Предотвращение обхода защиты Kaspersky Safe Web

Kaspersky Safe Web позволяет обнаруживать случаи, когда DNS поверх TLS (DoT), DNS поверх HTTPS (DoH) или общедоступные DNS-серверы могут использоваться для обхода защиты, настроенной в решении, и предотвращать такие случаи.

Чтобы предотвратить обход защиты Kaspersky Safe Web:

1. На устройстве с Kaspersky Safe Web перейдите в /etc/config/ksw:

   vi /etc/config/ksw

2. Настройте параметры следующим образом:

   config service_params 'obj_kfilter_dpi'

   option enabled 'true'

   option max_tracking_connections 'null'

   option queue_size 'null'

   option flow_idle_ttl_micros 'null'

   option doh_dot 'obj_kfilter_dpi_doh_dot'

   config service_params 'obj_kfilter_dpi_doh_dot'

   option enabled 'true'

   option use_sni 'false'

   option max_inspect_packets 'null'

   option mozilla_doh_canary_domain 'use-application-dns.net'

   list hosts 'obj_kfilter_dpi_doh_dot_hosts_<номер>'

   config service_params 'obj_kfilter_dpi_doh_dot_hosts_<номер>'

   option name '<имя>'

   list ips '<IP-адрес 1>'

   list ips '<IP-адрес 2>'

   Где:

   <номер> – номер хоста, который может использоваться с DoT или DoH для обхода параметров, настроенных в решении. Вы можете добавить несколько хостов с разными номерами.

   <имя> – имя хоста.

   <IP-адрес 1> и <IP-адрес 2> – IP-адреса хоста. Вы можете добавить любое количество адресов, каждый на отдельной строке.

3. Перейдите в /etc/config/frr:

   vi /etc/config/frr

4. Настройте параметры следующим образом:

   config service_params 'ksw_params'

   option client_as '<номер вашей системы>'

   option ksw_as '<номер системы решения>'

   option ksw_router_id '<ID роутера решения>'

   option client_router_id '<ID вашего роутера>'

   list network '<IP-адрес 1>'

   list network '<IP-адрес 2>'

   Где:

   <номер вашей системы> – номер вашей автономной системы.

   <номер системы решения> – номер автономной системы решения.

   <ID роутера решения> – идентификатор роутера Kaspersky Safe Web.

   <ID вашего роутера> – идентификатор вашего роутера.

   В большинстве случаев <ID роутера решения> и <ID вашего роутера> – IP-адреса роутеров.

   <IP-адрес 1> и <IP-адрес 2> – IP-адреса хостов, которые вы указали в /etc/config/ksw.

   В /etc/config/frr нужно перечислить IP-адреса всех хостов, указанных в in /etc/config/ksw.

Теперь защиту решения не получится обойти с помощью DoT, DoH или общедоступных DNS-серверов.