Ideco NGFW
Скачать PDF
v19
v19
  • Об Ideco NGFW
  • Общая информация
    • Лицензирование
    • Системные требования и источники данных Ideco NGFW
      • Выбор аппаратной платформы
    • Техническая поддержка
      • Информация о поддержке версий Ideco NGFW
  • Быстрый старт Ideco NGFW
    • Рекомендации при первоначальной настройке
    • Подготовка платформы к установке
      • Настройка гипервизора
      • Настройка программно-аппаратных комплексов Ideco NGFW
      • Создание загрузочного USB-накопителя
    • Установка
    • Первоначальная настройка
    • Регистрация сервера
    • Получение доступа в интернет
  • Настройка Ideco NGFW
    • Панель мониторинга
    • Пользователи
      • Учетные записи
        • Управление учетными записями и группами
        • Настройка пользователей
      • Авторизация пользователей
        • Веб-аутентификация
        • IP и MAC авторизация
          • Авторизация по IP-адресу
          • Авторизация по MAC-адресу
        • Авторизация по подсетям
        • Авторизация пользователей терминальных серверов
      • Двухфакторная аутентификация
      • VPN-подключение
        • Подключение по PPTP
        • Подключение по IKEv2/IPsec
        • Подключение по SSTP
        • Подключение по L2TP/IPsec
        • Особенности маршрутизации и организации доступа
        • Инструкция по запуску PowerShell скриптов
      • Ideco Client
        • Установка и настройка Ideco Client на Windows
        • Установка и настройка Ideco Client на MacOS
        • Установка и настройка Ideco Client на Linux
        • Настройка Device VPN
        • Создание сертификатов для Device VPN
        • Балансировка VPN-подключений
        • Кастомная настройка Ideco Client
      • Профили устройств
      • Active Directory/Samba DC
        • Импорт пользователей
        • Аутентификация пользователей AD/Samba DC
          • Настройка сервера Active Directory
          • Настройка клиентских машин
          • Скрипты автоматической разавторизации
      • RADIUS
      • ALD Pro
      • Обнаружение устройств
      • Wi-Fi-сети
    • Мониторинг
      • Сессии администраторов
      • Сессии пользователей
      • Сессии ЛК
      • Графики загруженности
      • Монитор трафика
      • Telegram-бот
      • SNMP
      • Zabbix-агент
      • Netflow
    • Правила трафика
      • Файрвол
        • Таблицы файрвола (FORWARD, DNAT, INPUT и SNAT)
        • Примеры создания правил файрвола
        • Логирование
        • Тестирование правил
        • Предварительная фильтрация
        • Аппаратная фильтрация
      • Контент-фильтр
        • Правила
        • Описание категорий контент-фильтра
        • Морфологические словари
        • Настройки
        • Настройка фильтрации HTTPS
      • Ограничение скорости
      • Антивирус
      • Предотвращение вторжений
        • Группы сигнатур
        • Пользовательские сигнатуры
        • Настройки
      • Исключения
      • Объекты
    • Профили безопасности
      • Web Application Firewall
      • Контроль приложений
        • Особенности создания профилей
        • Пример создания иерархической структуры
        • Настройка фильтрации трафика, для которого в таблице FORWARD нет правил
      • Предотвращение вторжений
    • Сервисы
      • Сетевые интерфейсы
        • Внешние и локальные интерфейсы
        • Агрегированные интерфейсы (LACP)
        • Туннельные интерфейсы (GRE)
        • VCE-интерфейсы
        • SPAN-интерфейсы
      • Балансировка и резервирование
      • Маршрутизация
      • BGP
      • OSPF
      • IGMP Proxy
      • Прокси
        • Исключения
        • Настройка прямого подключения к прокси
        • Настройка прокси с одним интерфейсом
      • Обратный прокси
      • ЛК/Портал SSL VPN
      • Защита и управление DNS
        • Внешние DNS-серверы
        • Master-зоны
        • Forward-зоны
        • DDNS
      • DHCP-сервер
      • NTP-сервер
      • IPsec
        • Подключение между двумя Ideco NGFW в туннельном режиме работы
        • Подключение между двумя Ideco NGFW в транспортном режиме работы
        • Подключение Ideco NGFW и Mikrotik по IPsec в туннельном режиме
        • Подключение Ideco NGFW и Mikrotik по IPsec в транспортном режиме
        • Подключение MikroTik и Ideco NGFW по L2TP/IPsec
        • Подключение Cisco IOS и Ideco NGFW по IPsec в туннельном режиме
        • Подключение Cisco IOS и Ideco NGFW по IPsec в транспортном режиме
        • Подключение Cisco IOS и Ideco NGFW по route-based IPsec
        • Подключение pfSense к Ideco NGFW по IPsec
        • Подключение Kerio Control и Ideco NGFW по IPsec
        • Подключение Keenetic по SSTP или IPsec
      • ГОСТ VPN
      • Сертификаты
        • Загрузка SSL-сертификата на сервер
        • Создание самоподписанного сертификата c помощью PowerShell
        • Создание сертификата c помощью openssl
      • USB-токены
    • Отчеты и журналы
      • Трафик
      • Системный журнал
      • Журнал веб-трафика
      • Журнал трафика
      • События безопасности
      • Действия администраторов
      • Журнал аутентификации
      • Журнал авторизации ЛК
      • Конструктор отчетов
      • Syslog
    • Управление сервером
      • Администраторы
      • Ideco Center
      • VCE
      • Кластеризация
        • Настройка кластера
        • Обновление кластера
      • Обновления
      • Бэкапы
      • Терминал
        • Примеры использования утилит
      • Лицензия
      • Дополнительно
    • Почтовый релей
      • Основные настройки
        • Web-почта
        • Настройка почтового релея
        • Настройка почтового сервера
      • Расширенные настройки
        • Настройка домена у регистратора/держателя зоны
      • Антиспам и антивирус
      • Правила
        • Переадресация почты
      • Почтовая очередь
      • Настройка почтовых клиентов
      • Схема фильтрации почтового трафика
    • Публикация ресурсов
      • Доступ из внешней сети без NAT
      • Публикация веб-приложений (обратный прокси-сервер)
      • Настройка публичного IP-адреса на компьютере в локальной сети
      • Портмаппинг (проброс портов, DNAT)
    • Интеграция NGFW и SkyDNS
    • Полный цикл обработки трафика в Ideco NGFW
  • Настройка MY.IDECO
    • О личном кабинете MY.IDECO
    • NGFW
    • Центральная консоль
    • Monitoring Bot и Security
    • Личные данные и Компании
  • Настройка Ideco Center
    • Об Ideco Center
    • Установка Ideco Center
    • Серверы
    • Мониторинг
    • Политики и объекты
    • Профили безопасности
    • Сервисы
    • Отчеты и журналы
    • Управление сервером
  • Популярные инструкции и диагностика проблем
    • FAQ
      • Инструкции по созданию VPN-подключений
        • Создание VPN-подключения в Alt Linux
        • Создание VPN-подключения в Ubuntu
        • Создание VPN-подключения в Fedora
        • Создание подключения в Astra Linux
        • Создание подключения в Windows
        • Создание VPN-подключения на мобильных устройствах
        • Создание подключения в Mac OS
        • Подключение по SSTP Wi-Fi роутеров Keenetic
      • Подлючение к серверу по COM-порту и настройка Ideco NGFW
      • Анализ трафика
      • Режим удаленного помощника
      • Настройка LACP на Hyper-V
      • Разрешить интернет всем: диагностика неполадок
      • Как разрешить доступ к ресурсам в ограниченной сети
      • Удаленный доступ к серверу
      • Тестирование оперативной памяти сервера
      • Как избавиться от асимметричной маршрутизации трафика
      • Что делать если ваш IP попал в черные списки DNSBL
      • Как восстановить доступ к Ideco NGFW
      • Как восстановиться на прошлую версию после обновления Ideco NGFW
      • Проверка настроек фильтрации с помощью security ideco
      • Поддержка устаревших алгоритмов шифрования
      • Настройка программы Proxifier для прямых подключений к прокси серверу
      • Блокировка популярных ресурсов
      • Настройка прозрачной авторизации на Astra Linux
      • Настройка автоматической веб-аутентификации на Ideco NGFW на Linux
      • Перенос данных и настроек на другой сервер
      • Порядок обработки веб-трафика в Ideco NGFW
      • Интеграция Ideco NGFW и брокера сетевых пакетов DS Integrity NG
      • Настройка совместной работы ViPNet Координатор с Ideco NGFW
      • Блокировка чат-ботов
      • Таблица портов Ideco NGFW, доступных из локальной и внешних сетей
      • Как Ideco Client осуществляет обработку запросов с редиректом на сервер Ideco NGFW
      • Как включить таймер при загрузке Ideco NGFW
    • Диагностика проблем
      • Ошибка при открытии сайта ERR_CONNECTION_TIMED_OUT или Не открывается сайт
      • Что делать если не работает интернет
      • Ошибка при авторизации "The browser is outdated"
      • Если соединение по IPsec не устанавливается
      • Ошибка 400 Bad Request Request Header Or Cookie Too Large при авторизации в браузерах
  • API
    • Описание основных хендлеров
    • Управление интеграцией с Active Directory
    • Управление интеграцией с ALD Pro
    • Управление администраторами
    • Управление пользователями
    • Управление Ideco Client
    • Мониторинг и журналы
    • Управление правилами трафика
      • Файрвол
      • Контроль приложений
      • Контент-фильтр
      • Предотвращение вторжений
      • Исключения
    • Управление профилями безопасности
    • Управление сетевыми интерфейсами
    • Управление VPN
    • Управление обратным прокси
    • DHCP-сервер
    • DNS-сервер
    • Настройка удаленной передачи системных логов
    • Управление Ideco Center
    • Бэкапы и возврат к предыдущей версии
    • Почтовый релей
      • Расширенные настройки
      • Антиспам и антивирус
      • Правила
      • Почтовая очередь
    • Примеры использования
      • Редактирование пользовательской категории контент-фильтра
      • Создание правила FORWARD
  • changelog
    • Ideco NGFW 19.X
    • ФСТЭК Ideco UTM 19.X
    • Ideco Center 19.Х
Powered by GitBook
On this page
  • Создание правил
  • Управление правилами
  • Дополнительно

Was this helpful?

  1. Настройка Ideco NGFW
  2. Правила трафика
  3. Контент-фильтр

Правила

В статье рассказывается о настройке и применении правил Контент-фильтра.

PreviousКонтент-фильтрNextОписание категорий контент-фильтра

Last updated 20 hours ago

Was this helpful?

Правила создаются на вкладке Правила трафика -> Контент-фильтр -> Правила. Помимо возможности добавления правил Контент-фильтра, вкладка содержит:

  • Строку поиска категории URL для категоризации. Позволяет найти, к какой категории относится URL для создания правила.

  • Таблицу созданных правил. Правила применяются сверху вниз в порядке следования в таблице до первого совпадения. Таким образом, если вышестоящим правилом будет разрешен какой-то ресурс для определенной группы пользователей, то правила ниже применяться не будут. Можно создавать гибкие настройки фильтрации, исключая нужных пользователей вышестоящими правилами из правил блокировки. Аналогичным образом действуют правила расшифровки HTTPS.

Создание правил

1. Нажмите Добавить и заполните поля:

Расшифровка полей
  • Название - название добавляемого правила.

  • Применяется для - пользователь или группа пользователей, IP-адреса или список IP-объектов, для которых применяется правило.

Для расшифрованного трафика при создании и редактировании правила Контент-фильтра доступны более детальные настройки доступа к ресурсам с помощью HTTP-методов запроса и MIME-типов. Если поля остаются пустыми, проверка по ним не осуществляется.

  • HTTP-методы - методы запроса, которые будут применяться для всего HTTP- или HTTPS-трафика. Доступные методы:

    • GET - извлечение данных ресурса, содержащих тело ответа.

    • HEAD - извлечение данных ресурса, не содержащих тело ответа.

    • POST - отправка данных на определенный ресурс.

    • PUT - замена текущих значений ресурса.

    • DELETE - удаление ресурса.

    • OPTIONS - описание параметров соединения с ресурсом.

    • PATCH - частичное изменение ресурса.

    • TRACE - вызов возвращаемого тестового сообщения с ресурса.

    • CONNECT - установка соединения с ресурсом.

  • MIME-типы - форматы содержимого, к которым будет применяться правило. Форматы объединены в группы в зависимости от типа контента. Например, Audio (mp4, wav, wave и др.), Video (jpeg, mpeg, jmp и др.), Image (bmp, gif, png и др.). Настройки можно применить как к группе форматов, так и каждому формату отдельно.

  • Действия:

    • Запретить - запрещает трафик.

    • Разрешить - разрешает трафик или направляет его в модули фильтрации трафика.

    • Перенаправить на - позволяет указать URL, на который будет перенаправлен расшифрованный трафик.

    • Расшифровать - расшифровывает трафик с HTTPS сайтов.

Если выбрать действие Перенаправить на, то нужно создать аналогичное правило с действием Расшифровать и поместить его выше перенаправляющего правила.

  • Дополнительно:

    • Комментарий - произвольный текст. Значение не должно быть длиннее 255 символов.

2. Для подтверждения создания правила нажмите Добавить.

Управление правилами

В столбце Управление можно включать или выключать правило, менять его приоритет, редактировать и удалять. Правила контентной фильтрации применяются сразу после создания или включения:

При наличии большого количества правил Контент-фильтра в таблице воспользуйтесь кнопкой Фильтры.

Дополнительно

Пример настройки HTTP-метода

Необходимо запретить всем пользователям отправлять данные на запрещенные сайты.

Перейдите в раздел Правила трафика -> Контент-фильтр -> Правила и нажмите Добавить. Заполните поля, как на скриншоте:

В поле Категории сайтов укажите предварительно созданную пользовательскую категорию Запрещенные сайты. При сохранении правила сайты откроются, если трафик не заблокирован другим правилом, но пользователь не сможет отправить данные (например, форму обратной связи).

Пример настройки MIME-типов

Необходимо запретить конкретному пользователю (например, User1) воспроизводить видеоконтент на запрещенных сайтах.

Перейдите в раздел Правила трафика -> Контент-фильтр -> Правила и нажмите Добавить. Заполните поля, как на скриншоте:

В поле Категории сайтов укажите предварительно созданную пользовательскую категорию Запрещенные сайты. В поле MIME-типы выберите все форматы группы Video. Примените действие правила Запретить. При сохранении правила сайт откроется, если трафик не заблокирован другим правилом, но видеоконтент не воспроизведется.

Диагностика

Если правила контентной фильтрации не действуют, проверьте следующие параметры в настройках:

  • IP-адрес компьютера пользователя должен соответствовать его адресу в авторизации (раздел Мониторинг - Сессии пользователей), пользователь должен находиться в нужной группе, на которую назначено правило.

  • IP-адрес пользователя и ресурса, к которому обращается, не должен входить в исключения прокси-сервера.

  • Проверьте правильность категоризации ресурса, к которому обращаетесь, в поле URL для категоризации на вкладке Правила:

  • В браузере и на компьютере пользователя не используются функции или плагины VPN, не прописаны сторонние прокси-серверы.

Блокировка загрузки файлов в файлообменники

Блокирование этой категории требует особой настройки правил Контент-фильтра. В случае с файлообменниками расшифровки трафика может быть недостаточно у категорий: Файлообменники, Файловые хранилища, Файловые архивы и Загрузка файлов в файлообменники.

Чтобы заблокировать загрузку файлов в облака через браузер, выполните действия:

1. Включите Блокировку протоколов Quic/HTTP3 на вкладке Контент-фильтр -> Настройки:

2. Создайте пользовательскую категорию для расшифровки трафика и укажите домены нужных файлообменников, используя маску example.com:

3. Создайте правило, расшифровывающее трафик созданной в п. 2 категории:

4. Ниже создайте запрещающее правило для категории Загрузка файлов в файлообменник:

5. Проверьте, работает ли блокировка: с устройства пользователя, для которого настроена, зайдите на сайты нужных файлообменников и попробуйте загрузить файлы. Если загрузка проходит, то:

  • Добавьте в пользовательскую категорию домены файлообменников, используя любые варианты масок: subdomain.example.com, *.subdomain.example.com, subdomain.example.com/home, *.example.com.

  • Создайте в Контент-фильтре правило, расшифровывающее весь трафик пользователя, а ниже - правило, запрещающее загрузку файлов в файлообменники:

Категории сайтов - поле для выбора , перечень ресурсов, на которые распространяется действие правила.

Время действия - время действия правила. Указываются временные промежутки (например, Рабочее время), которые определяются в . По умолчанию установлено значение Любой.

Проверить настройки контентной фильтрации по блокировке опасных и потенциально опасных файлов можно с помощью сервиса .

Если сайт неправильно категоризирован, воспользуйтесь формой обратной связи .

Если не удалось выполнить настройку, то обратитесь в .

предустановленной или пользовательской категории
Объектах
security.ideco.ru
SkyDNS
Техническую поддержку