Создание правила PBR

Максимальное число правил на устройстве – 1000. При использовании VSS для каждого экземпляра VSS применяется свое ограничение в 1000 правил. При достижении этого ограничения отображается предупреждение. Также на устройстве применяются ограничения, связанные с объемом памяти, выделенной на хранение правил фильтрации, расшифровки, NAT и PBR. Ограничение по памяти является общим для всех типов правил, а также для всех VSS на устройстве.
Вы можете просмотреть объем общей и используемой памяти с помощью командной строки, используя семейство команд memory-usage. Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.

Вы можете создать правило PBR в сетевом шаблоне или на устройстве Kaspersky NGFW. Правило PBR, созданное в сетевом шаблоне, автоматически создается на всех устройствах, которые используют этот шаблон. Правило PBR, созданное на устройстве, будет работать только на том устройстве, на котором вы его создали.

Чтобы создать правило PBR:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к созданию правила PBR одним из следующих способов:
   • Если вы хотите создать правило в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и выберите раздел Маршрутизация → PBR.
   • Если вы хотите создать правило на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и выберите раздел Маршрутизация → PBR.

   Откроется таблица всех правил PBR.

3. При создании правила на устройстве включите переключатель Переопределить, чтобы разблокировать для изменения параметры, унаследованные от сетевого шаблона.
4. В верхней части рабочей области нажмите на кнопку Создать.

   Новому правилу автоматически присваивается уникальный номер – UUID.

5. Перейдите в раздел Общее и выполните следующие действия:
   1. Если вы хотите применить правило сразу после добавления, оставьте переключатель Статус в положении Вкл. Чтобы правило не применялось, установите переключатель в положение Выкл. По умолчанию переключатель установлен в положение Вкл.
   2. В поле Название введите название нового правила.

      Название правила должно быть уникальным в списке правил. Максимальная длина – 128 символов.

   3. При необходимости в поле Описание введите произвольное описание правила.

      Максимальная длина – 1024 символа.

   4. Если вы хотите изменить приоритет создаваемого правила, в поле Приоритет задайте позицию правила в таблице.
   5. Выберите действие, которое будет применяться к трафику, соответствующему критериям этого правила:
      • Перенаправлять – перенаправлять трафик на указанный исходящий интерфейс или VRF.
      • Нет PBR – маршрутизация производится по VRF входящего интерфейса.
      • Blackhole – трафик отбрасывается.

      По умолчанию в новом правиле применяется действие Перенаправлять.

      

   6. Если вы выбрали действие Перенаправлять, в блоке параметров Способ перенаправления выберите, куда будет перенаправляться трафик: VRF или Интерфейс.
   7. Выполните одно из следующих действий:
      • Если на предыдущем шаге вы выбрали вариант VRF, в раскрывающемся списке выберите один из существующих VRF, куда будет перенаправляться трафик, или создайте новый.

        При выборе перенаправления трафика на указанный VRF для исходящего интерфейса используется явно заданный VRF, который может не совпадать с VRF входящего интерфейса. В этом случае узел next-hop определяется по выбранному VRF.

      • Если на предыдущем шаге вы выбрали вариант Интерфейс, в раскрывающемся списке выберите один из интерфейсов и укажите IP-адрес узла next-hop.
6. Если вы хотите настроить фильтрацию трафика по квалификатору источника для применения правила, перейдите в раздел Источник и выполните следующие действия:
   1. Настройте параметры квалификатора, выбрав вариант Выбранные.

      По умолчанию выбран вариант Все.

   2. Перейдите на вкладку типа источника, по которому вы хотите фильтровать трафик:
      • Интерфейсы. Вы можете добавить один или несколько интерфейсов источника и при необходимости изменить существующий интерфейс, а также создать новый.
        • Чтобы добавить в правило существующий интерфейс, установите переключатель рядом с необходимым интерфейсом в положение Да. Вы можете изменить существующий интерфейс, установив флажок рядом с ним и нажав на кнопку Изменить.
        • Чтобы добавить несколько существующих интерфейсов, установите флажки рядом с нужными интерфейсами и нажмите Использовать в правиле.
        • Чтобы создать новый интерфейс, нажмите Создать.

        Вы можете выбрать несколько интерфейсов, принадлежащих разным зонам.

        Подробнее о создании и изменении интерфейсов см. в разделе о сетевых интерфейсах.

      • Адреса. Максимальное число записей одного типа – 100. Вы можете добавить и при необходимости изменить существующий адрес или адресную группу, а также создать новый:
        • Чтобы добавить в правило существующий адрес или адресную группу, установите переключатель рядом с необходимым адресом в положение Вкл. Вы можете изменить существующий адрес, установив флажок рядом с ним и нажав на кнопку Изменить.
        • Чтобы добавить несколько существующих адресов или адресных групп, установите флажки рядом с нужными адресами или адресными группами и нажмите Использовать в правиле.
        • Чтобы создать новый адрес, нажмите Создать → Создать адрес. Выберите тип адреса: подсеть, диапазон IP-адресов, хост (IP-адрес), географическое местоположение (GeoIP) или полное доменное имя (FQDN) и введите необходимые IP-адреса. Затем нажмите Создать.
        • Чтобы создать новую адресную группу, нажмите Создать → Создать адресную группу. Установите флажки напротив необходимых объектов и нажмите Использовать в правиле. Затем нажмите Создать.

        Подробнее о создании и изменении адресов см. в разделе о работе с адресами адресными группами.

        Соответствующий адрес или адресная группа отобразится или изменится в списке адресов на вкладке Объекты в разделе Адреса.

      • Пользователи и группы. Вы можете настроить фильтрацию, выбрав в качестве источника пользователя или группу пользователей.

        Перед добавлением пользователей или групп пользователей в правило убедитесь, что служба идентификации пользователей развернута и настроено подключение устройства к ней.

        Для добавления пользователя или группы пользователей нажмите Добавить и в открывшемся окне для параметра Тип выберите Пользователь или Группа. Из раскрывающегося списка Имя выберите имя пользователя или группы пользователей.

        Синхронизация с Active Directory занимает некоторое время. Вы можете добавить пользователей или группы пользователей, не дожидаясь окончания синхронизации. Для этого выключите переключатель Проверить в AD и в поле Имя введите имя пользователя или группы и домен, точно как указано в Active Directory.

   В одно правило вы можете добавить до 100 записей каждого типа.

7. Если вы хотите настроить фильтрацию по квалификатору назначения, перейдите в раздел Назначение. Настройка параметров адресов в разделе аналогична разделу Источник.

   В одно правило вы можете добавить до 100 записей каждого типа.

8. Если вы хотите настроить фильтрацию по квалификатору сервисов, перейдите в раздел Сервисы и выполните следующие действия:
   1. Настройте параметры квалификатора, выбрав вариант Выбранные.

      По умолчанию выбран вариант Все.

   2. Добавьте из списка существующий сервис, создайте новый или измените существующий:
      • Чтобы добавить в правило существующий сервис, в строке с необходимым сервисом включите переключатель в столбце Используется в правиле. Вы можете изменить существующий сервис, нажав на его название.
      • Чтобы добавить несколько существующих сервисов, установите флажки рядом с нужными сервисами и нажмите Использовать в правиле.
      • Чтобы создать новый сервис, нажмите Создать. Введите название, описание, добавьте необходимый протокол, настройте обязательные параметры протокола и нажмите Создать.

      В одно правило вы можете добавить до 100 сервисов.

      Подробнее о создании и изменении сервисов см. в разделе Сервисы.

   Соответствующий сервис отобразится или изменится в списке сервисов на вкладке Сервисы.

9. Нажмите Сохранить, чтобы сохранить изменения.

Новое правило PBR будет добавлено в таблицу правил.

При настройке правила PBR допускается использование во всех квалификаторах значения Все.