Начало работы

Подготовка

Перед подключением к интерфейсу управления убедитесь, что Платформа развернута и доступна.
Инструкции по установке находятся в разделе Установка и обновление, где описаны варианты развертывания:

• установка на базе ОС «Ubuntu Server»;

• установка на базе ОС «Astra Linux».

После успешного развертывания можно переходить к первичному подключению к UI.

Подключение к UI

Решение BI.ZONE Secure SD-WAN реализует двухфакторную защиту интерфейса управления UI: установка сертификата и процесс ввода имени учетной записи/пароля.

Установка .p12-сертификата

Для загрузки .p12-сертификата на АРМ выполните команду:

scp csp-admin@IP-адрес_сервера_Платформы:/opt/csp/keys/client/user_id-3B614134FE814A01.p12 . 
#Замените IP-адрес сервера Платформы. Также если требуется укажите путь, куда вы хотите сохранить файл (в примере указан путь текущей директории).

Для установки сертификатов .crt и .p12, необходимо однократно установить данные сертификаты в используемый браузер («Mozilla Firefox» или «Google Chrome» актуальной версии).

Процесс ввода имени учетной записи/пароля

Вторым фактором аутентификации являются имя учетной записи и пароль UI. Именем обычно является электронная почта пользователя.

При запросе сертификата необходимо выбрать выданный сертификат. Сертификат перезапрашивается один раз после повторного открытия браузера и используется до закрытия браузера. Пароль запрашивается повторно после истечения времени неактивности.

При первом подключении откроется интерфейс Dashboard, на котором изначально отсутствует информация до активации первого устройства.

Создание заказчика

Для создания заказчика выполните следующие шаги:

1. Осуществите переход: Business support system → Customers.

2. Нажмите на кнопку

   Add
   .

3. В открывшейся странице Add customer:

   1. В поле Name пропишите название заказчика.

   2. В поле Organization пропишите организацию заказчика.

   3. В поле Organization unit пропишите какую функцию выполняет заказчик.

   4. В поле Country пропишите страну заказчика.

   5. В поле Description, при необходимости, пропишите краткое описание заказчика.

   6. В раскрывающемся списке Parent, при необходимости, выберите заказчика от которого ведется преемственность.

   7. В раскрывающемся списке Status выберите статус заказчика:

      1. Статус Active.

      2. Статус Inactive.

   8. Нажмите на кнопку

      Save
      для сохранения настроек.

Создание проекта

Для создания проекта, необходимо обладать правами Администратор Платформы и выполнить следующие шаги:

1. Осуществите переход: Business support system → Projects.

2. Нажмите на кнопку

   Add
   .

3. В открывшейся странице Project editor:

   1. В поле Name пропишите название проекта.

   2. В поле Description, при необходимости, пропишите краткое описание проекта.

   3. В раскрывающемся списке Customer выберите заказчика.

   4. В поле BGP ASN пропишите номер ASN, используемый в BGP.

      В текущей версии ASN задается при создании проекта и не может быть изменен впоследствии. Запрещено использовать следующие значения BGP ASN:

      • 0;

      • 4 294 967 295.

   5. Нажмите на кнопку

      Save
      для сохранения настроек.

Создание места размещения площадки устройства

Для создания места размещения площадки устройства выполните следующие действия:

1. Осуществите переход: Inventory → Sites.

2. Нажмите на кнопку

   Add
   .

3. В открывшейся странице Site editor:

   1. В поле Name введите имя площадки устройства, например: Hub Moscow.

   2. В поле Description при необходимости введите краткое описание площадки устройства, например: центральный офис.

   3. Выберите месторасположение на карте при необходимости, нажав на кнопку

      Site location
      .

      1. В открывшемся окне Site Location нажмите на кнопку

         Choose on map
         .

      2. Отметьте место размещения устройства на карте.

      3. Нажмите на кнопку

         Save
         для сохранения места размещения на карте.

   4. Нажмите на кнопку

      Save
      для сохранения настроек.

Регистрация устройства в планируемую сеть

Для регистрации устройства выполните следующие действия:

1. Осуществите переход в раздел Devices.

2. В поисковой строке введите имя создаваемого устройства.

3. Выберите пункт Create Device.

4. В открывшейся странице Device editor:

   1. В поле Name введите имя устройства, например: Мингрельская Spoke 1.

   2. В раскрывающемся списке Site выберите места размещения устройства. Добавление места размещения устройства указано в подразделе Создание места размещения площадок устройства.

   3. В раскрывающемся списке Type выберите режим работы устройства:

      1. DCGW (Data Center Gateway) — шлюз управления, развернутый в инфраструктуре Платформы (в проекте DCGWs). Используется для установления управляющих соединений и выполнения сервисных задач Платформы. Данный тип устройства является внутренним сервисным и не предназначен для использования при стандартной конфигурации сети. Запрещено выбирать данный режим при регистрации устройства.

      2. Hub — центральный узел топологии, к которому подключаются удаленные узлы (Spoke и Stub Spoke). Hub агрегирует туннели удаленных площадок и обычно используется как точка транзита трафика между площадками.

      3. Spoke — устройство, размещаемое на удаленной площадке (филиале). Spoke устанавливает overlay-туннели к Hub и передает трафик через него. Прямые соединения между Spoke-устройствами не устанавливаются — обмен трафиком между ними осуществляется через Hub. Данный режим используется для большинства филиальных площадок.

      4. Stub Spoke — режим работы устройства с дополнительными ограничениями маршрутизации, предназначенный для оптимизации нагрузки на устройство и Платформу. В этом режиме устройство получает не всю таблицу сервисных маршрутов, а только Stub Service Route, а маршрутизация трафика осуществляется через Hub. Режим рекомендуется использовать в сетях с большим количеством устройств или на устройствах с ограниченными ресурсами. Более подробно можно ознакомиться в данном разделе.

   4. В раскрывающемся списке Model выберите модель устройства.

   5. В поле Description при необходимости введите краткое описание устройства, например: центральный офис.

   6. В поле Prefix введите IP-адрес с указанием длины маски, например: 192.168.12.0/24.

   7. В поле Gateway пропишите шлюз.

   8. В поле Public endpoint по умолчанию IP-адрес берется после заполнения поля Prefix. При необходимости можно изменить конечную точку.

   9. Нажмите на кнопку

      Save
      для сохранения настроек.

В случае, если требуется развернуть устройство за NAT:

1. Если выполняется настройка устройства в режиме Spoke, поле Public endpoint оставляется пустым.

2. Если выполняется настройка устройства в режиме Hub, в поле Prefix прописывается реальный IP-адрес, назначенный на интерфейсе устройства, в поле Gateway прописывается IP-адрес шлюза по умолчанию (должен принадлежать сети из поля Prefix), а в поле Public endpoint прописывается публичный IP-адрес, определяемый в зависимости от схемы подключения данного устройства в режиме Hub:

   1. В случае, если отсутствует NAT-трансляция, то поле Public endpoint остается неизмененным, то есть в нем указывается собственный IP-адрес данного устройства в режиме Hub из поля Prefix (без маски).

   2. Если используется NAT-трансляция, то в поле Public endpoint указывается публичный IP-адрес NAT-устройства, транслируемый в адрес из поля Prefix.

Условия, по которым определяется тип устройства:

• В проектируемой сети должно быть как минимум одно устройство в режиме Hub для корректной работы сети. Рекомендуется иметь как минимум два устройства в режиме Hub в проектируемой сети для отказоустойчивости.

• Устройство в режиме Hub должно иметь IP-адрес, до которого другие устройства будут иметь прямую IP-связность. Также устройство в режиме Hub может:

  • находиться за статическим NAT. В этом случае необходимо в поле Public endpoint указать внешний IP-адрес устройства, выполняющего NAT-трансляцию;

  • иметь публичный IP-адрес и не находиться за NAT. В этом случае поле Public endpoint заполнится автоматически, как равное вводимому IP-адресу на WAN-интерфейсе;

  • иметь WAN-адрес, получаемый по DHCP, только если NAT-оборудование поддерживает трансляцию постоянного публичного IP-адреса в динамический адрес DHCP (это маловероятный сценарий, поэтому рекомендуется на WAN-интерфейсах устройства в режиме Hub указывать статические IP-адреса).

• Устройство в режиме Hub должны иметь достаточную емкость канала для возможности транзита трафика между другими устройствами.

Запрещено использование маски короче, чем /8 (от /0 до /7 – запрещено), а также использование Префиксов для следующих подсетей:

• 0.0.0.0/[0-32];

• 127.0.0.0/8;

• 169.254.0.0/[16-32];

• 224.0.0.0/[4-32];

• 240.0.0.0/[4-32].

Создание учетной записи

Для создания учетной записи выполните следующие шаги:

1. Осуществите переход в раздел Users.

2. Нажмите на кнопку

   Add
   .

3. В открывшейся странице Add user:

   1. В поле Login введите имя создаваемой учетной записи.

   2. В поле E-mail введите электронную почту, к которой будет привязана создаваемая учетная запись.

   3. В поле Password введите пароль к создаваемой учетной записи:

      1. Длина пароля должна быть не менее 8 символов.

      2. В числе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, цифры и специальные символы (@, #, $, &, *, % и т.п.);

      3. Пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии и т.д.), а также общепринятые сокращения (USER, ADMIN, ALEX и т.д.).

      4. Пароль должен содержать только видимые ASCII символы, которые могут быть отображены (латиница).

      5. Пароль не должен содержать имя от учетной записи.

   4. В поле Expire (days) пропишите срок действия сертификата в днях. После истечения срока действия сертификата его продление невозможно. Для восстановления доступа потребуется удалить учетную запись и создать ее заново (при необходимости можно использовать то же имя учетной записи).

   5. В поле Timezone пропишите временную зону, например: Europe/Moscow.

   6. В раскрывающемся списке Customer выберите заказчика, к которому будет привязана учетная запись. Процесс создания заказчика описан в подразделе Создание заказчика.

   7. В раскрывающемся списке Auth type выберите тип аутентификации:

      1. Local — локальная аутентификация по введенному паролю.

      2. LDAP — внешняя аутентификация через сервер LDAP/AD. Настройка описана в разделе Настройка LDAP-аутентификации.

   8. В блоке Roles назначьте учетной записи роль на проекте (допускается только одна роль для учетной записи):

      1. Project admin — выберите проекты, в которых пользователь получит права администратора проекта.

      2. Operator — выберите проекты, где пользователь получит права оператора.

      3. Security admin — выберите проекты, в которых пользователь получит права администратора безопасности.

      4. Network admin — выберите проекты, в которых пользователь получит права администратора сети.

   9. Нажмите на кнопку

      Save
      для сохранения настроек.

Установка SSL-сертификатов (опционально)

Варианты установки SSL-сертификатов:

1. Через веб-браузер.

2. Через CLI.

Процесс активации устройства

Общая схема активации устройства:

• При первом включении устройства попытается получить адреса на WAN-интерфейсах и предоставить доступ в интернет на LAN-интерфейсах путем выдачи IP-адресов в LAN по протоколу DHCP в диапазоне 192.168.2.0/24.

• Активация физического устройства осуществляется с пользовательского устройства, которое необходимо подключить по кабелю к LAN-порту устройства.

• В случае использования виртуального устройства — АРМ, с которого выполняется активация, должен находиться в одной локальной сети с LAN-портом устройства.

Таймаут одной попытки активации — время, в течение которого устройство должно завершить попытку активации на Платформе:

• для устройства с архитектурой ЦПУ x86-64 в режиме Spoke составляет 5 минут;

• для устройства с архитектурой ЦПУ AArch64 в режиме Spoke составляет 15 минут;

• для любого устройства в режиме Hub составляет 20 минут.

Число попыток активации — количество повторов в рамках которых устройство совершает попытки активации на Платформе. В случае неудачи предыдущих попыток, устройство в любом режиме может выполнить до 3-х попыток активации. После превышения числа неудачных попыток активации, устройство возвращается к заводской конфигурации.

После нажатия на кнопку Get provision link сгенерируется URL-ссылка активации с параметрами, которые были ранее указаны. Для того, чтобы внести изменения в предварительные настройки устройства, нажмите на кнопку Revert to edit config, располагающуюся под полем с ссылкой активации.

Варианты активации устройства:

1. В режиме One-click device activation — активация устройства без каких-либо лишних действий.

2. Через CLI — активация устройства через консоль при помощи CLI.