Создание расширенного правила

Вы можете создавать расширенные правила в шаблонах межсетевого экрана или на устройствах CPE. Расширенные правила, созданные в шаблоне межсетевого экрана, автоматически создаются на всех устройствах CPE, которые используют этот шаблон.

Чтобы создать расширенное правило:

1. Перейдите к созданию расширенного правила одним из следующих способов:
   • Чтобы создать расширенное правило в шаблоне межсетевого экрана, в меню перейдите в раздел SD-WAN → Шаблоны межсетевого экрана, нажмите на шаблон межсетевого экрана и выберите вкладку Расширенные правила.
   • Если вы хотите создать правило межсетевого экрана на устройстве CPE, в меню перейдите в раздел SD-WAN → CPE, нажмите на устройство CPE, выберите вкладку Межсетевой экран → Расширенные правила и включите переключатель Переопределить.

   Отобразится таблица расширенных правил межсетевого экрана.

2. Нажмите на кнопку + Добавить.

   Откроется окно создания расширенного правила.

3. Настройте основные параметры в разделе Общие.
   1. Введите имя расширенного правила в поле Имя. Максимальная длина имени – 255 символов. Допустимые символы: A-Z, a-z, 0-9, _ - . , : ; / + = @ ( ) ! ? и пробел.
   2. При необходимости введите описание расширенного правила в поле Описание.
   3. При необходимости укажите один или несколько тегов политик, выбрав их в раскрывающемся списке Теги политик. Помеченное тегом правило по умолчанию становится неактивным. Вы можете активировать его позже.

      С помощью тегов политик вы можете одновременно включать или выключать набор правил, решающих определенную задачу. Также вы можете интегрировать внешнюю систему защиты информации и включать или выключать теги политик через API.

   4. Укажите таблицу межсетевого экрана, в которую вы хотите добавить расширенное правило, выбрав ее в выпадающем списке Таблица. Доступны следующие таблицы:
      • FILTER
      • MANGLE
      • NAT
      • RAW
   5. Для выбранной таблицы укажите цепочку, в которую вы хотите добавить расширенное правило, выбрав ее в выпадающем списке Цепочка. Набор доступных цепочек зависит от выбранной на предыдущем шаге таблицы:
      • FILTER
        • INPUT
        • FORWARD
        • OUTPUT
      • MANGLE
        • INPUT
        • FORWARD
        • OUTPUT
        • PREROUTING
        • POSTROUTING
      • NAT
        • PREROUTING
        • POSTROUTING
        • INPUT
        • OUTPUT
      • RAW
        • OUTPUT
        • PREROUTING
   6. При необходимости укажите протокол, для которого должно применяться расширенное правило, выбрав нужное значение в выпадающем списке Протокол:
      • TCP
      • UDP
      • ICMP
      • Все (правило применяется ко всем перечисленным выше протоколам)

      Если в качестве протокола вы выбрали ICMP, укажите тип и код ICMP-пакета, на которых должно срабатывать правило. Для этого в полях Тип и Код введите значение от 0 до 255.

   7. При необходимости настройте сопоставление по DPI:
      1. Включите переключатель DPI.
      2. Укажите прикладной протокол или идентификатор сервиса/приложения, на котором должно срабатывать правило, выбрав нужное значение из списка Конкретный протокол.
      3. При необходимости настройте сопоставление по командам протоколов прикладного уровня, если в качестве критерия сопоставления по DPI вы выбрали один из следующих протоколов: HTTP, SMTP, SIP, IMAP, POP3, FTP control.

      Вы не можете использовать сопоставление по DPI одновременно с сопоставлением по параметру Протокол из предыдущего шага. При использовании сопоставления по DPI параметр Протокол блокируется, а указанные для него значения игнорируются.

   8. Настройте порядок добавления расширенного правила в список расширенных правил с помощью блока параметров Размещение правила:
      1. Укажите тип размещения расширенного правила:
         • Предправила (англ. pre-rules) вставляются перед другими;
         • Постправила (англ. post-rules) добавляются после других правил или в конец таблицы.
      2. Укажите расположение расширенного правила в таблице:
         • Начало таблицы
         • Конец таблицы
         • После указанного расширенного правила
   9. При необходимости в соответствующих полях укажите IP-адрес источника и IP-адрес назначения, на которых должно срабатывать правило.

      Если необходимо, чтобы правило срабатывало на всех IP-адресах источника или назначения, кроме указанных, установите для соответствующего поля флажок Сделать исключением.

   10. При необходимости укажите интерфейсы источника или назначения, используя поля в блоке параметров Интерфейсы.
   11. Укажите целевое действие, которое расширенно правило должно выполнять с пакетом при срабатывании, выбрав нужное значение в выпадающем списке Цель:
       • ACCEPT
       • DROP
       • TTL
       • REJECT
       • MARK
       • TOS
       • LOG
       • RETURN
       • DNAT
       • CLASSIFY

       Состав действий зависит от выбранной таблицы. При выборе действий TTL, MARK, TOS, DNAT, CLASSIFY потребуется также указать дополнительные значения, которые необходимо добавить к пакету.

4. Настройте дополнительные критерии совпадения для расширенного правила в разделе Дополнительные совпадения. Подробное описание параметров настройки критериев см. в разделе справки Дополнительные критерии совпадения для расширенных правил.
5. При необходимости просмотрите итоговую команду iptables, которая будет выполнена на устройстве CPE после применения правила, нажав Просмотр команды вверху области настройки.
6. Нажмите на кнопку Создать.

   Расширенное правило будет создано и отобразится в таблице.

7. В нижней части области настройки нажмите на кнопку Сохранить, чтобы сохранить параметры шаблона межсетевого экрана или устройства CPE.