Контент-фильтр
Контентная фильтрация реализована на основе данных о веб-трафике, получаемых от модуля проксирования веб-трафика. Позволяет блокировать доступ к различным интернет-ресурсам.
Имя юнита контент-фильтра: ideco-content-filter-backend.service. Список имен юнитов для других разделов доступен по ссылке.
Для записи логов поставьте флаг строке Включить журналирование в разделе Сервисы -> Прокси -> Основное.
Механизм контентной фильтрации работает по принципу проверки принадлежности адреса, запрашиваемого пользователем сайта или отдельной страницы сайта, на наличие его в списках ресурсов. Списки поделены на категории для удобства администрирования.
HTTPS-сайты без расшифровки трафика фильтруются только по домену (а не по полному URL), правила категории Файлы на них также применить невозможно. Для полной фильтрации HTTPS создайте правила расшифровки HTTPS-трафика нужных категорий.
Для фильтрации по IP-адресам используйте Файрвол.
Фильтрация по IP-адресам в Контент-фильтре будет работать:
Для HTTP-запросов к IP-адресам напрямую;
Для расшифрованных HTTPS-запросов к IP-адресам;
Для HTTPS-запросов к ресурсам, сертификат которых содержит IP-адрес в поле Common Name сертификата.
Файрвол анализирует пакет на сетевом уровне (L3), а Контент-фильтр - на прикладном уровне (L7). Информация об IP-адресах на прикладном уровне (L7) неточная, поэтому для блокировки IP-адресов нужно использовать Файрвол.
Контент-фильтр состоит из трех вкладок: правила, пользовательские категории и настройки.
Правила
Вкладка содержит:
Строку поиска категории URL для категоризации. Позволяет по URL найти категорию, в которой этот URL состоит, для дальнейшего создания правила;
Таблицу созданных правил. Правила в таблице действуют сверху вниз. То есть, если вверху расположено правило, разрешающее контент, а внизу запрещающее этот контент, то будет работать только верхнее правило. Для перемещения правил используйте стрелки
и
;
Возможность добавления правил в Контент-фильтр. При добавлении правила требуется заполнить название правила, указать, для кого оно будет применено, и выбрать категорию сайтов. Далее указать, какое действие будет выполняться. Если выбрать действие Перенаправить на, то нужно создать аналогичное правило с действием Расшифровать и поместить его выше перенаправляющего правила.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3316954891-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F7lbCYdk5EWjSxQFh7JLG%252Fuploads%252Fgit-blob-689d2f2540f6ebbda8fc67fca3cfa8056bb3a263%252Fkf-r.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=3dbefb2b&sv=1)
Категории сайтов делятся на четыре вида:
1. Пользовательские. Включают в себя категории, созданные во вкладке Пользовательские категории;
2. Специальные. Включает 4 категории: все запросы, все категоризированные запросы, все некатегоризированные запросы и запросы с прямыми обращениями по IP-адресам;
3. Расширенные. Правила, включающие в себя расширенные категории, работают только с включенной опцией Расширенная база категорий в левом верхнем углу;
4. Файлы. Восемь сформированных категорий файлов, блокируемых по расширениям и MIME-type. Предустановленные группы файлов (Исполняемые файлы, Архивы, Видеофайлы, Аудиофайлы, Flash-видео, Active-X, Torrent-файлы, Документы) нельзя редактировать. Работа по фильтрации HTTPS-трафика по этому типу категорий возможна только при его расшифровке.
Пользовательские категории
На одноименной вкладке создаются собственные категории правил.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3316954891-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F7lbCYdk5EWjSxQFh7JLG%252Fuploads%252Fgit-blob-3fc82e872ef4d39848e894c9aa1fe7a3e5fd7444%252Fkf-r1.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=712faf62&sv=1)
Подробное описание расширенных и специальных категорий читайте в статье Описание категорий контент фильтра.
При создании собственной пользовательской категории потребуется ввести URL (одно или несколько значений через пробел). Используйте следующие маски:
test.ru
;www.test.ru
;http://www.test.ru/
илиhttps://www.test.ru/
;https://www.test.ru:8080
;https://xn--41a.xn-p1acf/
- punycode;*.test.ru
- для всех доменов третьего и выше уровней. Важно: такая маска не включает домен второго уровня test.ru, чтобы его включить достаточно указать домен test.ru (все его поддомены также попадут под это правило);1.1.1.1
- любой IP-адрес.
Если URL или домен содержит специальные символы (。или •), оставьте их в исходном виде. Адрес будут автоматически закодирован в формат punycode.
Настройки
Если включить опцию Расширенная база категорий, то будет включена работа более 140 категорий, автоматически обновляемых сервером. Эти категории работают только при активной подписке на обновления в коммерческих редакциях.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3316954891-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F7lbCYdk5EWjSxQFh7JLG%252Fuploads%252Fgit-blob-16f1feffc28ffe1781a18b81231c8b0e92d05157%252Fkf-r1.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ddfb50ba&sv=1)
Если отключить опцию Расширенная база категорий, то все правила, включающие в себя расширенные категории, перестанут срабатывать.
На вкладке Настройки можно настроить дополнительные параметры фильтрации:
Блокировать протоколы QUIC и HTTP/3. Протокол, используемый современными браузерами для доступа к некоторым ресурсам (например, Google, YouTube). Рекомендуется блокировать его, т. к. иначе фильтрация ресурсов, работающих по этому протоколу, будет невозможна;
Безопасный поиск. Принудительно включает безопасный поиск в поисковых системах (Google, Yandex, YouTube, Yahoo, Bing, Rambler). Для работы этой функции нужно включить HTTPS-фильтрацию методом подмены сертификата для данных ресурсов.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3316954891-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F7lbCYdk5EWjSxQFh7JLG%252Fuploads%252Fgit-blob-5ee9c90f1094afd8f946415c8e117e1016995f1d%252Fkf-r2.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8732aefe&sv=1)
Если для повторного шифрования требуется использовать сертификат, отличный от корневого в NGFW, загрузите нужный сертификат в разделе Сервисы -> Сертификаты -> Загруженные сертификаты и выберите его для повторного шифрования:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3316954891-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F7lbCYdk5EWjSxQFh7JLG%252Fuploads%252Fgit-blob-b8ade12447d50391de0544682937b6850cfcf273%252Fkf-r6.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=75c017c8&sv=1)
Применение правил
Процесс блокировки ресурсов, взаимодействующих с чат-ботами, описан в статье.
Last updated