Скопировано

16 октября 2026

ID 198000

Как создать сетевое пакетное правило

Сетевой экран фильтрует всю сетевую активность на защищаемых устройствах в соответствии с сетевыми пакетными правилами. Сетевые пакетные правила ограничивают сетевые пакеты или соединения независимо от приложения. Правила разрешают или запрещают сетевую активность по следующим условиям:

протокол и порт соединения;
направление трафика;
IP-адрес устройства, которое отправляет или принимает сетевой трафик.

Приоритеты сетевых пакетных правил

По умолчанию все исходящие пакеты и соединения разрешены. Правила по умолчанию выполняются с самым низким приоритетом: если не сработало никакое другое сетевое пакетное правило или другие сетевые пакетные правила не указаны, активность разрешается.

Сетевой экран применяет сетевые пакетные правила в соответствие с их приоритетом. Приоритет правил задается порядком их расположения в списке, сверху вниз. Сетевой экран фильтрует сетевое соединение по первому правилу в списке и либо разрешает, либо блокирует сетевую активность. Если правило не подходит, сетевой экран применяет следующее правило и так далее по списку. Затем компонент игнорирует все последующие сетевые пакетные правила для данного сетевого соединения.

Рекомендации по созданию сетевых пакетных правил

Для создания сетевых пакетных правил через командную строку вы можете воспользоваться ключами командной строки или конфигурационным файлом. Если вы хотите добавить несколько правил, добавьте их с помощью конфигурационного файла.

Добавление большого количества правил по одному с помощью ключей командной строки может временно увеличить нагрузку на центральный процессор.

Как создать сетевое пакетное правило в Web Console

В главном окне Web Console выберите Управление активами → Политики.
Нажмите на название политики Kaspersky Endpoint Security.
Откроется окно свойств политики.
Выберите вкладку Параметры приложения.
Перейдите в раздел Защита сетевых соединений и средств коммуникации → Сетевой экран.
Убедитесь, что переключатель работы компонента находится в положении Сетевой экран ВКЛЮЧЕН.
На вкладке Сетевые пакетные правила нажмите на кнопку Добавить.
Откроется форма нового сетевого правила (см. рис. ниже).
В поле Имя правила введите название правила.
Вы можете выбрать предустановленный шаблон правила по ссылке Выбрать шаблон правила. Шаблоны правила содержат настройки наиболее часто используемых сетевых соединений.

Все настройки сетевого правила, кроме приоритета и действия сетевого экрана над таким соединением, будут заполнены автоматически.
В поле Приоритет укажите приоритет правила. По умолчанию правило будет создано с высшим приоритетом.
В блоке Действие выберите, как сетевой экран будет обрабатывать сетевую активность при срабатывании правила: Разрешать или Блокировать.
В поле Направление выберите, к какой сетевой активности будет применяется правило:
- Входящее. Сетевой экран применяет сетевое правило ко всем входящим сетевым пакетам.
- Входящее (пакет). Сетевой экран применяет сетевое правило ко всем сетевым пакетам в рамках соединения, которое инициировал удаленный компьютер.
- Входящее / Исходящее. Сетевой экран применяет сетевое правило как к входящему, так и к исходящему сетевому пакету, независимо от того, компьютер пользователя или удаленный компьютер инициировал сетевое соединение.
- Исходящее (пакет). Сетевой экран применяет сетевое правило ко всем исходящим сетевым пакетам.
- Исходящее. Сетевой экран применяет сетевое правило ко всем сетевым пакетам в рамках соединения, которое инициировал компьютер пользователя.
- Входящее / Исходящее (пакеты). Сетевой экран применяет сетевое правило ко всем входящим и исходящим сетевым пакетам.
Установите флажок Записывать в отчет, если вы хотите, чтобы действие сетевого правила было отражено в отчете. В соответствии с действием правила приложение создаст событие Сетевая активность заблокирована или Сетевая активность разрешена.
На вкладке Настройки протокола выберите протокол передачи данных, для которого правило будет фильтровать сетевую активность
Перейдите на вкладку Удаленные сетевые адреса.
В поле Удаленный укажите сетевые адреса удаленных компьютеров, которые могут передавать / получать сетевые пакеты. Сетевой экран будет применять правило к указанным адресам.
В поле Локальный укажите сетевые адреса компьютеров с установленным приложением Kaspersky Endpoint Security, которые могут передавать / получать сетевые пакеты. Сетевой экран будет применять правило к указанным адресам.
Для применения политики на компьютерах закройте замки , сохраните внесенные изменения.

Сетевой экран

Как создать сетевое пакетной правило в командной строке

Убедитесь, что компонент Управление сетевым экраном включен:
kesl-control --get-task-state 12

Компонент должен иметь статус Запущена.
Если компонент выключен, выполните команду:
kesl-control --start-task 12
Добавьте новое сетевое пакетное правило:
kesl-control [-F] --add-rule [--name <rule name>] [--action <Allow|Block>] [--protocol <protocol>] [--direction <direction>] [--remote <remote address>:<port>] [--local <local address>:<port>] [--at <index>]

Если вы хотите добавить несколько правил, добавьте их с помощью конфигурационного файла:
1. Выведите параметры компонента в конфигурационный файл:
  kesl-control --get-settings 12 --file <path to file> [--json]
2. Откройте конфигурационный файл и добавьте сетевые пакетные правила секциями следующего вида:
  [PacketRules.item_#]
  
  Name=<rule name>
  
  FirewallAction=<Allow|Block>
  
  Protocol=<protocol>
  
  Direction=<direction>
  
  RemoteAddress=<remote address>
  
  LocalAddress=<local address>
  
  LogAttempts=<Yes|No>
3. Импортируйте настройки конфигурационного файла в приложение:
  kesl-control --set-settings 12 --file <path to file> [--json]
Для просмотра списка сетевых пакетных правил выполните команду:
kesl-control -F --query

Приложение покажет общий список сетевых пакетных правил в следующем формате: <IP protocol version> <table> <chain> <rule in the format of the iptables-save utility>.

Условные обозначения

Параметры команды

Параметр

Описание

--name <rule name>

Name

Название сетевого пакетного правила. По умолчанию Packet rule #<n>.

--action

FirewallAction

Действие, применяемое к соединениям, указанным в сетевом пакетном правиле:

Allow (по умолчанию) – разрешать соединения;
Block – запрещать соединения.

--protocol

Protocol

Тип протокола передачи данных, для которого вы хотите отслеживать сетевую активность:

Any (по умолчанию) – сетевой экран контролирует всю сетевую активность.
TCP
UDP
ICMP
ICMPv6
IGMP
GRE

--direction

Direction

Направление отслеживаемой сетевой активности:

IncomingOutgoing или InOut (по умолчанию). Сетевой экран применяет сетевое правило ко всем входящим и исходящим сетевым пакетам.
Incoming или In. Сетевой экран применяет сетевое правило ко всем сетевым пакетам в рамках соединения, которое инициировал удаленный компьютер.
Outgoing или Out. Сетевой экран применяет сетевое правило ко всем сетевым пакетам в рамках соединения, которое инициировал компьютер пользователя.
IncomingPacket или InPacket. Сетевой экран применяет сетевое правило ко всем входящим сетевым пакетам.
OutgoingPacket или OutPacket. Сетевой экран применяет сетевое правило ко всем исходящим сетевым пакетам.
IncomingOutgoingPacket или InOutPacket. Сетевой экран применяет сетевое правило как к входящему, так и к исходящему сетевому пакету, независимо от того, компьютер пользователя или удаленный компьютер инициировал сетевое соединение.

--remote <remote address[:<port>]>

RemoteAddress=<remote address>

Сетевой адрес удаленного устройства:

Any (по умолчанию) – контролируется отправка и / или получение сетевых пакетов удаленными устройствами с любым IP-адресом;
Trusted – заданная сетевая зона для доверенных сетей;
Local – заданная сетевая зона для локальных сетей;
Public – заданная сетевая зона для публичных сетей;
d.d.d.d – адрес версии IPv4, где d – десятичное число от 0 до 255;
d.d.d.d – d.d.d.d – диапазон адресов версии IPv4;
d.d.d.d/p – подсеть адресов версии IPv4, где p – число от 0 до 32;
x:x:x:x:x:x:x:x – адрес версии IPv6, где x – шестнадцатеричное число от 0 до ffff;
x:x:x:x:x:x:x:x – x:x:x:x:x:x:x:x – диапазон адресов версии IPv6;
x:x:x:x:x:x:x:x/p – подсеть адресов версии IPv6, где p – число от 0 до 128, можно использовать :: для сокращения.

Также вы можете указать удаленный порт:

Any (по умолчанию) – контролировать все удаленные порты;
0 – 65535.

--local <local address[:<port>]>

LocalAddress=<local address>

Сетевой адрес устройства с установленным приложением Kaspersky Endpoint Security:

Any (по умолчанию) – контролируется отправка и / или получение сетевых пакетов локальными устройствами с любым IP-адресом;
Trusted – заданная сетевая зона для доверенных сетей;
Local – заданная сетевая зона для локальных сетей;
Public – заданная сетевая зона для публичных сетей;
d.d.d.d – адрес версии IPv4, где d – десятичное число от 0 до 255;
d.d.d.d – d.d.d.d – диапазон адресов версии IPv4;
d.d.d.d/p – подсеть адресов версии IPv4, где p – число от 0 до 32;
x:x:x:x:x:x:x:x – адрес версии IPv6, где x – шестнадцатеричное число от 0 до ffff;
x:x:x:x:x:x:x:x – x:x:x:x:x:x:x:x – диапазон адресов версии IPv6;
x:x:x:x:x:x:x:x/p – подсеть адресов версии IPv6, где p – число от 0 до 128, можно использовать :: для сокращения.

Также вы можете указать локальный порт:

Any (по умолчанию) – контролировать все локальные порты;
0 – 65535.

--at <index>

Индекс правила в списке сетевых пакетных правил. Если ключ --at не указан или его значение больше количества правил в списке, новое правило добавляется в конец списка.

LogAttempts

Включение записи в отчет действия сетевого правила.

Yes – записывать действия в отчет.
No (значение по умолчанию) – не записывать действия в отчет.

Пример правила, блокирующего все входящие и создаваемые соединения по протоколу TCP через порт 23

kesl-control -F --add-rule --name Block_Telnet --action Block --direction in --protocol TCP --local any:23 --remote any

Пример правила, блокирующего входящие и создаваемые соединения по протоколу TCP через порт 23 для сетевой зоны Публичная

kesl-control -F --add-rule --name Block_Telnet --action Block --direction in --protocol TCP --local any:23 --remote Public

См. также:

Окно Добавление сетевого пакетного правила

Настройка списка сетевых пакетных правил

Управление сетевым экраном

Назад Управление сетевым экраном

Примеры использования сетевых пакетных правил Вперед

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!