Управление шлюзами

Шлюз (StarGuard Gate) — центральный объект конфигурации, связывающий цели, детекторы, политики и пользователей. После создания в интерфейсе необходимо передать параметры шлюза в конфигурацию развёртываемого экземпляра StarGuard Gate.

Создание шлюза:

Перейдите в раздел Шлюзы → Создать.
Настройте общие параметры.

Параметр Описание

Параметр	Описание
Meta Saver	URL сервиса для отправки событий (`https://meta.<DOMAIN>/meta`)
Интервал опроса конфигурации	Как часто StarGuard Gate запрашивает обновления конфигурации из StarGuard Base (секунды, по умолчанию 60)
Keep-alive safeguard	Таймаут удержания соединений с Guard LLM Inference (секунды)
Режим работы	`Reverse proxy` — клиенты обращаются к шлюзу и выбирают Модель по имени; `Forward proxy` — клиенты обращаются к реальным адресам провайдеров через прокси, шлюз перехватывает трафик по Путям
Требовать авторизацию (Bearer)	Включить аутентификацию запросов на шлюзе (OIDC или статичный токен)
Токен доступа по умолчанию	Если включено требование авторизации, но OIDC не настроен — единый статичный Bearer-токен для всех клиентов

Meta Saver

URL сервиса для отправки событий (https://meta.<DOMAIN>/meta)

Интервал опроса конфигурации

Как часто StarGuard Gate запрашивает обновления конфигурации из StarGuard Base (секунды, по умолчанию 60)

Keep-alive safeguard

Таймаут удержания соединений с Guard LLM Inference (секунды)

Режим работы

Reverse proxy — клиенты обращаются к шлюзу и выбирают Модель по имени; Forward proxy — клиенты обращаются к реальным адресам провайдеров через прокси, шлюз перехватывает трафик по Путям

Требовать авторизацию (Bearer)

Включить аутентификацию запросов на шлюзе (OIDC или статичный токен)

Токен доступа по умолчанию

Если включено требование авторизации, но OIDC не настроен — единый статичный Bearer-токен для всех клиентов

Настройте цели шлюза в зависимости от режима.

Параметр	Описание
Назначенные модели	Все Модели, доступные через данный шлюз
Модель по умолчанию	Модель, используемая при отсутствии явного указания в запросе
Keep-alive модели	Таймаут удержания соединений с LLM-провайдерами (секунды)

Параметр

Описание

Назначенные модели

Все Модели, доступные через данный шлюз

Модель по умолчанию

Модель, используемая при отсутствии явного указания в запросе

Keep-alive модели

Таймаут удержания соединений с LLM-провайдерами (секунды)

Параметр	Описание
Назначенные пути	Пути (FQDN апстримов), трафик к которым перехватывает шлюз
Неконтролируемые хосты	Что делать с трафиком к хостам, для которых Путь не назначен: «Пропускать» (по умолчанию) или «Блокировать»
Только HTTPS	Отклонять с кодом 403 запросы, пришедшие к прокси открытым текстом
CA-сертификат (PEM)	Сертификат удостоверяющего центра, которым шлюз подписывает перехваченные TLS-соединения. Должен быть добавлен в доверенные на клиентских машинах
Приватный ключ CA (PEM)	Приватный ключ этого сертификата. Хранится в зашифрованном виде; при редактировании пустое поле означает «не менять»

Параметр

Описание

Назначенные пути

Пути (FQDN апстримов), трафик к которым перехватывает шлюз

Неконтролируемые хосты

Что делать с трафиком к хостам, для которых Путь не назначен: «Пропускать» (по умолчанию) или «Блокировать»

Только HTTPS

Отклонять с кодом 403 запросы, пришедшие к прокси открытым текстом

CA-сертификат (PEM)

Сертификат удостоверяющего центра, которым шлюз подписывает перехваченные TLS-соединения. Должен быть добавлен в доверенные на клиентских машинах

Приватный ключ CA (PEM)

Приватный ключ этого сертификата. Хранится в зашифрованном виде; при редактировании пустое поле означает «не менять»

При необходимости настроить цепочный прокси (upstream) — второй прокси, через который уходит весь перехваченный трафик. Доступно только в режиме forward proxy.

Параметр Описание

Параметр	Описание
Схема	Протокол до цепочного прокси: `HTTP` или `HTTPS`. Настройка не связана с переключателем «Только HTTPS» — они относятся к разным участкам маршрута
Хост, Порт	Адрес и порт цепочного прокси
Пользователь, Пароль	Учётные данные (опционально). Пароль хранится в зашифрованном виде

Схема

Протокол до цепочного прокси: HTTP или HTTPS. Настройка не связана с переключателем «Только HTTPS» — они относятся к разным участкам маршрута

Хост, Порт

Адрес и порт цепочного прокси

Пользователь, Пароль

Учётные данные (опционально). Пароль хранится в зашифрованном виде

Настройте обработку вложений (Первичная настройка), а также глобальные входные и выходные детекторы шлюза (Первичная настройка).
После сохранения скопировать UUID шлюза — он потребуется при развёртывании StarGuard Gate (переменная CORE_TOKEN). image::gate_config.png[align=center,max-width=80%]

Смена режима — это передеплой. Reverse и forward поставляются разными Docker-образами. При изменении режима у существующего шлюза интерфейс снимает несовместимые привязки целей и предупреждает: до перезапуска процесса с корректным образом шлюз работать не будет.

Внимание. Включение переключателя «Только HTTPS», изменение CA, параметров цепочного прокси или режима работы перезапускает процесс шлюза и разрывает активные туннели.