Особенности работы Kaspersky Next Generation Firewall Security Rule Converter

Ограничения

При работе утилиты существуют следующие ограничения:

• В Kaspersky NGFW поддерживается не более следующего количества объектов в одной политике:
  • 4096 сетевых объектов;
  • 4096 объектов FQDN;
  • 1000 зон;
  • 20 000 правил фильтрации трафика;
  • 100 правил трансляции сетевых адресов (NAT).

  При конвертации большего количества объектов утилита отобразит на экране соответствующее предупреждение и запишет его в журнал работы. Импорт полученной политики завершится ошибкой с отображением аналогичного предупреждения на экране и записью его в журнал работы. Рекомендуется конвертировать не более 19 999 правил фильтрации трафика, так как утилита автоматически добавляет правило запрета по умолчанию перед записью политик на Сервер администрирования Open Single Management Platform.

• В Kaspersky NGFW рекомендуется не более 4096 сервисов в одной политике. Вы можете конвертировать большее количество сервисов, но в этом случае может возникнуть ошибка при импорте полученной политики.

Входные форматы

Утилита поддерживает следующие входные форматы файлов с политиками сторонних производителей:

• Check Point: политики должны быть размещены в виде нескольких файлов, лежащих в одной папке:
  • правила фильтрации трафика – Network-Management server.json;
  • правила трансляции сетевых адресов (NAT) – Standard NAT-Management server.json;
  • остальные объекты – Standard_objects.json.
• Fortinet: политики должны быть размещены в виде файла формата CONF.
• Palo Alto: политики должны быть размещены в виде файла формата XML.

Конвертируемые объекты

Утилита конвертирует только объекты, для которых есть прямой аналог в Kaspersky NGFW:

• Сетевые сервисы, имеющие тип: service-tcp, service-udp или service-icmp. При этом имеются следующие особенности:
  • Если сервис не указан ни в одном правиле в поле service, то такой сервис будет проигнорирован.
  • Если сервис имеет тип, отличный от вышеперечисленных, то такой сервис будет проигнорирован.
• Сетевые объекты, имеющие тип CpmiAnyObject, address-range, host, network или group. При этом имеются следующие особенности:
  • Объект типа CpmiAnyObject учитывается при конвертации правил при указании его в поле source или destination, тогда соответствующее поле правила Kaspersky NGFW остается пустым.
  • Объект типа address-range преобразуется в IP-адрес, если первый и последний IP-адрес диапазона равны. В противном случае будет создан диапазон IP-адресов.
  • Объект типа group может содержать в себе объекты типа group, в этом случае все вложенные группы разворачиваются и формируется одноуровневая группа объектов. Если в процессе конвертации группы утилита обнаружит неподдерживаемый объект, то такая группа будет проигнорирована. Итоговое количество объектов в группе (хосты, диапазоны, подсети) не должно превышать 16, в противном случае доставка такого объекта на Сервер администрирования будет невозможна.
  • Если объект не указан ни в одном правиле в поле source или destination, то такой объект будет проигнорирован.
  • Если объект имеет тип, отличный от вышеперечисленных, то такой объект будет проигнорирован.
• Правила сетевого экрана, в которых в полях source и/или destination указаны сетевые объекты вышеуказанных типов, а в поле service указаны сетевые сервисы вышеуказанных типов.