Континент 4 VPN: режимы работы, настройка и безопасность

Что такое Континент 4 и зачем нужен VPN

Континент 4 — это сертифицированный межсетевой экран нового поколения (NGFW) от компании «Код Безопасности», предназначенный для защиты корпоративных сетей. Одной из ключевых функций продукта является организация виртуальных частных сетей (VPN), которые позволяют безопасно соединять удалённые офисы, филиалы и сотрудников через интернет.

VPN в Континент 4 используется для:

• объединения географически распределённых площадок компании в единую защищённую сеть;
• предоставления удалённым сотрудникам доступа к корпоративным ресурсам;
• защиты передаваемых данных от перехвата и несанкционированного доступа.

В отличие от многих зарубежных решений, Континент 4 ориентирован на российские стандарты криптографии и требования регуляторов, что делает его востребованным в государственных и коммерческих организациях.

Режимы работы VPN в Континент 4

В зависимости от версии продукта и задач, Континент 4 поддерживает несколько режимов VPN:

• L3VPN — организация защищённого канала между двумя узлами безопасности (Site-to-Site). Трафик между защищаемыми сетями шифруется до попадания в туннель и расшифровывается после выхода из него.
• L2VPN — создание виртуального коммутатора, объединяющего сетевые интерфейсы узлов в распределённый мост. Этот режим позволяет строить «плоские» сети L2 через VPN, но не поддерживает кластеризацию.
• Remote Access VPN (RA VPN) — удалённый доступ для сотрудников с использованием VPN-клиента.

В версии 4.2 появился новый механизм Site-to-Site VPN на базе стандарта IPsec, который значительно расширяет совместимость с оборудованием других производителей.

Криптография и стандарты шифрования

В ранних версиях Континент 4 использовался проприетарный протокол шифрования, основанный на российских стандартах ГОСТ Р 34.12-2018 (алгоритм «Магма») в режиме гаммирования с обратной связью по шифртексту (ГОСТ Р 34.13-2018). Имитозащита также выполнялась на базе «Магмы».

Это обеспечивало высокий уровень безопасности, но создавало проблемы совместимости: Континент 4 нельзя было связать по VPN со сторонними решениями, включая АПКШ «Континент 3». Все узлы должны были подчиняться единому центру управления сетями (ЦУС).

Начиная с версии 4.2, компания отказалась от проприетарного модуля в пользу стандартных протоколов IPsec и IPsec ГОСТ. Это позволяет устанавливать защищённые соединения с межсетевыми экранами других вендоров, а также использовать сертифицированные алгоритмы шифрования, соответствующие требованиям ФСБ и ФСТЭК.

L3VPN: настройка и топологии

L3VPN в Континент 4 позволяет строить защищённые каналы между узлами безопасности по топологии «звезда» или «полносвязная сеть».

• Звезда: один центральный узел, все остальные подключаются только к нему.
• Полносвязная сеть: туннели создаются между каждой парой узлов.

Для настройки L3VPN необходимо:

1. Активировать компонент L3VPN на узлах безопасности.
2. Назначить интерфейсам тип «Внешний» (хотя бы один интерфейс должен быть внешним).
3. Создать виртуальную частную сеть в менеджере конфигурации, указав узлы и защищаемые ресурсы.
4. Настроить правила фильтрации, разрешающие трафик между защищаемыми сетями.

После установки политики VPN-соединение поднимается автоматически. Проверить состояние можно в системе мониторинга: «Структура — УБ — Активные соединения VPN».

L2VPN: виртуальные коммутаторы

L2VPN в Континент 4 реализован в виде виртуального коммутатора, который объединяет порты разных узлов безопасности в распределённый сетевой мост. Это позволяет передавать Ethernet-кадры между сегментами сети, делая её «плоской» независимо от физического расположения.

Особенности L2VPN:

• Не поддерживает работу в кластере.
• Для настройки необходимо активировать компонент L2VPN и перевести порты в топологию «Порт криптокоммутатора».
• Существует механизм защиты на основе таблицы MAC-адресов: можно настроить статическую таблицу и задать реакцию на подключение новых устройств (логирование, отключение порта или оба действия).

L2VPN может использоваться совместно с L3VPN, что даёт гибкость при построении сложных сетевых архитектур.

Remote Access VPN: клиенты и аутентификация

Remote Access VPN (RA VPN) предназначен для подключения удалённых сотрудников к корпоративной сети. В Континент 4 поддерживаются два VPN-клиента:

• СКЗИ «Континент-АП» — сертифицирован ФСБ, но развитие продукта прекращено.
• СКЗИ «Континент ZTN-клиент» — современный клиент, поддерживающий новые ОС и концепцию ZTNA (Zero Trust Network Access). Он объединяет функциональность «Континент-АП» и «Континент-TLS».

Клиенты доступны для Windows (8, 10, 11), Linux (включая российские дистрибутивы Astra, ALT, REDOS), Android (до 13 версии), iOS, iPadOS, macOS (M1+M2) и Аврора.

Аутентификация удалённых пользователей может выполняться:

• По сертификатам — наиболее безопасный способ, доступен только для локальных пользователей в базе ЦУС.
• По паролю — подходит для локальных и доменных пользователей, удобен при массовом подключении.

Для настройки RA VPN необходимо выпустить сертификат сервера доступа, добавить его на узел безопасности, создать пользователя, выпустить пользовательский сертификат, активировать компонент «Сервер доступа», настроить пулы адресов и создать правила удалённого доступа.

Новый Site-to-Site VPN в версии 4.2

Версия 4.2 принесла значительные изменения в механизм Site-to-Site VPN. Теперь используется стандартный IPsec, что обеспечивает совместимость с межсетевыми экранами других производителей (например, Fortinet, UserGate).

Основные возможности нового L3-VPN:

• Поддержка стандартов IPsec (RFC2401-RFC2412) с шифрованием RSA/ГОСТ.
• Использование протоколов AH (аутентификация), ESP (шифрование) и ISAKMP (обмен ключами).
• Возможность настройки Policy-based VPN на основе VPN-политики.
• Аутентификация сторон с помощью сертификатов, выпущенных удостоверяющим центром.
• Поддержка NAT-Traversal для работы через устройства с трансляцией адресов.

Версия 4.2.1 прошла сертификацию ФСТЭК (МЭ класса А, Б, Д) и ФСБ (КС2), что подтверждает её соответствие требованиям российского законодательства.

Пошаговая настройка IPsec VPN в Континент 4.2

Рассмотрим процесс настройки Site-to-Site VPN между двумя узлами Континент 4.2.

1. Активация компонента L3VPN на обоих узлах.
2. Настройка интерфейсов: назначьте внешний и внутренний интерфейсы.
3. Создание сертификатов: в разделе «Администрирование/Сертификаты» создайте корневой сертификат ГОСТ или RSA. Для ГОСТ-IPSec сертификата перейдите в свойства узла безопасности, для RSA — в раздел «Персональные сертификаты».
4. Обмен сертификатами: экспортируйте сертификат узла и передайте другой стороне, импортируйте полученный сертификат в менеджер конфигурации.
5. Создание совместимого устройства: в списке объектов ЦУС создайте устройство, указав внешний адрес, сертификат и защищаемые подсети.
6. Создание IPsec VPN: в разделе «Виртуальные частные сети» → «IPsec VPN» создайте сеть с нужной топологией (например, полносвязной). Укажите тип VPN (Policy-based), тип туннеля, состав сети, адреса внешних интерфейсов и защищаемые ресурсы.
7. Настройка шифрования: выберите алгоритм (ГОСТ), версию IKEv2, алгоритмы шифрования и целостности для 1 и 2 фазы.
8. Дополнительные параметры: задайте время жизни ключей, возможность замены ключа после шифрования определённого объёма данных, использование сжатия и NAT-Traversal.
9. Правила межсетевого экрана: разрешите трафик между локальной и удалённой сетями.
10. Правила трансляции: для защищаемых подсетей выберите «Не транслировать», чтобы трафик направлялся в VPN-туннель.

После установки политики проверьте соединение, например, с помощью ping или открытия веб-ресурса.

Интеграция с другими системами и двухфакторная аутентификация

Континент 4 поддерживает интеграцию с внешними системами аутентификации, такими как LDAP и RADIUS. Это позволяет организовать двухфакторную аутентификацию (2FA) для пользователей VPN.

Пример настройки 2FA с помощью сервиса Контур.ID:

1. Установите LDAP-адаптер на сервер.
2. Создайте LDAP-профиль в менеджере конфигурации Континент 4, указав параметры подключения к домену.
3. Настройте сервер LDAP, добавив его в разделе «Серверы».
4. В параметрах аутентификации узла безопасности укажите созданный профиль.

Такая интеграция позволяет использовать дополнительные факторы подтверждения (например, одноразовые коды, push-уведомления) при подключении к VPN, что повышает уровень безопасности.

Практические рекомендации и ограничения

При использовании VPN в Континент 4 важно учитывать несколько моментов:

• Порты: в ранних версиях шифрованный трафик передавался по UDP-портам 10000-10255. Убедитесь, что провайдер не блокирует эти порты. В новых версиях используются стандартные порты IPsec: 500 (ISAKMP) и 4500 (NAT-Traversal).
• Совместимость: до версии 4.2 VPN работал только между узлами Континент 4, подчинёнными единому ЦУС. С версии 4.2 возможна интеграция со сторонними решениями.
• Лицензирование: Remote Access VPN является отдельно лицензируемым компонентом — одна лицензия на одно конкурентное подключение.
• Кластеризация: L2VPN не поддерживает кластеры, что важно учитывать при проектировании отказоустойчивых решений.
• Безопасность: для RA VPN рекомендуется использовать отдельный корневой сертификат, не связанный с сертификатами управления ЦУС.

Следуя этим рекомендациям, вы сможете построить надёжную и безопасную VPN-инфраструктуру на базе Континент 4.

Вопросы и ответы