Управление межсетевым экраном
Существует два основных подхода к фильтрации трафика:
- клаcсический фильтр сетевого трафика
- межсетевой экран, ориентированный на зоны
Модель фильтра сетевого трафика предлагает низкий уровень абстракции: правила определяют поведение каждого отдельного пакета. В синтаксисе пакетного фильтра, такого как iptables, правила привязываются к цепочкам, которые формируются в таблицы. Каждый пакет проходит через несколько таблиц, а в каждой таблице – через одну из стандартных цепочек. Принадлежность правил таблицам (filter, nat, mangle, raw и т.д.) осуществляется обычно по типу выполняемых действий. Правила часто привязываются к конкретным интерфейсам (входящим и исходящим). Чтобы охватить несколько дополнительных интерфейсов, правила необходимо копировать и модифицировать.
Модель межсетевого экрана, ориентированного на зоны, предлагает высокий уровень абстракции: зоны являются контейнерами для интерфейсов, а политика (набор правил) определяет взаимодействие между зонами.
Зоны (Zone) – логические группы интерфейсов, которые считаются однотипными с точки зрения политики безопасности.
Политика (набор правил) определяется между зонами. Правила пишутся один раз для пары зон (Zone A ↔ Zone B) и автоматически применяются ко всем интерфейсам, принадлежащим этим зонам. Трафик классифицируется по протоколу, адресу и сопоставляется с политикой между двумя зонами.
Таким образом, концепция межсетевого экрана, ориентированного на зоны, совпадает с таблицами и цепочками пакетного фильтра типа iptables лишь на уровне низкоуровневой обработки пакетов. К пакетному фильтру она добавляет логическую группировку и централизованную политику, что делает администрирование более масштабируемым, менее подверженным ошибкам и упрощает повторное использование.
В Kaspersky SD-WAN реализованы оба описанных выше подхода к фильтрации пакетов трафика на устройствах CPE.
Межсетевой экран может принимать (англ. accept), отбрасывать (англ. drop) и отклонять (англ. reject) пакеты трафика. При отклонении пакета трафика его отправитель получает сообщение icmp-reject. Каждое из действий межсетевой экран может применять ко входящим и исходящим пакетам трафика, а также к пакетам трафика, пересылаемыми между сетевыми интерфейсами и подсетями устройств CPE. При настройке основных параметров межсетевого экрана требуется указать действия по умолчанию, которые межсетевой экран выполняет с пакетами трафика.
Для централизованной настройки межсетевого экрана устройств CPE используются шаблоны межсетевого экрана. Вы можете указать необходимые параметры фильтрации в шаблоне межсетевого экрана, после чего указать этот шаблон межсетевого экрана при добавлении или ручной регистрации устройств CPE, чтобы не настраивать параметры на каждом отдельном устройстве CPE. Если вы измените параметр в шаблоне межсетевого экрана, параметр автоматически изменится на всех устройствах CPE, которые используют шаблон межсетевого экрана. Если вы измените параметр на устройстве CPE, параметр перестанет зависеть от шаблона межсетевого экрана и при изменении в шаблоне межсетевого экрана не будет изменяться на устройстве CPE.
Зоны межсетевого экрана
Вы можете добавить сетевые интерфейсы и подсети в зону межсетевого экрана (англ. firewall zone, далее также зона), чтобы принимать, отбрасывать или отклонять пакеты трафика, передающиеся через сетевые интерфейсы и подсети. Когда вы создаете или изменяете зону межсетевого экрана, вам нужно указать действия, которые выполняются с паами трафика, а также при необходимости добавить подсети. Вы можете добавить сетевые интерфейсы в зону межсетевого экрана при создании или изменении сетевых интерфейсов.
Если вы хотите разрешить передачу пакетов трафика из одной зоны межсетевого экрана в другую, вам нужно создать передачу (англ. forwarding). При создании передачи требуется указать исходящую и входящую зоны межсетевого экрана.
Поддерживается создание общих зон межсетевого экрана, которые могут использовать несколько устройств CPE, а также зон межсетевого экрана на отдельном устройстве CPE.
Стандартные правила межсетевого экрана (межсетевой экран, ориентированный на зоны)
Вы можете создавать стандартные правила межсетевого экрана, чтобы принимать, отбрасывать или отклонять пакеты трафика на основании указанных критериев. Например, вы можете создать правило межсетевого экрана, которое отклоняет пакеты трафика с указанной зоной межсетевого экрана источника.
Если вы хотите указать в параметрах нескольких правил межсетевого экрана одинаковые IP-адреса или подсети, вы можете создать набор IP (англ. IP set). При создании набора IP требуется указать, относятся ли IP-адреса или подсети к источнику или назначению. Вы можете указать созданный набор IP при создании или изменении правила межсетевого экрана.
Когда пакет трафика передается на устройство CPE, с пакетом трафика выполняется действие, указанное в параметрах одного из правил межсетевого экрана. Если ни одно из правил межсетевого экрана не может быть применено, с пакетом трафика выполняется действие, указанное в параметрах зоны межсетевого экрана, в которую пакет трафика был передан. Если пакет трафика не был передан ни в одну из зон межсетевого экрана, с пакетом трафика выполняется действие по умолчанию, которое вы указали при настройке основных параметров межсетевого экрана.
Расширенные правила межсетевого экрана (классический пакетный фильтр)
Расширенные правила межсетевого экрана предоставляют возможность более гибкой и гранулярной обработки пакетов по сравнению со стандартными правилами за счет использования дополнительных критериев соответствия и действий с пакетами. Вы можете использовать расширенные правила межсетевого экрана в ситуациях, когда использования стандартных правил недостаточно, например, когда требуется сопоставлять пакеты по дополнительным критериям или выполнить нестандартное целевое действие с пакетом. Так, если на CPE вы настроили несколько правил межсетевого экрана по зонам и интерфейсам, но вам нужно скрыть структуру сети, в которой находится CPE, вы можете создать дополнительное расширенное правило, которое будет отбрасывать пакеты с кодами ICMP, которые могут использоваться для изучения топологии сети, и поместить это расширенное правило на ранней стадии обработки трафика.
В соответствии с моделью классического пакетного фильтра, расширенные правила межсетевого экрана можно объединять в две группы. Первая позволяет добавлять новые правила перед существующими правилами (такие расширенные правила называются предправилами, англ. pre-rules) или во второй группе после существующих правил (такие расширенные правила называются постправилами, англ. post-rules). Порядок размещения правил определяет порядок обработки трафика. Наличие двух групп обработки правил в каждой цепочке каждой таблицы позволяет гибко менять логику обработки трафика отдельной группы правил, не нарушая логику и порядок обработки трафика в уже настроенной группе правил.
Правила межсетевого экрана, ориентированного на зоны, реализуются в классическом пакетном фильтре с помощью пользовательских (custom) цепочек. Поэтому стандартные правила, созданные на основе ориентированного на зоны подхода и расширенные правила, созданные в синтаксисе классического пакетного фильтра, не пересекаются и не взаимодействуют друг с другом.
Трансляция сетевых адресов
Межсетевой экран, ориентированный на зоны, поддерживает следующие механизмы трансляции сетевых адресов (англ. network address translation, NAT):
- DNAT-правила – могут заменять следующие компоненты пакетов трафика указанными значениями:
- IP-адреса или префиксы назначения;
- зоны межсетевого экрана назначения;
- порты назначения (Port Address Translation, PAT).
- SNAT-правила – могут заменять IP-адреса или префиксы источника пакетов трафика указанными значениями.
DNAT-правила и SNAT-правила применяются к пакетам трафика на основании указанных критериев. Например, вы можете создать DNAT-правило, которое заменяет IP-адрес назначения пакетов трафика протокола TCP.
Трансляция сетевых адресов в синтаксисе классического пакетного фильтра описывается с помощью соответствующих действий в таблице mangle в расширенных правилах.
