Файрвол
Средство управления трафиком на сервере (межсетевой экран). Помогает ограничивать пользовательский трафик.
Название службы раздела Файрвол: ideco-firewall-backend
.
Список имен служб для других разделов доступен по ссылке.
Принцип работы файрвола заключается в проведении анализа заголовков пакетов, проходящих через интерфейсы сервера.
Эта низкоуровневая задача решается шлюзом на основе стека протоколов TCP/IP. Поэтому файрвол хорошо подходит для определения глобальных правил управления трафиком по сетевым протоколам, портам и другим критериям, основанным на значениях полей в заголовках сетевых пакетов.
Настройка файрвола производится в разделе веб-интерфейса Правила трафика -> Файрвол.
Файрвол Ideco NGFW использует для фильтрации трафика как отдельные интерфейсы, так и зоны - логические объединения сетевый интерфейсов.
Преимущества такого подхода:
Можно гибко управлять правилами при большом количестве интерфейсов.
При добавлении/удалении интерфейсов нет необходимости копировать/удалять большое количество правил, достаточно изменить состав нужной зоны.
Можно выбрать удобные названия для зон - “Разработчики“, “Гости“ и т. д., что сделает правила файрвола более читаемыми.
Для обеспечения защиты в NGFW есть преднастроенные и автоматически включаемые системные правила. Используйте пользовательские правила для фильтрации трафика локальной сети и публикации ресурсов.
Сетевой экран не предназначен для решения задач, связанных с контролем доступа к ресурсам сети интернет исходя из адреса URL, доменного имени или типа контента на веб-сайтах. Эти задачи, обычно касающиеся веб-трафика, решаются с помощью модуля Контент фильтр.
Для блокировки веб-трафика используйте модуль Контент фильтра.
Включение режима удаленного помощника изменяет таблицу правил файрвола. При этом становится доступно подключение по SSH из локальных и внешних сетей.
В Ideco NGFW включены connection tracking helpers для протоколов: ftp, sip, netbios-ns, pptp, h323. Для иных протоколов, использующих несколько портов при установлении соединения, работа через NAT не гарантируется.
При отключении пользовательского файрвола в веб-интерфейсе системные правила продолжают работу.
При использовании зон в файрволе учтите, что одна зона не может содержать более 64 интерфейсов. Под интерфейсом понимается сетевой интерфейс, настроенный в разделе Сервисы -> Сетевые интерфейсы, а также IPsec- и VPN-подключения.
В случае создания некорректных правил (например, запрет доступа в веб-интерфейс Ideco NGFW), отключите пользовательский файрвол из локального меню сервера. Для этого выберите пункт Отключить пользовательский файрвол (введя цифру 8) и нажмите Enter.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3316954891-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F7lbCYdk5EWjSxQFh7JLG%252Fuploads%252Fgit-blob-865b5b1e0b463177613da4a0ee69ab5de010ba5e%252Ffirewall-down.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=24030bb&sv=1)
Автоматический SNAT локальных сетей и счетчик срабатываний
Включите опцию Автоматический SNAT локальных сетей для автоматического преобразования адреса трафика, уходящего во внешнюю зону, если источник равен 10.0.0.0/8
, 172.16.0.0/12
, 192.168.0.0/16
, и адресов, которые прописаны во вкладке SNAT, если выбрано действие SNAT. Таким образом, не нужно создавать правила вручную и изменять их при добавлении или изменении локальных сетей.
Можно создать правила SNAT вручную для тех, кому он необходим, и отключить (правилом "не SNAT") для тех, кого необходимо допустить в сеть без сетевой трансляции адресов.
Включите опцию Счетчик срабатываний для подсчета количества срабатываний правил файрвола. После включения опции в таблице появится соответствующий столбец.
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F3316954891-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252F7lbCYdk5EWjSxQFh7JLG%252Fuploads%252Fgit-blob-1b8a8981702dc213181a94c1c7e8e664dbf8df02%252Fsnat.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=1b4fbd73&sv=1)
Last updated