Программният интернет-шлюз за малка организация

Все бизнесмени стремятся сократить расходы. Это также касается IT-инфраструктуры.

При открытии нового офиса у кого-то начинают шевелиться волосы. Ведь нужно организовать:

• локальную сеть;
• выход в интернет. Лучше еще с резервированием через второго провайдера;
• VPN до центрального офиса (или до всех филиалов);
• HotSpot для клиентов с авторизацией по sms;
• фильтрацию трафика так, чтобы сотрудники не сидели в соцсетях и не трещали в скайпе;
• защиту сети от вирусов и атак. Обеспечить защиту от вторжений (IDS/IPS);
• свой почтовый сервер (если не доверяете всяким pdd.yandex.ru) с антивирусом и антиспамом;
• файловую помойку;
• Вероятно, вам нужна телефония, т.е. организовать АТС, подключить к SIP провайдеру и другие плюшки…

Но поднять сеть предприятия с такими требованиями эникейщик не сможет… Нанимать дорогого сисадмина?
Вырисовывается очень крупное, по будущим затратам, рублевое число.

Но эти расходы можно существенно сократить, если обратить внимание на UTM-решения, которых сейчас огромное количество. А так как я придерживаюсь стратегии «чем проще — тем лучше» в решениях своих задач, то мой взор пал на UTM Интернет Контроль Сервер (ИКС).

Чем эта система поможет сохранить бюджет компании и почему для её обслуживания не нужен дорогой сисадмин — расскажу ниже.

Но забегая вперед, скажу — это специфический продукт и имеет свои ограничения. Более детально оценить возможности шлюза можно изучив документацию на оф.сайте.
Я же настраивал для статьи «по-русски», то есть не заглядывая в маны, чтобы понять, насколько всё интуитивно понятно.

Начальная установка

ИКС можно установить как на реальное железо, так и в гипервизор. Можно задействовать какой-нибудь безвентиляторный ПК.Например, такой.

Система базируется на FreeBSD 11.3 и на большинстве оборудования должна запуститься без проблем.

Установка производится на чистый диск. Точнее, если там что-то было, то можете смело попрощаться с этим.К сожалению, инсталлятор поддерживает только английский язык. Но после установки основной интерфейс может быть на русском.




Про отказоустойчивость тоже не забыли.Если в системе несколько дисков, то они могут быть объединены в RAID средствами ZFS.

Выбираем сетевой интерфейс и назначаем IP из выбранной сети.

Посочете реално домейн име, ако планирате да настроите, например, пощенски сървър. Ако такова желание няма в момента, можете да напишете произволно. По-късно в интерфейса ще можете да го коригирате.

Всё! Можете да влезете в уеб интерфейса по IP адреса, който сте задали в настройките, и порт 81. DHCP в този етап все още не е включен, така че на вашия компютър трябва да назначите IP от същата мрежа ръчно.

Свързваме се с интернет и свързваме офисите.

При първото влизане стартира асистентът, който изисква да установите сигурна парола.
Асистентът




Следва да навлезем в мрежовите настройки

и конфигурираме свързването с нашия доставчик и ролята на всички мрежови интерфейси.



Можете да настроите няколко доставчика и да организирате балансировка.

А между другото, ако английският език в интерфейса не ви е удобен, можете лесно да го промените тук.


Ако се наложи да свържете офис, например, с главния офис. Тогава създаваме ново свързване

и настройваме маршрутите до ресурсите в отдалечената мрежа.

Просто можете да забравите за динамичното маршрутизиране - тук го няма.
Може би съм прекалено придирчив, но ИМХО това е голям недостатък…

Достъп до интернет за служителите

Най-често основната задача на шлюза е контрол на достъпа на служителите до интернет.
Можете да идентифицирате служителите както по IP/MAC, така и по потребителско име/парола чрез агент или captive portal.


Ако в организацията ви се използва Active Directory, X може да бъде интегриран и с него.


Настройките за филтриране (къде служителят може и къде не може) са много обширни.


Има огромно количество готови шаблони за правила:
Можете да разрешите YouTube, но да забраните качването на видео там.

Но можете и да не ограничавате и X все още ще отчита къде е ходил всеки с обширните си отчети:

А какво ще кажете за гостевия Wi-Fi?

И гостевият Wi-Fi може да се организира с спазване на изискванията на законите на Руската федерация за задължителна идентификация на потребителите.
X поддържа изпращане на SMS по протокол SMPP чрез всякакъв SMS доставчик.

Телефония.

Да-да! Не е нужно да инсталирате отделен сървър с Asterisk. Той вече е в X.
Успешно свързах SIP от Мегафон (emotion, multyfon).

Как да получите SIP от Мегафон по мобилни тарифи за физически лица можете да прочетете в статията «SIP от Мегафон по домашен тариф».

Сигурност.

В ИКС има много инструменти, които позволяват да настроите нивото на сигурност според вашите изисквания: от безплатни антивируси ClamAV и системи за откриване на настъпления Suricata до продукти на Евгений Касперски., настройвайки само чрез разбираем уеб интерфейс.

Дори същият незаменим fail2Ban се настройва с няколко клика.


Освен това ИКС може да следи трафика чрез протокола netflow от мрежово оборудване, без да пропуска трафика през себе си.

Комуникационни плюшки

Комуникацията на служителите може да се организира не само чрез телефония и поща,


но и чрез jabber. Вярно, вече малко хора помнят за този протокол.

Web-сървър:
В ИКС има дори web-сървър с поддръжка на PHP. HTTPS сертификат може да бъде инсталиран ваш, ако имате такъв, или да се укаже, че ИКС получава безплатен Let’s Encrypt.


Това е достатъчно за хостване на сайт-визитка или рекламна лендинг страница. Но трудно ще успеете да внедрите тежък портал с наистина кастомизирани модули. И за мен – това е глупаво. В крайна сметка, шлюзът трябва да остане шлюз.

Гъвкаво настройване на мониторинга и уведомленията.
Алармите могат да се изпращат дори в Телеграм. А в реалностите на Русия има дори възможност да се изпращат съобщения чрез прокси.

В заключение

Интернет шлюз "ИКС" съдържа практически всички компоненти, необходими за функционирането на малък офис.
При това всичко това може да бъде настроено от начинаещ системен администратор.

Въпреки че системата е изградена на FreeBSD, достъпът по ssh до нея е забранен. Тоест без костури доустановяване на PHP модули не е възможно. Ще трябва да се задоволите с това, което имате… Или да помолите поддръжката да добави.

При всякаква ситуация в началото изтеглете пробна версия за 35 дни и проверете доколко този шлюз ви подподходящ.

Лицензът няма срок на действие, но въпреки това цената е напълно демократична.

На стенда в синтетични тестове системата показа адекватни резултати.

Ако клиентът одобри и ви интересува как тази система ще се държи в "бой", след 3-6 месеца ще напиша рецензия с всички възникнали задачи и трудности. Ако е възможно, ще проверим качеството на техническата поддръжка.

В коментарите очаквам вашите въпроси, на които трябва да се обърне специално внимание при бойно приложение.

Източник: habr.com