ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 04.12.2023
Просмотров: 954
Скачиваний: 3
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
Руководство администратора
40
Глава 4: Начало работы
4.2. Настройка сетевых соединений
Общие сведения
К Серверу Dr.Web подключаются следующие клиенты:
·
Агенты Dr.Web.
·
Инсталляторы Агентов Dr.Web.
·
Соседние Серверы Dr.Web.
·
Прокси-серверы Dr.Web.
Соединение всегда устанавливается по инициативе клиента.
Возможны следующие схемы подключения клиентов к Серверу:
1. Посредством прямых соединений
Данный подход имеет много преимуществ, но не всегда однозначно предпочтителен
(также есть ситуации, когда такой подход не следует использовать).
2. При использовании
Службы обнаружения Сервера
По умолчанию (если явно не задано иное) клиенты используют именно эту Службу.
Данный подход следует использовать, если необходима перенастройка всей системы,
в частности, если требуется перенести Сервер Dr.Web на другой компьютер или поменять IP-адрес машины, на которой установлен Сервер.
3. Через протокол SRV
Данный подход позволяет искать Сервер по имени компьютера и/или службы
Сервера на основе SRV-записей на DNS-сервере.
При конфигурации антивирусной сети Dr.Web Enterprise Security Suite на использование прямых соединений Служба обнаружения Сервера может быть отключена. Для этого в описании транспортов (Администрирование → Конфигурация Сервера Dr.Web →
вкладка Сеть → вкладка Транспорт) поле Multicast-группа следует оставить пустым.
Настройка сетевого экрана
Для возможности взаимодействия компонентов антивирусной сети необходимо, чтобы все используемые ими порты и интерфейсы были открыты на всех компьютерах,
входящих в антивирусную сеть.
При установке Сервера инсталлятор автоматически добавляет порты и интерфейсы
Сервера в исключения сетевого экрана ОС Windows.
Руководство администратора
41
1 2 3 4 5 6 7 8 9 ... 38
Глава 4: Начало работы
Если на компьютере используется сетевой экран, помимо встроенного сетевого экрана
ОС Windows, администратор антивирусной сети должен произвести соответствующие настройки вручную.
4.2.1. Прямые соединения
Настройка Сервера Dr.Web
В настройках Сервера должно быть указано, какой адрес (см. документ Приложения, п.
Приложение Д. Спецификация сетевого адреса
) необходимо "прослушивать" для приема входящих TCP-соединений.
Данный параметр задается в настройках Сервера Администрирование →
Конфигурация Сервера Dr.Web → вкладка Сеть → вкладка Транспорт → поле Адрес.
По умолчанию для "прослушивания" Сервером устанавливаются:
·
Адрес: пустое значение — использовать все сетевые интерфейсы для данной машины,
на которой установлен Сервер.
·
Порт: 2193 — использовать порт 2193.
Порт 2193 зарегистрирован за Dr.Web Enterprise Management Service в IANA.
Для корректной работы всей системы Dr.Web Enterprise Security Suite достаточно, чтобы
Сервер "слушал" хотя бы один TCP-порт, который должен быть известен всем клиентам.
Настройка Агента Dr.Web
При установке Агента адрес Сервера (IP-адрес или DNS-имя компьютера, на котором запущен Сервер Dr.Web) может быть явно указан в параметрах установки:
drwinst /server
<Адрес_Сервера>
При установке Агента рекомендуется использовать имя Сервера, предварительно зарегистрированное в службе DNS. Это упростит процесс настройки антивирусной сети,
связанный с процедурой переустановки Сервера Dr.Web на другой компьютер.
По умолчанию команда drwinst, запущенная без параметров, будет сканировать сеть на наличие Серверов Dr.Web и попытается установить Агент с первого найденного
Сервера в сети (режим Multicasting с использованием
Службы обнаружения Сервера
).
Таким образом, адрес Сервера Dr.Web становится известен Агенту при установке.
В дальнейшем адрес Сервера может быть изменен вручную в настройках Агента.
Руководство администратора
42
Глава 4: Начало работы
4.2.2. Служба обнаружения Сервера Dr.Web
При данной схеме подключения клиенту заранее не известен адрес Сервера. Перед каждым установлением соединения осуществляется поиск Сервера в сети. Для этого клиент посылает в сеть широковещательный запрос и ожидает ответ от Сервера с указанием его адреса. После получения отзыва клиент устанавливает соединение с
Сервером.
Для этого Сервер должен "прослушивать" сеть на подобные запросы.
Возможно несколько вариантов настройки подобной схемы. Главное, чтобы метод поиска Сервера, заданный для клиентов, был согласован с настройками ответной части
Сервера.
В Dr.Web Enterprise Security Suite по умолчанию используется режим Multicast over UDP:
1. Сервер регистрируется в мультикаст-группе с адресом, заданным в настройках
Сервера.
2. Агенты, при поиске Сервера, посылают в сеть мультикаст-запросы на групповой адрес, заданный в п. 1.
По умолчанию для "прослушивания" Сервером устанавливается (аналогично прямым соединениям): udp/231.0.0.1:2193.
Данный параметр задается в настройках Центра управления Администрирование →
Конфигурация Сервера Dr.Web → вкладка Сеть → вкладка Транспорт → поле Multicast-
группа.
4.2.3. Использование протокола SRV
Клиенты под ОС Windows поддерживают клиентский сетевой протокол SRV (описание формата приведено в документе Приложения, п.
Приложение Д. Спецификация сетевого адреса
).
Возможность обращения к Серверу через SRV-записи реализуется следующим
образом:
1. При установке Сервера настраивается регистрация в домене Active Directory,
инсталлятор вносит соответствующую SRV-запись на DNS-сервер.
SRV-запись вносится на DNS-сервер в соответствии с RFC2782 (см.
https://datatracker.ietf.org/doc/html/rfc2782
).
2. При запросе подключения к Серверу пользователь задает обращение через протокол srv
Например, запуск инсталлятора Агента:
Руководство администратора
43
Глава 4: Начало работы
·
с явным указанием имени сервиса myservice:
drwinst /server "srv/myservice"
·
без указания имени сервиса. При этом будет осуществляться поиск в SRV-записях имени по умолчанию — drwcs:
drwinst /server "srv/"
3. Клиент прозрачно для пользователя использует функционал протокола SRV для обращения к Серверу.
Если при обращении Сервер явно не указан, по умолчанию в качестве имени сервиса используется drwcs.
4.3. Обеспечение безопасного соединения
4.3.1. Шифрование и сжатие трафика
Режим шифрования используется для обеспечения безопасности данных, передаваемых по небезопасному каналу, и позволяет избежать возможного разглашения ценных сведений и подмены программного обеспечения, загружаемого на защищаемые станции.
Антивирусная сеть Dr.Web Enterprise Security Suite использует следующие криптографические средства:
·
Электронная цифровая подпись (ГОСТ Р 34.10-2001).
·
Асимметричное шифрование (VKO GOST R 34.10-2001 — RFC 4357).
·
Симметричное шифрование (ГОСТ 28147-89).
·
Криптографическая хеш-функция (ГОСТ Р 34.11-94).
Антивирусная сеть Dr.Web Enterprise Security Suite позволяет зашифровать трафик между
Сервером и клиентами, к которым относятся:
·
Агенты Dr.Web.
·
Инсталляторы Агентов Dr.Web.
·
Соседние Серверы Dr.Web.
·
Прокси-серверы Dr.Web.
Ввиду того, что трафик между компонентами, в особенности между Серверами, может быть весьма значительным, антивирусная сеть позволяет установить сжатие этого трафика. Настройка политики сжатия и совместимость таких настроек на разных клиентах аналогичны настройкам для шифрования.
Руководство администратора
44
Глава 4: Начало работы
Политика согласования настроек
Политика использования шифрования и сжатия настраивается отдельно на каждом из компонентов антивирусной сети, при этом настройки остальных компонентов должны быть согласованы с настройками Сервера.
При согласовании настроек шифрования и сжатия на Сервере и клиенте следует иметь ввиду, что ряд сочетаний настроек является недопустимым, и их выбор приведет к невозможности установки соединения между Сервером и клиентом.
В таблице 4-1
приведены сведения о том, при каких настройках соединение между
Сервером и клиентом будет зашифрованным/сжатым (+), при каких — не зашифрованным/не сжатым (–), и о том, какие сочетания являются недопустимыми
(Ошибка).
Таблица 4-1. Совместимость настроек политик шифрования и сжатия
Настройки клиента
Настройки Сервера
Да
Возможно
Нет
Да
+
+
Ошибка
Возможно
+
+
–
Нет
Ошибка
–
–
Использование шифрования трафика создает заметную вычислительную нагрузку на компьютеры с производительностью, близкой к минимально допустимой для установленных на них компонентов. В тех случаях, когда шифрование трафика не требуется для обеспечения дополнительной безопасности, можно отказаться от этого режима.
Для отключения режима шифрования следует последовательно переключать Сервер и компоненты сначала в режим Возможно, не допуская создания несовместимых пар клиент-Сервер.
Использование сжатия уменьшает трафик, но значительно увеличивает потребление оперативной памяти и вычислительную нагрузку на компьютеры, в большей степени,
чем шифрование.
Подключение через Прокси-сервер Dr.Web
При подключении клиентов к Серверу через Прокси-сервер Dr.Web необходимо учитывать настройки шифрования и сжатия на всех трех компонентах. При этом:
Руководство администратора
45
Глава 4: Начало работы
·
Настройки Сервера и Прокси-сервера (здесь играет роль клиента) должны согласовываться по таблице 4-1
·
Настройки клиента и Прокси-сервера (здесь играет роль Сервера) должны согласовываться по таблице 4-1
Возможность установки соединения через Прокси-сервер зависит от версий Сервера и клиента, поддерживающих определенные технологии шифрования:
·
Если Сервер и клиент поддерживают TLS-шифрование, используемое в версии 12.0, то достаточно выполнения вышеописанных условий для установления работающего соединения.
·
Если один из компонентов не поддерживает TLS-шифрование: на Сервере и/или клиенте установлена версия 10 и более ранняя с шифрованием по ГОСТ, то выполняется дополнительная проверка по таблице 4-2
Таблица 4-2. Совместимость настроек политик шифрования и сжатия при
использовании Прокси-сервера
Настройки
соединения с
клиентом
Настройки соединения с Сервером
Ничего
Сжатие
Шифрование
Все
Ничего
Обычный режим
Обычный режим
Ошибка
Ошибка
Сжатие
Обычный режим
Обычный режим
Ошибка
Ошибка
Шифрование
Ошибка
Ошибка
Прозрачный режим
Ошибка
Все
Ошибка
Ошибка
Ошибка
Прозрачный режим
Условные обозначения
Настройки соединений с Сервером и с клиентом
Ничего
Ни сжатие, ни шифрование не поддерживается.
Сжатие
Поддерживается только сжатие.
Шифрование
Поддерживается только шифрование.
Все
Поддерживается и сжатие, и шифрование.
Результат соединения
Обычный режим
Установленное соединение подразумевает работу в обычном режиме — с обработкой команд и кешированием.
Руководство администратора
46
Глава 4: Начало работы
Прозрачный режим
Установленное соединение подразумевает работу в прозрачном режиме
— без обработки команд и без кеширования. Версия протокола шифрования выбирается минимальная: если один из компонентов
(Сервер или Агент) версии 11, а другой версии 10, то устанавливается шифрование, используемое в версии 10.
Ошибка
Соединение Прокси-сервера с Сервером и с клиентом будет разорвано.
Таким образом, если Сервер и Агент разных версий: один версии 11, а другой — версии
10 и более ранней, то для установленных соединений через Прокси-сервер применяются следующие ограничения:
·
Кеширование данных на Прокси-сервере возможно только в том случае, если оба соединения — и с Сервером и с клиентом установлены без использования шифрования.
·
Шифрование будет использоваться, только если оба соединения — и с Сервером, и с клиентом установлены с использованием шифрования и с одинаковыми параметрами сжатия (для обоих соединений есть сжатие или для обоих — нет).
Настройки шифрования и сжатия на Dr.Web Сервере
Чтобы задать настройки сжатия и шифрования Сервера
1. Выберите пункт Администрирование в главном меню Центра управления.
2. В открывшемся окне выберите пункт управляющего меню Конфигурация Сервера
Dr.Web.
3. На вкладке Сеть → Транспорт выберите в выпадающих списках Шифрование и
Сжатие один из вариантов:
·
Да — шифрование (или сжатие) трафика со всеми клиентами обязательно
(устанавливается по умолчанию для шифрования, если при установке Сервера не было задано другое).
·
Возможно — шифрование (или сжатие) будет выполняться для трафика с теми из клиентов, настройки которых этого не запрещают.
·
Нет — шифрование (или сжатие) не поддерживается (устанавливается по умолчанию для сжатия, если при установке Сервера не было задано другое).
При настройке шифрования и сжатия на стороне Сервера обратите внимание на особенности клиентов, которые планируется подключать к данному Серверу. Не все клиенты поддерживают шифрование и сжатия трафика.
Руководство администратора
47
Глава 4: Начало работы
Настройки шифрования и сжатия на Dr.Web Прокси-сервере
Чтобы централизовано задать настройки шифрования и сжатия для Прокси-сервера
Если Прокси-сервер не подключен к Серверу Dr.Web для удаленного управления настройками, настройте подключение как описано в Руководстве по установке, п.
Подключение Прокси-сервера к Серверу Dr.Web
1. Откройте Центр управления для Сервера, который является управляющим для
Прокси-сервера.
2. Выберите пункт Антивирусная сеть в главном меню Центра управления, в открывшемся окне в иерархическом списке нажмите на название Прокси-сервера,
настройки которого вы хотите отредактировать или его первичной группы, если настройки Прокси-сервера наследуются.
3. В открывшемся управляющем меню выберите пункт Прокси-сервер Dr.Web.
Откроется раздел настроек.
4. Перейдите на вкладку Прослушивание.
5. В разделе Параметры соединения с клиентами, в выпадающих списках Шифрование
и Сжатие выберите режим шифрования и сжатия трафика для каналов между
Прокси-сервером и обслуживаемыми клиентами: Агентами и инсталляторами
Агентов.
6. В разделе Параметры соединения с Серверами Dr.Web задается список Серверов,
на которые будет перенаправляться трафик. Выберите в списке нужный Сервер и нажмите кнопку на панели инструментов данного раздела, чтобы отредактировать параметры соединения с выбранным Сервером Dr.Web. В открывшемся окне, в выпадающих списках Шифрование и Сжатие выберите режим шифрования и сжатия трафика для канала между Прокси-сервером и выбранным Сервером.
7. Для сохранения заданных настроек нажмите кнопку Сохранить.
Чтобы локально задать настройки шифрования и сжатия для Прокси-сервера
Если Прокси-сервер подключен к управляющему Серверу Dr.Web для удаленной настройки, то конфигурационный файл Прокси-сервера будет перезаписан в соответствии с настройками, пришедшими с Сервера. В таком случае необходимо задавать настройки удаленно с Сервера или отключить настройку, разрешающую принимать конфигурацию с этого Сервера.
Описание конфигурационного файла drwcsd-proxy.conf приведено в документе
Приложения, в разделе
Приложении Ж4 1. На компьютере, на котором установлен Прокси-сервер, откройте конфигурационный файл drwcsd-proxy.conf.
Руководство администратора
48
Глава 4: Начало работы
2. Отредактируйте настройки, отвечающие за сжатие и шифрование для соединений с клиентами и с Серверами.
3. Перезапустите Прокси-сервер:
·
Для ОС Windows:
ъ Если Прокси-сервер запущен как сервис ОС Windows, перезапуск сервиса осуществляется штатными средствами системы.
ъ Если Прокси-сервер запущен в консоли, для перезапуска нажмите CTRL+BREAK.
·
Для ОС семейства UNIX:
ъ Отправьте сигнал SIGHUP демону Прокси-сервера.
ъ Выполните следующую команду:
Для ОС Linux:
/etc/init.d/dwcp_proxy restart
Для ОС FreeBSD:
/usr/local/etc/rc.d/dwcp_proxy restart
Настройки шифрования и сжатия на станциях
Чтобы централизовано задать настройки шифрования и сжатия станций
1. Выберите пункт Антивирусная сеть в главном меню Центра управления, в открывшемся окне в иерархическом списке нажмите на название станции или группы.
2. В открывшемся управляющем меню выберите пункт Параметры подключения.
3. На вкладке Общие, в выпадающих списках Режим сжатия и Режим шифрования
выберите один из вариантов:
·
Да — шифрование (или сжатие) трафика с Сервером обязательно.
·
Возможно — шифрование (или сжатие) будет выполняться для трафика с
Сервером, если настройки Сервера этого не запрещают.
·
Нет — шифрование (или сжатие) не поддерживается.
4. Нажмите Сохранить.
5. Изменения вступят в силу, как только настройки будут переданы на станции. Если станции на момент изменения настроек отключены, изменения будут переданы, как только станции подключатся к Серверу.