Какая функция координатора может присутствовать в пак hw100 только при наличии в нем жесткого диска
Обновлено: 17.05.2024
ViPNet Coordinator HW 100 - это компактный криптошлюз и межсетевой экран, позволяющий безопасно включить любое сетевое оборудование в виртуальную частную сеть, построенную с использованием продуктов ViPNet, и надежно защитить передаваемую информацию от несанкционированного доступа и подмены.
ViPNet Coordinator HW 100 представляет собой комбинацию компактного криптошлюза и межсетевого экрана. Его применение предоставляет возможность безопасной интеграции различных видов сетевого оборудования в частные виртуальные сети, для построения которых использованы продукты ViPNet, обеспечивающие этом высокий уровень защиты транслируемой информации и данных от подмены и незаконного доступа.
Базой для построения ViPNet Coordinator HW 100 стал софт ViPNet Coordinator Linux. В ViPNet-сетях комплекс выполняет задачи ПО ViPNet Coordinator, в числе которых присутствует функция VPN-сервера. Благодаря ей удаленные VPN-клиенты, обладающие ПО ViPNet Client, получают доступ в сеть.
Видео о продукции
Назначение ViPNet Coordinator HW 100
При передаче по любому из каналов связи секретной информации выполняется ее полное шифрование. Также обеспечивается сетевая безопасность пользовательского оборудования с учетом следующих факторов:
- Использование в автономном режиме при наличии возможности эффективного полностью удаленного управления;
- Отсутствие возможности либо практической целесообразности установки непосредственно на используемое оборудование программных средств защиты.
Преимущества ViPNet Coordinator HW 100
- Высокий уровень защиты от механических воздействий. Это достигнуто благодаря тому, что роль аппаратной платформы исполняет заключенный в прочный корпус из алюминиевого сплава промышленный компьютер, стандартный жесткий диск заменен flash-диском, а в схеме исполнения отсутствует вентилятор;
- ViPNet Coordinator HW 100 может быть использован на мобильных объектах и открытой местности благодаря подаче питания от любых доступных низковольтных источников тока;
- Базой для создания программного обеспечения стал софт ViPNet Coordinator Linux и технология ViPNet, предназначенная для защиты информации – многократно проверенные и апробированные сервисы;
- Центром, генерирующим ключи шифрования, служит ПО ViPNet Administrator, входящее в состав СКЗИ «Домен-КС2» и прошедшее сертификацию ФСБ России;
- Наиболее демократичная цена в линейке подобных решений, созданных иными российскими производителями.
Сертификация
Модификации HW100/HW1000/HW2000/HW-VPNM программно-аппаратного комплекса ViPNet Coordinator HW сертифицированы ФСБ России согласно требованиям к СКЗИ класса КС3.
Узнать о стоимости программно – аппаратного комплекса ViPNet Coordinator HW 100 вы можете в разделе «ЦЕНЫ» или оставив«ЗАЯВКУ» с использованием ОНЛАЙН-сервиса нашего сайта.
Также Вы можете получить всю исчерпывающую информацию по установке, настройке и специфике работы данного оборудования у наших специалистов:
В 2017 году мой коллега рассказывал нашим читателям об одном из решений для организации защиты каналов связи согласно требованиям ФСТЭК/ФСБ.
Сегодня я бы хотел провести обзор еще одного конкурентного решения, разработанного отечественным производителем, компанией ИнфоТеКС. Основные цели, которые мы будем ставить, рассматривая данный продукт:
- организация защищенных каналов связи между офисами, филиалами, ЦОД;
- единое адресное пространство в защищаемой сети;
- производительность, отказоустойчивость и масштабируемость;
- выполнение требований государственных регуляторов.
Для обеспечения всех вышеперечисленных задач мы сконцентрируем своё внимание на семействе шлюзов безопасности, под названием ViPNet Coordinator HW. На основе этой линейки нами уже реализованы успешные проекты по внедрению защищенной сети. Данное семейство содержит следующие типы программно-аппаратных комплексов:
ПАК ViPNet Coordinator HW50 и HW100 - предназначены для защиты небольших удаленных офисов, филиалов, рабочих мест, а также мобильных пользователей.
 |  |
Очень важно на этапе проектирования будущей защищенной сети правильно подобрать необходимый комплекс, в совокупности с подходящими лицензиями, дабы не столкнуться с неожиданными ограничениями, проявившими себя в самый неподходящий момент. Для этого необходимо тщательным образом проработать текущие потребности на основе имеющейся сети, а также изучить перспективу развития и масштабируемости.
Рассмотрим, из чего же состоит программно-аппаратный комплекс ViPNet Coordinator HW. Для первоначального развертывания защищенной сети нам необходимо установить на АРМ Администратора все необходимое программное обеспечение, под общим названием ViPNet Administrator. Оно в свою очередь делится на «Центр Управления Сетью» (ЦУС) и «Удостоверяющий и ключевой центр» (УКЦ). Серверная часть ПО ЦУС разворачивает базу данных хранения настроек и информации сети ViPNet, клиентская служит для конфигурации и управления всеми составляющими защищенной сети. Для создания ключей и паролей от учетных записей пользователей предназначен УКЦ. В результате чего ЦУС и УКЦ применяются строго в тандеме и являются неотъемлемой частью друг друга. Также, следует отметить, что на этот же АРМ необходимо установить ViPNet Client, который допустит его в среду защищенной сети, для последующей передачи и записи настроек на само «железо», в противном случае вам это сделать не удастся.
ViPNet Client является довольно мощным средством сетевой защиты рабочего места администратора или удаленного пользователя. Помимо возможности клиентского подключения к безопасной сети ViPNet и туннелирования трафика, в программе присутствует целый ряд средств защиты, которые обеспечивают безопасность подключения. Это и принудительная аутентификация в ViPNet Client при запуске ОС до системной аутентификации, и персональный межсетевой экран (он в свою очередь подразделяется на фильтры защищенной и открытой сети), и контроль сетевых приложений и компонентов ОС, полностью отслеживающий любые соединения и предоставляющий выбор действий над ними, а также шифрование и имитозащита передаваемых данных. Поставляется ViPNet Client как для Windows, так и для *nix-подобных систем (со списком совместимых ОС можно ознакомиться на официальном сайте производителя).
После установки и настройки всех этих программных составляющих необходимо позаботиться о надежном их сохранении. Разумеется, АРМ Администратора должен быть подготовлен соответствующим образом, от него в том числе будет зависеть надежность работоспособности защищенной сети. Здесь специально стоит остановится на теме резервного копирования.
На мой взгляд, процесс миграции базы данных ЦУС\УКЦ на сторонний АРМ является довольно нетривиальной процедурой, к которой как минимум надо тщательно подготовиться, для этой цели присутствует отдельная документация. Не стоит откладывать этот вопрос до последних минут жизни вашего текущего АРМ, в стрессовой ситуации риск что-либо упустить и потерять доступ к приватной сети довольно высок. В связи с чем, настоятельно рекомендую, согласно официальной документации, сохранить все указанные файлы и ключи в надежном месте, с заранее подготовленным руководством по очередности выполняемых действий.
Жизнь сетевого инженера была счастливой и беззаботной, пока в ней не появился сертифицированный криптошлюз. Согласитесь, разбираться с решениями, предназначенными для шифрования каналов передачи данных по ГОСТу, задача не из легких. Хорошо, если это известные и понятные продукты. Вспомним ту же «С-Терра» (об их «С-Терра Шлюз» мы уже писали ). Но что делать с более экзотичными решениями на базе собственных протоколов шифрования, например, «Континент» (от «Кода Безопасности») или ViPNet Coordinator HW (от «Инфотекса»)? В этой статье я постараюсь облегчить погружение в мир ViPNet (про «Континент» тоже когда-нибудь поговорим) и рассказать, с какими проблемами столкнулся сам и как их решал.
Сразу оговорюсь, что мы поговорим о сертифицированной на сегодня ФСБ и ФСТЭК версии 4.2.1. В актуальных версиях 4.3.х появилось много интересного, например, DGD и измененный механизм кластеризации, обеспечивающий практически бесшовное переключение, но пока это будущее. Я не буду глубоко погружаться в недра конфигурационных команд и файлов, акцентировав внимание на ключевых командах и переменных, а подробное описание по этим «ключам» можно будет найти в документации.
Для начала разберемся, как это все работает. Итак, координатор ViPNet выполняет несколько функций. Во-первых, это криптошлюз (КШ), который позволяет реализовать как Site-to-site, так и RA VPN. Во-вторых, он является сервером-маршрутизатором конвертов, содержащих зашифрованные служебные данные (справочники и ключи) или данные клиентских приложений (файловый обмен, деловая почта). Кстати, именно в справочниках хранятся файлы, содержащие информацию об объектах сети ViPNet, в том числе об их именах, идентификаторах, адресах, связях. Координатор также является источником служебной информации для своих клиентов.
Помимо этого, он может туннелировать трафик от компьютеров сети, где не установлено ПО ViPNet. Кстати, специалисты, работающие с этим решением, часто называют открытые хосты не «туннелируемыми узлами», а просто «туннелями». Это может сбить с толку инженеров, которые привыкли к другим VPN-решениям, где под туннелем подразумевают PtP-соединение между КШ.
В качестве протокола шифрования в ViPNet используется IPlir, также разработанный «Инфотексом». Для инкапсуляции трафика применяются транспортные протоколы IP/241 (если трафик не покидает широковещательный домен), UDP/55777 и TCP/80 (при недоступности UDP).
В концепции построения защищенных соединений лежат так называемые «связи», которые бывают двух типов. Первые (на уровне узлов) нужны для построения защищенного соединения между узлами, вторые (на уровне пользователей) необходимы для работы клиентских приложений. Но есть исключение: узлы администратора сети ViPNet требуют обоих типов связи.
Что же может в этой схеме пойти не так? Как показывает практика, особенностей работы действительно много, и далеко не все проблемы можно решить интуитивно, без «помощи зала», а что-то нужно просто принять как данность.
Координатор недоступен
«У нас недоступен координатор/клиент/туннель. Что делать?» – самый частый вопрос, с которым приходят новички при настройке VipNet. Единственно верное действие в такой ситуации – включать регистрацию всего трафика на координаторах и смотреть в журнал IP-пакетов, который является важнейшим инструментом траблшутинга всевозможных сетевых проблем. Этот способ спасает в 80% случаев. Работа с журналом IP-пакетов также помогает лучше усвоить механизмы работы узлов ViPNet-сети.
Конверт не доставлен
Из этого следуют два вывода. Во-первых, между клиентами не обязательно должна проверяться связь (по нажатию на F5 и соответствующей иконки в меню) для доставки конвертов. Во-вторых, если связь межу ними все-таки проверяется, это не гарантирует доставку, так как проблема может быть в одном из межсерверных каналов.
Диагностировать прохождение конвертов межсерверным каналам или между клиентом и координатором в неочевидных случаях можно с помощью журнала и очереди конвертов, а также логов на координаторе. Также транспортный модуль VipNet-клиента можно настроить на прямую доставку конвертов, доставку через общую папку илиSMTP/POP3 (но это совсем экзотичный вариант). Погружаться в эти настройки мы не будем.
Последствия перепрошивки
Неинформативные конфиги
Основным конфигурационным файлом HW является «iplir.conf», однако он не всегда отражает текущие параметры. Дело в том, что в момент загрузки драйвера IPlir происходит интерпретация этого конфига в соответствии с заложенной логикой, и не вся информация может быть загружена в драйвер (например, при наличии конфликтов IP-адресов). Инженеры, работавшие с программным координатором для Linux, наверняка знают о существовании команды «iplirdiag», которая отображает текущие настройки узлов, прогруженные в драйвер. В HW эта команда также присутствует в режиме «admin escape».
Немного остановимся на режиме «admin escape». По сути это выход из ViPNet shell в bash. Тут я солидарен с вендором, который рекомендует использовать данный режим только для диагностики и вносить какие-либо модификации только под присмотром техподдержки вендора. Это вам не обычный Debian, здесь любое неосторожное движение может вывести из строя ОС, защитные механизмы которой воспримут вашу «самодеятельность» как потенциальную угрозу. В связке с заблокированным по умолчанию BIOS это обрекает вас на негарантийный (читай «дорогой») ремонт.
(Un)split tunneling
Служебные порты и TCP-туннель
Однажды я столкнулся с приложением, которое ни в какую не хотело работать через координатор. Так я узнал, что у координатора есть служебные порты, по которым незашифрованный трафик блокируется без возможности какой-либо настройки. К ним относятся UDP/2046,2048,2050 (базовые службы ViPNet), TCP/2047,5100,10092 (для работы ViPNet Statewatcher) и TCP/5000-5003 (MFTP). Тут подвела функции TCP-туннеля. Не секрет, что провайдеры любят фильтровать высокие порты UDP, поэтому администраторы, стремясь улучшить доступность своих КШ, включают функцию TCP-туннеля. Ресурсы в зоне DMZ (по порту TCP-туннеля) при этом становятся недоступны. Это происходит из-за того, что порт TCP-туннеля также становится служебным, и никакие правила межсетевых экранов и NAT (Network Address Translation) на него уже не действуют. Затрудняет диагностику тот факт, что данный трафик не регистрируется в журнале IP-пакетов, как будто его вовсе нет.
Замена координатора
Рано или поздно встает вопрос о замене координатора на более производительный или временный вариант. Например, замена HW1000 на HW2000 или программного координатора – на ПАК и наоборот. Сложность заключается в том, что у каждого исполнения своя «роль» в ЦУС (Центре управления сетью). Как правильно изменить роль, не потеряв связность? Сначала в ЦУС меняем роль на новую, формируем справочники, но не отправляем(!) их. Затем в УКЦ выпускаем новый DST-файл и проводим инициализацию нового Координатора. После производим замену и, убедившись, что все взаимодействия работоспособны, отправляем справочники.
Кластеризация и сбой ноды
Горячий резерв – это must have для любой крупной площадки, поэтому на них всегда закупался кластер старших моделей (HW1000, HW2000, HW5000). Однако создание кластера из более компактных криптошлюзов (HW50 и HW100) было невозможно из-за лицензионной политики вендора. В итоге владельцам небольших площадок приходилось серьезно переплачивать и покупать HW1000 (ну, или никакой отказоустойчивости). В этом году вендор, наконец, сделал дополнительные лицензии и для младших моделей координаторов. Так что с выходом версий 4.2.x появилась возможность собирать в кластер и их.
При первичной настройке кластера можно серьезно сэкономить время, не настраивая интерфейсы в режиме мастера или командами CLI. Можно сразу вписывать необходимые адреса в конфигурационный файл кластера (failover config edit), только не забудьте указать маски. При запуске демона failover в кластерном режиме он сам назначит адреса на соответствующие интерфейсы. Многие при этом боятся останавливать демон, предполагая, что адреса сменяются на пассивные или адреса сингл-режима. Не волнуйтесь: на интерфейсах останутся те адреса, которые были на момент остановки демона.
В кластерном исполнении существует две распространенные проблемы: циклическая перезагрузка пассивной ноды и ее непереключение в активный режим. Для того чтобы понять суть этих явлений, разберемся в механизме работы кластера. Итак, активная нода считает пакеты на интерфейсе и в случае, если за отведенное время пакетов нет, отправляет пинг на testip. Если пинг проходит, то счетчик запускается заново, если не проходит, то регистрируется отказ интерфейса и активная нода уходит в перезагрузку. Пассивная нода при этом отправляет регулярные ARP-запросы на всех интерфейсах, описанных в failover.ini (конфигурационный файл кластера, где указаны адреса, которые принимает активная и пассивная ноды). Если ARP-запись хоть одного адреса пропадает, то пассивная нода переключается в активный режим.
Вернемся к кластерным проблемам. Начну с простого – неперключение в активный режим. В случае если активная нода отсутствует, но на пассивной в ARP-таблице (inet show mac-address-table) ее mac-адрес все еще присутствует, необходимо идти к администраторам коммутаторов (либо так настроен ARP-кэш, либо это какой-то сбой). С циклической перезагрузкой пассивной ноды немного сложнее. Происходит это из-за того, что пассивная не видит ARP-записи активной, переходит в активный режим и (внимание!) по HB-линку опрашивает соседа. Но сосед-то у нас в активном режиме и аптайм у него больше. В этот момент пассивная нода понимает, что что-то не так, раз возник конфликт состояний, и уходит в перезагрузку. Так продолжается до бесконечности. В случае возникновения данной проблемы необходимо проверить настройки IP-адресов в failover.ini и коммутацию. Если все настройки на координаторе верны, то пришло время подключить к вопросу сетевых инженеров.
Пересечения адресов
В нашей практике нередко встречается пересечение туннелируемых адресов за разными координаторами.
Именно для таких случаев в продуктах ViPNet существует виртуализация адресов. Виртуализация – это своеобразный NAT без контроля состояния соединения один к одному или диапазон в диапазон. По умолчанию на координаторах эта функция выключена, хотя потенциальные виртуальные адреса вы можете найти в iplir.conf в строке «tunnel» после «to» в секциях соседних координаторов. Для того, чтобы включить виртуализацию глобально для всего списка, необходимо в секции [visibility] изменить параметр «tunneldefault» на «virtual». Если же хотите включить для конкретного соседа, то необходимо в его секцию [id] добавить параметр «tunnelvisibility=virtual». Также стоит убедиться, что параметр tunnel_local_networks находится в значении «on». Для редактирования виртуальных адресов параметр tunnel_virt_assignment необходимо перевести в режим «manual». На противоположной стороне нужно выполнить аналогичные действия. За настройки туннелей также отвечают параметры «usetunnel» и «exclude_from_tunnels». Результат выполненной работы можно проверить с помощью утилиты «iplirdiag», о которой я говорил выше.
Конечно, виртуальные адреса приносят некоторые неудобства, поэтому администраторы инфраструктуры предпочитают минимизировать их использование. Например, при подключении организаций к информационным системам (ИС) некоторых госорганов этим организациям выдается DST-файл c фиксированным диапазоном туннелей из адресного плана ИС. Как мы видим, пожелания подключающегося при этом не учитываются. Как вписываться в этот пул, каждый решает для себя сам. Кто-то мигрирует рабочие станции на новую адресацию, а кто-то использует SNAT на пути от хостов к координатору. Не секрет, что некоторые администраторы применяют SNAT для обхода лицензионных ограничений младших платформ. Не беремся оценивать этичность такого «лайфхака», однако не стоит забывать, что производительность самих платформ все-таки имеет предел, и при перегрузке начнется деградация качества канала связи.
Невозможность работы GRE
Само собой, у каждого решения в IT есть свои ограничения по поддерживаемым сценариям использования, и ViPNet Coordinator не исключение. Достаточно назойливой проблемой является невозможность работы GRE (и протоколов, которые его используют) от нескольких источников к одному адресу назначения через SNAT. Возьмем, к примеру, систему банк-клиент, которая поднимает PPTP-туннель к публичному адресу банка. Проблема в том, что протокол GRE не использует порты, поэтому после прохождения трафика через NAT, socketpair такого трафика становится одинаковым (адрес назначения у нас одинаковый, протокол тоже, а трансляцию адреса источника мы только что произвели так же в один адрес). Координатор реагирует на такое блокировкой трафика на фоне ошибки 104 – Connection already exists. Выглядит это так:
Поэтому, если вы используете множественные GRE-подключения, необходимо избегать применения NAT к этим подключениям. В крайнем случае выполнять трансляцию 1:1 (правда, при использовании публичных адресов это достаточно непрактичное решение).
Не забываем про время
Тему блокировок продолжаем событием номер 4 – IP packet timeout. Тут все банально: это событие возникает при расхождении абсолютного (без учета часовых поясов) времени между узлами сети ViPNet (координаторы и ViPNet-клиенты). На координаторах HW максимальная разница составляет 7200 секунд и задается в параметре «timediff» конфигурационного файла IPlir. Я не рассматриваю в этой статье координаторы HW-KB, но стоит отметить, что в версии KB2 timediff по умолчанию 7 секунд, а в KB4 – 50 секунд, и событие там может генерироваться не 4, а 112, что, возможно, собьет с толку инженера, привыкшего к «обычным» HW.
Нешифрованный трафик вместо зашифрованного
Новичкам бывает сложно понять природу 22 события – Non-encrypted IP Packet from network node – в журнале IP-пакетов. Оно означает, что координатор ждал с этого IP-адреса шифрованный трафик, а пришел нешифрованный. Чаще всего это происходит так:
1) пользователь забыл залогиниться в ViPNet-клиент, или случайно разлогинился, но при этом пытается попасть на защищаемые ресурсы. В этом случае драйвер IPlir неактивен, а трафик, который по маршрутизации дошел до координатора, не был зашифрован на АРМ пользователя. По заголовкам пакета координатор видит, что все легально: адрес источника принадлежит АРМ с ViPNet-клиентом, адрес назначения – защищенному или туннелируемому узлу. Значит, и трафик должен приходить зашифрованным, но это не так, поэтому его надо заблокировать. Частным случаем данного сценария является ситуация, когда в сети поменялись адреса, и на том адресе, на котором был защищенный ViPNet-клиент, АРМ оказался туннелируемый. Но координатор все еще считает, что на этом адресе есть ViPNet-клиент, и поэтому нешифрованный трафик блокируется;
2) с одной стороны взаимодействия отсутствуют связи. Например, вы связали два координатора, а справочники и ключи отправили только на один (или до второго они не дошли). В этом случае первый будет ждать зашифрованный трафик, но второй, так как не знает о существовании первого, будет присылать только незашифрованный;
3) туннели прописываются вручную локально на КШ. Чтобы смоделировать такой сценарий, нужно два связанных координатора. На одном прописываем собственные туннели и туннели соседа, на втором «забываем» это сделать. При такой настройке трафик, исходящий от туннелей второго координатора к туннелям первого, шифроваться не будет, и на первом координаторе возникнет 22 событие.
Обработка прикладных протоколов (ALG)
На многих межсетевых экранах, включая ViPNet Coordinator, могут возникать проблемы с прохождением SIP через NAT. С учетом того, что виртуальные адреса – это внутренний NAT, проблема может возникать, даже когда в явном виде NAT не используется, а используются только виртуальные адреса. Координатор обладает модулем обработки прикладных протоколов (ALG), который должен эти проблемы решать, но не всегда это работает так, как хотелось бы. Не буду останавливаться на механизме работы ALG (на эту тему можно написать отдельную статью), принцип одинаков на всех МСЭ, изменяются лишь заголовки прикладного уровня. Для корректной работы протокола SIP через координатор необходимо знать следующее:
• при использовании NAT должен быть включен ALG;
• при использовании виртуальной адресации ALG должен быть включен на обоих узлах, участвующих во взаимодействии (координатор-координатор, координатор-клиент), даже если виртуальная видимость установлена только с одной стороны;
• при использовании реальной видимости и отсутствии NAT необходимо выключить ALG для того, чтобы он не вмешивался в работу SIP;
• ALG-линейки 3.х и 4.х несовместимы (строго говоря, в линейке 3.х вообще не было возможности как-то им управлять). В таком сценарии гарантировать корректную работу SIP вендор не может.
Управляется модуль командами группы «alg module» из привилегированного режима (enable).
В заключение
Я постарался рассмотреть самые злободневные проблемы, обозначить их корни и рассказать о решениях. Конечно, это далеко не все особенности VipNet, поэтому рекомендую не стесняться – обращаться в поддержку и спрашивать совета в коммьюнити (на форуме вендора, в телеграмм-канале, в комментариях под этим постом). А если вам не хочется погружаться во все сложности работы с ViPNet или это слишком трудозатратно, то всегда можно отдать управление вашей ViPNet-сетью в руки профессионалов.
Автор: Игорь Виноходов, инженер 2-ой линии администрирования «Ростелеком-Солар»
Категория: Межсетевой экран, криптошлюз
Платформа: Linux
Общие сведения
При решении задач защиты информации часто возникает потребность обеспечить полное шифрование передаваемой по различным каналам связи конфиденциальной информации и сетевую безопасность оконечного оборудования. Это может быть сеть банкоматов или информационных киосков, рабочие станции небольших локальных сетей удаленных офисов, управляющие (бортовые) компьютеры подвижных объектов (автомобилей, поездов), распределенная сеть веб-камер. Перечисленные варианты объединяют два важных требования к используемым средствам защиты информации:
- эксплуатация в необслуживаемом режиме с возможностью 100%-удаленного управления,
- невозможность или нецелесообразность установки программных средств защиты непосредственно на само оборудование.
Комплект документации на ПАК ViPNet Coordinator HW100.
ViPNet Coordinator HW 100 — это компактный криптошлюз и межсетевой экран, позволяющий безопасно включить любое сетевое оборудование в виртуальную частную сеть, построенную с использованием продуктов ViPNet, и надежно защитить передаваемую информацию от несанкционированного доступа и подмены.
ViPNet Coordinator HW 100 построен на базе ПО ViPNet Coordinator Linux и выполняет в ViPNet-сети функции ПО ViPNet Coordinator, включая функцию VPN-сервера для доступа удаленных VPN-клиентов, оснащенных ПО ViPNet Client .
Внешний вид ПАК ViPNet Coordinator HW10
Сценарии использования
Совместно с другими программными продуктами из состава комплекса ПО ViPNet CUSTOM ViPNet Coordinator HW 100 обеспечивает эффективную реализацию множества сценариев защиты информации:
- Межсетевые взаимодействия;
- Защищенный доступ удаленных и мобильных пользователей;
- Защита беспроводных сетей;
- Защита мультисервисных сетей (включая IP телефонию и видеоконференцсвязь);
- Защита платежных систем и систем управления технологическими процессами в производстве и на транспорте;
- Разграничение доступа к информации в локальных сетях;
- а также любые комбинации перечисленных выше сценариев (см. рис.1).
Рис.1. Пример использования ViPNet Coordinator HW 100.
Преимущества
- Использование в качестве аппаратной платформы промышленного компьютера в надежном алюминиевом корпусе, безвентиляторная схема исполнения и flash-диск вместо обычного жесткого диска дают высокие механические показатели надежности.
- Возможность питания от низковольтного источника тока позволяет использовать ViPNet Coordinator HW100 в полевых условиях и на подвижных объектах.
- Программное обеспечение создано на базе провереннего многолетней эксплуатацией ПО ViPNet Coordinator Linux и технологии защиты информации ViPNet.
- Поддержка работы в современных мультисервисных сетях связи с динамической адресацией и сложным каналообразующем оборудованием.
- Использованике в качестве центра генерации ключей шифрования сертифицированного ФСБ России ПО ViPNet Administrator из состава СКЗИ «Домен-КС2».
- Низкая стоимость по сравнению с аналогичными решениями других отечественных производителей.
Технические характеристики
ПО ViPNet Coordinator HW 3.x
Аппаратная платформа ViPNet Coordinator HW100 X1:
- compact-flash
- 4 LAN
5 туннелируемых адресов
Шифрование по ГОСТ 28147-89 (256 бит),
Аутентификация для каждого зашифрованного IP-пакета на основе технологии симметричного распределения ключей ViPNet и уникального идентификатора
Сертификация по требованиям ФСБ РФ
«Программно-аппаратный комплекс "ViPNet Coordinator HW" (варианты комплектации 3, 4, 6, 8) - получил сертификат соответствия ФСБ России №СФ/124-1970 от 12.09.12 г. по требованиям к СКЗИ класса КС3. Сертификат действителен до 12 сентября 2015 года.
«Программно-аппаратный комплекс ViPNet Coordinator HW» (модификации "ViPNet Coordinator HW100"(типы "А", "В", "С"), "ViPNet Coordinator HW1000", "ViPNet Coordinator HW2000", "ViPNet Coordinator HW-VPNM") в комплектации согласно формуляру ФРКЕ.00052-03 30 01 ФО соответствует требованиям ФСБ России к устройствам типа межсетевые экраны по 4 классу защищенности и может использоваться для защиты информации от несанкционированного доступа в информационно-телекоммуникационных системах органов государственной власти Российской Федерации. Сертификат СФ/515-1999 действителен до 24 октября 2017 года.
Сертификация по требованиям ФСТЭК РФ
Программно-аппаратный комплекс ViPNet Coordinator HW (модификации HW100/1000/VPNM) получил сертификат соответствия ФСТЭК России № 2353 от 26.05.11 по требованиям к устройствам типа межсетевые экраны по 3 классу и 3 уровню контроля отсутствия недекларированных возможностей. По совокупности требований ПАК ViPNet Coordinator HW можно использовать при создании автоматизированных систем до уровня 1В и в защите информационных систем обработки персональных данных до 1 класса включительно.
Гарантийное обслуживание
На ViPNet Coordinator HW100 предоставляется гарантия 1 год.
Техническая поддержка
Для получения услуг технического сопровождения необходимо заключать отдельный Договор.
Договор заключается сроком на 1 год. После окончания срока, по необходимости, следует продлить Договор.
Читайте также: