Сеть доступа: узлы, группы и правила маршрутизации
Актуально для: SimpleTwo 1.0.13 и новее, каталог 1.3.10, агент 1.0.5 · Проверено: 29.10.2026
Кроме переписки и звонков SimpleTwo раздаёт клиентам сеть доступа: туннель до корпоративных ресурсов и выход в нужной локации. Управляется она тремя сущностями — узлы, группы шлюзов и наборы правил, — и одним свойством: набор правил подписан, а клиент подпись проверяет.
1. Из чего это состоит
| Сущность | Что задаёт |
|---|---|
| GEO (локация) | страна или площадка выхода; сначала заводится код, потом ставится узел |
Узел gateway | машина, принимающая туннели. Ключи генерируются на узле, наружу уходит только публичный |
| Группа шлюзов | к чему эти узлы дают доступ и на каких транспортах слушают |
| Набор правил | что с каким трафиком делать |
| Профиль | какой набор достаётся какой группе каталога |
Всё это — объект ы каталога, как настройки Exchange лежат в Active Directory: GEO и группа шлюзов — сайты, узел и внешний шлюз — сервисы, набор правил, список и профиль — политики. Консоль правит их на тех же экранах, что и раньше; координатор держит у себя только то, что описывает работу парка, а не его настройку: живость узлов, нагрузку, развёртывание и обновления. Идентификатор каждой сущности — идентификатор её объекта в каталоге.
2. Группа шлюзов
Группа — это ответ на вопрос «куда через эти узлы можно попасть»:
- Корпоративная группа может нести белый список назначений (
served_cidrs,served_domains): её шлюзы пересылают трафик только туда и отбрасывают остальное. Такая группа — управляемый вход в корпоративную сеть, а не открытый туннель. Пустой список — обычный корпоративный выход, ограниченный только членством. - Карта имён (внутреннее имя → адрес) уезжает клиенту как записи DNS: внутренние адреса работают без правки корпоративного DNS на устройстве.
- Внешний шлюз — ваш собственный VPN-шлюз (FortiGate или любой IKEv2 dial-up), к которому клиент поднимает IPsec-туннель рядом с туннелями до шлюзов SimpleTwo. Он живёт в отдельной корпоративной группе и ведёт в её сети — см. Внешние VPN-шлюзы.
- Транспорты — на каких протоколах слушают все узлы группы одновременно. Клиент получает по описателю на каждый включённый транспорт и переключается между ними при отказе. Пустой список означает единственный транспорт по умолчанию — Reality-TCP на 443.
Если адрес не обслуживает ни одна авторизованная группа, клиент не знает, куда его отправлять. Именно так выглядит звонок, который соединился и молчит: адрес узла медиасервера приватный, а в белом списке его нет — см. Звонки.
3. Наборы правил и списки
Набор правил — упорядоченный и версионированный список; срабатывает первое подходящее
правило, а несовпавший трафик получает действие по умолчанию. Действия: туннель → GEO,
предпочитать → GEO, напрямую, блокировать.
Списки совпадений — то, по чему правило узнаёт трафик:
| Вид | Что внутри |
|---|---|
domain | суффиксы доменов |
ip | диапазоны CIDR |
asn | номера автономных систем |
Список бывает свой (ведёте руками) или обновляемый по URL — тогда его можно обновить кнопкой. Встроенные списки поставляются с продуктом и обновляются при обновлении версии; как только вы отредактировали встроенный список, автообновление для него прекращается — ваша версия важнее.
Маленький и большой список. Список до 64 КиБ записей хранится прямо в объекте каталога. Список больше — например, выгрузка реестра на десятки мегабайт — хранится файлом рядом с объектом, как шаблон групповой политики лежит в SYSVOL рядом с её контейнером; предел файла — 64 МиБ. Список, ставший маленьким, файл не оставляет. Для администратора разницы нет: тот же экран, та же кнопка обновления.
Предпросмотр, история и откат. Перед сохранением набор можно посмотреть в том виде, в котором его получит клиент; у набора есть история версий и откат на предыдущую — каждая запись объекта в каталоге сохраняет прежнюю версию. Это первое, чем стоит пользоваться после жалобы «после обеда перестал открываться внутренний портал».
4. Подпись набора
Набор правил подписывается Ed25519. Подпись покрывает и сами правила, и значения по умолчанию, и хеши содержимого всех списков, на которые правила ссылаются, — поэтому подм енить список, не сломав подпись, нельзя.
Ключ подписи выводится из секрета координатора, так что отдельного приватного ключа хранить не нужно, а клиенту достаточно публичного. Отсюда практическое следствие: смена секрета координатора меняет и подпись. Клиенты, у которых подпись не сошлась, продолжают работать, показывают пользователю «маршрутизация не подтверждена» и сообщают об этом администратору.
5. Профили: кому какой набор
Какой набор и какие группы шлюзов достаются человеку, решает политика маршрутизации в каталоге — так же, как групповая политика AD: она привязывается ко всем или к группе каталога, а у привязки есть порядок. Если человек состоит в нескольких группах, действует привязка с меньшим порядком; привязка группы сильнее привязки «для всех». Правится в консоли: Secure Access → Группы → профиль — строка на привязку: к кому, порядок, набор правил, разрешённые группы шлюзов.
Сотрудники, партнёры и гости — это встроенные группы каталога Simple Users, Simple Partners и Simple Guests: чтобы развести их маршрутизацию, привяжите профиль к этим группам.
У человека без единой подходящей привязки профиля нет: туннель ему отказывает с причиной «нет политики доступа». Наборов по умолчанию не создаётся — на новой установке привяжите профиль сами. Это заметно сразу и лечится привязкой, а не отладкой клиента.
Профиль, который получает клиент, — это действующий набор плюс список доступных ему шлюзов.
Профиль туннеля (отпечаток uTLS, блокировка QUIC, DNS, MTU, mux и другие параметры клиента)
устроен так же: политика для всех, политики групп, личный слой человека и слой его устройства;
ближний перекрывает дальний по каждому ключу. Правится в Secure Access → Клиенты → Профиль
туннеля (для устройства — логин/устройство), личный слой — в карточке человека.
6. Узлы в каталоге
Узел — как компьютер в домене AD. Координатор ставит агента и обновляет его, а удостоверяется хост в каталоге: при записи узла координатор заводит объект сервера по имени машины и кладёт на него открытый ключ хоста; закрытый ключ не покидает машину. У шлюза своя учётка сервиса со своим ключом, связанная с сервером, на котором он работает, с его группой шлюзов и GEO.
Шлюз сам, под своей учёткой сервиса, читает в каталоге свой объект, группу и GEO и собирает конфигурацию xray у себя — как компьютер применяет полученные групповые политики. Там же он читает допущенный набор — учётные данные живых сессий своих клиентов. Сессии туннеля хранит каталог; если он недолго не отвечает, шлюз продолжает работать с последним набором. Живость, нагрузку и состояние транспортов шлюз по-прежнему сообщает координатору через агента.
Узел, записанный до появления персональных ключей узлов, продолжает получать конфигурацию от координатора тем же способом; перезапись узла переводит его на каталог.
7. Ч ерез туннель или напрямую
В разделе Features каждая служба имеет не только переключатель, но и режим:
| Служба | Режимы | По умолчанию |
|---|---|---|
| Переписка | direct / vpn | direct |
| Конференции | direct / vpn | vpn |
| Сеть доступа | — | всегда включена |
| Навыки и признание — только в Messaging Plus | вкл/выкл | выключено |
| Федерация | вкл/выкл | выключено |
Режим vpn означает, что служба доступна только через туннель. Это решение про периметр, а
не про удобство: в этом режиме человек без поднятого туннеля не прочитает переписку.
8. Диагностика
- Проба шлюза — проверка узла из консоли.
- Метрики и отчёты узла — трафик и со стояние.
- Жалоба «не открывается внутренний ресурс» разбирается в таком порядке: есть ли у человека профиль → какое правило совпало (предпросмотр набора) → обслуживает ли группа этот адрес → отвечает ли узел.
Дальше
- Подключение к корпоративной сети — что видит пользователь
- Внешние VPN-шлюзы — FortiGate и другие IKEv2 рядом со шлюзами SimpleTwo
- Звонки и конференции — почему медиа зависит от белых списков
- Развёртывание on-premise — установка узлов