Programvaru-internettgateway för små organisationer

Varje företagare strävar efter att minska kostnaderna. Det gäller även IT-infrastrukturen.

Vid öppningen av ett nytt kontor börjar håret på någon att resa sig. Man behöver organisera:

• ett lokalt nätverk;
• utgång till internet. Helst med reservkoppling via en annan leverantör;
• en VPN till huvudkontoret (eller till alla filialer);
• HotSpot för kunder med sms-autentisering;
• trafikfiltrering så att anställda inte sitter på sociala medier och pratar på Skype;
• skydd av nätverket mot virus och attacker. Säkerställ skydd mot intrång (IDS/IPS);
• en egen e-postserver (om du inte litar på olika pdd.yandex.ru) med antivirus och antispam;
• en filavfallshantering;
• Du behöver kanske telefonitjänster, det vill säga att organisera en växel, koppla till en SIP-leverantör och andra fördelar…

Men att bygga upp ett företagsnätverk med sådana krav kan en IT-tekniker inte klara av… Ska man anställa en dyr systemadministratör?
Det framträder ett mycket stort, i framtida kostnader, ryskt belopp.

Men dessa utgifter kan minskas avsevärt genom att fokusera på UTM-lösningar, som det nu finns ett stort antal av. Eftersom jag följer strategin "ju enklare desto bättre" i mina lösningar, blev jag intresserad av UTM Internet Kontroll Server (IKS).

Hur detta system kan hjälpa till att spara företagets budget och varför det inte kräver en dyr systemadministratör för underhåll — kommer jag att berätta nedan.

Men låt mig säga i förväg — detta är en specifik produkt och har sina begränsningar. För att mer detaljerat bedöma gatewayens möjligheter kan man studera dokumentationen på den officiella webbplatsen..
Jag har konfigurerat för artikeln "på ryska", det vill säga utan att fördjupa mig i manualerna, för att förstå hur intuitivt allt är.

Den första installationen

IKS kan installeras både på verklig hårdvara och på en hypervisor. Man kan använda en fläktlös dator.Till exempel en sådan.

Systemet är baserat på FreeBSD 11.3 och bör fungera utan problem på de flesta hårdvaror.

Installation görs på en ren disk. Mer exakt, om det har funnits något där, kan du lugnt säga adjö till det.Tyvärr stöder installationsprogrammet endast engelska. Men efter installationen kan huvudgränssnittet vara på ryska.




Man har också tänkt på redundans.Om systemet har flera diskar kan de slås samman i RAID med hjälp av ZFS.

Välj nätverksgränssnittet och tilldela IP från det valda nätverket.

Ange det verkliga domännamnet om du planerar att sätta upp, till exempel, en e-postserver. Om det inte behövs just nu kan du skriva vad som helst. Senare kan du ändra det i gränssnittet.

Det är klart! Du kan logga in i webbgränssnittet på IP-adressen du angav i inställningarna och port 81. DHCP är inte aktiverat ännu, så du måste manuellt tilldela en IP från samma nätverk på din dator.

Anslut till internet och koppla ihop kontoren.

Vid första inloggningen startar en guide som tvingar dig att ange ett säkert lösenord.
Guiden




Därefter går vi in i nätverksinställningarna

och konfigurerar anslutningen till vår leverantör och rollerna för alla nätverksgränssnitt.



Flera leverantörer kan konfigureras och lastbalanseras.

Förresten, om du inte tycker att gränssnittet på engelska är bekvämt kan du enkelt ändra det här.


Om du behöver ansluta kontoret, till exempel, till huvudkontoret. Då skapar vi en ny anslutning

och konfigurerar rutter till resurser i det avlägsna nätverket.

Men glöm bort dynamisk routing - det finns inte här.
Kanske jag är för petig, men enligt min åsikt är det en stor nackdel...

Anställdas internetåtkomst

Oftast är huvuduppgiften för gatewayen att kontrollera anställdas åtkomst till internet.
Anställda kan identifieras både via IP/MAC och via användarnamn/lösenord genom agenten eller ett captive portal.


Om din organisation även använder Active Directory kan IKX integreras med det.


Inställningarna för filtrering (vart anställda kan och inte kan gå) är mycket omfattande.


Ett stort antal färdiga regelmallar:
Du kan tillåta YouTube men förbjuda att ladda upp videor där.

Men du kan också välja att inte begränsa och IKX kommer fortfarande att berätta vart alla har gått med sina omfattande rapporter:

Vad med gäst-Wi-Fi?

Gäst-Wi-Fi kan också organiseras i enlighet med lagarna i Ryssland om obligatorisk identifiering av användare.
IKX stöder SMS-sändning via SMPP-protokollet genom valfri SMS-leverantör.

Telefoni.

Ja- ja! Du behöver inte installera en separat server med Asterisk. Den finns redan i IKX.
Jag har framgångsrikt kopplat SIP från Megafon (emotion, multiphone).

Hur du får SIP från Megafon med mobilabonnemang för privatpersoner kan du läsa i artikeln "SIP från Megafon med hemabonnemang".

Säkerhet.

IKS har många verktyg som gör det möjligt att konfigurera säkerhetsnivåer enligt dina krav: från gratis antivirusprogram som ClamAV och inbrottsskyddssystemet Suricata till produkter av Eugene Kaspersky, konfigureras enkelt genom ett användarvänligt webbgränssnitt.

Även den oumbärliga fail2Ban kan ställas in med några få klick


Dessutom kan IKS övervaka trafik via netflow-protokollet från nätverksenheter utan att passera trafik genom sig.

Kommunikationslösningar

Anställdas kommunikation kan organiseras inte bara via telefoni och e-post


utan också genom jabber. Men få idag minns överhuvudtaget denna protokoll.

Webbserver:
IKS har till och med en webbserver med stöd för PHP. HTTPS-certifikat kan installeras om du har ett förvärvat, eller ange att IKS ska hämta ett gratis Let's Encrypt.


Detta räcker för att hosta en visitkortssajt eller en reklamlandning. Men det kommer inte att fungera att installera en tung portal med anpassade moduler. Enligt mig är det dumt. En gateway bör ändå förbli en gateway.

Flexibel övervakning och avisering.
Allvarliga aviseringar kan skickas även till Telegram. I Ryssland finns det till och med möjlighet att skicka meddelanden via proxy.

Avslutningsvis

Internetgateway "IKS" innehåller nästan alla komponenter som krävs för att driva ett litet kontor.
Och allt detta kan ställas in av en nybörjarsystemadministratör.

Trots att systemet är baserat på FreeBSD, finns det ingen SSH-åtkomst. Det innebär att du utan knep inte kan installera PHP-moduler. Du får nöja dig med det som finns... Eller be supporten att förbättra det.

I vilket fall som helst, i början ladda ner en testversion för 35 dagar och se hur väl denna gateway passar dig.

Licensen har ingen giltighetstid, men trots detta är kostnaden ganska demokratisk.

I syntetiska tester har systemet visat sig vara tillfredsställande.

Om kunden godkänner och det skulle vara intressant för dig hur detta system beter sig i "strid", så skriver jag efter cirka 3-6 månader en recension om alla uppkomna problem och svårigheter. Om möjligt kommer vi att kontrollera kvaliteten på teknisk support.

Jag väntar på dina frågor i kommentarerna, som måste belysas mer i detalj vid militär användning.

Källa: habr.com