Файрвол

Средство управления трафиком на сервере (межсетевой экран). Помогает ограничивать пользовательский трафик.

Название службы раздела Файрвол: ideco-firewall-backend. Список имен служб для других разделов доступен по ссылке.

Принцип работы Файрвола – анализ заголовков IP-пакетов и TCP-сегментов, проходящих через интерфейсы сервера, и дальнейшая фильтрация трафика на основании параметров заголовков (IP-адреса, TCP/UDP-порты и флаги).

С помощью Файрвола можно создать наборы правил, которые будут разграничивать трафик между различными сетями: локальными, VPN и публичными (интернет). На клиентских устройствах в сетевых параметрах рекомендуется указывать в роли шлюза IP-адрес Ideco NGFW для оптимальной работы политик безопасности (модулей Контроль приложений и Предотвращение вторжений).

Файрвол Ideco NGFW использует для фильтрации трафика как отдельные интерфейсы, так и зоны - логические объединения сетевых интерфейсов.

Преимущества такого подхода:

• Можно гибко управлять правилами при большом количестве интерфейсов;

• При добавлении/удалении интерфейсов нет необходимости копировать/удалять большое количество правил, достаточно изменить состав нужной зоны;

• Можно выбрать удобные названия для зон (например, Разработчики, Гости), что сделает правила Файрвола более читаемыми.

Настройка производится в разделе веб-интерфейса Правила трафика -> Файрвол. На вкладках раздела добавляются правила управления трафиком, которые отображаются в таблицах Файрвола. При наличии большого количества правил в таблицах Файрвола воспользуйтесь кнопкой Фильтры.

Для обеспечения защиты в NGFW есть преднастроенные и автоматически включаемые системные правила. Используйте пользовательские правила для фильтрации трафика локальной сети и публикации ресурсов.

Сетевой экран не предназначен для решения связанных с контролем доступа к ресурсам задач исходя из:

• адреса URL;

• доменного имени;

• типа контента на веб-сайтах.

Эти задачи, обычно касающиеся веб-трафика, решаются с помощью Контент-фильтра.

Включение режима удаленного помощника изменяет таблицу правил Файрвола. При этом становится доступно подключение по SSH из локальных и внешних сетей.

В Ideco NGFW включены connection tracking helpers для протоколов: ftp, sip, netbios-ns, pptp, h323. Для иных протоколов, использующих несколько портов при установлении соединения, работа через NAT не гарантируется.

При отключении пользовательского файрвола в веб-интерфейсе системные правила продолжают работу.

При использовании зон в Файрволе следует учесть, что одна зона не может содержать более 64 интерфейсов. Под интерфейсом понимается сетевой интерфейс, настроенный в разделе Сервисы -> Сетевые интерфейсы, а также IPsec- и VPN-подключения.

В случае создания некорректных правил (например, запрет доступа в веб-интерфейс Ideco NGFW), отключите пользовательский файрвол из локального меню сервера. Для этого выберите пункт Отключить пользовательский файрвол (введя цифру 8) и нажмите Enter.

Счетчик срабатываний

Включите опцию Счетчик срабатываний для подсчета количества срабатываний правил Файрвола. После включения опции в таблице появится соответствующий столбец: