Контент-фильтр
Контентная фильтрация реализована на основе данных о веб-трафике, получаемых от модуля проксирования веб-трафика. Позволяет блокировать доступ к различным интернет-ресурсам.
Last updated
Контентная фильтрация реализована на основе данных о веб-трафике, получаемых от модуля проксирования веб-трафика. Позволяет блокировать доступ к различным интернет-ресурсам.
Last updated
Название службы раздела Контент-фильтра: ideco-content-filter-backend.service.
Список имен служб для других разделов доступен по ссылке.
Для записи логов поставьте флаг строке Включить журналирование в разделе Сервисы -> Прокси -> Основное.
Контент-фильтр проверяет наличие сайта, который хочет открыть пользователь, в списках ресурсов Ideco NGFW. Если адрес находится в этих списках, то применяются настроенные правила фильтрации.
HTTPS-сайты без расшифровки трафика фильтруются только по домену (а не по полному URL), правила категории Файлы на них также применить невозможно. Для полной фильтрации HTTPS создайте правила расшифровки HTTPS-трафика нужных категорий.
Для фильтрации по IP-адресам используйте Файрвол.
Фильтрация по IP-адресам в Контент-фильтре будет работать:
Для HTTP-запросов к IP-адресам напрямую;
Для расшифрованных HTTPS-запросов к IP-адресам;
Для HTTPS-запросов к ресурсам, сертификат которых содержит IP-адрес в поле Common Name сертификата.
Файрвол анализирует пакет на сетевом уровне (L3), а Контент-фильтр - на прикладном уровне (L7). Информация об IP-адресах на прикладном уровне (L7) неточная, поэтому для блокировки IP-адресов нужно использовать Файрвол.
Контент-фильтр состоит из трех вкладок: Правила, Ппользовательские категории и Настройки.
С помощью кнопки Фильтры можно отфильтровать значения на вкладках Правила и Пользовательские категории.
Вкладка содержит:
Строку поиска категории URL для категоризации. Позволяет по URL найти категорию, в которой этот URL состоит, для дальнейшего создания правила;
Таблицу созданных правил. Правила в таблице действуют сверху вниз. То есть, если вверху расположено правило, разрешающее контент, а внизу - запрещающее этот контент, то будет работать только верхнее правило. Для перемещения правил используйте стрелки и ;
Возможность добавления правил в Контент-фильтр. При добавлении правила требуется заполнить название правила, указать, для кого оно будет применено, выбрать категорию сайтов и указать время действия правила. Далее указать, какое действие будет выполняться. Если выбрать действие Перенаправить на, то нужно создать аналогичное правило с действием Расшифровать и поместить его выше перенаправляющего правила:
Категории сайтов делятся на четыре вида:
1. Пользовательские. Включают категории, созданные на вкладке Пользовательские категории;
2. Специальные. Включает 4 категории: все запросы, все категоризированные запросы, все некатегоризированные запросы и запросы с прямыми обращениями по IP-адресам;
3. Расширенные. Правила, включающие расширенные категории, работают только с включенной опцией Расширенная база категорий на вкладке Настройки;
4. Файлы. Восемь сформированных категорий файлов, блокируемых по расширениям и MIME-type. Предустановленные группы файлов (Исполняемые файлы, Архивы, Видеофайлы, Аудиофайлы, Flash-видео, Active-X, Torrent-файлы, Документы) нельзя редактировать. Работа по фильтрации HTTPS-трафика по этому типу категорий возможна только при его расшифровке.
На одноименной вкладке создаются собственные категории правил.
Подробное описание расширенных и специальных категорий читайте в статье Описание категорий контент фильтра.
При создании пользовательской категории потребуется ввести URL (одно или несколько значений через пробел). Используйте следующие маски:
test.ru;
www.test.ru;
http://www.test.ru/ или https://www.test.ru/;
https://www.test.ru:8080 ;
https://xn--41a.xn-p1acf/ - punycode;
*.test.ru - для всех доменов третьего и выше уровней. Важно: такая маска не включает домен второго уровня test.ru, чтобы его включить достаточно указать домен test.ru (все его поддомены также попадут под это правило);
1.1.1.1 - любой IP-адрес.
Пример создания пользовательской категории:
Название - название пользовательской категории, которое будет использоваться при настройке правила Контент-фильтра;
Введите URL - адрес сайта/страницы или доменное имя;
Поиск - поле поиска добавленных URL;
Комментарий - можно заполнить или оставить пустым.
При создании пользовательских категорий обратите внимание на алгоритм работы Контент-фильтра.
Если создать пользовательскую категорию с доменом domain.ru, которая используется в правиле Контент-фильтра, то это правило будет корректно работать для domain.ru, www.domain.ru и *.domain.ru.
Однако если создать еще одну пользовательскую категорию с таким же доменом (например, www.domain.ru или *.domain.ru), то правило с пользовательской категорией domain.ru перестанет работать для доменов www.domain.ru и *.domain.ru, даже если эта созданная категория не используется ни в одном правиле.
Если URL или домен содержит специальные символы (。или •), оставьте их в исходном виде. Адрес будут автоматически закодирован в формат punycode.
Если включить опцию Расширенная база категорий, то будет включена работа более 140 категорий, автоматически обновляемых сервером. Эти категории работают только при активной подписке на обновления в коммерческих редакциях.
Если отключить опцию Расширенная база категорий, то все правила, включающие в себя расширенные категории, перестанут срабатывать.
На вкладке Настройки можно настроить дополнительные параметры фильтрации:
Блокировать протоколы QUIC и HTTP/3. Протокол, используемый современными браузерами для доступа к некоторым ресурсам (например, Google, YouTube). Рекомендуется блокировать его, т. к. иначе фильтрация ресурсов, работающих по этому протоколу, будет невозможна;
Безопасный поиск. Принудительно включает безопасный поиск в поисковых системах (Google, Yandex, YouTube, Yahoo, Bing, Rambler). Для работы этой функции нужно включить HTTPS-фильтрацию методом подмены сертификата для данных ресурсов.
Если для повторного шифрования требуется использовать сертификат, отличный от корневого в NGFW, загрузите нужный сертификат в разделе Сервисы -> Сертификаты -> Загруженные сертификаты и выберите его для повторного шифрования:
Процесс блокировки ресурсов, взаимодействующих с чат-ботами, описан в статье.
