Ideco UTM
Search…
v13
Популярные инструкции и диагностика проблем
Файрвол

Принцип работы

Одним из основных средств управления трафиком на сервере является файрвол (межсетевой экран). С его помощью можно по различным критериям ограничивать пользовательский трафик, проходящий:
  • из локальных сетей во внешние через сервер;
  • между разными локальными сетями сервера;
  • на сам сервер Ideco UTM.
Принцип работы файрвола заключается в проведении анализа заголовков пакетов, проходящих через интерфейсы сервера. Эта низкоуровневая задача решается шлюзом на основе стека протоколов TCP/IP. Поэтому файрвол хорошо подходит для определения глобальных правил управления трафиком по сетевым протоколам, портам, принадлежности к определенным IP-сетям и другим критериям, основанным на значениях полей в заголовках сетевых пакетов.
Сетевой экран не предназначен для решения задач, связанных с контролем доступа к ресурсам сети Интернет, исходя из адреса URL, доменного имени или типа контента на веб-сайтах. Эти задачи более высокого уровня, как правило, касающиеся веб-трафика, решаются с помощью модуля Контент фильтр.
Настройка файрвола производится в разделе веб-интерфейса Правила трафика -> Файрвол.
В Ideco UTM имеются преднастроенные и автоматически включаемые системные правила. Они обеспечивают защиту служб почтового сервера, прокси и обратного прокси-сервера, и других. Как правило, нет необходимости дополнительно настраивать защиту сервера Ideco UTM с помощью пользовательских правил. Используйте их для фильтрации трафика локальной сети и публикации ресурсов. Даже при отключении пользовательского файрвола в веб-интерфейсе системные правила продолжают работу.
В случае создания некорректных правил (например, запрет доступа в веб-интерфейс Ideco UTM), вы можете отключить пользовательский файрвол из локального меню сервера. Для этого выберите пункт Отключить пользовательский файрвол, введя цифру 8 и нажмите Enter.

Автоматический SNAT локальных сетей

NAT (от англ. Network Address Translation — «преобразование сетевых адресов») — это механизм в сетях TCP/IP, позволяющий преобразовывать IP-адреса транзитных пакетов. Читать подробнее.
Параметр Автоматический SNAT локальных сетей включает в файрволе автоматическое преобразование адреса для трафика уходящего во внешний интерфейс, если источник равен 10.0.0.0/8, 172.16.0.0/12 192.168.0.0/16 и адресов, которые прописаны во вкладке SNAT, если выбрано Действие SNAT. Таким образом вам не нужно создавать такие правила вручную и изменять их при добавлении или изменении локальных сетей.
Отключите данную настройку, если есть необходимость доступа с внешних сетей (например ведомственных, либо DMZ) до локальной сети Ideco UTM без NAT.
Вы можете создать правила SNAT вручную для тех, кому он необходим и отключить (правилом «не SNAT») для тех, кого необходимо допустить в сеть без сетевой трансляции адресов.

Таблицы файрвола

Правила в таблицах имеют приоритет сверху вниз (т.е. верхнее правило приоритетнее нижнего). Перед созданием правил для сетей, IP-адресов или диапазонов IP-адресов, предварительно создайте их в разделе Объекты.
Для удобства управления правилами в интерфейсе они разбиты на четыре таблицы:

FORWARD

Правила в данной таблице действуют на трафик, проходящий между интерфейсами сервера, т.е. сетью Интернет и локальной сетью, а также между локальными сетями. Это основная таблица, в которую могут быть добавлены правила, ограничивающие трафик пользователей.

DNAT (перенаправление портов)

Правила этой таблицы используются для прямого перенаправления портов с внешнего интерфейса на определенные ресурсы в локальной сети. Такие правила часто называются правилами проброса портов (port forwarding, portmapper).

INPUT

Таблица для правил входящего трафика на интерфейсы сервера. Как правило, это трафик для служб сервера (например, почтового сервера).

SNAT

Таблица правил для управления трансляцией сетевых адресов.
Настоятельно не рекомендуем создавать FORWARD и INPUT правила, которые запрещают весь трафик.

Протоколы

При создании правила необходимо выбрать протокол передачи данных, на который будет действовать создаваемое вами правило. Если вы выбираете из списка параметр Любой, то правило будет действовать на весь трафик.
Описание протоколов

Создание правил

Для того чтобы создать правила в нужной таблице, нажмите кнопку Добавить в левом верхнем углу экрана.
Укажите необходимые параметры и действия правила и нажмите кнопку Сохранить. Правило будет добавлено в конец списка. Если необходимо, измените его приоритет кнопками
.
При создании правил для фильтрации веб-трафика из локальных сетей (80, 443 TCP порты), для полноценной работы правила, в поле Входящий интерфейс должен указываться объект Любой. Если будет указан иной входящий интерфейс, то правило не будет обрабатывать веб-трафик.
Параметры правил

Примеры правил и техник

Портмаппинг, DNAT, публикация сервера в локальной сети
Блокировка различных ресурсов средствами файрвола
Массовая блокировка IP-адресов и сетей
Доступ до терминального сервера определенному пользователю
Copy link
On this page
Принцип работы
Автоматический SNAT локальных сетей
Таблицы файрвола
Протоколы
Создание правил