Создание и настройка шлюза UserGate в режиме межсетевого экрана

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Создайте сеть usergate-network:

   yc vpc network create usergate-network
   

   Результат:

   id: enptrcle5q3d********
   folder_id: b1g9hv2loamq********
   created_at: "2022-06-08T09:25:03Z"
   name: usergate-network
   default_security_group_id: enpbsnnop4ak********
   

   Подробнее о команде yc vpc network create см. в справочнике CLI.

2. Создайте подсеть usergate-subnet-ru-central1-d в зоне доступности ru-central1-d:

   yc vpc subnet create usergate-subnet-ru-central1-d \
     --zone ru-central1-d \
     --network-name usergate-network \
     --range 10.1.0.0/16
   

   Результат:

   id: e9bnnssj8sc8********
   folder_id: b1g9hv2loamq********
   created_at: "2022-06-08T09:27:00Z"
   name: usergate-subnet-ru-central1-d
   network_id: enptrcle5q3d********
   zone_id: ru-central1-d
   v4_cidr_blocks:
   - 10.1.0.0/16
   

   Подробнее о команде yc vpc subnet create см. в справочнике CLI.

1. Опишите в конфигурационном файле параметры сети usergate-network и ее подсетей:

   resource "yandex_vpc_network" "usergate-network" {
     name = "usergate-network"
   }
   
   resource "yandex_vpc_subnet" {
     name           = "usergate-subnet-ru-central1-d"
     zone           = "ru-central1-d"
     network_id     = "${yandex_vpc_network.usergate-network.id}"
     v4_cidr_blocks = ["10.1.0.0/16"]
   }
   

   Подробнее см. в описаниях ресурсов yandex_vpc_network и yandex_vpc_subnet в документации провайдера Terraform.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

1. Создайте сеть usergate-network с помощью вызова gRPC API NetworkService/Create или метода REST API create для ресурса Network.
2. Создайте подсеть usergate-subnet-ru-central1-d с помощью вызова gRPC API SubnetService/Create или метода REST API create для ресурса Subnet.

Выполните команду:

yc vpc address create --external-ipv4 zone=ru-central1-d

Результат:

id: e9b6un9gkso6********
folder_id: b1g7gvsi89m3********
created_at: "2022-06-08T17:52:42Z"
external_ipv4_address:
  address: 178.154.253.52
  zone_id: ru-central1-d
  requirements: {}
reserved: true

Подробнее о команде yc vpc address create см. в справочнике CLI.

Опишите в конфигурационном файле параметры публичного адреса yandex_vpc_address:

resource "yandex_vpc_address" "usergate-addr" {
name = "usergate-addr"
external_ipv4_address {
  zone_id = "ru-central1-d"
  }
}

Подробнее см. описание ресурса vpc_address в документации провайдера Terraform.

1. Создайте пару ключей SSH.

2. Выполните команду:

   yc compute instance create \
     --name usergate-firewall \
     --memory 8 \
     --cores 4 \
     --zone ru-central1-d \
     --create-boot-disk image-folder-id=standard-images,image-family=usergate-ngfw \
     --ssh-key <путь_к_открытой_части_SSH-ключа> \
     --public-address=<зарезервированный_IP_адрес>
   

   Результат:

   id: fhm2na1siftp********
   folder_id: b1g86q4m5vej********
   created_at: "2022-06-09T11:15:52Z"
   name: usergate-firewall
   zone_id: ru-central1-d
   platform_id: standard-v2
   resources:
     memory: "8589934592"
     cores: "4"
     core_fraction: "100"
   status: RUNNING
   boot_disk:
     mode: READ_WRITE
     device_name: fhmiq60rni2t********
     auto_delete: true
     disk_id: fhmiq60rni2t********
   network_interfaces:
   - index: "0"
     mac_address: d0:0d:2b:a8:3c:93
     subnet_id: e9bqlr188as7********
     primary_v4_address:
       address: 10.1.0.27
       one_to_one_nat:
         address: 51.250.72.1
         ip_version: IPV4
   fqdn: fhm2na1siftp********.auto.internal
   scheduling_policy: {}
   network_settings:
     type: STANDARD
   placement_policy: {}
   

   Подробнее о команде yc compute instance create см. в справочнике CLI.

1. Получите идентификатор последней версии образа UserGate NGFW из списка публичных образов.

2. Опишите в конфигурационном файле параметры ВМ usergate-firewall:

   resource "yandex_compute_disk" "boot-disk" {
     name     = "boot-disk"
     type     = "network-hdd"
     zone     = "ru-central1-d"
     size     = "110"
     image_id = "<идентификатор_образа_UserGate_NGFW>"
   }
   
   resource "yandex_compute_instance" "usergate-firewall" {
     name        = "usergate-firewall"
     platform_id = "standard-v3"
     zone        = "ru-central1-d"
     hostname    = "usergate"
     resources {
       cores         = 4
       core_fraction = 100
       memory        = 8
     }
   
     boot_disk {
       disk_id = yandex_compute_disk.boot-disk.id
     }
   
     network_interface {
       subnet_id          = "${yandex_vpc_subnet.usergate-subnet.id}"
       nat                = true
       nat_ip_address     = <зарезервированный_IP_адрес>
     }
   

   Подробнее см. в описании ресурса yandex_compute_instance в документации провайдера Terraform.

3. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где находится конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

4. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

Создайте ВМ usergate-firewall с помощью метода REST API create для ресурса Instance.

Чтобы создать таблицу маршрутизации и добавить в нее статические маршруты:

1. Посмотрите описание команды CLI для создания таблиц маршрутизации:

   yc vpc route-table create --help
   

2. Получите идентификаторы облачных сетей в вашем облаке:

   yc vpc network list
   

   Результат:

   +----------------------+--------------------+
   |          ID          |      NAME          |
   +----------------------+--------------------+
   | enp846vf5fus******** | usergate-network   |
   +----------------------+--------------------+
   

3. Создайте таблицу маршрутизации в сети usergate-network:

   yc vpc route-table create \
     --name=test-route-table \
     --network-id=enp846vf5fus******** \
     --route destination=0.0.0.0/0,next-hop=10.129.0.24
   

   Где:

   • name — имя таблицы маршрутизации.
   • network-id — идентификатор сети, в которой будет создана таблица.
   • route — настройки маршрута, включают два параметра:
     • destination — префикс подсети назначения в нотации CIDR.
     • next-hop — внутренний IP-адрес виртуальной машины UserGate usergate-firewall.

   Результат:

   ...done
   id: enpsi6b08q2v********
   folder_id: b1gqs1teo2q2********
   created_at: "2019-06-24T09:57:54Z"
   name: test-route-table
   network_id: enp846vf5fus********
   static_routes:
   - destination_prefix: 0.0.0.0/0
     next_hop_address: 10.129.0.24
   

Чтобы использовать статические маршруты, необходимо привязать таблицу маршрутизации к подсети:

1. Получите список подсетей в вашем облаке:

   yc vpc subnet list
   

   Результат:

   +----------------------+-------------------------------+----------------------+----------------------+---------------+-----------------+
   |          ID          |               NAME            |      NETWORK ID      |    ROUTE TABLE ID    |       ZONE    |      RANGE      |
   +----------------------+-------------------------------+----------------------+----------------------+---------------+-----------------+
   | b0c4l3v9jrgd******** | usergate-subnet-ru-central1-d | enpjsdf771h0******** |                      | ru-central1-d | [10.130.0.0/24] |
   +----------------------+-------------------------------+----------------------+----------------------+---------------+-----------------+
   

2. Привяжите таблицу маршрутизации к подсети, в которой будет работать веб-сервис, например, к подсети usergate-subnet-ru-central1-d:

   yc vpc subnet update b0c4l3v9jrgd******** --route-table-id e2l5345dlgr1********
   

   Результат:

   ..done
   id: b0c4l3v9jrgd********
   folder_id: b1gqs1teo2q2********
   created_at: "2019-03-12T13:27:22Z"
   name: subnet-1
   network_id: enp846vf5fus********
   zone_id: ru-central1-d
   v4_cidr_blocks:
   - 192.168.0.0/24
   route_table_id: e2l5345dlgr1********
   

Чтобы создать таблицу маршрутизации и добавить в нее статические маршруты:

1. Опишите в конфигурационном файле параметры ресурсов, которые необходимо создать:

   • name — имя таблицы маршрутизации. Формат имени:

     • длина — от 2 до 63 символов;
     • может содержать строчные буквы латинского алфавита, цифры и дефисы;
     • первый символ — буква, последний — не дефис.

   • network_id — идентификатор сети, в которой будет создана таблица.

   • static_route — описание статического маршрута:

     • destination_prefix — префикс подсети назначения в нотации CIDR.
     • next_hop_address — внутренний IP-адрес виртуальной машины из разрешенных диапазонов, через которую будет направляться трафик.

   Пример структуры конфигурационного файла:

   resource "yandex_vpc_route_table" "usergate-rt-d" {
     name       = "<имя_таблицы_маршрутизации>"
     network_id = "<идентификатор_сети>"
     static_route {
       destination_prefix = "0.0.0.0/0"
       next_hop_address   = "10.129.0.24"
     }
   }
   

   Чтобы добавить, изменить или удалить таблицу маршрутизации, используйте ресурс yandex_vpc_route_table с указанием на сеть в поле netword id (например, network_id = "${yandex_vpc_network.lab-net.id}").

   Более подробную информацию о параметрах ресурса yandex_vpc_route_table в Terraform см. в документации провайдера.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

      После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить появление ресурсов и их настройки можно в консоли управления или с помощью команды CLI:

      yc vpc route-table list