Фильтрация пакетов по флагам протоколов TCP и IP

Kaspersky NGFW фильтрует сетевые пакеты, передаваемые по протоколам TCP и IP, в зависимости от того, установлены или не установлены в пакетах определенные двоичные флаги (кодовые биты) по управлению сетевым соединением или размером фрагментов данных в заголовках. По результатам фильтрации и в зависимости от ее условий Kaspersky NGFW отбрасывает или разрешает передачу этих пакетов.

При обработке TCP-пакетов Kaspersky NGFW проверяет их на наличие или отсутствие установленного флага SYN, используемого для поиска сессии, к которой относятся пакеты. Kaspersky NGFW блокирует и отбрасывает TCP-пакеты, если в них не установлен флаг SYN и в Kaspersky NGFW отсутствует сессия, к которой относится этот пакет. Фильтрация пакетов по флагу SYN активна всегда, и вы не можете ее изменить.

При обработке IP-пакетов Kaspersky NGFW проверяет их на наличие или отсутствие следующих флагов:

• Флаг Do not fragment – проверяется только в исходящих пакетах, MTU которых больше, чем MTU на исходящем интерфейсе Kaspersky NGFW. Такие IP-пакеты обрабатываются следующим образом:
  • Если флаг Do not fragment не установлен (то есть фрагментация разрешена), Kaspersky NGFW фрагментирует этот пакет для отправки.
  • Если флаг Do not fragment установлен (то есть фрагментация запрещена), Kaspersky NGFW блокирует и отбрасывает такой пакет и отправляет ICMP-пакет типа 3 с кодом 4 о необходимости фрагментации.

  Вы не можете изменить фильтрацию IP-пакетов с флагом Do not fragment.

• Флаг фрагментации More fragments и поле Fragment offset.

  По умолчанию Kaspersky NGFW разрешает прохождение фрагментированных IP-пакетов, в которых установлен флаг More Fragments или поле Fragment Offset имеет ненулевое значение. Вы можете настроить фильтрацию таких пакетов на интерфейсах плоскости передачи данных Kaspersky NGFW следующим образом, используя семейство команд ip-reassembly:

  • Если функциональность включена, Kaspersky NGFW собирает и обрабатывает фрагментированные IP-пакеты.
  • Если функциональность выключена, Kaspersky NGFW отбрасывает фрагментированные IP-пакеты.

  Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.