котором будет установлен Nginx. Этот сервер должен находиться в той же сети (или подсети), что и Endpoint Agent, и действовать как прокси-узел.

   1. Подготовьте необходимые рабочие директории для сертификатов:

      sudo mkdir -p /etc/nginx/mtls && cd /etc/nginx/mtls

   2. Создайте самоподписанный корневой сертификат (Root CA):

      openssl genrsa -out ca.key 4096

      openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 \

      -subj "/C=US/O=ExampleCorp/OU=IT/CN=Example Root CA" -out ca.crt

   3. Создайте сертификат сервера для прокси Nginx:

      openssl genrsa -out asproxy.key 2048

      openssl req -new -key asproxy.key \

      -subj "/C=US/O=ExampleCorp/OU=IT/CN=proxy.example.com" -out asproxy.csr

      openssl x509 -req -in asproxy.csr -CA ca.crt -CAkey ca.key -CAcreateserial \

      -out asproxy.crt -days 825 -sha256 \

      -extfile <(printf "subjectAltName=DNS:proxy.example.com\nkeyUsage=digitalSignature,keyEncipherment\nextendedKeyUsage=serverAuth")

      Сертификат сервера для прокси-узла asproxy.crt создан.

   4. Создайте клиентские сертификаты для Endpoint Agents (mTLS):

      openssl genrsa -out client.key 2048

      openssl req -new -key client.key \

      -subj "/C=US/O=ExampleCorp/OU=IT/CN=XDR Client" -out client.csr

      openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial \

      -out client.crt -days 825 -sha256 \

      -extfile <(printf "keyUsage=digitalSignature\nextendedKeyUsage=clientAuth")

      Будут созданы следующие клиентские ключи и сертификаты для Endpoint Agent:

      • client.key – PEM, закрытый ключ.
      • client.csr – PEM, запрос Certificate Signing Request.
      • client.crt – PEM, клиентский сертификат.
   5. Конвертируйте сертификат в формат PKCS#12:

      openssl pkcs12 -export -out client.p12 -inkey client.key -in client.crt -certfile ca.crt -name "EDR client cert"

      При появлении запроса введите надежный пароль сертификата.

      В результате этого шага будет получен клиентский сертификат client.p12 в формате PKCS#12.

   6. Установите права доступа к ключам:

      chmod 600 ca.key asproxy.key client.key

      chown root:root ca.* asproxy.* client.*

2. Установка Nginx

   Установите прокси-сервер Nginx на сервер, расположенный в той же сети (или подсети), где расположен Endpoint Agent.

   1. Выполните следующие команды:

      sudo apt update

      sudo apt install nginx

   2. Проверьте наличие модуля http_ssl_module (по умолчанию включен в Nginx):

      nginx -V

      Вывод команды должен содержать модуль http_ssl_module.

   Прокси-сервер Nginx установлен.

3. Настройка Nginx как качестве прокси-сервера mTLS
   1. Создайте или измените существующий конфигурационный файл Nginx, используя шаблон.

      Путь к конфигурационному файлу Nginx по умолчанию: /etc/nginx/conf.d/asproxy.conf.

      Пример шаблона конфигурационного файла:

      # Использование map для поддержки WebSocket

      map $http_upgrade $connection_upgrade {

      default upgrade;

      '' close;

      }

      server {

      listen 443 ssl http2;

      listen 9443 ssl;

      server_name proxy.example.com;

      # mTLS в конфигурации Edge

      ssl_certificate /etc/nginx/mtls/asproxy.crt;

      ssl_certificate_key /etc/nginx/mtls/asproxy.key;

      ssl_trusted_certificate /etc/nginx/mtls/ca.crt;

      ssl_client_certificate /etc/nginx/mtls/ca.crt;

      ssl_verify_client on;

      ssl_verify_depth 2;

      ssl_protocols TLSv1.2 TLSv1.3;

      ssl_session_cache shared:SSL:10m;

      # Перенаправление идентификации клиента на верхний сервис (upstream)

      proxy_set_header X-Client-Verify $ssl_client_verify;

      proxy_set_header X-Client-DN $ssl_client_s_dn;

      proxy_set_header X-Client-Cert $ssl_client_escaped_cert;

      # Общие заголовки прокси

      proxy_http_version 1.1;

      proxy_set_header Host backend.example.com;

      proxy_set_header X-Real-IP $remote_addr;

      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

      proxy_set_header X-Forwarded-Proto $scheme;

      proxy_connect_timeout 5s;

      proxy_send_timeout 60s;

      proxy_read_timeout 60s;

      send_timeout 60s;

      proxy_ssl_server_name on;

      proxy_ssl_name backend.example.com;

      proxy_ssl_verify off; # Подтверждение отключено для внутреннего backend

      proxy_ssl_protocols TLSv1.2 TLSv1.3;

      # Общий HTTPS

      location / {

      proxy_pass https://backend.example.com;

      }

      # WSS для LiveShell

      location ^~ /vthost/sessions {

      proxy_pass https://backend.example.com:9443;

      proxy_set_header Upgrade $http_upgrade;

      proxy_set_header Connection $connection_upgrade;

      proxy_read_timeout 3600s;

      proxy_send_timeout 3600s;

      proxy_request_buffering off;

      proxy_buffering off;

      }

      access_log /var/log/nginx/proxy.example.com.access.log;

      error_log /var/log/nginx/proxy.example.com.error.log warn;

      error_page 495 496 497 = /__mtls_error;

      location = /__mtls_error { return 403; }

      }

      Переменные шаблона:

      • proxy.example.com – FQDN прокси-узла с Nginx.
      • backend.example.com – FQDN целевого backend-сервера Kaspersky Symphony XDR 2.1 (Agentserver в KEDR 7.1).
   2. Перезапустите Nginx и примените созданный конфигурационный файл:

      nginx -s reload

      Установленный прокси-сервер Nginx настроен для проксирования данных Endpoint Agent.

4. Настройка Endpoint Agent в Kaspersky Endpoint Security для Windows для работы через прокси-узел
   1. Настройка сетевых подключений. Убедитесь, что параметры сети (сетевой экран, маршрутизация) разрешают исходящие подключения от прокси-сервера к платформе Kaspersky Symphony XDR по протоколам TCP: 443 и TCP: 8443.
   2. Скопируйте файлы сертификатов клиента, созданные на шаге 1.4 этой процедуры, на сервер, где установлен Endpoint Agent (для примера в этом разделе – C:\Users\TestUser\).
   3. На устройстве, на котором установлен Endpoint Agent (например, Kaspersky Endpoint Security для Windows), перейдите в директорию, содержащую исполняемый файл, и выполните следующую команду:

      avp.com EDREXPERTONPREM `

      /SET /mode=EDRExpertOnPrem `

      /servers=proxy.example.com:443 `

      /server-certificate=C:\Users\TestUser\asproxy.crt `

      /client-certificate=C:\Users\TestUser\client.p12 `

      /client-certificate-password=YourStrongPassword `

      /telemetry-servers=telemetry.example.com:443 `

      /sync-period=1

Подробнее о настройке Endpoint Agent с помощью командной строки см. в документации Kaspersky Endpoint Security.