Тестирование правил

В статье описана настройка тестирования правил Файрвола Ideco NGFW.

На вкладке создаются тесты для проверки работы правил таблицы FORWARD и INPUT.

Тест - это конкретный пример, в котором проверяется доступ до определенного IP-адреса с учетом правил таблицы Файрвола. Во время тестирования NGFW генерирует тестовый пакет с заданным источником и назначением, после чего проверяет, как пакет проходит через Файрвол.

Рекомендуем использовать для источника порты из диапазона 49152 - 65535 (динамически выделяемые или частные порты, которые не регистрируются IANA).

Создание тестов

В качестве интерфейса источника можно выбрать:

• Тунельный (GRE).

• Локальный Ethernet.

• Внешний Ethernet.

• Внешний Ethernet + PPTP.

• Внешний Ethernet + L2TP.

• Внешний Ethernet + PPPoE.

Для создания теста выполните действия:

1. Перейдите на вкладку Правила трафика -> Файрвол -> Тестирование правил и нажмите Добавить.

2. Заполните поля:

Расшифровка полей

• Протокол (TCP/UDP).

• IP-адрес - адрес источника и назначения.

• Порт - порт источника и назначения.

• Интерфейс - сетевой интерфейс источника.

• Ожидаемое действие - Разрешить или Запретить.

• Комментарий - необязательное поле.

3. Нажмите Добавить.

Созданные тесты добавляются в таблицу:

Запуск и результат тестирования

Запуск теста не происходит автоматически при его добавлении. Для запуска:

1. Включите нужный тест .

2. Нажмите Запустить тестирование в левом нижнем углу вкладки.

Если тест выключен, то его тестирование запускаться не будет.

При совпадении ожидаемого и фактического действия тестирование считается успешным:

Залогированные правила вида fwd.sys.xxx, inp.sys.xxx, out.sys.xxx в столбце Правило - результат срабатывания системного правила, которое разрешило или запретило прохождение трафика в рамках проверки, если не сработало ни одно пользовательское правило. Это правила Файрвола, которыми нельзя управлять из веб-интерфейса Ideco NGFW, они всегда включены. Правила Forward System и Input System имеют приоритет над пользовательскими правилами Файрвола. Посмотреть системное правило, которое сработало, можно через Терминал.

Если у выбранного теста Интерфейс источника был удален (отображается Удалено в столбце Интерфейс), тестирование завершится с фактическим действием Запретить.

Не рекомендуем включать опцию Блокировать весь трафик в случае неудачного теста, иначе при любом неуспешном результате теста (обозначен ) весь трафик через NGFW будет заблокирован. Единственный способ снятия блокировки - тестирование без ошибок. Отключение опции не сработает:

В правом нижнем углу вкладки представлены сведения о последнем тестировании: текущий статус (Успешно/Ошибка), время проведения и количество неуспешных тестов (из числа включенных в столбце Управление):

Повторный запуск сбрасывает результаты предыдущего тестирования.