Подключение компонентов Endpoint Agent через прокси-узел

Развернуть всё | Свернуть всё

В этом разделе описан сценарий развертывания Endpoint Agents для Kaspersky Symphony XDR и серверов, которым они передают данные, если находятся в разных сетях. Такой подход упрощает настройку сети, обеспечивая при этом надежное подключение между Endpoint Agents и серверами.

В этом сценарии данные от Endpoint Agent передаются через промежуточный прокси-узел. Это позволяет Endpoint Agent подключаться к решению через один узел в своей сети, без прямого сетевого доступа от узлов Endpoint Agent к серверам решения. Этот подход может быть применен как к развертыванию Kaspersky Symphony XDR на одном узле, так и к развертыванию на нескольких узлах.

В разделе описана настройка прокси-сервера Nginx на Linux-устройстве. Допускается использование другого прокси-сервера с поддержкой mTLS Passthrough и, если требуется, другой операционной системы.

В этом сценарии используются примеры FQDN публичных серверов Kaspersky Symphony XDR, указанных при развертывании решения (<agentserver>.<smp_domain>, <ksc_host>.<smp_domain> и <kuma_host>.<smp_domain>), а также пути к файлам и директориям. Вам нужно заменить эти значения соответствующими значениями для вашей инфраструктуры.

Если вы изменили порт, используемый Endpoint Agents для подключения к компоненту agentserver, вам также нужно указать новый номер порта в конфигурационном файле Nginx.

Минимальные требования к прокси-узлу

Минимальные требования к прокси-узлу при подключении до 5000 Endpoint Agent:

• Процессор: 2 ядра, частота 2 ГГц или выше.
• Оперативная память: 4 ГБ.
• Объем свободного места на диске: 20 ГБ.
• Пропускная способность сети: 1 Гбит/с.
• Операционная система: 64-разрядная версия Linux, поддерживаемая выбранным прокси-сервером. Для Nginx можно использовать операционные системы Ubuntu, Debian или Astra Linux Special Edition 1.8. В Astra Linux пакет nginx-full устанавливается из расширенного репозитория.
• Прокси-сервер: прокси-сервер с поддержкой mTLS Passthrough. Для Nginx требуются модули stream, stream_ssl и stream_ssl_preread (входят в пакет nginx-full).

Минимальные требования при подключении от 5000 до 10 000 Endpoint Agent через один прокси-узел:

• Увеличьте лимит открытых файлов для процесса Nginx до 100 000 (параметр LimitNOFILE в unit-файле службы и параметр worker_rlimit_nofile в файле nginx.conf).
• Увеличьте значение параметра worker_connections в файле nginx.conf.

При подключении более 10 000 Endpoint Agent используйте несколько прокси-узлов.

Поскольку Endpoint Agent управляются через Сервер администрирования, обновления баз и дистрибутивов также передаются через прокси-узел. Чтобы уменьшить нагрузку на канал связи, рекомендуется разместить точку распространения в том сетевом сегменте, где находятся Endpoint Agent.

Этапы развертывания

Развертывание с настройкой проксирования данных из Endpoint Agent через промежуточный прокси-узел состоит из следующих этапов:

1. Установка и настройка Nginx

   Установите прокси-сервер Nginx на сервер, расположенный в той же сети (или подсети), где расположен Endpoint Agent.

   1. Выполните следующие команды:

      sudo apt update

      sudo apt install nginx-full

   2. Убедитесь, что модули stream, stream_ssl и stream_ssl_preread добавлены в Nginx:

      nginx -V 2>&1 | grep -o -E 'with-stream[^ ]*'

      В выводе команды должны быть упомянуты все модули: `--with-stream` (или `--with-stream=dynamic`), `--with-stream_ssl_module` и `--with-stream_ssl_preread_module`.

   3. Убедитесь, что модуль stream загружен: в директории /etc/nginx/modules-enabled/ должен быть файл 50-mod-stream.conf, содержащий строку load_module modules/ngx_stream_module.so;.

      На сервере установлен прокси-сервер Nginx с модулями stream, stream_ssl и stream_ssl_preread.

   4. Убедитесь, что конфигурационный файл Nginx (по умолчанию /etc/nginx/nginx.conf) содержит блок stream {}, и что в этом блоке настроено подключение к директории stream.d. Если блок stream отсутствует, добавьте этот блок на том же уровне, что и блок http {}:

      /etc/nginx/nginx.conf

      ...

      http {

      ...

      }

      stream {

      include /etc/nginx/stream.d/*.conf;

      }

   5. Создайте или отредактируйте в соответствии с приведенным ниже шаблоном файл конфигурации NGINX в формате CONF в директории /etc/nginx/stream.d/.

      Если директория /etc/nginx/stream.d/ не существует, создайте ее.

      Путь и имя конфигурационного файла Nginx: /etc/nginx/stream.d/asproxy.conf.

      Переменные шаблона (подставьте значения, соответствующие вашей инфраструктуре):

      FQDN хостов публичных служб Kaspersky Symphony XDR, с которыми взаимодействует Endpoint Agent:

      • <agentserver>.<smp_domain> – FQDN компонента, позволяющего выполнять действия по реагированию над активами с помощью интеграции с агентом.
      • in.<какие-либо_символы>.<kuma_host>.<smp_domain> – FQDN целевого backend-сервера для телеметрии.

        Способы получения адреса сервера

        1. В главном окне приложения перейдите в раздел Мониторинг → Ресурсы и службы → Работа с сервисами → Активные сервисы.
        2. В списке служб найдите службу [OOTB] Kaspersky EDR, выберите его и в меню выберите Развернуть.
        3. В открывшемся окне скопируйте адрес сервера из поля URL шлюза API.

           Имя сервера должно соответствовать формату – in.blh4zjhm4edckdt8qyprkpm2b.kuma_host.smp_domain.

           

           smp_domain – имя домена, которое используется в FQDN публичных служб Kaspersky Symphony XDR. Значение параметра должно соответствовать требованиям назначения имен доменов до четвертого уровня.

           Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

           kuma_host – имя устройства, которое используется в FQDN публичных служб Kaspersky Symphony XDR. Имя устройства службы и доменное имя (значение параметра smp_domain) являются частью FQDN-службы.

           Значение по умолчанию параметра kuma_host: kuma.

      • <ksc_host>.<smp_domain> – FQDN целевого backend-сервера для управления агентом. Это может быть FQDN компонента OSMP для управления Endpoint Agent или FQDN подчиненного Сервера администрирования Kaspersky Security Center.

      IP-адреса:

      • <ingress_ip> – IP-адрес на входе кластера OSMP.
      • <ksc_ip> – IP-адрес подчиненного Сервера OSMP или KSC (если таковой используется).

      Существует три способа подключения агентов Endpoint Agent:

      • С помощью политики. В этом случае настройте проксирование для обмена данными между Endpoint Agent и прокси-сервером Nginx: укажите <ksc_host>.<smp_domain> и порты TCP 13000, TCP 14000 и TCP 13292.

        Пример

        # ----- SNI → upstream -------------------------------------------------

        map_hash_bucket_size 256;

        map $ssl_preread_server_name $upstream_osmp {

        hostnames;

        <agentserver>.<smp_domain> osmp-ingress;

        in.<some_symbols>.<kuma_host>.<smp_domain> osmp-ingress;

        <ksc_host>.<smp_domain> ksc_ingress;

        default deny-backend;

        }

        # ----- Backends-------------------------------------------------------

        upstream osmp-ingress {

        server <ingress_ip>:443;

        }

        upstream ksc-ingress {

        server <ingress_ip>:13000;

        server <ingress_ip>:14000;

        server <ingress_ip>:13292;

        }

        upstream deny-backend {

        server 127.0.0.1:1;

        }

        # ----- Logging---------------------------------------------------------

        log_format basic '$remote_addr [$time_local] '

        '$protocol $status $bytes_sent $bytes_received '

        '$session_time "$upstream_addr" '

        'sni="$ssl_preread_server_name" '

        '"$upstream_connect_time"';

        access_log /var/log/nginx/passthrough_access.log basic;

        error_log /var/log/nginx/passthrough_error.log notice;

        # ----- Timeouts-----------------------------------------

        preread_timeout 10s;

        proxy_connect_timeout 5s;

        proxy_timeout 30s;

        # ----- Server (port 443) ---------------------------------------------

        server {

        listen 443; # regular TCP‑port, no TLS termination

        listen 13000;

        listen 14000;

        listen 13292;

        ssl_preread on; # reads only ClientHello

        proxy_pass $upstream_osmp; # var from map

        }

      • Через политику на подчиненном сервере OSMP или KSC. В этом случае настройте проксирование для обмена данными между Endpoint Agent и прокси-сервером Nginx: укажите <ksc_host>.<smp_domain> и порты TCP 13000, TCP 14000 и TCP 13292.

        Пример

        # ----- SNI → upstream -------------------------------------------------

        map_hash_bucket_size 256;

        map $ssl_preread_server_name $upstream_osmp {

        hostnames;

        <agentserver>.<smp_domain> osmp-ingress;

        in.<some_symbols>.<kuma_host>.<smp_domain> osmp-ingress;

        <ksc_host>.<smp_domain> ksc_ingress;

        default deny-backend;

        }

        # ----- Backends-------------------------------------------------------

        upstream osmp-ingress {

        server <ingress_ip>:443;

        }

        upstream ksc-ingress {

        server <ksc_ip>:13000;

        server <ksc_ip>:14000;

        server <ksc_ip>:13292;

        }

        upstream deny-backend {

        server 127.0.0.1:1;

        }

        # ----- Logging---------------------------------------------------------

        log_format basic '$remote_addr [$time_local] '

        '$protocol $status $bytes_sent $bytes_received '

        '$session_time "$upstream_addr" '

        'sni="$ssl_preread_server_name" '

        '"$upstream_connect_time"';

        access_log /var/log/nginx/passthrough_access.log basic;

        error_log /var/log/nginx/passthrough_error.log notice;

        # ----- Timeouts-----------------------------------------

        preread_timeout 10s;

        proxy_connect_timeout 5s;

        proxy_timeout 30s;

        # ----- Server (port 443) ---------------------------------------------

        server {

        listen 443; # regular TCP‑port, no TLS termination

        listen 13000;

        listen 14000;

        listen 13292;

        ssl_preread on; # reads only ClientHello

        proxy_pass $upstream_osmp; # var from map

        }

      • Локально. В этом случае на прокси-сервере Nginx не нужно настраивать <ksc_host>.<smp_domain> и TCP-порты. Подробнее см. шаг 3 этого сценария.

        Пример

        # ----- SNI → upstream -------------------------------------------------

        map_hash_bucket_size 256;

        map $ssl_preread_server_name $upstream_osmp {

        hostnames;

        <agentserver>.<smp_domain> osmp-ingress;

        in.<some_symbols>.<kuma_host>.<smp_domain> osmp-ingress;

        default deny-backend;

        }

        # ----- Backends-------------------------------------------------------

        upstream osmp-ingress {

        server <ingress_ip>:443;

        }

        upstream deny-backend {

        server 127.0.0.1:1;

        }

        # ----- Logging---------------------------------------------------------

        log_format basic '$remote_addr [$time_local] '

        '$protocol $status $bytes_sent $bytes_received '

        '$session_time "$upstream_addr" '

        'sni="$ssl_preread_server_name" '

        '"$upstream_connect_time"';

        access_log /var/log/nginx/passthrough_access.log basic;

        error_log /var/log/nginx/passthrough_error.log notice;

        # ----- Timeouts-----------------------------------------

        preread_timeout 10s;

        proxy_connect_timeout 5s;

        proxy_timeout 30s;

        # ----- Server (port 443) ---------------------------------------------

        server {

        listen 443; # regular TCP-port, no TLS termination

        ssl_preread on; # reads only ClientHello

        proxy_pass $upstream_osmp; # var from map

        }

   6. Проверьте конфигурацию NGINX:

      nginx -t

      Вывод команды при успешном прохождении теста:

      nginx: the configuration file /etc/nginx/nginx.conf syntax is ok

      nginx: configuration file /etc/nginx/nginx.conf test is successful

   7. Примените изменения конфигурации без перезапуска NGINX:

      nginx -s reload

   Установленный прокси-сервер Nginx настроен для проксирования данных Endpoint Agent.

2. Настройка связи по сети между прокси-узлом NGINX и Kaspersky Symphony XDR
   1. Настройте сетевые подключения. Убедитесь, что параметры сети (сетевой экран, маршрутизация) разрешают исходящие подключения от прокси-сервера к платформе OSMP и вторичному серверу OSMP или KSC:
      • Порт TCP 443 требуется во всех сценариях работы.
      • Порты TCP 13000, 14000 и 13292 необходимы только при настройке Endpoint Agent через политику OSMP или подчиненного Сервера администрирования.

        Если Endpoint Agent настраивается другим способом, эти три порта могут быть закрыты.

   2. Настройте сеть так, чтобы запросы от узлов Endpoint Agent к <smp_domain> направлялись через прокси-узел.
3. Настройка Endpoint Agent в Kaspersky Endpoint Security для Windows для работы через прокси-узел
   1. Настройте сетевые подключения. Убедитесь, что параметры сети (сетевой экран, маршрутизация) разрешают исходящие подключения от Endpoint Agents к прокси-узлу:
      • Порт TCP 443 требуется во всех сценариях работы.
      • Порты TCP 13000, 14000 и 13292 необходимы только при настройке Endpoint Agent через политику OSMP или подчиненного Сервера администрирования.

        Если Endpoint Agent настраивается другим способом, эти три порта могут быть закрыты.

   2. Скачайте следующие сертификаты OSMP:
      • certificate.pem – сертификат сервера реагирования;
      • certificate.pfx – сертификат Endpoint Agent;
      • [OOTB] Kaspersky EDR – сертификат сервера телеметрии.
   3. Скопируйте файлы сертификатов на сервер, где установлен Endpoint Agent (для примера в этом разделе – C:\Users\TestUser\).
   4. Запустите PowerShell от имени пользователя с правами администратора.
   5. Перейдите в директорию, содержащую исполняемый файл Endpoint Agent, и выполните следующую команду:

      ./avp.com EDREXPERTONPREM `

      /SET /mode=EDRExpertOnPrem `

      /servers=<agentserver>.<smp_domain>:443 `

      /server-certificate=C:\Users\TestUser\certificate.pem `

      /client-certificate=C:\Users\TestUser\certificate.pfx `

      /client-certificate-password=<пароль_сертификата_клиента>`

      /telemetry-servers=in.blh4zjhm4edckdt8qyprkpm2b.<kuma_host>.<smp_domain>:443 `

      /telemetry-server-certificate='C:\Users\TestUser\[OOTB] Kaspersky EDR' `

      /telemetry-client-certificate=C:\Users\TestUser\certificate.pfx `

      /telemetry-client-certificate-password=<пароль_сертификата_клиента>

   6. Запустите Kaspersky Symphony XDR, если решение еще не запущено:

      ./avp.com start EDREXPERTONPREM

Подробнее о настройке Endpoint Agent с помощью командной строки см. в документации Kaspersky Endpoint Security.