Одним из основных средств управления трафиком на сервере является файрвол (межсетевой экран). С его помощью можно по различным критериям ограничивать пользовательский трафик, проходящий:
из локальных сетей во внешние через сервер;
между разными локальными сетями сервера;
на сам сервер Ideco UTM.
Принцип работы файрвола заключается в проведении анализа заголовков пакетов, проходящих через интерфейсы сервера. Эта низкоуровневая задача решается шлюзом на основе стека протоколов TCP/IP. Поэтому файрвол хорошо подходит для определения глобальных правил управления трафиком по сетевым протоколам, портам, принадлежности к определенным IP-сетям и другим критериям, основанным на значениях полей в заголовках сетевых пакетов.
Сетевой экран не предназначен для решения задач, связанных с контролем доступа к ресурсам сети Интернет, исходя из адреса URL, доменного имени или типа контента на веб-сайтах. Эти задачи более высокого уровня, как правило, касающиеся веб-трафика, решаются с помощью модуля Контент фильтр.
Настройка файрвола производится в разделе веб-интерфейса Правила трафика -> Файрвол.
Для обеспечения защиты в UTM есть преднастроенные и автоматически включаемые системные правила.
Используйте пользовательские правила для фильтрации трафика локальной сети и публикации ресурсов.
В Ideco UTM включены connection tracking helpers для протоколов: ftp, sip, netbios-ns, pptp, h323. Для иных протоколов, использующих несколько портов при установлении соединения, работа через NAT не гарантируется.
При отключении пользовательского файрвола в веб-интерфейсе системные правила продолжают работу.
В случае создания некорректных правил (например, запрет доступа в веб-интерфейс Ideco UTM), вы можете отключить пользовательский файрвол из локального меню сервера. Для этого выберите пункт Отключить пользовательский файрвол, введя цифру 8 и нажмите Enter.
Автоматический SNAT локальных сетей
NAT (от англ. Network Address Translation — «преобразование сетевых адресов») — это механизм в сетях TCP/IP, позволяющий преобразовывать IP-адреса транзитных пакетов. Читать подробнее.
Параметр Автоматический SNAT локальных сетей включает в файрволе автоматическое преобразование адреса для трафика уходящего во внешний интерфейс, если источник равен 10.0.0.0/8, 172.16.0.0/12 192.168.0.0/16 и адресов, которые прописаны во вкладке SNAT, если выбрано Действие SNAT. Таким образом вам не нужно создавать такие правила вручную и изменять их при добавлении или изменении локальных сетей.
Вы можете создать правила SNAT вручную для тех, кому он необходим и отключить (правилом «не SNAT») для тех, кого необходимо допустить в сеть без сетевой трансляции адресов.
Таблицы файрвола
Правила в таблицах имеют приоритет сверху вниз (т.е. верхнее правило приоритетнее нижнего).
Перед созданием правил для сетей, IP-адресов или диапазонов IP-адресов, предварительно создайте их в разделе Объекты.
Для удобства управления правилами в интерфейсе они разбиты на четыре таблицы:
FORWARD - правила в данной таблице действуют на трафик, проходящий между интерфейсами сервера, т.е. сетью Интернет и локальной сетью, а также между локальными сетями. Это основная таблица, в которую могут быть добавлены правила, ограничивающие трафик пользователей.
DNAT (перенаправление портов) - правила этой таблицы используются для прямого перенаправления портов с внешнего интерфейса на определенные ресурсы в локальной сети. Такие правила часто называются правилами проброса портов (port forwarding, portmapper).
INPUT - таблица для правил входящего трафика на интерфейсы сервера. Как правило, это трафик для служб сервера (например, почтового сервера).
SNAT - таблица правил для управления трансляцией сетевых адресов.
Настоятельно не рекомендуем создавать FORWARD и INPUT правила, которые запрещают весь трафик.
Протоколы
При создании правила необходимо выбрать протокол передачи данных, на который будет действовать создаваемое вами правило. Если вы выбираете из списка параметр Любой, то правило будет действовать на весь трафик.
Описание протоколов
UDP - Является одним из самых простых протоколов транспортного уровня модели OSI. Не гарантирует доставку пакета. Это позволяет ему гораздо быстрее и эффективнее доставлять данные для приложений, которым требуется большая пропускная способность линий связи или требуется малое время доставки данных;
TCP - Выполняет функции протокола транспортного уровня модели OSI. В отличие от UDP, TCP гарантирует доставку пакета;
ICMP - В основном используется для передачи сообщений об ошибках и других исключительных ситуациях, возникших при передаче данных;
GRE - Назначение протокола – инкапсуляция пакетов сетевого уровня модели OSI в IP-пакеты. Номер протокола в IP – 47. В основном используется при создании VPN (Virtual Private Network);
AH - Протокол защиты передаваемых данных в IPsec. Обеспечивает идентификацию, проверку целостности и защиту от воспроизведения информации;
ESP - Протокол защиты передаваемых данных в IPsec. Обеспечивает идентификацию, проверку целостности и защиту от воспроизведения информации. Отличие протокола ESP от AH состоит в том, что ESP выполняет шифрование данных. При работе с ESP для шифрования и расшифровки данных обе конечные системы применяют общий ключ.
Создание правил
Для того чтобы создать правила в нужной таблице, нажмите кнопку Добавить в левом верхнем углу экрана.
При создании правил для фильтрации веб-трафика из локальных сетей (80, 443 TCP порты), для полноценной работы правила, в поле Входящий интерфейс должен указываться объект Любой. Если будет указан иной входящий интерфейс, то правило не будет обрабатывать веб-трафик.
Параметры правил
По-умолчанию используется политика РАЗРЕШИТЬ. Если вы не создадите запрещающих правил, все порты и протоколы для пользователей будут разрешены.
Параметры
Протокол - Протокол передачи данных (UDP/TCP/ICMP/GRE/ESP/AH либо Любой);
Источник - IP-адрес источника трафика (src), проходящего через шлюз. В этом поле могут быть указаны IP-адреса, диапазоны IP-адресов, сети или домены - данные берутся из Объектов, заданных пользователем. Также в качестве источника могут использоваться пользователи и группы (при смене их IP-адресов, файрвол автоматически это учтет);
Порт назначения - Указывается при создании правила с протоколами TCP/UDP. Это может быть отдельный порт, список портов или диапазон портов, определенных в Объектах;
Входящий интерфейс - Интерфейс UTM, в который будет входить трафик;
Исходящий интерфейс - Интерфейс UTM, через который будет выходить трафик;
Время действия - Время действия правила. Указываются временные промежутки (например, рабочее время), которые определяются в Объектах;
Комментарий - Произвольный текст, поясняющий цель действия правила. Значение не должно быть длиннее 255 символов;
Действие - Pазрешает или запрещает трафик.
Действия
Запретить - Запрещает трафик;
Разрешить - Разрешает трафик;
DNAT - Транслирует адреса назначения, тем самым позволяет перенаправить входящий трафик. Ниже в поле Изменить IP-адрес назначения вы можете указать один IP-адрес или диапазон (при указании диапазона IP-адресов пакет будет перенаправлен на любой из них). Аналогично, если при создании правила вы указали протоколы TCP или UDP, то появится поле Сменить порт назначения. С помощью этой возможности можно прозрачно переадресовать входящий трафик на другой адрес или порт;
SNAT - Транслирует адреса источника;
Не производить SNAT - Отменяет действие SNAT для трафика, удовлетворяющего критериям правила;
Не производить DNAT - Отменяет действие DNAT для трафика, удовлетворяющего критериям правила.
Примеры правил и техник
Портмаппинг, DNAT, публикация сервера в локальной сети
Примеры данных настроек подробно описаны в соответствующих статьях в разделе Публикация ресурсов.
Блокировка различных ресурсов средствами файрвола
Вопросы блокировки различных ресурсов: программ удаленного управления (AmmyAdmin и TeamViewer), мессенджеров и другого ПО описаны в разделе Блокировка популярных ресурсов.
Массовая блокировка IP-адресов и сетей
1. Нужно сформировать список для блокировки в текстовом файле:
Наименование файла обязательно должно быть manual_blocklist.txt.
В одной строке следует указывать только один IP-адрес или одну сеть.
Формат написания IP-адреса: 1.2.3.4
Формат написания сети: 1.2.3.0/24
2. Переместить файл manual_blocklist.txt в каталог /var/opt/ideco/firewall-backend/
3. В терминале Ideco UTM выполнить команду ideco-apply-manual-blocklist
После перезагрузки Ideco UTM IP-адреса и сети из файла будут автоматически блокироваться (дополнительно выполнять команду ideco-apply-manual-blocklist не нужно). При обновлении Ideco UTM, список блокировок сохранится.
Если требуется добавление адресов в список заблокированных, следует добавить адреса в файл /var/opt/ideco/firewall-backend/manual_blocklist.txt и повторно выполнить команду ideco-apply-manual-blocklist.
Для удаления адресов из списка заблокированных, следует удалить необходимые адреса из файла /var/opt/ideco/firewall-backend/manual_blocklist.txt и выполнить команду ideco-apply-manual-blocklist
Доступ к терминальному серверу для определенного пользователя
1. Во вкладке Forward нажмите Добавить;
2. Заполните следующие поля:
Протокол - выберите TCP
Источник - выберите пользователя или группу пользователей
Назначения - укажите адрес терминального сервера
Порты назначения - укажите порт 3389
Действие - Разрешить
3. Нажмите Сохранить.
Укажите необходимые параметры и действия правила и нажмите кнопку Сохранить. Правило будет добавлено в конец списка. Если необходимо, измените его приоритет кнопками .
