Сервис Defguard предоставляется бесплатно только на время тестового периода (2 месяца). Он призван обеспечить доступ к облачной инфраструктуре (серверам) с удаленного рабочего места без необходимости работы в облачной консоли напрямую. В рамках услуги в клиентском проекте создётся Инстанс с харакетристиками: 2CPU\2RAM\30Gb. В случае необходимости, или её отсутсвия (использование собственного SSL VPN сервиса) данный Инстанс возможно удалить, или выключить. По истечении тестового периода, ресурсы, выделенные под сервис, начнут тарифицироваться. Просим быть внимательными!
Для подключения к консоли управления, необходимо воспользоваться ссылкой в сопроводительном письме (Welcome letter) авторизовавшись, используя полученный логин и пароль.
Создание пользователя
- Раскрыть панель навигации и перейти в раздел –"Users" (Пользователи).
- Заполнить необходимые поля:
- Нажать "Add new";
- Ввести желаемый логин;
- Ввести Имя;
- Ввести Фамилию;
- Ввести пароль;
- Ввести адрес электронной почты;
- Ввести номер телефона (не обязательно).
- Перейти во вкладку "VPN Overview" в панели администрирования и нажать "Edit Locations settings";
- В поле "Allowed Ips" указать адреса подсетей через запятую, к которым будет открыт доступ и нажать "Save changes";
- В панели пользователя нажать на – "Add new device";
- Выбрать клиент, который планируется использовать, нажать – "Next";
Рекомендуем использовать – Defguard. Имеется возможность использовать 2FA.
- Скопировать данные для входа:
Для клиента Defguard:
Для клиента Wireguard:
- Выбор локации;
- Экспорт конфигурационного файла;
- Копирование данных для вставки в файл конфигурации;
- Копирование QR кода;
- QR код для добавления подключения в мобильном приложении.
Необходимо скопировать файл конфигурации на этом шаге, в ином случае, приватный ключ будет безвозвратно утерян!
Клиент DefGuard
Подключиться к сети
- Установить клиент DefGuard;
Ссылка на клиент доступна на шаге выбора клиента для подключения под кнопкой выбора – https://github.com/DefGuard/client/releases.
- Открыть клиент DefGuard , добавить новый "Instance" и ввести данные Instance URL и Token;
- Ввести название девайса;
- Выбрать подключение из списка, нажать – "Connect";
- В случае успеха, статус сменится на – "Active".
Клиент Wireguard
Подключиться к сети
- Установить клиент Wireguard;
Ссылка на клиент доступна на шаге выбора клиента для подключения под кнопкой выбора – https://www.wireguard.com/install/.
- Открыть клиент Wireguard и нажать – "Импорт туннелей из файла";
- Указать путь до файла. Нажать – "Открыть";
- Выбрать подключение из списка. Нажать – "Подключить";
- Проверить статус подключения. В случае успеха, статус сменится на – "Подключен".
Доступ к сетям проекта
В рамках подключения к SSL VPN возможны два варианта доступа к сетям в Проекте OpenStack:
- Доступ к сетям добавленным на маршрутизатор;
- Доступ к изолированным сетям Инстансов.
Доступ к сетям маршрутизатора
По умолчанию, всем VPN клиентам доступны все сети маршрутизатора, к которым подключена “серая” сеть "Defguard".
В случае организации ограничения доступа до определенных сетей, необходимо настроить правила в Группах безопасности, которые добавлены к маршрутизатору.
Для доступа к необходимым внутренним сетям и корректной маршрутизации, необходимо:
- Проверить адрес шлюза сети:
В Проекте перейти в раздел "Network" > "Networks", выбрать необходимую сеть. Перейти в раздел "Subnets". Проверить пункт – "Gateway IP".
Перейти в раздел "Subnets";
Проверить пункт – "Gateway IP".
- Проверить наличие на маршрутизаторе интерфейса требуемой сети:
В Проекте перейти в раздел – "Network" > "Routers", выбрать маршрутизатор из списка.
Найти интерфейс, который подключен к искомой сети.
IP адрес интерфейса маршрутизатора должен совпадать с IP адресом из предыдущего шага.
Если на маршрутизаторе отстуствуют необходимые интерфейсы, то их необходимо создать. При добавлении интерфейса в раздел – “IP адрес”, следует указать IP адрес шлюза подсети
Доступ к изолированным сетям
Для доступа к сети в обход маршрутизатора, необходимо:
- Создать сеть в Проекте;
- Добавить "forward" правило для iptables в операционной системе
Пример настройки правила в ОС Linux:
iptables -I FORWARD -i ens# -o wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o ens# -j MASQUERADE
