Создание и настройка шлюза UserGate в режиме прокси-сервера

Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

1. Создайте сеть usergate-network:

   yc vpc network create usergate-network
   

   Результат:

   id: enptrcle5q3d********
   folder_id: b1g9hv2loamq********
   created_at: "2022-06-08T09:25:03Z"
   name: usergate-network
   default_security_group_id: enpbsnnop4ak********
   

   Подробнее о команде yc vpc network create см. в справочнике CLI.

2. Создайте подсеть usergate-subnet-ru-central1-a в зоне доступности ru-central1-a:

   yc vpc subnet create usergate-subnet-ru-central1-a \
     --zone ru-central1-a \
     --network-name usergate-network \
     --range 10.1.0.0/16
   

   Результат:

   id: e9bnnssj8sc8********
   folder_id: b1g9hv2loamq********
   created_at: "2022-06-08T09:27:00Z"
   name: usergate-subnet-ru-central1-a
   network_id: enptrcle5q3d********
   zone_id: ru-central1-a
   v4_cidr_blocks:
   - 10.1.0.0/16
   

   Подробнее о команде yc vpc subnet create см. в справочнике CLI.

1. Опишите в конфигурационном файле параметры сети usergate-network и ее подсети usergate-subnet-ru-central1-a:

   resource "yandex_vpc_network" "usergate-network" {
     name = "usergate-network"
   }
   
   resource "yandex_vpc_subnet" "usergate-subnet" {
     name           = "usergate-subnet-ru-central1-a"
     zone           = "ru-central1-a"
     network_id     = "${yandex_vpc_network.usergate-network.id}"
     v4_cidr_blocks = ["10.1.0.0/16"]
   }
   

   Подробнее см. в описаниях ресурсов yandex_vpc_network и yandex_vpc_subnet в документации провайдера Terraform.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

1. Создайте сеть usergate-network с помощью вызова gRPC API NetworkService/Create или метода REST API create для ресурса Network.
2. Создайте подсеть usergate-subnet-ru-central1-a с помощью вызова gRPC API SubnetService/Create или метода REST API create для ресурса Subnet.

Выполните следующую команду:

yc vpc security-group create usergate-sg \
  --network-name usergate-network \
  --rule direction=egress,port=any,protocol=any,v4-cidrs=[0.0.0.0/0] \
  --rule direction=ingress,protocol=icmp,v4-cidrs=[0.0.0.0/0] \
  --rule direction=ingress,port=3389,protocol=tcp,v4-cidrs=[0.0.0.0/0] \
  --rule direction=ingress,port=22,protocol=tcp,v4-cidrs=[0.0.0.0/0] \
  --rule direction=ingress,port=8001,protocol=tcp,v4-cidrs=[0.0.0.0/0] \
  --rule direction=ingress,port=8090,protocol=tcp,v4-cidrs=[0.0.0.0/0]

Результат:

id: enpu0e0nrqdn********
folder_id: b1g86q4m5vej********
created_at: "2022-06-29T09:38:40Z"
name: usergate-sg
network_id: enp3srbi9u49********
status: ACTIVE
rules:
- id: enpdp9d0ping********
  direction: EGRESS
  protocol_name: ANY
  protocol_number: "-1"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0
- id: enps2r5ru3s1********
  direction: INGRESS
  protocol_name: ICMP
  protocol_number: "1"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0
- id: enpgonbui61a********
  direction: INGRESS
  ports:
    from_port: "3389"
    to_port: "3389"
  protocol_name: TCP
  protocol_number: "6"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0
- id: enpbg1jh11hv********
  direction: INGRESS
  ports:
    from_port: "22"
    to_port: "22"
  protocol_name: TCP
  protocol_number: "6"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0
- id: enpgdavevku7********
  direction: INGRESS
  ports:
    from_port: "8001"
    to_port: "8001"
  protocol_name: TCP
  protocol_number: "6"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0
- id: enp335ibig9k********
  direction: INGRESS
  ports:
    from_port: "8090"
    to_port: "8090"
  protocol_name: TCP
  protocol_number: "6"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0

Подробнее о команде yc vpc security-group create см. в справочнике CLI.

1. Добавьте в конфигурационный файл параметры группы безопасности usergate-sg:

   resource "yandex_vpc_security_group" "usergate-sg" {
     name       = "usergate-sg"
     network_id = "${yandex_vpc_network.usergate-network.id}"
   
     egress {
       protocol       = "ANY"
       port           = "ANY"
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   
     ingress {
       protocol       = "ICMP"
       port           = "ANY"
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   
     ingress {
       protocol       = "TCP"
       port           = 3389
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   
     ingress {
       protocol       = "TCP"
       port           = 22
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   
     ingress {
       protocol       = "TCP"
       port           = 8001
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   
     ingress {
       protocol       = "TCP"
       port           = 8090
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   }
   

   Подробнее о ресурсе yandex_vpc_security_group см. в документации провайдера Terraform.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

Используйте вызов gRPC API SecurityGroupService/Create или метод REST API create.

Выполните команду:

yc vpc address create --external-ipv4 zone=ru-central1-a

Результат:

id: e9b6un9gkso6********
folder_id: b1g7gvsi89m3********
created_at: "2022-06-08T17:52:42Z"
external_ipv4_address:
  address: 178.154.253.52
  zone_id: ru-central1-a
  requirements: {}
reserved: true

Подробнее о команде yc vpc address create см. в справочнике CLI.

1. Создайте пару ключей SSH.

2. Получите идентификатор группы безопасности usergate-sg:

   yc vpc security-group get usergate-sg | grep "^id"
   

   Подробнее о команде yc vpc security-group get см. в справочнике CLI.

3. Выполните команду:

   yc compute instance create \
     --name usergate-proxy \
     --memory 8 \
     --cores 4 \
     --zone ru-central1-a \
     --network-interface subnet-name=usergate-subnet-ru-central1-a,nat-ip-version=ipv4,security-group-ids=<идентификатор_группы_безопасности_usergate-sg> \
     --create-boot-disk image-folder-id=standard-images,image-family=usergate-ngfw \
     --ssh-key <путь_к_открытой_части_SSH-ключа> \
   

   Результат:

   id: fhm2na1siftp********
   folder_id: b1g86q4m5vej********
   created_at: "2022-06-09T11:15:52Z"
   name: usergate-proxy
   zone_id: ru-central1-a
   platform_id: standard-v2
   resources:
     memory: "8589934592"
     cores: "4"
     core_fraction: "100"
   status: RUNNING
   boot_disk:
     mode: READ_WRITE
     device_name: fhmiq60rni2t********
     auto_delete: true
     disk_id: fhmiq60rni2t********
   network_interfaces:
   - index: "0"
     mac_address: d0:0d:2b:a8:3c:93
     subnet_id: e9bqlr188as7********
     primary_v4_address:
       address: 10.1.0.27
       one_to_one_nat:
         address: 51.250.72.1
         ip_version: IPV4
   fqdn: fhm2na1siftp********.auto.internal
   scheduling_policy: {}
   network_settings:
     type: STANDARD
   placement_policy: {}
   

   Подробнее о команде yc compute instance create см. в справочнике CLI.

1. Получите идентификатор последней версии образа UserGate NGFW из списка публичных образов.

2. Опишите в конфигурационном файле параметры ВМ usergate-proxy:

   resource "yandex_compute_disk" "boot-disk" {
     name     = "boot-disk"
     type     = "network-hdd"
     zone     = "ru-central1-a"
     size     = "110"
     image_id = "<идентификатор_образа_UserGate_NGFW>"
   }
   
   resource "yandex_compute_instance" "usergate-proxy" {
     name        = "usergate-proxy"
     platform_id = "standard-v3"
     zone        = "ru-central1-a"
     hostname    = "usergate"
     resources {
       cores         = 4
       core_fraction = 100
       memory        = 8
     }
   
     boot_disk {
       disk_id = yandex_compute_disk.boot-disk.id
     }
   
     network_interface {
       subnet_id          = "${yandex_vpc_subnet.usergate-subnet.id}"
       nat                = true
       security_group_ids = <идентификатор_группы_безопасности_usergate-sg>
     }
   }
   

   Подробнее см. в описании ресурса yandex_compute_instance в документации провайдера Terraform.

3. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

4. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

Создайте ВМ usergate-proxy с помощью метода REST API create для ресурса Instance.