Таблицы файрвола (FORWARD, DNAT, INPUT и SNAT)
В статье описаны создание и особенности правил FORWARD, DNAT, INPUT и SNAT в Файрволе Ideco NGFW.
Last updated
Was this helpful?
В статье описаны создание и особенности правил FORWARD, DNAT, INPUT и SNAT в Файрволе Ideco NGFW.
Last updated
Was this helpful?
Для удобства управления в интерфейсе правила разбиты на четыре таблицы:
FORWARD - правила действуют на трафик, проходящий между зонами сервера, т. е. интернетом и локальной сетью, а также между локальными сетями. Это основная таблица, в которую можно добавить правила, ограничивающие трафик пользователей;
DNAT - правила используются для прямого перенаправления портов с внешней зоны на ресурсы во внутренней зоне. Такие правила часто называются правилами проброса портов (port forwarding, port-mapping);
INPUT - правила входящего на сервер трафика. Как правило, это трафик для служб сервера (например, почтового сервера);
SNAT - правила для управления трансляцией сетевых адресов.
Правила в таблицах имеют приоритет сверху вниз (т. е. верхнее правило приоритетнее нижнего). По умолчанию используется политика РАЗРЕШИТЬ. Если не созданы запрещающие правила, все порты и протоколы для пользователей разрешены.
При наличии большого количества правил в таблицах Файрвола воспользуйтесь кнопкой Фильтры.
Для создания правила в нужной таблице нажмите кнопку Добавить.
Укажите необходимые параметры, действия правила и нажмите кнопку Добавить. Правило будет добавлено в конец списка. Если необходимо, измените его приоритет кнопками .
В качестве Зоны источника или Зоны назначения можно выбрать Специальные типы:
При создании правил:
Если в поле Протокол выбрать из списка параметр Любой, то правило будет действовать на весь трафик.
Для фильтрации веб-трафика из локальных сетей (80, 443 TCP-порты) для корректной работы правила в поле Зона источника должен указываться объект Любой либо зона, в которую входит интерфейс локальной сети. Если будет указан интерфейс локальной сети, то правило не будет обрабатывать веб-трафик. При инспекции веб-трафика интерфейс источника переназначается на интерфейс Ideco NGFW, но зона интерфейса источника сохраняется.
Не используйте зону, указанную в разделе VPN-подключения -> Основное, для блокировки TCP. В противном случае HTTP- и HTTPS-трафик через эту зону не будет заблокирован.
НЕ рекомендуем:
Создавать FORWARD- и INPUT-правила, запрещающие весь трафик, без предварительного создания разрешающих правил. Это может привести к блокировке доступа к серверу и его функциям. Для предотвращения блокировки клиентского HTTP/HTTPS-трафика рекомендуем:
Создать правило, разрешающее трафик от пользователя;
Создать правило, разрешающее трафик для специальной зоны источника Исходящий трафик устройства.
При создании правил Файрвола с протоколом TCP или UDP указывать Порт источника. Это связано с тем, что:
Порт источника выбирается случайно, и лишь некоторые приложения работают с фиксированным портом;
Порт источника может подмениться другим при прохождении пакета через NAT.
Зона источника - интерфейс или группа интерфейсов, из которых приходит трафик. Можно выбрать отдельные Сетевые интерфейсы, или Специальные типы;
Адрес - IP-адрес источника трафика (src), проходящего через шлюз. В этом поле могут быть указаны IP-адреса, диапазоны IP-адресов, сети, домены (раздел ), страны или пользователи и группы (при смене их IP-адресов файрвол автоматически это учтет). Максимальное количество объектов в поле - 200;
Порты источника - указываются при создании правила с протоколами TCP/UDP. Это может быть отдельный порт, список портов или диапазон портов, определенных в . Указывать не рекомендуем. Максимальное количество объектов в поле - 200.
Адрес - в этом поле могут быть указаны IP-адреса, диапазоны IP-адресов, сети, домены (раздел ), страны или пользователи и группы (при смене их IP-адресов, файрвол автоматически это учтет). Максимальное количество объектов в поле - 200;
Порты назначения - указываются при создании правила с протоколами TCP/UDP. Это может быть отдельный порт, список портов или диапазон портов, определенных в . Максимальное количество объектов в поле - 200;
Время действия - время действия правила. Указываются временные промежутки (например, рабочее время), которые определяются в ;
Зона источника - интерфейс или группа интерфейсов, из которых приходит трафик. Можно выбрать отдельные Сетевые интерфейсы, или Специальные типы;
Адрес - IP-адрес источника трафика (src), проходящего через шлюз. В этом поле могут быть указаны IP-адреса, диапазоны IP-адресов, сети, домены (раздел ), страны или пользователи и группы (при смене их IP-адресов файрвол автоматически это учтет). Максимальное количество объектов в поле - 200;
Порты источника - указываются при создании правила с протоколами TCP/UDP. Это может быть отдельный порт, список портов или диапазон портов, определенных в . Указывать не рекомендуем. Максимальное количество объектов в поле - 200.
Адрес - в этом поле могут быть указаны IP-адреса, диапазоны IP-адресов, сети, домены (раздел ), страны или пользователи и группы (при смене их IP-адресов, файрвол автоматически это учтет). Максимальное количество объектов в поле - 200;
Порт назначения - указывается при создании правила с протоколами TCP/UDP. Это может быть отдельный порт, список портов или диапазон портов, определенных в . Максимальное количество объектов в поле - 200.
Контроль приложений - выберите профиль , которым требуется фильтровать трафик;
Предотвращение вторжений - выберите профиль системы , которым требуется фильтровать трафик.
Время действия - время действия правила. Указываются временные промежутки (например, рабочее время), которые определяются в ;
Адрес - IP-адрес источника трафика (src), проходящего через шлюз. В этом поле могут быть указаны IP-адреса, диапазоны IP-адресов, сети, домены (раздел ), страны или пользователи и группы (при смене их IP-адресов файрвол автоматически это учтет). Максимальное количество объектов в поле - 200;
Порты источника - указываются при создании правила с протоколами TCP/UDP. Это может быть отдельный порт, список портов или диапазон портов, определенных в . Указывать не рекомендуем. Максимальное количество объектов в поле - 200;
Зона назначения - интерфейс или группа интерфейсов, в которые входит трафик. Можно выбрать отдельные Сетевые интерфейсы, или Специальные типы;
Адрес - в этом поле могут быть указаны IP-адреса, диапазоны IP-адресов, сети, домены (раздел ), страны или пользователи и группы (при смене их IP-адресов, файрвол автоматически это учтет). Максимальное количество объектов в поле - 200;
Порты назначения - указываются при создании правила с протоколами TCP/UDP. Это может быть отдельный порт, список портов или диапазон портов, определенных в . Максимальное количество объектов в поле - 200.
Время действия - время действия правила. Указываются временные промежутки (например, рабочее время), которые определяются в ;
При не указывайте в поле Адрес источника IP-адрес. В противном случае правило не будет срабатывать, так как при прохождении через прямой прокси IP-адрес источника подменяется на IP-адрес Ideco NGFW.
Если используется , то для INPUT-правила в полях Адрес назначения и Порты назначения должны указываться внешний IP-адрес и порт Ideco NGFW, т.к. INPUT-правила Файрвола обрабатывают трафик раньше прокси-сервера.
