Sommario
- Regolazione di punti di distribuzione e gateway di connessione
- Configurazione standard dei punti di distribuzione: singola sede
- Configurazione standard dei punti di distribuzione: più sedi remote di piccole dimensioni
- Informazioni sull'assegnazione dei punti di distribuzione
- Assegnazione automatica di punti di distribuzione
- Assegnazione manuale di punti di distribuzione
- Modifica dell'elenco dei punti di distribuzione per un gruppo di amministrazione
- Sincronizzazione forzata
- Abilitazione di un server push
Regolazione di punti di distribuzione e gateway di connessione
Una struttura di gruppi di amministrazione in Kaspersky Security Center esegue le seguenti funzioni:
- Imposta l'ambito dei criteri
È disponibile un metodo alternativo per l'applicazione delle impostazioni appropriate nei dispositivi, utilizzando i profili criterio. In questo caso, l'ambito dei criteri viene definito con tag, posizioni dei dispositivi nelle unità organizzative di Active Directory o appartenenza a gruppi di protezione di Active Directory.
- Imposta l'ambito delle attività di gruppo
Esiste un approccio alla definizione dell'ambito delle attività di gruppo che non è basato su una gerarchia di gruppi di amministrazione: l'utilizzo di attività per selezioni dispositivi e di attività per dispositivi specifici.
- Imposta i diritti di accesso a dispositivi, Administration Server virtuali e Administration Server secondari
- Assegna i punti di distribuzione
Al momento della creazione della struttura dei gruppi di amministrazione, è necessario tenere conto della topologia della rete dell'organizzazione per l'assegnazione ottimale dei punti di distribuzione. La distribuzione ottimale dei punti di distribuzione consente di ridurre il traffico nella rete dell'organizzazione.
A seconda dello schema dell'organizzazione e della topologia di rete, le seguenti configurazioni standard possono essere applicate alla struttura dei gruppi di amministrazione:
- Singola sede
- Più sedi remote di piccole dimensioni
I dispositivi che operano come punti di distribuzione devono essere protetti, anche da un punto di vista fisico, da qualsiasi accesso non autorizzato.
Configurazione standard dei punti di distribuzione: singola sede
In una configurazione standard con una singola sede, tutti i dispositivi si trovano nella rete dell'organizzazione e sono visibili reciprocamente. La rete dell'organizzazione può comprendere diversi componenti (reti o segmenti di rete) connessi tramite canali con larghezza di banda ridotta.
Sono disponibili i seguenti metodi per creare la struttura dei gruppi di amministrazione:
- Creazione della struttura dei gruppi di amministrazione tenendo conto della topologia di rete. La struttura dei gruppi di amministrazione potrebbe non riflettere la topologia di rete alla perfezione. Una corrispondenza tra i diversi componenti della rete e alcuni gruppi di amministrazione può essere sufficiente. È possibile utilizzare l'assegnazione automatica dei punti di distribuzione o assegnarli manualmente.
- Creazione della struttura dei gruppi di amministrazione senza tenere conto della topologia di rete. In questo caso è necessario disabilitare l'assegnazione automatica dei punti di distribuzione e quindi assegnare a uno o più dispositivi il ruolo di punti di distribuzione per un gruppo di amministrazione radice in ciascun componente della rete, ad esempio per il gruppo Dispositivi gestiti. Tutti i punti di distribuzione saranno allo stesso livello e avranno lo stesso ambito che comprende tutti i dispositivi della rete dell'organizzazione. In questo caso, tutti i Network Agent si connetteranno al punto di distribuzione con il percorso più vicino. Il percorso di un punto di distribuzione è monitorabile con l'utilità tracert.
Configurazione standard dei punti di distribuzione: più sedi remote di piccole dimensioni
Questa configurazione standard prevede la presenza di diverse sedi remote, che possono comunicare con la sede centrale via Internet. Ogni sede remota è situata dietro il NAT, ovvero la connessione da una sede remota all'altra non è possibile perché le sedi sono isolate tra loro.
La configurazione deve essere riflessa nella struttura dei gruppi di amministrazione: è necessario creare un gruppo di amministrazione distinto per ogni sede remota (i gruppi Sede 1 e Sede 2 nella figura seguente).
Le sedi remote sono incluse nella struttura dei gruppi di amministrazione
È necessario assegnare uno o più punti di distribuzione a ogni gruppo di amministrazione che corrisponde a una sede. I punti di distribuzione devono essere dispositivi nella sede remota con una quantità sufficiente di spazio libero su disco. I dispositivi distribuiti nel gruppo Sede 1, ad esempio, accederanno ai punti di distribuzione assegnati al gruppo di amministrazione Sede 1.
Se alcuni utenti si spostano fisicamente tra le sedi con i loro computer portatili, è necessario selezionare due o più dispositivi (oltre ai punti di distribuzione esistenti) in ogni sede remota e assegnare loro il ruolo di punti di distribuzione per un gruppo di amministrazione di primo livello (Gruppo radice per le sedi nella figura precedente).
Esempio: un computer portatile è distribuito nel gruppo di amministrazione Sede 1 e quindi viene spostato fisicamente nella sede che corrisponde al gruppo di amministrazione Sede 2. Dopo lo spostamento del portatile, Network Agent tenta di accedere ai punti di distribuzione assegnati al gruppo Sede 1, ma tali punti di distribuzione non sono disponibili. Network Agent inizia quindi a tentare di accedere ai punti di distribuzione che sono stati assegnati al Gruppo radice per le sedi. Poiché le sedi remote sono isolate tra loro, i tentativi di accedere ai punti di distribuzione assegnati al gruppo di amministrazione Gruppo radice per le sedi avranno esito positivo solo quando Network Agent tenta di accedere ai punti di distribuzione nel gruppo Sede 2. In altre parole, il computer portatile rimarrà nel gruppo di amministrazione che corrisponde alla sede iniziale, ma utilizzerà il punto di distribuzione della sede in cui si trova fisicamente al momento.
Informazioni sull'assegnazione dei punti di distribuzione
È possibile assegnare un dispositivo gestito come punto di distribuzione manualmente o automaticamente.
Se si assegna manualmente un dispositivo gestito come punto di distribuzione, è possibile selezionare qualsiasi dispositivo nella rete.
Se si assegnano automaticamente i punti di distribuzione, Kaspersky Security Center può selezionare solo il dispositivo gestito che soddisfa le seguenti condizioni:
- Il dispositivo dispone di almeno 50 GB di spazio disponibile sul disco.
- Il dispositivo gestito è connesso direttamente a Kaspersky Security Center (non tramite il gateway).
- Il dispositivo gestito non è un laptop.
Se la rete non dispone di dispositivi che soddisfano le condizioni specificate, Kaspersky Security Center non assegnerà automaticamente alcun dispositivo come punto di distribuzione.
Assegnazione automatica di punti di distribuzione
È consigliabile assegnare automaticamente i punti di distribuzione. In questo caso, Kaspersky Security Center selezionerà autonomamente a quali dispositivi assegnare i punti di distribuzione.
Per assegnare automaticamente i punti di distribuzione:
- Nel menu principale, fare clic sull'icona delle impostazioni (
) accanto al nome dell'Administration Server richiesto.Verrà visualizzata la finestra delle proprietà di Administration Server.
- Nella scheda Generale selezionare la sezione Punti di distribuzione.
- Selezionare l'opzione Assegna i punti di distribuzione automaticamente.
Se è abilitata l'assegnazione automatica dei dispositivi come punti di distribuzione, non è possibile configurare i punti di distribuzione manualmente, né modificare l'elenco dei punti di distribuzione.
- Fare clic sul pulsante Salva.
Administration Server assegna e configura i punti di distribuzione automaticamente.
Assegnazione manuale di punti di distribuzione
Espandi tutto | Comprimi tutto
Kaspersky Security Center consente di assegnare manualmente ai dispositivi il ruolo di punti di distribuzione.
È consigliabile assegnare automaticamente i punti di distribuzione. In questo caso, Kaspersky Security Center selezionerà autonomamente a quali dispositivi assegnare i punti di distribuzione. Tuttavia, se per qualche motivo non è possibile assegnare automaticamente i punti di distribuzione (se ad esempio si desidera utilizzare i server assegnati in modo esclusivo), è possibile assegnare i punti di distribuzione manualmente dopo averne calcolato il numero ed eseguito la configurazione.
I dispositivi che operano come punti di distribuzione devono essere protetti, anche da un punto di vista fisico, da qualsiasi accesso non autorizzato.
Per assegnare manualmente a un dispositivo il ruolo di punto di distribuzione:
- Nel menu principale, fare clic sull'icona delle impostazioni () accanto al nome dell'Administration Server richiesto.
Verrà visualizzata la finestra delle proprietà di Administration Server.
- Nella scheda Generale selezionare la sezione Punti di distribuzione.
- Selezionare l'opzione Assegna i punti di distribuzione manualmente.
- Fare clic sul pulsante Assegna.
- Selezionare il dispositivo che si desidera rendere un punto di distribuzione.
Quando si seleziona un dispositivo, tenere presenti le funzionalità operative dei punti di distribuzione e i requisiti definiti per il dispositivo che opera come punto di distribuzione.
- Selezionare il gruppo di amministrazione da includere nell'ambito del punto di distribuzione selezionato.
- Fare clic sul pulsante OK.
Il punto di distribuzione aggiunto sarà visualizzato nell'elenco dei punti di distribuzione, nella sezione Punti di distribuzione.
- Fare clic sul nuovo punto di distribuzione aggiunto nell'elenco per aprire la relativa finestra delle proprietà.
- Configurare il punto di distribuzione nella finestra delle proprietà:
- La sezione Generale contiene le impostazioni per l'interazione tra il punto di distribuzione e i dispositivi client:
- Nella sezione Ambito specificare l'ambito in cui il punto di distribuzione distribuirà gli aggiornamenti (gruppi di amministrazione e/o percorso di rete).
Solo i dispositivi con un sistema operativo Windows possono determinare il percorso di rete. Non è possibile determinare il percorso di rete per i dispositivi che eseguono altri sistemi operativi.
- Se il punto di distribuzione funziona su un computer diverso da Administration Server, nella sezione Sorgente degli aggiornamenti è possibile selezionare una sorgente degli aggiornamenti per il punto di distribuzione:
- Se i punti di distribuzione utilizzano un server proxy durante la connessione a Internet, nella sottosezione Impostazioni connessione Internet è possibile specificare le seguenti impostazioni:
- Nella sezione Proxy KSN è possibile configurare l'applicazione per l'utilizzo del punto di distribuzione per l'inoltro delle richieste KSN dai dispositivi gestiti:
- Se il punto di distribuzione funziona su un computer diverso da Administration Server, nella sezione Gateway di connessione, è possibile configurare il punto di distribuzione in modo che funga da gateway per la connessione tra le istanze di Network Agent e Administration Server:
- Gateway di connessione
- Stabilisci connessione al gateway da Administration Server (se il gateway è in una rete perimetrale)
- Apri porta locale per Kaspersky Security Center Web Console
Quando i dispositivi mobili vengono connessi ad Administration Server tramite il punto di distribuzione che funge da gateway di connessione, è possibile abilitare le seguenti opzioni:
- Apri porta per i dispositivi mobili (autenticazione SSL solo di Administration Server)
- Apri porta per i dispositivi mobili (autenticazione SSL bidirezionale)
In entrambi i casi, i certificati vengono verificati quando si stabilisce la sessione TLS solo nel punto di distribuzione. I certificati non vengono inoltrati per la verifica da parte dell'Administration Server. Dopo aver stabilito una sessione TLS con il dispositivo mobile, il punto di distribuzione utilizza il certificato di Administration Server per creare un tunnel per la sincronizzazione tra il dispositivo mobile e Administration Server. Se si apre la porta per l'autenticazione SSL bidirezionale, l'unico modo per distribuire il certificato del dispositivo mobile è tramite un pacchetto di installazione.
- Configurare il polling dei domini Windows, di Active Directory e degli intervalli IP da parte del punto di distribuzione:
- Nella sezione Avanzate specificare la cartella che il punto di distribuzione deve utilizzare per archiviare i dati distribuiti:
- Fare clic sul pulsante OK.
I dispositivi selezionati opereranno come punti di distribuzione.
Modifica dell'elenco dei punti di distribuzione per un gruppo di amministrazione
È possibile visualizzare l'elenco dei punti di distribuzione assegnati a un gruppo di amministrazione specifico e modificare l'elenco aggiungendo o rimuovendo punti di distribuzione.
Per visualizzare e modificare l'elenco dei punti di distribuzione assegnati a un gruppo di amministrazione:
- Nel menu principale accedere a Dispositivi → Dispositivi gestiti.
- Nel campo Percorso corrente sopra l'elenco dei dispositivi gestiti, fare clic sul collegamento del percorso.
- Nel riquadro visualizzato a sinistra, selezionare un gruppo di amministrazione per cui si desidera visualizzare i punti di distribuzione assegnati.
Viene abilitata la voce di menu Punti di distribuzione.
- Nel menu principale accedere a Dispositivi → Punti di distribuzione.
- Per aggiungere nuovi punti di distribuzione per il gruppo di amministrazione, fare clic sul pulsante Assegna sopra l'elenco dei dispositivi gestiti e selezionare i dispositivi nel riquadro visualizzato.
- Per rimuovere i punti di distribuzione assegnati, selezionare i dispositivi nell'elenco e fare clic sul pulsante Annulla assegnazione.
A seconda delle modifiche, i nuovi punti di distribuzione verranno aggiunti all'elenco o i punti di distribuzione esistenti verranno rimossi dall'elenco.
Sincronizzazione forzata
Sebbene Kaspersky Security Center sincronizzi automaticamente lo stato, le impostazioni, le attività e i criteri per i dispositivi gestiti, in alcuni casi potrebbe essere necessario eseguire la sincronizzazione forzata per un dispositivo specifico. È possibile eseguire la sincronizzazione forzata per i seguenti dispositivi:
- Dispositivi in cui è installato Network Agent
- Dispositivi che eseguono KasperskyOS
Prima di eseguire la sincronizzazione forzata per un dispositivo KasperskyOS, assicurarsi che il dispositivo sia incluso nell'ambito di un punto di distribuzione e che sia abilitato un server push nel punto di distribuzione.
- Dispositivi iOS
- Dispositivi Android
Prima di eseguire la sincronizzazione forzata per un dispositivo Android, è necessario configurare Google Firebase Cloud Messaging.
Sincronizzazione di un singolo dispositivo
Per forzare la sincronizzazione tra Administration Server e un dispositivo gestito:
- Nel menu principale accedere a Dispositivi → Dispositivi gestiti.
- Fare clic sul nome del dispositivo che si desidera sincronizzare con Administration Server.
Verrà visualizzata una finestra delle proprietà con la sezione Generale selezionata.
- Fare clic sul pulsante Forza sincronizzazione.
L'applicazione sincronizzerà il dispositivo selezionato con Administration Server.
Sincronizzazione di più dispositivi
Per forzare la sincronizzazione tra Administration Server e più dispositivi gestiti:
- Aprire l'elenco dei dispositivi di un gruppo di amministrazione o una selezione dispositivi:
- Nel menu principale, passare a Dispositivi → Dispositivi gestiti, fare clic sul collegamento del percorso nel campo Percorso corrente sopra l'elenco dei dispositivi gestiti, quindi selezionare il gruppo di amministrazione che contiene i dispositivi da sincronizzare.
- Eseguire una selezione dei dispositivi per visualizzare l'elenco dei dispositivi.
- Selezionare le caselle di controllo accanto ai dispositivi che si desidera sincronizzare con Administration Server.
- Sopra l'elenco dei dispositivi gestiti, fare clic sul pulsante con i puntini di sospensione (
), quindi fare clic sul pulsante Forza sincronizzazione.L'applicazione sincronizzerà i dispositivi selezionati con Administration Server.
- Nell'elenco dei dispositivi verificare che per i dispositivi selezionati l'ora dell'ultima connessione ad Administration Server sia cambiata all'ora corrente. Se l'ora non è cambiata, aggiornare il contenuto della pagina facendo clic sul pulsante Aggiorna.
I dispositivi selezionati vengono sincronizzati con Administration Server.
Visualizzazione dell'ora di invio di un criterio
Dopo aver modificato un criterio per un'applicazione Kaspersky sull'Administration Server, l'amministratore può verificare se il criterio modificato è stato distribuito a uno specifico dispositivo gestito. Un criterio può essere distribuito durante una sincronizzazione periodica o una sincronizzazione forzata.
Per visualizzare la data e l'ora in cui un criterio dell'applicazione è stato distribuito a un dispositivo gestito:
- Nel menu principale accedere a Dispositivi → Dispositivi gestiti.
- Fare clic sul nome del dispositivo che si desidera sincronizzare con Administration Server.
Verrà visualizzata una finestra delle proprietà con la sezione Generale selezionata.
- Selezionare la scheda Applicazioni.
- Selezionare l'applicazione per cui si desidera visualizzare la data di sincronizzazione del criterio.
Verrà visualizzata la finestra del criterio dell'applicazione, con la sezione Generale selezionata e la data e l'ora di distribuzione del criterio visualizzate.
Abilitazione di un server push
In Kaspersky Security Center un punto di distribuzione può fungere da server push per i dispositivi gestiti tramite il protocollo mobile e per i dispositivi gestiti da Network Agent. È ad esempio necessario abilitare un server push se si desidera forzare la sincronizzazione dei dispositivi KasperskyOS con Administration Server. Un server push ha lo stesso ambito dei dispositivi gestiti del punto di distribuzione in cui è abilitato il server push. Se sono stati assegnati più punti di distribuzione per lo stesso gruppo di amministrazione, è possibile abilitare il server push in ciascuno dei punti di distribuzione. In questo caso, Administration Server bilancia il carico tra i punti di distribuzione.
È consigliabile utilizzare i punti di distribuzione come server push per garantire la continuità della connessione tra un dispositivo gestito e Administration Server. La continuità della connessione è necessaria per alcune operazioni, come l'esecuzione e l'arresto di attività locali, la ricezione di statistiche per un'applicazione gestita o la creazione di un tunnel. Se si utilizza un punto di distribuzione come server push, non è necessario utilizzare l'opzione Non eseguire la disconnessione da Administration Server nei dispositivi gestiti o inviare pacchetti alla porta UDP di Network Agent.
Un server push supporta il carico massimo di 50.000 connessioni simultanee.
Per abilitare il server push in un punto di distribuzione:
- Nel menu principale, fare clic sull'icona delle impostazioni () accanto al nome dell'Administration Server richiesto.
Verrà visualizzata la finestra delle proprietà di Administration Server.
- Nella scheda Generale selezionare la sezione Punti di distribuzione.
- Fare clic sul nome del punto di distribuzione in cui si desidera abilitare il server push.
Verrà visualizzata la finestra delle proprietà del punto di distribuzione.
- Nella sezione Generale abilitare l'opzione Esegui server push.
- Nel campo Porta server push digitare il numero di porta. È possibile specificare il numero di qualsiasi porta non occupata.
- Nel campo Indirizzo per host remoti specificare l'indirizzo IP o il nome del dispositivo del punto di distribuzione.
- Fare clic sul pulsante OK.
Il server push è abilitato nel punto di distribuzione selezionato.